【免费下载链接】TimeCapsuleSMBHacking the Apple AirPort Time Capsule to run modern Samba项目地址https://gitcode.com/gh_mirrors/ti/TimeCapsuleSMB点击查看免费下载把一台服役多年的 Apple Time Capsule 改造成 Samba 文件服务器最大的顾虑就是安全老固件、开放端口、root 权限这些词组合在一起让人不敢用。TimeCapsuleSMB 项目正是破解 Apple Time Capsule 跑现代 Samba的开源方案它的做法是把安全边界尽量收窄——SMB 密码随每次启动动态生成、认证后统一映射到 root、服务只对局域网可见。本文用通俗语言拆解这三层防线帮你判断老设备跑 Samba 到底安不安全。老设备跑 Samba 安全吗先看整体安全格局 ️TimeCapsuleSMB 的安全设计可以用一句话概括不追求人人可用而是只对自己的局域网负责。它并不试图让 Time Capsule 变成公网文件服务器而是围绕三个核心问题给出答案安全问题TimeCapsuleSMB 的答案密码会不会泄露在硬盘上不会——密码哈希只写在 RAM 里每次启动重新生成老固件的权限体系不可靠怎么办认证后统一映射到 Unix root绕开固件缺陷服务会不会暴露到外网不会——Bonjour 只在本局域网广播Apple 防火墙拦截 WAN 和访客网络项目官方也明确写道This should be treated as a LAN-only setup. Do not expose this SMB service directly to the public internet!README.md。所以先记住一个前提这套方案是局域网专用的安全性建立在它不对外之上。动态密码SMB 密码如何每次启动自动更新 传统做法是把 Samba 密码文件写进硬盘一旦设备被物理接触密码哈希就永久留在磁盘里。TimeCapsuleSMB 选择了完全不同的路径——动态密码boot-time dynamic password设备开机时Samba 原生管理器读取 Apple 的实时设备密码/usr/bin/acp -q syPW也就是你在 AirPort Utility 里设置的那台 Time Capsule 密码通过service程序把密码转成 NT 哈希写入RAM 专属的smbpasswd文件任何与密码相关的认证文件都不会落盘——部署阶段明确不上传密码派生的 Samba 认证文件DETAIL.md。这个机制带来三个实际好处硬盘上没有密码痕迹设备被拆机、硬盘被拷贝也拿不到 SMB 密码哈希密码跟着 AirPort Utility 走你在 AirPort Utility 里改了设备密码重启后 SMB 密码自动同步不需要单独维护第二套密码体验几乎无感连接smb://时用的用户名是admin文档示例名密码就是你现有的 Time Capsule 密码README.md。生成的 SMB 配置中密码库明确指向 RAM 路径config.cpassdb backend smbpasswd:/mnt/Memory/samba4/private/smbpasswd/mnt/Memory是约 16 MiB 的 RAM 盘重启即清空——这既是老设备资源紧张下的无奈反而成了安全红利。root 映射为什么每个登录用户都变成 root这是新手最常问的一个反常识设计。Time Capsule 上生成的username.map同样只存在于 RAM内容很简单DETAIL.md!root root root *配合 Samba 全局配置config.csecurity user启用用户级认证没有密码一律拒绝valid users rootforce user root认证通过后文件操作统一以 Unixroot身份执行force group wheel统一归入 root 主组guest ok nomap to guest Never访客访问彻底关闭不存在匿名浏览。为什么不走普通用户 权限隔离的常规路线因为固件不允许。老 Time Capsule 运行的 NetBSD 在 Samba 尝试切换用户身份时会直接报错DETAIL.md。项目方试过非 root 映射全部因权限切换失败而放弃于是做了一个务实选择登录必须认证但文件操作跑在 root 下——牺牲单用户隔离换取在老固件上真正可用。README.md怎么理解这个取舍在 LAN-only 的前提下能过密码认证的人本来就是你信任的局域网成员多个设备间再分 root 权限的边际收益很低而能认证 无访客 无匿名已经是这类老设备能做到的合理上限。项目方甚至为此写了专项测试确保 RAM 里的用户名映射确实生效test_samba_config.py。