尧图网页设计 
手上有一台阿里云服务器跑着几个内部服务平时用它存一些日志归档、设计素材和给同事分发的安装包。最初的做法是 SFTP 上传下载用了两个月实在受不了——同事要个 200MB 的素材包得先下载到本地再传给别人中间还要解释你装个客户端。后来换成对象存储但每次生成分享链接、设置有效期又太琐碎。最后我决定在 Ubuntu 上装 Samba把这些目录直接共享出来Windows、macOS、Linux 三种客户端都能像访问本地磁盘一样双击打开。麻烦的地方在于这是一台公网服务器Samba 默认的 445 端口在公网上经常不通于是又牵扯出端口映射、云平台安全组、系统防火墙这一整条链路。这篇就把从装包到跑通、从权限理清到排错收口的全过程写下来Ubuntu 20.04/22.04/24.04 都适用新手照着做能跑通有经验的人可以重点看权限对齐和端口映射那两节。1. 云服务器上跑Samba到底值不值三个合适场景和两类劝退情况1.1 从上传下载到像本地磁盘一样用Samba 做的事说穿了很简单在 Linux 上实现 SMB/CIFS 协议的服务端让 Windows 的原生文件共享协议、macOS 的 Finder、Linux 的 cifs 内核模块都能挂上来。它和 SFTP、HTTP 下载最大的区别是挂载之后它是一个文件系统而不是一个传输通道。这个差别带来的体验是量级的你在 Windows 资源管理器里输入\\服务器IP\share回车输入一次账号密码勾选记住之后这个目录就一直在此电脑里双击打开、拖拽文件、右键新建文件夹、Office 直接另存为到这个路径全部是原生操作。我在实际使用中感受最深的是三类场景。第一类是团队内部的文件分发设计稿、测试包、数据集放到共享目录里同事自己取不用我反复发链接。第二类是跨设备同步工作目录家里台式机、公司笔记本、虚拟机里的 Ubuntu同一份代码草稿或者论文素材放在共享目录里谁都能读写省掉了 U 盘和聊天软件传来传去。第三类是给容器和虚拟机当外挂盘宿主机挂一个共享目录虚拟机里mount -t cifs上去改代码不用重启虚拟机比共享文件夹方案更稳定。这三类场景有个共同点访问频率不高但单次文件不小而且参与的人或设备只有几个。这正好落在 Samba 的舒适区里。如果你的场景偏离这个范围太远下面这几种情况我建议先别折腾。1.2 什么情况下我会劝你先别装Samba第一种是只需要单向读取、几乎没有写入。比如你只是想给一个静态资源目录做个下载入口那用 Nginx 的autoindex或者对象存储更省事Samba 的账号体系、端口、防火墙配置一整套下来成本明显更高。第二种是多人高频并发写同一个文件。SMB 有文件锁机制但它是为一个人打开一份文档编辑设计的不是为五个人同时往一个文件里追加日志设计的。数据库文件、Git 仓库的.git目录、正在被编译的构建产物都不要放在 Samba 共享里直接操作你会遇到文件锁冲突、写入不完整、甚至索引损坏。这类需求应该走版本控制或者专门的同步工具。第三种最需要说清楚敏感数据不要裸奔在公网。Samba 老版本默认允许 SMB1、允许匿名访问这些默认值在公网上就是风险敞口。如果确实要公网访问那必须走非标准端口、强制 SMB3 加密、账号强密码、安全组限定源 IP 这一整套收口动作具体在第八节展开。2. 动手前的环境盘点Ubuntu版本、网络出口和云平台安全组2.1 三条命令把家底摸清在敲apt install之前我习惯先把三件事确认一遍这三件事任何一件不对后面都会白折腾。# 系统版本与内核 lsb_release -a uname -r # 网卡与内网地址 ip -4 addr show # 当前对外出口地址确认公网 IP 是弹性 IP 还是 NAT 出口 curl -s ifconfig.me; echolsb_release -a看的是发行版版本Ubuntu 20.04 自带 Samba 4.1122.04 是 4.1524.04 是 4.19这几个版本的配置文件语法基本兼容但 24.04 在默认协议上更严格老客户端如果只支持 SMB1 会直接连不上这一点后面会细说。ip -4 addr show输出的地址很关键阿里云 ECS 的网卡上看到的一般是内网地址10.x、172.16.x 段公网 IP 是通过 NAT 映射到这张网卡上的。这意味着 Samba 配置里不要写死公网 IPinterfaces和bind interfaces only这类参数能不写就不写让它默认监听所有地址最省心。2.2 阿里云安全组公网访问绕不过去的第一道门这是新手最容易卡住的地方服务明明起来了systemctl status smbd一片绿本机smbclient也能连上自己但外网死活连不上。九成以上的原因在安全组。阿里云的入方向规则是按协议 端口范围 授权对象三个维度配的。你需要开的是协议端口用途授权对象建议TCP445SMB over TCP现代 Windows/macOS 首选自己的固定出口 IP/32TCP139老客户端走 NetBIOS over TCP 时用同上不用可不加UDP137-138NetBIOS 名称解析仅局域网式广播场景需要一般不用加TCP4450自定义映射端口示例自己的固定出口 IP/32授权对象那一栏我要多说两句。很多人图省事填0.0.0.0/0等于把共享目录挂到全世界面前。只要有一台机器被扫到弱口令爆破是几小时内的事。正确做法是填自己家的宽带出口 IP 加/32公司如果也是固定出口就再添一条。/32 的意思是这个地址段里只有这一个 IP比填一个 C 段安全得多。宽带的公网 IP 会变隔段时间连不上就回来改一下这个麻烦值得吃。2.3 系统防火墙ufw 和 firewalld 的选择Ubuntu 默认装的是 ufw但默认状态是未启用inactive。这里有个取舍只用安全组不开 ufw配置最省事但安全组一旦被人误改主机就完全没有第二道防线。两者都开安全组做粗粒度控制ufw 做主机层面的细粒度控制我推荐这个方案。ufw 的放行写法注意要用 Samba 的应用配置文件它会一次性把该放的端口放对ufw allow from 203.0.113.10 to any port 4450 proto tcp ufw allow Samba ufw status verbose第二条ufw allow Samba会自动套用/etc/ufw/applications.d/samba里的定义把 137/138/139/445 一起放行。如果你改成了自定义端口 4450那就用第一条那种显式写法别依赖应用配置文件。注意ufw 默认会拒绝所有入站所以在ufw enable之前一定确认 SSH 的 22 端口已经放行否则会把自己关在门外。云服务器上这一点比本地机器更要命因为控制台的 VNC 救援入口操作起来很别扭。3. 安装Samba与最小可用配置的落地过程3.1 apt 安装与版本确认安装本身一行命令但后面的确认步骤别省sudo apt update sudo apt install -y samba samba-common-bin smbd -V systemctl status smbd --no-pagersmbd -V打印的是实际生效的版本号比apt policy samba更可信。安装过程会自动生成一份/etc/samba/smb.conf默认配置同时创建smbd和nmbd两个 systemd 服务。这里有个细节Ubuntu 上 smbd 和 nmbd 是分开的两个 unit你在局域网里靠网络邻居浏览共享依赖 nmbd但如果是通过\\IP\share直接访问其实只用 smbd 就够了。我一般两个都留着。systemctl status smbd显示active (running)就说明服务起来了但这只是能启动不代表能连上配置对不对还得看下一节。3.2 smb.conf 的结构global 段管全局共享段管目录/etc/samba/smb.conf的语法非常朴素只有两种东西节section和参数parameter。节用方括号包起来[global]是唯一有特殊地位的节里面的参数作用于整个服务其他节名就是共享名客户端看到的就是这个名字。注释支持#和;两种但有个坑要提参数值里的;和#也会被当成注释起始符比如你在某个路径里带了#会被截断。所以路径里尽量别用这两个符号。另外推荐一个组织方式从 Samba 4.0 起官方配置末尾就有这几行include /etc/samba/smb.conf.%U include /etc/samba/smb.conf.%G%U是登录用户名%G是用户主组。这意味着你可以给每个用户单独放一份覆盖配置把个性化的东西比如专属目录写在/etc/samba/smb.conf.zhangsan里主配置保持干净。团队人多的时候这个机制非常好用主配置只用管公共共享。