群晖NFS访问怎么设置，权限规则里的映射关系是关键
公司里 Windows 电脑访问 NAS 走 SMB，文件管理器里点开就能用；轮到 Linux 工作站、ESXi 或 PVE 这类虚拟化宿主机，对口的通路一般是 NFS。不少管理员在 NAS 这头把共享文件夹建好了，Linux 那头却死活挂不上，或者挂上了写不进——十有八九卡在服务端那几条 NFS 权限规则上。NFS 的设置，核心不是点开开关，而是把“谁可以来、来了算什么身份”这两件事配对。
原因分析
NFS 的授权模型和 SMB 不是一路。SMB 靠账号密码认人，NFS 传统上靠地址认机器：客户端 IP 在规则名单里，才准进门。进门之后还有一道关——身份映射。Linux 客户端发来的操作带着 uid 和 gid（用户号与组号），服务端怎么解释这些号码，由规则里的映射选项决定：把 root 用户压成匿名身份、把所有用户压成匿名身份、或者不映射照单全收。压成匿名时，匿名身份对应哪个号码，又要由匿名 uid、gid 指定。挂载成功却写不进文件，多半就是映射选项把客户端身份压成了一个对共享文件夹没有写权限的账号。
还要记得权限是两层叠加：NFS 规则决定“这扇门给谁开”，共享文件夹自身的权限和 ACL 决定“进来的人能搬走什么”。两层都放行，访问才真正成立，排查时也要两层都查。
分步解决
- 启用 NFS 服务。控制面板的文件服务里勾选启用 NFS，协议版本按客户端情况选——主流 Linux 发行版和虚拟化平台用常用版本都能通，有更高安全要求的环境再评估更新版本的特性。
- 给共享文件夹加 NFS 规则。共享文件夹设置里编辑 NFS 权限，新增一条规则：客户端字段填主机 IP 或网段，比如 192.168.10.0/24 表示整个网段可挂载。
- 配身份映射。只读业务选“全部用户映射为匿名”更稳妥；需要客户端保持文件属主的场景选“仅映射 root”，并让两端的用户号码对得上；“不映射”慎用，等于把客户端的号码原样放进你的文件系统。
- 指定匿名身份并给足权限。映射为匿名时，把匿名 uid、gid 指向一个对共享文件夹有相应权限的本地用户，避免匿名身份落在一个无权可用的空账号上。
- 客户端挂载验证。Linux 侧一条挂载命令挂上后，分别试读和试写；再从规则名单之外的机器试一次——挂不上才是对的，证明名单生效。
- 规则留档。每条规则对应的业务主机、目录、读写级别记进文档，主机地址一变就有据可改。
预防
地址名单式授权的软肋是地址会漂：客户端改了 IP、网段重划之后，老规则就从门槛变成了路障。贵州诚鑫致达科技做 NFS 交付，习惯给每条权限规则在文档里留一行——哪台主机、挂哪个目录、只读还是可写——配置界面后来怎么改，这页记录都对新接手的人说话。
企业存储选型参考｜贵州诚鑫致达
老机型数据迁移与扩容（DS218+/DS420+/DS3622xs+ 等），群晖机型参考：可衔接 SA3410 · UC3400 · RS2423RP+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。