Как включить протокол smb1 на windows 11

Протокол доступа к общим файлам SMB 1.0 (Server Message Block) по умолчанию отключен в последних версиях Windows 11 и 10, а также в Windows Server 2019/2022. Эта версия протокола является небезопасной/уязвимой, и не рекомендуется использовать ее на устройствах в локальной сети. Windows поддерживает более безопасные версии протокола SMB (2.x и 3.x).

SMB v1 может быть необходим, только если в вашей сети остались устаревшие устройства с Windows XP/2003, старые версии NAS, сетевые принтеры с поддержкой SMB, устройства со старыми версиями samba, и т.д. В этой статье мы рассмотрим, как включить или отключить протокол общего доступа к файлам SMB 1.0 в Windows.

Обратите внимание что протокол SMB состоит из двух компонентов, которые можно включать/отключать по отдельности:

• Клиент SMB0 – нужен для доступа к общим папками на других компьютерах
• Сервер SMB 0 – должен быть включен, если ваш компьютер используется в качестве файлового сервера, к которому подключаются другие компьютеры и устройства.

Включить/отключить SMB 1.0 в Windows 10 и 11

Начиная с Windows 10 1709, протокол SMB 1 отключен в десктопных версиях Windows, но его можно включить из вручную.

Откройте командную строку и проверить статус компонентов протокола SMBv1 в Windows с помощью команды DISM:

Dism /online /Get-Features /format:table | find "SMB1Protocol"

Картинка с сайта: winitpro.ru

В нашем примере видно, что все компоненты SMBv1 отключены:

SMB1Protocol                                | Disabled
SMB1Protocol-Client                         | Disabled
SMB1Protocol-Server                         | Disabled
SMB1Protocol-Deprecation                    | Disabled

В Windows 10 и 11 также можно управлять компонентами SMB 1 из панели Windows Features (
optionalfeatures.exe
). Разверните ветку Поддержка общего доступа к файлам SMB 1.0 /CIFS (SMB 1.0/CIFS File Sharing Support). Как вы видите здесь также доступны 3 компонента:

• Клиент SMB 1.0/CIFS (SMB 1.0/CIFS Client)
• Сервер SMB 1.0/CIFS (SMB 1.0/CIFS Server)
• Автоматическое удаление протокола SMB0/CIFS (SMB 1.0/CIFS Automatic Removal)

Клиент SMB v1.0 нужно установить, если вашему компьютеру нужен доступ к сетевым папкам на старых устройствах. Если устаревшие сетевые устройства должны писать данные в сетевые папки на вашем компьютере, или использовать его общие сетевые принтеры, нужно включить сервер SMB 1.

Картинка с сайта: winitpro.ru

Вы можете включить клиент или сервер SMB 1.0 в Windows 10/11 из панели окна управления компонентами или с помощью команд:

Dism /online /Enable-Feature /FeatureName:"SMB1Protocol"
Dism /online /Enable-Feature /FeatureName:"SMB1Protocol-Client"
Dism /online /Enable-Feature /FeatureName:"SMB1Protocol-Server"

Если после включения клиента SMBv1, он не используется более 15 дней, он автоматически отключается.

Чтобы выключить SMB1 в Windows, выполните следующие команды DISM:

Dism /online /Disable-Feature /FeatureName:"SMB1Protocol"
Dism /online /Disable-Feature /FeatureName:"SMB1Protocol-Client"
Dism /online /Disable-Feature /FeatureName:"SMB1Protocol-Server"

Или удалите компоненты SMB1Protocol с помощью PowerShell:

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -Remove

Если вы отключили поддержку SMBv1 клиента в Windows 10/11, то при доступе к сетевой папке на файловом сервере (устройстве), который поддерживает только SMBv1, появятся ошибки вида:

• 0x80070035 — не найден сетевой путь;

• Вы не можете подключиться к общей папке, так как она небезопасна. Эта общая папка работает по устаревшему протоколу SMB1, который небезопасен и может подвергнуть вашу систему риску атаки. Вашей системе необходимо использовать SMB2 или более позднюю версию.

   Unable to connect to file shares because it is not secure. This share requires the obsolete SMB1 protocol, which is not secure and could expose your system to attacks

  ;

  

  Картинка с сайта: winitpro.ru

• Вы не можете подключиться к общей папке, так как она небезопасна. Эта общая папка работает по устаревшему протоколуSMB1, который небезопасен и может подвергнуть вашу систему риску атаки. Вашей системе необходимо использовать SMB2 или более позднюю версию.

  You can’t connect to the file share because it’s not secure. This share requires the obsolete SMB1 protocol, which is unsafe and could expose your system to attack. Your system requires SMB2 or higher).

