Lỗi 0x80070035 khi Windows 11 vào NAS QNAP: sửa tận gốc

Lỗi 0x80070035 khi vào NAS QNAP là chuyện gì

Cảnh này chắc nhiều người gặp rồi. NAS QNAP vẫn nháy đèn trên kệ, máy tính cũ vẫn mở thư mục Public vèo vèo. Riêng laptop mới cài Windows 11 gõ \\192.168.1.50 thì nhận về 0x80070035 The network path was not found. Đường mạng vẫn còn nguyên. Windows chỉ đang từ chối bạn bằng một câu nói dối lịch sự.

Thủ phạm là SMB, giao thức Windows dùng để mở thư mục chia sẻ trên NAS. Từ Windows 11 24H2 trở đi (gồm cả 25H2 và 26H2 hiện hành), bản Pro trở lên bắt buộc ký số gói tin SMB (SMB signing) và chặn đăng nhập khách (guest). Thư mục nào trên QNAP đang mở cho guest thì với các máy này coi như đã biến mất.

Bài này sửa từ phía QTS/QuTS hero và không hạ bảo mật Windows. Làm xong, bạn sẽ:

• Nhìn mã lỗi là biết hỏng chỗ nào: guest bị chặn, NAS không ký gói tin, NAS còn chạy SMB1, xung đột tài khoản, hay chỉ là sai tên, sai mạng.
• Chỉ sửa một lần trên NAS là mọi máy Windows 11 vào lại được. Khỏi phải mò Registry trên từng máy.
• Giữ nguyên lớp bảo vệ mà Microsoft cố tình bật sẵn. Theo Microsoft, guest logon dễ bị giả mạo máy chủ, dễ bị chặn giữa đường (MITM) và là đường lây ransomware.
• Phân quyền được cho từng người: ai được đọc, ai được ghi, kèm log để biết ai đã làm gì. Dùng guest thì không làm được mấy chuyện này.

Ba tình huống thường gặp

• Văn phòng 5 người, thư mục Public mở cho guest. Máy cũ vẫn vào bình thường. Laptop mới cài Windows 11 Pro 24H2/25H2 thì báo 0x80070035. Cách sửa: mỗi người một user, tắt quyền guest.
• Nhà có hai máy, một Home một Pro. Máy Home vào NAS ngon lành, máy Pro thì không, thế là cả nhà quay sang nghi máy Pro dính virus. Oan cho nó. Theo Microsoft, bản Home 24H2 không bắt buộc ký SMB, nên hai máy cư xử khác nhau là đúng thiết kế.
• Kế toán vừa đổi mật khẩu NAS. Credential Manager vẫn giữ mật khẩu cũ, rồi máy đó lại map thêm ổ bằng một user khác. Kết quả là lỗi 1219, hoặc đăng nhập sai liên tục tới mức QNAP chặn luôn IP của máy.

Phần lớn hướng dẫn tiếng Việt đang lên top khuyên bật AllowInsecureGuestAuth hoặc tắt "Digitally sign communications (always)" trên từng máy. Cách đó nhanh thật, nhưng là mở lại đúng cái lỗ Microsoft vừa bịt. Sửa phía QNAP chỉ tốn thêm chừng 5 phút mà bền hơn.

Vì sao hôm qua vào được, hôm nay thì không

Ký SMB nghĩa là mỗi gói tin mang theo một chữ ký được tính từ khoá phiên. Bên nhận kiểm chữ ký, gói nào bị sửa giữa đường là lộ ngay. Khoá phiên lại sinh ra từ mật khẩu lúc đăng nhập.

Guest không có mật khẩu nên cũng không có khoá phiên, và vì thế không ký được. Microsoft viết thẳng: "Requiring SMB signing also disables guest access to share s."

Windows 11 26H2 (phát hành 29/09/2026) và 25H2 đều là enablement package cài trên nền 24H2, dùng chung codebase, nên hành vi SMB y hệt 24H2. Đừng ngồi chờ bản cập nhật nào đó "nới" lại. Microsoft đang đi theo hướng siết thêm.

