Ligtas na magbahagi ng mga file sa SMB sa QUIC

Ang ligtas na pagbabahagi ng mga file sa internet nang walang tradisyonal na VPN ay hindi na isang futuristic na ideya: sa SMB sa QUIC, ito ay isang tunay na posibilidad at, kapag na-configure nang maayos, lubos itong matatag. Pinagsasama ng pamamaraang ito ang nasubukan at nasubok na SMB protocol sa QUIC, isang modernong mekanismo ng transportasyon na idinisenyo para sa malupit na mga network tulad ng internet, na nag-aalok ng halos walang putol na karanasan ng gumagamit.

Sa mga sumusunod na linya, makikita mo kung paano gumagana ang SMB sa QUIC, kung ano ang kailangan mo para mapagana ito, kung paano ito pinamamahalaan, at kung paano ito umaangkop sa iyong estratehiya sa seguridad . Sasagutin din natin ang mga karaniwang tanong (tulad ng kung maaari nitong palitan ang OneDrive o kung angkop ito para sa mga workgroup), pati na rin ang mga pagpapabuting hatid ng Windows Server 2025 sa protocol na ito.

Ano ang SMB sa QUIC at bakit mahalaga para sa malayuang pag-access?

Ang SMB over QUIC ay, sa pagsasagawa, isang "SMB VPN" na isinama sa mismong file protocol . Sa halip na ilipat ang SMB sa pamamagitan ng TCP (port 445), isinasama nito ang komunikasyon sa loob ng QUIC gamit ang UDP 443, ang parehong port na ginagamit ng HTTPS, na lumilikha ng isang naka-encrypt na tunnel na may TLS 1.3 sa pagitan ng client at ng file server.

Ang QUIC ay isang pamantayan ng IETF na nag-aalok ng ilang malinaw na bentahe kumpara sa TCP : lahat ng packet ay palaging naka-encrypt, ang handshake ay pinapatunayan gamit ang TLS 1.3, pinapayagan nito ang maaasahan at hindi maaasahang parallel flows, maaari itong magpadala ng data ng aplikasyon sa unang round trip (0-RTT), at pinapabuti nito ang pagkontrol sa congestion at pagbawi ng loss, na nakakayanan kahit ang mga pagbabago sa client IP o port (karaniwan sa mga mobile network o sa mga pagbabago mula sa Wi-Fi patungong 4G).

Mula sa pananaw ng gumagamit, ang SMB ay patuloy na kumikilos gaya ng dati : access sa mga ibinahaging mapagkukunan sa pamamagitan ng mga UNC path, paggamit ng File Explorer, mga script na may NET USE o New-SmbMapping, atbp. Ang mga advanced na tampok tulad ng multichannel, signing, compression, continuous availability, at directory leasing ay patuloy na gumagana sa loob ng QUIC tunnel nang hindi napapansin ng gumagamit.

Ang pangunahing bentahe ay ang lahat ng trapiko ng SMB (kabilang ang authentication at authorization) ay naglalakbay sa loob ng TLS 1.3 tunnel at hindi kailanman inilalantad sa malinaw na teksto sa intermediary network. Dahil dito, ang SMB sa pamamagitan ng QUIC ay isang kaakit-akit na opsyon para sa mga remote worker, mobile device , at mga organisasyong naghahangad na mabawasan ang kanilang pag-asa sa mga tradisyonal na VPN.

Mga kinakailangan para sa paggamit ng SMB sa QUIC

Bago mo i-click ang button na "Configure" sa Windows Admin Center , may ilang mga kinakailangan na dapat matugunan sa parehong server at client side. Kung alinman sa mga ito ay mabigo, ang karanasan ay magiging nakakadismaya.

Mga katugmang SMB server

Kailangan mo ng SMB server na tumatakbo sa isang tugmang bersyon ng Windows , karaniwang Windows Server 2022 Datacenter: Azure Edition (lalo na sa mga Azure Stack HCI o Azure On-Premise na kapaligiran) o mga mas bagong bersyon tulad ng Windows Server 2025, kung saan ang SMB sa QUIC ay mas integrated at may mga bagong kakayahan.

