求助：在Synology DSM 6/7环境下通过Kerberos挂载CIFS共享时出现mount error(22): Invalid argument错误

我最近在Synology DSM 7.0上尝试通过Kerberos认证挂载域内NAS的CIFS共享，结果一直碰到mount error(22): Invalid argument的错误，在DSM 6.2上测试也出现了同样的问题。具体操作步骤和报错信息如下：

$ sudo mkdir /mnt/ADN_Archives
$ echo $?
0
$ kinit myUser@myDomain.LAN
$ echo $?
0
$ sudo mount.cifs //myNAS.myDomain.lan/ADN_Archives/ /mnt/ADN_Archives/ --verbose -o user=myUser@myDomain.lan,vers=3,sec=krb5i
mount.cifs kernel mount options: ip=x.y.z.t,unc=\\myNAS.myDomain.lan,vers=3,sec=krb5i,user=myUser@myDomain.lan,pass=********
mount error(22): Invalid argument
Refer to the mount.cifs(8) manual page (e.g. man mount.cifs)
$ echo $?
22
$ sudo mount.cifs -V
mount.cifs version: 6.11
$ man mount.cifs
-sh: man: command not found

补充说明：

• 挂载端（Synology）和目标NAS都已经加入了myDomain.LAN域
• DSM 6.2上使用的mount.cifs版本是5.5，同样报错
• 目标NAS并非Synology设备
• 尝试用smbclient测试的部分命令：

$ mkdir ~/.cache
$ smbclient -k -U myUser@myDomain.lan //myNAS.myDomain.lan/ADN_Archives/
WARNIN...

针对这个问题的排查建议和解决方案 #

我帮你梳理几个常见的排查方向，你可以逐一尝试：

1. 确认Kerberos票据有效性与权限

虽然kinit返回了0，但还是建议检查下票据状态：

• 执行klist查看当前的Kerberos票据，确认存在myUser@myDomain.LAN的有效票据，且目标NAS的服务主体cifs/myNAS.myDomain.lan@myDomain.LAN在授权范围内。
• 同时要确认你的域账户myUser对目标共享ADN_Archives有足够的权限，比如在域控制器上检查共享权限和底层文件系统权限。

2. 细化SMB版本参数

你用的vers=3范围太宽泛，不同NAS对SMB 3.x子版本的支持可能有差异，试试指定具体版本：

• 先尝试vers=3.0，不行的话再降级到vers=2.1（有些老设备对SMB3的Kerberos支持存在bug），修改后的挂载命令：

  sudo mount.cifs //myNAS.myDomain.lan/ADN_Archives/ /mnt/ADN_Archives/ --verbose -o user=myUser@myDomain.lan,vers=3.0,sec=krb5i
  

3. 调整Kerberos安全级别参数

sec=krb5i要求完整性校验，有些NAS可能只支持krb5（仅认证）或者krb5p（全加密），可以切换试试：

• 先尝试sec=krb5：

  sudo mount.cifs //myNAS.myDomain.lan/ADN_Archives/ /mnt/ADN_Archives/ --verbose -o user=myUser@myDomain.lan,vers=3,sec=krb5
  

• 如果还是报错，再试sec=krb5p

4. 检查时间同步与DNS解析

Kerberos对时间同步要求严格，两端时间差不能超过5分钟：

• 分别查看Synology和目标NAS的系统时间，确认与域控制器同步，Synology可以在控制面板的NTP设置里检查。
• 用nslookup myNAS.myDomain.lan确认DNS解析的IP和挂载命令里显示的ip=x.y.z.t一致，避免解析异常导致的问题。

5. 简化挂载命令并检查依赖

有时候冗余参数可能引发问题，试试去掉--verbose简化命令；另外确认Synology安装了必要的包，比如krb5-user、cifs-utils（DSM默认可能自带，但可以通过包管理器确认）。

6. 完成smbclient测试

你没贴完smbclient的输出，建议完整执行这个命令，如果smbclient能成功连接，说明Kerberos认证没问题，问题出在mount.cifs的参数或内核支持上；如果smbclient也失败，那就要先排查域信任、服务主体配置这类Kerberos本身的问题了。

备注：内容来源于stack exchange，提问作者SebMa