局域网共享这件事，说简单也简单，说折腾也折腾。我见过太多人在两台电脑之间传个文件，结果被"用户名或密码不正确"这句提示卡了整整一个下午。明明共享文件夹已经设好了，网络也能互相看到对方，可就是连不进去，输入什么都没用，Guest账户像是根本不存在一样。这个问题的根源，八成出在Windows 11对Guest账户的默认策略上——系统出于安全考虑，把来宾访问给关掉了，而很多人不知道这个开关藏在哪。这篇内容就是把这个坑彻底填平：从Guest账户的启用、组策略的调整、注册表的关键项，到共享权限与NTFS权限的双重配置，再到实际连接测试和排错思路，一步步拆给你看。不管你是刚接触局域网共享的新手，还是被这个问题反复折磨过的老用户，照着做都能把"用户名或密码错误"这个拦路虎解决掉。

1. 先搞清楚为什么Win11会报"用户名或密码错误"

1.1 这个报错到底在说什么

很多人看到"用户名或密码错误"的第一反应是：我密码输错了？于是反复试、反复改，甚至把账户密码重置了一遍，结果还是连不上。这里得先把这句话的真实含义讲清楚。在局域网共享的场景下，这个提示并不一定意味着你真的输错了什么，它更多是一个"笼统的拒绝访问"信号。Windows在尝试建立SMB会话时，如果目标机器不接受你提供的凭据（包括空密码的Guest），就会统一抛出这个提示，而不会告诉你具体是被哪条策略拦下的。

换句话说，系统在说："我不认可你这次登录尝试"，而不是"你密码打错了"。理解这一点很关键，因为它决定了你的排查方向——不是去纠结密码，而是去检查目标机器是否允许Guest这种身份进来。Windows 11在近几个版本里，默认禁用了SMB的来宾访问（Guest fallback），这是微软出于安全加固做的调整。也就是说，即便你在目标机器上启用了Guest账户，系统层面仍然可能拒绝来宾身份的网络登录，两者是两回事。

1.2 Guest账户被"三重门"拦住的典型结构

我把这个问题拆成三层来看，方便你建立排查地图。第一层是账户层：Guest账户本身是否启用。默认情况下Win11的Guest是禁用的，你得手动打开。第二层是策略层：即便账户启用了，本地安全策略和组策略里还有"账户：来宾账户状态"以及"网络访问：本地账户的共享和安全模型"这些开关，它们决定了Guest能不能用于网络登录。第三层是共享权限层：文件夹的共享权限和NTFS权限是否给了Guest或Everyone足够的访问级别。

这三层任何一层没打通，都会表现为同一个症状——"用户名或密码错误"。所以你不能只改一处就指望成功，得三层一起过。我见过有人只启用了Guest账户，结果还是连不上，就是因为策略层的"来宾账户状态"没设对，或者共享权限里压根没放Everyone。下面几个章节就按这三层逐一拆解，每一层我都会说清楚改哪里、为什么改、改完怎么验证。

1.3 为什么微软要默认关掉它

顺带说一句背景，免得你觉得这纯粹是系统在刁难人。Guest来宾访问在早期Windows里是默认开着的，方便家庭和小办公室共享。但来宾身份意味着"无需密码即可访问"，这在安全上是个明显的口子——任何能连到你网络的人都能进来读文件。所以微软在后来的版本里逐步收紧，把SMB来宾访问默认禁用，把Guest账户默认禁用，把"本地账户的共享和安全模型"默认设成"仅来宾"之外的更严格模式。这不是bug，是设计。我们要做的，是在自己可控的局域网环境里，有意识地、有限度地把这些开关重新打开，而不是无脑全开。理解了这一点，你在配置时就会更清楚哪些该开、哪些开了有风险。

2. 账户层：把Guest账户真正启用起来

2.1 用计算机管理启用Guest的标准操作

最直观的入口是"计算机管理"。右键"此电脑"选"管理"，或者按Win+X找到"计算机管理"，展开"系统工具"下的"本地用户和组"，点"用户"，右侧就能看到Guest账户。默认状态下它的图标上有个向下的小箭头，表示已禁用。双击Guest，把"账户已禁用"的勾去掉，点确定。这一步做完，账户层就算通了。

