Recurso SMB del Mac por VPN: primero conecta, luego prueba la escritura

Si el Finder monta el recurso por la VPN y luego se niega a guardar un archivo, el túnel ya hace su trabajo y el desacuerdo es sobre identidad y derechos en el servidor de archivos. Si el montaje no aparece nunca, no se ha probado nada más allá de ese punto. Ambos casos acaban en un diálogo parecido en macOS, por eso la gente reconstruye perfiles de VPN por una avería que la VPN no puede producir. Empiezo fijando exactamente dónde se detiene la conexión y solo después pruebo la escritura con un archivo desechable en lugar del documento que vine a editar.

Tres condiciones deciden dónde mirar

Necesitas tres respuestas antes de tocar un ajuste: si el nombre resuelve a una dirección privada que el túnel enruta, si el servicio SMB acepta la cuenta concreta que indicaste y si esa cuenta tiene derechos de escritura en ese recurso, carpeta y operación exactos. Cada una falla en un lugar distinto y solo la primera pertenece al responsable de la VPN.

La tabla se gana su sitio porque el inicio de sesión del Mac, el de la VPN y la cuenta SMB son tres identidades separadas. Cambiar la contraseña de la VPN nunca abre un recurso que rechaza al usuario registrado, y un cliente que informa de conexión no dice nada del servidor al que apuntas.

Conecta por dirección, no navegando

Un recurso remoto puede ser perfectamente accesible y a la vez invisible en la lista Red del Finder. El descubrimiento en una LAN de oficina se apoya en nombres de broadcast y multicast, y la mayoría de las VPN no transportan ese tráfico por el túnel, así que una vista Red vacía no es prueba de un enlace roto.

1. Levanta la VPN prevista con su cliente habitual y completa su autenticación.

2. En el Finder elige Ir, luego Conectar al servidor, o pulsa Command-K.

3. Escribe la dirección facilitada. En este ejemplo es smb://files.corp.example/team, un nombre ilustrativo y no un servicio público. Si solo tienes el nombre del servidor, conéctate a él y elige el recurso autorizado de la lista que devuelve.

4. Elige Usuario registrado e introduce la cuenta del servicio de archivos, no tu cuenta del Mac ni la de la VPN. Invitado solo es correcto cuando el propietario lo dice.

5. Abre el recurso y haz la única tarea para la que viniste. Un listado de carpeta demuestra el montaje y nada más.

La guía de Apple de conexión al servidor documenta este flujo del Finder y el inicio de sesión del servicio que hay detrás. Guarda la dirección como favorita para que la próxima conexión sea repetible y recuerda que renombrar la entrada cambia la etiqueta, no el destino.

Lee la etapa donde se detiene

Antes de cambiar nada, anota qué etapa falla, con los mismos nombres que escribiste en el Finder. Empieza por la resolución: dscacheutil -q host -a name files.corp.example imprime la dirección que usará macOS y netstat -rn muestra si esa dirección tiene ruta por la interfaz del túnel o por tu puerta de enlace doméstica.

Luego la accesibilidad. nc -vz files.corp.example 445 dice si el puerto SMB responde siquiera; si la resolución funciona y el 445 vence, estás en territorio de enrutamiento, cortafuegos o direcciones solapadas y ningún cambio de permisos del recurso ayudará. Si el puerto responde, pregunta al servidor qué ofrece a esa cuenta: smbutil view //[email protected] lista los recursos y smbutil statshares -a informa del dialecto negociado y del estado de firma de la sesión montada, lo que te dice si el montaje que pruebas es el que crees.

La identidad merece su propia comprobación porque es el paso que la gente se salta. Un montaje puede vivir como invitado o como una cuenta guardada antigua mientras supones que eres el usuario registrado, y entonces cada prueba de escritura mide la cuenta equivocada.

El acceso de escritura tiene más de una puerta

Dos capas pueden decir que no en el lado del servidor y ambas se ven idénticas desde el Mac. Un recurso puede estar exportado solo de lectura mientras la carpeta de debajo es escribible, y un recurso escribible no puede saltarse una ACL del sistema de archivos que deniega tu cuenta; una subcarpeta también puede llevar su propia política. En servidores Windows el permiso del recurso y los permisos NTFS son separados, y el derecho efectivo es el más restrictivo de los dos.

Así que decide qué se rechaza en realidad: crear un archivo, editar uno existente, crear una carpeta, renombrar o borrar. No son un solo permiso, y una carpeta donde funciona el listado puede rechazarlos todos. Un montaje que funciona no es una concesión.

Si sospechas la identidad equivocada, expulsa el recurso, borra la entrada antigua en Acceso a Llaveros y conéctate de nuevo con la cuenta registrada. El Finder reutilizará encantado una sesión guardada y te dejará midiendo permisos para un usuario que el servidor no considera tú.

Prueba la escritura sin tocar documentos reales

Con el acuerdo del propietario, crea un archivo pequeño con un nombre nuevo en la carpeta que falla: touch /Volumes/team/qa-write-test.txt cuando el recurso está montado allí, o simplemente Guardar como con un nombre nuevo desde la aplicación. Nunca sobrescribas un documento para probar el acceso y quédate con el texto exacto del error en lugar de parafrasearlo, porque la VPN no lo copiará.

Después entrega al propietario la operación que intentaste y no una queja genérica. Pueden comprobar la política del recurso, la pertenencia de la cuenta a grupos y los derechos en esa carpeta concreta, y decirte qué capa te denegó. Si el mensaje menciona capacidad, un archivo bloqueado o un conflicto de nombres, es otro problema y merece su propia investigación.

Verifica la corrección y luego expulsa en orden

Después de que el propietario cambie algo, repite la misma escritura pequeña y confirma que el archivo es visible para el servidor y eliminable después. Una copia que empieza y se atasca es una cuestión de rendimiento, no de permisos; una denegación que llega al instante es una cuestión de permisos.

Antes de soltar la VPN, desmonta el recurso y cierra los documentos abiertos. Expulsar después de que el túnel haya desaparecido deja al Finder y a tus aplicaciones esperando una ruta muerta. Mantén SMB dentro de la red privada, no desactives el cortafuegos para probar una teoría y no abras una carpeta a todo el mundo como solución alternativa. Para el ticket, incluye la dirección, el nombre de la cuenta, la operación fallida, el mensaje exacto y la hora, dejando fuera contraseñas y archivos de perfil.

• La dirección resuelve a una dirección privada enrutada por el túnel.
• El puerto 445 responde y smbutil view lista el recurso previsto para la cuenta prevista.
• La escritura que necesitabas se demuestra con un archivo nuevo, no con un documento existente.