لماذا يعمل مجلّد مشترك في Windows أحياناً ويفشل أحياناً ── فصل Kerberos وNTLM وبيانات الاعتماد

«عمل بالأمس.» «مستكشف الملفّات يفتحه، لكن التطبيق لا يستطيع.» «أصلحته إعادة التشغيل.» تصعب التحقيق في مشاكل المجلّد المشترك عندما تبدو المحاولات متطابقة.

حتّى حين تعتقد أنّك تفتح المشاركة نفسها، قد ينفّذ Windows عمليّات مختلفة إذا اختلف اسم الوجهة أو حساب التنفيذ أو الاتّصالات القائمة. العثور على تلك الفروق هو نقطة انطلاق التحقيق.

يجمع دليل التشخيص هذا أوامر تشغّلها، وكيفيّة تفسير نتائجها، وأين تحقّق تالياً، بدل تعيين سبب من العَرَض وحده. للبروتوكولات نفسها انظر شرح NTLM وKerberos. لتصميم التطبيق انظر مطبّات محرّك الشبكة ومسار UNC.

1. ابدأ من هنا: الخلاصة وفهرس الأعراض

حقّق بهذا الترتيب: هل تصل؟ → أيّ هويّة اتّصلت؟ → أيّ متطلّبات مصادقة وحماية تنطبق؟ → هل يُسمَح لتلك الهويّة بأداء العمليّة؟ سجّل هذه الشروط بالشكل نفسه للمحاولات الناجحة والفاشلة. العَرَض نقطة انطلاق، لا سبب مؤكَّد.

flowchart TB
    accTitle: الانتقال من الأعراض إلى الأدلّة
    accDescr: اختر مرشّحين من العَرَض، قارن أدلّة المحاولات الناجحة والفاشلة، ثمّ اختر إصلاحاً.
    symptom["اختر العَرَض"] --> compare["قارن النجاح والفشل"]
    compare --> evidence["ضيّق المرشّحين بالسجلّات"]
    evidence --> fix["غيّر شيئاً واحداً وأعد الاختبار"]

الشكل 1: استخدم الأعراض لبدء التحقيق، واختر الإصلاحات فقط بعد التحقّق من الأدلّة.

النطاق مشاركات SMB 2/3 على Windows 11 وWindows Server عبر اتّصالات TCP 445 العاديّة. أمثلة PowerShell تستهدف Windows PowerShell 5.1. هذا دليل متوسط للمسؤولين والمطوّرين، لكن القرّاء بلا وصول إدارة خادم يمكنهم البدء بجمع معلومات جانب العميل.

ميّز مجالات AD، ومشاركات Windows في مجموعة عمل، وحسابات NAS الخاصّة. يغطي هذا المقال Kerberos AD العادي وتكوينات الحسابات المحلّيّة التقليديّة؛ SMB over QUIC، ومصادقة Azure Files الخاصّة، وتكوينات IAKerb أو LocalKDC الفرديّة خارج نطاقه. مع DFS سجّل أيضاً خادم الهدف النهائي. الإعدادات والافتراضيّات تستند إلى وثائق رسميّة رُوجعت في 8 أيلول/سبتمبر 2026؛ التكوين الفعلي يتقدّم على الافتراضات القائمة على اسم نظام التشغيل.

أوّلاً أكّد أيّ حسابات تُكوَّن المشاركة لقبولها. يدير AD الحسابات مركزيّاً لمنظّمة، بينما الحسابات المحلّيّة تخصّ حواسيب فرديّة. يمكن لـ NAS استخدام حساباته الخاصّة أو الانضمام إلى AD. لا تستنتج Kerberos من شبكة LAN مؤسّسيّة أو NTLM من كون الخادم NAS؛ اسأل المسؤول عن تكوين المصادقة.¹²³

انتماء الحاسوب إلى مجال وأيّ بيانات اعتماد استخدمها هذا الاتّصال سؤالان مختلفان أيضاً. في الأمثلة أدناه CORP\alice حساب مجال، بينما FILESRV01\alice حساب محلّي على خادم الملفّات. وجود مستخدم بالاسم نفسه على حاسوبك لا يمنح ذلك المستخدم بالضرورة الأذونات نفسها على الخادم.⁴⁵

في المخطّط، يشير الخطّ المتّصل إلى علاقة قائمة دائماً، ويشير الخطّ المتقطّع إلى علاقة مشروطة (شروط قيامها مذكورة في شرح كلّ علاقة في الصفحة التفصيليّة). القائمة الكاملة للعلاقات (المجموع 19، مع الأدلّة ودرجة اليقين) وتعريفات المفاهيم الرئيسة مجمّعة في صفحة تفاصيل خريطة المعرفة (باليابانية). البيانات: JSON-LD / Turtle

2. افصل المراحل المختبئة خلف «لا يمكن الاتّصال»

فتح ملفّ يشمل إقامة الاتّصال، والتفاوض على شروط SMB، ومصادقة جلسة، والاتّصال بمشاركة، وأداء عمليّة ملفّ. نجاح المصادقة لا يمنح وصولاً إلى المشاركة أو الملفّ. ويمكن لرسالة تقول إنّ مسار الشبكة لم يُعثَر عليه أن ترتبط حتّى برفض وصول الضيف. لا تشخّص عطل DNS من تلك الرسالة وحدها.⁶⁷

flowchart TB
    accTitle: المراحل قبل فتح ملفّ مشترك
    accDescr: يمكن أن يفشل الاتّصال، وتفاوض SMB، والمصادقة، واتّصال المشاركة، وعمليّات الملفّات كلّاً على حدة.
    net["تحليل الأسماء وTCP"] --> negotiation["التفاوض على شروط SMB"]
    negotiation --> session["SESSION_SETUP: المصادقة"]
    session --> tree["TREE_CONNECT: المشاركة"]
    tree --> file["CREATE وعمليّات ملفّ أخرى"]

الشكل 2: النجاح في مرحلة لا يثبت النجاح في التالية.

