同一台电脑隔壁工位能连上共享你这台就是弹「找不到网络路径」。重启路由器、重装系统、换网线折腾一晚上还是不行。局域网共享是 Windows 里最典型的「看起来简单、坏起来没头」的故障。原因不复杂它横跨了网络、服务、协议、权限、凭据五层每层的报错长得都很像所以绝大多数人是在错误的那一层反复折腾。这篇给一套固定顺序的五层排查法——照着走一遍八成问题能在十分钟内定位。文章目录一、先对号入座你的现象对应哪一层二、网络层先确认「能不能到」2.1 网络不通就查这三件事2.2 「昨天还好今天不行」——九成是 IP 变了2.3 一个隐蔽的断流原因网卡节能三、发现服务层为什么「看不到」但「能连上」3.1 需要开的四个服务3.2 别忘了「网络发现」这个开关3.3 能看到列表 ≠ 能访问四、协议与服务层错误码速查4.1 445 端口通不通一条命令定生死4.2 SMB 服务与协议版本4.3 「组织的安全策略阻止未经身份验证的来宾访问」4.4 「空密码的本地账户只允许控制台登录」五、凭据层输对了密码还是进不去5.1 先清掉缓存5.2 用户名到底该怎么填5.3 反复触发账户锁定六、权限层能进去但改不了6.1 共享权限和 NTFS 权限是两套取交集6.2 不要偷懒给 Everyone6.3 一个容易被忽略的继承问题七、一把梭共享诊断脚本八、踩坑速查表九、生产化检查清单一、先对号入座你的现象对应哪一层别急着敲命令。先看现象它能直接把范围砍掉一大半。你看到的现象大概率在哪一层直接跳到ping都不通网络层第二节ping 通但网络里「看不到」对方电脑发现服务层第三节能在地址栏用\\IP打开但列表里刷不出来发现服务层不影响用第三节报「0x80070035 找不到网络路径」协议/服务层第三、四节弹出登录框输了密码还是进不去凭据层第五节能进去但文件夹是只读或者写不进去权限层第六节能连上但传输几秒就断网络层网卡/网线/节能第二节昨天还好今天不行优先查 IP 是否变了第二节这张表的价值在于避免跨层折腾。最典型的错误就是网络都不通还在重装驱动、改共享权限——这两件事和 ping 不通一点关系都没有。二、网络层先确认「能不能到」这一步只有一个目标确认两台机器在网络上互相看得见。# 1. 看本机地址、子网掩码、网关ipconfig /all# 2. ping 目标机器换成真实 IPping192.168.1.100-t# 3. 如果要走主机名访问顺便测一下名字解析nslookupDESKTOP-ABC123判断标准回显「时间1ms」且不丢包→ 网络层没问题去第三层一直「请求超时」→ 停在这里别往下查了。2.1 网络不通就查这三件事第一是不是同一个网段。对比ipconfig里的 IPv4 前三段。192.168.1.x和192.168.0.x属于两个网段互相看不见——这是双路由器组网最常见的坑光猫拨号 自己又接了一个路由器两层 NAT。第二是不是一个有線一个无线。笔记本同时插着网线和连着 Wi-Fi 时两个接口可能分属不同网段而流量走了哪条是不确定的。排查阶段先禁用掉无线只留一条链路。第三是不是被隔离了。很多企业级 AP 和路由器默认开启「AP 隔离」或「客户端隔离」同一 Wi-Fi 下的设备互相 ping 不通。这个开关一般在路由器的无线高级设置里。2.2 「昨天还好今天不行」——九成是 IP 变了DHCP 租约到期后路由器可能给这台机器换了个 IP。而其他电脑的快捷方式、映射盘、打印机端口里存的还是旧地址于是「昨天能用今天不行」。# 看租约是否快到期ipconfig /all|findstr /i获得租约 租约过期根治办法给共享主机或打印机配一个 DHCP 静态保留在路由器里把它的 MAC 地址和 IP 绑定比在 Windows 里手填静态 IP 更稳——手填的静态 IP 一旦跳出路由器的地址池范围很容易和其他设备冲突。2.3 一个隐蔽的断流原因网卡节能共享能连上、但传大文件几秒就断或者从睡眠唤醒后共享消失先查网卡电源管理。# 查看网卡的节能设置Get-NetAdapter|Get-NetAdapterPowerManagement|Select-ObjectName,AllowComputerToTurnOffDevice如果AllowComputerToTurnOffDevice是Enabled去设备管理器 → 网络适配器 → 属性 → 电源管理 → 取消勾选「允许计算机关闭此设备以节约电源」。