Как сделать доступным всем WINS/Browsing, но на шары пускать только определенные IP?

Скорее всего дело не в том, что Globals выше чем локальная шара, а в этом:

hosts deny (S)
The opposite of hosts allow - hosts listed here are NOT permitted
access to services unless the specific services have their own
lists to override this one. Where the lists conflict, the allow
list takes precedence.

То есть указание хоста в обоих списках приводит к тому, что хост будет разрешен

Поэтому можно сделать по-другому - в локальной шаре написать:

hosts allow = 192.168.3. EXCEPT 192.168.3.15

man smb.conf