SMB Signing: الفرق بين Supported وRequired، وكيف تقرأ إعداد العميل والخادم بدون تعطيل الحماية؟

نتيجة فحص تقول إن SMB Signing مدعوم لكنه غير مطلوب على خادم ملفات. في الوقت نفسه، زميلك يفتح المشاركة من جهازه وتظهر جلسته محمية. هل النتيجتان متناقضتان؟ لا بالضرورة؛ اشتراط التوقيع من طرف واحد قد يجعل جلسة معينة موقعة، حتى لو لم يكن الطرف الآخر يفرضه على كل ما يستقبله.

هذا الفرق يضيع كثيرًا بين كلمات Supported وEnabled وRequired وSigned. بنراجع حالة لاب فيها عميل Windows وخادم ملفات وNAS تدريبي، ونفصل بين قدرة البروتوكول وسياسة الطرفين وحالة الاتصال الموجود. الهدف أن تعرف ماذا تثبت كل نتيجة، وكيف توصي بتصحيح يحافظ على الخدمة من غير تحويل تعطيل التوقيع إلى حل افتراضي لأي خطأ مشاركة.

سمّ الشيء الذي تفحصه: قدرة أم شرط أم جلسة؟

Supported تعني أن الطرف يدعم الميزة في السياق الذي قرأته الأداة. Required تعني أن هناك شرطًا يفرض استخدامها، بحسب الاتجاه والإعداد الفعلي. أما Signed فهي وصف لجلسة أو رسائل جرى قياسها. الكلمات تبدو متقاربة لكن وضعها في خانة واحدة يسبب نتيجة خاطئة عن حماية الخادم أو العميل.

خلنا نفترض FILE01 يستطيع توقيع SMB لكنه لا يفرضه، وLAB-PC01 يشترط التوقيع على اتصالاته الصادرة. الجلسة بينهما قد تكون موقعة بسبب شرط العميل. مشاهدة هذه الجلسة لا تثبت أن FILE01 سيرفض عميلًا آخر لا يشترط التوقيع. وكذلك قراءة سياسة FILE01 وحدها لا تقول لك حالة كل جلسة اتصال خرجت من العميل إلى أجهزة أخرى.

ابدأ بتحديد موضوع القياس: هل تفحص خادمًا يستقبل مشاركات، أم جهازًا يصل إلى مشاركات، أم جلسة بعينها؟ ثم اقرأ أسماء الحقول في الأداة وتوثيق نسختها. كلمة Enabled في أداة قد تلخص القدرة، وفي واجهة أخرى قد تُستخدم لتفعيل شرط؛ لا تجعل الترجمة بين الواجهات تقوم على الحدس.

في التقرير، استخدم عبارة دقيقة مثل «اشتراط التوقيع على الاتصالات الواردة لهذا الخادم غير مفروض في الإعداد المقروء»، أو «الجلسة التدريبية المحددة ظهرت بالشروط التالية». الصياغة الأطول قليلًا توفر وقتًا في المراجعة، لأنها تمنع الفريق من الرد عليك بصورة جلسة موقعة وكأنها تنفي سؤال شرط الخادم.

وبالنسبة للفحص الآلي، احتفظ بالهدف والمنفذ وزمن الجمع وطريقة التحقق. بعض النتائج تأتي من تفاوض أولي، وبعضها من قراءة إعداد محلي، وبعضها من تحليل اتصال قائم. هذه أدلة مختلفة، وحتى لو اتفقت فالأفضل أن يعرف القارئ من أين جاءت كل معلومة قبل اعتمادها في قرار تشديد.

نفس الجهاز قد يكون عميلًا وخادمًا في الوقت نفسه

خادم الملفات يستقبل اتصالات الموظفين، لكنه قد يتصل هو نفسه بمشاركة نسخ احتياطي أو مورد آخر. في العلاقة الأولى هو SMB Server، وفي الثانية هو SMB Client. لذلك لا يكفي القول «التوقيع مفروض على الجهاز» من غير تحديد الاتجاه، لأن إعداد العميل الصادر وإعداد الخادم الوارد سؤالان منفصلان.

على Windows في لاب مصرح، قراءة إعداد العميل تتم بأمر: Get-SmbClientConfiguration | Select-Object RequireSecuritySignature. وقراءة إعداد الخادم تتم بأمر: Get-SmbServerConfiguration | Select-Object RequireSecuritySignature. ينفذ كل أمر قراءة على الجهاز الذي تشغله عليه في السياق المعتاد؛ لا تعتبرهما فحصًا لكل خادم في الدومين، ولا تنسَ تدوين اسم الجهاز مع المخرجات.

