文章編號: 2345886 - 上次校閱: 2010年10月21日 - 版次: 1.0

說明在 Server 服務中實作「驗證延伸保護」的更新

系統提示本文適用於您使用的作業系統之外的作業系統。與您不相關的文章內容已停用。

簡介

本文說明在 Server 服務中實作「驗證延伸保護」的非安全性更新。

當「驗證延伸保護」啟用時，驗證要求會與用戶端嘗試連線之伺服器的「服務主要名稱」(SPN) 繫結。

若要使用此更新所隨附的功能，您的電腦必須安裝 Windows 7、Windows 2008 R2 或更新 968389。如需詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文章：

968389? (http://support.microsoft.com/kb/968389/ ) 驗證延伸保護

回此頁最上方

?考

此更新的其他相關資訊

何謂「延伸保護」？

此安全性更新包含深入防禦修正程式，可讓 SMB 伺服器選擇加入延伸保護。根據預設，此功能是停用的。請仔細檢閱本文章和下列資訊安全諮詢，以確保您瞭解這些變更的作用。該內容將詳細說明「延伸保護」的相關資訊：
973811? (http://support.microsoft.com/kb/973811/ ) Microsoft 資訊安全諮詢：驗證延伸保護
如何啟用電腦的「延伸保護」？

在啟用「延伸保護」前，請確定在用戶端與伺服器電腦上已安裝下列更新：
968389? (http://support.microsoft.com/kb/968389/ ) 驗證延伸保護
此外，若要啟用 Server 服務中的「驗證延伸保護」，請確認伺服器已安裝此更新。

注意事項
- 啟用「延伸保護」的用戶端設定為整個系統的設定。此設定啟用時，會啟用用戶端電腦上所有元件的「延伸保護」。
- 在伺服器上，您必須分別為每個元件啟用「延伸保護」。請確認已針對「延伸保護」更新特定伺服器的所有用戶端元件，您才能在伺服器上啟用「延伸保護」，否則可能會發生驗證失敗。兩端皆安裝更新之後，您必須啟用用戶端與伺服器電腦上的「延伸保護」。
若要啟用您電腦上的「延伸保護」，必須進行下列變更。
重要這個章節、方法或工作包含的步驟會告訴您要如何修改登錄。然而，如果登錄修改錯誤，可能會發生嚴重的問題。因此，請確定小心執行下列步驟。為加強保護，修改登錄之前，請務必將它備份起來。如果發生問題，您就可以還原登錄。如需有關如何備份和還原登錄的詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：
322756? (http://support.microsoft.com/kb/322756/ ) 如何在 Windows 中備份及還原登錄
- 如果電腦是 SMB 用戶端：
  
  確認下列登錄子機碼中有登錄值 [SuppressExtendedProtection] 與 [LmCompatibilityLevel]：
  HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA
  如果這些登錄值不存在，請遵循下列步驟：
  1. 啟動「登錄編輯程式」。
  2. 找出並按一下下列登錄子機碼：
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA
  3. 在 [編輯] 功能表上，指向 [新增]，然後按一下 [DWORD 值]。
  4. 輸入 SuppressExtendedProtection，然後按下 ENTER。
  5. 在 [編輯] 功能表上，按一下 [修改]。
  6. 輸入 0，然後按一下 [確定]。
  7. 在 [編輯] 功能表上，指向 [新增]，然後按一下 [DWORD 值]。
  8. 輸入 LmCompatibilityLevel，然後按下 ENTER。
  9. 在 [編輯] 功能表上，按一下 [修改]。
    注意由於此步驟會變更 NTLM 驗證需求，因此在變更 NTLM 驗證需求之前，請確認您熟悉此行為。如需詳細資訊，請參閱「Microsoft 知識庫」中的文章 239869 (http://support.microsoft.com/kb/239869/)：如何啟用 NTLM 2 驗證。
  10. 輸入 3，然後按一下 [確定]。
  11. 結束「登錄編輯程式」。
- 在 SMB 伺服器上：
  
