Windows 11 y acceso SMB sin contraseña: AllowInsecureGuestAuth
El problema
A partir de Windows 10 versión 1709, Microsoft deshabilita por defecto el acceso de invitado (guest) a recursos compartidos SMB. El cliente Windows rechaza la conexión si el servidor no exige credenciales, como medida de prevención contra ataques de intermediario (man-in-the-middle).
Consecuencia práctica: una instalación nueva de Windows 11 no puede acceder a un Samba configurado con guest ok = yes, mientras que equipos con instalaciones antiguas sí pueden, porque heredaron la configuración anterior.
Qué es AllowInsecureGuestAuth
AllowInsecureGuestAuth es un valor DWORD en el registro de Windows que controla si el cliente SMB acepta inicios de sesión de invitado sin contraseña.
Ubicación:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
| Valor |
Comportamiento |
0 (defecto) |
Bloquea conexiones SMB sin credenciales |
1 |
Permite conectarse a recursos compartidos con acceso de invitado |
Solución
Abrir PowerShell como administrador y verificar el estado actual:
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" | Select AllowInsecureGuestAuth
Si devuelve 0 o el valor no existe, habilitarlo:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" `
-Name "AllowInsecureGuestAuth" -Value 1 -Type DWord
Restart-Service LanmanWorkstation -Force
El Restart-Service aplica el cambio sin necesidad de reiniciar el equipo.
Lo que no hace falta hacer
Cuando el problema es únicamente el bloqueo de acceso guest, no es necesario:
- Habilitar SMB 1.0/CIFS — protocolo obsoleto con vulnerabilidades conocidas (EternalBlue, WannaCry). Dejarlo deshabilitado.
- Ejecutar
Set-SmbClientConfiguration -RequireSecuritySignature $false — no aplica a este caso.
Consideraciones de seguridad
Habilitar AllowInsecureGuestAuth permite que cualquier equipo en la red acceda al recurso compartido sin autenticación. Es aceptable en redes domésticas controladas, pero no se recomienda en entornos corporativos o redes con acceso externo.
La alternativa segura es configurar usuarios con contraseña en el servidor Samba y eliminar el acceso guest.