إذا ظهر True في جانب العميل، فالمعنى أن العميل يشترط توقيع اتصالاته المعنية. وإذا ظهر False في جانب الخادم، فلا تحولها إلى عبارة «كل الجلسات غير موقعة». أنت قرأت غياب اشتراط من هذا الجانب، ويبقى الطرف المقابل وحالة التفاوض عاملين مهمين. هذه الدقة هي التي تفسر الحالة التي بدأنا بها.

توثيق Microsoft الخاص بـSMB2 والإصدارات اللاحقة يوضح أن RequireSecuritySignature هو محور التحكم في الاشتراط، وأن EnableSecuritySignature ليس المفتاح الذي يعتمد عليه هذا السلوك في SMB2 وما بعده. لذلك سكربت قديم يقرأ Enabled فقط قد يتركك تستنتج شيئًا لا يقيسه بالطريقة المتوقعة.

لا تعالج اختلاف الإعدادين تلقائيًا بتوحيدهما قبل فهم دور الجهاز وسياسة المؤسسة. ربما التصميم يفرض الاثنين، وربما له متطلبات مختلفة ومراجعة توافق قائمة. دورك في مرحلة القراءة أن تجمع الحالة وتفسر الاتجاه، ثم تقارنها بالمتطلب المحدد. التصحيح يأتي بعد معرفة أي جانب يخالف المطلوب، لا بعد البحث عن اللون الأخضر في جميع الحقول.

التوقيع والتشفير وأذونات المجلد ثلاثة ضوابط

التوقيع يحمي سلامة الرسالة ويساعد على التحقق من عدم العبث بها في النقل. التشفير يتعلق بحماية المحتوى أثناء النقل، وله خصائصه وشروطه في SMB. أما أذونات المشاركة ونظام الملفات فتحدد ماذا تستطيع الهوية فعله بالمحتوى. لا تستخدم واحدًا دليلًا على اكتمال الاثنين الآخرين.

جلسة موقعة لا تعني أن موظفًا يملك حق قراءة مشروع سري، كما أن مجلدًا مقيدًا في ACL لا يشرح وحده حماية النقل. وإذا كان المطلوب حماية بيانات على القرص، فلا تساوِ ذلك بتشفير SMB بين العميل والخادم؛ التوثيق يفرق بين حماية النقل وحماية البيانات المخزنة. السؤال الأمني يحدد الضابط الذي تحتاج قياسه.

في المثال، المستخدم التدريبي يريد قراءة ملف شاهد على ProjectDocs. اجمع هوية الاتصال وحالة الحماية المتاحة في المصدر، ثم تحقق من العملية المعتمدة على الملف التدريبي. لو نجحت القراءة فلا تكتب أن كل مشاركة الخادم آمنة؛ ربما مشاركة أخرى لها جمهور مختلف أو متطلب تشفير مختلف. وإذا فشلت القراءة، راجع هل وصلت إلى قرار أذونات أصلًا أم توقف الاتصال في مرحلة أسبق.

هذا التمييز يفيد عند اقتراح التوصيات. إذا السؤال عن إلزام التوقيع، فالتوصية تتعلق باشتراط الطرف المعني وتوافق العملاء. وإذا السؤال عن سرية النقل، تحتاج مراجعة متطلبات التشفير. وإذا السؤال عن وصول زائد، تعمل على أذونات المورد والعضويات. جمع الثلاثة في تغيير عشوائي يجعل إعادة الاختبار صعبة ويزيد احتمال أن تصلح عرضًا وتترك السبب.

وحين تستخدم تحليل شبكة في لاب، لا تفترض أن غياب عرض واضح في أداة واحدة يعني غياب الحماية. بروتوكول الجلسة وطريقة فك العرض ومصدر الالتقاط تؤثر في ما تراه. رجع السؤال إلى دليل مناسب لكل طبقة، واذكر حدود القياس بدل إصدار حكم شامل من صف لا يعرض كل خصائص الاتصال.

اقرأ الاتصالات الحالية، ثم افهم حدود اللقطة

Get-SmbConnection يعرض الاتصالات الموجودة من عميل SMB إلى خوادم SMB. في جهاز لاب لديه اتصال مسموح إلى FILE01، يمكن استخدام: Get-SmbConnection -ServerName 'FILE01' | Select-Object ServerName,ShareName,UserName,Credential,Dialect,Encrypted. المثال يجمع حقولًا تساعدك تربط المورد والهوية وإصدار البروتوكول وحالة التشفير كما تعرضها الأداة.

