Спільний ресурс SMB на Mac через VPN: спершу підключіться, потім перевірте запис

Якщо Finder монтує спільний ресурс через VPN і потім відмовляється зберігати файл, тунель уже робить свою роботу, а суперечка йде про ідентичність і права на файловому сервері. Якщо монтування взагалі не з’являється, нічого за цією точкою не перевірено. Обидва випадки закінчуються схожим діалогом у macOS, тому люди перебудовують профілі VPN через несправність, яку VPN не може створити. Я починаю з точного визначення, де обривається з’єднання, і лише потім перевіряю запис одноразовим файлом замість документа, який прийшов редагувати.

Три умови вирішують, де дивитися

Потрібні три відповіді, перш ніж чіпати налаштування: чи розв’язується ім’я в приватну адресу, яку маршрутизує тунель, чи приймає служба SMB саме той обліковий запис, який ви вказали, і чи має цей запис право запису саме на цей ресурс, теку та операцію. Кожна умова порушується в різних місцях, і лише перша стосується власника VPN.

Таблиця заслуговує свого місця, бо вхід у Mac, вхід у VPN і обліковий запис SMB — три окремі ідентичності. Зміна пароля VPN ніколи не відкриває ресурс, який відхиляє зареєстрованого користувача, а клієнт, що повідомляє про з’єднання, нічого не каже про сервер, на який ви націлені.

Підключайтеся за адресою, а не через перегляд

Віддалений ресурс може бути цілком доступним і при цьому невидимим у списку мережі у Finder. Виявлення в офісній локальній мережі спирається на широкомовні та multicast-імена, а більшість VPN не переносять цей трафік через тунель, тому порожній вигляд мережі не доводить, що з’єднання розірвано.

1. Запустіть потрібний VPN його звичайним клієнтом і завершіть автентифікацію.

2. У Finder виберіть «Перехід», потім «Підключитися до сервера» або натисніть Command-K.

3. Введіть надану адресу. У цьому прикладі це smb://files.corp.example/team, ілюстративне ім’я, а не публічна служба. Якщо у вас є лише ім’я сервера, підключіться до нього й виберіть дозволений ресурс зі списку, який він поверне.

4. Виберіть «Зареєстрований користувач» і введіть обліковий запис файлової служби, а не свій запис Mac і не запис VPN. Гість доречний лише тоді, коли власник це дозволив.

5. Відкрийте ресурс і виконайте одне завдання, заради якого прийшли. Список каталогу доводить монтування і нічого більше.

Посібник Apple щодо підключення до сервера описує цей сценарій у Finder і вхід у службу за ним. Збережіть адресу в обране, щоб наступне підключення було повторюваним, і пам’ятайте, що перейменування запису змінює мітку, а не ціль.

Прочитайте етап, на якому все зупиняється

Перш ніж щось змінювати, запишіть, який етап збоїть, тими самими іменами, які ви ввели в Finder. Почніть із розв’язання імені: dscacheutil -q host -a name files.corp.example друкує адресу, яку використає macOS, а netstat -rn показує, чи має ця адреса маршрут через інтерфейс тунелю або через ваш домашній шлюз.

Далі доступність. nc -vz files.corp.example 445 повідомляє, чи відповідає порт SMB узагалі; якщо розв’язання працює, а 445 вичерпується за часом, ви в області маршрутизації, брандмауера або перекривних адрес, і жодна зміна прав ресурсу не допоможе. Якщо порт відповідає, запитайте сервер, що він пропонує цьому запису: smbutil view //[email protected] перелічує ресурси, а smbutil statshares -a повідомляє узгоджений діалект і стан підпису змонтованого сеансу, що підкаже, чи те монтування ви перевіряєте, про яке думаєте.

Ідентичність заслуговує окремої перевірки, бо саме цей крок люди пропускають. Монтування може жити як гість або як старий збережений запис, поки ви вважаєте себе зареєстрованим користувачем, і тоді кожна перевірка запису міряє не той запис.

У доступу на запис більше одних воріт

Два шари можуть сказати «ні» на боці сервера, і обидва виглядають з Mac однаково. Ресурс може бути експортований лише для читання, хоча тека під ним доступна для запису, а доступний для запису ресурс не обійде ACL файлової системи, який відхиляє ваш запис; у вкладеної теки теж може бути своя політика. На серверах Windows дозвіл ресурсу й дозволи NTFS роздільні, а чинним правом є суворіше з двох.

Тому визначте, що саме відхиляється: створення файлу, правка наявного, створення теки, перейменування або вилучення. Це не один дозвіл, і тека, де працює перегляд, може відхилити їх усі. Робоче монтування ще не дозвіл.

Якщо підозрюєте не ту ідентичність, витягніть ресурс, видаліть застарілий запис у доступі до в’язки ключів і підключіться знову із зареєстрованим записом. Finder охоче перевикористає збережений сеанс і залишить вас міряти права для користувача, яким сервер вас не вважає.

Перевірте запис, не торкаючись справжніх документів

За згодою власника створіть один невеликий файл під новим іменем у теці, яка збоїть: touch /Volumes/team/qa-write-test.txt коли ресурс там змонтовано, або просто «Зберегти як» з новим іменем із програми. Ніколи не перезаписуйте документ, щоб перевірити доступ, і зберігайте точний текст помилки замість переказу, бо VPN його не скопіює.

Потім передайте власникові операцію, яку ви спробували, а не загальну скаргу. Він може перевірити політику ресурсу, членство запису в групах і права на цій одній теці й сказати, який шар вам відмовив. Якщо в повідомленні згадано ємність, заблокований файл або конфлікт імен, це інша проблема, і вона заслуговує окремого розбору.

Перевірте виправлення, потім витягніть за порядком

Після того як власник щось змінить, повторіть той самий невеликий запис і підтвердьте, що файл видно серверу і потім його можна видалити. Копіювання, яке починається і потім застрягає, — питання пропускної здатності, а не прав; відмова, що надходить миттєво, — питання прав.

Перш ніж відключати VPN, розмонтуйте ресурс і закрийте відкриті документи. Витягання після зникнення тунелю залишає Finder і ваші програми чекати мертвого шляху. Тримайте SMB усередині приватної мережі, не вимикайте брандмауер заради перевірки теорії й не відкривайте теку всім як обхідний шлях. Для заявки вкажіть адресу, ім’я запису, невдалу операцію, точний текст повідомлення й час, а паролі та файли профілю залиште поза межами.

• Адреса розв’язується в приватну адресу, що маршрутизується через тунель.
• Порт 445 відповідає, і smbutil view перелічує потрібний ресурс для потрібного запису.
• Потрібний вам запис доводиться новим файлом, а не наявним документом.