PowerShell 开启共享文件夹功能｜完整拆解解构通过 PowerShell 新建 / 启用 SMB 文件共享（Windows 共享文件夹），SMB 协议 + Server 服务（LanmanServer）Windows 文件共享底层基于 SMB（Server Message Block）协议LanmanWorkstation（Workstation）：SMB 客户端（访问别人共享）

PowerShell 开启共享文件夹功能｜完整拆解解构

场景说明：通过 PowerShell 新建 / 启用 SMB 文件共享（Windows 共享文件夹），

核心载体：SMB 协议 + Server 服务（LanmanServer）

先厘清边界：

共享文件夹分为两层：

1）系统层面：启动 SMB 服务、开启防火墙规则、启用文件和打印机共享组件；

2）共享层面：对本地目录创建 SMB Share，配置共享名、缓存、权限、离线可用等。

一、基础技术原理总览

Windows 文件共享底层基于 SMB（Server Message Block）协议

Windows 服务模型：

LanmanServer（Server）：提供 SMB 服务端，对外暴露文件夹共享
LanmanWorkstation（Workstation）：SMB 客户端（访问别人共享）

数据流模型：

plaintext

远程客户端（SMB 客户端）
 ↓ TCP 445（SMB over TCP/IP）
防火墙放行文件共享流量
 ↓ tcpip.sys → srv.sys（SMB 服务端内核驱动）
 ↓ LanmanServer(svchost) → 本地文件系统 ntfs.sys
 ↓ 本地磁盘文件

关键组件分层

内核驱动：srv.sys（SMB1/2/3 服务端驱动）
用户态服务：LanmanServer（承载 SMB 管理、共享列表、权限校验）
API：srvcli.dll、netapi32.dll 提供共享管理接口
PowerShell SmbShare Cmdlet 本质是封装这套 Win32 API

重要区分：

SMB1：老旧、存在安全漏洞，默认现代系统禁用

SMB2/SMB3：Windows 10/11、Server 主流协议（支持持续可用、加密、RDMA、目录缓存）

二、完整执行链路：PowerShell 创建共享的时序

典型命令参考

powershell

# 1. 创建本地目录
New-Item C:\ShareData -ItemType Directory
# 2. 创建SMB共享
New-SmbShare -Name "ShareData" -Path "C:\ShareData" -FullAccess Everyone

调用链路自上而下

plaintext

PowerShell (pwsh/powershell.exe)
    ↓
SmbShare Module (SmbShare.psd1 + SmbWmiProvider / netapi32.dll)
    ↓ Win32 API / WMI
svchost.exe 承载 LanmanServer (Server) 服务
    ↓ RPC 与内核驱动交互
srv.sys（内核SMB服务驱动）
    ↓
ntfs.sys 文件系统驱动（访问本地目录）

三、依赖文件清单

1）PowerShell 层模块

SmbShare PowerShell 内置模块（New-SmbShare/Get-SmbShare/Remove-SmbShare/Set-SmbShare）
Microsoft.Windows.SmbShare.Commands.dll：SMB Cmdlet 实现
netapi32.dll：Windows Network API（传统共享管理底层）
rpcrt4.dll：RPC 远程过程调用（服务间通信核心）

2）SMB 服务用户态组件

svchost.exe：宿主进程，运行 LanmanServer
srvsvc.dll：LanmanServer 服务 DLL（Server 服务主体）

3）内核驱动（核心）

srv.sys：SMB 服务端驱动（SMB2/SMB3）
srv2.sys / srvnet.sys：SMB 网络层辅助驱动
ntfs.sys：本地 NTFS 文件系统
tcpip.sys：TCP 协议栈，监听 445 端口

4）防火墙相关组件

wfapi.dll：高级防火墙 API

PowerShell 命令 Set-NetFirewallRule 依赖此库放行「文件和打印机共享」

5）存储共享配置的注册表

reg

# 所有SMB共享持久化配置
HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Shares

# LanmanServer服务参数（SMB协议启用、缓存、超时设置）
HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

# SMB全局协议配置
HKLM\SYSTEM\CurrentControlSet\Services\Srv\Parameters

关键点：创建共享后，配置写入上述注册表；重启系统共享不会丢失。

四、必需后台服务依赖（缺一不可）

LanmanServer (Server)

提供 SMB 共享服务，核心依赖；服务停止，所有共享立即离线
LanmanWorkstation (Workstation)

SMB 客户端；本机访问其他机器共享使用，本机对外提供共享不强制需要
RPC Endpoint Mapper (RpcEptMapper)
Remote Procedure Call (RPC)

五、四大必备前置条件（PowerShell 开启共享前必须就绪）

条件 1：LanmanServer 服务启动（自动启动）

查询命令

powershell

Get-Service LanmanServer

底层：srvsvc.dll 在 svchost 内加载，启动后加载内核 srv.sys，开始监听 TCP 445。

条件 2：防火墙放行「文件和打印机共享」

作用：允许入站 TCP 445；

防火墙规则名称：File and Printer Sharing (SMB-In)

PowerShell 放行命令

powershell

Set-NetFirewallRule -Name FPS-SMB-In-TCP -Enabled True

条件 3：本地目录存在 + NTFS 权限 + SMB 共享权限双重控制

⚠️ Windows 访问共享最终权限 = SMB 共享权限 ∩ NTFS 本地文件权限

很多共享访问失败根源：只配置共享权限，忘记 NTFS 安全权限。

条件 4：网络层面不屏蔽 445 端口

TCP 445 = SMB over IP；

域环境、企业防火墙经常拦截 445 公网访问（安全风险）。

六、完整逻辑链路拆解（分阶段）

链路 1：使用 New-SmbShare 创建共享完整流程

plaintext

1. 管理员权限启动PowerShell（非管理员无法修改LanmanServer共享配置）
2. New-SmbShare 解析参数：共享名、本地路径、访问权限
3. 通过 netapi32 / WMI 向 LanmanServer 发送创建共享RPC请求
4. LanmanServer(srvsvc.dll)校验：
   - 本地路径是否有效
   - 共享名是否重复
5. 将共享配置写入注册表 HKLM\...\LanmanServer\Shares
6. 通知内核驱动 srv.sys 注册该共享目录
7. 生效：外部客户端可通过 \\主机名\共享名 访问
8. PowerShell 返回共享对象，完成

