Проблемы с подключением сетевых принтеров после установки KB3170455

Обнаружили одну неприятную проблему с одним из июльский обновлений безопасности Microsoft. Речь о KB3170455, выпущенном 12 июля 2016 года. После установки данного обновления в домене могут возникнуть проблемы при попытке подключить сетевой принтер.

Проблема проявлялась следующим образом:

При попытке на доменных клиентах (Windows 10, Windows 7) установить (подключить) принтер с принт-сервера (на Windows Server 2008 R2), появляется ошибка.

Connect to Printer

A policy is in effect on your computer which prevents you from connecting to this print queue. Please contact your system administrator.

На некоторых моделях принтеров при попытке подключить сетевой принтер появлялось другое сообщение:

Do you trust this printer?

Windows needs to download and install a software driver from \\PrintServerName computer to print to PrinterName. Proceed only if you trust the \\PrintServerName and the network

При нажатии на кнопку «Установить драйвер» появляется окно UAC с предложением ввести учетные данные администратора. Хотя ранее пользователи могли без проблем подключать эти принтера (включена политика, позволяющая обычным пользователям устанавливать драйвера принтеров без прав локального администратора).

Путем сравнения установленных обновлений на проблемных компьютерах, обнаружили, что проблема наблюдается на компьютерах с установленным апдейтом KB3170455 (MS16-087: Description of the security update for Windows print spooler components: July 12, 2016). И действительно, при удалении этого обновления принтера подключаются корректно.

wusa.exe /uninstall /kb:3170455 /quiet /norestart

Но не все так просто, обновление на самом деле не кривое, а исправляет конкретную критическую уязвимость в подсистеме печати Windowsю. Обновление в том числе предполагает выдавать предупреждение пользователя при попытке установить недоверенные или неподписанные драйвера принтеров. Да и в Windows 10 это обновление вшито в кумулятивное обновление, и так просто его уже не откатишь. Так что простым удалением обновления проблему не решить.

В статье https://support.microsoft.com/en-us/kb/3170005 указаны критерии, которым должны соответствовать драйвера принтеров, чтобы они могли корректно устанавливаться на клиентах:

• Драйвер должен быть доверенным (подписан доверенной цифровой подписью)
• Драйвер должен быть упакованным (Package-aware print drivers). Установка неупакованных драйверов (non-package-aware v3 printer drivers) через режим Point and Print Restrictions невозможна

Поэтому Microsoft рекомендует:

• заменить драйвера на принт-серверах на упакованные (спецификация Package-aware V3). Определить является ли драйвер упакованным или нет, можно с помощью консоли Print Manager, откройте раздел с драйверами. Нас интересует колонка Packaged, для упакованных драйверов указан статус True. Останется включить политики Point and Print Restrictions (в разделах Computer Configuration > Policies > Admin Templates > Printers и в User Configuration > Policies > Admin Templates > Control Panel > Printers) и выставить Do not show warning or elevation prompt (Не показывать предупреждение или запрос на повышение прав). Дополнительно указываем FQDN имена доверенных принт-серверов.
• если драйвера являются устаревшими и обновить их нельзя, рекомендуется предустанавливать их на клиентских ПК. В этом случае при подключении принтеров проблем не возникнет.

Обновление Microsoft для Windows 10 не исправило проблемы с принтерами и повлияло на работу меню «Пуск»

Корпорация Microsoft 26 сентября представила обновление под номером KB4517211 для всех версий Windows 10. Его целью было исправление проблемы с печатью на принтерах. Проблемы в основном касались принтеров HP, но были зафиксированы и у моделей других производителей.
Сообщалось, что с установкой обновления функция печати просто переставала работать. Однако сейчас пользователи заявили, что сбой устранить не удалось, зато обновление принесло новые проблемы. На этот раз они связаны с работой меню «Пуск».

Пользователи жалуются, что после установки обновления они получили сообщение о критической ошибке, согласно которому меню «Пуск» не работает, но исправиться это должно при следующем входе в систему. По словам других, они вообще не могут установить это обновление. Кроме того, пользователи утверждают, что проблема при печати на принтерах HP так и не была решена.
Стоит отметить, что обновление KB4517211 должно было решить не только проблему с принтерами, но и приглушенного звука в играх. Пользователи сообщили об этом после установки предыдущего обновления для ПО, которое вышло в мае этого года.

Это уже не первая жалоба на поиск Windows. Впервые подобная ошибка появилась в накопительном обновлении Windows 10 под номером KB4515384. Пользователи тогда сообщали, что вместо результатов поиска они получают чистую страницу. Теперь же они не могут ничего ввести в поле поиска, так как окно поиска недоступно ни при нажатии на пиктограмму в панели задач, ни в меню «Пуск». В связи с этим многие просто удалили и заблокировали последнее обновление.

