Udostępnianie SMB na Macu przez VPN: najpierw połącz, potem sprawdź zapis

Jeśli Finder montuje udział przez VPN, a potem odmawia zapisania pliku, tunel już robi swoje, a spór dotyczy tożsamości i uprawnień na serwerze plików. Jeśli montowanie w ogóle się nie pojawia, nic poza tym punktem nie zostało sprawdzone. Oba przypadki kończą się podobnym oknem w macOS, dlatego ludzie odbudowują profile VPN z powodu usterki, której VPN nie może wywołać. Zaczynam od dokładnego ustalenia, gdzie zatrzymuje się połączenie, i dopiero potem testuję zapis plikiem jednorazowym, a nie dokumentem, po który przyszedłem.

Trzy warunki decydują, gdzie patrzeć

Potrzebujesz trzech odpowiedzi, zanim dotkniesz ustawienia: czy nazwa rozwiązuje się na prywatny adres, który trasuje tunel, czy usługa SMB akceptuje dokładnie to konto, które podałeś, i czy to konto ma prawa zapisu na dokładnie tym udziale, folderze i działaniu. Każdy warunek zawodzi w innym miejscu, a tylko pierwszy należy do administratora VPN.

Tabela zasługuje na swoje miejsce, bo logowanie do Maca, logowanie do VPN i konto SMB to trzy odrębne tożsamości. Zmiana hasła VPN nigdy nie otworzy udziału, który odrzuca zarejestrowanego użytkownika, a klient zgłaszający połączenie nie mówi nic o serwerze, w który celujesz.

Połącz się po adresie, nie przez przeglądanie

Zdalny udział może być w pełni osiągalny i jednocześnie niewidoczny na liście Sieć w Finderze. Odkrywanie w biurowej sieci LAN opiera się na nazwach rozgłoszeniowych i multicast, a większość VPN-ów nie przenosi tego ruchu przez tunel, więc pusty widok Sieci nie jest dowodem zerwanego połączenia.

1. Uruchom docelowy VPN jego zwykłym klientem i dokończ uwierzytelnianie.

2. W Finderze wybierz Przejdź, potem Połącz z serwerem, albo naciśnij Command-K.

3. Wpisz podany adres. W tym przykładzie to smb://files.corp.example/team, nazwa ilustracyjna, a nie usługa publiczna. Jeśli masz tylko nazwę serwera, połącz się z nim i wybierz dozwolony udział z listy, którą zwróci.

4. Wybierz Zarejestrowany użytkownik i wpisz konto usługi plików, nie swoje konto Maca i nie konto VPN. Gość jest poprawny tylko wtedy, gdy właściciel tak mówi.

5. Otwórz udział i wykonaj jedno zadanie, po które przyszedłeś. Lista folderów dowodzi zamontowania i niczego więcej.

Przewodnik Apple dotyczący łączenia z serwerem opisuje ten przepływ Findera i logowanie do usługi w tle. Zapisz adres w ulubionych, aby następne połączenie było powtarzalne, i pamiętaj, że zmiana nazwy wpisu zmienia etykietę, a nie cel.

Przeczytaj etap, na którym się zatrzymuje

Zanim cokolwiek zmienisz, zanotuj, który etap zawodzi, tymi samymi nazwami, które wpisałeś w Finderze. Zacznij od rozwiązania nazwy: dscacheutil -q host -a name files.corp.example wypisuje adres, którego użyje macOS, a netstat -rn pokazuje, czy ten adres ma trasę przez interfejs tunelu, czy przez twoją domową bramę.

Potem osiągalność. nc -vz files.corp.example 445 mówi, czy port SMB w ogóle odpowiada; jeśli rozwiązanie działa, a 445 kończy się przekroczeniem czasu, jesteś w obszarze routingu, zapory lub nakładających się adresów i żadna zmiana uprawnień udziału nie pomoże. Jeśli port odpowiada, zapytaj serwer, co oferuje temu kontu: smbutil view //[email protected] wylicza udziały, a smbutil statshares -a podaje wynegocjowany dialekt i stan podpisywania zamontowanej sesji, co mówi ci, czy testowane zamontowanie jest tym, które masz na myśli.