链路 2：客户端访问共享数据流

plaintext

客户端 → TCP连接服务器445端口 → tcpip.sys → srv.sys
↓
srv.sys校验会话、凭据
↓
映射请求路径到本地NTFS目录
↓
srv.sys同时校验：SMB共享权限 + NTFS安全描述符
↓
允许/拒绝读写，返回文件数据

链路 3：典型故障断链场景

LanmanServer 禁用 / 停止 → New-SmbShare 报错，共享无法创建
防火墙未放行 445 → 共享创建成功，但外部无法连接
只设置共享权限，NTFS 权限不足 → 用户能看见共享目录但拒绝访问
SMB1 被全局禁用：老旧系统无法连接（现代系统默认仅启用 SMB2/3）
路径使用网络映射盘：不支持，SMB 共享只能发布本地物理磁盘路径

七、权限模型深度解构（极易踩坑）

两层权限叠加（取交集，更严格的生效）

SMB 共享权限：控制网络接入共享入口（谁能连接这个共享名）
NTFS 文件系统权限：控制目录内文件读写、修改、删除

示例：

共享权限给 Everyone【完全控制】

NTFS 权限仅 Administrator 可读

→ 普通用户依旧无法读写。

八、配套 PowerShell 命令链（完整开通共享标准化流程）

powershell

#1. 启动并设置LanmanServer自动运行
Set-Service LanmanServer -StartupType Automatic
Start-Service LanmanServer

#2. 防火墙放行SMB入站
Set-NetFirewallRule -Name FPS-SMB-In-TCP -Enabled True

#3. 创建本地目录
$sharePath = "C:\ShareData"
if(-not (Test-Path $sharePath)){New-Item $sharePath -ItemType Directory}

#4. 创建SMB共享
New-SmbShare -Name "ShareData" -Path $sharePath -FullAccess "Everyone"

#5. 验证共享列表
Get-SmbShare

#6. 查看当前SMB连接会话
Get-SmbSession

#7. 查看打开的文件句柄
Get-SmbOpenFile

九、关键边界与运维误区

❌ 不要公网直接暴露 445 端口；SMB 高危，极易遭受勒索病毒扫描攻击
❌ 不要依赖 SMB1；尽量关闭 SMBv1

powershell

Set-SmbServerConfiguration -EnableSMB1Protocol $false

✅ 共享路径必须是本机本地卷，不能是网络映射驱动器
✅ 修改共享配置不需要重启服务；新建 / 修改共享即时生效
✅ 注册表存储共享定义，重启系统共享自动恢复；使用 Remove-SmbShare 才会清除注册表条目

十、极简核心总结

PowerShell New-SmbShare 只是 API 封装，真正提供共享能力的是 LanmanServer（Server 服务）+ 内核 srv.sys SMB 驱动；
底层通信依靠 TCP 445 端口，必须配套防火墙放行规则；
访问权限由「SMB 共享权限 + NTFS 权限两层交集控制」；
共享配置持久化保存在 LanmanServer 注册表项，并非临时内存数据；
完整开通闭环：启动 LanmanServer → 防火墙放行 → 创建本地目录 → New-SmbShare → 权限核查。

生产环境 SMB 文件共享安全加固 PowerShell 脚本

脚本说明

运行要求：必须以【管理员身份】启动 PowerShell
核心能力清单

禁用不安全 SMBv1 协议，保留 SMB2/SMB3
开启 SMB 服务器安全选项（加密、签名）
启动并持久化 LanmanServer 服务
防火墙放行 SMB 入站规则
创建本地共享目录 + 最小权限原则（拒绝 Everyone 完全控制）
创建 SMB 共享，精细化共享权限
启用 SMB 审计日志（文件访问 / 删除 / 修改行为审计）
内置校验函数、错误捕获、执行日志输出

适配系统：Windows 10/11、Windows Server 2016/2019/2022
安全基线：禁止公网开放 445；仅内网使用

powershell

<#
.SYNOPSIS
生产环境安全加固：创建SMB共享｜关闭SMB1｜最小权限｜启用访问审计
.AUTHOR 运维自动化脚本
.NOTES
管理员权限运行；修改脚本顶部变量匹配业务需求
#>
#Requires -RunAsAdministrator

#region ======================【业务配置区，请按需修改】======================
$ShareName       = "BizShare"                  # SMB共享名称
$LocalPath       = "D:\BizShareData"            # 本地物理目录（不能使用网络映射盘）
$DomainUserGroup = "BUILTIN\Users"             # 授权访问用户/组（域环境改为 DOMAIN\Group）
$AdminGroup      = "BUILTIN\Administrators"    # 管理员权限组
$LogPath         = "C:\Windows\Logs\SMBShareDeploy.log"
#endregion

#region ====================== 日志函数 ======================
function Write-Log {
    param($Message)
    $logMsg = "[$(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')] $Message"
    Write-Host $logMsg
    Add-Content -Path $LogPath -Value $logMsg -Encoding utf8
}
#endregion

Write-Log "========== 开始执行 SMB共享安全加固脚本 =========="

try {
    # 1. 禁用 SMBv1 协议（高危协议，勒索病毒主要攻击入口）
    Write-Log "1. 执行关闭SMB1协议操作"
    Set-SmbServerConfiguration -EnableSMB1Protocol $false -Confirm:$false
    $smb1Status = Get-SmbServerConfiguration | Select -ExpandProperty EnableSMB1Protocol
    Write-Log "SMB1 当前状态：$smb1Status"

    # 可选：强制启用SMB加密（SMB3支持，建议域内生产开启）
    Write-Log "2. 开启SMB加密、启用安全签名"
    Set-SmbServerConfiguration `
        -EncryptData $true `
        -RequireSecuritySignature $true `
        -EnableSecuritySignature $true `
        -Confirm:$false

    # 2. 保障 LanmanServer 服务自动启动并运行
    Write-Log "3. 配置 LanmanServer (Server) 服务"
    Set-Service -Name LanmanServer -StartupType Automatic
    if ((Get-Service LanmanServer).Status -ne "Running") {
        Start-Service LanmanServer
        Write-Log "LanmanServer 服务已启动"
    }

    # 3. 防火墙放行SMB入站流量 TCP445
    Write-Log "4. 启用防火墙 文件和打印机共享(SMB-In)"
    Set-NetFirewallRule -Name FPS-SMB-In-TCP -Enabled True -Profile Any

    # 4. 创建本地目录（不存在则新建）
    Write-Log "5. 检查共享本地目录 $LocalPath"
    if (-not (Test-Path $LocalPath)) {
        New-Item -Path $LocalPath -ItemType Directory -Force | Out-Null
        Write-Log "目录已新建：$LocalPath"
    }

