No puedo acceder a las carpetas compartidas o asignar unidades de red desde Windows 10 y 11

Si no puede abrir o asignar carpetas compartidas de red en su NAS, servidor Samba Linux, computadoras con versiones heredadas de Windows (Windows 7/XP/Server 2003) desde Windows 10 u 11, lo más probable es que el problema sea que las versiones heredadas e inseguras del protocolo SMB están deshabilitadas en las compilaciones actuales de Windows (el protocolo SMB se usa en Windows para acceder a carpetas y archivos de red compartidos).

Los pasos específicos a seguir dependen del error que aparece en Windows al acceder a una carpeta compartida y de la configuración del servidor SMB remoto que aloja los recursos compartidos de red.

No se puede acceder a la carpeta compartida porque las políticas de seguridad bloquean el acceso de invitados no autenticados

A partir de Windows 10 compilación 1709 Fall Creators Update (ediciones Enterprise y Education), los usuarios comenzaron a quejarse de que cuando intentaban abrir una carpeta compartida en red en una computadora vecina, aparecía un error:

Restoring Network Connections
An error occurs when you try to open a network folder:
An error occurred while reconnecting Y: to \\nas1\share
Microsoft Windows Network: You can’t access this shared folder because your organization’s security policies block unauthenticated guest access. These policies help protect your PC from unsafe or malicious devices on the network.

Además, en otras computadoras con Windows 8.1, Windows 7 o Windows 10 con una compilación de hasta 1709, las mismas carpetas de red compartidas se abren normalmente. El punto es que en las versiones modernas de Windows 10 (compilación 1709+), el acceso de invitado a las carpetas compartidas mediante el protocolo SMBv2 está deshabilitado de forma predeterminada. Invitado (anónimo) significa acceso a una carpeta de red compartida sin autenticación. Al acceder a una carpeta de red con una cuenta de invitado a través del protocolo SMBv1/v2, no se utilizan métodos de protección de tráfico como la firma y el cifrado SMB, lo que hace que su sesión sea vulnerable a los ataques MiTM (man-in-the-middle).

Si intenta abrir una carpeta de red compartida usando el protocolo SMB v2 bajo la cuenta de invitado, aparecerá el siguiente error en el Visor de eventos de su computadora (cliente SMB):

Log Name: Microsoft-Windows-SmbClient/Security  
Source: Microsoft-Windows-SMBClient
Event ID: 31017
Rejected an insecure guest logon.

Este error dice que su computadora (cliente) bloquea el acceso no autenticado bajo la cuenta de Invitado.

En la mayoría de los casos, puede enfrentar este problema al acceder a dispositivos NAS antiguos (por lo general, el acceso de invitados está habilitado en ellos para facilitar la configuración) o al abrir carpetas compartidas en dispositivos heredados con Windows 7/2008 R2/Windows XP/2003 con acceso anónimo (invitado) habilitado (consulte la tabla de versiones de protocolo SMB admitidas en diferentes ediciones de Windows).

Microsoft recomienda cambiar la configuración en una computadora remota o dispositivo NAS que aloje las carpetas de red compartidas. Es recomendable cambiar el recurso compartido de red al modo SMBv3. O configure el acceso con autenticación si el dispositivo solo admite el protocolo SMBv2. Esta es la forma más correcta y segura de solucionar el problema.

Deshabilite el acceso de invitados en el dispositivo donde se almacenan sus carpetas compartidas:

• Dispositivos NAS: deshabilite el acceso de invitados en la configuración de su dispositivo NAS (según el proveedor y el modelo);

• Servidor Samba en Linux: si está compartiendo una carpeta de red con Samba en Linux, agregue la siguiente cadena al archivo de configuración smb.conf en la sección [global]:

  map to guest = never

  Y restrinja el acceso anónimo en la sección de configuración de carpetas compartidas:

   guest ok = no

• En Windows, puede habilitar el uso compartido de carpetas de red e impresoras con protección de contraseña a través del Panel de control -> Centro de redes y recursos compartidos -> Configuración avanzada de uso compartido. Para Todas las redes en la sección "Uso compartido protegido con contraseña", cambie el valor a "Activar el uso compartido protegido con contraseña". En este caso, el acceso anónimo (invitado) a las carpetas compartidas de la red se desactivará y deberá crear usuarios locales, otorgarles permisos de acceso a las carpetas e impresoras compartidas y usar estas cuentas para conectarse a las carpetas compartidas en una computadora remota.

