部署SMB文件共享需三层权限协同：Linux文件系统权限为根基，Samba配置定义操作边界，网络与协议层加固防渗透；缺一不可。

部署 smb 文件共享服务，关键不在“能连上”，而在“谁能在什么条件下做什么”。它是一套三层权限叠加的系统：linux 文件系统权限是地基，samba 配置是门禁规则，传输与网络层则是外围防线。三者缺一不可，任意一层松动都可能让整个共享体系失效或暴露风险。

目录结构与文件系统权限是权限控制的根基

所有 Samba 共享行为最终都要落到 Linux 文件系统上。如果目录属主、属组或权限位设置错误，再精细的 smb.conf 配置也形同虚设。

• 公共资料目录（如 /srv/samba/public）应设为 teacher:student，权限 775，并用 setfacl -d 设置默认 ACL，确保新上传文件继承可读但不可写给学生组
• 作业提交目录（如 /srv/samba/homework）必须启用粘滞位：chmod 2775 或 3777（含 SGID+sticky），配合 chown teacher:student，才能实现“学生可传、不可删改他人文件”
• 个人私有目录（如 /srv/samba/private/stu01）权限必须严格为 700，属主为对应用户，属组可设为 student 但不赋予权限，杜绝跨用户访问可能

Samba 配置需精准匹配业务角色与操作意图

smb.conf 不是参数堆砌，而是对每个共享的“最小权限契约”。全局配置决定认证方式，共享段定义操作边界。

• 全局项必须设 security = user，禁用已废弃的 share 模式；map to guest = bad user 仅用于明确开放的只读共享，多用户场景中应关闭
• 教师专用目录共享段中，valid users = teacher + read only = no 是基础，但必须搭配 browsable = no 隐藏该共享，避免被枚举发现
• 作业目录需启用 create mask = 0664 和 directory mask = 2775，确保新建文件/目录自动适配组权限和粘滞位逻辑

协议与网络层加固防止内网横向渗透

SMB 协议本身已是攻击高频入口，尤其在混合环境中，疏忽配置极易成为跳板。

• 强制禁用 SMBv1：min protocol = SMB2，并在系统级关闭（如 Windows 执行 Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol）
• 限制访问源 IP：用 hosts allow = 192.168.10.0/24 锁定内网网段，配合 iptables 或 firewalld 规则，只放行 139/445 端口必要流量
• 若环境支持，启用加密：smb encrypt = required（Samba 4.11+），避免凭证与文件内容明文传输

SELinux 与日志审计是最后一道可控防线

即使配置正确，SELinux 的布尔值或上下文错误也会导致共享拒绝访问；而缺乏日志则等于失去事后追溯能力。

• 检查 SELinux 状态：sestatus，若为 enforcing，需设置布尔值：setsebool -P samba_export_all_rw on，并对共享目录打标：chcon -t samba_share_t /srv/samba/*
• 开启详细日志：log level = 2 或按模块分级（如 auth:3），日志路径设为独立文件，定期轮转并监控异常登录失败记录
• 建议每周执行一次权限一致性校验脚本，比对 getfacl 输出与预期 ACL，及时发现手动误操作