0X00000011b错误导致打印机共享失败

Question

当用户尝试在Windows系统间共享打印机时，常遇到“0x00000011b”错误，导致连接失败。该问题多出现在更新KB5005565或更高版本后，系统将SMBv1默认禁用，而部分旧设备或驱动依赖此协议。此外，组策略中“不安全的来宾登录”被禁用也会阻止匿名访问共享打印机。常见表现为客户端添加打印机时报错“无法连接打印机”，事件查看器显示SMB相关错误代码。需通过启用SMBv1（不推荐）、配置注册表允许不安全来宾登录或部署新版驱动解决。

Answer 1

1. 问题背景与现象描述

在企业IT运维中，Windows系统间共享打印机是常见需求。然而，在安装了KB5005565或更高版本补丁后，用户频繁报告“0x00000011b”错误，导致无法连接到网络共享打印机。该错误通常表现为客户端在添加打印机时提示“操作无法完成（错误0x00000011b）”，同时事件查看器中记录SMB相关通信失败日志。

此问题的根本原因在于微软为提升安全性，默认禁用了不安全的SMBv1协议，并强化了对“不安全的来宾登录”的限制。由于部分老旧打印机驱动或设备仍依赖SMBv1进行文件和打印共享，导致兼容性中断。

2. 技术原理分析：SMB协议演进与安全策略变更

• SMBv1：已知存在严重安全漏洞（如EternalBlue），自Windows 10版本1709起逐步弃用。
• KB5005565更新：引入了对SMB连接的身份验证增强，默认阻止匿名访问共享资源。
• 组策略设置：“启用不安全的来宾登录”被默认设为“已禁用”，阻止未认证访问。
• 影响范围：主要涉及通过主机名/IP直接访问的共享打印机路径，如\\PRINTSERVER\HP_LaserJet。

3. 故障排查流程图

graph TD
    A[客户端添加打印机失败, 错误0x00000011b] --> B{检查目标系统是否安装KB5005565+}
    B -- 是 --> C[确认SMBv1状态]
    B -- 否 --> D[检查网络连通性与共享权限]
    C --> E{SMBv1是否启用?}
    E -- 否 --> F[尝试启用SMBv1或替代方案]
    E -- 是 --> G[检查注册表项AllowInsecureGuestAuth]
    G --> H{值为1?}
    H -- 否 --> I[修改注册表允许不安全来宾登录]
    H -- 是 --> J[检查打印机驱动兼容性]
    J --> K[部署新版WHQL认证驱动]

4. 解决方案对比表

方案	操作方式	安全性	适用场景	长期可行性
启用SMBv1	通过“启用或关闭Windows功能”勾选SMB 1.0/CIFS支持	低（存在远程执行风险）	临时应急，遗留设备无驱动更新	不推荐，未来系统可能完全移除
配置AllowInsecureGuestAuth	注册表路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters，新建DWORD值AllowInsecureGuestAuth=1	中（仅开放来宾访问，仍使用SMB2+加密通道）	混合环境，需快速恢复打印服务	可接受，微软官方提供选项
部署新版驱动	从厂商获取支持SMB2/3的通用驱动或PCL6/UFR II驱动	高	现代化办公环境，具备资产管理能力	最佳实践，推荐长期采用
使用本地端口重定向	创建TCP/IP端口指向打印服务器IP，避免SMB共享路径	高	特定型号支持Raw端口打印	稳定，但配置复杂度较高

5. 注册表修复脚本示例

以下为批量部署“允许不安全来宾登录”的PowerShell脚本：

# 检查并设置AllowInsecureGuestAuth
$path = "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters"
$name = "AllowInsecureGuestAuth"
$value = 1

if (-not (Get-ItemProperty -Path $path -Name $name -ErrorAction SilentlyContinue)) {
    New-ItemProperty -Path $path -Name $name -Value $value -PropertyType DWORD | Out-Null
} else {
    Set-ItemProperty -Path $path -Name $name -Value $value
}

Write-Host "已配置AllowInsecureGuestAuth=$value，重启工作站服务生效。"
Restart-Service LanmanWorkstation -Force

6. 组策略与域环境适配建议

在Active Directory环境中，可通过GPO统一推送注册表策略：

1. 打开“组策略管理编辑器”
2. 导航至：计算机配置 → 策略 → Windows 设置 → 安全设置 → 本地策略 → 安全选项
3. 找到“网络安全：本地账户的共享和安全模型”，设置为“经典”模式（可选）
4. 使用“首选项注册表”功能添加AllowInsecureGuestAuth=1
5. 链接至OU下的打印客户端或服务器组织单元
6. 执行gpupdate /force验证策略应用
7. 监控事件ID 4656（对象访问）以审计SMB访问行为
8. 结合WSUS或Intune实现补丁分级部署，避免大规模中断
9. 建立驱动镜像库，预装兼容驱动于标准镜像
10. 启用打印后台处理程序日志（PrintService Operational Log）进行深度诊断