如何解决Windows文件夹共享后无法访问或提示“拒绝访问”？

Question

Windows文件夹共享后提示“拒绝访问”，常见原因有三：一是本地安全策略禁用了“网络访问：本地账户的共享和安全模型”（默认为“仅来宾”），需改为“经典-对本地用户进行身份验证”；二是目标文件夹NTFS权限未赋予访问用户（如Everyone或具体用户）读取/修改权限，仅设置共享权限无效；三是SMB 1.0协议被禁用（Win10/11默认关闭），而旧设备或配置依赖该协议，需在“启用或关闭Windows功能”中手动开启（不推荐生产环境长期启用，应优先升级至SMB 2+/3+并配置正确凭据）。此外，防火墙阻止445端口、凭据管理器缓存错误密码、或用户未加入同一工作组/域，也会导致访问失败。排查建议按“网络连通性→共享权限→NTFS权限→SMB版本→凭据与防火墙”顺序逐层验证。

Answer 1

```html

一、网络连通性层：基础通信是否成立？

这是所有共享访问的前置条件。若目标主机不可达，后续所有配置均无意义。需验证：

• 使用 ping <目标IP或主机名> 确认ICMP可达（注意：部分环境禁ping，需结合其他手段）；
• 执行 telnet <目标IP> 445（需启用Telnet客户端）测试SMB端口连通性；
• 检查双方是否处于同一子网/正确路由下，工作组（Workgroup）名称一致（非域环境下关键）；
• 确认目标主机未启用“网络发现”或“文件和打印机共享”被系统策略/组策略禁用。

二、共享权限层：SMB共享级访问控制

共享权限仅控制“通过UNC路径（如\\server\share）进入共享点”的粗粒度授权，不涉及文件系统细节：

操作项	推荐实践
共享向导中用户/组添加	避免仅依赖Everyone，应显式添加Authenticated Users或具体用户（如DOMAIN\user）
权限级别选择	读取（Read）、更改（Change）、完全控制（Full Control）需按最小权限原则分配

三、NTFS权限层：真正的访问闸门（常被忽略！）

Windows共享访问是共享权限 ∩ NTFS权限的交集结果——任一为“拒绝”即阻断。典型误操作：仅设共享权限却未配置NTFS。

• 右键文件夹 → “属性” → “安全”选项卡 → 检查目标用户/组是否存在且含读取和执行、列出文件夹内容、读取（必要时加写入）；
• 若用户不存在，点击“编辑”→“添加”→输入用户名（支持BUILTIN\Users、DOMAIN\Domain Users等）；
• 注意：继承权限是否启用？若父文件夹禁用继承，子项需手动赋权；
• 特殊场景：若启用了“加密文件系统（EFS）”，即使权限正确也无法访问加密文件。

四、身份验证模型层：本地安全策略的隐形开关

该策略直接决定Windows如何处理本地账户的网络登录请求：

1. 运行 gpedit.msc → 计算机配置 → Windows设置 → 安全设置 → 本地策略 → 安全选项；
2. 定位策略：“网络访问：本地账户的共享和安全模型”；
3. 默认值为仅来宾 - 对本地用户进行本地身份验证（导致非Guest账户被强制映射为Guest，权限极低）；
4. 生产环境应设为经典 - 对本地用户进行身份验证，确保凭据以实际用户名传递并匹配NTFS主体。

五、SMB协议栈层：版本兼容性与安全演进

SMB协议存在代际差异，Win10/11默认禁用SMBv1（存在永恒之蓝漏洞），但老旧NAS、嵌入式设备或遗留脚本仍依赖它：

graph TD A[SMB连接失败] --> B{是否检测到SMBv1流量？} B -->|是| C[启用SMBv1功能
控制面板→程序→启用或关闭Windows功能→勾选SMB 1.0/CIFS] B -->|否| D[强制协商SMBv2+/v3
PowerShell: Set-SmbServerConfiguration -EnableSMB2Protocol $true] C --> E[⚠️ 临时方案：仅用于排障，立即部署防火墙隔离+补丁更新] D --> F[推荐：升级客户端/服务端至SMBv3，启用签名与加密]

六、凭据与会话管理层：缓存陷阱与上下文错配

Windows凭据管理器（Credential Manager）会持久化错误密码，导致反复认证失败：

• 运行 control.exe /name Microsoft.CredentialManager 清除对应服务器条目；
• 使用 cmdkey /list 查看已保存凭据，cmdkey /delete:<target> 删除；
• 在资源管理器地址栏输入 \\<ip>\share 时，若提示“输入网络凭据”，务必勾选“记住我的凭据”并确保用户名格式正确（.\user 表示本地，domain\user 表示域）；
• 多用户登录同一台PC时，SMB会话可能残留旧凭据，建议注销后重试。

七、防火墙与服务层：端口与守护进程双校验

即使网络连通，若关键服务未运行或端口被拦截，SMB仍不可用：

组件	验证命令	修复动作
Server服务	sc query lanmanserver	若状态非RUNNING：net start lanmanserver
Windows防火墙规则	netsh advfirewall firewall show rule name="File and Printer Sharing (SMB-In)"	启用规则或放行TCP 445、UDP 137-138

```