SMBv1 wyłączony – brak zgodności ze starszymi urządzeniami

SMBv1 wyłączony (brak zgodności ze starszymi urządzeniami) ogólnie wymaga aktualizacji firmware urządzenia zamiast przywracania niebezpiecznego protokołu.

Czym jest wyłączenie SMBv1 i skąd bierze się brak zgodności ze starszymi urządzeniami

SMBv1 to pierwsza generacja protokołu Server Message Block, wykorzystywanego w lokalnych sieciach do udostępniania folderów, plików, drukarek oraz innych zasobów. Przez wiele lat była to domyślna metoda komunikacji między komputerami z systemem Windows, starszymi urządzeniami wielofunkcyjnymi, niektórymi dyskami sieciowymi i prostymi magazynami danych podłączanymi do routera. Z czasem ujawniono jednak poważne słabości tej wersji protokołu, dlatego w nowszych systemach operacyjnych SMBv1 jest wyłączany, usuwany z domyślnej konfiguracji albo traktowany jako funkcja opcjonalna.

Komunikat „SMBv1 wyłączony” nie oznacza zazwyczaj awarii samej sieci. Informuje, że urządzenie lub program próbuje nawiązać połączenie wyłącznie przy użyciu starego sposobu komunikacji, a komputer odrzuca taką próbę ze względów bezpieczeństwa. W efekcie może nie być widoczny folder sieciowy, nie uda się otworzyć zasobu po wpisaniu jego adresu, a urządzenie może zniknąć z listy dostępnych miejsc mimo prawidłowego połączenia przewodowego lub bezprzewodowego.

Problem dotyczy przede wszystkim sytuacji, w których starszy sprzęt nie obsługuje nowszych wersji SMB, a jednocześnie nie otrzymał aktualizacji oprogramowania układowego. W takim przypadku przywrócenie SMBv1 może chwilowo przywrócić dostęp, lecz zwiększa powierzchnię podatną na ataki i utrudnia utrzymanie bezpiecznej konfiguracji. Z tego powodu właściwym celem jest ustalenie, czy urządzenie można zaktualizować albo zastąpić rozwiązaniem obsługującym współczesne mechanizmy udostępniania.

Kontekst techniczny i porównanie z nowszymi wersjami SMB - SMBv1 wyłączony – brak zgodności ze starszymi urządzeniami

Nowsze generacje protokołu SMB wprowadzają usprawnienia dotyczące uwierzytelniania, integralności transmisji, obsługi większej liczby funkcji oraz ograniczania niektórych metod wykorzystywanych dawniej przez szkodliwe oprogramowanie. W praktyce system może jednocześnie obsługiwać nowoczesne połączenia SMB i odrzucać negocjację rozpoczętą przez urządzenie, które zna wyłącznie SMBv1. Dlatego sam fakt, że dwa urządzenia znajdują się w tej samej podsieci, nie gwarantuje możliwości wymiany plików.

Warto odróżnić kilka warstw problemu. Po pierwsze, urządzenie musi odpowiadać w sieci i otrzymać prawidłowy adres. Po drugie, musi udostępniać zasób w sposób rozpoznawalny dla systemu. Po trzecie, komputer musi mieć możliwość przeprowadzenia negocjacji protokołu, uwierzytelnienia użytkownika i uzyskania dostępu do wskazanego folderu. Błąd związany z SMBv1 dotyczy najczęściej trzeciego etapu, ale podobny objaw może powodować także zapora sieciowa, nieprawidłowe uprawnienie, wyłączone wykrywanie sieci, błędna nazwa urządzenia lub zmieniony adres IP.

Przed podjęciem decyzji o włączeniu starego protokołu powinno się sprawdzić dostępność aktualizacji firmware, nowszego sterownika oraz dokumentacji producenta. Czasem wystarcza aktualizacja systemu urządzenia, zmiana ustawień udostępniania albo utworzenie nowego konta z odpowiednimi uprawnieniami. W innych przypadkach możliwe jest użycie alternatywnego sposobu transferu danych, na przykład udostępniania przez panel urządzenia, bezpiecznego serwera plików lub nośnika lokalnego. Dobór rozwiązania zależy od rodzaju sprzętu, systemu operacyjnego i tego, czy zasób ma być dostępny tylko w domu, czy również dla kilku użytkowników.

Wyłączenie SMBv1 należy traktować jako element ochrony, a nie usterkę wymagającą automatycznego cofnięcia zabezpieczeń. Jeżeli włączenie tej funkcji jest rozważane wyłącznie na czas testu, dostęp powinien być ograniczony do zaufanej sieci, a po zakończeniu sprawdzania protokół powinien zostać ponownie wyłączony. Trwałe pozostawienie SMBv1 może prowadzić do niepotrzebnego narażenia urządzenia i komputerów korzystających z tej samej sieci.

