工作组环境下配置windows server smb共享的关键是本地账户认证与权限叠加：需设网络为“专用”、启用网络发现和smb服务；创建专用本地用户（如shareuser）并确保客户端以“服务器名用户名”格式输入凭据；共享权限与ntfs权限取交集，二者须协同配置；防火墙必须放行tcp 445端口，并清除凭据管理器中的错误缓存。
在工作组环境下配置 windows server 的 smb 共享，关键不是“能不能开共享”，而是“让谁以什么身份、用什么权限、安全地访问”。没有域控制器时，所有认证和权限都依赖本地账户+手动映射，稍有疏漏就会出现“输入凭据后仍拒绝访问”“能看到共享名但打不开”“mac/linux连不上”等问题。下面分四步说清核心操作和避坑要点。
确保网络发现与SMB服务已启用
这是最常被跳过的前置步骤。Windows Server 默认对“公用网络”极其保守：
- 打开“设置 → 网络和 Internet → 以太网（或 Wi-Fi）”，点击当前连接 → 将“网络配置文件”设为专用（不是公用）
- 进入“控制面板 → 网络和 Internet → 网络和共享中心 → 高级共享设置”，在“专用”配置下开启：启用网络发现、启用文件和打印机共享
- 确认 SMB 服务器功能已安装：打开“服务器管理器 → 添加角色和功能 → 功能 → SMB 1.0/CIFS 文件共享支持”（仅当需兼容老旧设备才勾选；日常建议保持默认的 SMB 2.1+，更安全高效）
创建本地用户并匹配客户端登录凭据
工作组中没有域账号同步，客户端访问时必须提供 Server 上存在的本地用户名+密码，且用户名不能是 Administrator（部分版本限制）：
- 在 Server 上新建专用账户（如 shareuser），设强密码，不勾选“用户下次登录时须更改密码”
- 确保该用户属于 Users 组（基础访问必需），如需写入权限，可额外加入 Power Users 或自定义组
- 客户端（Windows/macOS/Linux）连接时，必须显式输入 \服务器IP共享名，并在弹出窗口中填入 服务器名shareuser（例如
SERV01shareuser）及对应密码 - 若用 IP 直连（如
\192.168.1.100Docs），客户端凭据管理器中若存有旧的错误凭据，会自动发送导致失败——需进“凭据管理器 → Windows 凭据 → 删除所有含该 IP 或服务器名的条目”
正确叠加共享权限与 NTFS 权限
Windows 权限是“共享权限 ∩ NTFS 权限”的交集，二者取更严格者。工作组中务必按此逻辑配置：
- 共享权限（右键文件夹 → 属性 → 共享 → 高级共享 → 权限）：建议统一设为 Everyone - 读取 或 shareuser - 更改；避免用“完全控制”，它不等于 NTFS 完全控制
- NTFS 权限（同一文件夹属性 → 安全 → 编辑）：给 shareuser 显式赋予 修改 或 完全控制；同时确认 SYSTEM 和 Administrators 有完全控制（系统维护必需）
- 切勿依赖 Everyone 在 NTFS 中直接赋权——它易引发越权，且与后续审计冲突；最小权限原则优先
开放防火墙并验证端口连通性
即使共享开着、权限设对，防火墙一挡就全白搭。SMB 主要走 TCP 445 端口（非 NetBIOS 的 139）：
- 运行
wf.msc打开高级安全防火墙 → 入站规则 → 启用以下三项：文件和打印机共享（SMB-In）、文件和打印机共享（NB-Session-In）、核心网络诊断（ICMPv4-In） - 从客户端命令行执行：
ping 服务器IP（确认基础连通）→telnet 服务器IP 445（确认端口开放；若提示“未找到 telnet”，先在“启用或关闭 Windows 功能”中打开 Telnet 客户端） - Mac 访问时，Finder → 前往 → 连接服务器 → 输入
smb://服务器IP/共享名；若提示“连接服务器时出现问题”，90% 是 445 被阻或凭据格式错（Mac 不识别.username，必须用服务器名username或username@服务器名）
