Настраиваем Samba: общая папка в локальной сети офиса

Общая папка в локальной сети — это каталог на одной машине, который остальные компьютеры офиса видят как обычный сетевой диск. На Linux её поднимает пакет Samba: он реализует протокол SMB, по которому Windows работает с сетевыми дисками. Установка, десять строк в конфиге, заведение пользователей и права на каталоге занимают около 30 минут, а держать такую папку можно и на офисном мини-сервере, и на арендованном VPS с большим хранилищем.

Материал для тех, кто администрирует офис на 5–40 человек и хочет заменить флешки и почтовые вложения одной папкой с понятными правами. Разберём, где физически держать файлы, как настроить Samba на Ubuntu, чем системный пользователь отличается от пользователя Samba, почему на каталоге ставят режим 2770 и что проверять, когда сетевой диск не открывается.

Что делает Samba и почему протокол называется SMB

Windows отдаёт папки в сеть по протоколу SMB — Server Message Block. Это набор правил, по которым клиент запрашивает у сервера список файлов, читает и пишет их, блокирует файл на время редактирования. Linux этот протокол изначально не понимает, поэтому и появился Samba — свободная реализация SMB для Unix-систем.

Смысл простой: вы поднимаете Samba на Linux-машине, а сотрудники подключаются к ней так же, как к папке на компьютере коллеги. Ставить дополнительный софт на рабочие места не нужно — клиент SMB встроен и в Windows 10, и в Windows 11, и в macOS.

Samba состоит из двух служб. Первая, smbd, обслуживает файлы и слушает порт 445/TCP. Вторая, nmbd, отвечает за старый механизм имён NetBIOS на портах 137–139 и небольшому офису почти не нужна: подключаются по IP-адресу. Для нашей задачи хватит одной службы smbd.

Ограничение у протокола одно: SMB задумывался для локальной сети. Он «болтливый» — на открытие каталога уходит несколько десятков запросов, и при задержке выше 30–40 мс папка подтормаживает независимо от скорости канала.

Где держать файлы: коробка в офисе, старый ПК или сервер в дата-центре

Первый вопрос — не «как настроить», а «на чём». Готовая коробка NAS — это маленький компьютер с отсеками под диски и веб-интерфейсом: ставится за час, но стоит денег сразу и переживает ровно до первого залива соседями сверху.

Старый системный блок под Ubuntu обойдётся бесплатно, зато шумит и не имеет резервного питания. Арендованный сервер стоит от 59 ₽/мес, живёт в дата-центре с дизель-генератором, но канал до него надо считать заранее.

Данные проверены 04.09.2026.

Если выбираете между железом и арендой, расчёт стоимости владения на пять лет с учётом замены дисков мы разбирали в материале про файловый сервер для офиса.

Сколько ресурсов нужно серверу под файловую шару

Samba нетребовательна к процессору: она не считает, а перекладывает байты между диском и сетевой картой. Двух ядер хватает почти в любом сценарии, а узкими местами становятся объём диска, память под кеш файловой системы и ширина канала.

Диск планируйте с запасом минимум вдвое: офисные папки растут быстрее ожиданий, а место под резервные копии и корзину удалённых файлов тоже надо откуда-то взять. Отдел на 10 человек с документами и сканами набирает 100 ГБ примерно за два года, проектный отдел с чертежами — за квартал.

На типе диска экономить не стоит. На обычном HDD открытие папки с 3–4 тысячами файлов занимает секунды вместо десятков миллисекунд, и сотрудники замечают это в первый же день. Подходящие конфигурации собраны в разделе VPS на SSD.

Установка Samba и подготовка каталога

Дальше всё делается по SSH — защищённому подключению к консоли сервера. На свежей машине начните с обновления списка пакетов, иначе установится устаревшая версия. Пример собран на Ubuntu 24.04, на Debian команды идентичны.

apt update
apt install samba
systemctl status smbd

Первая команда обновляет список доступных пакетов, вторая ставит Samba с зависимостями за 30–60 секунд. Третья показывает состояние службы: в строке Active должно быть active (running). Если служба не поднялась, причину покажет journalctl -u smbd. Установленную версию выводит smbd -V — на Ubuntu 24.04 это ветка 4.19.

