组策略：映射驱动器无法加载、Windows Server 2012 Active Directory 和 Windows Pro 10

Question 1

由于我几乎没有声誉，所以我还不能提问，所以我会尝试在发布答案的同时提出问题，并希望我不会被解雇。;)

我假设您已确保此案例的 GPO 部分不是问题，方法是在另一个 Windows 系统上针对“传统”UNC 共享测试此 GPO。但在我看来，缺少的重要信息是 Synology 设备是否已加入域。许多基于 Linux 的 NAS 设备（如 Synology、QNAP 等）都嵌入了软件组件，允许它们参与 Active Directory 域。此设备是否参与域会影响解决方案。

话虽如此，我的网络中有与 T1 电路互连的远程设施。由于系统要求，我们需要在所有系统上使用 Acronis 映像备份。因此，通过 T1 远程备份 Windows 工作站的多 GB 映像是不可能的。因此，我们在每个本地段上放置了 Drobo NAS 单元来克服这个问题，并为我们提供一些容错能力。这些特定的 Drobos 没有参与 AD 域的能力。

要启用配置的 UNC 共享，我们必须设置两个主要内容。首先，我们在 DNS 服务器上创建了静态 DNS 条目，以便进行正确的名称解析。其次，我们必须“放宽” DISA 通常建议大多数域成员遵循的两项策略。我们仅在备份服务器和在“慢速链接”站点备份的工作站上放宽了这些策略，因为这些是唯一需要访问相应共享的系统：

计算机配置\Windows 设置\安全设置\安全选项：
- Microsoft 网络客户端：数字签名通信（始终）= 已禁用
- Microsoft 网络客户端：将未加密的密码发送到第三方 SMB 服务器 = 已启用
- Microsoft 网络服务器：数字签名通信（始终）= 已禁用

“协商后对通信进行数字签名”的 GPO 仍设置为已启用，这在一定程度上减轻了相关的安全风险。一旦我们启用这些更改，就可以立即通过 UNC 路径访问共享，而以前这是不可能的。

这就是为什么我之前说过，解决方案的路径取决于您的 NAS 是否可以参与域。如果它们可以参与，那么 DNS 和“SMB”组策略对您来说应该不是问题，因此解决方案就在别处。如果它们不能参与（就像我的 NAS 一样），那么这可能是您的解决方案。

Answer

由于我几乎没有声誉，所以我还不能提问，所以我会尝试在发布答案的同时提出问题，并希望我不会被解雇。;)

我假设您已确保此案例的 GPO 部分不是问题，方法是在另一个 Windows 系统上针对“传统”UNC 共享测试此 GPO。但在我看来，缺少的重要信息是 Synology 设备是否已加入域。许多基于 Linux 的 NAS 设备（如 Synology、QNAP 等）都嵌入了软件组件，允许它们参与 Active Directory 域。此设备是否参与域会影响解决方案。

话虽如此，我的网络中有与 T1 电路互连的远程设施。由于系统要求，我们需要在所有系统上使用 Acronis 映像备份。因此，通过 T1 远程备份 Windows 工作站的多 GB 映像是不可能的。因此，我们在每个本地段上放置了 Drobo NAS 单元来克服这个问题，并为我们提供一些容错能力。这些特定的 Drobos 没有参与 AD 域的能力。

要启用配置的 UNC 共享，我们必须设置两个主要内容。首先，我们在 DNS 服务器上创建了静态 DNS 条目，以便进行正确的名称解析。其次，我们必须“放宽” DISA 通常建议大多数域成员遵循的两项策略。我们仅在备份服务器和在“慢速链接”站点备份的工作站上放宽了这些策略，因为这些是唯一需要访问相应共享的系统：

计算机配置\Windows 设置\安全设置\安全选项：
- Microsoft 网络客户端：数字签名通信（始终）= 已禁用
- Microsoft 网络客户端：将未加密的密码发送到第三方 SMB 服务器 = 已启用
- Microsoft 网络服务器：数字签名通信（始终）= 已禁用

“协商后对通信进行数字签名”的 GPO 仍设置为已启用，这在一定程度上减轻了相关的安全风险。一旦我们启用这些更改，就可以立即通过 UNC 路径访问共享，而以前这是不可能的。

这就是为什么我之前说过，解决方案的路径取决于您的 NAS 是否可以参与域。如果它们可以参与，那么 DNS 和“SMB”组策略对您来说应该不是问题，因此解决方案就在别处。如果它们不能参与（就像我的 NAS 一样），那么这可能是您的解决方案。