LAN-only 边界三层防线把服务锁在家里 ️Samba 进程本身监听的是 IPv4/IPv6 通配的 445 端口——听起来很危险TimeCapsuleSMB 没有靠 Samba 的interfaces白名单去挡而是把网络边界交给设备固件和广播策略形成三层防线DETAIL.md第一层链路角色规划link plan原生service discovery组件持续读取 ACPd 配置把每个网络接口划成四类角色laIP拥有者 →LAN、gnRo拥有者 →GUEST、waIP/waLL拥有者 →WAN、其余 →ISOLATED。只有 LAN以及开启WAN 磁盘共享的 NAT 模式才获得 SMB 服务位访客网络永远不承载文件共享冷启动阶段在计划校验通过之前不发布任何共享。第二层Bonjour 广播范围_smb._tcp、_adisk._tcp这些服务记录按链路策略发布LAN 链路拿到完整服务集WAN/访客链路按 Apple 固件原策略与 Apple 自家文件服务器的行为一致其他链路隔离。Mac 上看得见的前提是广播到了你的局域网。第三层Apple 固件防火墙即使 Samba 通配监听跨接口的 WAN 与访客访问仍由 Time Capsule 自己的防火墙按 AirPort Utility 的策略执行等于最后一道硬拦截。一句话总结发现能力Bonjour决定谁看得见固件防火墙决定谁连得上两层都在 Samba 之外且都继承 Apple 原生的安全策略老固件没有引入新的暴露面。传输层还能再加码吗可以。生成的配置默认强制min protocol SMB2/max protocol SMB3config.c彻底告别有历史漏洞的 SMB1。在 macOS 应用中还可以勾选Require SMB Encryption写入server smb encrypt required强制所有客户端走加密 SMB3DETAIL.md。项目对协议选项还有互斥校验强制加密不能与允许任意协议或禁用签名和加密同时开启smb_policy.py从代码层面防止你把安全选项配反。安全自查清单动手前对照一遍 ✅只在家用/可信局域网使用不做端口转发、不暴露到公网README.md设备密码别用弱密码——它就是 SMB 密码动态生成也改变不了密码强度靠你这个事实确认访客网络开着也是安全的访客链路默认拿不到 SMB 广播与访问需要更高防护时在 macOS 应用中开启Require SMB Encryption注意rsync 选项默认关闭且启用后是无认证服务的仅限完全可信的局域网DETAIL.md别为了提速开启Disable SMB signing and encryption那会主动削弱传输安全DETAIL.md总结安全吗看你怎么用 TimeCapsuleSMB 没有把老 Time Capsule 变成堡垒机——root 映射是固件缺陷下的务实妥协单设备内并不做用户隔离。但它的三层设计RAM 动态密码不落盘、强制认证 访客全关、LAN-only 广播与防火墙边界精准地把风险面压在了你的局域网内部。只要守住不上公网、密码够强两条底线这个老设备 Samba 方案的安全性对家庭用户是够用且可解释的。毕竟能让一台 2008 年的路由器级硬件稳定跑起 Samba 4.25 并支持 Time Machine本身就是一场漂亮的极客实践 赞分享【免费下载链接】TimeCapsuleSMBHacking the Apple AirPort Time Capsule to run modern Samba项目地址https://gitcode.com/gh_mirrors/ti/TimeCapsuleSMB点击查看免费下载相关推荐QEMU 安全模型深度解读威胁边界、隔离机制与安全状态报告机制QEMU 安全模型深度解读威胁边界、隔离机制与安全状态报告机制 本篇指南基于 docs/system/security.rst https://link.gi虚拟化硬件仿真本地 AI 集群安全吗?NVIDIA PAIR 的 PIN 配对与 mTLS 信任边界全解读本地 AI 集群安全吗?NVIDIA PAIR 的 PIN 配对与 mTLS 信任边界全解读 NVIDIA Personal AI Router PAIR 是一人工智能大模型模型推理服务LLM 网关本地部署后端桌面应用Elasticsearch 映射Mapping完全指南静态映射、动态映射与字段类型详解Elasticsearch 映射Mapping完全指南静态映射、动态映射与字段类型详解 本文以 db tutorial 仓库中的 05.Elasticse文档教程数据库创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考