Отказ в доступе при доступе к SMB-файлу в Windows

В этой статье помогают устранить ошибку с отказом в доступе, которая возникает при доступе к файлу Блока сообщений сервера (SMB).

Оригинальная версия продукта: Windows Server 2012 R2, Windows 7 Пакет обновления 1
Исходный номер КБ: 3035936

Симптомы

При попытке получить доступ к определенной папке, расположенной на файлере сетевого устройства (NetApp) или Windows Server, который поддерживает SMB2 из системы Windows через протокол SMB Версии 2, доступ отклоняется. Эта проблема возникает в следующей версии Windows:

• Windows 8.1
• Windows Server 2012 R2
• Windows 8
• Windows Server 2012
• Windows 7
• Windows Server 2008 R2
• Windows Vista
• Windows Server 2008

Эта проблема не возникает, если отключить протокол SMB2 для клиента или использовать клиент Windows SMB, например Windows XP или Windows Server 2003.

Причина

Эта проблема возникает из-за того, что в целевой папке в SMB-папке отсутствуют записи управления доступом SYNCHRONIZE.

Решение

Чтобы устранить эту проблему, используйте утилиту ICACLS для набора нужных разрешений, содержащих бит Синхронизация.

Например, в командной подсказке введите следующую команду и нажмите кнопку ENTER:

Разделенный запятой список в скобки определенных прав:

• RC — управление чтением
• RD — каталог считываний данных и списков
• REA — расширенные атрибуты чтения
• RA — атрибуты чтения
• X — выполнение/обход
• S — Синхронизация

Устранение неполадок

Для проверки и устранения неполадок можно использовать следующие методы.

Убедитесь, что в файле NetApp установлен бит синхронизации в папке.

Сетевой след может показать ошибку DesiredAccess для процесса создания SMB2 в папке пакета Запрос и Ответ.

Средство AccessChk.exe доступно на сайте Windows Sysinternals для чтения параметров разрешений.

Например, выполните следующую команду:

Затем можно увидеть следующий результат, который показывает набор бита SYNCHRONIZE:

Заявление об отказе от ответственности за сведения о продуктах сторонних производителей

В этой статье упомянуты программные продукты независимых производителей. Корпорация Майкрософт не дает никаких гарантий, подразумеваемых и прочих, относительно производительности и надежности этих продуктов.

Доступ к серверу обмена файлами SMB неуспешен с помощью псевдонима DNS CNAME

В этой статье данная статья предоставляет решения проблемы, из-за которую псевдоним DNS CNAME не может получить доступ к файлам SMB-серверов.

Оригинальная версия продукта: Windows 10 — все выпуски, Windows Server 2019, Windows Server 2016, Windows Server 2012 R2, Windows 7 Пакет обновления 1
Исходный номер КБ: 3181029

Симптомы

• Вы работаете на сервере SMB-файлов, например Windows Server. На сервере есть файлы и ресурсы, настроенные с помощью их имени NetBIOS, доменного имени DNS с полной квалификацией (FQDN) и их псевдонима (CNAME).
• У вас есть клиент с Windows 7, Windows Server 2008 R2 или более поздней версией Windows.

Если приложение или пользователь использует фактическое имя хранилища (имя NetBIOS или FQDN) для файлов или других ресурсов на сервере, использующем SMB, доступ будет успешным.

Когда приложение или пользователь использует псевдоним CNAME для файлов или других ресурсов на сервере, использующем SMB, и вы пытаетесь подключиться к акции на файловом сервере с его псевдонимом DNS CNAME. Например, вы пытаетесь подключиться к доле на файловом сервере с помощью псевдонима DNS CNAME:

В этом случае вы испытываете следующие действия:

Доступ от клиента Windows Server 2008 R2 Windows 7 является успешным.

Доступ к windows Server 2012 R2, Windows 8.1 или более поздней версии клиента Windows является неудачным. В этом случае вы получаете сообщение об ошибке, напоминаемом следующее:

\\uncpath недоступен. Возможно, у вас нет разрешения на использование этого сетевого ресурса. Обратитесь к администратору этого сервера, чтобы узнать, есть ли у вас разрешения на доступ.

Ошибка logon. Имя целевой учетной записи неверно.

Причина

Если вы используете сетевой монитор, проводную акулу или анализатор сообщений Майкрософт для проверки сетевого следа при успешной установке сеанса SMB, сеанс переходит к tree Connect.

