外币兑换做运维这些年，被问得最多的需求之一就是：公司内网里有一台Linux服务器，大家平时用Windows办公，怎么才能像访问Windows共享那样直接打开Linux上的文件？答案就是Samba。Samba这套开源方案在Linux上实现了Windows的SMB/CIFS协议，让Windows资源管理器里直接输入\\服务器IP就能看到共享文件夹，配合账号权限、网络驱动器映射，用起来几乎感觉不到对面是一台Linux。这篇文章不聊空泛的理论，就把从零配置Samba、Windows登录、开机自动映射这几步完整讲一遍，顺便把我在实际环境里踩过的那些坑一起列出来。适合刚接触Linux共享的运维、开发，也适合家里有几台设备想自己搭文件服务的普通用户。
Windows与Linux共享文件，SMB协议是最成熟的一条路，没有之一。真正让新手头疼的从来不是Samba本身，而是配置完以后Windows连不上、权限不对、开机映射不生效这类细枝末节。所以本文会把服务端配置、客户端访问、自动映射、排错这四段流程全部走一遍，每一段尽量做到拿来即用。
1. 整体设计思路：先搞清楚要解决什么问题
1.1 需求场景分析
在动手配置之前，先想清楚你的使用场景。最常见的三种情况：第一种是办公室文件共享，几个人共用一台Linux服务器上的资料目录，希望每个同事用Windows访问时能映射一个网络驱动器，双击就能用；第二种是开发环境，代码放在Linux服务器上，Windows这边用IDE直接打开共享目录改代码；第三种是家里面自建NAS，用一台旧电脑装Linux，挂上硬盘做家庭影音库和照片备份。
这三种场景对Samba的需求有一点差异。办公场景看重权限隔离，不同部门只能看自己的目录；开发场景看重稳定性和IO性能，频繁读写小文件不能卡死；家庭场景看重简单，最好免密登录或者一套账号通吃。无论哪种场景，最终目标都是一致的：Linux做服务端，Windows做客户端，开机后自动把共享目录映射成盘符。
“开机自动映射登录”这个词很容易让人误解成Samba自带的功能，其实不是。Samba只负责在服务端提供共享，映射盘符是Windows客户端的动作。所以整个项目可以拆成两条线：服务端要保证Samba服务稳定、账号权限正确、网络放行；客户端要解决Windows开机时自动执行映射命令、自动填写凭据的问题。两条线缺一不可，后面所有配置都围绕这两条线展开。
1.2 方案选型：为什么是Samba而不是NFS、FTP、WebDAV
很多刚接触的人会问：Linux之间共享用NFS不是更快吗？FTP不是更简单吗？这里要解释清楚，因为选错方案后面全是坑。
NFS在Linux生态里确实性能和兼容性都很好，但Windows对NFS的支持相当勉强。Windows 10/11企业版和专业版虽然自带“NFS客户端”功能，但安装后使用体验并不好：字符编码容易乱、权限映射逻辑和Linux不一样、没有图形化“网络驱动器”那种原生盘符体验，而且普通家庭版默认根本没有这个组件。如果公司里有一半人用Windows，NFS不是最优解。
FTP更不用提了，它没有“目录映射成盘符”的原生体验，需要额外装客户端软件，而且文件锁、权限控制、断点续传都做得比较粗糙。WebDAV倒是能映射成盘符，但Windows对WebDAV的支持一直不太稳定，HTTPS证书、代理、超时设置一堆问题，配置成本反而更高。
Samba的优势就在于它原生实现了微软的SMB协议，Windows看到它就是一台标准的SMB文件服务器，资源管理器、命令行、各种软件都能无缝对接，不需要装任何额外客户端。兼容性这一条，就决定了它是Windows与Linux共享文件场景下的默认答案。代价是Samba配置项比较多，老版本和新版本之间还有差异，但这完全可以通过规范化的配置文件解决。
1.3 账号模型与共享目录规划
Samba的账号体系有一个必须理解的逻辑：Samba用户必须对应一个Linux系统用户。也就是说，你想让张三能用Windows登录Samba，Linux系统里就必须有张三这个用户，然后通过smbpasswd -a zhangsan把密码写进Samba的用户数据库。这个设计让权限管理变得非常干净——Samba共享出来的每个目录，最终权限都是由Linux的文件权限机制（uid/gid）把关的。
共享目录规划上，我的建议是不要直接用/home下的目录当共享根目录，而是单独建一个挂载点，比如/srv/samba，下面再分share1、share2这样的子目录。原因有两个：一是方便做磁盘配额和快照，二是避免用户家目录权限混乱导致Linux系统登录和Samba访问互相干扰。如果是家庭场景只有一两个用户，一个/srv/samba/public共享所有文件就够了；如果是公司场景，我习惯先定义好部门目录和公共目录，再逐个加[share]配置段。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. Samba服务端配置详解
