Windows server 2016 отказано в доступе

Заметил некоторые странности при доступе к каталогам SYSVOL и NETLOGON в домене из Windows 10 / Windows Server 2016. При доступе к контроллеру домена с клиента по UNC пути
\\<domain.ru>\SYSVOL
или по IP адресу контроллера домена
\\192.168.1.10\Netlogon
появляется ошибка “Отказано в доступе” (Access is denied) с запросом ввода учетной записи и пароля. При указании учетной записи доменного пользователя или даже администратора домена, каталоги все равно не открываются.

Картинка с сайта: winitpro.ru

При этом тот же самый каталог Sysvol/Netlogon открывается нормально (без запроса пароля), если указать имя контроллера домена:
\\dc1.domain.ru\sysvol
или просто
\\dc1\sysvol
.

Кроме того, на проблемных компьютерах с Windows 10 могут наблюдаться проблемы с применением групповых политик. В журнале можно найти ошибки с EventID 1058:

The processing of Group Policy failed. Windows attempted to read the file \\domain.ru\sysvol\domain.ru\Policies\{GPO GUID}\gpt.ini from a domain controller and was not successful. Group Policy settings may not be applied until this event is resolved.

Все это связано с новыми настройками безопасности, которые предназначены для защиты доменных компьютеров от запуска кода (логон скриптов, исполняемых файлов) и получения конфигурационных файлов политик из недоверенных источников — UNC hardening. Настройки безопасности Windows 10 / Windows Server 2016 требуют, чтобы для доступа к UNC каталогам с усиленной защитой (SYSVOL и NETLOGON) использовались следующие уровни безопасности:

• Mutual Authentication — взаимная аутентификация клиента и сервера. Для аутентификации используется Kerberos (NTLM не поддерживается). Именно поэтому вы не можете подключиться к каталогам SYSVOL и NETLOGON на контроллере домена по IP адресу. По-умолчанию
  RequireMutualAuthentication=1
  .
• Integrity – проверка подписи SMB. Позволяет убедиться, что данные в SMB сесии не модифицированы при передаче. Подпись SMB поддерживается только в версии SMB 2.0 и выше (SMB 1 не поддерживает SMB подписи для сессии). По-умолчанию
  RequireIntegrity=1
  .
• Privacy – шифрование данных в SMB сессии. Поддерживается начиная с SMB 3.0 (Windows 8 / Windows Server 2012 и выше). По-умолчанию RequirePrivacy=0.

  Если у вас в домене остались компьютеры и контроллеры домены со старыми версиями Windows (Windows 7 / Windows Server 2008 R2 и ниже), вы не должны использовать опцию
  RequirePrivacy=1
  . Иначе старые клиенты не смогут подключиться к сетевым каталогам на контроллерах домена.

Изначально эти изменения были внесены в Windows 10 еще в 2015 году в рамках бюллетеней безопасности MS15-011 и MS15-014. В результате был изменен алгоритм работы Multiple UNC Provider (MUP), который теперь использует особые правила для доступа к критичным каталогам на контроллерах домена \\*\SYSVOL и \\*\NETLOGON.

В Windows 7 и Windows 8.1 защищенные UNC пути по умолчанию отключены.

Изменить настройки UNC hardening в Windows 10 для доступа к SYSVOL и NETLOGON можно через групповые политики. Вы можете использовать различные настройки безопасности для доступа к разным UNC-путям с помощью политики Hardened UNC Paths (UNC пути с усиленной защитой).

1. Откройте редактор локальной политики безопасности gpedit.msc;
2. Перейдите в раздел политик Computer Configuration -> Administrative Templates -> Network -> Network Provider;
3. Включите политику Hardened UNC Paths;
   

   Картинка с сайта: winitpro.ru

4. Нажмите на кнопку Show и создайте записи для UNC путей к каталогам Netlogon и Sysvol. Для полного отключения UNC hardering для определенных каталогов (не рекомендуется!!), укажите значение
   RequireMutualAuthentication=0,RequireIntegrity=0,RequirePrivacy=0

   Можно использовать следующие форматы для UNC путей:

   • \\DC_IP
   • \\domain.ru
   • \\DCName

   Или можно разрешить доступ к каталогам Sysvol и Netlogon независимо от UNC пути:

   • \\*\SYSVOL
   • \\*\NETLOGON

   Нужно указать все необходимые вам имена доменов (контроллеров домена) или IP адреса.

