SMB-Freigabe auf dem Mac über VPN: erst verbinden, dann Schreiben testen

Wenn der Finder die Freigabe über das VPN einbindet und dann das Speichern einer Datei verweigert, tut der Tunnel bereits seine Arbeit, und die Meinungsverschiedenheit betrifft Identität und Rechte auf dem Dateiserver. Erscheint die Einbindung gar nicht, wurde nichts über diesen Punkt hinaus getestet. Beide Fälle enden in einem ähnlich aussehenden Dialog unter macOS, weshalb Leute VPN-Profile wegen eines Fehlers neu bauen, den das VPN nicht erzeugen kann. Ich beginne damit, genau festzulegen, wo die Verbindung abbricht, und teste erst danach das Schreiben mit einer Wegwerfdatei statt mit dem Dokument, für das ich eigentlich gekommen bin.

Drei Bedingungen entscheiden, wo Sie nachsehen

Sie brauchen drei Antworten, bevor Sie eine Einstellung anfassen: Löst der Name zu einer privaten Adresse auf, die der Tunnel routet, akzeptiert der SMB-Dienst genau das angegebene Konto, und hat dieses Konto Schreibrechte auf genau dieser Freigabe, diesem Ordner und dieser Operation. Jede scheitert an einer anderen Stelle, und nur die erste gehört dem VPN-Verantwortlichen.

Die Tabelle verdient ihren Platz, weil Mac-Anmeldung, VPN-Anmeldung und SMB-Konto drei getrennte Identitäten sind. Das VPN-Passwort zu ändern öffnet nie eine Freigabe, die den registrierten Benutzer ablehnt, und ein Client, der Verbindung meldet, sagt nichts über den Server, den Sie anvisieren.

Verbinden Sie per Adresse, nicht per Durchsuchen

Eine entfernte Freigabe kann vollständig erreichbar sein und trotzdem in der Netzwerkliste des Finders unsichtbar bleiben. Die Erkennung in einem Büro-LAN stützt sich auf Broadcast- und Multicast-Namen, und die meisten VPNs übertragen diesen Verkehr nicht durch den Tunnel, sodass eine leere Netzwerkansicht kein Beweis für eine defekte Verbindung ist.

1. Starten Sie das vorgesehene VPN über seinen normalen Client und schließen Sie die Authentifizierung ab.

2. Wählen Sie im Finder Gehe zu, dann Mit Server verbinden, oder drücken Sie Command-K.

3. Geben Sie die bereitgestellte Adresse ein. In diesem Beispiel ist es smb://files.corp.example/team, ein beispielhafter Name und kein öffentlicher Dienst. Wenn Sie nur den Servernamen haben, verbinden Sie sich damit und wählen die autorisierte Freigabe aus der zurückgegebenen Liste.

4. Wählen Sie Registrierter Benutzer und geben Sie das Dateidienstkonto ein, nicht Ihr Mac-Konto und nicht das VPN-Konto. Gast ist nur richtig, wenn der Verantwortliche es sagt.

5. Öffnen Sie die Freigabe und erledigen Sie die eine Aufgabe, für die Sie gekommen sind. Eine Ordnerliste beweist die Einbindung und nichts weiter.

Apples Anleitung zur Serververbindung dokumentiert diesen Finder-Ablauf und die Dienstanmeldung dahinter. Speichern Sie die Adresse als Favorit, damit die nächste Verbindung wiederholbar ist, und bedenken Sie, dass das Umbenennen des Eintrags die Bezeichnung ändert, nicht das Ziel.

Lesen Sie die Stufe, an der es stoppt

Bevor Sie etwas ändern, notieren Sie, welche Stufe scheitert, mit denselben Namen, die Sie im Finder eingegeben haben. Beginnen Sie mit der Auflösung: dscacheutil -q host -a name files.corp.example gibt die Adresse aus, die macOS verwenden wird, und netstat -rn zeigt, ob diese Adresse eine Route über die Tunnelschnittstelle oder über Ihr Heim-Gateway hat.

Dann die Erreichbarkeit. nc -vz files.corp.example 445 sagt, ob der SMB-Port überhaupt antwortet; wenn die Auflösung funktioniert und 445 in einen Timeout läuft, sind Sie im Bereich Routing, Firewall oder überlappender Adressen, und keine Änderung der Freigaberechte hilft. Wenn der Port antwortet, fragen Sie den Server, was er diesem Konto anbietet: smbutil view //[email protected] listet Freigaben auf, und smbutil statshares -a meldet den ausgehandelten Dialekt und den Signaturzustand der eingebundenen Sitzung, was Ihnen sagt, ob die Einbindung, die Sie testen, die ist, die Sie meinen.

