VPN کے ذریعے SMB مہمان لاگ ان: ونڈوز اب بھی شناخت مانگتا ہے

دفتر کے VPN سے جڑنے پر فائل سرور قابل رسائی ہو جاتا ہے اور پھر بھی شیئر رسائی دینے سے انکار کرتا ہے، جو اس نتیجے کی طرف لے جاتا ہے کہ ٹنل خراب ہے۔ عام طور پر ایسا نہیں ہوتا۔ SMB ہر سیشن کی الگ سے تصدیق کرتا ہے، اور ونڈوز مسلسل سخت کر رہا ہے کہ وہ گمنام لاگ ان کے طور پر کیا قبول کرتا ہے۔ نیٹ ورک راستہ اور صارف کی شناخت دو مختلف تقاضے ہیں، اور غلطی دوسرے سے متعلق ہے۔

ٹنل SMB شناخت کا متبادل کیوں نہیں بن سکتا

سرور کے ساتھ سب نیٹ بانٹنے کا مطلب کبھی اس کی فائلیں پڑھنے کی اجازت نہیں تھا؛ یہ صرف روٹنگ کا مسئلہ دور کرتا ہے۔ ونڈوز ایونٹ 31017 درج کرتا ہے جب اس کا کلائنٹ غیر محفوظ مہمان لاگ ان روکتا ہے، اور یہ فیصلہ سرور پر نہیں، آپ کی مشین پر ہوتا ہے۔ ٹنل SMB پیکٹ وفاداری سے لے جاتا ہے جبکہ مہمان سیشن مسترد ہوتا ہے۔ اسی لیے ایک جیسے گھریلو نیٹ ورک پر ایک لیپ ٹاپ چلتا ہے اور دوسرا نہیں۔

ایونٹ کو نیٹ ورک کی خرابی نہیں بلکہ پالیسی کا ثبوت سمجھیں۔ اصلاح شناخت میں یا آلے میں ہے۔

کلائنٹ پالیسی اور مستردگی کا ایونٹ پڑھیں

دو نتائج سوال کو جلدی طے کرتے ہیں: مؤثر کلائنٹ کنفیگریشن اور حالیہ مستردگی کے ایونٹس۔

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

غلط مہمان ترتیب اور دستخط کی شرط مل کر کسی بھی مزید تحقیق سے پہلے ناکامی کی وضاحت کرتے ہیں۔ ایونٹ لاگ تصدیق کرتا ہے کہ کلائنٹ نے سیشن مسترد کیا، سرور نے اسناد مسترد نہیں کیں۔ دوسری مشین پر کامیاب کوشش میں استعمال شدہ شیئر راستہ اور اکاؤنٹ لکھ لیں، کیونکہ کیش شدہ سیشن دو ٹیسٹ یکساں دکھا سکتا ہے جبکہ وہ یکساں نہیں ہوتے۔ موجودہ کنکشنز net use سے صاف کریں، پھر موازنہ کریں، تاکہ پرانا سیشن نئے کی طرف سے جواب نہ دے۔

نام والا اکاؤنٹ استعمال کریں اور دستخط برقرار رکھیں

پائیدار حل وہ اکاؤنٹ ہے جسے سرور جانتا ہے، واضح طور پر دیا گیا، جبکہ دستخط اور انکرپشن پالیسی جوں کی توں رہتی ہے۔ گفتگو میں کوئی بے ترتیب نام ٹائپ کرنے کے بجائے کنکشن پر اسناد دیں۔

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

نام والا لاگ ان ایسا سیشن بناتا ہے جس کا سرور آڈٹ کر سکتا ہے، اور Get-SmbConnection ڈائلیکٹ اور یہ کہ دستخط فعال ہیں یا نہیں دکھاتا ہے۔ مہمان سیشن دستخط یا انکرپشن کے تقاضے پورے نہیں کر سکتے، اس لیے مہمان پرچم فعال کرنا ان تقاضوں والی پالیسی کو نہیں بچا سکتا۔ جہاں پرانے آلے میں اکاؤنٹ ماڈل نہیں ہے، وہاں مہمان رسائی کو متبادل منصوبے کے ساتھ واضح طور پر دستاویزی استثنا سمجھیں۔ ایک آلے کی خاطر ہر کنکشن پر دستخط کمزور نہ کریں۔

جب آلہ صرف مہمان کو جانتا ہے

کچھ صارفی NAS بکس اکاؤنٹ کے تصور کے بغیر شیئر پیش کرتے ہیں، جس سے دو ایماندار اختیار رہ جاتے ہیں: آلے کو الگ کریں یا بدل دیں۔ اسے ایسے حصے میں رکھیں جہاں کسی حساس چیز تک راستہ نہ ہو، اور سہولت کے استثنا کو پورے کلائنٹ کے لیے طے شدہ نہ بننے دیں۔ بیک اپ یا اسناد رکھنے والا مہمان شیئر ونڈوز کی پریشانی نہیں بلکہ ڈیٹا کے افشا کا مسئلہ ہے۔ اگر فرم ویئر اپ ڈیٹ صارف اکاؤنٹس شامل کرے تو وہی سستا طویل مدتی جواب ہے۔

منظور شدہ اکاؤنٹ اور پالیسی کی اقدار ٹکٹ میں درج کریں۔ ورنہ اگلا شخص پھر ٹنل ٹیسٹ چلائے گا اور اسی انکار تک پہنچے گا۔