2.1 服务安装与前置准备
我以Debian/Ubuntu和CentOS/Rocky两系为例。Ubuntu上安装非常简单：
bash复制sudo apt update
sudo apt install samba smbclient
CentOS/Rocky 8/9系列：
bash复制sudo yum install samba samba-client
安装完成后先确认版本，Samba 4.x是目前的主流版本，功能上完全满足现代需求：
bash复制samba --version
然后设置开机自启并立即启动：
bash复制sudo systemctl enable smbd
sudo systemctl start smbd
在CentOS/Rocky上服务的名称通常是smb，Ubuntu上拆成了smbd和nmbd两个服务。smbd负责文件共享核心，nmbd提供NetBIOS名称解析，局域网内想用\\主机名访问就必须靠它。如果你习惯直接用IP访问，nmbd可有可无，但留着也不碍事。端口方面要记住：Samba监听TCP 139和445，UDP 137和138。445是最主要的，139是为了兼容老客户端的NetBIOS会话服务，现代环境下基本只用445。
2.2 核心配置文件smb.conf逐段解读
Samba的配置文件在/etc/samba/smb.conf。不同发行版默认配置差异挺大，Ubuntu自带的几乎是一份文档型配置，注释比实际行数还多；CentOS的相对简洁。我的习惯是先把原文件备份，然后直接写一份干净配置，这样出了问题好排查。
先看一段我在内网场景下常用的完整配置，再逐段解释：
ini复制[global]
workgroup = WORKGROUP
server min protocol = SMB2_10
server max protocol = SMB3
security = user
passdb backend = tdbsam
hosts allow = 127.0.0.1 192.168.1.0/24
hosts deny = 0.0.0.0/0
log file = /var/log/samba/log.%m
max log size = 1000
logging = file
map to guest = Bad User
guest account = nobody
unix charset = UTF-8
dos charset = CP936
display charset = UTF-8
load printers = no
printing = bsd
printcap name = /dev/null
disable spoolss = yes
socket options = TCP_NODELAY
keep alive = 30
ntlm auth = yes
[public]
comment = Public Shared Folder
path = /srv/samba/public
browseable = yes
writable = yes
guest ok = no
valid users = @smbgroup
[it]
comment = IT Department Files
path = /srv/samba/it
browseable = no
writable = yes
valid users = @itgroup, @admin
[readonly]
comment = ReadOnly Documents
path = /srv/samba/readonly
browseable = yes
read only = yes
valid users = @smbgroup
[global]段里的几个关键参数逐个说。workgroup = WORKGROUP对应Windows上的工作组名，家庭版Windows默认是WORKGROUP，如果你公司用的是域环境，这里要改成域的名字，但域环境一般直接加入AD域，不会用这种简单文件共享方式。server min protocol = SMB2_10非常重要，这是把最低协议版本限制在SMB 2.0.10，彻底禁用了有安全问题的SMB1。有些老设备（比如很老的多功能打印机）只支持SMB1，如果你在内网确实需要兼容它们，可以降到SMB2_02或者谨慎开启SMB1，但一般情况下我的建议是宁可不兼容老设备也不要开SMB1。
