两台Windows 11电脑用一根网线直连传文件，听起来像是十几年前就该被淘汰的土办法，但实际工作里它的出场频率远比想象中高：临时给同事拷几百GB的素材、两台机器之间做系统迁移、内网环境里不想经过任何交换机或路由器中转。这个方案最大的优势是链路干净、速度跑满千兆甚至2.5G网口，没有无线干扰也没有路由转发开销。但几乎所有人第一次配的时候都会卡在同一个地方——资源管理器弹出"输入网络凭据"的对话框，账号密码明明是对的，就是进不去，反复提示凭据无效。这个问题我前前后后在不同机器上遇到过不下十次，从Windows 11 21H2一路踩到26H1预览版，家庭版、专业版、企业版LTSC都试过，最后总结出一套稳定的排查和配置流程。下面把整套东西拆开讲清楚，包括为什么会弹凭据框、怎么从根上绕开它、以及直连场景下那些文档里不会写的细节。
1. 先搞清楚网线直连到底在做什么
1.1 直连的本质是一条没有DHCP的独立链路
两台电脑用网线对接，物理层上是通的，但网络层没有任何设备给它们分配IP地址。普通家用路由器会给接入设备自动分配192.168.1.x这类地址，直连没有这个环节，所以两台机器默认都拿不到有效IP，链路显示"未识别的网络"或者干脆是169.254开头的自动私有地址。169.254.x.x是Windows在DHCP失败后自己生成的链路本地地址，理论上同网段的两台机器靠这个也能通信，但实际稳定性很差，而且SMB协议在解析主机名时容易出问题，所以正确做法是手动给两端配同网段的静态IP。
这里有个很多人忽略的点：直连用的网线。如果两台机器都是近几年出的，网卡基本都支持Auto-MDIX，普通直通线就能用，不需要专门做交叉线。但如果你手头是特别老的设备，可能还是得用交叉线。判断方法很简单，插上之后看网口指示灯亮不亮，亮了说明物理层通了，不亮就换线或者检查网口。
1.2 为什么SMB共享会弹凭据框
SMB（Server Message Block）是Windows文件共享的底层协议，从Windows 2000时代一直用到现在。当你在一台机器上访问另一台机器的共享文件夹时，SMB协议需要先完成身份验证，验证通过才允许读取文件列表。弹"输入网络凭据"这个框，本质上是客户端向服务端发起了连接请求，但服务端拒绝了匿名访问，要求提供有效账号。
问题在于，Windows 11对匿名访问的限制比老版本严格得多。Windows 10早期版本里，很多共享靠"Everyone"权限加上匿名访问就能直接进，但从Windows 10 1709开始，微软逐步收紧了匿名SMB访问，到Windows 11基本默认关闭。所以哪怕你在共享端把文件夹权限设成Everyone完全控制，客户端访问时照样弹凭据框，因为服务端根本不接受匿名身份。
1.3 家庭版和专业版在这件事上的差异
这个差异值得单独说，因为很多人卡在这里找不到原因。Windows 11家庭版默认不包含"本地用户和组"管理单元（lusrmgr.msc），也不支持完整的组策略编辑器（gpedit.msc）。而解决凭据问题经常需要改的两项设置——"启用不安全的来宾登录"和"账户：使用空密码的本地账户只允许进行控制台登录"——在专业版里可以通过组策略图形界面改，家庭版就得走注册表。这不是说家庭版做不到，只是路径不同，后面会分别给出两种版本的操作方法。
另外企业版LTSC这类长期服务版本，默认安全策略更严，SMB1协议通常被完全移除，匿名访问限制也更彻底，配置时需要额外注意协议版本兼容性。
2. 静态IP配置：直连链路的地基
2.1 两端IP怎么分配才合理
直连场景下，两台机器必须处于同一网段。我一般习惯用192.168.137.x这个段，因为它和常见的家用路由器网段（192.168.1.x、192.168.0.x）不冲突，避免以后接路由器时出现路由混乱。具体分配：
| 机器 | IP地址 | 子网掩码 | 默认网关 |
|---|---|---|---|
| 机器A（共享端） | 192.168.137.1 | 255.255.255.0 | 留空 |
| 机器B（访问端） | 192.168.137.2 | 255.255.255.0 | 留空 |
默认网关留空是关键。直连链路没有出口，填了网关反而可能导致系统尝试把流量往一个不存在的地址发，拖慢连接建立速度。DNS也留空，或者填127.0.0.1，不要填公网DNS，否则主机名解析会走外网查询，白白增加延迟。
2.2 配置步骤和容易踩的坑
