Compartilhe arquivos com segurança usando SMB via QUIC.

Compartilhar arquivos com segurança pela internet sem uma VPN tradicional deixou de ser uma ideia futurista: com SMB sobre QUIC, é uma possibilidade real e, quando configurado corretamente, extremamente robusto. Essa abordagem combina o protocolo SMB, já consagrado, com o QUIC, um mecanismo de transporte moderno projetado para redes complexas como a internet, oferecendo uma experiência de usuário praticamente perfeita.

Nas linhas seguintes, você verá como o SMB funciona sobre o QUIC, o que você precisa para configurá-lo e colocá-lo em funcionamento, como ele é gerenciado e como se encaixa na sua estratégia de segurança . Também abordaremos perguntas comuns (como se ele pode substituir o OneDrive ou se é adequado para grupos de trabalho), bem como as melhorias que o Windows Server 2025 traz para esse protocolo.

O que é SMB sobre QUIC e por que isso é importante para o acesso remoto?

O SMB sobre QUIC é, na prática, uma "VPN SMB" integrada ao próprio protocolo de arquivos . Em vez de transportar o SMB sobre TCP (porta 445), ele encapsula a comunicação dentro do QUIC usando UDP 443, a mesma porta usada pelo HTTPS, criando um túnel criptografado com TLS 1.3 entre o cliente e o servidor de arquivos.

QUIC é um padrão IETF que oferece diversas vantagens claras sobre o TCP : todos os pacotes são sempre criptografados, o handshake é autenticado com TLS 1.3, permite fluxos paralelos confiáveis ​​e não confiáveis, pode enviar dados de aplicativos na primeira viagem de ida e volta (0-RTT) e melhora o controle de congestionamento e a recuperação de perdas, sobrevivendo até mesmo a mudanças no IP ou na porta do cliente (típicas em redes móveis ou com mudanças de Wi-Fi para 4G).

Do ponto de vista do usuário, o SMB continua a se comportar normalmente : acesso a recursos compartilhados por meio de caminhos UNC, uso do Explorador de Arquivos, scripts com NET USE ou New-SmbMapping, etc. Recursos avançados como multicanal, assinatura, compressão, disponibilidade contínua e alocação de diretórios continuam a operar dentro do túnel QUIC sem que o usuário perceba.

A principal vantagem é que todo o tráfego SMB (incluindo autenticação e autorização) trafega dentro do túnel TLS 1.3 e nunca é exposto em texto não criptografado à rede intermediária. Isso torna o SMB sobre QUIC uma opção muito atraente para trabalhadores remotos, dispositivos móveis e organizações que buscam reduzir sua dependência de VPNs tradicionais.

Pré-requisitos para usar SMB sobre QUIC

Antes de clicar no botão "Configurar" no Centro de Administração do Windows , existem vários requisitos que devem ser atendidos tanto no servidor quanto no cliente. Se algum deles falhar, a experiência será frustrante.

Servidor SMB compatível

Você precisa de um servidor SMB executando em uma versão compatível do Windows , normalmente o Windows Server 2022 Datacenter: Azure Edition (especialmente em ambientes Azure Stack HCI ou Azure On-Premise) ou versões posteriores, como o Windows Server 2025, onde o SMB on QUIC vem ainda mais integrado e com novos recursos.

Clientes Windows compatíveis

Do lado do cliente, o componente principal atualmente é o Windows 11 (edições corporativas) , que inclui o cliente SMB com suporte para QUIC. A partir do Windows 11 24H2, foram adicionadas melhorias como a auditoria avançada de conexões SMB via QUIC no Visualizador de Eventos.

Integração com o Active Directory ou grupo de trabalho

A Microsoft recomenda o uso do SMB em vez do QUIC com domínios do Active Directory , para que o servidor e o cliente SMB estejam associados ao mesmo domínio ou a domínios confiáveis. O servidor deve ser capaz de se comunicar com pelo menos um controlador de domínio para autenticação, embora esse controlador de domínio não precise necessariamente ter acesso à internet.