Mga katugmang Windows client

Sa panig ng kliyente, ang pangunahing bahagi ngayon ay ang Windows 11 (mga edisyon ng enterprise) , na kinabibilangan ng SMB client na may suporta para sa QUIC. Simula sa Windows 11 24H2, naidagdag na ang mga pagpapabuti tulad ng advanced auditing ng mga koneksyon ng SMB sa QUIC sa Event Viewer.

Pagsasama sa Active Directory o workgroup

Inirerekomenda ng Microsoft ang paggamit ng SMB kaysa sa QUIC gamit ang mga Active Directory domain , upang ang SMB server at client ay konektado sa iisang domain o mga pinagkakatiwalaang domain. Dapat na makipag-ugnayan ang server sa kahit isang domain controller para sa authentication, bagama't hindi kinakailangang magkaroon ng internet access ang domain controller na iyon.

Gayunpaman, ang pagkakaroon ng domain ay hindi sapilitan . Maaari mo ring i-set up ang SMB sa QUIC sa mga workgroup environment gamit ang mga local at NTLM account, o kahit sa mga IaaS server na nakakonekta sa Microsoft Entra (dating Azure AD), na may ilang mga paalala: hindi maaaring gamitin ng huli ang mga kredensyal ng Entra para sa mga remote security operation dahil hindi pinamamahalaan ng Entra ID ang mga user o group SID, kaya sa pagsasagawa ay kakailanganin mo pa ring gumamit ng mga local o tradisyonal na domain account upang ma-access ang shared resource.

Mga port at firewall

Isa sa mga pinakamahalagang punto ay ang configuration ng network . Dapat ma-access ng mga kliyente ang server sa pampublikong interface nito sa pamamagitan ng isang firewall rule na nagpapahintulot sa papasok na trapiko ng UDP/443. Mahalagang huwag buksan ang TCP/445 sa internet: dapat harangan ang klasikong SMB access sa pamamagitan ng 445 sa perimeter.

Kung kailangan mong baguhin ang default na port (dahil sa mga panloob na patakaran o mga salungatan sa iba pang mga serbisyo), maaaring i-configure ang mga alternatibong port para sa SMB, ngunit ang karaniwan at inirerekomendang kasanayan para sa QUIC ay ang pagpapanatili ng UDP 443, dahil pinapadali nito ang pagtawid sa mga karaniwang firewall at proxy.

Windows Admin Center at PKI

Para mapadali ang administrasyon, inirerekomendang gamitin ang pinakabagong bersyon ng Windows Admin Center (WAC), na may kasamang mga partikular na wizard para sa pagpapagana at pamamahala ng SMB sa pamamagitan ng QUIC. Gayunpaman, gaya ng nabanggit ng ilang user, kung ang button na "Configure" ay hindi tumutugon, halos palaging senyales ito ng nawawalang prerequisite (hindi na-install na role, hindi sapat na mga pahintulot, luma na ang WAC, may problemang browser, atbp.).

Bukod sa WAC, kailangan mo rin ng public key infrastructure (PKI) na kayang mag-isyu ng mga angkop na server certificate, tulad ng Active Directory Certificate Services CA o isang pinagkakatiwalaang public CA tulad ng Digicert, Let's Encrypt, atbp. Kung walang valid na certificate, hindi maitatatag ng QUIC ang tunnel.

Mga SMB certificate at pangunahing configuration sa QUIC

Ang puso ng SMB kaysa sa QUIC ay ang sertipiko ng server . Kung wala ito, walang TLS 1.3 tunnel o endpoint authentication, kaya ito ang unang bagay na kailangang maayos na ma-secure.

