Windows7無法訪問Windows2003共享的解決方案
2010年10月25日 星期一 14:58
Windows 7 從Beta版到之后發(fā)布的穩(wěn)定版本，與之前其他版本的操作系統(tǒng)之間會出現(xiàn)一些較異常的問題。
今天要解決的是Windows7無法訪問Windows2003共享的問題
【問題描述】：
Windows 7 無法訪問Windows2003共享，出現(xiàn)“系統(tǒng)錯誤 86。網(wǎng)絡(luò)密碼不正確”，但是這些問題都是正確的，經(jīng)分析問題可能出現(xiàn)在用戶身份驗(yàn)證上。
【解決方法】：
首先，我們先確認(rèn)防火墻是否阻止網(wǎng)絡(luò)共享，“控制面板-系統(tǒng)和安全-windows防火墻-允許的程序里打開了文件和打印機(jī)共享；”。
其次，“本地安全策略”，將“網(wǎng)絡(luò)安全：LAN管理器身份驗(yàn)證級別”項(xiàng)的值“沒有定義”改為“發(fā)送LM & NTLM響應(yīng)”；
最后，經(jīng)過這樣的修改后，windows 7就可以成功訪問網(wǎng)絡(luò)共享了
http://support.microsoft.com/kb/823659
網(wǎng)絡(luò)安全：Lan Manager 身份驗(yàn)證級別
背景
LAN Manager (LM) 身份驗(yàn)證是用于驗(yàn)證 Windows 客戶端以進(jìn)行網(wǎng)絡(luò)操作（包括域加入、訪問網(wǎng)絡(luò)資源以及用戶或計(jì)算機(jī)身份驗(yàn)證）的協(xié)議。LM 身份驗(yàn)證級別可確定在客戶端和服務(wù)器計(jì)算機(jī)之間協(xié)商哪個質(zhì)詢/響應(yīng)身份驗(yàn)證協(xié)議。確切地說，LM 身份驗(yàn)證級別可確定客戶端會嘗試協(xié)商或服務(wù)器會接受哪些身份驗(yàn)證協(xié)議。設(shè)置的 LmCompatibilityLevel 值可確定將哪種質(zhì)詢/響應(yīng)身份驗(yàn)證協(xié)議用于網(wǎng)絡(luò)登錄。該值會影響客戶端使用的身份驗(yàn)證協(xié)議級別、協(xié)商的會話安全級別以及服務(wù)器接受的身份驗(yàn)證級別，具體請參見下表。
可能的設(shè)置包括以下內(nèi)容。
收起該表格展開該表格
值 設(shè)置 說明
0 發(fā)送 LM 和 NTLM 響應(yīng) 客戶端使用 LM 和 NTLM 身份驗(yàn)證而從不使用 NTLMv2 會話安全；域控制器接受 LM、NTLM 和 NTLMv2 身份驗(yàn)證。
1 發(fā)送 LM 和 NTLM - 若協(xié)商使用 NTLMv2 會話安全 客戶端使用 LM 和 NTLM 身份驗(yàn)證并使用 NTLMv2 會話安全（如果服務(wù)器支持）；域控制器接受 LM、NTLM 和 NTLMv2 身份驗(yàn)證。
2 僅發(fā)送 NTLM 響應(yīng) 客戶端只使用 NTLM 身份驗(yàn)證并使用 NTLMv2 會話安全（如果服務(wù)器支持）；域控制器接受 LM、NTLM 和 NTLMv2 身份驗(yàn)證。
3 僅發(fā)送 NTLMv2 響應(yīng) 客戶端只使用 NTLMv2 身份驗(yàn)證并使用 NTLMv2 會話安全（如果服務(wù)器支持）；域控制器接受 LM、NTLM 和 NTLMv2 身份驗(yàn)證。
4 僅發(fā)送 NTLMv2 響應(yīng)/拒絕 LM 客戶端只使用 NTLMv2 身份驗(yàn)證并在服務(wù)器支持時使用 NTLMv2 會話安全。域控制器拒絕 LM，而只接受 NTLM 和 NTLMv2 身份驗(yàn)證。
5 僅發(fā)送 NTLMv2 響應(yīng)/拒絕 LM 和 NTLM 客戶端只使用 NTLMv2 身份驗(yàn)證并使用 NTLMv2 會話安全（如果服務(wù)器支持）；域控制器拒絕 LM 和 NTLM（它們只接受 NTLMv2 身份驗(yàn)證）。
注意：在 Windows 95、Windows 98 和 Windows 98 Second Edition 中，目錄服務(wù)客戶端在通過 NTLM 身份驗(yàn)證向 Windows Server 2003 服務(wù)器驗(yàn)證身份時使用 SMB 簽名。但是，目錄服務(wù)客戶端在通過 NTLMv2 身份驗(yàn)證向這些服務(wù)器驗(yàn)證身份時并不使用 SMB 簽名。另外，Windows 2000 服務(wù)器不響應(yīng)來自這些客戶端的 SMB 簽名請求。