security = user是Samba认证级别的核心设置，意思是客户端必须用用户名和密码登录，每个共享可以针对不同用户设置权限。Samba支持好几种认证模式，常见的一个对照组是security = share，但Samba 4.x之后基本废弃了share模式，新手完全不需要纠结，直接用user模式就行。passdb backend = tdbsam表示把Samba用户数据库存到/var/lib/samba/private/passdb.tdb文件里，tdbsam是默认的数据库后端，支持Samba用户密码、账号标记等。
hosts allow和hosts deny是一组反直觉的配置，但非常实用。hosts allow里写127.0.0.1 192.168.1.0/24，意思是只允许本机和192.168.1.0这个网段的客户端访问；hosts deny = 0.0.0.0/0补一刀，把其他所有地址都拒掉。实际上只要写了hosts allow，不在白名单里的就已经被拒了，hosts deny可以省略。这两个参数非常适合内网文件服务器，避免共享暴露到外网。
日志配置方面，log file = /var/log/samba/log.%m里的%m是客户端机器名的变量，这样每台机器有独立的日志，排错时非常方便。max log size = 1000限制单个日志文件最大1000KB，超过就轮转。map to guest = Bad User这个参数的意思是：如果登录时用户名错误，自动映射到guest账号。很多教程为了防止登录弹窗都喜欢设成map to guest = Bad User，但要注意如果你不想让未授权用户访问，这个值反而会带来隐患。我的用法是保留它，但每个共享段里都显式设置guest ok = no，两行配合起来，既能减少密码弹窗，又不至于真的开放匿名访问。
字符集配置这一段是我吃过亏的地方，unix charset = UTF-8、dos charset = CP936、display charset = UTF-8三个参数组合使用可以解决绝大部分Windows客户端访问共享目录时中文文件名乱码的问题。dos charset = CP936等价于GBK，是Windows简体中文系统默认的代码页，如果客户端是英文系统，则保持默认CP850或直接注释掉这行，让Samba自动协商。
load printers = no、printing = bsd、printcap name = /dev/null、disable spoolss = yes这四行一起用，是为了不把Linux上的打印机共享给Windows。Linux服务器上面不接打印机的话，没必要开启这些功能，关掉还能减少不必要的广播流量和潜在漏洞。
socket options = TCP_NODELAY是TCP层优化，减少小文件传输时的网络延迟。keep alive = 30表示每30秒发送一个保持连接的心跳包，这个参数在很多教程里被忽略，但它对于Windows休眠唤醒后映射盘经常掉线的问题有奇效，后面故障排查部分我再细说。最后ntlm auth = yes是为了兼容某些老客户端，如果你所有机器都是Windows 10/11，可以改成ntlm auth = no提高安全性。
共享段里的配置也逐个看一遍。[public]段定义了一个名字叫public的共享，comment只是说明文字。path指向服务器上的真实目录。browseable = yes表示网上邻居里能看到这个共享，browseable = no则隐藏但可以通过直接输入路径访问。writable控制是否写入。valid users = @smbgroup表示只有smbgroup这个Linux用户组里的用户才能访问，@后面必须是Linux系统组名。[readonly]段演示了只读共享的写法，read only = yes就是只读，等价于writable = no。
2.3 创建系统用户与Samba用户
配置好smb.conf之后，接下来要创建用户。账号规划的步骤是：先建Linux系统用户，再把这个用户加入Samba数据库。举个例子，给用户zhangsan开共享权限：
bash复制sudo useradd -M -s /usr/sbin/nologin zhangsan
sudo smbpasswd -a zhangsan