Vì sao ô Guest của bản Home ghi "Chưa rõ"? Microsoft chỉ nói Home 24H2 không bắt buộc ký, chứ không nói Home có chặn guest hay không. Đừng dựng cả văn phòng trên một điều Microsoft chưa cam kết. Bản Pro chặn guest từ Insider build 25267, còn Enterprise/Education thì từ Windows 10 1709.

Còn hai thay đổi nữa sẽ dùng tới lúc chỉnh QNAP: Windows 11 cài sạch không còn SMB1 (cả client lẫn server ), và Windows 11 24H2 đã gỡ hẳn NTLMv1.

Chẩn đoán: đọc mã lỗi trước khi sửa

Đừng sửa mò. Mở PowerShell trên máy bị lỗi và kiểm từ ngoài vào trong (thay 192.168.1.50 bằng IP NAS của bạn):

Test-NetConnection 192.168.1.50 -Port 445
Get-SmbClientConfiguration | fl RequireSecuritySignature,EnableInsecureGuestLogons

Nếu lệnh đầu báo TcpTestSucceeded : False thì chưa tới chuyện SMB. Có thể NAS đang tắt hoặc đã đổi IP, máy đang ở mạng khác hoặc đang dính VPN, hoặc dịch vụ Microsoft Networking trên NAS chưa bật. Lệnh thứ hai ra RequireSecuritySignature : True nghĩa là máy này bắt buộc ký, và guest hết đường vào.

Sau đó mở Event Viewer, vào Applications and Services Logs\Microsoft\Windows\SMBClient\Security. Event 31017 (RejectedInsecureGuestAuth) nghĩa là guest bị từ chối. Event 32000 nghĩa là NAS chỉ nói SMB1, trong khi máy này không còn SMB1. Nếu thấy 31018 hoặc 31022 thì đã có người bật AllowInsecureGuestAuth trên máy này.

Ghi chú thêm cho bảng:

• Guest bị chặn còn có thể hiện thành "You can't access this shared folder because your organization's security policies block unauthenticated guest access…", hoặc System error 3227320323 has occurred. khi dùng net use.
• NAS không ký thì báo STATUS_INVALID_SIGNATURE, "The cryptographic signature is invalid."
• NAS còn SMB1 thì báo "This share requires the obsolete SMB1 protocol…", Unspecified error 0x80004005, System Error 64, Error 58, hoặc "The specified network name is no longer available." Đừng bật lại SMB1 trên Windows (Microsoft: "strongly recommend that you don't reinstall SMBv1"). Hãy nâng phiên bản SMB trên NAS ở bước 4. Với NAS còn chạy QTS 4.3.3/4.3.4, FAQ của QNAP hướng dẫn thêm sẵn thông tin đăng nhập NAS vào Credential Manager.
• \\IP vào được mà \\TÊN-NAS thì không là lỗi phân giải tên (NetBIOS/LLMNR), không phải lỗi SMB. Đặt IP cố định cho NAS bằng DHCP reservation trên router rồi dùng IP đó. Quên IP thì mở Qfinder Pro là thấy.
• Mạng để Public chỉ tắt Network discovery, tức là NAS không hiện trong mục Network, còn gõ \\IP vẫn vào được. Ở nhà hay văn phòng thì nên chuyển sang Private (Settings > Network & internet > Wi-Fi/Ethernet > Network profile type), nhưng việc này không chữa được 0x80070035.

Sửa trên QNAP: 4 bước, toàn giao diện web

Không cần SSH. Tên menu ở đây lấy theo tài liệu QTS 5.2.x. QuTS hero có chỗ gọi nút này là "Advanced Settings" thay vì "Advanced Options", và QNAP chưa có trang tài liệu h6.0 cho mục này, nên nhãn trên máy bạn có thể khác vài chữ. Nếu bạn chuyển từ Synology sang thì chỗ tương đương trên DSM là Control Panel > File Services > SMB > Advanced Settings.

