Partilha SMB no Mac através de VPN: primeiro ligue, depois teste a escrita

Se o Finder monta a partilha através da VPN e depois recusa guardar um ficheiro, o túnel já está a fazer o seu trabalho e a discordância é sobre identidade e direitos no servidor de ficheiros. Se a montagem nunca aparecer, nada para lá desse ponto foi testado. Ambos os casos terminam numa caixa de diálogo semelhante no macOS, e é por isso que as pessoas reconstroem perfis de VPN por uma falha que a VPN não pode produzir. Começo por determinar exatamente onde a ligação para, e só depois testo a escrita com um ficheiro descartável em vez do documento que vim editar.

Três condições decidem onde olhar

Precisa de três respostas antes de tocar numa definição: o nome resolve para um endereço privado que o túnel encaminha, o serviço SMB aceita a conta específica que indicou, e essa conta tem direitos de escrita exatamente nessa partilha, pasta e operação. Cada uma falha num sítio diferente, e só a primeira pertence ao responsável da VPN.

A tabela justifica o seu lugar porque o início de sessão do Mac, o da VPN e a conta SMB são três identidades separadas. Alterar a palavra-passe da VPN nunca abre uma partilha que rejeita o utilizador registado, e um cliente que relata ligação não diz nada sobre o servidor que está a visar.

Ligue por endereço, não por navegação

Uma partilha remota pode estar perfeitamente acessível e continuar invisível na lista Rede do Finder. A descoberta numa LAN de escritório assenta em nomes de broadcast e multicast, e a maioria das VPN não transporta esse tráfego pelo túnel, por isso uma vista Rede vazia não é prova de uma ligação quebrada.

1. Inicie a VPN pretendida com o cliente habitual e conclua a autenticação.

2. No Finder escolha Ir, depois Ligar ao servidor, ou prima Command-K.

3. Escreva o endereço fornecido. Neste exemplo é smb://files.corp.example/team, um nome ilustrativo e não um serviço público. Se tiver apenas o nome do servidor, ligue-se a ele e escolha a partilha autorizada na lista que devolve.

4. Escolha Utilizador registado e introduza a conta do serviço de ficheiros, não a sua conta Mac e não a conta VPN. Convidado só está correto quando o proprietário o diz.

5. Abra a partilha e faça a única tarefa para a qual veio. Uma listagem de pasta prova a montagem e nada mais.

O guia da Apple de ligação ao servidor documenta este fluxo do Finder e o início de sessão do serviço por trás. Guarde o endereço nos favoritos para que a próxima ligação seja repetível, e lembre-se de que renomear a entrada muda a etiqueta, não o destino.

Leia a etapa onde para

Antes de mudar nada, registe que etapa falha, com os mesmos nomes que escreveu no Finder. Comece pela resolução: dscacheutil -q host -a name files.corp.example imprime o endereço que o macOS vai usar, e netstat -rn mostra se esse endereço tem rota pela interface do túnel ou pelo seu router de casa.

Depois a acessibilidade. nc -vz files.corp.example 445 diz se a porta SMB responde sequer; se a resolução funciona e a 445 expira, está no território de encaminhamento, firewall ou endereços sobrepostos e nenhuma alteração de permissões da partilha ajudará. Se a porta responde, pergunte ao servidor o que oferece a essa conta: smbutil view //[email protected] lista as partilhas, e smbutil statshares -a relata o dialeto negociado e o estado de assinatura da sessão montada, o que lhe diz se a montagem que está a testar é a que pensa.

A identidade merece uma verificação própria, porque é o passo que as pessoas saltam. Uma montagem pode estar viva como convidado ou como uma conta guardada antiga enquanto assume ser o utilizador registado, e então cada teste de escrita mede a conta errada.

O acesso de escrita tem mais do que uma porta

Duas camadas podem dizer não do lado do servidor, e ambas parecem iguais a partir do Mac. Uma partilha pode estar exportada só de leitura enquanto a pasta por baixo é escrevível, e uma partilha escrevível não pode sobrepor-se a uma ACL do sistema de ficheiros que nega a sua conta; uma subpasta também pode ter a sua própria política. Em servidores Windows a permissão da partilha e as permissões NTFS são separadas, e o direito efetivo é o mais restritivo dos dois.

Por isso decida o que é realmente recusado: criar um ficheiro, editar um existente, criar uma pasta, renomear ou apagar. Não é uma só permissão, e uma pasta onde a listagem funciona pode recusá-las todas. Uma montagem a funcionar não é uma autorização.

Se suspeitar da identidade errada, expulse a partilha, apague a entrada antiga no Acesso às Chaves e ligue-se de novo com a conta registada. O Finder reutiliza de bom grado uma sessão guardada e deixa-o a medir permissões para um utilizador que o servidor não considera você.

Teste a escrita sem tocar em documentos reais

Com o acordo do proprietário, crie um ficheiro pequeno com um nome novo na pasta que falha: touch /Volumes/team/qa-write-test.txt quando a partilha está montada aí, ou simplesmente Guardar como com um nome novo a partir da aplicação. Nunca substitua um documento para testar o acesso, e guarde o texto exato do erro em vez de o parafrasear, porque a VPN não o copiará.

Depois entregue ao proprietário a operação que tentou em vez de uma queixa genérica. Podem verificar a política da partilha, a pertença da conta a grupos e os direitos nessa única pasta, e dizer-lhe que camada o recusou. Se a mensagem falar de capacidade, de um ficheiro bloqueado ou de um conflito de nomes, é outro problema e merece a sua própria investigação.

Verifique a correção e depois expulse por ordem

Depois de o proprietário mudar algo, repita a mesma escrita pequena e confirme que o ficheiro está visível para o servidor e é removível depois. Uma cópia que começa e depois encrava é uma questão de débito, não de permissões; uma recusa que chega de imediato é uma questão de permissões.

Antes de desligar a VPN, desmonte a partilha e feche os documentos abertos. Expulsar depois de o túnel desaparecer deixa o Finder e as suas aplicações à espera de um caminho morto. Mantenha o SMB dentro da rede privada, não desative a firewall para testar uma teoria e não abra uma pasta a todos como solução alternativa. Para o ticket, inclua o endereço, o nome da conta, a operação falhada, o texto exato da mensagem e a hora, deixando de fora palavras-passe e ficheiros de perfil.

• O endereço resolve para um endereço privado encaminhado pelo túnel.
• A porta 445 responde e smbutil view lista a partilha prevista para a conta prevista.
• A escrita de que precisava fica provada com um ficheiro novo, não com um documento existente.