-M表示不创建家目录，因为这个人只用来访问Samba，不需要登录Linux系统；-s /usr/sbin/nologin设置shell为nologin，禁止通过SSH登录服务器。这两步特别重要，很多人配置Samba时顺手用useradd zhangsan创建了完整用户，结果这个账号既能SSH登录服务器又有Samba权限，安全隐患非常大。
smbpasswd -a zhangsan命令执行后会提示输入两次Samba密码。这个密码可以和Linux系统密码不同，Samba数据库是独立管理的。由于系统用户是nologin，没有系统登录密码也不会影响Samba认证。
如果用户比较多，可以把相同权限的人放进同一个Linux用户组：
bash复制sudo groupadd smbgroup
sudo usermod -aG smbgroup zhangsan
然后就可以在smb.conf里用valid users = @smbgroup统一控制权限，后续加人只需usermod -aG smbgroup lisi一步，不用改配置。
2.4 目录权限、防火墙与SELinux处理
共享目录在Linux端的权限是整个链路里最容易忽略的一环。就算smb.conf写得再漂亮，Linux目录本身的读写权限不够，Windows照样会提示“拒绝访问”。
创建[public]共享对应的目录并设置权限：
bash复制sudo mkdir -p /srv/samba/public
sudo chown root:smbgroup /srv/samba/public
sudo chmod 2770 /srv/samba/public
2770这个权限值要拆开看：2是setgid位，目录下新建文件会自动继承目录的用户组，保证组内用户都能访问；770表示拥有者和用户组可读可写可执行，其他用户无任何权限。Samba共享目录真实权限校验有两个层次：第一层是smb.conf里的valid users、writable这些参数，第二层是Linux的文件系统权限。两者都通过才能真正读写，任何一层拒绝都会失败。
防火墙方面，Ubuntu默认的ufw如果启用了，需要放行Samba端口：
bash复制sudo ufw allow 139,445/tcp
sudo ufw allow 137,138/udp
CentOS/Rocky上用firewalld：
bash复制sudo firewall-cmd --permanent --add-service=samba
sudo firewall-cmd --reload
--add-service=samba这个写法最省心，因为firewalld已经内置了Samba服务定义，会自动放行139、445、137、138四个端口。
如果你用的是CentOS/Rocky这类带SELinux的系统，还有一个大坑要处理。SELinux默认策略下，Samba进程只能访问标记了samba_share_t类型的目录。新版CentOS上其实默认就允许Samba访问/srv、/home等目录，但如果你把共享目录放在自定义路径下，必须手动标记：
bash复制sudo semanage fcontext -a -t samba_share_t "/srv/samba(/.*)?"
sudo restorecon -Rv /srv/samba
另外还需要检查两个布尔值：
bash复制sudo setsebool -P samba_enable_home_dirs on
sudo setsebool -P smbd_anon_write on
-P参数让设置永久生效。说实话，SELinux是我排查Samba问题时花时间最多的地方，经常配置全对、防火墙也放行了，Windows就是连不上，最后一看SELinux拦截日志才找到根因。所以装了SELinux的系统，配置完Samba先跑一句sudo grep samba /var/log/audit/audit.log | tail -20看看有没有被拦截。
2.5 配置校验与服务重启
配置文件改完不要急着重启服务。先用Samba自带的校验工具检查语法：
bash复制sudo testparm
testparm会把整个配置文件的解析结果打印出来，如果哪一行有拼写错误、参数名不对、值超出范围，这里都会报出来。看到最后的Loaded services file OK.就说明语法没问题。另外它也会把隐藏的默认值显示出来，方便你检查某些参数是否生效。
确认无误后重启服务：
bash复制# Ubuntu/Debian
sudo systemctl restart smbd nmbd
