Mac SMB-deel oor VPN: verbind eers, toets dan skryf

As Finder die deel oor die VPN monteer en dan weier om ’n lêer te stoor, doen die tonnel reeds sy werk en die meningsverskil gaan oor identiteit en regte op die lêerbediener. As die montering glad nie verskyn nie, is niks verder as daardie punt getoets nie. Albei gevalle eindig in ’n soortgelyke dialoog op macOS, en daarom herbou mense VPN-profiele vir ’n fout wat die VPN nie kan veroorsaak nie. Ek begin deur presies vas te stel waar die verbinding stop, en toets eers daarna skryf met ’n wegdoenlike lêer eerder as die dokument waarvoor ek eintlik gekom het.

Drie voorwaardes bepaal waar om te kyk

Jy het drie antwoorde nodig voordat jy aan ’n instelling raak: los die naam op na ’n privaat adres wat die tonnel routeer, aanvaar die SMB-diens die spesifieke rekening wat jy verskaf het, en het daardie rekening skryfregte op daardie presiese deel, gids en bewerking. Elkeen misluk op ’n ander plek, en net die eerste hoort by die VPN-eienaar.

Die tabel verdien sy plek omdat ’n Mac-aanmelding, ’n VPN-aanmelding en ’n SMB-rekening drie aparte identiteite is. Om die VPN-wagwoord te verander maak nooit ’n deel oop wat die geregistreerde gebruiker verwerp nie, en ’n kliënt wat verbind rapporteer sê niks oor die bediener waarop jy mik nie.

Verbind per adres, nie per blaai nie

’n Afgeleë deel kan heeltemal bereikbaar wees terwyl dit onsigbaar in Finder se Netwerk-lys bly. Ontdekking op ’n kantoor-LAN leun op uitsaai- en multicast-name, en die meeste VPN’s dra daardie verkeer nie deur die tonnel nie, so ’n leë Netwerk-aansig is nie bewys van ’n stukkende skakel nie.

1. Bring die beoogde VPN deur sy normale kliënt op en voltooi die verifikasie.

2. Kies in Finder Gaan, dan Verbind met bediener, of druk Command-K.

3. Tik die verskafde adres in. Vir hierdie voorbeeld is dit smb://files.corp.example/team, ’n illustratiewe naam eerder as ’n openbare diens. As jy net die bedienernaam het, verbind daarmee en kies die gemagtigde deel uit die lys wat dit terugstuur.

4. Kies Geregistreerde gebruiker en voer die lêerdiens-rekening in, nie jou Mac-rekening en nie die VPN-rekening nie. Gas is net reg wanneer die eienaar sê dit is.

5. Maak die deel oop en doen die een taak waarvoor jy gekom het. ’n Gidslys bewys die montering, niks meer nie.

Apple se gids vir bedienerverbinding dokumenteer hierdie Finder-werkvloei en die diensaanmelding daaronder. Stoor die adres as ’n gunsteling sodat die volgende verbinding herhaalbaar is, en onthou dat die hernoeming van die inskrywing die etiket verander, nie die teiken nie.

Lees die stadium waar dit stop

Voordat jy iets verander, teken aan watter stadium misluk, met dieselfde name wat jy in Finder getik het. Begin met opsoek: dscacheutil -q host -a name files.corp.example druk die adres wat macOS gaan gebruik, en netstat -rn wys of daardie adres ’n roete deur die tonnelkoppelvlak of deur jou tuispoort het.

Dan bereikbaarheid. nc -vz files.corp.example 445 sê of die SMB-poort hoegenaamd antwoord; as opsoek werk en 445 verstryk, is jy in roetering, vuurmuur of oorvleuelende adresruimte en geen verandering aan deelregte sal help nie. As die poort antwoord, vra die bediener wat dit aan daardie rekening bied: smbutil view //[email protected] lys dele, en smbutil statshares -a rapporteer die gemonteerde sessie se onderhandelde dialek en ondertekeningstatus, wat jou sê of die montering wat jy toets die een is wat jy dink dit is.

Identiteit verdien sy eie kontrole, want dit is die stap wat mense oorslaan. ’n Montering kan as gas of as ’n ouer gestoorde rekening leef terwyl jy aanneem jy is die geregistreerde gebruiker, en elke skryftoets meet dan die verkeerde rekening.

Skryftoegang het meer as een hek

Twee lae kan aan die bedienerkant nee sê, en albei lyk identies van die Mac af. ’n Deel kan net-lees uitgevoer word terwyl die gids daaronder skryfbaar is, en ’n skryfbare deel kan nie ’n lêerstelsel-ACL ignoreer wat jou rekening weier nie; ’n subgids kan ook sy eie beleid hê. Op Windows-bediener is die deelreg en die NTFS-regte apart, en die effektiewe reg is die strenger van die twee.

Bepaal dus wat werklik geweier word: ’n lêer skep, ’n bestaande een wysig, ’n gids maak, hernoem of verwyder. Dit is nie een reg nie, en ’n gids waar lysting werk kan almal weier. ’n Werkende montering is nie ’n toestemming nie.

As jy die verkeerde identiteit vermoed, werp die deel uit, verwyder die verouderde inskrywing in Sleutelhanger-toegang, en verbind weer met die geregistreerde rekening. Finder sal graag ’n gestoorde sessie hergebruik en jou regte laat meet vir ’n gebruiker wat die bediener nie as jou beskou nie.

Toets skryf sonder om regte dokumente te raak

Skep met die eienaar se instemming een klein lêer onder ’n nuwe naam in die gids wat misluk: touch /Volumes/team/qa-write-test.txt wanneer die deel daar gemonteer is, of gebruik bloot Stoor as met ’n nuwe naam uit die program. Moet nooit ’n dokument oorskryf om toegang te toets nie, en hou die presiese foutteks eerder as om dit te parafraseer, want die VPN sal dit nie kopieer nie.

Gee dan vir die eienaar die bewerking wat jy probeer het eerder as ’n algemene klagte. Hulle kan die deelbeleid, die rekening se groeplidmaatskap en die regte op daardie een gids nagaan en jou sê watter laag jou geweier het. As die boodskap kapasiteit, ’n geslote lêer of ’n naamkonflik noem, is dit ’n ander probleem en verdien dit sy eie ondersoek.

Verifieer die oplossing en werp dan in volgorde uit

Nadat die eienaar iets verander het, herhaal dieselfde klein skrywe en bevestig die lêer is vir die bediener sigbaar en daarna verwyderbaar. ’n Kopie wat begin en dan vasval is ’n deurvloeivraag, nie ’n regtevraag nie; ’n weiering wat onmiddellik kom is ’n regtevraag.

Voordat jy die VPN laat val, ontsluit die deel en maak oop dokumente toe. Om uit te werp nadat die tonnel weg is, laat Finder en jou programme op ’n dooie pad wag. Hou SMB binne die privaat netwerk, moenie die vuurmuur afskakel om ’n teorie te toets nie, en moenie ’n gids vir almal oopmaak as ’n werkomweg nie. Vir die kaartjie, sluit die adres, die rekeningnaam, die mislukte bewerking, die presiese boodskap en die tyd in, met wagwoorde en profiellêers weggelaat.

• Die adres los op na ’n privaat adres wat deur die tonnel gerouteer word.
• Poort 445 antwoord en smbutil view lys die beoogde deel vir die beoogde rekening.
• Die skrywe wat jy nodig gehad het, word met ’n nuwe lêer bewys, nie met ’n bestaande dokument nie.