未解決
3 Apprentice
•
1.4K メッセージ
0
12
2025年9月9日 01:58
PowerScaleのSMBv1に関して
OneFS9.6からたしかSMBv1はデフォルト無効になったかと思います。
また9.5以前からバージョンアップした場合にSMBv1を無効にするには以下のKBでできる認識です。
https://www.dell.com/support/kbdoc/en-us/000022013/isilon-how-to-enable-or-disable-smb1-on-a-cluster
PowerScaleのgconfigには以下のgconfig設定もあります。
registry.Services.lwio.Parameters.Drivers.rdr.Smb1Enabled (uint32)
この設定は何を表しているのでしょうか。
SMBv1の有効無効ではないと思っております。
イベントは見つかりませんでした!
Uehara Y.
Community Manager
•
5.3K メッセージ
0
2025年9月10日 00:08
そうですね。PowerScaleがSMB1のリクエストに反応するか無視するかを決めるレジストリ値は記載していただいたKBにもある「registry.Services.lwio.Parameters.Drivers.srv.SupportSmb1」です。
では「registry.Services.lwio.Parameters.Drivers.rdr.Smb1Enabled (uint32)」は一体何なのかというと、明記されているものは見つけることが出来ませんでしたが、PowerScaleがSMBクライアントとしてアクセスを行う際の設定値であると考えて間違いなさそうです。
ヒントになるのがそれぞれのレジストリ値のDrivers配下が「srv」と「rdr」で異なる点です。ここでsrvはサーバ(Server)、rdrはリダイレクタ(Redirector)を意味します。
サーバの方はPowerScaleがSMBサーバとして動作している際の処理を決めるものであることはイメージしやすいのですが、「このリダイレクタとは何だ?」と思い調べてみるとSMB Redirector EncryptionというBlogに
The OneFS redirector, also known as the ‘rdr driver’, is a stripped-down SMB client with minimal functionality, only supporting what is absolutely necessary.
というようにSMBクライアントであることが書かれており、それは
When OneFS connects to Active Directory for tasks requiring remote procedure calls (RPCs), such as joining a domain, NTLM authentication, or resolving usernames and SIDs, these SMB connections are established from OneFS as the client connecting to a domain controller server.
というようにPowerScale側からSMBを利用してActive Directoryなどに通信を行う際に利用されるということです。
つまり、PowerScaleがSMB1を受け付けないようにするためには、サーバとして動作する際のレジストリ値「registry.Services.lwio.Parameters.Drivers.srv.SupportSmb1」をDisableにしておけば問題はないのですが、念のためにクライアントとして動作する際にもSMB1が利用できなくしておくための設定が「registry.Services.lwio.Parameters.Drivers.rdr.Smb1Enabled (uint32)」であると理解してください。
(受け側のAD等がSMB1をDisableにしていると思うので別にこの設定は必須ではないということでKBには書かれていないのでしょう)
ちなみに、前述のBlogを書いているNickさんはOneFS Additional Security Hardening – Part 2という記事の中でちゃんとrdr.Smb1Enabledの設定も0(Disable)にすることをすすめていたりします。
FYI: 本件を調べている中で見つけたSRで、「registry.Services.lwio.Parameters.Drivers.rdr.Smb1Enabled (uint32)」を0(Disable)にしていないことが原因で、ヘルスチェックの結果がPassであるにも関わらず、結果ログをよく見ると「SMB1がEnableになっているので危険!」という表示がされている(ので気持ち悪い)というものがありました。