如何在 Windows 上检查、启用或禁用 SMB 协议版本？

---

服务器消息块 (SMB) 网络协议用于通过网络（TCP 端口 445）共享和访问文件夹、文件、打印机和其他设备。在本文中，我们将了解不同版本的 Windows 中可用的 SMB 版本（方言）（以及它们与 Linux 上的 samba 版本有何关系）；如何检查计算机上使用的 SMB 版本；以及如何启用或禁用 SMBv1、SMBv2 和 SMBv3 方言。

Windows 中的 SMB 协议版本

有几个版本的 SMB 协议（方言）始终出现在新的 Windows 版本（和 samba）中：

• CIFS——Windows NT 4.0

• SMB 1.0 - Windows 2000

• SMB 2.0 - Windows Server 2008 和 Windows Vista SP1（Samba 3.6 支持）

• SMB 2.1 - Windows Server 2008 R2 和 Windows 7 (Samba 4.0)

• SMB 3.0 - Windows Server 2012 和 Windows 8 (Samba 4.2)

• SMB 3.02 - Windows Server 2012 R2 和 Windows 8.1（Samba 不支持）

• SMB 3.1.1 - Windows Server 2016 和 Windows 10（Samba 不支持）

Samba 用于在 Linux/Unix 中实现 SMB 协议。 Samba 4.14 及更高版本默认使用 SMB 2.1。

在SMB网络通信中，客户端和服务器端使用客户端和服务器端均支持的最高SMB协议版本。

SMB 版本兼容性汇总表如下所示。使用此表，您可以确定不同版本的 Windows 交互时选择的 SMB 协议版本：

Operating SystemWindows 10, Win Server 2016Windows 8.1, Win Server 2012 R2Windows 8,Server 2012Windows 7,Server 2008 R2Windows Vista,Server 2008Windows XP, Server 2003 and earlierWindows 10, Windows Server 2016SMB 3.1.1SMB 3.02SMB 3.0SMB 2.1SMB 2.0SMB 1.0Windows 8.1, Server 2012 R2SMB 3.02SMB 3.02SMB 3.0SMB 2.1SMB 2.0SMB 1.0Windows 8, Server 2012SMB 3.0SMB 3.0SMB 3.0SMB 2.1SMB 2.0SMB 1.0Windows 7, Server 2008 R2SMB 2.1SMB 2.1SMB 2.1SMB 2.1SMB 2.0SMB 1.0Windows Vista, Server 2008SMB 2.0SMB 2.0SMB 2.0SMB 2.0SMB 2.0SMB 1.0Windows XP, 2003 and earlierSMB 1.0SMB 1.0SMB 1.0SMB 1.0SMB 1.0SMB 1.0

例如，如果运行 Windows 8.1 的客户端计算机连接到使用 Windows Server 2016 的文件服务器，则将使用 SMB 3.0.2 协议。

根据该表，Windows XP 和Windows Server 2003 只能使用SMB 1.0 来访问共享文件夹和文件。 SMBv1 在较新版本的 Windows Server (2012 R2/2016) 中被禁用。因此，如果您仍在网络上使用 Windows XP 和 Windows Server 2003 设备，它们将无法访问运行 Windows Server 2016 的文件服务器上的共享文件夹。

如果禁用 SMB v1.0 的 Windows Server 2019/2016 用作域控制器，则 Windows XP/Server 2003 客户端将无法访问域控制器上的 SYSVOL 和 NETLOGON 文件夹并使用 AD 进行身份验证。

尝试连接到禁用 SMBv1 的文件服务器上的共享文件夹时，您可能会收到以下错误：

The specified network name is no longer available

如何在 Windows 上检查 SMB 版本？

让我们看看如何找出 Windows 设备上启用了哪些版本的 SMB。

在 Windows 10/8.1 和 Windows Server 2019/2016/2012R2 上，您可以使用 PowerShell 检查 SMB 协议的各种方言的状态：

Get-SmbServerConfiguration | select EnableSMB1Protocol,EnableSMB2Protocol

此命令返回 SMB1 协议已禁用（

EnableSMB1Protocol = True

），并且启用了 SMB2 和 SMB3 协议（

EnableSMB1Protocol = False

）。

请注意，SMBv3 和 SMBv2 协议密切相关。您无法单独禁用或启用 SMBv3 或 SMBv2。它们始终只能一起启用/禁用，因为它们共享相同的堆栈。

在 Windows 7、Vista 和 Windows Server 2008 R2/2008 上：

Get-Item HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters | ForEach-Object {Get-ItemProperty $_.pspath}

如果没有指定参数

SMB1

或者

SMB2

在此注册表项中，则默认启用 SMBv1 和 SMBv2 协议。

此外，在这些 Windows 版本上，您可以检查允许哪些 SMB 客户端方言连接到远程主机：

sc.exe query mrxsmb10

SERVICE_NAME: mrxsmb10
TYPE : 2 FILE_SYSTEM_DRIVER
STATE : 4 RUNNING
(STOPPABLE, NOT_PAUSABLE, IGNORES_SHUTDOWN)
WIN32_EXIT_CODE : 0 (0x0)
SERVICE_EXIT_CODE : 0 (0x0)
CHECKPOINT : 0x0
WAIT_HINT : 0x0

sc.exe query mrxsmb20

SERVICE_NAME: mrxsmb20
TYPE : 2 FILE_SYSTEM_DRIVER
STATE : 4 RUNNING
(STOPPABLE, NOT_PAUSABLE, IGNORES_SHUTDOWN)
WIN32_EXIT_CODE : 0 (0x0)
SERVICE_EXIT_CODE : 0 (0x0)
CHECKPOINT : 0x0
WAIT_HINT : 0x0