# CentOS/Rocky
sudo systemctl restart smb
重启后先用本机验证一下共享是否正常：
bash复制smbclient -L localhost -U zhangsan
这条命令会列出本机Samba服务共享出来的全部资源，并提示输入密码。能看到public、it、readonly这些共享名，就说明服务端已经就绪。接着还可以直接测试访问：
bash复制smbclient //localhost/public -U zhangsan
如果看到smb: \>提示符，说明认证和共享权限都通了。服务端到这一步就已经全部搞定，剩下就是Windows客户端的活了。
3. Windows客户端访问与开机自动映射
3.1 手动访问与测试
Windows访问Samba共享的方式非常直白。按下Win + R，在运行框里输入\\192.168.1.10回车，就能看到所有browseable = yes的共享。如果你知道共享名，也可以直接输入\\192.168.1.10\public精确访问。第一次连接会弹出Windows登录框，输入刚才创建的Samba用户名和密码就进去了。
这里有个小知识点：Windows默认优先用当前Windows登录用户名去尝试认证。如果你Windows当前登录的用户名是admin，而Samba里存在的用户是zhangsan，连接时会发现用户名不匹配，自动弹出登录框。如果你想直接用当前用户名连，就保证Windows用户名和Samba用户名一致。但更灵活的办法是直接在弹窗里输入Samba账号，Windows会询问“是否记住凭据”，勾选上以后下次连接就不用再输密码了。
如果驱动器的映射需求是长期的，建议在资源管理器里记住凭据，操作路径是：控制面板 -> 凭据管理器 -> Windows凭据 -> 添加Windows凭据，把服务器地址、用户名、密码填进去。这样连映射命令都不用带密码，Windows会自动从凭据管理器里提取。
3.2 使用net use映射网络驱动器
手动在资源管理器里右键“映射网络驱动器”当然也可以，但想实现开机自动映射，命令行是绕不开的核心。Windows自带net use命令就是干这个的：
batch复制net use Z: \\192.168.1.10\public /user:zhangsan Password123 /persistent:yes
这条命令把\\192.168.1.10\public映射到本地Z盘，指定用户zhangsan和密码，/persistent:yes表示持久化连接——正常情况下重启后Windows会自动重连。
单独执行这条命令很简单，但实际操作中一般不需要在命令行里直接带着密码跑，因为密码会留在历史记录里。更稳妥的写法是分成两步，先用凭据管理器存好凭据，再只执行映射命令：
batch复制cmdkey /add:192.168.1.10 /user:zhangsan /pass:Password123
net use Z: \\192.168.1.10\public /persistent:yes
cmdkey把凭据写入Windows凭据管理器，net use不再需要指定用户名密码。这样即使以后写进批处理脚本，也不至于把密码暴露在明文脚本里。注意/add:后面的地址要和访问地址写法一致，你写IP就都用IP，你写主机名就都用主机名，否则凭据匹配不上。
还有一种做法是执行映射时不指定密码，让Windows弹窗输入，同时勾选“记住凭据”。这种方式适合第一次手工配置，后续自动化脚本就只写：
batch复制net use Z: \\192.168.1.10\public /persistent:yes
3.3 开机自动映射的三种实现方式
网上关于“开机自动映射”的教程五花八门，有人让你把.bat文件扔进启动文件夹，有人让你改注册表，有人让你用计划任务。我把实际验证过的三种主流方式都列出来，你根据环境选一种就行。
方式一：启动文件夹放批处理脚本，最简单直接。Windows启动文件夹路径有两种，个人级的在C:\Users\用户名\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup，对所有用户生效的全局启动文件夹在C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp。把下面内容保存成mount_samba.bat放进去：
batch复制@echo off
timeout /t 5 /nobreak >nul
net use Z: \\192.168.1.10\public /persistent:yes
