VPN orqali SMB mehmon kirishi: Windows hali ham shaxsni talab qiladi

Ofis VPN'iga ulanish fayl serverini yetib boradigan qiladi, lekin ulashish hali ham kirishni rad etadi, bu tunnel buzilgan degan xulosaga olib keladi. Odatda unday emas. SMB har bir sessiyani alohida autentifikatsiya qiladi va Windows anonim kirish sifatida nimani qabul qilishini tobora qat'iylashtirmoqda. Tarmoq yo'li va foydalanuvchi shaxsi ikki xil talabdir, va xato ikkinchisiga tegishli.

Nega tunnel SMB shaxsini almashtira olmaydi

Server bilan quyi tarmoqni ulashish hech qachon uning fayllarini o'qishga ruxsat degani bo'lmagan; u faqat marshrutlash muammosini olib tashlaydi. Windows o'z mijozi xavfsiz bo'lmagan mehmon kirishini bloklaganda 31017 hodisasini qayd etadi va bu qaror serverda emas, sizning mashinangizda qabul qilinadi. Tunnel SMB paketlarini sodiqlik bilan tashiydi, mehmon sessiyasi esa rad etiladi. Shu sababli bir xil uy tarmoqlarida bitta noutbuk ishlaydi, boshqasi ishlamaydi.

Hodisani tarmoq nosozligi emas, siyosatning dalili deb qarang. Tuzatish shaxsda yoki qurilmaning o'zida.

Mijoz siyosatini va rad etish hodisasini o'qing

Ikki natija savolni tez hal qiladi: amaldagi mijoz konfiguratsiyasi va so'nggi rad etish hodisalari.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Noto'g'ri mehmon sozlamasi imzo talabi bilan birga har qanday qo'shimcha tekshiruvdan oldin nosozlikni izohlaydi. Hodisalar jurnali sessiyani mijoz rad etganini tasdiqlaydi, server esa hisob ma'lumotlarini rad etmagan. Boshqa mashinadagi muvaffaqiyatli urinishda ishlatilgan ulashish yo'li va hisobni yozib qo'ying, chunki keshlangan sessiya ikki testni bir xil ko'rsatishi mumkin, holbuki ular bir xil emas. Mavjud ulanishlarni net use bilan tozalang, so'ngra solishtiring, eski sessiya yangisining o'rniga javob bermasligi uchun.

Nomlangan hisobdan foydalaning va imzoni saqlang

Barqaror yechim server biladigan, aniq berilgan hisobdir, imzo va shifrlash siyosati esa o'zgartirilmaydi. Hisob ma'lumotlarini muloqot oynasiga tasodifiy nom yozish o'rniga ulanishda bering.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Nomlangan kirish server tekshira oladigan sessiya yaratadi va Get-SmbConnection dialektni hamda imzo faol yoki yo'qligini ko'rsatadi. Mehmon sessiyalari imzo yoki shifrlash talablarini qondira olmaydi, shuning uchun mehmon bayrog'ini yoqish ularni talab qiladigan siyosatni qutqara olmaydi. Qadimgi qurilmada hisob modeli bo'lmasa, mehmon kirishini almashtirish rejasi bilan aniq hujjatlashtirilgan istisno deb hisoblang. Bitta qurilmaga moslashish uchun har bir ulanishda imzoni zaiflashtirmang.

Qurilma faqat mehmonni bilganda

Ba'zi iste'molchi NAS qutilari hisob tushunchasisiz ulashishlar taqdim etadi, bu ikki halol variantni qoldiradi: qurilmani ajratish yoki almashtirish. Uni hech qanday nozik narsaga marshruti bo'lmagan segmentga qo'ying va qulaylik istisnosi butun mijoz uchun standart bo'lib qolmasin. Zaxira nusxalar yoki hisob ma'lumotlarini saqlaydigan mehmon ulashishi Windows bezovtaligi emas, ma'lumotlarning oshkor bo'lishi muammosi. Agar mikroprogramma yangilanishi foydalanuvchi hisoblarini qo'shsa, bu arzonroq uzoq muddatli javob.

Qabul qilingan hisobni va siyosat qiymatlarini chiptaga yozing. Aks holda keyingi odam tunnel testini qaytadan o'tkazadi va xuddi shu rad etishga yetib keladi.