לא ניתן לגשת לתיקיות משותפות או למפות כונני רשת מ- Windows 10 ו- Windows 11

אם אינך יכול לפתוח או למפות תיקיות משותפות ברשת ב- NAS, בשרת Samba Linux, במחשבים עם גירסאות Windows מדור קודם (Windows 7/XP/Server 2003) מ- Windows 10 או 11, סביר להניח שהבעיה היא שגירסאות מדור קודם ולא מאובטחות של פרוטוקול SMB מושבתות בגירסאות ה- build הנוכחיות של Windows (פרוטוקול SMB משמש ב- Windows כדי לגשת לתיקיות וקבצים משותפים ברשת).

Microsoft משביתה באופן שיטתי גירסאות מדור קודם ולא מאובטחות של פרוטוקול SMB בכל הגירסאות האחרונות של Windows. החל מ- Windows 10 1709 ו- Windows Server 2019 (הן במהדורות Datacenter והן במהדורות Standard), פרוטוקול SMBv1 הלא בטוח אינו זמין כברירת מחדל וכן גישה אנונימית (אורחת) לתיקיות משותפות ברשת.

השלבים הספציפיים שיש לבצע תלויים בשגיאה המופיעה ב- Windows בעת גישה לתיקיה משותפת ובהגדרות של שרת SMB מרוחק המארח את המיקומים המשותפים ברשת.

אין אפשרות לגשת לתיקיה משותפת מכיוון שמדיניות אבטחה חוסמת גישת אורח לא מאומת

החל מ- Windows 10 build 1709 Fall Creators Update (מהדורות Enterprise ו- Education), משתמשים החלו להתלונן שכאשר ניסו לפתוח תיקיה משותפת ברשת במחשב שכן, הופיעה שגיאה:

Restoring Network Connections
An error occurs when you try to open a network folder:
An error occurred while reconnecting Y: to \\nas1\share
Microsoft Windows Network: You can’t access this shared folder because your organization’s security policies block unauthenticated guest access. These policies help protect your PC from unsafe or malicious devices on the network.

יתר על כן, במחשבים אחרים עם Windows 8.1, Windows 7 או Windows 10 עם גירסת build של עד 1709, אותן תיקיות רשת משותפות נפתחות כרגיל. הנקודה היא שבגירסאות מודרניות של Windows 10 (לבנות 1709+), גישת האורח לתיקיות המשותפות באמצעות פרוטוקול SMBv2 מושבתת כברירת מחדל. אורח (אנונימי) פירושו גישה לתיקיית רשת משותפת ללא אימות. בעת גישה לתיקיית רשת תחת חשבון אורח דרך פרוטוקול SMBv1/v2, לא נעשה שימוש בשיטות כגון הגנה על תעבורה כגון חתימה והצפנה של SMB, מה שהופך את ההפעלה שלך לפגיעה להתקפות MiTM (אדם באמצע).

שינויים אלה אינם חלים על מהדורות Windows 10 Home והגישה לרשת תחת חשבון האורח פועלת היטב.

אם תנסה לפתוח תיקיית רשת משותפת באמצעות פרוטוקול SMB v2 תחת חשבון האורח, השגיאה הבאה תופיע במציג האירועים של המחשב שלך (לקוח SMB):

Log Name: Microsoft-Windows-SmbClient/Security  
Source: Microsoft-Windows-SMBClient
Event ID: 31017
Rejected an insecure guest logon.

שגיאה זו מציינת שהמחשב (הלקוח) חוסם גישה לא מאומתת תחת חשבון Guest.

ברוב המקרים, אתה עלול להיתקל בבעיה זו בעת גישה להתקני NAS ישנים (בדרך כלל גישת אורח מופעלת בהם כדי להקל על ההתקנה) או בעת פתיחת תיקיות משותפות בהתקני Windows 7/2008 R2/Windows XP/2003 מדור קודם עם גישה אנונימית (אורח) זמינה (עיין בטבלת הגירסאות הנתמכות של פרוטוקול SMB במהדורות Windows שונות).