Однако при проверке сетевого следа при неудачной установке сеанса SMB сеанса с ошибкой Kerberos KRB_AP_ERR_MODIFIED. Вот пример неудачного запроса на установку сеансов SMB в сетевом следе:

В неудачном запросе на установку сеанса SMB клиент передает неправильный SPN CNAME. SpN может быть неправильным, так как он зарегистрирован на старом сервере. Однако в случае успешного запроса на установку сеанса SMB, например в случае Windows Server 2008 R2 клиента, клиент переадвергает SPN для фактического имени сервера.

Если имя файлового сервера было разрешено с помощью DNS, клиент SMB привносим суффикс DNS в имя, предоставленное пользователем. То есть первым компонентом SPN всегда будет имя пользователя, как в следующем примере:

Эта попытка не удалась бы для более старых реализации SMB (Например, AIX Samba 3.5.8), которые не могут быть настроены для проверки подлинности Kerberos и не прослушивают порт прямого хоста SMB 445, а только в порту NetBIOS 139.

Если имя файлового сервера было разрешено с помощью другого механизма, например

• NetBIOS
• Разрешение многофаскальных имен link-local (LLMNR)
• Процессы протокола разрешения одноранговых имен (PNRP)

клиент SMB использует предоставленное пользователем имя, например следующее:

Решение

Чтобы устранить эту проблему на файловом сервере с протоколом SMB версии 1, добавьте значение в DisableStrictNameChecking реестр:

Расположение реестра: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
Имя DWORD: DisableStrictNameChecking
Значение DWORD: 1

Не используйте DNS CNAMEs в будущем для файловой серверы. Если вы хотите по-прежнему давать альтернативные имена серверам, вы можете сделать это со следующей командой:
NETDOM COMPUTERNAME/ADD

Эта команда автоматически регистрирует SPNs для альтернативных имен.

Мы не рекомендуем устранять эту проблему для файлового сервера, не основанного на Windows, введя следующие команды в окне командной подсказки на компьютере с Windows. Необходимо войти в систему с учетными данными администратора домена. Затем нажмите кнопку Ввод в командной подсказке для регистрации SPN для CNAME устройства хранения файлового сервера на основе Windows:

• Если используется кластеризация Windows 2012, установите hotfix для клиентов на уровне, в котором компьютеры Windows XP или Windows Server 2003 не могут подключиться: не удается получить доступ к ресурсу, который находится на базе кластера сбойной передачи Windows Server 2012.
• Если вы создаете CNAME для кластерного имени, к которое подключаются клиенты, необходимо настроить свойства для этого кластерного имени, чтобы оно отвечало CNAMEs: Настройка псевдонима для кластерной доли SMB с Windows Server 2012.

Трассировка сети

Чтобы собрать сетевой след, выполните следующие действия:

Откройте окно командной подсказки, введите следующую команду и нажмите кнопку Ввод:

Удалите все существующие сетевые подключения File Server, заверив следующую команду:

Инициализация кэша всех имен путем удаления существующего кэша:

Чтобы удалить кэш DNS, введите следующую команду и нажмите кнопку Ввод:

Чтобы удалить кэш NetBIOS, введите следующую команду и нажмите кнопку Ввод:

Чтобы удалить кэш Kerberos, введите следующую команду и нажмите кнопку Ввод:

Чтобы удалить кэш ARP, введите следующую команду и нажмите кнопку Ввод:

Попробуйте подключиться к сетевой сети, введя следующую команду и нажав кнопку Ввод:

Чтобы остановить сетевой след в неудачном сценарии, введите следующую команду и нажмите кнопку Ввод:

Сбор параметров реестра

Чтобы собрать параметры реестра на файловом сервере, выберите Начните, выберите Выполнить, введите команду в поле Открыть, а затем выберите ОК. Повторите этот шаг для следующих команд:

Файлы параметров реестра (. ВИЧ) сохраняются в папке TEMP на файловом сервере.

Проверка параметров реестра

Проверьте параметры следующих значений реестра на файловом сервере:

Применение hotfixes (сервер и клиент)

Для Windows 7 и Windows Server 2008 R2 в Windows 7 Корпоративная:

Кроме того, применим следующие горячие фиксы:

Ссылки

Заявление об отказе от ответственности за сведения о продуктах сторонних производителей

В этой статье упомянуты программные продукты независимых производителей. Корпорация Майкрософт не дает никаких гарантий, подразумеваемых и прочих, относительно производительности и надежности этих продуктов.

