ไม่สามารถเข้าถึงโฟลเดอร์ที่ใช้ร่วมกันบน NAS ใน Windows 11 24H2

Microsoft ได้ประกาศเมื่อเร็วๆ นี้ว่า การลงนามแพ็กเก็ต SMB ที่จำเป็นสำหรับการเข้าถึงโฟลเดอร์เครือข่ายที่ใช้ร่วมกันจะถูกเปิดใช้งานตามค่าเริ่มต้นใน Windows 11 24H2 นี่อาจทำให้เกิดปัญหาเมื่อเข้าถึงโฟลเดอร์ที่ใช้ร่วมกันบนอุปกรณ์ NAS (Network Attached Storage) ซึ่งไม่รองรับหรือปิดใช้งานการลงนาม SMB ตามค่าเริ่มต้น

การลงนาม SMB เป็นหนึ่งในคุณลักษณะด้านความปลอดภัยของโปรโตคอลการแบ่งปันไฟล์ SMB/CIFS หากเปิดใช้งานตัวเลือกนี้ ลายเซ็นดิจิทัลจะถูกเพิ่มในส่วนหัวของข้อความ SMB แต่ละข้อความ ลายเซ็นนี้ช่วยให้มั่นใจได้ว่าเนื้อหาของข้อความจะไม่มีการเปลี่ยนแปลงและให้การรับรองความถูกต้องโดยการตรวจสอบตัวตนของเซิร์ฟเวอร์และไคลเอนต์ ซึ่งจะช่วยป้องกันการโจมตีแบบแทรกกลางข้อมูลของ SMB และการโจมตีแบบส่งต่อ NTLM ก่อนหน้านี้ การเซ็นชื่อใน SMB จำเป็นสำหรับการเข้าถึงการแชร์ SYSVOL และ NETLOGON บนตัวควบคุมโดเมน AD เท่านั้น

จำเป็นต้องมีการลงนาม SMB สำหรับการเชื่อมต่อ SMB ขาออกทั้งหมดที่เริ่มต้นด้วย Windows 11 24H2 (การเข้าถึง NAS ของบริษัทอื่นด้วย SMB ใน Windows 11 24H2 อาจล้มเหลว) หากเซิร์ฟเวอร์ SMB ไม่รองรับโหมดนี้ ไคลเอนต์ Windows จะปฏิเสธการเชื่อมต่อ Windows เวอร์ชันอื่นๆ ที่รองรับจะได้รับการเปลี่ยนแปลงนี้ในภายหลัง

สำคัญ! การใช้การลงนาม SMB แบบบังคับจะส่งผลให้มีการใช้งาน RAM และ CPU เพิ่มเติมทั้งบนไคลเอนต์และเซิร์ฟเวอร์ นอกจากนี้ยังลดความเร็วในการถ่ายโอนไฟล์ผ่านเครือข่ายอีกด้วย

หากอุปกรณ์ระยะไกลไม่รองรับการลงนาม SMB ข้อผิดพลาดจะเกิดขึ้นเมื่อเข้าถึงโฟลเดอร์ที่แชร์บนอุปกรณ์นั้น:

```
0xc000a000
```
```
 -1073700864
```
```
STATUS_INVALID_SIGNATURE
```
```
The cryptographic signature is invalid
```

การตั้งค่าเซิร์ฟเวอร์ SMB ของ Windows (และ Samba) เริ่มต้นถือว่าการลงนามแพ็คเก็ต SMB จะใช้เฉพาะเมื่อฝ่ายใดฝ่ายหนึ่งร้องขอเท่านั้น ใช้ PowerShell เพื่อแสดงรายการการตั้งค่าการเซ็นชื่อ SMB ปัจจุบันบนไคลเอนต์ Windows:

Get-SmbClientconfiguration | fl EnableSecuritySignature,RequireSecuritySignature

RequireSecuritySignature=False — ไม่ได้เปิดใช้งานการใช้ลายเซ็น SMB ที่จำเป็น
EnableSecuritySignature=True - ไคลเอนต์ใช้การลงนาม SMB เมื่อเซิร์ฟเวอร์ต้องการเท่านั้น