Identität verdient eine eigene Prüfung, weil sie der Schritt ist, den Leute überspringen. Eine Einbindung kann als Gast oder als älteres gespeichertes Konto leben, während Sie annehmen, der registrierte Benutzer zu sein, und dann misst jeder Schreibtest das falsche Konto.

Schreibzugriff hat mehr als ein Tor

Zwei Schichten können serverseitig nein sagen, und beide sehen vom Mac aus gleich aus. Eine Freigabe kann schreibgeschützt exportiert sein, während der Ordner darunter beschreibbar ist, und eine beschreibbare Freigabe kann keine Dateisystem-ACL übergehen, die Ihr Konto verweigert; ein Unterordner kann ebenfalls eine eigene Richtlinie tragen. Auf Windows-Servern sind die Freigabeberechtigung und die NTFS-Berechtigungen getrennt, und das wirksame Recht ist das restriktivere der beiden.

Entscheiden Sie also, was tatsächlich verweigert wird: eine Datei anlegen, eine vorhandene bearbeiten, einen Ordner erstellen, umbenennen oder löschen. Das ist keine einzelne Berechtigung, und ein Ordner, in dem das Auflisten funktioniert, kann alle davon verweigern. Eine funktionierende Einbindung ist keine Erlaubnis.

Wenn Sie die falsche Identität vermuten, werfen Sie die Freigabe aus, löschen Sie den veralteten Eintrag im Schlüsselbundzugriff und verbinden Sie sich erneut mit dem registrierten Konto. Der Finder nutzt gern eine gespeicherte Sitzung wieder und lässt Sie Berechtigungen für einen Benutzer messen, den der Server nicht als Sie ansieht.

Testen Sie das Schreiben, ohne echte Dokumente anzufassen

Legen Sie mit Zustimmung des Verantwortlichen eine kleine Datei unter neuem Namen in dem Ordner an, der scheitert: touch /Volumes/team/qa-write-test.txt wenn die Freigabe dort eingebunden ist, oder einfach Sichern unter mit neuem Namen aus der Anwendung. Überschreiben Sie nie ein Dokument, um den Zugriff zu testen, und bewahren Sie den genauen Fehlertext auf, statt ihn zu umschreiben, denn das VPN kopiert ihn nicht.

Geben Sie dem Verantwortlichen dann die versuchte Operation statt einer allgemeinen Beschwerde. Er kann die Freigaberichtlinie, die Gruppenmitgliedschaft des Kontos und die Rechte auf genau diesem Ordner prüfen und Ihnen sagen, welche Schicht Sie abgewiesen hat. Wenn die Meldung Kapazität, eine gesperrte Datei oder einen Namenskonflikt nennt, ist das ein anderes Problem und verdient eine eigene Untersuchung.

Prüfen Sie die Korrektur und werfen Sie dann der Reihe nach aus

Nachdem der Verantwortliche etwas geändert hat, wiederholen Sie denselben kleinen Schreibvorgang und bestätigen Sie, dass die Datei für den Server sichtbar und danach entfernbar ist. Eine Kopie, die startet und dann stockt, ist eine Durchsatzfrage, keine Berechtigungsfrage; eine Ablehnung, die sofort kommt, ist eine Berechtigungsfrage.

Bevor Sie das VPN trennen, hängen Sie die Freigabe aus und schließen Sie offene Dokumente. Auswerfen, nachdem der Tunnel weg ist, lässt Finder und Ihre Anwendungen auf einen toten Pfad warten. Halten Sie SMB im privaten Netz, deaktivieren Sie die Firewall nicht, um eine Theorie zu testen, und geben Sie einen Ordner nicht für alle frei, um das Problem zu umgehen. Nehmen Sie fürs Ticket Adresse, Kontoname, die fehlgeschlagene Operation, den genauen Meldungstext und die Uhrzeit auf, ohne Passwörter und Profildateien.

• Die Adresse löst zu einer privaten Adresse auf, die durch den Tunnel geroutet wird.
• Port 445 antwortet, und smbutil view listet die vorgesehene Freigabe für das vorgesehene Konto auf.
• Der Schreibvorgang, den Sie brauchten, wird mit einer neuen Datei belegt, nicht mit einem vorhandenen Dokument.