有线网卡一般没事无线网卡和 USB 网卡几乎必踩。三、发现服务层为什么「看不到」但「能连上」Windows 的「网络」里能自动列出局域网电脑靠的是一组发现服务。Win10 之后这些服务默认是手动启动的这就是「别人能看见我、我看不见别人」的头号原因。3.1 需要开的四个服务服务名显示名服务名内部名作用Function Discovery Provider HostfdPHost提供设备发现能力Function Discovery Resource PublicationFDResPub把自己的机器发布到网络上SSDP DiscoverySSDPSRV通用即插即用的发现UPnP Device Hostupnphost支持 UPnP 设备其中FDResPub是「别人能不能看见我」的关键fdPHost是「我能不能看见别人」。# 开启并设为自动启动管理员 PowerShell$svcs (fdPHost,FDResPub,SSDPSRV,upnphost)foreach($sin$svcs){Set-Service-Name$s-StartupType Automatic-ErrorAction SilentlyContinueStart-Service-Name$s-ErrorAction SilentlyContinue$svcGet-Service-Name$s{0,-12} {1}-f$svc.Name,$svc.Status}3.2 别忘了「网络发现」这个开关服务开了系统层面的开关也得开设置 → 网络和 Internet → 高级网络设置 → 高级共享设置在当前配置文件通常是「专用网络」下网络发现启用文件和打印机共享启用这里有个高频坑如果你的网络被识别成「公用网络」Public那么即使你在专用网络下开了共享也不生效。因为两个配置文件是分开的。怎么判断设置 → 网络和 Internet → Wi-Fi/以太网看配置文件类型。家里/公司内网应该设成「专用网络」。# 命令行查看所有网络配置文件类型Get-NetConnectionProfile|Select-ObjectName,NetworkCategory,IPv4Connectivity# 把指定网络改为专用家用/办公内网Set-NetConnectionProfile-Name你的网络名-NetworkCategory Private3.3 能看到列表 ≠ 能访问反过来说一句发现服务只影响「能不能自动列出来」不影响「能不能用」。只要你知道对方的 IP直接在文件资源管理器地址栏敲\\192.168.1.100就能进。列表刷不出来但 IP 能进的情况根本不用折腾——把机器名存成快捷方式就行。很多人为了修「列表里看不到」重装系统纯属浪费。四、协议与服务层错误码速查到了这一层通常已经有明确的报错码了。先查表再动手。错误码 / 提示真实含义处理方向0x80070035找不到网络路径连不上 445 端口查防火墙、SMB 服务、445 是否被占用0x80004005未指定的错误身份验证被拒查不安全的来宾登录策略见 4.30x800704CF无法访问网络位置网络位置识别错误禁用再启用网卡或重置 Winsock0x80070043找不到网络名共享名错了net share确认实际共享名0x8007052E用户名或密码不正确凭据问题见第五节0x80070569登录失败用户帐户限制空密码被策略拦截见 4.4「组织的安全策略阻止未经身份验证的来宾访问」来宾访问被禁见 4.34.1 445 端口通不通一条命令定生死SMB 靠 445以及老式的 139通信。这两步能排掉一大半「找不到网络路径」# 1. 测 445 端口比 ping 更接近真相Test-NetConnection-ComputerName 192.168.1.100-Port 445# 2. 看本机 445 有没有被占用netstat-ano|findstr:445TcpTestSucceeded : False就是不通。此时三种可能对方防火墙没放行。对方机器上执行Get-NetFirewallRule-DisplayGroup文件和打印机共享|Select-ObjectDisplayName,Enabled,Direction如果Enabled是False去防火墙 → 允许应用通过防火墙勾上「文件和打印机共享」专用 公用都勾。