  

Hay otra forma: puede cambiar la configuración en su dispositivo Windows para permitir el acceso a las carpetas de red compartidas en la cuenta de invitado. Este método debe usarse solo como una solución temporal (!!!), porque el acceso a carpetas sin autenticación reduce significativamente la seguridad de su computadora.

Para habilitar el acceso de invitados desde su computadora, debe usar el Editor de directivas de grupo (

gpedit.msc

). Vaya a la sección: Configuración del equipo -> Plantillas administrativas -> Red -> Estación de trabajo Lanman. Encuentre y habilite la política Habilitar inicios de sesión de invitados no seguros. Esta opción de política determina si el cliente SMB permitirá un inicio de sesión de invitado no seguro en el servidor SMB.

Actualice la configuración de la directiva de grupo en Windows con el comando:

gpupdate /force

En Windows 10 Home, que no tiene un editor de GPO local, puede realizar un cambio similar a través del Editor del Registro de forma manual:

HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters “AllowInsecureGuestAuth”=dword:1

O con estos comandos:

reg add HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters /v AllowInsecureGuestAuth /t reg_dword /d 00000001 /f
reg add HKLM\Software\Policies\Microsoft\Windows\LanmanWorkstation /v AllowInsecureGuestAuth /t reg_dword /d 00000001 /f

No se puede conectar al recurso compartido de archivos porque no es seguro y requiere el protocolo SMB1 obsoleto

Otro posible problema al acceder a una carpeta de red desde Windows 10 es que solo se admite la versión del protocolo SMBv1 en el lado del servidor. Dado que el cliente SMBv1 está deshabilitado de forma predeterminada en Windows 10 1709+ cuando intenta abrir la carpeta compartida o asignar una unidad de red, es posible que obtenga un error:

You can’t connect to the file share because it’s not secure. This share requires the obsolete SMB1 protocol, which is unsafe and could expose your system to attack. Your system requires SMB2 or higher.

El mensaje de error muestra claramente que la carpeta compartida de red solo admite el protocolo de acceso de cliente SMBv1. En este caso, debe intentar reconfigurar el dispositivo SMB remoto para usar al menos SMBv2 (la forma correcta y segura).

Si usa el servidor Samba en Linux para compartir archivos, puede especificar la versión mínima admitida del protocolo SMB en el archivo smb.conf de esta manera:

[global]
server min protocol = SMB2_10
client max protocol = SMB3
client min protocol = SMB2_10
encrypt passwords = true
restrict anonymous = 2

En Windows 7/Windows Server 2008 R2, puede deshabilitar el protocolo SMB 1 y habilitar SMBv2 a través del registro con los siguientes comandos de PowerShell:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB1 -Type DWORD -Value 0 -Force
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB2 -Type DWORD -Value 1 -Force

En Windows 8.1/Windows Server 2012 R2, puede deshabilitar SMBv1, permitir SMBv2 y SMBv3 con el siguiente comando (verifique que se use un perfil privado o de dominio para su conexión de red):

Disable-WindowsOptionalFeature -Online -FeatureName "SMB1Protocol"
Set-SmbServerConfiguration -EnableSMB2Protocol $true

Si su dispositivo de red (NAS, Windows XP, Windows Server 2003) solo admite el protocolo SMB1, puede habilitar una característica SMB1Protocol-Client independiente en Windows 10/11 o Windows Server. ¡¡¡Pero esto no es recomendable!!!

Log Name: Microsoft-Windows-SmbClient/Security
Source: Microsoft-Windows-SMBClient
Event ID: 32000
Description:  SMB1 negotiate response received from a remote device when SMB1 cannot be negotiated by the local computer.

Ejecute el indicador elevado de PowerShell y verifique que SMB1Protocol-Client esté deshabilitado (

State: Disabled

):

Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Client

Habilite el protocolo de cliente SMBv1 (es necesario reiniciar):

Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Client

También puede habilitar/deshabilitar funciones adicionales en Windows 10 y 11 desde el

optionalfeatures.exe

. Expanda la compatibilidad con uso compartido de archivos SMB 1.0/CIFS y habilite el cliente SMB 1.0/CIFS.

