Как обнаружить, включить и отключить SMBv1, SMBv2 и SMBv3 в Windows

Отключение SMBv2 или SMBv3 для устранения неполадок

Рекомендуется включить SMBv2 и SMBv3, но может быть полезно временно отключить его в целях отладки. Дополнительные сведения см в разделе «Определение состояния, включение и отключение протоколов SMB» на сервере SMB.

В Windows 10, Windows 8.1, Windows Server 2019, Windows Server 2016, Windows Server 2012 R2 и Windows Server 2012 SMBv3 отключает следующие функции:

• Прозрачная отработка отказа — клиенты снова подключаются к узлам кластера во время обслуживания или отработки отказа
• Горизонтальное масштабирование — одновременный доступ к общим данным на всех узлах файлового кластера
• Многоканальность — агрегация пропускной способности сети и отказоустойчивость при наличии нескольких путей между клиентом и сервером
• SMB Direct — добавляет поддержку сети RDMA для высокой производительности, низкой задержки и низкого потребления ресурсов ЦП
• Шифрование — обеспечивает сквозное шифрование и защищает от прослушивания в ненадежных сетях
• Аренда каталогов — улучшите время отклика приложений в филиалах с помощью кэша
• Оптимизация производительности — оптимизация для небольших случайных операций ввода-вывода при чтении и записи

В Windows 7 и Windows Server 2008 R2 отключение SMBv2 отключает следующие функции:

• Запрос сопряжения — позволяет отправлять несколько запросов SMBv2 как один сетевой запрос.
• Улучшенное чтение и запись — более эффективное использование более быстрых сетей
• Кэширование свойств папок и файлов. Клиенты хранят локальные копии папок и файлов.
• Надежные дескрипторы — разрешить прозрачное повторное подключение к серверу при временном отключении
• Улучшенная подпись сообщений — HMAC SHA-256 заменяет MD5 в качестве алгоритма хэширования
• Улучшена масштабируемость общего доступа к файлам — количество пользователей, общих папок и открытых файлов на сервер значительно увеличилось
• Поддержка символических ссылок
• Модель аренды с верхней блокировкой клиента — ограничивает объем данных, передаваемых между клиентом и сервером, повышает производительность в сетях с высокой задержкой и повышает масштабируемость сервера SMB.
• Поддержка больших MTU — для полного использования 10 Gigabit Ethernet (GbE)
• Улучшена энергоэффективность — клиенты с открытыми файлами на сервере могут переходить в спящий режим

Протокол SMBv2 был представлен в Windows Vista и Windows Server 2008, а протокол SMBv3 — в Windows 8 и Windows Server 2012. Дополнительные сведения о функциях SMBv2 и SMBv3 см в следующих статьях:

• Общие сведения о протоколе SMB
• Новые возможности малого и среднего бизнеса

Удаление SMBv1

Как удалить SMBv1 в Windows 10, Windows 8.1, Windows Server 2019, Windows Server 2016 и Windows 2012 R2.

Методы PowerShell

Вот шаги для обнаружения, отключения и включения клиента и сервера SMBv1 с помощью команд PowerShell.

Примечание

Компьютер перезагружается после выполнения команд PowerShell для отключения или включения SMBv1.

• Обнаружить:Get-WindowsOptionalFeature -Online — Имя компонента SMB1Protocol
• Запрещать:Disable-WindowsOptionalFeature -Online — Имя функции SMB1Protocol
• Активировать опциюEnable-WindowsOptionalFeature -Online — Имя функции SMB1Protocol

Windows Server 2012 Windows Server 2012 R2, Windows Server 2016, Windows Server 2019: метод диспетчер сервера

Выполните следующие действия, чтобы удалить SMBv1 с сервера Windows.