• открыть «Настройки обновления и безопасности» и перейти к просмотру истории обновлений;
• нажать кнопку «Удалить обновления»;
• выбрать обновление (KB4517211), которое требуется удалить;
• нажать кнопку «Удалить» на панели управления;
• нажать «Да», чтобы подтвердить свое решение.
• Затем необходимо перезагрузить устройство, чтобы вернуться к предыдущей сборке.

Пострадали и пользователи VMWare Workstation. При попытке запуска VMWare Workstation Pro они получают оповещение о невозможности запуска ПО в Windows: «VMware Workstation Pro не может работать в Windows: проверьте наличие обновленной версии этого приложения, работающего в Windows».

Представители Microsoft пока не прокомментировали эту проблему и не пообещали исправить ее. О масштабах проблемы пока также не сообщается.

Вы доверяете этому принтеру windows 10 как убрать

Вопрос

Всем доброго дня коллеги. Прошу помощи:

Имеется домен на Windows2008R2, на одном из серверов развернут принт-сервер, т.е. на нем установлены сетевые принтеры и расшарены для всех пользователей. Вплоть до прошедших выходных пользователи могли подключать себе любой принтер и печатать на него. Права пользователям раздаются с помощью групповых политик. Количество моделей принтеров порядка 10-ти.

Начиная с утра понедельника при попытке печати на некоторые модели принтеров выводится сообщение «Вы доверяете этому принтеру? windows требуется загрузить и установить драйвер с компьютера имя_принт_сервера для печати на Имя_принтера. «. Если нажать на «Установить драйвер», то загружаются драйверы и в конце появляется запрос админских полномочий. Если ввести данные администратора, то все успешно завершается и потом данное окно не появляется. На части принтеров этого не наблюдается и они работают как обычно. При подключении принтеров пользователю происходит то же самое. Никакие изменения в GPO и конфигурации серверов не вносились, последние обновления устанавливались за неделю до этого.

Ответы

Нашел компьютер в домене без установленных последних обновлений за июль 2016. И на нем все устанавливается как и прежде без запросов. Выходит дело в обновлениях. Начал внимательно изучать их и нашел KB3170455 (MS16-087: Компоненты диспетчера очереди печати обновления для системы безопасности для Windows: 12 июля 2016 г.). Удалил его, перезагрузил и всё заработало как надо. Теперь ищу способ как удалить это обновление со всех компьютеров домена.

Коллеги, спасибо всем кто принял участие в решении моей проблемы. Вопрос закрыт.

Все ответы

А вы проверяли версию драйверов не различаются на тех у кого старые и тем кому просит обновить?

И это у вас каждый день даже на тех клиентах у которых уже установлен таким способом драйвер?

Эвент лог что нибудь говорит?

Все что вы делаете, вы делаете на свой страх и риск. Делайте Backup правильно.

Версия драйверов на каждую модель принтеров своя и одинакова на все принтеры данной модели. Версии драйверов не менялись.

Это достаточно проделать один раз и потом окно не выскакивает. Если заменить драйверы на проблемной модели на совместимые, например для модели Xerox WC3325 на Xerox Global Print Driver, то проблема исчезает и принтер печатает. Правда на не родных драйверах. Если вернуть назад, то и проблема возвращается.

Похоже что проблема именно с драйверами, но где не могу понять.

Эвент лог чей? Принт-сервера? Там никаких загадочных сообщений нет.

Не вижу проблем в использовании универсальных драйверов и устанавливать проще Xerox Global Print Driver

Так же как и HP Universal Print Driver главное что бы принтер или мфу поддерживали.

Я бы на вашем месте заюзал такой вариант если не хочется дергаться.

У вас ПК и Сервера через WSUS обновляются?

Все что вы делаете, вы делаете на свой страх и риск. Делайте Backup правильно.

Да все обновляются через WSUS. Замена драйверов на универсальные конечно тоже вариант, но в них бывает не хватает некоторых фишек, да и замена драйверов на принт-сервере вызовет временные неудобства для пользователей.

Что касается статьи по ссылке, то это уже изначально было сделано. И вот даже это не работает с недавнего времени. Все таки хотелось бы в этом разобраться, а то может опять где-то «стрельнет» и на работающих ныне драйверах перестанет работать.

Все что вы делаете, вы делаете на свой страх и риск. Делайте Backup правильно.

Всем доброго дня коллеги. Прошу помощи:

Имеется домен на Windows2008R2, на одном из серверов развернут принт-сервер, т.е. на нем установлены сетевые принтеры и расшарены для всех пользователей. Вплоть до прошедших выходных пользователи могли подключать себе любой принтер и печатать на него. Права пользователям раздаются с помощью групповых политик. Количество моделей принтеров порядка 10-ти.

