Samba服务需smbd和nmbd协同工作：smbd处理文件共享（TCP 139/445），nmbd负责NetBIOS名称解析（UDP 137/138）；Windows资源管理器依赖nmbd发现服务器，而smbclient直连IP可绕过该依赖。

直接上结论：Samba服务在现代 Linux（CentOS 7+/RHEL 8+/Ubuntu 20.04+）上，smbd 和 nmbd 进程必须同时运行才能完整支持发现 + 访问；但绝大多数局域网文件共享场景，只需确保 smbd 正常工作，nmbd 可选——尤其当客户端是 Windows 10/11 或 macOS 时，它们默认走 TCP 445 直连，不依赖 NetBIOS 名称解析。

为什么 smbclient 能连上但 Windows 资源管理器找不到服务器？

这是最典型的配置断层。Windows 资源管理器依赖 NetBIOS 名称广播或 WINS 解析来“发现”局域网内的 SMB 主机，而 smbd 本身不处理名称广播，必须靠 nmbd 响应 NETBIOS-NS 请求（UDP 137）。

• 现象：smbclient -L //192.168.1.100 -U% 成功列出共享，但 Windows 地址栏输入 \192.168.1.100 提示“找不到网络路径”或“指定的网络名不可用”
• 原因：防火墙拦了 UDP 137/138，或 nmbd 没启动，或 /etc/samba/smb.conf 中 disable netbios = yes（显式关闭）
• 验证方式：systemctl status nmbd 看是否 active；ss -unl | grep ':137|:138' 看端口是否监听
• 快速修复：systemctl enable --now nmbd，并开放防火墙：firewall-cmd --permanent --add-port=137/udp、firewall-cmd --permanent --add-port=138/udp，再 firewall-cmd --reload

挂载后提示 Permission denied，但 smbclient 登录正常？

这不是密码错，而是 Linux 客户端挂载时没传对凭据类型，或服务端没启用 user 级别认证。

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

• 检查服务端 /etc/samba/smb.conf 的 [global] 段：security = user 必须存在，且不能是 share（已弃用）或 domain（需 AD 集成）
• 客户端挂载命令必须带 -o username=xxx，且该用户必须已用 smbpasswd -a xxx 添加进 Samba 用户库（tdbsam），不是系统用户密码
• 常见错误写法：mount -t cifs //192.168.1.100/share /mnt -o user=xxx,password=yyy —— 这里 user= 是旧语法，新内核要求用 username=
• 更安全做法：把凭证存进文件（如 /etc/samba/creds），权限设为 600，内容为：username=alfa
password=123456，然后挂载时用 -o credentials=/etc/samba/creds

SELinux 导致共享目录无法写入，chmod 777 也没用？

SELinux 不认传统权限，它按安全上下文（type）控制访问。即使目录属组正确、ACL 开放，samba_share_t 类型没打上去，smbd 进程照样被拒绝写入。

• 确认当前上下文：ls -Z /path/to/share，看末尾是不是 samba_share_t
• 临时修复（仅测试）：chcon -t samba_share_t /path/to/share
• 永久生效（推荐）：semanage fcontext -a -t samba_share_t '/path/to/share(/.*)?'，再 restorecon -Rv /path/to/share
• 如果启用了 setroubleshoot，可查 ausearch -m avc -ts recent | audit2why 看具体哪条策略被触发

真正麻烦的从来不是配通，而是配通之后权限链断裂：Samba 用户 → Linux 文件系统 ACL → SELinux type → systemd socket 激活延迟 → 客户端缓存。其中任意一环掉链，都会表现为“能列目录但不能读写”或“偶尔连得上偶尔连不上”。建议每次改完配置，用 testparm -v 检查语法，用 smbstatus 查当前连接，再拿 smbclient 从本机直连验证，最后才让 Windows/macOS 客户端介入。