Zapora blokuje porty SMB (445

Zapora blokująca porty SMB (445) wskazuje na aktywną, restrykcyjną regułę ograniczającą dostęp do udziałów sieciowych.

Port TCP 445 i sposób działania SMB

Port TCP 445 służy do bezpośredniej komunikacji protokołu SMB (Server Message Block) bez wykorzystania starszej warstwy NetBIOS. W systemie Windows jest używany między innymi przy otwieraniu folderów udostępnionych, kopiowaniu plików przez sieć lokalną, korzystaniu z drukarek udostępnionych oraz wykonywaniu operacji na zasobach sieciowych. Połączenie rozpoczyna się od zestawienia sesji TCP, a następnie klient i urządzenie udostępniające zasób negocjują wersję dialektu SMB oraz ustalają sposób uwierzytelniania i dalszej wymiany danych.

Zablokowanie portu 445 nie oznacza wyłącznie problemu z jednym folderem. Jeżeli komputer próbuje połączyć się z adresem urządzenia, na którym działa usługa SMB, a zapora odrzuca ruch, klient może nie odnaleźć udziału albo zgłosić brak dostępu do ścieżki sieciowej. Port 445 dotyczy transportu TCP. Starsze mechanizmy udostępniania oparte na NetBIOS mogą dodatkowo używać portów UDP 137 i 138 oraz TCP 139, ale ich odblokowanie nie zastępuje prawidłowej obsługi bezpośredniego SMB przez TCP 445.

Jak zapora wpływa na dostęp do udziału sieciowego

Reguła zapory może blokować połączenia przychodzące, wychodzące albo oba kierunki. Przy udziale folderu najczęściej analizuje się ruch przychodzący na komputerze, który udostępnia zasób, ponieważ to ten komputer nasłuchuje na porcie TCP 445. Na komputerze korzystającym z udziału istotne może być natomiast filtrowanie połączeń wychodzących. Znaczenie ma również profil sieci systemu Windows: reguły przypisane do profilu publicznego mogą być bardziej restrykcyjne niż reguły aktywne dla profilu prywatnego.

Sama informacja o blokadzie portu nie dowodzi jeszcze, że winna jest wyłącznie zapora systemowa. Port może być niedostępny dlatego, że usługa odpowiedzialna za udostępnianie nie działa, komputer docelowy jest wyłączony, urządzenia znajdują się w różnych sieciach albo po drodze filtruje je router lub inny firewall. Użycie polecenia PowerShell Test-NetConnection -ComputerName nazwa-komputera -Port 445 pozwala sprawdzić, czy z danego urządzenia można nawiązać połączenie TCP z konkretnym hostem. Wynik TcpTestSucceeded: False wskazuje na brak skutecznego połączenia, ale sam w sobie nie rozstrzyga, czy przyczyną jest filtracja, brak nasłuchu czy problem z trasą.

Rozróżnienie blokady portu od błędu uprawnień

W praktycznej diagnostyce trzeba oddzielić problem transportowy od problemu autoryzacji. Jeżeli TCP 445 jest blokowany, połączenie może kończyć się komunikatem o niedostępności ścieżki sieciowej, przekroczeniu czasu oczekiwania albo braku odpowiedzi urządzenia. Jeżeli port odpowiada, ale konto nie ma praw do udziału lub system odrzuca dane uwierzytelniające, komunikat może dotyczyć braku dostępu, nieprawidłowych poświadczeń albo niewystarczających uprawnień. Są to różne warstwy: zapora kontroluje przepływ pakietów, natomiast uprawnienia udziału i systemu plików decydują, jakie operacje może wykonać poprawnie uwierzytelniony użytkownik.

W systemie Windows można przejrzeć reguły zapory poleceniem Get-NetFirewallRule i zawęzić analizę do reguł związanych z udostępnianiem plików, na przykład przez filtr DisplayGroup zawierający nazwę File and Printer Sharing. Należy sprawdzić, czy reguła jest włączona, dla którego profilu obowiązuje, jaki ma kierunek oraz czy ogranicza zakres adresów zdalnych. Bezpieczna konfiguracja powinna obejmować tylko wymagany profil i zaufany zakres sieci, ponieważ szerokie otwarcie portu 445 dla wszystkich interfejsów zwiększa powierzchnię ataku. Portu SMB nie powinno się wystawiać bezpośrednio do publicznego Internetu.

Zakres czynności serwisowych przy niedostępnym SMB

Naprawa problemu powinna rozpocząć się od ustalenia topologii połączenia: nazwy lub adresu urządzenia docelowego, rodzaju sieci, kierunku komunikacji oraz tego, czy problem dotyczy jednego komputera, czy wszystkich klientów. Następnie sprawdza się dostępność hosta, wynik testu TCP 445, aktywny profil sieci, stan reguł zapory i działanie usługi udostępniania. Warto również zweryfikować, czy udział jest wywoływany poprawną ścieżką UNC w postaci \\nazwa-komputera\nazwa-udziału oraz czy problem nie występuje wyłącznie przy rozwiązywaniu nazwy. Zmiana reguł zapory powinna być wykonana świadomie i po sprawdzeniu, do jakiej sieci podłączony jest komputer.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z konfiguracją systemu, zaporą sieciową oraz dostępem do zasobów sieciowych. W przypadku blokady TCP 445 analiza pozwala ustalić, czy przyczyną jest reguła filtrowania, nieaktywna usługa, błędna konfiguracja sieci, problem z nazwą hosta czy brak uprawnień do konkretnego udziału. Dopiero po takim rozróżnieniu można dobrać zmianę ograniczoną do potrzebnej komunikacji, bez przypadkowego wyłączania całej zapory.