Разрешение доступа к разделу только из определенной подсети:
Для нужного имени share-секции smb.conf добавляем:

   [share]
     hosts allow = 192.168.2. 127.0.0.1
     hosts deny  = ALL

Разрешение доступа по именам пользователей или группам:

   [share]
     valid users = user1 user2 @group1 @group2

Делегирование прав на запись только заданным пользователям, остальным доступ только для чтения:

   [share]
     read only = yes
     write list = user1 user2 @group1 @group2

Пример, доступ только на чтение к разделу [sales] всем, кроме пользователей tom
и jerry, имеющих возможность записи:

   [sales]
     comment = All Printers
     path = /nas/fs/sales
     read only = yes
     write list = tom jerry

Для более надежной защиты рекомендуется ограничить доступ к smbd (139 порт)
через пакетный фильтр, разрешив обращение только с адресов локальной сети.