Microsoft ממליצה לשנות את ההגדרות במחשב מרוחק או בהתקן NAS המארח את תיקיות הרשת המשותפות. מומלץ להעביר את שיתוף הרשת למצב SMBv3. לחלופין, הגדר גישה באמצעות אימות אם רק פרוטוקול SMBv2 נתמך על-ידי ההתקן. זוהי הדרך הנכונה והבטוחה ביותר לתקן את הבעיה.

השבת גישת אורח במכשיר שבו מאוחסנות התיקיות המשותפות שלך:

  • התקני NAS - השבת גישת אורח בהגדרות של התקן ה-NAS שלך (בהתאם לספק ולדגם);

  • שרת Samba ב-Linux — אם אתה משתף תיקיית רשת עם Samba ב-Linux, הוסף את המחרוזת הבאה לקובץ התצורה smb.conf תחת המקטע [global]:

    map to guest = never

    והגבילו גישה אנונימית במקטע 'תצורת תיקיה משותפת':

     guest ok = no

  • ב- Windows, באפשרותך לאפשר שיתוף של תיקיות רשת ומדפסות עם הגנה באמצעות סיסמה באמצעות לוח הבקרה -> מרכז הרשת והשיתוף -> הגדרות שיתוף מתקדמות. עבור כל הרשתות בסעיף "שיתוף מוגן באמצעות סיסמה", שנה את הערך לערך "הפעל שיתוף המוגן באמצעות סיסמה". במקרה זה, גישה אנונימית (אורח) לתיקיות המשותפות ברשת תהיה מושבתת ויהיה עליך ליצור משתמשים מקומיים, להעניק להם הרשאות גישה לתיקיות ולמדפסות המשותפות ולהשתמש בחשבונות אלה כדי להתחבר לתיקיות המשותפות במחשב מרוחק.

יש דרך נוספת - באפשרותך לשנות את ההגדרות במכשיר Windows שלך כדי לאפשר גישה לתיקיות רשת משותפות תחת חשבון האורח. יש להשתמש בשיטה זו רק כ- a temporary reway (!! ), מכיוון שגישה לתיקיות ללא אימות מפחיתה באופן משמעותי את אבטחת המחשב שלך.

כדי לאפשר גישת אורח מהמחשב שלך, עליך להשתמש בעורך המדיניות הקבוצתית (

gpedit.msc

). עבור אל הסעיף: תצורת מחשב -> תבניות ניהוליות -> רשת -> Lanman Workstation. מצא והפעל את המדיניות אפשר כניסות אורחים לא מאובטחות. אפשרות מדיניות זו קובעת אם לקוח SMB יאפשר כניסת אורח לא בטוחה לשרת SMB.

עדכן את הגדרות המדיניות הקבוצתית ב- Windows באמצעות הפקודה:

gpupdate /force

ב- Windows 10 Home, שאין לו עורך GPO מקומי, באפשרותך לבצע שינוי דומה באמצעות עורך הרישום באופן ידני:

HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters “AllowInsecureGuestAuth”=dword:1

או באמצעות פקודות אלה:

reg add HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters /v AllowInsecureGuestAuth /t reg_dword /d 00000001 /f
reg add HKLM\Software\Policies\Microsoft\Windows\LanmanWorkstation /v AllowInsecureGuestAuth /t reg_dword /d 00000001 /f

אין אפשרות להתחבר לשיתוף הקבצים מכיוון שהוא אינו מאובטח ודורש פרוטוקול SMB1 מיושן

בעיה אפשרית נוספת בעת גישה לתיקיית רשת מ- Windows 10 היא שרק גירסת פרוטוקול SMBv1 נתמכת בצד השרת. מאחר שלקוח SMBv1 מושבת כברירת מחדל ב- Windows 10 1709+ בעת ניסיון לפתוח את התיקיה המשותפת או למפות כונן רשת, ייתכן שתקבל שגיאה:

You can’t connect to the file share because it’s not secure. This share requires the obsolete SMB1 protocol, which is unsafe and could expose your system to attack. Your system requires SMB2 or higher.

במקרה זה, ייתכן שמחשבים שכנים לא יוצגו ברשת המקומית, ובעת פתיחת תיקיה משותפת באמצעות נתיב UNC, עלולה להופיע 0x80070035 שגיאה.

