最稳妥方式是通过组策略禁用SMBv1，需同时启用Lanman工作站和服务器下的“禁止使用SMB1协议”，并验证EnableSMB1Protocol为False、注册表值为0、旧设备连接失败。
直接通过组策略禁用 smbv1 是 windows 域环境中最稳妥、可集中管理的方式。它能同时覆盖客户端和服务端行为，且不依赖用户操作或重启时机，适合批量部署和长期合规管控。
确认策略路径与启用方式
在域控或本地工作站上，按 Win + R 输入 gpedit.msc（本地组策略）或打开 组策略管理控制台（GPMC） 编辑域策略。导航至：
- 计算机配置 → 管理模板 → 网络 → Lanman 工作站：启用“禁止使用 SMB1 协议”
- 计算机配置 → 管理模板 → 网络 → Lanman 服务器：启用“禁止使用 SMB1 协议”
两项都设为“已启用”，才能彻底阻断 SMBv1 的发起与响应。仅配其一，仍可能被绕过。
验证是否生效的关键检查项
策略应用后需确认实际运行状态，不能只看组策略设置界面：
- 执行 gpupdate /force 强制刷新策略，再重启或等待 90 分钟（默认刷新周期）
- 运行 PowerShell 命令：Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol，返回值应为 False
- 检查注册表键值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\DisablePlainTextPassword 不相关，重点看 EnableSMB1Protocol 是否为 0（DWORD）
- 尝试访问一个仅支持 SMBv1 的旧设备（如某些 NAS 或嵌入式系统），连接应失败并提示“不支持的协议”
避免常见误操作
组策略禁用 SMBv1 虽然高效，但容易因配置疏漏导致意外问题：
- 不要只在“Lanman 工作站”启用策略而忽略“Lanman 服务器”，否则本机仍可被其他设备用 SMBv1 连接
- 若策略链接到 OU，确认目标计算机确实位于该 OU 下，且没有被更高优先级 GPO 覆盖
- 禁用后若出现网络发现失效、打印机共享异常或旧业务系统报错，先排查是否真由 SMBv1 引起——可用 Get-SmbConnection 和 Get-SmbShare 辅助定位
- 组策略不自动卸载 SMBv1 功能组件，只是阻止运行；如需彻底清理，仍需配合 Disable-WindowsOptionalFeature 命令
补充建议：结合功能卸载更彻底
对于已确认无兼容性依赖的环境，推荐在组策略生效后，再执行一次功能卸载，实现“策略+组件”双层防护：
- 管理员权限运行 PowerShell：
- Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Client -NoRestart
- Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Server -NoRestart
- 最后统一重启，再用 Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol* 确认状态为 Disabled
这样既满足安全基线要求，又消除潜在回退风险。