Mga tampok ng sertipiko ng server

Ang sertipiko ng server na gagamitin mo para sa QUIC ay dapat matugunan ang isang serye ng mga teknikal na kinakailangan :

• Key paggamit: digital na lagda.
• Layunin (EKU): pagpapatunay ng server (OID 1.3.6.1.5.5.7.3.1).
• Signature algorithm: SHA256RSA o mas mataas, na may SHA256 hash o mas mataas.
• Clave pública: mas mabuti ang ECDSA_P256 o mas mataas; Sinusuportahan din ang RSA na may minimum na 2048 bits.
• Alternatibong Pangalan ng Paksa (SAN): dapat magsama ng mga DNS entry para sa lahat ng FQDN na gagamitin ng mga kliyente para ma-access ang SMB server.
• Paksa (CN)Maaari itong maging "halos" kahit anong gusto mo, ngunit dapat itong umiiral at sundin ang mga mahusay na kasanayan sa pagpapalabas.
• Kasama ang pribadong key: tiyak na oo, naka-imbak sa server ng computer.

Kung gumagamit ka ng Microsoft Enterprise CA , ang pinakamadaling paraan ay ang paggawa ng template ng sertipiko na partikular para sa SMB sa pamamagitan ng QUIC. Pagkatapos ay maaaring humiling ang file server administrator ng sertipiko sa pamamagitan ng pagtukoy ng mga naaangkop na pangalan ng DNS. Ang dokumentasyon ng Microsoft sa disenyo at pagpapatupad ng PKI ay nagpapaliwanag nang detalyado sa proseso ng template.

Paghiling ng sertipiko mula sa server

Sa isang kapaligirang may Active Directory CA , ang karaniwang daloy ay magiging:

1. Simulan ang MMC sa file server at idagdag ang Certificates snap-in para sa computer account.
2. Mag-navigate sa Mga Sertipiko (lokal na computer) > Personal > Mga Sertipiko at piliin ang “Humiling ng bagong sertipiko”.
3. Piliin ang patakaran sa pagpapatala ng Active Directory at i-click ang Susunod hanggang sa maabot mo ang listahan ng mga template.
4. Markahan ang template na ginawa para sa SMB sa QUIC.
5. Punan ang Paksa ng isang karaniwang pangalan na kapaki-pakinabang para sa mga gumagamit na makilala ang server at idagdag ang lahat ng mga pangalan ng DNS na gagamitin sa mga SAN.
6. Kumpirmahin at kumpletuhin ang pagpaparehistro upang mai-install ang sertipiko sa bodega ng kagamitan.

Kung gagamit ka ng third-party public CA , ang proseso ay kinabibilangan ng pagbuo ng CSR mula sa server at pagsunod sa partikular na gabay ng vendor upang mag-isyu ng certificate na may naaangkop na EKU, SAN, at algorithm.

Paganahin ang SMB sa QUIC sa server

Kapag mayroon ka nang sertipiko, oras na para i-activate ang SMB gamit ang QUIC . Hindi ito pinapagana ng server bilang default, at hindi ito maaaring "pilitin" nang walang pahintulot ng mga kliyente, dahil sa mga halatang kadahilanang pangseguridad.

Maaaring gawin ang pag-configure sa pamamagitan ng Windows Admin Center o PowerShell . Sa WAC, may isang wizard na magpo-prompt sa iyo na piliin ang certificate at paganahin ang QUIC. Sa PowerShell, ang proseso ay kinabibilangan ng paggamit ng mga cmdlet ng SMB server certificate mapping para sa QUIC (New-SmbServerCertificateMapping at Set-SmbServerCertificateMapping, depende sa senaryo).

Tungkol sa trapiko ng kliyente , susubukan pa rin ng Windows ang SMB sa pamamagitan ng TCP nang normal muna. Susubukan lamang nito ang QUIC kung mabigo ang pagtatangka ng TCP o kung tahasan mong sinabihan itong gumamit ng QUIC gamit ang mga utos tulad ng:

• NET USE /TRANSPORT:QUIC
• New-SmbMapping -TransportType QUIC

Pagkonekta ng mga kliyente sa mga nakabahaging mapagkukunan ng SMB sa QUIC

Mula sa pananaw ng gumagamit, ang pag-access sa mga SMB resources sa pamamagitan ng QUIC ay halos kapareho ng tradisyonal na pag-access , na may pagkakaiba na ngayon ang trapikong ito ay protektado sa loob ng QUIC/TLS 1.3 tunnel at naglalakbay sa Internet nang hindi inilalantad ang port 445.

