Windows 10 से SYSVOL और NETLOGON फोल्डर तक पहुंचने में असमर्थ

मैंने Windows 10/Windows Server 2016 से डोमेन में SYSVOL और NETLOGON फोल्डर तक पहुंचने का प्रयास करते समय कुछ अजीब चीजें देखीं। जब मैंने UNC पथ \\<domain.com>\SYSVOL द्वारा डोमेन तक पहुंचने की कोशिश की या डोमेन कंट्रोलर IP पते \\192.168.100.10\Netlogon द्वारा, तो 'Access is denied' त्रुटि दिखाई दी और फोल्डर तक पहुंचने के लिए उपयोगकर्ता क्रेडेंशियल दर्ज करने के लिए Windows Security प्रॉम्प्ट आया। मान्य डोमेन उपयोगकर्ता या यहां तक कि डोमेन एडमिनिस्ट्रेटर क्रेडेंशियल दर्ज करने के बाद भी, फोल्डर अभी भी नहीं खुले।

इस बीच, वही Sysvol/Netlogon फोल्डर सामान्य रूप से (पासवर्ड के बिना) खुलता है यदि आप डोमेन कंट्रोलर होस्ट या FQDN नाम निर्दिष्ट करते हैं: \\be-dc1.domain.com\sysvol या बस \\be-dc1\sysvol।

साथ ही, समस्या वाले कंप्यूटर्स पर ग्रुप पॉलिसी लागू करने में समस्याएं हो सकती हैं। आप इवेंट व्यूअर लॉग में EventID 1058 के साथ त्रुटियां पा सकते हैं:

The processing of Group Policy failed. Windows attempted to read the file \\domain.com\sysvol\domain.cpo\Policies\{GPO GUID}\gpt.ini from a domain controller and was not successful. Group Policy settings may not be applied until this event is resolved.

यह डोमेन कंप्यूटर्स को अविश्वसनीय स्रोतों से कोड (लॉगऑन स्क्रिप्ट, एक्जीक्यूटेबल) चलाने और नीति कॉन्फ़िगरेशन फाइलें प्राप्त करने से बचाने वाली नई Windows सुरक्षा सेटिंग से संबंधित है — UNC hardening। Windows 10/Windows Server 2016 सुरक्षा सेटिंग्स के लिए आवश्यक है कि SYSVOL और NETLOGON शेयर्ड फोल्डर वाले UNC डायरेक्टरी तक एन्हांस्ड सुरक्षा के साथ पहुंचने के लिए निम्न सुरक्षा स्तरों का उपयोग किया जाए:

• Mutual Authentication सर्वर और क्लाइंट का। प्रमाणीकरण के लिए Kerberos का उपयोग किया जाता है। (NTLM समर्थित नहीं है।) यही कारण है कि आप डोमेन कंट्रोलर पर उसके IP पते द्वारा SYSVOL और NETLOGON शेयर तक नहीं पहुंच सकते। डिफ़ॉल्ट रूप से, RequireMutualAuthentication=1।
• Integrity SMB हस्ताक्षर जांच है। यह सुनिश्चित करने की अनुमति देता है कि SMB सत्र में डेटा ट्रांसमिशन के दौरान संशोधित नहीं किया गया है। SMB हस्ताक्षर SMB 2.0 या उच्चतर में समर्थित है (SMB v 1 SMB सत्र हस्ताक्षर का समर्थन नहीं करता)। डिफ़ॉल्ट मान RequireIntegrity=1 है।
• Privacy SMB सत्र में डेटा एन्क्रिप्शन से संबंधित है। यह SMB v 3.0 (Windows 8/Windows Server 2012 या नया) से समर्थित है। डिफ़ॉल्ट मान RequirePrivacy=0 है। यदि आपके नेटवर्क में लीगेसी Windows संस्करण (Windows 7/Windows Server 2008 R2 या पुराने) वाले कंप्यूटर या डोमेन कंट्रोलर हैं, तो RequirePrivacy=1 विकल्प का उपयोग न करें। अन्यथा, लीगेसी क्लाइंट डोमेन कंट्रोलर पर नेटवर्क शेयर्ड फोल्डर तक पहुंचने में सक्षम नहीं होंगे।

