Настройка SMB/CIFS

О чем эта статья

Эта статья описывает обязательный подготовительный шаг перед сетевой установкой Windows: публикацию установочной папки точки обслуживания по протоколу SMB.

Данный шаг необходим только если точка обслуживания используется как PXE-сервер и с нее производится установка ОС Windows по сети.

Для развертывания ОС Linux по сети данный шаг не требуется - при развертывании используются только протоколы HTTP(S) и TFTP, которые точка обслуживания реализует самостоятельно.

Для функционала промежуточного хранения и публикации пакетов развертывания ПО данный шаг не требуется - скачивание и публикация пакетов производятся по протоколу HTTP(S), который точка обслуживания реализует самостоятельно.

Почему это обязательно?

Точка обслуживания Зодиак.АйТиЭм не реализует протокол SMB самостоятельно и не поднимает собственный SMB-сервер.

Среда установки WinPE поддерживает получение установочных файлов только по протоколу SMB.

Без данного шага целевой компьютер для установки Windows не сможет получить доступ к необходимым установочным файлам на точке обслуживания.

Почему точка обслуживания не реализует протокол SMB?

SMB работает на фиксированном порту 445/TCP. Если 445/TCP уже занят системным SMB-сервисом, нельзя запустить второй независимый SMB-слушатель на том же порту. В ОС Windows даже без включенного общего доступа к папкам порт 445/TCP занят операционной системой.

Протокол SMB сложный и исторически уязвимый. Реализация полноценного SMB-стека в прикладной системе сильно повышает риски безопасности.

Как это работает?

Точка обслуживания создает рабочую структуру папок и рассчитывает, что по SMB опубликована корректная корневая папка этой структуры.

Содержимое папки регулярно меняется в процессе работы точки обслуживания, поэтому нельзя один раз скопировать созданные данные в другую папку или на другой сервер и использовать их как постоянный источник установки.

Ограничение доступа к SMB-папке

В файлах сетевой установки (скрипты, конфигурации, шаблоны) регулярно присутствуют чувствительные с точки зрения ИБ данные: пароли системных учетных записей, ключи, сервисные токены и другие секреты.

Публикация установочной папки в продуктивных средах без аутентификации недопустима даже во внутренней сети.

Минимальный уровень - аутентификация

• вся SMB-папка должна быть защищена аутентификацией (доступ по логину и паролю);
• анонимный (guest) доступ должен быть отключен.

Дополнительный уровень - запрет листинга

Важно учитывать, что защита папки только аутентификацией может быть недостаточной, т.к. в публикуемой папке одновременно находятся установочные файлы для разных целевых компьютеров.

Если Вы планируете установку на разные компьютеры разных ОС, использование разных паролей, конфигурационных файлов, ПО, и т.д. и Вы хотите ограничить доступ к этим файлам только теми компьютерами, на которые назначена конкретная установка - рекомендуется выполнить настройку доступа по SMB с дополнительным уровнем безопасности.

Дополнительный уровень ставит своей целью ограничение доступа целевых компьютеров только к тем установочным файлам, которые предназначены для него, сохраняя при этом простоту настройки и поддержки. Его реализация основывается на особенностях структуры папок, создаваемой точкой обслуживания.

Точка обслуживания создает для каждой заявки на установку ОС по сети отдельную папку с уникальным длинным случайным именем, устойчивым к перебору. Это имя сообщается целевому компьютеру только после проверки, что заявка предназначена для него - по MAC, IP и/или серийному номеру.

Запрет листинга (получения списка дочерних файлов и папок) для публикуемой по SMB папки позволяет организовать модель доступа, в которой для получения доступа к установочным файлам необходимы не только данные для аутентификации, но и уникальное имя папки, соответствующей заявке.

Таким образом при компрометации данных аутентификации для доступа к SMB-папке их будет недостаточно для получения доступа к чувствительным файлам установки.