Системная ошибка 2148073478, расширенная ошибка или сообщение о недопустимой подписи для подключений SMB в Windows Server 2012 или Windows 8

В этой статье приводится решение проблем с сообщениями об ошибках, которые возникают в подключениях SMB.

Исходная версия продукта: Windows 10 — все выпуски, Windows Server 2012 R2
Исходный номер КБ: 2686098

Симптомы

После того как компьютеру на основе Windows Server 2012 или Windows 8 не удается подключиться к стороннему файловом серверу, который поддерживает протокол SMBv2, вы получите одно из следующих сообщений об ошибке или аналогичное сообщение об ошибке в зависимости от того, как вы получаете доступ к стороннему файловом серверу:

При использовании команды DIR с UNC-путем:

При запуске команды NET USE:

Возникла системная ошибка 2148073478

При попытке просмотреть UNC-путь:

Эти ошибки могут возникнуть в следующих распространенных сценариях:

• При прямой миграции серверов Hyper-V (работающих под управлением Hyper-V Server 2012 или Windows Server 2012 и Window 8) не удается. Это происходит потому, что хранилище необходимо для хранения в SMB-хранилище.
• В среде Windows 8-Windows Server 2012 нельзя соеоставить сетевые диски с SAN.

Причина

Эта проблема вызвана функцией, добавленной в Secure Negotiate SMB 3.0 для Windows Server 2012 и Windows 8. Эта функция зависит от правильной подписи ответов на ошибки всеми серверами SMBv2, включая серверы, которые поддерживают только протоколы версий 2.0 и 2.1. Некоторые сторонние файловые серверы не возвращают подписанный ответ об ошибке. Поэтому подключение не удается.

Решение

Чтобы устранить эту проблему, обратитесь к стороне поставщику файлового сервера, чтобы запросить обновление, которое позволит файловом серверу поддерживать Windows Server 2012 и Windows 8 клиенты.

Обходной путь

Не рекомендуется отключать требование безопасного согласования, так как это снижает безопасность компьютера. Отключать безопасное согласование только в качестве временной меры по устранению неполадок. Не оставьте безопасное согласование отключенным; вместо этого обратитесь к стороне поставщику файлового сервера и запросив обновление, которое позволит его файловом серверу правильно поддерживать Windows Server 2012 и Windows 8 клиенты.

Возможность отключения функции безопасного согласования может быть удалена в будущих операционных системах.

Чтобы обойти эту проблему, используйте один из следующих методов:

Требовать подпись на сторонном файловом сервере

Чтобы требовать подписываться на клиенте SMB или SMB-сервере, включите RequireSecuritySignature параметр. Инструкции по настройке параметра подписи на SMB-сервере поставщика см. в документации поставщика.

Вы можете включить подпись с помощью PowerShell в windows Server 2012 или Windows 8 клиента. Для этого запустите следующую команду:

Отключение безопасного согласования на клиенте

Параметр Secure Negotiate можно отключить с помощью PowerShell в клиенте Windows Server 2012 или Windows 8 клиента. Для этого запустите следующую команду:

Эта команда может обтекать несколько строк в веб-браузере.

Ссылки

Дополнительные сведения см. в новых функциях SMB 3.0 на файловом сервере Windows Server 2012

Эта общая папка работает по устаревшему протоколу SMB1

Когда вы пытаетесь перейти в локальной сети к какой-либо папке, вам выдается сообщение об ошибке «Вы не можете подключиться к общей папке, так как она небезопасна. Эта общая папка работает по устаревшему протоколу SMB1, который небезопасен и может подвергнуть вашу систему риску атаки. Вашей системе необходимо использовать SMB2 или более позднюю версию» или «Не удалось выполнить сопоставление сетевого диска из-за ошибки устаревшего протокола SMB1«. К примеру, если на одном из компьютеров отключен SMB1, то вы получите такую ошибку. Также, ошибка связана с тем, что пользователи с системой Windows 10 пытаются получить доступ по локальной к сети компьютера, где установлена Windows 7 или Windows XP. Дело в том, что в Windows 10 по умолчанию стоит более шифрованный протокол SMB2 и SMB3, а SMB1, который требуется для взаимосвязи по локальной сети с Windows 7 и XP, отключен, так как он является не безопасным.

