1. 项目概述为什么要在Ubuntu上搭建Samba如果你手头有一台安装了Ubuntu 22.04的电脑无论是作为主力开发机、家庭服务器还是淘汰旧笔记本改造的NAS让它和家里的Windows电脑、Mac或者手机共享文件总是一个绕不开的需求。直接插U盘拷贝太原始用网盘同步又慢又担心隐私这时候一个本地的文件共享服务就成了刚需。Samba就是这个领域的老兵和事实标准它实现了Windows网络最核心的SMB/CIFS协议能让你的Ubuntu机器无缝融入现有的Windows网络环境或者反过来让其他设备像访问本地文件夹一样访问Ubuntu上的资源。我选择在Ubuntu 22.04上做这件事是因为这个LTS版本足够稳定软件源里的Samba也是经过充分测试的版本搭建过程几乎是一条直线的命令但里面的门道不少。比如权限配置不对你可能看得见文件夹却打不开或者安全设置太松等于在局域网里敞开了大门。这篇文章我就从一个实际运维者的角度带你从零开始在Ubuntu 22.04上搭建一个既安全又好用的Samba服务。无论你是想搭建一个家庭媒体中心共享电影还是为小团队创建一个简单的文件共享点这些步骤和踩坑经验都能直接用上。2. 核心思路与方案选型2.1 为什么是Samba而不是其他方案在Linux上实现文件共享可选方案不止Samba一个。比如还有NFS网络文件系统它性能更高在纯Linux/Unix环境间共享是首选或者用WebDAV通过HTTP协议共享配置起来像搭一个网站。但我依然首选Samba核心原因在于兼容性和免客户端。NFS虽然高效但Windows系统默认不支持需要额外安装客户端软件对家庭用户或非技术团队成员不友好。WebDAV需要每个访问设备都进行挂载操作体验上不够“原生”。而Samba最大的优势在于对于Windows和macOS用户它几乎是透明的。在Windows的文件资源管理器里你的Ubuntu服务器会直接出现在“网络”位置中双击就能访问和访问另一台Windows电脑没有任何区别。这种无缝体验对于混合环境来说是决定性的。此外Android和iOS上也有很多支持SMB协议的文件管理器App访问同样方便。因此我们的方案选型非常明确使用Ubuntu 22.04官方源中的Samba软件包搭建一个支持多用户、具备不同权限的共享服务。我们将采用用户验证的方式而不是匿名共享以保障基本的安全。2.2 基础环境与网络考量在开始敲命令之前有两点需要先确认好这能避免后续很多麻烦。第一是网络环境。确保你的Ubuntu服务器和需要访问它的客户端比如你的Windows电脑在同一个局域网段内。简单来说就是它们连接的同一个路由器获取的IP地址是类似192.168.1.xxx这样的。你可以通过在Ubuntu终端里输入ip addr命令来查看自己的IP地址。记下这个地址后面客户端连接时会用到。第二是防火墙。Ubuntu 22.04默认使用的是ufw防火墙而且初始状态是禁用的。这有利有弊。好处是在学习和测试阶段你大概率不会因为防火墙问题导致连不上。坏处是如果将来你要长期运行这台服务器必须妥善配置防火墙。我们的策略是先确保服务在无防火墙干扰下能正常工作然后再回头配置防火墙规则只开放必要的端口。Samba需要用到一系列端口最常用的是139和445。我们会在服务调试成功后再来处理它。3. 服务安装与核心配置解析3.1 安装Samba软件包安装过程非常简单Ubuntu的APT包管理器已经为我们准备好了所有东西。打开终端首先更新一下软件包列表这是一个好习惯能确保我们安装的是最新的稳定版本。sudo apt update更新完成后直接安装Sambasudo apt install samba -y这个-y参数表示自动确认安装省去一次手动输入。安装过程会同时装上Samba的核心服务程序smbd负责文件共享和打印和nmbd负责NetBIOS名称解析让其他电脑能在网络邻居里看到你的机器。安装完成后系统会自动创建Samba的配置文件目录/etc/samba和主要的配置文件/etc/samba/smb.conf。这个文件就是我们接下来要动手术的核心。注意在修改任何配置文件之前先做一个备份这是运维工作的铁律。执行sudo cp /etc/samba/smb.conf /etc/samba/smb.conf.backup。万一改乱了我们可以用备份文件瞬间恢复。3.2 剖析与规划Samba配置文件在动手修改之前我们先理解一下smb.conf的结构。这个文件被分成了若干节section每节用方括号[]括起来。[global]全局配置节。这里设置的是整个Samba服务器的行为比如工作组名、服务器描述、安全模式、日志设置等。[homes]一个特殊的共享节。如果启用每个系统用户都可以通过Samba访问自己的家目录/home/用户名。[printers]打印机共享节。