File server, SMB e DFS

File server e condivisioni SMB

Il ruolo File Server di Windows Server 2022/2025 pubblica cartelle come share accessibili via SMB (Server Message Block). Ogni share ha due livelli di autorizzazione indipendenti: le share permissions (Read, Change, Full Control) e le NTFS permissions sul file system. L’accesso effettivo è l’intersezione dei due: vince sempre il più restrittivo. Una share in Full Control con NTFS in sola lettura resta in sola lettura. La best practice è lasciare le share permissions ampie (es. Authenticated Users con Change o Full Control) e governare l’accesso reale con le NTFS ACL, più granulari.

Due strumenti ricorrenti a supporto: Access-Based Enumeration (ABE) nasconde all’utente le cartelle su cui non ha permessi, mentre File Server Resource Manager (FSRM) applica quote, file screen e classificazione dei file.

SMB signing e SMB encryption

Sono due protezioni distinte, che l’esame ama confondere. SMB signing firma digitalmente ogni pacchetto e garantisce integrità e autenticità: protegge da manomissione e da attacchi man-in-the-middle/relay, ma non cifra i dati. SMB encryption (introdotta con SMB 3.0 in Windows Server 2012) garantisce invece la confidenzialità dei dati in transito tramite cifratura AES (AES-128-GCM e, nelle versioni recenti, AES-256), senza bisogno di IPsec.

L’encryption si abilita per singola share o a livello di server. Attenzione ai client legacy: se una share richiede encryption, i client che non supportano SMB 3.x vengono rifiutati, a meno di disattivare “reject unencrypted access”, con conseguente calo di sicurezza. Su Windows Server 2022 Datacenter Azure Edition, SMB over QUIC incapsula SMB in TLS 1.3 sulla porta 443, consentendo accesso sicuro ai file server via internet senza VPN.

DFS Namespaces

DFS Namespaces (DFS-N) crea uno spazio dei nomi virtuale che aggrega share sparse su più server dietro un unico percorso logico, disaccoppiando il path visto dagli utenti dalla posizione fisica dei dati. Esistono due tipi:

• Standalone namespace: metadati su un singolo server, percorso \\server\namespace. Non richiede AD DS; per l’alta disponibilità va ospitato su un failover cluster.
• Domain-based namespace: metadati memorizzati in AD DS e replicati, percorso \\dominio\namespace. Supporta più namespace server, offrendo alta disponibilità nativa dei metadati; è la scelta consigliata in ambiente di dominio.

Il domain-based namespace in “Windows Server 2008 mode” (richiede un domain functional level adeguato) abilita ABE a livello di namespace e alza il limite di dimensione rispetto alla modalità legacy. Una folder può avere più folder target: DFS restituisce i referral ordinati per prossimità del sito (site costing) con failover automatico verso un target alternativo.

DFS Replication

DFS Replication (DFS-R) replica i contenuti delle cartelle tra server in modalità multi-master. Usa Remote Differential Compression (RDC) per trasmettere solo i blocchi modificati, quindi è efficiente su link WAN. Si configura con replication group, replicated folder e una topologia (hub-and-spoke o full mesh). Ha sostituito FRS per la replica di SYSVOL nei domini con functional level 2008 o superiore.

Combinato con DFS-N, DFS-R realizza share ad alta disponibilità: più folder target replicati tra loro dietro la stessa cartella del namespace. Limite cruciale: DFS-R non implementa file locking distribuito. Se due utenti modificano lo stesso file su target diversi in contemporanea, vince l’ultimo che salva (last writer wins) e la copia perdente finisce in ConflictAndDeleted. Per questo DFS-R non è adatto a scenari di scrittura concorrente sullo stesso file.

Trappole tipiche d’esame

• Full Control sulla share ma accesso in sola lettura → controlla le NTFS: l’accesso effettivo è l’intersezione; tra share e NTFS prevale sempre il permesso più restrittivo.
• Serve integrità/anti-tampering vs riservatezza dei dati → signing vs encryption: SMB signing garantisce integrità e autenticità, SMB encryption cifra i dati in transito. Sono feature separate.
• File server raggiungibile via internet senza VPN → SMB over QUIC: disponibile solo su Windows Server 2022 Datacenter Azure Edition, non sulle edizioni standard.
• Namespace con metadati in alta disponibilità → domain-based namespace: lo standalone richiede un failover cluster; il domain-based replica i metadati in AD DS su più namespace server.
• Access-Based Enumeration sul namespace → domain-based in Windows Server 2008 mode: la modalità legacy non la supporta.
• Editing concorrente dello stesso file su più sedi → non usare DFS-R: manca il locking distribuito e si generano conflitti (last writer wins); valuta un singolo file server o Storage Replica per la sola DR.