家庭与小企业 NAS 文件共享实战：SMB 多用户挂载、权限隔离与 Windows/Mac 访问指南

摘要：NAS 买回来第一件事不是装 Docker，而是把文件共享跑通。本文以飞牛 OS 与群晖 DSM 为例，讲清存储池规划、SMB 多用户权限隔离，以及 Windows / macOS / Linux 三种系统的挂载方法，附带配额、回收站与快照防误删的收尾配置。

一、为什么文件共享是 NAS 的第一要务

很多人拿到 NAS 第一反应是装影视库、搞下载，但站在家庭与小企业视角，最核心、最高频的需求其实是"把文件放到一个地方，全家或全公司都能方便访问"。网盘有容量上限和隐私顾虑，U 盘传来传去版本混乱，而 NAS 的 SMB（Server Message Block，即 Windows 文件共享协议）几乎是全平台最省心的方案：Windows 原生支持，macOS 自带连接服务器，Linux 一条 mount 命令即可。先把共享做扎实，再叠加其他应用，才是正确的落地顺序。

二、存储池与共享文件夹规划

在动权限之前，先想清楚"数据怎么分层"。我习惯把一块硬盘或一组 RAID 划分成几个独立的共享文件夹，而不是全扔进一个公共目录：

home：每个用户独立的私人空间，只有本人和管理员能看；
public：家庭相册、公司公告等全员可读写；
work：部门协作区，按用户组授权；
backup：系统备份与手机自动备份专用，普通用户只读。

飞牛 OS 在"存储管理—共享文件夹"里新建即可；群晖 DSM 在"控制面板—共享文件夹"操作。关键点：创建时就要选好所在的存储池与文件系统（Btrfs 支持快照，推荐），不要等数据满了再迁移。

三、SMB 服务开启与用户/用户组设计

开启 SMB 很简单，但权限设计才是重点。不要图省事给所有人"管理员"，也不要只用一个账号全家共用——一旦某台手机中毒，整个 NAS 就裸奔了。

正确做法是"用户组优先"：

在用户与群组里建组，例如 family、finance、it；
把具体账号加入对应组，个人账号只属于一个主组；
SMB 共享的高级权限里，按组授予"读""写""只读"三种粒度。

例如财务文件夹只把 finance 组设为可读写，其他组一律拒绝；相册 public 对 family 组可写、对外只读。这样换人或离职时，只需把账号移出组，权限自动失效，不用逐个文件夹改。

四、Windows / macOS / Linux 挂载步骤

Windows：打开"此电脑—映射网络驱动器"，文件夹填 \\192.168.1.20\work（替换为你的 NAS 内网 IP 与共享名），勾选"使用其他凭据连接"，输入 NAS 账号密码，重启后自动重连。若提示权限错误，先到"凭据管理器"删掉旧的 Windows 凭据再重试。

macOS：访达菜单"前往—连接服务器"，地址填 smb://192.168.1.20/work，登录时选"注册用户"填 NAS 账号。建议勾选"在我的钥匙串中记住"，否则每次睡眠唤醒都要重输。

Linux（含树莓派、客户端服务器）：

sudo mkdir -p /mnt/nas-work
sudo mount -t cifs //192.168.1.20/work /mnt/nas-work \
  -o username=alice,password=你的密码,uid=1000,gid=1000

要开机自动挂载，把上面命令写进 /etc/fstab 并用 credentials 文件隔离密码，避免明文泄露。

五、权限隔离实战案例

以三口之家 + 一个家庭办公室为例：父母用 family 组看相册、存文档；孩子账号只给 public 的只读，防止误删；家庭办公室的 work 文件夹对 family 只读、对专用 office 账号可写。小企业同理：销售组看 public 报价单，财务组独占 finance，IT 组拥有全部但平时用只读账号日常登录，管理操作才切管理员。最小权限原则能挡掉绝大多数误操作和数据勒索。

六、收尾：配额、回收站与快照

三件事让共享更稳：

配额：给每个用户或共享文件夹设容量上限，防止某个账号塞满整盘；
回收站：开启 SMB 回收站（群晖叫"网络回收站"），误删的文件先进回收站，留 30 天缓冲；
快照：Btrfs 存储池开启定时快照，勒索软件加密文件后能回滚到前一天。

小结

NAS 的价值在于"可信的共享"，而不是堆功能。先把存储分层、用户组分权、三端挂载跑通，再叠加影视、备份、Docker，整个系统才既好用又安全。权限用组管理、日常用只读、关键目录开快照，这三条做到位，家庭和小企业都能省下大量运维精力。