[share]自定义的共享节。我们可以创建任意多个比如[media]、[public]等。我们的目标是创建一个新的、独立的共享目录而不是直接使用[homes]节。这样做更清晰权限分离也更好管理。假设我想创建一个名为shared的共享对应Ubuntu系统上的/srv/samba/shared目录允许一个特定的用户组比如smbusers的成员读写。首先创建这个目录并设置好本地权限# 创建共享根目录和具体共享目录 sudo mkdir -p /srv/samba/shared # 创建一个专门用于Samba的用户组 sudo groupadd smbusers # 将共享目录的所属组改为smbusers sudo chgrp smbusers /srv/samba/shared # 设置目录权限所属者(root)和所属组(smbusers)有读写执行权限其他用户无任何权限 sudo chmod 2770 /srv/samba/shared这里chmod 2770中的2是设置SGID位。这个位非常有用它使得在这个目录下创建的任何新文件或子目录都会自动继承smbusers组作为所属组。这样同组内的其他用户也能顺利读写这些新文件避免了权限混乱。3.3 编辑配置文件并创建Samba用户现在我们来编辑核心配置文件。使用你喜欢的文本编辑器比如nanosudo nano /etc/samba/smb.conf首先关注[global]节。找到workgroup这一行默认可能是WORKGROUP。如果你的Windows电脑默认的工作组也是这个大部分家庭网络是就不用改。如果想改成其他名字比如MYHOME就修改它。确保server string服务器描述是你喜欢的名字这会在网络邻居里显示。最关键的一行是security。在较新的Samba版本中推荐使用user模式即用户级安全。确保配置中是security user接下来在文件的末尾添加我们自定义的共享节[shared] comment Ubuntu Samba Shared Folder path /srv/samba/shared browseable yes read only no guest ok no valid users smbusers create mask 0664 directory mask 0775 force group smbusers我们来逐行解析[shared]共享名称客户端访问时看到的就是这个。comment共享描述辅助信息。path共享目录在Ubuntu上的绝对路径。browseable是否允许被浏览到设为yes。read only是否只读设为no表示可读写。guest ok是否允许匿名访客访问为了安全务必设为no。valid users允许访问此共享的用户。smbusers表示允许smbusers用户组的所有成员。create mask/directory mask控制新建文件和目录的默认权限。这里设置文件为664属主和属组可读写其他人只读目录为775属主和属组可读写执行其他人可读和执行。force group强制所有通过Samba创建的文件都属于smbusers组这与前面设置的SGID位协同工作确保权限一致性。保存并退出编辑器在nano中是CtrlX然后按Y确认再按回车。现在我们需要创建一个系统用户并把它添加到smbusers组然后为这个用户设置一个Samba专用密码。注意Samba密码和系统登录密码是分开的。假设我们创建一个叫sambauser的用户# 创建系统用户不创建家目录因为不是用来登录的 sudo useradd -M -s /usr/sbin/nologin sambauser # 将用户添加到smbusers组 sudo usermod -aG smbusers sambauser # 为sambauser设置Samba密码 sudo smbpasswd -a sambauser执行smbpasswd命令后会提示你输入并确认密码。这个密码就是之后在Windows上连接时需要输入的密码。最后在重启服务前一定要用Samba自带的工具测试一下配置文件语法是否正确sudo testparm如果输出显示“Loaded services file OK.”并且下面列出了你配置的[shared]共享那就说明配置文件语法没问题。如果有错误它会明确指出在哪一行方便你回头修改。4. 服务管理、防火墙与客户端连接4.1 启动服务并设置开机自启配置检查无误后就可以启动Samba服务了。Ubuntu 22.04使用systemd管理系统服务。# 启动Samba服务 sudo systemctl start smbd nmbd # 设置开机自动启动 sudo systemctl enable smbd nmbd # 查看服务状态确认是否运行正常 sudo systemctl status smbd运行status命令后你应该看到绿色的“active (running)”字样。