V této souvislosti se objevuje SMB přes QUIC , druh moderní „SMB VPN“, který zapouzdřuje klasický protokol sdílení souborů systému Windows v rámci QUIC se šifrováním TLS 1.3 a vylepšenou tolerancí vůči nespolehlivým sítím, čímž zcela mění způsob, jakým přistupujeme ke sdíleným zdrojům z internetu. V tomto článku se podrobně dozvíte, jak to funguje, co je potřeba k nastavení, jak to spravovat a jak dále posílit zabezpečení vašeho prostředí.
Co je SMB přes QUIC a proč to mění pravidla hry?
SMB přes QUIC je vývojový stupeň transportu SMB, který nahrazuje klasický TCP 445 protokolem QUIC přes UDP 443. Místo vystavení tradičního portu SMB internetu je nad QUIC vytvořen zabezpečený tunel pomocí TLS 1.3, takže všechny pakety jsou od začátku vždy šifrované a ověřené.
Protokol QUIC, standardizovaný organizací IETF, nabízí oproti TCP velmi jasné výhody : šifrování je povinné ve všech paketech, handshake používá ověřený protokol TLS 1.3, umožňuje spolehlivé i nespolehlivé paralelní toky na stejném připojení, odesílá aplikační data v režimu 0-RTT pro snížení počáteční latence, zlepšuje kontrolu přetížení a zotavení ze ztrát a podporuje změny IP adresy nebo portu bez přerušení relace.
Když v tomto tunelu QUIC používáme SMB , provoz SMB – včetně ověřování, autorizace a dat – není nikdy vystaven v prostém textu podkladové síti. Klient vidí standardní sdílenou složku SMB s vícekanálovým přístupem, podepisováním, kompresí, vysokou dostupností, pronájmem adresářů a všemi dalšími běžnými funkcemi, ale vše putuje zapouzdřené a šifrované přes port UDP 443, který je mnohem přátelštější k firewallům a kompatibilní s veřejnými sítěmi.
V praxi SMB přes QUIC poskytuje vyhrazenou souborovou VPN určenou pro vzdálené pracovníky, mobilní zařízení, pobočky a organizace s vysokými bezpečnostními požadavky. Uživatelé mohou pracovat přesně tak, jako by byli v interní síti, ale bez nutnosti nastavovat univerzální VPN a otevírat port 445 směrem ven.
Důležitý bod: SMB přes QUIC není automaticky povolen . Musí být povolen správcem na souborovém serveru. Klienti SMB ve Windows standardně nadále používají TCP a pokusí se o QUIC pouze v případě, že selže přístup přes TCP, nebo pokud je transport explicitně vynucen pomocí příkazů jako `NET USE /TRANSPORT:QUIC` nebo `New-SmbMapping -TransportType QUIC`.
Předpoklady pro nasazení SMB na QUIC
Než cokoli aktivujete, je třeba si projít základní požadavky na infrastrukturu . Není to nijak zvlášť složité, ale je dobré si v nich udělat jasno, abyste se vyhnuli hloupým chybám v produkčním prostředí.
V případě serveru SMB je nutné, aby na něm běžela edice podporující QUIC, například Windows Server 2022 Datacenter: Azure Edition nebo novější, a aby byl nakonfigurovaný jako edge souborový server nebo podobný. Lze jej také použít v on-premise scénářích Azure a v budoucích verzích, jako je Windows Server 2025.
Na straně klienta je vyžadován systém Windows 11 Enterprise Edition, protože funkce SMB přes QUIC jsou navrženy pro firemní prostředí. Zařízení musí být schopno rozpoznat veřejný název serveru prostřednictvím DNS, nebo pokud to není možné, musí jej mít definován v souboru HOSTS.