檢查 LM 身份驗(yàn)證級別 必須更改服務(wù)器上的策略以允許使用 NTLM，或者必須配置客戶端計(jì)算機(jī)以支持 NTLMv2。
如果要連接到的目標(biāo)計(jì)算機(jī)上的策略設(shè)置為“(5) 僅發(fā)送 NTLMv2 響應(yīng)\拒絕 LM 和 NTLM”，那么必須降低該計(jì)算機(jī)上的設(shè)置，或者對安全性進(jìn)行設(shè)置使其與要從中進(jìn)行連接的源計(jì)算機(jī)的設(shè)置相同。
找到可以更改 LAN Manager 身份驗(yàn)證級別的正確位置，以便將客戶端和服務(wù)器設(shè)置為同一級別。找到設(shè)置 LAN Manager 身份驗(yàn)證級別的策略后，如果您希望與運(yùn)行較早版本 Windows 的計(jì)算機(jī)建立連接，請將該值至少降低到“(1) 發(fā)送 LM 和 NTLM - 若協(xié)商則使用 NTLMv2 會話安全”。不兼容設(shè)置的一個結(jié)果便是：如果服務(wù)器需要 NTLMv2（值 5），但客戶端配置為僅使用 LM 和 NTLMv1（值 0），則嘗試身份驗(yàn)證的用戶會因使用了無效密碼而無法登錄，同時會因此增加無效密碼計(jì)數(shù)。如果配置了帳戶鎖定，則可能最終會鎖定該用戶。
例如，您可能必須查看域控制器，或者查看域控制器的策略。
查看域控制器
注意：您可能必須在所有域控制器上重復(fù)以下過程。
單擊“開始”，指向“程序”，然后單擊“管理工具”。
在“本地安全設(shè)置”下，展開“本地策略”。
單擊“安全選項(xiàng)”。
雙擊“網(wǎng)絡(luò)安全:LAN Manager 身份驗(yàn)證級別”，然后單擊列表中的適當(dāng)值。
如果“有效設(shè)置”與“本地設(shè)置”相同，則表明已在此級別上更改了策略。如果這兩個設(shè)置不同，則必須檢查域控制器的策略以確定是否在此處定義了“網(wǎng)絡(luò)安全:LAN Manager 身份驗(yàn)證級別”設(shè)置。如果未在此處定義，請查看域控制器的策略。
查看域控制器的策略
單擊“開始”，指向“程序”，然后單擊“管理工具”。
在“域控制器安全”策略中，展開“安全設(shè)置”，然后展開“本地策略”。
單擊“安全選項(xiàng)”。
雙擊“網(wǎng)絡(luò)安全:LAN Manager 身份驗(yàn)證級別”，然后單擊列表中的適當(dāng)值。
注意
您可能還必須檢查在網(wǎng)站級別、域級別或組織單位 (OU) 級別鏈接的策略，以確定必須配置 LAN Manager 身份驗(yàn)證級別的位置。
如果將某一組策略設(shè)置作為默認(rèn)域策略來執(zhí)行，則該策略將應(yīng)用于域中的所有計(jì)算機(jī)。
如果將某一組策略設(shè)置作為默認(rèn)域控制器的策略來執(zhí)行，則該策略僅適用于域控制器的 OU 中的服務(wù)器。
最好在策略應(yīng)用程序?qū)哟谓Y(jié)構(gòu)中所需范圍的最低實(shí)體中設(shè)置 LAN Manager 身份驗(yàn)證級別。
請?jiān)谶M(jìn)行更改后刷新該策略。（如果更改是在本地安全設(shè)置級別進(jìn)行的，則此更改會立即生效。但是，在進(jìn)行測試之前必須重新啟動客戶端。）
默認(rèn)情況下，組策略設(shè)置在域控制器上每 5 分鐘更新一次。要在 Windows 2000 或更高版本上立即強(qiáng)制更新策略設(shè)置，請使用 gpupdate 命令。
gpupdate /force 命令可更新本地組策略設(shè)置和基于 Active Directory 目錄服務(wù)的組策略設(shè)置，包括安全設(shè)置。此命令取代了現(xiàn)已過時的 secedit 命令的 /refreshpolicy 選項(xiàng)。
gpupdate 命令使用以下語法：
gpupdate [/target:{computer|user}] [/force] [/wait:value] [/logoff] [/boot]
通過使用 gpupdate 命令手動重新應(yīng)用所有策略設(shè)置，可以應(yīng)用新的組策略對象 (GPO)。為此，請?jiān)诿钐崾痉庢I入以下內(nèi)容，然后按 Enter：
GPUpdate /Force
查看應(yīng)用程序事件日志以確保成功應(yīng)用了策略設(shè)置。
在 Windows XP 和 Windows Server 2003 上，可以使用“策略的結(jié)果集”管理單元來查看有效設(shè)置。為此，請單擊“開始”，單擊“運(yùn)行”，鍵入 rsop.msc，然后單擊“確定”。