הודעת השגיאה מראה בבירור שהתיקיה המשותפת ברשת תומכת רק בפרוטוקול גישת לקוח SMBv1. במקרה זה, עליך לנסות להגדיר מחדש את התקן SMB המרוחק לשימוש ב- SMBv2 לפחות (הדרך הנכונה והבטוחה).

אם אתה משתמש בשרת Samba ב- Linux כדי לשתף קבצים, תוכל לציין את הגרסה המינימלית הנתמכת של פרוטוקול SMB בקובץ smb.conf כך:

[global]
server min protocol = SMB2_10
client max protocol = SMB3
client min protocol = SMB2_10
encrypt passwords = true
restrict anonymous = 2

ב- Windows 7/Windows Server 2008 R2, באפשרותך להפוך את פרוטוקול SMB 1 ללא זמין ולאפשר SMBv2 באמצעות הרישום עם פקודות PowerShell הבאות:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB1 -Type DWORD -Value 0 -Force
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB2 -Type DWORD -Value 1 -Force

ב- Windows 8.1/Windows Server 2012 R2, באפשרותך להפוך את SMBv1 ללא זמין, לאפשר SMBv2 ו- SMBv3 באמצעות הפקודה הבאה (ודא שנעשה שימוש בפרופיל פרטי או תחום עבור חיבור הרשת שלך):

Disable-WindowsOptionalFeature -Online -FeatureName "SMB1Protocol"
Set-SmbServerConfiguration -EnableSMB2Protocol $true

אם התקן הרשת שלך (NAS, Windows XP, Windows Server 2003) תומך רק בפרוטוקול SMB1, באפשרותך להפעיל תכונה נפרדת של SMB1Protocol-Client ב- Windows 10/11 או ב- Windows Server. אבל זה לא מומלץ!!

אם ההתקן המרוחק דורש חיבור של SMBv1, ופרוטוקול זה אינו זמין במכשיר Windows שלך, מופיעה שגיאה במציג האירועים:

Log Name: Microsoft-Windows-SmbClient/Security
Source: Microsoft-Windows-SMBClient
Event ID: 32000
Description:  SMB1 negotiate response received from a remote device when SMB1 cannot be negotiated by the local computer.

הפעל את הבקשה של PowerShell עם הרשאות מלאות וודא שלקוח SMB1Protocol אינו זמין (

State: Disabled

):

Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Client

הפעל את פרוטוקול הלקוח SMBv1 (נדרש אתחול מחדש):

Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Client

תוכל גם להפעיל/להשבית תכונות נוספות ב- Windows 10 וב- Windows 11 מתוך

optionalfeatures.exe

. הרחב את התמיכה בשיתוף קבצים SMB 1.0/CIFS והפעל את לקוח SMB 1.0/CIFS.

ב- Windows 10 1809 ואילך, לקוח SMBv1 מוסר באופן אוטומטי אם לא נעשה בו שימוש במשך יותר מ- 15 יום (רכיב ההסרה האוטומטית SMB 1.0/CIFS אחראי לכך).

בדוגמה זו, הפעלתי רק את לקוח SMBv1. אל תפעיל את התכונה SMB1Protocol-Server אם המחשב שלך אינו משמש לקוחות מדור קודם כשרת SMB לאירוח תיקיות משותפות.

לאחר התקנת לקוח SMBv1, אתה אמור להיות מסוגל להתחבר לתיקיה משותפת או למדפסת ללא בעיות. עם זאת, עליך להבין שדרך זו לעקיפת הבעיה אינה מומלצת, מכיוון שהיא מפחיתה את אבטחת המחשב.

ל- Windows אין אפשרות לגשת לתיקיה משותפת: אין לך הרשאות

בעת התחברות לתיקיית רשת משותפת במחשב מרוחק, עלולה להופיע שגיאה:

Network Error
Windows cannot access \\PC12\Share
You do not have permission to access \\PC12\Share. Contact your network administrator to request access.

