Общий ресурс SMB на Mac через VPN: сначала подключитесь, затем проверьте запись

Если Finder монтирует общий ресурс через VPN и затем отказывается сохранять файл, туннель уже делает свою работу, а спор идёт об идентичности и правах на файловом сервере. Если монтирование вообще не появляется, ничего за этой точкой не проверено. Оба случая заканчиваются похожим диалогом в macOS, поэтому люди пересобирают профили VPN из-за неисправности, которую VPN не может создать. Я начинаю с точного определения, где обрывается соединение, и только потом проверяю запись одноразовым файлом вместо документа, который пришёл редактировать.

Три условия решают, где смотреть

Нужны три ответа, прежде чем трогать настройку: разрешается ли имя в частный адрес, который маршрутизирует туннель, принимает ли служба SMB именно ту учётную запись, которую вы указали, и есть ли у этой записи права записи именно на этот ресурс, папку и операцию. Каждое условие нарушается в разных местах, и только первое относится к владельцу VPN.

Таблица заслуживает своего места, потому что вход в Mac, вход в VPN и учётная запись SMB — три отдельные идентичности. Смена пароля VPN никогда не открывает ресурс, который отклоняет зарегистрированного пользователя, а клиент, сообщающий о соединении, ничего не говорит о сервере, на который вы нацелены.

Подключайтесь по адресу, а не через просмотр

Удалённый ресурс может быть полностью доступен и при этом оставаться невидимым в списке сети в Finder. Обнаружение в офисной локальной сети опирается на широковещательные и multicast-имена, а большинство VPN не переносят этот трафик через туннель, поэтому пустой вид сети не доказывает, что соединение нарушено.

1. Запустите нужный VPN через его обычный клиент и завершите аутентификацию.

2. В Finder выберите «Переход», затем «Подключиться к серверу» или нажмите Command-K.

3. Введите предоставленный адрес. В этом примере это smb://files.corp.example/team, иллюстративное имя, а не публичная служба. Если у вас есть только имя сервера, подключитесь к нему и выберите разрешённый ресурс из списка, который он вернёт.

4. Выберите «Зарегистрированный пользователь» и введите учётную запись файловой службы, а не свою учётную запись Mac и не учётную запись VPN. Случайный гость уместен только тогда, когда владелец это разрешил.

5. Откройте ресурс и выполните одну задачу, ради которой пришли. Список каталога доказывает монтирование и ничего больше.

Руководство Apple по подключению к серверу описывает этот сценарий в Finder и вход в службу за ним. Сохраните адрес в избранное, чтобы следующее подключение было повторяемым, и помните, что переименование записи меняет метку, а не цель.

Прочитайте этап, на котором всё останавливается

Прежде чем что-то менять, запишите, какой этап сбоит, теми же именами, которые вы ввели в Finder. Начните с разрешения имени: dscacheutil -q host -a name files.corp.example печатает адрес, который использует macOS, а netstat -rn показывает, есть ли у этого адреса маршрут через интерфейс туннеля или через ваш домашний шлюз.

Затем доступность. nc -vz files.corp.example 445 сообщает, отвечает ли порт SMB вообще; если разрешение имени работает, а 445 уходит в тайм-аут, вы в области маршрутизации, брандмауэра или перекрывающихся адресов, и никакая правка прав общего ресурса не поможет. Если порт отвечает, спросите сервер, что он предлагает этой учётной записи: smbutil view //[email protected] перечисляет ресурсы, а smbutil statshares -a сообщает согласованный диалект и состояние подписи смонтированного сеанса, что подскажет, то ли это монтирование, о котором вы думаете.

Идентичность заслуживает отдельной проверки, потому что именно этот шаг люди пропускают. Монтирование может жить как гость или как старая сохранённая учётная запись, пока вы считаете себя зарегистрированным пользователем, и тогда каждая проверка записи измеряет не ту учётную запись.

У доступа на запись больше одних ворот

Два слоя могут сказать нет на стороне сервера, и оба выглядят с Mac одинаково. Ресурс может быть экспортирован только для чтения, хотя папка под ним доступна для записи, а доступный для записи ресурс не обойдёт ACL файловой системы, который отклоняет вашу учётную запись; у вложенной папки тоже может быть своя политика. На серверах Windows разрешение общего ресурса и разрешения NTFS раздельны, а действующим правом является более строгое из двух.

Поэтому определите, что именно отклоняется: создание файла, правка существующего, создание папки, переименование или удаление. Это не одно разрешение, и папка, где работает просмотр, может отклонить их все. Работающее монтирование ещё не разрешение.

Если подозреваете не ту идентичность, извлеките ресурс, удалите устаревшую запись в связке ключей и подключитесь снова с зарегистрированной учётной записью. Finder охотно переиспользует сохранённый сеанс и оставит вас измерять права для пользователя, которым сервер вас не считает.

Проверьте запись, не трогая настоящие документы

С согласия владельца создайте один небольшой файл под новым именем в папке, которая сбоит: touch /Volumes/team/qa-write-test.txt когда ресурс там смонтирован, или просто «Сохранить как» с новым именем из приложения. Никогда не перезаписывайте документ, чтобы проверить доступ, и сохраняйте точный текст ошибки вместо пересказа, потому что VPN его не скопирует.

Затем передайте владельцу операцию, которую вы пытались выполнить, а не общую жалобу. Он может проверить политику ресурса, членство учётной записи в группах и права на этой одной папке и сказать, какой слой вам отказал. Если в сообщении упоминаются ёмкость, заблокированный файл или конфликт имён, это другая проблема, и она заслуживает отдельного разбора.

Проверьте исправление, затем извлеките по порядку

После того как владелец что-то изменит, повторите ту же небольшую запись и подтвердите, что файл виден серверу и затем удаляется. Копирование, которое начинается и затем застревает, — вопрос пропускной способности, а не прав; отказ, который приходит мгновенно, — вопрос прав.

Прежде чем отключать VPN, размонтируйте ресурс и закройте открытые документы. Извлечение после исчезновения туннеля оставляет Finder и ваши приложения ждать мёртвого пути. Держите SMB внутри частной сети, не отключайте брандмауэр ради проверки теории и не открывайте папку всем как обходной путь. Для заявки укажите адрес, имя учётной записи, неудачную операцию, точный текст сообщения и время, а пароли и файлы профиля оставьте за пределами.

• Адрес разрешается в частный адрес, маршрутизируемый через туннель.
• Порт 445 отвечает, и smbutil view перечисляет нужный ресурс для нужной учётной записи.
• Нужная вам запись доказывается новым файлом, а не существующим документом.