SMB แชร์บน Mac ผ่าน VPN: เชื่อมต่อก่อน แล้วทดสอบการเขียน
Finder เมานต์แชร์แต่ปฏิเสธการบันทึก? แยกเส้นทาง VPN บัญชี SMB และสิทธิ์ของเซิร์ฟเวอร์ก่อนเปลี่ยนการตั้งค่าใด ๆ
ถ้า Finder เมานต์แชร์ผ่าน VPN แล้วปฏิเสธการบันทึกไฟล์ อุโมงค์ทำงานของมันแล้ว และข้อขัดแย้งอยู่ที่ตัวตนและสิทธิ์บนเซิร์ฟเวอร์ไฟล์ ถ้าไม่เห็นการเมานต์เลย แสดงว่ายังไม่ได้ทดสอบอะไรเลยหลังจากจุดนั้น ทั้งสองกรณีจบลงด้วยกล่องโต้ตอบที่คล้ายกันบน macOS นั่นคือเหตุผลที่ผู้คนสร้างโปรไฟล์ VPN ใหม่สำหรับความผิดพลาดที่ VPN สร้างไม่ได้ ผมเริ่มจากการระบุให้แน่ชัดว่าการเชื่อมต่อหยุดที่ใด แล้วจึงทดสอบการเขียนด้วยไฟล์ชั่วคราวแทนเอกสารที่ผมมาตามแก้
สามเงื่อนไขกำหนดว่าจะดูที่ใด
คุณต้องมีสามคำตอบก่อนแตะการตั้งค่า: ชื่อแปลงเป็นที่อยู่ส่วนตัวที่อุโมงค์กำหนดเส้นทางหรือไม่ บริการ SMB ยอมรับบัญชีเจาะจงที่คุณให้มาหรือไม่ และบัญชีนั้นมีสิทธิ์เขียนบนแชร์ โฟลเดอร์ และการดำเนินการนั้นหรือไม่ แต่ละอย่างล้มเหลวคนละที่ และมีเพียงอย่างแรกที่เป็นของเจ้าของ VPN
| What you see | What it establishes | Who fixes it |
|---|---|---|
| Name does not resolve, or resolves outside the tunnel | The path was never built | VPN or DNS administrator |
| Name resolves, port 445 times out | Route, firewall or overlapping address space | VPN and network owners |
| Server answers, the sign-in is rejected | The file-service account, not the VPN login | File-server owner |
| Share mounts, writing is refused | Share policy or directory rights | File-server owner |
ตารางนี้คุ้มค่ากับที่ของมัน เพราะการล็อกอิน Mac การล็อกอิน VPN และบัญชี SMB เป็นสามตัวตนแยกกัน การเปลี่ยนรหัสผ่าน VPN ไม่เคยเปิดแชร์ที่ปฏิเสธผู้ใช้ที่ลงทะเบียน และไคลเอนต์ที่รายงานว่าเชื่อมต่อแล้วไม่ได้บอกอะไรเกี่ยวกับเซิร์ฟเวอร์ที่คุณเล็ง
เชื่อมต่อด้วยที่อยู่ ไม่ใช่ด้วยการเรียกดู
แชร์ระยะไกลอาจเข้าถึงได้เต็มที่แต่กลับมองไม่เห็นในรายการเครือข่ายของ Finder การค้นพบบน LAN ของออฟฟิศอาศัยชื่อแบบ broadcast และ multicast และ VPN ส่วนใหญ่ไม่ส่งทราฟฟิกนั้นผ่านอุโมงค์ ดังนั้นมุมมองเครือข่ายว่างเปล่าจึงไม่ใช่หลักฐานว่าลิงก์เสีย
เปิด VPN ที่ต้องการด้วยไคลเอนต์ปกติและทำการพิสูจน์ตัวตนให้เสร็จ
