ไม่สามารถเข้าถึงโฟลเดอร์ SYSVOL และ NETLOGON จาก Windows 10

ฉันสังเกตเห็นสิ่งแปลกๆ เมื่อพยายามเข้าถึงโฟลเดอร์ SYSVOL และ NETLOGON ในโดเมนจาก Windows 10/Windows Server 2016 เมื่อฉันพยายามเข้าถึงโดเมนด้วยเส้นทาง UNC

\\<domain.com>\SYSVOL

หรือตามที่อยู่ IP ของตัวควบคุมโดเมน

\\192.168.100.10\Netlogon

ปรากฏว่ามีข้อผิดพลาด 'การเข้าถึงถูกปฏิเสธ' และความปลอดภัยของ Windows แจ้งให้ป้อนข้อมูลรับรองผู้ใช้เพื่อเข้าถึงโฟลเดอร์ หลังจากป้อนชื่อผู้ใช้โดเมนที่ถูกต้องหรือแม้แต่ข้อมูลประจำตัวของผู้ดูแลระบบโดเมนแล้ว โฟลเดอร์ก็ยังไม่เปิดขึ้น

ในขณะเดียวกัน โฟลเดอร์ Sysvol/Netlogon เดียวกันจะเปิดขึ้นตามปกติ (โดยไม่มีรหัสผ่าน) หากคุณระบุโฮสต์ตัวควบคุมโดเมนหรือชื่อ FQDN:

\\be-dc1.domain.com\sysvol

หรือเพียงแค่

\\be-dc1\sysvol

นอกจากนี้ ปัญหาเกี่ยวกับการใช้ Group Policy อาจเกิดขึ้นในคอมพิวเตอร์ที่มีปัญหา คุณจะพบข้อผิดพลาดเกี่ยวกับ EventID 1058 ในบันทึก Event Viewer:

The processing of Group Policy failed. Windows attempted to read the file \\domain.com\sysvol\domain.cpo\Policies\{GPO GUID}\gpt.ini from a domain controller and was not successful. Group Policy settings may not be applied until this event is resolved.

ซึ่งเกี่ยวข้องกับการตั้งค่าความปลอดภัยของ Windows แบบใหม่ที่ป้องกันคอมพิวเตอร์โดเมนจากการเรียกใช้รหัส (สคริปต์การเข้าสู่ระบบ โปรแกรมเรียกทำงาน) และรับไฟล์การกำหนดค่านโยบายจากแหล่งที่ไม่น่าเชื่อถือ — การเสริมความแข็งแกร่ง UNC การตั้งค่าความปลอดภัยของ Windows 10/Windows Server 2016 ต้องใช้ระดับความปลอดภัยต่อไปนี้เพื่อเข้าถึงไดเร็กทอรี UNC ที่มีการรักษาความปลอดภัยขั้นสูง (โฟลเดอร์แชร์ SYSVOL และ NETLOGON):

• การรับรองความถูกต้องร่วมกัน ของเซิร์ฟเวอร์และไคลเอนต์ Kerberos ใช้สำหรับการตรวจสอบสิทธิ์ (ไม่รองรับ NTLM) นี่คือสาเหตุที่คุณไม่สามารถเข้าถึง SYSVOL และ NETLOGON ที่ใช้ร่วมกันบนตัวควบคุมโดเมนด้วยที่อยู่ IP โดยค่าเริ่มต้น,

  RequireMutualAuthentication=1

• ความสมบูรณ์ คือการตรวจสอบลายเซ็น SMB ช่วยให้มั่นใจได้ว่าข้อมูลในเซสชัน SMB จะไม่ได้รับการแก้ไขระหว่างการส่ง ลายเซ็น SMB ได้รับการสนับสนุนใน SMB 2.0 หรือสูงกว่า (SMB v 1 ไม่สนับสนุนการลงนามเซสชัน SMB) ค่าเริ่มต้นคือ

  RequireIntegrity=1

• ความเป็นส่วนตัว เกี่ยวข้องกับการเข้ารหัสข้อมูลในเซสชัน SMB รองรับตั้งแต่ SMB v 3.0 (Windows 8/Windows Server 2012 หรือใหม่กว่า) ค่าเริ่มต้นคือ