هنا يعني النجاح أداء العمليّة المقصودة على الملفّ المقصود. رؤية حاسوب تحت عرض الشبكة في مستكشف الملفّات، ورؤية قائمة مشاركات، وقراءة ملفّ معيّن ليست متكافئة. سجّل مسار UNC الفاشل فعلاً والعمليّة، لا مجرّد ما إذا كانت قائمة ظاهرة.

3. اجمع الأدلّة قبل إعادة التشغيل أو تغيير الإعدادات

حذف الاتّصالات أو التذاكر في البداية يزيل الحالة التي أردت مقارنتها. أوّلاً سجّل الوقت ومسار UNC والمستخدم ونظام التشغيل والاتّصالات القائمة على العميل. الأوامر التالية تفحص الحالة. عند التحقيق في فشل خدمة لا تعامل نتائج هذه الطرفيّة التفاعليّة كنتائج من الخدمة نفسها.⁴⁸⁹

Get-Date -Format o
whoami /user
whoami /groups
Get-CimInstance Win32_OperatingSystem |
    Select-Object Caption, Version, BuildNumber
net use
cmdkey /list
klist

اجمع أيضاً التالي حيث تملك إذناً بالاستعلام عن اتّصالات SMB. نتيجة رفض وصول تعني «تعذّر تنفيذ الاستعلام»، لا «لا توجد اتّصالات». علِّم أيّ نتائج جُمعت مجدّداً كمسؤول بذلك السياق التنفيذي. رفع التحقيق كلّه بصمت يمكن أن يغيّر جلسة تسجيل الدخول قيد المقارنة.⁴¹⁰

Get-SmbConnection | Format-List *

في Get-SmbConnection افحص Credential إلى جانب UserName. يمكن أن تختلف هويّة تسجيل الدخول المحلّيّة وبيانات الاعتماد المستخدمة لاتّصال المشاركة. مقارنة ServerName وShareName وUserName وCredential عبر المحاولات الناجحة والفاشلة تساعد على إثبات ما إذا كنت تقارن الاتّصال نفسه.⁴

flowchart TB
    accTitle: المعلومات المخزَّنة مقابل الحالة النشطة
    accDescr: افحص بيانات الاعتماد المخزَّنة واتّصالات SMB وتذاكر Kerberos كلّاً على حدة.
    snapshot["التقط في الوقت نفسه"] --> stored["بيانات اعتماد مخزَّنة"]
    snapshot --> connection["اتّصالات SMB قائمة"]
    snapshot --> ticket["ذاكرة التذاكر المؤقّتة"]
    stored -.-> verify["طابق الاستخدام الفعلي مع السجلّات"]
    connection --> verify
    ticket -.-> verify

الشكل 3: ميّز ما هو مخزَّن عمّا استخدمه الاتّصال قيد التحقيق فعلاً.

تحتوي هذه المخرجات أسماء مستخدمين وأسماء خوادم داخليّة وعناوين IP ومعلومات مشابهة. قيّد الوصول إلى السجلّات المجموعة. قبل مشاركتها خارجيّاً أخفِ هويّتها مع الحفاظ على العلاقات اللازمة للمقارنة. لا حاجة إلى نشر كلمات مرور أو تجزئات أو التذاكر نفسها.

4. راجع تحليل الأسماء وTCP 445 أوّلاً

التالي اختبار اتّصال نشط يُشغَّل على العميل. استبدل اسم الخادم باسم الاتّصال الفعلي. سجّل تحليل الأسماء واتّصال TCP كلّاً على حدة.¹¹

$Server = 'filesrv01.corp.example.com'
Resolve-DnsName -Name $Server
Test-NetConnection -ComputerName $Server -Port 445 -InformationLevel Detailed

إذا كان TcpTestSucceeded هو False فحقّق في قابليّة الوصول قبل المصادقة عند تلك النقطة. راجع عنوان IP الوجهة، وVPN والتوجيه، وجدران حماية العميل والخادم، ونقطة استماع الخادم. نجاح ping أو فشله ليس نجاح اتّصال TCP 445 أو فشله. بالمقابل، نجاح اتّصال TCP يترك اسم المشاركة والمصادقة والتوقيع والأذونات بلا تحقّق.¹¹

flowchart TB
    accTitle: تفسير اختبار اتّصال TCP
    accDescr: اختبار TCP 445 فاشل يقود إلى تحقيق قابليّة الوصول؛ واختبار ناجح يقود إلى SMB والمراحل اللاحقة.
    tcp["اختبر TCP 445"] --> result{"هل نجح؟"}
    result -->|"لا"| route["راجع الوجهة والمسار والحظر"]
    result -->|"نعم"| smb["راجع SMB والمصادقة والوصول"]

الشكل 4: نجاح TCP دليل على أنّك تستطيع المتابعة إلى المرحلة التالية، لا على أنّ المصادقة نجحت.

عندما يسلك اسم وعنوان IP سلوكاً مختلفاً، قارن RemoteAddress ونتائج تحليل الأسماء. الاسم القصير وFQDN والاسم المستعار لا يصلون بالضرورة إلى عنوان IP نفسه. وحتّى حين يفعلون، تبقى متطلّبات المصادقة في القسم التالي منفصلة. إذا بدا أنّ تغيير الاسم يصلح المشكلة فسجّل ما تغيّر.

