局域网共享访问时提示“用户名或密码错误”如何排查？

Question

局域网共享访问提示“用户名或密码错误”，常见原因包括：①目标主机未启用“密码保护的共享”（Win10/11默认开启，需在“高级共享设置”中确认）；②访问方凭据与目标主机本地账户不匹配（注意：Windows家庭组不支持凭据传递，必须使用目标机存在的本地账号+正确密码）；③目标账户无共享权限或NTFS权限（需同时赋予“共享权限”和“安全权限”）；④凭据管理器缓存了错误凭据（运行`control keymgr.dll`清除旧条目）；⑤SMB协议版本不兼容（如Win11禁用SMBv1，而旧设备仅支持v1，需统一启用SMBv2/v3）；⑥系统启用了“网络访问：不允许存储网络身份验证的凭据”组策略。建议按“目标机账户→共享/NTFS权限→SMB设置→凭据缓存→防火墙/杀软拦截”顺序排查，优先使用IP直连（如`\\192.168.1.100\share`）排除DNS或NetBIOS干扰。

Answer 1

```html

一、表层现象：错误提示的语义陷阱与直觉误区

“用户名或密码错误”是Windows SMB共享中最具误导性的错误消息之一——它并非仅指向凭据本身错误，而是SMB身份验证链中任意环节失败（如NTLM协商中断、SPN缺失、Kerberos票据拒收）的统一兜底提示。大量工程师第一反应重输密码，却忽略该错误在Wireshark中常伴随SMB2 SESSION_SETUP响应码0xc000006d（STATUS_LOGON_FAILURE）或0xc0000064（STATUS_WRONG_PASSWORD），二者需结合Netlogon日志进一步区分。

二、账户层诊断：本地凭据一致性是前提

• 目标主机必须存在与访问方输入完全一致的本地用户账户（非Microsoft账户别名，需net user可见）；
• 禁用“家庭组”后仍需确认：services.msc中HomeGroup Listener/Provider已停止并设为禁用；
• 关键验证命令：winrm quickconfig -quiet && winrm get winrm/config/service/auth可暴露NTLM是否启用——若AllowNegotiate = false，则强制Kerberos失败时无回退机制。

三、权限双轨制：共享权限与NTFS权限的协同失效

二者关系非“取并集”，而是“取交集”。以下表格说明典型配置陷阱：

场景	共享权限	NTFS权限	实际访问结果
A	Everyone: 读取	Users: 修改	✅ 可读写（交集为读取+修改）
B	Domain Users: 更改	Authenticated Users: 读取	❌ 仅能读取（交集降级）
C	MyUser: 完全控制	MyUser: 拒绝写入	❌ 写入被显式拒绝（拒绝优先于允许）

四、协议栈深度：SMB版本协商与加密策略冲突

Win11默认禁用SMBv1且强制SMB签名，但旧NAS或嵌入式设备可能仅支持SMBv1且未启用签名。诊断流程如下：

# 在目标机执行，检查SMB服务状态
Get-SmbServerConfiguration | Select EnableSMB1Protocol, EncryptData, RequireSecuritySignature
# 强制客户端使用SMBv3（绕过自动协商）
New-PSDrive -Name Z -PSProvider FileSystem -Root "\\192.168.1.100\share" -Persist -Authentication Negotiate

五、安全策略干预：组策略与凭据管理器的隐性阻断

graph TD
  A[访问请求发起] --> B{组策略检查}
  B -->|网络访问：不允许存储凭据=启用| C[凭据不缓存→每次需手动输入]
  B -->|网络安全：LAN Manager身份验证级别=发送NTLMv2响应| D[SMBv1客户端直接失败]
  C --> E[凭据管理器keymgr.dll]
  E --> F[残留旧凭据导致AUTH_FAILED]
  F --> G[control keymgr.dll → 删除所有Windows凭据]

六、网络层隔离：防火墙规则与NetBIOS依赖性

• Windows Defender防火墙需放行：File and Printer Sharing（对应UDP 137-138/TCP 139,445）；
• 禁用NetBIOS后，\\hostname\share解析失败，但\\192.168.1.100\share仍应成功——若IP直连失败，则问题必在SMB协议栈或认证层；
• 企业环境中，需检查netsh interface ipv4 show interfaces输出中“Dhcp Enabled”是否为Yes，因静态IP下DNS后缀缺失会导致SPN解析失败。

七、高级排错：事件日志与协议抓包交叉验证

核心日志路径：Event Viewer → Windows Logs → Security，筛选事件ID 4625（登录失败）并检查Sub Status字段：
• 0xc0000064：用户名不存在
• 0xc000006d：凭据正确但权限不足或策略阻止
• 0xc0000225：SMB签名不匹配
配合Wireshark过滤器：smb2 && smb2.cmd == 1（Session Setup），观察Negotiate Context字段是否含Signing Required标志。

八、生产环境加固建议：最小权限原则落地

1. 禁用Guest账户并移除其所有共享/NTFS权限；
2. 对共享文件夹启用Access-Based Enumeration（ABE），避免用户看到无权访问的目录；
3. 通过gpedit.msc → Computer Config → Admin Templates → Network → Lanman Workstation启用Enable insecure guest logons = Disabled；
4. 定期运行net share与icacls "D:\share" /save perms.txt /t进行权限基线审计。

九、跨平台兼容性：Linux Samba与Windows互访特殊处理

当Samba服务器作为目标时，需确保smb.conf中包含：
server min protocol = SMB2
server max protocol = SMB3
ntlm auth = yes
lanman auth = no
否则Windows客户端因默认禁用LM/NTLMv1而无法完成质询-响应握手。此时错误日志中将出现NT_STATUS_INVALID_PARAMETER而非密码错误。

十、自动化诊断脚本：一键捕获关键状态

# PowerShell诊断聚合脚本（以管理员运行）
$diag = @{}
$diag.SMBConfig = Get-SmbServerConfiguration | Select EnableSMB1Protocol,EncryptData
$diag.Firewall = Get-NetFirewallRule -DisplayName "*File and Printer*" | Select DisplayName,Enabled
$diag.Credentials = cmdkey /list | Select-String "Target"
$diag.ShareACL = Get-SmbShare | ForEach-Object { 
  $sh = $_.Name; 
  [PSCustomObject]@{
    Share = $sh
    ACL = (Get-SmbShareAccess $sh).AccountName -join ','
  }
}
$diag | ConvertTo-Json -Depth 5 | Out-File "$env:TEMP\smb-diag-$(Get-Date -f yyyyMMdd-HHmm).json"

```