Question 2

好吧，我发现了这些线索，听起来和我的情况几乎相同：

Windows 10：组策略在启动后无法直接应用，稍后成功

Windows 8.1 / 10 GPO 映射驱动器无法连接

显然，这个问题是由于微软默认在 Windows 10 中启用 UNC 强化而引起的。这是为了修复一个安全漏洞，但显然无意中导致映射驱动器安装不可靠。毫不奇怪，微软似乎还没有解决这个问题（或者他们已经解决了吗？）

这也解释了为什么我在站点 A 没有遇到任何问题。由于那里的所有计算机都已从 Windows 8.1 Pro 升级到 Windows 10，因此我认为有关 UNC 强化的设置已从 Windows 8 转移并保留下来离开而全新安装 Windows 10 的计算机则使用默认的 UNC 强化在。

我还没有真正尝试过这个解决方案，但它似乎太完美地适合我的症状了，所以不相关。我担心这个解决方案会让我的系统面临更多的安全威胁，所以我正在寻找替代方案。我不喜欢通过组策略设置它的想法，我想知道是否可以通过手动编辑注册表来关闭 UNC 强化。我想先在几台电脑上试验一下，然后再决定下一步怎么做。但是，我目前只能找到通过 GPO 或 GPP 更改设置的步骤……

有什么想法吗？

Answer

好吧，我发现了这些线索，听起来和我的情况几乎相同：

Windows 10：组策略在启动后无法直接应用，稍后成功

Windows 8.1 / 10 GPO 映射驱动器无法连接

显然，这个问题是由于微软默认在 Windows 10 中启用 UNC 强化而引起的。这是为了修复一个安全漏洞，但显然无意中导致映射驱动器安装不可靠。毫不奇怪，微软似乎还没有解决这个问题（或者他们已经解决了吗？）

这也解释了为什么我在站点 A 没有遇到任何问题。由于那里的所有计算机都已从 Windows 8.1 Pro 升级到 Windows 10，因此我认为有关 UNC 强化的设置已从 Windows 8 转移并保留下来离开而全新安装 Windows 10 的计算机则使用默认的 UNC 强化在。

我还没有真正尝试过这个解决方案，但它似乎太完美地适合我的症状了，所以不相关。我担心这个解决方案会让我的系统面临更多的安全威胁，所以我正在寻找替代方案。我不喜欢通过组策略设置它的想法，我想知道是否可以通过手动编辑注册表来关闭 UNC 强化。我想先在几台电脑上试验一下，然后再决定下一步怎么做。但是，我目前只能找到通过 GPO 或 GPP 更改设置的步骤……

有什么想法吗？

Question 3

我只想更新一下，说一下，Windows 10 的某个主要更新在某个时候修复了这个问题。这是一个老问题，但我不想把事情悬而未决，以防万一。

Answer

我只想更新一下，说一下，Windows 10 的某个主要更新在某个时候修复了这个问题。这是一个老问题，但我不想把事情悬而未决，以防万一。

Question 4

在阅读了 Daniel 更新中提供的所有内容后，我实际上认为 UNC 强化虽然相关，但并不是根本原因，实际上可能是第二篇帖子的 OP 所说的“fastboot”选项解决了他的问题。所有关于 UNC 强化的信息都提到了默认情况下强化 SYSVOL 和 NETLOGON 共享。虽然该问题会阻止您的客户端接收 GP 更新，但事实是 Drive Map GPO 已至少应用于相关客户端一次，并且不需要在每次重新启动后重新应用（即使它确实需要）来执行映射。

显然，您需要独立地测试每个选项，但无论哪个选项可能有效或无效，这种推理似乎接近问题的根本原因。

Answer

在阅读了 Daniel 更新中提供的所有内容后，我实际上认为 UNC 强化虽然相关，但并不是根本原因，实际上可能是第二篇帖子的 OP 所说的“fastboot”选项解决了他的问题。所有关于 UNC 强化的信息都提到了默认情况下强化 SYSVOL 和 NETLOGON 共享。虽然该问题会阻止您的客户端接收 GP 更新，但事实是 Drive Map GPO 已至少应用于相关客户端一次，并且不需要在每次重新启动后重新应用（即使它确实需要）来执行映射。

显然，您需要独立地测试每个选项，但无论哪个选项可能有效或无效，这种推理似乎接近问题的根本原因。

组策略：映射驱动器无法加载、Windows Server 2012 Active Directory 和 Windows Pro 10

网络：

连接诊断：

问题：

症状：

驱动器映射诊断：

问题：

答案1

答案2

答案3

答案4

相关内容