  RequirePrivacy=0

  หากคุณมีคอมพิวเตอร์หรือตัวควบคุมโดเมนที่มี Windows รุ่นดั้งเดิม (Windows 7/Windows Server 2008 R2 หรือก่อนหน้า) ในเครือข่ายของคุณ อย่าใช้ตัวเลือก RequirePrivacy=1 มิฉะนั้น ไคลเอนต์รุ่นเก่าจะไม่สามารถเข้าถึงโฟลเดอร์ที่ใช้ร่วมกันบนเครือข่ายได้ บนตัวควบคุมโดเมน

เดิมที การเปลี่ยนแปลงเหล่านี้ทำขึ้นใน Windows 10 ในปี 2558 โดยเป็นส่วนหนึ่งของการอัปเดตความปลอดภัย MS15-011 และ MS15-014 ทำให้เกิดการเปลี่ยนแปลงในอัลกอริทึม ผู้ให้บริการ UNC หลายตัว (MUP) ซึ่งขณะนี้ใช้กฎพิเศษเพื่อเข้าถึงโฟลเดอร์ที่สำคัญในตัวควบคุมโดเมน: \*\SYSVOL และ \ *\NETLOGON

ในการเข้าถึง SYSVOL และ NETLOGON คุณสามารถเปลี่ยนการตั้งค่า UNC hardening ใน Windows 10 โดยใช้ Group Policy คุณสามารถใช้การตั้งค่าความปลอดภัยพิเศษเพื่อเข้าถึงเส้นทาง UNC ต่างๆ ได้ในนโยบาย เส้นทาง UNC ที่เข้มงวด

1. เปิดตัวแก้ไขนโยบายกลุ่มภายใน (gpedit.msc);

2. ไปที่ส่วนนโยบายการกำหนดค่าคอมพิวเตอร์ -> เทมเพลตการดูแลระบบ -> เครือข่าย -> ผู้ให้บริการเครือข่าย

3. เปิดใช้งานนโยบาย เส้นทาง UNC ที่เข้มงวด

   

4. คลิกปุ่ม แสดง และสร้างรายการสำหรับเส้นทาง UNC ไปยัง Netlogon และ Sysvol หากต้องการปิดใช้งานการชุบแข็ง UNC สำหรับโฟลเดอร์เฉพาะ (ไม่แนะนำ!) ให้ระบุค่าต่อไปนี้:

   RequireMutualAuthentication=0,RequireIntegrity=0,RequirePrivacy=0

Microsoft ขอแนะนำให้ใช้การตั้งค่าเหล่านี้เพื่อ อย่างปลอดภัย ในการเข้าถึงไดเร็กทอรี UNC ที่สำคัญ:

• \*\NETLOGON

  RequireMutualAuthentication=1, RequireIntegrity=1

• \*\SYSVOL

  RequireMutualAuthentication=1, RequireIntegrity=1

ตอนนี้คุณต้องอัปเดตนโยบายในคอมพิวเตอร์ของคุณโดยใช้

gpupdate /force

คำสั่งและตรวจสอบให้แน่ใจว่าคุณสามารถเข้าถึง Sysvol และ Netlogon ได้

คุณสามารถกำหนดค่าพารามิเตอร์เหล่านี้โดยใช้ GPO โดเมนส่วนกลางหรือคำสั่งต่อไปนี้บนไคลเอนต์: (คำสั่งเหล่านี้จะปิดใช้งานการรับรองความถูกต้อง Kerberos เมื่อคุณเข้าถึงโฟลเดอร์ SYSVOL และ NETLOGON บนตัวควบคุมโดเมน NTLM จะถูกใช้แทน และคุณจะสามารถเปิด โฟลเดอร์ที่ได้รับการป้องกันบน DC ตามที่อยู่ IP)

reg add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths /v "\\*\SYSVOL" /d "RequireMutualAuthentication=0" /t REG_SZ /f
reg add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths /v "\\*\NETLOGON" /d "RequireMutualAuthentication=0" /t REG_SZ /f