第三方安全软件拦了。国内几款安全卫士、企业终端管控软件都会单独接管端口放行规则Windows 防火墙里看着是开的实际被上层拦掉。排查时临时退出一次做对照。SMB 服务没跑。见 4.2。一个少见的坑某些 ISP 的光猫、或者运营商专线会封 445。这种情况换端口或走别的方式。4.2 SMB 服务与协议版本# 本机 SMB 服务端配置协议版本、签名、加密Get-SmbServerConfiguration|Select-ObjectEnableSMB1Protocol,EnableSMB2Protocol,RequireSecuritySignature,EncryptData# 本机共享列表Get-SmbShare|Select-ObjectName,Path,Description# 看某个共享的访问权限Get-SmbShareAccess-Name共享名两个服务必须运行LanmanServer服务端提供共享和LanmanWorkstation客户端访问别人的共享。Get-ServiceLanmanServer,LanmanWorkstation|Select-ObjectName,Status,StartType关于 SMB1这是新手最容易踩的一个坑。Windows 11 24H2 起SMB1 客户端已被彻底移除不再是「默认禁用」是删掉了。这意味着十年前的 NAS、老式网络打印机、老款复印机如果只支持 SMB1新电脑永远连不上网上很多「开启 SMB1 就能解决」的老教程在 24H2 上已经失效。正确的做法不是把 SMB1 装回来而是去设备端升级固件或者改用其他协议打印机一般同时支持 FTP、WebDAV、或直接 IP 打印。如果确实需要临时启用仅限隔离环境# Windows 11 24H2 上SMB1 需要作为「可选功能」单独安装Get-WindowsOptionalFeature-Online-FeatureName SMB1ProtocolEnable-WindowsOptionalFeature-Online-FeatureName SMB1Protocol-Client但请务必清楚代价SMB1 存在多个已被利用多年的远程代码执行漏洞永恒之蓝就是走 SMB1。在能上网的机器上开启它等于把门打开。4.3 「组织的安全策略阻止未经身份验证的来宾访问」这条提示在 Win10/11 上非常高频尤其连老 NAS 时。原因是微软从 Win10 1709 起默认禁止了来宾访问共享。如果对方设备确实没有账号体系很多老 NAS、路由器 USB 共享要么在设备端建账号要么放开来宾访问# 方式一注册表立即生效无需重启$pathHKLM:\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\ParametersSet-ItemProperty-Path$path-NameAllowInsecureGuestAuth-Value 1-TypeDWord或者图形界面gpedit.msc→ 计算机配置 → 管理模板 → 网络 → Lanman 工作站 →启用不安全的来宾登录→ 已启用。这个操作的本质是「允许以无密码身份访问共享」在企业内网里属于安全风险。做完记得在不需要时改回来。4.4 「空密码的本地账户只允许控制台登录」这个坑很隐蔽现象是知道账号密码也对但就是提示「用户帐户限制」。原因是一条默认安全策略使用空密码的本地账户不允许从网络登录。触发条件共享主机上的账号密码是空的。两个解法推荐给那个账号设一个密码。最简单也不破坏安全基线。或者改策略secpol.msc→ 本地策略 → 安全选项 →「帐户: 使用空密码的本地帐户只允许进行控制台登录」→ 设为「已禁用」。建议用第一种。空密码账号一旦开放网络登录等于把机器送人。五、凭据层输对了密码还是进不去这是最反直觉的一层密码明明是对的就是提示错误。原因是 Windows 会缓存你曾经输入过的凭据。一旦某个 IP 或主机名上存了错的凭据之后所有访问都会自动带上那个错的你连输密码的机会都没有。5.1 先清掉缓存# 列出所有已保存的凭据cmdkey /list# 删除指定目标的凭据cmdkey /delete:192.168.1.100 cmdkey /delete:DESKTOP-ABC123# 或者清掉当前所有到该主机的连接不删凭据但会重新协商net use * /delete /y排查顺序建议是先net use * /delete /y再试一次。