主页 / server / 问题 / 1035142
Accepted
recolic
Asked: 2020-09-24 23:37:15 +0800 CST

如何在 Linux (smbd) 上为最新的 windows 10 客户端创建一个有效的 samba PUBLIC 共享？

  • 772

众所周知，最新的 windows 10 升级已经使 samba 客户端拒绝起诉来宾帐户。一些组织甚至无法禁用此错误。这使得无法在 Linux 上为 win10 客户端创建公共 samba 共享。

You can't access this shared folder because your organization's security policies block unauthenticated guest access. These policies help protect your PC from unsafe or malicious devices on the network.

我尝试了几种解决方案，例如强制客户端使用 SMBv3 (不工作)，将 * 映射到现有的 unix 用户 (check_sam_security: Couldn't find user xxx in passdb.)。我也搜索了互联网，但没有得到任何关于 Linux 的信息。

我有这样的想法：让 smbd 服务器总是告诉 windows “登录成功”，而不是“登录失败，请使用访客帐户”。但我不知道如何配置 smbd 来做到这一点。

如果你对绕过这个win10限制有所了解，请给我一个提示。谢谢）

samba smb-conf windows-10 samba4 smbclient

2 个回答

  1. Best Answer

    问题不在于 Samba 共享，而在于 Windows 10 下的新安全设置。他们专门制作了它，以便您无法从 Samba 端绕过此行为。他们在 Cause 部分解释了原因。

    症状

    在 Windows 10、Windows Server 2019 或 Windows Server 2016 中，SMB2 客户端不再允许以下操作：

    • 来宾帐户访问远程服务器。
    • 提供无效凭据后回退到访客帐户。

    SMBv2 在这些版本的 Windows 中具有以下行为：

    • 默认情况下，Windows 10 企业版和 Windows 10 教育版不再允许用户使用来宾凭据连接到远程共享，即使远程服务器请求来宾凭据也是如此。
    • 默认情况下，Windows Server 2016 Datacenter 和 Standard 版本不再允许用户使用来宾凭据连接到远程共享，即使远程服务器请求来宾凭据也是如此。
    • Windows 10 家庭版和专业版与其之前的默认行为保持不变。

    如果您尝试连接到请求访客凭据而不是适当的经过身份验证的主体的设备，您可能会收到以下错误消息：

    您无法访问此共享文件夹，因为您组织的安全策略会阻止未经身份验证的访客访问。这些策略有助于保护您的 PC 免受网络上不安全或恶意设备的侵害。

    和

    原因

    默认行为的这种更改是设计使然，Microsoft 出于安全考虑建议这样做。

    冒充合法文件服务器的恶意计算机可能允许用户在不知情的情况下以访客身份进行连接。Microsoft 建议您不要更改此默认设置。如果远程设备配置为使用访客凭据，管理员应禁用访客访问该远程设备并配置正确的身份验证和授权。

    自 Windows 2000 以来，Windows 和 Windows Server 尚未启用访客访问或允许远程用户以访客或匿名用户身份连接。默认情况下，只有第三方远程设备可能需要访客访问。Microsoft 提供的操作系统没有。

    和

    解析度

    如果要启用不安全的访客访问，可以配置以下组策略设置：

    • 打开本地组策略编辑器 (gpedit.msc)。
    • 在控制台树中，选择计算机配置 > 管理模板 > 网络 > Lanman 工作站。
    • 对于设置，右键单击启用不安全的访客登录并选择编辑。
    • 选择启用并选择确定。

    资源

    https://docs.microsoft.com/en-us/troubleshoot/windows-server/networking/guest-access-in-smb2-is-disabled-by-default

    • 2

  2. 如果您为“每个人”角色分配读或读/写，它将允许您在不进行身份验证的情况下进行连接。另请记住，共享权限不会覆盖文件的 NTFS 权限，因此也要将每个人都分配给文件夹的读/写权限（不仅仅是共享权限）。

    这是一个教程 https://websiteforstudents.com/create-shares-everyone-full-access-windows-10-server/

    • 1

相关问题