Pokud jde o identitu, doporučeným scénářem je, aby byl server SMB i klient připojen k doméně Active Directory . Server musí být schopen kontaktovat alespoň jeden řadič domény pro ověření, ačkoli tyto řadiče nevyžadují přístup k internetu. Podporovány jsou také konfigurace pracovních skupin s lokálními a NTLM účty, stejně jako servery připojené k Microsoft Azure IaaS, ale s určitými omezeními pro vzdálené bezpečnostní operace.
Pokud jde o konektivitu, server musí být přístupný z internetu prostřednictvím svého veřejného rozhraní s pravidlem firewallu povolujícím příchozí provoz UDP/443. Je zásadní nevystavovat TCP port 445 internetu; pokud potřebujete alternativní porty, Microsoft vám umožňuje změnit konfiguraci SMB portu, ale obecný princip je: UDP 443 je povolen, TCP 445 nikoli.
Z bezpečnostních důvodů je pro vydávání platných certifikátů pro server QUIC vyžadována infrastruktura veřejných klíčů (PKI) . Může se jednat o službu Active Directory Certificate Services nebo důvěryhodnou externí certifikační autoritu (DigiCert, GlobalSign, Let's Encrypt s příslušným profilem atd.). A samozřejmě musí mít administrátor, který konfiguruje SMB na serveru QUIC, na serveru oprávnění správce.
Instalace a příprava certifikátu serveru
Jádrem zabezpečení v SMB přes QUIC je TLS certifikát serveru . Bez řádně vydaného a nainstalovaného certifikátu nebude tunel QUIC správně navázán a klient nebude připojení důvěřovat.
Tento certifikát musí splňovat několik specifických technických požadavků : použití klíče digitálního podpisu, účel ověřování serveru (EKU 1.3.6.1.5.5.7.3.1), podpisový algoritmus alespoň SHA256RSA, hash SHA256 nebo vyšší a veřejný klíč nejlépe ECDSA_P256 (ačkoli RSA s minimem 2048 bitů je přijatelný). Dále musí v alternativním názvu subjektu (SAN) obsahovat všechny kompletní položky DNS, které budou použity pro přístup k serveru SMB.
Certifikát musí obsahovat přidružený soukromý klíč a musí být vydán subjektem, který zákazníci považují za důvěryhodný. Pole CN vydavatele může být flexibilní, ale řetězec důvěryhodnosti musí být platný a úplný. V prostředích s podnikovou certifikační autoritou Microsoft je běžnou praxí vytvořit specifickou šablonu pro SMB přes QUIC a umožnit správcům zadat názvy DNS při vyžádání certifikátu.
V případech použití certifikační autority Microsoft Enterprise CA typický proces zahrnuje otevření konzole MMC na serveru, přidání modulu snap-in certifikátu pro účet počítače a v osobním úložišti spuštění nové žádosti o certifikát . Vybere se zásada zápisu do služby Active Directory, vybere se příslušná šablona a pole Předmět a SAN se vyplní názvy DNS, které budou klienti používat.
Jakmile je registrace dokončena, certifikát se zobrazí v úložišti certifikátů lokálního počítače. Od tohoto okamžiku jej lze použít pro SMB přes QUIC a pro doplňkové funkce, jako je proxy KDC, pokud se je rozhodnete implementovat později.
Konfigurace SMB přes QUIC na serveru
Jakmile máte certifikát připravený, je čas aktivovat a nakonfigurovat SMB přes QUIC . Společnost Microsoft vám to umožňuje provést buď z Centra pro správu systému Windows (WAC), nebo z PowerShellu, v závislosti na vašich preferencích a verzi systému.
Povolením této funkce server přiřadí vybraný certifikát TLS ke koncovému bodu QUIC , který bude naslouchat na portu UDP 443. Od tohoto okamžiku budou klienti schopni používat SMB přes QUIC moci vytvořit šifrovaný tunel k serveru, pokud rozpoznají název DNS certifikátu a budou mít přístup k portu 443/UDP.