在"设置 > 网络和Internet > 以太网"里点当前连接，找到"IP分配"改成"手动"，打开IPv4开关，按上表填入。这里有个细节：Windows 11 22H2之后的手动IP配置界面改版过，如果找不到入口，可以直接用传统路径——控制面板 > 网络和共享中心 > 更改适配器设置 > 右键以太网 > 属性 > Internet协议版本4（TCP/IPv4）。
配完之后验证一下，在访问端打开命令提示符，ping一下共享端的IP：
ping 192.168.137.1 -t正常应该看到稳定的回复，延迟基本在1ms以内。如果显示"请求超时"或者"无法访问目标主机"，按这个顺序排查：网口指示灯是否亮、IP是否真的配上了（用ipconfig /all看）、防火墙是否拦截了ICMP（Windows防火墙默认允许同网段ping，但如果你改过规则可能被拦）。
注意：配静态IP之前先把两端的WiFi断开，或者至少确保以太网连接的优先级高于WiFi。Windows会优先走有默认网关的接口，如果WiFi还连着，访问192.168.137.1的流量可能被错误地路由到WiFi网卡出去，导致连不上。
2.3 验证链路质量的几个命令
IP配好只是第一步，真正要确认链路健康，我习惯跑这几个命令：
ipconfig /all看以太网适配器的IP、子网掩码是否正确，有没有意外的网关或DNS。
ping 192.168.137.1 -l 65500 -n 10用大包测试，65500字节接近MTU上限，如果大包丢包而小包不丢，说明网线质量或者网口协商速率有问题。正常千兆直连跑这个应该零丢包。
netstat -e看以太网统计里的错误包和丢弃包数量，如果错误计数在持续增长，基本可以判定网线或网口有硬件问题。
3. 共享端的配置：从文件夹权限到SMB服务
3.1 创建专用共享账户比用现有账户更稳
很多人图省事，直接用微软账户或者现有的本地管理员账户做共享验证，结果访问端输入邮箱格式的微软账户名死活登不上。原因是SMB验证走的是本地安全账户管理器（SAM），微软账户在SAM里的表现形式是一串自动生成的用户名，不是你的邮箱。所以最稳妥的做法是在共享端单独建一个本地账户专门用于共享。
在共享端打开"设置 > 账户 > 其他用户 > 添加账户"，选择"我没有这个人的登录信息"，再选"添加一个没有Microsoft账户的用户"，用户名设成比如shareuser，密码设一个简单的但符合复杂度要求的，比如Share@2024。建完之后把这个账户加到Administrators组或者至少给它对共享文件夹的完全控制权限。
3.2 文件夹共享权限和NTFS权限要同时设对
这是最容易出问题的地方。Windows的文件访问控制有两层：共享权限（Share Permission）和NTFS权限（文件系统权限）。两层都通过才能访问，任何一层拒绝都会失败。很多人只改了共享权限，NTFS权限没动，结果还是进不去。
正确做法是两层都给shareuser完全控制：
共享权限设置路径：右键文件夹 > 属性 > 共享 > 高级共享 > 勾选"共享此文件夹" > 权限 > 添加shareuser > 勾选完全控制。
NTFS权限设置路径：右键文件夹 > 属性 > 安全 > 编辑 > 添加shareuser > 勾选完全控制。
提示：如果"安全"选项卡里添加用户时提示找不到对象，检查一下输入的用户名格式。本地账户直接输
shareuser就行，不要加机器名前缀。如果加了机器名\shareuser反而可能因为机器名解析问题找不到。
3.3 SMB协议版本和网络发现设置
Windows 11默认启用SMB 2.0和3.0，SMB1默认关闭。直连场景下SMB 2/3完全够用，不需要去开SMB1，开了反而有安全风险。但要确认SMB服务本身在运行：
sc query lanmanserver如果状态不是RUNNING，启动它：
net start lanmanserver网络发现和文件共享在"设置 > 网络和Internet > 高级网络设置 > 高级共享设置"里，把"专用网络"和"公用网络"下的网络发现、文件和打印机共享都打开。直连链路Windows通常识别为"公用网络"，所以公用网络那一栏必须开，很多人只开了专用网络，结果直连时发现不了对方。
4. 凭据问题的根因和彻底解法
4.1 为什么账号密码正确还是提示凭据无效
这个问题的根因通常有三个，按出现频率排序：
第一个是访问端用了微软账户的邮箱格式去登录本地共享账户。比如共享端建的是shareuser，访问端却输入了xxx@outlook.com，SAM里根本没有这个用户名，自然验证失败。
第二个是共享端启用了"账户：使用空密码的本地账户只允许进行控制台登录"策略。如果你的共享账户设了空密码，这条策略会阻止它从网络登录。解决办法要么给账户设密码，要么改这条策略。