很多问题到这就好了。5.2 用户名到底该怎么填这里有个几乎人人踩过的坑共享主机用的是微软账户登录时你不能直接输那个邮箱和密码。Windows 内部把它映射成了一个隐藏的本地账户名直接输邮箱基本必挂。正确的几种写法主机登录方式客户端应该输本地账户BobBob或主机名\Bob微软账户主机名\ 本地隐藏用户名不推荐硬凑最省事在主机上新建一个带密码的本地账户专门用于共享所以最实用的建议是在共享主机上单独建一个本地账户给同事用。# 在主机上创建共享专用账户管理员 PowerShell$pwRead-Host设置密码-AsSecureStringNew-LocalUser-NameShareUser-Password$pw-Description局域网共享专用# 如果只需要读权限不要加进任何管理员组客户端连接时写主机名\ShareUsernet use Z:\\192.168.1.100\share /user:DESKTOP-ABC123\ShareUser 密码5.3 反复触发账户锁定企业域环境里常见某台电脑存着旧密码每次开机都自动去连共享连错几次把账号锁了全公司都登不进来。处理方式两端一起做在主机/域控上解锁账户在有问题的客户端上删掉那份缓存凭据cmdkey /delete:...否则明天还会锁一次。六、权限层能进去但改不了能打开共享说明网络、服务、协议、凭据全都通了。剩下的问题一定在权限。6.1 共享权限和 NTFS 权限是两套取交集这是 Windows 权限模型里最需要理解的一点共享权限Share Permissions管「从网络进来能干什么」只对网络访问生效NTFS 权限Security 选项卡管「谁能对这个文件夹干什么」本地和网络都生效。最终权限 两者中更严格的那个。所以「共享权限给了完全控制但还是写不进去」——去查 NTFS 权限。「NTFS 给了完全控制但只读」——去查共享权限。# 看共享权限Get-SmbShareAccess-Nameshare# 看 NTFS 权限Get-AclD:\share|Format-List# 授予某个账户修改权限示例icaclsD:\share/grantShareUser:(OI)(CI)M(OI)(CI)表示对象继承和容器继承也就是这个权限会往下传到子文件夹和文件——不加这两个只对当前这一层生效这是 icacls 使用中最常见的遗漏。6.2 不要偷懒给 Everyone很多「一键共享」教程会让你把权限都给Everyone。在家庭网络里问题不大在办公室就是数据裸奔任何能连上网络的人包括访客 Wi-Fi 上的设备都能读写。最低成本的正确做法建一个ShareUser之类的账户把共享和 NTFS 权限都只给这个账户需要访问的人用这个账户连。6.3 一个容易被忽略的继承问题如果共享的父目录被设成了「拒绝」子目录怎么授权都无效——「拒绝」永远优先于「允许」并且在继承链上会一路往下压。排查时看icaclsD:\share/inheritance:r# 谨慎这会断开继承不要在没备份 ACL 的情况下随意改继承。如果确实要改先导出icaclsD:\share/save acl_backup.txt /t# 恢复 icacls D:\ /restore acl_backup.txt七、一把梭共享诊断脚本把上面几层串成一个脚本输出一份分层报告。遇到问题时先跑它能省掉大半手动排查。# smb_diag.ps1 —— 局域网共享分层诊断# 用法 powershell -ExecutionPolicy Bypass -File smb_diag.ps1 -Target 192.168.1.100param([Parameter(Mandatory $true)][string]$Target)functionSection($t){Write-Hostn$t-ForegroundColor Cyan}Section1. 网络层$pingTest-Connection-ComputerName$Target-Count 2-QuietWrite-HostPing 可达:$pingGet-NetIPAddress-AddressFamily IPv4|Where-Object{$_.IPAddress-notlike127.