SMB 3.0におけるトラフィック暗号化の設定方法と活用ガイド

Windows Server 2012 / Windows 8で導入されたServer Message Block（SMB）3.0プロトコルでは、SMBファイルサーバーとクライアント間でネットワーク経由に転送されるデータを暗号化できるようになりました。この暗号化はクライアント側からは透過的に動作し、VPN、IPSec、PKIインフラの構築とは異なり、特別な組織的な対応や追加リソースをほとんど必要としません。また、最新バージョンのSMB 3.1.1（Windows 10およびWindows Server 2016で採用）では、AES 128 GCM方式の暗号化が使用され、パフォーマンスが大幅に向上しています。さらに、データの自動署名と検証も行われます。

SMB暗号化の前提条件：プロトコルバージョンのネゴシエーション

ここからは、Windows Server 2012におけるSMB暗号化の実装について詳しく見ていきましょう。まず理解しておくべき重要な点として、クライアントとサーバーが異なるSMBバージョンをサポートしている場合、接続確立時には双方がサポートする最も新しいSMBバージョンが選択されます。つまり、Windows 8 / Server 2012より前のバージョンのWindowsを実行しているクライアントは、SMB暗号化が有効になったネットワークフォルダーにアクセスできません。

ファイルサーバー上では、クライアントが使用しているSMBプロトコルのバージョンを確認できます（使用中のプロトコルバージョンはDialect列に表示されます）：

Get-SmbConnection

サーバーマネージャーからSMB暗号化を有効にする

デフォルトでは、Windows Server 2012ファイルサーバーのSMBトラフィック暗号化は無効になっています。暗号化は、個々のSMB共有ごと、またはサーバーへのすべてのSMB接続に対して有効化できます。

特定のフォルダーに対して暗号化を有効にする場合は、サーバー上でサーバーマネージャーコンソールを開き、ファイルサービスと記憶域サービス → 共有に移動します。対象の共有フォルダーを選択してプロパティを開き、設定タブで[データ アクセスの暗号化]を有効にして、変更を保存します。

PowerShellでSMB暗号化を有効にする

PowerShellコンソールからでもSMB暗号化を有効にできます。特定の共有のみに暗号化を適用するには、次のコマンドを使用します：

Set-SmbShare –Name Install -EncryptData $true

サーバーへのすべてのSMB接続（共有フォルダーや管理用共有を含む）に対して一括で有効にするには：

Set-SmbServerConfiguration –EncryptData $true

レガシークライアントとの互換性に関する注意点

SMB共有の暗号化を有効にすると、SMB 3.0をサポートしていないレガシークライアント（Windows 8以前）はその共有に接続できなくなります。これらの古いWindowsクライアントに一時的にアクセスを許可したい場合（恒久的な運用であれば暗号化を有効にする意味がないため、基本的には暫定措置です）、暗号化されていない接続を許可するように設定できます：

Set-SmbServerConfiguration –RejectUnencryptedAccess $false

ヒント： このモードを有効にすると、接続してくるクライアントが安全性の低い旧バージョンのSMB 1.0にフォールバックする可能性があります（Windows Server 2012 R2では、SMB 1.0はすでにデフォルトで無効化されています）。サーバーを部分的にでも保護するために、SMB 1.0のサポートを無効にしておくことをお勧めします：

Set-SmbServerConfiguration –EnableSMB1Protocol $false