Recurs SMB del Mac per VPN: primer connecta, després prova l’escriptura

Si el Finder munta el recurs a través de la VPN i després es nega a desar un fitxer, el túnel ja fa la seva feina i la desavinença és sobre identitat i drets al servidor de fitxers. Si el muntatge no apareix mai, no s’ha provat res més enllà d’aquell punt. Els dos casos acaben en un diàleg semblant al macOS, i per això la gent reconstrueix perfils de VPN per una avaria que la VPN no pot produir. Començo fixant exactament on s’atura la connexió i només després provo l’escriptura amb un fitxer d’un sol ús en lloc del document que he vingut a editar.

Tres condicions decideixen on cal mirar

Calen tres respostes abans de tocar cap paràmetre: si el nom es resol a una adreça privada que el túnel encamina, si el servei SMB accepta el compte concret que heu proporcionat i si aquest compte té drets d’escriptura en aquest recurs, carpeta i operació exactes. Cadascuna falla en un lloc diferent i només la primera pertany al propietari de la VPN.

La taula guanya el seu lloc perquè l’inici de sessió del Mac, el de la VPN i el compte SMB són tres identitats separades. Canviar la contrasenya de la VPN no obre mai un recurs que rebutja l’usuari registrat, i un client que informa que està connectat no diu res del servidor al qual apunteu.

Connecteu per adreça, no navegant

Un recurs remot pot ser perfectament abastable i alhora invisible a la llista Xarxa del Finder. El descobriment en una LAN d’oficina es basa en noms de broadcast i multicast, i la majoria de VPN no transporten aquest trànsit pel túnel, així que una vista Xarxa buida no és prova d’un enllaç trencat.

1. Engegueu la VPN prevista amb el seu client habitual i completeu-ne l’autenticació.

2. Al Finder trieu Vés, després Connecta al servidor, o premeu Command-K.

3. Escriviu l’adreça facilitada. En aquest exemple és smb://files.corp.example/team, un nom il·lustratiu i no un servei públic. Si només teniu el nom del servidor, connecteu-hi i trieu el recurs autoritzat de la llista que retorna.

4. Trieu Usuari registrat i introduïu el compte del servei de fitxers, no el compte del Mac ni el de la VPN. Convidat només és correcte quan el propietari diu que ho és.

5. Obriu el recurs i feu l’única tasca per la qual heu vingut. Un llistat de carpeta demostra el muntatge i res més.

La guia d’Apple de connexió al servidor documenta aquest flux del Finder i l’inici de sessió del servei que hi ha al darrere. Deseu l’adreça com a preferida perquè la propera connexió sigui repetible i recordeu que canviar el nom de l’entrada canvia l’etiqueta, no l’objectiu.

Llegiu l’etapa on s’atura

Abans de canviar res, anoteu quina etapa falla, amb els mateixos noms que heu escrit al Finder. Comenceu per la resolució: dscacheutil -q host -a name files.corp.example imprimeix l’adreça que farà servir el macOS i netstat -rn mostra si aquesta adreça té ruta per la interfície del túnel o pel vostre encaminador de casa.

Després, l’abastabilitat. nc -vz files.corp.example 445 diu si el port SMB respon; si la resolució funciona i el 445 venç, sou en territori d’encaminament, tallafoc o adreces solapades i cap canvi de permisos del recurs no ajudarà. Si el port respon, pregunteu al servidor què ofereix a aquest compte: smbutil view //[email protected] llista els recursos i smbutil statshares -a informa del dialecte negociat i de l’estat de signatura de la sessió muntada, cosa que us diu si el muntatge que proveu és el que penseu.

La identitat mereix una comprovació pròpia perquè és el pas que la gent salta. Un muntatge pot viure com a convidat o com un compte desat antic mentre vosaltres suposeu que sou l’usuari registrat, i llavors cada prova d’escriptura mesura el compte equivocat.

L’accés d’escriptura té més d’una porta

Dues capes poden dir que no al costat del servidor i totes dues semblen idèntiques des del Mac. Un recurs pot estar exportat només de lectura mentre la carpeta de sota és escrivible, i un recurs escrivible no pot superar una ACL del sistema de fitxers que denega el vostre compte; una subcarpeta també pot portar la seva pròpia política. Als servidors Windows el permís del recurs i els permisos NTFS són separats, i el dret efectiu és el més restrictiu dels dos.

Per tant decidiu què es rebutja exactament: crear un fitxer, editar-ne un d’existent, fer una carpeta, reanomenar o suprimir. No són un sol permís, i una carpeta on funciona el llistat pot rebutjar-los tots. Un muntatge que funciona no és una concessió.

Si sospiteu la identitat equivocada, expulseu el recurs, suprimiu l’entrada antiga a Accés a clauers i connecteu de nou amb el compte registrat. El Finder reutilitzarà de bon grat una sessió desada i us deixarà mesurant permisos per a un usuari que el servidor no us considera.

Proveu l’escriptura sense tocar documents reals

Amb l’acord del propietari, creeu un fitxer petit amb un nom nou a la carpeta que falla: touch /Volumes/team/qa-write-test.txt quan el recurs hi és muntat, o simplement Desa com a amb un nom nou des de l’aplicació. No sobrescriviu mai un document per provar l’accés i quedeu-vos amb el text exacte de l’error en lloc de parafrasejar-lo, perquè la VPN no el copiarà.

Després passeu al propietari l’operació que heu intentat i no una queixa general. Poden comprovar la política del recurs, la pertinença del compte a grups i els drets en aquella carpeta concreta, i dir-vos quina capa us ha denegat. Si el missatge parla de capacitat, d’un fitxer bloquejat o d’un conflicte de noms, és un altre problema i mereix la seva pròpia investigació.

Verifiqueu la correcció i després expulseu per ordre

Després que el propietari canviï alguna cosa, repetiu la mateixa escriptura petita i confirmeu que el fitxer és visible per al servidor i eliminable després. Una còpia que comença i s’atura és una qüestió de rendiment, no de permisos; una denegació instantània és una qüestió de permisos.

Abans de desconnectar la VPN, desmunteu el recurs i tanqueu els documents oberts. Expulsar després que el túnel hagi desaparegut deixa el Finder i les vostres aplicacions esperant un camí mort. Mantingueu SMB dins de la xarxa privada, no desactiveu el tallafoc per provar una teoria i no obriu una carpeta a tothom com a solució alternativa. Per al tiquet, incloeu l’adreça, el nom del compte, l’operació fallida, el missatge exacte i l’hora, deixant fora contrasenyes i fitxers de perfil.

• L’adreça es resol a una adreça privada encaminada pel túnel.
• El port 445 respon i smbutil view llista el recurs previst per al compte previst.
• L’escriptura que necessitàveu es demostra amb un fitxer nou, no amb un document existent.