অ্যাডমিনিস্ট্রেটিভ শেয়ারগুলো উইন্ডোজে রিমোটলি কম্পিউটার অ্যাক্সেস ও ম্যানেজ করতে ব্যবহৃত হয়। আপনি যদি কম্পিউটার ম্যানেজমেন্ট কনসোল (compmgmt.msc) খুলেন, System Tools -> Shared Folders -> Share সেকশন এক্সপ্যান্ড করুন, বা net share কমান্ড চালান, তবে আপনি অ্যাডমিন শেয়ার্ড ফোল্ডারগুলোর তালিকা দেখবেন (এই ফোল্ডারগুলো নেটওয়ার্ক नेबरহুডে লুকানো থাকে এবং এগুলোর অ্যাক্সেস রেস্ট্রিক্টেড থাকে)।
উইন্ডোজে অ্যাডমিনিস্ট্রেটিভ হিডেন শেয়ার কী?
ডিফল্টভাবে, উইন্ডোজ নিচের অ্যাডমিন শেয়ারগুলো তৈরি করে:
Admin$— রিমোট অ্যাডমিন (এটি %SystemRoot% ডিরেক্টরি)IPC$— রিমোট IPC (নেমড পাইপসে ব্যবহৃত হয়)C$— ডিফল্ট ড্রাইভ শেয়ার
যদি কম্পিউটারে অন্যান্য পার্টিশন থাকে যেগুলো ড্রাইভ লেটার অ্যাসাইন করা আছে, সেগুলোও অটোমেটিক্যালি অ্যাডমিন শেয়ার হিসেবে পাবলিশ হয় (D$, E$, ইত্যাদি)। আপনি যদি শেয়ার্ড প্র린্টার ব্যবহার করেন, তবে Print$, বা ফ্যাক্স সার্ভার ব্যবহার করলে FAX$ শেয়ার থাকতে পারে।
দ্রষ্টব্য। অ্যাডমিনিস্ট্রেটিভ শেয়ারদের নাম $ দিয়ে শেষ হয়। এই চিহ্নটি LanmanServer-কে এই SMB রিসোর্সগুলো নেটওয়ার্কে অ্যাক্সেস করার সময় লুকিয়ে রাখতে বাধ্য করে (স্পেসিফিক ফাইল এবং ফোল্ডার শেয়ার্ড নেটওয়ার্ক ফোল্ডারে Access-Based Enumeration ব্যবহার করে লুকানো যায়)। আপনি যদি ফাইল এক্সপ্লোরারে (\\computername) একটি কম্পিউটারের উপলব্ধ শেয়ার্ড নেটওয়ার্ক ফোল্ডার তালিকা দেখতে চান, তবে আপনি সেগুলো SMB শেয়ার তালিকায় দেখতে পাবেন না।
রিমোট কম্পিউটারে উপলব্ধ অ্যাডমিন শেয়ারগুলোর তালিকা পেতে নিচের কমান্ড ব্যবহার করুন:
net view \\computername /all
অনেক থার্ড-পার্টি ফাইল ম্যানেজার উইন্ডোজের জন্য নেটওয়ার্ক ব্রাউজ করার সময় রিমোট কম্পিউটারে উপলব্ধ অ্যাডমিন রিসোর্সগুলো অটোমেটিক্যালি দেখানোর অপশন দেয়।
ফাইল এক্সপ্লোরার থেকে একটি অ্যাডমিন শেয়ারের কন্টেন্ট দেখতে, আপনাকে এর ফুল নাম নির্দিষ্ট করতে হবে। উদাহরণস্বরূপ, \\computername\c$। এই কমান্ড লোকাল ড্রাইভ C-এর কন্টেন্ট খুলবে এবং রিমোট কম্পিউটারের সিস্টেম ড্রাইভের ফাইল সিস্টেম অ্যাক্সেস করতে দেবে।
লোকাল কম্পিউটার Administrators গ্রুপের সদস্যরা (এবং Backup Operators গ্রুপ) অ্যাডমিনিস্ট্রেটিভ শেয়ার অ্যাক্সেস করতে পারেন, শর্তে আপনার SMB সক্রিয় থাকে, ফাইল ও প্রিন্টার শেয়ারিং অন থাকে এবং TCP পোর্ট ৪৪৫ উইন্ডোজ ডিফেন্ডার ফায়ারওয়াল নিয়মে ব্লক না থাকে।
উইন্ডোজ ১০-এ অ্যাডমিন শেয়ার ডিজেবল/ইনএবল করা
উইন্ডোজ অ্যাডমিনিস্ট্রেটিভ শেয়ার রিমোট কম্পিউটার অ্যাডমিনিস্ট্রেশনের জন্য সুবিধাজনক, কিন্তু এগুলো অতিরিক্ত সিকিউরিটি রিস্ক বহন করে (কমপক্ষে, আপনাকে সকল কম্পিউটারে একই লোকাল অ্যাডমিনিস্ট্রেটর পাসওয়ার্ড ব্যবহার করা উচিত নয়। পাসওয়ার্ড ইউনিক बनाने के लिए LAPS ব্যবহার করুন)। আপনি উইন্ডোজকে এই হিডেন অ্যাডমিন শেয়ার তৈরি করার থেকে সম্পূর্ণরূপে বাধা দিতে পারেন।
