Zapora blokuje udostępnione foldery

Zapora blokująca udostępnione foldery wskazuje na regułę ograniczającą port 445 wymagany przez protokół SMB.

Port 445 i komunikacja SMB w sieci lokalnej

Komunikat „Zapora blokuje udostępnione foldery” najczęściej oznacza, że komputer nie przyjmuje połączeń SMB z innych urządzeń. Współczesny system Windows korzysta przy tym przede wszystkim z protokołu SMB bezpośrednio przez TCP na porcie 445. Ten port służy do nawiązywania sesji, uwierzytelniania użytkownika, przeglądania udziałów oraz odczytu i zapisu plików w udostępnionych katalogach. Jeżeli zapora odrzuca ruch przychodzący na TCP 445, folder może być prawidłowo udostępniony w ustawieniach systemu, ale pozostanie niedostępny dla innych komputerów.

Sama obecność otwartego portu 445 nie gwarantuje dostępu do danych. Połączenie zależy również od adresu IP, poprawnej nazwy komputera, ustawień profilu sieciowego, uprawnień udziału oraz uprawnień systemu plików NTFS. W starszych konfiguracjach mogą pojawić się także porty NetBIOS TCP 139 oraz UDP 137 i 138, jednak ich użycie nie jest konieczne przy bezpośredniej komunikacji SMB przez TCP 445. Włączanie całego zestawu starszych usług tylko dlatego, że folder nie jest widoczny, może rozszerzyć powierzchnię dostępną w sieci bez rozwiązania właściwej przyczyny.

Reguły Zapory Windows Defender dla udostępniania plików

Zapora Windows Defender filtruje ruch między interfejsem sieciowym komputera a aplikacjami i usługami działającymi w systemie. Dla udostępniania plików istotna jest grupa reguł przychodzących „File and Printer Sharing”, w polskiej wersji systemu wyświetlana jako reguły związane z udostępnianiem plików i drukarek. W obrębie tej grupy znajdują się między innymi reguły SMB-In obsługujące ruch przychodzący na TCP 445. Reguła może być włączona tylko dla określonego profilu: domenowego, prywatnego albo publicznego.

Jeżeli połączenie działa w sieci oznaczonej jako prywatna, ale nie działa po zmianie profilu na publiczny, przyczyną może być zakres profilu przypisany do reguły, a nie awaria samego udziału. Profil publiczny ma z założenia bardziej restrykcyjne ustawienia, ponieważ komputer może znajdować się w niezaufanej sieci. Zmiana profilu sieciowego powinna odpowiadać rzeczywistemu charakterowi połączenia, a nie służyć jako przypadkowy sposób na obejście blokady. Włączenie reguły dla wszystkich profili może pozwolić na połączenia także w sieciach, w których udostępnianie plików nie powinno być dostępne.

Stan reguł można sprawdzić w „Zaporze Windows Defender z zabezpieczeniami zaawansowanymi”, w sekcji reguł przychodzących. Przydatne jest również polecenie PowerShell Get-NetFirewallRule -DisplayGroup "File and Printer Sharing", o ile system używa angielskiej nazwy grupy. Wynik należy interpretować razem z informacją o profilu, kierunku ruchu, stanie reguły oraz powiązanych filtrach portów. Nie każda reguła widoczna w grupie musi dotyczyć tego samego protokołu, dlatego ważne jest potwierdzenie, że aktywna reguła dopuszcza właściwy ruch SMB.

Rozdzielenie blokady sieciowej od uprawnień do folderu

Diagnostyka powinna rozdzielić trzy różne sytuacje: brak odpowiedzi komputera, odrzucenie połączenia SMB oraz odmowę dostępu po poprawnym zalogowaniu. Jeśli komputer nie odpowiada na TCP 445, należy sprawdzić zaporę, adresację i dostępność urządzenia. Z innego komputera można użyć polecenia PowerShell Test-NetConnection -ComputerName nazwa-komputera -Port 445. Wynik TcpTestSucceeded : False wskazuje, że połączenie na wskazanym porcie nie zostało zestawione, ale sam w sobie nie określa, czy winna jest zapora, niedostępna sieć, błędny adres czy wyłączona usługa.

Jeżeli port 445 odpowiada, a próba otwarcia udziału kończy się komunikatem o braku uprawnień, trzeba przejść do konfiguracji samego udziału. Użytkownik musi mieć uprawnienia udostępniania, a następnie odpowiednie uprawnienia NTFS na katalogu i jego zawartości. Efektywny dostęp ogranicza bardziej restrykcyjny zestaw uprawnień. Z tego powodu włączenie reguły zapory nie naprawi błędu wynikającego z nieprawidłowego konta, hasła, wyłączonego udostępniania chronionego hasłem albo braku praw do konkretnego pliku.

Warto także sprawdzić, czy oba urządzenia znajdują się w tej samej sieci logicznej i czy komputer docelowy jest osiągalny pod właściwą nazwą lub adresem IP. Polecenie \\nazwa-komputera\nazwa-udziału odwołuje się do konkretnego udziału, natomiast samo otwarcie nazwy komputera wymaga dodatkowych mechanizmów wykrywania urządzeń i rozwiązywania nazw. Brak komputera w sekcji „Sieć” nie zawsze oznacza, że SMB jest zablokowane. Możliwe jest bezpośrednie użycie ścieżki UNC, gdy zapora i usługa SMB działają prawidłowo, ale wykrywanie sieciowe jest wyłączone.

Bezpieczne przywrócenie dostępu do udostępnionego katalogu

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz ich konfiguracją, w tym diagnozowaniem problemów z dostępem do lokalnych udziałów plików. Przy sprawdzaniu blokady należy najpierw ustalić profil aktywnego połączenia, adres urządzenia docelowego i wynik testu TCP 445, a dopiero później zmieniać reguły zapory. Taka kolejność pozwala odróżnić problem z filtrowaniem ruchu od błędu konfiguracji sieci lub uprawnień.

Naprawa zwykle polega na aktywowaniu właściwej reguły przychodzącej SMB dla odpowiedniego profilu, potwierdzeniu, że usługa udostępniania plików działa, oraz sprawdzeniu nazwy udziału i praw dostępu. Nie powinno się wyłączać całej zapory jako stałego rozwiązania. Nie należy też otwierać portu 445 w routerze do Internetu, ponieważ SMB jest przeznaczony do komunikacji w kontrolowanej sieci i bezpośrednie wystawienie go publicznie zwiększa ryzyko nieautoryzowanych prób logowania.

Po zmianie konfiguracji trzeba ponowić test z drugiego komputera, otworzyć udział przez ścieżkę UNC i sprawdzić zarówno odczyt, jak i zapis, jeśli użytkownik powinien mieć oba rodzaje uprawnień. Jeżeli połączenie nadal nie działa, dalsze kroki obejmują analizę dzienników Zapory Windows Defender, dzienników systemowych oraz komunikatów klienta SMB. Wynik diagnostyki powinien wskazać konkretną warstwę problemu: zaporę, sieć, usługę, uwierzytelnianie albo uprawnienia do danych.