No entanto, ter um domínio não é obrigatório . Você também pode configurar o SMB no QUIC em ambientes de grupo de trabalho usando contas locais e NTLM, ou mesmo em servidores IaaS integrados ao Microsoft Entra (anteriormente Azure AD), com algumas ressalvas: estes últimos não podem usar credenciais do Entra para operações de segurança remotas, pois o Entra ID não gerencia SIDs de usuários ou grupos; portanto, na prática, você ainda precisará usar contas locais ou de domínio tradicionais para acessar o recurso compartilhado.

Portas e firewall

Um dos pontos mais críticos é a configuração da rede . O servidor deve ser acessível aos clientes em sua interface pública por meio de uma regra de firewall que permita o tráfego UDP/443 de entrada. É importante não abrir a porta TCP/445 para a internet: o acesso SMB clássico pela porta 445 deve ser bloqueado no perímetro da rede.

Caso seja necessário alterar a porta padrão (devido a políticas internas ou conflitos com outros serviços), portas alternativas podem ser configuradas para SMB, mas a prática usual e recomendada para QUIC é manter a porta UDP 443, pois ela facilita a passagem por firewalls e proxies comuns.

Centro de administração do Windows e PKI

Para simplificar a administração, recomenda-se usar a versão mais recente do Windows Admin Center (WAC), que inclui assistentes específicos para habilitar e gerenciar o SMB sobre QUIC. No entanto, como alguns usuários observaram, se o botão "Configurar" não responder, é quase sempre um sinal de que algum pré-requisito está faltando (função não instalada, permissões insuficientes, WAC desatualizado, navegador com problemas etc.).

Além do WAC, você precisa de uma infraestrutura de chave pública (PKI) capaz de emitir certificados de servidor adequados, como uma Autoridade Certificadora (CA) dos Serviços de Certificados do Active Directory ou uma CA pública confiável como Digicert, Let's Encrypt, etc. Sem um certificado válido, o QUIC não estabelecerá o túnel.

Certificados SMB e configuração básica no QUIC

O núcleo do SMB sobre QUIC é o certificado do servidor . Sem ele, não há túnel TLS 1.3 nem autenticação de endpoint, portanto, é o primeiro elemento que precisa ser devidamente protegido.

Recursos do certificado do servidor

O certificado de servidor que você usará para o QUIC deve atender a uma série de requisitos técnicos :

• Uso principalassinatura digital.
• Objetivo (EKU): autenticação do servidor (OID 1.3.6.1.5.5.7.3.1).
• Algoritmo de assinaturaSHA256RSA ou superior, com hash SHA256 ou superior.
• Chave públicaPreferencialmente ECDSA_P256 ou superior; RSA com um mínimo de 2048 bits também é suportado.
• Nome alternativo da entidade (SAN)Deve incluir entradas DNS para todos os FQDNs que os clientes usarão para acessar o servidor SMB.
• Assunto (CN)Pode ser "quase" qualquer coisa que você quiser, mas deve existir e seguir as boas práticas de emissão.
• Chave privada incluídaSim, definitivamente, armazenado no servidor.

Se você estiver trabalhando com uma Autoridade de Certificação (CA) corporativa da Microsoft , a maneira mais fácil é criar um modelo de certificado específico para SMB sobre QUIC. O administrador do servidor de arquivos pode então solicitar o certificado especificando os nomes DNS apropriados. A documentação da Microsoft sobre design e implementação de PKI explica o processo de modelo em detalhes.

Solicitar o certificado do servidor

Em um ambiente com Autoridade de Certificação (CA) do Active Directory , o fluxo típico seria:

1. Inicie o MMC no servidor de arquivos e adicione o snap-in Certificados para a conta do computador.
2. Acesse Certificados (computador local) > Pessoal > Certificados e selecione “Solicitar novo certificado”.
3. Selecione a política de inscrição do Active Directory e clique em Avançar até chegar à lista de modelos.
4. Marque o modelo criado para SMB no QUIC.
5. Preencha o campo Assunto com um nome comum que seja útil para os usuários identificarem o servidor e adicione todos os nomes DNS que serão usados ​​nos SANs.
6. Confirme e conclua o cadastro para que o certificado seja instalado no depósito de equipamentos.

Se você usar uma CA pública de terceiros , o processo envolve gerar uma CSR a partir do servidor e seguir o guia específico do fornecedor para emitir um certificado com os EKUs, SANs e algoritmos apropriados.

Habilite o SMB sobre QUIC no servidor.

