银河麒麟V10SP1开启Samba后Windows无法发现共享？

Question

在银河麒麟V10 SP1上启用Samba服务后，Windows客户端（尤其是Win10/Win11）常无法在“网络”中发现Linux共享，表现为“找不到网络路径”或“网络发现已关闭”提示。该问题并非Samba服务未运行，而是因银河麒麟默认启用**SMBv1禁用策略**、**NetBIOS over TCP/IP未启用**、**防火墙未放行UDP 137–138/TCP 139–445端口**，且Samba配置中`browseable = yes`、`local master = yes`、`os level = 20`等关键发现参数缺失或被注释。此外，Windows端若关闭“网络发现”“文件和打印机共享”或启用了“密码保护共享”，亦会导致共享不可见。需同步检查`/etc/samba/smb.conf`全局段配置、systemd-samba服务状态、SELinux/AppArmor策略（如有），并确认麒麟系统时间与Windows基本同步（Kerberos认证场景下尤为重要）。

Answer 1

```html

一、现象层：Windows客户端“网络”中无法发现银河麒麟Samba共享

在Win10/Win11资源管理器左侧导航栏点击“网络”时，仅显示本地工作组（如WORKGROUP），无任何Linux主机图标；双击提示“找不到网络路径”或“网络发现已关闭”。该现象具有强复现性，且smbstatus与systemctl status smb均显示服务正常运行——说明问题本质非服务宕机，而是服务可见性缺失。

二、协议栈层：SMB协议版本与NetBIOS基础能力被系统级抑制

• 银河麒麟V10 SP1默认启用内核级SMBv1禁用策略（/proc/sys/net/ipv4/conf/all/nbma_disabled = 1），而Windows网络发现依赖SMBv1的NetBIOS Name Service（NBNS）广播机制进行主机名解析；
• 网卡IPv4属性中“Microsoft 网络客户端”已启用，但“NetBIOS over TCP/IP”默认为“启用TCP/IP上的NetBIOS”未勾选（需手动开启）；
• 执行sudo sysctl -w net.ipv4.conf.all.nbma_disabled=0并持久化至/etc/sysctl.conf是必要前置动作。

三、网络策略层：防火墙端口策略与Samba服务监听面不匹配

端口	协议	用途	麒麟默认状态
137	UDP	NetBIOS名称服务（NBNS）	被firewalld屏蔽
138	UDP	NetBIOS数据报服务（NBDS）	未开放
139	TCP	NetBIOS会话服务（NBSS）	未放行
445	TCP/UDP	SMB直接宿主（Direct SMB）	仅部分开放

执行以下命令完成策略修复：
sudo firewall-cmd --permanent --add-port={137/udp,138/udp,139/tcp,445/tcp,445/udp}
sudo firewall-cmd --reload

四、Samba配置层：关键网络发现参数缺失或被注释

检查/etc/samba/smb.conf全局段（[global]），必须确保以下参数显式启用：

[global]
   workgroup = WORKGROUP
   server string = %h server (Kylin V10 SP1)
   dns proxy = no
   browseable = yes
   local master = yes
   os level = 20
   preferred master = yes
   domain master = no
   wins support = yes
   name resolve order = wins bcast host lmhosts

⚠️ 注意：os level = 20需高于Windows默认值（Win10为8，Win11为10），否则无法成为浏览主服务器（Browser Master）。

五、Windows客户端层：系统级网络发现功能被策略关闭

1. 控制面板 → “网络和Internet” → “网络和共享中心” → “高级共享设置”；
2. 启用“网络发现”与“文件和打印机共享”；
3. 关闭“密码保护的共享”（除非已配置Samba用户映射与Kerberos域控）；
4. 在PowerShell中执行：Set-NetFirewallRule -DisplayGroup "文件和打印机共享" -Enabled True。

六、安全增强层：SELinux/AppArmor与时间同步验证

graph TD A[SELinux状态检查] -->|sestatus -v| B{是否enforcing?} B -->|是| C[执行 sudo setsebool -P samba_export_all_ro on
sudo setsebool -P samba_export_all_rw on] B -->|否| D[跳过] E[时间同步验证] -->|timedatectl status| F{与Windows偏差>5min?} F -->|是| G[配置chrony指向同一NTP源
sudo chronyc add server 192.168.1.1 iburst]

七、服务治理层：Samba守护进程与依赖服务联动校验

银河麒麟V10 SP1使用smbd与nmbd双守护进程模型，需确认二者均处于active状态：

sudo systemctl enable smb nmb
sudo systemctl restart smb nmb
sudo systemctl status smb nmb | grep -E 'Active:|Loaded:'

若nmbd未启动，则NetBIOS名称广播失效，Windows将完全无法感知主机存在。

八、诊断工具链：跨平台连通性分层验证矩阵

• 第1层（IP层）：ping 麒麟IP —— 验证基础连通性
• 第2层（NetBIOS层）：nbtstat -A 麒麟IP（Win）或nmblookup -B 麒麟主机名（麒麟）
• 第3层（SMB会话层）：smbclient -L //麒麟IP -U%（匿名列表）
• 第4层（Windows集成层）：net view \\麒麟主机名（需关闭密码保护共享）

九、生产加固建议：最小权限原则下的可发现性保障

在满足业务前提下，推荐采用如下组合策略替代SMBv1：

• 启用SMBv2/v3并强制签名：server min protocol = SMB2 + smb ports = 445；
• 部署WINS服务器或静态/etc/hosts映射规避NBNS依赖；
• 对关键共享启用valid users = @sambashare并配合map to guest = never提升安全性；
• 通过testparm -v输出完整配置快照，比对官方最佳实践文档。

十、根因归类与长效运维机制

本问题本质是多维策略叠加导致的服务不可见性，涉及OS内核策略、网络中间件、应用配置、客户端策略四大平面。建议将以下检查项固化为Ansible Playbook或Shell巡检脚本：

1. SMB协议版本兼容性检测
2. NetBIOS相关sysctl参数校验
3. firewalld端口规则完整性扫描
4. smb.conf全局段关键参数自动注入
5. Windows组策略GPO合规性远程审计（通过WinRM）
6. 跨主机NTP偏差自动化告警
7. nmbd进程存活与广播日志轮询（/var/log/samba/nmbd.log）
8. Windows Event Log中“DNS Client Events”与“SMB Client Events”关联分析

```