Windows连接SMB共享提示凭据错误

Question

在Windows系统中访问SMB共享时，用户常遇到“凭据错误”提示，即使输入了正确的用户名和密码也无法连接。该问题多发于跨域环境或工作组计算机之间，可能由NTLM身份验证策略限制、目标主机启用了SMB签名强制、本地安全策略禁止匿名访问，或凭据管理器缓存了旧凭据导致。此外，Windows 10/11默认禁用不安全的来宾登录，也会引发连接失败。需检查组策略设置“启用不安全的来宾登录”是否开启，并确认服务端SMB版本兼容性。

Answer 1

Windows系统中SMB共享访问凭据错误的深度分析与解决方案

1. 问题现象概述

在跨域或工作组环境中，用户尝试通过Windows资源管理器或命令行（如\\server\share）访问SMB共享时，频繁出现“用户名或密码不正确”的提示，即使输入了正确的凭据也无法建立连接。该问题在Windows 10/11系统中尤为常见，尤其在升级后或组策略变更后触发。

2. 常见成因分类

• NTLM身份验证策略限制（如仅允许NTLMv2）
• SMB签名强制启用导致兼容性问题
• 本地安全策略禁止匿名访问命名管道或共享
• 凭据管理器缓存了旧账户信息
• “启用不安全的来宾登录”策略未开启
• SMB客户端与服务端版本不兼容（如SMB1禁用）
• 目标主机防火墙阻止445端口通信
• Kerberos跨域信任配置错误
• 计算机时间偏差超过5分钟导致票据失效
• NetBIOS over TCP/IP未启用（在部分老旧网络中）

3. 分析流程图：凭据错误排查路径

graph TD
    A[无法访问SMB共享] --> B{是否在同一域?}
    B -->|是| C[检查Kerberos票据]
    B -->|否| D[检查NTLM策略]
    C --> E[使用klist查看TGT]
    D --> F[确认NTLMv2是否强制]
    F --> G[检查本地安全策略]
    G --> H[查看是否启用SMB签名]
    H --> I[检查组策略: 不安全的来宾登录]
    I --> J[清除凭据管理器缓存]
    J --> K[测试net use命令连接]
    K --> L[抓包分析SMB协商过程]
    L --> M[确认SMB协议版本匹配]
    

4. 关键组策略设置核查表

策略名称	路径	推荐值	说明
启用不安全的来宾登录	计算机配置 → 管理模板 → 网络 → Lanman工作站	已启用	允许Windows 10/11以来宾身份连接匿名共享
网络安全: LAN Manager身份验证级别	计算机配置 → Windows设置 → 安全设置 → 本地策略 → 安全选项	发送NTLMv2响应，拒绝LM & NTLM	平衡安全性与兼容性
Microsoft网络客户端: 数字签名通信（始终）	同上	已禁用	避免因SMB签名强制导致连接失败
账户: 使用空密码的本地账户只允许控制台登录	同上	已禁用	若使用无密码账户访问共享需调整

5. 凭据管理器清理操作步骤

1. 打开“控制面板” → “凭据管理器”
2. 切换到“Windows凭据”标签页
3. 查找与目标共享服务器相关的条目（如MicrosoftAccount1234567890或TERMSRV/server.domain.com）
4. 点击展开并选择“删除”
5. 重启计算机或运行cmdkey /delete:target命令
6. 重新尝试连接SMB共享
7. 若仍失败，可临时启用SMB1客户端进行测试（不推荐长期使用）

6. 命令行诊断工具集

# 查看当前SMB连接状态
net use

# 删除所有现有连接
net use * /delete /y

# 使用指定凭据连接（绕过缓存）
net use \\SERVER\Share /user:DOMAIN\User Password123!

# 查看SMB客户端支持的协议版本
Get-SmbConnection | Select ServerName, Encrypted, Dialect

# 启用不安全的来宾登录（需管理员权限）
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" -Name "AllowInsecureGuestAuth" -Value 1

# 检查防火墙是否放行SMB
Get-NetFirewallRule -DisplayName "*SMB*" | Select DisplayName, Enabled
    

7. SMB版本兼容性矩阵

Windows 版本	SMB1 默认状态	SMB2 支持	SMB3 支持	备注
Windows 7	启用	√	×	SMB3需更新补丁
Windows 10 (1709+)	禁用	√	√	默认禁用不安全的来宾登录
Windows 11	禁用	√	√	强烈建议关闭SMB1
Windows Server 2019	禁用	√	√	支持SMB加密与持续可用性

8. 高级调试手段

当常规方法无效时，可采用以下深入分析方式：

• 使用Wireshark抓取SMB/NBSS流量，分析Negotiate Protocol Request/Response过程
• 启用SMB服务器日志：wevtutil set-log Microsoft-Windows-SMBServer/Analytical /e:true
• 检查事件查看器中“Security”日志中的4625（登录失败）和514（身份验证包）事件
• 通过PowerShell脚本模拟连接并捕获异常堆栈
• 验证DNS解析是否准确指向目标SMB服务器IP
• 检查目标主机注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\RequireSecuritySignature