Bezpečné sdílení zdrojů ve Windows 11 může být skutečnou komplikací, zejména od doby, kdy Microsoft odstranil domácí skupinu a s každou verzí zpřísňuje bezpečnostní opatření. Mnoho uživatelů se setkává s podivnými situacemi, například když mohou přistupovat ke zdroji z jiné sítě nebo segmentu, ale poté jsou opakovaně vyzýváni k zadání uživatelského jména a hesla v rámci stejné lokální sítě, aniž by byli přijati.
Pokud se s něčím podobným setkáváte, nejste sami: Windows 10 a Windows 11 (včetně verze 24H2) změnily způsob sdílení složek, tiskáren a disků a také posílily protokol SMB , deaktivovaly starší verze a blokovaly nezabezpečená přihlášení hostů. V tomto článku se krok za krokem a podrobně dozvíte, jak připravit síť, jak bezpečně sdílet složky pomocí SMB3, jak k nim přistupovat z jiných počítačů se systémem Windows a také z Linuxu (Ubuntu), jakým konfiguracím se vyhnout kvůli bezpečnostním rizikům a jak vyřešit běžné chyby, které se objevují při pokusu o přístup ke sdíleným prostředkům.
Základní pojmy: od domácí skupiny ke sdílení pomocí SMB ve Windows 11
Společnost Microsoft se po léta spoléhala na pracovní skupiny a domácí skupinu jako na jednoduchý způsob sdílení zdrojů v domácích sítích nebo malých kancelářích. Domácí skupina se objevila ve Windows 7 jako zjednodušené řešení, ale počínaje Windows 10 verze 1803 ze systému zmizela a ve Windows 11 je nyní minulostí.
V současné době systémy Windows 10 a Windows 11 stále umožňují sdílení souborů, složek a tiskáren, ale spoléhají se na klasické mechanismy protokolu SMB, oprávnění NTFS a pokročilé nastavení sdílení. Díky tomu je sdílení flexibilnější a bezpečnější, ale také to znamená, že existuje více nastavení, která je možné kontrolovat, když něco nefunguje podle očekávání.
Příprava sítě: vhodný profil, detekce a firewall
Prvním požadavkem pro fungování sdílení je správná konfigurace sítě. Pokud je vaše připojení označeno jako veřejné, systém Windows z bezpečnostních důvodů blokuje většinu funkcí sdílení , takže se počítače nemohou navzájem vidět ani přistupovat ke sdíleným složkám.
V domácím nebo malém kancelářském prostředí se doporučuje používat profil privátní sítě . Ve Windows 11 to můžete změnit tak, že přejdete do Nastavení > Síť a internet > vyberete aktivní síť > Vlastnosti a poté zvolíte Soukromá. Pokud grafické rozhraní selže, můžete vždy použít PowerShell s příkazy Get-NetConnectionProfile a Set-NetConnectionProfile ke změně kategorie sítě ( pokročilé síťové příkazy ).
Jakmile máte profil nastavený na Soukromý, je třeba zkontrolovat pokročilé nastavení sdílení . V Ovládacích panelech > Centrum sítí a sdílení > Změnit pokročilé nastavení sdílení se ujistěte, že jsou ve vašem profilu soukromé sítě povoleny následující možnosti:
- Zjišťování sítě (včetně automatické konfigurace připojených zařízení).
- Sdílení souborů a tiskáren, což je nezbytné pro to, aby ostatní týmy viděly vaše zdroje.
V sekci Všechny sítě najdete možnosti, jako je sdílení veřejných složek , typ šifrování pro připojení SMB (nejlepší je ponechat ho na 128 bitech, kdykoli je to možné) a sdílení chráněné heslem. V závislosti na požadované úrovni zabezpečení můžete ochranu heslem povolit nebo zakázat, ale mějte na paměti, že její vypnutí snižuje zabezpečení, zejména pokud vaše Wi-Fi není dobře chráněna.
Požadavky a porty potřebné pro sdílení SMB
Kromě nastavení sítě závisí zabezpečené sdílení ve Windows 11 na některých klíčových technických požadavcích . Jako souborový systém se doporučuje NTFS, protože umožňuje aplikovat podrobná oprávnění na složky a soubory; například u systému FAT32 nebudete mít ve vlastnostech kartu Zabezpečení, což výrazně omezuje řízení přístupu.
