Windows: Будущее VPN уже здесь. Разбираем "SMB over QUIC"

Все мы знаем "боль" классических VPN: они медленные, отваливаются, их блокируют файрволы. Доступ к файловым шарам для удаленных пользователей — это вечный компромисс между удобством и безопасностью.

Microsoft решила эту проблему, и это будущее, которое уже здесь: SMB over QUIC.

Что это такое (простым языком): Это "родной" VPN от Microsoft, созданный только для доступа к файловым серверам. Он "заворачивает" стандартный файловый трафик SMB (порт 445) внутрь QUIC (HTTP/3).

Почему это революция для админа:

Безопасность: Весь трафик всегда зашифрован (DTLS 1.3).

Проходит везде: Работает поверх UDP-порта 443. Этот порт открыт в 99.9% сетей (для HTTPS), а значит, доступ будет из любого отеля, кафе или аэропорта.

Стабильность: QUIC "терпим" к смене сетей (Wi-Fi -> LTE -> Wi-Fi), не разрывая сессию.

Взгляд архитектора: Это не просто "фича". Это фундаментальный сдвиг к модели Zero Trust. Вы больше не "пускаете" пользователя во всю внутреннюю сеть (как с VPN). Вы даете ему шифрованный, изолированный доступ только к одному ресурсу — файловому серверу.

#windows #windowsserver #security #networking #smb #quic #architect #гайд

Собеседование в 2026-м — это проверка не на знание команд, а на архитектурную паранойю. Вы должны уметь строить системы, которые выживут, даже если половина вашей инфраструктуры захвачена. Бэкап, который можно удалить — это не бэкап, а иллюзия. Сеть без Zero Trust — это проходной двор.

Золотое правило: Всегда говорите про Audit Log. Фраза «Я настрою экспорт логов доступа к бэкапам в неизменяемое внешнее хранилище» — это автоматический пропуск на следующий этап.

#собеседование_AF #security #storage #minio #quic #zerotrust #sysadmin #admin_future

🪟 Windows: SMB через порт 445 в 2026 году — это как ходить в интернет через telnet

Коллеги, признайтесь: у скольких из вас в DMZ или для удалённого офиса проброшен TCP 445 с каким-нибудь ACL "только для своих"? Я видел такое на аудите буквально в прошлом квартале, и это зрелище не для слабонервных.

Windows Server 2025 принёс кое-что важное для всех изданий, не только Azure Edition: SMB over QUIC — это SMB, инкапсулированный в QUIC-протокол и работающий через UDP 443 с TLS 1.3. Для удалённого пользователя это выглядит как обычная сетевая папка, но транспорт полностью зашифрован и firewall-friendly. Никакого VPN, никакого открытого 445-го.

Включаем через PowerShell (WAC для 2025 пока не поддерживает, только PS):

# 1. Убеждаемся что SMBv1 мёртв
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force

# 2. Включаем аудит — смотрим кто ещё не умеет шифрование
Set-SmbServerConfiguration -AuditClientDoesNotSupportEncryption $true
Set-SmbServerConfiguration -AuditClientDoesNotSupportSigning $true

# 3. Привязываем сертификат к SMB over QUIC
# (сертификат нужен с SAN = FQDN файл-сервера, можно Let's Encrypt)
$thumb = (Get-ChildItem Cert:\LocalMachine\My | 
  Where-Object {$_.Subject -like "*fileserver*"}).Thumbprint

Set-SmbServerCertificateMapping `
  -Name "QuicCert" `
  -Thumbprint $thumb `
  -StoreName "My" `
  -Force

# 4. Включаем QUIC-листенер на интерфейсе
New-SmbServerNetworkInterface `
  -InterfaceAlias "Ethernet" `
  -QuicListener $true

# 5. Проверяем — клиент должен видеть QUIC
Get-SmbConnection | Select ServerName, Dialect, TransportName
# TransportName = QUIC — победа

Зачем это нужно:
Всё SMB-соединение, включая аутентификацию и авторизацию, находится внутри TLS-туннеля и никогда не открыто на сетевом уровне.

Итог: TCP 445 — это наследие 1996 года. У вас есть Windows Server 2025 и три команды в PowerShell. Нет причин не закрыть этот вопрос сегодня.

#windows #smb #quic #security #windowsserver2025 #sysadmin #admin_future

🪟 Windows: SMB over QUIC — убиваем VPN для файловых шар

Коллеги, вчера мы ждали новых сюрпризов от Nightmare Eclipse (обещанный дроп 14 июня), но пока эфир относительно чист. Зато есть повод поговорить о хорошем. Больше никаких пробросов порта 445 и обязательных корпоративных VPN для доступа к рабочим файлам из дома.

В Windows Server 2025 технология SMB over QUIC окончательно стала мейнстримом. QUIC работает поверх протокола UDP (порт 443). Трафик всегда зашифрован TLS 1.3, провайдеры его не режут, а скорость при плохом мобильном интернете в разы выше классического TCP.

Как настроить в PowerShell:

# Проверяем поддержку на сервере:
Get-SmbServerConfiguration | Select-Object EnableSMBQUIC

# Включаем SMB over QUIC (потребуется привязать сертификат):
Set-SmbServerConfiguration -EnableSMBQUIC $true

# На клиенте (Windows 11) принудительно мапим сетевой диск через QUIC:
New-SmbMapping -LocalPath 'Z:' -RemotePath '\\fs.makshel.local\Share' -TransportType QUIC

Зачем это нужно:
Пользователи получают доступ к корпоративным шарам так же просто, как к облачному диску. А безопасники спят спокойно, потому что наружу торчит только стандартный 443 UDP порт, а не дырявый 445 TCP, который обожают шифровальщики.

#windows #windowsserver #quic #networking #sysadmin #admin_future