मूल रूप से, ये परिवर्तन 2015 में Windows 10 में सुरक्षा अपडेट MS15-011 और MS15-014 के हिस्से के रूप में किए गए थे। इसके परिणामस्वरूप Multiple UNC Provider (MUP) एल्गोरिदम में परिवर्तन हुए जो अब डोमेन कंट्रोलर पर महत्वपूर्ण फोल्डर तक पहुंचने के लिए विशेष नियमों का उपयोग करता है: \\*\SYSVOL और \\*\NETLOGON।

संरक्षित UNC पथ Windows 7 और Windows 8.1 पर डिफ़ॉल्ट रूप से अक्षम हैं।

SYSVOL और NETLOGON तक पहुंचने के लिए, आप Group Policy का उपयोग करके Windows 10 में UNC हार्डनिंग सेटिंग्स बदल सकते हैं। आप Hardened UNC Paths नीति में विभिन्न UNC पथ तक पहुंचने के लिए विशेष सुरक्षा सेटिंग्स का उपयोग कर सकते हैं।

1. लोकल ग्रुप पॉलिसी एडिटर खोलें (gpedit.msc);
2. नीति अनुभाग Computer Configuration -> Administrative Templates -> Network -> Network Provider पर जाएं;
3. Hardened UNC Paths नीति सक्षम करें;
4. Show बटन पर क्लिक करें और Netlogon और Sysvol के UNC पथ के लिए एंट्री बनाएं। विशिष्ट फोल्डर के लिए UNC हार्डनिंग को पूरी तरह से अक्षम करने के लिए (अनुशंसित नहीं!), निम्न मान निर्दिष्ट करें: RequireMutualAuthentication=0,RequireIntegrity=0,RequirePrivacy=0

आप UNC पथ के निम्न प्रारूपों का उपयोग कर सकते हैं:

• \\192.168.200.2 (डोमेन कंट्रोलर IP पता)
• \\domain.com
• \\DCName

या आप Sysvol और Netlogon तक UNC पथ से स्वतंत्र रूप से (किसी भी DC पर) पहुंच की अनुमति दे सकते हैं:

• \\*\SYSVOL
• \\*\NETLOGON

आपको जिन सभी डोमेन (डोमेन कंट्रोलर) नामों या IP पतों की आवश्यकता है, उन्हें निर्दिष्ट करें।

Microsoft महत्वपूर्ण UNC डायरेक्टरी को सुरक्षित रूप से एक्सेस करने के लिए इन सेटिंग्स का उपयोग करने की सिफारिश करता है:

• \\*\NETLOGON RequireMutualAuthentication=1, RequireIntegrity=1
• \\*\SYSVOL RequireMutualAuthentication=1, RequireIntegrity=1

अब आपको बस gpupdate /force कमांड का उपयोग करके अपने कंप्यूटर पर नीतियों को अपडेट करना होगा और सुनिश्चित करना होगा कि आप Sysvol और Netlogon तक पहुंच सकते हैं।

आप इन पैरामीटर्स को सेंट्रलाइज़्ड डोमेन GPO या क्लाइंट पर निम्न कमांड का उपयोग करके कॉन्फ़िगर कर सकते हैं: (ये कमांड SYSVOL और NETLOGON फोल्डर को डोमेन कंट्रोलर पर एक्सेस करते समय Kerberos प्रमाणीकरण को अक्षम कर देंगे। NTLM का उपयोग किया जाएगा, और आप DC पर संरक्षित फोल्डर को उनके IP पते द्वारा खोल पाएंगे।)

reg add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths /v "\\*\SYSVOL" /d "RequireMutualAuthentication=0" /t REG_SZ /f
reg add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths /v "\\*\NETLOGON" /d "RequireMutualAuthentication=0" /t REG_SZ /f

ये कमांड सहायक हो सकती हैं यदि:

• आपके डोमेन कंट्रोलर पर एडमिनिस्ट्रेटिव टेम्पलेट्स का पुराना संस्करण है (Windows Server 2008 R2/ Windows Server 2012 चलाने वाला DC) जिसमें Hardened UNC Paths पैरामीटर नहीं है;
• क्लाइंट Sysvol की दुर्गमता के कारण डोमेन पॉलिसी सेटिंग्स प्राप्त नहीं कर सकते और आप इन रजिस्ट्री सेटिंग्स को तैनात नहीं कर सकते।