1. На панели управления диспетчера серверов сервера, с которого вы хотите удалить SMBv1, в разделе «Настроить этот локальный сервер» выберите «Добавить роли и компоненты».
2. На странице «Перед началом работы» выберите «Запустить мастер удаления ролей и компонентов», а затем нажмите «Далее» на следующей странице».
3. На странице «Выбор целевого сервера в пуле серверов» убедитесь, что выбран сервер, с которого вы хотите удалить эту функцию, а затем нажмите «Далее».
4. На странице «Удалить роли сервера» нажмите «Далее».
5. На странице «Удалить компоненты» снимите флажок для поддержки общего доступа к файлам SMB 1.0/CIFS и нажмите «Далее».
6. Убедитесь, что этот параметр указан на странице подтверждения удаления, затем нажмите кнопку «Удалить».

Windows 8.1 и Windows 10: метод добавления или удаления программ

Выполните следующие действия, чтобы отключить SMBv1 в Windows 8.1 и Windows 10.

1. откройте Панель управления, выберите раздел Программы и компоненты.
2. В разделе «Панель управления» выберите «Включение или отключение компонентов Windows», чтобы открыть окно «Компоненты Windows».
3. В окне «Компоненты Windows» прокрутите список вниз, снимите флажок «Поддерживать общий доступ к файлам SMB 1.0/CIFS» и нажмите «ОК».
4. После того, как Windows применит изменения, нажмите кнопку «Перезагрузить» на странице подтверждения».

Обнаружение состояния, включение и отключение протоколов SMB на сервере SMB

Для Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows 10 и Windows Server 2019

В Windows 8 и Windows Server 2012 появился новый командлет Windows PowerShell Set-SMBServerConfiguration. Этот командлет позволяет включать и отключать протоколы SMBv1, SMBv2 и SMBv3 на сервере.

Если вы включаете или отключаете SMBv2 в Windows 8 или Windows Server 2012, SMBv3 также включается или отключается. Это связано с тем, что эти протоколы используют один и тот же стек.

После выполнения командлета Set-SMBServerConfiguration перезагружать компьютер не требуется.

SMBv1 на сервере SMB

• Обнаружить:Get-SmbServerConfiguration | Выберите Включить протокол SMB1
• Запрещать:Set-SmbServerConfiguration-EnableSMB1Protocol $false
• Активировать опциюSet-SmbServerConfiguration-EnableSMB1Protocol $true

SMB версии 2/v3 на SMB-сервере

• Get-SmbServerConfiguration | Выберите Включить протокол SMB2
• Set-SmbServerConfiguration-EnableSMB2Protocol $false
• Set-SmbServerConfiguration-EnableSMB2Protocol $true

Для Windows 7 Windows Server 2008 R2, Windows Vista и Windows Server 2008

Чтобы включить или отключить протоколы SMB на сервере SMB под управлением Windows 7, Windows Server 2008 R2, Windows Vista или Windows Server 2008, используйте редактор Windows PowerShell или реестр.

Редактор реестра

Важно!

Внимательно следуйте инструкциям в этом разделе. Неправильное изменение реестра может вызвать серьезные проблемы. Прежде чем вносить какие-либо изменения, сделайте резервную копию реестра, чтобы его можно было восстановить в случае возникновения проблем.

Чтобы включить или отключить SMBv1 на сервере SMB, настройте следующий раздел реестра:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters

Запись реестра: SMB1 REG_DWORD: 0 = отключен REG_DWORD: 1 = включен По умолчанию: 1 = включен (раздел реестра не создан)

Чтобы включить или отключить SMBv2 на сервере SMB, настройте следующий раздел реестра:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters

Запись реестра: SMB2 REG_DWORD: 0 = отключен REG_DWORD: 1 = включен По умолчанию: 1 = включен (раздел реестра не создан)

После внесения этих изменений необходимо перезагрузить компьютер.

Как обнаруживать состояние, включать и отключать протоколы SMB на клиенте SMB

Чтобы определить состояние, включить и отключить протоколы SMB на клиенте SMB под управлением Windows 10, Windows Server 2019, Windows 8.1, Windows Server 2016, Windows Server 2012 R2 и Windows Server 2012.

Если вы включаете или отключаете SMBv2 в Windows 8 или Windows Server 2012, SMBv3 также включается или отключается. Это связано с тем, что эти протоколы используют один и тот же стек.

