Как отдельным пользователям запретить доступ через smb.

Всем привет.

Возникла идея, дабы защититься от шифровальщиков и потери данных из-за действий пользователей сделать папку для всех доступную только на чтение. При этом одному из "туповатых" юзеров создать отдельную учетку через которую он смог бы переносить нужные файлы (через FileStation) в эту папку из других папок и периодически чистить ее (мини админ).

И тут возник "затык" - под этой учеткой он может спокойно зайти через smb на NAS, а значит появляется опять дыра для шифровальщиков в случае если он сдуру войдет под этой учеткой через smb :-( (а это исключить к сожалению нельзя).

Видятся два выхода:

1. Запретить доступ на запись в эту папку через smb и разрешить полный доступ через FileStation, но как оказалось права эти не разделены. Как это сделать даже теоретически - я не нашел.

2. Запретить доступ через smb к NAS ОТДЕЛЬНО взятой учетке. Но как это сделать? Пусть даже через телнет? Решения я тоже не нашел.

Кто что может предложить?

З.Ы.

DSM 6.2.2-24922 на DS418j

В дополнение:

ТП отписалась - штатно НИКАК, наоборот можно - SMB оставить FileStation отключить (это понятно). А вот как хочется - не получится :-(.

Может через SSH что-то можно сделать?

Пока остается только "под страхом смертной казни" запретить вводить этот пароль в SMB.

Похожая ситуация. Не режу права юзерам на рабочих местах, просто потому что у меня тогда появится много бесполезной работы.

Я предпочёл использование резервного копирования с NAS - на сторонний ПК в сети, средствами бесплатной программы "Cobian Backup 11 Gravity".

Помимо прочего она позволяет копировать только то, что изменилось, с сохранением, например, первой полной копии, хранить N-ное кол-во полных и неполных копий и т.п..

Ещё одна приятная особенность - она понимает и обрабатывает длинные имена, в т.ч. с длинными вложенными названиями каталогов и файлов, на которых затыкается даже Windows 10.

Такие длинные пути и имена понимает разве что FAR, так что я только им оперирую с подобными хранилищами, если это надо делать/копировать вручную или посмотреть на результат резервного копирования (поглядеть объём каталога например).

Через smb всем чтение. Админу завести вторую учётку через ftp. Этой учётке дать полные права. Логин и пароль для ftp прописать в ftp клиенте.