Bước 1: Cập nhật firmware trước khi chỉnh

Bản ổn định hiện tại:

• QTS: 5.2.10.3577 build 20260731 (phát hành 05/08/2026).
• QuTS hero: h6.0.2.3591 build 20260819 (24/08/2026), hoặc h5.2.10.3577 build 20260731 nếu máy bạn ở lại nhánh h5.2.

Cập nhật trong Control Panel > System > Firmware Update. Bước này phải làm trước vì từ QTS 5.1.0, QNAP thêm AES-128-GMAC cho SMB signing, nhờ đó ký nhanh hơn khi làm việc với Windows 11. Máy còn ở QTS 5.0 thì các lựa chọn signing mang tên khác (Optional / Required / Optional for SMBv2 and SMBv3).

QTS 6.1.0 và QuTS hero h6.1.0 hiện mới là Public Beta. Đừng đem NAS chứa dữ liệu thật đi thử beta chỉ để sửa một lỗi share. Và nhớ backup trước khi update, như mọi lần.

Bước 2: Tạo user riêng cho từng người

Vào Control Panel > Privilege > Users, bấm Create để tạo user mới. Có ba nguyên tắc:

• Mỗi người một user, không dùng chung. Có vậy mới phân quyền và xem log theo từng người được.
• Mật khẩu dài và mạnh. Khoá phiên SMB sinh ra từ mật khẩu, nên mật khẩu yếu thì chữ ký cũng chỉ chắc được tới đó.
• Không dùng admin để map ổ. Nếu máy dính ransomware trong lúc đang cầm quyền admin NAS, thiệt hại sẽ không dừng ở một thư mục.

Bước 3: Cấp quyền thư mục, khoá guest

Vào Control Panel > Privilege > Shared Folders, tab Shared Folder. Ở cột Action của thư mục cần sửa, bấm Edit Shared Folder Permission.

1. Ở phần "Users and groups permission", cấp quyền đọc/ghi hoặc chỉ đọc cho từng user, từng nhóm.
2. Tìm mục Guest Access Right. Theo FAQ của QNAP, mục này có ba mức: toàn quyền, chỉ đọc và từ chối. Chọn mức từ chối (nhãn chính xác tuỳ bản firmware).
3. Muốn chặt hơn thì dùng phần "Microsoft Networking host access" để giới hạn những IP được vào thư mục qua SMB.
4. Bấm Apply, rồi lặp lại với từng thư mục đang mở cho guest.

Đừng để lại guest "cho máy Home vẫn chạy". Thư mục đã mở cho guest thì bất kỳ ai cắm vào mạng cũng đọc được.

Bước 4: Chỉnh Microsoft Networking

Vào Control Panel > Network & File Services > Win/Mac/NFS/WebDAV > Microsoft Networking. Kiểm tra ô Enable file service for Microsoft networking đã được tick, và Authentication method đang để Standalone server (trừ khi NAS đã join AD hoặc LDAP). Sau đó mở Advanced Options:

• Chọn SMB 3 là đã gồm cả 3.1 và 3.1.1. Highest phải là SMB 3 thì NAS mới thoả thuận được AES-128-GMAC với Windows 11.
• "Sign if client agrees" là đủ cho Windows 11 24H2: máy nào đòi ký thì NAS ký, còn thiết bị cũ không ký vẫn vào được. "Enforce signing" thì bắt mọi máy phải ký (xem phần nâng cao). Lựa chọn thứ ba, "Sign according to selected SMB version", không có lý do cụ thể thì đừng đụng vào.
• "Restrict anonymous users from accessing SMB shared folders" có thể bị khoá ở "Enabled (strict)" nếu có thư mục bật ABSE (Access-based Share Enumeration). Đây là thiết kế của QNAP chứ không phải lỗi.

Bấm Apply trước khi đóng cửa sổ.

Phía Windows: dọn danh tính cũ rồi map lại

Windows nhớ rất dai. Phiên cũ, mật khẩu cũ, user cũ vẫn nằm đó, và nếu không dọn thì chúng sẽ làm hỏng lần map ổ mới.