timeout /t 5是等待5秒，为什么一定要等几秒？因为Windows开机后网卡可能还没完全拿到IP，网络服务还没就绪，立刻执行net use大概率会报“找不到网络路径”。加5秒延迟就能避开这个问题，实测在大部分环境下足够。如果你网络初始化慢，可以加到10秒。
方式二：任务计划程序，比启动文件夹稳定，控制粒度更细。打开任务计划程序，创建基本任务，触发器设为“当用户登录时”，操作设为“启动程序”，程序填net.exe，参数填：
code复制use Z: \\192.168.1.10\public /persistent:yes
然后在“条件”选项卡里取消勾选“只有在计算机使用交流电源时才启动此任务”，避免笔记本用电池时不开机执行。“设置”选项卡里勾选“如果任务失败，按以下频率重新启动”，间隔设1分钟，最多尝试3次。这种方式比启动文件夹更可靠，因为任务计划程序由系统服务管理，即使脚本执行失败也有重试机制。
方式三：组策略登录脚本，适合域环境或者用gpedit.msc配置本地组策略的场景。在gpedit.msc -> 用户配置 -> Windows设置 -> 脚本(登录/注销)里添加登录脚本。这种方式的逻辑和启动文件夹差不多，但执行时机会更早，而且可以在“脚本参数”里指定多条命令。普通单机环境下，我一般直接用开头提到的启动文件夹脚本，够用且不引入多余依赖。
脚本里还可以加入网络检查逻辑，让映射更健壮：
batch复制@echo off
set SERVER=192.168.1.10
set SHARE=public
set DRIVE=Z:
:check
ping -n 1 %SERVER% >nul
if errorlevel 1 (
timeout /t 5 /nobreak >nul
goto check
)
net use %DRIVE% \\%SERVER%\%SHARE% /persistent:yes
if errorlevel 1 (
timeout /t 10 /nobreak >nul
net use %DRIVE% \\%SERVER%\%SHARE% /persistent:yes
)
这段脚本会先ping服务器，ping不通就每5秒重试一次，通了才执行映射。如果第一次映射失败，等10秒再试一次。把这段脚本放进启动文件夹，基本能做到开机后稳定映射。ping在这里只是探测网络连通性，不表示Samba服务一定就绪，但实践中只要服务器网络通了，Samba服务通常也起来了，所以这招很管用。
3.4 免密登录与凭据管理
“开机自动映射登录”要想真正无感，光有映射命令还不够，凭据也得提前存好。否则Windows开机后执行net use时会弹出密码框卡住，脚本没法自动输入密码。解决办法是企业环境加入AD域让Kerberos自己搞定，不用管凭据；非域环境就老老实实把凭据写进Windows凭据管理器。
图形化操作路径是：控制面板 -> 凭据管理器 -> Windows凭据 -> 添加Windows凭据。也可以命令行方式由cmdkey写入，适用批处理场景：
batch复制cmdkey /add:192.168.1.10 /user:zhangsan /pass:Password123
net use Z: \\192.168.1.10\public /persistent:yes
执行完cmdkey后，凭据就固化到了系统里，即使不执行网络映射命令，用户在资源管理器里访问\\192.168.1.10也不会再弹密码框。这里要提醒一句：cmdkey /pass:后面的密码是明文记录在Windows凭据管理器里的，任何能登录这台Windows机器的人都能看到。如果安全性要求高，可以把密码留空让用户手动输一次，或者用/generic参数配合Windows凭据API做更严格的管控。家庭和办公室内网环境，明文凭据的风险基本可控，但如果你管理的是面向互联网的服务器，千万别这么干。
4. 常见问题与排查技巧实录
4.1 连接失败与访问拒绝
Windows访问Samba时最怕看到一堆错误码，我用表格把最常见的几个现象和对应原因整理出来：
| 错误现象 | 可能原因 | 排查方向 |
|---|---|---|
| 找不到网络路径，错误码0x80070035 | 网络不通、Samba服务未启动、防火墙拦截 | 检查服务状态、防火墙放行、ping通 |
| 拒绝访问，错误码0x80070005 | Samba用户名密码错误、账号无权限、Linux目录权限不足 | 检查smbpasswd用户、valid users、chmod权限 |
