SMB-delning på Mac över VPN: anslut först, testa skrivning sedan

Om Finder monterar delningen över VPN och sedan vägrar spara en fil gör tunneln redan sitt jobb, och oenigheten handlar om identitet och rättigheter på filservern. Om monteringen aldrig dyker upp är inget bortom den punkten testat. Båda fallen slutar i en liknande dialog på macOS, och därför bygger folk om VPN-profiler för ett fel som VPN inte kan åstadkomma. Jag börjar med att fastställa exakt var anslutningen stannar, och testar först därefter skrivning med en engångsfil i stället för dokumentet jag kom för att redigera.

Tre villkor avgör var du ska titta

Du behöver tre svar innan du rör en inställning: löses namnet upp till en privat adress som tunneln routar, accepterar SMB-tjänsten det specifika konto du angav, och har det kontot skrivrättigheter på just den delningen, mappen och åtgärden. Varje villkor fallerar på olika ställen, och bara det första tillhör VPN-ägaren.

Tabellen förtjänar sin plats eftersom Mac-inloggning, VPN-inloggning och SMB-konto är tre separata identiteter. Att byta VPN-lösenord öppnar aldrig en delning som avvisar den registrerade användaren, och en klient som rapporterar anslutning säger inget om servern du siktar på.

Anslut via adress, inte genom att bläddra

En fjärrdelning kan vara fullt nåbar och ändå osynlig i Finders Nätverk-lista. Upptäckt på ett kontors-LAN bygger på broadcast- och multicast-namn, och de flesta VPN transporterar inte den trafiken genom tunneln, så en tom Nätverk-vy är inte bevis på en bruten länk.

1. Starta den avsedda VPN:n med dess vanliga klient och slutför autentiseringen.

2. I Finder väljer du Gå, sedan Anslut till server, eller trycker Command-K.

3. Skriv in adressen du fick. I det här exemplet är det smb://files.corp.example/team, ett illustrativt namn och inte en offentlig tjänst. Har du bara servernamnet ansluter du till det och väljer den auktoriserade delningen i listan det returnerar.

4. Välj Registrerad användare och ange filtjänstkontot, inte ditt Mac-konto och inte VPN-kontot. Gäst är rätt bara när ägaren säger det.

5. Öppna delningen och gör den enda uppgift du kom för. En mapplista bevisar monteringen och inget mer.

Apples guide för serveranslutning dokumenterar det här Finder-flödet och tjänsteinloggningen bakom. Spara adressen som favorit så att nästa anslutning kan upprepas, och kom ihåg att namnbyte på posten ändrar etiketten, inte målet.

Läs steget där det stannar

Innan du ändrar något, notera vilket steg som fallerar, med samma namn som du skrev i Finder. Börja med namnsuppslagning: dscacheutil -q host -a name files.corp.example skriver ut adressen som macOS kommer att använda, och netstat -rn visar om den adressen har en rutt via tunnelgränssnittet eller via din hemrouter.

Sedan nåbarhet. nc -vz files.corp.example 445 säger om SMB-porten alls svarar; om uppslagningen fungerar och 445 går i timeout är du i routing-, brandväggs- eller överlappande adressområde och ingen ändring av delningsbehörigheter hjälper. Om porten svarar, fråga servern vad den erbjuder det kontot: smbutil view //[email protected] listar delningar, och smbutil statshares -a rapporterar den monterade sessionens förhandlade dialekt och signeringsstatus, vilket säger om monteringen du testar är den du tror.

Identitet förtjänar en egen kontroll, eftersom det är steget folk hoppar över. En montering kan leva som gäst eller som ett äldre sparat konto medan du antar att du är den registrerade användaren, och då mäter varje skrivtest fel konto.

Skrivåtkomst har mer än en port

Två lager kan säga nej på serversidan, och båda ser likadana ut från Macen. En delning kan vara exporterad skrivskyddad medan mappen under är skrivbar, och en skrivbar delning kan inte kringgå en filsystem-ACL som nekar ditt konto; en undermapp kan också ha egen policy. På Windows-servrar är delningsbehörigheten och NTFS-behörigheterna åtskilda, och den effektiva rätten är den striare av de två.

Avgör alltså vad som faktiskt nekas: att skapa en fil, redigera en befintlig, skapa en mapp, byta namn eller radera. Det är inte en enda behörighet, och en mapp där listning fungerar kan neka alla. En fungerande montering är inte ett beviljande.

Om du misstänker fel identitet, mata ut delningen, radera den föråldrade posten i Nyckelringsåtkomst och anslut igen med det registrerade kontot. Finder återanvänder gärna en sparad session och låter dig mäta behörigheter för en användare som servern inte anser är du.

Testa skrivning utan att röra riktiga dokument

Med ägarens samtycke skapar du en liten fil under ett nytt namn i mappen som fallerar: touch /Volumes/team/qa-write-test.txt när delningen är monterad där, eller helt enkelt Spara som med ett nytt namn från programmet. Skriv aldrig över ett dokument för att testa åtkomst, och behåll den exakta feltexten i stället för att parafrasera den, eftersom VPN inte kopierar den.

Ge sedan ägaren åtgärden du försökte i stället för ett allmänt klagomål. De kan kontrollera delningens policy, kontots gruppmedlemskap och rättigheterna på just den mappen och säga vilket lager som nekade dig. Om meddelandet nämner kapacitet, en låst fil eller en namnkollision är det ett annat problem som förtjänar egen utredning.

Verifiera rättningen och mata sedan ut i ordning

När ägaren har ändrat något, upprepa samma lilla skrivning och bekräfta att filen syns för servern och kan tas bort efteråt. En kopiering som startar och sedan stannar är en genomströmningsfråga, inte en behörighetsfråga; ett nekande som kommer direkt är en behörighetsfråga.

Innan du släpper VPN:n, avmontera delningen och stäng öppna dokument. Att mata ut efter att tunneln är borta lämnar Finder och dina program att vänta på en död sökväg. Håll SMB innanför det privata nätet, stäng inte av brandväggen för att testa en teori och öppna inte en mapp för alla som en omväg. För ärendet tar du med adressen, kontonamnet, den misslyckade åtgärden, den exakta meddelandetexten och tiden, och lämnar lösenord och profilfiler utanför.

• Adressen löses upp till en privat adress som routas genom tunneln.
• Port 445 svarar, och smbutil view listar den avsedda delningen för det avsedda kontot.
• Skrivningen du behövde bevisas med en ny fil, inte med ett befintligt dokument.