Абагульванне SMB на Mac праз VPN: спачатку падключыцеся, потым праверце запіс

Калі Finder мантуе рэсурс праз VPN і потым адмаўляецца захоўваць файл, тунель ужо робіць сваю справу, а разыходжанне тычыцца ідэнтычнасці і правоў на файлавым серверы. Калі мантыраванне ўвогуле не з’яўляецца, нічога пасля гэтага пункта не правяралася. Абодва выпадкі сканчаюцца падобным дыялогам у macOS, таму людзі перабудоўваюць профілі VPN з-за няспраўнасці, якую VPN не можа стварыць. Я пачынаю з таго, што дакладна вызначаю, дзе спыняецца злучэнне, і толькі потым правяраю запіс часовым файлам, а не дакументам, які прыйшоў рэдагаваць.

Тры ўмовы вызначаюць, дзе шукаць

Патрэбныя тры адказы, перш чым крануць наладу: ці развязаецца імя ў прыватны адрас, які маршрутызуе тунель, ці прымае служба SMB менавіта той уліковы запіс, які вы ўказалі, і ці мае гэты запіс правы запісу на менавіта гэтым рэсурсе, каталозе і аперацыі. Кожная ўмова парушаецца ў розным месцы, і толькі першая адносіцца да ўладальніка VPN.

Табліца апраўдвае сваё месца, бо ўваход у Mac, уваход у VPN і ўліковы запіс SMB — гэта тры асобныя ідэнтычнасці. Змена пароля VPN ніколі не адкрые рэсурс, які адхіляе зарэгістраванага карыстальніка, а кліент, што паведамляе пра злучэнне, нічога не кажа пра сервер, на які вы нацэлены.

Падключэнне па адрасе, а не праз агляд

Аддалены рэсурс можа быць цалкам дасяжным, застаючыся нябачным у спісе Сетка ў Finder. Пошук у офіснай LAN абапіраецца на шырокавяшчальныя і multicast-імены, і большасць VPN не пераносіць гэты трафік праз тунель, таму пусты выгляд Сеткі не ёсць доказам зламанага злучэння.

1. Запусціце патрэбны VPN праз ягоны звычайны кліент і завершыце аўтэнтыфікацыю.

2. У Finder выберыце Перайсці, затым Падключыцца да сервера, або націсніце Command-K.

3. Увядзіце прадастаўлены адрас. У гэтым прыкладзе гэта smb://files.corp.example/team, ілюстрацыйнае імя, а не публічная служба. Калі ў вас ёсць толькі імя сервера, падключыцеся да яго і выберыце дазволены рэсурс са спісу, які ён верне.

4. Выберыце Зарэгістраваны карыстальнік і ўвядзіце ўліковы запіс файлавай службы, а не запіс Mac і не запіс VPN. Госць слушны толькі тады, калі ўладальнік так кажа.

5. Адкрыйце рэсурс і выканайце адну задачу, дзеля якой прыйшлі. Спіс каталога даказвае мантыраванне і не больш.

Дапаможнік Apple па падключэнні да сервера апісвае гэты працэс у Finder і ўваход у службу за ім. Захавайце адрас у абранае, каб наступнае злучэнне было паўторным, і памятайце, што перайменаванне запісу змяняе этыкетку, а не мэту.

Прачытайце этап, на якім яно спыняецца

Перш чым нешта змяніць, запішыце, які этап парушаецца, тымі ж імёнамі, што вы ўвялі ў Finder. Пачніце з пошуку: dscacheutil -q host -a name files.corp.example друкуе адрас, які выкарыстае macOS, а netstat -rn паказвае, ці мае гэты адрас маршрут праз інтэрфейс тунеля або праз вашу хатнюю браму.