3.3 一份能跑起来的最小配置下面这份配置我用了很久思路是先把只读共享跑通再逐步加可写共享[global] workgroup WORKGROUP server string Cloud File Server security user map to guest never server min protocol SMB2_10 client min protocol SMB2_10 unix charset UTF-8 dos charset CP936 log file /var/log/samba/log.%m max log size 1000 logging file log level 1 [public] comment Public Read Only path /srv/samba/public browseable yes read only yes guest ok no valid users smbusers create mask 0644 directory mask 0755 [team] comment Team Writable Share path /srv/samba/team browseable yes read only no guest ok no valid users smbusers write list smbusers force group smbusers create mask 0660 directory mask 2770几个参数值得单独解释。server min protocol SMB2_10是为了关掉 SMB1——SMB1 是 1980 年代的协议存在大量已知问题现在的 Windows 10/11 和 macOS 都已经默认不使用了关掉它没有任何体验损失只是防止古董设备接入。map to guest never是彻底禁止匿名访问任何没有正确凭据的连接直接拒绝不给它降级成 guest 的机会。unix charset UTF-8和dos charset CP936这对组合是解决中文文件名的。Unix 侧文件名是 UTF-8 存储的老 Windows 客户端在协商时可能用 GBK 编码dos charset CP936让服务端在必要时做转换。新版 Windows 基本都走 UTF-8 了这个参数留着不碍事。3.4 改完配置必须跑 testparm这是我这几年养成的肌肉记忆比重启服务还重要testparm -s它会做两件事一是检查语法二是把最终生效的配置含所有默认值打印出来。很多人以为自己的配置生效了其实某个参数写错位置被忽略了——比如把read only写进了[global]它不会报错但也完全不起作用。testparm -s的输出里能看到这个参数到底有没有落到对应的共享段里。改完配置不重启也能生效用这个命令通知 smbd 重载sudo smbcontrol all reload-config只有改动smb ports、interfaces这类监听层面的参数时才必须systemctl restart smbd nmbd。4. 账号与权限的三方对齐系统用户、Samba用户、目录归属这一节是整篇里最容易让人栽跟头的地方我见过太多人卡在这里。核心原因是访问一个共享目录要同时过两套体系的检查。4.1 为什么系统用户建好了还是登录失败Samba 用的是 Linux 的系统用户来做身份映射但密码库是独立的。你useradd建了用户、设了系统密码Samba 完全不认——它查的是/var/lib/samba/private/passdb.tdb老版本在/etc/samba/smbpasswd。所以必须再用smbpasswd -a往 Samba 的密码库里加一份。顺序上我建议这样sudo adduser zhangsan # 建系统用户会同时建同名组 sudo smbpasswd -a zhangsan # 设置 Samba 密码交互式输入 sudo smbpasswd -e zhangsan # 确保账号是启用状态 sudo pdbedit -L # 列出所有 Samba 用户pdbedit -L是排查时的第一手工具输出了用户名和 UID 说明注册成功如果这里没有你要的用户那前面smbpasswd -a一定失败了去看它的报错。4.2 smbpasswd 的几个常用动作命令作用使用时机smbpasswd -a user添加并设置密码首次创建 Samba 用户smbpasswd -e user启用账号账号被 -d 禁用后恢复smbpasswd -d user禁用账号人员离职、临时停用smbpasswd -x user删除 Samba 用户彻底移除不动系统用户smbpasswd user修改自己的密码普通用户自助改密pdbedit -L -v查看详细账号信息排查账号状态-d和-x的区别值得记住-d只是标记禁用随时能-e回来-x是从密码库里删掉重新加要重设密码。人员流动频繁的团队-d更灵活。4.3 目录权限、create mask 与 force user 的配合现在说最难的一层文件系统权限。Samba 拿到登录用户后会切换到对应的 Linux 用户身份去读写目录所以目录的属主、属组、权限位必须允许这个用户操作。这里有三组概念容易混目录本身的权限ls -ld /srv/samba/team看到的drwxrws---决定用户能不能进这个目录、能不能在里面创建文件。create mask / directory mask决定新建的文件和子目录的权限位。注意它只是允许的最大权限实际权限还会受 umask 影响Samba 用的是请求权限 AND mask的逻辑。force user / force group强制所有操作以指定的用户或组身份进行忽略客户端的实际登录身份。force group是最实用的一个。团队共享目录配上force group smbusers和create mask 0660不管谁来创建文件文件的属组都是smbusers组内成员都能读写不会出现张三建的文件李四改不了这种事。directory mask 2770里的那个2是SGID 位它保证在这个目录里新建的子目录自动继承父目录的属组而不是继承创建者的主组。没有这个位子目录的属组会变成创建者的默认组共享结构一深入就全乱了。4.4 几种常见共享形态的权限方案对照不同用途的共享目录权限配法差别很大我整理成一张表共享形态目录权限关键参数说明个人私有目录drwx------属主自己valid users %U、read only no每人一个目录互不可见团队可写目录drwxrws---属主 root:smbusersforce group smbusers、create mask 0660、directory mask 2770组内全员读写推荐只读分发目录drwxr-x---属主 root:smbusersread only yes、valid users smbusers管理者单独留写权限投递目录只进不出drwx-wx---属主 root:smbusersread only no、write list smbusers配合目录无读权限收集作业、上传文件防止互相偷看最后那个投递目录值得说一下。给目录设成drwx-wx---有写无读用户能往里扔文件但看不到目录里有什么配合create mask 0600让上传的文件只有自己能读。这个模式在收集报表、作业、匿名反馈的场景里非常实用但要注意用户重复上传同名文件时会失败因为他看不到已存在的文件却也没权限覆盖通常要在客户端加时间戳后缀。目录创建和权限设置的具体命令sudo mkdir -p /srv/samba/{public,team,drop} sudo groupadd smbusers sudo usermod -aG smbusers zhangsan sudo usermod -aG smbusers lisi sudo chown root:smbusers /srv/samba/team sudo chmod 2770 /srv/samba/team sudo chown root:smbusers /srv/samba/public sudo chmod 2750 /srv/samba/public改完组关系后已经登录的会话不会自动获得新组要么让用户重新登录要么用newgrp smbusers刷新。这是排查我明明加了组怎么还是不行的经典原因。5. 端口映射实战把445换成自定义端口打通公网5.1 为什么公网直连445经常不通445 端口在公网上的处境很特殊。历史上有多轮大规模的网络蠕虫利用了 SMB 服务的漏洞传播导致运营商和云平台普遍对 445 做了出入方向的限制。你在家里宽带试很可能出方向的 445 是直接被拦掉的表现就是 TCP 握手根本建立不起来telnet 服务器IP 445一直卡在连接中而不是快速拒绝。这种情况下的解决办法就是换一个非标准端口把 SMB 服务监听在你指定的端口上然后通过云平台安全组把这个端口映射放行出去。严格说这叫端口变更 安全组放行云平台的 NAT 网关完成内外网地址的转换你不需要在阿里云上做额外的 DNAT 配置——安全组放行 服务改端口这两步就够了。