Ihanda ang kliyente at resolusyon ng pangalan

Kung ang client ay kabilang sa isang domain , ang normal na gawin ay ikonekta ang Windows device sa kaukulang domain at tiyaking ang mga pangalan ng server na ginamit sa mga UNC path ay nai-publish sa DNS at tumutugma sa mga SAN ng file server certificate.

Sa mga sitwasyon kung saan hindi nireresolba ng DNS ang mga pangalang iyon , maaaring gamitin ang HOSTS file ng kliyente upang imapa ang FQDN ng server sa pampublikong IP address nito. Ang mahalaga ay ang pangalang ilalagay ng user sa UNC path ay isa sa mga kasama sa sertipiko ng server.

Kumokonekta mula sa mga panlabas na network

Ang karaniwang gamit nito ay ang client ay nasa labas ng corporate network , nang walang direktang access sa mga internal domain controller o sa mga pribadong IP ng file server. Dito nagniningning ang QUIC: ang tunnel ay itinatatag sa internet gamit ang UDP port 443, nang hindi nangangailangan ng karagdagang VPN.

Para sa gumagamit, maaaring gawin ang pag-access mula sa File Explorer sa pamamagitan ng pag-type ng UNC path papunta sa nakabahaging mapagkukunan (halimbawa, \\fsedge1.contoso.com\sales). Bilang kahalili, maaaring gamitin ang mga sumusunod:

• NET USE * \\fsedge1.contoso.com\ventas (sinusubukan ang TCP at pagkatapos ay awtomatikong QUIC kung nabigo ang TCP).
• NET USE * \\fsedge1.contoso.com\ventas /TRANSPORT:QUIC (QUIC force).
• New-SmbMapping -LocalPath 'Z:' -RemotePath '\\fsedge1.contoso.com\ventas' -TransportType QUIC (sa pamamagitan ng PowerShell).

Kung mabigo ang koneksyon kapag pinilit mo ang QUIC , kadalasan itong senyales na sinusubukang itatag ang tunnel ngunit may hindi na-set up nang tama sa firewall, certificate, o mapping configuration.

Pagpapatotoo: NTLMv2, Kerberos, at KDC proxy

Bilang default, kapag ang isang client ay kumokonekta sa isang SMB file server sa pamamagitan ng QUIC mula sa internet , wala itong direktang visibility ng mga internal domain controller. Sa kontekstong ito, ang authentication ay nahuhulog sa NTLMv2, kung saan ang server ay nag-a-authenticate sa ngalan ng user, ngunit palaging nasa loob ng TLS 1.3 tunnel (walang credentials ang ipinapakita sa labas ng QUIC).

Bagama't katanggap-tanggap ang NTLMv2 sa loob ng tunnel, inirerekomenda ng Microsoft ang pagpapanatili ng Kerberos hangga't maaari , dahil nag-aalok ito ng mas matatag na modelo ng seguridad at iniiwasan ang pangmatagalang pag-asa sa NTLM.

KDC proxy upang paganahin ang Kerberos sa pamamagitan ng Internet

Para maipagpatuloy ang paggamit ng Kerberos nang hindi direktang inilalantad ang mga domain controller sa internet , maaari mong i-configure ang KDC proxy. Tumatanggap ang serbisyong ito ng mga kahilingan sa tiket ng Kerberos sa pamamagitan ng HTTPS (TCP port 443), ipinapasa ang mga ito sa mga internal na DC, at tumutugon sa client, lahat nang hindi nagpapadala ng malinaw na mga kredensyal sa panlabas na network.