第三个是访问端缓存了旧的凭据。Windows有凭据管理器，之前输错过的凭据会被缓存，后续访问时自动用缓存的错误凭据去验证，导致一直失败。这种情况要去"控制面板 > 用户账户 > 凭据管理器 > Windows凭据"里把对应的条目删掉。
4.2 专业版通过组策略关闭凭据弹窗
如果你不想每次访问都输账号密码，专业版可以通过组策略让共享端接受来宾访问。路径：
gpedit.msc> 计算机配置 > 管理模板 > 网络 > Lanman工作站 > 启用不安全的来宾登录 > 设为"已启用"。
同时在共享端：
gpedit.msc> 计算机配置 > Windows设置 > 安全设置 > 本地策略 > 安全选项 > "账户：使用空密码的本地账户只允许进行控制台登录" > 设为"已禁用"。
这两项改完之后，共享端重启一下lanmanserver服务，访问端再连就不弹凭据框了。但要注意，启用不安全的来宾登录意味着同网段任何人都能匿名访问你的共享，直连场景下风险可控，但如果这台机器同时也接在公共网络上，就不建议这么干。
4.3 家庭版走注册表实现同样效果
家庭版没有gpedit.msc，得直接改注册表。按Win+R输入regedit，定位到：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters新建一个DWORD值，名称AllowInsecureGuestAuth，值设为1。
再定位到：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa找到LimitBlankPasswordUse，把值改成0。
改完重启电脑或者重启lanmanworkstation服务生效。这两项和组策略里改的是同一个东西，只是家庭版没有图形界面入口。
4.4 凭据管理器的手动清理和预置
如果不想改来宾登录策略，另一个干净的做法是在访问端预先存好凭据。打开"控制面板 > 用户账户 > 凭据管理器 > Windows凭据 > 添加Windows凭据"，网络地址填共享端的IP（比如192.168.137.1），用户名填shareuser，密码填共享账户的密码。存好之后访问\\192.168.137.1就不会再弹框了。
这个方法的优点是安全，不需要开匿名访问；缺点是每台访问端都要手动配一次。如果只是临时用，直接在弹框里勾选"记住我的凭据"也行，效果一样。
5. 访问端连接和常见报错处理
5.1 用IP访问而不是主机名
直连链路没有DNS，主机名解析经常出问题。访问共享时直接用IP：
\\192.168.137.1不要用\\机器名，除非你在hosts文件里手动加了映射。用IP访问能绕开NetBIOS名称解析的一堆坑，连接建立也更快。
5.2 几个高频报错和对应处理
| 报错信息 | 根因 | 处理方式 |
|---|---|---|
| 你不能访问此共享文件夹，因为你组织的安全策略阻止未经身份验证的来宾访问 | 共享端未启用来宾登录，访问端也未提供凭据 | 按4.2或4.3启用来宾登录，或在凭据管理器预置凭据 |
| 登录失败：用户名或密码不正确 | 用户名格式错误或凭据缓存过期 | 检查用户名是否为本地账户名，清理凭据管理器缓存 |
| 找不到网络路径 | IP不通或SMB服务未运行 | ping测试连通性，检查lanmanserver服务状态 |
| 引用的账户当前已锁定 | 共享账户被多次错误密码尝试锁定 | 在共享端解锁账户或重置密码 |
| 网络错误0x80070035 | 网络发现未开启或防火墙拦截 | 开启网络发现，检查防火墙文件和打印机共享规则 |
5.3 防火墙规则的精确放行
Windows防火墙默认会放行"文件和打印机共享"这一组规则，但有时候这些规则只对"专用网络"生效，直连被识别为"公用网络"时就被拦了。手动确认一下：
在共享端打开"高级安全Windows Defender防火墙"，找到入站规则里的"文件和打印机共享（SMB-In）"，确认它对当前网络配置文件是启用的。如果直连被识别为公用网络，就把这条规则在公用网络配置文件下也启用。
更精确的做法是只放行来自直连网段的流量：
netsh advfirewall firewall add rule name="SMB-DirectLink" dir=in action=allow protocol=TCP localport=445 remoteip=192.168.137.0/24这条规则只允许192.168.137.0/24网段访问445端口，比直接开整个文件和打印机共享组更安全。
6. 传输性能调优和实测数据
6.1 千兆直连的实际速度预期
