SMB over QUIC: Безопасный доступ к файловым серверам в Windows Server 2025

SMB over QUIC - это новая функция в Windows Server 2025, обеспечивающая безопасный доступ к файловым серверам через Интернет. В отличие от предыдущих версий, требовавших использования VPN или RDS для удаленного подключения, теперь можно настроить защищенный доступ напрямую.

Основные особенности протокола

• Шифрование: Используется TLS 1.3 для защиты трафика между SMB-сервером и клиентом.
• Транспортный протокол: Порт TCP/445 заменен на UDP/443, что улучшает производительность и устойчивость к сбоям.
• Аутентификация: Сертификаты обеспечивают дополнительный уровень безопасности, позволяя управлять доступом клиентов.
• Совместимость: Работает на SMB 3.1.1, часто именуется SMB VPN из-за упрощенного доступа.

Настройка SMB over QUIC

1. Подготовка сервера: Убедитесь, что ваш сервер находится в домене Active Directory (или в рабочей группе с локальными пользователями).
2. Получение SSL сертификата: Необходим сертификат с указанным FQDN. Можно использовать как внешний, так и самоподписанный сертификат.

   Пример создания самоподписанного сертификата:

   $todaydate = Get-Date
$add3year = $todaydate.AddYears(3)
New-SelfSignedCertificate -dnsname fs01.winitpro.ru -notafter $add3year -CertStoreLocation cert:\LocalMachine\My

3. Привязка сертификата: Привяжите сертификат к серверу:
   New-SmbServerCertificateMapping -Name fs01.winitpro.ru -Thumbprint <thumbprint> -StoreName My

4. Включение поддержки: Активируйте SMB over QUIC:
   Set-SmbServerConfiguration -EnableSMBQUIC $true


Настройки клиента

Для подключения клиентов (Windows 11, Linux с Samba версии 4.23):

• Убедитесь, что у клиента есть доверие к сертификатам сервера.
• Монтирование сетевых папок:
  powershell

  Копировать код

  New-SmbMapping -LocalPath W: -RemotePath \\fs01.winitpro.ru\Docs -TransportType QUIC


  Или с помощью:

  net use W: \\fs01.winitpro.ru\Docs /TRANSPORT:QUIC


Аудит и безопасность

Использование Client Access Control позволяет управлять доступом клиентов к SMB-папкам, проверяя сертификаты. Включение аудита аутентификации сертификатов предоставляет дополнительный уровень безопасности и контроля.

Для полной защиты шифруется весь трафик, включая аутентификацию - NTLMv2 используется при недоступности контроллера домена. Тем не менее, стоит учитывать, что старые версии клиентов (Windows 10 и ниже) не поддерживают SMB over QUIC.

Таким образом, SMB over QUIC на Windows Server 2025 значительно упрощает и защищает процесс удаленного доступа к файловым серверам, устанавливая новые стандарты безопасности и удобства.