Chia sẻ SMB trên Mac qua VPN: kết nối trước, rồi kiểm tra ghi

Nếu Finder gắn kết chia sẻ qua VPN rồi từ chối lưu tệp, đường hầm đã làm đúng việc của nó và bất đồng là về danh tính và quyền trên máy chủ tệp. Nếu không thấy kết nối xuất hiện, thì chưa có gì sau điểm đó được kiểm tra. Cả hai trường hợp đều kết thúc bằng một hộp thoại trông giống nhau trên macOS, nên người ta dựng lại hồ sơ VPN vì một lỗi mà VPN không thể tạo ra. Tôi bắt đầu bằng việc xác định chính xác kết nối dừng ở đâu, và chỉ sau đó mới thử ghi bằng một tệp dùng một lần thay vì tài liệu tôi đến để sửa.

Ba điều kiện quyết định nơi cần xem

Bạn cần ba câu trả lời trước khi chạm vào cài đặt: tên có phân giải thành địa chỉ riêng mà đường hầm định tuyến không, dịch vụ SMB có chấp nhận đúng tài khoản bạn cung cấp không, và tài khoản đó có quyền ghi trên đúng chia sẻ, thư mục và thao tác đó không. Mỗi cái hỏng ở một chỗ khác nhau, và chỉ cái đầu tiên thuộc về người quản trị VPN.

Bảng này xứng đáng có chỗ vì đăng nhập Mac, đăng nhập VPN và tài khoản SMB là ba danh tính riêng. Đổi mật khẩu VPN không bao giờ mở được một chia sẻ từ chối người dùng đã đăng ký, và một máy khách báo đã kết nối không nói gì về máy chủ bạn đang nhắm tới.

Kết nối bằng địa chỉ, không bằng duyệt tìm

Một chia sẻ từ xa có thể hoàn toàn truy cập được mà vẫn vô hình trong danh sách Mạng của Finder. Việc phát hiện trên LAN văn phòng dựa vào tên quảng bá và multicast, và hầu hết VPN không mang lưu lượng đó qua đường hầm, nên một khung Mạng trống không phải bằng chứng liên kết bị hỏng.

1. Khởi động VPN dự định bằng máy khách thông thường và hoàn tất xác thực.

2. Trong Finder chọn Đi, rồi Kết nối với máy chủ, hoặc nhấn Command-K.

3. Nhập địa chỉ được cung cấp. Trong ví dụ này là smb://files.corp.example/team, một tên minh họa chứ không phải dịch vụ công cộng. Nếu chỉ có tên máy chủ, hãy kết nối tới đó và chọn chia sẻ được phép từ danh sách nó trả về.

4. Chọn Người dùng đã đăng ký và nhập tài khoản dịch vụ tệp, không phải tài khoản Mac của bạn và không phải tài khoản VPN. Khách chỉ đúng khi chủ sở hữu nói như vậy.

5. Mở chia sẻ và làm đúng một việc bạn đến để làm. Danh sách thư mục chứng minh việc gắn kết và không hơn.

Hướng dẫn của Apple về kết nối tới máy chủ ghi lại quy trình Finder này và việc đăng nhập dịch vụ phía sau. Lưu địa chỉ vào mục ưa thích để lần kết nối sau lặp lại được, và nhớ rằng đổi tên mục chỉ đổi nhãn, không đổi đích.

Đọc giai đoạn nơi nó dừng

Trước khi đổi bất cứ điều gì, ghi lại giai đoạn nào hỏng, bằng đúng những tên bạn đã gõ trong Finder. Bắt đầu từ phân giải tên: dscacheutil -q host -a name files.corp.example in ra địa chỉ mà macOS sẽ dùng, và netstat -rn cho thấy địa chỉ đó có tuyến qua giao diện đường hầm hay qua cổng nhà bạn.

Rồi đến khả năng tới được. nc -vz files.corp.example 445 cho biết cổng SMB có trả lời hay không; nếu phân giải chạy và 445 hết thời gian chờ, bạn đang ở vùng định tuyến, tường lửa hoặc địa chỉ chồng lấn và không thay đổi quyền chia sẻ nào giúp được. Nếu cổng trả lời, hỏi máy chủ xem nó cung cấp gì cho tài khoản đó: smbutil view //[email protected] liệt kê các chia sẻ, và smbutil statshares -a báo cáo phương ngữ đã thương lượng và trạng thái ký của phiên đã gắn, điều này cho biết việc gắn kết bạn đang thử có đúng là cái bạn nghĩ không.