Tożsamość zasługuje na osobną kontrolę, bo to krok, który ludzie pomijają. Zamontowanie może żyć jako gość albo jako stare zapisane konto, podczas gdy zakładasz, że jesteś zarejestrowanym użytkownikiem, i wtedy każdy test zapisu mierzy niewłaściwe konto.

Dostęp do zapisu ma więcej niż jedną bramę

Dwie warstwy mogą odmówić po stronie serwera i obie wyglądają z Maca tak samo. Udział może być wyeksportowany tylko do odczytu, podczas gdy folder pod nim jest zapisywalny, a zapisywalny udział nie obejdzie ACL systemu plików, który odmawia twojemu kontu; podfolder też może mieć własną politykę. Na serwerach Windows uprawnienie udziału i uprawnienia NTFS są rozdzielne, a skutecznym prawem jest to bardziej restrykcyjne z dwóch.

Zdecyduj więc, co jest naprawdę odmawiane: tworzenie pliku, edycja istniejącego, tworzenie folderu, zmiana nazwy lub usuwanie. To nie jedno uprawnienie, a folder, w którym listowanie działa, może odmówić wszystkich. Działające zamontowanie nie jest zgodą.

Jeśli podejrzewasz niewłaściwą tożsamość, wyrzuć udział, usuń nieaktualny wpis w dostępie do pęku kluczy i połącz się ponownie zarejestrowanym kontem. Finder chętnie użyje ponownie zapisanej sesji i zostawi cię z mierzeniem uprawnień dla użytkownika, którego serwer nie uważa za ciebie.

Testuj zapis, nie dotykając prawdziwych dokumentów

Za zgodą właściciela utwórz jeden mały plik pod nową nazwą w folderze, który zawodzi: touch /Volumes/team/qa-write-test.txt gdy udział jest tam zamontowany, albo po prostu Zapisz jako z nową nazwą w aplikacji. Nigdy nie nadpisuj dokumentu, aby sprawdzić dostęp, i zachowaj dokładny tekst błędu zamiast go parafrazować, bo VPN go nie skopiuje.

Potem przekaż właścicielowi operację, którą próbowałeś, a nie ogólną skargę. Może sprawdzić politykę udziału, przynależność konta do grup i prawa na tym jednym folderze, i powiedzieć ci, która warstwa odmówiła. Jeśli komunikat wspomina pojemność, zablokowany plik lub konflikt nazw, to inny problem i zasługuje na własne śledztwo.

Zweryfikuj poprawkę, a potem wyrzuć w kolejności

Gdy właściciel coś zmieni, powtórz ten sam mały zapis i potwierdź, że plik jest widoczny dla serwera i później usuwalny. Kopiowanie, które zaczyna się i potem zastyga, to kwestia przepustowości, nie uprawnień; odmowa, która przychodzi natychmiast, to kwestia uprawnień.

Zanim odłączysz VPN, odmontuj udział i zamknij otwarte dokumenty. Wyrzucenie po zniknięciu tunelu zostawia Findera i aplikacje czekające na martwej ścieżce. Trzymaj SMB w sieci prywatnej, nie wyłączaj zapory, aby sprawdzić teorię, i nie otwieraj folderu dla wszystkich jako obejścia. Do zgłoszenia wpisz adres, nazwę konta, nieudaną operację, dokładny tekst komunikatu i czas, bez haseł i plików profilu.

• Adres rozwiązuje się na prywatny adres trasowany przez tunel.
• Port 445 odpowiada i smbutil view wylicza docelowy udział dla docelowego konta.
• Potrzebny zapis jest dowodem nowym plikiem, a nie istniejącym dokumentem.