Samba 这个词，做 Linux 运维的人早晚都会碰上。说白了，它就是让 Linux 服务器和 Windows 电脑之间互相共享文件的那座桥。公司里最常见的场景是这样的：一台服务器跑着 Linux，上面挂着几块大硬盘，人事要传制度文件、开发要放安装包、设计要丢素材，而大家手里的电脑基本都是 Windows。这时候装一个 Samba，把目录共享出去，所有人打开文件管理器输入一个地址，或者映射成网络驱动器，用起来就跟访问本地文件夹一样，问题就解决了。
这个主题我在真实服务器上反复配置过很多遍，踩过的坑比说明书上写的故障案例还多。这篇文章不是照着官方文档翻译，而是把从安装到排障的完整路径捋一遍：先讲清楚 Samba 在协议层面的工作原理，再拆解 smb.conf 的每个关键参数，然后给出一个可以直接照抄的完整配置过程，最后把连接失败、权限拒绝、中文乱码这些高频问题一次性说透。适合刚接手 Linux 服务器的新手，也适合那些已经会配共享但经常被 SELinux、防火墙、编码问题折磨的老手。
1. 先把概念捋清楚：Samba 到底在做什么
1.1 SMB/CIFS 协议的前世今生
Samba 的核心是实现了 SMB（Server Message Block）协议，这个协议最早是微软系统和局域网里的文件共享、打印机共享的基础通信方式。后来经过多次迭代，出现了 CIFS（Common Internet File System）的说法，再往后 SMB 协议本身又升级到 SMB2、SMB3，性能和安全性都有明显提升。Samba 可以理解成一个运行在 Linux 上的"协议翻译官"：Linux 自己的文件系统是 ext4、xfs 这一套，Windows 的文件夹共享用的是 SMB 这套规则，两边语言不通，Samba 在中间完成转换。
这里有个很容易忽略的点：早期 Windows 系统默认使用 SMB1 协议，但 SMB1 漏洞非常多，著名的勒索病毒传播就是靠它。现代 Samba 默认已经禁用 SMB1，统一走 SMB2/3，速度更快也更安全。很多老教程上来就让你改server min protocol = NT1，这种操作在新版本上不但没必要，还等于主动把安全漏洞打开，我建议一律不碰。
1.2 Samba 在真实工作场景里的定位
有人会问，既然有 NFS、FTP、SSH，为什么还要用 Samba？答案很简单：因为你没法控制同事用的是什么系统。NFS 在 Linux 之间很好用，但 Windows 原生不支持；FTP 能传文件但没法像本地目录一样直接编辑、锁定、拖拽；Samba 则让 Windows 和 Linux 都能把共享目录挂载成本地磁盘，体验最接近原生。
实际部署中，Samba 最常见的用途有几个：
- 文件共享中心：部门公共目录、公司资料库，Windows 直接访问。
- Linux 服务器与 Windows 客户端混合环境的数据交换。
- 打印服务器共享打印机。
- 作为域成员或域控制器实现统一认证（这个属于更进阶的玩法，本文先不展开）。
明白这点之后，配置 Samba 就不是"敲几行命令"的事，而是要根据公司实际使用方式，规划好目录结构、用户体系、读写权限，否则后面改起来非常痛苦。
2. 动手之前：安装、环境检查与共享规划
2.1 安装包选择与基础环境确认
不同 Linux 发行版的包名略有差异，Debian/Ubuntu 系列是samba，RHEL/CentOS/Rocky 系列也是samba，安装命令分别为：
# Debian / Ubuntu sudo apt update sudo apt install -y samba samba-client # RHEL / CentOS / Rocky sudo yum install -y samba samba-clientsamba-client一定记得装，里面带了smbclient这个命令行工具，后面排障全靠它。
安装完先确认版本和服务状态：
smbd --version systemctl status smbd # Debian系 systemctl status smb # RHEL系版本号至少在 4.x 以上才比较靠谱，4.0 以前的版本太老，不建议在生产环境用。
2.2 目录规划与用户规划
这是最容易偷懒也最容易出事的一步。很多人上来就共享根目录或者整个 home，图省事，结果权限混乱得一塌糊涂。我个人的习惯是集中创建一个数据根目录，按用途拆分子目录：
sudo mkdir -p /data/share sudo mkdir -p /data/share/public # 公共只读区 sudo mkdir -p /data/share/team # 团队协作区 sudo mkdir -p /data/share/backup # 备份写入区然后每个目录对应不同的权限策略，后面配置共享时思路才清晰。目录权限方面，public目录给755，team目录用2770（带上 setgid，保证新建文件的属组继承父目录），backup目录用770。
