Als je al een tijdje problemen ondervindt bij het openen of koppelen van gedeelde netwerkmappen op je NAS, Samba-server of zelfs oudere Windows-machines (zoals Windows 7/XP/Server 2003) vanuit Windows 10 of 11, is de kans groot dat de oorzaak ligt bij de oudere SMB-protocollen die in recente updates zijn uitgeschakeld. Microsoft schakelt systematisch verouderde en onveilige SMB-versies uit, met name SMBv1, om veiligheidsredenen. Dus als je plotseling fouten ziet bij het openen van een netwerkshare, is dat waarschijnlijk de reden. Je systeem blokkeert in feite die onveilige, verouderde protocollen, en dat is tegenwoordig geen verrassing meer.
Het bizarre is dat Windows 10-versies na 1709 (inclusief de nieuwste Windows 11) SMBv1 en gasttoegang standaard uitschakelen. Dat betekent dat als je gedeelde map lang geleden is ingesteld op een oude NAS of een andere pc die gasttoegang toestaat, je geen verbinding kunt maken zonder wat instellingen aan te passen. Op Windows 8.1 of oudere Windows-versies werkten gedeelde mappen mogelijk nog prima, omdat SMBv1 toen was ingeschakeld. Maar op je nieuwe Windows-installatie blokkeren de beveiligingsregels die oude inlogmethoden, waardoor je foutmeldingen krijgt zoals “Je hebt geen toegang tot deze gedeelde map omdat de beveiligingsregels van je organisatie niet-geverifieerde gasttoegang blokkeren.” Dat is gewoon Microsofts manier om te zeggen: “Beveilig je bestanden, anders krijg je er niet meer zo makkelijk toegang toe.”
Hoe los ik problemen met het SMB-protocol en de toegang tot gedeelde mappen in Windows op?
Kan geen toegang krijgen tot de gedeelde map omdat beveiligingsbeleid niet-geverifieerde gasttoegang blokkeert.
Dit probleem heeft meestal te maken met het beveiligingsbeleid. Windows 10-versies vanaf 1709 schakelen gasttoegang standaard uit, omdat de SMBv2- en SMBv3-protocollen nu de standaard zijn. De oorzaak? Je probeert verbinding te maken met een gedeelde map die nog steeds anonieme gasttoegang toestaat, meestal oude NAS-apparaten of oudere Windows-shares. In de Logboeken van Rejected an insecure guest logonWindows kun je fouten zien zoals “Nee, je kunt op die manier geen verbinding maken.”
Bij sommige configuraties, met name bij oudere of aangepaste NAS-systemen, blijft gasttoegang ingeschakeld, maar blokkeert Windows dit omdat het te onveilig is. Om dit op te lossen, kunt u het beste het externe apparaat opnieuw configureren: stel het in op SMBv3 of in ieder geval SMBv2 en schakel anonieme gasttoegang uit. Op een NAS of Linux Samba zou u zoiets doen als:
[global] server min protocol = SMB2_10 client max protocol = SMB3 client min protocol = SMB2_10 encrypt passwords = true restrict anonymous = 2 En op Windows? Je kunt gasttoegang op het apparaat waarmee je deelt uitschakelen via de instellingen, of voor Samba op Linux kun je de instellingen aanpassen smb.confzoals hierboven beschreven. Als je gasttoegang op je Windows-pc toch wilt inschakelen – wat een beetje riskant is, maar soms snel kan – dan moet je de beleidsregels bewerken.
In Windows 10/11 kun je dit proberen:
- Open de Groepsbeleid-editor (
gpedit.msc), navigeer naar: Computerconfiguratie > Administratieve sjablonen > Netwerk > Lanman-werkstation - Zoek en schakel ‘Onveilige gastaanmeldingen inschakelen’ in.
Voer de wijzigingen door via gpupdate /forceeen opdrachtprompt of PowerShell-venster. Voor Windows 10 Home, aangezien dit besturingssysteem geen groepsbeleidsobjecten (GPO) heeft, moet u de wijzigingen rechtstreeks in het register aanbrengen:
HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters “AllowInsecureGuestAuth”=dword:00000001Of voer deze commando’s uit vanuit een opdrachtprompt met beheerdersrechten:
reg add HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters /v AllowInsecureGuestAuth /t reg_dword /d 1 /f reg add HKLM\Software\Policies\Microsoft\Windows\LanmanWorkstation /v AllowInsecureGuestAuth /t reg_dword /d 1 /fOnthoud wel dat dit uw systeem blootstelt aan potentiële beveiligingsrisico’s, dus doe dit indien mogelijk slechts tijdelijk. Het is echt een noodoplossing.
Kan geen verbinding maken omdat SMBv1 vereist is, maar is uitgeschakeld.
Als uw externe apparaat alleen SMBv1 ondersteunt, zal Windows 10+ de verbinding weigeren met de waarschuwing dat SMBv1 onveilig is. Dat is terecht, maar het is vervelend als uw oude NAS of apparaat nog steeds afhankelijk is van SMBv1. In dergelijke gevallen kunt u SMBv1 inschakelen in Windows, maar zeg niet dat ik u niet gewaarschuwd heb – het is een groot beveiligingsrisico.
Om de SMBv1-client in te schakelen:
- Open PowerShell als beheerder
- Loop:
Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
Als alternatief kunt u voor oudere Windows-versies zoals 7 of Server 2008 de ondersteuning voor SMBv1-servers uitschakelen met:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" -Name SMB1 -Value 0 Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" -Name SMB2 -Value 1En controleer de status ervan met:
Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-ClientMaar als het echt kan, schakel dan SMBv1 uit op de server en upgrade het apparaat zodat het SMBv2 of SMBv3 ondersteunt. Windows maakt het natuurlijk ingewikkelder dan nodig, maar zo is het nu eenmaal.
Toegang kan worden geblokkeerd door machtigingen en inloggegevens.
Als u foutmeldingen ziet met de tekst ‘U hebt geen toestemming’, controleer dan of uw account de juiste rechten heeft op de gedeelde map. Controleer de machtigingen van de gedeelde map en de NTFS-machtigingen (met behulp van de commando’s `require` Get-SmbShareAccess -Name "ShareName"en get-acl`require`).Probeer ook eventuele opgeslagen referenties te verwijderen die mogelijk inlogproblemen veroorzaken. U kunt dit doen via Referentiebeheer door het commando rundll32.exe keymgr.dll, KRShowKeyMgr`require` uit te voeren. Verwijder alle opgeslagen referenties voor de externe host en probeer opnieuw verbinding te maken. Voer de volgende keer handmatig de gebruikersnaam en het wachtwoord in en kijk of het werkt.
Andere snelle oplossingen
- Verwijder opgeslagen netwerkgegevens, verwijder toegewezen netwerkstations met
Net Use * /delete, en wijs ze vervolgens opnieuw toe met het IP-adres in plaats van de hostnaam:\\192.168.1.50\share - Zorg ervoor dat alle machines zich in dezelfde werkgroep bevinden. Dit kunt u controleren in PowerShell:
Get-WmiObject Win32_ComputerSystem).domain
Het is jammer dat Windows nu standaard strengere beveiligingsinstellingen gebruikt, vooral voor lokale netwerkshares van oudere apparaten. Maar hopelijk krijg je met deze aanpassingen weer toegang. Onthoud wel dat het wijzigen van gasttoegang of SMB-protocollen je systeem kwetsbaar kan maken, dus doe het voorzichtig.