如果有问题日志信息会在这里显示这是排查故障的第一现场。4.2 配置防火墙如果启用如前所述如果之前没有启用ufw可以跳过这一步。如果你已经启用了或者现在打算启用以加强安全就需要添加规则。首先查看Samba在ufw中的应用配置文件sudo ufw app list你应该能看到一个叫“Samba”的应用。查看它的详细规则sudo ufw app info Samba它会列出需要开放的端口。通常我们允许局域网访问即可。假设你的局域网网段是192.168.1.0/24可以这样添加规则# 允许来自局域网的Samba流量 sudo ufw allow from 192.168.1.0/24 to any app Samba # 启用ufw防火墙如果尚未启用 sudo ufw enable务必确认你的客户端IP在允许的网段内否则会被防火墙阻断。4.3 从Windows客户端连接这是最有成就感的时刻。在你的Windows电脑上打开文件资源管理器在地址栏输入以下两种格式之一\\你的Ubuntu的IP地址例如\\192.168.1.100\\你的Ubuntu的主机名可以在Ubuntu终端用hostname命令查看按回车后可能会弹出凭据窗口。输入用户名sambauser和你用smbpasswd设置的密码。如果一切顺利你就会看到名为shared的共享文件夹双击进入就可以像操作本地文件夹一样读写文件了。你可以尝试在里面新建一个文本文档然后在Ubuntu的/srv/samba/shared目录下用ls -l命令查看会发现这个文件的所属组是smbusers权限也符合我们设置的664。这证明SGID和force group生效了。4.4 从macOS客户端连接在macOS上打开Finder在菜单栏选择“前往” - “连接服务器…”或者直接按CommandK。 在服务器地址中输入smb://你的Ubuntu的IP地址例如smb://192.168.1.100。 点击连接选择注册用户输入用户名sambauser和密码同样可以挂载共享文件夹到本地。5. 高级配置与性能调优5.1 多用户与复杂权限管理在实际应用中一个共享给多人用很常见且每个人权限可能不同。Samba可以很好地结合系统用户和组来管理。例如我们有share目录希望用户userA和userB可读写。用户userC只能读。其他人不能访问。实现步骤创建系统用户和组。sudo groupadd share_rw sudo groupadd share_ro sudo useradd -M -s /usr/sbin/nologin userA sudo useradd -M -s /usr/sbin/nologin userB sudo useradd -M -s /usr/sbin/nologin userC sudo usermod -aG share_rw userA sudo usermod -aG share_rw userB sudo usermod -aG share_ro userC设置目录权限。假设共享路径是/srv/samba/complex_share。sudo mkdir -p /srv/samba/complex_share sudo chown root:share_rw /srv/samba/complex_share sudo chmod 2770 /srv/samba/complex_share # 设置ACL为只读组添加读取和执行权限 sudo setfacl -m g:share_ro:rx /srv/samba/complex_share在smb.conf中配置共享。[complex_share] path /srv/samba/complex_share valid users share_rw, share_ro read list share_ro write list share_rw force group share_rw create mask 0664 directory mask 0775这里read list和write list实现了精细的读写控制。force group确保了新建文件属于share_rw组这样同组的userA和userB都能互操作文件而userC由于不在share_rw组且被read list限制只能读。5.2 启用日志进行问题排查Samba的日志是排查连接、权限问题的利器。在[global]节添加或修改以下配置log file /var/log/samba/log.