用户方面，Samba 的认证用户和 Linux 系统用户是两套体系，但 Samba 用户必须关联到一个已存在的 Linux 用户。所以第一步是先创建系统用户，再用smbpasswd给这个用户设置 Samba 密码。后面第 4 节会有完整命令。
提示：规划时想清楚一个问题——这个共享目录是给"所有人"用，还是给"指定部门"用，还是给"特定个人"上传备份？同一个需求，对应的配置方式完全不同。别混着配，混了就是给自己埋雷。
3. 核心配置：smb.conf 逐段拆解
3.1 全局参数：先定安全基调
Samba 的主配置文件是/etc/samba/smb.conf，整个配置分成[global]全局段和若干个[共享名]共享段。先说全局段里我每次都会重点检查的几个参数。
[global] workgroup = WORKGROUP server string = File Server security = user map to guest = Bad User server min protocol = SMB2 server max protocol = SMB3 log file = /var/log/samba/log.%m max log size = 50 hosts allow = 127.0.0.1 192.168.1. 10.0.0.逐个说明：
security = user：这是最常用的认证模式，用户必须提供用户名密码才能访问共享。别去用share这种老古董模式。map to guest = Bad User：当用户名错误时自动映射为 guest，配合guest ok = yes的共享段可以实现"无需登录直接浏览公共区域"，但要小心，guest 处理不好就是匿名访问漏洞。server min protocol = SMB2：强制最低协议版本为 SMB2，直接屏蔽 SMB1。log file = /var/log/samba/log.%m：%m是客户端主机名的变量，每台客户端单独一个日志文件，排障效率翻倍。hosts allow：只允许局域网网段访问，外部 IP 一律拒绝，这是最粗暴有效的一层防护。
3.2 共享段参数：读写权限是怎么控制的
每个共享段都以方括号命名，里面的参数决定这个目录的访问规则。我拿一个团队协作共享举例：
[team] path = /data/share/team valid users = @staff writeable = yes browseable = yes create mask = 0660 directory mask = 0770 force group = staff每个参数背后的逻辑：
path：共享对应的物理路径。注意权限是 Linux 权限和 Samba 权限双重叠加，Samba 层允许读写，但 Linux 文件系统层没有权限照样白搭。valid users：允许访问的用户或组。@staff表示staff这个 Linux 用户组。writeable = yes：允许写入。如果需要半公开的只读共享，就设成no。create mask和directory mask：新创建的文件和目录会被强制赋予的权限位。0660表示文件属主和属组可读写，其他人什么都不能干，这是比较保守且稳妥的设置。force group：强制所有新建文件的属组为指定组，配合目录上的 setgid 位，团队协作时不管谁建的文件，组内其他人都有权读写。
这里要重点说一句：Samba 的权限判断是"先看 Samba 配置，再叠加 Linux 文件系统权限"。很多人配了writeable = yes还是写不进去，十有八九是目录本身的 Linux 权限不够，或者属主不对。排查的时候先把目录 chmod、chown 弄对，再回头看 Samba 配置。
3.3 认证机制：smbpasswd 与 tdbsam
Samba 用户密码不像系统用户那样存在/etc/shadow，它有独立的密码数据库。老版本默认用smbpasswd明文文件，新版本默认后端是tdbsam，存在/var/lib/samba/private/passdb.tdb里。日常管理不需要关心底层存储格式，只需要记住两件事：
- 添加 Samba 用户：先确保 Linux 系统用户存在，然后执行
sudo smbpasswd -a 用户名。 - 启用/停用用户：
sudo smbpasswd -e 用户名、sudo smbpasswd -d 用户名。 - 修改密码：
sudo smbpasswd 用户名。 - 查看当前 Samba 建立的会话和打开的文件：
smbstatus。
4. 实操演练：从零搭建一个可用的文件共享服务器
4.1 创建用户、组与目录权限
下面是一套我在模拟项目 X 环境里验证过的完整流程，可以直接照着执行。
