Windows SMB共享“拒绝访问”需同时满足共享权限、NTFS权限、安全策略（如启用Guest或禁用不安全来宾访问）及SYNCHRONIZE权限四重条件，缺一不可。
windows smb共享访问提示“拒绝访问”，多数不是网络不通，而是权限与策略卡在了中间。关键要同时满足共享层、文件系统层、协议层和安全策略层四重条件，缺一不可。
共享权限与NTFS权限必须双满足
只设“共享”选项卡权限，或只改“安全”选项卡权限，都不够。两者是“且”的关系——访问请求必须同时被两层放行。
- 右键共享文件夹 → “属性” → “共享”选项卡 → “高级共享” → “权限”：为“Everyone”或具体用户添加“读取”或“更改”权限
- 切换到“安全”选项卡 → “编辑” → “添加” → 输入本机用户名（如 DESKTOP-ABC\Administrator）或“Everyone”，勾选“读取和执行”“列出文件夹内容”“读取”，必要时加“写入”
- 若目标是无密码访问，建议在“安全”中明确添加“Guest”账户并赋予权限（需先启用Guest账户）
24H2等新版系统默认禁用来宾访问
Windows 11 24H2及部分Win10更新后，系统默认阻止不验证身份的SMB连接，错误提示常为“你组织的安全策略阻止未经身份验证的来宾访问”。这不是你家网络真有“组织”，而是系统安全策略的统一表述。
- 临时启用兼容模式：以管理员身份运行注册表编辑器（regedit），定位到
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
新建 DWORD (32位) 值，命名为 AllowInsecureGuestAuth，数值数据设为 1 - 修改后必须重启电脑，否则不生效
- 家庭版用户无法使用gpedit.msc？该注册表项就是专为家庭版设计的替代方案
SMB签名强制要求导致老设备连不上
某些NAS、旧路由器或树莓派Samba服务不支持SMB签名，而新版Windows客户端默认要求签名，结果握手失败，表现就是“拒绝访问”或“找不到网络路径”。
- 禁用客户端签名（推荐优先尝试）：
运行 gpedit.msc → 计算机配置 → 安全设置 → 本地策略 → 安全选项 → 找到
Microsoft网络客户端：对通信进行数字签名（始终） → 设为“已禁用” - 若用家庭版，可通过PowerShell以管理员身份运行：
Set-SmbClientConfiguration -RequireSecuritySignature $false -Force - 注意：禁用后无需重启，但建议执行 gpupdate /force 刷新策略
别漏掉SYNCHRONIZE权限这个隐藏门槛
尤其在访问NetApp、群晖或某些Samba服务器时，SMB2协议会检查目录是否具备SYNCHRONIZE访问控制项。缺少它，即使其他权限全开，也会报“拒绝访问”。
- 以管理员身份打开命令提示符，运行：
icacls "X:\你的共享文件夹" /grant Everyone:(RX,S)
其中 S 就代表 SYNCHRONIZE 权限 - 若只想授给特定用户，把 Everyone 换成 DOMAIN\User 或本机名\用户名，例如 DESKTOP-ABC\Alice
- 验证是否成功：运行 icacls "X:\文件夹"，输出中应包含 SYNCHRONIZE 字样