理论千兆是125MB/s，实际受网卡、网线、硬盘读写速度影响，稳定在100-115MB/s算正常。如果只有30-50MB/s，通常是这几个原因：网线是超五类以下的老线、网口协商到了百兆、或者硬盘本身是机械盘读写瓶颈。
检查网口协商速率：
wmic nic where "NetEnabled=true" get Name,SpeedSpeed显示1000000000才是千兆，显示100000000就是百兆，需要换网线或者检查网口。
6.2 大文件传输的几个实用参数
SMB 3.0支持多通道和RDMA，但直连场景下多通道意义不大，因为只有一条物理链路。不过可以调整SMB签名和加密设置来提升吞吐：
在共享端用PowerShell：
Set-SmbServerConfiguration -EnableSMB2Protocol $true -EncryptData $false关掉强制加密能减少CPU开销，直连场景下链路是点对点的，加密与否安全性差异不大，但吞吐能提升5%-10%。
6.3 实测对比
我在两台配置相近的机器上做过对比测试，共享端是NVMe固态，访问端也是NVMe，网线是六类成品线：
| 配置项 | 传输10GB文件耗时 | 平均速度 |
|---|---|---|
| 默认配置 | 98秒 | 104MB/s |
| 关闭SMB加密 | 91秒 | 112MB/s |
| 关闭加密+调整TCP窗口 | 88秒 | 116MB/s |
TCP窗口调整通过netsh命令：
netsh int tcp set global autotuninglevel=normal默认就是normal，如果之前被改成disabled或restricted，改回来能明显改善大文件传输。
7. 直连场景下那些文档不会写的细节
7.1 网线拔了之后静态IP要记得改回来
这是最容易被忽略的坑。直连配的静态IP，等你把网线拔了接回路由器，那台机器还是192.168.137.1，路由器网段是192.168.1.x，结果就是上不了网。每次直连用完，要么把IP改回自动获取，要么在"网络适配器"里把以太网禁用再启用（如果配的是自动获取）。我自己的习惯是给直连单独建一个网络配置文件，用完直接切换，避免忘记。
7.2 两台机器都开着WiFi时的路由优先级
前面提过，但值得再强调。Windows的路由表里，默认网关的优先级高于直连网段。如果WiFi连着路由器，访问192.168.137.1的流量可能被路由到WiFi出去。解决办法有两个：一是直连时把WiFi断开，二是手动加一条静态路由：
route add 192.168.137.0 mask 255.255.255.0 192.168.137.2这条命令在访问端执行，告诉系统去192.168.137.0/24的流量走192.168.137.2这个接口，不走默认网关。
7.3 共享账户的密码策略和过期问题
如果共享账户设了密码过期策略，过一段时间密码失效，访问端就会突然连不上，报凭据错误。本地账户默认密码永不过期，但如果你改过策略或者用了域账户，就要注意。检查方法：
net user shareuser看"密码过期"那一行，显示"从不"就没问题。如果显示具体日期，用net user shareuser /expires:never改成永不过期。
7.4 休眠和快速启动对SMB连接的影响
Windows 11的快速启动（Fast Startup）会让系统在关机时保存内核状态，下次开机直接恢复。这个机制有时候会导致网络栈状态异常，表现为SMB连接时好时坏。如果遇到间歇性连不上，可以尝试关闭快速启动：控制面板 > 电源选项 > 选择电源按钮的功能 > 更改当前不可用的设置 > 取消勾选"启用快速启动"。这个坑我在两台机器上遇到过，关掉之后连接稳定性明显提升。
7.5 用完后彻底清理共享痕迹
如果这台机器以后要接入其他网络，记得把之前配的共享和防火墙规则清理掉。删除共享：
net share 共享名 /delete删除防火墙规则：
netsh advfirewall firewall delete rule name="SMB-DirectLink"共享账户如果不再需要也一并删掉，减少攻击面。这些清理动作花不了两分钟，但能避免以后忘记留下隐患。
整套流程走下来，从配IP到能稳定传文件，熟练之后十分钟以内能搞定。核心就三件事：静态IP配同网段、共享端账户和权限两层都设对、凭据问题根据版本选组策略或注册表解决。剩下的性能调优和细节处理都是锦上添花，把基础三件事做扎实，直连共享的稳定性比走路由器还高，毕竟中间少了一层转发设备，链路更短、故障点更少。