    # 5. NTFS 最小权限配置【核心加固：清除继承、删除多余权限】
    Write-Log "6. 配置目录NTFS最小安全权限"
    $acl = Get-Acl -Path $LocalPath
    # 禁用权限继承，复制现有权限
    $acl.SetAccessRuleProtection($true, $true)
    # 清理危险内置权限（删除Everyone匿名访问）
    $removeRules = @()
    foreach ($rule in $acl.Access) {
        if ($rule.IdentityReference.Value -match "^Everyone|Anonymous") {
            $removeRules += $rule
        }
    }
    foreach ($r in $removeRules) {
        $acl.RemoveAccessRule($r) | Out-Null
    }

    # 设置管理员：完全控制
    $ruleAdmin = New-Object System.Security.AccessControl.FileSystemAccessRule(
        $AdminGroup,
        "FullControl",
        "ContainerInherit,ObjectInherit",
        "None",
        "Allow"
    )
    $acl.AddAccessRule($ruleAdmin)

    # 普通业务用户：读取+写入（按需调整；如需只读改为 ReadAndExecute）
    $ruleUser = New-Object System.Security.AccessControl.FileSystemAccessRule(
        $DomainUserGroup,
        "Modify",
        "ContainerInherit,ObjectInherit",
        "None",
        "Allow"
    )
    $acl.AddAccessRule($ruleUser)

    # 应用NTFS权限
    Set-Acl -Path $LocalPath -AclObject $acl
    Write-Log "NTFS最小权限策略应用完成"

    # 6. 创建SMB共享；先判断共享是否已存在
    Write-Log "7. 创建/更新SMB共享 $ShareName"
    if (Get-SmbShare -Name $ShareName -ErrorAction SilentlyContinue) {
        Remove-SmbShare -Name $ShareName -Confirm:$false
        Write-Log "已删除旧共享实例"
    }
    # SMB共享权限：不开放Everyone
    New-SmbShare `
        -Name $ShareName `
        -Path $LocalPath `
        -ChangeAccess $DomainUserGroup `
        -FullAccess $AdminGroup `
        -EncryptData $true

    # 7. 启用文件夹审计策略（记录文件读写、删除、重命名）
    Write-Log "8. 启用目录安全审计日志"
    $auditRule = New-Object System.Security.AccessControl.FileSystemAuditRule(
        $DomainUserGroup,
        "Delete,Write,Read,Modify",
        "ContainerInherit,ObjectInherit",
        "None",
        "Success,Failure"
    )
    $acl.AddAuditRule($auditRule)
    Set-Acl -Path $LocalPath -AclObject $acl

    # 启用本地安全策略：开启对象访问审计（必须）
    auditpol /set /subcategory:"文件系统" /success:enable /failure:enable
    Write-Log "文件系统审计策略已激活，日志可在【事件查看器-安全】查看"

    # 8. 校验结果输出
    Write-Log "====== 部署完成，当前配置校验 ======"
    Write-Log "共享信息："
    Get-SmbShare -Name $ShareName | Select Name,Path,EncryptData
    Write-Log "SMB协议状态："
    Get-SmbServerConfiguration | Select EnableSMB1Protocol,EncryptData,RequireSecuritySignature
    Write-Log "访问地址：\\$($env:COMPUTERNAME)\$ShareName"
    Write-Log "========== 脚本执行结束 ==========`r`n"
}
catch {
    Write-Log "【异常】执行失败：$_"
    Write-Log "========== 脚本异常终止 ==========`r`n"
}

配套运维验证命令（执行脚本后核查）

powershell

# 查看共享列表
Get-SmbShare

# 查看当前SMB客户端连接
Get-SmbSession

# 查看被打开的文件句柄
Get-SmbOpenFile

# 查看SMB服务全局配置
Get-SmbServerConfiguration

# 审计日志位置（事件查看器）
# Windows日志 → 安全，筛选事件ID：4663（对象访问）

生产环境关键加固说明（底层原理对应）

关闭 SMB1

srv.sys 不再响应 SMB1 协商请求，抵御永恒之蓝类漏洞攻击；修改立即生效，无需重启服务。
SMB 加密 + 强制签名

基于 SMB3，客户端与服务端传输数据加密，防止内网抓包窃取文件内容。
双层权限控制

NTFS 权限（本地文件层）+ SMB 共享权限（网络接入层），拒绝单纯依靠共享权限的粗放配置。
审计机制

审计策略写入文件安全描述符，系统内核 ntfs.sys 在文件操作时生成安全事件，留存溯源记录。

风险提示 & 运维规范

禁止公网直接映射 TCP 445，如必须外网访问，改用 VPN / 端口转发 + 身份二次验证；
若客户端为老旧 XP 设备，无法兼容 SMB2/3，不要接入生产网络；
修改 -EncryptData $true 后，不支持 SMB1 客户端；
审计日志会持续增长，建议配置日志轮转，防止磁盘占满。

SMB 共享访问故障标准化排查清单

覆盖四大类典型问题：无法连接、权限拒绝、SMB 加密兼容故障、审计日志不生成

遵循排查顺序：网络连通 → 协议协商 → 防火墙 → 共享配置 → 双层权限 → 加密策略 → 审计配置

前置说明：

Windows SMB 生效模型：网络连通 + TCP445放行 → SMB协议协商成功 → SMB共享权限 ∩ NTFS权限 → 审计触发

所有排查操作建议管理员 PowerShell 执行

一、基础信息采集（排查第一步，先收集基线）

powershell

# 1.查看共享配置
Get-SmbShare
# 2.SMB服务全局配置（SMB1开关、加密、签名）
Get-SmbServerConfiguration
# 3.确认LanmanServer状态
Get-Service LanmanServer
# 4.防火墙SMB规则状态
Get-NetFirewallRule FPS-SMB-In-TCP
# 5.查看当前活跃会话、打开文件
Get-SmbSession;Get-SmbOpenFile

分类故障排查清单

类别 1：无法连接共享 / \ 主机名 \ 共享名打不开、找不到网络路径

现象

找不到网络路径、目标不可访问、超时、无法解析名称

分步排查步骤

名称解析校验

powershell

# DNS解析
nslookup 服务器主机名
# 测试TCP 445连通性（核心！SMB端口）
Test-NetConnection 服务器IP -Port 445

✅ 判定标准：TcpTestSucceeded = True

❌ 失败 → 网络 / 防火墙拦截，上层 SMB 无法协商。

区分故障位置

能 ping 通，但 445 不通：防火墙、安全软件、内网 ACL 拦截 TCP445
主机名解析失败：优先使用 IP 访问 \\192.168.1.100\BizShare，绕过 DNS/NetBIOS 问题

