要在服务器上成功打开139端口,核心操作在于启用NetBIOS over TCP/IP协议并在系统防火墙中配置相应的入站规则，139端口主要用于Windows文件和打印机共享服务（SMB），它允许局域网内的计算机通过NetBIOS名称进行相互访问，由于该端口涉及底层网络协议且存在历史安全漏洞，操作时必须严格区分内网与公网环境，建议仅在受信任的内网环境中开启，并配合严格的IP地址限制策略，以确保服务器在满足业务需求的同时维持高安全性。
深入理解139端口与NetBIOS协议
139端口是NetBIOS Session Service的标准端口，在Windows网络环境中，NetBIOS（Network Basic Input/Output System）作为一种应用程序接口，允许局域网上的计算机应用程序进行通信，尽管现代Windows系统更多使用445端口（SMB over TCP）进行文件共享，但在许多旧版应用、特定的遗留系统以及混合网络环境中，139端口依然扮演着至关重要的角色。
当服务器开启139端口时,它实际上是在监听基于TCP的NetBIOS会话请求，客户端通过该端口发起连接，用于访问共享文件夹、打印机以及其他基于SMB协议的资源，理解这一层协议关系是正确配置端口的基础，单纯修改防火墙而忽略协议层面的启用，往往会导致端口无法正常工作。
操作前的安全评估与风险提示
在进行任何配置之前,必须明确安全风险。139端口是网络攻击的高频目标，历史上著名的震荡波、冲击波等蠕虫病毒，以及各类勒索软件，都曾利用NetBIOS协议的漏洞进行传播，如果将139端口直接暴露在公网互联网上，服务器极易遭受暴力破解、信息泄露（如计算机名、工作组名）以及远程代码执行攻击。
强烈建议仅在以下场景开启139端口：服务器位于物理隔离的内网环境，或者通过VPN/专线连接的受控网络，如果必须在公网环境使用，必须配合防火墙的高级安全策略，仅允许特定的白名单IP地址访问139和445端口，切勿对全网开放。
Windows Server系统开启139端口的详细步骤
在Windows Server（如2012、2016、2019、2022版本）中，开启139端口需要分两个层面进行：一是网络适配器层面的协议启用，二是防火墙层面的放行。
启用NetBIOS over TCP/IP协议
默认情况下,Windows系统可能为了安全而禁用了NetBIOS监听，首先需要确认并启用该功能。
- 打开控制面板，进入网络和共享中心，点击左侧的更改适配器设置。
- 右键点击当前正在使用的网卡（通常是“以太网”），选择属性。
- 在“此连接使用下列项目”列表中，找到Internet 协议版本 4 (TCP/IPv4)，选中它并点击属性。
- 在IPv4属性窗口底部,点击高级按钮。
- 切换到WINS选项卡，在底部的“NetBIOS设置”区域，默认通常是“默认”或“禁用”，此处必须选择启用 NetBIOS over TCP/IP。
- 点击“确定”保存所有设置，这一步是让操作系统开始在139端口上监听请求的关键。
配置Windows防火墙入站规则
启用了协议后,系统防火墙通常会默认拦截外部对139端口的连接，因此需要添加放行规则。
- 打开服务器管理器，点击左侧的工具，选择高级安全 Windows Defender 防火墙。
- 在左侧点击入站规则，然后在右侧操作栏点击新建规则。
- 规则类型选择端口，点击下一步。
- 协议选择TCP，特定本地端口输入139，点击下一步。
- 操作选择允许连接，点击下一步。
- 配置文件选择适用的网络类型（通常建议至少勾选域和专用，如果必须公网访问才勾选公用，但极度不推荐），点击下一步。
- 输入规则名称,Allow TCP 139 for File Sharing”，点击完成。
确保相关服务运行
打开“运行”对话框，输入services.msc，检查以下服务是否处于“正在运行”状态：
- Server服务（负责文件共享）。
- TCP/IP NetBIOS Helper服务（负责NetBIOS名称解析）。
如果这些服务未运行，请右键点击并选择“启动”。
Linux服务器（Samba环境）配置方法
对于Linux服务器,139端口通常由Samba服务提供，Samba默认使用445端口，但可以通过配置文件启用139端口以支持旧版客户端。
- 编辑Samba配置文件,通常位于
/etc/samba/smb.conf。 - 在
[global]部分，添加或修改以下参数：smb ports = 139 445
- 保存并退出编辑器。
- 重启Samba服务以应用更改：
systemctl restart smb nmb
- 配置系统防火墙（以firewalld为例）：
firewall-cmd --permanent --add-port=139/tcp firewall-cmd --reload
端口开启后的验证与测试
配置完成后,必须进行验证以确保端口真正可用且安全。
- 本地端口监听检测：在服务器上打开命令提示符（CMD）或PowerShell，输入命令
netstat -an | find "139"，如果看到TCP 0.0.0.0:139 0.0.0.0:0 LISTENING，说明服务器已成功在139端口上处于监听状态。 - 远程连通性测试：在局域网内的客户端电脑上，使用Telnet工具或PowerShell进行测试，输入
Test-NetConnection -ComputerName <服务器IP> -Port 139，如果TcpTestSucceeded显示为True，说明防火墙放行成功，端口可达。 - 功能验证：尝试通过UNC路径访问服务器，如
\\<服务器IP>或\\<NetBIOS名称>，看是否能正常弹出共享文件夹列表。
安全加固与最佳实践建议
仅仅打开端口是不够的,专业的运维还需要进行安全加固。
- 禁用空会话：通过修改注册表，限制匿名用户通过空会话枚举系统账户列表，路径为
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa，将restrictanonymous的值设置为1或2。 - IPSec加密：对于极高安全要求的环境，可以使用IPSec策略对139端口的通信进行加密，防止数据在传输过程中被嗅探。
- 定期审计：定期检查防火墙日志，监控139端口的连接来源，及时发现异常的IP连接行为。
相关问答
Q1：139端口和445端口有什么区别，我应该优先使用哪个？
A： 两者都用于文件共享，但协议层级不同，445端口是SMB over TCP，是现代Windows系统的首选，效率更高且功能更全；139端口是NetBIOS over TCP，主要用于旧版Windows（如Windows 98/NT）或需要NetBIOS名称解析的遗留环境，如果客户端都是现代系统（Windows 2000及以上），建议优先使用445端口并关闭139端口以减少攻击面，只有在必须支持旧设备时才开启139端口。
Q2：我已经开启了防火墙规则，为什么客户端还是无法连接服务器的139端口？
A： 这是一个常见问题，通常是因为忽略了网卡层面的设置，请检查网卡属性中的IPv4高级设置，确认在WINS选项卡下勾选了“启用 NetBIOS over TCP/IP”，还需检查“TCP/IP NetBIOS Helper”服务是否已启动，以及中间是否有三层网络设备（如路由器或防火墙）过滤了139端口的流量。