Kasama sa configuration ang ilang hakbang sa file server :

1. Magrehistro ng listening URL para sa proxy na may NETSH, kadalasan sa https://+:443/KdcProxy, gamit ang account na “NT AUTHORITY\Network Service”.
2. I-configure ang ilang partikular na KPSSVC service (KDC proxy) registry key para isaayos ang HTTPS authentication at paganahin ang mga kinakailangang sitwasyon.
3. I-link ang naaangkop na certificate sa port 443 gamit ang Add-NetIPHttpsCertBinding, gamit ang fingerprint ng SMB certificate sa QUIC.
4. Magdagdag ng mga pangalan ng SMB sa QUIC ng server bilang mga SPN sa Active Directory (halimbawa, may NETDOM computername).
5. I-configure ang serbisyo ng kpssvc para sa awtomatikong pagsisimula at simulan ito.

Sa panig ng kliyente, ginagamit ang patakaran ng grupo. Upang tukuyin ang mga KDC proxy server para sa mga kliyente ng Kerberos, na iniuugnay ang AD domain (hal., corp.contoso.com) sa panlabas na URL ng proxy (tulad ng https fsedge1.contoso.com:443:kdcproxy /).

Dahil dito, kapag sinubukan ng isang user mula sa corp.contoso.com na i-access ang fsedge1.contoso.com , malalaman ng client na kontakin ang proxy na iyon para makakuha ng mga Kerberos ticket, nang hindi kinakailangang direktang makipag-usap sa mga internal na DC.

Pag-expire at pag-renew ng mga sertipiko

Isa sa mga pinakanakakaligtaan na aspeto sa pagsasagawa ay ang pamamahala ng lifecycle ng sertipiko . Kapag ang isang sertipiko ng SMB sa pamamagitan ng QUIC ay nag-expire at nag-isyu ng bago, nagbabago ang digital fingerprint, kahit na awtomatiko itong i-renew ng parehong CA.

Nangangahulugan ito na kailangang ma-update ang configuration ng SMB sa QUIC. upang iugnay ang bagong sertipiko. Magagawa mo ito mula sa Windows Admin Center sa pamamagitan ng pagpili sa bagong certificate sa mga kasalukuyang setting, o sa pamamagitan ng PowerShell gamit ang Set-SMBServerCertificateMapping upang maghangad ng sariwang bakas ng paa.

Upang maiwasan ang mga pagkaantala ng serbisyo dahil sa hindi inaasahang pag-expire , iminumungkahi ng Microsoft ang paggamit ng mga tool tulad ng Azure Automanage para sa Windows Server, na tumutulong sa pagsubaybay at pag-automate ng mga pag-renew ng sertipiko at iba pang mga gawain sa pagpapanatili.

Kontrol sa pag-access ng customer na may mga sertipiko

Bukod sa naka-encrypt na tunneling at user authentication, ang SMB sa QUIC ay maaaring maglapat ng karagdagang access control batay sa mga client certificate . Ang karagdagang layer ng seguridad na ito ay nagbibigay-daan sa iyong tahasang tukuyin kung aling mga device ang maaaring magtatag ng mga koneksyon ng QUIC sa server.

Paano gumagana ang kontrol sa pag-access ng customer

Nagpapanatili ang server ng listahan ng kontrol sa pag-access sa sertipiko (mga listahan ng payagan at harangan) at, kapag sinubukan ng isang kliyente na kumonekta, unang pinapatunayan ang kadena ng sertipiko ng kliyenteng iyon. Sinusuri ng server ang:

• Tiyaking valid ang chain ng certificate at inisyu ng isang CA na pinagkakatiwalaan mo.
• Na ang sertipiko o ang nagbigay nito ay naroroon (pinapayagan o tinanggihan) sa mga listahan ng kontrol sa pag-access.

Maaaring gamitin ang mga client certificate sa SAN , tulad ng sa isang server, at ang desisyon sa pag-access ay ginagawa sa pamamagitan ng pagsusuri kung mayroong mga permit o block entry para sa leaf certificate o para sa alinman sa mga issuer sa chain. Ang isang single deny entry sa chain ay nangunguna kaysa sa mga permit entry.

Nagbibigay-daan ito para sa mga flexible na senaryo : maaari mong payagan ang lahat ng sertipiko na inisyu ng isang partikular na CA, ngunit tanggihan ang ilang partikular na device sa pamamagitan ng pagdaragdag ng kanilang mga hash bilang naka-block, o kabaliktaran, harangan ang isang buong CA maliban sa mga napaka-kontroladong eksepsiyon.

