在 Windows 11 24H2 中无法访问 NAS 上的共享文件夹

Microsoft 最近宣布，在 Windows 11 24H2 中将默认启用用于访问共享网络文件夹的强制 SMB 数据包签名。在默认情况下不支持或禁用 SMB 签名的 NAS（网络附加存储）设备上访问共享文件夹时，这可能会导致问题。

SMB 签名是 SMB/CIFS 文件共享协议的安全功能之一。如果启用此选项，数字签名将添加到每个 SMB 消息的标头中。该签名可以确保消息的内容没有被更改，并通过验证服务器和客户端的身份来提供身份验证。这有助于防止 SMB 中间人和 NTLM 中继攻击。以前，仅需要 SMB 签名才能访问 AD 域控制器上的 SYSVOL 和 NETLOGON 共享。

从 Windows 11 24H2 开始，所有出站 SMB 连接都需要 SMB 签名（在 Windows 11 24H2 中使用 SMB 访问第三方 NAS 可能会失败）。如果SMB服务器不支持此模式，Windows客户端将拒绝连接。其他受支持的 Windows 版本稍后将收到此更改。

重要！实施强制 SMB 签名将导致客户端和服务器上的 RAM 和 CPU 使用量增加。它还降低了网络上文件传输的速度。

如果远程设备不支持 SMB 签名，则访问该设备上的共享文件夹时会出现错误：

• 0xc000a000

•  -1073700864

• STATUS_INVALID_SIGNATURE

• The cryptographic signature is invalid

默认的 Windows（和 Samba）SMB 服务器设置假定仅当其中一方请求时才使用 SMB 数据包签名。使用 PowerShell 列出 Windows 客户端上当前的 SMB 签名设置：

Get-SmbClientconfiguration | fl EnableSecuritySignature,RequireSecuritySignature

• RequireSecuritySignature=False - 未启用 SMB 签名的强制使用。

• EnableSecuritySignature=True - 客户端仅在服务器需要时使用 SMB 签名。

要禁用（或启用）强制 SMB 签名，请使用以下命令

Set-SmbClientConfiguration -RequireSecuritySignature $false

更改设置后重新启动计算机。

以同样的方式，您可以在服务器端（具有共享文件夹的主机）启用或禁用 SMB 签名：

Get-SmbServerConfiguration | fl *sign*

Set-SmbServerConfiguration -RequireSecuritySignature $true

（或者

$false

）

如果禁用旧版 SMB1 协议，则将忽略 EnableSecuritySignature 选项值（这是 Windows 中的默认行为）。

这些 SMB 客户端和服务器选项可以通过注册表启用。下一组命令将关闭客户端和服务器强制使用 SMB 签名：

reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters" /v RequireSecuritySignature /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters" /v EnableSecuritySignature /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" /v RequireSecuritySignature /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" /v EnableSecuritySignature /t REG_DWORD /d 1 /f

GPO 编辑器还可用于为 Windows 客户端配置 SMB 签名模式。本地组策略编辑器中提供以下选项（

gpedit.msc

）在计算机配置 -> Windows 设置 -> 安全设置 -> 本地策略 -> 安全选项下

• Microsoft 网络客户端：对通信进行数字签名（始终）

• Microsoft 网络客户端：对通信进行数字签名（如果服务器同意）

部分 NAS 型号和固件版本支持 SMB 签名模式，但默认情况下未启用（例如在 Synology、ASUStor、QNAP 和其他一些设备中）。例如，在Synology DSM 7+中，可以在控制面板 -> 文件服务 -> SMB 中找到此选项 -> 高级设置。 找到选项启用服务器签名。默认情况下禁用签名。要在客户端请求时启用 SMB 签名，请从下拉菜单中选择客户端定义。

因此，如果您升级到 Windows 11 24H2 后访问 NAS 共享时遇到问题，您将需要：

• 在 NAS 设备上启用 SMB 签名（推荐方式）

• 在 Windows 客户端上禁用强制 SMB 签名（不太安全的选项）