Danh tính đáng được kiểm tra riêng, vì đó là bước người ta bỏ qua. Một gắn kết có thể sống như khách hoặc như tài khoản lưu cũ trong khi bạn tưởng mình là người dùng đã đăng ký, và khi đó mọi thử nghiệm ghi đều đo sai tài khoản.

Quyền ghi có nhiều hơn một cổng

Hai lớp có thể nói không ở phía máy chủ và cả hai trông giống nhau từ Mac. Một chia sẻ có thể được xuất chỉ đọc trong khi thư mục bên dưới ghi được, và một chia sẻ ghi được cũng không vượt qua được ACL hệ thống tệp vốn từ chối tài khoản bạn; thư mục con cũng có thể có chính sách riêng. Trên máy chủ Windows, quyền chia sẻ và quyền NTFS là riêng biệt, và quyền hiệu lực là cái chặt hơn trong hai.

Vậy hãy xác định điều gì thực sự bị từ chối: tạo tệp, sửa tệp có sẵn, tạo thư mục, đổi tên hay xóa. Đó không phải một quyền duy nhất, và một thư mục nơi việc liệt kê chạy được vẫn có thể từ chối tất cả. Một gắn kết chạy được không phải là sự cho phép.

Nếu nghi ngờ sai danh tính, hãy tháo chia sẻ, xóa mục cũ trong Truy cập Chuỗi khóa và kết nối lại bằng tài khoản đã đăng ký. Finder sẵn lòng dùng lại phiên đã lưu và để bạn đo quyền cho một người dùng mà máy chủ không coi là bạn.

Thử ghi mà không chạm vào tài liệu thật

Với sự đồng ý của chủ sở hữu, tạo một tệp nhỏ dưới tên mới trong thư mục bị lỗi: touch /Volumes/team/qa-write-test.txt khi chia sẻ được gắn ở đó, hoặc chỉ cần Lưu thành với tên mới từ ứng dụng. Đừng bao giờ ghi đè tài liệu để thử quyền truy cập, và giữ nguyên văn bản lỗi thay vì diễn giải lại, vì VPN sẽ không sao chép nó.

Sau đó trao cho chủ sở hữu thao tác bạn đã thử thay vì một lời phàn nàn chung. Họ có thể kiểm tra chính sách chia sẻ, tư cách thành viên nhóm của tài khoản và quyền trên đúng thư mục đó, và nói cho bạn biết lớp nào đã từ chối. Nếu thông báo nhắc tới dung lượng, tệp bị khóa hay xung đột tên, đó là vấn đề khác và đáng được điều tra riêng.

Xác minh bản sửa, rồi tháo ra theo thứ tự

Sau khi chủ sở hữu đổi điều gì đó, lặp lại đúng thao tác ghi nhỏ và xác nhận tệp hiện ra với máy chủ và xóa được sau đó. Một bản sao bắt đầu rồi khựng lại là câu hỏi về thông lượng, không phải về quyền; một lời từ chối đến ngay tức thì là câu hỏi về quyền.

Trước khi bỏ VPN, hãy tháo gắn kết chia sẻ và đóng tài liệu đang mở. Tháo ra sau khi đường hầm đã mất khiến Finder và các ứng dụng của bạn chờ trên một đường dẫn chết. Giữ SMB trong mạng riêng, đừng tắt tường lửa để thử một giả thuyết và đừng mở thư mục cho mọi người như cách lách. Cho phiếu hỗ trợ, hãy ghi địa chỉ, tên tài khoản, thao tác thất bại, nguyên văn thông báo và thời điểm, để mật khẩu và tệp hồ sơ ở ngoài.

• Địa chỉ phân giải thành địa chỉ riêng được định tuyến qua đường hầm.
• Cổng 445 trả lời và smbutil view liệt kê chia sẻ dự định cho tài khoản dự định.
• Thao tác ghi bạn cần được chứng minh bằng một tệp mới, không phải bằng tài liệu có sẵn.