Problemi SMB dopo KB5078775

Baldi Luigi

Penso che il ciclo sia probabilmente legato a conflitti di identità di sistema sottostanti o a nuovi protocolli di sicurezza imposti dagli aggiornamenti recenti di Windows Server 2025.

Una causa frequente di questo esatto comportamento è un duplicato dell'Identificatore di Sicurezza tra i due server. Gli aggiornamenti cumulativi recenti di Windows Server 2025 impongono aggressivamente l'unicità SID della macchina in tutta la rete per prevenire vulnerabilità legate al passaggio dei ticket. Se questi server sono stati distribuiti dallo stesso modello di macchina virtuale o clonati senza utilizzare l'utilità Sysprep, quasi certamente condividono esattamente lo stesso SID locale della macchina. Quando il client server tenta una stretta di autenticazione manuale, rileva lo stesso SID e rifiuta immediatamente la connessione come minaccia alla sicurezza, generando un prompt continuo per password. Puoi diagnosticarlo scaricando lo strumento Microsoft Sysinternals PsGetSid ed eseguendolo su entrambe le macchine. Se la stringa di output corrisponde, devi eseguire lo strumento Sysprep con l'opzione generalizzare sul client server per generare un'identità di sistema unica.

Il problema potrebbe derivare anche dalla nuova funzione di limitazione del rate Server Message Block integrata nel sistema operativo. Server 2025 introduce un ritardo obbligatorio per i tentativi di autenticazione per sventare attacchi con password a forza bruta. Il complesso traffico di negoziazione sicura tra due server aggiornati viene talvolta frainteso dall'host come una rapida sequenza di login non validi. Questo pone il server connesso sotto una limitata sicurezza temporanea, emergendo come una cassa di credenziali intransitabile. Puoi bypassare questo meccanismo per scopi di test aprendo una console PowerShell elevata sul file server ed eseguendo il comando Set-SmbServerConfiguration -InvalidAuthenticationDelayTimeInMs 0 per disabilitare il ritardo.

Il processo di installazione dell'aggiornamento stesso spesso attiva un noto bug di Network Location Awareness al riavvio. Il server occasionalmente non riesce a contattare rapidamente il controller di dominio durante la sequenza di avvio, causando a Windows di classificare erroneamente la connessione come rete pubblica anziché come rete di dominio. Questa classificazione errata applica il profilo di firewall pubblico rigoroso, interrompendo silenziosamente il traffico critico di autenticazione SMB e forzando il ciclo delle credenziali. Puoi forzare il sistema operativo a rivalutare la connessione e ripristinare le regole corrette del firewall di dominio eseguendo il comando Restart-NetAdapter * in una finestra PowerShell elevata sul file server.

Controllare il Security Event Log sul file server per l'ID Evento 4625 aiuterà anche a confermare la ragione esatta del guasto, poiché i codici di stato all'interno di questa voce di log specificano se il sistema operativo sta perdendo le credenziali fornite a causa di una discrepanza SID o di un rifiuto del protocollo.

Ciao VPHAN,
ti ringrazio molto per la risposta.
Purtroppo erano prove già fatte senza risultato.
Altre idee?

Hi Baldi Luigi,

Il ciclo di credenziali che stai sperimentando è causato dal nuovo rafforzamento della sicurezza Server Message Block introdotto in Windows Server 2025, che blocca attivamente l'autenticazione NTLM in uscita di default. Per proteggere dagli attacchi ai relay delle credenziali, il sistema operativo ora richiede rigorosamente un ticket Kerberos sicuro per accedere alle condivisioni di rete. Quando l'autenticazione Kerberos fallisce, il sistema tenta di tornare al vecchio protocollo NTLM. Poiché Windows Server 2025 blocca questo fallback NTLM, il canale sicuro non può essere stabilito, intrappolato il server in un prompt di credenziali continuo.

La causa più frequente di questo guasto di Kerberos è il tentativo di accedere al file server tramite un indirizzo IP o un breve nome NetBIOS. Active Directory non può emettere un ticket Kerberos per questi formati, quindi devi mappare il disco di rete o accedere alla condivisione usando il Nome di Dominio Completamente Qualificato del server. Se stai già usando il nome di dominio completo tramite un alias DNS, devi utilizzare lo strumento setspn per registrare un nome principale esplicito per quell'alias sull'account computer del file server. Dovresti anche assicurarti che i clock di sistema su entrambi i server siano sincronizzati entro cinque minuti dal tuo Domain Controller per prevenire il rifiuto immediato dei ticket Kerberos.

Se i tuoi server operano in un Workgroup invece che in un dominio Active Directory, devi implementare la nuova funzione Local Key Distribution Center integrata in Windows Server 2025, che abilita il supporto Kerberos per gli account locali.

Come soluzione temporanea, mentre riconfiguri i tuoi percorsi di rete o SPN, puoi configurare un'eccezione per questo specifico file server invece di disabilitare completamente la funzione di sicurezza. Apri l'Editor Politiche di Gruppo Locale e naviga su Configurazione del Computer, Template Amministrativi, Rete e poi Workstation Lanman. Localizza la policy chiamata Block NTLM Server Exception List e aggiungi il Nome di Dominio Completamente Qualificato e l'indirizzo IP del file server per consentire l'autenticazione NTLM specificamente per quel target.

Spero che questa risposta ti abbia dato qualche informazione utile. Se sì, premi "accetta risposta". Se hai domande, sentiti libero di lasciare un commento.

VP