Теперь создадим сам каталог и группу, через которую будем раздавать доступ.

mkdir -p /srv/obshee
groupadd office

Флаг -p создаёт недостающие родительские каталоги и не ругается, если путь уже существует. Вторая команда заводит группу office — в неё войдут все, кому положен доступ. Управлять доступом через группу удобнее, чем перечислять людей поимённо: при увольнении достаточно убрать сотрудника из группы, и конфиг Samba трогать не придётся.

Как устроен файл smb.conf и из чего состоит описание шары

Вся конфигурация живёт в файле /etc/samba/smb.conf. Он разбит на секции: [global] задаёт поведение сервера целиком, а каждая следующая секция в квадратных скобках описывает одну общую папку. Имя в скобках — это то, что сотрудники увидят в сети.

После установки в файле несколько сотен строк комментариев и примеров, трогать их не нужно. Достаточно дописать свой блок в конец файла.

[obshee]
   path = /srv/obshee
   valid users = @office
   read only = no
   create mask = 0660
   directory mask = 2770

Разберём построчно. path — реальный путь к каталогу на диске. valid users = @office означает «пускать только членов группы office»: символ «собака» (@) как раз и указывает, что это группа, а не отдельный человек. read only = no разрешает запись — без этой строки папка откроется только на чтение.

Две последние строки задают права создаваемым объектам: create mask = 0660 — новым файлам, directory mask = 2770 — новым подпапкам. Так же, отдельными секциями, добавляют папки бухгалтерии или отдела продаж: свой путь и своя группа в valid users, а для регламентов — read only = yes и список исключений в write list.

Пользователь Samba и системный пользователь — это две разные записи

Здесь спотыкаются почти все, кто настраивает Samba впервые. У Samba собственная база паролей, отдельная от системной. Но она проверяет, что пользователь с таким именем существует и в самой Linux-системе, — иначе ей некому назначить владельца файлов.

Значит, каждого сотрудника заводим дважды: сначала как системного пользователя, потом как пользователя Samba со своим паролем. На практике удобнее, когда системного пароля у сотрудника нет вовсе.

1. Создайте системного пользователя без входа в консоль: useradd -M -s /usr/sbin/nologin ivan. Ключ -M не создаёт домашний каталог, -s /usr/sbin/nologin запрещает вход по SSH.
2. Добавьте его в рабочую группу: usermod -aG office ivan. Ключ -a обязателен, без него команда заменит все группы пользователя на указанную.
3. Заведите пароль Samba: smbpasswd -a ivan. Команда спросит пароль дважды (символы при вводе не отображаются) и запишет его в свою базу.
4. Проверьте результат: pdbedit -L выведет список известных Samba пользователей.

Если пропустить первый шаг, smbpasswd -a завершится ошибкой «Failed to add entry for user». Это не поломка, а та самая связка. На офис в 15 человек цикл занимает около 10 минут.

Права на каталоге: почему режим 2770 и что делает бит SGID

Строк в конфиге мало — реальные ограничения ставит файловая система Linux. Каталог должен принадлежать группе office и быть закрыт от всех остальных. Делается это двумя командами.

chown root:office /srv/obshee
chmod 2770 /srv/obshee

Первая команда назначает владельцем каталога пользователя root, а группой — office. Вторая выставляет режим доступа: последний ноль означает «прочие не имеют прав вообще», две семёрки — «владелец и группа читают, пишут и заходят внутрь».

Отдельного внимания заслуживает первая двойка. Это бит SGID, и без него общая папка ломается через неделю работы: он заставляет новые файлы и подпапки наследовать группу каталога. Без SGID файл, созданный Иваном, получит группу ivan, и Мария такой файл не откроет — притом что конфиг Samba выглядит правильным.

