Netwerkschijven van Windows Server op de Mac: veilig koppelen en problemen oplossen

De afdelingsschijf op de fileserver is voor veel kantoren nog steeds het hart van het werk. Op Windows is dat een S:-schijf die er gewoon is als je inlogt. Op de Mac gaat dat anders, en daar loopt bijna iedere beheerder in de eerste week tegenaan. In dit deel van de serie Mac en de rest van de wereld kijken we hoe je een Mac netjes en veilig verbindt met een gedeelde map op Windows Server via SMB. Eerst de gewone route via de Finder, daarna wat de Mac standaard al doet, welke instellingen je wel en niet hoeft aan te passen en hoe je de bekende problemen oplost. Achteraan staat een naslagdeel met Terminal-commando’s voor beheerders.

Wat er anders is dan op Windows

Een paar verschillen vooraf, dan snap je de rest beter:

• Geen stationsletters. Een share verschijnt op de Mac als een volume in de Finder, onder Locaties en in de map /Volumes. Een vaste S: bestaat niet. Je kunt de share wel in de Finder-zijbalk of het Dock zetten, dan is hij net zo snel te vinden.
• Adressen in URL-vorm. Waar je op Windows \\fileserver\Afdeling typt, gebruik je op de Mac smb://fileserver.bedrijf.nl/Afdeling. Dus schuine strepen de andere kant op en smb:// ervoor.
• Geen inlogscript. Er is geen Group Policy die bij het inloggen schijven koppelt. Dat regel je met inlogonderdelen, de sleutelhanger of met je MDM.
• Dezelfde taal. De Mac spreekt gewoon SMB 2 en SMB 3, met signing, encryptie en Multichannel. Technisch is er dus geen vertaalslag nodig, het is vooral een kwestie van goed instellen.

Verbinden via de Finder

Voor de meeste gebruikers is dit alles wat ze nodig hebben:

1. Klik in de Finder op Ga > Verbind met server, of druk op Command-K.
2. Typ het adres, bijvoorbeeld smb://fileserver.bedrijf.nl/Afdeling, en klik op Verbind.
3. Kies Geregistreerde gebruiker en vul je gebruikersnaam en wachtwoord in. In een domein werkt BEDRIJF\jansen of jansen@bedrijf.nl.
4. Bewaar het wachtwoord alleen in je sleutelhanger op een Mac die van jou is en goed beveiligd is.

Twee handige extra’s. In het venster Verbind met server staat een +-knop waarmee je het adres bewaart als favoriet. En wil je dat de share na het inloggen vanzelf terugkomt, open dan Systeeminstellingen > Algemeen > Inlogonderdelen en extensies en sleep de gekoppelde share naar de lijst Open bij inloggen. Met een bewaard wachtwoord of een Kerberos-ticket gaat dat zonder vragen.

Laat je de servernaam weg, dus alleen smb://fileserver.bedrijf.nl, dan krijg je een lijst met alle shares waar je bij mag en kies je er een of meer.

Gebruik de servernaam, niet het IP-adres

Het klinkt als een detail, maar dit is de belangrijkste regel van het hele stuk. Verbind altijd met de volledige DNS-naam van de server, bijvoorbeeld fileserver.bedrijf.nl, en niet met 192.168.1.20.

De reden is Kerberos. In een Active Directory-omgeving is Kerberos de veilige en prettige manier van inloggen: geen wachtwoord over de lijn en geen vragen als je al bent aangemeld. Kerberos werkt met de naam van de server. Verbind je met een IP-adres, dan valt de verbinding meestal terug op NTLMv2. Dat werkt wel, maar het is zwakker en je krijgt eerder wachtwoordvragen. Werkt verbinden via het IP-adres wel en via de naam niet, dan heb je een DNS-probleem. Los dat op in plaats van het IP-adres te gaan gebruiken.

Let op met .local

Heet je Windows-domein nog iets als bedrijf.local? Dan kun je op de Mac vreemde problemen krijgen. De Mac gebruikt .local voor Bonjour, de techniek waarmee apparaten elkaar in het netwerk vinden. Namen die op .local eindigen worden dan eerst via Bonjour gezocht in plaats van via je DNS-server. Gevolg: trage of mislukte verbindingen, vooral over VPN. Apple raadt .local voor nieuwe netwerken daarom af. Kun je het domein niet zomaar omzetten, voeg dan op de Mac je domein toe als zoekdomein in de netwerkinstellingen en test goed, ook via VPN. Bij een nieuw domein kies je liever een subdomein van een domein dat je zelf bezit, zoals ad.bedrijf.nl.

