一、NTLM 认证协议的版本差异

NTLM 是 Windows 系统的一种身份认证协议，分为 NTLMv1 和 NTLMv2：

NTLMv1：设计较早，加密强度低（哈希易被破解），存在安全漏洞。

NTLMv2：改进了加密算法，安全性更高，是现代系统的默认选择。

二、微软与群晖的安全策略变化

1. 微软的策略（Windows 10）：

为降低安全风险，Windows 10 更新后默认优先使用 NTLMv2，甚至逐步禁用 NTLMv1（通过系统补丁、组策略等方式）。

2. 群晖的策略（DSM 系统）：

群晖 DSM 7.0 及以上版本，为符合现代安全标准，默认停用 NTLMv1 认证，仅允许更安全的 NTLMv2。

三、连接失败的核心矛盾：协议 “握手” 不兼容

当 Windows 10 尝试通过 SMB 连接群晖时，双方会协商认证协议：

如果 群晖未开启 NTLMv1，仅接受 NTLMv2；

但 Windows 10 可能因以下原因，只能发送 NTLMv1 认证：

系统配置限制：比如组策略强制使用 NTLMv1（罕见，但旧环境可能存在）；

旧软件 / 设备影响：网络中存在仅支持 NTLMv1 的设备，导致 Windows 10 协商时降级为 NTLMv1；

兼容性问题：部分 Windows 10 版本或补丁，可能在 SMB 协商中优先尝试 NTLMv1（尽管系统支持 v2）。

此时，群晖因默认拒绝 NTLMv1，会判定认证失败（表现为 “用户名 / 密码错误”），导致 SMB 连接失败。

四、开启 NTLMv1 的作用：兼容旧协议

当群晖开启 “启用 NTLMv1 验证” 后，会允许客户端使用 NTLMv1 进行认证，从而解决以下场景的兼容性问题：

Windows 10 因各种原因只能发送 NTLMv1 认证；

网络中存在其他仅支持 NTLMv1 的设备（如老 NAS、工控机等）。

五、安全提醒

NTLMv1 的安全漏洞已被公开，开启后会降低群晖的安全性，建议：

仅在内网临时使用，避免暴露到公网；

优先排查 Windows 10 的配置，尝试让其支持 NTLMv2（如检查组策略：计算机配置→Windows设置→安全设置→本地策略→安全选项 中，调整 “网络安全：LAN 管理器身份验证级别” 为 “仅发送 NTLMv2 响应”）；

升级旧设备，逐步淘汰 NTLMv1 依赖。

一、组策略配置（**）

启用 NTLM 身份验证

打开 组策略编辑器（gpedit.msc），依次展开：

计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项

网络安全：LAN Manager 身份验证级别

设置为 发送 LM 和 NTLM 响应；若协商，则使用 NTLMv2 会话安全（或更低级别如 “仅发送 NTLM 响应”）。

此策略决定客户端和服务器协商的身份验证协议，确保兼容旧版系统（如 Windows XP 或 Samba 服务器）。

网络安全：LDAP 客户端签名要求

设置为 不需要签名（默认值可能为 “协商签名”，但某些环境需禁用以避免兼容性问题）。

禁用强制数字签名

在同一安全选项中：

Microsoft 网络客户端：对通信进行数字签名（始终） → 禁用

Microsoft 网络服务器：对通信进行数字签名（始终） → 禁用

若启用，可能导致旧设备（如打印机或嵌入式系统）的 SMB 连接失败。

允许 NTLM 用于特定服务

对于远程桌面或特定应用，需额外配置：

计算机配置 → 管理模板 → 系统 → 凭据分配

启用 允许分配保存的凭据用于仅 NTLM 服务器身份验证，并在 “显示” 中添加 termsrv/*（适用于远程桌面）。

二、注册表调整（补充）

若组策略不可用（如 Windows 家庭版），可通过注册表配置：

打开 注册表编辑器（regedit），定位到：

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa

创建或修改 DWORD (32 位) 值：

LMCompatibilityLevel

值为 2：仅发送 NTLM 响应（适用于 Windows 7 及以上）。

值为 3：仅发送 NTLMv2 响应（适用于 Windows 2000 及以上）。

值为 0 或 1：允许 LM 和 NTLM（仅在兼容*旧系统时使用）。

重启计算机使设置生效。

三、域环境注意事项

检查域策略覆盖

若设备加入域，需通过 域组策略管理编辑器 确认以下设置未被强制限制：

计算机配置 → 策略 → Windows 设置 → 安全设置 → 本地策略 → 安全选项 中的 网络安全：限制 NTLM 相关策略（如 “拒绝所有 NTLM 流量”）。

受保护的用户组：确保用户账户未加入该组，否则会强制使用 Kerberos 并拒绝 NTLM。

域控制器兼容性

若域控制器为 Windows Server 2003，可能导致事件日志错误识别 NTLM 版本。建议升级到 Windows Server 2008 或更高版本以正确支持 NTLMv2 记录。