Centrum pro správu systému Windows obvykle obsahuje tlačítko „Konfigurovat“ nebo podobné tlačítko pro SMB přes QUIC. Existují však hlášené případy, kdy toto tlačítko nereaguje, obvykle kvůli zastaralým verzím WAC, nefunkčním rozšířením nebo nesplněným požadavkům (například počítač není Azure Edition, chybějící role nebo neplatný certifikát). V těchto případech se doporučuje zkontrolovat verze, ověřit, zda server splňuje požadavky, a v případě potřeby pokračovat v konfiguraci pomocí PowerShellu.
Kromě základní konfigurace můžete použít zásady přístupu k omezení klientů, kteří mohou používat QUIC, kombinovat jej s Azure Automanage pro správu certifikátů a sledování stavu konfigurace a propojit jej s dalšími pokročilými funkcemi, jako je řízení přístupu klientů a proxy KDC.
Připojení klientů ke sdíleným SMB zdrojům přes QUIC
Pro koncového uživatele je cílem zajistit co nejplynulejší a nejznámější přístup , jako by se nacházel v podnikové síti. Existuje však několik konfiguračních bodů, které stojí za zvážení.
Prvním krokem je připojení zařízení s Windows 11 k doméně (pokud je to relevantní) a zajištění toho, aby názvy DNS serverů definované v síti SAN certifikátu odpovídaly platným položkám v DNS nebo souboru HOSTS. Z vnější strany interní sítě klient již neuvidí soukromé IP adresy, takže je nutné použít publikovaný externí název, nebo alternativně lze pro sdílení souborů v situacích, kdy publikování SMB není proveditelné, použít OneDrive .
Při testování je vhodné přesunout zařízení do externí sítě, kde není přímý přístup k doméně ani k interním IP adresám . Tím se ověří, že přístup je skutečně přes QUIC a nikoli tradiční LAN trasou.
V Průzkumníku souborů systému Windows můžete zadat cestu UNC ke sdílenému prostředku, například \\fsedge1.contoso.com\ventas, a ověřit si, že k němu máte bez problémů přístup. Pokud chcete explicitně vynutit použití QUIC, můžete použít příkazy jako NET USE /TRANSPORT:QUIC nebo New-SmbMapping -TransportType QUIC a zadat požadovanou cestu UNC.
Například příkaz mapování se může nejprve pokusit o připojení k TCP a pokud se to nezdaří, přepnout na QUIC, nebo se může omezit výhradně na QUIC. New-SmbMapping také usnadňuje přiřazování písmen jednotek vzdáleným zdrojům, což je velmi výhodné pro uživatele zvyklé pracovat s tradičními síťovými jednotkami.
Audit a správa malých a středních podniků prostřednictvím QUIC
Jakmile je SMB přes QUIC funkční, je nezbytné mít přehled o tom, kdo se připojuje, jak a odkud . Aby toho bylo dosaženo, společnost Microsoft začlenila auditovací funkce na straně klienta i serveru.
V systému Windows 11 (počínaje verzí 24H2) obsahuje klient SMB specifické události pro transport QUIC. Prohlížeč událostí umožňuje zobrazit tyto protokoly v cestě Application and Services Logs\Microsoft\Windows\SMBClient\Connectivity , kde se generují události, jako například ID 30832 související s připojením SMB přes QUIC.
Na SMB serveru můžete povolit podrobnější auditování spuštěním příkazu `Set-SmbServerConfiguration -AuditClientCertificateAccess $true` . Od tohoto okamžiku budou protokoly Applications and Services Logs\Microsoft\Windows\SMBServer\Audit` obsahovat události hlásící, zda byl přístup povolen nebo odepřen, včetně podrobností o klientském certifikátu (předmět, vydavatel, sériové číslo, hash SHA1 a SHA256) a použitých pravidel řízení přístupu.
Tyto události obsahují identifikátor připojení , který usnadňuje porovnání toho, co je vidět na straně klienta, s tím, co je zaznamenáno na serveru, což výrazně zjednodušuje úkoly řešení problémů, když se něco pokazí nebo chcete zkontrolovat podezřelé chování.