5. راجع متطلّبات Kerberos عندما تختلف الأسماء وعناوين IP

5.1. عنوان IP نفسه لا يعني المصادقة نفسها

افتراضيّاً لا يحاول Windows Kerberos عندما يكون اسم الهدف عنوان IP. يمكن تكوين استثناءات باستخدام TryIPSPN وSPN قائمة على IP، لكن النهج القياسي في هذا الدليل هو إقامة اسم DNS الصحيح وهويّة الخدمة. النجاح بعنوان IP دليل لمقارنة تحليل الأسماء والمصادقة والاتّصالات القائمة؛ وهو لا يُثبت إصلاحاً دائماً.¹²

flowchart TB
    accTitle: متطلّبات المصادقة تعتمد على اسم الاتّصال
    accDescr: راجع متطلّبات Kerberos القائمة على الاسم لأهداف اسم المضيف، وراعِ السلوك الافتراضي بعدم محاولة Kerberos لأهداف عنوان IP.
    unc["تدوين الهدف في مسار UNC"] --> name["اسم مضيف أو FQDN"]
    unc --> ip["عنوان IP"]
    name --> spn["راجع SPN لذلك الاسم"]
    ip --> fallback["لا محاولة Kerberos افتراضيّاً"]

الشكل 5: حتّى حين يحدّد اسمان الجهاز نفسه، يغيّر تغيير اسم الاتّصال شروط المصادقة.

يطلب Kerberos تذاكر باستخدام معرِّف خدمة يُسمَّى SPN. حلّ اسم مستعار في DNS ومصادقة الخدمة تحت ذلك الاسم المستعار بشكل صحيح أمران مختلفان. كذلك ليس كلّ فشل Kerberos ينتج ارتداداً إلى NTLM. استخدم سجلّات فعليّة لتمييز ما إذا كان الارتداد ممكناً، وما إذا فشلت المصادقة، وما إذا كان NTLM مقيَّداً.¹³¹

5.2. افصل الحصول على التذكرة عن قبول الخادم

في بيئة AD ينبغي للمسؤولين فحص تسجيل SPN للاسم المستخدم للاتّصال. استعلامات القراءة فقط التالية لحاسوب إدارة يمكنه الاستعلام عن AD. أكّد أنّ الأدوات المطلوبة وأذونات قراءة الدليل متاحة.¹⁴

setspn -Q cifs/filesrv01.corp.example.com
setspn -Q HOST/filesrv01.corp.example.com

غياب تسجيل cifs/... صريح لا يثبت بمفرده أنّ SPN ناقص. لحسابات الحاسوب يمكن لـ SPN من نوع HOST أن ينوب عن فئات خدمة مثل cifs. بالمقابل، العثور على تسجيل لا يستبعد مشاكل مثل الملكيّة لحساب غير حساب الخدمة الفعلي، أو تسجيلات مكرَّرة. ينبغي لمسؤولي AD التحقّق من الملكيّة قبل تغيير التسجيلات؛ لا تضف SPN آليّاً لمجرّد أنّ استعلاماً لم يُرجع مطابقة.¹⁴

flowchart TB
    accTitle: ما تثبته فحوصات SPN والتذكرة
    accDescr: حلّ SPN، والحصول على التذكرة، وقبول خادم الملفّات فحوصات منفصلة.
    lookup["مالك SPN ونيابة HOST"] --> issue["هل يمكن الحصول على تذكرة؟"]
    issue --> accept["هل تُقبَل لمصادقة SMB الفعليّة؟"]
    accept --> logs["طابق مع سجلّات جانب الخادم"]

الشكل 6: الحصول على تذكرة لا يضمن أنّ خادم الملفّات سيقبلها.

بعد حفظ الحالة الأصليّة قد تحتاج إلى تجربة klist get cifs/filesrv01.corp.example.com. هذا اختبار نشط يطلب تذكرة ويغيّر الذاكرة المؤقّتة. إذا فشل فحقّق في قابليّة الوصول إلى DC، ومزامنة الوقت، والأسماء، وSPN. إذا نجح فما زال وصول SMB غير مضمون. لا تطبّق نتائج تذكرة مستخدم تفاعلي على مشكلة تحدث في خدمة.⁸¹

لـ NAS بلا مجال أو مصادقة بحسابات محلّيّة راجع أوّلاً طرق المصادقة وإعدادات الحساب التي تدعمها المشاركة بدل البدء بإصلاحات SPN في AD. حتّى في بيئات ذات ميزات مصادقة أحدث فضّل سجلّات الاتّصال على الافتراضات القائمة على أسماء المنتجات.

6. مستكشف الملفّات ينجح، لكن التطبيق يفشل

6.1. اسم مستخدم مطابق لا يكفي

قارن حساب التنفيذ، وجلسة تسجيل الدخول، والارتفاع، ومسار UNC، والعمليّة. تعمل الخدمة في جلسة مختلفة عن تسجيل الدخول التفاعلي حتّى عند تكوينها بالحساب نفسه. تعيينات حروف المحرّكات أيضاً مقيَّدة بجلسات تسجيل الدخول، لذا ميّز أوّلاً Z:\data عن \\server\share\data. التحويل إلى مسار UNC يعالج مشكلة حرف المحرّك؛ وهو لا يمنح أيضاً مصادقة أو أذونات.¹⁰

flowchart TB
    accTitle: مستكشف الملفّات وخدمة يستخدمان سياقين مختلفين
    accDescr: حتّى على الحاسوب نفسه قارن تسجيل الدخول التفاعلي وتسجيل دخول الخدمة كجلستين منفصلتين ببيانات اعتماد خاصّة.
    pc["الحاسوب نفسه"] --> explorer["تسجيل دخول تفاعلي"]
    pc --> service["تسجيل دخول الخدمة"]
    explorer --> a["اتّصالات ووصول في تلك الجلسة"]
    service --> b["اتّصالات ووصول في جلسة أخرى"]

الشكل 7: الحاسوب نفسه واسم المستخدم نفسه لا يشاركان بالضرورة حالة الاتّصال نفسها.

