Windows Server 2025 / Memeriksa penandatanganan SMB dan menguji enkripsi folder bersama

Penandatanganan Server Message Block (SMB), protokol berbagi file Windows, melindungi integritas pesan; enkripsi SMB melindungi isi yang dikirim melalui jaringan. Jika koneksi ke folder bersama gagal, periksa nama server, identitas, dukungan protokol, dan koneksi yang benar-benar terbentuk sebelum mengubah perlindungannya.

Bedakan tanda tangan, enkripsi, dan izin

Koneksi yang ditandatangani belum tentu terenkripsi. Enkripsi lalu lintas juga tidak memperbaiki izin file yang terlalu luas maupun mengenkripsi file yang tersimpan di disk. Panduan khusus penandatanganan SMB membedakan persyaratan koneksi keluar Windows Server 2025: saat mengakses server lain, FS1 bertindak sebagai klien SMB. Jangan menganggap semua peran server memiliki persyaratan koneksi masuk yang sama. Group Policy Object (GPO), yaitu objek kebijakan grup, dan peran komputer dapat memengaruhi konfigurasi efektif. NTFS adalah New Technology File System; izinnya bekerja bersama izin berbagi.

Periksa persyaratan sebelum mengubahnya

Di FS1, buka PowerShell dengan hak administrator. Periksa klien SMB untuk koneksi ke server lain secara terpisah dari server SMB yang menyediakan file FS1. Gunakan LabRead dari latihan izin SMB dan NTFS. Pastikan lokasi foldernya benar dan pengguna uji dapat membaca file yang sudah diketahui sebelum mengubah apa pun. Jika LabRead tidak ada atau akses awal gagal, selesaikan masalah tersebut terlebih dahulu:

Get-SmbClientConfiguration | Select-Object RequireSecuritySignature
Get-SmbServerConfiguration | Select-Object RequireSecuritySignature,EncryptData,RejectUnencryptedAccess
Get-SmbShare -Name 'LabRead' | Select-Object Name,Path,EncryptData

RequireSecuritySignature menunjukkan kewajiban penandatanganan, bukan status perlindungan setiap sesi. EncryptData merujuk ke server atau folder bersama sesuai kueri; RejectUnencryptedAccess berkaitan dengan penolakan akses yang tidak mendukung enkripsi dalam konteks tersebut. Jangan ubah pengaturan global itu pada latihan ini. Ikhtisar penguatan keamanan SMB menjelaskan fitur baru; untuk arah persyaratan penandatanganan, gunakan panduan khusus sebelumnya dan konfigurasi aktual. Kewajiban enkripsi dari kebijakan klien tidak ditampilkan dalam pilihan kolom ini.

Aktifkan enkripsi hanya pada folder bersama uji

Lakukan hanya pada LabRead di laboratorium terisolasi dengan akun domain yang sah. Tutup file yang sedang digunakan. Jalankan penetapan $previousEncryption terlebih dahulu, periksa bahwa nilainya boolean, lalu catat juga di luar sesi agar dapat dipulihkan jika jendela tertutup. Jangan mengulang penetapan itu setelah enkripsi diaktifkan karena nilai awal akan tertimpa. Jalankan baris selanjutnya satu per satu, konfirmasikan perubahan LabRead jika diminta, dan berhenti bila muncul kesalahan:

$previousEncryption = (Get-SmbShare -Name 'LabRead').EncryptData
Set-SmbShare -Name 'LabRead' -EncryptData $true
Get-SmbShare -Name 'LabRead' | Select-Object Name,EncryptData

Kueri terakhir seharusnya menampilkan LabRead dengan EncryptData=True. Enkripsi SMB memerlukan dukungan kedua perangkat; klaim dukungan SMB 3.x saja tidak membuktikan kemampuan enkripsi yang sesuai. Pertahankan kebijakan global, termasuk penolakan akses tanpa enkripsi. Jika laboratorium sudah memiliki pengecualian yang membuat pengujian tidak meyakinkan, tinjau terlebih dahulu. Simpan pekerjaan dan tutup hanya koneksi klien yang terkait sebelum menghubungkan ulang melalui nama server normal. Aplikasi lain mungkin masih mempertahankan sesi FS1; koordinasikan penutupannya. Menutup jendela File Explorer saja tidak membuktikan koneksi baru, dan semua drive jaringan tidak perlu diputus sekaligus.