*}|Select-ObjectInterfaceAlias,IPAddress,PrefixLength|Format-Table-AutoSize Section2. 端口层445 / 139foreach($pin 445,139){$rTest-NetConnection-ComputerName$Target-Port$p-WarningAction SilentlyContinueWrite-Host(端口 {0,-4} : {1}-f$p,$r.TcpTestSucceeded)}Section3. 服务层Get-ServicefdPHost,FDResPub,SSDPSRV,upnphost,LanmanServer,LanmanWorkstation|Select-ObjectName,Status,StartType|Format-Table-AutoSize Section4. 网络位置Get-NetConnectionProfile|Select-ObjectName,NetworkCategory|Format-Table-AutoSize Section5. 协议配置$cfgGet-SmbServerConfigurationWrite-HostSMB1 启用:$($cfg.EnableSMB1Protocol)Win11 24H2 起恒为 FalseWrite-HostSMB2/3 启用:$($cfg.EnableSMB2Protocol)Write-Host要求签名:$($cfg.RequireSecuritySignature)Section6. 来宾访问策略$guestGet-ItemProperty-PathHKLM:\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters-Name AllowInsecureGuestAuth-ErrorAction SilentlyContinueWrite-HostAllowInsecureGuestAuth $($guest.AllowInsecureGuestAuth)1允许来宾访问Section7. 本机共享Get-SmbShare|Select-ObjectName,Path|Format-Table-AutoSize Section8. 已缓存凭据凭据冲突的元凶cmdkey/list Section9. 实际连接尝试net use\\$Target/delete/y 2$null|Out-Nullnet view\\$Target脚本的第 8 步和第 9 步是重点先清连接再试连把真实的报错暴露出来。八、踩坑速查表现象真因一句话解法别人看得见我我看不见别人fdPHost未启动设为自动并启动看不见我网络位置是「公用」改为专用网络列表刷不出来但\\IP能进发现服务的事不影响使用不用修存快捷方式0x80070035445 不通查对方防火墙0x80004005来宾访问被禁建专用本地账户密码对但提示错误缓存了旧凭据net use * /delete /y微软账户邮箱登不上账户名映射问题建本地账户反复锁定账户客户端存着旧密码cmdkey /delete:目标写不进去共享权限或 NTFS 权限Get-SmbShareAccessGet-Acl老 NAS 连不上SMB1 已被 24H2 移除升级设备固件别开 SMB1传大文件断流网卡节能关「允许计算机关闭此设备」九、生产化检查清单给要管办公室网络的读者共享主机与网络打印机配 DHCP 静态保留不让 IP 漂建专用的共享本地账户带密码不用微软账户、不用空密码账户共享权限与 NTFS 权限同时配方向一致不给Everyone老设备的固件升级到支持 SMB2/3不长期依赖 SMB1客户端各机器定期清理失效凭据换电脑、改密码后必清关掉所有涉及共享的机器上的网卡节能改过 ACL 的地方留一份icacls /save备份。局域网共享这类问题的特点是报错信息几乎没有区分度但故障层次是严格可分的。有了固定顺序你不需要猜只需要一层层往下走。真正省时间的不是记住某个命令而是知道先测 ping 再测端口、先清凭据再改权限——顺序对了绝大多数情况在前两步就结束了。评论区扣「共享」我把这份诊断脚本和错误码速查表整理成可直接下载的版本发你。