如果對策略進(jìn)行更改后問題仍然存在，請重新啟動基于 Windows 的服務(wù)器，然后驗(yàn)證問題是否已解決。
注意：如果您有多臺基于 Windows 2000 的域控制器和/或多臺基于 Windows Server 2003 的域控制器，則可能必須復(fù)制 Active Directory 以確保這些域控制器能夠立即獲得更新的更改。
或者，該設(shè)置可能看起來像被設(shè)置為本地安全策略中的最低設(shè)置。如果可以通過安全數(shù)據(jù)庫進(jìn)行設(shè)置，則還可以通過在注冊表中編輯以下注冊表子項(xiàng)中的 LmCompatibilityLevel 項(xiàng)來設(shè)置 LAN Manager 身份驗(yàn)證級別：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
Windows Server 2003 有一個僅使用 NTLMv2 的新默認(rèn)設(shè)置。默認(rèn)情況下，基于 Windows Server 2003 和基于 Windows 2000 Server SP3 的域控制器已啟用“Microsoft 網(wǎng)絡(luò)服務(wù)器:數(shù)字簽名的通信(總是)”策略。此設(shè)置要求 SMB 服務(wù)器執(zhí)行 SMB 數(shù)據(jù)包簽名。 已經(jīng)對 Windows Server 2003 進(jìn)行了更改，原因是任何組織中的域控制器、文件服務(wù)器、網(wǎng)絡(luò)結(jié)構(gòu)服務(wù)器和 Web 服務(wù)器均要求采用不同的設(shè)置，以最大程度地提高其安全性。
如果您想在網(wǎng)絡(luò)中實(shí)施 NTLMv2 身份驗(yàn)證，請一定要確保將域中的所有計(jì)算機(jī)都設(shè)置為使用此身份驗(yàn)證級別。如果對 Windows 95 或 Windows 98 以及 Windows NT 4.0 應(yīng)用了 Active Directory Client Extension，則此客戶端擴(kuò)展將使用 NTLMv2 中提供的改進(jìn)的身份驗(yàn)證功能。 因?yàn)檫\(yùn)行以下任何操作系統(tǒng)的客戶端計(jì)算機(jī)都不受 Windows 2000 組策略對象的影響，所以您可能需要手動配置這些客戶端：
Microsoft Windows NT 4.0
Microsoft Windows Millennium Edition
Microsoft Windows 98
Microsoft Windows 95
注意：如果啟用了“網(wǎng)絡(luò)安全:不要在下次更改密碼時存儲 LAN Manager 的哈希值”策略或設(shè)置了“NoLMHash”注冊表項(xiàng)，則未安裝目錄服務(wù)客戶端的 Windows 95 和 Windows 98 客戶端在密碼更改后將無法登錄到域。
許多第三方 CIFS 服務(wù)器（如 Novell Netware 6）都無法識別 NTLMv2 而只使用 NTLM。因此，高于 2 的級別都不允許進(jìn)行連接。
有關(guān)如何手動配置 LAN Manager 身份驗(yàn)證級別的更多信息，請單擊下面的文章編號，以查看 Microsoft 知識庫中相應(yīng)的文章：
147706 (http://support.microsoft.com/kb/147706/ ) 如何在 Windows NT 上禁用 LM 身份驗(yàn)證
175641 (http://support.microsoft.com/kb/175641/ ) LMCompatibilityLevel 及其效果
299656 (http://support.microsoft.com/kb/299656/ ) 如何阻止 Windows 在 Active Directory 和本地 SAM 數(shù)據(jù)庫中存儲密碼的 LAN Manager 哈希
312630 (http://support.microsoft.com/kb/312630/ ) Outlook 不斷提示您提供登錄憑據(jù)
有關(guān) LM 身份驗(yàn)證級別的更多信息，請單擊下面的文章編號，以查看 Microsoft 知識庫中相應(yīng)的文章：
239869 (http://support.microsoft.com/kb/239869/ ) 如何啟用 NTLM 2 身份驗(yàn)證
危險(xiǎn)配置
以下是有害的配置設(shè)置：
以明文形式發(fā)送密碼和拒絕 NTLMv2 協(xié)商的非限制性設(shè)置
阻止不兼容的客戶端或域控制器協(xié)商通用身份驗(yàn)證協(xié)議的限制性設(shè)置