اجعل التطبيق الفاشل يسجّل معرِّف العمليّة، وهويّة التنفيذ، وحالة الارتفاع، والمسار الفعلي، واسم العمليّة، والاستثناء الأصلي، ورمز الخطأ. إذا استخدم انتحال هويّة فالتقط أيضاً الهويّة الفعّالة للخيط الذي يؤدّي العمليّة. لا تُغلق تحقيق خدمة لمجرّد أنّ جلسة PowerShell لمسؤول استطاعت فتح المشاركة.

6.2. حسابات الخدمة وأنواع تسجيل دخول المهام

عندما تستخدم خدمة بيانات اعتمادها الافتراضيّة، يقدّم LocalSystem بيانات اعتماد الحاسوب على الشبكة، بينما يقدّم LocalService بيانات اعتماد مجهولة. لوصول LocalSystem إلى مشاركة مجال تنتمي الأذونات ذات الصلة إلى الهويّة المستخدمة فعلاً، مثل حساب الحاسوب، لا المستخدم التفاعلي. التنفيذات التي تستخدم بيانات اعتماد صريحة أو انتحال هويّة تتطلّب فحوصاتها الخاصّة.¹⁵¹⁶

flowchart TB
    accTitle: الامتيازات المحلّيّة مقابل الهويّة البعيدة
    accDescr: ببيانات اعتماد الشبكة الافتراضيّة يقدّم LocalSystem وLocalService هويّتين مختلفتين.
    service["بيانات اعتماد الخدمة الافتراضيّة"] --> system["LocalSystem"]
    service --> local["LocalService"]
    system --> machine["بيانات اعتماد الحاسوب"]
    local --> anonymous["بيانات اعتماد مجهولة"]

الشكل 8: الامتيازات المحلّيّة الواسعة لا تجعل الخدمة المستخدم التفاعلي على المشاركة البعيدة.

في جدولة المهام افحص نوع تسجيل الدخول إلى جانب اسم الحساب. TASK_LOGON_S4U لا يخزّن كلمة مرور ولا يوفّر وصولاً إلى الشبكة أو الملفّات المشفَّرة. لا تفترض أنّ مهمّة مكوَّنة كي لا تخزّن كلمة مرور لها الشروط نفسها لتسجيل دخول تفاعلي عادي. كوِّن عمليّات الأعمال بحساب خدمة مناسب ونوع تسجيل دخول وأذونات أقلّ امتيازاً بدل الاعتماد على أن يفتح أحدهم المشاركة في مستكشف الملفّات أوّلاً.¹⁷

7. ميّز أربعة معانٍ لـ«لا تُطلَب كلمة مرور»

غياب المطالبة ليس دليلاً على وصول بلا مصادقة. قد تكون بيانات اعتماد تسجيل الدخول الحاليّة، أو بيانات اعتماد مخزَّنة، أو جلسة SMB قائمة قيد الاستخدام. إدخال في cmdkey /list وحده لا يثبت أنّ الاتّصال استخدمه.⁴⁹

flowchart TB
    accTitle: ما يعنيه غياب مطالبة كلمة المرور
    accDescr: لا تستنتج وصولاً بلا مصادقة من الواجهة؛ ميّز بيانات الاعتماد، وجلسة قائمة، وكلمة مرور فارغة، ووصول الضيف.
    prompt["لا تظهر مطالبة كلمة مرور"] --> identity["راجع الهويّة المقبولة فعلاً"]
    identity --> authenticated["بيانات اعتماد أو جلسة قائمة"]
    identity --> blank["حساب بكلمة مرور فارغة"]
    identity --> guest["ضيف"]

الشكل 9: واجهات تبدو متطابقة يمكن أن تخفي آليات مصادقة مختلفة.

عندما يعمل خادم الملفّات على Windows وتكون سياسته التي تحصر الحسابات المحلّيّة ذات كلمات المرور الفارغة بتسجيل الدخول إلى وحدة التحكّم مفعَّلة، تُقيَّد تسجيلات الدخول الشبكيّة العاديّة بتلك الحسابات. هذا منفصل عن إعداد السماح بوصول الضيف. إذا قال أحدهم إنّ مستخدماً بكلمة مرور فارغة اتّصل سابقاً، تحقّق أوّلاً على الخادم ممّا إذا صادق ذلك الحساب الاتّصال السابق فعلاً. بدل تعطيل القيد كأوّل استجابة انظر في حساب مناسب بكلمة مرور لوصول المشاركة.²³

إذا كنت تدير خادم ملفّات Windows فشغّل التالي في جلسة PowerShell للمسؤول على ذلك الخادم بينما الوصول يعمل. لا تخلط Get-SmbConnection، الذي يُشغَّل على العميل، بـ Get-SmbSession، الذي يُشغَّل على الخادم الذي يقبل الاتّصال.¹⁸

Get-SmbSession |
    Select-Object SessionId, ClientComputerName, ClientUserName, NumOpens

استخدم ClientComputerName ووقت المحاولة لتحديد الجلسة ذات الصلة، ثمّ افحص ClientUserName. هذا يصف جلسات SMB القائمة حاليّاً؛ وهو لا يشرح اتّصالاً فاشلاً سابقاً ولا يحدّد ما إذا استُخدم Kerberos أو NTLM. إذا كان للعميل نفسه جلسات متعدّدة فطابق أيضاً أزمنة عمليّات التطبيق وسجلّات خاصّة بـ SMB. إذا كان الاتّصال قد أُغلق فانتقل إلى السجلّات في القسم 12.¹⁸

