Windows Server 2025 SMB over QUIC ve NTLM Engelleme Yapılandırması (Adım Adım Resimli Rehber)
Windows Server 2025 üzerinde VPN gerektirmeden internet üzerinden güvenli dosya paylaşımı sağlayan SMB over QUIC (UDP 443) kurulumu, TLS 1.3 sertifika dağıtımı ve NTLM relay saldırılarını önlemek için NTLM engelleme politikası uygulama rehberi.
AuditAgent™ Kod & Mimari Doğrulaması
Güven Skoru: %100AuditAgent Onaylı (Windows Server 2025 SMB QUIC RFC 9000)
Uygulama Önkoşulları & Gereksinimler
Giriş: SMB over QUIC ve NTLM Engelleme Neden Devrimsel?
Geleneksel SMB (TCP 445) dosya paylaşımı, güvenlik duvarları ve internet servis sağlayıcıları (ISP) tarafından internete kapatıldığı için mobil çalışanların dosya sunucularına erişebilmesi için hantal VPN tünelleri gerekiyordu. Ayrıca eski NTLM protokolü, **NTLM Relay (PetitPotam / ShadowCoerce)** saldırılarına açık kapı bırakıyordu.
**Windows Server 2025 ile gelen SMB over QUIC (RFC 9000)**; TLS 1.3 ile şifrelenmiş **UDP 443** portu üzerinden çalışarak hiçbir VPN'e ihtiyaç duymadan dünyanın her yerinden doğrudan güvenli kurumsal dosya erişimi sağlar. Eşzamanlı olarak uygulanan **NTLM Engelleme (NTLM Blocking)** ile NTLMv1 ve NTLMv2 tamamen devre dışı bırakılarak %100 Kerberos ve PKI güvenliği elde edilir.
Select server roles
Select one or more roles to install on the selected destination server: DC02.corp.local
---
1. Adım: Windows Server 2025 Üzerinde SMB over QUIC Özelliğinin Etkinleştirilmesi
Windows Server 2025 Datacenter veya Standard üzerinde PowerShell ile QUIC dosya sunucusu yapılandırılır:
| 1 | # 1. SMB Sunucusunda QUIC Desteğini Aktif Edin |
| 2 | Set-SmbServerConfiguration -EnableSMBQUIC $true -Force |
| 3 | |
| 4 | # 2. SMB Port 445 Üzerinden NTLM'i Yasaklayın (Yalnızca Kerberos ve SPNEGO) |
| 5 | Set-SmbServerConfiguration -AuditServerNTLM $true -RestrictNullSessAccess $true -Force |
---
2. Adım: TLS 1.3 Sunucu Sertifikasının (PKI) SMB'ye Bağlanması
SMB over QUIC iletişimi TLS 1.3 zorunlu kıldığı için kurumsal CA veya güvenilir bir SSL sertifikası SMB sunucusuna atanır:
| 1 | # Kurumsal Sertifikayı SMB QUIC Bağlayıcısına Atayın |
| 2 | $CertThumbprint = (Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.Subject -like "*fileserver.corp.local*" }).Thumbprint |
| 3 | |
| 4 | New-SmbServerCertificateMapping -Name "fileserver.corp.local" -Thumbprint $CertThumbprint -StoreName "My" |
:::server-wizard{type="WIN11_SETTINGS"}:::
---
3. Adım: GPO ile Domain Genelinde NTLM Engelleme (NTLM Blocking)
Saldırganların NTLM karmalarını çalmasını önlemek için Group Policy Management Console (GPMC) açılır: `Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Local Policies -> Security Options`
| GPO Güvenlik İlkesi | Değer | Açıklama |
|---|---|---|
| **Network security: Restrict NTLM: Outgoing traffic to remote servers** | **Audit all** (Pilot test) -> **Deny all** (Üretim) | İstemcilerin dış sunuculara NTLM göndermesini engeller. |
| **Network security: Restrict NTLM: Incoming NTLM traffic** | **Deny all domain accounts** | Sunucularda NTLM ile kimlik doğrulamayı kapatır. |
---
4. Adım: İstemci Bağlantı Testi ve Wireshark / Olay Günlüğü Doğrulaması
Windows 11 24H2 istemciden QUIC üzerinden doğrudan dosya paylaşımına bağlanın:
| 1 | # QUIC Protokolünü Zorunlu Kılarak Paylaşıma Bağlanın |
| 2 | NET USE Z: \\fileserver.corp.local\Finans /TRANSPORT:QUIC |
| 3 | |
| 4 | # Aktif SMB Bağlantı Türünü İnceleyin |
| 5 | Get-SmbConnection | Select-Object ServerName, ShareName, TransportType, Dialect |
| 6 | # TransportType: 'QUIC', Dialect: '3.1.1' |
Bu Makaleyle İlgili Bir Sorunuz mu Var?
Uygulama esnasında aldığınız hata kodlarını veya logları forumda paylaşarak TriageAgent ve topluluktan anında destek alın.