Mga kinakailangan para sa kontrol sa pag-access ng customer

Sa server, kailangan mo ng Windows Server 2022 Datacenter: Azure Edition na may March 2024 update na KB5035857 (at, para sa ilang feature sa preview, ang Feature Preview package na 240302_030531) o mga mas bagong bersyon tulad ng Windows Server 2025. Bukod pa rito, siyempre, dapat ay naka-enable na ang SMB over QUIC.

Sa panig ng SMB client , dapat ay mayroon kang sinusuportahang operating system at client certificate na may client authentication EKU (OID 1.3.6.1.5.5.7.3.2), na inisyu ng isang CA na pinagkakatiwalaan ng server, at naka-install sa certificate store ng computer.

Magtalaga ng mga sertipiko at magbigay ng access

Ang karaniwang proseso ay nagsisimula sa kliyente, kung saan kinukuha niya ang digital fingerprint ng kanilang sertipiko :

1. Maglista ng mga sertipiko sa Cert:\LocalMachine\My gamit ang PowerShell.
2. I-filter ayon sa paksa kung saan ka interesado at i-save ito sa isang variable.
3. Kunin ang iyong SHA256 hash gamit ang $clientCert.GetCertHashString("SHA256").

Pagkatapos ay nilikha ang SMB client certificate mapping sa New-SmbClientCertificateMappingtinutukoy ang namespace (server FQDN) at ang kaukulang fingerprint. Mula sa sandaling iyon, gagamitin ng kliyente ang certificate na iyon kapag kumokonekta sa server na tumutugma sa namespace na iyon.

Sa server, kinakailangan ang pagpapatunay ng kliyente. sa Set-SmbServerCertificateMapping -RequireClientAuthentication $trueMula doon, ibinibigay ang mga pahintulot sa mga partikular na kliyente na may Grant-SmbClientAccessToServer o sila ay naharang sa Block-SmbClientAccessToServer, gamit bilang identifier ang SHA256 hash ng certificate leaf o ang Subject ng issuer.

Audit at mga log ng kaganapan para sa SMB sa QUIC

Sa mga kritikal na kapaligiran, ang visibility ay kasinghalaga ng seguridad . Isinasama ng SMB sa QUIC ang mga kakayahan sa pag-audit sa parehong panig ng client at server upang makatulong sa pag-diagnose ng mga problema at pagsubaybay sa access.

Sa mga client na nagpapatakbo ng Windows 11 24H2 at mas bago , inilalathala ng Event Viewer ang impormasyon ng koneksyon ng SMB tungkol sa QUIC sa path na Application and Services Logs\Microsoft\Windows\SMBClient\Connectivity, kung saan, halimbawa, ang event 30832 ay sumasalamin sa mga detalye ng mga koneksyon ng QUIC.

Sa server, maaari mong paganahin ang pag-audit ng pag-access ng mga sertipiko ng kliyente sa Set-SmbServerConfiguration -AuditClientCertificateAccess $trueAng mga nauugnay na kaganapan ay naitala sa:

• SMBServer\Audit (mga kaganapan 3007, 3008 at 3009) para sa panig ng server.
• SMBClient\Connectivity (event 30831) upang maiugnay ang mga koneksyon mula sa pananaw ng kliyente.

Kabilang sa mga kaganapang ito ang data tungkol sa mga client certificate (maliban sa root) tulad ng subject, issuer, serial number, SHA1/SHA256 hash at kung aling mga access control entry ang inilapat sa bawat kahilingan, pati na rin ang isang connection identifier na nagpapadali sa cross-referenceing na impormasyon sa pagitan ng client at server.

Seguridad sa network sa paligid ng SMB: segmentation at firewall

Ang SMB sa QUIC ay hindi umiiral nang mag-isa; ito ay bahagi ng mas malawak na estratehiya sa seguridad ng network . Inirerekomenda ng Microsoft na dagdagan ang naka-encrypt na tunnel na ito ng mga pamamaraan ng segmentasyon at paghihiwalay upang mabawasan ang paggalaw sa gilid at hindi kinakailangang pagkakalantad.