Pokud jde o síťovou komunikaci, protokol SMB používá několik portů TCP a UDP. Aby vše fungovalo, musí firewall systému Windows a mezilehlé firewally (například Fortinet mezi segmenty sítě) povolovat alespoň port TCP 445 (SMB přes TCP Direct) a porty související s NetBIOS (137, 138, 139), pokud se stále používají starší mechanismy pro rozlišení názvů. Je také užitečné znát techniky pro optimalizaci přenosů velkých dat mezi počítači ve stejné místní síti LAN.
Je také nezbytné, aby uživatelský účet, který používáte ke konfiguraci sdíleného prostředku, měl oprávnění k úpravě vlastností složky . Obvykle stačí být místním správcem nebo mít dostatečná oprávnění k dané cestě.
Konfigurace SMB3 a souvisejících funkcí ve Windows 11 24H2
V moderních verzích Windows 10 a Windows 11 je výchozím protokolem SMB 3.x , který zahrnuje vylepšení šifrování a výkonu (SMB Direct, multi-channel atd.). SMB 1.0 je z bezpečnostních důvodů zakázán a měl by být povolen pouze v případě, že potřebujete komunikovat s velmi starými zařízeními, která nepodporují novější verze.
Chcete-li tyto funkce zkontrolovat nebo upravit, přejděte do Ovládacích panelů > Programy > Zapnout nebo vypnout funkce systému Windows. Zde uvidíte položky, jako například Podpora sdílení souborů SMB Direct a Podpora sdílení souborů SMB 1.0/CIFS. V zabezpečeném prostředí je vhodné:
- Povolit SMB Direct Pokud to váš hardware podporuje, zlepšuje to výkon v rychlých sítích.
- Ponechte klienta/server SMB 1.0/CIFS vypnutého.pokud to dočasně nevyžaduje velmi starý kus vybavení.
Pomocí PowerShellu můžete zkontrolovat konfiguraci SMB serveru pomocí příkazu jako ` Get-SmbServerConfiguration | Select EnableSMB1Protocol, EnableSMB2Protocol` a upravit hodnoty pomocí `Set-SmbServerConfiguration`. Běžnou praxí je mít SMB2/3 povolený a SMB1 zakázaný, protože ten druhý je vysoce zranitelný vůči malwaru, jako je WannaCry nebo NotPetya. Dále je vhodné implementovat obecná bezpečnostní opatření a rychlé zabezpečení v závislosti na typu zařízení.
Vytvořte uživatele a skupiny pro bezpečné sdílení
Důrazně doporučeným postupem pro bezpečné sdílení souborů je nepoužívat svůj osobní účet pro cokoli , a zejména se vyhnout umožňování anonymního přístupu hostů. Místo toho můžete na počítači, který bude fungovat jako souborový server, vytvořit specifické účty a přiřadit jim oprávnění přizpůsobená skutečným potřebám uživatelů.
Ve Windows 10/11 Pro je pohodlné používat nástroj Správa počítače (compmgmt.msc). V části Místní uživatelé a skupiny můžete vytvářet uživatele jako uživatel11, uživatel12 atd. a seskupovat je do vlastní skupiny (například skupina sdílení1). Při sdílení složky pak přiřadíte oprávnění celé skupině a všichni její členové tato oprávnění zdědí.
Tato strategie výrazně zjednodušuje správu: uživatele ze skupiny přidáváte nebo odebíráte podle potřeby, místo abyste upravovali oprávnění pro každou složku po složce. Navíc můžete rozlišit mezi uživateli s přístupem pouze pro čtení a uživateli s plným přístupem kombinací oprávnění pro sdílení (SMB) a oprávnění NTFS na kartě Zabezpečení. Pro bezpečnou správu přihlašovacích údajů a zásad přístupu se doporučuje integrovat řešení pro správu hesel s Bitwardenem.
Sdílení složky ve Windows 11 s pokročilými možnostmi
Nejrobustnějším způsobem sdílení složky je použití pokročilého sdílení , nikoli tlačítka Rychlé sdílení. Postup je podobný ve Windows 7, 8, 10 a 11, ale rozhraní je v novějších verzích propracovanější.
Nejprve otevřete Průzkumník souborů a přejděte do složky, kterou chcete sdílet (například podsložku v Dokumentech). Klikněte pravým tlačítkem myši na složku, vyberte Vlastnosti a přejděte na kartu Sdílení. Odtud klikněte na Upřesnit sdílení a zaškrtněte políčko Sdílet tuto složku.