要求在運(yùn)行早于 Windows NT 4.0 Service Pack 4 (SP4) 版本的成員計(jì)算機(jī)和域控制器上進(jìn)行 NTLMv2 身份驗(yàn)證
要求在未安裝 Windows 目錄服務(wù)客戶端的 Windows 95 客戶端或 Windows 98 客戶端上進(jìn)行 NTLMv2 身份驗(yàn)證。
在基于 Windows Server 2003 或 Windows 2000 Service Pack 3 的計(jì)算機(jī)上，如果單擊以選中 Microsoft 管理控制臺“組策略編輯器”管理單元中的“要求 NTLMv2 會話安全”復(fù)選框，并將 LAN Manager 身份驗(yàn)證級別降為 0，那么這兩項(xiàng)設(shè)置將發(fā)生沖突，并且您可能會在 Secpol.msc 文件或 GPEdit.msc 文件中收到以下錯誤消息：
Windows 無法打開本地策略數(shù)據(jù)庫。打開數(shù)據(jù)庫時出現(xiàn)了一個未知錯誤。
有關(guān)安全配置和分析工具的更多信息，請參見 Windows 2000 或 Windows Server 2003“幫助”文件。
有關(guān)如何在 Windows 2000 和 Windows Server 2003 上分析安全級別的更多信息，請單擊下面的文章編號，以查看 Microsoft 知識庫中相應(yīng)的文章：
313203 (http://support.microsoft.com/kb/313203/ ) 如何在 Windows 2000 中分析系統(tǒng)安全
816580 (http://support.microsoft.com/kb/816580/ ) 如何在 Windows Server 2003 中分析系統(tǒng)安全
修改此設(shè)置的原因
您想要提高組織中客戶端和域控制器支持的最低的通用身份驗(yàn)證協(xié)議。
在業(yè)務(wù)需要安全的身份驗(yàn)證的情況下，您希望禁止對 LM 和 NTLM 協(xié)議的協(xié)商。
禁用此設(shè)置的原因
已將客戶端或服務(wù)器身份驗(yàn)證要求（或兩者同時）提高到了通過通用協(xié)議也無法進(jìn)行身份驗(yàn)證的程度。
符號名稱：
LmCompatibilityLevel
注冊表路徑：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel
兼容性問題的示例
Windows Server 2003：默認(rèn)情況下，Windows Server 2003 NTLMv2 的“發(fā)送 NTLM 響應(yīng)”設(shè)置已啟用。因此，在初始安裝后，當(dāng)您嘗試連接到基于 Windows NT 4.0 的群集或基于 LanManager V2.1 的服務(wù)器（如 OS/2 Lanserver）時，Windows Server 2003 將收到“Access Denied”錯誤消息。在嘗試從較早版本的客戶端連接到基于 Windows Server 2003 的服務(wù)器時，也會發(fā)生此問題。
應(yīng)該安裝 Windows 2000 安全匯總包 1 (SRP1)。SRP1 會強(qiáng)制使用 NTLM 版本 2 (NTLMv2)。此匯總包是在 Windows 2000 Service Pack 2 (SP2) 之后發(fā)布的。有關(guān) SRP1 的更多信息，請單擊下面的文章編號，以查看 Microsoft 知識庫中相應(yīng)的文章：
311401 (http://support.microsoft.com/kb/311401/ ) 2002 年 1 月版 Windows 2000 安全累積軟件包 1 (SRP1)
即使 Microsoft Outlook 客戶端已經(jīng)登錄到域，這些客戶端也可能會收到要求提供憑據(jù)的提示。用戶提供憑據(jù)后，將收到下面的錯誤消息：
The logon credentials supplied were incorrect.Make sure your username and domain are correct, then type your password again.
即使將“登錄網(wǎng)絡(luò)安全性”設(shè)置設(shè)為“Passthrough”或“密碼驗(yàn)證”，您也可能會在啟動 Outlook 時收到要求提供憑據(jù)的提示。鍵入正確的憑據(jù)后，可能會收到下面的錯誤消息：
The login credentials supplied were incorrect.
