Windows 10/Server 2016'da SMB v 1.0 Nasıl Devre Dışı Bırakılır/Etkinleştirilir?

Windows Server 2016/2019 ve Windows 10'da (derleme 1709'dan başlayarak), paylaşılan klasörlere erişmek için kullanılan Sunucu İleti Bloğu 1.0 (SMBv1) ağ protokolü varsayılan olarak devre dışıdır. Çoğu durumda, artık desteklenmeyen Windows XP, Windows Server 2003 ve daha eski işletim sistemleri gibi eski sistemlerde barındırılan paylaşılan klasörlere erişmek için bu protokol gerekir. Bu makalede, Windows 10 ve Windows Server 2016/2019'da SMBv1 istemci ve sunucu desteğinin nasıl etkinleştirilip devre dışı bırakılacağına bakacağız.

Önceki makalelerden birinde, istemci ve sunucu tarafı SMB sürüm uyumluluğu tablosunu göstermiştik. Tabloya göre, eski istemci sürümleri (XP, Server 2003 ve bazı *nix istemcileri), ağ paylaşımlı klasörlerine yalnızca SMB v1.0 protokolünü kullanarak erişebilir. Ağda böyle bir istemci yoksa, dosya sunucuları (AD etki alanı denetleyicileri dahil) ve istemci masaüstleri tarafında SMB 1.0'ı tamamen devre dışı bırakabilirsiniz.

Windows 10 ve Windows Server 2016'da SMBv1 protokolü, bağımsız olarak etkinleştirilebilen/devre dışı bırakılabilen SMB istemcisi ve SMB sunucusu olmak üzere iki ayrı bileşene bölünmüştür.

SMB v1.0 aracılığıyla Paylaşılan Klasör Erişimini Denetleme

SMB dosya sunucusu tarafında SMB 1.0 sürücüsünü devre dışı bırakmadan veya tamamen kaldırmadan önce, ağınızda onu kullanan eski istemcilerin olmadığından emin olun. Bunu yapmak için, aşağıdaki PowerShell komutunu kullanarak SMB v1.0 üzerinden dosya sunucusu erişimi denetimini etkinleştirin:

Set-SmbServerConfiguration -AuditSmb1Access $true

Birkaç gün sonra sunucuda Olay Görüntüleyiciyi açın, Uygulamalar ve Hizmetler -> Microsoft -> Windows -> SMBServer -> Audit günlüğünü kontrol edin ve olup olmadığına bakın. tüm istemciler dosya sunucusuna SMB1 üzerinden erişti.

Get-WinEvent -LogName Microsoft-Windows-SMBServer/Audit

Örneğimizde, günlükte SMBServer kaynağından EventID 3000 olan bir olay bulundu. Olay, 192.168.1.10 istemcisinin SMB1 protokolünü kullanarak sunucuya erişmeye çalıştığını gösterir.

SMB1 access
Client Address: 192.168.1.10
Guidance:
This event indicates that a client attempted to access the server using SMB1. To stop auditing SMB1 access, use the Windows PowerShell cmdlet Set-SmbServerConfiguration.

Bu bilgisayarı veya cihazı ağda bulmanız ve işletim sistemini veya üretici yazılımını daha yeni SMB protokolü sürümlerini destekleyen bir sürüme güncellemeniz gerekir: SMBv2 veya SMBv3.

Bizim durumumuzda bu bilgiyi göz ardı edeceğiz, ancak daha sonra bu müşterinin bu SMB sunucusundaki paylaşımlı klasörlere erişemeyeceğini aklınızda bulundurmalısınız.

Windows Server 2016/2019'da SMB 1.0'ı Etkinleştirin/Devre Dışı Bırakın

Derleme 1709 ve Windows Server 2019 ile başlayan Windows Server 2016'da, SMBv1 varsayılan olarak devre dışıdır. Windows Server'ın daha yeni sürümlerinde SMBv1 istemci protokolü desteğini etkinleştirmek için ayrı SMB 1.0/CIFS Dosya Paylaşım Desteği özelliğini yüklemeniz gerekir.