5.2 用自定义端口映射的完整配置链四步顺序很重要# 第一步改服务监听端口 sudo vi /etc/samba/smb.conf # 在 [global] 段加上 # smb ports 4450 # 第二步防火墙放行只给自己出口 IP sudo ufw allow from 203.0.113.10 to any port 4450 proto tcp # 第三步重启服务并验证监听 sudo systemctl restart smbd nmbd ss -lntp | grep -E 445|4450 # 第四步云控制台安全组入方向添加 TCP 4450 规则ss -lntp的输出是判断成败的关键应该只看到 4450 在监听445 消失了。如果两个都在说明配置没生效或者被别的地方覆盖了回去跑testparm -s | grep smb\ ports确认。改端口有个连带影响要提前说smb ports改了以后NetBIOS 那一套137/138/139实际就废了靠网络邻居自动发现的方式不再工作。这不算问题因为公网环境本来也不该用广播发现直接用\\IP:端口\共享名这种显式路径访问更可靠。5.3 客户端怎么指定端口这是改端口之后最麻烦的一环因为不同客户端的支持程度差别很大客户端指定端口的方式是否原生支持smbclient-p 4450或--port4450支持Linux mount.cifs挂载选项port4450支持macOS Findersmb://IP:4450/share支持Windows 资源管理器不支持需本地端口转发Linux 端的实测写法# 先探测共享列表 smbclient -L //203.0.113.10 -p 4450 -U zhangsan # 临时挂载 sudo mkdir -p /mnt/team sudo mount -t cifs //203.0.113.10/team /mnt/team \ -o port4450,usernamezhangsan,uid$(id -u),gid$(id -g),\ file_mode0660,dir_mode2770,iocharsetutf8,vers3.0 # 查看挂载状态 mount | grep cifsvers3.0这个选项建议显式写上。老内核默认可能协商到 SMB1而我们在服务端已经关掉了 SMB1结果就是挂载时报一个很含糊的协议不匹配错误。写死3.0或3.1.1能省掉一堆排查。5.4 Windows 客户端在非标准端口下的处理Windows 资源管理器在地址栏输\\IP:4450\share是不认的它会报找不到网络路径。绕过去的办法是在本机做一个本地端口转发把本地的 445 映射到服务器的 4450然后访问\\127.0.0.1\share:: 以管理员身份运行 netsh interface portproxy add v4tov4 listenport445 listenaddress127.0.0.1 connectport4450 connectaddress203.0.113.10 :: 查看已配置的转发 netsh interface portproxy show all :: 删除 netsh interface portproxy delete v4tov4 listenport445 listenaddress127.0.0.1这里的关键点是listenaddress127.0.0.1。Windows 自身的 SMB 服务已经占用了 0.0.0.0:445如果你监听地址写0.0.0.0转发规则会添加失败或者不生效。绑定在回环地址上就避开了这个冲突代价是只能本机访问对本机映射驱动器来说完全够用。顺手提醒端口转发规则是持久化的重启后仍然存在。如果哪天服务器 IP 变了或者不用了记得回来delete否则会出现连到老地址的超时等待非常难排查。6. 三种客户端的接入方式与各自的小脾气6.1 Windows映射网络驱动器与凭据管理Windows 端的标准流程是这样打开此电脑右键映射网络驱动器文件夹框填\\203.0.113.10\team勾选使用其他凭据输入 Samba 用户名密码勾选记住我的凭据。也可以用命令行一次搞定net use Z: \\203.0.113.10\team /user:zhangsan * /persistent:yes net use net use Z: /delete/persistent:yes让它在重启后自动重连*表示交互式输入密码避免密码留在命令历史里。Windows 这边有几个特有的坑。一是凭据冲突如果你之前用另一个账号连过同一台服务器Windows 会缓存旧凭据新账号怎么输都失败报多重连接到一个服务器或共享资源或者直接认证失败。清理方式是在凭据管理器里删掉对应的 Windows 凭据或者用net use * /delete全部断开重来。二是访客访问策略较新的 Windows 版本默认禁止用 guest 身份做 SMB 访问如果服务端配了允许 guest 的共享客户端可能直接拒绝连接报错代码往往是0x8007052e之类。这也是我一直建议关掉 guest 的原因之一——两边策略不一致会制造很多无谓的排错时间。6.2 macOSFinder 的 smb:// 和它在共享目录里留下的垃圾macOS 接入很简单Finder 里按Cmd K输入smb://203.0.113.10:4450/team认证后就会挂载到/Volumes/team。命令行方式mkdir -p ~/mnt/team mount_smbfs //zhangsan203.0.113.10:4450/team ~/mnt/team umount ~/mnt/teammacOS 有两个特别烦人的行为。第一是它会在每个目录写.DS_Store元数据文件在共享目录里一样照写不误几个月下来目录里全是隐藏文件。第二是在复制包含扩展属性的文件时生成._前缀的伴生文件AppleDouble 格式你的服务器目录会被这些文件撑得很难看。解决办法是在共享段加上过滤veto files /._*/.DS_Store/ delete veto files yesveto files让服务端直接隐藏这些文件客户端看不到也写不进去delete veto files yes表示删除目录时允许连带删掉被 veto 的文件。这个改动很小但共享目录的整洁度提升非常明显。6.3 Linuxcifs-utils 与开机自动挂载Linux 端的准备工作是先装上工具包sudo apt install -y cifs-utils然后把凭据单独放一个文件避免密码出现在/etc/fstab这个全局可读的地方# /etc/samba/cred-team权限设成 0600 sudo tee /etc/samba/cred-team /dev/null EOF usernamezhangsan password你的密码 domainWORKGROUP EOF sudo chmod 600 /etc/samba/cred-team对应/etc/fstab里的写法//203.0.113.10/team /mnt/team cifs credentials/etc/samba/cred-team,port4450,vers3.0,uid1000,gid1000,file_mode0660,dir_mode2770,iocharsetutf8,_netdev,noauto,x-systemd.automount 0 0这里几个挂载选项各有讲究。_netdev告诉系统这是网络文件系统等网络就绪后再挂载不加的话开机时可能因为网络还没起来而挂载失败进而卡住整个启动流程。noauto表示不随mount -a自动挂载。x-systemd.automount让 systemd 创建一个自动挂载点第一次访问该目录时才真正去挂载。这个组合是我目前最推荐的既避免了开机网络竞态又不需要手动敲 mount。7. 连不上、能读不能写按层排查的完整链路排错最忌讳的是到处乱改配置。我的做法是固定按四层顺序走每层都有明确的验证命令确认通过再进下一层。7.1 第一层网络层先确认端口能通# 从客户端测 nc -vz 203.0.113.10 4450 telnet 203.0.113.10 4450 # 服务器上看监听状态 ss -lntp | grep smbd如果这一层就不通问题不在 Samba而在安全组或者 ufw。判断技巧是看报错形态Connection refused说明包到了服务器但没服务监听方向是查 smbd超时卡住Connection timed out说明包被中间设备丢了方向是查安全组和运营商策略。这两个报错指向完全不同的原因别混着查。7.2 第二层服务层本机连自己smbclient -L //127.0.0.1 -p 4450 -U zhangsan smbstatussmbclient -L能列出共享名说明服务本身和配置没问题。