# 1. 创建用户组和用户 sudo groupadd staff sudo useradd -g staff -d /home/zhangsan -m zhangsan sudo useradd -g staff -d /home/lisi -m lisi # 2. 创建共享根目录和子目录 sudo mkdir -p /data/share/{public,team,backup} # 3. 设置目录权限 sudo chown root:staff /data/share/team sudo chmod 2770 /data/share/team sudo chown root:root /data/share/public sudo chmod 755 /data/share/public sudo chown root:staff /data/share/backup sudo chmod 770 /data/share/backup # 4. 添加 Samba 用户并设置密码 sudo smbpasswd -a zhangsan sudo smbpasswd -a lisichmod 2770里的2是 setgid 位，这个细节很关键：有了它，zhangsan在这个目录里新建的任何文件，属组都会自动变成staff，lisi作为同组成员就能正常读写，不会出现"一个人建的文件，另一个人没法改"的尴尬。
4.2 编写并校验 smb.conf
把前面全局段和共享段的内容合并，写进/etc/samba/smb.conf。完整的共享段我建议写成这样：
[public] path = /data/share/public browseable = yes guest ok = yes read only = yes [team] path = /data/share/team valid users = @staff writeable = yes browseable = yes create mask = 0660 directory mask = 0770 force group = staff [backup] path = /data/share/backup valid users = @staff writeable = yes browseable = nobackup设为browseable = no，意思是别人在网络上看不到这个共享名，但知道确切路径的用户仍然可以访问。这不是安全措施，只是减少干扰。
写完配置之后，千万不要直接重启服务，先用官方工具检查语法：
testparmtestparm会把配置文件读一遍，有语法错误、非法参数会直接报出来。注意，testparm只是检查语法，不检查路径是否存在、属主是否正确，所以路径错误它不会提示，得自己确认。
确认没问题后再重启服务：
# Debian/Ubuntu sudo systemctl restart smbd nmbd # RHEL/CentOS/Rocky sudo systemctl restart smb nmbnmbd负责 NetBIOS 名称解析，虽然现代 SMB 协议已经不太依赖它，但保留可以让某些老 Windows 环境通过主机名找到服务器。
4.3 验证配置：从 Windows 和 Linux 两端分别测试
先在 Linux 本机用smbclient验证：
smbclient -L //127.0.0.1 -U zhangsan这条命令会列出服务器上所有可浏览的共享。看到team、public等名字出现，说明认证和枚举都正常。接着验证某个共享能否真正访问：
smbclient //127.0.0.1/team -U zhangsan进入交互模式后，可以用ls看目录内容，用put传一个测试文件，确认写入没问题。
Windows 端的验证就更直观了：打开文件资源管理器，在地址栏输入\\服务器IP\team，弹出认证框后输入zhangsan和对应的 Samba 密码，就能看到共享目录。至于"网上邻居"看不到服务器，多半是nmbd没启动或者 Windows 的网络发现被关了，直接输入 IP 路径永远是最可靠的验证方式。
经验之谈：Windows 端验证通过后，建议顺手做一次"映射网络驱动器"操作，给共享目录分配一个盘符。这样同事用起来就像本地磁盘一样，体验最好，也方便你后续做客户端访问日志分析。
5. 常见问题与排查技巧实录
5.1 连不上、看不到共享目录
这是频率最高的故障。我通常按下面的顺序排查：
- 第一步，
ping服务器 IP，确认网络通。 - 第二步，
telnet 服务器IP 445，确认端口通。445是 SMB 主端口，旧协议才用139。 - 第三步，如果端口不通，检查防火墙。RHEL 系用
firewall-cmd --list-all看有没有放行samba服务：
sudo firewall-cmd --permanent --add-service=samba sudo firewall-cmd --reload- 第四步，检查 SELinux。这是 RHEL 系最常见的坑，SELinux 默认会把 Samba 的读写行为挡住。临时验证可以
setenforce 0，如果是这个问题，再开放对应的布尔值：
