Condivisione SMB del Mac via VPN: prima connetti, poi prova la scrittura

Se il Finder monta la condivisione attraverso la VPN e poi rifiuta di salvare un file, il tunnel sta già facendo il suo lavoro e il disaccordo riguarda identità e diritti sul file server. Se il montaggio non compare affatto, non è stato testato nulla oltre quel punto. Entrambi i casi finiscono in una finestra simile su macOS, ed è per questo che le persone ricostruiscono i profili VPN per un guasto che la VPN non può produrre. Comincio stabilendo esattamente dove si ferma la connessione, e solo dopo provo la scrittura con un file usa e getta invece che con il documento che sono venuto a modificare.

Tre condizioni decidono dove guardare

Servono tre risposte prima di toccare un’impostazione: il nome si risolve in un indirizzo privato che il tunnel instrada, il servizio SMB accetta l’account specifico che hai fornito, e quell’account ha diritti di scrittura su esattamente quella condivisione, cartella e operazione. Ognuna fallisce in un punto diverso, e solo la prima appartiene al responsabile della VPN.

La tabella merita il suo posto perché l’accesso al Mac, l’accesso alla VPN e l’account SMB sono tre identità separate. Cambiare la password della VPN non apre mai una condivisione che rifiuta l’utente registrato, e un client che dichiara la connessione non dice nulla sul server che stai puntando.

Connetti per indirizzo, non navigando

Una condivisione remota può essere perfettamente raggiungibile pur restando invisibile nell’elenco Rete del Finder. L’individuazione su una LAN d’ufficio si basa su nomi broadcast e multicast, e la maggior parte delle VPN non trasporta quel traffico nel tunnel, quindi una vista Rete vuota non è prova di un collegamento rotto.

1. Avvia la VPN prevista con il suo client abituale e completa l’autenticazione.

2. Nel Finder scegli Vai, poi Connetti al server, oppure premi Command-K.

3. Digita l’indirizzo fornito. In questo esempio è smb://files.corp.example/team, un nome illustrativo e non un servizio pubblico. Se hai solo il nome del server, connettiti a esso e scegli la condivisione autorizzata dall’elenco che restituisce.

4. Scegli Utente registrato e inserisci l’account del servizio file, non il tuo account Mac e non l’account VPN. Ospite è corretto solo quando lo dice il proprietario.

5. Apri la condivisione e fai l’unica attività per cui sei venuto. Un elenco di cartelle dimostra il montaggio e nient’altro.

La guida di Apple alla connessione al server documenta questo flusso del Finder e l’accesso al servizio che vi sta dietro. Salva l’indirizzo nei preferiti così la prossima connessione è ripetibile, e ricorda che rinominare la voce cambia l’etichetta, non la destinazione.

Leggi lo stadio in cui si ferma

Prima di cambiare qualcosa, annota quale stadio fallisce, con gli stessi nomi che hai digitato nel Finder. Inizia dalla risoluzione: dscacheutil -q host -a name files.corp.example stampa l’indirizzo che macOS userà, e netstat -rn mostra se quell’indirizzo ha una rotta attraverso l’interfaccia del tunnel o attraverso il tuo gateway di casa.

Poi la raggiungibilità. nc -vz files.corp.example 445 dice se la porta SMB risponde del tutto; se la risoluzione funziona e la 445 va in timeout, sei nel territorio di routing, firewall o indirizzi sovrapposti e nessuna modifica dei permessi di condivisione aiuterà. Se la porta risponde, chiedi al server cosa offre a quell’account: smbutil view //[email protected] elenca le condivisioni, e smbutil statshares -a riporta il dialetto negoziato e lo stato di firma della sessione montata, il che ti dice se il montaggio che stai provando è quello che pensi.

L’identità merita un controllo a parte, perché è il passaggio che le persone saltano. Un montaggio può vivere come ospite o come un vecchio account salvato mentre supponi di essere l’utente registrato, e allora ogni prova di scrittura misura l’account sbagliato.

L’accesso in scrittura ha più di una porta

Due livelli possono dire no lato server, e entrambi sembrano identici dal Mac. Una condivisione può essere esportata in sola lettura mentre la cartella sotto è scrivibile, e una condivisione scrivibile non può scavalcare un ACL del file system che nega il tuo account; anche una sottocartella può portare la propria policy. Sui server Windows il permesso di condivisione e i permessi NTFS sono separati, e il diritto effettivo è il più restrittivo dei due.

Quindi decidi cosa viene davvero rifiutato: creare un file, modificare uno esistente, creare una cartella, rinominare o eliminare. Non sono un solo permesso, e una cartella in cui l’elenco funziona può rifiutarli tutti. Un montaggio funzionante non è una concessione.

Se sospetti l’identità sbagliata, espelli la condivisione, elimina la voce obsoleta in Accesso Portachiavi e riconnettiti con l’account registrato. Il Finder riutilizzerà volentieri una sessione salvata e ti lascerà a misurare i permessi per un utente che il server non considera te.

Prova la scrittura senza toccare documenti reali

Con l’accordo del proprietario, crea un piccolo file con un nome nuovo nella cartella che fallisce: touch /Volumes/team/qa-write-test.txt quando la condivisione è montata lì, oppure semplicemente Salva con nome con un nome nuovo dall’applicazione. Non sovrascrivere mai un documento per provare l’accesso, e conserva il testo esatto dell’errore invece di parafrasarlo, perché la VPN non lo copierà.

Poi consegna al proprietario l’operazione che hai tentato invece di una lamentela generica. Può controllare la policy della condivisione, l’appartenenza dell’account ai gruppi e i diritti su quella singola cartella, e dirti quale livello ti ha negato. Se il messaggio parla di capacità, di un file bloccato o di un conflitto di nomi, è un altro problema e merita una sua indagine.

Verifica la correzione, poi espelli in ordine

Dopo che il proprietario ha cambiato qualcosa, ripeti la stessa piccola scrittura e conferma che il file è visibile al server e rimovibile dopo. Una copia che parte e poi si blocca è una questione di throughput, non di permessi; un rifiuto che arriva all’istante è una questione di permessi.

Prima di togliere la VPN, smonta la condivisione e chiudi i documenti aperti. Espellere dopo che il tunnel è sparito lascia il Finder e le tue applicazioni in attesa su un percorso morto. Tieni SMB dentro la rete privata, non disattivare il firewall per provare una teoria e non aprire una cartella a tutti come aggiramento. Per il ticket, includi l’indirizzo, il nome dell’account, l’operazione fallita, il testo esatto del messaggio e l’ora, lasciando fuori password e file di profilo.

• L’indirizzo si risolve in un indirizzo privato instradato dal tunnel.
• La porta 445 risponde e smbutil view elenca la condivisione prevista per l’account previsto.
• La scrittura che ti serviva è dimostrata con un file nuovo, non con un documento esistente.