Также при отключении клиента SMBv1 на компьютере перестает работать служба Computer Browser (Обозреватель компьютеров), которая используется устаревшим протоколом NetBIOS для обнаружения устройств в сети. Для корректного отображения соседних компьютеров в сетевом окружении Windows нужно настроить службу Function Discovery Provider Host (см. статью).

Включение и отключение SMB 1.0 в Windows Server 2019/2022

В Windows Server 2019 и 2022 компоненты протокола SMBv1 также по умолчанию отключены. Включить SMB v1 в этих версиях можно через Server Manager (компонент SMB 1.0/CIFS File Sharing Support) или с помощью PowerShell.

Картинка с сайта: winitpro.ru

Проверить, включен ли SMB 1.0 в Windows Server с помощью команды PowerShell:

Get-WindowsFeature | Where-Object {$_.name -like "*SMB1*"} | ft Name,Installstate

Картинка с сайта: winitpro.ru

Чтобы установить клиент SMB 1, выполните команду:

Install-WindowsFeature FS-SMB1-CLIENT

Включить поддержку серверной части SMB 1.0:

Install-WindowsFeature FS-SMB1-SERVER

Затем проверьте, что протокол SMB 1 включен в настройках SMB сервера. Если протокол отключен, включите его:

Get-SmbServerConfiguration | select EnableSMB1Protocol
Set-SmbServerConfiguration -EnableSMB1Protocol $true -Force

Картинка с сайта: winitpro.ru

Если в EnableSMB1Protocol = True, значит этот сервер поддерживает SMB 1.0 клеинтов.

Чтобы отключить SMBv1 (понадобится перезагрузка), выполните:

Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

Чтобы полностью удалить компоненты SMB1 с диска, выполните:

Uninstall-WindowsFeature -Name FS-SMB1 -Remove

В Windows 7/8 и Windows Server 2008 R2/ 2012 можно отключать службу и драйвер доступа SMBv1 командами:

sc.exe config lanmanworkstation depend= bowser/mrxsmb20/nsi
sc.exe config mrxsmb10 start= disabled

Картинка с сайта: winitpro.ru

Аудит доступа к файловому серверу по SMB v1.0

Перед отключением и полным удалением драйвера SMB 1.0 на стороне файлового сервера желательно убедится, что в сети не осталось устаревших клиентов, которые используют для подключения протокол SMB v1.0. Чтобы найти таких клиентов, нужно включить аудит доступа к файловому серверу по SMB1 протоколу:

Set-SmbServerConfiguration –AuditSmb1Access $true

Через пару дней откройте на сервере журнал событий Event Viewer -> Applications and Services -> Microsoft -> Windows -> SMBServer -> Audit и проверьте, были ли попытки доступа к ресурсам сервера по протоколу SMB1.

Проверьте, есть ли в журнале событие с EventID 3000 от источника SMBServer, в котором указано что клиент 192.168.1.10 пытается обратиться к сервере по протоколу SMB1.

SMB1 access
Client Address: 192.168.1.10
Guidance:
This event indicates that a client attempted to access the server using SMB1. To stop auditing SMB1 access, use the Windows PowerShell cmdlet Set-SmbServerConfiguration.

Картинка с сайта: winitpro.ru

Вам нужно найти в сети компьютер или устройство с этим IP адресом. Если возможно обновите на нем ОС или прошивку, до версии поддерживающий, более новые протоколы SMBv2 или SMBv3. Если обновить такой клиент не удастся, придется включить SMBv1 на вашем файловом сервере.

Чтобы найти в Active Directory все компьютеры, на которых включен протокол SMB v1, выполните команду:

Get-ADComputer -Filter {(enabled -eq $True) } | % {Invoke-Command -ComputerName $_.DNSHostName -scriptblock {If ( (Get-ItemProperty -path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters").SMB1 -eq 1 ) {Write-Output "SMBv1 is enabled on ${env:computername}"}}}

Эта команда получит список активных компьютеров в домене с помощью командлета Get-ADComputer. Затем с помощью Invoke-Command выполнит подключение через PowerShell Remoting к каждому компьютеру и проверит включен ли сервис SMB 1.0.

<Отключение SMB 1.0 с помощью групповых политик

Если в вашем сети не осталось устаревших устройств, которые поддерживают только SMB 1.0, нужно полностью отключить эту версию протокола на всех компьютерах. Чтобы предотвратить ручную установку и включение компонентов SMB 1.0 на компьютерах в домене AF, можно внедрить групповую политику, которая будет принудительно отключить протокол SMB 1.0 на всех серверах и компьютерах. Т.к. в стандартных политиках Windows нет политики настройки компонентов SMB, придется отключать его через политику реестра.

