有效的 SMB 連線疑難排解，先要找出失敗階段：找到伺服器、連通 TCP 445、協商 SMB、驗證工作階段、連接指定分享，還是以所需權限開啟檔案。每次只測試一組已知的伺服器、分享、帳戶和客戶端，不要同時更改憑證、防火牆規則和協議設定。想快速測試 SMB 連線，先在出問題的客戶端檢查 TCP 445：檢查失敗代表問題在網絡路徑，檢查通過則應轉查登入、分享或權限。

關鍵要點

先判斷受影響的是一部客戶端、一個帳戶、一個分享，還是所有客戶端。

分別測試伺服器名稱和 IP，但不要把 IP 權宜做法當作永久的 DNS 修正。

「拒絕存取」可能出現在驗證、分享連線或檔案授權階段。

不要把啟用 SMB1、把 TCP 445 公開到互聯網、關閉簽署和加密當作一般修正。

保留準確的錯誤、時間、伺服器、分享路徑、帳戶格式及對比結果。

協議背景可參閱甚麼是 SMB。與檔案分享無關的一般檢查，請使用裝置與 App 排查指南。本文假設客戶端位於獲授權的本地網絡，或使用受妥善保護的遙距途徑。

SMB 連線疑難排解先量度故障範圍

不要一開始便重設 NAS 或刪除所有已儲存的憑證。先建立一個小型對比表。

對比情況	可能要排查的層面
一部客戶端失敗，另一部用同一帳戶和分享正常	客戶端名稱解析、防火牆、憑證、政策或 SMB 功能
一個帳戶在多部客戶端都失敗，另一個帳戶正常	帳戶狀態、密碼、群組成員身份或授權
一個分享失敗，同一伺服器的另一個分享正常	分享名稱、分享權限、檔案權限、加密要求或磁碟區狀態
所有客戶端都連不上任何分享	伺服器服務、網絡路徑、TCP 445、維護或儲存狀態
檔案能開啟但複製很慢	效能路徑，而非連線建立

記錄準確路徑（例如 \\server\share）、客戶端與伺服器的作業系統、時間及可見的錯誤。確認你獲授權使用該帳戶和分享。如果裝置由僱主或學校管理，在更改防火牆、憑證、簽署、加密或本機保安政策前停下。

伺服器屬你所有的話，在本地查看控制台。確認磁碟區和分享在線、檔案服務已啟用，伺服器並非在更新、重新啟動、降級運作或空間不足。即使網絡正常，儲存問題也可能表現為連線或檔案錯誤。

客戶端能否找到並連上 SMB 伺服器？

把探索、名稱解析和傳輸分開檢查。

確認客戶端和伺服器位於預期的網絡。訪客 Wi-Fi 可能刻意阻止本地裝置互相連線。
從可信來源核實伺服器名稱和準確的分享名稱。不要憑舊捷徑猜測路徑。
對比伺服器名稱與其現時的本地 IP 位址。IP 測試可隔離名稱解析問題，但不能長期取代正確的 DNS 或本地探索。
透過官方管理介面，確認 SMB 伺服器服務正在執行並接聽。
測試客戶端的網絡和防火牆是否容許連往該獲授權伺服器的 TCP 445。
在同一網絡比較另一部已知正常的客戶端。

Microsoft 的 SMB 進階疑難排解指引指出，在斷定 SMB 本身出錯之前，應先檢查 TCP/IP。TCP 交握失敗可能代表防火牆攔截或伺服器服務已停止，而重傳及不斷縮小的接收視窗，則可能指向網絡或儲存延遲。［1］

不要為了令本地測試通過而在路由器開放 TCP 445。如你不在家，請使用更安全地遙距存取 NAS所述的受保護途徑。公開暴露會改變保安界線，並不是修復連線。

如果 IP 可用而名稱不可用，保留這個結果。透過受支援的工具檢查正確的 DNS 字尾、本地 DNS 記錄、裝置名稱和快取的舊位址。不要以編輯 hosts 檔案作為首選的永久方案；它會掩蓋位址變更，並製造第二個資料來源。

如何測試 SMB 連線和 TCP 445？

在 Windows 上，於出問題的客戶端開啟 PowerShell，執行 Test-NetConnection -ComputerName <server> -CommonTCPPort SMB；改用 -Port 445 執行的是同一項 TCP 測試。TcpTestSucceeded : True 只表示通往 445 連接埠的 TCP 連線已經建立，並不代表協商、登入或分享連線必定成功。［2］分別以伺服器名稱和 IP 位址各執行一次，便能一步比較名稱解析和傳輸。

分享連上後，執行 Get-SmbConnection，可列出每個連線的伺服器、分享、用戶名稱和協商所得的 SMB 方言。［3］如果這個 cmdlet 本身顯示拒絕存取，請以管理員身份重新開啟 PowerShell；這個錯誤針對的是本機查詢，而不是分享。