这一步通过但外网不通就回到第一层继续查网络。smbstatus更有意思它能看到当前所有活跃连接、锁定的文件、以及每个连接的登录用户排查谁占着文件不放的时候非常有用。7.3 第三层认证层用目标账号实测smbclient //203.0.113.10/team -p 4450 -U zhangsan # 进入交互后 smb: \ ls smb: \ put /etc/hostname test.txt这一步是分水岭。如果ls成功但put失败问题在权限层跟认证无关。如果登录就失败检查pdbedit -L里有没有这个用户、账号是不是启用状态、密码是不是搞错了大小写。7.4 第四层权限层从文件系统角度复验ls -ld /srv/samba/team sudo -u zhangsan ls -l /srv/samba/team sudo -u zhangsan touch /srv/samba/team/.perm_test echo OK最后那条命令是我最爱用的招数绕开 Samba直接用目标系统用户的身份去写文件。如果这一步都写不进去那 Samba 怎么配都没用是纯文件系统权限问题如果这一步能写但通过 Samba 不行那就是read only、write list、create mask这些 Samba 参数的问题。7.5 常见报错对照表客户端现象大概率根因验证方式连接超时无任何提示安全组未放行 / 端口写错nc -vz IP 端口Connection refusedsmbd 未运行或未监听该端口ss -lntp | grep smbd提示用户名或密码错误Samba 密码未设置 / 账号被禁用pdbedit -L、smbpasswd -e能看到共享名但点进去报无权限valid users不含该用户或组关系未刷新testparm -s、重新登录能读不能写read only yes/write list限制 / 目录权限不足用sudo -u复验写权限Windows 报多重连接错误客户端旧凭据冲突凭据管理器清理、net use * /delete中文文件名乱码字符集参数缺失检查unix charset与客户端编码大文件传到一半中断会话超时 / MTU 问题deadtime、socket options调整7.6 日志在哪里、怎么开更详细的日志Samba 的日志默认在/var/log/samba/下log.%m这个写法会让每个客户端 IP 生成一个独立文件%m是客户端机器名实际文件名可能是log.203.0.113.10或者log.desktop-abc。查的时候先ls -lt /var/log/samba/找最新的那个。排错时需要临时提高日志级别# [global] 段 log level 2级别 2 会把认证过程、权限检查的关键路径打出来足够定位绝大多数问题。但排完必须改回 1级别 3 以上会让日志文件飞速膨胀几天就能吃掉几个 G 的磁盘我见过因为这个把系统盘写满导致服务全挂的情况。8. 挂在公网上的Samba安全收口与并发调优8.1 认证层面的几道闸必须先关公网暴露的服务安全配置不能靠应该没人会扫到。我在[global]段固定加这几行security user map to guest never guest account nobody restrict anonymous 2 server min protocol SMB2_10 smb encrypt required obey pam restrictions yes pam password change yessmb encrypt required是这里面最有分量的一条它强制所有 SMB3 流量加密。这个参数只在 SMB3 下有效这也是为什么前面要强制server min protocol SMB2_10——老协议不支持加密必须一起调。开启加密后有轻微的性能开销但在公网传文件这点开销必须接受。restrict anonymous 2是彻底拒绝匿名连接连共享列表都不给匿名用户看。obey pam restrictions yes让 Samba 遵循系统的账号策略比如账号锁定规则、密码过期时间这些在纯 Samba 层是管不到的。8.2 网络层面的收口手段除了前面说的安全组限定源 IP还有两个做法一是不用标准端口。这不算真正的安全措施端口扫描一样能发现但能过滤掉大量只会扫 445 的自动化脚本降低被盯上的概率。二是给认证失败加限制。可以用 fail2ban 监控 Samba 日志里的认证失败记录连续失败达到阈值就把源 IP 临时封禁sudo apt install -y fail2ban # 新建 /etc/fail2ban/jail.d/samba.conf[samba] enabled true port 4450 filter samba logpath /var/log/samba/log.%m maxretry 3 bantime 3600 findtime 600配置完之后sudo fail2ban-client status samba能看当前的封禁列表。这个组合对暴力破解的效果非常明显实测下来配上之后日志里的异常尝试会大幅减少。8.3 性能与稳定性参数公网传输的两个主要瓶颈是带宽和单连接延迟。Samba 默认的一些参数是为局域网优化的公网环境下可以调socket options TCP_NODELAY IPTOS_LOWDELAY read raw yes write raw yes aio read size 16384 aio write size 16384 deadtime 15 keepalive 60TCP_NODELAY关掉 Nagle 算法减少小请求的延迟累积交互式操作列目录、打开小文件体感提升明显。deadtime 15表示连接空闲 15 分钟就断开释放服务端资源避免大量僵尸连接堆积。keepalive 60每 60 秒发一次探测包防止中间的 NAT 设备把空闲连接表项回收——这是大文件传输中途断掉的常见原因。aio read/write size开启异步 IO大文件顺序读写会有一定提升。但如果你的服务器磁盘本身是云盘、IOPS 有限这个参数的收益不大不要指望它能突破磁盘瓶颈。关于带宽还有个现实提醒阿里云 ECS 的公网带宽是按购买量计的如果你买的是 5Mbps 带宽理论峰值也就 600KB/s 左右传 1G 的文件要将近半小时。这个跟 Samba 配置没关系是链路本身的限制。要传大文件要么提带宽贵要么走内网同地域的机器走内网地址带宽和速度完全是另一个量级。9. 我在实际部署里踩过的坑和留下的几个习惯第一次部署的时候我在改完smb.conf后忘了重启服务然后对着smbclient报了半小时的用户名或密码错误——因为服务还在用旧配置而我新加的用户根本不在旧配置的valid users里。从那以后我的固定动作是改配置 →testparm -s→smbcontrol all reload-config或systemctl restart smbd nmbd→smbstatus确认。这四个动作连成一条肌肉记忆能省掉大量无意义的调试。第二个坑是中文文件名。早期配置里只写了unix charset UTF-8Windows 客户端传上来的中文文件名在 Linux 侧看是乱码。补上dos charset CP936之后正常了。后来发现新版 Windows 走 UTF-8 协商就没这个问题但为了兼容一些老设备这个参数一直留着。第三个坑是磁盘写满。有一次开了log level 3排一个问题排完忘了改回来一周后 smbd 突然拒绝服务查了半天发现是日志目录把系统盘写满了。Samba 的日志级别是排查工具不是常驻配置这是我现在写在部署清单第一条的话。第四个坑是关于force user的误解。我一开始以为配了force user就能无视目录权限结果发现不是——force user只是切换身份切换后仍然受该用户对目录的权限约束。如果被强制切换的那个用户对目录没有写权限照样写不进去。这个理解纠正之后我在配force user时会同时检查那个用户对目标目录的权限。最后留下几个习惯都是被坑出来的部署完成后立刻把可用的smb.conf备份到/etc/samba/smb.conf.bak.$(date %F)改坏了随时回滚目录结构固定用/srv/samba/做根不散落在/home里因为/home在有些发行版上有自动挂载和配额策略会给共享带来额外变量客户端的凭据文件权限永远设成 0600服务器上的passdb.tdb也只在备份时导出不往代码仓库里放。这套方案我在几台阿里云 ECS 上跑了两年多日常就三五个人的使用强度除了偶尔要更新一下安全组里的源 IP家里宽带换地址了基本没出过需要紧急处理的问题。真正花时间的从来不是安装那一步而是把权限、端口、防火墙这三层对清楚以及养成改配置后验证的习惯。 Ubuntu Samba 公网文件共享：端口映射与权限对齐实战