Após obter o certificado, é hora de ativar o SMB sobre QUIC . O servidor não o habilita por padrão e os clientes não podem "forçá-lo" unilateralmente, por razões óbvias de segurança.

A configuração pode ser feita através do Centro de Administração do Windows ou do PowerShell . No WAC, um assistente solicitará que você selecione o certificado e habilite o QUIC. No PowerShell, o processo envolve o uso dos cmdlets de mapeamento de certificado de servidor SMB para QUIC (New-SmbServerCertificateMapping e Set-SmbServerCertificateMapping, dependendo do cenário).

Em relação ao tráfego do cliente , o Windows ainda tentará o SMB sobre TCP normalmente primeiro. Ele só tentará o QUIC se a tentativa via TCP falhar ou se você instruí-lo explicitamente a usar o QUIC por meio de comandos como:

• NET USE /TRANSPORT:QUIC
• New-SmbMapping -TransportType QUIC

Conectando clientes a recursos compartilhados para PMEs via QUIC

Do ponto de vista do usuário, acessar recursos SMB via QUIC é quase idêntico ao acesso tradicional , com a diferença de que agora esse tráfego é protegido dentro do túnel QUIC/TLS 1.3 e trafega pela Internet sem expor a porta 445.

Prepare o cliente e a resolução de nomes.

Se o cliente pertence a um domínio , o procedimento normal é associar o dispositivo Windows ao domínio correspondente e garantir que os nomes de servidor usados ​​nos caminhos UNC estejam publicados no DNS e correspondam aos SANs do certificado do servidor de arquivos.

Em cenários onde o DNS não resolve esses nomes , o arquivo HOSTS do cliente pode ser usado para mapear o FQDN do servidor para seu endereço IP público. O importante é que o nome inserido pelo usuário no caminho UNC seja um dos nomes incluídos no certificado do servidor.

Conectando-se a partir de redes externas

O caso de uso típico é aquele em que o cliente está fora da rede corporativa , sem acesso direto aos controladores de domínio internos ou aos IPs privados do servidor de arquivos. É aí que o QUIC se destaca: o túnel é estabelecido pela internet usando a porta UDP 443, sem a necessidade de uma VPN adicional.

Para o usuário, o acesso pode ser feito simplesmente pelo Explorador de Arquivos , digitando o caminho UNC para o recurso compartilhado (por exemplo, \\fsedge1.contoso.com\sales). Alternativamente, pode-se usar o seguinte:

• NET USE * \\fsedge1.contoso.com\ventas (tenta usar TCP e, em seguida, QUIC automaticamente se o TCP falhar).
• NET USE * \\fsedge1.contoso.com\ventas /TRANSPORT:QUIC (Força QUIC).
• New-SmbMapping -LocalPath 'Z:' -RemotePath '\\fsedge1.contoso.com\ventas' -TransportType QUIC (via PowerShell).

Se a conexão falhar ao forçar o QUIC , geralmente é um sinal de que o túnel está tentando ser estabelecido, mas algo na configuração do firewall, certificado ou mapeamento não está configurado corretamente.

Autenticação: NTLMv2, Kerberos e proxy KDC

Por padrão, quando um cliente se conecta a um servidor de arquivos SMB via QUIC a partir da internet , ele não tem visibilidade direta dos controladores de domínio internos. Nesse contexto, a autenticação é feita via NTLMv2, onde o servidor autentica em nome do usuário, mas sempre dentro do túnel TLS 1.3 (nenhuma credencial é exposta fora do QUIC).

Embora o NTLMv2 dentro do túnel seja aceitável, a Microsoft recomenda manter o Kerberos sempre que possível , pois ele oferece um modelo de segurança mais robusto e evita a dependência a longo prazo do NTLM.

Proxy KDC para habilitar o Kerberos via Internet

Para continuar usando o Kerberos sem expor diretamente os controladores de domínio à internet , você pode configurar o proxy KDC. Esse serviço recebe solicitações de tickets Kerberos via HTTPS (porta TCP 443), as encaminha para os DCs internos e responde ao cliente, tudo isso sem enviar credenciais em texto claro para a rede externa.