但这里有个细节很多人忽略：Guest账户的"密码永不过期"之类的选项不用动，重点是确认它没有被设密码。Guest按设计就是空密码，如果你之前手贱给它设了个密码，那网络登录时反而会出问题。检查方法是双击Guest看有没有"用户下次登录时须更改密码"之类的勾选，正常应该是干净的。另外，启用后建议重启一次，虽然理论上不重启也生效，但SMB相关的策略缓存有时候需要一次重启才彻底刷新，我踩过这个坑，改完不重启死活连不上，重启后秒通。

2.2 命令行方式：更快的启用路径

如果你习惯命令行，或者要批量处理多台机器，用net user更利索。以管理员身份打开命令提示符，执行：

net user Guest /active:yes

回车后提示"命令成功完成"即可。想确认状态，用：

net user Guest

输出里会有一行"账户启用 Yes"，看到这个就对了。命令行方式的好处是反馈明确，不像图形界面有时候你点了确定但没注意是否真的生效。我一般习惯改完用这条命令复核一遍，避免"以为改了其实没改"的尴尬。

注意：执行这些命令必须用管理员权限的终端，普通权限会提示拒绝访问。另外Guest这个名字是系统保留的，不要试图改名或删除，改了反而会引发共享异常。

2.3 启用后先做本地验证

账户启用后，别急着去另一台机器上试共享，先在本地验证一下Guest是不是真的"活着"。可以打开"本地安全策略"（后面会细讲），或者简单点，在命令提示符里再跑一次net user Guest确认状态。更稳妥的做法是看一眼"本地用户和组"里Guest的图标箭头是不是消失了。这一步是给自己一个确定的基线——如果账户层都没通，后面策略层怎么调都是白搭。我见过有人卡了半天，最后发现是Guest压根没启用成功，图形界面点了确定但权限不够没保存上，白折腾。

3. 策略层：解开限制Guest网络登录的两把锁

3.1 本地安全策略里的"来宾账户状态"

账户启用了，不代表网络登录就放行了。打开"本地安全策略"（Win+R输入secpol.msc），依次展开"安全设置"→"本地策略"→"安全选项"，在右侧列表里找到"账户：来宾账户状态"。这个选项默认可能是"已禁用"，把它改成"已启用"。这一项控制的是来宾账户在安全策略层面的可用性，和账户本身的启用是两码事，两个都得开。

改完这一项，很多人以为就完事了，其实还差关键的一步。同一列表里往下找"网络访问：本地账户的共享和安全模型"，这个才是决定Guest能不能用于网络访问的核心开关。

3.2 "本地账户的共享和安全模型"怎么选

这个选项有两个值："仅来宾"和"经典"。默认在较新的Win11上是"经典"，意思是网络访问需要提供用户名和密码进行身份验证，Guest这种空密码身份会被拒绝。要允许Guest访问，得把它改成"仅来宾"。改成"仅来宾"后，所有网络登录都会被映射为Guest身份，不再要求输入凭据，这正是我们想要的效果。

但这里要提醒一句：改成"仅来宾"意味着这台机器对局域网内所有人"敞开"，任何能连上网络的人都能以Guest身份访问你共享出来的东西。所以这个操作只适合在你自己完全可控的家庭或小办公局域网里做，公共网络环境下千万别这么设。改完之后同样建议重启，让策略彻底生效。

3.3 组策略里的SMB来宾访问开关

Win11专业版及以上还有一层组策略控制。Win+R输入gpedit.msc打开组策略编辑器，依次展开"计算机配置"→"管理模板"→"网络"→"Lanman工作站"，右侧找到"启用不安全的来宾登录"。这个策略默认是"未配置"或"已禁用"，把它改成"已启用"。这一项直接对应SMB协议层面的来宾登录许可，是解决"用户名或密码错误"的关键一环。

为什么这一项这么重要？因为即便你前面账户和本地策略都开了，SMB客户端在发起连接时如果判定"来宾登录不安全"，会直接拒绝，表现出来的就是那个笼统的错误提示。启用这一项，等于告诉系统"我知道风险，允许来宾登录"。家庭版没有组策略编辑器，得走注册表，下一节讲。

3.4 家庭版走注册表：AllowInsecureGuestAuth

Win11家庭版没有gpedit.msc，但组策略改的本质上就是注册表，我们直接改注册表效果一样。Win+R输入regedit打开注册表编辑器，定位到：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters

在右侧空白处右键新建一个DWORD（32位）值，命名为AllowInsecureGuestAuth，双击把它设成1。如果这个值已经存在，直接改成1即可。改完重启，效果等同于组策略里启用"不安全的来宾登录"。

注意：注册表操作前建议先导出备份，改错键值可能导致网络功能异常。定位路径时逐级展开，别手快改错位置。这个键值只影响SMB客户端行为，不会影响本机其他安全设置，可以放心改。

3.5 三层策略的验证顺序

改完账户层和策略层，建议按顺序验证，别一股脑全改完再试，出了问题不好定位。先确认Guest账户启用（net user Guest看状态），再确认本地安全策略两项已改，最后确认组策略或注册表项已生效。每改一层可以尝试从另一台机器连一次，看错误提示有没有变化。如果从"用户名或密码错误"变成了"无法访问"，说明身份验证这关过了，问题转移到了权限层，这是进步，别慌。这种分层验证的思路，比一次性全改然后对着同一个报错干瞪眼要高效得多。

4. 权限层：共享权限与NTFS权限的双重配置

4.1 共享权限：先给Everyone开门

身份验证通了，接下来是权限。右键要共享的文件夹，选"属性"→"共享"选项卡→"高级共享"，勾选"共享此文件夹"，然后点"权限"。默认列表里可能只有你当前用户，点"添加"，输入Everyone，确定，然后在下方的权限勾选里给"读取"（需要写入就给"更改"）。这一步是共享权限层面的放行。

为什么用Everyone而不是Guest？因为网络登录映射为Guest后，实际生效的往往是Everyone这个组，给Everyone权限是最省事也最不容易出错的做法。当然，如果你对安全有更高要求，可以只给Guest，但实践中Everyone更稳，尤其在"仅来宾"模型下。给完权限记得点确定一路退出来，别停在半路。

4.2 NTFS权限：别让第二道门把你挡住

共享权限给了，很多人还是连不上或者能进但读不了文件，问题出在NTFS权限上。切到"安全"选项卡，点"编辑"→"添加"，同样输入Everyone，给上"读取和执行""列出文件夹内容""读取"这几项（需要写入再加"写入"和"修改"）。共享权限和NTFS权限是"取交集"的关系——两边都允许才行，任何一边拒绝都会挡住你。这是Windows权限模型的基本规则，也是新手最容易漏的一环。

我建议的做法是：共享权限给Everyone完全控制或更改，NTFS权限给Everyone读取（或按需给修改），这样交集下来就是你要的访问级别。别在共享权限给得很宽、NTFS给得很窄，那样交集很小，容易出各种"能进不能读"的怪现象。两层权限都配好，才算真正打通。

4.3 一个容易被忽略的点：文件夹所有权

还有一种情况：文件夹是从别的机器拷贝过来的，或者之前属于某个已删除的账户，这时候即便你给Everyone加了权限，访问时仍可能报错。原因是文件夹的所有者不对，权限继承链断了。解决办法是右键文件夹→"属性"→"安全"→"高级"，看"所有者"是不是当前管理员账户，不是的话点"更改"，输入当前用户名，勾选"替换子容器和对象的所有者"，确定。这一步能把权限继承重新理顺，之后再加Everyone权限就顺了。这个坑不常见，但一旦碰上很折磨人，记在这里备用。

5. 实操全流程：从零到成功连接的一次完整走查

5.1 目标机器（被访问方）的配置清单

把前面几层串起来，目标机器上要做的完整动作是这样的：第一步，net user Guest /active:yes启用账户；第二步，secpol.msc里把"账户：来宾账户状态"设为已启用，"网络访问：本地账户的共享和安全模型"设为"仅来宾"；第三步，专业版在gpedit.msc里启用"不安全的来宾登录"，家庭版改注册表AllowInsecureGuestAuth=1；第四步，共享文件夹的共享权限加Everyone给读取或更改，NTFS权限加Everyone给读取或修改；第五步，重启一次。这五步做完，目标机器这边就算齐活了。

我习惯在每一步后做个小记录，比如截个图或者记下当前状态，这样万一后面出问题，能快速回退定位。尤其是策略那几项，改完最好再打开确认一遍确实保存了，图形界面偶尔会因为权限问题没保存成功，你以为改了其实没改。