Xoá kết nối và thông tin đăng nhập cũ (trong Command Prompt hoặc PowerShell):

net use * /delete /y
cmdkey /list
cmdkey /delete:192.168.1.50

Nếu cmdkey /list còn hiện mục theo tên NAS thì xoá luôn mục đó. Muốn làm bằng giao diện thì vào Control Panel > Credential Manager > Windows Credentials.
Map ổ bằng user mới. Trong File Explorer, chọn This PC > Map network drive, nhập \\192.168.1.50\Data, tick Connect using different credentials, rồi nhập user theo dạng TÊN-NAS\user. Hoặc dùng một lệnh:

net use Z: \\192.168.1.50\Data /user:NAS-VANPHONG\linh * /persistent:yes

Dấu * để Windows hỏi mật khẩu, nhờ vậy mật khẩu không nằm lại trong lịch sử lệnh. Tiền tố tên NAS báo cho Windows biết đây là tài khoản trên NAS, không phải tài khoản của máy tính.
Kiểm tra trong lúc đang mở share:

Get-SmbConnection | Select ServerName,ShareName,UserName,Dialect,Signed,Encrypted

Cần thấy Dialect là 3.1.1 và Signed là True. Ra đúng như vậy thì kết nối vừa dùng user thật vừa được ký.

Cạm bẫy làm bạn mất cả buổi chiều

Bật AllowInsecureGuestAuth mà vẫn không vào được

Trên 24H2 Pro, guest bị chặn bởi hai lớp: chính sách insecure guest logons và signing bắt buộc. Bật lớp thứ nhất rồi, guest vẫn không ký được nên vẫn trượt. Muốn guest chạy thì phải tắt luôn signing. Nghĩa là khoét hai lỗ chồng lên nhau chỉ để khỏi phải gõ mật khẩu.

Cảnh báo: đây là đường lùi cuối cùng, không phải cách sửa. Microsoft viết rõ "We recommend that you don't enable insecure guest logons" và "We don't recommend disabling SMB signing as a workaround for third-party servers". Chỉ cân nhắc cách này cho thiết bị không thể cập nhật, đặt trên mạng tách riêng, và ghi chú lại để sau còn nhớ mà gỡ.

Lỗi 1219 sau khi đổi user

Thông báo nguyên văn: "Multiple connections to a server or shared resource by the same user, using more than one user name, are not allowed." Lỗi này xảy ra vì Windows vẫn giữ một phiên cũ tới NAS (thường là IPC$), nên user mới bị coi là danh tính thứ hai.

Chạy net use * /delete /y, sign out hoặc khởi động lại máy, rồi map lại. Về lâu dài, mỗi NAS chỉ nên dùng một danh tính, đừng lúc gõ IP lúc gõ tên với hai user khác nhau. Mẹo "dùng IP cho user này, dùng tên cho user kia" vẫn chạy, vì Windows tưởng đó là hai máy chủ khác nhau. Nhưng đó chỉ là đường vòng: quên một chỗ là 1219 quay lại.

Mật khẩu cũ còn lưu, rồi bị NAS chặn IP

Sau khi đổi mật khẩu NAS, Windows vẫn tự gửi mật khẩu cũ lưu trong Credential Manager, và mỗi lần gửi là một lần đăng nhập sai. QNAP có IP Access Protection (Control Panel > System > Security), tự chặn IP sau nhiều lần đăng nhập sai. Mặc định tính năng này bật cho SSH, Telnet, HTTP(S). Còn SMB có trong danh sách hay không thì tuỳ bản firmware, bạn nên mở ra kiểm tra.

Xử lý theo thứ tự: xoá thông tin đăng nhập cũ trên PC trước, rồi mới gỡ chặn IP trên NAS. Làm ngược lại thì chỉ vài phút sau Windows lại tự đăng nhập sai và bị chặn tiếp.

