Cómo habilitar SMB1 de forma segura para acceder a NAS antiguos en Windows 11

Solución rápida: SMB1 está deshabilitado de forma predeterminada en Windows 11 por seguridad. Para habilitar solo el cliente (para acceder a un NAS antiguo): abra Terminal (Admin) y ejecute Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Client -NoRestart. Reinicie. No habilite el servidor SMB1. Planifique retirar el NAS antiguo: SMB1 tiene vulnerabilidades críticas conocidas.

Su NAS antiguo (Synology DSM 5.x o anterior, firmware QNAP 4.0.x, Buffalo LinkStation anterior a 2018) solo admite SMB1. Windows 11 eliminó SMB1 de forma predeterminada después de que el ransomware EternalBlue (WannaCry) explotara SMB1. Para seguir accediendo a un NAS antiguo, habilite solo la parte del cliente de forma temporal.

Qué causa esto

SMB1 (Server Message Block versión 1) es un protocolo antiguo para compartir archivos. Tiene múltiples vulnerabilidades críticas (EternalBlue, EternalRomance) que dieron lugar al ransomware WannaCry y NotPetya. Microsoft deshabilitó SMB1 de forma predeterminada a partir de Windows 10 1709. SMB2/3 lo reemplazó con mejor rendimiento y seguridad.

Los NAS antiguos que no se han actualizado de firmware desde 2015–2017 pueden solo hablar SMB1. Para acceder a ellos desde Windows 11, habilite el cliente SMB1. No habilite el lado del servidor: esa es la superficie vulnerable.

Método 1: Habilitar el cliente SMB1 mediante PowerShell

La ruta recomendada.

1. Abra Terminal (Admin).
2. Compruebe el estado actual:

   Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol*

   Muestra SMB1Protocol-Client, SMB1Protocol-Server, SMB1Protocol-Deprecation con sus estados.

3. Habilite solo el cliente (NO el servidor):

   Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Client -NoRestart

4. Reinicie cuando le convenga.
5. Después de reiniciar, puede acceder a los recursos compartidos solo SMB1: \\NAS-Name\Share en el Explorador de archivos.
6. Para deshabilitarlo más adelante: Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Client.
7. NUNCA habilite SMB1Protocol-Server. Eso expone el equipo Windows a ataques de red. El servidor permite compartir archivos mediante SMB1 saliente, lo que no es necesario para acceder a un NAS antiguo.

Este es el enfoque consciente de la seguridad.

Método 2: Habilitar mediante la interfaz gráfica de Características opcionales

Para usuarios que prefieren la interfaz gráfica.

1. Abra Configuración → Aplicaciones → Características opcionales → Más características de Windows. (O ejecute optionalfeatures.)
2. Busque Compatibilidad con el uso compartido de archivos SMB 1.0/CIFS. Expanda el árbol.
3. Marque:
   • Cliente SMB 1.0/CIFS: para acceder a servidores SMB1. Es seguro habilitarlo.
4. NO marque:
   • Servidor SMB 1.0/CIFS: superficie vulnerable.
   • Eliminación automática de SMB 1.0/CIFS: esto elimina automáticamente SMB1 después de 15 días sin uso. Déjelo marcado por seguridad.
5. Haga clic en Aceptar. Reinicie cuando se le solicite.
6. Después de reiniciar, los recursos compartidos SMB1 serán accesibles.

Esta es la ruta adecuada para usuarios que no se sienten cómodos con PowerShell.

Método 3: Actualizar el firmware del NAS como solución a largo plazo

SMB1 debe ser temporal.

1. Compruebe la versión de firmware del NAS: inicie sesión en la página web de administración del NAS. Busque el número de versión en las secciones Sistema o Acerca de.
2. Visite el sitio de soporte del fabricante:
   • Synology: kb.synology.com: DSM 6.x y posteriores admiten SMB3.
   • QNAP: qnap.com/en-us/download: QTS 4.3.x y posteriores admiten SMB3.
   • Buffalo: buffalotech.com: consulte según el modelo.
3. Descargue el firmware más reciente compatible con su modelo. Lea las notas de la versión para conocer cambios importantes.
4. Actualice el firmware del NAS mediante el panel de administración. Reinicie el NAS.
5. Pruebe el acceso SMB3 desde Windows con el cliente SMB1 deshabilitado.
6. Si el NAS es demasiado antiguo para admitir SMB3 moderno: es momento de reemplazarlo. Los NAS modernos (Synology DS220+, QNAP TS-264, otros) cuestan menos de $300.
7. Para la migración de datos: primero haga una copia de seguridad de los datos del NAS en una unidad USB y luego actualice o reemplace.

Esta es la ruta más segura. Elimine la dependencia de SMB1.

Cómo verificar que la solución funcionó

• Acceda al NAS antiguo: \\NAS-Name\Share en el Explorador de archivos. Debería abrirse sin errores de «No se encuentra la ruta de red».
• Ejecute Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Client | Select-Object State. Debería mostrar Enabled.
• Verifique que el servidor NO esté habilitado: Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol-Server | Select-Object State: debería estar Disabled.

Si nada de esto funciona

Si el cliente SMB1 está habilitado pero el acceso sigue fallando: Formato de ruta incorrecto: use la IP en lugar del nombre: \\192.168.1.10\Share. Es posible que el nombre del NAS no se resuelva mediante NetBIOS en redes modernas. Incompatibilidad de autenticación: SMB1 usaba autenticación más antigua (NTLM). Configure Seguridad de red: nivel de autenticación de LAN Manager mediante secpol.msc → Local Policies → Security Options. Set to Send LM & NTLM responses if SMB1-era NAS requires it (security risk). Firewall blocking: SMB uses port 445. Verify firewall allows. Test-NetConnection -ComputerName NAS -Port 445. El NAS no responde a SMB1: algunos NAS «solo SMB1» en realidad admiten SMB2 si se carga un firmware específico. Consulte en la web de administración del NAS la configuración de la versión de SMB. Para advertencias de seguridad repetidas sobre SMB1: ignórelas para el acceso a equipos antiguos, pero planifique el reemplazo: el tráfico SMB1 no está cifrado y es vulnerable.