手上有一台阿里云服务器跑着几个内部服务平时用它存一些日志归档、设计素材和给同事分发的安装包。最初的做法是 SFTP 上传下载用了两个月实在受不了——同事要个 200MB 的素材包得先下载到本地再传给别人中间还要解释你装个客户端。后来换成对象存储但每次生成分享链接、设置有效期又太琐碎。最后我决定在 Ubuntu 上装 Samba把这些目录直接共享出来Windows、macOS、Linux 三种客户端都能像访问本地磁盘一样双击打开。麻烦的地方在于这是一台公网服务器Samba 默认的 445 端口在公网上经常不通于是又牵扯出端口映射、云平台安全组、系统防火墙这一整条链路。这篇就把从装包到跑通、从权限理清到排错收口的全过程写下来Ubuntu 20.04/22.04/24.04 都适用新手照着做能跑通有经验的人可以重点看权限对齐和端口映射那两节。1. 云服务器上跑Samba到底值不值三个合适场景和两类劝退情况1.1 从上传下载到像本地磁盘一样用Samba 做的事说穿了很简单在 Linux 上实现 SMB/CIFS 协议的服务端让 Windows 的原生文件共享协议、macOS 的 Finder、Linux 的 cifs 内核模块都能挂上来。它和 SFTP、HTTP 下载最大的区别是挂载之后它是一个文件系统而不是一个传输通道。这个差别带来的体验是量级的你在 Windows 资源管理器里输入\\服务器IP\share回车输入一次账号密码勾选记住之后这个目录就一直在此电脑里双击打开、拖拽文件、右键新建文件夹、Office 直接另存为到这个路径全部是原生操作。我在实际使用中感受最深的是三类场景。第一类是团队内部的文件分发设计稿、测试包、数据集放到共享目录里同事自己取不用我反复发链接。第二类是跨设备同步工作目录家里台式机、公司笔记本、虚拟机里的 Ubuntu同一份代码草稿或者论文素材放在共享目录里谁都能读写省掉了 U 盘和聊天软件传来传去。第三类是给容器和虚拟机当外挂盘宿主机挂一个共享目录虚拟机里mount -t cifs上去改代码不用重启虚拟机比共享文件夹方案更稳定。这三类场景有个共同点访问频率不高但单次文件不小而且参与的人或设备只有几个。这正好落在 Samba 的舒适区里。如果你的场景偏离这个范围太远下面这几种情况我建议先别折腾。1.2 什么情况下我会劝你先别装Samba第一种是只需要单向读取、几乎没有写入。比如你只是想给一个静态资源目录做个下载入口那用 Nginx 的autoindex或者对象存储更省事Samba 的账号体系、端口、防火墙配置一整套下来成本明显更高。第二种是多人高频并发写同一个文件。SMB 有文件锁机制但它是为一个人打开一份文档编辑设计的不是为五个人同时往一个文件里追加日志设计的。数据库文件、Git 仓库的.git目录、正在被编译的构建产物都不要放在 Samba 共享里直接操作你会遇到文件锁冲突、写入不完整、甚至索引损坏。这类需求应该走版本控制或者专门的同步工具。第三种最需要说清楚敏感数据不要裸奔在公网。Samba 老版本默认允许 SMB1、允许匿名访问这些默认值在公网上就是风险敞口。如果确实要公网访问那必须走非标准端口、强制 SMB3 加密、账号强密码、安全组限定源 IP 这一整套收口动作具体在第八节展开。2. 动手前的环境盘点Ubuntu版本、网络出口和云平台安全组2.1 三条命令把家底摸清在敲apt install之前我习惯先把三件事确认一遍这三件事任何一件不对后面都会白折腾。# 系统版本与内核 lsb_release -a uname -r # 网卡与内网地址 ip -4 addr show # 当前对外出口地址确认公网 IP 是弹性 IP 还是 NAT 出口 curl -s ifconfig.me; echolsb_release -a看的是发行版版本Ubuntu 20.04 自带 Samba 4.1122.04 是 4.1524.04 是 4.19这几个版本的配置文件语法基本兼容但 24.04 在默认协议上更严格老客户端如果只支持 SMB1 会直接连不上这一点后面会细说。ip -4 addr show输出的地址很关键阿里云 ECS 的网卡上看到的一般是内网地址10.x、172.16.x 段公网 IP 是通过 NAT 映射到这张网卡上的。这意味着 Samba 配置里不要写死公网 IPinterfaces和bind interfaces only这类参数能不写就不写让它默认监听所有地址最省心。2.2 阿里云安全组公网访问绕不过去的第一道门这是新手最容易卡住的地方服务明明起来了systemctl status smbd一片绿本机smbclient也能连上自己但外网死活连不上。九成以上的原因在安全组。阿里云的入方向规则是按协议 端口范围 授权对象三个维度配的。你需要开的是协议端口用途授权对象建议TCP445SMB over TCP现代 Windows/macOS 首选自己的固定出口 IP/32TCP139老客户端走 NetBIOS over TCP 时用同上不用可不加UDP137-138NetBIOS 名称解析仅局域网式广播场景需要一般不用加TCP4450自定义映射端口示例自己的固定出口 IP/32授权对象那一栏我要多说两句。很多人图省事填0.0.0.0/0等于把共享目录挂到全世界面前。只要有一台机器被扫到弱口令爆破是几小时内的事。正确做法是填自己家的宽带出口 IP 加/32公司如果也是固定出口就再添一条。/32 的意思是这个地址段里只有这一个 IP比填一个 C 段安全得多。宽带的公网 IP 会变隔段时间连不上就回来改一下这个麻烦值得吃。2.3 系统防火墙ufw 和 firewalld 的选择Ubuntu 默认装的是 ufw但默认状态是未启用inactive。这里有个取舍只用安全组不开 ufw配置最省事但安全组一旦被人误改主机就完全没有第二道防线。两者都开安全组做粗粒度控制ufw 做主机层面的细粒度控制我推荐这个方案。ufw 的放行写法注意要用 Samba 的应用配置文件它会一次性把该放的端口放对ufw allow from 203.0.113.10 to any port 4450 proto tcp ufw allow Samba ufw status verbose第二条ufw allow Samba会自动套用/etc/ufw/applications.d/samba里的定义把 137/138/139/445 一起放行。如果你改成了自定义端口 4450那就用第一条那种显式写法别依赖应用配置文件。注意ufw 默认会拒绝所有入站所以在ufw enable之前一定确认 SSH 的 22 端口已经放行否则会把自己关在门外。云服务器上这一点比本地机器更要命因为控制台的 VNC 救援入口操作起来很别扭。3. 安装Samba与最小可用配置的落地过程3.1 apt 安装与版本确认安装本身一行命令但后面的确认步骤别省sudo apt update sudo apt install -y samba samba-common-bin smbd -V systemctl status smbd --no-pagersmbd -V打印的是实际生效的版本号比apt policy samba更可信。安装过程会自动生成一份/etc/samba/smb.conf默认配置同时创建smbd和nmbd两个 systemd 服务。这里有个细节Ubuntu 上 smbd 和 nmbd 是分开的两个 unit你在局域网里靠网络邻居浏览共享依赖 nmbd但如果是通过\\IP\share直接访问其实只用 smbd 就够了。我一般两个都留着。systemctl status smbd显示active (running)就说明服务起来了但这只是能启动不代表能连上配置对不对还得看下一节。3.2 smb.conf 的结构global 段管全局共享段管目录/etc/samba/smb.conf的语法非常朴素只有两种东西节section和参数parameter。节用方括号包起来[global]是唯一有特殊地位的节里面的参数作用于整个服务其他节名就是共享名客户端看到的就是这个名字。注释支持#和;两种但有个坑要提参数值里的;和#也会被当成注释起始符比如你在某个路径里带了#会被截断。所以路径里尽量别用这两个符号。另外推荐一个组织方式从 Samba 4.0 起官方配置末尾就有这几行include /etc/samba/smb.conf.%U include /etc/samba/smb.conf.%G%U是登录用户名%G是用户主组。这意味着你可以给每个用户单独放一份覆盖配置把个性化的东西比如专属目录写在/etc/samba/smb.conf.zhangsan里主配置保持干净。团队人多的时候这个机制非常好用主配置只用管公共共享。