Bilang pangkalahatang tuntunin, ang TCP port 445 ay dapat manatiling naka-block papunta at mula sa internet , papasok man o palabas, maliban sa mga partikular na kaso tulad ng Azure Files o iba pang kontroladong serbisyo sa cloud. Kapag kinakailangan ang SMB sa pampublikong cloud, inirerekomenda na i-encapsulate ito sa isang VPN o gamitin ang SMB nang direkta sa pamamagitan ng QUIC upang mabawasan ang antas ng pag-atake.

Sa internal network, mahalagang imbentaryo ang trapiko ng SMB (sino ang kausap kanino, anong mga resources ang ginagamit, at kung aling mga server ang naglalantad ng tunay na kinakailangang shared resources). Ang mga tool tulad ng PowerShell modules (halimbawa, Get-FileShareInfo) at share access auditing ay makakatulong sa iyong maunawaan kung ano ang ginagamit at kung ano ang hindi.

Ang Windows Defender Firewall na may Advanced Security ay isa pang mahalagang bahagi . Maaari kang lumikha ng mga papasok at palabas na panuntunan na humaharang sa SMB sa buong mundo at gamitin ang aksyon na "Payagan ang koneksyon kung ligtas" upang tukuyin ang mga allowlist batay sa IPsec o Kerberos authentication na may null encapsulation, na nagpapahintulot lamang sa mga awtorisadong domain controller at file server.

Sa mga kamakailang bersyon ng Windows (Windows 11 24H2 at Windows Server 2025) , hindi na awtomatikong binubuksan ng built-in na mga panuntunan sa firewall ang mga port ng NetBIOS 137-139 kapag lumilikha ng mga nakabahaging mapagkukunan, kaya pinapalakas nito ang default na seguridad. Kung kailangang panatilihin ng isang tao ang SMB1 (hindi inirerekomenda maliban sa mga matinding legacy na kaso), kakailanganin nilang buksan nang manu-mano ang mga port na ito.

Mga kaso ng paggamit, mga madalas itanong at kaugnayan sa OneDrive/SharePoint

Isa sa mga pinakakaraniwang debate ay kung ang mga SMB sa QUIC ay maaaring pumalit sa mga solusyon tulad ng OneDrive o SharePoint . Ang maikling sagot ay hindi sila idinisenyo para sa parehong layunin, kahit na mayroong ilang pagsasanib.

Ang SMB sa QUIC ay nagbibigay ng direktang malayuang pag-access sa mga server share , na may parehong istruktura ng folder, mga pahintulot sa NTFS , at mga workflow na mayroon ka na sa iyong lokal na network. Ito ay mainam para sa mga user at application na umaasa sa mga UNC path, mga file lock, mga tuloy-tuloy na daloy ng data, o mga klasikong feature ng file server.

Sa kabilang banda, ang OneDrive at SharePoint ay gumagana bilang mga serbisyo ng SaaS na may synchronization, online collaboration, at sa Microsoft 365 ecosystem . Mas angkop ang mga ito para sa collaborative work, sabay-sabay na pag-edit sa Office, pagkontrol ng bersyon na parang dokumento, at pag-access mula sa kahit saan nang hindi nababahala tungkol sa imprastraktura ng server.

Tungkol sa mga domain-less workgroup , maaaring gamitin ang SMB sa pamamagitan ng QUIC, ngunit hindi ito isang panlunas sa lahat at hindi mahiwagang binabago ang isang grupo ng mga PC sa isang "Dropbox P2P" distributed system. Oo, ang isang makina ay maaaring magsilbing SMB server sa pamamagitan ng QUIC at ilantad ang mga resources sa iba, basta't mayroon itong wastong sertipiko at maa-access sa pamamagitan ng UDP port 443, ngunit:

• Ang machine na nagho-host ng mga file ay dapat manatiling naka-on at naa-access. para maka-connect ang iba.
• Walang native na data synchronization sa pagitan ng lahat ng deviceAng SMB over QUIC ay malayuang pag-access, hindi awtomatikong pagtitiklop sa multi-master mode.
• Mag-set up ng "desentralisadong sistema" kung saan ang lahat ng makina ay parehong server at kliyente nang sabay Mangangailangan ito ng isa pang layer ng replication software o clustering; Hindi ito malulutas ng QUIC sa sarili nitong.