انتبه إلى أن بيانات اعتماد الاتصال قد تختلف عن هوية تسجيل الدخول التي تتذكر أنك تستخدمها على سطح المكتب. لذلك قراءة UserName وCredential مفيدة لتفسير من ينفذ عملية الوصول الفعلية. لا تكتب اسم حسابك في التقرير اعتمادًا على نافذة الطرفية فقط إذا كان الاتصال قائمًا بسياق مختلف.

والحقل Encrypted لا يساوي Signed. إذا أردت حالة توقيع جلسة، استخدم مصدرًا موثقًا يعرضها في نسختك أو تحليلًا مناسبًا متفقًا عليه، ولا تستنتجها من Encrypted وحده أو تضف حقلًا لا تعرضه الأداة ثم تقرأ فراغه على أنه False. معرفة نوع الدليل أهم من زيادة عدد الأعمدة في الأمر.

كذلك القائمة تعكس اتصالات موجودة حين جرى الجمع، لا جردًا لكل الخوادم التي يستطيع العميل الوصول إليها. إذا كانت خالية، ربما لا توجد جلسة في السياق الذي قرأته أو لا يملك الجمع التغطية المطلوبة. هذه ليست نتيجة أن الخدمة لا تعمل أو أن التوقيع معطل. اذكر حالة اللقطة ثم اجمع دليلًا آخر إذا كان السؤال يحتاجه.

في التمرين، اجمع إعداد العميل أولًا ثم بيانات الاتصال التدريبية، وسجّل الوقت والهدف. لو تغير الإعداد بين اللقطتين، لا تقارن جلسة سابقة وكأنها بدأت بعد التغيير. تحتاج شروط مقارنة واضحة يحددها مسؤول اللاب، من غير قطع جلسات أشخاص آخرين أو إزالة اتصالات إنتاجية حتى تحصل على تجربة أنظف.

ليش جهاز حديث يرفض NAS كان يفتح من قبل؟

ترقية جهاز عميل قد تغير متطلبات الأمان الافتراضية وتكشف عدم توافق قديم في جهاز مشاركة. التوثيق الحالي يميز النسخة والإصدار؛ مثلًا Windows 11 24H2 في Pro وEnterprise وEducation يفرض اشتراطات تختلف عن Home، وServer 2025 له وصف افتراضي محدد للاتجاه الصادر. هذه معلومات سياقية، ولا تغني عن قراءة الإعداد الفعلي في الجهاز المعني.

في حالة NAS تدريبية، اجمع إصدار العميل ونوعه وإعداداته، وإصدار برنامج NAS وقدرته وإعداداته الموثقة. إذا كان الخطأ مرتبطًا بعدم دعم التوقيع، فالمسار المناسب مراجعة تحديث أو إعداد الجهاز الخادم وفق مورده. لا تجعل تغيير حماية العميل أول تجربة، لأن نجاح الاتصال بعدها لا يعني أنك أصلحت توافقًا بطريقة تحقق المتطلب الأمني.

وقد تكون المشكلة مختلفة: وصول Guest قد لا يحقق الشروط المقصودة، أو اعتماديات اسم الخادم والمصادقة ليست مضبوطة. لذلك اقرأ رسالة الخطأ والمرحلة التي فشلت، ثم قارن مع توثيق الجهاز. عبارة «المسار غير موجود» وحدها ليست تشخيصًا كافيًا لكل سبب يحتمل أن تنتجه واجهة العميل.

خلنا نفترض أن العميل القديم يعمل والجديد يفشل. المقارنة مفيدة لتحديد الفروق، لكن لا تثبت أن الجديد فيه عطل. ربما القديم يسمح بسلوك لا يوافق التصميم الأمني الحالي. اسأل ما المتطلب الذي تريد المؤسسة المحافظة عليه، ثم قارن قدرة الطرفين عليه، بدل تحويل استمرار العادة القديمة إلى معيار الصحة.

لو الجهاز لا يدعم المتطلب، وثّق الاعتمادية وخيارات الاستبدال أو التحديث ومالك القرار. وجود خدمة عمل تحتاج الجهاز لا يجعل أي تخفيف دائم مناسبًا تلقائيًا، كما أن الإصرار على تغيير قبل جرد الاعتماديات قد يوقف خدمة بلا خطة. التقييم الجيد يوفر معلومة واضحة تساعد الفريق يختار معالجة تحافظ على الأمن والوظيفة معًا.