3.3 一份能跑起来的最小配置下面这份配置我用了很久思路是先把只读共享跑通再逐步加可写共享[global] workgroup WORKGROUP server string Cloud File Server security user map to guest never server min protocol SMB2_10 client min protocol SMB2_10 unix charset UTF-8 dos charset CP936 log file /var/log/samba/log.%m max log size 1000 logging file log level 1 [public] comment Public Read Only path /srv/samba/public browseable yes read only yes guest ok no valid users smbusers create mask 0644 directory mask 0755 [team] comment Team Writable Share path /srv/samba/team browseable yes read only no guest ok no valid users smbusers write list smbusers force group smbusers create mask 0660 directory mask 2770几个参数值得单独解释。server min protocol SMB2_10是为了关掉 SMB1——SMB1 是 1980 年代的协议存在大量已知问题现在的 Windows 10/11 和 macOS 都已经默认不使用了关掉它没有任何体验损失只是防止古董设备接入。map to guest never是彻底禁止匿名访问任何没有正确凭据的连接直接拒绝不给它降级成 guest 的机会。unix charset UTF-8和dos charset CP936这对组合是解决中文文件名的。Unix 侧文件名是 UTF-8 存储的老 Windows 客户端在协商时可能用 GBK 编码dos charset CP936让服务端在必要时做转换。新版 Windows 基本都走 UTF-8 了这个参数留着不碍事。3.4 改完配置必须跑 testparm这是我这几年养成的肌肉记忆比重启服务还重要testparm -s它会做两件事一是检查语法二是把最终生效的配置含所有默认值打印出来。很多人以为自己的配置生效了其实某个参数写错位置被忽略了——比如把read only写进了[global]它不会报错但也完全不起作用。testparm -s的输出里能看到这个参数到底有没有落到对应的共享段里。改完配置不重启也能生效用这个命令通知 smbd 重载sudo smbcontrol all reload-config只有改动smb ports、interfaces这类监听层面的参数时才必须systemctl restart smbd nmbd。4. 账号与权限的三方对齐系统用户、Samba用户、目录归属这一节是整篇里最容易让人栽跟头的地方我见过太多人卡在这里。核心原因是访问一个共享目录要同时过两套体系的检查。4.1 为什么系统用户建好了还是登录失败Samba 用的是 Linux 的系统用户来做身份映射但密码库是独立的。你useradd建了用户、设了系统密码Samba 完全不认——它查的是/var/lib/samba/private/passdb.tdb老版本在/etc/samba/smbpasswd。所以必须再用smbpasswd -a往 Samba 的密码库里加一份。顺序上我建议这样sudo adduser zhangsan # 建系统用户会同时建同名组 sudo smbpasswd -a zhangsan # 设置 Samba 密码交互式输入 sudo smbpasswd -e zhangsan # 确保账号是启用状态 sudo pdbedit -L # 列出所有 Samba 用户pdbedit -L是排查时的第一手工具输出了用户名和 UID 说明注册成功如果这里没有你要的用户那前面smbpasswd -a一定失败了去看它的报错。4.2 smbpasswd 的几个常用动作命令作用使用时机smbpasswd -a user添加并设置密码首次创建 Samba 用户smbpasswd -e user启用账号账号被 -d 禁用后恢复smbpasswd -d user禁用账号人员离职、临时停用smbpasswd -x user删除 Samba 用户彻底移除不动系统用户smbpasswd user修改自己的密码普通用户自助改密pdbedit -L -v查看详细账号信息排查账号状态-d和-x的区别值得记住-d只是标记禁用随时能-e回来-x是从密码库里删掉重新加要重设密码。人员流动频繁的团队-d更灵活。4.3 目录权限、create mask 与 force user 的配合现在说最难的一层文件系统权限。Samba 拿到登录用户后会切换到对应的 Linux 用户身份去读写目录所以目录的属主、属组、权限位必须允许这个用户操作。这里有三组概念容易混目录本身的权限ls -ld /srv/samba/team看到的drwxrws---决定用户能不能进这个目录、能不能在里面创建文件。create mask / directory mask决定新建的文件和子目录的权限位。注意它只是允许的最大权限实际权限还会受 umask 影响Samba 用的是请求权限 AND mask的逻辑。force user / force group强制所有操作以指定的用户或组身份进行忽略客户端的实际登录身份。force group是最实用的一个。团队共享目录配上force group smbusers和create mask 0660不管谁来创建文件文件的属组都是smbusers组内成员都能读写不会出现张三建的文件李四改不了这种事。directory mask 2770里的那个2是SGID 位它保证在这个目录里新建的子目录自动继承父目录的属组而不是继承创建者的主组。没有这个位子目录的属组会变成创建者的默认组共享结构一深入就全乱了。4.4 几种常见共享形态的权限方案对照不同用途的共享目录权限配法差别很大我整理成一张表共享形态目录权限关键参数说明个人私有目录drwx------属主自己valid users %U、read only no每人一个目录互不可见团队可写目录drwxrws---属主 root:smbusersforce group smbusers、create mask 0660、directory mask 2770组内全员读写推荐只读分发目录drwxr-x---属主 root:smbusersread only yes、valid users smbusers管理者单独留写权限投递目录只进不出drwx-wx---属主 root:smbusersread only no、write list smbusers配合目录无读权限收集作业、上传文件防止互相偷看最后那个投递目录值得说一下。给目录设成drwx-wx---有写无读用户能往里扔文件但看不到目录里有什么配合create mask 0600让上传的文件只有自己能读。这个模式在收集报表、作业、匿名反馈的场景里非常实用但要注意用户重复上传同名文件时会失败因为他看不到已存在的文件却也没权限覆盖通常要在客户端加时间戳后缀。目录创建和权限设置的具体命令sudo mkdir -p /srv/samba/{public,team,drop} sudo groupadd smbusers sudo usermod -aG smbusers zhangsan sudo usermod -aG smbusers lisi sudo chown root:smbusers /srv/samba/team sudo chmod 2770 /srv/samba/team sudo chown root:smbusers /srv/samba/public sudo chmod 2750 /srv/samba/public改完组关系后已经登录的会话不会自动获得新组要么让用户重新登录要么用newgrp smbusers刷新。这是排查我明明加了组怎么还是不行的经典原因。5. 端口映射实战把445换成自定义端口打通公网5.1 为什么公网直连445经常不通445 端口在公网上的处境很特殊。历史上有多轮大规模的网络蠕虫利用了 SMB 服务的漏洞传播导致运营商和云平台普遍对 445 做了出入方向的限制。你在家里宽带试很可能出方向的 445 是直接被拦掉的表现就是 TCP 握手根本建立不起来telnet 服务器IP 445一直卡在连接中而不是快速拒绝。这种情况下的解决办法就是换一个非标准端口把 SMB 服务监听在你指定的端口上然后通过云平台安全组把这个端口映射放行出去。