অ্যাডমিন শেয়ার রিমুভ করার সবচেয়ে সহজ উপায় হলো কম্পিউটার ম্যানেজমেন্ট snap-in-এ শেয়ার নামে রাইট-ক্লিক করে Stop sharing বেছে নেওয়া (অথবা net share Admin$ /delete কমান্ড ব্যবহার করা)। যাচ্ছে, উইন্ডোজ রিস্টার্ট করার পর Admin$ শেয়ার আবার অটোমেটিক্যালি তৈরি হবে।
উইন্ডোজ ১০-কে অ্যাডমিনিস্ট্রেটিভ শেয়ার পাবলিশ করার থেকে বাধা দেওয়ার জন্য, আপনাকে রেজিস্ট্রি এডিটর (regedit.exe) খুলতে হবে, রেজিস্ট্রি কী HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters-এ যেতে হবে এবং একটি Dword প্যারামিটার নাম AutoShareWks (উইন্ডোজ ডেস্কটপ ভার্সনের জন্য) বা AutoShareServer (উইন্ডোজ সার্ভারের জন্য) এবং মান ০ যোগ করতে হবে।
আপনি এই রেজিস্ট্রি প্যারামিটার ম্যানুয়ালি, reg add কমান্ড লাইন টুল থেকে, বা পাওয়ারশেল 통해서 তৈরি করতে পারেন:
reg add HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /f /v AutoShareWks /t REG_DWORD /d 0
অথবা
New-ItemProperty -Name AutoShareWks -Path HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters -Type DWORD -Value 0
আপনি এই রেজিস্ট্রি প্যারামিটার সকল ডোমেন কম্পিউটারে GPO 통해서 ডিপ্লয় করতে পারেন।
এখন, রিবুট করার পর, অ্যাডমিনিস্ট্রেটিভ শেয়ার তৈরি হবে না। এই কেসে, রিমোট কম্পিউটার ম্যানেজ করার টুলস, psexec সহ, কাজ করা বন্ধ করবে।
আপনি যদি উইন্ডোজে অ্যাডমিন শেয়ার ইনএবল করতে চান, তবে প্যারামিটার মান ১ করুন বা এটি ডিলিট করুন:
Set-ItemProperty -Name AutoShareWks -Path HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters -Value 1
উইন্ডোজ হিডেন অ্যাডমিন শেয়ার পুনরায় তৈরি করতে, সহজে Server সার্ভিস রিস্টার্ট করুন কমান্ড দিয়ে:
Get-service LanmanServer | restart-service -verbose
LocalAccountTokenFilterPolicy ব্যবহার করে উইন্ডোজ ১০-এ অ্যাডমিন শেয়ারে রিমোট অ্যাক্সেস ইনএবল করা
একটি গুরুত্বপূর্ণ বিষয় আছে উইন্ডোজ অ্যাডমিন শেয়ার্ড ফোল্ডার নিয়ে কাজ করার সময় একটি কম্পিউটারে যা এক্টিভ ডিরেক্টরি ডোমেনে জয়েনড নন (ওয়ার্কগ্রুপের অংশ)। উইন্ডোজ ১০, ডিফল্টভাবে, লোকাল Administrators গ্রুপের সদস্য একজন ব্যবহারকারীর জন্য অ্যাডমিনিস্ট্রেটিভ শেয়ারে রিমোট অ্যাক্সেস রেস্ট্রিক্ট করে। রিমোট অ্যাক্সেস শুধু বিল্ট-ইন লোকাল Administrator অ্যাকাউন্টের অধীনে উপলব্ধ (যা ডিফল্টভাবে ডিজেবল থাকে)।
সমস্যা বিস্তারিত দেখতে কেমন। আমি একটি উইন্ডোজ ১০ কম্পিউটার যা ওয়ার্কগ্রুপের সদস্য (ফায়ারওয়াল অফ থাকা অবস্থায়) তার বিল্ট-ইন অ্যাডমিন শেয়ারগুলোর রিমোট অ্যাক্সেস করার চেষ্টা করছি:
