Windows Server 2025 / SMB 서명·암호화를 확인하고 공유 폴더 접속 오류를 점검하는 방법

SMB 서명은 전송 중 메시지 변조를 확인하고, SMB 암호화는 파일 통신 내용을 보호하는 기능입니다. 접속 문제를 해결할 때 서명·암호화를 먼저 끄기보다 이름·인증·프로토콜 지원과 실제 연결 상태를 확인하고, 필요한 보호를 유지하는 방향으로 구성해야 합니다.

서명과 암호화의 목적을 구분합니다

서명됐다는 사실이 파일 내용이 암호화됐다는 뜻은 아닙니다. 암호화도 잘못 부여한 파일 권한을 대신 고쳐 주지 않습니다. 서버·클라이언트의 지원과 정책, 협상된 연결을 각각 확인해야 합니다.

SMB 서명 동작 설명은 Windows Server 2025의 기본 요구를 outbound, 즉 서버가 다른 SMB 서버에 연결하는 클라이언트 방향과 구분합니다. 도메인 역할과 GPO에 따라 실제 설정은 달라질 수 있으므로 수신·송신 모두 무조건 같은 기본값이라고 가정하지 않습니다.

변경 전에 현재 요구 사항을 조회합니다

FS1의 관리자 PowerShell에서 클라이언트와 서버 설정을 각각 조회합니다. FS1이 파일을 제공할 때의 서버 역할과 다른 공유에 접속할 때의 클라이언트 역할은 다른 설정입니다.

Get-SmbClientConfiguration | Select-Object RequireSecuritySignature
Get-SmbServerConfiguration | Select-Object RequireSecuritySignature,EncryptData,RejectUnencryptedAccess
Get-SmbShare -Name 'LabRead' | Select-Object Name,Path,EncryptData

RequireSecuritySignature는 요구 설정을 보여 주며 특정 세션의 실제 보호 상태와는 구분합니다. 암호화 요구도 공유·서버·클라이언트 정책이 관련될 수 있으므로 EncryptData 한 값만으로 모든 연결을 단정하지 않습니다. 새 기능의 지원 조건은 SMB 보안 강화 안내에서 확인할 수 있습니다.

시험 공유 하나에 암호화를 적용합니다

FS1의 LabRead 공유와 정상 도메인 계정 접속이 준비된 격리 실습에서 진행합니다. 사용 중인 파일을 닫고 기존 EncryptData 값을 기록하세요. 공유 단위 변경으로 범위를 좁히고 서버 전체의 기존 설정을 함께 바꾸지 않습니다.

$previousEncryption = (Get-SmbShare -Name 'LabRead').EncryptData
Set-SmbShare -Name 'LabRead' -EncryptData $true
Get-SmbShare -Name 'LabRead' | Select-Object Name,EncryptData

SMB 암호화는 지원되는 SMB 3.x 클라이언트와 서버가 필요합니다. 다른 업체 장비가 SMB 3를 표시해도 필요한 암호화 기능과 정책 호환성을 따로 확인하세요. 기존 연결이 남아 있으면 작업을 저장한 뒤 해당 공유 연결을 종료하고 이름으로 다시 연결합니다. 다른 공유 연결 전체를 무조건 끊지 않습니다.

CLIENT1에서 \\fs1.ad.example.test\LabRead를 열고 정상 계정으로 파일을 읽습니다. 그 클라이언트의 PowerShell에서 실제 연결을 확인하세요.

Get-SmbConnection | Where-Object ShareName -eq 'LabRead' | Select-Object ServerName,ShareName,Dialect,Encrypted

대상 공유 행과 Dialect를 확인하고 Encrypted가 True인지 봅니다. 행이 없으면 실제로 파일을 열어 연결을 만들었는지 확인합니다. 권한이 읽기라면 암호화가 켜져도 쓰기 권한이 생기지 않습니다.

접속 오류는 호환성과 인증을 나누어 봅니다

도메인에서는 정상 서버 이름과 Kerberos 인증을 우선하고, IP나 단순 CNAME으로 인증 문제를 우회하지 않습니다. 예전 NAS에 접속하지 못한다고 서버 전체의 서명 요구를 끄거나 불안전한 게스트 접속·SMB1을 바로 켜지 않습니다. 장비 업데이트·서명 설정과 교체·분리 방안을 먼저 검토하세요.

이벤트 뷰어에서 Microsoft → Windows → SMBClient·SMBServer 아래 관련 로그를 확인합니다. 실패 시각과 대상 공유·계정을 기록하고, 권한 거부와 보안 협상 실패를 같은 원인으로 취급하지 않습니다.

시험 변경만 원래대로 되돌립니다

비교를 끝내면 동일한 FS1 PowerShell 세션에서 기록한 값을 사용해 공유 설정을 복원할 수 있습니다. 원래 암호화가 켜져 있던 공유를 무조건 끄지 않습니다.

Set-SmbShare -Name 'LabRead' -EncryptData $previousEncryption

클라이언트를 다시 연결해 실제 상태와 파일 접근을 확인하세요. 클라이언트나 서버 전체 정책이 암호화를 요구한다면 공유 설정만 되돌려도 연결 암호화가 계속 적용될 수 있습니다. 운영 적용에서는 데이터 성격·호환성·측정한 성능과 복구 경로를 함께 검토합니다.