8. الخطأ 1219 والإخفاق عند تبديل المستخدمين

يشير الخطأ 1219 إلى تعارض يشمل اتّصالات متعدّدة إلى الخادم نفسه بأسماء مستخدمين مختلفة. الاتّصالات القائمة إلى ذلك الخادم تهمّ حتّى عندما تختلف أسماء المشاركات. أوّلاً استخدم net use وGet-SmbConnection لفحص الاتّصالات إلى الخادم المستهدَف. قبل تغيير بيانات الاعتماد حدّد الملفّات المفتوحة والتطبيقات التي تستخدم تلك الاتّصالات.¹⁹²⁰

flowchart TB
    accTitle: يمكن أن تتعارض بيانات الاعتماد عبر مشاركات مختلفة
    accDescr: إضافة اتّصال تحت مستخدم آخر من سياق الاتّصال نفسه إلى الخادم نفسه يمكن أن تتعارض حتّى إذا اختلف اسم المشاركة.
    existing["متّصل أصلاً بالخادم كالمستخدم A"] --> new["اتّصل بمشاركة أخرى كالمستخدم B"]
    new --> conflict["تعارض بيانات الاعتماد: 1219"]
    conflict --> inspect["افحص الاتّصالات القائمة حسب الخادم"]

الشكل 10: افحص الخادم وبيانات الاعتماد معاً، لا اسم المشاركة وحده.

التالي يغيّر حالة الاتّصال. فقط بعد إيقاف استخدام الهدف والحصول على موافقة على الأثر ينبغي أن تقطع وتعيد اتّصال الاتّصال المحدَّد الذي عرّفته. استبدل أسماء الخادم والمشاركة والحساب في المثال. يطلب * مطالبة تفاعليّة بكلمة المرور؛ لا تضع كلمة المرور مباشرة على سطر الأوامر.⁵

net use "\\filesrv01.corp.example.com\data" /delete
net use "\\filesrv01.corp.example.com\data" /user:CORP\alice * /persistent:no

قطع مشاركة واحدة يمكن أن يترك اتّصالات إلى مشاركات أخرى أو استخدامات على الخادم نفسه. افحص القائمة مجدّداً وامسح فقط الاتّصالات اللازمة للخادم المستهدَف. لا تجعل net use * /delete أو تجنّب التعارض إلى ما لا نهاية بأسماء مستعارة وعناوين IP الإصلاح القياسي. بعد ذلك تحقّق من أنّ التطبيق الفعلي يتّصل ببيانات الاعتماد المقصودة.

9. عندما تصلح إعادة التشغيل الأمر، اسأل ما الذي تغيّر

لأنّ إعادة التشغيل تغيّر شروطاً متعدّدة، لا يستطيع التحسّن وحده تحديد سبب واحد. يوفّر الجدول التالي أبعاداً للمقارنة، لا ضماناً بأنّ إجراءً يعيد ضبط النطاق المذكور بدقّة وحصراً.⁴⁸⁹

flowchart TB
    accTitle: تفسير حلّ إعادة تشغيل ناجح
    accDescr: تغيّر إعادة التشغيل عدّة شروط، لذا لا يستطيع التحسّن وحده تحديد سبب واحد.
    reboot["إعادة التشغيل أعادت الوصول"] --> app["حالة التطبيق"]
    reboot --> session["حالة الاتّصال وتسجيل الدخول"]
    reboot --> network["حالة الشبكة وغيرها"]
    app --> evidence["يلزم دليل قبل وبعد"]
    session --> evidence
    network --> evidence

الشكل 11: قد تعيد إعادة التشغيل الخدمة دون إثبات السبب.

انظر في مثال افتراضي أعادت فيه المحاولة الناجحة استخدام اتّصال SMB تحت حساب آخر، بينما تطلّبت المحاولة الفاشلة مصادقة جديدة. ينبغي أن يستهدف التحقيق بيانات الاعتماد غير المقصودة وسبب فشل المصادقة الجديدة، لا إعادة التشغيل نفسها. محاذاة الطوابع الزمنيّة وأسماء الاتّصال وسياقات التنفيذ والحسابات المقبولة عبر النتيجتين تجعل الخطوة التالية ملموسة.

حتّى عندما تكون إعادة التشغيل عاجلة لاستعادة الخدمة احفظ أوّلاً مخرجات القسم 3 والخطأ الأصلي حيث أمكن. بعد إعادة التشغيل جرّب العمليّة نفسها في التطبيق الأصلي قبل فتح المشاركة في مستكشف الملفّات. العمليّات المتداخلة تصعّب تمييز ما إذا أعادت إعادة التشغيل الوصول أو غيّرت عمليّة أخرى شروط الاتّصال. هذا ليس حظراً على إعادة التشغيل؛ بل إجراء تسجيل يدعم الاستعادة والتشخيص معاً.

يغيّر klist purge الحالة بحذف التذاكر. لا يستهدف اتّصالاً لا يستخدم Kerberos ويمكن أن يؤثّر في خدمات أخرى في جلسة تسجيل الدخول نفسها. تجنّب «امسحه فحسب» قبل حفظ الأدلّة.⁸

10. الإخفاق بعد التحديثات أو على بعض الحواسيب فقط

10.1. لا تخلط التوقيع ووصول الضيف وحظر NTLM

يحمي توقيع SMB من التلاعب بالرسائل؛ وهو إعداد منفصل عن ما إذا كانت المصادقة تستخدم Kerberos أو NTLM. يذكر دليل Microsoft المخصّص لتوقيع SMB أنّ Windows 11 24H2 Pro وEnterprise وEducation تشترط التوقيع الوارد والصادر افتراضيّاً، بينما يشترط Windows Server 2025 التوقيع الصادر. راجع الإصدار والتكوين الفعّال، لا اسم نظام التشغيل وحده.⁷