V tomto okně můžete definovat název sdíleného prostředku (co klienti uvidí v síti) a nastavit limity pro souběžně používané uživatele. Poté kliknutím na Oprávnění můžete přidat konkrétní skupiny nebo uživatele a rozhodnout, zda mají přístup pro čtení, změny nebo úplné řízení. Odebrání skupiny Všichni z oprávnění SMB a práce pouze s konkrétními uživateli/skupinami je obvykle bezpečnější.
Jakmile dokončíte konfiguraci oprávnění ke sdílení, měli byste zkontrolovat kartu Zabezpečení (oprávnění NTFS) . Tam můžete znovu přidat stejné skupiny nebo uživatele (například sharegroup1 s Úplným řízením a jiného uživatele s oprávněními pouze pro čtení) a sladit oprávnění SMB a NTFS. Nezapomeňte, že systém Windows používá restriktivnější z těchto dvou úrovní oprávnění, takže pokud je jedna úroveň pouze pro čtení, uživatel nebude moci do souboru zapisovat, i když mu druhá úroveň udělí více oprávnění.
Přístup ke sdílenému prostředku z jiného počítače se systémem Windows
Jakmile je složka sdílena, jednoduše otevřete Průzkumník souborů z druhého počítače se systémem Windows a klikněte na Síť v levém podokně. Zobrazí se dostupné počítače. Výběrem počítače, který sdílí zdroj, se zobrazí sdílené složky, například standardní složka Uživatelé nebo jakékoli vlastní složky, které jste vytvořili.
Cestu UNC můžete také přímo zadat v adresním řádku Průzkumníka zadáním například \\NázevPočítače\NázevZdroje nebo použitím IP adresy serveru, například \\192.168.1.97\share01. To je velmi užitečné, když se z nějakého důvodu počítače nezobrazují v zobrazení Síť nebo se vyskytnou problémy s rozlišením názvů.
Pro větší pohodlí můžete prostředek namapovat jako síťovou jednotku . Po otevření sdílené složky na ni klikněte pravým tlačítkem myši a vyberte možnost Připojit síťovou jednotku. Vyberte písmeno jednotky, zaškrtněte políčko Znovu připojit při přihlášení a dokončete průvodce. Prostředek se poté zobrazí v části „Tento počítač“, jako by se jednalo o jinou místní jednotku, nebo můžete jako rychlou alternativu použít Rychlé sdílení .
Přístup ke sdíleným zdrojům z Ubuntu nebo jiných linuxových distribucí
Pokud vaše síť zahrnuje systémy Windows i Linux, není problém: Ubuntu může snadno přistupovat ke složkám SMB pomocí Průzkumníka souborů. V levém panelu přejděte do sekce Další umístění a uvidíte síť Windows. Cestu k serveru můžete také zadat přímo ve formátu smb://IP, například smb://192.168.1.97.
Při pokusu o připojení se systém zeptá na vaše uživatelské jméno a heslo . Můžete použít účet Windows s oprávněními ke sdílenému zdroji. Poté si můžete zvolit, zda chcete, aby Ubuntu heslo okamžitě zapomenul, pamatoval si ho, dokud se neodhlásíte, nebo ho trvale uložil.
V některých případech uvidíte nejen složku Uživatelé, ale také administrativní prostředky, jako například C$, D$ nebo ADMIN$. Jedná se o skryté administrativní prostředky systému Windows , které jsou přístupné pouze účtům se zvýšenými oprávněními. V Ubuntu se zobrazují veřejně, ale k přístupu k nim budete potřebovat přihlašovací údaje s oprávněními správce; jinak budete v praxi moci používat pouze prostředky, jako jsou Uživatelé, nebo ty, které jste si sami definovali.
Připojení ke sdílené složce bez nutnosti zadávat heslo pokaždé
Velmi častou otázkou je, proč systém Windows požaduje přihlašovací údaje při přístupu ke složce \\Počítač\Složka, i když jste ve složce udělili přístup všem. Důvodem je, že oprávnění SMB řídí, co může již ověřený uživatel dělat , ale ověřování je vždy založeno na platném účtu na vzdáleném počítači, pokud nepovolíte anonymní nebo hostovaný přístup.
Existuje však spolehlivý způsob, jak zabránit tomu, aby vás systém Windows pokaždé vyzýval k zadání uživatelského jména a hesla: používejte stejný účet a heslo na obou počítačích . Pokud máte například uživatele s názvem Uživatel1 a heslem Heslo1 na Počítači1 a také si vytvoříte účet Uživatel1 na Počítači2 se stejným heslem, pak když se přihlásíte do Počítače2 jako Uživatel1 a přistoupíte k \\Počítač1\sdílené složce, systém Windows tyto přihlašovací údaje bez problémů použije a nezobrazí přihlašovací dialogové okno.