| 用户名或密码错误，但确认密码没错 | Samba密码与系统密码不同，未设置smbpasswd | 执行smbpasswd -a重新设置密码 |
| 无法连接到服务器，错误码0x80004005 | SMB1被禁用、协议版本不匹配 | 检查server min protocol参数 |
| 指定的网络名不再可用 | 服务器端Samba服务重启、网络波动 | 重新映射，检查keep alive参数 |
排查顺序有讲究。第一步先在Windows上ping 服务器IP确认三层通，再在Windows上用telnet 服务器IP 445确认TCP端口通。第二步到Linux上看服务状态：
bash复制sudo systemctl status smbd
sudo ss -tlnp | grep -E '139|445'
ss命令输出里能看到Samba是否在监听。第三步看Samba日志，我配置了按客户端分的日志文件，直接看对应机器的日志：
bash复制sudo tail -f /var/log/samba/log.192.168.1.20
日志里最常出现的是session setup failed: NT_STATUS_LOGON_FAILURE，说明认证失败；NT_STATUS_ACCESS_DENIED说明认证成功但权限不足；Connection denied due to security settings说明被hosts allow拦了。
还有一个很深但很常见的坑：Windows自带的SMB客户端默认要求SMB2及以上协议，而老版本的Samba只支持SMB1。如果你的Samba版本特别老（比如2.x），Windows 10/11会直接拒绝连接。解决办法是把server min protocol和server max protocol设成SMB2_10和SMB3，同时确保Windows侧SMB1功能是关闭的，这反而是安全最佳实践。
4.2 中文乱码问题
Windows访问Samba时中文文件名变???或乱成一团，是国内容户最常见的问题。核心原因是Linux服务端默认使用UTF-8编码，而Windows简体中文系统默认对SMB协议使用GBK/CP936编码。Samba要在两者之间做字符集转换。
解决方法是smb.conf里加三行：
ini复制unix charset = UTF-8
dos charset = CP936
display charset = UTF-8
unix charset告诉Samba服务器文件系统里的文件名是UTF-8编码，dos charset设置Windows那侧的代码页为CP936（即GBK），display charset影响终端显示。加完以后重启smbd，新上传的中文文件名就不会乱码了。已经乱码的历史文件需要先恢复到UTF-8文件名才能正常显示，处理方法因场景而异，这里不展开。
如果你用的是英文版Windows，dos charset默认是CP850，不要去改成CP936，否则英文系统上中文会乱得更厉害。让Samba自动协商是现代客户端的最佳实践，只有在确认客户端是中文Windows且乱码时才显式设置CP936。
4.3 开机映射时灵时不灵
这个问题的出现频率非常高，明明脚本放对了位置，凭据也存好了，但开机后Z盘有时有、有时没有。排查下来主要有三个原因。
第一个原因是网络初始化太慢。Windows开机后网卡驱动、DHCP获取IP是异步进行的，登录脚本如果执行太早，网络栈还没就绪，net use就会立刻失败。这就是为什么我前面特别强调脚本里要加timeout /t 5或ping探测。实际操作中，有些电脑路由器响应慢，5秒不够，我把延迟调整到10秒以后普遍就好了。
第二个原因是Windows的“快速启动”机制。Windows 10/11默认启用快速启动，关机时系统并没有完全关闭，重启后部分网络服务状态异常，导致映射盘连接不成功。最直接的解决方法是关闭快速启动：控制面板 -> 电源选项 -> 选择电源按钮的功能 -> 更改当前不可用的设置 -> 取消勾选“启用快速启动”。关闭快速启动对台式机影响很小，但能解决一大堆诡异的网络问题。
第三个原因是服务器端主动断连。Samba默认的会话空闲超时时间其实很长，但有些内核参数或防火墙状态模块会在空闲一段时间后悄悄断开连接。解决方法是两个方向：客户端在映射后定时访问一下共享目录，或者服务端设置keep alive = 30，让服务端每30秒发心跳包。这个方法在我实际维护的服务器上效果很明显。
脚本自动映射失败时，我还会在批处理后面加一行错误输出，方便定位：
