Đăng nhập khách SMB qua VPN: Windows vẫn đòi một danh tính

Kết nối vào VPN của văn phòng giúp máy chủ tệp trở nên truy cập được mà thư mục chia sẻ vẫn từ chối truy cập, khiến ta dễ kết luận rằng đường hầm bị hỏng. Thường thì không phải vậy. SMB xác thực từng phiên riêng rẽ, và Windows ngày càng siết chặt những gì được coi là đăng nhập ẩn danh. Đường dẫn mạng và danh tính người dùng là hai yêu cầu khác nhau, và lỗi nói về yêu cầu thứ hai.

Vì sao đường hầm không thể thay thế danh tính SMB

Chia sẻ một mạng con với máy chủ chưa bao giờ có nghĩa là được phép đọc tệp của nó; nó chỉ gỡ bỏ vấn đề định tuyến. Windows ghi nhận sự kiện 31017 khi máy khách của nó chặn một đăng nhập khách không an toàn, và đó là quyết định đưa ra trên máy của bạn chứ không phải trên máy chủ. Đường hầm truyền các gói SMB một cách trung thực trong khi phiên khách bị từ chối. Đó là lý do một laptop trên những mạng gia đình giống hệt nhau thì chạy được còn chiếc khác thì không.

Hãy coi sự kiện là bằng chứng của một chính sách, không phải sự cố mạng. Cách khắc phục nằm ở danh tính hoặc ở thiết bị.

Đọc chính sách máy khách và sự kiện từ chối

Hai kết quả trả lời câu hỏi rất nhanh: cấu hình máy khách hiệu lực và các sự kiện từ chối gần đây.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Một thiết lập khách sai cùng với yêu cầu chữ ký giải thích thất bại trước mọi cuộc điều tra thêm. Nhật ký sự kiện xác nhận máy khách đã từ chối phiên, chứ không phải máy chủ từ chối thông tin đăng nhập. Ghi lại đường dẫn chia sẻ và tài khoản dùng trong một lần thử thành công trên máy khác, vì một phiên được lưu đệm có thể khiến hai phép thử trông giống nhau khi thực ra không phải. Xóa các kết nối hiện có bằng net use trước khi so sánh, để phiên cũ không trả lời thay phiên mới.

Dùng tài khoản có tên và giữ nguyên chữ ký

Giải pháp lâu bền là một tài khoản mà máy chủ biết, được cung cấp rõ ràng, còn chính sách chữ ký và mã hóa để nguyên. Hãy cung cấp thông tin đăng nhập trên kết nối thay vì gõ một cái tên ngẫu nhiên vào hộp thoại.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Đăng nhập có tên tạo ra một phiên mà máy chủ có thể kiểm toán, và Get-SmbConnection hiển thị dialect và liệu chữ ký có đang hoạt động. Phiên khách không thể đáp ứng yêu cầu về chữ ký hoặc mã hóa, nên bật cờ khách không thể cứu một chính sách đòi hỏi chúng. Ở nơi thiết bị cũ không có mô hình tài khoản, hãy coi truy cập khách là một ngoại lệ được ghi chép rõ ràng kèm kế hoạch thay thế. Đừng làm yếu chữ ký trên mọi kết nối chỉ để chiều một thiết bị.

Khi thiết bị chỉ biết khách

Một số hộp NAS tiêu dùng phơi bày các thư mục chia sẻ mà không có khái niệm tài khoản, để lại hai lựa chọn trung thực: cô lập thiết bị hoặc thay nó. Hãy đặt nó vào một phân đoạn không có tuyến tới bất cứ thứ gì nhạy cảm, và đừng để một ngoại lệ tiện lợi trở thành mặc định cho toàn bộ máy khách. Một chia sẻ khách chứa bản sao lưu hoặc thông tin đăng nhập là vấn đề lộ dữ liệu chứ không phải chuyện phiền toái của Windows. Nếu bản cập nhật firmware thêm tài khoản người dùng, đó là câu trả lời rẻ hơn về lâu dài.

Ghi lại tài khoản đã chấp nhận và các giá trị chính sách vào phiếu. Nếu không, người tiếp theo sẽ chạy lại phép thử đường hầm và đi đến đúng sự từ chối đó.