網(wǎng)絡(luò)監(jiān)視器跟蹤可能會顯示全局編錄發(fā)出的遠(yuǎn)程過程調(diào)用 (RPC) 失敗，狀態(tài)為 0x5。狀態(tài) 0x5 表示“拒絕訪問”。
Windows 2000：網(wǎng)絡(luò)監(jiān)視器捕獲功能可能會在 TCP/IP 上的 NetBIOS (NetBT) 服務(wù)器消息塊 (SMB) 會話期間顯示以下錯誤：
SMB R Search Directory Dos error, (5) ACCESS_DENIED (109) STATUS_LOGON_FAILURE (91) Invalid user identifier
Windows 2000：如果具有 NTLMv2 級別 2 或更高級別的 Windows 2000 域受到 Windows NT 4.0 域的信任，則資源域中基于 Windows 2000 的成員計(jì)算機(jī)可能會遇到身份驗(yàn)證錯誤。
有關(guān)更多信息，請單擊下面的文章編號，以查看 Microsoft 知識庫中相應(yīng)的文章：
305379 (http://support.microsoft.com/kb/305379/ ) 在 Windows NT 4.0 域中具有高于 2 的 NTLM 2 級別的 Windows 2000 中出現(xiàn)身份驗(yàn)證問題
Windows 2000 和 Windows XP：默認(rèn)情況下，Windows 2000 和 Windows XP 將“LAN Manager 身份驗(yàn)證級別本地安全策略”選項(xiàng)設(shè)置為 0。設(shè)置為 0 表示“發(fā)送 LM 和 NTLM 響應(yīng)”。
注意：基于 Windows NT 4.0 的群集必須使用 LM 才能進(jìn)行管理。
Windows 2000：如果兩個節(jié)點(diǎn)都是 Windows NT 4.0 Service Pack 6a (SP6a) 域的一部分，則 Windows 2000 群集不能對一個加入節(jié)點(diǎn)進(jìn)行身份驗(yàn)證。
有關(guān)更多信息，請單擊下面的文章編號，以查看 Microsoft 知識庫中相應(yīng)的文章：
305379 (http://support.microsoft.com/kb/305379/ ) 在 Windows NT 4.0 域中具有高于 2 的 NTLM 2 級別的 Windows 2000 中出現(xiàn)身份驗(yàn)證問題
IIS Lockdown Tool (HiSecWeb) 將 LMCompatibilityLevel 的值設(shè)為 5，并將 RestrictAnonymous 的值設(shè)為 2。
Macintosh 服務(wù)
User Authentication Module (UAM)：Microsoft UAM (User Authentication Module) 提供了一種對登錄到 Windows AFP (AppleTalk Filing Protocol) 服務(wù)器所使用的密碼進(jìn)行加密的方法。Apple User Authentication Module (UAM) 僅提供最簡單的加密或者根本不加密。因此，在 LAN 或 Internet 上，您的密碼很容易被截獲。雖然沒有要求 UAM，但它確實(shí)可以為運(yùn)行 Macintosh 服務(wù)的 Windows 2000 服務(wù)器提供加密的身份驗(yàn)證。此版本包括對 NTLMv2 128 位加密身份驗(yàn)證和與 MacOS X 10.1 兼容的版本的支持。
默認(rèn)情況下，Windows Server 2003 Services for Macintosh 服務(wù)器僅允許使用 Microsoft 身份驗(yàn)證。
有關(guān)更多信息，請單擊下面的文章編號，以查看 Microsoft 知識庫中相應(yīng)的文章：
834498 (http://support.microsoft.com/kb/834498/ ) Macintosh 客戶端無法連接到 Windows Server 2003 上的 Mac 服務(wù)
838331 (http://support.microsoft.com/kb/838331/ ) Mac OS X 用戶無法打開基于 Windows Server 2003 服務(wù)器上的 Macintosh 共享文件夾
Windows Server 2008、Windows Server 2003、Windows XP 和 Windows 2000：如果將 LMCompatibilityLevel 值配置為 0 或 1，然后將 NoLMHash 值配置為 1，則可能會拒絕應(yīng)用程序和組件通過 NTLM 進(jìn)行訪問。此問題是由于計(jì)算機(jī)被配置為啟用 LM 而非使用 LM 存儲的密碼造成的。
如果將 NoLMHash 值配置為 1，則必須將 LMCompatibilityLevel 值配置為 2 或更大的值。
作者“Java工程師”