หากต้องการปิดใช้งาน (หรือเปิดใช้งาน) การลงนาม SMB ที่จำเป็น ให้ใช้คำสั่ง

Set-SmbClientConfiguration -RequireSecuritySignature $false

รีสตาร์ทคอมพิวเตอร์หลังจากเปลี่ยนการตั้งค่า

ในทำนองเดียวกัน คุณสามารถเปิดหรือปิดใช้งานการลงนาม SMB บนฝั่งเซิร์ฟเวอร์ (โฮสต์ที่มีโฟลเดอร์ที่ใช้ร่วมกัน):

Get-SmbServerConfiguration | fl *sign*

Set-SmbServerConfiguration -RequireSecuritySignature $true

(หรือ

$false

ค่าตัวเลือก EnableSecuritySignature จะถูกละเว้นถ้าโพรโทคอล SMB1 ดั้งเดิมถูกปิดใช้งาน (นี่คือลักษณะการทำงานเริ่มต้นใน Windows)

ตัวเลือกไคลเอ็นต์และเซิร์ฟเวอร์ SMB เหล่านี้สามารถเปิดใช้งานได้ผ่านทางรีจิสทรี ชุดคำสั่งถัดไปจะปิดการใช้การลงนาม SMB แบบบังคับสำหรับทั้งไคลเอนต์และเซิร์ฟเวอร์:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters" /v RequireSecuritySignature /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters" /v EnableSecuritySignature /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" /v RequireSecuritySignature /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" /v EnableSecuritySignature /t REG_DWORD /d 1 /f

ตัวแก้ไข GPO ยังสามารถใช้เพื่อกำหนดค่าโหมดการลงนาม SMB สำหรับไคลเอนต์ Windows ได้อีกด้วย ตัวเลือกต่อไปนี้มีอยู่ในตัวแก้ไขนโยบายกลุ่มภายในเครื่อง (

gpedit.msc

) ภายใต้การกำหนดค่าคอมพิวเตอร์ -> การตั้งค่า Windows -> การตั้งค่าความปลอดภัย -> นโยบายท้องถิ่น -> ตัวเลือกความปลอดภัย

ไคลเอนต์เครือข่าย Microsoft: เซ็นชื่อการสื่อสารแบบดิจิทัล (เสมอ)
ไคลเอนต์เครือข่าย Microsoft: ลงนามการสื่อสารแบบดิจิทัล (หากเซิร์ฟเวอร์เห็นด้วย)

NAS รุ่นและเฟิร์มแวร์บางรุ่นรองรับโหมดการลงนาม SMB แต่ไม่ได้เปิดใช้งานตามค่าเริ่มต้น (เช่นใน Synology, ASUStor, QNAP และอุปกรณ์อื่นๆ บางรุ่น) ตัวอย่างเช่น ใน Synology DSM 7+ ตัวเลือกนี้จะอยู่ใน แผงควบคุม -> บริการไฟล์ -> SMB< -> การตั้งค่าขั้นสูง. ค้นหาตัวเลือก เปิดใช้งานการลงนามเซิร์ฟเวอร์ การลงนามถูกปิดใช้งานตามค่าเริ่มต้น หากต้องการเปิดใช้งานการลงนาม SMB เมื่อไคลเอนต์ร้องขอ ให้เลือก ไคลเอนต์กำหนด จากเมนูแบบเลื่อนลง

ดังนั้น หากคุณประสบปัญหาเมื่อเข้าถึงการแชร์ NAS หลังจากอัปเกรดเป็น Windows 11 24H2 คุณจะต้อง:

เปิดใช้งานการลงนาม SMB บนอุปกรณ์ NAS (วิธีที่แนะนำ)
ปิดใช้งานการลงนาม SMB ที่บังคับบนไคลเอ็นต์ Windows (ตัวเลือกที่ปลอดภัยน้อยกว่า)