  在設定任何強化模式之前，請參閱下列 MSDN 文章：
  http://msdn.microsoft.com/zh-tw/library/dd767318.aspx (http://msdn.microsoft.com/zh-tw/library/dd767318.aspx)
  。若要在 SMB 伺服器上設定強化模式，請依照下列步驟執行：
  1. 啟動「登錄編輯程式」。
  2. 找出並按一下下列登錄子機碼：
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
  3. 在 [編輯] 功能表上，指向 [新增]，然後按一下 [DWORD 值]。
  4. 輸入 SmbServerNameHardeningLevel，然後按 ENTER。
  5. 在 [編輯] 功能表上，按一下 [修改]。
  6. 根據您的 SMB 伺服器需求使用下列其中一個值來設定登錄值，然後按一下 [確定]：
    - 傳統：允許所有類型的用戶端。將 SmbServerNameHardeningLevel 設為 0。
    - 部分 (傳統 + EP)：允許未傳送服務主體名稱 (SPN) 的用戶端，或允許傳送正確 SPN 的用戶端。請將 SmbServerNameHardeningLevel 設為 1。
    - 完全強化 (僅 EP)：允許僅傳送正確 SPN 的用戶端。將 SmbServerNameHardeningLevel 設為 2。
  7. 結束「登錄編輯程式」。
  在 Windows XP、Windows Server 2003、Windows Vista 及 Windows 2008 平台上，此設定必須等到重新啟動電腦之後才會生效。
安裝此套件時

SmbServerNameHardeningLevel 的預設值為 0。您必須手動建立此機碼，並依據所選的強化模式提供適當的值。若要新增登錄值，請依照本文稍早在＜如何啟用電腦的延伸保護？＞一節中所列的步驟進行。
- SMB 伺服器上預設允許的 SPN：
  - 根據預設，SMB 伺服器允許下列的名稱與 IP 清單：
    - 「localhost」為英文字串
    - 您伺服器或電腦上所有的 IP (IPv4 與 IPv6) 變化型式
    - 127.0.0.1 & ::1
    - NetBIOS 格式的主機名稱
    - FQDN 格式的主機名稱
    - (僅限容錯移轉叢集節點) NetBIOS 格式的叢集主機名稱
    - (僅限容錯移轉叢集節點) FQDN 格式的叢集主機名稱
  - 如果系統管理員允許其他 SPN，則可以新增其他名稱。這些名稱將不會從 NetBIOS 轉換為 FQDN，也不會從 FQDN 轉換為 NetBIOS。
    
    若要新增其他名稱，請依照下列步驟執行：
    1. 啟動「登錄編輯程式」。
    2. 找出並按一下下列登錄子機碼：
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
    3. 在 [編輯] 功能表上，指向 [新增]，再按一下 [多字串值]。
    4. 輸入 SrvAllowedServerNames，然後按 ENTER。
    5. 在 [編輯] 功能表上，按一下 [修改]。
    6. 新增 FQDN 格式的主機名稱、NetBIOS 格式的主機名稱，或您希望以 SPN 形式允許的 IP 位址，然後按一下 [確定]。
    7. 結束「登錄編輯程式」。
  - 在 Windows Server 2003 上 (僅限)，伺服器會輪詢及列舉 IPV6 位址。
    
    如果伺服器已強化，電腦 IPv6 位址變更及 SMB 伺服器接受新 IPv6 位址之連線的時間會有稍許延遲。此延遲的上限是受到輪詢間隔所控制的，亦即 IPv6Polltime 登錄值。如果此登錄值不存在，系統會假設預設值為 5 分鐘。
    