A configuração inclui várias etapas no servidor de arquivos :

1. Registre um URL de escuta para o proxy com o NETSH, geralmente em https://+:443/KdcProxy, com a conta “NT AUTHORITY\Network Service”.
2. Configure determinadas chaves de registro do serviço KPSSVC (proxy KDC) para ajustar a autenticação HTTPS e habilitar os cenários necessários.
3. Vincule o certificado apropriado à porta 443 com Add-NetIPHttpsCertBinding, usando a impressão digital do certificado SMB no QUIC.
4. Adicione nomes SMB por meio do QUIC do servidor como SPNs no Active Directory (por exemplo, com NETDOM computername).
5. Configure o serviço kpssvc para inicialização automática e inicie-o.

Do lado do cliente, é utilizada a política de grupo. Para especificar servidores proxy KDC para clientes Kerberos, associe o domínio AD (por exemplo, corp.contoso.com) ao URL externo do proxy (algo como https fsedge1.contoso.com:443:kdcproxy /).

Dessa forma, quando um usuário de corp.contoso.com tentar acessar fsedge1.contoso.com , o cliente saberá que deve contatar esse proxy para obter os tickets Kerberos, sem precisar se comunicar diretamente com os DCs internos.

Validade e renovação de certificados

Um dos aspectos mais negligenciados na prática é o gerenciamento do ciclo de vida dos certificados . Quando um certificado SMB baseado em QUIC expira e um novo é emitido, a impressão digital muda, mesmo que seja renovada automaticamente pela mesma Autoridade Certificadora (CA).

Isso significa que a configuração SMB no QUIC precisa ser atualizada. Para associar o novo certificado, você pode fazer isso no Centro de Administração do Windows, selecionando o novo certificado nas configurações existentes, ou via PowerShell. Set-SMBServerCertificateMapping Visar uma nova pegada ecológica.

Para evitar interrupções de serviço devido ao vencimento inesperado de certificados , a Microsoft sugere o uso de ferramentas como o Azure Automanage para Windows Server, que ajudam a monitorar e automatizar a renovação de certificados e outras tarefas de manutenção.

Controle de acesso do cliente com certificados

Além do tunelamento criptografado e da autenticação do usuário, o SMB sobre QUIC pode aplicar controle de acesso adicional com base em certificados de cliente . Essa camada extra de segurança permite definir explicitamente quais dispositivos podem estabelecer conexões QUIC com o servidor.

Como funciona o controle de acesso do cliente

O servidor mantém uma lista de controle de acesso a certificados (listas de permissões e bloqueios) e, quando um cliente tenta se conectar, primeiro valida a cadeia de certificados desse cliente. O servidor verifica:

• Certifique-se de que a cadeia de certificados seja válida e emitida por uma Autoridade Certificadora (CA) em que você confia.
• Que o certificado ou sua entidade emissora estejam presentes (permitidos ou negados) nas listas de controle de acesso.

Os certificados de cliente podem ser usados ​​com SAN , assim como com um servidor, e a decisão de acesso é tomada avaliando se existem entradas de permissão ou bloqueio para o certificado folha ou para qualquer um dos emissores na cadeia. Uma única entrada de negação na cadeia tem precedência sobre as entradas de permissão.

Isso permite cenários flexíveis : você pode permitir todos os certificados emitidos por uma determinada AC, mas negar a alguns dispositivos específicos adicionando seus hashes como bloqueados, ou vice-versa, bloquear uma AC inteira, exceto em casos muito específicos.

Requisitos para controle de acesso do cliente

No servidor, você precisa do Windows Server 2022 Datacenter: Azure Edition com a atualização de março de 2024 KB5035857 (e, para certos recursos em versão prévia, o pacote Feature Preview 240302_030531) ou versões posteriores, como o Windows Server 2025. Além disso, obviamente, o SMB sobre QUIC já deve estar habilitado.

No lado do cliente SMB , você precisa ter um sistema operacional compatível e um certificado de cliente com EKU de autenticação de cliente (OID 1.3.6.1.5.5.7.3.2), emitido por uma CA confiável pelo servidor e instalado no repositório de certificados do computador.

Atribua certificados e conceda acesso.

O processo típico começa com o cliente obtendo uma impressão digital do seu certificado :

1. Liste os certificados em Cert:\LocalMachine\My usando o PowerShell.
2. Filtre pelo assunto de seu interesse e salve o resultado em uma variável.
3. Obtenha seu hash SHA256 com $clientCert.GetCertHashString("SHA256").

