เราเพิ่งเรียนรู้ว่าต้องทำอย่างไรกับอัปเดต MS16-072 ที่ทำลายกลไก GPO ที่คุ้นเคย และปัญหาใหม่เกิดขึ้นกับ Security Bulletin อีกตัวที่เผยแพร่ในเดือนมิถุนายน — MS16-077 และอัปเดต KB3161949 หลังจากติดตั้งอัปเดตนี้บนระบบเซิร์ฟเวอร์ ไคลเอนต์จาก Subnet อื่นไม่สามารถเชื่อมต่อกับ Share โดยใช้ Netbios over TCP/IP ได้
ปัญหาเกิดขึ้นก่อนกับ Network Scanners ที่สแกนเอกสารและบันทึกสำเนาลงใน Network Share (SMB) บนเซิร์ฟเวอร์ เอกสารไม่ถูกบันทึกอีกต่อไป และ Scanner ส่งคืน Error: Cannot connect to server มีปัญหาการเชื่อมต่อของ Samba Clients กับ Domain Controllers ด้วย (Error Access Denied หรือ No Logon Server Available) สิ่งน่าสนใจที่สุดคือ ปัญหาการเข้าถึง Windows Shares เกิดขึ้นเฉพาะกับ Clients ที่อยู่ใน Subnet อื่นจากเซิร์ฟเวอร์
หลังจากลบอัปเดต KB3165191 ไปแล้ว ไม่มีปัญหาการเข้าถึง
มา看看ว่า อัปเดต KB3161949 ทำอะไร ตามคำอธิบายของมัน อัปเดตนี้จำกัดการเชื่อมต่อ NETBIOS นอก Local Subnet ดังนั้น ฟีเจอร์เครือข่ายที่ขึ้นอยู่กับ NETBIOS (เช่น SMB over NETBIOS, พอร์ต 137-139) จะไม่ทำงานสำหรับ Clients ของ Subnet อื่น SMB Protocol ทั่วไป (พอร์ต 445) พร้อมใช้งานในทั้งสองทิศทาง
เพื่อเปลี่ยนพฤติกรรมนี้ คุณจะต้องทำอย่างใดอย่างหนึ่งต่อไปนี้:
- Uninstall Security Update KB3161949 (ไม่ใช่วิธีที่ดีที่สุด)
- สร้างพารามิเตอร์ Dword ชื่อ AllowNBToInternet และค่า 1 (หลังจากติดตั้งอัปเดต ตั้งเป็น 0) ใน HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters สาขาของ Registry บนเซิร์ฟเวอร์ของคุณ
นอกจากนี้ คุณสามารถทำการนี้ผ่าน cmd ได้reg add "HKLM\System\CurrentControlSet\Services\NetBT\Parameters" /v "AllowNBToInternet" /t REG_DWORD /d 1 /fหรือ PowerShell
Set-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Services\NetBT\Parameters -Name AllowNBToInternet -Type DWord -Value 1 - หลังจากสร้างพารามิเตอร์แล้ว ให้รีสตาร์ทเซิร์ฟเวอร์
ผลลัพธ์คือ เซิร์ฟเวอร์จะสามารถเข้าถึงได้จาก NETBIOS Clients จาก Subnet อื่น