En este ejemplo, habilité solo el cliente SMBv1. No habilite la función SMB1Protocol-Server si su computadora no es utilizada por clientes heredados como un servidor SMB para alojar carpetas compartidas.

Después de instalar el cliente SMBv1, debería poder conectarse a una carpeta o impresora compartida sin ningún problema. Sin embargo, debe comprender que no se recomienda esta solución porque reduce la seguridad de su computadora.

Windows no puede acceder a la carpeta compartida: no tiene permisos

Al conectarse a una carpeta de red compartida en una computadora remota, puede aparecer un error:

Network Error
Windows cannot access \\PC12\Share
You do not have permission to access \\PC12\Share. Contact your network administrator to request access.

Cuando se produce este error, debe:

1. Asegúrese de que el usuario que está utilizando para acceder a la carpeta compartida tenga permisos de acceso en el recurso compartido remoto. Abra las propiedades de la carpeta compartida en el servidor y asegúrese de que su usuario tenga al menos permisos de lectura. Además, puede verificar los permisos para compartir archivos SMB en el host remoto usando PowerShell:

   Get-SmbShareAccess -Name "tools"

   Luego verifique los permisos de la carpeta NTFS:
   

   get-acl C:\tools\ |fl 

   

   Si es necesario, edite los permisos en la carpeta y/o comparta las propiedades;

2. Asegúrese de estar utilizando el nombre de usuario y la contraseña correctos para acceder a la carpeta de red. Si no se le solicita un nombre de usuario y una contraseña, intente eliminar las credenciales guardadas (en caché) para recursos compartidos remotos en el Administrador de credenciales de Windows. Ejecute el comando

   rundll32.exe keymgr.dll, KRShowKeyMgr

   y elimine las credenciales almacenadas en caché para la computadora remota a la que intenta acceder.

   

   La próxima vez que se conecte a la carpeta compartida, se le pedirá un nombre de usuario y una contraseña. Especifique las credenciales para acceder a la carpeta compartida de red en la computadora remota. Puede guardarlo en Credential Manager o agregarlo manualmente.

Otras correcciones: Windows no puede acceder a las carpetas compartidas

Esta sección proporciona formas adicionales de solucionar un problema al abrir carpetas de red en Windows:

• Asegúrese de que la computadora remota permita conexiones entrantes a carpetas de red compartidas usando el protocolo SMB (puerto TCP 445). Puede verificar la disponibilidad del puerto 445 en una computadora remota usando el comando Test-NetConnection:

  Test-NetConnection -ComputerName HomePC212 -Port 445

  

  Si el cmdlet regresa

  TcpTestSucceeded : False

  , esto significa que el firewall está bloqueando el acceso a la carpeta de red en la computadora remota. La conexión puede estar bloqueada por un antivirus o firewall (de terceros o Firewall de Windows Defender integrado). Si usa Windows Defender, habilite la regla Compartir archivos e impresoras (Panel de control\Sistema y seguridad\Firewall de Windows Defender\Aplicaciones permitidas\Permitir que las aplicaciones se comuniquen a través del Firewall de Windows) en el host de archivos compartidos para los tres perfiles de red.

  

  O cree una regla de firewall con PowerShell:

  New-NetFirewallRule -DisplayName "Allow_SBM-FileSharing_In" -Direction Inbound -Protocol TCP -LocalPort 445 -Action Allow

• Si no puede abrir unidades de red asignadas (carpetas), intente eliminar las credenciales almacenadas en caché guardadas en el Administrador de credenciales de Windows, elimine las unidades de red asignadas (con el

  Net Use * /delete

  comando) y vuelva a conectarlos;

• Intente usar la dirección IP de la computadora remota en lugar de su nombre para acceder a la carpeta. Por ejemplo:

  Win+R

  ->

  \\192.168.12.20

  -> Está bien.

• Asegúrese de que sus computadoras estén unidas al mismo grupo de trabajo. El nombre del grupo de trabajo en la computadora se puede encontrar usando PowerShell:

  Get-WmiObject Win32_ComputerSystem).domain

• Restablezca la configuración de la pila TCP/IP y actualice la dirección IP en su computadora:

  netsh int ip reset
  netsh winsock reset
  ipconfig /flushdns
  ipconfig /release
  ipconfig /renew