Folder w domowej sieci można udostępnić tak, żeby inni domownicy odczytywali pliki bez możliwości ich zmiany. Można też przyznać zapis wybranej osobie, pozostawiając pozostałych bez dostępu. Bezpieczna konfiguracja zaczyna się od określenia tych potrzeb, a nie od wyłączenia wszystkich zabezpieczeń, żeby komunikat o odmowie zniknął.
Poniższy sposób dotyczy udostępniania z komputera Windows w zaufanej sieci lokalnej. Nie wymaga wystawiania folderu do internetu. Komputer z folderem musi pracować i być osiągalny, a prawa dostępu trzeba sprawdzić z drugiego urządzenia.
Przygotuj oddzielny folder i użytkownika
Utwórz folder przeznaczony do udostępniania, np. z materiałami dla rodziny. Nie udostępniaj całego profilu użytkownika ani głównego katalogu dysku. W dedykowanym folderze łatwiej zobaczyć, co faktycznie ma być dostępne z sieci.
Wybierz konto, które będzie uwierzytelniać dostęp na komputerze udostępniającym. Może to być właściwie skonfigurowane konto użytkownika lub osobne standardowe konto przeznaczone do tej pracy. Nie ma potrzeby nadawania mu uprawnień administratora tylko po to, żeby odczytywało dokumenty.
Przygotuj nazwę konta i jego hasło. PIN Windows Hello służący do lokalnego odblokowania urządzenia nie jest automatycznie hasłem do udziału sieciowego. Jeśli korzystasz z konta Microsoft lub innej konfiguracji logowania, sprawdź właściwą procedurę uwierzytelniania; nie wyłączaj ochrony, gdy pierwsza próba wpisania PIN-u się nie uda.
Włącz dostęp w odpowiednim profilu sieci
Dla zaufanej sieci domowej sprawdź profil prywatny w ustawieniach sieci Windows. Nie oznaczaj jako prywatnej sieci hotelowej ani przypadkowego hotspotu. Następnie w zaawansowanych ustawieniach udostępniania włącz potrzebne wykrywanie oraz udostępnianie plików dla profilu prywatnego.
Pozostaw udostępnianie chronione hasłem. Zapora powinna dopuszczać właściwą funkcję w zaufanym profilu, a nie być całkowicie wyłączona. Nie przekierowuj portu SMB na routerze do internetu i nie umieszczaj komputera w DMZ, żeby drugi domowy laptop zobaczył folder.
Wykrywanie komputerów ułatwia przeglądanie sieci, ale nie jest tym samym co dostęp do konkretnego udziału. Jeśli lista urządzeń jest pusta, możesz sprawdzić połączenie bezpośrednim adresem udziału. To pomaga rozdzielić problem wyszukiwania od problemu uprawnień.
Nadaj prawa do udziału i do plików
Właściwości folderu pozwalają skonfigurować udostępnianie i nadać nazwę udziału. Wybierz odpowiednie konto lub grupę i ogranicz prawa do potrzebnego zakresu. Dla domownika, który tylko pobiera zdjęcia, zacznij od odczytu. Zapis lub modyfikację dodaj temu, kto rzeczywiście ma zmieniać zawartość.
W przypadku folderu na NTFS sprawdź również kartę Zabezpieczenia. Uprawnienia udziału i uprawnienia plików działają razem. Zgoda na zapis w udziale nie wystarczy, jeśli prawa folderu pozwalają wyłącznie czytać. Z kolei szerokie prawa do plików nie omijają ograniczeń udziału.
| Potrzeba | Co zweryfikować |
|---|---|
| Odczyt bez zmian | Otwieranie plików działa, lecz tworzenie i usuwanie są zablokowane. |
| Wspólna edycja | Wybrane konto ma potrzebne prawa w obu warstwach uprawnień. |
| Brak dostępu dla pozostałych | Inne konta nie uzyskują praw przez szeroką grupę lub dziedziczenie. |
Nie dodawaj wszystkim pełnej kontroli tylko po to, żeby szybko ominąć odmowę. Nie zmieniaj też hurtowo właściciela całego dysku. Jeżeli dziedziczone prawa utrudniają konfigurację, ustal ich pochodzenie i zakres przed modyfikacją.
Sprawdź udział z drugiego komputera
W Eksploratorze wpisz adres w postaci \\NAZWA_KOMPUTERA\NAZWA_UDZIALU. Użyj rzeczywistej nazwy urządzenia udostępniającego i udziału. Gdy system pyta o poświadczenia, podaj konto istniejące na tamtym komputerze; przy koncie lokalnym pomocny jest zapis NAZWA_KOMPUTERA\użytkownik.
Przetestuj otwieranie pliku oraz, jeśli przyznałeś zapis, utworzenie i usunięcie nieważnego pliku testowego. Nie wykorzystuj jedynego dokumentu do sprawdzania usuwania. Osobno zweryfikuj, że konto bez uprawnienia nie dostaje dostępu.
Sprawdź również zachowanie programu, który ma korzystać z udziału. Aplikacja może potrzebować utworzenia pliku tymczasowego obok dokumentu, nawet gdy użytkownik jedynie próbuje go otworzyć. Jeśli odczyt w Eksploratorze działa, a program zgłasza błąd, ustal tę potrzebę zamiast od razu nadawać pełną kontrolę. Przy równoczesnej edycji przez dwie osoby uwzględnij blokady plików i możliwości aplikacji: udostępnienie folderu nie zapewnia samo w sobie wspólnej edycji bez konfliktów.
Pamiętaj o wcześniej zapamiętanych poświadczeniach i aktywnych połączeniach. Przełączenie wpisanej nazwy nie gwarantuje, że test używa już nowej tożsamości. Sprawdź zapisane dane i ponownie zestaw właściwe połączenie, zamiast uznać pierwszy udany odczyt za dowód poprawnej izolacji.
Odmowa dostępu i brak połączenia to różne problemy
Przy odmowie sprawdź konto, hasło i obie warstwy praw. Przy braku osiągalności sprawdź nazwę lub adres komputera, profil sieci i zaporę. Sieć gościnna oraz izolacja klientów mogą blokować komunikację między domowymi urządzeniami, nawet gdy każde ma internet.
Nowsze konfiguracje Windows ograniczają dostęp gościa i wymagają odpowiednich zabezpieczeń SMB. Nie naprawiaj zgodności starego urządzenia przez losowe wyłączanie podpisywania i włączanie przestarzałych protokołów. Sprawdź aktualizację lub bezpieczną metodę dostępu przewidzianą przez producenta.
Folder z prawem zapisu pozostaje dostępny dla programu działającego z uprawnieniami tego użytkownika, również malware. Udostępnianie nie zastępuje niezależnej kopii danych. Przy szerszym porządkowaniu domu sprawdź także oddzielenie sprzętu IoT, pamiętając, że izolowana sieć może celowo nie widzieć Twojego udziału.