服务器侧核查

LanmanServer 服务状态必须为 Running

powershell

Get-Service LanmanServer

防火墙规则【文件和打印机共享 (SMB-In)】启用，匹配当前网络配置文件（域 / 专用）

powershell

Get-NetFirewallRule FPS-SMB-In-TCP | Select Name,Enabled,Profile

客户端侧常见坑

客户端本地策略禁止出站 445；第三方终端安全软件拦截 SMB 访问。
协议协商前置检查

若客户端系统老旧，仅支持 SMB1，而服务器已关闭 SMB1 → 表现就是 “无法连接”。

powershell

# 服务器查看SMB1状态
Get-SmbServerConfiguration | Select EnableSMB1Protocol

关键结论：445 端口不通，所有共享配置再正确都无效。

类别 2：连接成功，但权限报错（拒绝访问 / 没有权限）

核心原理：有效权限 = SMB 共享权限 ∩ NTFS 文件权限（取交集，严格优先）

现象

能看到共享目录，进入提示拒绝访问；能读不能删；能列出目录不能打开文件。

分步排查

确认登录身份

区分：当前用户、域账号、来宾账户、匿名访问。

脚本默认清除 Everyone/Anonymous 权限，匿名默认禁止。

核查两层权限（必查）

powershell

# 查看SMB共享权限
Get-SmbShareAccess -Name BizShare
# 查看目录NTFS安全权限
Get-Acl D:\BizShareData | Format-List

排查要点：

① 是否关闭权限继承后，误删除管理员权限；

② 用户组只配置了共享权限，NTFS 本地目录未授权；

③ 权限继承阻断，子文件夹独立 ACL 限制访问。

常见典型错误场景

SMB 共享权限给【更改】，NTFS 只给【读取】→ 只能读，无法写入
NTFS 权限正常，但共享权限仅只读 → 无法修改文件
路径使用映射网络盘创建共享：Windows 不支持，New-SmbShare 直接异常

快速验证手段

服务器本地登录相同账号，直接访问 D:\BizShareData

✅ 本地正常、网络访问拒绝 → 问题在SMB 共享权限

❌ 本地访问也拒绝 → 问题在NTFS 权限
UAC 远程访问限制（域 / 工作组高频坑）

工作组环境，本地管理员账号远程访问默认触发 UAC 远程限制，出现权限不足。

类别 3：SMB 加密不兼容、协商失败

现象

连接报错、会话瞬间断开、无法建立 SMB 会话；客户端弹窗无法访问共享

前置原理

脚本启用 -EncryptData $true，强制 SMB3 加密

仅支持 SMB3 的客户端才能连接；
SMB2、SMB1 客户端直接协商失败，无法建立会话。

排查步骤

查看服务器加密配置

powershell

Get-SmbServerConfiguration | Select EncryptData,RequireSecuritySignature

区分两类模式

EncryptData=True：允许协商，优先加密；
共享创建参数 -EncryptData $true：该共享强制加密（粒度为单个共享，优先级高于全局配置）

兼容排障方案

① 老旧客户端仅支持 SMB2，不支持加密：两种选择

方案 A：移除共享强制加密参数（生产不推荐，降低安全性）

powershell

Set-SmbShare -Name BizShare -EncryptData $false

方案 B：升级客户端系统，支持 SMB3

SMB 安全签名冲突

服务器开启 RequireSecuritySignature=$true，客户端未启用签名 → 连接中断。

工作组计算机极易出现签名协商失败。

应急测试：临时关闭共享加密验证客户端连通性，定位是否为加密兼容问题。

类别 4：NTFS 审计策略已配置，但安全日志不生成审计记录

现象

已添加文件系统审计规则，操作文件后【事件查看器→安全】看不到 4663 对象访问事件

底层前提（缺一不可）

文件目录 ACL 中正确写入 AuditRule 审计条目；
系统本地安全策略启用【文件系统】审计成功 / 失败；
用户执行的操作匹配审计权限掩码；
安全日志服务正常运行，无日志过滤。

分步排查清单

powershell

(Get-Acl D:\BizShareData).Audit | Format-List

若无审计规则：脚本 ACL 应用失败，重新执行审计配置代码。

核查系统审计子策略状态（最常见遗漏点）

cmd

auditpol /get /subcategory:"文件系统"

正确状态：Success and Failure 已启用

如果显示 Disabled，日志永远不会产生。

启用命令：

cmd

auditpol /set /subcategory:"文件系统" /success:enable /failure:enable

审计权限掩码匹配校验

示例：审计规则只配置【删除】，单纯读取文件不会产生日志。

生产建议：审计掩码包含 Read,Write,Modify,Delete。

事件 ID 区分

4663：尝试访问对象（文件读写、删除核心日志）
4656：请求句柄；大量产生，注意区分

其他干扰因素

第三方安全软件过滤安全审计事件；
日志大小上限触发覆盖，旧日志被清除；
使用缓存管理器命中内存缓存，少量场景不会触发 NTFS 审计（直接物理磁盘访问才稳定触发）。

测试方法

服务器本地直接操作文件，先验证本地能否生成 4663 事件

✅ 本地有日志，通过 SMB 访问无日志 → 排查 SMB 会话身份映射问题

❌ 本地也无日志 → 审计策略 / ACL 配置错误

五、通用快速排障流程（标准化执行顺序）

Test-NetConnection IP -Port 445 确认端口连通
确认 LanmanServer 运行、防火墙放行
核对 SMB 协议配置（SMB1 开关、加密、签名）
使用 IP 访问共享，排除名称解析故障
区分【本地访问】和【网络共享访问】定位权限故障层
加密兼容测试：临时关闭共享加密验证连通性
审计异常：auditpol 校验文件系统审计策略 + 查看目录审计 ACL

六、故障应急命令包

powershell

# 重启SMB服务（变更配置后重载）
Restart-Service LanmanServer -Force

# 关闭单个共享强制加密
Set-SmbShare -Name BizShare -EncryptData $false

# 快速查看审计策略
auditpol /get /subcategory:"文件系统"

# 清除所有SMB空闲会话
Get-SmbSession | Remove-SmbSession -Confirm:$false

七、运维重要提醒

公网严禁直接开放 TCP445；
开启 SMB 强制加密后，老旧终端无法兼容，提前做终端摸底；
审计日志持续增长，组策略配置安全日志轮转，防止磁盘占满；
修改共享权限、NTFS 权限即时生效，无需重启服务。