batch复制net use Z: \\192.168.1.10\public /persistent:yes >> C:\samba_mount.log 2>&1
echo %errorlevel% >> C:\samba_mount.log
这样每次开机脚本执行的结果都会写进日志，下次排查时直接看日志就知道执行到哪一步失败了。%errorlevel%是Windows批处理里的关键概念，0表示成功，非0表示失败。
4.4 连接状态与删除记录查看
Samba上有人正在访问什么目录、打开着哪些文件，可以通过smbstatus查看：
bash复制smbstatus
输出会分成三块：当前连接列表、打开的共享文件列表、锁定文件列表。这个命令在排查文件占用、确认谁在下载大文件时非常实用。
有朋友被热词里的“samba怎么查删除记录”吸引进来。Samba默认不记录文件删除操作，只记录连接和认证日志。要做删除审计，需要在smb.conf里为共享启用完整的审计模块：
ini复制[public]
path = /srv/samba/public
vfs objects = full_audit
full_audit:prefix = %u|%I|%S
full_audit:success = open opendir rename unlink rmdir
full_audit:failure = all
full_audit:facility = local5
full_audit:priority = NOTICE
配置完成后重启服务，并把samba日志输出到一个单独文件：
bash复制sudo tail -f /var/log/samba/audit.log
每次有人删除文件，日志里就会出现类似unlink .../filename = OK的记录。实际日志格式会根据日志系统配置有所不同，在我用的Ubuntu上，full_audit默认记录在/var/log/samba/log.服务器名里。如果审计要求很高，我建议直接把日志接到rsyslog并配置远程日志服务器，防止删除日志本身被篡改。
5. 安全加固与磁盘规划建议
Samba共享一旦开通，就等于在Linux上开了一道门。不管内网还是公网，我都建议做三件最基本的加固。第一是把hosts allow限制到公司网段，这个在配置里已经写了；第二是每个共享都用valid users限制到最小用户集合，不要贪图省事直接用guest ok = yes对所有人开放；第三是定期轮换Samba账号密码，特别是离职人员的账号要第一时间停用。
磁盘规划方面，共享目录不要和系统根分区放一起。我经历过一次教训：一台服务器上Samba共享写满了磁盘，导致系统分区没有空间，服务全挂。现在我的习惯是共享目录单独挂载一块数据盘，格式化后挂到/srv/samba，这样即使共享撑爆了也只是数据盘满，系统盘不受影响。分区的格式化时文件系统建议用ext4或xfs，不要用FAT32或exFAT，后两者不支持Linux的权限模型和符号链接，Samba上会有一堆奇怪问题。
账号管理上，如果只有三五个人，手工建用户完全没问题。但超过十个人以后，我建议写一个简单的shell脚本批量创建用户，同时维护一份账号清单。更规范一点可以用LDAP或直接加入Windows AD域来统一认证，那就超出本文的范围了，但思路是相通的：用户信息集中在认证源，Samba共享目录的权限统一按组控制。
code复制
我个人在实际操作中的体会是：Samba本身是一个非常稳定的服务，真正导致故障的大多数时候不是Samba而是周边环境——Windows侧的网络初始化时序、Linux侧的SELinux和防火墙、账号权限的二元校验机制。所以再分享几个收尾建议。
第一，不要把smb.conf删到太精简，保留注释和`testparm`能校验的完整结构，出了问题能快速定位。第二，Windows侧开机自动映射别一上来就搞计划任务、组策略，先用启动文件夹加bat脚本最简单，验证稳定后再考虑要不要迁移。第三，所有改动记录都记到笔记里或者写进脚本注释中，特别是Samba这种配置性强、文档分散的服务，记笔记省下的排查时间远超写笔记花的时间。
最后还有一个小技巧：如果你在Windows上看到映射盘符变成红色叉号，但服务器其实没问题，多半是客户端和服务端之间的会话断开了。不要反复手动断开重连，直接用一行命令重映射：
```batch
net use Z: /delete
net use Z: \\192.168.1.10\public /persistent:yes
比你右键、断开、再映射快得多。把这条命令和批处理脚本放在一起，基本能应付九成以上的日常问题。