Zdieľanie SMB na Macu cez VPN: najprv sa pripojte, potom testujte zápis

Ak Finder pripojí zdieľanie cez VPN a potom odmietne uložiť súbor, tunel už robí svoju prácu a nesúlad sa týka identity a práv na súborovom serveri. Ak sa pripojenie vôbec neobjaví, nič za týmto bodom nebolo testované. Oba prípady končia podobným dialógom v macOS, a preto ľudia prestavujú profily VPN pre poruchu, ktorú VPN nemôže spôsobiť. Začínam tým, že presne určím, kde sa spojenie zastaví, a až potom testujem zápis jednorazovým súborom namiesto dokumentu, ktorý som prišiel upraviť.

Tri podmienky rozhodujú, kam sa pozerať

Pred dotykom nastavenia potrebujete tri odpovede: či sa názov prekladá na privátnu adresu, ktorú tunel smeruje, či služba SMB prijíma presne ten účet, ktorý ste zadali, a či má tento účet právo zápisu presne na toto zdieľanie, priečinok a operáciu. Každá zlyháva na inom mieste a len prvá patrí správcovi VPN.

Tabuľka si zaslúži svoje miesto, pretože prihlásenie do Macu, prihlásenie do VPN a účet SMB sú tri oddelené identity. Zmena hesla VPN nikdy neotvorí zdieľanie, ktoré odmieta registrovaného používateľa, a klient, ktorý hlási pripojenie, nič nehovorí o serveri, na ktorý mierite.

Pripojte sa podľa adresy, nie prehliadaním

Vzdialené zdieľanie môže byť úplne dostupné a pritom zostať neviditeľné v zozname Sieť vo Findri. Zisťovanie v kancelárskej LAN sa opiera o broadcastové a multicastové názvy a väčšina VPN tento prenos tunelom neprenáša, takže prázdne zobrazenie Sieť nie je dôkazom prerušeného spojenia.

1. Spustite zamýšľanú VPN jej bežným klientom a dokončite overenie.

2. Vo Findri vyberte Prejsť, potom Pripojiť k serveru, alebo stlačte Command-K.

3. Zadajte poskytnutú adresu. V tomto príklade je to smb://files.corp.example/team, ilustratívny názov, nie verejná služba. Ak máte len názov servera, pripojte sa k nemu a vyberte povolené zdieľanie zo zoznamu, ktorý vráti.

4. Vyberte Registrovaný používateľ a zadajte účet súborovej služby, nie svoj účet Macu a nie účet VPN. Hosť je správny len vtedy, keď to povie vlastník.

5. Otvorte zdieľanie a urobte jednu úlohu, pre ktorú ste prišli. Výpis priečinka dokazuje pripojenie a nič viac.

Príručka Applu o pripájaní k serveru dokumentuje tento postup vo Findri a prihlásenie do služby za ním. Uložte adresu medzi obľúbené, aby bolo ďalšie pripojenie opakovateľné, a pamätajte, že premenovanie položky mení označenie, nie cieľ.

Prečítajte si fázu, v ktorej sa to zastaví

Skôr než čokoľvek zmeníte, zaznamenajte, ktorá fáza zlyháva, s rovnakými názvami, ktoré ste zadali do Findra. Začnite prekladom názvu: dscacheutil -q host -a name files.corp.example vypíše adresu, ktorú macOS použije, a netstat -rn ukáže, či má táto adresa trasu cez rozhranie tunela alebo cez vašu domácu bránu.

Potom dostupnosť. nc -vz files.corp.example 445 hovorí, či port SMB vôbec odpovedá; ak preklad funguje a 445 vyprší, ste v oblasti smerovania, firewallu alebo prekrývajúcich sa adries a žiadna zmena oprávnení zdieľania nepomôže. Ak port odpovedá, spýtajte sa servera, čo tomuto účtu ponúka: smbutil view //[email protected] vypíše zdieľania, a smbutil statshares -a hlási dohodnutý dialekt a stav podpisu pripojenej relácie, čo vám povie, či je pripojenie, ktoré testujete, to, ktoré si myslíte.