SMBv1 özelliğini Sunucu Yöneticisi'ni veya PowerShell'i kullanarak yükleyebilirsiniz.

SMBv1'in etkinleştirildiğini PowerShell komutuyla kontrol edebilirsiniz:

Get-WindowsFeature | Where-Object {$_.name -eq "FS-SMB1"} | ft Name,Installstate

FS-SMB1 özelliğini yüklemek için şunu çalıştırın:

Install-WindowsFeature FS-SMB1

SMBv1 istemci özelliğini (yeniden başlatma gerektirir) kaldırmak için şu komutu çalıştırın:

Uninstall-WindowsFeature -Name FS-SMB1 -Remove

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -Remove

Sunucunuzun SMBv1.0 istemci erişimini işlemesi için FS-SMB1 bileşenine ek olarak SMB dosya sunucusu düzeyinde SMBv1 desteğini etkinleştirmeniz gerekir. Sunucunuzdaki ağ paylaşımları için SMBv1 erişiminin etkinleştirilip etkinleştirilmediğini kontrol etmek için şunu çalıştırın:

Get-SmbServerConfiguration

Çizgi "

EnableSMB1Protocol: True

”, SMBv1 protokolünü kullanarak bu sunucudaki paylaşılan klasörlere erişmenize izin verildiği anlamına gelir. Windows Server'da SMBv1 sunucu desteğini devre dışı bırakmak için PowerShell komutunu çalıştırın:

Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force

şimdi kullan

Get-SmbServerConfiguration

SMB1 sunucusunun devre dışı bırakıldığından emin olmak için cmdlet.

Sunucuda SMBv1 desteğini etkinleştirmek için şu komutu çalıştırın:

Set-SmbServerConfiguration -EnableSMB1Protocol $True -Force

sc.exe config lanmanworkstation depend= bowser/mrxsmb20/nsi
sc.exe config mrxsmb10 start= disabled

Windows 10'da SMBv1 Nasıl Etkinleştirilir/Devre Dışı Bırakılır?

Daha önce de belirttiğimiz gibi, Windows10'un tüm yeni yapılarında (1709'dan itibaren) SMB1 protokolü desteği devre dışı bırakılmıştır (SMBv2 protokolü aracılığıyla misafir erişimi de devre dışıdır).

Windows 10'da, SMBv1 protokol bileşenlerinin durumunu DISM komutuyla kontrol edebilirsiniz:

Dism /online /Get-Features /format:table | find "SMB1Protocol"

Örneğimizde, tüm SMBv1 özelliklerinin devre dışı bırakıldığını görebilirsiniz:

SMB1Protocol                                | Disabled
SMB1Protocol-Client                         | Disabled
SMB1Protocol-Server                         | Disabled
SMB1Protocol-Deprecation                    | Disabled

Windows 10'da SMB 1 özelliklerini Denetim Masası'ndan da yönetebilirsiniz (

optionalfeatures.exe

). SMB 1.0 /CIFS Dosya Paylaşım Desteği seçeneğini genişletin. Gördüğünüz gibi burada 3 SMBv1 bileşeni de mevcuttur:

• SMB 1.0/CIFS Otomatik Kaldırma

• SMB 1.0/CIFS İstemcisi

• SMB 1.0/CIFS Sunucusu

Windows 10'da SMBv1 istemcisini ve sunucusunu özellik yönetimi penceresinden veya aşağıdaki komutları kullanarak etkinleştirebilirsiniz:

Dism /online /Enable-Feature /FeatureName:"SMB1Protocol"
Dism /online /Enable-Feature /FeatureName:"SMB1Protocol-Client"
Dism /online /Enable-Feature /FeatureName:"SMB1Protocol-Server"

Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Server
Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Client

SMBv1 istemcisi etkinleştirildikten sonra 15 günden fazla kullanılmazsa otomatik olarak devre dışı bırakılır.