بالنسبة إلى Home يقول ذلك الدليل إنّ التوقيع غير مطلوب، بينما تشمل قائمة تغييرات Windows 11 24H2 إصدار Home بين الإصدارات التي تشترط التوقيع افتراضيّاً. تختلف الوثائق إذن. بدل صرف النظر عن التوقيع على أنّه غير ذي صلة على Home استخدم الأوامر أدناه لفحص الحاسوب قيد التحقيق.⁷²¹

flowchart TB
    accTitle: متطلّبات حماية SMB التي تُفحَص منفصلة
    accDescr: بروتوكولات المصادقة وتوقيع SMB ووصول الضيف إعدادات مختلفة يحتاج كلّ منها إلى التحقّق.
    policy["افحص السياسة الفعّالة"] --> auth["أذونات Kerberos وNTLM"]
    policy --> signing["متطلّب توقيع SMB"]
    policy --> guest["إذن وصول الضيف"]

الشكل 12: فحص إعداد واحد لا يثبت أنّ المتطلّبات الباقية مستوفاة.

لا يدعم وصول الضيف توقيع SMB العادي أو التشفير. وبالتالي قد لا يحلّ السماح للضيوف وحده المشكلة إذا كان التوقيع ما زال مطلوباً. فضّل تكوين حسابات مصادَقة وتوقيع على NAS. لا تعامل تعطيل التوقيع أو تثبيت SMB1 كالتفاف سهل.³

10.2. اقرأ التكوين الفعلي، لا الافتراضيّات وحدها

اجمع التالي في جلسة PowerShell للمسؤول على العميل. هذا يقرأ تكويناً؛ ميّزه عن التقاط حالة اتّصال مستخدم تفاعلي.⁷²²

$config = Get-SmbClientConfiguration
$config | Format-List RequireSecuritySignature, EnableInsecureGuestLogons
if ($config.PSObject.Properties['BlockNTLM']) {
    $config | Format-List BlockNTLM
} else {
    'خاصّيّة BlockNTLM غير ظاهرة على هذا النظام.'
}

يعني RequireSecuritySignature: False أنّ التوقيع غير مطلوب؛ وهو لا يثبت أنّ كلّ اتّصال غير موقَّع. إذا غابت BlockNTLM على نظام أقدم فهذا لا يثبت غياب سياسات تقييد NTLM أخرى. يتاح حظر NTLM لعميل SMB بدءاً من Windows 11 24H2 وWindows Server 2025، ويمكن تحديده أيضاً لاتّصالات مشاركة فرديّة. افحص خيارات اتّصال التطبيق وسياسات المنظّمة إلى جانب الإعدادات العامّة.⁷²²

flowchart TB
    accTitle: الإعدادات العامّة لا تحدّد الاتّصال كلّه
    accDescr: راجع سياسات المنظّمة وخيارات الاتّصال ومتطلّبات الخادم إضافة إلى افتراضيّات نظام التشغيل.
    defaults["افتراضيّات نظام التشغيل والإصدار"] --> effective["متطلّبات الاتّصال الفعليّة"]
    organization["سياسة المنظّمة وخيارات الاتّصال"] --> effective
    server["قدرات الخادم ومتطلّباته"] --> effective
    effective --> log["راجع السجلّات لسبب الرفض"]

الشكل 13: التزامن مع تحديث دليل؛ استخدم الإعدادات الفعّالة وسجلّات الرفض للوصول إلى استنتاج.

إهمال NTLM، وإزالة NTLMv1، وسياسة ترفض NTLM ليست القضيّة نفسها. انظر التدقيق والترحيل لتقاعد NTLM لترحيل البروتوكول والتدقيق على مستوى المنظّمة. هنا ركّز على المتطلّب الذي رفض هذا الاتّصال.

11. المصادقة تنجح، لكن الفتح أو الحفظ يفشل

لمشاركة Windows راجع أذونات المشاركة وأذونات المجلّدات والملفّات الأساسيّة معاً. يجب أن يسمح كلاهما بالعمليّة نفسها للهويّة نفسها. افحص عضويّة المجموعات وإدخالات الرفض والوراثة؛ إضافة Everyone لا تعني أنّ كلّ وصول يجب أن ينجح. راجع الوصول الفعّال باستخدام المسار الأساسي الفعلي على الخادم والهويّة التي قبلها الخادم فعلاً.²³

flowchart TB
    accTitle: المصادقة تختلف عن التفويض
    accDescr: حتّى بعد نجاح المصادقة يجب أن تسمح أذونات المشاركة والملفّ كلتاهما بالعمليّة المطلوبة.
    identity["هويّة مصادَقة"] --> share["أذونات المشاركة"]
    share --> file["أذونات الملفّ الأساسي"]
    file --> operation["أدِّ العمليّة المقصودة"]

الشكل 14: إثبات الهويّة وتقرير ما يجوز لتلك الهويّة فعله خطوتان منفصلتان.