تمرين صغير يثبت الفرق بين الإعداد والسلوك

استخدم عميلين تدريبيين وخادم ملفات داخل شبكة معزولة أعدّها المسؤول. لا تحتاج أن تعيد تمرير مصادقة أو تضع جهازًا وسيطًا كي تتعلم الفارق. المطلوب قراءة إعدادات الطرفين وجلسة مسموحة ومقارنتها بمتطلب مكتوب. حدد منذ البداية أن نطاق التمرين SMB2 أو ما بعده، وأن الملفات المستخدمة شواهد تدريب بلا بيانات حقيقية.

ابدأ بجدول تعريف: الجهاز، دوره في العلاقة، قيمة اشتراط التوقيع، مصدر القراءة، والوقت. ثم أضف لكل جلسة هوية العميل والوجهة والمشاركة والمعلومة المتاحة عن الحماية. اترك الحقول غير المقاسة مكتوبة بهذا الاسم بدل ملئها بقيمة مفترضة. هذا الانضباط يفرق بين «لم أقرأ التوقيع» و«قرأت أنه غير مستخدم».

اطلب من المسؤول أن يوفر حالات معروفة وفق اللاب، ثم اختبر تفسيرك قبل معرفة الإجابة. إذا كان العميل يفرض التوقيع والخادم لا يفرضه، ما الذي تستطيع قوله عن جلسة بينهما؟ وما الذي لا تستطيع قوله عن جلسة عميل آخر؟ هذا السؤال أهم من حفظ اسم الأمر، لأنه يختبر فهمك لطرفي العلاقة.

بعد تصحيح معتمد، أعد قياس الإعداد المقصود والسلوك الوظيفي على اتصال تدريب واضح. اختبر قراءة الملف المطلوب، وراجع أن هوية خارج جمهور المشاركة لا تحصل على وصول لم يكن مقصودًا. التوقيع لا يصلح ACL، لكن إعادة الاختبار الجيدة تتأكد أن معالجة التوافق لم تتضمن منح وصول زائد لتجاوز شكوى المستخدم.

وفي النهاية، اكتب فقرة قصيرة يراجعها زميلك: ما المتطلب، ما الدليل، ما النتيجة، وما حدودها؟ إذا استطاع الزميل أن يفسر الحالة من دون رؤية جلستك أو سؤالك عما قصدت بـEnabled، فقد وصلت إلى فهم يمكن استخدامه في لاب شهادة أو تقرير مهني، وليس مجرد لقطة أمر يعمل.

صياغة النتيجة ومقياس نجاح التصحيح

عنوان مثل «SMB Signing غير مطلوب على FILE01 للاتصالات الواردة وفق الإعداد المقروء» يحدد موضوع المراجعة أكثر من «SMB غير آمن». بعده اذكر السياسة المعتمدة التي يفترض تطبيقها، وطريقة الجمع، وما إذا كانت الأدلة إعدادات محلية أو نتيجة تفاوض أو جلسة تدريب محددة. هذا يسمح للمسؤول أن يعيد القياس من المصدر نفسه.

لا تدّع وقوع Relay أو سيطرة على الخادم إن لم تختبرهما. تستطيع توضيح الخطر المرتبط بغياب اشتراط، لكن افصل الاحتمال عن الدليل الذي جمعته وعن الضوابط الأخرى الموجودة. كذلك لا تقل إن التوقيع يحل كل مشكلة SMB؛ الأذونات والمصادقة والتشفير والتوافق لها أسئلة مستقلة تحتاج مراجعتها بحسب النطاق.

التوصية تحدد جانب العميل أو الخادم المطلوب، وتراجع الأجهزة التي قد تتأثر، وتربط المعالجة بجهة مسؤولة. معيار النجاح يشمل قراءة الإعداد الفعلي بعد التطبيق، واتصالًا مشروعًا يعمل بالشروط المقصودة، وعدم توسيع أذونات المشاركة أو استخدام حساب بديل أعلى امتيازًا لإخفاء عدم التوافق. ضع هذه الشروط في خطة إعادة الاختبار بدل الاكتفاء بأن المجلد فتح.

تذكر أن Supported قدرة، وRequired شرط، وحالة الجلسة قياس لحالة بعينها. عندما تفصل بينها، تعرف لماذا يمكن أن تتفق نتيجة فحص وخطوة وصول رغم اختلاف ظاهر، وتعرف أيضًا متى لا يكفي دليل الجلسة للرد على سؤال الخادم.

مراجع Microsoft: سلوك التوقيع والإعدادات بحسب النسخة: https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb-signing
الفرق بين اشتراط الطرفين وEnableSecuritySignature في SMB2 وما بعده: https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb-signing-overview
قراءة الاتصالات الحالية: https://learn.microsoft.com/en-us/powershell/module/smbshare/get-smbconnection?view=windowsserver2025-ps
التشفير وحماية النقل: https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb-security