Share Windows Server, FSRM, DFS e SMB

Il dominio «Manage storage and file services» non ti chiede che cos’è una share: dà per scontato che tu sappia crearla e ti mette davanti a uno scenario in cui una sola leva è quella giusta. Un utente fuori rete senza VPN, un report che cambia da solo, un client a cui il trasporto è stato spento da uno script di gestione. Questa unità sta su quel piano: non il concetto, ma il parametro che decide l’esito.

Accesso alle share: dove si decide davvero

Il permesso effettivo su una share SMB è l’intersezione fra permessi di share e ACL NTFS — vince il più restrittivo — e i permessi di share non hanno alcun effetto su chi apre il file stando seduto davanti al server. Su Windows Server la share si governa tutta da PowerShell:

Access-based enumeration non è un permesso: è cosmesi sull’elenco. Chi non ha accesso non vede la cartella, ma se conosce il percorso UNC completo il risultato dipende ancora e solo dalle ACL.

FSRM: quote, file screen e i report che l’esame sfrutta

FSRM si installa con Install-WindowsFeature FS-Resource-Manager -IncludeManagementTools e vive su tre gambe.

Quote (New-FsrmQuota, New-FsrmQuotaTemplate, New-FsrmAutoQuota): sono per cartella, non per utente come le quote NTFS, e contano la dimensione logica. Una quota hard blocca la scrittura oltre la soglia; una soft lascia scrivere e serve solo a notificare. L’auto apply quota applica il template a ogni sottocartella, comprese quelle create dopo.

File screen (New-FsrmFileScreen, New-FsrmFileGroup, New-FsrmFileScreenException): filtrano per estensione, non per contenuto — rinominare .mp3 in .dat aggira tutto. Un file screen active impedisce il salvataggio, uno passive si limita a notificare e a generare il report. L’eccezione si crea su una sottocartella e sovrascrive lo screen ereditato: è l’unico modo per «bucare» una regola su un ramo.

Storage reports, che l’esame chiede più di quanto ci si aspetti. Ne esistono tre famiglie, con la stessa anagrafica di parametri:

I tipi disponibili sono Large Files, Least/Most Recently Accessed Files, Duplicate Files, File Screening Audit, Quota Usage, Files by Owner, Files by File Group, Files by Property, Folders by Property. Qui sta la trappola: i parametri di default di ogni tipo di report si impostano in File Server Resource Manager → Configure Options → Storage Reports → Edit Parameters, e cambiarli ricade su tutti i report incidente e su tutti i report task già esistenti che non hanno un override proprio. Un report schedulato l’anno scorso e mai toccato cambia contenuto senza che nessuno abbia riaperto quel task. Per la posta serve Set-FsrmSetting -SmtpServer con un mittente valido, altrimenti la notifica muore in silenzio.

DFS: il namespace non è la replica

DFS Namespaces (FS-DFS-Namespace) aggrega share sparse sotto un percorso logico. Un namespace domain-based tiene i metadati in AD DS, si chiama \\contoso.com\Public e può essere ospitato da più namespace server; uno standalone tiene i metadati nel registry del singolo server, si chiama \\FS1\Public ed è l’unico che si può mettere in un failover cluster. Il client non accede mai «al namespace»: riceve un referral, cioè la lista ordinata dei folder target, e si connette a uno di essi via SMB.

L’ordinamento del referral è dove si risolvono le domande di scenario: lowest cost (prima i target nel sito del client), random order, exclude targets outside of the client’s site, più la target priority che forza un target in cima o in fondo, e il client failback che riporta il client sul target preferito quando torna disponibile. I cmdlet sono New-DfsnRoot, New-DfsnFolder, New-DfsnFolderTarget, Set-DfsnFolder, Set-DfsnFolderTarget.

DFS Replication (FS-DFS-Replication) è un motore separato: replica multi-master con Remote Differential Compression e staging folder, e non fa locking distribuito — due utenti su due target diversi che salvano lo stesso file producono un conflitto risolto last-writer-wins. Un folder target può essere reso read-only per evitarlo.

SMB over QUIC: chi può, e con che cosa

SMB over QUIC incapsula SMB 3.1.1 in un tunnel TLS 1.3 su UDP/443: niente VPN, e TCP/445 non va mai aperto verso Internet. Non è attivo per default e il client non può imporlo: l’amministratore del file server deve abilitarlo.