Проверка и включение протокола SMB1 в Windows 10/7/8.1

Вы должны понимать, что протокол SMB1 должен быть включен на двух компьютерах, которые в локальной сети.

Шаг 1. Нажмите Win+R и введите optionalfeatures, чтобы быстро открыть компоненты Windows.

Шаг 2. В списке найдите графу «Поддержка общего доступа к файлам SMB 1.0/CIFS» и включите его, установив галочку напротив графы. Далее будет произведена установка компонента протокола, после чего, перезагрузите компьютер.

Исправление вы не можете подключиться к общей папке, потому что это не безопасно

Поскольку протокол SMBv1 теперь отключен по умолчанию в Windows 10, у программ и приложений, которые зависят от него, могут возникнуть проблемы. Если вы попытаетесь сопоставить сетевой ресурс с таким приложением, может произойти ошибка:

Вы не можете подключиться к общей папке, потому что это небезопасно. Для этого общего ресурса требуется устаревший протокол SMB1, который небезопасен и может подвергнуть вашу систему атаке.

Причина этой ошибки

Проблема вызвана изменениями в операционной системе Windows. В Windows 10 Fall Creators Update и Windows Server версии 1709 (RS3) и более поздних версиях сетевой протокол Server Message Block версии 1 (SMBv1) больше не устанавливается по умолчанию. Это было заменено SMBv2 и позже.

Если для общего сетевого ресурса требуется протокол SMBv1, соединение не устанавливается, поскольку операционные системы Windows больше не включают клиента или сервер SMBv1 по умолчанию.

Обновление за апрель 2021 года:

Теперь мы рекомендуем использовать этот инструмент для вашей ошибки. Кроме того, этот инструмент исправляет распространенные компьютерные ошибки, защищает вас от потери файлов, вредоносных программ, сбоев оборудования и оптимизирует ваш компьютер для максимальной производительности. Вы можете быстро исправить проблемы с вашим ПК и предотвратить появление других программ с этим программным обеспечением:

• Шаг 1: Скачать PC Repair & Optimizer Tool (Windows 10, 8, 7, XP, Vista — Microsoft Gold Certified).
• Шаг 2: Нажмите «Начать сканирование”, Чтобы найти проблемы реестра Windows, которые могут вызывать проблемы с ПК.
• Шаг 3: Нажмите «Починить все», Чтобы исправить все проблемы.

Включение протокола SMBv1

Протокол SMBv1 является очень устаревшим протоколом. Хорошо известно, что он допускает много требований о выкупе в системе. После атаки выкупа Ваннакри пользователям было предложено отключить протокол SMB1 в их системе. Когда несколько из этих атак были повторены, Microsoft в конечном итоге отключила протокол SMBv1 по умолчанию во всех системах.

Так что, если вы используете систему под управлением Windows 10 v1709 или новее, или если вы отключили SMBv1, вы получите эту ошибку. Очевидно, что решение этой проблемы состоит в том, чтобы включить протокол SMBv1, но вы должны понимать связанный с этим риск. Мудрым предложением было бы временно включить протокол и отключить его после завершения работы.

Можно включить протокол SMBv1, выполнив следующие шаги:

1. Откройте панель управления.
2. Нажмите вкладку Программы.
3. Нажмите Включить или отключить функции Windows.
4. Разверните опцию поддержки совместного использования файлов SMB 1.0 / CIFS.
5. Включите опцию SMB 1.0 / CIFS Client.
6. Нажмите кнопку ОК.
7. Нажмите кнопку «Перезагрузить сейчас».

Если вы подключаете Windows 10 к серверу Windows, и эта проблема возникает, вы должны сначала отключить SMBv1 на сервере Windows. Затем убедитесь, что все клиенты, подключенные к Windows Server, поддерживают SMBv2. Как только клиенты поддерживают SMBv2, вы можете обновить Windows Server для решения этой проблемы.

Мы считаем, что что-то сверху должно помочь вам.

CCNA, веб-разработчик, ПК для устранения неполадок

Я компьютерный энтузиаст и практикующий ИТ-специалист. У меня за плечами многолетний опыт работы в области компьютерного программирования, устранения неисправностей и ремонта оборудования. Я специализируюсь на веб-разработке и дизайне баз данных. У меня также есть сертификат CCNA для проектирования сетей и устранения неполадок.