5.2 访问机器（发起方）这边要不要改

很多人只盯着目标机器改，忽略了发起方也可能有策略拦着。发起方这边同样需要确认"启用不安全的来宾登录"是开着的——因为发起方作为SMB客户端，如果它自己判定来宾登录不安全，连接请求根本发不出去。所以专业版在发起方也检查一下gpedit.msc里那一项，家庭版同样改AllowInsecureGuestAuth=1。这一步经常被漏掉，导致目标机器全配好了还是连不上，白白怀疑人生。

另外发起方的网络发现和文件共享功能要打开。在"网络和共享中心"→"更改高级共享设置"里，把"启用网络发现"和"启用文件和打印机共享"都勾上。这两项不开，你连对方机器都看不到，更别提连接了。

5.3 连接测试与凭据输入的正确姿势

配置齐了，在发起方按Win+R输入\\目标机器IP（比如\\192.168.1.100），回车。如果一切正常，应该直接进到共享目录，不弹凭据框。如果弹了凭据框，说明"仅来宾"模型没生效或者策略没刷新，回去检查第3章那几项。如果提示"用户名或密码错误"，说明来宾登录仍被拒，重点查AllowInsecureGuestAuth和"来宾账户状态"。

有个小技巧：如果弹了凭据框，用户名可以试着输入Guest，密码留空直接回车。在"仅来宾"模型下通常不该弹框，但万一弹了，这么输有时能过。不过更彻底的做法还是把策略调对，让它压根不弹框。连接成功后，建议在地址栏把这个路径收藏或者映射成网络驱动器，下次就不用记IP了。

5.4 用命令行快速验证共享状态

图形界面之外，我常用几条命令快速验证。在目标机器上跑：

net share

能看到当前所有共享及其路径，确认你的文件夹在列表里。再看会话：

net session

如果有活动的来宾连接，这里会列出来源IP。发起方这边可以用：

net view \\192.168.1.100

看能不能列出共享列表，能列出来说明SMB会话建立成功，剩下的就是权限问题。这几条命令比反复点鼠标快得多，排错时特别管用。

6. 常见问题与排查速查

6.1 典型症状对照表

这张表是我排错时的第一参照，大部分问题对号入座就能定位。关键是别被"用户名或密码错误"这句话带偏，它只是个笼统提示，真正原因得往策略和权限上找。

6.2 防火墙这一关别忘

有时候前面全配对了还是连不上，问题在防火墙。目标机器的Windows Defender防火墙如果拦了"文件和打印机共享"，SMB流量进不来。检查方法：控制面板→Windows Defender防火墙→"允许应用或功能通过防火墙"，确认"文件和打印机共享"在专用网络下是勾选的。如果嫌麻烦，临时把专用网络的防火墙关掉测一下，能通就说明是防火墙问题，再针对性放行，别长期关着。

6.3 几个我踩过的坑

第一个坑：改完策略没重启，死活连不上，重启后秒通。SMB策略缓存有时候就是这么倔，别省那一次重启。第二个坑：只改了共享权限没改NTFS，结果能进目录但文件打不开，报权限错误，查了半天才发现是NTFS那层没放Everyone。第三个坑：发起方自己没开"不安全的来宾登录"，目标机器配得再完美也白搭，这个最隐蔽。第四个坑：Guest账户之前被设过密码，导致空密码登录失败，把密码清掉就好了。这几个坑我都实打实踩过，写在这里帮你省时间。

提示：所有涉及策略和注册表的改动，做完建议重启一次再测试。别在没重启的状态下反复怀疑配置，很多"改了没用"其实是没生效。

6.4 安全边界要心里有数

最后说句实在的，把Guest和来宾登录全开，等于在局域网里开了扇不锁的门。家庭环境、自己完全掌控的小网络里这么做没问题，图个方便。但如果是公司网络、公共Wi-Fi、或者有外人能接入的环境，这么配就是把文件暴露给所有人。更稳妥的替代方案是给共享专门建一个带密码的普通账户，用"经典"模型加凭据访问，安全性高得多。Guest方案适合"临时、内网、可信"这三个条件同时满足的场景，超出这个范围就别用了。我自己在家里传文件用Guest图省事，但在任何有外部设备接入的网络里，一律走带密码的账户，这个界限得划清楚。

实际用下来，这套流程在Win11各版本上都能走通，专业版走组策略、家庭版走注册表，殊途同归。真正花时间的往往不是配置本身，而是定位到底卡在哪一层——把账户、策略、权限这三层的排查顺序建立起来，以后遇到类似问题基本十分钟内能锁定原因。