Kể từ phiên bản Windows 11 24H2, Microsoft đã thực hiện những thay đổi đáng kể trong cách thức hoạt động của các chia sẻ SMB trên máy tính Windows. Nhằm tăng cường bảo mật, các chia sẻ này giờ đây yêu cầu tính năng ký SMB (SMB Signing), và đối với hầu hết các phiên bản Windows 11 (trừ bản Home), tính năng dự phòng cho khách (Guest Fallback) đã bị vô hiệu hóa. Điều này đồng nghĩa với việc bạn cần phải có tên người dùng và mật khẩu để kết nối với các chia sẻ SMB.
Việc tăng cường bảo mật này chắc chắn là một điều tích cực, nhưng đối với những người dùng có hệ thống lưu trữ mạng (NAS) tại nhà, nó có thể khiến các chia sẻ SMB trở nên không thể truy cập được, mặc dù không có rủi ro bảo mật rõ ràng nào. Tuy nhiên, nếu bạn đang gặp phải tình trạng này, bạn vẫn có cách để khôi phục quyền truy cập. Có một vài phương pháp để khắc phục sự cố, và chúng ta sẽ cùng tìm hiểu chi tiết.
Tại Sao Có Những Thay Đổi Này?
Trước hết, điều quan trọng là phải hiểu lý do đằng sau những thay đổi này, và đó chính là vấn đề bảo mật. Chắc chắn, việc truy cập NAS tại nhà có vẻ không phải là một rủi ro bảo mật lớn, nhưng những kẻ tấn công có thể rất tinh vi và sáng tạo.
Giải Quyết Các Rủi Ro Bảo Mật
SMB Signing đảm bảo rằng giao tiếp giữa các thiết bị sử dụng giao thức SMB luôn được thực hiện giữa hai thiết bị đích thực, giúp ngăn chặn các cuộc tấn công mà kẻ xấu có thể chặn kết nối và chuyển hướng dữ liệu của bạn đến nơi khác. Tính năng này đã được Windows hỗ trợ từ lâu, nhưng chỉ bắt đầu được thực thi bắt buộc từ Windows 11 phiên bản 24H2. Đây có thể là nguyên nhân gây ra sự cố nếu trước đây bạn chưa bật SMB Signing.
Trong khi đó, quyền truy cập khách (Guest Access) vào các chia sẻ SMB đặt ra một rủi ro khác. Nó cho phép bạn kết nối mà không cần nhập tên người dùng hoặc mật khẩu, nhưng điều đó cũng có nghĩa là bạn có thể vô tình kết nối với một chia sẻ SMB mà không có bất kỳ lời nhắc nào, từ đó bị lôi kéo gửi dữ liệu của mình đến một máy chủ độc hại. Quyền truy cập khách đã bị vô hiệu hóa trong Windows từ lâu, nhưng vẫn tồn tại tính năng Guest Fallback cho phép bạn kết nối không cần thông tin xác thực khi không có tên người dùng và mật khẩu nào được cung cấp. Tính năng này đã bị vô hiệu hóa trên Windows 10 Enterprise, Education và Pro for Workstations. Với Windows 11 phiên bản 24H2, nó cũng được mở rộng sang Windows 11 Pro, chỉ còn lại SKU Home là tùy chọn chính vẫn hỗ trợ Guest Fallback.
Việc thực hiện những thay đổi này giúp đảm bảo rằng giao tiếp giữa thiết bị của bạn và máy chủ NAS luôn được bảo mật, và khả năng kẻ tấn công tiềm năng truy cập vào dữ liệu của bạn sẽ thấp hơn đáng kể. Tuy nhiên, rất có thể bạn đã thiết lập một chia sẻ SMB mà không bật các tính năng bảo mật này chỉ vì sự tiện lợi, và giờ đây chúng sẽ không hoạt động nữa.
Giải Pháp Khuyến Nghị: Tăng Cường Bảo Mật Cho NAS Của Bạn
Nếu bạn mất quyền truy cập vào NAS sau khi cài đặt Windows 11 phiên bản 24H2, giải pháp tốt nhất để khắc phục là tăng cường bảo mật cho chia sẻ SMB của bạn. Điều này có nghĩa là bật SMB Signing trên NAS và vô hiệu hóa quyền truy cập khách.