سرد مجلّد، وقراءة ملفّ، والإنشاء، والاستبدال، وإعادة التسمية، والحذف عمليّات مختلفة. لتطبيق يحفظ بإنشاء ملفّ مؤقّت واستبدال الأصلي لا تكفي القراءة الناجحة. أبعد من المصادقة والأذونات حقّق في انتهاكات المشاركة أو السعة أو المسارات أو ملفّات اختفت باستخدام الخطأ الأصلي.²⁴

يعيد File.Exists في .NET أيضاً false لشروط مثل نقص الأذونات. تحقّق ممّا إذا كانت رسالة التطبيق «الملفّ غير موجود» قائمة على تلك القيمة المرجَعة وحدها. ينبغي لشيفرة التشخيص أن تسجّل استثناءات العمليّة التي تحتاج إلى أدائها فعلاً.²⁵

$Path = '\\filesrv01.corp.example.com\data\sample.txt'
try {
    Get-Item -LiteralPath $Path -ErrorAction Stop |
        Select-Object FullName, Length, LastWriteTime
} catch {
    $_.Exception.GetType().FullName
    'HRESULT=0x{0:X8}' -f $_.Exception.HResult
    $_.Exception.Message
}

هذا يفحص استرجاع البيانات الوصفيّة، لا نجاح قراءة المحتويات أو كتابتها. لاختبار I/O فعلي أعد إنتاج العمليّة المقصودة على ملفّ اختبار بعد التحقّق من التفويض والأثر. حفظ الأخطاء بدل تحويلها كلّها إلى «الملفّ غير موجود» يسهّل التحقيق التالي أيضاً.

12. طابق السجلّات لتضييق السبب

12.1. ميّز العميل وخادم الملفّات وDC

على العميل افحص Microsoft-Windows-SMBClient/Connectivity وMicrosoft-Windows-SMBClient/Security في عارض الأحداث. على خادم ملفّات Windows يمكن أن تساعد أحداث الأمان 4624 لتسجيل الدخول الناجح و4625 للفشل عندما يكون التدقيق مفعَّلاً. لتسجيلات الدخول الشبكيّة عبر SMB راجع نوع تسجيل الدخول 3. على NAS استخدم سجلّات المصادقة والمشاركة الخاصّة بالمنتج.²⁶²⁷²⁸

نوع تسجيل الدخول 3 في الحدث 4624 ليس خاصّاً بـ SMB. حتّى عندما يتطابق الوقت والمصدر والحساب لا يحدّد الحدث وحده مشاركة أو جلسة SMB. طابقه مع Get-SmbConnection وسجلّات خاصّة بـ SMB وتتبع حيث يلزم.²⁷⁴²⁶

flowchart TB
    accTitle: مطابقة سجلّات من ثلاثة مواضع
    accDescr: طابق سجلّات العميل وخادم الملفّات، وعند الحاجة DC، باستخدام الوقت ومعلومات الاتّصال.
    client["العميل: سجلّات SMBClient"] --> match["طابق الوقت والمصدر والحساب"]
    server["خادم الملفّات: سجلّات المصادقة"] --> match
    dc["DC: التذاكر والتحقق من بيانات الاعتماد"] --> match
    match --> result["اقرأ كدليل للمحاولة نفسها"]

الشكل 15: دون مطابقة الموضع والوقت يمكنك أن تخطئ سجلّات اتّصال غير ذي صلة على أنّها السبب.

شغّل التالي على خادم ملفّات Windows، بإذن قراءة سجلّ الأمان. سجّل الوقت مباشرة قبل المحاولة قيد التحقيق واطلب من المسؤول تأكيد أنّ تدقيق النجاح والفشل المطلوب مفعَّل. يستخرج هذا المثال الدقائق العشر الأخيرة ويستخدم أسماء حقول XML لا نصّ الرسالة المترجَم أو مواضع الحقول.²⁷²⁸

$Start = (Get-Date).AddMinutes(-10)
Get-WinEvent -FilterHashtable @{
    LogName = 'Security'; Id = 4624, 4625; StartTime = $Start
} -ErrorAction Stop | ForEach-Object {
    $event = $_
    $xml = [xml]$event.ToXml()
    $fields = @{}
    foreach ($item in $xml.Event.EventData.Data) {
        $fields[$item.Name] = [string]$item.'#text'
    }
    if ($fields['LogonType'] -eq '3') {
        [pscustomobject]@{
            Time = $event.TimeCreated
            EventId = $event.Id
            User = $fields['TargetUserName']
            Domain = $fields['TargetDomainName']
            SourceIp = $fields['IpAddress']
            Authentication = $fields['AuthenticationPackageName']
            Status = $fields['Status']
            SubStatus = $fields['SubStatus']
            LogonId = $fields['TargetLogonId']
        }
    }
} | Format-List

لـ 4624 اقرأ الحساب المستهدَف لتسجيل الدخول الجديد، لا Subject الذي بلّغ عن الحدث. في 4625 اسم المستخدم المستهدَف هو الاسم الذي حُاول، لا هويّة مقبولة. اقرأ Status وSubStatus معاً لسبب الفشل. إذا قال AuthenticationPackageName Negotiate فقط فذلك وحده لا يثبت ما إذا استُخدم Kerberos أو NTLM.²⁷²⁸

12.2. عندما لا توجد سجلّات، أو توجد تذكرة فقط

عدم العثور على حدث لا يثبت أنّ المصادقة لم تحدث. راجع التدقيق، وأذونات القراءة، وفروق الساعة، وما إذا كنت تفحص الخادم الصحيح، وإعادة استخدام جلسة قائمة، والفشل قبل المصادقة. إعادة استخدام اتّصال SMB قائم لا تولّد 4624 جديداً في كلّ مرّة يُفتح فيها ملفّ.²⁷⁴

flowchart TB
    accTitle: تفسير أحداث السجلّ الغائبة
    accDescr: عندما يغيب حدث راجع شروط الجمع والجلسات القائمة بدل الاستنتاج فوراً أنّه لم تحدث مصادقة.
    absent["لا حدث مطابق"] --> collection["التدقيق والأذونات والوقت والهدف"]
    absent --> reuse["إعادة استخدام جلسة قائمة"]
    absent --> before["فشل قبل المصادقة"]

الشكل 16: سجلّ غائب ليس مكافئاً لعمليّة لم تحدث قط.