ใน Finder เลือกไป แล้วเลือกเชื่อมต่อกับเซิร์ฟเวอร์ หรือกด Command-K
พิมพ์ที่อยู่ที่ให้มา ในตัวอย่างนี้คือ
smb://files.corp.example/teamเป็นชื่อเพื่อการอธิบาย ไม่ใช่บริการสาธารณะ ถ้ามีเพียงชื่อเซิร์ฟเวอร์ ให้เชื่อมต่อไปและเลือกแชร์ที่ได้รับอนุญาตจากรายการที่ส่งกลับมาเลือกผู้ใช้ที่ลงทะเบียนและป้อนบัญชีบริการไฟล์ ไม่ใช่บัญชี Mac ของคุณและไม่ใช่บัญชี VPN บัญชีแขกจะถูกต้องก็ต่อเมื่อเจ้าของบอกเช่นนั้น
เปิดแชร์และทำงานเดียวที่คุณมา รายการโฟลเดอร์พิสูจน์การเมานต์และไม่มีมากกว่านั้น
คู่มือของ Apple เรื่องการเชื่อมต่อกับเซิร์ฟเวอร์ อธิบายขั้นตอนนี้ใน Finder และการล็อกอินบริการที่อยู่เบื้องหลัง บันทึกที่อยู่เป็นรายการโปรดเพื่อให้การเชื่อมต่อครั้งหน้าเกิดขึ้นซ้ำได้ และจำไว้ว่าการเปลี่ยนชื่อรายการเปลี่ยนป้ายชื่อ ไม่ใช่เป้าหมาย
อ่านขั้นตอนที่มันหยุด
ก่อนจะเปลี่ยนอะไร ให้บันทึกว่าขั้นตอนใดล้มเหลว ด้วยชื่อเดียวกับที่คุณพิมพ์ใน Finder เริ่มจากการแปลงชื่อ: dscacheutil -q host -a name files.corp.example พิมพ์ที่อยู่ที่ macOS จะใช้ และ netstat -rn แสดงว่าที่อยู่นั้นมีเส้นทางผ่านอินเทอร์เฟซอุโมงค์หรือผ่านเกตเวย์ที่บ้านของคุณ
จากนั้นคือการเข้าถึง nc -vz files.corp.example 445 บอกว่าพอร์ต SMB ตอบสนองหรือไม่ ถ้าการแปลงชื่อทำงานและ 445 หมดเวลา แสดงว่าคุณอยู่ในเขตการกำหนดเส้นทาง ไฟร์วอลล์ หรือที่อยู่ทับซ้อน และการเปลี่ยนสิทธิ์แชร์จะไม่ช่วย ถ้าพอร์ตตอบสนอง ให้ถามเซิร์ฟเวอร์ว่ามอบอะไรให้บัญชีนั้น: smbutil view //[email protected] แสดงรายการแชร์ และ smbutil statshares -a รายงานภาษาเจรจาและสถานะการลงนามของเซสชันที่เมานต์ ซึ่งบอกว่าการเมานต์ที่คุณทดสอบคือสิ่งที่คุณคิดหรือไม่
ตัวตนสมควรได้รับการตรวจแยก เพราะเป็นขั้นตอนที่คนข้ามไป ระหว่างที่คุณคิดว่าตัวเองเป็นผู้ใช้ที่ลงทะเบียน การเมานต์อาจมีชีวิตเป็นแขกหรือบัญชีที่บันทึกไว้เก่า และการทดสอบการเขียนทุกครั้งก็วัดบัญชีผิด
การเข้าถึงเพื่อเขียนมีมากกว่าหนึ่งประตู
สองชั้นสามารถปฏิเสธได้ที่ฝั่งเซิร์ฟเวอร์ และทั้งคู่ดูเหมือนกันจาก Mac แชร์อาจถูกส่งออกแบบอ่านอย่างเดียวในขณะที่โฟลเดอร์ข้างล่างเขียนได้ และแชร์ที่เขียนได้ก็ไม่อาจข้าม ACL ของระบบไฟล์ที่ปฏิเสธบัญชีของคุณ โฟลเดอร์ย่อยก็อาจมีนโยบายของตัวเอง บนเซิร์ฟเวอร์ Windows สิทธิ์แชร์และสิทธิ์ NTFS แยกกัน และสิทธิ์ที่มีผลคืออันที่เข้มงวดกว่าของสองอย่าง