User mới trên QuTS hero h6.0 bị từ chối SMB

Release note của QuTS hero h6.0.0.3500 có sửa lỗi user mới vẫn đăng nhập SMB được dù đã bật "Change password on first login". Vậy từ bản này trở đi, user bật tuỳ chọn đó nhiều khả năng phải đăng nhập web để đổi mật khẩu trước rồi mới vào SMB được. Nếu user mới cứ bị từ chối thì kiểm tra tuỳ chọn này đầu tiên.

Tuỳ chọn nâng cao

• Server signing = Enforce signing: hợp với văn phòng chỉ có Windows 10/11 và macOS. Nhà có TV, đầu phát phim hay thiết bị SMB đời cũ thì để "Sign if client agrees".
• Enable WS-Discovery: cho NAS hiện trong mục Network của File Explorer. Tuỳ chọn này chỉ để tiện, không ảnh hưởng tới việc truy cập bằng \\IP.
• Enable kernel-mode SMB daemon: tăng tốc đọc/ghi, nhưng tài liệu QNAP ghi rõ nó sẽ tắt SMB encryption cho các thư mục chia sẻ. Chỉ bật khi bạn chấp nhận đánh đổi này.
• Audit thiết bị không hỗ trợ ký: trên Windows 11 24H2 trở lên, chạy Set-SmbClientConfiguration -AuditServerDoesNotSupportSigning $true trong PowerShell quyền admin, rồi xem Event 31998/31999. Cách này giúp tìm ra thiết bị SMB chưa ký được trước khi siết tiếp.

Bật signing có làm chậm không?

nashub chưa có số đo riêng trên QNAP cho mục này nên sẽ không đưa ra con số đoán mò. Về lý thuyết, QTS 5.1.0 trở lên ký bằng AES-128-GMAC khi máy khách hỗ trợ (Windows 11, Windows Server 2022) và Highest SMB là SMB 3, nên bật signing chưa chắc đã phải đánh đổi nhiều tốc độ. Nếu có chậm thì NAS ARM giá rẻ sẽ chậm rõ hơn NAS x86.

Bạn có thể tự đo NAS của mình. Dùng một máy không bắt buộc ký (theo Microsoft là Windows 11 Home), đăng nhập bằng user NAS, rồi đo hai lượt: một lượt NAS để "Sign if client agrees", một lượt để "Enforce signing". Ở mỗi lượt, chạy Get-SmbConnection xem cột Signed để chắc mình đang đo đúng trạng thái, rồi tải về một tệp 10 GB:

robocopy \\192.168.1.50\Data C:\Test test-10GB.bin /J

Ghi lại tốc độ MB/s mà robocopy báo và mức CPU của NAS trong Resource Monitor trên QTS. Nếu chậm hơn mong đợi mà không phải do signing, bạn có thể xem bài truyền file NAS Synology chậm trên nashub.vn. Bài đó viết cho Synology nhưng nguyên lý mạng, ổ cứng và SMB thì giống hệt.

Bảo mật và những thứ cần theo dõi

• Không mở cổng 445 ra Internet, kể cả qua UPnP hay port forwarding. Cần vào NAS từ xa thì dùng VPN.
• Bật IP Access Protection và Account Access Protection trong Control Panel > System > Security để chống dò mật khẩu.
• Chỉ tải Qfinder Pro từ qnap.com (bản Windows hiện tại là 7.14.1.0727). QNAP đang cảnh báo có website giả mạo phát tán Qfinder Pro.
• NTLM đã bị Microsoft khai tử và dự kiến bị tắt theo mặc định khi xác thực qua mạng ở bản Windows lớn tiếp theo. QNAP ở chế độ Standalone đang dùng NTLMv2 và vẫn chạy bình thường với các bản Windows hiện tại. Lúc này chưa phải làm gì, chỉ cần theo dõi.

Guest từng là chiếc chìa khoá treo sẵn ngoài cửa cho tiện, và Windows 11 vừa tháo nó xuống. Đừng treo lại. Hãy cấp cho mỗi người một chìa riêng, mất 5 phút trên QNAP là xong, và lần cập nhật Windows sau bạn khỏi phải mở lại bài này.