Windows 11 24H2へのアップデートを行った直後、Windows Server 2016 EssentialsやStandard＋Essentialsダッシュボード構成の環境でクライアントが「オフライン」と表示されてしまう、あるいはネットワーク上のPC一覧が見えなくなるといった問題に直面される管理者の方が増えているようです。実際にはファイル共有が利用できるなど限定的に機能しているケースもあるものの、早急に正常化を図る必要があるシーンも少なくありません。本記事では原因と考えられるポイントや対策手順、Kerberosの暗号化ポリシー変更やレジストリ修正、Essentialsコネクタの再インストールなどの具体的な解決策を一挙にご紹介します。
Windows 11 24H2アップデート後に起こる症状の概要
Windows 11を24H2にアップデートしたクライアントPCが、Windows Server 2016 Essentials（またはStandardにEssentialsダッシュボード機能を組み込んだ環境）に接続すると、サーバー側のダッシュボードからオフライン扱いされるケースが多く報告されています。以下に代表的な症状をまとめます。
- ダッシュボード上でクライアントがオフラインと表示される
- クライアントからサーバー上のファイル共有にはアクセス可能だが、ダッシュボードのみが異常を示す
- ネットワークスキャンやサーバー管理ツールでクライアントが一覧に表示されない
- DHCPを利用している環境で特に問題発生率が高い
実際に困るシーン
こういった状況下では、クライアントのバックアップや健康チェックといったEssentials特有の管理機能が正常に働かないことがあります。また、「実際には通信できるのに管理ツールで誤ったオフライン表示が続く」という見かけ上の問題が、原因調査を複雑にしがちです。さらに、新しいPCを導入する際にすでにWindows 11 24H2がプリインストールされていると、ロールバックが困難なため恒久的な解決策が求められます。
ロールバックという一時的解決策
問題が発生したクライアントを23H2に戻すことで解消する例が多く見られますが、Windows Updateで自動的に24H2が降ってくる場合もあるため、長期的には現実的な回避策とは言い難いでしょう。そこで、Kerberos暗号化ポリシーやレジストリを正しく設定することで、サーバー・クライアント間の通信と認証を正常化させる方法が有力視されています。
主な原因：Kerberos暗号化ポリシーの不一致
Windows Server環境下でクライアントをドメイン参加させる際、Kerberos認証が用いられます。24H2ではKerberosの暗号化方式に関する設定や既定の扱い方が変更され、サーバー側・クライアント側で設定が噛み合わないとEssentialsダッシュボードがクライアントを正しく認識できない事態を引き起こします。
Kerberos暗号化タイプ設定の見直し
Windows 11 24H2はセキュリティ向上を目的とした強化が随所に施されていますが、その一つとしてKerberosで使用可能な暗号化方式が厳格化される方向にあります。Server 2016 Essentials側でもKerberosの暗号化方式を含む設定を見直す必要があります。
グループポリシーでの暗号化タイプ許可の確認
以下のグループポリシーをサーバー側で設定することで、Windows 11クライアントとの認証をスムーズにすることができます。必要に応じて、複数の暗号化方式を許可しましょう。
| 項目 | 値または設定 | 場所 |
|---|---|---|
| ポリシー名 | Network Security: Configure Encryption types allowed for Kerberos | [コンピューターの構成] → [Windowsの設定] → [セキュリティの設定] → [ローカル ポリシー] → [セキュリティ オプション] |
| 選択する暗号化タイプ | RC4_HMAC_MD5、AES128_HMAC_SHA1、AES256_HMAC_SHA1、Future encryption types など | 複数をチェックして有効化 |
レジストリ修正：SupportedEncryptionTypes の設定
Server 2016 Essentials側またはクライアント側において、レジストリキー SupportedEncryptionTypes の値が不適切になっていると、Kerberos認証に失敗しやすくなります。以下の手順で確認・修正を行ってください。
修正手順
- レジストリエディタを起動
- 以下のパスを開く HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters
SupportedEncryptionTypes(REG_DWORD) の値を確認- 必要に応じて
0x7ffffffc（10進数：2147483644）など複数方式を包括できる値に変更 - コンピューターを再起動して設定を反映
- グループポリシーを
gpupdate /forceで更新
設定例として、以下のようにレジストリを修正するスクリプトを配布してもよいでしょう。
# PowerShellスクリプト例
Set-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters" `
-Name "SupportedEncryptionTypes" `
-Value 0x7ffffffc -Type DWord
# ポリシー適用
gpupdate /force値を変更する際の注意
SupportedEncryptionTypesを複数指定する場合は、各暗号化方式のビットマスクを合算した値を設定します。運用環境によっては古いデバイスとの互換性を確保する必要があるため、すべての暗号化方式をまるごと有効にするのが望ましいケースもあります。