Windows 10'da SMB1 istemci ve sunucu desteğini devre dışı bırakmak için aşağıdaki DISM komutlarını çalıştırın:

Dism /online /Disable-Feature /FeatureName:"SMB1Protocol"
Dism /online /Disable-Feature /FeatureName:"SMB1Protocol-Client"
Dism /online /Disable-Feature /FeatureName:"SMB1Protocol-Server"

Windows 10'da SMBv1 istemcisini devre dışı bıraktıysanız, yalnızca SMBv1'i destekleyen (SMBv2 ve v3 protokolleri devre dışıdır veya desteklenmiyor) bir dosya sunucusundaki bir snare klasörüne eriştiğinizde aşağıdaki hataları alabilirsiniz:

• 0x80070035 The network path was not found;

• Unable to connect to file shares because it is not secure. This share requires the obsolete SMB1 protocol, which is not secure and could expose your system to attacks;

• You can’t connect to the file share because it’s not secure. This share requires the obsolete SMB1 protocol, which is unsafe and could expose your system to attack. Your system requires SMB2 or higher.

  

  Windows 10'da paylaşılan klasöre erişilemiyor makalesinde bununla ilgili daha fazla bilgi edinin.

Ayrıca, SMBv1 istemcisini devre dışı bırakırsanız, eski NetBIOS protokolü tarafından ağdaki aygıtları keşfetmek için kullanılan Bilgisayar Tarayıcı hizmeti bilgisayarda çalışmayı durdurur. Windows 10 ağındaki komşu bilgisayarları doğru bir şekilde görüntülemek için Özellik Keşfi Sağlayıcı Ana Bilgisayarı hizmetini yapılandırmanız gerekir (bu makaleye göz atın).

Grup İlkesi aracılığıyla SMBv1 İstemcisini ve Sunucusunu Devre Dışı Bırakma

Bir Active Directory etki alanı ortamında, Grup İlkelerini (GPO'lar) kullanan tüm sunucularda ve bilgisayarlarda SMBv1'i devre dışı bırakabilirsiniz. Standart Windows Grup İlkelerinde ayrı bir SMB yapılandırma ilkesi bulunmadığından, kayıt defteri ilkesi aracılığıyla devre dışı bırakmanız gerekecektir.

1. Grup İlkesi Yönetimi konsolunu açın (

   gpmc.msc

   ), yeni bir GPO (disableSMBv1) oluşturun ve SMB1'i devre dışı bırakmak istediğiniz bilgisayarları içeren kuruluş birimine bağlayın;

2. İlke düzenleme moduna geçin. GPO bölümünü genişletin Bilgisayar Yapılandırması -> Tercihler -> Windows Ayarları -> Kayıt Defteri;

3. Aşağıdaki ayarla yeni bir Kayıt Defteri Öğesi oluşturun:
   İşlem:

   Update

   Kovan:

   HKEY_LOCAL_MACHINE

   Anahtar Yol:

   SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

   Değer adı:

   SMB1

   Değer türü:

   REG_DWORD

   Değer verisi:

   0

   

   Bu ilke, tüm bilgisayarlarda kayıt defteri aracılığıyla SMBv1 sunucu bileşeni desteğini devre dışı bırakacaktır.

   WMI filtresini kullanarak Windows'un bazı sürümlerini bu ilkenin dışında bırakabilirsiniz.

Etki alanı bilgisayarlarında SMB istemcisini GPO aracılığıyla devre dışı bırakmak istiyorsanız, iki ek kayıt defteri parametresi oluşturun:

• HKLM\SYSTEM\CurrentControlSet\services\mrxsmb10 kayıt defteri anahtarında 4 değerine sahip Başlat parametresi (REG_DWORD türü);

• Bowser, MRxSmb20, NSI değerine sahip DependOnService parametresi (REG_MULTI_SZ türü) (her değer yeni bir satırdadır) ) HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation kayıt anahtarında.

İstemcilerdeki Grup İlkesi ayarlarını güncellemeye devam ediyor (

gpupdate /force

) yeniden başlatmanın ardından SMBv1 bileşenlerinin tamamen devre dışı bırakıldığından emin olun.

SecGuide.adml

SecGuide.admx