Tento přístup je považován za osvědčený postup pro malá prostředí bez domény, protože připojení zůstává chráněno heslem , ale uživatel nemusí heslo pokaždé zadávat. Nedoporučuje se úplné vypnutí ochrany heslem nebo povolení širokého anonymního přístupu, protože to výrazně zvyšuje plochu pro útok, pokud se někomu podaří připojit k vaší síti.
Host, nezabezpečené přihlášení a změny ve Windows 11 24H2
Ve starších verzích systému Windows bylo běžné používat účet Guest k udělení velmi omezeného přístupu k určitým zdrojům. Dnes je tento účet ve výchozím nastavení zakázán a v novějších verzích systému Windows 10 jej již nelze povolit jako dříve. Společnost Microsoft navíc zpřísnila způsob nakládání s neověřenými přihlášeními hostů, zejména v kontextu SMB.
Počínaje verzí Windows 11 24H2 jsou nezabezpečená přihlášení hostů ve výchozím nastavení blokována . To znamená, že pokud sdílený prostředek očekává připojení hostů (bez přihlašovacích údajů), systém Windows může připojení odmítnout se zprávami, které uvádějí, že zásady zabezpečení neumožňují neověřený přístup hostů. Chcete-li je povolit, je nutné povolit možnost „Povolit nezabezpečená přihlášení hostů“ v Zásadách skupiny (Konfigurace počítače > Šablony pro správu > Síť > Pracovní stanice Lanman) nebo pomocí klíče registru AllowInsecureGuestAuth.
Tyto možnosti lze také upravit pomocí PowerShellu s parametry `Set-SmbClientConfiguration` a `Set-SmbServerConfiguration`, čímž se povolí nezabezpečené přihlášení nebo zakážou povinné podpisy. Je však důležité si uvědomit, že tyto konfigurace jsou v rozporu s osvědčenými bezpečnostními postupy a měly by se používat pouze ve vysoce kontrolovaných a izolovaných prostředích.
Povolení nebo zakázání protokolu SMB 1.0 a kontrola verzí protokolu
Stále existuje mnoho starších zařízení (starší zařízení NAS, tiskárny, systémy Windows XP), která komunikují pouze s protokolem SMB 1.0 . Ve Windows 10/11 je tato verze ve výchozím nastavení zakázána kvůli historii zranitelností. Pokud potřebujete s jedním z těchto zařízení spolupracovat, můžete dočasně povolit klienta a/nebo server SMB1 z funkcí systému Windows nebo pomocí příkazů PowerShellu, jako například `Enable-WindowsOptionalFeature -Online -FeatureName "SMB1Protocol"`.
Pro kontrolu aktivních verzí nabízí systém Windows příkazy jako ` Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol` nebo `Get-SmbServerConfiguration | select "*enablesmb*"`. Pokud chcete vynutit bezpečnější prostředí, můžete ověřit, zda je protokol SMB1 zakázán a zda jsou aktivní SMB2/3. Zakázání protokolu SMB2 má v současných scénářích jen zřídka smysl, s výjimkou velmi specifických testů.
Stojí za to si uvědomit, že hlavní útoky ransomwaru zneužívající zranitelnosti SMB (EternalBlue, EternalRomance a další) se spoléhaly právě na chyby v SMBv1 , takže jeho vypnutí, kdykoli je to možné, je základním hygienickým opatřením.
Služby systému Windows a další nastavení, která ovlivňují viditelnost v síti
V mnoha instalacích není problém ani tak ve sdílené složce, jako spíše v tom, Týmy se navzájem nevidí nebo se seznam počítačů v síti jeví jako prázdný. V těchto případech je vhodné zkontrolovat některé služby systému Windows související s vyhledáváním v síti, například:
Hostitel poskytovatele zjišťování funkcí (fdPHost), publikování zdrojů zjišťování funkcí (FDResPub), hostitelské zařízení UPNP (upnphost) a zjišťování SSDP (SSDPSRV).
Všechny tyto by měly být nastaveny na typ spouštění Automatické a spuštěné, aby bylo možné konzistentně detekovat počítače a prostředky pomocí Průzkumníka souborů. Pokud jsou některé zastaveny, můžete je spustit ze souboru services.msc a zkontrolovat, zda se po několika minutách počítače zobrazí v části Síť.