    若要設定 IPv6 輪詢間隔，請依照下列步驟執行：
    1. 啟動「登錄編輯程式」。
    2. 找出並按一下下列登錄子機碼：
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
    3. 在 [編輯] 功能表上，指向 [新增]，然後按一下 [DWORD 值]。
    4. 輸入 IPv6Polltime，然後按下 ENTER。
    5. 在 [編輯] 功能表上，按一下 [修改]。
    6. 將登錄值設定為需要的逾時時間 (以分鐘為單位)，然後按一下 [確定]。
    7. 結束「登錄編輯程式」。
    當您透過 IPv4 位址、NetBIOS 主機名稱或 FQDN 主機名稱存取 SMB 伺服器時，此行為並不會發生任何作用。

回此頁最上方

SPN 稽核

在 Windows 7 和 Windows Server 2008 R2 平台上，SPN 接受和 SPN 拒絕事件乃是根據各伺服器的物件存取稽核原則 (或進階稽核原則設定中的物件存取\稽核檔案共用) 產生於安全性事件日誌中。根據預設，在這些平台上，成功事件和失敗事件的稽核為停用。

SPN 稽核項目的事件 ID 為 5168，其格式類似於以下範例：
```
Spn check for SMB/SMB2 fails.Subject:Security ID:<Sid> 帳戶名稱：<帳戶> 帳戶網域：<網域> 登入 ID:<LUID> SPN:SPN 名稱：<SPN> 錯誤代碼：<狀態> 伺服器資訊：伺服器名稱：<偵測名稱清單> 設定名稱：<設定名稱清單> IP 位址：<所有電腦 IP 位址清單>
```
在 Windows Vista、Windows Server 2008、Windows XP 及 Windows Server 2003 平台上，不論在伺服器中設定的稽核原則為何，系統只會記錄失敗事件。

在這些平台上，如果強化伺服器上的驗證由於 SPN 遭拒絕而失敗，系統會在系統記錄檔中記錄一則含事件 ID 2028 的警告，其格式如下：
```
SMB v 驗證失敗(<通訊協定編號>)。伺服器以強化層級 (<強化層級>) 驗證 SPN 時偵測到無效或 NULL 的 SPN (<SPN>)
```

疑難排解

事件日誌中的「NULL」SPN 可能代表用戶端未安裝知識庫文章 973811 所述的套件。如果已將 973811 所述的套件安裝在用戶端中，可能是 SuppressExtendedProtection 登錄值的設定不正確所致。
如果強化後電腦無法藉由使用「預期的」名稱 (如別名) 來加以存取，請確認該別名存在 SrvAllowedServerNames 登錄值中。請參閱＜安裝此套件時＞一節以取得如何進行這項操作的相關資訊。

回此頁最上方

不支援的案例

您無法使用別名來存取 SMB 伺服器。您必須將別名新增至 SrvAllowedServerNames 登錄值中。請參閱＜安裝此套件時＞一節以取得如何進行這項操作的相關資訊。
在啟用簡易檔案共用的 Windows XP 電腦中，一旦將 SmbServerNameHardeningLevel 變更為 2 之後，檔案便無法再次存取。
注意根據預設，在所有未加入網域的 Windows XP 系統中，簡易檔案共用會啟用。
若要解決這個問題，遵循適當的步驟：
1. 將 SmbServerNameHardeningLevel 設為 0 或 1，以繼續允許 SMB 伺服器的匿名連線。
2. 僅限 Windows XP Professional 和 Windows XP 64 位元版本
  
  停用簡易檔案共用以要求檔案存取驗證。如需在 Windows XP Professional 中停用簡易檔案共用的詳細資訊，請按一下下面的文件編號，檢視「Microsoft 知識庫」中的文件：
  307874? (http://support.microsoft.com/kb/307874/ ) 如何在 Windows XP 中停用簡易檔案共用，以及設定共用資料夾權限
以 LocalService 帳戶或其他帳戶執行的服務在嘗試和 SmbServerNameHardeningLevel 設為 2 (完全強化) 的伺服器建立匿名連線時會失敗。

