全部產品
Search

搜尋本產品

    File Storage NAS：macOS用戶端通過VPN訪問SMB協議檔案系統

    文件中心

    File Storage NAS：macOS用戶端通過VPN訪問SMB協議檔案系統

    更新時間：Jun 03, 2026

    如果您想在本地macOS用戶端中掛載NAS，則必須連通NAS所在地區VPC的網路。本文檔介紹macOS用戶端如何通過VPN掛載SMB協議檔案系統以及如何使用macOS用戶端通過Kerberos協議訪問SMB協議檔案系統。

    前提條件

    • 已建立SMB協議檔案系統。具體操作，請參見建立檔案系統。

    • 已添加專用網路類型的掛載點。具體操作，請參見添加掛載點。

    macOS用戶端掛載SMB協議檔案系統

    1. 通過VPN網關建立VPC到macOS用戶端的遠端連線。具體操作，請參見Mac用戶端遠端連線。

      其中，在建立SSL服務端中，客戶端網段與本端網段不能重複，本端網段為VPC的網段。您可以登入專用網路管理主控台，在專用網路詳情查看VPC網段資訊。在編輯SSL服務端對話方塊中，設定名稱為ssl-india，選擇目標VPN網關，設定本端網段為172.31.0.0/16，用戶端網段為192.168.1.0/24。用戶端網段不能和VPC內交換器網段衝突。單擊確定完成配置。

    2. 驗證macOS用戶端和SMB協議檔案系統掛載點的連通性。

      • 驗證網路連通性

        VPN網關串連後，通過ping命令ping VPC內SMB協議檔案系統掛載點，驗證通訊是否正常。

        IT-C02WW0JRG8WN:Volumes      $ ping xxx.nas.aliyuncs.com
PING xxx.nas.aliyuncs.com (172.31.16.146): 56 data bytes
64 bytes from 172.31.16.146: icmp_seq=0 ttl=101 time=211.562 ms
64 bytes from 172.31.16.146: icmp_seq=1 ttl=101 time=199.784 ms
64 bytes from 172.31.16.146: icmp_seq=2 ttl=101 time=173.240 ms
^C
--- xxx.nas.aliyuncs.com ping statistics ---
3 packets transmitted, 3 packets received, 0.0% packet loss
round-trip min/avg/max/stddev = 173.240/194.862/211.562/16.027 ms
        說明

        如果掛載點無法ping通，則需要通過一台與SMB協議檔案系統在同一VPC下的ECS雲端服務器ping掛載點得到掛載點IP，使用掛載點IP在macOS上進行掛載操作。

      • 驗證服務連接埠連通性

        telnet [SMB協議檔案系統掛載點] 445

    3. 掛載SMB協議檔案系統。

      • 通過macOS用戶端圖形介面化操作

        1. 在macOS用戶端案頭頂部的Finder欄，單擊。

        2. 在Connect to Server對話方塊，輸入掛載點，單擊Connect。在 Server Address 欄輸入 SMB 掛載地址，格式為 smb://掛載點網域名稱/myshare，然後單擊 Connect。

        3. 在對話方塊Connect As地區，選中Guest，單擊Connect。

        4. 在macOS用戶端案頭頂部的Finder欄，單擊，選中myshare頁簽查看已掛載的SMB協議檔案系統。

          說明

          掛載完成後，macOS用戶端會去讀取掛載的NAS中所有檔案。檔案讀取過程中，myshare可能顯示為空白，請您耐心等待。

      • 通過macOS用戶端命令列操作

        執行mount_smbfs命令列掛載SMB協議檔案系統。樣本如下：

        mount_smbfs '//gue**@nas-mount-point.nas.aliyuncs.com/myshare' /Volumes/myshare/

        其中nas-mount-point.nas.aliyuncs.com為SMB協議檔案系統的專用網路掛載點，請根據實際值替換。

        如返回如下類似資訊，說明掛載成功。

        IT-C02WW0JRG8WN:Volumes (xxx)$ mount_smbfs '//xxx.nas.aliyuncs.com/myshare' /Volumes/myshare
IT-C02WW0JRG8WN:Volumes xxx$ mount
/dev/disk1s1 on / (apfs, local, journaled)
devfs on /dev (devfs, local, nobrowse)
/dev/disk1s4 on /private/var/vm (apfs, local, noexec, journaled, noatime, nobrowse)
map -hosts on /net (autofs, nosuid, automounted, nobrowse)
map auto_home on /home (autofs, automounted, nobrowse)
/dev/disk1s3 on /Volumes/Recovery (apfs, local, journaled, nobrowse)
//xxx@xxx.nas.aliyuncs.com/myshare on /Volumes/myshare (smbfs, nodev, nosuid, mounted by xxx)

    macOS用戶端通過Kerberos協議訪問SMB協議檔案系統

    SMB協議檔案系統預設只支援NTLM鑒權協議，無論macOS用戶端以什麼身份掛載，鑒權後得到的身份均為Everyone，預設擁有所有許可權。而阿里雲NAS SMB協議檔案系統支援基於AD域的使用者身份認證和檔案系統層級的許可權存取控制。您可以通過以下步驟控制不同使用者訪問SMB協議檔案系統的許可權。