Tăng Cường Bảo Mật Chia Sẻ SMB trên NAS
Cách thực hiện sẽ tùy thuộc vào hệ điều hành bạn đang sử dụng cho NAS của mình. Ví dụ, các phiên bản TrueNAS mới nhất đã bật SMB Signing theo mặc định. Nếu bạn đang sử dụng phiên bản cũ hơn và không thể cập nhật NAS, bạn có thể thêm dòng sau vào phần Additional parameters trong cài đặt chia sẻ SMB của mình:
server signing = requiredQuyền truy cập khách cũng bị vô hiệu hóa theo mặc định khi tạo chia sẻ SMB trong TrueNAS, vì vậy hầu hết các thiết lập đã sẵn sàng. Theo mặc định, các chia sẻ SMB của bạn được chia sẻ với nhóm builtin_users trong TrueNAS, bao gồm tài khoản quản trị viên mặc định của bạn. Do đó, bạn có thể chỉ cần sử dụng các thông tin xác thực đó để truy cập chia sẻ SMB từ máy tính Windows.
Cài đặt SMB trên TrueNAS Core với tùy chọn vô hiệu hóa truy cập khách
Nếu bạn có nhiều người truy cập chia sẻ SMB nhưng không muốn cung cấp thông tin đăng nhập quản trị viên NAS của mình, bạn sẽ cần tạo người dùng mới trong TrueNAS với quyền truy cập vào chia sẻ SMB. Nếu bạn tạo tài khoản người dùng mới trong nhóm builtin_users, họ sẽ tự động có quyền truy cập vào chia sẻ, và mỗi người dùng có thể sử dụng thông tin xác thực tương ứng của họ để kết nối với chia sẻ trên máy khách Windows.
Một lần nữa, các bước cần thiết sẽ có sự khác biệt tùy thuộc vào hệ điều hành bạn đang sử dụng cho NAS, nhưng các nguyên tắc chung vẫn được áp dụng. Những bước này sẽ khôi phục quyền truy cập vào các chia sẻ SMB của bạn đồng thời giữ cho chúng an toàn hơn.
Các Tùy Chọn Thay Thế: Chấp Nhận Rủi Ro
Nếu vì lý do nào đó, việc thực thi các quy tắc bảo mật này không khả thi đối với bạn, thì bạn vẫn có lựa chọn vô hiệu hóa các biện pháp bảo vệ này để tiếp tục sử dụng chia sẻ SMB như trước đây. Đây không phải là một giải pháp được khuyến nghị, và chúng tôi thực sự khuyên bạn nên sử dụng các bước ở trên thay thế. Tuy nhiên, nếu bạn đã hiểu rõ rủi ro mình đang chấp nhận và đồng ý với điều đó, bạn có thể sử dụng Windows PowerShell để vô hiệu hóa yêu cầu SMB Signing và bật lại Guest Fallback.
Vô Hiệu Hóa Bảo Mật SMB trên Windows (Tự Chịu Rủi Ro)
Bạn sẽ cần chạy Windows PowerShell (hoặc Terminal) với quyền quản trị viên, sau đó nhập lệnh sau và nhấn Enter:
Set-SmbClientConfiguration -RequireSecuritySignature $falseKhi được nhắc, nhấn Y để xác nhận thay đổi.
Nếu bạn cũng cần bật lại Guest Fallback để đăng nhập, bạn có thể nhập thêm lệnh này:
Set-SmbClientConfiguration -EnableInsecureGuestLogons $trueTương tự, bạn sẽ cần nhấn Y để xác nhận thay đổi. Bước này thường không cần thiết trên Windows 11 Home, nơi Guest Fallback vẫn được hỗ trợ cho các chia sẻ SMB.
Cửa sổ PowerShell trên Windows 11 hiển thị lệnh thay đổi cài đặt bảo mật SMB
Ngoài ra, trên Windows 11 Pro, bạn cũng có thể sử dụng Group Policy Editor để thực hiện những thay đổi này, nhưng phương pháp PowerShell hoạt động trên mọi phiên bản Windows.
Bảo Mật Luôn Là Ưu Tiên Hàng Đầu
Thật khó chịu khi mọi thứ không còn hoạt động như trước đây, nhưng phải nói rằng lý do khiến các chia sẻ SMB không hoạt động như cũ là hoàn toàn hợp lý. Việc một hệ điều hành NAS như TrueNAS cũng đang sử dụng SMB Signing và vô hiệu hóa quyền truy cập khách cho thấy Microsoft không chỉ đang gây phiền phức. Đây là một nỗ lực chung của ngành công nghiệp để tăng cường bảo mật, vì vậy chúng tôi khuyên bạn nên bật các tùy chọn bảo mật cần thiết để đảm bảo mọi thứ hoạt động bình thường.
Vô hiệu hóa các biện pháp bảo mật vẫn là một lựa chọn nếu bạn không thể thực hiện cách khác, vì vậy bạn không hoàn toàn hết lựa chọn, nhưng đây chỉ nên là một giải pháp cuối cùng.
blogthuthuat.net – Nơi kiến thức công nghệ được chia sẻ và nâng tầm trải nghiệm của bạn. Hãy truy cập ngay để khám phá thêm nhiều bài viết hữu ích và trở thành chuyên gia công nghệ!