1. Откройте консоль управления Group Policy Management (
   gpmc.msc
   ), создайте новый объект GPO (disableSMBv1) и назначьте его на OU с компьютерами, на которых нужно отключить SMB1;
2. Перейдите в режим редактирования политики. Выберите Computer Configuration -> Preferences -> Windows Settings -> Registry;
3. Создайте новый параметр реестра (Registry Item) со следующими настройками:
   Action:
   Update
   
   Hive:
   HKEY_LOCAL_MACHINE
   
   Key Path:
   SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
   
   Value name:
   SMB1
   
   Value type:
   REG_DWORD
   
   Value data:
   0
   

   Картинка с сайта: winitpro.ru

4. Данная политика отключит службу сервера SMBv1.

Если вы хотите через GPO отключить на компьютерах и клиент SMB 1.0, создайте дополнительно два параметра реестра:

• Параметр Start (типа REG_DWORD) со значением 4 в ветке реестра HKLM\SYSTEM\CurrentControlSet\services\mrxsmb10;
• Параметр DependOnService (типа REG_MULTI_SZ) со значением Bowser, MRxSmb20, NSI (каждое значение с новой строки) в ветке реестра HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation.

Картинка с сайта: winitpro.ru

Осталось обновить настройки групповых политик на клиентах и после перезагрузки проверить, что компоненты SMBv1 полностью отключены.

С помощью WMI фильтр GPO можно сделать исключения для определенных версий Windows.

В групповых политиках Security Baseline из Microsoft Security Compliance Toolkit есть отдельный административный шаблон GPO (файлы SecGuide.adml и SecGuide.ADMX), в которых есть отдельные параметры для отключения сервера и клиента SMB:

• Configure SMB v1 server;
• Configure SMB v1 client driver.

Картинка с сайта: winitpro.ru

Enabling SMB1 on Windows 11 is a straightforward process, though it involves diving into your system settings. First, you’ll need to access the Windows Features from the Control Panel, where you can turn Windows features on or off. From there, simply locate the SMB1 feature and enable it. Restart your computer to apply the changes, and you’re all set. This quick overview should give you a good idea of what to expect as you proceed through the detailed steps below.

In the following steps, we’ll guide you through enabling the SMB1 protocol on your Windows 11 device. By the end, you’ll have a better understanding of how to access legacy systems that require this protocol.

Step 1: Open Control Panel

Begin by opening the Control Panel on your Windows 11 device.

You can do this by typing “Control Panel” into the search bar next to the Start button and pressing Enter. The Control Panel is your gateway to adjusting many of the deeper settings in your computer.

Step 2: Navigate to Programs

Next, find the “Programs” option and click on it.

Within the Control Panel, Programs is where you manage software-related settings, including those for Windows features. This section will lead us to where the SMB1 settings are hidden.

Step 3: Access Windows Features

Then, click on “Turn Windows features on or off” located under the Programs and Features section.

This link opens a window with a comprehensive list of features you can enable or disable. It’s like a treasure map to unlocking your PC’s capabilities.

Step 4: Locate SMB1.0/CIFS File Sharing Support

Now, scroll through the list and find “SMB 1.0/CIFS File Sharing Support.”

This option might be buried among other features, so take your time to locate it. Once found, ensure the box next to it is checked.

Step 5: Apply Changes and Restart

Finally, click OK to apply these changes, and restart your computer.

Restarting is crucial as it ensures the changes take effect. Without a reboot, the SMB1 protocol might not function as expected.

After completing these steps, your Windows 11 system will have the SMB1 protocol enabled. This means you’ll now be able to connect to networks or devices that rely on this older protocol, opening up a line of communication to legacy systems you might need.

Tips for Enabling SMB1 on Windows 11

• Always ensure your system is backed up before making changes to features.
• Consider the security implications of enabling SMB1, as it is an older protocol with known vulnerabilities.
• Regularly update your system to ensure all security patches are applied.
• If possible, look for newer alternatives to SMB1 for better security.
• Revisit the setting occasionally to ensure it remains enabled if needed, as some updates might reset your settings.

Frequently Asked Questions

What is SMB1?

SMB1, or Server Message Block version 1, is a network protocol used for file sharing.

Is enabling SMB1 safe?

It’s generally not recommended due to its outdated security features, but it may be necessary for accessing legacy systems.

Can I disable SMB1 after enabling it?

Yes, simply follow the same steps and uncheck the SMB1 option.

Why can’t I find SMB1 in Windows Features?