SMBv1 на клиенте SMB

• Определениерабочая станция sc.exe qc lanman
• Запрещать:конфигурация sc.exe lanmanworkstation depend= Bowser/mrxsmb20/nsi Конфигурация sc.exe mrxsmb10 start= отключено
• Активировать опциюконфигурация sc.exe lanmanworkstation depend= Bowser/mrxsmb10/mrxsmb20/nsi Конфигурация sc.exe mrxsmb10 start= auto

SMBv2/v3 в клиенте SMB

• Обнаружить:рабочая станция sc.exe qc lanman
• Запрещать:конфигурация sc.exe lanmanworkstation depend= Bowser/mrxsmb10/nsi Конфигурация sc.exe mrxsmb20 start= отключено
• Активировать опциюконфигурация sc.exe lanmanworkstation depend= Bowser/mrxsmb10/mrxsmb20/nsi Конфигурация sc.exe mrxsmb20 start= auto

• Эти команды необходимо запускать из командной строки с повышенными привилегиями.
• После внесения этих изменений необходимо перезагрузить компьютер.

Отключение SMBv1 с помощью групповая политика

В этом разделе описывается, как использовать групповую политику для отключения SMBv1. Этот метод можно использовать в разных версиях Windows.

Отключение сервера SMBv1

Эта процедура настраивает следующую новую запись в реестре:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters

• Запись в реестре: SMB1
• REG_DWORD: 0 = отключено

Выполните следующие действия, чтобы применить настройку групповой политики.

1. откройте консоль управления групповыми политиками. Щелкните правой кнопкой мыши объект групповой политики (GPO), который будет содержать новый элемент настройки, и нажмите кнопку Изменить.
2. В дереве консоли в разделе «Конфигурация компьютера» разверните папку «Параметры», а затем разверните папку «Параметры Windows.
3. Щелкните правой кнопкой мыши узел реестра, выберите «Создать» и выберите «Реестр.

В диалоговом окне «Новые свойства реестра» выберите следующее:

• Действие: обновить
• Куст: HKEY_LOCAL_MACHINE
• Ключевой путь: SYSTEMCurrentControlSetServicesLanmanServerParameters
• Имя значения: SMB1
• Тип значения: REG_DWORD
• Значение данных: 0

Эта процедура отключает компоненты сервера SMBv1. Эта групповая политика должна применяться ко всем необходимым рабочим станциям, серверам и контроллерам домена в домене.

Фильтры WMI также можно настроить для исключения неподдерживаемых операционных систем или отдельных исключений, таких как Windows XP.

Будьте осторожны при внесении этих изменений на контроллерах домена, где для более старых систем Windows XP или более старых систем Linux и сторонних систем (которые не поддерживают SMBv2 или SMBv3) требуется доступ к SYSVOL или другим общим папкам с отключенным SMB версии 1.

Читайте также: Как поменять рабочий стол в Windows 11

Отключение клиента SMBv1

Чтобы отключить клиент SMBv1, необходимо обновить раздел реестра служб, чтобы запретить запуск MRxSMB10, а затем необходимо удалить зависимость от MRxSMB10 из записи LanmanWorkstation, чтобы он запускался нормально, не требуя MRxSMB10 для первоначального запуска.

Это руководство обновляет и заменяет значения по умолчанию в следующих двух записях реестра:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesmrxsmb10

Запись реестра: Start REG_DWORD: 4 = отключено

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanWorkstation

Запись реестра: DependOnService REG_MULTI_SZ: «Bowser», «MRxSmb20», «NSI»

По умолчанию включен MRxSMB10, который теперь удаляется как зависимость.

Выполните следующие действия, чтобы настроить это с помощью групповой политики.