Inloggen zonder wachtwoord: Kerberos

De Mac hoeft niet meer aan het domein gekoppeld te zijn om Kerberos te gebruiken. Dat oude binden aan Active Directory raden we af, zie ook Een Mac in een Windows-bedrijfsnetwerk. De moderne route loopt via je MDM:

• Kerberos SSO-extensie van Apple. Een configuratieprofiel waarmee de Mac een Kerberos-ticket ophaalt voor je domein. Daarna koppel je shares zonder wachtwoordvraag.
• Platform SSO met Microsoft Entra ID. Gebruik je Intune en Platform SSO, dan kan Entra ID na het inloggen ook Kerberos-tickets voor je lokale Active Directory afgeven. Microsoft noemt dat TGT mapping. Je rolt daarvoor naast het Platform SSO-profiel een Kerberos SSO-profiel uit voor je AD-realm.

Voor Kerberos moeten een paar dingen kloppen: de Mac gebruikt de DNS-servers van het domein (of bereikt ze via VPN), je verbindt met de servernaam, en de klok van Mac en domeincontroller loopt gelijk. Een paar minuten verschil is al genoeg om Kerberos te laten mislukken. Met klist in Terminal zie je of je een geldig ticket hebt.

Wat de Mac standaard al doet

Op internet circuleren lange nsmb.conf-bestanden die je “moet” plaatsen. Veel van die instellingen staan al goed, en sommige lijstjes zetten zelfs beveiliging uit. Dit doet de Mac zonder dat je iets aanpast, volgens de eigen handleiding (man nsmb.conf) en de supportpagina’s van Apple:

Het enige wat je dus echt wilt aanpassen in een moderne Windows-omgeving is het oude SMB 1 en de NetBIOS-terugval. Apple beschrijft dat zelf in How to disable SMB 1 or NetBIOS in macOS.

De aanbevolen nsmb.conf

De SMB-instellingen van de Mac staan in het bestand /etc/nsmb.conf. Dat bestaat standaard niet. Voor de meeste kantoren is dit genoeg:

[default]
protocol_vers_map=6
port445=no_netbios

protocol_vers_map=6 zet alleen SMB 2 en SMB 3 aan (2 voor SMB 2 plus 4 voor SMB 3). port445=no_netbios zorgt dat de Mac via poort 445 verbindt en niet terugvalt op NetBIOS. Je zult in veel handleidingen ook minauth=ntlmv2 tegenkomen. Dat kan geen kwaad, maar het is al de standaard.

Zo plaats je het bestand op één Mac:

sudo test -f /etc/nsmb.conf && sudo cp -p /etc/nsmb.conf /etc/nsmb.conf.backup
sudo nano /etc/nsmb.conf

Bestaat er al een [default]-sectie, zet de regels daar dan bij. Maak er geen tweede aan. Na het opslaan ontkoppel je alle shares en verbind je opnieuw, want de instellingen gelden pas voor nieuwe verbindingen. Terugdraaien kan door de backup terug te zetten, of door het bestand te verwijderen als het er eerst niet was. Apple noemt dat laatste zelf veilig.

Twee dingen die handig zijn om te weten. Er bestaat ook een bestand per gebruiker, ~/Library/Preferences/nsmb.conf, maar het algemene bestand in /etc wint bij conflicten. En naast [default] kun je secties per server maken. Zo kun je bijvoorbeeld voor één oude NAS SMB 1 toestaan, terwijl de rest van het netwerk het niet meer mag. De precieze opbouw staat in man nsmb.conf.

Voor meerdere Macs: er is geen standaard instelling in een configuratieprofiel voor nsmb.conf. In Intune of een andere MDM rol je het uit met een klein shellscript dat het bestand aanmaakt. Zorg dat het script een bestaand bestand niet zomaar overschrijft.

Signing en encryptie afdwingen

Signing en encryptie zijn niet hetzelfde. Signing bewijst dat een bericht echt van de server of de Mac komt en onderweg niet is aangepast. Dat beschermt tegen relay-aanvallen. Encryptie versleutelt ook de inhoud, zodat niemand op het netwerk je bestanden kan meelezen.