في بيئات AD يساعد حدث DC 4769 على تحديد طلبات تذاكر خدمة Kerberos، بينما يساعد 4776 على تحديد التحقّق من بيانات اعتماد NTLM. إصدار التذكرة وحده لا يثبت الاستخدام أو القبول من خادم الملفّات، و4776 وحده لا يحدّد SMB كالخدمة المستهدَفة. اجمع الوقت والمصدر والحساب المستهدَف وسجلّات جانب الخادم. إذا بقي غموض فاطلب من مسؤول جمع تتبّع ضيّق النطاق.²⁹³⁰

13. تحقّق من تشغيل موثوق بعد الإصلاح

طبّق إصلاحاً واحداً في كلّ مرّة واحتفظ بالسبب ودليل ما قبل وبعد. إذا كان الاسم خاطئاً فصحّح الاسم والوجهة. إذا اختلفت بيانات الاعتماد فوحِّد على الحساب المقصود. إذا كان التوقيع غير مدعوم فعالج الدعم على الخادم. تعطيل ميزات الحماية معاً دون فهم السبب ليس تصميماً لتشغيل موثوق.

flowchart TB
    accTitle: من محاولة ناجحة واحدة إلى اختبار التكرار
    accDescr: بعد إجراء تغيير واحد أعد اختبار شروط الفشل الأصليّة وشروط إعادة الاتّصال.
    evidence["دليل يحدّد السبب"] --> change["إصلاح موجَّه واحد"]
    change --> original["اختبر التطبيق والعمليّة الأصليّين"]
    original --> reconnect["أعد الاختبار بعد إعادة الاتّصال أو إعادة التشغيل"]
    reconnect --> record["سجّل الفروق والنتائج"]

الشكل 17: تحقّق من النجاح تحت شروط الفشل الأصليّة، لا من محاولة ناجحة واحدة في مستكشف الملفّات.

لا يستطيع هذا المقال تحديد سبب كلّ تنفيذ أو تكوين شبكة بشكل فريد. ومع ذلك فإنّ معرفة أيّ مرحلة فشلت، وأيّ شروط اختلفت عن النجاح، وما يبقى بلا تحقّق يجعل التحقيق التالي ملموساً. لا تتوقّف عند «إعادة التشغيل تصلحه». تحقّق من أنّ الهويّة المقصودة تتّصل عبر المسار المقصود.

روابط مرجعيّة

مقالات ذات صلة

أحدث المقالات التي تشترك في نفس الوسوم. عمّق فهمك بمواضيع مرتبطة.

أين يتصل هذا الموضوع

ترتبط هذه المقالة بشكل طبيعي بصفحات الخدمات التالية.

الأسئلة الشائعة

أسئلة شائعة حول موضوع هذه المقالة.

إذا أعادت إعادة التشغيل الوصول إلى مجلّد مشترك، هل يثبت ذلك أنّ ذاكرة مؤقّتة سبّبت المشكلة؟

لا. تغيّر إعادة التشغيل التطبيق وجلسات تسجيل الدخول واتّصالات SMB وحالة الشبكة وشروطاً أخرى معاً. قبل إعادة التشغيل سجّل الوجهة وهويّة التنفيذ والاتّصالات القائمة والتذاكر والأخطاء، ثمّ قارنها بمحاولة ناجحة. بيانات الاعتماد المخزَّنة واتّصالات SMB القائمة شيئان مختلفان.

لماذا أستطيع فتح المشاركة بعنوان IP لكن ليس باسم الخادم؟

أوّلاً تحقّق ممّا إذا كان الشكلان يصلان إلى عنوان IP الوجهة نفسه. وحتّى حين يفعلان، تختلف شروط المصادقة: Windows لا يحاول Kerberos لهدف هو عنوان IP افتراضيّاً. حقّق في تحليل الأسماء منفصلاً عن SPN والمصادقة. النجاح بعنوان IP وحده ليس إصلاحاً دائماً.

لماذا يستطيع مستكشف الملفّات الوصول إلى مشاركة لا يستطيع تطبيقي الوصول إليها؟

قد يختلف حساب التنفيذ أو جلسة تسجيل الدخول أو الارتفاع أو بيانات الاعتماد أو العمليّة المطلوبة. تعمل الخدمة في جلسة مختلفة عن تسجيل الدخول التفاعلي. تطابق أسماء المستخدمين لا يُثبت شروطاً مكافئة، لذا افحص العمليّة الفاشلة نفسها وسجلّات المصادقة في جانب الخادم.

هل الاتّصال بلا مطالبة بكلمة مرور يعني أنّ الاتّصال يستخدم وصول الضيف؟

غياب المطالبة لا يكفي للحكم. قد يستخدم الاتّصال بيانات اعتماد تسجيل الدخول الحاليّة، أو بيانات اعتماد مخزَّنة، أو اتّصال SMB قائماً. حساب محلّي بكلمة مرور فارغة واتّصال ضيف مختلفان أيضاً. راجع أيّ حساب قبله الخادم فعلاً.

إذا أظهر klist تذكرة cifs، فهل SMB متّصل بـ Kerberos؟

حيازة تذكرة واستخدامها لاتّصال SMB قيد التحقيق حقيقتان مختلفتان. طابق سجلّات جانب الخادم مع وقت الاتّصال والمصدر والحساب. يطلب klist get تذكرة؛ وليس مراقبة سلبيّة للحالة الأصليّة.

الملف الشخصي للمؤلف

صفحة الملف الشخصي لمؤلف المقالة.

غو كومورا

مؤسّس شركة كومورا سوفت ذ.م.م.

يركّز على تطوير برامج ويندوز، والاستشارات التقنية، والتحقيق في الأخطاء، ويتميّز في المشاريع التي تبقى فيها الأصول القديمة ناشطة، وفي تشخيص الأعطال التي يصعب تحديد سببها.