כאשר שגיאה זו מתרחשת, עליך:

  1. ודא שלמשתמש שבו אתה משתמש כדי לגשת לתיקיה המשותפת מוענקות הרשאות גישה במיקום המשותף המרוחק. פתח את המאפיינים של התיקיה המשותפת בשרת וודא שלמשתמש שלך יש הרשאות קריאה לפחות. כמו כן, באפשרותך לבדוק את הרשאות שיתוף הקבצים של SMB במחשב המארח המרוחק באמצעות PowerShell:

    Get-SmbShareAccess -Name "tools"

    לאחר מכן בדוק את הרשאות התיקיה NTFS:

    get-acl C:\tools\ |fl

    במידת הצורך, ערוך את ההרשאות בתיקיה ו/או שתף מאפיינים;

  2. ודא שאתה משתמש בשם המשתמש ובסיסמה הנכונים כדי לגשת לתיקיית הרשת. אם אינך מתבקש לספק שם משתמש וסיסמה, נסה להסיר אישורים שמורים (מאוחסנים במטמון) עבור מיקומים משותפים מרוחקים במנהל האישורים של Windows. הפעל את הפקודה

    rundll32.exe keymgr.dll, KRShowKeyMgr

    ומחק אישורים המאוחסנים במטמון עבור המחשב המרוחק שאליו אתה מנסה לגשת.

    בפעם הבאה שתתחבר לתיקיה המשותפת, תתבקש להזין שם משתמש וסיסמה. ציין את האישורים לגישה לתיקיית הרשת המשותפת במחשב המרוחק. באפשרותך לשמור אותו במנהל האישורים או להוסיף אותו באופן ידני.

תיקונים אחרים: ל- Windows אין אפשרות לגשת לתיקיות משותפות

סעיף זה מספק דרכים נוספות לפתרון בעיה בפתיחת תיקיות רשת ב- Windows:

  • ודא שהמחשב המרוחק מאפשר חיבורים נכנסים לתיקיות רשת משותפות באמצעות פרוטוקול SMB (יציאת TCP 445). באפשרותך לבדוק את הזמינות של יציאה 445 במחשב מרוחק באמצעות הפקודה Test-NetConnection:

    Test-NetConnection -ComputerName HomePC212 -Port 445

    אם ה- cmdlet מחזיר

    TcpTestSucceeded : False

    משמעות הדבר היא שהגישה לתיקיית הרשת במחשב המרוחק נחסמת על-ידי חומת האש., ייתכן שהחיבור נחסם על-ידי אנטי-וירוס או חומת אש (ספק חיצוני או חומת אש מוכללת של Windows Defender). אם אתה משתמש ב- Windows Defender, הפעל את הכלל שיתוף קבצים ומדפסות (לוח הבקרה\מערכת ואבטחה\חומת האש של Windows Defender\אפליקציות מותרות\אפשר לאפליקציות לקיים תקשורת דרך חומת האש של Windows) במארח שיתוף הקבצים עבור כל שלושת פרופילי הרשת.

    לחלופין, צור כלל חומת אש באמצעות PowerShell:

    New-NetFirewallRule -DisplayName "Allow_SBM-FileSharing_In" -Direction Inbound -Protocol TCP -LocalPort 445 -Action Allow

  • אם אין באפשרותך לפתוח כונני רשת ממופים (תיקיות), נסה להסיר אישורים שנשמרו במטמון במנהל האישורים של Windows, מחק כונני רשת ממופים (באמצעות

    Net Use * /delete

    פקודה) ולחבר אותם מחדש;

  • נסה להשתמש בכתובת ה- IP של המחשב המרוחק במקום בשמו כדי לגשת לתיקיה. לדוגמה:

    Win+R

    ->

    \\192.168.12.20

    - > בסדר.

  • ודא שהמחשבים שלך מצורפים לאותה קבוצת עבודה. ניתן למצוא את שם קבוצת העבודה במחשב באמצעות PowerShell:

    Get-WmiObject Win32_ComputerSystem).domain

  • אפס את הגדרות מחסנית TCP/IP ועדכן את כתובת ה- IP במחשב שלך:

    netsh int ip reset
netsh winsock reset
ipconfig /flushdns
ipconfig /release
ipconfig /renew