%m log level 2 max log size 1000log file /var/log/samba/log.%m%m是客户端机器名的占位符。这意为每个连接的客户端都会生成一个独立的日志文件如log.windows-pc查看起来非常方便。log level 2日志级别。1是基础2会记录更多细节如连接、认证过程3以上信息量巨大一般调试时才用。max log size 1000单个日志文件最大1000KB超过后会轮转。配置后重启Samba服务。当遇到问题时去/var/log/samba/目录下查看对应的日志文件里面通常会明确告诉你认证失败、权限拒绝的具体原因。5.3 性能优化参数对于千兆网络或需要传输大文件的情况调整一些参数可以提升吞吐量。在[global]节或特定共享节中添加socket options TCP_NODELAY SO_RCVBUF131072 SO_SNDBUF131072 read raw yes write raw yes large readwrite yes max xmit 65535 dead time 15socket options调整TCP套接字参数减少延迟增大缓冲区。read raw/write raw启用原始读写提升大文件传输效率。large readwrite支持大的读写请求。max xmit增大单个传输块的大小。dead time设置空闲连接断开时间为15分钟释放资源。这些参数在网络状况良好的局域网内通常能带来可观的性能提升。修改后同样需要重启服务。6. 常见问题与故障排查实录即使按照步骤操作也可能会遇到一些问题。这里记录几个我踩过的坑和解决方案。6.1 Windows提示“无法访问。你可能没有权限使用网络资源”这是最常见的问题原因多样。凭据错误Windows会缓存旧的凭据。去“控制面板” - “用户账户” - “管理Windows凭据”找到关于你Ubuntu服务器地址的凭据删除它然后重新连接并输入用户名密码。Samba用户未激活smbpasswd -a只是添加用户默认是禁用的。确保用户是激活状态sudo smbpasswd -e sambauser。安全策略限制对于Windows 10/11它默认启用了更严格的安全策略。可以尝试在Ubuntu的[global]节添加以下两行来兼容ntlm auth yes client min protocol SMB2 server min protocol SMB2这强制使用SMB2及以上协议并启用NTLM认证。6.2 能看到共享文件夹但打开时提示“拒绝访问”这基本是Linux文件系统权限与Samba权限不匹配导致的。目录的本地权限用ls -ld /srv/samba/shared检查。确保Samba用户或其所属的组对该目录至少有rx读取和执行权限。执行权限对于进入目录是必须的。SELinux/AppArmorUbuntu默认使用AppArmor可能会限制Samba。查看日志sudo dmesg | tail或/var/log/syslog有无拒绝信息。可以尝试将共享目录移到/home或/var/lib/samba下这些地方通常有预设的访问规则。或者暂时禁用AppArmor对Samba的配置进行测试sudo aa-complain /usr/sbin/smbd。有效用户列表确认你的用户确实在valid users列表中或者属于valid users指定的组。6.3 连接速度慢列表目录卡顿名称解析问题Windows在连接前会尝试进行NetBIOS名称解析等可能耗时。直接使用IP地址连接\\192.168.1.100通常最快。关闭smb.conf中不必要的共享如果配置了[homes]但不需要可以注释掉。客户端会尝试枚举所有共享。调整smb.conf中的socket options如前文性能优化部分所述调整TCP参数可能改善速度。6.4 如何让共享在互联网上不可见仅限局域网这是重要的安全实践。在[global]节添加绑定网卡和限制访问来源interfaces lo eth0 192.168.1.0/24 bind interfaces only yesinterfaces指定Samba只监听本地回环lo和局域网网卡如eth0以及指定的局域网网段。bind interfaces only yes确保只绑定在上述接口上。这样即使服务器有公网IPSamba服务也不会在公网上响应。搭建和调试Samba服务的过程本质上是一个不断对齐“Linux文件权限”、“Samba共享权限”和“客户端期望”这三者的过程。最稳妥的调试方法是先确保本地权限通再验证Samba配置通最后排查网络和客户端问题。多利用testparm和Samba日志它们能提供最直接的错误线索。当一切配置妥当看着不同系统的设备流畅地存取同一份文件时这种打破壁垒的掌控感正是自建服务的乐趣所在。
