“拒绝访问”多数由windows默认安全策略引发，而非权限未设：自win10 1709、win11 24h2及server 2025起，默认禁用不安全来宾访问、强制smb签名、限制ntlm认证；需匹配系统认证要求，而非单纯调高权限。
局域网共享提示“拒绝访问”，多数不是权限没设，而是 windows 默认安全策略在起作用——尤其从 windows 10 1709、windows 11 24h2 或 server 2025 开始，系统默认禁用不安全的来宾访问、强制 smb 签名、限制 ntlm 认证。直接调高权限或开“everyone”往往无效，关键得匹配当前系统的认证要求。
检查并启用网络发现与共享基础设置
这是最常被忽略的起点。即使权限全开，若底层服务没启动，连接根本走不通：
- 打开“控制面板 > 网络和共享中心 > 更改高级共享设置”，确保“专用”网络下已启用“网络发现”和“文件和打印机共享”
- 进入“Windows Defender 防火墙 > 允许应用通过防火墙”，勾选“文件和打印机共享”（私有网络）
- 按 Win+R 输入 services.msc，确认以下服务启动类型为“自动”并已运行：
– Function Discovery Provider Host
– Function Discovery Resource Publication
– SSDP Discovery
– UPnP Device Host
– TCP/IP NetBIOS Helper
处理“未经身份验证的来宾访问被阻止”错误
当你看到“你的组织安全策略阻止未经身份验证的来宾访问”，说明系统已禁用 SMB 账户映射中的空凭据或 Guest 登录。这不是 bug，是默认加固行为：
- 若目标设备支持账号密码登录（如另一台 Windows 电脑），请务必用目标机上存在的本地账户（如 Administrator 或你创建的用户）登录，不能只填用户名不输密码
- 若必须用“Guest”方式（例如访问老 NAS 或 Win7 设备），需在客户端手动启用不安全来宾访问：
以管理员身份运行 PowerShell，执行：
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" -Name "AllowInsecureGuestAuth" -Value 1 -Force
执行后重启电脑生效 - 注意：此操作会降低安全性，仅建议在可信局域网内临时使用
验证 NTFS 权限与共享权限的双重叠加
Windows 共享实行“取交集”原则：用户最终权限 = 共享权限 ∩ NTFS 权限，且任一环节拒绝即整体拒绝：
- 右键共享文件夹 → “属性” → “共享”选项卡 → 点“高级共享” → “权限”，确认目标用户或组（如 Users、Everyone）有“读取”或“更改”权限
- 切换到“安全”选项卡 → “编辑” → 检查同一用户/组是否在 NTFS 层也有对应权限；若没有，点击“添加”，输入用户名，再赋予“修改”或“完全控制”
- 特别注意：若共享的是 C$、D$ 等管理共享，默认禁止本地账户远程访问。此时需修改注册表：
定位 HKLM\SYSTEM\CurrentControlSet\Control\Lsa，将 RestrictAnonymous 值改为 0，并重启
适配新版 Windows 的 SMB 安全变更
Windows 11 24H2 / Server 2025 默认启用 SMB 签名和 Kerberos 强制认证，老旧设备或 IP 直连容易失败：
- 若访问 NAS、打印机或旧版 Windows（如 Win7/Win8），确认其支持 SMB 3.x 及签名；不支持则需在客户端放宽限制（不推荐长期开启）：
PowerShell 中执行：
Set-SmbClientConfiguration -RequireSecuritySignature $false -EnableSecuritySignature $false -Confirm:$false - 若用 IP 地址访问（如 \192.168.1.100\share）却提示 NTLM 被限，说明 Kerberos 无法协商。解决方法：
– 改用主机名访问（确保双方 hosts 文件或 DNS 解析正常）
– 或临时允许 NTLM：
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "LmCompatibilityLevel" -Value 1 -Force - KB5065426 等更新可能引入兼容性问题，若升级后突然失效，可先卸载该补丁验证是否为根源
