O IPSec é a única maneira de criptografar o tráfego Microsoft SMB (CIFS)?

Question

Estou procurando maneiras de criptografar o tráfego de dados do Microsoft SMB entre um cliente e um servidor Windows ou um dispositivo de arquivamento. Não se trata de criptografar a autenticação, mas a transferência de dados real.

O IPSec do cliente para um servidor Windows é minha única opção?

    

Answer 1

O CIFS / SMB não possui nenhuma opção de criptografia no nível do protocolo a partir do SMBv2, então você fica preso encapsulando o tráfego em um envelope criptografado. O que, em toda praticidade, significa uma VPN de algum tipo. Seja IPSEC, SSL, PPTP.

    

Answer 2

O Windows Server 2012 inclui uma nova opção de criptografia de transporte SMB (3.0). link

    

Answer 3

Existem referências vagas ao CIFS / SMB, o TLS ou SSL na internet, mas nada óbvio e não da Microsoft, então eu diria que não é tudo o que é possível, comum, fácil ou todos os três.

Nesse caso, se você não puder criptografar o protocolo, terá que fazer a criptografia em um nível inferior, o que significa uma VPN de alguma forma. O IPSec é apenas um caminho. Você poderia usar um túnel pptp criptografado ou algo semelhante.

    

Answer 4

Se você não está falando sobre adicionar outros computadores ou softwares ao mesmo, então, sim, o IPsec ou a funcionalidade integrada da VPN no Windows é a única maneira interna de criptografar o tráfego CIFS / SMB entre um computador com Windows Server e um cliente.

Você poderia, obviamente, inserir dispositivos de criptografia baseados em hardware entre o cliente e o servidor (gateways VPN, roteadores que fazem túneis IPsec, etc.). Você também pode instalar software VPN de terceiros no cliente e / ou no servidor. Você pode fazer qualquer coisa que quiser encapsular, criptografar ou dividir e dividir os pacotes assim que eles estiverem conectados, contanto que até chegarem ao computador do servidor, eles serão decapsulados, descriptografados e colados. de volta juntos.

    

Answer 5

Uma solução simples é criar um túnel SSL transparente com stunnel instalando o cliente em todos os terminais

    

Answer 6

Quanto ao Windows 2012 e SMB 3.0, a criptografia é agora suportada. Mas desativado por padrão. Você pode ativá-lo:

Para ativar a criptografia de um compartilhamento individual, execute o seguinte no servidor:

      Set-SmbShare –Name <sharename> -EncryptData $true

Para criar um novo compartilhamento com a criptografia ativada:

      New-SmbShare –Name <sharename> -Path <pathname> –EncryptData $true

Para ativar a criptografia para todo o servidor, execute o seguinte no servidor:

      Set-SmbServerConfiguration –EncryptData $true

Tenha em atenção que os clientes que não suportem o SMB3 (anterior ao Windows 8) não conseguirão ligar utilizando esta versão do protocolo.