Проверка конфигурации и запуск службы

Перед перезапуском конфиг обязательно проверяют. При ошибке в синтаксисе Samba не всегда падает — она может молча проигнорировать неверную секцию, и вы будете искать «исчезнувшую» папку в сети. Для проверки есть штатная утилита.

testparm
systemctl restart smbd

Команда testparm читает /etc/samba/smb.conf, сообщает об ошибках с номером строки и по нажатию Enter печатает итоговую конфигурацию с подставленными значениями по умолчанию. Если вывод заканчивается строкой «Loaded services file OK», можно двигаться дальше. Чаще всего ошибка оказывается опечаткой в имени параметра.

Вторая команда перезапускает службу за 1–2 секунды и рвёт текущие сессии, поэтому в рабочее время лучше пользоваться systemctl reload smbd — она перечитывает конфиг без разрыва соединений. Убедиться, что сервер слушает нужный порт, поможет ss -tlnp | grep 445: в выводе должна быть строка с smbd.

Отдельно проверьте автозапуск. Команда systemctl enable smbd добавляет службу в автозагрузку, и после перезагрузки сервера общая папка поднимется сама. Без неё шара исчезнет из сети при первом же плановом рестарте, а причину будут искать в сети и правах.

Как подключить папку с Windows, macOS и Linux

На стороне сотрудника ставить нечего. В Windows достаточно открыть проводник и ввести в адресной строке путь 192.168.1.50obshee, где первая часть — IP-адрес сервера, вторая — имя шары из квадратных скобок. Система спросит логин и пароль, заданные через smbpasswd.

Чтобы папка появлялась после перезагрузки, её подключают как сетевой диск. Тот же результат даёт одна команда, её удобно раздать сотрудникам письмом.

net use Z: 192.168.1.50obshee /persistent:yes

Здесь Z: — буква, под которой папка появится в «Этом компьютере», а /persistent:yes просит Windows восстанавливать подключение при следующем входе. Учтите: система запоминает связку «адрес сервера — пароль», и после смены пароля старую запись удаляют вручную в «Диспетчере учётных данных».

В macOS путь открывается через меню «Переход» — «Подключение к серверу», адрес вводится как smb://192.168.1.50/obshee. На Linux шару монтируют пакетом cifs-utils — то есть подключают сетевую папку к обычному каталогу на своей машине. CIFS здесь — старое название того же протокола SMB.

mount -t cifs //192.168.1.50/obshee /mnt/obshee -o credentials=/root/.smbcreds

Ключ -t cifs задаёт тип файловой системы, дальше идут адрес шары и точка монтирования — её создают заранее через mkdir. Логин и пароль держат в отдельном файле, доступном только root: написанный прямо в команде пароль попадёт в историю оболочки.

Как не выставить общую папку в открытый интернет

Порт 445/TCP наружу не открывают. По нему исторически распространялись шифровальщики, и сервер с открытым 445 начинают перебирать в первые же часы после появления адреса в сети. Если машина арендованная, доступ ограничивают межсетевым экраном — по конкретному адресу офиса.

ufw allow from 203.0.113.0/24 to any port 445 proto tcp
ufw enable

Первая строка разрешает подключения к порту 445 только с подсети 203.0.113.0/24 — подставьте сюда внешний адрес своего офиса. Вторая включает сам экран; перед этим убедитесь, что порт SSH тоже разрешён, иначе вы потеряете доступ к серверу. Разбор правил есть в гайде про настройку файрвола на Linux-сервере.

Отдельный вопрос — сотрудники, работающие из дома. Тянуть SMB через открытый интернет не нужно даже с ограничением по адресу: у домашних подключений адрес чаще всего динамический, и список разрешённых придётся править каждую неделю. Практичнее поставить рядом веб-интерфейс для файлов, который отдаёт те же данные по HTTPS с логином и паролем, а SMB оставить внутри офисной сети.

Диагностика: что проверять, когда папка не открывается

Когда сетевой диск не подключается, проверяйте по слоям снизу вверх. Так проблема локализуется за три минуты вместо перебора строк в конфиге наугад.

Слой первый, сеть. С рабочего компьютера выполните ping 192.168.1.50. Нет ответа — дело не в Samba, а в маршрутизации или в том, что сервер выключен. Ответ есть, а диск не открывается — проверьте порт командой telnet 192.168.1.50 445: отказ в соединении означает, что служба не запущена или порт закрыт экраном.