若要解決這個問題，請依照適當步驟：
- 在雙方電腦均已加入相同網域或信任網域的案例中，請以 NetworkService 帳戶執行受影響的服務，以網域使用者帳戶執行受影響的應用程式。
- 對於非網域案例，請將伺服器的 SmbServerNameHardeningLevel 設為 0 或 1。
不支援使用含範圍識別碼/區域識別碼 (如連結本機位址) 之 IPv6 位址存取強化的 SMB 伺服器共用。
注意將 IPv6 當做傳輸，使用 SMB 伺服器之 FQDN 主機名稱或 NetBIOS 主機名稱來存取強化 SMB 伺服器並不受到影響。
若要解決這個問題，請將不含範圍識別碼/區域識別碼 (如 "%xx" 部分) 的對應 IPv6 位址新增至 SrvAllowedServerNames 登錄機碼中。請參閱＜安裝此套件時＞一節以取得如何進行這項操作的相關資訊。
不支援從不支援延伸保護/SPN 的 SMB 用戶端實作存取強化的 SMB 伺服器。
Windows 2000 電腦無法存取 SmbServerNameHardeningLevel 設為 1 或 2 的 SMB 伺服器。

Windows 2000 用戶端在使用 Kerberos 通訊協定驗證 SMB 伺服器時，會傳送不正確的服務主要名稱 (SPN)。若要解決這個問題，對於所有主機名稱為 NetBIOS 格式的伺服器、所有主機名稱為 FQDN 格式的伺服器，以及 IP 位址必須可供 Windows 2000 電腦連線的伺服器，請以 HOST/別名格式將項目新增至伺服器的 SrvAllowedServerNames 清單中。請參閱＜安裝此套件時＞一節以取得如何進行這項操作的相關資訊。
舊版用戶端 (如 Windows NT 4.0 和較舊版本) 無法存取 SmbServerNameHardeningLevel 設為 1 或 2 的 SMB 伺服器。

為了保護 SMB 伺服器抵禦認證轉送攻擊，SMB 用戶端必須支援 GSS 驗證 (RFC2743 (http://go.microsoft.com/fwlink/?LinkId=90378) ) 才能存取 SmbServerNameHardeningLevel 設為 1 或 2 的 SMB 伺服器 (Windows 2000 和更新版本的 Windows 可經由 SMB 支援 GSS 驗證)。

對於必須供不支援 GSS 驗證之用戶端存取的 SMB 伺服器，請務必將 SmbServerNameHardeningLevel 設為 0 (預設值)。

回此頁最上方

注意：本文屬於「快速發佈」文章，係由 Microsoft 技術支援或組織內部直接建立。本文所包含的資訊是為了回應新問題而依現況提供。因此為了迅速對外發佈，文章內容可能含有印刷錯誤，而且可能會在不另行通知的情況下進行修改。如需其他考量事項，請參閱使用規定 (http://go.microsoft.com/fwlink/?LinkId=151500) 。

回此頁最上方

這篇文章中的資訊適用於:

Windows 7 Enterprise
Windows 7 Home Basic
Windows 7 Home Premium
Windows 7 Professional
Windows 7 Ultimate
Windows Server 2008 R2 Standard
Windows Server 2008 R2 Enterprise
Windows Server 2008 R2 Datacenter
Windows Server 2008 Service Pack 2?應用於:

Windows Server 2008 for Itanium-Based Systems
Windows Server 2008 Datacenter
Windows Server 2008 Enterprise
Windows Server 2008 Standard
Windows Web Server 2008

Windows Server 2008 for Itanium-Based Systems
Windows Server 2008 Datacenter
Windows Server 2008 Enterprise
Windows Server 2008 Standard
Windows Web Server 2008
Windows Vista Service Pack 2?應用於:

Windows Vista 商用入門版
Windows Vista 商用進階版
Windows Vista 家用入門版
Windows Vista 家用進階版
Windows Vista Starter
Windows Vista 旗艦版
Windows Vista Enterprise 64-bit edition
Windows Vista Home Basic 64-bit Edition
Windows Vista Home Premium 64-bit edition
Windows Vista Ultimate 64-bit Edition
Windows Vista Business 64-bit Edition

Windows Vista Service Pack 1?應用於:

