服务器共享禁止保存到本地磁盘、共享文件禁止另存为本地磁盘、移动硬盘等

要完整记录与查看共享文件访问日志，核心是启用系统级审计策略 + 配置文件 / 共享的审计规则 + 查看对应日志，下面按Windows（SMB 共享）、**Linux（Samba 共享）** 分别给出可直接落地的配置与查看方法。
 

一、Windows 服务器（SMB 共享）

1. 启用文件访问审计（必做）

方法 1：本地组策略（单机 / 工作组）
 

方法 2：域环境（GPO）
 

2. 为共享文件夹配置 SACL（审计规则）
 

3. 查看访问日志（事件查看器）
 

4. 实时查看当前连接与打开文件
 

• 图形化：计算机管理 → 系统工具 → 共享文件夹 → 会话 / 打开的文件
• 命令行：powershell

  # 查看当前SMB会话 Get-SmbSession # 查看当前打开的文件 Get-SmbOpenFile
   

二、Linux 服务器（Samba 共享）

1. 基础日志配置（连接 / 访问记录）
 

2. 启用 full_audit 插件（记录文件操作：增删改查）
 

3. 查看日志

基础连接日志

bash

运行

# 查看所有客户端日志 ls -l /var/log/samba/ # 实时查看指定客户端IP（如192.168.1.100）的日志 tail -f /var/log/samba/log.192.168.1.100 # 查看SMB服务总日志 tail -f /var/log/samba/log.smbd

详细文件操作审计日志

bash

运行

# 实时查看审计日志 tail -f /var/log/samba-audit.log # 日志格式示例：用户名|客户端IP|共享名|操作|文件路径 alice|192.168.1.100|share|open|/share/doc.txt bob|192.168.1.101|share|unlink|/share/old.doc

查看当前连接

bash

运行

# 查看当前Samba会话 smbstatus # 过滤445端口连接（SMB默认端口） netstat -tulnp | grep smbd

三、日志管理与最佳实践
 

四、常见问题
 

• Windows 无 4663/5145 事件：检查审核策略是否启用、SACL 是否配置、是否执行 gpupdate
• Linux Samba 无审计日志：检查 vfs objects = full_audit 是否正确、日志路径权限是否为 smbuser 可写

需要我给你一份可直接复制的Windows PowerShell 筛选脚本和Linux Samba 完整配置模板，你直接粘贴就能用吗？
 

如何禁止保存服务器共享文件、文件服务器共享文件禁止另存为本地磁盘

要实现 “只允许用户打开 / 查看共享文件，但禁止保存到服务器、禁止另存为到本地磁盘、禁止复制下载”，不能只靠单一权限，必须组合 NTFS / 文件系统权限 + 组策略 / 配置 + 文档权限 / 专业软件 三层控制。下面分 Windows（最常用）、Linux Samba、企业级防泄密 三套完整方案。
 

一、Windows 服务器：禁止保存 & 禁止另存为（SMB 共享）

1. 基础：只读权限（禁止修改 / 保存到服务器）

先把共享设为纯只读，用户无法在服务器上修改、新建、删除、覆盖保存。

（1）共享权限（网络访问）
 

（2）NTFS 安全权限（关键，防绕过）
 

效果：
 

• ✅ 可打开、查看
• ✅ 无法在服务器上保存修改、新建、删除
• ❌ 但用户仍可：复制文件→本地、打开后另存为到本地

2. 进阶：组策略（禁止复制 / 拖拽 / 另存为到本地）

Windows 有专门策略彻底禁止从网络共享另存 / 复制到本地。

单机 / 工作组
 

域环境（批量控所有电脑）
 

效果：
 

• ✅ 无法复制 / 拖拽共享文件到本地
• ✅ 无法另存为到本地磁盘
• ✅ 无法 “另存为→U 盘 / 移动硬盘”
• ❌ 弱点：Office/PDF 内复制文字、截屏仍可绕过

3. 进阶：Office/PDF 禁止内部复制 & 另存为（免费）

（1）微软 Office：IRM 权限限制（Word/Excel/PPT）
 

效果：
 

• 打开需认证
• 复制出去是乱码 / 无法粘贴
• 无法另存、无法打印

（2）PDF：用 Adobe 权限密码
 

二、Linux Samba：禁止保存 & 只读不下载

1. 基础：Samba 只读（禁止修改 / 保存服务器）

/etc/samba/smb.conf

ini

[share] path = /data/share valid users = alice bob read only = yes # 只读，禁止写入/保存 writable = no # 禁止任何写入 browseable = yes guest ok = no delete readonly = no # 禁止删除只读文件

重启：

bash

运行

systemctl restart smb nmb

2. 进阶：禁止客户端复制 / 下载（Samba 审计 + 限制）

Samba 本身无法彻底阻止另存为（客户端行为），但可：

（1）禁止创建 / 修改 / 删除（纯只读）

ini

read only = yes writable = no create mask = 0444 # 新建文件只读 directory mask = 0555

（2）禁止特殊文件 / 拦截客户端行为

ini

# 禁止客户端产生临时文件（防止变相下载） veto files = /Thumbs.db/.DS_Store/.*.tmp/

Linux 结论：
 

• Samba 只能做到服务器端只读
• 要禁止另存为到本地，必须配合：
  • Windows 客户端组策略
  • 或专业文档管理系统

三、企业级真正防泄密：禁止另存 / 复制 / 截屏（无绕过）

方案 A：专业共享防泄密软件（推荐）

国内常用：大势至、域智盾、IP-guard。

如“大势至局域网共享文件管理系统”，只需要部署在局域网一台电脑，就可以实现只让读取共享文件而禁止复制共享文件、只让打开共享文件而禁止另存为本地磁盘、只让修改共享文件而禁止删除共享文件，并且可以详细记录共享文件访问日志。如下图：

功能（一键设置）：

• ✅ 仅在线打开共享文件
• ✅ 禁止另存为到本地 / U 盘
• ✅ 禁止复制文件 / 复制内容
• ✅ 禁止拖拽
• ✅ 禁止打印 / 截屏 / 录屏
• ✅ 打开时强制水印
• ✅ 记录：谁、何时、打开 / 试图另存 / 试图复制

部署：
 

方案 B：文档管理系统（SharePoint/Nextcloud/ 企业云盘）

直接用在线预览模式：
 

• 仅网页预览，不提供真实文件路径
• 后台设置：禁止下载、禁止另存、禁止打印、水印

四、各方案效果对比（最关键）

表格

五、你最可能遇到的 “绕过” 与对策
 

六、推荐实施路线（按安全等级）

1. 低成本（免费）

NTFS 只读 + 组策略（禁止复制 + 禁止另存为）
适合：内部普通文档、信任度高环境

2. 中安全（免费）

上述 + Office IRM + PDF 权限
适合：Office 为主、少量机密

3. 高安全（企业级）

专业防泄密软件 / 文档管理系统
适合：图纸、合同、财务、研发数据、完全禁止泄密
 

七、一键可复制配置

Windows 组策略（必开）

plaintext

计算机配置 → 管理模板 → Windows 组件 → 文件资源管理器 ✅ 防止从网络共享文件夹中复制文件 ✅ 禁止将文件另存为到本地驱动器 gpupdate /force

Samba 只读配置

ini

[secure_share] path = /data/secure valid users = @finance read only = yes writable = no delete readonly = no veto files = /Thumbs.db/.DS_Store/