出现错误代码：0x80070035找不到网络路径通常表示在访问局域网共享文件夹时遇到了网络连接问题。这可能是由于网络设置、防火墙、共享权限或其他网络配置引起的。以下是一些建议的解决方法：

检查网络连接：首先确保你的电脑和局域网中的其他设备正常连接到同一个网络，并且网络连接正常。
检查网络共享设置：确保共享文件夹的设备已正确设置共享权限，允许其他设备访问共享文件夹。
检查防火墙设置：有时防火墙设置可能会阻止网络共享功能。尝试暂时关闭防火墙或者添加相应的例外以允许文件共享。
检查网络发现和文件共享设置：在控制面板的网络和共享中心中，确保网络发现和文件共享已经打开。
检查网络驱动程序：更新网络适配器的驱动程序可能有助于解决网络连接问题。
使用 IP 地址访问：尝试直接使用目标设备的 IP 地址而不是网络路径访问共享文件夹，有时可以解决路径无法找到的问题。
重启设备：有时重新启动设备可以解决网络连接问题，尝试重新启动你的电脑和网络设备。

如果以上方法都无法解决问题，建议联系网络管理员或技术支持人员寻求进一步帮助，他们可能能够提供更专业的支持和解决方案。

PowerShell 中检测和识别计算机是否属于同一个工作组，以及查询局域网中有多少个工作组，你可以使用以下命令：

检测是否属于同一个工作组：

powershellCopy Code

$workgroup = Get-WmiObject Win32_ComputerSystem | Select-Object -ExpandProperty Workgroup
if ($workgroup) {
    Write-Host "This computer is part of the $workgroup workgroup."
} else {
    Write-Host "This computer is not part of any workgroup."
}

查询局域网中有多少个工作组：

powershellCopy Code

$workgroups = Get-WmiObject Win32_ComputerSystem | Select-Object -ExpandProperty Workgroup -Unique
Write-Host "There are $($workgroups.Count) unique workgroups in the local network."
foreach ($group in $workgroups) {
    Write-Host $group
}

第一个命令将检测当前计算机是否属于任何工作组，并输出相应的信息。第二个命令将列出局域网中所有唯一的工作组，并计数它们的数量。

指定名称设置计算机名称不用重启立即生效

$pcname = "win-2024-123456"
Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\ComputerName\ActiveComputerName" -Name ComputerName -Value $pcname
Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Services\Tcpip\Parameters" -Name "NV Hostname" -Value $pcname
Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Services\Tcpip\Parameters" -Name Hostname -Value $pcname

15位随机计算机名字采用16进制

# 生成随机长度为15位的16进制计算机名称
$pcname = -join ((48..57) + (65..70) | Get-Random -Count 15 | %{[char]$_})

# 写入注册表项
Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\ComputerName\ActiveComputerName" -Name ComputerName -Value $pcname
Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Services\Tcpip\Parameters" -Name "NV Hostname" -Value $pcname
Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Services\Tcpip\Parameters" -Name Hostname -Value $pcname

PowerShell中，你可以使用以下命令来查询SMB协议版本和其开启情况：

powershellCopy Code

Get-SmbServerConfiguration | Select EnableSMB1Protocol, EnableSMB2Protocol, EnableSMB3Protocol

执行这条命令后，将显示SMB服务器的配置信息，包括SMB 1.0、SMB 2.0 和 SMB 3.0 协议的开启情况。在输出中，对应的属性值为 "True" 表示该协议已经开启，而 "False" 则表示未开启。

如果你需要更多关于SMB协议的详细信息，也可以使用以下命令：

powershellCopy Code

Get-SmbConnection

这条命令将列出计算机上当前的SMB连接信息，包括连接到其他设备的SMB版本等详细信息。

PowerShell 中启用 SMB 协议版本 1、2 和 3，你可以使用以下命令：

启用 SMB1 协议：

powershellCopy Code

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters' -Name "SMB1" -Value 1 -Type DWord

启用 SMB2 协议：

powershellCopy Code

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters' -Name "SMB2" -Value 1 -Type DWord

启用 SMB3 协议：

powershellCopy Code

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters' -Name "SMB3" -Value 1 -Type DWord

以上命令将分别启用 SMB1、SMB2 和 SMB3 协议。

PowerShell 中安装 SMB 协议组件，可以使用以下命令：

powershellCopy Code

Enable-WindowsOptionalFeature -Online -FeatureName "SMB1Protocol" -All

这个命令将启用并安装 SMB1 协议组件。如果你需要安装其他版本的 SMB 协议组件，可以将 "SMB1Protocol" 替换为 "SMB2Protocol" 或 "SMB3Protocol"。

PowerShell 中添加防火墙规则以允许共享文件夹的访问，你可以按照以下步骤操作：

打开 PowerShell：以管理员身份运行 PowerShell。在开始菜单中找到 PowerShell，右键单击并选择“以管理员身份运行”。
创建新的防火墙规则：使用 New-NetFirewallRule 命令来创建新的防火墙规则。下面是一个示例命令用于允许 SMB 文件共享服务通过防火墙：

powershellCopy Code

New-NetFirewallRule -DisplayName "Allow SMB" -Direction Inbound -LocalPort 445 -Protocol TCP -Action Allow

这条命令将创建一个允许 TCP 445 端口（SMB 文件共享服务的默认端口）流量通过防火墙的规则。

确认规则设置：运行上面的命令后，确保没有出现错误信息，并且规则已成功添加。
测试共享文件夹访问：添加规则后，尝试访问共享文件夹，看看是否可以正常连接。

请注意，以上命令是一个示例，具体的防火墙规则设置取决于你的网络环境和需求。你可以根据实际情况修改参数来创建适合你的防火墙规则。

PowerShell 命令为共享文件夹赋予共享权限，你可以按照以下步骤操作：

打开 PowerShell：以管理员身份运行 PowerShell。在开始菜单中找到 PowerShell，右键单击并选择“以管理员身份运行”。
使用 New-SmbShare 命令：New-SmbShare 命令可以用于创建新的 SMB 共享。以下是一个示例命令，用于创建一个名为 "ShareName" 的共享文件夹并设置共享权限：

powershellCopy Code

New-SmbShare -Name "ShareName" -Path "C:\Path\To\Shared\Folder" -FullAccess "Domain\User1", "Domain\User2" -ReadAccess "Domain\User3"