Начиная с утра понедельника при попытке печати на некоторые модели принтеров выводится сообщение «Вы доверяете этому принтеру? windows требуется загрузить и установить драйвер с компьютера имя_принт_сервера для печати на Имя_принтера. «. Если нажать на «Установить драйвер», то загружаются драйверы и в конце появляется запрос админских полномочий. Если ввести данные администратора, то все успешно завершается и потом данное окно не появляется. На части принтеров этого не наблюдается и они работают как обычно. При подключении принтеров пользователю происходит то же самое. Никакие изменения в GPO и конфигурации серверов не вносились, последние обновления устанавливались за неделю до этого.

В принципе, это поведение (для драйверов принтера, написанных для версии подсистемы печати 3, работающих в привилегированном режиме) контролируется политикой «Устройства: запретить пользователям установку драйверов принтера» (Конфигурация компьютера/Конфигурация Windows/Параметры безопасности/Локальные политики/Параметры безопасности). Проверяйте с помощью RSOP и gpresult (gpresult /h файл.htm и смотрите его в браузере) применение этой политики на компьютерах.

Для драйверов, написанных для более поздних версий подсистемы печати привилегий выше пользовательских не требуется, потому пользователь всегда может установить из сам, и, вероятно, поэтому они у вас работают без проблем.

IT-блоги • Проблемы с подключением сетевых принтеров после установки KB3170455 | Windows для системных администраторов

Обнаружили одну неприятную проблему с одним из июльский обновлений безопасности Microsoft. Речь о KB3170455, выпущенном 12 июля 2016 года. После установки данного обновления в домене могут возникнуть проблемы при попытке подключить сетевой принтер.

Проблема проявлялась следующим образом:

При попытке на доменных клиентах (Windows 10, Windows 7) установить (подключить) принтер с принт-сервера (на Windows Server 2008 R2), появляется ошибка.

Connect to Printer

A policy is in effect on your computer which prevents you from connecting to this print queue. Please contact your system administrator.

На некоторых моделях принтеров при попытке подключить сетевой принтер появлялось другое сообщение:

Do you trust this printer?

Windows needs to download and install a software driver from \\PrintServerName computer to print to PrinterName. Proceed only if you trust the \\PrintServerName and the network

При нажатии на кнопку «Установить драйвер» появляется окно UAC с предложением ввести учетные данные администратора. Хотя ранее пользователи могли без проблем подключать эти принтера (включена политика, позволяющая обычным пользователям устанавливать драйвера принтеров без прав локального администратора).

Путем сравнения установленных обновлений на проблемных компьютерах, обнаружили, что проблема наблюдается на компьютерах с установленным апдейтом KB3170455 (MS16-087: Description of the security update for Windows print spooler components: July 12, 2016). И действительно, при удалении этого обновления принтера подключаются корректно.

wusa.exe /uninstall /kb:3170455 /quiet /norestart

Но не все так просто, обновление на самом деле не кривое, а исправляет конкретную критическую уязвимость в подсистеме печати Windowsю. Обновление в том числе предполагает выдавать предупреждение пользователя при попытке установить недоверенные или неподписанные драйвера принтеров. Да и в Windows 10 это обновление вшито в кумулятивное обновление, и так просто его уже не откатишь. Так что простым удалением обновления проблему не решить.

В статье https://support.microsoft.com/en-us/kb/3170005 указаны критерии, которым должны соответствовать драйвера принтеров, чтобы они могли корректно устанавливаться на клиентах:

• Драйвер должен быть доверенным (подписан доверенной цифровой подписью)
• Драйвер должен быть упакованным (Package-aware print drivers). Установка неупакованных драйверов (non-package-aware v3 printer drivers) через режим Point and Print Restrictions невозможна

Поэтому Microsoft рекомендует:

• заменить драйвера на принт-серверах на упакованные (спецификация Package-aware V3). Определить является ли драйвер упакованным или нет, можно с помощью консоли Print Manager, откройте раздел с драйверами. Нас интересует колонка Packaged, для упакованных драйверов указан статус True. Останется включить политики Point and Print Restrictions (в разделах Computer Configuration > Policies > Admin Templates > Printers и в User Configuration > Policies > Admin Templates > Control Panel > Printers) и выставить Do not show warning or elevation prompt (Не показывать предупреждение или запрос на повышение прав). Дополнительно указываем FQDN имена доверенных принт-серверов.
• если драйвера являются устаревшими и обновить их нельзя, рекомендуется предустанавливать их на клиентских ПК. В этом случае при подключении принтеров проблем не возникнет.