Em seguida, é criado o mapeamento do certificado do cliente SMB. com New-SmbClientCertificateMappingespecificando o namespace (FQDN do servidor) e a impressão digital correspondente. A partir desse momento, o cliente usará esse certificado ao se conectar ao servidor que corresponde a esse namespace.

No servidor, é necessária a autenticação do cliente. com Set-SmbServerCertificateMapping -RequireClientAuthentication $trueA partir daí, as permissões são concedidas a clientes específicos com Grant-SmbClientAccessToServer ou ficam bloqueados com Block-SmbClientAccessToServer, usando como identificador o hash SHA256 da folha do certificado ou o Assunto do emissor.

Registros de auditoria e eventos para SMB no QUIC

Em ambientes críticos, a visibilidade é tão importante quanto a segurança . O SMB on QUIC incorpora recursos de auditoria tanto no lado do cliente quanto no servidor para ajudar a diagnosticar problemas e rastrear o acesso.

Em clientes que executam o Windows 11 24H2 e versões posteriores , o Visualizador de Eventos registra informações de conectividade SMB sobre QUIC no caminho Logs de Aplicativos e Serviços\Microsoft\Windows\SMBClient\Connectivity, onde, por exemplo, o evento 30832 reflete detalhes das conexões QUIC.

No servidor, você pode habilitar a auditoria de acesso por meio de certificados de cliente. com Set-SmbServerConfiguration -AuditClientCertificateAccess $trueOs eventos relevantes são registrados em:

• SMBServer\Audit (eventos 3007, 3008 e 3009) para o lado do servidor.
• SMBClient\Connectivity (evento 30831) para correlacionar conexões do ponto de vista do cliente.

Esses eventos incluem dados sobre certificados de cliente (exceto o raiz), como assunto, emissor, número de série, hashes SHA1/SHA256 e quais entradas de controle de acesso foram aplicadas a cada solicitação, bem como um identificador de conexão que facilita a referência cruzada de informações entre cliente e servidor.

Segurança de rede em torno de PMEs: segmentação e firewall

O SMB sobre QUIC não existe isoladamente; faz parte de uma estratégia de segurança de rede mais ampla . A Microsoft recomenda complementar esse túnel criptografado com técnicas de segmentação e isolamento para minimizar a movimentação lateral e a exposição desnecessária.

Como regra geral, a porta TCP 445 deve permanecer bloqueada para tráfego de entrada e saída da internet, exceto em casos específicos como o Azure Files ou outros serviços de nuvem controlados. Quando o SMB for necessário na nuvem pública, recomenda-se encapsulá-lo em uma VPN ou usar o SMB diretamente sobre QUIC para reduzir a superfície de ataque.

Na rede interna, é importante fazer um inventário do tráfego SMB (quem está se comunicando com quem, quais recursos estão sendo usados ​​e quais servidores estão expondo recursos compartilhados realmente necessários). Ferramentas como módulos do PowerShell (por exemplo, Get-FileShareInfo) e auditoria de acesso a compartilhamentos ajudam a entender o que está em uso e o que não está.

O Firewall do Windows Defender com Segurança Avançada é outro componente essencial . Você pode criar regras de entrada e saída que bloqueiam o SMB globalmente e usar a ação "Permitir conexão se segura" para definir listas de permissões com base na autenticação IPsec ou Kerberos com encapsulamento nulo, permitindo apenas controladores de domínio e servidores de arquivos autorizados.

Nas versões recentes do Windows (Windows 11 24H2 e Windows Server 2025) , as regras de firewall integradas não abrem mais automaticamente as portas NetBIOS 137-139 ao criar recursos compartilhados, reforçando assim a segurança padrão. Caso seja necessário manter o SMB1 (não recomendado, exceto em casos extremos de sistemas legados), será preciso abrir essas portas manualmente.

Casos de uso, perguntas frequentes e integração com o OneDrive/SharePoint.

Um dos debates mais comuns é se as PMEs que utilizam o QUIC podem substituir soluções como o OneDrive ou o SharePoint . A resposta curta é que elas não foram projetadas para o mesmo propósito, embora haja alguma sobreposição.