    1. 搭建AD域。

    2. 建立SMB協議檔案系統掛載點與AD域的串連。具體操作，請參見將SMB協議檔案系統掛載點接入AD域。

    3. 添加VPN SSL網段到安全性群組。具體操作，請參見添加安全性群組規則。

      請您在ECS執行個體的安全性群組中添加如下連接埠許可權，確保macOS用戶端的DNS請求和SMB請求在AD域中可執行。

      • DNS連接埠：UDP 53

      • Kerberos連接埠：TCP 88

      • LDAP連接埠：TCP 389

      • LDAP Global Catalog連接埠：TCP 3268

      以 DNS 連接埠規則為例，在編輯安全性群組規則對話方塊中，設定網卡類型為內網、規則方向為入方向、授權策略為允許、協議類型為自訂 UDP、連接埠範圍為 53、優先順序為 1、授與類型為IPv4位址區段訪問、授權對象為 192.168.1.6/24，單擊確定。其餘連接埠（TCP 88、TCP 389、TCP 3268）參照此方式添加對應規則。

    4. 設定macOS用戶端的DNS為AD網域服務器。

      1. 通過ipconfig命令在AD網域服務器上查詢內網IP。

      2. 在macOS用戶端案頭頂部的Finder欄，單擊。

      3. 在Network對話方塊，將macOS用戶端的DNS設定為AD網域服務器內網IP。

    5. 驗證macOS用戶端與AD域的串連。

      使用ping命令串連AD域，以下樣本即為串連成功。

      IT-C02WW0JRG8WN:Volumes xxx$ ping smb-hk.com
PING smb-hk.com (172.31.59.36): 56 data bytes
64 bytes from 172.31.59.36: icmp_seq=0 ttl=127 time=172.032 ms
64 bytes from 172.31.59.36: icmp_seq=1 ttl=127 time=173.217 ms
64 bytes from 172.31.59.36: icmp_seq=2 ttl=127 time=176.154 ms
^C
--- smb-hk.com ping statistics ---
3 packets transmitted, 3 packets received, 0.0% packet loss
round-trip min/avg/max/stddev = 172.032/173.801/176.154/1.733 ms
IT-C02WW0JRG8WN:Volumes xxx$

    6. 配置macOS用戶端通過Kerberos協議掛載SMB協議檔案系統。

      1. 執行kinit，驗證AD域身份安全性。樣本如下：

        kinit user@MYDOMAIN.COM

      2. 執行klist命令，查看AD域身份。樣本如下：

        klist

      3. 執行kinit命令，啟動AD域身份。樣本如下：

        kinit

      4. 執行命令，掛載SMB協議檔案系統。樣本如下：

        mount_smbfs //administrator@nas-mount-point.nas.aliyuncs.com/myshare /Volumes/myshare
        說明

        若出現如mount_smbfs: server rejected the connection: Authentication error的報錯資訊，請執行kinit命令，驗證AD域身份後再次執行掛載。

        掛載成功會返回如下資訊： 

        IT-C02WW0JRG8WN:Volumes xxx$ kinit xxx@SMB-HK.COM
xxx@SMB-HK.COM's password:
IT-C02WW0JRG8WN:Volumes xxx$ klist
Credentials cache: API:25A9ACD7-9930-499C-81DF-3EF76C83EE36
        Principal: xxx@SMB-HK.COM
  Issued                Expires               Principal
Apr 15 03:49:18 2020  Apr 15 13:49:12 2020  xxx              xxx@SMB-HK.COM
IT-C02WW0JRG8WN:Volumes xxx$ mount_smbfs '//xxx.nas.aliyuncs.com/myshare' /Volumes/myshare
IT-C02WW0JRG8WN:Volumes xxx$ mount
/dev/disk1s1 on / (apfs, local, journaled)
devfs on /dev (devfs, local, nobrowse)
/dev/disk1s4 on /private/var/vm (apfs, local, noexec, journaled, noatime, nobrowse)
map -hosts on /net (autofs, nosuid, automounted, nobrowse)
map auto_home on /home (autofs, automounted, nobrowse)
/dev/disk1s3 on /Volumes/Recovery (apfs, local, journaled, nobrowse)
//xxx@xxx.nas.aliyuncs.com/myshare on /Volumes/myshare (smbfs, nodev, nosuid, mounted by xxx)
IT-C02WW0JRG8WN:Volumes xxx$
        掛載成功後執行klist命令，會顯示兩個服務主體，如下所示： 
        $ klist
Credentials cache: API:25A9ACD7-9930-4xxx
        Principal: xxxr@SMB-HK.COM
  Issued                Expires               Principal
Apr 15 03:49:18 2020  Apr 15 13:49:12 2020  krbtgt/SMB-HK.COM@SMB-HK.COM
Apr 15 03:49:27 2020  Apr 15 13:49:12 2020  cifs/xxx.cn-hongkong.nas.aliyuncs.com@SMB-HK.COM

        說明

        macOS用戶端不會顯示SMB ACL，但實際AD域身份已生效。您在對任何檔案進行操作時，SMB協議檔案系統都會先驗證ACL，然後允許或禁止該操作。如需設定ACL，請您在AD網域服務器掛載該SMB協議檔案系統時進行配置。