結果	代表甚麼
`TcpTestSucceeded` 為 False	繼續網絡檢查：位址、防火牆、路由或已停止的服務
`TcpTestSucceeded` 為 True，但分享仍失敗	傳輸正常；把錯誤對應到之後的階段
`Get-SmbConnection` 顯示意料之外的用戶	工作階段使用了另一個身份；轉到憑證檢查
`Get-SmbConnection` 顯示舊方言	檢查協商以及兩端目前的 SMB 版本

哪個 SMB 連線階段失敗？

SMB 連線並非單一動作。Microsoft 把協商、工作階段設定和樹狀連線描述為不同階段。［4］把錯誤對應到階段，可避免作出無關的更改。

階段	建立的內容	常見證據
TCP 連線	通往 445 連接埠的網絡路徑	逾時、被拒、防火牆或路由結果
協商	相容的 SMB 方言和功能	協議或保安功能錯誤
工作階段設定	用戶身份和工作階段保安	要求輸入憑證、登入失敗、帳戶已停用
樹狀連線	存取指定分享	找不到分享、拒絕存取、加密要求
檔案操作	對資料夾或檔案執行動作的權限	能列出但不能開啟、建立、重新命名或刪除

如果協商失敗，確認客戶端和伺服器的現行版本及支援的 SMB 功能。不要啟用 SMB1。無法符合現行保安要求的舊伺服器應升級、隔離或更換，而不是削弱所有客戶端。

如果工作階段設定失敗，轉到身份檢查；如果透過 DNS 別名連線，亦要確認伺服器已為該別名設定服務主體名稱（SPN），因為 Kerberos 會在工作階段設定時為它申請票證。如果樹狀連線失敗，核實準確的分享名稱和分享層級規則。如果只有檔案操作失敗，保留已成功的 SMB 工作階段並檢查檔案授權，不要重新進行網絡診斷。

如何解決驗證失敗和不斷要求輸入憑證？

使用伺服器要求的帳戶格式。NAS 本機帳戶、Windows 本機帳戶、域名帳戶和雲端登入，即使顯示名稱相同也不能互換。

確認帳戶存在於目標 SMB 伺服器或身份目錄。
檢查帳戶是否已停用、鎖定、過期或須更改密碼。
按文件列明的帳戶格式輸入一次。不要輪流嘗試各種前綴和域名。
檢查客戶端是否已用另一身份與同一伺服器建立工作階段。
透過受支援的控制項關閉開啟中的檔案，只中斷相關伺服器的工作階段。
只有在清楚憑證屬誰並能還原時，才移除已儲存的憑證。
用一個不敏感的測試分享重試。

客戶端可能不容許同時以兩個身份連接同一部伺服器，但這不足以成為刪除整個憑證庫的理由。保留無關伺服器、業務 App 和排程工作所用的憑證。

驗證成功但分享拒絕該帳戶時，也可能反覆出現提示。查看同一時間的伺服器記錄，判斷失敗在登入、樹狀連線還是之後的檔案操作。不要只憑單一客戶端對話框的字眼推斷階段。

密碼正確為何仍顯示 SMB 拒絕存取？

密碼正確只證明身份，不代表已獲授權。存取同時受分享權限及底層檔案或資料夾權限限制；實際生效的是兩者中較嚴格的組合，再加上任何伺服器政策或加密要求。

按以下次序檢查：

確認是準確的分享，而不是管理分享或名稱相近的分享。
檢查伺服器上的直接用戶及群組成員身份。
檢查所需讀取或寫入動作的分享權限。
檢查目標資料夾的檔案系統權限和繼承設定。
在已核准的分享內新建一個無害的資料夾作測試。
確認磁碟區可寫入，並非已滿、唯讀、降級或已鎖定。
檢查分享是否要求 SMB 加密或客戶端欠缺的功能。

不要為了診斷方便而給 Everyone 完全控制權限。臨時測試帳戶只應獲得某個測試資料夾所需的最小權限，用完便移除。如果涉及繼承的拒絕規則或機構政策，應由其負責人更正，而不是在不清晰的設計上疊加寬鬆的允許規則。

如果能列出但不能建立，比較所要求的動作。如果能建立但不能重新命名或刪除，檢查擁有權、繼承、應用程式鎖定、保留政策、快照和保安軟件。這些都是連線成功後的檔案操作問題。

應否更改 SMB 簽名或加密設定？

不應作為一般的連線修正。Windows 11 24H2 專業版、企業版和教育版要求外發及傳入連線的 SMB 簽署，Windows Server 2025 要求外發連線簽署；Microsoft 不建議以停用簽署作為連接第三方伺服器的權宜做法，因為簽署可防範竄改、偽冒和中繼攻擊。［5］

不容許簽署的第三方 SMB 伺服器，可能在協商或工作階段設定階段失敗，例如顯示 STATUS_INVALID_SIGNATURE。核實伺服器韌體、設定和文件列明的功能。更新或更換不受支援的伺服器，而不是降低所有客戶端的保安政策。

