SMB nie działa na koncie lokalnym

SMB niedziałające na koncie lokalnym wskazuje na brak zapisanych poświadczeń domenowych wymaganych przez serwer plików.

Co oznacza problem z SMB przy koncie lokalnym

SMB, czyli Server Message Block, jest protokołem używanym między innymi do udostępniania plików, folderów i drukarek w sieci lokalnej. Komputer kliencki nawiązuje połączenie z urządzeniem udostępniającym zasób, a następnie przedstawia poświadczenia użytkownika. Jeżeli logowanie odbywa się przy użyciu konta lokalnego, nazwa użytkownika i hasło pochodzą z bazy kont zapisanej na konkretnym komputerze, a nie z usługi domenowej. Konto utworzone na laptopie nie jest automatycznie tym samym kontem co konto o identycznej nazwie na innym komputerze.

Komunikat „SMB nie działa na koncie lokalnym” nie wskazuje więc jednej konkretnej usterki. Przyczyną może być brak konta o odpowiedniej nazwie na komputerze udostępniającym pliki, różne hasła na obu urządzeniach, wyłączone udostępnianie chronione hasłem, nieprawidłowe uprawnienia udziału albo blokada połączeń przez zaporę. Jeżeli zasób został skonfigurowany z myślą o kontach domenowych, konto lokalne może nie mieć możliwości uwierzytelnienia w oczekiwany sposób. Sam fakt, że konto pozwala zalogować się do własnego systemu Windows, nie oznacza jeszcze prawa dostępu do udziału SMB.

Uwierzytelnianie lokalne a konto domenowe

W środowisku bez domeny system Windows może uwierzytelniać użytkownika lokalnie na komputerze, który pełni rolę serwera SMB. Najczęściej stosuje się wtedy konto o określonej nazwie i haśle, utworzone bezpośrednio na komputerze udostępniającym folder. Podczas łączenia można wskazać nazwę komputera przed nazwą użytkownika, na przykład NAZWA-KOMPUTERA\uzytkownik. Taki zapis pomaga systemowi rozpoznać, że poświadczenia dotyczą konta lokalnego na wskazanym urządzeniu, a nie konta Microsoft lub konta z innego źródła.

W przypadku kont domenowych mechanizm rozpoznaje użytkownika na podstawie kontrolera domeny. Konto lokalne nie posiada takiej relacji z domeną, dlatego nie może być traktowane jako równoważne konto domenowe tylko dlatego, że ma taką samą nazwę. Użycie identycznej nazwy użytkownika na dwóch komputerach również nie zapewnia zgodności, ponieważ hasła i identyfikatory zabezpieczeń pozostają niezależne. Przy diagnostyce trzeba rozdzielić trzy elementy: uwierzytelnienie, czyli potwierdzenie tożsamości, uprawnienia udziału SMB oraz uprawnienia systemu plików NTFS.

Jeśli zapisane w systemie poświadczenia są nieaktualne, Windows może automatycznie ponawiać próbę z błędną nazwą lub hasłem. W takiej sytuacji pomocne jest usunięcie nieprawidłowego wpisu dla danego adresu z Menedżera poświadczeń i ponowne podanie danych przy połączeniu. Nie należy jednak zakładać, że każdy błąd hasła oznacza uszkodzenie protokołu SMB. Często problem znajduje się w sposobie wyboru konta albo w konflikcie między zapisanymi poświadczeniami a aktualną konfiguracją udziału.

Sprawdzanie udziału, uprawnień i połączenia

Diagnostykę należy rozpocząć od ustalenia, czy komputer kliencki widzi urządzenie udostępniające zasób. Można sprawdzić dostęp do udziału przez ścieżkę UNC, na przykład \\NAZWA-KOMPUTERA\NazwaUdzialu albo \\192.168.1.20\NazwaUdzialu. Jeżeli połączenie po nazwie nie działa, a po adresie IP działa, problem może dotyczyć rozpoznawania nazwy, a nie konta lokalnego. Jeżeli nie działa żadna forma połączenia, trzeba sprawdzić, czy urządzenia są w tej samej sieci, czy komputer udostępniający jest włączony oraz czy zapora zezwala na ruch związany z udostępnianiem plików i drukarek.

Na komputerze udostępniającym należy sprawdzić właściwości folderu, nazwę udziału oraz listę użytkowników dopuszczonych do dostępu. Uprawnienia udostępniania i uprawnienia NTFS działają równocześnie, a faktyczny zakres dostępu wynika z bardziej ograniczającego zestawu reguł. Konto lokalne może poprawnie przejść uwierzytelnienie, ale nadal otrzymać odmowę, jeżeli nie ma prawa odczytu lub zapisu w folderze. Odwrotna sytuacja także jest możliwa: użytkownik może mieć uprawnienia do folderu, lecz nie zostać poprawnie uwierzytelniony przez usługę SMB.

Warto również sprawdzić, czy konto lokalne nie jest wyłączone, pozbawione hasła albo objęte zasadą bezpieczeństwa ograniczającą logowanie sieciowe. Współczesne wersje Windows domyślnie preferują bezpieczniejsze mechanizmy uwierzytelniania i mogą odrzucać starsze, niebezpieczne sposoby dostępu. Nie powinno się obniżać poziomu zabezpieczeń tylko po to, aby pominąć błąd. Najpierw należy ustalić, jaki mechanizm negocjują obie strony, czy wymagane jest podpisywanie SMB oraz czy urządzenie udostępniające obsługuje wersję protokołu zgodną z systemem klienckim.

Naprawa dostępu SMB na komputerze użytkownika

Praktyczna naprawa zaczyna się od zebrania informacji o obu urządzeniach: wersji systemu, rodzaju konta, dokładnej ścieżki udziału, treści komunikatu oraz momentu wystąpienia problemu. Następnie można uporządkować konto lokalne na komputerze udostępniającym, ustawić aktualne hasło, nadać wymagane uprawnienia do konkretnego folderu i usunąć nieaktualne poświadczenia zapisane na komputerze klienckim. Jeżeli udział ma być dostępny tylko dla wybranej osoby, lepiej wskazać właściwe konto niż włączać szeroki dostęp dla wszystkich użytkowników sieci.

Podczas sprawdzania nie należy mylić konta lokalnego z kontem Microsoft używanym do synchronizacji ustawień lub logowania do usług internetowych. W oknie poświadczeń trzeba podać konto istniejące na komputerze, który udostępnia folder. Gdy komputer został niedawno przemianowany, zmieniono hasło albo odtworzono system z kopii, stare wpisy i mapowania dysków sieciowych mogą nadal wskazywać nieaktualne dane. Wtedy konieczne jest ponowne zestawienie połączenia i sprawdzenie, czy problem dotyczy jednego udziału, czy wszystkich zasobów SMB.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnozowaniem problemów z dostępem do udostępnionych zasobów w systemie Windows. Podczas takiej diagnozy można rozróżnić błąd poświadczeń od blokady zapory, niezgodnych uprawnień folderu, problemu z nazwą sieciową oraz usterki konfiguracji samego komputera. Zmiany powinny być wykonywane dopiero po ustaleniu, czy potrzebny jest dostęp tylko do odczytu, czy także zapis, ponieważ zakres uprawnień wpływa na bezpieczeństwo i sposób konfiguracji udziału.