局域网共享与 SMB 版本：为什么 \\NAS 不见了

核验于 2026-10-292 分钟阅读

共享权限与 NTFS 权限、移除 SMB1 带来的老设备问题，以及让 NAS 登录失败的那条来宾默认策略。

测试环境Pro (26H2) / Server · 版本号 26300.9457 / 26100.33650 · x64

版本号: 26300.9457 / 26100.33650
版本: Pro (26H2) / Server
架构: x64
支持: 文档（E1）
证据: E1官方文档
核验日期: 2026-10-29
页面类型: 配置

一句话结论

三层各自独立地决定 \\NAS\share 能不能打开：

层	问题
名称解析	客户端能把 `NAS` 变成 IP 吗？
SMB 协议版本	设备说的是 Windows 还允许的版本吗？
身份验证	账户被允许吗、来宾访问允许吗？

Windows 改的正是后两项的默认值——这就是“用了好多年的共享突然打不开”的原因。

第一层：名称解析

Resolve-DnsName nas -ErrorAction SilentlyContinue
Test-NetConnection nas -Port 445
Test-NetConnection 192.168.50.10 -Port 445

IP 通、名字不通就是解析问题，不是 SMB。用 IP、加 hosts 条目，或修路由器的 DNS。

第二层：SMB 版本

版本	Windows 11 / Server 2025 状态
SMB1	默认禁用，支持移除
SMB2	启用
SMB3	启用，支持加密

老 NAS 和打印机会说 SMB1。启用它会重新引入一个有已知弱点的协议——只对无法替换的设备开，且只在可信局域网。

Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol,EnableSMB2Protocol,RequireSecuritySignature,EncryptData
Get-SmbClientConfiguration | Select-Object RequireSecuritySignature,EnableInsecureGuestLogons

第三层：来宾访问被禁

自 Windows 10 1709 起，不安全的来宾登录默认禁用：允许匿名访问的共享会被拒绝，提示“你不能访问此共享文件夹，因为组织的安全策略阻止未经身份验证的来宾访问”。

两个诚实的选择：

在 NAS 上建真实账户并用凭据连接（正确做法）。
重新启用不安全的来宾登录（快、弱——该共享对局域网内任何人可读）。

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters' -Name AllowInsecureGuestAuth -ErrorAction SilentlyContinue

正确地建共享

共享权限与 NTFS 权限都会生效，最终权限取更严格的那个。

New-Item -ItemType Directory -Path D:\Shares\Team -Force
New-SmbShare -Name Team -Path D:\Shares\Team -FullAccess 'DOMAIN\Admins' -ChangeAccess 'DOMAIN\Staff'

经验规则：共享层给 Everyone / 完全，用 NTFS 控制访问。两套权限系统互相打架，就是“我明明给了权限”最常见的原因。

现在谁连着

Get-SmbSession | Select-Object ClientComputerName,ClientUserName,NumOpens
Get-SmbOpenFile | Select-Object ClientUserName,Path

踢掉僵死会话：Close-SmbSession -ClientComputerName 192.168.50.20 -Force（关闭该客户端的打开文件）。

实验室边界

E1。SMB 默认值与 cmdlet 有微软文档依据。实验室虚拟机不通过 SMB 共享任何内容，因此未复现共享故障。