當客戶端不支援所需的 SMB 版本時，加密要求也可能表現為拒絕存取。應把它視為功能不相符。沒有書面風險決定和其他受保護途徑時，不要關閉敏感分享的加密。

把以下設定分開理解：

SMB 簽署提供訊息完整性和驗證保護。
SMB 加密為傳輸中的 SMB 資料增加機密性。
傳輸可達只證明 TCP 445 能連上。
分享和檔案權限決定已驗證的身份可以做甚麼。

更改其中一層，無法修正錯誤的分享名稱或已停用的帳戶。

轉交支援前應收集哪些證據？

如果基本對比表未能找出問題，在不暴露憑證或檔案內容的前提下收集證據。

客戶端和伺服器的型號及作業系統版本。
準確的伺服器和分享名稱，如有需要遮蓋敏感路徑部分。
客戶端本地 IP、伺服器本地 IP 和網絡類型。
準確的錯誤和時間。
名稱測試和 IP 測試結果是否不同。
在獲授權的網絡上 TCP 445 是否可達。
失敗發生在協商、工作階段設定、樹狀連線還是檔案操作。
已知正常的客戶端、帳戶和分享的對比結果。
相關的客戶端和伺服器事件記錄項目。

Microsoft 建議收集 SMB 客戶端和伺服器記錄；在複雜情況下，還要在失敗操作前後擷取封包。封包擷取可能包含名稱、路徑、位址和驗證中繼資料，只可透過已核准的支援程序收集和分享。

如果某部檔案伺服器只是連線後很慢，請轉到 NAS 檔案傳輸效能指南。反覆更改驗證設定無法診斷傳輸量。

常見問題

為何能用 IP 存取 NAS，卻不能用名稱？

傳輸路徑很可能正常，而名稱解析或探索結果錯誤或已過時。應修正具權威的本地 DNS 或受支援的探索途徑，而不是保留寫死的 IP 權宜做法，因為位址改變後它可能失效。

SMB 拒絕存取是否代表密碼錯誤？

不一定。它可能是登入失敗、無權連接分享、檔案權限不足，或未符合加密要求。應把伺服器記錄和錯誤對應到連線階段。

應否為舊 NAS 啟用 SMB1？

不應該。SMB1 欠缺現行系統要求的保護。更新伺服器、使用受支援的新版 SMB 實作、隔離並遷移資料，或更換不再受支援的硬件。

應否清除所有已儲存的憑證？

不應該。只有在清楚憑證屬誰及如何還原時，才移除已確認伺服器所對應的那個憑證。全部清除可能影響無關的分享、應用程式和排程工作。

兩個帳戶能否同時連接同一部 SMB 伺服器？

部分客戶端會限制以不同身份同時連接同一部伺服器。只關閉相關的開啟中檔案和伺服器工作階段，然後以目標帳戶重新連線，不要清除所有網絡憑證。

連線逾時是否代表 445 連接埠被封鎖？

這只是其中一個可能，路由、伺服器停機、位址錯誤或服務已停止也會導致逾時。更改防火牆前，先比較一部獲授權而正常的客戶端，並檢查網絡和伺服器兩方面的證據。

為了連接 NAS 應否停用 SMB 簽署？

不應把它當作常規修正。更新並設定 NAS，使其支援現行保安要求。停用簽署會削弱對中繼、偽冒和竄改的防護，也可能違反受管理裝置的政策。

為何能列出檔案卻不能編輯？

SMB 工作階段和分享連線已經成功，但所要求的檔案操作未獲授權，或磁碟區無法寫入。檢查檔案權限、擁有權、鎖定、保留政策、可用空間和磁碟區健康狀況。遙距 SMB 連線的網絡路徑可能受 AethoVPN 影響，但寫入權限、檔案鎖及唯讀磁碟區問題仍須在分享端解決。

來源

Microsoft, “Advanced Troubleshooting Server Message Block” — https://learn.microsoft.com/en-us/windows-server/storage/file-server/troubleshoot/troubleshooting-smb
Microsoft, “Test-NetConnection” — https://learn.microsoft.com/en-us/powershell/module/nettcpip/test-netconnection
Microsoft, “Get-SmbConnection” — https://learn.microsoft.com/en-us/powershell/module/smbshare/get-smbconnection
Microsoft, “Negotiate, Session Setup, and Tree Connect Failures” — https://learn.microsoft.com/en-us/troubleshoot/windows-server/networking/negotiate-session-setup-tree-connect-fails
Microsoft, “Control SMB Signing Behavior” — https://learn.microsoft.com/en-us/windows-server/storage/file-server/smb-signing

Sources checked 2026 年 10 月 4 日。

SMB 連線疑難排解：按失敗階段查名稱、連接埠、登入與權限