Koppel 'n VPN-lêerdeling met die Samba-rekening wat die bediener ken

Maak die tonnel oop en die deling vra steeds na ’n wagwoord wat die gebruiker as korrek beskou. In ’n selfstandige Samba-ontplooiing is die VPN-aanmelding en die SMB-aanmelding onverwante geloofsbriewe: een magtig die tonnel, die ander word deur die lêerbediener nagegaan. Om die skyf met die VPN-rekening te koppel misluk dus selfs wanneer die wagwoord reg is en die netwerkpad perfek is. Daardie onderskeid verklaar die meeste koppelfoute oor ’n VPN.

Die oplossing is nie om die VPN-rekening terug te stel nie. Dit is om ’n identiteit te noem wat die Samba-bediener werklik ken, en dan na te gaan of dieselfde identiteit regte op die deling en gids het.

Die VPN-aanmelding en die SMB-aanmelding is verskillende identiteite

’n VPN-rekening word deur die VPN-grendel volgens sy eie beleid beoordeel. Dit beantwoord of hierdie kliënt die privaatnetwerk mag betree. Dit sê niks oor watter SMB-rekening op ’n lêerbediener binne daardie netwerk bestaan nie.

’n Samba-rekening woon in die bediener se verifikasie-agterkant, met sy eie wagwoorddatabasis en sy eie naam. Twee masjiene kan albei ’n gebruiker met die naam alice hê sonder om ’n identiteitstelsel, ’n wagwoord of ’n gebruikerkenmerk te deel. Die name stem ooreen; die rekeninge nie.

’n Domeingeïntegreerde Samba-bediener verander die prentjie: die identiteit kom uit die gids en van Kerberos, nie uit ’n plaaslike rekeninglys nie. Gebruik in daardie geval die gidsidentiteit en die ondersteunde SMB-konfigurasie eerder as om plaaslike duplikate te skep om domeinlidmaatskap na te boots. Gaan na watter model die bediener gebruik voordat jy enige rekening skep.

Sien watter identiteit Windows werklik gebruik

Windows hou verbindings per bediener in die kas. As ’n bestaande sessie na dieselfde bediener met ’n ander rekening oopgemaak is, kan ’n nuwe koppeling daardie sessie hergebruik of misluk met ’n verifikasiefout wat die verkeerde gebruiker noem. Dis hoe ’n korrekte wagwoord verkeerd lyk. Ondersoek die huidige verbindings voordat jy geloofsbriewe verander.

net use
cmdkey /list
klist

Die eerste opdrag wys gekoppelde skywe en oop sessies, die tweede wys gestoorde geloofsbriewe wat outomaties toegepas kan word, en die derde wys Kerberos-kaartjies wanneer ’n domein in gebruik is. ’n gestoorde geloofsbrief kan die rekening wat jy wou intik stilweg oorheers.

Verwyder net die verbinding of geloofsbrief wat by hierdie probleem hoort. Om elke skyf te ontkoppel of die bedienernaam deur ’n IP-adres te vervang, verberg die identiteitskeuse en kan ondertekening of naamgebaseerde beleid breek.

Koppel die deling met die rekening wat die bediener herken

Verskaf die rekening in die vorm wat die bediener verwag en laat Windows om die wagwoord vra, sodat die geheim nie in die opdraggeskiedenis of ’n skrip beland nie:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Die bedienerkomponent voor die terugskuinsstreep is die Samba-bediener se identiteitskonteks, nie die VPN-grendel nie. Die sterretjie vra ’n interaktiewe wagwoordopdrag aan, en /persistent:no hou die koppeling uit die volgende aanmelding. Kies ’n skyfletter wat vry is.

As die bediener domeingeïntegreerd is, kan die gebruikerkomponent eerder ’n gidsnaam of ’n domeingekwalifiseerde identiteit wees. Gebruik die vorm wat die administrateur dokumenteer; om ’n plaaslike rekening met dieselfde naam te bedink skep ’n tweede identiteit en ’n tweede wagwoord om te onderhou.

Rekeninggeldigheid, delingstoegang en lêerstelselregte is drie kontroles

Samba gaan na of die identiteit verifieer, of die delingdefinisie dit toelaat, en of die lêerstelsel die gevraagde bewerking toestaan. Om die eerste kontrole te slaag beteken nie die ander twee slaag nie. ’n Deling kan sigbaar wees en steeds skryfwerk weier omdat die gidsregte so sê.

’n Deling wat met valid users beperk is, laat net die gelyste rekeninge of groepe toe. Die rekening kan korrek verifieer en steeds deur daardie reël verwerp word. Gaan die delingdefinisie na voordat jy aflei dat die wagwoord verkeerd is.

Aan die lêerstelselkant tel beide die Samba-proses en die gekoppelde identiteit. ’n Gids wat deur root besit word met modus 700 sal nie skryfwerk van ’n gewone rekening aanvaar nie, selfs wanneer die delingdefinisie dit toelaat. Toets met ’n lees, dan ’n skryf, in ’n gids wat die rekening veronderstel is om te gebruik.

Ruim ’n konflikterende sessie op sonder om beleid te breek

Wanneer ’n verouderde sessie die oorsaak is, sluit daardie een verbinding en koppel weer met die beoogde rekening. As ’n gestoorde geloofsbrief aanhou terugkeer, verwyder daardie geloofsbrief eerder as die hele skyflys. Bevestig dan die nuwe sessie met net use.

Hou die vereiste SMB-ondertekening, enkripsie en rekeningbeleid in plek. ’n Bediener wat ’n ongetekende of onversleutelde sessie weier, handhaaf beleid, mislees nie die wagwoord nie, en om dit te verswak sodat die koppeling slaag, ruil veiligheid vir ’n simptoom.

Teken die bedienernaam, die presiese rekeningvorm en die deling- en gidsregte aan wat gewerk het. Die volgende persoon wat die skyf koppel, sal anders eerste die VPN-aanmelding probeer, want dit is die geloofsbrief waarmee hulle die netwerk bereik het.