Windows Vista 商用入門版
Windows Vista 商用進階版
Windows Vista 家用入門版
Windows Vista 家用進階版
Windows Vista Starter
Windows Vista 旗艦版
Windows Vista Enterprise 64-bit edition
Windows Vista Home Basic 64-bit Edition
Windows Vista Home Premium 64-bit edition
Windows Vista Ultimate 64-bit Edition
Windows Vista Business 64-bit Edition

Microsoft Windows Server 2003 Service Pack 2?應用於:

Microsoft Windows Server 2003, Standard Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
Microsoft Windows Server 2003, Web Edition
Microsoft Windows Server 2003, Datacenter x64 Edition
Microsoft Windows Server 2003, Enterprise x64 Edition
Microsoft Windows Server 2003, Standard x64 Edition
Microsoft Windows XP Professional x64 Edition
Microsoft Windows Server 2003, Datacenter Edition for Itanium-Based Systems
Microsoft Windows Server 2003, Enterprise Edition for Itanium-based Systems

Microsoft Windows XP Service Pack 3?應用於:

Microsoft Windows XP Home Edition (家用版)
Microsoft Windows XP Professional

回此頁最上方

atdownload kbbug kbexpertiseinter kbfix kbsecbulletin kbsecurity kbsecvulnerability KB2345886

回此頁最上方

Microsoft及(或)其供應商不就任何在本伺服器上發表的文字資料及其相關圖表資訊的恰當性作任何承諾。所有文字資料及其相關圖表均以「現狀」供應，不負任何擔保責任。Microsoft及(或)其供應商謹此聲明，不負任何對與此資訊有關之擔保責任，包括關於適售性、適用於某一特定用途、權利或不侵權的明示或默示擔保責任。Microsoft及(或)其供應商無論如何不對因或與使用本伺服器上資訊或與資訊的實行有關而引起的契約、過失或其他侵權行為之訴訟中的特別的、間接的、衍生性的損害或任何因使用而喪失所導致的之損害、資料或利潤負任何責任。

This site in other countries/regions:

說明在 Server 服務中實作「驗證延伸保護」的更新

在此頁中

簡介

其他相關資訊

更新資訊

Windows XP 和 Windows Server 2003 檔案資訊注意事項

關於所有支援的 Windows XP SP3 之 x86 版本

關於所有支援的 Windows Server 2003 SP2 之 x86 版本

關於所有支援的 Windows Server 2003 SP2 之 x64 版本

關於所有支援的 Windows Server 2003 SP2 之 IA-64 版本

Windows Vista 和 Windows Server 2008 檔案資訊注意事項

關於所有支援的 Windows Server 2008 和 Windows Vista 之 x86 版本

關於所有支援的 Windows Server 2008 和 Windows Vista 之 x64 版本

關於所有支援的 Windows Server 2008 之 IA-64 版本

Windows Vista 和 Windows Server 2008 的其他檔案資訊

所有支援的 x86 版本之 Windows Vista 和 Windows Server 2008 的其他檔案

所有 Windows Vista 和 Windows Server 2008 之 x64 支援版本的其他檔案

所有支援的 Windows Server 2008 之 IA-64 版本的其他檔案

Windows 7 和 Windows Server 2008 R2 檔案資訊注意事項

關於所有支援的 Windows 7 之 x86 版本

關於 Windows 7 和 Windows Server 2008 R2 的所有 x64 支援版本

關於所有支援的 Windows Server 2008 R2 之 IA-64 版本

Windows 7 和 Windows Server 2008 R2 的其他檔案資訊

所有支援的 x86 版本之 Windows 7 的其他檔案

所有 Windows 7 和 Windows Server 2008 R2 之 x64 支援版本的其他檔案

所有支援的 Windows Server 2008 R2 之 IA-64 版本的其他檔案

?考

此更新的其他相關資訊

SPN 稽核

疑難排解

不支援的案例

這篇文章中的資訊適用於:

關鍵字：?

其他支援網站

社群

文章翻譯