Ok, ainda não sei exatamente o que está acontecendo ... mas consegui que a conta de convidado trabalhasse com permissões de arquivo e pasta definidas para 755.
Para que funcione, tive que fazer smbpassswd -a nobody
(sem senha). Isso ainda não faz sentido como se o samba precisasse dessa conta em seu próprio banco de dados, então ele nem deveria poder ler o diretório em primeiro lugar (antes do usuário ser adicionado)?