在这个示例中：

"ShareName" 是共享文件夹的名称。
"C:\Path\To\Shared\Folder" 是要共享的文件夹路径。
"Domain\User1", "Domain\User2" 是被授予完全访问权限的用户。
"Domain\User3" 是被授予只读访问权限的用户。

运行命令：运行上面的命令来创建共享文件夹并设置权限。
验证共享权限：确认共享文件夹已成功创建，并且权限设置正确。

通过以上步骤，你可以使用 PowerShell 命令为共享文件夹赋予共享权限。记得根据实际情况修改命令中的参数，以符合你的需求和环境。

PowerShell 中通过命令为共享文件夹赋予共享权限而无需输入用户名和密码，你可以使用以下步骤：

创建共享：首先，你可以使用 New-SmbShare 命令创建共享文件夹，但在设置共享访问权限时，不指定具体的用户或组。示例命令如下：

powershellCopy Code

New-SmbShare -Name "ShareName" -Path "C:\Path\To\Shared\Folder" -FullAccess "Everyone"

在这个示例中，我们将共享文件夹对所有人开放，并授予完全访问权限。

设置共享权限：接下来，可以使用 Set-SmbShare 命令为刚刚创建的共享文件夹设置更具体的权限。示例命令如下：

powershellCopy Code

Set-SmbShare -Name "ShareName" -FolderEnumerationMode AccessBased -CachingMode None

这个示例命令将设置共享文件夹的文件夹枚举模式为基于访问的方式，同时禁用缓存。

通过以上步骤，你可以在 PowerShell 中为共享文件夹赋予共享权限而无需指定特定的用户名和密码。

PowerShell 中，如果你需要为共享文件夹赋予特定用户或组的权限，并且需要输入用户名和密码，可以使用以下步骤：

创建共享：首先，使用 New-SmbShare 命令创建共享文件夹，并指定需要共享的路径。示例命令如下：

powershellCopy Code

New-SmbShare -Name "ShareName" -Path "C:\Path\To\Shared\Folder"

设置共享权限：接下来，使用 Grant-SmbShareAccess 命令为特定用户或组授予共享访问权限。在执行此命令时，会提示输入用户名和密码以进行身份验证。示例命令如下：

powershellCopy Code

$credential = Get-Credential
Grant-SmbShareAccess -Name "ShareName" -AccountName "Domain\User" -AccessRight Full -Credential $credential

在这个示例中，Get-Credential 命令将提示你输入用户名和密码，然后将这些凭据存储在 $credential 变量中，用于后续的授权操作。

输入用户名和密码：在运行 Grant-SmbShareAccess 命令时，会弹出一个对话框来输入用户名和密码，你可以输入相应的凭据以完成授权操作。

通过以上步骤，你可以在 PowerShell 中为共享文件夹赋予特定用户或组的权限，并在需要时输入用户名和密码进行身份验证。

高级权限策略

PowerShell 使用 ACL（访问控制列表）设置共享文件夹的权限，你可以使用以下命令：

powershellCopy Code

# 定义共享文件夹路径
$folderPath = "C:\Path\To\SharedFolder"

# 获取共享文件夹的 ACL
$acl = Get-Acl -Path $folderPath

# 添加或修改权限规则
$permission = "DOMAIN\UserOrGroup","FullControl","Allow"
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule($permission)
$acl.SetAccessRule($accessRule)

# 应用新的 ACL 到共享文件夹
Set-Acl -Path $folderPath -AclObject $acl

在上面的代码中：

将 $folderPath 替换为你想要设置权限的共享文件夹路径。
在 $permission 中指定用户或组、权限（如 FullControl、Modify、Read 等）和允许或拒绝。
通过 New-Object System.Security.AccessControl.FileSystemAccessRule 创建一个权限规则。
最后，使用 Set-Acl 命令将新的 ACL 应用到共享文件夹。

请确保以管理员身份打开 PowerShell 来运行这些命令。

PowerShell 命令设置共享文件夹的访问权限以及记录日志，你可以使用以下示例代码：

powershellCopy Code

# 定义共享文件夹路径
$folderPath = "C:\Path\To\SharedFolder"

# 获取共享文件夹的 ACL
$acl = Get-Acl -Path $folderPath

# 添加或修改权限规则
$permission = "DOMAIN\UserOrGroup","FullControl","Allow"
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule($permission)
$acl.SetAccessRule($accessRule)

# 启用日志记录
$auditRule1 = New-Object System.Security.AccessControl.FileSystemAuditRule("DOMAIN\UserOrGroup","CreateFiles","Success")
$acl.AddAuditRule($auditRule1)

$auditRule2 = New-Object System.Security.AccessControl.FileSystemAuditRule("DOMAIN\UserOrGroup","Delete","Success")
$acl.AddAuditRule($auditRule2)

$auditRule3 = New-Object System.Security.AccessControl.FileSystemAuditRule("DOMAIN\UserOrGroup","Modify","Success")
$acl.AddAuditRule($auditRule3)

$auditRule4 = New-Object System.Security.AccessControl.FileSystemAuditRule("DOMAIN\UserOrGroup","DeleteSubdirectoriesAndFiles","Success")
$acl.AddAuditRule($auditRule4)

$auditRule5 = New-Object System.Security.AccessControl.FileSystemAuditRule("DOMAIN\UserOrGroup","Write","Success")
$acl.AddAuditRule($auditRule5)

# 应用新的 ACL 到共享文件夹
Set-Acl -Path $folderPath -AclObject $acl

在上面的代码中：

将 $folderPath 替换为你想要设置权限的共享文件夹路径。
在 $permission 中指定用户或组、权限（如 FullControl、Modify、Read 等）和允许或拒绝。
使用 New-Object System.Security.AccessControl.FileSystemAuditRule 创建多个审核规则，这些规则分别用于记录成功创建文件、删除文件、修改文件、删除子目录和文件、写入文件等操作。
最后，使用 Set-Acl 命令将新的 ACL 应用到共享文件夹。

这些命令将设置共享文件夹的访问权限，并启用了多种操作的成功记录日志。你可以根据需要修改 $permission 和 $auditRule 变量来适应你的具体需求。

