SMB-deling på Mac over VPN: forbind først, test derefter skrivning

Hvis Finder monterer delingen over VPN og derefter nægter at gemme en fil, gør tunnelen allerede sit arbejde, og uenigheden handler om identitet og rettigheder på filserveren. Hvis monteringen slet ikke vises, er intet ud over dette punkt blevet testet. Begge tilfælde ender i en lignende dialog på macOS, og derfor genopbygger folk VPN-profiler for en fejl, VPN ikke kan frembringe. Jeg begynder med at fastslå præcis, hvor forbindelsen stopper, og tester først derefter skrivning med en fil, der kan smides væk, i stedet for det dokument, jeg kom for at redigere.

Tre betingelser afgør, hvor du skal kigge

Du skal have tre svar, før du rører en indstilling: opløses navnet til en privat adresse, som tunnelen ruter, accepterer SMB-tjenesten den konkrete konto, du angav, og har den konto skriverettigheder på netop den deling, mappe og handling. Hver af dem fejler et forskelligt sted, og kun den første hører til VPN-ejeren.

Tabellen fortjener sin plads, fordi et Mac-login, et VPN-login og en SMB-konto er tre adskilte identiteter. At ændre VPN-adgangskoden åbner aldrig en deling, der afviser den registrerede bruger, og en klient, der melder forbindelse, siger intet om den server, du sigter efter.

Forbind via adresse, ikke ved at browse

En fjern deling kan være fuldt tilgængelig, mens den forbliver usynlig i Finders Netværksliste. Opdagelse på et kontor-LAN hviler på broadcast- og multicast-navne, og de fleste VPN’er fører ikke den trafik gennem tunnelen, så en tom Netværksvisning er ikke bevis på et brudt link.

1. Start den tilsigtede VPN via dens normale klient, og fuldfør godkendelsen.

2. Vælg Gå i Finder, derefter Forbind til server, eller tryk Command-K.

3. Skriv den angivne adresse. I dette eksempel er det smb://files.corp.example/team, et illustrativt navn og ikke en offentlig tjeneste. Hvis du kun har servernavnet, skal du forbinde til det og vælge den autoriserede deling på den liste, det returnerer.

4. Vælg Registreret bruger, og indtast filservicekontoen, ikke din Mac-konto og ikke VPN-kontoen. Gæst er kun rigtigt, når ejeren siger det.

5. Åbn delingen, og udfør den ene opgave, du kom for. En mappeliste beviser monteringen og intet mere.

Apples vejledning til serverforbindelse dokumenterer dette Finder-flow og tjenesteloginet bag det. Gem adressen som en favorit, så den næste forbindelse kan gentages, og husk, at omdøbning af posten ændrer etiketten, ikke målet.

Læs det trin, hvor det stopper

Før du ændrer noget, skal du notere, hvilket trin der fejler, med de samme navne, du skrev i Finder. Begynd med opslag: dscacheutil -q host -a name files.corp.example udskriver den adresse, macOS vil bruge, og netstat -rn viser, om den adresse har en rute gennem tunnelgrænsefladen eller gennem din hjemmegateway.

Så tilgængelighed. nc -vz files.corp.example 445 siger, om SMB-porten overhovedet svarer; hvis opslag virker, og 445 timer ud, er du i routing-, firewall- eller adresseoverlapningsterritorium, og ingen ændring af delingstilladelser hjælper. Hvis porten svarer, så spørg serveren, hvad den tilbyder den konto: smbutil view //[email protected] viser delinger, og smbutil statshares -a rapporterer den monterede sessions forhandlede dialekt og signeringstilstand, hvilket fortæller dig, om den montering, du tester, er den, du tror.

Identitet fortjener sit eget tjek, fordi det er det trin, folk springer over. En montering kan leve som gæst eller som en ældre gemt konto, mens du antager, at du er den registrerede bruger, og så måler hver skrivetest den forkerte konto.

Skriveadgang har mere end én låge

To lag kan sige nej på serversiden, og begge ser identiske ud fra Mac’en. En deling kan være eksporteret skrivebeskyttet, mens mappen under den er skrivbar, og en skrivbar deling kan ikke tilsidesætte en filsystem-ACL, der afviser din konto; en undermappe kan også have sin egen politik. På Windows-servere er delingstilladelsen og NTFS-tilladelserne adskilte, og den effektive ret er den mest restriktive af de to.

Så afgør, hvad der faktisk afvises: at oprette en fil, redigere en eksisterende, lave en mappe, omdøbe eller slette. Det er ikke én tilladelse, og en mappe, hvor visning virker, kan afvise dem alle. En fungerende montering er ikke en bevilling.

Hvis du mistænker den forkerte identitet, skal du skubbe delingen ud, slette den forældede post i Nøglehulsadgang og forbinde igen med den registrerede konto. Finder genbruger gerne en gemt session og lader dig måle tilladelser for en bruger, som serveren ikke betragter som dig.

Test skrivning uden at røre rigtige dokumenter

Med ejerens samtykke skal du oprette én lille fil under et nyt navn i den mappe, der fejler: touch /Volumes/team/qa-write-test.txt når delingen er monteret der, eller bare Gem som med et nyt navn fra programmet. Overskriv aldrig et dokument for at teste adgang, og behold den præcise fejltekst i stedet for at parafrasere den, fordi VPN’en ikke kopierer den.

Giv derefter ejeren den handling, du forsøgte, i stedet for en generel klage. De kan kontrollere delingens politik, kontoens gruppemedlemskab og rettighederne på netop den mappe og fortælle dig, hvilket lag der afviste dig. Hvis meddelelsen nævner kapacitet, en låst fil eller en navnekonflikt, er det et andet problem, der fortjener sin egen undersøgelse.

Bekræft rettelsen, og skub derefter ud i rækkefølge

Når ejeren har ændret noget, skal du gentage den samme lille skrivning og bekræfte, at filen er synlig for serveren og kan fjernes bagefter. En kopiering, der starter og derefter går i stå, er et gennemstrømningsspørgsmål, ikke et tilladelsesspørgsmål; en afvisning, der kommer øjeblikkeligt, er et tilladelsesspørgsmål.

Før du dropper VPN’en, skal du afmontere delingen og lukke åbne dokumenter. Hvis du skubber ud, efter tunnelen er væk, lader du Finder og dine programmer vente på en død sti. Hold SMB inde i det private netværk, slå ikke firewallen fra for at teste en teori, og åbn ikke en mappe for alle som en omvej. Til billetten skal du inkludere adressen, kontonavnet, den mislykkede handling, den præcise meddelelse og tidspunktet, mens adgangskoder og profilfiler udelades.

• Adressen opløses til en privat adresse, der rutes gennem tunnelen.
• Port 445 svarer, og smbutil view viser den tilsigtede deling for den tilsigtede konto.
• Den skrivning, du havde brug for, bevises med en ny fil, ikke med et eksisterende dokument.