Nem lehet hozzáférni a megosztott mappákhoz a NAS-on a Windows 11 24H2 rendszerben

A Microsoft nemrég bejelentette, hogy a kötelező SMB-csomag-aláírás a megosztott hálózati mappákhoz való hozzáféréshez alapértelmezés szerint engedélyezve lesz a Windows 11 24H2 rendszerben. Ez problémákat okozhat a megosztott mappák elérésekor olyan NAS-eszközökön (Network Attached Storage), ahol az SMB-aláírás alapértelmezés szerint nem támogatott vagy le van tiltva.

Az SMB-aláírás az SMB/CIFS fájlmegosztó protokoll egyik biztonsági funkciója. Ha ez az opció engedélyezve van, a rendszer minden SMB-üzenet fejlécéhez digitális aláírást ad. Ez az aláírás lehetővé teszi annak biztosítását, hogy az üzenet tartalma nem változott, és hitelesítést biztosít a szerver és a kliens azonosságának ellenőrzésével. Ez segít megelőzni az SMB-köztes támadásokat és az NTLM-közvetítő támadásokat. Korábban az SMB-aláírás csak az AD tartományvezérlőkön lévő SYSVOL és NETLOGON megosztások eléréséhez volt szükséges.

SMB-aláírás szükséges minden kimenő SMB-kapcsolathoz, kezdve a Windows 11 24H2 rendszerrel (a Windows 11 24H2 rendszerben a harmadik féltől származó NAS-hoz való hozzáférés SMB-vel sikertelen lehet). Ha az SMB-kiszolgáló nem támogatja ezt a módot, a Windows-ügyfél elutasítja a kapcsolatot. A Windows többi támogatott verziója később megkapja ezt a változást.

Fontos! A kötelező SMB-aláírás bevezetése további RAM- és CPU-használatot eredményez mind a kliensen, mind a szerveren. Ezenkívül csökkenti a fájlátvitel sebességét a hálózaton keresztül.

Ha a távoli eszköz nem támogatja az SMB-aláírást, hibák lépnek fel az eszköz megosztott mappáinak elérésekor:

```
0xc000a000
```
```
 -1073700864
```
```
STATUS_INVALID_SIGNATURE
```
```
The cryptographic signature is invalid
```

A Windows (és a Samba) SMB-kiszolgáló alapértelmezett beállításai azt feltételezik, hogy az SMB-csomag-aláírás csak akkor használatos, ha azt valamelyik fél kéri. A PowerShell segítségével listázza ki az aktuális SMB-aláírási beállításokat egy Windows-ügyfélben:

Get-SmbClientconfiguration | fl EnableSecuritySignature,RequireSecuritySignature

RequireSecuritySignature=False - az SMB-aláírás kötelező használata nincs engedélyezve.
EnableSecuritySignature=True - az ügyfél csak akkor használ SMB-aláírást, ha azt a kiszolgáló megköveteli.

A kötelező SMB-aláírás letiltásához (vagy engedélyezéséhez) használja a parancsot

Set-SmbClientConfiguration -RequireSecuritySignature $false

A beállítások módosítása után indítsa újra a számítógépet.

Ugyanígy engedélyezheti vagy letilthatja az SMB-aláírást a szerver oldalon (megosztott mappákkal rendelkező gazdagép):

Get-SmbServerConfiguration | fl *sign*

Set-SmbServerConfiguration -RequireSecuritySignature $true

(vagy

$false

)

Az EnableSecuritySignature beállítás értéke figyelmen kívül marad, ha a régi SMB1 protokoll le van tiltva (ez az alapértelmezett viselkedés a Windows rendszerben).

Ezek az SMB-kliens- és -kiszolgáló-beállítások a beállításjegyzéken keresztül engedélyezhetők. A következő parancskészlet kikapcsolja az SMB-aláírás kötelező használatát mind az ügyfél, mind a kiszolgáló számára:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters" /v RequireSecuritySignature /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters" /v EnableSecuritySignature /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" /v RequireSecuritySignature /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" /v EnableSecuritySignature /t REG_DWORD /d 1 /f

A csoportházirend-szerkesztővel az SMB-aláírási mód is konfigurálható egy Windows-ügyfél számára. A következő lehetőségek állnak rendelkezésre a helyi csoportházirend-szerkesztőben (

gpedit.msc

) a Számítógép konfigurációja -> Windows beállítások -> Biztonsági beállítások -> Helyi házirendek -> Biztonsági beállítások alatt

Microsoft hálózati kliens: A kommunikáció digitális aláírása (mindig)
Microsoft hálózati kliens: Digitálisan aláírja a kommunikációt (ha a szerver beleegyezik)

Egyes NAS-modellek és firmware-verziók támogatják az SMB-aláírási módot, de alapértelmezés szerint nincs engedélyezve (például a Synologyban, az ASUStorban, a QNAP-ban és néhány más eszközön). Például a Synology DSM 7+ esetén ez a lehetőség a Vezérlőpult -> Fájlszolgáltatások -> SMB< részben található. -> Speciális beállítások. Keresse meg a Szerver-aláírás engedélyezése lehetőséget. Az aláírás alapértelmezés szerint le van tiltva. Ha az ügyfél kérésére szeretné engedélyezni az SMB-aláírást, válassza a Kliens definiált elemét a legördülő menüből.

Így ha problémákat tapasztal a NAS-megosztások elérésekor a Windows 11 24H2 rendszerre való frissítés után, akkor a következőket kell tennie:

Az SMB-aláírás engedélyezése a NAS-eszközön (javasolt mód)
A kötelező SMB-aláírás letiltása a Windows-ügyfélben (kevésbé biztonságos beállítás)