   Microsoft рекомендует использовать следующие настройки для безопасного доступа к критичным UNC каталогам:

   • \\*\NETLOGON
     RequireMutualAuthentication=1, RequireIntegrity=1
   • \\*\SYSVOL
     RequireMutualAuthentication=1, RequireIntegrity=1
   

   Картинка с сайта: winitpro.ru

Осталось обновить политики на компьютере с помощью команды
gpupdate /force
и проверить, что у вас появился доступ к каталогам Sysvol и Netlogon.

Вы можете настроить эти параметры с помощью централизованной доменной политики. Или с помочью следующих команд на клиентах. (Эти команды отключат Kerberos аутентификацию при доступе к указанным каталогам на DC. Будет использоваться NTLM, в результате вы сможете открыть защищённые каталоги на DC по IP адресу):

reg add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths /v "\\*\SYSVOL" /d "RequireMutualAuthentication=0" /t REG_SZ /f
reg add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths /v "\\*\NETLOGON" /d "RequireMutualAuthentication=0" /t REG_SZ /f

Наверх

Проблема:

Отсутствует сетевой доступ к административным общим ресурсам (admin$, c$, d$ и пр.)
Невозможно зайти на админские ша́́́ры (общие сетевые ресурсы) под аккаунтом пользователя с правами администратора.

Ситуация присутствует на всех операционных системах MS Windows, начиная с Vista и старше (7,8, 8.1, 10, Server 2008, Server 2008 R2, Server 2012, Server 2012 R2, Server 2016, Server 2019) в том случае, когда компьютер, к которому осуществляется доступ, находится в одноранговой сети, а не в домене Active Directory.

Политика сетевого доступа включена обычная — локальные пользователи удостоверяют себя сами.

При попытке доступа на административный общий сетевой ресурс запрашивается пароль. После авторизации с правами администратора, получаем ошибку «Отказано в доступе».

К прочим общим ресурсам при этом доступ есть без проблем.

Решение:

Дело в том, что, согласно статье Description of User Account Control and remote restrictions in Windows Vista, корпорация Microsoft ввела СЕТЕВОЙ контроль учетных записей пользователей, начиная с MS Windows Vista и старше:

How UAC remote restrictions work
To better protect those users who are members of the local Administrators group, we implement UAC restrictions on the network. This mechanism helps prevent against «loopback» attacks. This mechanism also helps prevent local malicious software from running remotely with administrative rights.

Local user accounts (Security Account Manager user account)
When a user who is a member of the local administrators group on the target remote computer establishes a remote administrative connection by using the net use * \\remotecomputer\Share$ command, for example, they will not connect as a full administrator. The user has no elevation potential on the remote computer, and the user cannot perform administrative tasks. If the user wants to administer the workstation with a Security Account Manager (SAM) account, the user must interactively log on to the computer that is to be administered with Remote Assistance or Remote Desktop, if these services are available.

Domain user accounts (Active Directory user account)
A user who has a domain user account logs on remotely to a Windows Vista computer. And, the domain user is a member of the Administrators group. In this case, the domain user will run with a full administrator access token on the remote computer, and UAC will not be in effect.

Note This behavior is not different from the behavior in Windows XP.

То есть, если компьютер принадлежит домену Active Directory, то проблем нет — администраторы домена имеют полный доступ к административным общим ресурсам, но если компьютер находится в одноранговой сети (в рабочей группе), то для того, чтобы администраторы могли получать сетевой доступ к административным общим ресурсам, необходимо отключить ограничения «удаленного UAC».

Для этого в реестре по адресу HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System создаем параметр LocalAccountTokenFilterPolicy типа dword и устанавливаем ему значение 1.

Это можно сделать, выполнив от имени Администратора команду:

REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1

Перезагрузка не требуется.

0