Volitelné použití proxy KDC pro správu Kerberos
Záměrně, když se klient připojuje z internetu k SMB serveru přes QUIC , obvykle nemá přímý přístup k řadičům domény služby Active Directory. V takovém případě se ověřování obvykle vrací k protokolu NTLMv2, přičemž souborový server se ověřuje jménem klienta, vždy v tunelu QUIC šifrovaném pomocí TLS 1.3.
Přestože je NTLMv2 chráněn v tunelu a neopouští síť v prostém textu, osvědčené bezpečnostní postupy doporučují nadále používat Kerberos, kdykoli je to možné, a vyhýbat se vytváření nových závislostí na NTLMv2. Zde přichází na řadu KDC Proxy, který přeposílá požadavky na lístky Kerberos jménem uživatele přes internetově kompatibilní kanál HTTPS.
Chcete-li jej nakonfigurovat, nejprve na souborovém serveru vytvořte rezervace adres URL HTTP pro proxy službu pomocí příkazu NETSH, upravte hodnoty registru služby KPSSVC tak, aby povolovaly požadovaný typ ověřování, a pomocí příkazu Add-NetIPHttpsCertBinding navažte otisk certifikátu SMB přes QUIC na koncový bod HTTPS 0.0.0.0:443.
Také je třeba přidat alternativní názvy SMB serverů přes QUIC jako SPN v Active Directory, například pomocí NETDOM, aby server mohl správně reprezentovat identitu služby v Kerberos. Nakonec je proxy služba KDC nastavena na automatické spuštění a spuštěna.
Na straně klienta je v sekci Konfigurace počítače\Šablony pro správu\Systém\Kerberos\Zadat proxy servery KDC pro klienty Kerberos nakonfigurována skupinová politika, kde je interní doména (např. corp.contoso.com) namapována na externí URL HTTPS serveru QUIC (např. https fsedge1.contoso.com:443:kdcproxy/). To klientovi říká, že pokud se uživatel z dané domény připojí k externě publikovanému souborovému serveru, měl by k získání tiketů použít proxy server KDC.
Správa životního cyklu certifikátů v SMB na QUIC
Certifikáty netrvají věčně a v případě SMB přes QUIC s sebou každé obnovení přináší nový digitální otisk prstu. I při použití mechanismů automatického obnovení se službou Active Directory Certificate Services znamená změna otisku prstu, že je nutné aktualizovat přiřazení certifikátu v konfiguraci QUIC.
Pokud se blíží konec platnosti certifikátu nebo je certifikát obnoven, musíte jej znovu vybrat v Centru pro správu systému Windows pro stávající konfiguraci nebo spustit rutinu PowerShellu Set-SMBServerCertificateMapping s odkazem na nový otisk prstu. Pokud na tento krok zapomenete, může dojít k neočekávanému přerušení připojení SMB přes QUIC.
Aby se předešlo překvapením, společnost Microsoft doporučuje podpořit tuto správu nástroji, jako je Azure Automanage pro Windows Server , který monitoruje stav certifikátů a upozorňuje (nebo dokonce opravuje) problémy předtím, než dojde k výpadku služby. V prostředích s vysokou dostupností a kritickým vzdáleným přístupem je to zásadní rozdíl.
Řízení přístupu zákazníků pomocí certifikátů
Kromě jednoduchého ověřování může SMB přes QUIC také vynutit řízení přístupu na základě certifikátů klientů . Jedná se o další vrstvu zabezpečení, která omezuje, která zařízení mohou navázat tunel QUIC se serverem, i když znají přihlašovací údaje.