Ons advies is om beide aan de serverkant te regelen. Let op: Windows Server 2025 eist standaard signing voor zijn eigen uitgaande verbindingen, maar niet voor Macs en pc’s die bij hem binnenkomen. Dat zet je zelf aan, met de Group Policy-instelling Microsoft network server: Digitally sign communications (always) of met Set-SmbServerConfiguration -RequireSecuritySignature $true. Deel je bestanden vanaf een pc met Windows 11 24H2, dan staat signing daar standaard al aan. Encryptie zet je op Windows Server per share aan, bijvoorbeeld met Set-SmbShare -Name Afdeling -EncryptData $true. De Mac doet dan gewoon mee. Wil je het ook vanaf de Mac afdwingen, bijvoorbeeld voor laptops die op onbekende netwerken komen, dan kan dat met:

[default]
protocol_vers_map=6
port445=no_netbios
signing_required=yes
force_sess_encrypt=yes

Test dat eerst met een paar Macs. Ondersteunt een server of NAS geen encryptie, dan lukt de verbinding met deze instelling niet meer. Signing en encryptie kosten wat snelheid, maar met een moderne Mac en server merk je daar op een gewoon kantoornetwerk weinig van.

Controleren of het goed staat

Met smbutil zie je precies hoe een verbinding is opgezet:

smbutil statshares -a
smbutil multichannel -a

Bij statshares zie je per share onder meer de SMB-versie en of signing en encryptie actief zijn. Staat er SMB_3.1.1 en zie je signing aan, dan zit het goed. Met multichannel zie je welke netwerkverbindingen worden gebruikt. Sinds macOS 15 kan de Mac per netwerkkaart meerdere kanalen opzetten als de hardware dat ondersteunt, wat bij 10 gigabit flink kan schelen.

Problemen oplossen

De server wordt niet gevonden

Controleer eerst of de naam goed wordt opgezocht met dig +short fileserver.bedrijf.nl, en of poort 445 bereikbaar is met nc -vz fileserver.bedrijf.nl 445. Een mislukte ping zegt weinig, veel firewalls blokkeren die. Lukt poort 445 niet, kijk dan naar de VPN, de Windows Firewall en de firewall tussen de netwerksegmenten. Met scutil --dns zie je welke DNS-servers de Mac gebruikt. Buiten kantoor moeten dat via de VPN de DNS-servers van het domein zijn.

Je komt binnen met het verkeerde account

De Mac hergebruikt een bestaande sessie naar dezelfde server. Was je eerder met een ander account verbonden, dan blijft dat account hangen. Ontkoppel alle shares naar die server en verbind opnieuw. Met mount | grep smbfs zie je wat er nog gekoppeld is.

Lezen lukt, schrijven niet

Op Windows Server zijn de werkelijke rechten de combinatie van de sharemachtigingen en de NTFS-machtigingen. De strengste wint. Controleer dus beide, plus de groepen waar de gebruiker in zit. De Mac zelf is hier zelden de oorzaak.

De Finder laat oude inhoud zien

Bij SMB 2 en 3 onthoudt de Mac de inhoud van mappen even. Verandert de inhoud op de server heel vaak, of zie je soms maar een deel van de bestanden, dan kun je die cache uitzetten met dir_cache_max_cnt=0 in de [default]-sectie. Dat staat ook in Apple’s eigen artikel. Het kost wel snelheid bij grote mappen, dus doe het alleen als het nodig is.

Bladeren door grote mappen is traag

Zet eerst .DS_Store-bestanden op netwerkschijven uit. De Finder maakt die in elke map die je opent, en dat maakt bladeren trager en zorgt voor rommel voor Windows-collega’s. Apple beschrijft dit zelf:

defaults write com.apple.desktopservices DSDontWriteNetworkStores -bool true

Log daarna uit en weer in. Gebruik je zowel wifi als kabel, voeg dan mc_prefer_wired=yes toe aan nsmb.conf, zodat Multichannel de kabel voorrang geeft. Multichannel helemaal uitzetten met mc_on=no doe je alleen als je echt een compatibiliteitsprobleem hebt.

Rare tekens in bestandsnamen

Tekens die de Mac toestaat maar Windows niet, zoals een dubbele punt of een vraagteken, geven op de share vreemde namen. Daarover schreven we een apart stuk: Zip, rar en bestandsnamen tussen Mac en Windows. Voor de verborgen ._-bestanden die je collega’s soms zien, lees Verborgen Mac-bestanden op USB-sticks.

Meer informatie nodig

Live meekijken tijdens een verbindingspoging kan in Terminal met:

log stream --info --predicate 'process == "mount_smbfs" OR process == "NetAuthSysAgent" OR subsystem CONTAINS[c] "smb"'

Stop met Control-C. Plak zulke logregels niet op een openbaar forum, er staan gebruikersnamen en interne servernamen in.