Слой второй, служба. На сервере выполните smbclient -L localhost -U ivan — команда покажет список доступных этому пользователю шар. Шара в списке есть, а с рабочего места не видна — проблема в сети. Шары нет и здесь — ошибка в секции конфига, возвращайтесь к testparm.

Слой третий, права. Подключение проходит, но при сохранении файла Windows пишет «Отказано в доступе» — конфиг в порядке, а прав на файловой системе нет. Проверьте вывод ls -ld /srv/obshee: там должны быть группа office и режим drwxrws---, где буква s в правах группы и есть бит SGID.

Частые ошибки

Ниже — то, на чём теряют время при первой настройке. Все эти ситуации выглядят как «Samba не работает», хотя служба жива и конфиг корректен.

• Завели пользователя только через smbpasswd, без системной учётной записи — вход не проходит.
• Забыли бит SGID: файлы Ивана недоступны Марии, хотя оба состоят в группе office.
• Открыли порт 445 всему интернету «на время настройки» и не закрыли обратно.
• Поставили каталогу режим 0777 вместо настройки групп — доступ получают все.
• Правили конфиг и не перезапустили smbd: сервер работает по старым правилам.
• Считают сетевой диск резервной копией и не делают бэкап.

Частые вопросы

Нужен ли домен Active Directory для общей папки? Нет. Для офиса до 40 человек хватает локальных пользователей Samba: вы заводите их командой smbpasswd -a и раздаёте доступ через группы. Домен нужен, когда одна учётная запись должна пускать и в компьютер, и в почту, и в другие сервисы.

Можно ли раздать папку без пароля, для всех? Технически да, параметром guest ok = yes, но так делать не стоит: любой, кто попал в сеть, сможет читать и удалять документы. Если нужен свободный обмен, заведите отдельную шару с отдельной группой и не держите там ничего ценного.

Нужны ли резервные копии, если файлы лежат на сервере? Обязательно. Удалённый сотрудником файл исчезает у всех сразу, а шифровальщик на одном заражённом ноутбуке за десять минут перепишет всё, к чему есть доступ на запись. Держите минимум 7 ежедневных версий на отдельной машине — схемы разобраны в гайде про настройку бэкапов на VPS.

Почему сетевой диск отваливается после спящего режима? Windows разрывает сессию SMB при засыпании и не всегда восстанавливает её сама. Помогает подключение через net use с ключом /persistent:yes, а на стороне сервера — уменьшение времени простоя сессии в секции [global].

Сколько человек выдержит сервер с 2 ГБ памяти? Для работы с офисными документами — около 15 одновременных подключений. Дальше ограничивает уже не память, а канал: 20 человек, копирующих файлы по 50 МБ, забьют 100 Мбит/с полностью. При росте офиса сначала расширяют канал, потом память.

Можно ли поднять Samba на сервере, где уже работает сайт? Можно: веб-сервер слушает порты 80 и 443, Samba — 445, друг другу они не мешают. Но следите за диском: копирование гигабайтных архивов даёт нагрузку, от которой сайт отвечает медленнее.

Как удалить уволившегося сотрудника? Двумя командами: smbpasswd -x ivan убирает пароль из базы Samba, userdel ivan удаляет системную запись. Созданные им файлы останутся в папке и сменят владельца только при явном chown.

Итог

Сложность здесь создаёт не технология, а три мелочи: двойная учётная запись, бит SGID и незакрытый порт 445. Если пройти шаги по порядку — установка, секция в smb.conf, группа и режим 2770, testparm, перезапуск smbd, — рабочая шара поднимается за полчаса и дальше требует внимания только при добавлении сотрудников.

Под такой сервер хватит 2 ядер, 2 ГБ памяти и диска с запасом; в каталоге подходящие тарифы начинаются от 59 ₽/мес у Cloudcore и от 127 ₽/мес у HostVDS. Подборка машин собрана в разделе VPS на Linux — выбирайте площадку с локацией поближе к офису, для SMB это важнее частоты процессора.