在这两种情况下，服务都在运行（

STATE = 4 Running

）。这意味着当前的 Windows 设备可以连接到 SMBv1 和 SMBv2 主机。

使用 Get-SMBConnection 检查使用的 SMB 方言

通过 SMB 进行通信时，计算机使用客户端和服务器支持的最高 SMB 版本。这

Get-SMBConnection

PowerShell cmdlet 可用于检查用于访问远程计算机的 SMB 版本：

用于连接到远程服务器的 SMB 版本 (ServerName) 在方言列中列出。

您可以显示有关用于访问特定服务器的 SMB 版本的信息：

Get-SmbConnection -ServerName srvfs01

如果要显示 SMB 加密是否正在使用（在 SMB 3.0 中引入）：

Get-SmbConnection | ft ServerName,ShareName,Dialect,Encrypted,UserName

在 Linux 上，您可以使用以下命令显示 SMB 连接和 samba 中使用的方言的列表：

$ sudo smbstatus

在 Windows SMB 服务器端，您可以显示客户端当前使用的 SMB 协议版本的列表。运行命令：

Get-SmbSession | Select-Object -ExpandProperty Dialect | Sort-Object -Unique

您可以使用 PowerShell 启用对用于连接的 SMB 版本的审核：

Set-SmbServerConfiguration -AuditSmb1Access $true

然后可以从事件查看器日志中导出 SMB 连接事件：

Get-WinEvent -LogName Microsoft-Windows-SMBServer/Audit

停止使用不安全的 SMBv1 协议

在过去的几年里，出于安全原因，微软在所有产品中系统地禁用了旧版 SMB 1.0 协议。这是由于该协议中存在大量严重漏洞（还记得 Wantcrypt 和 Petya 勒索软件的事件，它们利用了 SMBv1 协议中的漏洞）。 Microsoft 和其他 IT 公司强烈建议您停止在网络中使用 SMBv1。

但是，禁用 SMBv1 可能会导致从旧客户端（Windows XP、Windows Server 2003）、第三方操作系统（Mac OSX 10.8 Mountain Lion、Snow Leopard、Mavericks、旧 Linux 发行版）、旧 NAS 设备访问较新版本的 Windows 10 (Windows Server 2016/2019) 上的共享文件和文件夹时出现问题。

如果网络上没有仅支持 SMBv1 的旧设备，请务必在 Windows 中禁用此 SMB 方言。

如果您的客户端运行 Windows XP、Windows Server 2003 或其他仅支持 SMBv1 的设备，则应更新或隔离它们。

如何在 Windows 上启用和禁用 SMBv1、SMBv2 和 SMBv3？

让我们看看在 Windows 上启用和禁用不同 SMB 版本的方法。我们将介绍 SMB 客户端和服务器管理（它们是不同的 Windows 组件）。

Windows 10、8.1 和 Windows Server 2019/2016/2012R2：

禁用 SMBv1 客户端和服务器：

Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol

仅禁用 SMBv1 服务器：

Set-SmbServerConfiguration -EnableSMB1Protocol $false

启用 SMBv1 客户端和服务器：

Enable-WindowsOptionalFeature -Online -FeatureName smb1protocol

仅启用 SMBv1 服务器：

Set-SmbServerConfiguration -EnableSMB1Protocol $true

了解有关 Windows 10 和 Windows Server 2016/2019 上的 SMBv1 协议的更多信息。

禁用 SMBv2 和 SMBv3 服务器：

Set-SmbServerConfiguration -EnableSMB2Protocol $false

启用 SMBv2 和 SMBv3 服务器：

Set-SmbServerConfiguration -EnableSMB2Protocol $true

Windows 7、Vista 和 Windows Server 2008 R2/2008：

禁用 SMBv1 服务器：

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB1 -Type DWORD -Value 0 -Force

启用 SMBv1 服务器：

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB1 -Type DWORD -Value 1 -Force

禁用 SMBv1 客户端：

sc.exe config lanmanworkstation depend= bowser/mrxsmb20/nsi
sc.exe config mrxsmb10 start= disabled

启用 SMBv1 客户端：

sc.exe config lanmanworkstation depend= bowser/mrxsmb10/mrxsmb20/nsi
sc.exe config mrxsmb10 start= auto

禁用 SMBv2 服务器：

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB2 -Type DWORD -Value 0 -Force

启用 SMBv2 服务器：

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB2 -Type DWORD -Value 1 -Force

禁用 SMBv2 客户端：

sc.exe config lanmanworkstation depend= bowser/mrxsmb10/nsi
sc.exe config mrxsmb20 start= disabled

启用 SMBv2 客户端：

sc.exe config lanmanworkstation depend= bowser/mrxsmb10/mrxsmb20/nsi
sc.exe config mrxsmb20 start= auto

您可以通过 GPO 部署以下注册表参数来禁用加入域的计算机上的 SMBv1 服务器：

• 键： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

• 名称： SMB1

• 类型：REG_DWORD

• 值：0

设置注册表参数

SMB2=0

以禁用 SMBv2 服务器。

要禁用 SMBv1 客户端，您需要传播以下注册表设置：

• 键： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\mrxsmb10

• 名称： 开始

• 类型：REG_DWORD

• 值：4

在 Windows 上禁用 SMB 1.0/CIFS 文件共享支持时，您可能会遇到错误 0x80070035 未找到网络路径、访问共享 SMB 文件夹时出错以及网络发现问题。在这种情况下，您必须使用发现服务而不是计算机浏览器服务（链接）。