RDP e credenziali di autenticazione multiple per lo stesso server

Le versioni recenti di Microsoft Remote Desktop Connection non registrano le credenziali di autenticazione nel file RDP.

Questa scelta, attuata per ragioni di sicurezza, limita il numero di credenziali registrabili, per uno specifico computer host, ad una singola coppia (nome utente e password).

Ne discende che la scelta più lineare, per l'accesso RDP con profili multipli allo stesso server, sia quella di creare account indipendenti sulla macchina client ed uno specifico accesso RDP per ogni account.

Tuttavia possono presentarsi situazioni in cui si richiede un rapido hotfix. Un espediente è quello di aggiungere, al file hosts, voci multiple afferenti allo stesso indirizzo IP:

```

192.168.1.10 marco.local

192.168.1.10 giulia.local

192.168.1.10 andrea.local

```

Questi alias vengono considerati macchine differenti da Microsoft RDP e permettono così di aggirare la limitazione sopra accennata.

Abilitare gli accessi guest in SMB2 e SMB3

Versioni recenti di Windows / Windows Server disabilitano l’accesso guest (senza credenziali di autenticazione) in SMB2 / SMB3.

Ciò significa che molti data server / NAS riportano un errore di connessione simile al seguente:

Impossibile accedere a questa cartella condivisa perché i criteri di sicurezza della tua organizzazione bloccano l’accesso guest non autenticato

Questi criteri consentono di proteggere il computer da dispositivi non sicuri o dannosi sulla rete.

È possibile cambiare un’impostazione, all’interno del registro di sistema, per sospendere questo blocco di sicurezza imposto da Microsoft. Ovviamente, ciò abbassa il livello di protezione.

Se strettamente necessario si può procedere come segue:

• aprire regedit;
• aprire il percorso HKEY_LOCAL_MACHINE → SYSTEM → CurrentControlSet → Services → LanmanWorkstation → Parameters;
• modificare (o creare) il valore DWORD a 32 bit (REG_DWORD) AllowInsecureGuestAuth ed impostarne il valore a 1.

In alternativa, con le versioni Pro di Windows, si possono usare le group policy:

• aprire gpedit.msc e selezionare Modifica criteri di gruppo;
• nel riquadro a sinistra (criteri del computer locale), passare a Configurazione computer → Modelli amministrativi → Rete →Workstation →Lanman;
• aprire "Abilita gli accessi guest non sicuri" e selezionare Enabled.

In ogni caso verificare il valore del registro di sistema sopra indicato.

Come rendere privata una connessione su Windows Server?

Alcune versioni di Windows Server non hanno la possibilità di spostare una rete da "Pubblica" a "Privata" in maniera semplice attraverso l'interfaccia grafica.

In questi casi la strada più semplice è ricorrere a Powershell. Per prima cosa individuare il nome dell'interfaccia "da spostare"; supponiamo che sia "Ethernet". Si può quindi procedere così:

Set-NetConnectionProfile -InterfaceAlias Ethernet -NetworkCategory Private

Per chi proprio necessitasse dell'interfaccia grafica (viva la linea di comando!):

• eseguire `gpedit.msc` (`Win + R`);
• selezionare la voce `Configurazione Computer / Impostazioni di Windows / Impostazioni di Sicurezza / Criteri Gestione elenco reti` nel pannello di sinistra ed il nome della rete in quello di destra;
• nella finestra che si apre selezionare il tab `Percorso di rete` e quindi specificare il corretto tipo di percorso.

Come attivare e disattivare SMB1 in Windows 10/11/Server

Ci sono ancora parecchi scanner, NAS e dispositivi vari che necessitano del supporto SMBv1 per funzionare correttamente.

Premesso che bisogna sempre valutare attentamente i rischi di sicurezza connessi con l'attivazione di protocolli obsoleti, si possono comunque presentare situazioni, specie in ambiente domestico, nelle quali non ci sono alternative.

Windows Server

• nel dashboard di Server Manager selezionare Aggiungi ruoli e funzionalità;
• selezionare la casella di controllo SMB 1.0/CIFS File Sharing Support (Supporto condivisione file SMB 1.0/CIFS) e selezionare Avanti.

 

Windows 10/11

• nel Pannello di controllo selezionare Programmi e funzionalità e quindi Attiva o disattiva le funzionalità di Windows per aprire la casella Funzionalità di Windows;
• scorrere verso il basso l'elenco, selezionare la casella di controllo SMB 1.0/CIFS File Sharing Support (Supporto condivisione file CIFS) e selezionare OK.

Dopo che Windows applica la modifica, nella pagina di conferma selezionare Riavvia ora.

Procedura unificata via Powershell

Oltre a fornire una procedura unificata, non è necessario riavviare il computer dopo aver eseguito il cmdlet Set-SMBServerConfiguration.

Per abilitare:

Set-SmbServerConfiguration -EnableSMB1Protocol 1

Per verificare lo stato di attivazione :

Get-SmbServerConfiguration | Select EnableSMB1Protocol