Essentials コネクタの再インストールとドメイン再参加
ここまでの設定変更を行っても改善が見られない場合は、クライアントPCでのEssentialsコネクタの再インストールやドメイン再参加を試みます。
再インストール手順
- クライアントPCから既存のEssentialsコネクタをアンインストール
- ドメインからワークグループへ切り離し
- Windows 11 24H2が適用された状態を維持したまま再起動
- サーバー側から新しいEssentialsコネクタを配布するか、サーバー上のコネクタ配布URLからインストーラを入手
- インストール後にドメインへ再参加
- ダッシュボード上でクライアントがオンラインになるか確認
この方法で再度正しく認識されるようになったという報告も散見されます。ただし、環境により数回の再起動やポリシーの再適用が必要になる場合があります。
他に報告されている対処法と確認事項
問題の原因がKerberos設定だけに限らない場合もあります。現場のネットワーク構成やDHCP、各種ドライバー状況を総合的に確認する必要があります。
1. DHCP から Static IP への変更
DHCP環境でIPアドレスの更新やリースが不安定な場合、クライアントPC側に固定IPを振り、サーバー管理との互換性を改善する方法が有効なケースがあります。例えば以下のように固定IPを設定することを検討するとよいでしょう。
| 項目 | 設定例 | メモ |
|---|---|---|
| IPアドレス | 192.168.1.50 | DHCPスコープ外のアドレスを選択 |
| サブネットマスク | 255.255.255.0 | ネットワークに合わせる |
| デフォルトゲートウェイ | 192.168.1.1 | 一般的なルーターのIP |
| DNSサーバー | 192.168.1.10 | AD DS/EssentialsサーバーのIPを指定 |
2. ネットワークアダプターのドライバー更新
クライアント側のネットワークドライバーが古いバージョンだと、正しくDHCPからIPアドレスを取得できなかったり、切断と再接続を繰り返して不安定な状態になることがあります。デバイスマネージャーやメーカー公式サイトを利用して最新ドライバーを適用しましょう。
3. Insecure Guest Logons の許可
旧来のファイル共有やゲストログオンの仕組みを利用している場合は、以下のグループポリシー設定を有効にすることで接続が確立しやすくなることがあります。ただし、セキュリティリスクも考慮し、必要時のみ試すのが望ましいです。
[コンピューターの構成] → [管理用テンプレート] → [ネットワーク] → [Lanman Workstation] 「Enable insecure guest logons」を有効に設定
4. DHCPサーバーの拡張オプション見直し
DHCPサーバー側で特別なオプションを設定していると、クライアントPCが想定外の情報を受け取り、オフライン表示に陥ることがあります。例えば、WINSやDNSの設定と干渉しているなどが考えられますので、一度拡張オプションをすべて無効化し、問題が再現するか検証する手順を踏むと良いでしょう。
5. ネットワークのリセット実行
Windows 11側のネットワーク設定が壊れている可能性もあります。「設定」→「ネットワークとインターネット」→「詳細ネットワーク設定」→「ネットワークのリセット」を行うと、一時的に各種プロファイルやネットワーク設定が初期化され、環境が改善する例があります。
6. ネットワークパスへの直接アクセス
ダッシュボードがオフライン表示でも、実際にはファイル共有が利用できる場合があります。エクスプローラー上で \\サーバー名 または \\IPアドレス を直接入力すると、一時的に共有にアクセスできるため、ユーザーがファイルを必要とするタイミングで暫定策として用いることも可能です。
解決に向けたまとめと推奨アクション
Windows 11 24H2とWindows Server 2016 Essentials環境がかみ合わず、クライアントがダッシュボードでオフライン表示になってしまう場合、根本的にはKerberos認証の暗号化設定を整合させるのが最も重要です。また、Essentialsコネクタの再インストールとドメイン再参加を行い、新しい暗号化ポリシーに即した認証で接続し直すことが最も効果的とされています。
恒久的な対処法のポイント
- グループポリシーで「Network Security: Configure Encryption types allowed for Kerberos」を有効にし、複数の暗号化方式を許可
- レジストリキー
SupportedEncryptionTypesを正しい値（例：0x7ffffffc）へ修正 - 問題のあるクライアントをドメインから外し、再起動後にEssentialsコネクタを再インストールして再参加
- ネットワークドライバーやDHCP設定などの周辺環境も整合性をとる
将来的なアップデートへの備え
Windowsはセキュリティ強化を継続的に行います。今後もKerberosやSMB、LDAPなど、認証・共有周りの仕様変更が加速する可能性が高いです。早めに暗号化設定とグループポリシーを最新化し、テスト環境で検証しておくことが運用上のリスク軽減につながります。
まとめ
今回のWindows 11 24H2アップデートによってServer 2016 Essentials環境で起こるオフライン表示の問題は、Kerberos暗号化方式の設定ミスマッチが大きな要因となっています。レジストリの修正とEssentialsコネクタの再インストール、ネットワークドライバーやDHCPオプションの調整といった複数の対策を組み合わせることで恒久的に解決する見込みが高いでしょう。もし早急な復旧が必要な場合には23H2へのロールバックも視野に入りますが、中長期的にはセキュリティ方針と整合性をとりつつ、正しくKerberosを設定して運用を続けることを強く推奨します。
コメント