Di CLIENT1, buka \\fs1.ad.example.test\LabRead dengan identitas domain yang sama dan baca file yang diketahui tadi. Jalankan kueri berikut pada klien tersebut dalam konteks yang membuka koneksi. Konsol dengan kredensial berbeda dapat menampilkan sesi yang berbeda:

Get-SmbConnection | Where-Object ShareName -eq 'LabRead' | Select-Object ServerName,ShareName,Dialect,Encrypted

Periksa ServerName selain ShareName: filter hanya memilih LabRead sehingga dapat mengembalikan folder bernama sama dari beberapa server. Baris fs1.ad.example.test harus menunjukkan Dialect SMB 3.x yang didukung dan Encrypted=True. Referensi Get-SmbConnection menjelaskan kaitan koneksi dengan pengguna dan kredensial. Jika baris tidak muncul, pastikan file benar-benar dibaca melalui jalur tersebut dan kueri dijalankan dengan identitas yang tepat. Jika Encrypted=False, enkripsi belum terbukti; periksa sesi lama, tujuan, dan kebijakan. Kueri ini tidak menampilkan status Signed. Izin baca tidak berubah menjadi izin tulis ketika enkripsi aktif.

Pisahkan masalah kompatibilitas dan autentikasi

Dalam domain, gunakan nama server yang benar dan autentikasi Kerberos bila sesuai. Jangan mengakali masalah identitas dengan alamat IP atau alias sembarang. Pada perangkat penyimpanan jaringan (Network Attached Storage, NAS) lama, periksa pembaruan, akun yang diautentikasi, serta dukungan penandatanganan dan enkripsi. Pertimbangkan penggantian atau pemisahan jaringan jika tidak kompatibel. Jangan langsung mematikan kewajiban penandatanganan secara global, mengizinkan tamu tidak aman, atau mengaktifkan SMB1.

Buka Event Viewer → Applications and Services Logs → Microsoft → Windows. Periksa kanal SMBClient yang relevan pada CLIENT1 serta SMBServer pada FS1 untuk waktu kegagalan yang sama. Catat kode, pesan lengkap, komputer, folder bersama, dan akun tanpa memublikasikan kredensial. Cocokkan dengan tabel: pesan “akses ditolak” bisa berkaitan dengan izin maupun negosiasi keamanan, sehingga teks itu saja belum menentukan penyebab. Hubungkan bukti peristiwa dengan konfigurasi sebelum memperbaiki satu kondisi lalu mengulang pembacaan yang sama.

Pulihkan hanya perubahan pengujian

Setelah perbandingan selesai, gunakan sesi PowerShell FS1 yang sama untuk memulihkan nilai yang disimpan. Pastikan variabel masih berisi boolean awal. Jika variabel hilang, gunakan catatan sebelum perubahan dan jangan menebak nilainya. Folder bersama yang sejak awal terenkripsi tidak boleh dipulihkan dengan mematikan enkripsi secara sembarang:

Set-SmbShare -Name 'LabRead' -EncryptData $previousEncryption

Periksa kembali EncryptData dengan kueri sebelumnya. Sambungkan ulang CLIENT1, baca file yang sama, dan periksa Encrypted. Jika nilai awal True, nilainya harus tetap True. Jika nilai awal False, kewajiban enkripsi pada klien atau kebijakan lain masih dapat membuat koneksi terenkripsi setelah pengaturan folder bersama dipulihkan. Jangan melonggarkan kebijakan global untuk memaksakan hasil perbandingan. Pada penerapan nyata, pertimbangkan sensitivitas data, kompatibilitas, kinerja yang diukur di lingkungan itu, serta jalur pemulihan. Latihan ini bukan pengukuran kinerja dan tidak menggantikan pemeriksaan izin.