Proces funguje následovně: server vyžaduje, aby klient předložil platný a důvěryhodný řetězec certifikátů . Tento řetězec je poté porovnán se seznamem řízení přístupu, který může obsahovat položky pro povolení nebo blokování, a to jak pro konkrétní certifikáty (identifikované jejich hashem SHA256), tak pro celé vydavatele (zprostředkující nebo kořenové certifikační autority).
Aby to fungovalo, nejprve povolte ověřování klientů pomocí příkazu `Set-SmbServerCertificateMapping -RequireClientAuthentication $true` . Poté začněte registrovat povolené nebo blokované klientské certifikáty pomocí cmdletů, jako například `Grant-SmbClientAccessToServer`, `Revoke-SmbClientAccessToServer`, `Block-SmbClientAccessToServer` a `Unblock-SmbClientAccessToServer`.
Tento model umožňuje například autorizovat celou firemní certifikační autoritu a zároveň odepřít přístup ke konkrétnímu certifikátu, který je považován za kompromitovaný. Naopak umožňuje blokovat celou certifikační autoritu, ale autorizovat jen velmi specifický individuální certifikát. Pravidla pro odmítnutí mají přednost před pravidly pro povolení, což pomáhá zmírňovat rizika.
Z pohledu klienta stačí mít certifikát vydaný pro ověřování klienta ( EKU 1.3.6.1.5.5.7.3.2 ) certifikační autoritou, které server důvěřuje, a nainstalovaný v jeho lokálním úložišti certifikátů. Správce může načíst otisk prstu nebo předmět certifikátu z PowerShellu (Get-ChildItem Cert:\LocalMachine\My, filtry podle předmětu atd.) a poté jej použít ke konfiguraci přístupového seznamu na serveru.
Testování konektivity a řešení problémů
Dobrým postupem při implementaci SMB na QUIC je provést sérii kontrolovaných testů před jeho nasazením v celé organizaci. To umožňuje včasnou detekci problémů s certifikáty, DNS nebo firewallem a v případě potřeby poskytuje přístup k průvodcům řešením problémů s přístupem k souborům.
Z klienta můžete začít s explicitním mapováním pomocí `NET USE \\server\resource /TRANSPORT:QUIC` nebo `New-SmbMapping -RemotePath \\server\resource -TransportType QUIC`. Pokud se místo připojení zobrazí zpráva, že server odepřel přístup, mapování certifikátů a příjem tunelu QUIC pravděpodobně fungují , ale je třeba nakonfigurovat řízení přístupu klientů nebo zkontrolovat oprávnění.
Souběžně je důležité zkontrolovat protokoly událostí připojení klientů a protokoly auditu serveru, o kterých jsme hovořili dříve. Uvidíte tam úspěšné i neúspěšné pokusy s podrobnými informacemi o řetězci certifikátů a pravidlech, která byla v každém případě použita.
Je také vhodné zkontrolovat na serveru, zda pravidla firewallu povolují příchozí protokoly UDP 443 a TCP 443 pro scénáře, kde se používá proxy server KDC nebo jiné související služby HTTPS, a zda protokol TCP 445 nebyl omylem vystaven internetu.
Nejlepší postupy pro segmentaci a izolaci provozu pro malé a střední podniky
Přestože SMB přes QUIC poskytuje robustní ochranu pro souborový provoz přes internet, je stále vhodné používat techniky segmentace a izolace , aby se snížila plocha útoku mezi zařízeními v síti.
Základním pravidlem je blokovat příchozí TCP port 445 z internetu na perimetrických firewallech. Pokud potřebujete zpřístupnit souborové prostředky na perimetru, bezpečnější možností je publikovat je pomocí SMB přes QUIC na UDP portu 443, spíše než přímo otevírat standardní SMB připojení.
Naopak blokování odchozího TCP portu 445 do internetu brání interním počítačům v odesílání dat SMB na nekontrolované externí servery. Pouze ve velmi specifických scénářích, jako jsou Azure Files nebo Office 365, může být nutné tento provoz povolit, a i tehdy se doporučuje směrovat jej přes VPN nebo velmi přísná pravidla založená na rozsahu IP adres.