Welke aanpak past bij jou?

Een paar Macs, geen beheer

Verbinden via de Finder met de servernaam, wachtwoord in de sleutelhanger, share bij de inlogonderdelen. Zet op elke Mac de korte nsmb.conf met alleen SMB 2 en 3 en zonder NetBIOS.

Macs in Intune met Entra ID

Platform SSO met een Kerberos SSO-profiel voor je AD-realm, zodat gebruikers zonder wachtwoordvraag bij de shares komen. nsmb.conf en de .DS_Store-instelling via een script vanuit Intune. Signing en encryptie regel je op de server.

Gevoelige data of veel thuiswerkers

Encryptie verplicht op de shares die ertoe doen, signing verplicht op de server, en eventueel ook vanaf de Mac afdwingen. Toegang alleen via VPN, en controleer met smbutil statshares of encryptie echt aan staat.

Naslag: Terminal-commando’s

Voor beheerders die liever typen dan klikken. Vervang de server, de share en de gebruiker door je eigen gegevens. Het wachtwoord wordt steeds netjes gevraagd. Zet het nooit in het commando of de URL, want dan belandt het in je shellgeschiedenis.

# Naam en poort testen
dig +short fileserver.bedrijf.nl
nc -vz fileserver.bedrijf.nl 445

# Beschikbare shares bekijken (domeinaccount)
smbutil view '//BEDRIJF;jansen@fileserver.bedrijf.nl'

# Koppelen via de Finder-dialoog
open 'smb://fileserver.bedrijf.nl/Afdeling'

# Of koppelen op een eigen plek, zonder beheerdersrechten
mkdir -p "$HOME/Shares/Afdeling"
mount_smbfs '//BEDRIJF;jansen@fileserver.bedrijf.nl/Afdeling' "$HOME/Shares/Afdeling"

# Spaties in een sharenaam worden %20
mount_smbfs '//BEDRIJF;jansen@fileserver.bedrijf.nl/Team%20Bestanden' "$HOME/Shares/Team"

# Verbinding controleren
smbutil statshares -a
klist

# Netjes ontkoppelen, en kijken wat nog bestanden open heeft
diskutil unmount "$HOME/Shares/Afdeling"
lsof +D "$HOME/Shares/Afdeling"

Gebruik diskutil unmount force alleen als het echt niet anders kan. Wat nog niet is opgeslagen, ben je dan kwijt.

Stappenplan

1. Controleer aan de Windows-kant dat SMB 1 uit staat, poort 445 open is en de share- en NTFS-rechten kloppen.
2. Zorg dat de server een nette DNS-naam heeft die de Macs kunnen opzoeken, ook via VPN. Kijk of je domein op .local eindigt.
3. Rol op de Macs de korte nsmb.conf uit: alleen SMB 2 en 3, geen NetBIOS.
4. Regel Kerberos via de Kerberos SSO-extensie of Platform SSO, zodat gebruikers niet steeds hun wachtwoord hoeven te typen.
5. Zet signing en waar nodig encryptie aan op de server.
6. Zet .DS_Store op netwerkschijven uit.
7. Laat gebruikers verbinden via Command-K met de servernaam en de share bij de inlogonderdelen zetten.
8. Controleer met smbutil statshares -a op een paar Macs of versie, signing en encryptie kloppen.

En met Apple?

Apple maakt zelf geen servers meer. macOS Server is in 2022 gestopt, en een Mac kan zelf wel mappen delen via SMB, maar dat is bedoeld voor kleine situaties en niet als afdelingsserver. Blijf je helemaal bij Apple, dan gaan bestanden in de praktijk naar iCloud Drive of naar een NAS die SMB spreekt. Voor een bedrijf met Microsoft 365 ligt SharePoint en OneDrive meer voor de hand dan een klassieke fileserver. Het goede nieuws is dat de Mac en Windows Server via SMB prima samenwerken. Het meeste gaat mis op DNS, Kerberos en rechten, niet op de Mac zelf.

Deze whitepaper beschrijft de situatie in oktober 2026 met macOS Golden Gate (macOS 27) en Windows Server 2022 en 2025. De standaardwaarden komen uit man nsmb.conf en de supportartikelen van Apple. Controleer ze op je eigen Mac met man nsmb.conf voordat je iets breed uitrolt.

Hulp nodig bij de inrichting voor je organisatie? Mail naar frank@analystict.nl.

Dit artikel hoort bij de serie Mac en de rest van de wereld. Daar vind je alle delen op een rij.