V prostředích s přetrvávajícími chybami přístupu může pomoci také úprava souboru HOSTS pro ruční opravu mapování IP adresy na název hostitele. Do adresáře C:\Windows\System32\drivers\etc\hosts můžete s oprávněními správce přidat řádky jako 192.168.1.3NÁZEV_POČÍTAČE, čímž se zabrání spoléhání na mechanismy vyhledávání, které někdy selhávají.
Běžné problémy s přístupem ke sdíleným zdrojům a jak je řešit
I při správné konfiguraci se při pokusu o otevření sdíleného prostředku poměrně často setkáváme s tajemnými chybovými hláškami. Jednou z nejtypičtějších je „Windows nemůže získat přístup k \\název_hostitele\sdílená složka “, někdy doprovázená hláškou „Nemáte oprávnění k přístupu…“.
Když se vám něco takového zobrazí, první věc, kterou musíte udělat, je zkontrolovat, zda má uživatel oprávnění ke složce na úrovni sdílení i NTFS. Tato oprávnění můžete auditovat pomocí PowerShellu pomocí příkazů `Get-SmbShareAccess -Name "ShareName"` a `Get-acl FolderPath`. Pokud uživatel není uveden v žádném z umístění nebo má pouze přístup pro čtení tam, kde potřebuje přístup pro zápis, bude nutné oprávnění upravit.
Dalším běžným scénářem je chyba 0x80070035 (Síťová cesta nenalezena) . To je obvykle způsobeno problémy s protokolem SMB mezi klientem a serverem (nekompatibilní verze nebo SMB zakázaný), služba „Server“ je zastavena na sdíleném počítači nebo služby zjišťování nejsou spuštěny. Ověření, zda je server SMB aktivní, zda je povolen protokol SMB2/3 a zda fungují služby publikování zdrojů, obvykle problém vyřeší.
Pokud používáte přihlašování hosta nebo anonymní přihlášení (nedoporučuje se), může chyba souviset se zásadou „ Povolit nezabezpečené přihlašování hosta “ na pracovní stanici Lanman. Jejím zakázáním tyto typy připojení blokujete; povolením je povolíte, ale na úkor zabezpečení. Další příčinou přetrvávajících chyb mohou být zastaralé přihlašovací údaje uložené ve Správci přihlašovacích údajů systému Windows; jejich odstranění a opětovné zadání správného hesla často konflikty vyřeší.
Další tipy pro zlepšení stability a kompatibility
V některých sítích, zejména ve smíšených sítích nebo v sítích s jednotlivými routery, vyřešilo vypnutí IPv6 na síťovém adaptéru nepravidelné chování při vyhledávání a sdílení zařízení. Není to ideální dlouhodobé řešení, ale pokud se potýkáte s problémy, může to být rozumný test: ve vlastnostech adaptéru zrušte zaškrtnutí políčka Internet Protocol verze 6 (TCP/IPv6) a restartujte.
Za zmínku také stojí, že klientské edice Windows, jako například Windows 10 nebo Windows 11, mají limit 20 simultánních připojení ke sdíleným prostředkům. V rušné síti se tento limit může dostat do přetížení a způsobit chyby. Pokud plánujete poskytovat souborové služby mnoha uživatelům, můžete zvážit migraci na Windows Server nebo vyhrazený NAS , spíše než používání klientského počítače jako primárního serveru.
S ohledem na všechny výše uvedené skutečnosti je možné v systému Windows 11 nastavit robustní a relativně bezpečnou infrastrukturu pro sdílení zdrojů , a to i v prostředích s více síťovými segmenty, staršími systémy a systémy Linux. Správnou konfigurací síťového profilu, služeb, zásad SMB a oprávnění uživatelů a skupin se minimalizují neočekávané požadavky na pověření i chyby přístupu mezi počítači ve stejné síti nebo mezi různými segmenty kontrolovanými firewallem.
Díky vhodné kombinaci síťové konfigurace, aktualizovaného protokolu SMB, vytváření specifických uživatelů, pokročilého sdílení a kontroly služeb a zásad může být sdílení zdrojů ve Windows 11 pohodlné i bezpečné, čímž se vyhnete nezabezpečeným řešením, jako je anonymní host nebo SMB1, a výrazně se sníží typické problémy s přístupem mezi počítači ve stejné síti nebo napříč různými segmenty kontrolovanými firewallem.