Typowe problemy, błędy i objawy niezgodności - SMBv1 wyłączony – brak zgodności ze starszymi urządzeniami

Najczęściej zgłaszanym objawem jest brak urządzenia na liście komputerów lub zasobów sieciowych. Może pojawić się również informacja, że system nie może odnaleźć ścieżki sieciowej, nie rozpoznaje nazwy urządzenia albo nie ma dostępu do wskazanego folderu. W przypadku starszych drukarek i skanerów problem bywa widoczny dopiero podczas próby skanowania do folderu, drukowania z określonego programu lub zapisywania pliku na dysku sieciowym.

Inny wariant polega na tym, że urządzenie jest widoczne, lecz otwarcie jego zasobu kończy się komunikatem o nieobsługiwanej funkcji. Taka sytuacja może wystąpić po aktualizacji systemu, zmianie komputera, przywróceniu ustawień routera albo podłączeniu starego dysku sieciowego do nowej infrastruktury. Niekiedy użytkownik może wejść na stronę administracyjną urządzenia, ale nie może otworzyć udostępnionego folderu. Wskazuje to, że łączność IP działa, natomiast mechanizm udostępniania plików wymaga dalszej weryfikacji.

Przy diagnozowaniu sprawdzane są między innymi: odpowiedź urządzenia w sieci, poprawność adresu IP, nazwa hosta, dostępność portów wykorzystywanych przez usługę, reguły zapory, aktywność usług systemowych, sposób uwierzytelniania oraz uprawnienia do konkretnego folderu. Analizowane jest także to, czy problem występuje na jednym komputerze, czy na wszystkich urządzeniach w sieci. Jeżeli tylko jeden komputer zgłasza błąd, przyczyną może być jego konfiguracja. Jeżeli niedostępny jest cały zasób, większe znaczenie ma konfiguracja urządzenia udostępniającego lub routera.

Nie powinno się zakładać, że każdy komunikat o SMBv1 oznacza konieczność włączenia tej funkcji. Czasem podobny efekt powoduje wyłączona usługa wykrywania sieci, niezgodna metoda logowania, puste hasło odrzucane przez system, ograniczenie dostępu gościa albo niepoprawna ścieżka do udziału. Pomocne bywa ręczne wskazanie adresu urządzenia i nazwy udziału, ale takie działanie nie zastąpi sprawdzenia zabezpieczeń ani aktualności firmware.

Jeżeli aktualizacja nie jest dostępna, należy ocenić znaczenie urządzenia i możliwość jego wymiany. Stary zasób używany do okazjonalnego odczytu danych może zostać odłączony od głównej sieci i obsługiwany w kontrolowanym środowisku testowym. Nie jest to jednak uniwersalna metoda dla sprzętu przechowującego ważne dokumenty lub stale dostępnego z wielu komputerów. W takich sytuacjach lepiej zaplanować migrację danych i zastąpienie rozwiązania zgodnego wyłącznie z SMBv1.

Kiedy warto poprosić o ocenę stanu sprzętu - SMBv1 wyłączony – brak zgodności ze starszymi urządzeniami

Do serwisu warto zgłosić się wtedy, gdy po wyłączeniu SMBv1 przestał działać dostęp do folderu, drukarki lub dysku sieciowego, a nie jest jasne, czy winne są ustawienia komputera, urządzenia, routera czy samego protokołu. Pomoc może być szczególnie przydatna po aktualizacji systemu, wymianie routera, zmianie hasła użytkownika albo podłączeniu starszego sprzętu do nowej sieci. W ramach sprawdzenia można ustalić, czy urządzenie da się bezpiecznie zaktualizować, skonfigurować przy użyciu nowszej wersji SMB lub zastąpić innym sposobem udostępniania plików.

Warszawskie Pogotowie Komputerowe 24/7 zajmuje się analizą problemów z komputerami, sieciami lokalnymi i urządzeniami korzystającymi z zasobów udostępnionych. Przy zgłoszeniu warto opisać, co dokładnie przestało działać, jaki system operacyjny jest używany, jaki sprzęt udostępnia pliki oraz czy błąd pojawił się po aktualizacji. Takie informacje ułatwiają rozróżnienie niezgodności SMBv1 od problemu z adresem IP, zaporą, uprawnieniami lub usługą sieciową.

W przypadku laptopa można skorzystać z usługi określanej jako darmowa diagnoza LAPTOPA, co pozwala rozpocząć sprawdzanie konfiguracji bez pochopnego przywracania przestarzałego protokołu. Podczas analizy powinno się zachować istniejące dane, zweryfikować kopie zapasowe i unikać zmian, które otwierają dostęp do udziału dla nieautoryzowanych użytkowników. Jeżeli problem dotyczy komputera stacjonarnego, urządzenia sieciowego albo kilku elementów infrastruktury jednocześnie, zakres czynności może wymagać osobnego ustalenia na podstawie objawów i sposobu wykorzystywania zasobu.

Najbezpieczniejszym rozwiązaniem jest przywrócenie zgodności przez aktualizację urządzenia, zmianę konfiguracji udostępniania lub migrację danych, a nie przez stałe włączanie SMBv1. Dzięki temu można odzyskać dostęp do potrzebnych plików albo drukarki bez rezygnowania z zabezpieczeń, które skłoniły producentów systemów do wyłączenia tej wersji protokołu.