SMB1存在严重安全漏洞（如永恒之蓝），仅支持明文传输且无加密；SMB2提升性能但默认不加密；SMB3支持端到端加密、签名与完整性校验，是现代安全共享基础。
windows 环境下 smb 共享协议的版本差异与安全加固，核心在于理解“用什么版本”和“怎么用才安全”。smb 不是单一协议，而是一套持续演进的技术体系；不同版本之间不只是功能增减，更是安全模型的根本转变。直接启用旧协议解决连通性问题，等于为系统主动打开高危后门。
SMB1、SMB2、SMB3 的关键能力断层
SMB1（CIFS）是上世纪90年代的设计，仅支持明文认证、无会话加密、无数据完整性校验，且指令冗余、效率低下。著名的“永恒之蓝”（MS17-010）漏洞即源于此版本，攻击者无需用户交互即可远程执行代码。
SMB2（2.0/2.1）大幅精简指令集，引入批量读写、更大传输单元（64KB）、会话重连机制，性能提升明显，但默认仍不加密，中间人可截获文件内容和凭据哈希。
SMB3（3.0 及以上）才是现代安全共享的基础：支持端到端加密（AES-128-CCM / AES-128-GCM）、预身份验证完整性（防中继攻击）、多通道聚合、透明故障转移。Windows 10 1709+ 和 Windows Server 2012 R2+ 默认优先协商 SMB3。
- Windows XP / Server 2003 仅能使用 SMB1 → 已不兼容现代默认策略
- Windows 7 / Server 2008 R2 默认支持 SMB2.1，但需手动启用 SMB3（如安装 KB2976978）
- Windows 8.1 / Server 2012 起原生支持 SMB3.0，后续版本逐步增强加密算法与签名强度
禁用 SMB1 是必须执行的安全基线
微软自 Windows 10 1709 和 Windows Server 2019 起，默认不安装 SMB1 组件；Windows 11 和 Server 2022 更彻底移除。即便为兼容老旧设备临时启用，也应严格限定范围：
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 仅在物理隔离或逻辑分段的内网中启用，禁止暴露于互联网或DMZ区域
- 启用后立即关闭“来宾访问”（Guest account），禁用空会话枚举（Null Session）
- 配合防火墙规则，只允许指定IP段访问TCP 445端口，拒绝其他来源
- 定期审计日志，监控 Event ID 1006（SMB1 连接尝试）与 1007（SMB1 成功连接）
强制 SMB 签名与加密的实操配置
从 Windows 11 24H2 和 Windows Server 2025 开始，SMB 签名已默认全局启用——所有入站与出站连接必须签名，未签名包直接丢弃。这对旧设备可能造成中断，但极大降低中继（Relay）与篡改风险。
对仍运行旧版系统的环境，建议手动强化：
- 组策略路径：计算机配置 → 管理模板 → 网络 → Lanman 工作站 → 启用“数字签名通信（始终）”
- 组策略路径：计算机配置 → 管理模板 → 网络 → Lanman 服务器 → 启用“数字签名通信（始终）”
- PowerShell 强制加密（仅限 SMB3）：
Set-SmbServerConfiguration -EncryptData $true -Force - 验证是否生效：
Get-SmbServerConfiguration | Select EncryptData, RequireSecuritySignature
替代方案比降级更可靠
与其冒险启用 SMB1，不如推动架构升级：
- 用 Windows Server 2019+ 搭建反向代理网关，将 SMB1 请求转译为 HTTPS 或 WebDAV 协议供老设备访问
- 部署轻量 Samba 服务（v4.15+）在 Linux 主机上，通过
min protocol = SMB2强制最低版本，并启用server min protocol和encrypt = required - 对 Windows XP 设备，考虑迁移至长期支持的嵌入式系统（如 Windows IoT Enterprise），或使用专用文件同步工具（如 Syncthing）替代实时共享