ดังนั้นจงตัดสินว่าสิ่งใดถูกปฏิเสธจริง: การสร้างไฟล์ การแก้ไขไฟล์ที่มีอยู่ การสร้างโฟลเดอร์ การเปลี่ยนชื่อ หรือการลบ สิ่งเหล่านี้ไม่ใช่สิทธิ์เดียว และโฟลเดอร์ที่แสดงรายการได้อาจปฏิเสธทั้งหมด การเมานต์ที่ทำงานได้ไม่ใช่การอนุญาต
ถ้าสงสัยว่าตัวตนผิด ให้ดีดแชร์ออก ลบรายการเก่าในการเข้าถึงพวงกุญแจ แล้วเชื่อมต่อใหม่ด้วยบัญชีที่ลงทะเบียน Finder จะใช้เซสชันที่บันทึกไว้ซ้ำอย่างยินดีและปล่อยให้คุณวัดสิทธิ์ของผู้ใช้ที่เซิร์ฟเวอร์ไม่ถือว่าคุณเป็นคนนั้น
ทดสอบการเขียนโดยไม่แตะเอกสารจริง
ด้วยความยินยอมของเจ้าของ ให้สร้างไฟล์เล็กหนึ่งไฟล์ในชื่อใหม่ในโฟลเดอร์ที่ล้มเหลว: touch /Volumes/team/qa-write-test.txt เมื่อแชร์ถูกเมานต์ที่นั่น หรือเพียงบันทึกเป็นด้วยชื่อใหม่จากแอป อย่าเขียนทับเอกสารเพื่อทดสอบการเข้าถึง และเก็บข้อความแสดงข้อผิดพลาดไว้ตามจริงแทนการถอดความ เพราะ VPN จะไม่คัดลอกมัน
จากนั้นมอบการดำเนินการที่คุณลองให้เจ้าของ ไม่ใช่คำร้องเรียนทั่วไป พวกเขาสามารถตรวจสอบนโยบายแชร์ การเป็นสมาชิกกลุ่มของบัญชี และสิทธิ์บนโฟลเดอร์เดียวนั้น และบอกได้ว่าชั้นใดปฏิเสธคุณ ถ้าข้อความพูดถึงความจุ ไฟล์ที่ถูกล็อก หรือชื่อชนกัน นั่นเป็นปัญหาอื่นและสมควรได้รับการสอบสวนของตัวเอง
ตรวจสอบการแก้ไข แล้วดีดออกตามลำดับ
หลังจากเจ้าของเปลี่ยนอะไร ให้ทำการเขียนเล็ก ๆ เดิมซ้ำและยืนยันว่าไฟล์มองเห็นได้จากเซิร์ฟเวอร์และลบได้หลังจากนั้น การคัดลอกที่เริ่มแล้วหยุดเป็นคำถามเรื่องปริมาณรับส่ง ไม่ใช่สิทธิ์ การปฏิเสธที่มาทันทีเป็นคำถามเรื่องสิทธิ์
ก่อนจะปล่อย VPN ให้ยกเลิกการเมานต์แชร์และปิดเอกสารที่เปิดอยู่ การดีดออกหลังจากอุโมงค์หายไปทำให้ Finder และแอปของคุณรอเส้นทางที่ตายแล้ว เก็บ SMB ไว้ในเครือข่ายส่วนตัว อย่าปิดไฟร์วอลล์เพื่อทดสอบทฤษฎี และอย่าเปิดโฟลเดอร์ให้ทุกคนเป็นทางอ้อม สำหรับตั๋ว ให้ระบุที่อยู่ ชื่อบัญชี การดำเนินการที่ล้มเหลว ข้อความที่แน่นอน และเวลา โดยไม่ใส่รหัสผ่านและไฟล์โปรไฟล์
- ที่อยู่แปลงเป็นที่อยู่ส่วนตัวที่กำหนดเส้นทางผ่านอุโมงค์
- พอร์ต 445 ตอบสนองและ
smbutil viewแสดงรายการแชร์ที่ต้องการสำหรับบัญชีที่ต้องการ - การเขียนที่คุณต้องการได้รับการพิสูจน์ด้วยไฟล์ใหม่ ไม่ใช่เอกสารที่มีอยู่