Identita si zaslúži vlastnú kontrolu, pretože je to krok, ktorý ľudia preskakujú. Pripojenie môže žiť ako hosť alebo ako starší uložený účet, zatiaľ čo predpokladáte, že ste registrovaný používateľ, a potom každý test zápisu meria nesprávny účet.

Prístup k zápisu má viac než jedny dvere

Dve vrstvy môžu na strane servera povedať nie a obe vyzerajú z Macu rovnako. Zdieľanie môže byť exportované len na čítanie, zatiaľ čo priečinok pod ním je zapisovateľný, a zapisovateľné zdieľanie nemôže obísť ACL súborového systému, ktorý váš účet odmieta; podpriečinok môže mať tiež vlastnú politiku. Na serveroch Windows sú oprávnenie zdieľania a oprávnenia NTFS oddelené a účinným právom je to obmedzujúce z oboch.

Preto určite, čo sa vlastne odmieta: vytvorenie súboru, úprava existujúceho, vytvorenie priečinka, premenovanie alebo zmazanie. To nie je jedno oprávnenie a priečinok, kde výpis funguje, môže odmietnuť všetky. Fungujúce pripojenie nie je povolenie.

Ak máte podozrenie na nesprávnu identitu, odpojte zdieľanie, zmažte zastaranú položku v Prístupe k zväzku kľúčov a pripojte sa znova registrovaným účtom. Finder rád znova použije uloženú reláciu a nechá vás merať oprávnenia pre používateľa, ktorým vás server nepovažuje.

Testujte zápis bez toho, aby ste sa dotkli skutočných dokumentov

S vlastníkovým súhlasom vytvorte jeden malý súbor pod novým názvom v priečinku, ktorý zlyháva: touch /Volumes/team/qa-write-test.txt keď je zdieľanie tam pripojené, alebo jednoducho Uložiť ako s novým názvom z aplikácie. Nikdy neprepíšte dokument, aby ste otestovali prístup, a uchovajte presný text chyby namiesto parafrázovania, pretože VPN ho neskopíruje.

Potom odovzdajte vlastníkovi operáciu, ktorú ste skúsili, a nie všeobecnú sťažnosť. Môžu skontrolovať politiku zdieľania, členstvo účtu v skupinách a práva na tom jednom priečinku a povedať vám, ktorá vrstva vás odmietla. Ak správa spomína kapacitu, zamknutý súbor alebo konflikt názvov, je to iný problém a zaslúži si vlastné vyšetrovanie.

Overte opravu a potom odpojte v poradí

Keď vlastník niečo zmení, zopakujte ten istý malý zápis a potvrďte, že súbor je pre server viditeľný a potom odstrániteľný. Kopírovanie, ktoré začne a potom sa zasekne, je otázka priepustnosti, nie oprávnení; odmietnutie, ktoré príde okamžite, je otázka oprávnení.

Skôr než odpojíte VPN, odpojte zdieľanie a zatvorte otvorené dokumenty. Odpojenie po zmiznutí tunela nechá Finder a vaše aplikácie čakať na mŕtvu cestu. Držte SMB vnútri privátnej siete, nevypínajte firewall, aby ste otestovali teóriu, a neotvárajte priečinok pre všetkých ako obchádzku. Pre tiket uveďte adresu, názov účtu, neúspešnú operáciu, presný text správy a čas, pričom heslá a súbory profilu vynechajte.

• Adresa sa prekladá na privátnu adresu smerovanú cez tunel.
• Port 445 odpovedá a smbutil view vypíše zamýšľané zdieľanie pre zamýšľaný účet.
• Zápis, ktorý ste potrebovali, sa dokazuje novým súborom, nie existujúcim dokumentom.