KB3161949適用後にローカルサブネット外からNetBIOS経由のSMB接続が失敗する問題と対処法

MS16-072アップデートが従来のGPOの仕組みを壊す問題について取り上げたばかりですが、6月にリリースされた別のセキュリティ情報 MS16-077 および KB3161949 のアップデートでも、新たな問題が発生しています。このアップデートをサーバーにインストールすると、他のサブネットのクライアントから NetBIOS over TCP/IP を使った共有フォルダーへの接続ができなくなります。

発生する症状

最初に問題が顕在化したのは、スキャンした文書をサーバー上のネットワーク共有(SMB)へ保存するネットワークスキャナーです。文書が保存されなくなり、スキャナー側には「サーバーに接続できません(Cannot connect to server)」というエラーが表示されます。

また、Sambaクライアントからドメインコントローラーへの接続でも問題が報告されています(「アクセスが拒否されました(Access Denied)」「利用できるログオンサーバーがありません(No Logon Server Available)」などのエラー)。

興味深い点は、Windows共有へのアクセス問題が、サーバーと異なるサブネットに属するクライアントでのみ発生することです。同一サブネット内のクライアントであれば、問題なくアクセスできます。

なお、問題のアップデート(KB3161949)をアンインストールすれば、アクセスの問題は解消されます。

KB3161949による変更点

KB3161949の説明によると、このアップデートはローカルサブネット外へのNetBIOS接続を制限します。そのため、NetBIOSに依存するネットワーク機能(ポート137〜139を使用するSMB over NetBIOSなど)は、他のサブネットのクライアントからは利用できなくなります。

一方、標準のSMBプロトコル(ポート445)は双方向で引き続き利用可能です。つまり、NetBIOS経由(ポート139)で接続しているレガシーなクライアントや機器だけが影響を受けます。

対処方法

この動作を変更するには、以下のいずれかの方法を実施します。

• セキュリティアップデートKB3161949をアンインストールする — セキュリティ上のリスクが残るため、推奨される方法ではありません。
• レジストリで AllowNBToInternet を有効にする — サーバーのレジストリ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters に、DWORD値 AllowNBToInternet(アップデート適用後は0に設定されています)を作成し、値を 1 に設定します。

レジストリエディターで設定するほか、コマンドプロンプトからも実行できます。

reg add "HKLM\System\CurrentControlSet\Services\NetBT\Parameters" /v "AllowNBToInternet" /t REG_DWORD /d 1 /f

または、PowerShellでは次のコマンドを使用します。

Set-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Services\NetBT\Parameters -Name AllowNBToInternet -Type DWord -Value 1

パラメータを作成したら、サーバーを再起動してください。再起動後、サーバーは他のサブネットのNetBIOSクライアントからも利用できるようになります。

注意点

AllowNBToInternet=1 はNetBIOSのサブネット外アクセス制限を解除する設定のため、セキュリティレベルは低下します。可能であれば、クライアント側をポート445の直接SMB接続に対応させるか、ファイアウォールで必要なホストのみに通信を限定する運用を検討することをおすすめします。