Si configura con New-SmbServerCertificateMapping -Name fsedge1.contoso.com -Thumbprint $cert.Thumbprint -StoreName My; su Windows Server 2025 la strada è solo PowerShell, Windows Admin Center non è supportato. Il client sceglie TCP per default e passa a QUIC solo se il TCP fallisce o se glielo imponi: NET USE * \\fsedge1.contoso.com\sales /TRANSPORT:QUIC oppure New-SmbMapping -RemotePath '\\fsedge1.contoso.com\sales' -TransportType QUIC.

Senza DC raggiungibile l’autenticazione ricade su NTLMv2 dentro il tunnel. Per restare su Kerberos si configura il KDC proxy (servizio kpssvc, URL ACL su https://+:443/KdcProxy, SPN aggiunti con NETDOM computername, e sul client la policy Specify KDC proxy servers for Kerberos clients). Attenzione: se WAC gira in gateway mode su quel server, non può stare sulla porta 443.

Client access control: solo i portatili aziendali

Dal server 2025 (e su 2022 Azure Edition con KB5035857) puoi filtrare quali client stabiliscono la connessione QUIC, in base al certificato client. Prerequisito sul server:

Set-SmbServerCertificateMapping -RequireClientAuthentication $true

Poi sul client serve un certificato con EKU Client Authentication (1.3.6.1.5.5.7.3.2), mappato con New-SmbClientCertificateMapping -Namespace fsedge1.contoso.com -Thumbprint $clientCert.Thumbprint -StoreName My. Sul server si concede o si nega:

Un deny in qualunque punto della catena batte qualsiasi allow più in basso.

Impostazioni SMB: che cosa è cambiato con Windows Server 2025

Sul server, Set-SmbServerConfiguration -EncryptData $true cifra tutto; -RejectUnencryptedAccess resta $true per default, quindi un client che non sa fare SMB 3.x prende Access denied ed Event ID 1003 nel log SMBServer/Operational.

Trappole tipiche d’esame

• QUIC su Windows Server 2022 Standard non esiste. Lo scenario «file server 2022 on-premises, utenti remoti senza VPN» sembra fatto apposta per SMB over QUIC, ma l’edizione lo esclude: servono 2022 Datacenter: Azure Edition o un qualsiasi Windows Server 2025. La risposta giusta passa da un upgrade o da un altro edge server, mai dall’apertura di TCP/445.
• Due impronte dello stesso certificato. New-SmbClientCertificateMapping vuole il thumbprint SHA1; Grant-SmbClientAccessToServer -IdentifierType SHA256 vuole l’hash SHA256 ottenuto con $clientCert.GetCertHashString("SHA256"). Sono valori diversi per lo stesso certificato, e scambiarli produce un access denied che sembra un problema di trust.
• Client access control senza -RequireClientAuthentication $true non filtra niente. E se imposti anche SkipClientCertificateAccessCheck $true, il server valida la catena ma salta il controllo d’accesso: le tue allow list diventano decorative.
• Disabilitare QUIC sul client è globale, l’eccezione è un’altra impostazione. Dopo Set-SmbClientConfiguration -EnableSMBQUIC $false non si riabilita il trasporto «per un server»: si popola Set-SmbClientConfiguration -DisabledSMBQUICServerExceptionList (o la policy Disabled SMB over QUIC Server Exception List) con IP, nome NetBIOS o FQDN.
• I nomi DFS non si pubblicano su QUIC. Il certificato porta i nomi DNS esterni del server, ma un namespace restituisce referral con i nomi interni dei folder target, che dall’esterno non si risolvono: la documentazione sconsiglia esplicitamente questo abbinamento.
• Cambiare i default dei report FSRM tocca il passato. Modificare i parametri di default di un tipo di report cambia i report incidente e tutti i report task già pianificati che non hanno un override proprio. Se lo scenario dice «nessuno di quei task era stato personalizzato», è esattamente questo il meccanismo che stanno chiedendo.
• Rinnovare il certificato rompe QUIC. Un certificato rinnovato ha un thumbprint nuovo: finché non rilanci Set-SmbServerCertificateMapping, il mapping punta a un’impronta che non esiste più.