# 局域网共享与 SMB 版本：为什么 \\NAS 不见了

> 共享权限与 NTFS 权限、移除 SMB1 带来的老设备问题，以及让 NAS 登录失败的那条来宾默认策略。

**测试环境**

- 版本号: 26300.9457 / 26100.33650
- 版本: Pro (26H2) / Server
- 架构: x64
- 证据: E1
- 核验日期: 2026-10-29

## 一句话结论

三层各自独立地决定 `\\NAS\share` 能不能打开：

| 层 | 问题 |
|---|---|
| **名称解析** | 客户端能把 `NAS` 变成 IP 吗？ |
| **SMB 协议版本** | 设备说的是 Windows 还允许的版本吗？ |
| **身份验证** | 账户被允许吗、来宾访问允许吗？ |

Windows 改的正是后两项的默认值——这就是"用了好多年的共享突然打不开"的原因。

## 第一层：名称解析

```powershell
Resolve-DnsName nas -ErrorAction SilentlyContinue
Test-NetConnection nas -Port 445
Test-NetConnection 192.168.50.10 -Port 445
```

IP 通、名字不通就是解析问题，不是 SMB。用 IP、加 hosts 条目，或修路由器的 DNS。

## 第二层：SMB 版本

| 版本 | Windows 11 / Server 2025 状态 |
|---|---|
| **SMB1** | 默认禁用，支持移除 |
| **SMB2** | 启用 |
| **SMB3** | 启用，支持加密 |

老 NAS 和打印机会说 SMB1。启用它会重新引入一个有已知弱点的协议——只对无法替换的设备开，且只在可信局域网。

```powershell
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol,EnableSMB2Protocol,RequireSecuritySignature,EncryptData
Get-SmbClientConfiguration | Select-Object RequireSecuritySignature,EnableInsecureGuestLogons
```

## 第三层：来宾访问被禁

自 Windows 10 1709 起，**不安全的来宾登录**默认禁用：允许匿名访问的共享会被拒绝，提示"你不能访问此共享文件夹，因为组织的安全策略阻止未经身份验证的来宾访问"。

两个诚实的选择：

1. **在 NAS 上建真实账户**并用凭据连接（正确做法）。
2. 重新启用不安全的来宾登录（快、弱——该共享对局域网内任何人可读）。

```powershell
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters' -Name AllowInsecureGuestAuth -ErrorAction SilentlyContinue
```

> **警告: 来宾访问不是「只是方便」**
>
> 匿名 SMB 共享对网络上每台设备可读——包括一台被入侵的 IoT 小设备。NAS 只提供来宾访问时，把它放进独立 VLAN，而不是全局重新启用来宾登录。

## 正确地建共享

共享权限与 NTFS 权限**都会生效**，最终权限取更严格的那个。

```powershell
New-Item -ItemType Directory -Path D:\Shares\Team -Force
New-SmbShare -Name Team -Path D:\Shares\Team -FullAccess 'DOMAIN\Admins' -ChangeAccess 'DOMAIN\Staff'
```

经验规则：共享层给 **Everyone / 完全**，用 **NTFS** 控制访问。两套权限系统互相打架，就是"我明明给了权限"最常见的原因。

## 现在谁连着

```powershell
Get-SmbSession | Select-Object ClientComputerName,ClientUserName,NumOpens
Get-SmbOpenFile | Select-Object ClientUserName,Path
```

踢掉僵死会话：`Close-SmbSession -ClientComputerName 192.168.50.20 -Force`（关闭该客户端的打开文件）。

## 相关

- [远程桌面主机设置](https://winbook.fyi/zh/windows/remote/rdp-host/)
- [打印与扫描](https://winbook.fyi/zh/windows/peripherals/printing/)
- [homelab 网络硬件](https://winbook.fyi/zh/hardware/homelab/network-hardware/)

## 实验室边界

E1。SMB 默认值与 cmdlet 有微软文档依据。实验室虚拟机不通过 SMB 共享任何内容，因此未复现共享故障。

## 来源

- [Microsoft Learn — New-SmbShare](https://learn.microsoft.com/zh-cn/powershell/module/smbshare/new-smbshare)
- [Microsoft Learn — Get-SmbSession](https://learn.microsoft.com/zh-cn/powershell/module/smbshare/get-smbsession)
- [Microsoft Learn — Windows 客户端故障排查](https://learn.microsoft.com/zh-cn/troubleshoot/windows-client/)

---

来源页面: https://winbook.fyi/zh/windows/remote/smb-shares/