严格说这叫端口变更 安全组放行云平台的 NAT 网关完成内外网地址的转换你不需要在阿里云上做额外的 DNAT 配置——安全组放行 服务改端口这两步就够了。5.2 用自定义端口映射的完整配置链四步顺序很重要# 第一步改服务监听端口 sudo vi /etc/samba/smb.conf # 在 [global] 段加上 # smb ports 4450 # 第二步防火墙放行只给自己出口 IP sudo ufw allow from 203.0.113.10 to any port 4450 proto tcp # 第三步重启服务并验证监听 sudo systemctl restart smbd nmbd ss -lntp | grep -E 445|4450 # 第四步云控制台安全组入方向添加 TCP 4450 规则ss -lntp的输出是判断成败的关键应该只看到 4450 在监听445 消失了。如果两个都在说明配置没生效或者被别的地方覆盖了回去跑testparm -s | grep smb\ ports确认。改端口有个连带影响要提前说smb ports改了以后NetBIOS 那一套137/138/139实际就废了靠网络邻居自动发现的方式不再工作。这不算问题因为公网环境本来也不该用广播发现直接用\\IP:端口\共享名这种显式路径访问更可靠。5.3 客户端怎么指定端口这是改端口之后最麻烦的一环因为不同客户端的支持程度差别很大客户端指定端口的方式是否原生支持smbclient-p 4450或--port4450支持Linux mount.cifs挂载选项port4450支持macOS Findersmb://IP:4450/share支持Windows 资源管理器不支持需本地端口转发Linux 端的实测写法# 先探测共享列表 smbclient -L //203.0.113.10 -p 4450 -U zhangsan # 临时挂载 sudo mkdir -p /mnt/team sudo mount -t cifs //203.0.113.10/team /mnt/team \ -o port4450,usernamezhangsan,uid$(id -u),gid$(id -g),\ file_mode0660,dir_mode2770,iocharsetutf8,vers3.0 # 查看挂载状态 mount | grep cifsvers3.0这个选项建议显式写上。老内核默认可能协商到 SMB1而我们在服务端已经关掉了 SMB1结果就是挂载时报一个很含糊的协议不匹配错误。写死3.0或3.1.1能省掉一堆排查。5.4 Windows 客户端在非标准端口下的处理Windows 资源管理器在地址栏输\\IP:4450\share是不认的它会报找不到网络路径。绕过去的办法是在本机做一个本地端口转发把本地的 445 映射到服务器的 4450然后访问\\127.0.0.1\share:: 以管理员身份运行 netsh interface portproxy add v4tov4 listenport445 listenaddress127.0.0.1 connectport4450 connectaddress203.0.113.10 :: 查看已配置的转发 netsh interface portproxy show all :: 删除 netsh interface portproxy delete v4tov4 listenport445 listenaddress127.0.0.1这里的关键点是listenaddress127.0.0.1。Windows 自身的 SMB 服务已经占用了 0.0.0.0:445如果你监听地址写0.0.0.0转发规则会添加失败或者不生效。绑定在回环地址上就避开了这个冲突代价是只能本机访问对本机映射驱动器来说完全够用。顺手提醒端口转发规则是持久化的重启后仍然存在。如果哪天服务器 IP 变了或者不用了记得回来delete否则会出现连到老地址的超时等待非常难排查。6. 三种客户端的接入方式与各自的小脾气6.1 Windows映射网络驱动器与凭据管理Windows 端的标准流程是这样打开此电脑右键映射网络驱动器文件夹框填\\203.0.113.10\team勾选使用其他凭据输入 Samba 用户名密码勾选记住我的凭据。也可以用命令行一次搞定net use Z: \\203.0.113.10\team /user:zhangsan * /persistent:yes net use net use Z: /delete/persistent:yes让它在重启后自动重连*表示交互式输入密码避免密码留在命令历史里。Windows 这边有几个特有的坑。一是凭据冲突如果你之前用另一个账号连过同一台服务器Windows 会缓存旧凭据新账号怎么输都失败报多重连接到一个服务器或共享资源或者直接认证失败。清理方式是在凭据管理器里删掉对应的 Windows 凭据或者用net use * /delete全部断开重来。二是访客访问策略较新的 Windows 版本默认禁止用 guest 身份做 SMB 访问如果服务端配了允许 guest 的共享客户端可能直接拒绝连接报错代码往往是0x8007052e之类。这也是我一直建议关掉 guest 的原因之一——两边策略不一致会制造很多无谓的排错时间。6.2 macOSFinder 的 smb:// 和它在共享目录里留下的垃圾macOS 接入很简单Finder 里按Cmd K输入smb://203.0.113.10:4450/team认证后就会挂载到/Volumes/team。命令行方式mkdir -p ~/mnt/team mount_smbfs //zhangsan203.0.113.10:4450/team ~/mnt/team umount ~/mnt/teammacOS 有两个特别烦人的行为。第一是它会在每个目录写.DS_Store元数据文件在共享目录里一样照写不误几个月下来目录里全是隐藏文件。第二是在复制包含扩展属性的文件时生成._前缀的伴生文件AppleDouble 格式你的服务器目录会被这些文件撑得很难看。解决办法是在共享段加上过滤veto files /._*/.DS_Store/ delete veto files yesveto files让服务端直接隐藏这些文件客户端看不到也写不进去delete veto files yes表示删除目录时允许连带删掉被 veto 的文件。这个改动很小但共享目录的整洁度提升非常明显。6.3 Linuxcifs-utils 与开机自动挂载Linux 端的准备工作是先装上工具包sudo apt install -y cifs-utils然后把凭据单独放一个文件避免密码出现在/etc/fstab这个全局可读的地方# /etc/samba/cred-team权限设成 0600 sudo tee /etc/samba/cred-team /dev/null EOF usernamezhangsan password你的密码 domainWORKGROUP EOF sudo chmod 600 /etc/samba/cred-team对应/etc/fstab里的写法//203.0.113.10/team /mnt/team cifs credentials/etc/samba/cred-team,port4450,vers3.0,uid1000,gid1000,file_mode0660,dir_mode2770,iocharsetutf8,_netdev,noauto,x-systemd.automount 0 0这里几个挂载选项各有讲究。_netdev告诉系统这是网络文件系统等网络就绪后再挂载不加的话开机时可能因为网络还没起来而挂载失败进而卡住整个启动流程。noauto表示不随mount -a自动挂载。x-systemd.automount让 systemd 创建一个自动挂载点第一次访问该目录时才真正去挂载。这个组合是我目前最推荐的既避免了开机网络竞态又不需要手动敲 mount。7. 连不上、能读不能写按层排查的完整链路排错最忌讳的是到处乱改配置。我的做法是固定按四层顺序走每层都有明确的验证命令确认通过再进下一层。7.1 第一层网络层先确认端口能通# 从客户端测 nc -vz 203.0.113.10 4450 telnet 203.0.113.10 4450 # 服务器上看监听状态 ss -lntp | grep smbd如果这一层就不通问题不在 Samba而在安全组或者 ufw。判断技巧是看报错形态Connection refused说明包到了服务器但没服务监听方向是查 smbd超时卡住Connection timed out说明包被中间设备丢了方向是查安全组和运营商策略。这两个报错指向完全不同的原因别混着查。7.2 第二层服务层本机连自己smbclient -L //127.0.0.1 -p 4450 -U zhangsan smbstatussmbclient -L能列出共享名说明服务本身和配置没问题。