KB3161949は、ローカルサブネット外のNETBIOSアクセスを介してSMBを中断します

おなじみのGPOメカニズムを破るMS16-072アップデートの処理方法を学習したばかりで、6月にリリースされた別のセキュリティ情報に新しい問題が発生しました— MS16-077 およびKB3161949 アップデート。この更新プログラムがサーバーシステムにインストールされた後、他のサブネットのクライアントは、TCP/IPを介してNetbiosを使用して共有に接続できなくなります。

まず、問題は、ドキュメントをスキャンしてコピーをサーバー上のネットワーク共有（SMB）に保存するネットワークスキャナーで発生しました。ドキュメントは保存されなくなり、スキャナーは次のエラーを返します：サーバーに接続できません 。また、Sambaクライアントのドメインコントローラーへの接続にいくつかの問題が発生しました（エラーアクセスが拒否されました または利用可能なログオンサーバーがありません ）。最も興味深いのは、Windows共有へのアクセスの問題が、サーバー以外のサブネットにあるクライアントでのみ発生したことです。

KB3165191の更新が削除された後、アクセスの問題は発生していません。

KB3161949アップデートの機能を見てみましょう。その説明によると、この更新により、ローカルサブネット外のNETBIOS接続が制限されます。したがって、NETBIOSに依存するネットワーク機能（SMB over NETBIOS、ポート137〜139など）は、他のサブネットのクライアントでは機能しません。共通のSMBプロトコル（ポート445）は双方向で利用できます。

この動作を変更するには、次のいずれかを実行する必要があります。

• セキュリティアップデートKB3161949をアンインストールします（最善の方法ではありません）
• AllowNBToInternetという名前のDwordパラメータを作成します 値1 （アップデートのインストール後、0に設定されます）in HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ NetBT \ Parameters サーバー上のレジストリのブランチ また、cmd reg add "HKLM\System\CurrentControlSet\Services\NetBT\Parameters" /v "AllowNBToInternet" /t REG_DWORD /d 1 /f

  またはPowerShell

  Set-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Services\NetBT\Parameters -Name AllowNBToInternet -Type DWord -Value 1

• パラメータが作成されたら、サーバーを再起動します。

その結果、サーバーは他のサブネットのNETBIOSクライアントで利用できるようになります。