Короткий ответ

\\fs01.contoso.example\dept с WS-042 требует DNS (или корректный IP как тест), TCP 445, SMB2/3, Kerberos/NTLM и ACL. Код 0x80070035 / 53 — путь не найден (имя, маршрутизация, firewall), 5 — доступ запрещён, 86 — неверный пароль. Не включайте SMBv1 «как в инструкции 2012», пока не доказано, что сервер ничего другого не умеет — и даже тогда это исключение с планом замены.

Microsoft 365 Excel, открывающий книгу с шары, падает теми же ошибками SMB, не «починкой Office».

Симптомы и как отличить

  • Проводник крутится, таймаут.
  • Пароль спрашивает циклически.
  • Пинг fs01 есть, UNC нет — фильтр 445 или SMB-служба.
  • С VPN дома нет, в офисе есть — маршрут/сплит-туннель.
  • Только один ПК — клиент (креды, кэш DNS, профиль). Все ПК — сервер/DFS/DC.
КодСмысл
0x80070035 / 53сеть/имя/порт
5 / 0x80070005ACL, share permissions
86пароль
64имя/NetBIOS
APIPA 169.254нет DHCP, не шара

Печать \\print01\HP-M428 жива, fs01 нет — разные хосты. Оба мертвы — DNS/сеть клиента.

Возможные причины

  1. Нет IP / неверный VLAN, см. DHCP.
  2. DNS cache или hosts, см. DNS cache.
  3. Сохранённые креды на другой логин.
  4. Firewall между клиентом и 445 (хостовый на fs01 или ACL на маршрутизаторе).
  5. Сервер: LanmanServer, диск шары отмонтирован, NTFS.
  6. Kerberos: время, SPN, доступ по IP вместо FQDN.
  7. SMB signing / шифрование не совпали (реже, после ужесточения).
  8. SMBv1-only NAS без обновления.

Диагностика

Подставьте свои имена.

1. Имя и 445

Resolve-DnsName fs01.contoso.example
Test-NetConnection fs01.contoso.example -Port 445
Get-SmbConnection -ErrorAction SilentlyContinue

TcpTestSucceeded : False при живом ping — фильтр или служба не слушает, не «права папки».

2. SMB-клиент

Get-SmbClientConfiguration | Format-List EnableSMB1Protocol, EnableSMB2Protocol, RequireSecuritySignature
Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

SMB1 должен быть выключен, если нет документированного исключения.

3. Попытка подключения

net use \\fs01.contoso.example\dept /user:contoso\ivan.petrov
# либо New-SmbMapping
whoami
klist

Не печатайте пароль в заявку.

4. Креды

cmdkey /list

Лишние записи на fs01 / *.contoso.example — снести, статья кредов.

5. Сервер (если есть доступ)

Get-SmbShare dept, NTFS ACL, Get-SmbServerConfiguration, диск не 0 байт, служба LanmanServer.

DFS: сначала \contoso.example\namespace, потом таргет. Ошибка namespace ≠ мёртвый fs01.

Время: w32tm /query /status на клиенте. Скев ломает Kerberos, симптомы как «нет доступа».

Профиль firewall на WS-042: Public vs Domain. Если NIC в Public, профиль режет исходящие/обнаружение — не disable firewall, исправьте профиль (домен обнаружен?).

Решение

Сценарий A. Сеть и DNS

Почините DHCP/DNS, ipconfig /flushdns, правильные DNS-серверы DC, не 8.8.8.8 первым. Hosts только для A/B теста.

Сценарий B. Креды и пароль

Удалите сохранённые, подключитесь явно доменной учёткой. После смены пароля — обязательно, см. соседнюю статью.

Сценарий C. Порт 445 закрыт

На fs01 правило «SMB from users VLAN». На клиенте не нужно «открыть 445 входящий» для исходящего доступа к шаре. Не выключайте брандмауэр.

Сценарий D. ACL

Share: Change/Read группе отдела. NTFS: Modify на папку проекта, не на корень диска. ivan.petrov в группе; Kerberos PAC: логофф/логон после добавления в группу.

Сценарий E. Только SMB1 на NAS

Краткий workaround в изолированном VLAN — худший вариант. План: обновить NAS до SMB2/3. Включать SMB1 на всех WS-* запрещено как стандарт.

Сценарий F. Excel / Word с шары

Книга на DFS, блокировка файла, офлайн-файлы. Сначала UNC в проводнике. Если проводник ок, а Excel висит — Excel, не SMBv1.

Не мапьте диск под локальной учёткой на доменный сервер. Не сохраняйте пароль администратора в cmdkey на ПК пользователя.

Offline Files (CSC): красный крест — переподключение, не format. Иногда «всегда офлайн» маскирует мёртвый сервер.

На WS-042 под ivan.petrov типичный рабочий день: логон в contoso.example, карта Z: на \\fs01.contoso.example\dept, книга Excel из Microsoft 365 Apps с той же шары. Если проводник уже открыл UNC, а Excel пишет «не найден сетевой путь», смотрите блокировку файла и офлайн-файлы, не SMBv1. Если оба клиента пустые — вернитесь к Test-NetConnection -Port 445 и к DNS.

GPO Drive Maps должны использовать FQDN, не NetBIOS \FS01. После смены пароля выполните net use * /delete до повторного маппинга, иначе сессия держит старый токен. Не сохраняйте пароль администратора в cmdkey «чтобы шара открылась». Для печати HP-M428 через print01 используйте очередь сервера, не делайте вывод, что «раз принтер жив, SMB точно жив»: это разные узлы.

На Windows 11 24H2 гостевой SMB к NAS без учётки часто закрыт — выдайте доменную учётку, не AllowInsecureGuestAuth на весь OU. Журнал Microsoft-Windows-SMBClient/Connectivity на клиенте и SMBServer на fs01 читайте по фактическим событиям, не по случайным ID с форума.

Как проверить, что проблема устранена

  1. Проводник открывает \\fs01.contoso.example\dept, создаётся тестовый файл (если есть право записи) и удаляется.
  2. Get-SmbConnection показывает Dialect 3.x.
  3. Excel открывает книгу с шары.
  4. После reboot маппинг из GPO на месте.
  5. cmdkey /list без чужих учёток на fs01.

Если не помогло

  • Только крупные файлы: MTU/VPN.
  • Access-based enumeration: папка «пропала», не ошибка 35.
  • Snapshot/DFS referral на мёртвый таргет.
  • Подпись SMB required на сервере, старый NAS.
  • Условный доступ к Cloud Kerberos — другой контур.

Не ставьте LM compatibility «как в XP». Не отключайте Defender.

Профилактика

  • FQDN в GPO drive maps.
  • SMB1 audit и выключение.
  • DNS только внутренний на рабочих станциях.
  • Группы, не ACL по одному пользователю без IAM.
  • Мониторинг 445 на fs01 и свободного места.

FAQ

Почему ping есть, а папка нет?

ICMP и SMB разные. Фильтр может пускать ping и резать 445.

Нужен ли NetBIOS?

Для FQDN SMB3 — нет. Не включайте NetBIOS everywhere как лечение DNS.

Можно ли открыть шару в браузере?

Нет. UNC в проводнике / net use. Не путайте с SharePoint.

Ошибка после смены пароля

Креды и открытые сессии. net use * /delete и новый логон.

Windows 11 24H2 и гостевой доступ SMB

Гостевые сессии к шарам по умолчанию ужесточены. Не лечите «AllowInsecureGuestAuth» как стандарт к корпоративному fs01 — выдайте нормальную учётку.

Принтер сетевой работает, шара нет

Разные серверы и порты. Не чините печать ради dept.