V sítích s mnoha zařízeními se vyplatí provést inventuru skutečného využití SMB , analyzovat, které servery skutečně potřebují příchozí SMB, kteří klienti vyžadují sdílení souborů a ze kterých podsítí se k jednotlivým zařízením přistupuje. K tomuto účelu lze použít nástroje jako Get-FileShareInfo a také povolit audity sdílení souborů na omezenou dobu, aby se sledovalo, které zdroje jsou používány.
Na základě této analýzy lze navrhnout mnohem přísnější pravidla firewallu pro příchozí i odchozí poštu, která blokují zbytečný provoz SMB a omezují laterální pohyb potenciálního útočníka v síti.
Posílení pomocí brány firewall systému Windows Defender a protokolu IPsec
Brána firewall v programu Windows Defender s pokročilým zabezpečením funguje jako druhá linie obrany proti provozu SMB. Můžete vytvořit pravidla pro blokování příchozích a odchozích připojení ve výchozím nastavení a povolit pouze nezbytné výjimky pro řadiče domény, souborové servery a kritické služby.
Běžnou strategií je definovat odchozí pravidla, která zabraňují použití SMB do jakéhokoli cíle s výjimkou seznamu povolených adres založených na IP adresách nebo názvech, a to pomocí akce „Povolit připojení, pokud je zabezpečené“. Tuto možnost lze přizpůsobit tak, aby v IPsec používala ověřování Kerberos a zapouzdření null, což nutí pouze autorizované uživatele a počítače domény využívat těchto výjimek.
Aby tento přístup fungoval, je nezbytné vytvořit pravidla zabezpečení připojení na všech zúčastněných zařízeních, aby výjimky firewallu byly založeny na IPsec. Jinak by blokování mohlo být libovolné nebo nekonzistentní.
V novějších verzích, jako jsou Windows 11 24H2 a Windows Server 2025, společnost Microsoft upravila vestavěná pravidla brány firewall tak, aby se zastavilo automatické otevírání portů NetBIOS (137-139) při vytváření sdílených složek SMB2 nebo vyšších, což odráží přísnější zásady v souladu s moderními nasazeními.
V prostředích, kde se již nespoléhá na protokol SMB1, se důrazně doporučuje tyto starší porty uzavřít . Pouze ve výjimečných případech kompatibility by měly být znovu ručně otevřeny, nejlépe s velmi specifickými pravidly omezujícími jejich rozsah.
Zakažte SMB server tam, kde není potřeba
Mnoho klientů Windows a některé servery v síti ve skutečnosti nepotřebují spuštěnou službu SMB serveru , protože nikdy nesdílejí soubory s jinými počítači. Zbytečné ponechání služby zapnuté pouze rozšiřuje plochu pro útok.
Před jeho vypnutím je vhodné zkontrolovat, zda na něm nezávisí nějaké aplikace nebo procesy. Po ověření lze službu SMB serveru na vybraných počítačích zakázat, například pomocí předvoleb Zásad skupiny , které toto nastavení aplikují kontrolovaným a hromadným způsobem.
Toto opatření v kombinaci s protokolem SMB přes QUIC pro vzdálený přístup a dobře vyladěnými pravidly firewallu pomáhá vybudovat mnohem robustnější architekturu sdílení souborů , kde tak činí pouze uzly, které potřebují zpřístupnit protokol SMB, a to co nejbezpečnějším způsobem.
SMB přes QUIC umožňuje vzdáleným uživatelům, pobočkám a mobilním zařízením přístup k šifrovaným souborům , je odolný vůči nestabilním sítím a bez nutnosti tradičních VPN, zatímco certifikační nástroje, řízení přístupu klientů, proxy KDC, firewall a segmentace sítě poskytují nezbytný rámec pro spolehlivé a bezpečné fungování této „SMB VPN“ v reálných prostředích.