这一步通过但外网不通就回到第一层继续查网络。smbstatus更有意思它能看到当前所有活跃连接、锁定的文件、以及每个连接的登录用户排查谁占着文件不放的时候非常有用。7.3 第三层认证层用目标账号实测smbclient //203.0.113.10/team -p 4450 -U zhangsan # 进入交互后 smb: \ ls smb: \ put /etc/hostname test.txt这一步是分水岭。如果ls成功但put失败问题在权限层跟认证无关。如果登录就失败检查pdbedit -L里有没有这个用户、账号是不是启用状态、密码是不是搞错了大小写。7.4 第四层权限层从文件系统角度复验ls -ld /srv/samba/team sudo -u zhangsan ls -l /srv/samba/team sudo -u zhangsan touch /srv/samba/team/.perm_test echo OK最后那条命令是我最爱用的招数绕开 Samba直接用目标系统用户的身份去写文件。如果这一步都写不进去那 Samba 怎么配都没用是纯文件系统权限问题如果这一步能写但通过 Samba 不行那就是read only、write list、create mask这些 Samba 参数的问题。7.5 常见报错对照表客户端现象大概率根因验证方式连接超时无任何提示安全组未放行 / 端口写错nc -vz IP 端口Connection refusedsmbd 未运行或未监听该端口ss -lntp | grep smbd提示用户名或密码错误Samba 密码未设置 / 账号被禁用pdbedit -L、smbpasswd -e能看到共享名但点进去报无权限valid users不含该用户或组关系未刷新testparm -s、重新登录能读不能写read only yes/write list限制 / 目录权限不足用sudo -u复验写权限Windows 报多重连接错误客户端旧凭据冲突凭据管理器清理、net use * /delete中文文件名乱码字符集参数缺失检查unix charset与客户端编码大文件传到一半中断会话超时 / MTU 问题deadtime、socket options调整7.6 日志在哪里、怎么开更详细的日志Samba 的日志默认在/var/log/samba/下log.%m这个写法会让每个客户端 IP 生成一个独立文件%m是客户端机器名实际文件名可能是log.203.0.113.10或者log.desktop-abc。查的时候先ls -lt /var/log/samba/找最新的那个。排错时需要临时提高日志级别# [global] 段 log level 2级别 2 会把认证过程、权限检查的关键路径打出来足够定位绝大多数问题。但排完必须改回 1级别 3 以上会让日志文件飞速膨胀几天就能吃掉几个 G 的磁盘我见过因为这个把系统盘写满导致服务全挂的情况。8. 挂在公网上的Samba安全收口与并发调优8.1 认证层面的几道闸必须先关公网暴露的服务安全配置不能靠应该没人会扫到。我在[global]段固定加这几行security user map to guest never guest account nobody restrict anonymous 2 server min protocol SMB2_10 smb encrypt required obey pam restrictions yes pam password change yessmb encrypt required是这里面最有分量的一条它强制所有 SMB3 流量加密。这个参数只在 SMB3 下有效这也是为什么前面要强制server min protocol SMB2_10——老协议不支持加密必须一起调。开启加密后有轻微的性能开销但在公网传文件这点开销必须接受。restrict anonymous 2是彻底拒绝匿名连接连共享列表都不给匿名用户看。obey pam restrictions yes让 Samba 遵循系统的账号策略比如账号锁定规则、密码过期时间这些在纯 Samba 层是管不到的。8.2 网络层面的收口手段除了前面说的安全组限定源 IP还有两个做法一是不用标准端口。这不算真正的安全措施端口扫描一样能发现但能过滤掉大量只会扫 445 的自动化脚本降低被盯上的概率。二是给认证失败加限制。可以用 fail2ban 监控 Samba 日志里的认证失败记录连续失败达到阈值就把源 IP 临时封禁sudo apt install -y fail2ban # 新建 /etc/fail2ban/jail.d/samba.conf[samba] enabled true port 4450 filter samba logpath /var/log/samba/log.%m maxretry 3 bantime 3600 findtime 600配置完之后sudo fail2ban-client status samba能看当前的封禁列表。这个组合对暴力破解的效果非常明显实测下来配上之后日志里的异常尝试会大幅减少。8.3 性能与稳定性参数公网传输的两个主要瓶颈是带宽和单连接延迟。Samba 默认的一些参数是为局域网优化的公网环境下可以调socket options TCP_NODELAY IPTOS_LOWDELAY read raw yes write raw yes aio read size 16384 aio write size 16384 deadtime 15 keepalive 60TCP_NODELAY关掉 Nagle 算法减少小请求的延迟累积交互式操作列目录、打开小文件体感提升明显。deadtime 15表示连接空闲 15 分钟就断开释放服务端资源避免大量僵尸连接堆积。keepalive 60每 60 秒发一次探测包防止中间的 NAT 设备把空闲连接表项回收——这是大文件传输中途断掉的常见原因。aio read/write size开启异步 IO大文件顺序读写会有一定提升。但如果你的服务器磁盘本身是云盘、IOPS 有限这个参数的收益不大不要指望它能突破磁盘瓶颈。关于带宽还有个现实提醒阿里云 ECS 的公网带宽是按购买量计的如果你买的是 5Mbps 带宽理论峰值也就 600KB/s 左右传 1G 的文件要将近半小时。这个跟 Samba 配置没关系是链路本身的限制。要传大文件要么提带宽贵要么走内网同地域的机器走内网地址带宽和速度完全是另一个量级。9. 我在实际部署里踩过的坑和留下的几个习惯第一次部署的时候我在改完smb.conf后忘了重启服务然后对着smbclient报了半小时的用户名或密码错误——因为服务还在用旧配置而我新加的用户根本不在旧配置的valid users里。从那以后我的固定动作是改配置 →testparm -s→smbcontrol all reload-config或systemctl restart smbd nmbd→smbstatus确认。这四个动作连成一条肌肉记忆能省掉大量无意义的调试。第二个坑是中文文件名。早期配置里只写了unix charset UTF-8Windows 客户端传上来的中文文件名在 Linux 侧看是乱码。补上dos charset CP936之后正常了。后来发现新版 Windows 走 UTF-8 协商就没这个问题但为了兼容一些老设备这个参数一直留着。第三个坑是磁盘写满。有一次开了log level 3排一个问题排完忘了改回来一周后 smbd 突然拒绝服务查了半天发现是日志目录把系统盘写满了。Samba 的日志级别是排查工具不是常驻配置这是我现在写在部署清单第一条的话。第四个坑是关于force user的误解。我一开始以为配了force user就能无视目录权限结果发现不是——force user只是切换身份切换后仍然受该用户对目录的权限约束。如果被强制切换的那个用户对目录没有写权限照样写不进去。这个理解纠正之后我在配force user时会同时检查那个用户对目标目录的权限。最后留下几个习惯都是被坑出来的部署完成后立刻把可用的smb.conf备份到/etc/samba/smb.conf.bak.$(date %F)改坏了随时回滚目录结构固定用/srv/samba/做根不散落在/home里因为/home在有些发行版上有自动挂载和配额策略会给共享带来额外变量客户端的凭据文件权限永远设成 0600服务器上的passdb.tdb也只在备份时导出不往代码仓库里放。这套方案我在几台阿里云 ECS 上跑了两年多日常就三五个人的使用强度除了偶尔要更新一下安全组里的源 IP家里宽带换地址了基本没出过需要紧急处理的问题。真正花时间的从来不是安装那一步而是把权限、端口、防火墙这三层对清楚以及养成改配置后验证的习惯。