sudo setsebool -P samba_export_all_rw on- 最后，查看 Samba 运行状态和日志：
systemctl status smbd、tail -f /var/log/samba/log.smbd。
排查顺序很重要。很多人上来就翻 smb.conf，其实网络层没通的话配置再对也没用。
5.2 认证成功但无法写入文件
这种情况最典型的现象是：能浏览目录、能打开文件，但一保存就提示"权限不足"。按我前面的说明，Samba 层权限检查通过后，还要过 Linux 文件系统权限这一关。
解决办法分三步：
# 1. 确认 Samba 用户确实关联了正确的系统用户 id zhangsan # 2. 确认共享目录的属主和权限 ls -ld /data/share/team # 期望看到类似 drwxrws--- root staff 的结果 # 3. 如果不对，重新设置 sudo chown root:staff /data/share/team sudo chmod 2770 /data/share/team还有个小坑：如果客户端是 Windows，往共享里写文件时，文件名可能会包含特殊字符或超长路径，这时 Windows 会报错，但 Samba 日志里不会有任何记录。遇到就检查对方文件名是否合规，比如是不是包含了:或者末尾带了空格。
5.3 中文文件名乱码
国内环境几乎必踩的坑。Linux 服务器文件系统默认编码是 UTF-8，老 Windows 客户端默认编码可能是 GBK，两边一交互，中文文件名就变成乱码。
解决方案是在[global]段加三行：
unix charset = UTF-8 dos charset = CP936 display charset = UTF-8dos charset = CP936表示 Windows 侧按简体中文 GBK 处理文件名，unix charset = UTF-8表示 Linux 侧按 UTF-8 存储。这样设置的代价是：已经错乱的文件名不会自动恢复，需要手动重命名；新创建的文件基本不会再出现乱码。
注意：改编码后一定要重启
smbd再测试。如果客户端已经缓存了旧连接，建议先断开网络驱动器重新连接，否则可能还看到乱码。
6. 安全加固与性能优化心得
6.1 别让共享裸奔：认证、IP 限制与权限收敛
Samba 默认配置的安全性是偏弱的，直接暴露在公网上极危险。我把安全加固的经验整理成几条硬性规则：
- 永远不要在非可信网络直接开放 SMB 端口，服务器的防火墙只放行内网网段。
hosts allow里只写内网 IP 段，必要时用hosts deny再拦一层。- 不需要被浏览的共享，一律
browseable = no。 - 只读共享就不要给写入权限，
read only = yes不要省。 - 使用独立账号，不要几十个人共用同一个 Samba 账号，出事无法追溯。
- 定期检查
smbstatus，看有没有异常会话和打开文件。
很多企业内部的安全审计，重点盯的就是 Samba 这种文件共享服务。共享本身不是问题，问题是"匿名可写""所有人可读"这种配置一旦被扫出来，就是妥妥的高危风险项。
6.2 性能相关参数与使用习惯
在千兆内网环境下，Samba 默认参数基本够用。如果传输大文件觉得慢，可以在全局段加几个调优参数：
socket options = TCP_NODELAY IPTOS_LOWDELAY read raw = yes write raw = yes max xmit = 65535这几个参数的作用是减少小包延迟、允许大块数据传输。但说实话，在新版 Samba 里这些参数的影响已经没那么明显了，真正的性能瓶颈往往在硬盘和网络，优先检查 RAID 状态和网卡速率更实际。
另外有个容易被忽略的使用习惯：大量小文件的传输性能天然比大文件差很多，因为每个文件都要经过多次协议握手和文件系统元数据操作。如果业务场景是同步几千个小文件，建议封装成压缩包再传，能省下大把时间。
7. 最后分享一点实际运维的体会
Samba 这个服务，配置本身不复杂，真正复杂的是它同时踩了"协议兼容""系统权限""网络环境""操作系统差异"四块地雷。我接手过的服务器里，Samba 相关的工单几乎都是这几个原因：防火墙没放行、SELinux 拦截、目录权限不对、Windows 缓存了旧凭证。把这四个点提前处理好，能挡掉八成的问题。
我的日常习惯是：每次改完 smb.conf，先跑testparm检查语法，再systemctl restart，然后用smbclient从本机验证一轮，最后才让同事测试。这个流程多花两分钟，但能避免很多"你那边能访问吗？我这边不行啊"的低效沟通。
另外别忘了做日志归档。log file = /var/log/samba/log.%m这个设置，每次排障时都能让我快速定位是哪个客户端的连接出问题。日志别开太大，max log size = 50按 MB 设个上限，配合logrotate定期清理，日志目录就不会被撑爆。做运维这件事，很多时候赢在细节，Samba 也不例外。