请确保以管理员身份打开 PowerShell 来运行这些命令。

PowerShell 命令添加计划任务，并在特定行为发生时记录日志并触发预警，你可以按照以下步骤进行操作：

首先，使用 New-ScheduledTaskAction 命令创建一个计划任务的操作。例如，以下示例代码创建一个在触发时运行 PowerShell 脚本的操作：

powershellCopy Code

$action = New-ScheduledTaskAction -Execute 'Powershell.exe' -Argument 'C:\Path\To\YourScript.ps1'

然后，使用 New-ScheduledTaskTrigger 命令创建一个触发器。例如，以下示例代码创建一个在特定时间或事件触发的触发器：

powershellCopy Code

$trigger = New-ScheduledTaskTrigger -AtLogOn

接下来，使用 Register-ScheduledTask 命令注册计划任务，并将操作和触发器添加到任务中。例如，以下示例代码注册一个名为 "LogEventTask" 的计划任务：

powershellCopy Code

Register-ScheduledTask -TaskName "LogEventTask" -Action $action -Trigger $trigger

最后，你可以在你的 PowerShell 脚本中编写逻辑，当特定行为发生时记录日志并触发预警。这可能涉及到使用 Write-EventLog 命令来记录自定义的事件日志，并触发邮件或其他通知预警机制。

需要注意的是，触发预警的具体逻辑可能因环境和需求而异，你需要根据实际情况来编写相应的逻辑。

PowerShell 中开启网络发现和文件共享设置，你可以按照以下步骤进行操作：

开启网络发现：

powershellCopy Code

Set-NetConnectionProfile -NetworkCategory Private -NetworkDiscovery Enabled

这条命令将会将网络发现设置为已启用状态，确保在私有网络中可以发现其他设备。

开启文件共享：

powershellCopy Code

Set-NetFirewallRule -DisplayGroup "File and Printer Sharing" -Enabled True

这条命令将会启用文件和打印机共享规则，允许其他设备通过网络访问共享文件和打印机。

通过以上步骤，你可以在 PowerShell 中开启网络发现和文件共享设置。

PowerShell 中，你可以执行以下命令来尝试修复域名解析问题：

刷新 DNS 缓存：

powershellCopy Code

Clear-DnsClientCache

这条命令可以清除本地计算机上的 DNS 缓存，以确保使用最新的 DNS 解析信息。域名解析问题有时可能是由于本地 DNS 缓存中存在过期或错误的信息导致的。清除缓存后，计算机将重新查询 DNS 服务器以获取最新的解析结果。

强制刷新 DNS 解析：

powershellCopy Code

ipconfig /flushdns
Register-DnsClient

这组命令可以通过清除本地 DNS 缓存并注册 DNS 客户端来强制刷新 DNS 解析。这有助于确保本地计算机能够正确解析主机名到 IP 地址。

手动指定 DNS 服务器：

powershellCopy Code

Set-DnsClientServerAddress -InterfaceIndex (Get-NetAdapter).ifIndex -ServerAddresses "DNS服务器IP地址"

如果遇到常规的 DNS 解析问题，有时手动指定 DNS 服务器也可以解决问题。你可以使用上述命令来手动指定计算机所使用的 DNS 服务器地址。

局域网共享文件夹与域名解析之间的关联在于网络中计算机之间通信时通常使用主机名进行标识和访问，而主机名最终需要通过域名解析转换为对应的 IP 地址才能实现通信连接。具体来说，局域网中的计算机通常会指定一个主机名，例如"Computer-A"，用于标识自己。当其他计算机想要访问共享文件夹时，它们会使用这个主机名来建立连接。

然而，计算机网络是基于 IP 地址进行通信的，因此在使用主机名进行通信时，操作系统需要将主机名解析为对应的 IP 地址，这个过程就称为域名解析。域名解析通过 DNS（Domain Name System）服务器来实现，将主机名转换为相应的 IP 地址，从而确保计算机能够准确地找到并建立连接到目标计算机或共享文件夹。

因此，当在局域网中访问共享文件夹时，如果存在域名解析问题，即无法正确将主机名解析为对应的 IP 地址，就会导致无法建立连接，进而无法访问共享文件夹。因此，域名解析在局域网共享文件夹的访问过程中起着至关重要的作用，确保了计算机之间能够准确、顺畅地进行通信和文件共享。

PowerShell中尝试修复与域名解析相关的局域网共享文件夹访问问题，你可以执行以下命令：

刷新 DNS 缓存：

powershellCopy Code

Clear-DnsClientCache

这条命令可以清除本地计算机上的DNS缓存，以确保使用最新的DNS解析信息。域名解析问题有时可能是由于本地DNS缓存中存在过期或错误的信息导致的。清除缓存后，计算机将重新查询DNS服务器以获取最新的解析结果。

强制刷新 DNS 解析：

powershellCopy Code

ipconfig /flushdns
Register-DnsClient

这组命令可以通过清除本地DNS缓存并注册DNS客户端来强制刷新DNS解析。这有助于确保本地计算机能够正确解析主机名到IP地址。

手动指定 DNS 服务器：

powershellCopy Code

Set-DnsClientServerAddress -InterfaceIndex (Get-NetAdapter).ifIndex -ServerAddresses "DNS服务器IP地址"

如果遇到常规的DNS解析问题，有时手动指定DNS服务器也可以解决问题。你可以使用上述命令来手动指定计算机所使用的DNS服务器地址。

PowerShell中，你可以使用Set-DnsClientServerAddress命令来手动指定DNS服务器地址。以下是一些示例：

指定单个DNS服务器地址：

powershellCopy Code

Set-DnsClientServerAddress -InterfaceIndex (Get-NetAdapter).ifIndex -ServerAddresses "101.226.4.6"

这将使用Google DNS服务的IP地址（8.8.8.8）作为计算机的DNS服务器。

指定多个DNS服务器地址：

powershellCopy Code

Set-DnsClientServerAddress -InterfaceIndex (Get-NetAdapter).ifIndex -ServerAddresses ("223.5.5.5", "119.29.29.29","101.226.4.6")

这将使用Google DNS服务的两个IP地址（8.8.8.8和8.8.4.4）作为计算机的DNS服务器。

请注意，上述命令中的"-InterfaceIndex"参数用于指定网络适配器的索引号。如果你不知道自己需要指定哪个适配器，请使用以下命令获取所有适配器的列表：

powershellCopy Code

Get-NetAdapter

此外，如果你想要删除已配置的DNS服务器地址，可以使用以下命令：

powershellCopy Code

Set-DnsClientServerAddress -InterfaceIndex (Get-NetAdapter).ifIndex -ResetServerAddresses