O SMB sobre QUIC fornece acesso remoto direto a compartilhamentos de servidor , com a mesma estrutura de pastas, permissões NTFS e fluxos de trabalho que você já possui em sua rede local. É ideal para usuários e aplicativos que dependem de caminhos UNC, bloqueios de arquivos, fluxos de dados contínuos ou recursos clássicos de servidor de arquivos.

O OneDrive e o SharePoint, por outro lado, funcionam como serviços SaaS com sincronização, colaboração online e o ecossistema do Microsoft 365. Eles são mais adequados para trabalho colaborativo, edição simultânea no Office, controle de versão no estilo de documentos e acesso de qualquer lugar sem se preocupar com a infraestrutura de servidores.

Em relação a grupos de trabalho sem domínio , o SMB sobre QUIC pode ser usado, mas não é uma solução milagrosa e não transforma magicamente um grupo de PCs em um sistema distribuído "Dropbox P2P". Sim, uma máquina pode atuar como um servidor SMB sobre QUIC e expor recursos para as demais, desde que possua um certificado válido e seja acessível pela porta UDP 443, mas:

• O computador que hospeda os arquivos deve permanecer ligado e acessível. para que outros possam se conectar.
• Não existe sincronização de dados nativa entre todos os dispositivos.SMB sobre QUIC é acesso remoto, não replicação automática no modo multi-mestre.
• Configure um “sistema descentralizado” onde todas as máquinas sejam simultaneamente servidor e cliente. Isso exigiria uma camada adicional de software de replicação ou clustering; o QUIC não resolve isso sozinho.

Em termos mais simples: não, você não descobriu uma alternativa mágica ao OneDrive para sincronizar tudo em todos os sistemas sem infraestrutura . O que você tem é uma maneira poderosa e segura de expor os recursos do seu servidor de arquivos à internet sem uma VPN, mantendo as permissões e ferramentas familiares.

Novos recursos no Windows Server 2025 relacionados ao SMB em QUIC

O Windows Server 2025 traz diversas melhorias que oferecem suporte direto ao SMB sobre QUIC e à ideia de proporcionar acesso remoto seguro e eficiente a recursos locais e de perímetro.

Por um lado, reforça o suporte a SMB em relação ao QUIC como componente central para ambientes híbridos e de teletrabalho, com foco claro em conexões criptografadas de ponta a ponta sem VPN, melhor desempenho em redes de alta latência e preferência por certificados TLS e Kerberos em vez de NTLM.

Por outro lado, amplia as capacidades de gerenciamento e alta disponibilidade graças a recursos como hotpatching (aplicação de patches críticos sem reinicialização, especialmente no Datacenter: Azure Edition) e integração mais profunda com o Windows Admin Center, Hyper-V, contêineres e Azure Arc.

O Azure Arc e os serviços associados (Monitor, Política, Automação) permitem tratar servidores físicos ou virtuais como recursos de nuvem, aplicando políticas de segurança, atualizações e auditorias de forma uniforme, o que é especialmente útil quando esses servidores expõem recursos SMB via QUIC à Internet.

Embora a versão final do Windows Server 2025 ainda esteja em fase de avaliação técnica , a prévia disponível através do Windows Insider já demonstra claramente que o modelo de acesso remoto envolve protocolos modernos como o QUIC e a integração do servidor de arquivos clássico em cenários híbridos e multicloud.

O SMB sobre QUIC tornou-se uma ferramenta estratégica para o compartilhamento seguro de arquivos pela internet . Ele combina o protocolo SMB, já conhecido, com um método de transporte moderno, criptografado e resiliente como o QUIC, simplifica o acesso remoto sem exigir a implantação e manutenção de VPNs complexas, permite um controle de acesso preciso usando certificados de cliente, integra-se ao Kerberos por meio de um proxy KDC e está alinhado com as práticas de segmentação e reforço de segurança do tráfego SMB. Quando bem projetado (com certificados cuidadosamente gerenciados, um firewall bem configurado, auditoria ativa e uma política de senhas robusta ou autenticação sem senha), oferece uma maneira muito segura de expor servidores de arquivos ao mundo externo, mantendo o controle sobre quem acessa esses servidores, de onde e com quais garantias.