远程smb服务器协议版本需与mac协商一致，强制smb3加密须通过sudo写入配置、重启服务并用mount_smbfs或mount_smb硬编码encrypt=yes或-e aes-128-gcm参数，否则默认不启用端到端加密。
确认远程SMB服务器支持的协议版本
打开终端，执行：nc -zv 100.66.1.2 445（将IP替换为你的远程SMB服务器组网IP），验证端口连通性。不通则说明节点小宝异地组网未就绪或防火墙拦截，后续所有加密配置都无效。
在远程NAS或Windows服务器上查清它启用的SMB协议范围：Synology DSM需进「控制面板 > 文件服务 > SMB」查看“最小/最大SMB协议”；Windows Server需运行Get-SmbServerConfiguration | Select EnableSMB1Protocol,EnableSMB2Protocol,EncryptData。Mac只与服务器共同支持的最高协议版本协商，不是你单方面指定就能生效。
强制Mac客户端使用SMB3加密连接
macOS Ventura及更新系统默认启用SMB3，但不会自动开启端到端加密——它只在服务器明确要求时才启用。要绕过协商、强制走加密通道，必须手动注入参数。
在终端中执行：sudo defaults write /Library/Preferences/SystemConfiguration/com.apple.smb.server EnableSMBEncryption -bool YES。这一步写入的是服务端配置键名，但实际作用是向客户端SMB栈注入加密偏好，【必须用sudo且路径不能少一个字符，否则完全不生效】。
重启SMB客户端栈：sudo killall -HUP mDNSResponder && sudo pkill -f "smbd"。不执行此步，旧连接缓存会继续用非加密SMB2.1通信。
通过挂载命令硬编码SMB3加密标识
方法一：使用mount_smbfs直接挂载并声明协议
先创建本地挂载点：mkdir -p ~/mnt/remote-secure。
执行挂载命令：mount_smbfs -o smbios=3.1.1,signing_required=yes,encrypt=yes //user@100.66.1.2/Share ~/mnt/remote-secure。其中smbios=3.1.1强制锁定协议版本，encrypt=yes跳过协商直接启用AES-128-GCM加密。
方法二：改用更可控的mount_smb命令（macOS 13+推荐）
sudo mount_smb -N -E AES-128-GCM //user@100.66.1.2/Share ~/mnt/remote-secure。-E参数后必须紧跟加密算法全称，空格或拼写错误会导致挂载失败并返回模糊的“Operation not supported”。
挂载后验证是否真加密：iosnoop -n mount_smb | grep -i encrypt，看到“encryption enabled”字样即成功。
