Ошибка 0x0000011b при подключении сетевого принтера (PrintNightmare)
Природа уязвимости PrintNightmare и ошибка 0x0000011b
Ошибка 0x0000011b (ERROR_INVALID_PRINTER_NAME) массово появилась после выпуска пакетов обновлений безопасности от Microsoft, закрывающих критические уязвимости службы диспетчера печати (Print Spooler), известные как PrintNightmare (CVE-2021-1675 и CVE-2021-34527). Патчи принудительно повысили уровень аутентификации RPC до Privacy (требование шифрования трафика) при подключении клиентов к серверу печати или к расшаренному принтеру. Если клиентская ОС не поддерживает этот уровень RPC или настроена неверно, сервер отбрасывает подключение. Бизнес-риски: остановка документооборота, невозможность распечатать накладные на складе со старых ПК (Windows 7/8) на современных серверах.
Типовые ошибки печати после апдейтов
| Код ошибки | Действие, вызывающее сбой | Техническая причина |
|---|---|---|
0x0000011b | Подключение к расшаренному принтеру (SMB/RPC). | Отказ аутентификации RPC (RpcAuthnLevelPrivacyEnabled = 1). |
0x00000709 | Установка принтера по умолчанию. | Коллизии записей в реестре клиента при маппинге имен. |
Запрос пароля админа | Загрузка драйверов v3 (Point and Print). | Политика RestrictDriverInstallationToAdministrators требует прав Администратора для установки v3. |
Решение проблемы печати (RPC Auth и Драйверы)
Сценарий 1: Отключение строгого шифрования RPC (Реестр сервера)
Самый быстрый способ вернуть печать — снизить требования к RPC на компьютере, к КОТОРОМУ ПОДКЛЮЧЕН принтер (принт-сервер).
Выполнить в CMD (от имени Администратора) на ПРИНТ-СЕРВЕРЕ
reg add "HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print" /v RpcAuthnLevelPrivacyEnabled /t REG_DWORD /d 0 /f
Перезапуск Диспетчера печати
net stop spooler & net start spoolerВнимание: Это действие временно снижает защищенность сервера перед атаками типа MITM в локальной сети.
Сценарий 2: Переход на драйверы архитектуры Type 4 (v4)
Корень проблемы PrintNightmare кроется в драйверах Type 3 (v3), которые исполняются на стороне клиента. Драйверы v4 архитектурно безопаснее и не требуют прав администратора при установке через Point and Print.
- На сервере печати зайдите в свойства принтера -> Дополнительно -> Сменить драйвер.
- Выберите или скачайте с сайта производителя драйвер с пометкой v4.
- Если v4 недоступен, используйте "Microsoft IPP Class Driver".
Сценарий 3: Настройка GPO Point and Print
Разрешить клиентам устанавливать драйверы с конкретных доверенных серверов без запроса UAC.
Путь GPO: Конфигурация компьютера -> Административные шаблоны -> Принтеры
Политика: Ограничения указания и печати (Point and Print Restrictions)
Настройки:
- Пользователи могут указывать и печатать только с этих серверов: Включить (указать FQDN сервера)
- Поведение при установке: Не показывать предупреждение (Do not show warning or elevation prompt).Типовые ошибки администраторов
- Правка реестра на клиенте: Ключ
RpcAuthnLevelPrivacyEnabledнужно добавлять не на том ПК, который пытается подключиться, а на том, который раздает принтер в сеть. - Удаление патчей безопасности (KB): Удаление обновлений, вызвавших ошибку (например, KB5005565), — это катастрофическая практика, открывающая сервер для RCE (Remote Code Execution) атак. Рано или поздно патч установится снова.
Использование расшаренных через USB принтеров — это нестабильно. Эксперты ITSTM помогут внедрить централизованный принт-сервер, настроить безопасный Point and Print через GPO и стандартизировать драйверы v4 для бесперебойной печати во всем офисе.
Частые вопросы (FAQ)
Почему раньше принтеры работали без пароля, а теперь требуют права Администратора?
В рамках закрытия PrintNightmare (CVE-2021-34527) Microsoft изменила поведение ОС по умолчанию. Теперь установка драйверов принтера типа v3 (Point and Print) с сервера печати требует повышения прав (Elevation), так как вредоносный драйвер может выполниться с правами SYSTEM.
Влияет ли RpcAuthnLevelPrivacyEnabled на локальную печать?
Нет. Этот ключ реестра управляет исключительно уровнем аутентификации входящих сетевых RPC-соединений (через порт 135 и динамические порты). Локальная печать (через USB) продолжит работать безопасно.
Что такое драйверы v3 и v4?
Архитектура Type 3 (v3) предполагает загрузку DLL-файлов драйвера с сервера на клиент, где они исполняются. Архитектура Type 4 (v4) запрещает исполнение стороннего кода на клиенте; рендеринг документа (XPS) происходит безопасно, не требуя установки специфичных библиотек на ПК пользователя.
Как исправить ошибку 0x00000709 при смене принтера по умолчанию?
Эта ошибка возникает из-за прав в реестре. Откройте regedit, перейдите в HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows. Нажмите ПКМ по папке Windows -> Разрешения, и выдайте полные права текущему пользователю и группе 'Система'.