Ensure you’re viewing all features, and if it’s still missing, your system might need troubleshooting or updates.

Does enabling SMB1 affect performance?

Enabling SMB1 shouldn’t affect your computer’s performance noticeably but could impact network security.

Summary

1. Open Control Panel.
2. Navigate to Programs.
3. Access Windows Features.
4. Locate SMB1.0/CIFS.
5. Apply and restart.

Conclusion

Enabling SMB1 on Windows 11 isn’t just about flipping a switch; it’s about understanding the needs of older systems and balancing them with modern security concerns. While SMB1 is an older protocol that can open your system to certain vulnerabilities, it sometimes remains necessary for accessing legacy software or devices that haven’t yet moved on to newer protocols.

As technology continues to advance, older protocols like SMB1 are gradually phased out in favor of more secure, efficient options. Yet, the real world often requires us to straddle the line between the past and present, maintaining access to systems that rely on these older tools.

Whenever enabling such features, it’s crucial to remain diligent about security, ensuring that all possible precautions are taken. Regular updates, backups, and a keen awareness of potential vulnerabilities are essential when dealing with any legacy systems.

So, whether you’re a tech guru or just someone needing to connect to an old device, make sure you’re thoughtful about the steps you take. Consider reading up on network security and best practices to ensure you’re not just getting the job done but doing it safely.

[Сетевое окружение (SMB)] Как исправить неработающую функцию SMB в Windows 11?

Microsoft обновила свою политику безопасности в Windows 11 24H2, требуя, чтобы все подключения использовали SMB протокол. (Новое в Windows 11, версия 24H2 для ИТ-специалистов | Microsoft Learn)

Это изменение может помешать пользователям подключаться к определённым устройствам через Сетевое окружение (SMB), таким как высокопроизводительные NAS (сетевые хранилища данных) или маршрутизаторы ASUS с подключёнными жёсткими дисками через USB.

Если Вы не можете использовать SMB в Windows 11, пожалуйста, обратитесь к следующим решениям и выберите одно из них для настройки:

Примечание: следующие методы могут снизить безопасность системы, поэтому они рекомендуются только в доверенных сетевых средах.

Метод 1. Включение небезопасных гостевых входов:

    a. Использование редактора реестра:

        a1. Введите и найдите [regedit] в строке поиска Windows, затем нажмите [Открыть].

        a2. Перейдите к [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\LanmanWorkstation].

   Если [LanmanWorkstation] не существует, щёлкните правой кнопкой мыши на [Microsoft], выберите [Создать] > [Раздел], и назовите его [LanmanWorkstation].

        a3. Щёлкните правой кнопкой мыши на [LanmanWorkstation], выберите [Создать] > [DWORD (32-битное) значение], и назовите его [AllowInsecureGuestAuth].

        a4. Щёлкните правой кнопкой мыши на [AllowInsecureGuestAuth], выберите [Изменить], установите значение данных в 1, затем нажмите [OK].

    б. Использование редактора локальной групповой политики:

        б1.  Нажмите [Win] + [R] на клавиатуре, введите [gpedit.msc], затем нажмите [OK].

        б2. Перейдите в [Конфигурация компьютера] > [Административные шаблоны] > [Сеть] > [Lanman Workstation].

        б3. В правой панели щелкните правой кнопкой мыши на [Включить  гостевой доступ], выберите [Изменить],

        б4. Выберите Включено, затем нажмите [OK].

Метод 2. Отключить требование версии SMB:

    а. Использование редактора реестра:

        а1. Введите и найдите [regedit] в строке поиска Windows, затем нажмите [Открыть].

        а2. Перейдите в [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\RequireSecuritySignature].

   Если [RequireSecuritySignature] не существует, щелкните правой кнопкой мыши на [Parameters], выберите [Создать] > [DWORD (32-bit) Value] и назовите его [RequireSecuritySignature].

        а3. Щелкните правой кнопкой мыши на [RequireSecuritySignature], выберите [Изменить], установите значение Value data в 0, затем нажмите [OK].

    б. Использование Windows PowerShell:

        б1. Введите и найдите [Windows PowerShell] в строке поиска Windows, откройте [Windows PowerShell] от имени администратора.

        б2. Введите следующую команду и нажмите Enter на клавиатуре.

• Set-SmbClientConfiguration -RequireSecuritySignature $false

Пожалуйста, обратитесь к официальной информации на сайте Microsoft

Групповая политика

• Включение гостевого доступа в SMB2 и SMB3 для Windows клиента и Windows Server | Microsoft Learn

PowerShell

• Включение гостевого доступа в SMB2 и SMB3 для Windows клиента и Windows Server | Microsoft Learn