最后，如果你在执行这些命令时遇到权限问题，请以管理员权限运行PowerShell窗口。

在Windows操作系统中，实现共享文件夹的功能涉及到多个API调用。这些API通常用于创建、管理和访问网络共享以及设置权限等。以下是一些常用的API和工具：

Windows共享和管理API:
- NetShareAdd: 用于创建共享。
- NetShareEnum: 用于枚举所有共享。
- NetShareDelete: 用于删除共享。
- NetShareCheck: 用于检查指定路径是否被共享。
- NetShareGetInfo: 用于获取共享的详细信息。
Windows 安全和权限API:
- SetNamedSecurityInfo 和 GetNamedSecurityInfo: 用于设置和获取文件或共享对象的安全信息，如权限（ACL）。
- AdjustTokenPrivileges: 用于调整访问令牌的权限，可能在更改系统级共享设置时需要。
命令行工具:
- net share: 这是一个命令行工具，用于创建、删除和管理共享。虽然不是API调用，但它可以通过脚本或程序间接使用（例如，通过在应用程序中调用命令行）。
PowerShell Cmdlets:
- PowerShell提供了一些cmdlet，如New-SmbShare、Get-SmbShare、Remove-SmbShare等，用于管理SMB共享。这些同样可以在开发中通过调用PowerShell脚本来使用。
WMI (Windows Management Instrumentation):
- 使用WMI类如Win32_Share可以创建、查询和管理共享。WMI提供了更为丰富的接口，允许你通过C#、VBScript等语言进行操作。
SMB (Server Message Block) 协议:
- 虽然不直接是API调用，但理解SMB协议对于深入理解Windows文件共享机制非常重要。SMB是一种网络文件共享协议，Windows共享文件夹大量依赖于此协议。

开发者可以根据自己的需求选择合适的API或工具进行开发。例如，如果你正在开发一个需要程序化创建和管理Windows共享的应用程序，可能会倾向于使用NetShareAdd和NetShareDelete这样的API。而如果是进行系统管理或自动化脚本编写，则可能会使用net share命令或PowerShell Cmdlets。

继续深入讨论Windows共享文件夹的API调用和相关技术，我们可以探讨一些高级主题和使用场景，以及如何在实际开发中应用这些API。

高级权限设置

对于共享文件夹的安全性和权限管理来说，仅仅创建和删除共享是不够的。通常，我们还需要精细控制谁可以访问这些共享以及他们具有哪些权限（例如，读取、写入或完全控制）。这涉及到以下几个方面：

访问控制列表 (ACL): 使用SetNamedSecurityInfo和GetNamedSecurityInfoAPI可以设置和获取共享资源的ACL，从而精确控制不同用户或用户组的访问权限。
权限继承: 在共享文件夹和文件系统中，子文件夹和文件通常会继承父对象的权限。理解和控制这种继承机制对于保护共享资源非常重要。

编程语言的集成

虽然上述提到的API和工具多以C/C++为例，但现代开发环境中，开发者可能使用多种不同的编程语言。以下是一些集成这些API到其他语言环境的方法：

.NET Framework / .NET Core: 对于C#等.NET语言，可以通过平台调用（P/Invoke）来使用这些底层API。此外，也可以利用WMI或者直接使用SMB协议库（如SMBLibrary）进行操作。
Python: 可以使用第三方库（如pywin32）来调用Windows API，或者使用wmi模块来操作WMI。
PowerShell: PowerShell本身提供了丰富的Cmdlets来管理Windows共享和权限，是一种简便的自动化和脚本编写选择。

实践案例

假设你正在开发一个需要自动化创建和配置多个共享文件夹的企业应用程序。你可能需要执行以下步骤：

创建共享文件夹: 使用NetShareAddAPI或New-SmbShareCmdlet创建新的共享。
设置权限: 根据需要配置ACL，为特定的用户或用户组分配适当的访问权限。
监控和维护: 使用NetShareEnum和NetShareGetInfoAPI定期检查共享状态，确保安全性和可用性。
文档和日志: 记录所有操作和更改，以便于问题追踪和审计。

通过结合使用这些API和工具，可以构建出既强大又灵活的解决方案，满足各种复杂的业务需求。

posted @ 2024-03-02 13:14 suv789 阅读(875) 评论(0) 收藏举报

刷新页面返回顶部

suv789

PowerShell 开启共享文件夹功能｜完整拆解解构

一、基础技术原理总览

二、完整执行链路：PowerShell 创建共享的时序

调用链路自上而下

三、依赖文件清单

1）PowerShell 层模块

2）SMB 服务用户态组件

3）内核驱动（核心）

4）防火墙相关组件

5）存储共享配置的注册表

四、必需后台服务依赖（缺一不可）

五、四大必备前置条件（PowerShell 开启共享前必须就绪）

条件 1：LanmanServer 服务启动（自动启动）

条件 2：防火墙放行「文件和打印机共享」

条件 3：本地目录存在 + NTFS 权限 + SMB 共享权限双重控制

条件 4：网络层面不屏蔽 445 端口

六、完整逻辑链路拆解（分阶段）

链路 1：使用 New-SmbShare 创建共享完整流程

链路 2：客户端访问共享数据流

链路 3：典型故障断链场景

七、权限模型深度解构（极易踩坑）

八、配套 PowerShell 命令链（完整开通共享标准化流程）

九、关键边界与运维误区

十、极简核心总结

生产环境 SMB 文件共享安全加固 PowerShell 脚本

脚本说明

配套运维验证命令（执行脚本后核查）

生产环境关键加固说明（底层原理对应）

风险提示 & 运维规范

SMB 共享访问故障标准化排查清单

一、基础信息采集（排查第一步，先收集基线）

分类故障排查清单

类别 1：无法连接共享 / \ 主机名 \ 共享名打不开、找不到网络路径

现象

分步排查步骤

类别 2：连接成功，但权限报错（拒绝访问 / 没有权限）

现象

分步排查

类别 3：SMB 加密不兼容、协商失败

现象

前置原理

排查步骤

类别 4：NTFS 审计策略已配置，但安全日志不生成审计记录

现象

底层前提（缺一不可）

分步排查清单

五、通用快速排障流程（标准化执行顺序）

六、故障应急命令包

七、运维重要提醒

检测是否属于同一个工作组：

查询局域网中有多少个工作组：

启用 SMB1 协议：

启用 SMB2 协议：

启用 SMB3 协议：

高级权限设置

编程语言的集成

实践案例

公告