必须同时配置客户端和服务器端gpo策略才能强制启用smb签名：客户端启用“microsoft网络客户端：对通信进行数字签名（始终）”，服务器端启用“microsoft网络服务器：对通信进行数字签名（始终）”，否则连接失败；还需禁用smbv1以提升安全性。
要在域环境中通过 gpo 强制启用 smb 签名，必须同时配置客户端和服务器两端的策略，缺一不可。只开一边会导致 smb 连接失败，共享无法访问。
客户端侧：强制所有出站 SMB 请求签名
该设置确保本机作为 SMB 客户端访问任何共享时，都必须发送带数字签名的数据包，防止请求被篡改或重放。
- 打开组策略管理控制台（GPMC），编辑目标 OU 的 GPO
- 导航至：计算机配置 → 管理模板 → 网络 → Lanman 工作站
- 启用策略：Microsoft 网络客户端：对通信进行数字签名（始终）
服务器侧：强制所有入站 SMB 连接验证签名
该设置确保本机作为 SMB 服务器（如文件服务器、打印服务器）时，只接受已签名的连接请求，拒绝未签名的会话，堵住伪造客户端接入漏洞。
- 在同一 GPO 中，导航至：计算机配置 → 管理模板 → 网络 → Lanman 服务器
- 启用策略：Microsoft 网络服务器：对通信进行数字签名（始终）
验证与注意事项
策略部署后需确认实际生效状态，不能仅依赖界面勾选。
- 在客户端执行：Get-SmbConnection | fl Signing, Encrypted —— Signing 字段应为 True
- 在服务器执行：Get-SmbServerConfiguration | Select-Object RequireSecuritySignature —— 应返回 True
- 运行 gpupdate /force 刷新策略，无需重启，但建议等待策略应用完成
- 旧设备（如 Windows XP、部分 NAS 或打印机）可能不支持 SMB 签名，连接将直接失败，需提前评估兼容性
- 默认仅域控制器启用服务器端签名，普通成员服务器/工作站需手动配置，否则签名链断裂
补充建议：搭配禁用 SMBv1 提升整体安全性
SMB 签名对 SMBv2/v3 生效，而 SMBv1 本身存在严重设计缺陷且不支持现代签名算法。建议同步禁用：
- 在相同 GPO 中，分别启用：Lanman 工作站 → 禁止使用 SMB1 协议 和 Lanman 服务器 → 禁止使用 SMB1 协议
- 验证命令：Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol 返回 False
- 无兼容性顾虑时，可追加执行：Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Client, SMB1Protocol-Server -NoRestart
