samba匿名访问需确保guest account指向真实存在的系统用户（如nobody），否则testparm报“invalid guest account”错误；必须配置security = user、map to guest = bad user、guest account = nobody、共享段中guest ok = yes及正确目录权限与selinux上下文。
直接说结论：Samba匿名访问不是“关掉认证”就行，而是让客户端以 guest 身份进来，且这个 guest 必须是系统上真实存在的本地用户（比如 nobody 或 ftp），否则连接会失败或被拒绝。
为什么 testparm 报错 “invalid guest account”
这是最常卡住的第一步。Samba 启动前会校验 guest account 是否在系统中存在。如果你在 smb.conf 里写了 guest account = nobody，但系统里没有 nobody 用户（或该用户被禁用、shell 设为 /sbin/nologin 以外的非法值），testparm 就会报这个错误。
- 检查命令：
id nobody，确认用户存在且 UID ≥ 1 - 若不存在，创建：
sudo useradd -r -s /sbin/nologin -d /var/empty nobody - RHEL 8+ 默认有
nobody，但某些最小化安装可能删掉了，别假设它一定在 -
guest account不能设成空字符串或未定义用户，也不能是root（Samba 明确禁止）
smb.conf 中必须设置的匿名关键参数
只改 security = user 和 map to guest = bad user 不够，还缺几个联动项，漏一个就变“半匿名”——比如 Windows 提示输入密码，Linux 客户端挂载时报 NT_STATUS_ACCESS_DENIED。
-
security = user：必须保持为user，不是share（旧版已弃用） -
map to guest = bad user：当用户名不存在或密码错时，降级为 guest；别用never或bad password -
guest account = nobody：指向上面确认存在的系统用户 - 共享段内必须加：
guest ok = yes（等价于public = yes），且read only = yes（如题要求只读下载） - 别漏掉
browseable = yes，否则 Windows 网络邻居里根本看不到共享名
目录权限和 SELinux 是匿名访问失败的两大隐形杀手
即使配置全对，ls -l /share 权限不对或 SELinux 上下文没改，客户端照样进得去、列不出文件，或者提示“拒绝访问”。
- 目录属主建议设为
root:nobody，权限用2755（setgid + r-xr-xr-x），确保新建文件继承组 - 执行：
sudo chown root:nobody /share && sudo chmod 2755 /share - RHEL/CentOS 8+ 默认启用 SELinux，必须打标签：
sudo semanage fcontext -a -t samba_share_t "/share(/.*)?" && sudo restorecon -Rv /share - 防火墙要放行：
sudo firewall-cmd --permanent --add-service=samba && sudo firewall-cmd --reload
Windows 客户端连不上？先绕过凭据缓存
Windows 会缓存上次登录的用户名，哪怕你点“匿名访问”，它也可能自动填了旧账号发过去，导致 Samba 拒绝（因为没配那个用户）。这不是配置错，是客户端行为。
- 临时清空凭据：
cmd中运行net use * /delete，再试\192.168.10.1public - 或用 IP 直连，避免 NetBIOS 名称解析干扰：
\192.168.10.1public而非\Server01public - Linux 客户端挂载时显式指定 guest：
mount -t cifs //192.168.10.1/public /mnt -o guest,uid=1000,gid=1000 - 别依赖“快速访问”里的历史记录，它经常带错上下文
真正麻烦的从来不是写几行配置，而是 guest account 必须真实存在、SELinux 上下文必须匹配、Windows 凭据缓存会骗你——这三处不手动验证，光靠重启服务解决不了问题。
