VPN 连上后打不开共享文件夹，应检查 DNS、SMB、凭据还是权限？
共享访问依赖名称解析、DNS 后缀、SMB 连通、缓存凭据、域认证、共享权限与 NTFS 权限。
适用范围与操作边界共享访问依赖名称解析、DNS 后缀、SMB 连通、缓存凭据、域认证、共享权限与 NTFS 权限。 排查前先确认影响范围和复现条件；任何变更都应保留备份、测试对象和明确的回退路径。
1. 结论与适用范围
排查前应准备客户端与服务器 IP、子网、网关和 DNS 配置，相关防火墙／VPN／路由／NAT 策略、完整错误信息、受影响地点和时间范围，以及近期网络或安全策略变更。文中的地址均为保留示例。
该问题涉及“网络、VPN 与防火墙”。如果已经影响办公、生产或数据安全，可先远程收集日志和配置；涉及批量权限、交换机链路、停机切换或恢复演练时，应安排受控实施窗口。
2. 现象与影响范围
- 保留完整报错、事件日志时间点和失败操作，不要只凭用户口述判断。
- 先记录影响范围、首次发生时间、是否持续复现，以及同网段和其他网段是否一致。
- 共享访问依赖名称解析、DNS 后缀、SMB 连通、缓存凭据、域认证、共享权限与 NTFS 权限。
3. 原因分析与检查步骤
- 检查名称解析、DNS 后缀、SMB 端口、服务器防火墙和共享名是否一致；能 ping 通不代表 SMB 可用。
- 访问共享前清理错误的缓存凭据和旧会话，并确认客户端使用的是预期的域账号或本地账号。
- VPN 已连接只说明隧道建立；还需核对客户端路由、内部 DNS、访问控制、服务器防火墙和回程路由。
- 共享权限控制通过网络进入的上限，NTFS 权限控制文件系统访问；实际权限取两者中更严格的结果。
- 防火墙已放通但应用仍不通时，检查服务器默认网关、策略路由、会话表、NAT 与回程路径是否对称。
- 一次只变更一个条件，并在变更前导出配置或记录当前状态。
只读检查示例
nslookup file-server.corp.example
Test-NetConnection file-server.corp.example -Port 445
net use命令中的服务器名、域名和路径必须替换为本企业已确认的值。不要复制未知环境中的真实 IP、域名或账号。
4. 处理方案与受控实施
优先使用只读查询、导出配置和单台验证。确认根因后，再选择修复对象、维护窗口和回退方式。策略变更应先在测试源地址和限定时间段验证，记录命中日志、会话与回退配置，再逐步扩大范围。
- 共享权限控制通过网络进入的上限，NTFS 权限控制文件系统访问；实际权限取两者中更严格的结果。
- 防火墙已放通但应用仍不通时，检查服务器默认网关、策略路由、会话表、NAT 与回程路径是否对称。
- 一次只变更一个条件，并在变更前导出配置或记录当前状态。
远程还是现场处理？单台或少量终端、配置与日志可远程获取时，通常可先远程判断；涉及交换机链路、机房布线、多网段批量变更或停机切换时，建议安排现场窗口。杭州及长三角可根据项目情况上门，其他地区可远程协助。
5. 验证、回退与常见误区
修复后不要只看“暂时能用”。应从用户操作、日志、重启/重新登录、不同网络位置和下一次策略/备份周期再次验证。
验证与回退检查
- 一次只变更一个条件，并在变更前导出配置或记录当前状态。
- VPN 已连接只说明隧道建立；还需核对客户端路由、内部 DNS、访问控制、服务器防火墙和回程路由。
- 检查 WinHTTP、用户代理、自动配置脚本和安全软件代理残留；浏览器正常不代表 Office 或系统服务使用同一路径。
常见错误做法
- 看到 VPN 已连接就认定网络没有问题。
- 放通任意目标或任意服务代替最小权限策略。
- 只改客户端路由，不检查服务器回程和防火墙会话。