Sa mas simpleng salita: hindi, hindi mo pa natutuklasan ang isang mahiwagang alternatibo sa OneDrive para sa pag-sync ng lahat sa lahat ng sistema nang walang imprastraktura . Ang mayroon ka ay isang makapangyarihan at ligtas na paraan upang ilantad ang mga mapagkukunan ng iyong file server sa internet nang walang VPN, habang pinapanatili ang mga pamilyar na pahintulot at tool.

Mga bagong feature sa Windows Server 2025 na nauugnay sa SMB sa QUIC

Ang Windows Server 2025 ay may kasamang ilang mga pagpapabuti na direktang sumusuporta sa SMB kumpara sa QUIC at ang ideya ng pag-aalok ng ligtas at mahusay na malayuang pag-access sa mga on-premise at perimeter resources.

Sa isang banda, pinapalakas nito ang suporta ng SMB kaysa sa QUIC bilang isang pangunahing bahagi para sa mga hybrid at teleworking na kapaligiran, na may malinaw na pagtuon sa mga end-to-end na naka-encrypt na koneksyon nang walang VPN, mas mahusay na pagganap sa mga high-latency network, at isang kagustuhan para sa mga sertipiko ng TLS at Kerberos kaysa sa NTLM.

Sa kabilang banda, pinalalawak nito ang mga kakayahan sa pamamahala at mataas na availability salamat sa mga tampok tulad ng hotpatching (paglalapat ng mga kritikal na patch nang hindi nagre-restart, lalo na sa Datacenter: Azure Edition) at mas malalim na integrasyon sa Windows Admin Center, Hyper-V, mga container, at Azure Arc.

Ang Azure Arc at mga kaugnay na serbisyo (Monitor, Policy, Automation) ay nagbibigay-daan sa iyong ituring ang mga pisikal o virtual na server bilang mga cloud resource, na naglalapat ng mga patakaran sa seguridad, mga update, at pag-audit nang pantay-pantay, na lalong kapaki-pakinabang kapag inilalantad ng mga server na iyon ang mga SMB resource sa pamamagitan ng QUIC sa Internet.

Bagama't ang pinal na bersyon ng Windows Server 2025 ay nasa teknikal na yugto pa lamang ng pagsusuri , ang preview na makukuha sa pamamagitan ng Windows Insider ay malinaw na nagpapakita na ang modelo ng remote access ay kinabibilangan ng mga modernong protocol tulad ng QUIC at pagsasama ng klasikong file server sa mga hybrid at multicloud na senaryo.

Ang SMB sa pamamagitan ng QUIC ay naging isang estratehikong kasangkapan para sa ligtas na pagbabahagi ng mga file sa internet . Pinagsasama nito ang pamilyar na SMB protocol sa isang moderno, naka-encrypt, at matatag na paraan ng transportasyon tulad ng QUIC, pinapasimple ang malayuang pag-access nang hindi nangangailangan ng pag-deploy at pagpapanatili ng mga kumplikadong VPN, nagbibigay-daan para sa pinong-tuning na kontrol sa pag-access gamit ang mga client certificate, isinasama sa Kerberos sa pamamagitan ng isang KDC proxy, at naaayon sa segmentasyon ng trapiko ng SMB at mga kasanayan sa pagpapatibay. Kapag mahusay ang disenyo (na may maingat na pinamamahalaang mga sertipiko, isang pinong-tuning na firewall, aktibong pag-awdit, at isang matatag na patakaran sa password o passwordless authentication), nag-aalok ito ng isang napaka-secure na paraan upang ilantad ang mga file server sa labas ng mundo habang pinapanatili ang kontrol sa kung sino ang nag-a-access sa mga ito, mula saan, at kung anong mga garantiya ang ibinibigay.