לא ניתן לגשת לתיקיות משותפות ב- NAS ב- Windows 11 24H2

מיקרוסופט הודיעה לאחרונה כי חתימת מנות SMB חובה לגישה לתיקיות רשת משותפות תופעל כברירת מחדל ב- Windows 11 24H2. הדבר עלול לגרום לבעיות בעת גישה לתיקיות משותפות בהתקני NAS (אחסון מחובר לרשת) שבהם חתימת SMB אינה נתמכת או מושבתת כברירת מחדל.

חתימת SMB היא אחת מתכונות האבטחה של פרוטוקול שיתוף הקבצים SMB/CIFS. אם אפשרות זו מופעלת, חתימה דיגיטלית תתווסף לכותרת של כל הודעת SMB. חתימה זו מאפשרת להבטיח שתוכן ההודעה לא השתנה ומספקת אימות על-ידי אימות זהות השרת והלקוח. הדבר מסייע במניעת התקפות ממסר מסוג 'אדם באמצע' ו-NTLM של עסקים קטנים ובינוניים. בעבר, חתימת SMB נדרשה רק כדי לגשת לשיתופי SYSVOL ו- NETLOGON בבקרי תחום AD.

חתימת SMB נדרשת עבור כל חיבורי SMB היוצאים החל מ- Windows 11 24H2 (גישה ל- NAS של ספק חיצוני עם SMB ב- Windows 11 24H2 עלולה להיכשל). אם שרת SMB אינו תומך במצב זה, לקוח Windows ידחה את החיבור. גירסאות נתמכות אחרות של Windows יקבלו מאוחר יותר שינוי זה.

חשוב! יישום חתימת חובה של SMB יביא לשימוש נוסף ב- RAM וב- CPU הן בלקוח והן בשרת. זה גם מפחית את המהירות של העברות קבצים ברשת.

אם ההתקן המרוחק אינו תומך בחתימת SMB, יתרחשו שגיאות בעת גישה לתיקיה משותפת במכשיר זה:

  • 0xc000a000
  •  -1073700864
  • STATUS_INVALID_SIGNATURE
  • The cryptographic signature is invalid

הגדרות ברירת המחדל של שרת SMB של Windows (ו- Samba) מניחות שנעשה שימוש בחתימת מנות SMB רק כאשר אחד הצדדים מבקש זאת. השתמש ב- PowerShell כדי לפרט את הגדרות חתימת SMB הנוכחיות בלקוח Windows:

Get-SmbClientconfiguration | fl EnableSecuritySignature,RequireSecuritySignature

  • RequireSecuritySignature=False — שימוש חובה בחתימת SMB אינו מופעל.

  • EnableSecuritySignature=True - הלקוח משתמש בחתימת SMB רק כאשר השרת דורש זאת.

כדי להשבית (או להפעיל) חתימת SMB הכרחית, השתמש בפקודה

Set-SmbClientConfiguration -RequireSecuritySignature $false

הפעל מחדש את המחשב לאחר שינוי ההגדרות.

באותו אופן, באפשרותך להפעיל או להשבית חתימת SMB בצד השרת (מארח עם תיקיות משותפות):

Get-SmbServerConfiguration | fl *sign*
Set-SmbServerConfiguration -RequireSecuritySignature $true

(או

$false

)

המערכת מתעלמת מערך האפשרות EnableSecuritySignature אם פרוטוקול SMB1 מדור קודם אינו זמין (זהו אופן הפעולה המוגדר כברירת מחדל ב- Windows).

ניתן להפעיל אפשרויות לקוח ושרת SMB אלה באמצעות הרישום. קבוצת הפקודות הבאה תבטל את השימוש ההכרחי בחתימת SMB הן עבור הלקוח והן עבור השרת:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters" /v RequireSecuritySignature /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters" /v EnableSecuritySignature /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" /v RequireSecuritySignature /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" /v EnableSecuritySignature /t REG_DWORD /d 1 /f

ניתן להשתמש בעורך GPO גם כדי להגדיר את מצב החתימה של SMB עבור לקוח Windows. האפשרויות הבאות זמינות בעורך המדיניות הקבוצתית המקומי (

gpedit.msc

) תחת תצורת מחשב -> הגדרות Windows -> הגדרות אבטחה -> מדיניות מקומית -> אפשרויות אבטחה

  • לקוח רשת של Microsoft: תקשורת חתימה דיגיטלית (תמיד)

  • לקוח רשת של Microsoft: הוספת חתימה דיגיטלית לתקשורת (אם השרת מסכים)

דגמי NAS וגרסאות קושחה מסוימים תומכים במצב חתימה של SMB, אך הוא אינו מופעל כברירת מחדל (לדוגמה, ב- Synology, ASUStor, QNAP והתקנים אחרים). לדוגמה, ב- Synology DSM 7+, ניתן למצוא אפשרות זו בלוח הבקרה -> File Services -> SMB -> Advanced Settings. מצא את האפשרות אפשר חתימת שרת. החתימה אינה זמינה כברירת מחדל. כדי לאפשר חתימת SMB כאשר הלקוח מבקש זאת, בחר לקוח מוגדר מהתפריט הנפתח.

לכן, אם אתה נתקל בבעיות בעת גישה למניות NAS לאחר שדרוג ל- Windows 11 24H2, יהיה עליך:

  • אפשר חתימת SMB בהתקן NAS (Recommended way)

  • הפוך חתימת SMB הכרחית ללא זמינה בלקוח Windows (אפשרות מאובטחת פחות)