Затым дасяжнасць. nc -vz files.corp.example 445 кажа, ці адказвае порт SMB наогул; калі пошук працуе, а 445 сканчаецца тайм-аўтам, вы ў тэрыторыі маршрутызацыі, брандмаўэра або перакрыжавання адрасоў, і ніякая змена правоў рэсурсу не дапаможа. Калі порт адказвае, спытайце ў сервера, што ён прапануе гэтаму запісу: smbutil view //[email protected] пералічвае рэсурсы, а smbutil statshares -a паведамляе ўзгоднены дыялект і стан подпісу прымантаванай сесіі, што кажа вам, ці тое мантыраванне вы тэстуеце, пра якое думаеце.

Ідэнтычнасць вартая асобнай праверкі, бо гэта крок, які людзі прапускаюць. Мантыраванне можа жыць як госць або як стары захаваны запіс, пакуль вы мяркуеце, што вы зарэгістраваны карыстальнік, і тады кожны тэст запісу вымярае не той запіс.

Доступ да запісу мае не адныя вароты

Два пласты могуць сказаць не на баку сервера, і абодва выглядаюць аднолькава з Mac. Рэсурс можа быць экспартаваны толькі для чытання, пакуль каталог пад ім даступны для запісу, а рэсурс з запісам не можа пераадолець ACL файлавай сістэмы, які адхіляе ваш запіс; падкаталог таксама можа мець уласную палітыку. На серверах Windows дазвол рэсурсу і дазволы NTFS асобныя, а эфектыўнае права — больш абмежавальнае з двух.

Таму вызначце, што менавіта адмаўляецца: стварэнне файла, права за існуючага, стварэнне каталога, перайменаванне або выдаленне. Гэта не адзін дазвол, і каталог, дзе працуе пералік, можа адхіліць усе іх. Працоўнае мантыраванне не ёсць дазволам.

Калі падазраяце няправільную ідэнтычнасць, адключыце рэсурс, выдаліце састарэлы запіс у Доступе да звязкі ключоў і падключыцеся зноў з зарэгістраваным запісам. Finder ахвотна паўторна выкарыстае захаваную сесію і пакіне вас вымяраць правы для карыстальніка, якім сервер вас не лічыць.

Праверце запіс, не чапаючы сапраўдных дакументаў

З згоды ўладальніка стварыце адзін невялікі файл пад новым імем у каталозе, які парушаецца: touch /Volumes/team/qa-write-test.txt калі рэсурс прымантаваны там, або проста Захаваць як пад новым імем з праграмы. Ніколі не перазапісвайце дакумент, каб праверыць доступ, і трымайце дакладны тэкст памылкі, а не пераказвайце яго, бо VPN не скапіруе.

Потым перадайце ўладальніку аперацыю, якую вы паспрабавалі, а не агульную скаргу. Яны могуць праверыць палітыку рэсурсу, групавую прыналежнасць запісу і правы на гэтым адным каталозе і сказаць, які пласт вам адмовіў. Калі паведамленне згадвае ёмістасць, заблакаваны файл або канфлікт імёнаў, гэта іншая праблема і вартая ўласнага расследавання.

Праверце выпраўленне, затым адключыце па парадку

Пасля таго як уладальнік нешта змяніў, паўтарыце той жа невялікі запіс і пацвердзіце, што файл бачны серверу і пасля выдаляльны. Капіраванне, якое пачалося і затым затармазіла, — пытанне прапускной здольнасці, а не правоў; адмова, якая прыходзіць імгненна, — пытанне правоў.

Перш чым адключыць VPN, адмантуйце рэсурс і зачыніце адкрытыя дакументы. Адключэнне пасля знікнення тунеля пакідае Finder і вашыя праграмы чакаць мёртвага шляху. Трымайце SMB унутры прыватнай сеткі, не адключайце брандмаўэр, каб праверыць тэорыю, і не адкрывайце каталог для ўсіх як абыход. Для заяўкі ўключыце адрас, імя запісу, няўдалую аперацыю, дакладнае паведамленне і час, пакідаючы паролі і файлы профіляў па-за межамі.

• Адрас развязаецца ў прыватны адрас, маршрутызаваны праз тунель.
• Порт 445 адказвае, і smbutil view пералічвае патрэбны рэсурс для патрэбнага запісу.
• Патрэбны вам запіс даказаны новым файлам, а не існуючым дакументам.