多网卡Windows服务器必须按网卡隔离配置共享权限，即每块网卡对应独立网络平面（如内网、DMZ），需分别设置网络类型、启用对应网络发现与文件共享、绑定专属共享路径及NTFS权限，并通过跨网段访问测试验证隔离性。
在多网卡 windows 服务器上，不能靠“自动识别网络”来统一设共享权限——因为不同网卡连接的是不同安全域（比如内网办公网、dmz区、备份专网），必须按网络接口隔离配置，否则会出现权限错配、跨网段越权访问或完全无法访问的问题。
先按网卡划分网络角色，再启用对应网络发现
每块网卡代表一个独立网络平面，需分别确认其网络配置文件类型（专用/公用），并单独开启服务：
- 打开【设置 → 网络和 Internet → 状态 → 网络属性】，逐个点击各网络连接，查看并手动设为“专用网络”（仅限可信内网）或“公用网络”（如对外DMZ）
- 对每个“专用网络”，进入【控制面板 → 网络和共享中心 → 更改高级共享设置】，启用“网络发现”和“文件和打印机共享”
- 对“公用网络”，务必保持“关闭网络发现”和“关闭文件和打印机共享”，除非业务明确要求且已做额外加固
- 确保 SMB 协议启用：PowerShell 运行 Enable-WindowsOptionalFeature -Online -FeatureName smb1protocol -NoRestart（仅旧设备需要）；现代环境默认启用 SMB 2/3
为不同网卡绑定的文件夹设置独立共享路径
不要把所有共享都放在同一个文件夹下再靠权限区分——应物理分离，让每类网络只看到它该访问的共享点：
- 例如：内网网卡（192.168.10.10）对应 D:Share-Internal，DMZ网卡（10.20.30.10）对应 E:Share-DMZ
- 右键每个文件夹 → 属性 → 共享 → 高级共享 → 勾选“共享此文件夹”，共享名建议带网络标识，如 Internal-Reports 或 DMZ-Upload
- 点击【权限】→ 删除默认的 Everyone → 添加专用账户组，如 Internal-Users（内网）或 DMZ-AppSvc（应用服务账号），避免使用 Everyone 或 Users 组
- 为每个组分配最小必要权限：“读取”或“更改”，禁用“完全控制”（除非是管理员维护目录）
NTFS 权限必须与共享网卡严格对齐
共享权限只管“能不能进门”，NTFS 权限才决定“进门后能做什么”。两者取交集，而多网卡场景下，NTFS 权限要配合网络身份来源控制：
- 在 D:Share-Internal 的【安全】选项卡中，只添加 Internal-Users 组，并赋予“读取和执行”“列出文件夹内容”“读取”“写入”（如需上传）
- 同理，在 E:Share-DMZ 中，只添加 DMZ-AppSvc 账户，且仅勾选“读取”和“写入”，不勾选“修改”或“取得所有权”
- 检查所有者：若【编辑】按钮灰显，先点【高级】→【更改所有者】→ 选本机管理员账户，并勾选“替换子容器和对象的所有者”
- 禁止继承：点击【高级】→ 取消勾选“包含从该对象的父级继承的权限项”，再手动添加所需账户，避免跨网段权限污染
验证访问路径是否真正隔离
测试必须从目标网络发起，不能仅用本机 localhost 或 127.0.0.1：
- 从内网客户端（如 192.168.10.50）访问 \192.168.10.10Internal-Reports，确认可读写
- 从 DMZ 客户端（如 10.20.30.50）访问 \10.20.30.10DMZ-Upload，确认仅可上传、不可删改历史文件
- 尝试从内网机器访问 DMZ 共享路径（\10.20.30.10DMZ-Upload）——应直接失败或提示“找不到网络路径”，而非弹出凭据框
- 防火墙规则同步检查：PowerShell 运行 Get-NetFirewallRule -DisplayName "*File and Printer Sharing*"，确认每条规则的 Direction 和 InterfaceType 匹配对应网卡（如 Public / Private）
