VPN üzerinden SMB konuk oturumu: Windows hâlâ bir kimlik istiyor

Ofis VPN'ine bağlanmak dosya sunucusunu erişilebilir kılar ama paylaşım yine de erişimi reddeder; bu da tünelin bozuk olduğu sonucuna varmaya davet eder. Genellikle değildir. SMB her oturumu ayrı ayrı doğrular ve Windows anonim oturum olarak neyi kabul edeceğini giderek sıkılaştırıyor. Ağ yolu ile kullanıcı kimliği farklı gereksinimlerdir, ve hata ikincisiyle ilgilidir.

Tünel neden bir SMB kimliğinin yerini alamaz

Bir sunucuyla alt ağ paylaşmak hiçbir zaman onun dosyalarını okuma izni anlamına gelmedi; yalnızca yönlendirme sorununu ortadan kaldırır. Windows, istemcisi güvenli olmayan bir konuk oturumunu engellediğinde 31017 olayını kaydeder ve bu, sunucuda değil sizin makinenizde alınan bir karardır. Tünel SMB paketlerini sadakatle taşırken konuk oturumu reddedilir. Bu yüzden aynı ev ağlarında bir dizüstü bilgisayar çalışır, diğeri çalışmaz.

Olayı ağ arızası değil, bir ilkenin kanıtı olarak görün. Düzeltme kimlikte ya da cihazdadır.

İstemci ilkesini ve ret olayını okuyun

İki çıktı soruyu hızla çözer: geçerli istemci yapılandırması ve son ret olayları.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Yanlış bir konuk ayarı ile imza koşulunun birleşmesi, herhangi bir ek incelemeden önce hatayı açıklar. Olay günlüğü, oturumu sunucunun değil istemcinin reddettiğini doğrular. Başka bir makinede başarılı bir denemede kullanılan paylaşım yolunu ve hesabı not edin, çünkü önbelleğe alınmış bir oturum iki testi aynı görünür hâle getirebilir; oysa aynı değildirler. Karşılaştırmadan önce mevcut bağlantıları net use ile temizleyin, böylece eski bir oturum yeni oturum yerine yanıt vermez.

Adlandırılmış bir hesap kullanın ve imzalamayı koruyun

Kalıcı çözüm, sunucunun bildiği bir hesabın açıkça verilmesidir; imza ve şifreleme ilkesi olduğu gibi bırakılır. Kimlik bilgisini iletişim kutusuna rastgele bir ad yazmak yerine bağlantı üzerinde verin.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Adlandırılmış bir oturum, sunucunun denetleyebileceği bir oturum üretir ve Get-SmbConnection lehçeyi ve imzalamanın etkin olup olmadığını gösterir. Konuk oturumları imza veya şifreleme koşullarını karşılayamaz, bu yüzden konuk bayrağını açmak bunları isteyen bir ilkeyi kurtaramaz. Eski bir cihazın hesap modeli yoksa konuk erişimini, değiştirme planı olan açıkça belgelenmiş bir istisna olarak ele alın. Tek bir cihaza uymak için her bağlantıda imzalamayı zayıflatmayın.

Cihaz yalnızca konuğu tanıdığında

Bazı tüketici NAS kutuları hesap kavramı olmayan paylaşımlar sunar; bu da iki dürüst seçenek bırakır: cihazı yalıtmak ya da değiştirmek. Onu hassas hiçbir şeye rotası olmayan bir bölüme koyun ve kolaylık istisnasının tüm istemci için varsayılan olmasına izin vermeyin. Yedekleri veya kimlik bilgilerini tutan bir konuk paylaşımı Windows can sıkıntısı değil, veri ifşası sorunudur. Ürün yazılımı güncellemesi kullanıcı hesapları eklerse, daha ucuz uzun vadeli yanıt odur.

Kabul edilen hesabı ve ilke değerlerini kayda yazın. Aksi hâlde sıradaki kişi tünel testini yeniden çalıştırır ve aynı redde varır.