SMB over QUIC с Windows Server 2025: безопасный доступ к файлам

По состоянию на 20 октября 2026 г. Если вам необходимо предоставить сотрудникам доступ к общим файловым ресурсам Windows извне, не следует открывать TCP-порт 445 для доступа в Интернет. SMB over QUIC инкапсулирует SMB в соединение QUIC, использующее TLS 1.3. Microsoft указывает Windows Server 2025 во всех выпусках, а Windows Server 2022 Datacenter: Azure Edition — в качестве вариантов сервера; Windows 11 требуется в качестве клиента для компаний.

Краткое заключение

SMB over QUIC — подходящий вариант, если устройствам с Windows 11 необходимо получить доступ к выбранным общим файловым ресурсам через незащищенные внешние сети и доступен совместимый файловый сервер с сертификатом. По данным Microsoft, конфигурация Windows Server 2025 обеспечивается через PowerShell. В стандарте широко используется UDP/443; Входящий TCP/445 должен оставаться закрытым. Эта процедура не заменяет планирование авторизации и безопасность устройства или общий VPN-доступ для других приложений.

Какие версии и требования применяются?

Microsoft указывает SMB over QUIC в качестве транспорта для SMB 3.1.1. QUIC передается по UDP и включает в себя рукопожатие TLS 1.3. Это означает, что трафик SMB шифруется при передаче. Соединение не становится активным автоматически: администраторы должны явно настроить его на файловом сервере. Сертификат сервера должен вызывать доверие клиентов и должен содержать DNS-имя, которое они используют для доступа к серверу. Microsoft не рекомендует использовать IP-адрес в качестве альтернативного имени сертификата.

Чем он отличается от классического SMB через TCP?

При классическом SMB через TCP порт 445 является обычным портом сервера. По умолчанию SMB over QUIC использует UDP/443 и использует транспорт QUIC на основе сертификата с TLS 1.3. Microsoft описывает это как альтернативу доступу к файлам через ненадежные сети. Это не лицензия на неконтролируемое обнародование сервера: регистрация, разрешения на совместное использование, защита клиентов, ведение журналов и протестированное восстановление остаются задачами IT.

Сильные стороны и ограничения

• Strength: Доступ к внешним файлам Windows может осуществляться через зашифрованный транспорт SMB, не подвергая TCP/445 доступу в Интернет.
• Сила: Windows Server 2025 делает функцию сервера доступной в стандартном исполнении и в центре обработки данных; эта функция больше не ограничивается Server 2022 Datacenter: Azure Edition.
• LLimit:На стороне клиента Windows 11 предназначен для корпоративного использования. Устройства, версия сервера, DNS, сертификаты и аутентификация должны совпадать.
• Boundary: UDP/443 должен работать по всему сетевому пути. Истечение срока действия и продление сертификата являются частью операции.
• Limit: Защита влияет на транспортировку в общие ресурсы SMB. Это не делает другие приложения или административный доступ заменой VPN.

Введение в шесть этапов тестирования

1. Собирает все затронутые общие ресурсы, владельцев, разрешения и устройства. Решает, каким пользователям действительно нужен внешний доступ.
2. Проверяет выпуск сервера: Windows Server 2025 Standard или Datacenter, либо Server 2022 Datacenter: Azure Edition.
3. Plant DNS и сертификат с полным именем сервера, которому доверяют клиенты. Проверяет действительность, продление и права закрытого ключа.
4. По умолчанию открывается UDP/443 для предполагаемого пути к серверу. Не выпускать TCP/445, поступающий из Интернета.
5. Настраивает SMB over QUIC на сервере. Для Windows Server 2025 следует использовать метод PowerShell; По данным Microsoft, конфигурация WAC для этого не поддерживается.
6. TТестирование из внешней сети с использованием общей тестовой учетной записи, проверка журналов сервера и клиента и подтверждение доступности только намеченных общих ресурсов.

Для целевой проверки соединения Microsoft называет, среди прочего, New-SmbMapping -LocalPath 'Z:' -RemotePath '\\server.example\share' -TransportType QUIC. Необходимо заменить заполнитель фактическим полным доменным именем и названием выпуска. Только когда разрешение имени, сертификат, регистрация и авторизация работают вместе, доступ должен быть разрешен для предполагаемой группы пользователей.

Видео по настройке

Какой вариант подходит для работы?

Для существующей операции сервера Windows с конечными устройствами Windows 11 SMB over QUIC может быть целевым способом предоставления файловых ресурсов для мобильных сотрудников. Если помимо хранилища файлов необходим доступ и к другим внутренним приложениям или клиенты не подходят, существующий, должным образом защищенный VPN-доступ по-прежнему является частью архитектурного решения. Актуальный обзор сервера Windows Windows и активное предложение Windows Server 2025 вы можете найти в магазине. Перед покупкой проверьте соответствующую редакцию и фактические требования к использованию.

Частые вопросы

Можно ли просто открыть UDP/443 в роутере?

Нет. Сервер должен быть настроен соответствующим образом, иметь доверенный сертификат и использовать соответствующие DNS-имена. Кроме того, требуются аутентификация, разрешения и проверка внешнего подключения.

Является ли SMB over QUIC заменой VPN или резервного копирования?

Нет. Это транспортный маршрут для общих файловых ресурсов SMB. Он не заменяет VPN-доступ к другим службам, концепциям авторизации, защите устройств или независимому резервному копированию данных.

Источники и испытательный стенд

Техническая информация была проверена 20 октября 2026 г. с использованием документации производителя и стандарта QUIC. Никаких собственных тестов или лабораторных тестов не проводилось.

• Microsoft Learn: SMB over QUIC — Требования и настройка
• Microsoft Learn: Что нового в Windows Server 2025
• Microsoft Learn: функции SMB и поддерживаемые версии
• IETF RFC 9000: QUIC как транспорт на основе UDP

Автор: TechDesk PE Digital.Networks