- \\w10_pc\C$
- \\w10_pc\D$
- \\w10_pc\IPC$
- \\w10_pc\Admin$
অথরাইজেশন উইন্ডোতে, আমি লোকাল Administrators গ্রুপের সদস্য একটি অ্যাকাউন্টের ক্রেডেনশিয়াল দিই, এবং "Access is denied" এরর পাই। একই সময়ে, আমি উইন্ডোজ ১০-এ সকল নেটওয়ার্ক শেয়ার এবং শেয়ার্ড প্রিন্টার অ্যাক্সেস করতে পারি (কম্পিউটার নেটওয়ার্ক নেইবরহুডে লুকানো নেই)। এছাড়া, আমি বিল্ট-ইন Administrator অ্যাকাউন্টের অধীনে অ্যাডমিনিস্ট্রেটিভ শেয়ার অ্যাক্সেস করতে পারি। যদি এই কম্পিউটারটি এক্টিভ ডিরেক্টরি ডোমেনে জয়েনড থাকে, তবে অ্যাডমিনিস্ট্রেটিভ প্রিভিলেজসহ ডোমেন অ্যাকাউন্ট থেকে অ্যাডমিন শেয়ার অ্যাক্সেস ব্লক করা হয় না।
বিষয়টি UAC-এর আরেকটি দিকের কারণে — যাকে বলা হয় Remote UAC (রিমোট কানেকশনের জন্য ইউজার অ্যাকাউন্ট কন্ট্রোল) যা লোকাল এবং মাইক্রোসফট অ্যাকাউন্টের টোকেন ফিল্টার করে এবং এধরণের অ্যাকাউন্টের অধীনে অ্যাডমিন শেয়ারে রিমোট অ্যাক্সেস ব্লক করে। ডোমেন অ্যাকাউন্টের অধীনে অ্যাক্সেস করার সময় এই রেস্ট্রিকশন প্রযোজ্য হয় না।
আপনি রেজিস্ট্রিতে LocalAccountTokenFilterPolicy প্যারামিটার তৈরি করে Remote UAC ডিজেবল করতে পারেন
টিপ. এটি কিছুটা উইন্ডোজ নিরাপত্তা লেভেল কমিয়ে দেবে।
- রেজিস্ট্রি এডিটর খুলুন (regedit.exe);
- নিচের রেজ কী-এ যান HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System;
- নাম LocalAccountTokenFilterPolicy দিয়ে একটি নতুন DWORD (32-bit) প্যারামিটার তৈরি করুন;
- LocalAccountTokenFilterPolicy প্যারামিটার মান ১ সেট করুন;
- কম্পিউটার রিস্টার্ট করুন পরিবর্তন প্রযোজ্য করতে।
দ্রষ্টব্য. আপনি নিচের কমান্ড ব্যবহার করে LocalAccountTokenFilterPolicy রেজিস্ট্রি প্যারামিটার তৈরি করতে পারেন:
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "LocalAccountTokenFilterPolicy" /t REG_DWORD /d 1 /f
রিবুট করার পর, উইন্ডোজ ১০ কম্পিউটারে C$ অ্যাডমিন শেয়ার রিমোটলি খোলার চেষ্টা করুন। লোকাল Administrators গ্রুপের সদস্য একটি অ্যাকাউন্ট ব্যবহার করে লগইন করুন। একটি ফাইল এক্সপ্লোরার উইন্ডো খুলবে C:\ ড্রাইভের কন্টেন্টসহ।
দ্রষ্টব্য. এরপর, অন্যান্য উইন্ডোজ ১০ রিমোট ম্যানেজমেন্ট ফাংশনালিটি উপলব্ধ হবে। যার মধ্যে কম্পিউটার ম্যানেজমেন্ট snap-in এবং অন্যান্য স্ট্যান্ডার্ড উইন্ডোজ mmc কনসোল ব্যবহার করে রিমোট কম্পিউটারে কানেক্ট করা।
সুতরাং, আমরা দেখেছি কিভাবে LocalAccountTokenFilterPolicy কী ব্যবহার করে উইন্ডোজ ১০ চলমান একটি কম্পিউটারের সকল লোকাল অ্যাডমিনিস্ট্রেটরের জন্য হিডেন অ্যাডমিন শেয়ারে রিমোট অ্যাক্সেস অনুমতি দেওয়া যায়। এই গাইড উইন্ডোজ ৮.১, ৭ এবং উইন্ডোজ সার্ভারর জন্যও প্রযোজ্য।
