Chúng ta vừa học cách xử lý update MS16-072 phá vỡ cơ chế GPO quen thuộc, và xuất hiện vấn đề mới với bulletin bảo mật khác phát hành tháng 6 — MS16-077 và update KB3161949. Sau khi update này được cài đặt trên hệ thống server, client từ subnet khác không thể kết nối đến share dùng Netbios over TCP/IP.
Trước hết, vấn đề xuất hiện với network scanner, quét tài liệu và lưu bản sao vào network share (SMB) trên server. Tài liệu không còn được lưu, và scanner trả về lỗi: Cannot connect to server. Cũng xuất hiện một số vấn đề với kết nối client Samba đến domain controller (lỗi Access Denied hoặc No Logon Server Available). Điều thú vị nhất là vấn đề truy cập share Windows chỉ xuất hiện trên client nằm ở subnet khác với server.
Sau khi xóa update KB3165191, không còn vấn đề truy cập.
Hãy xem update KB3161949 làm gì. Theo mô tả của nó, update hạn chế kết nối NETBIOS bên ngoài subnet cục bộ. Do đó, các tính năng mạng phụ thuộc NETBIOS (như SMB over NETBIOS, cổng 137-139) sẽ không hoạt động cho client của subnet khác. Giao thức SMB thông thường (cổng 445) khả dụng ở cả hai chiều.
Để thay đổi hành vi này, bạn sẽ phải làm một trong các việc sau:
- Gỡ bỏ update bảo mật KB3161949 (không phải cách tốt nhất)
- Tạo tham số Dword tên AllowNBToInternet với giá trị 1 (sau khi cài update nó được đặt thành 0) trong nhánh registry HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters trên server của bạn. Cũng có thể thực hiện hành động này qua cmd:
reg add "HKLM\System\CurrentControlSet\Services\NetBT\Parameters" /v "AllowNBToInternet" /t REG_DWORD /d 1 /f
hoặc PowerShell:
Set-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Services\NetBT\Parameters -Name AllowNBToInternet -Type DWord -Value 1 - Sau khi tạo tham số, khởi động lại server.
Kết quả, server sẽ trở nên khả dụng cho client NETBIOS từ subnet khác.