1. откройте консоль управления групповыми политиками. Щелкните правой кнопкой мыши объект групповой политики, который будет содержать новый элемент предпочтений, и нажмите «Изменить».
2. В дереве консоли в разделе «Конфигурация компьютера» разверните папку «Параметры», а затем разверните папку «Параметры Windows.
3. Щелкните правой кнопкой мыши узел реестра, выберите «Создать» и выберите «Реестр.
4. В диалоговом окне «Новые свойства реестра» выберите следующее:

• Действие: обновить
• Куст: HKEY_LOCAL_MACHINE
• Ключевой путь: SYSTEMCurrentControlSetservicesmrxsmb10
• Имя значения: Начало
• Тип значения: REG_DWORD
• Значение данных: 4

Затем удалите зависимость от отключенного MRxSMB10 .

В диалоговом окне «Новые свойства реестра» выберите следующее:

• Действие: замена
• Куст: HKEY_LOCAL_MACHINE
• Ключевой путь: SYSTEMCurrentControlSetServicesLanmanWorkstation
• Имя значения: Депендонсервице
• Тип значения: REG_MULTI_SZ
• Данные значения:
  • Боузер
  • MRxSmb20
  • НСИ

Эти три строки не будут содержать маркеров (см следующий скриншот).

Значение по умолчанию включает MRxSMB10 во многих версиях Windows, поэтому замена их этой строкой с несколькими значениями эффективно удаляет MRxSMB10 как зависимость для LanmanWorkstation и переходит от четырех значений по умолчанию к трем указанным выше значениям.

При использовании консоли управления групповыми политиками вам не нужно использовать кавычки или запятые. Просто вводите каждую запись в отдельной строке.

Перезагрузите целевые системы, чтобы завершить деактивацию SMB версии 1.

Аудит использования SMBv1

Чтобы определить, какие клиенты пытаются подключиться к серверу SMB с помощью SMBv1, вы можете включить аудит в Windows Server 2016, Windows 10 и Windows Server 2019. Вы также можете проводить аудит в Windows 7 и Windows Server 2008 R2, если ежемесячный отчет за май 2018 г установлено обновление, а также в Windows 8.1 и Windows Server 2012 R2, если установлено ежемесячное обновление за июль 2017 г.

• Активировать опциюSet-SmbServerConfiguration-AuditSmb1Access $true
• Запрещать:Set-SmbServerConfiguration-AuditSmb1Access $false
• Обнаружить:Get-SmbServerConfiguration | Выберите АудитSmb1Access

Если аудит SMBv1 включен, в журнале событий Microsoft-Windows-SMBServerAudit появляется событие 3000, определяющее каждого клиента, пытающегося подключиться к SMBv1.

Сводка

Если все параметры находятся в одном объекте групповой политики, управление групповыми политиками отображает следующие параметры.

Тестирование и проверка

После выполнения действий по настройке, описанных в этой статье, разрешите репликацию и обновление политики. При необходимости в целях тестирования запустите gpupdate /force в командной строке, а затем просмотрите целевые компьютеры, чтобы убедиться, что параметры реестра применяются правильно. Убедитесь, что SMBv2 и SMBv3 работают для всех других систем в среде.

Антивирус или брандмауэр может блокировать сетевые устройства

Если вашей антивирусной программе, или брандмауэру (брандмауэру), установленному на вашем компьютере, что-то не понравилось, то она запросто может сделать так, что ни вы не увидите другие устройства в сетевом окружении, ни кто-либо не сможет вас обнаружить.

Правда, после отключения встроенного в антивирус брандмауэра, проблема у меня не решилась (значит, проблема скорее всего не в нем), но мне все же кажется, что в моем случае без участие антивируса.

Поэтому попробуйте на время полностью остановить антивирус или хотя бы отключить встроенный в него брандмауэр (брандмауэр). В NOD 32 это делается следующим образом:

Для проверки это нужно сделать на всех компьютерах, которые будут участвовать в локальной сети.

Возможно, у вас установлены какие-то другие программы, которые могут контролировать вашу сеть и управлять сетевыми подключениями.

Если выяснится, что проблема в антивирусе, нужно добавить свою сеть в исключения. Не позволяйте брандмауэру блокировать саму сеть или сетевые устройства.

Если у вас нет антивируса, вы можете поэкспериментировать с отключением/включением встроенного в Windows брандмауэра.