No puedo acceder a carpetas compartidas en NAS en Windows 11 24H2

Microsoft anunció recientemente que la firma de paquetes SMB obligatoria para el acceso a carpetas de red compartidas estará habilitada de forma predeterminada en Windows 11 24H2. Esto puede causar problemas al acceder a carpetas compartidas en dispositivos NAS (almacenamiento conectado a la red) donde la firma SMB no es compatible o está deshabilitada de forma predeterminada.

SMB Signing es una de las funciones de seguridad del protocolo de intercambio de archivos SMB/CIFS. Si esta opción está habilitada, se agregará una firma digital al encabezado de cada mensaje SMB. Esta firma permite garantizar que el contenido del mensaje no ha sido modificado y proporciona autenticación al verificar la identidad del servidor y del cliente. Esto ayuda a prevenir ataques de intermediarios SMB y de retransmisión NTLM. Anteriormente, la firma SMB solo era necesaria para acceder a los recursos compartidos SYSVOL y NETLOGON en controladores de dominio AD.

Se requiere la firma SMB para todas las conexiones SMB salientes a partir de Windows 11 24H2 (el acceso a un NAS de terceros con SMB en Windows 11 24H2 puede fallar). Si el servidor SMB no admite este modo, el cliente de Windows rechazará la conexión. Otras versiones compatibles de Windows recibirán este cambio más adelante.

¡Importante! La implementación de la firma SMB obligatoria dará como resultado un uso adicional de RAM y CPU tanto en el cliente como en el servidor. También reduce la velocidad de transferencia de archivos a través de la red.

Si el dispositivo remoto no admite la firma SMB, se producirán errores al acceder a una carpeta compartida en ese dispositivo:

```
0xc000a000
```
```
 -1073700864
```
```
STATUS_INVALID_SIGNATURE
```
```
The cryptographic signature is invalid
```

La configuración predeterminada del servidor SMB de Windows (y Samba) supone que la firma de paquetes SMB sólo se utiliza cuando lo solicita una de las partes. Utilice PowerShell para enumerar la configuración de firma SMB actual en un cliente de Windows:

Get-SmbClientconfiguration | fl EnableSecuritySignature,RequireSecuritySignature

RequireSecuritySignature=False : el uso obligatorio de la firma SMB no está habilitado.
EnableSecuritySignature=True : el cliente solo utiliza la firma SMB cuando lo requiere el servidor.

Para deshabilitar (o habilitar) la firma SMB obligatoria, use el comando

Set-SmbClientConfiguration -RequireSecuritySignature $false

Reinicie la computadora después de cambiar la configuración.

De la misma manera, puedes habilitar o deshabilitar la firma SMB en el lado del servidor (host con carpetas compartidas):

Get-SmbServerConfiguration | fl *sign*

Set-SmbServerConfiguration -RequireSecuritySignature $true

$false

)

El valor de la opción EnableSecuritySignature se ignora si el protocolo SMB1 heredado está deshabilitado (este es el comportamiento predeterminado en Windows).

Estas opciones de cliente y servidor SMB se pueden habilitar a través del registro. El siguiente conjunto de comandos desactivará el uso obligatorio de la firma SMB tanto para el cliente como para el servidor:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters" /v RequireSecuritySignature /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters" /v EnableSecuritySignature /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" /v RequireSecuritySignature /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" /v EnableSecuritySignature /t REG_DWORD /d 1 /f

El editor de GPO también se puede utilizar para configurar el modo de firma SMB para un cliente de Windows. Las siguientes opciones están disponibles en el Editor de políticas de grupo local (

gpedit.msc

) en Configuración del equipo -> Configuración de Windows -> Configuración de seguridad -> Políticas locales -> Opciones de seguridad

Cliente de red Microsoft: Firmar comunicación digitalmente (siempre)
Cliente de red de Microsoft: firmar digitalmente la comunicación (si el servidor está de acuerdo)

Algunos modelos de NAS y versiones de firmware admiten el modo de firma SMB, pero no está habilitado de forma predeterminada (por ejemplo, en Synology, ASUStor, QNAP y algunos otros dispositivos). Por ejemplo, en Synology DSM 7+, esta opción se puede encontrar en el Panel de control -> Servicios de archivos -> SMB< -> Configuración avanzada. Busque la opción Habilitar firma del servidor. La firma está deshabilitada de forma predeterminada. Para habilitar la firma SMB cuando lo solicite el cliente, seleccione Definido por el cliente en el menú desplegable.

Por lo tanto, si tiene problemas al acceder a los recursos compartidos del NAS después de actualizar a Windows 11 24H2, deberá:

Habilite la firma SMB en el dispositivo NAS (forma recomendada)
Deshabilite la firma SMB obligatoria en el cliente de Windows (opción menos segura)