ربط مشاركة ملفات VPN بحساب Samba الذي يعرفه الخادم

صِل النفق، فما زالت المشاركة تطلب كلمة مرور يظن المستخدم أنها صحيحة. في نشر Samba مستقل، تسجيل الدخول عبر VPN وتسجيل الدخول عبر SMB بيانات اعتماد غير مترابطة: أحدهما يصرّح للنفق، والآخر يتحقق منه خادم الملفات. لذلك يفشل ربط القرص بحساب VPN حتى عندما تكون كلمة المرور صحيحة ومسار الشبكة سليمًا. هذا التمييز يفسّر معظم إخفاقات الربط عبر VPN.

الحل ليس إعادة تعيين حساب VPN. الحل هو تسمية هوية يعرفها خادم Samba فعليًا، ثم التحقق من أن الهوية نفسها تملك حقوقًا على المشاركة والمجلد.

تسجيل الدخول عبر VPN وتسجيل الدخول عبر SMB هويتان مختلفتان

يقيّم بوابة VPN حساب VPN وفق سياستها الخاصة. وهي تجيب عما إذا كان هذا العميل يستطيع دخول الشبكة الخاصة. ولا تقول شيئًا عن أي حساب SMB موجود على خادم ملفات داخل تلك الشبكة.

يعيش حساب Samba في خلفية المصادقة لدى الخادم، بقاعدة كلمات مروره واسمه الخاص. يمكن لجهازين أن يملكا مستخدمًا اسمه alice دون أن يتشاركا نظام هوية أو كلمة مرور أو معرّف مستخدم. الأسماء تتطابق؛ الحسابات لا.

خادم Samba المدمج في النطاق يغيّر الصورة: تأتي الهوية من الدليل ومن Kerberos، لا من قائمة حسابات محلية. في هذه الحالة استخدم هوية الدليل وتكوين SMB المدعوم بدل إنشاء نسخ محلية مكررة لمحاكاة عضوية النطاق. تحقق من النموذج الذي يستخدمه الخادم قبل إنشاء أي حساب.

انظر أي هوية يستخدمها Windows فعليًا

يخزّن Windows الاتصالات مؤقتًا لكل خادم. إذا فُتحت جلسة قائمة إلى الخادم نفسه بحساب آخر، فقد يعيد الربط الجديد استخدام تلك الجلسة أو يفشل بخطأ مصادقة يذكر المستخدم الخطأ. هكذا تبدو كلمة المرور الصحيحة خاطئة. افحص الاتصالات الحالية قبل تغيير بيانات الاعتماد.

net use
cmdkey /list
klist

يعرض الأمر الأول الأقراص المربوطة والجلسات المفتوحة، ويعرض الثاني بيانات الاعتماد المخزنة التي قد تُطبَّق تلقائيًا، ويعرض الثالث تذاكر Kerberos عند استخدام نطاق. قد تتجاوز بيانات الاعتماد المخزنة الحساب الذي كنت تنوي كتابته بصمت.

أزل فقط الاتصال أو بيانات الاعتماد التابعة لهذه المشكلة. فصل كل الأقراص أو استبدال اسم الخادم بعنوان IP يخفي اختيار الهوية وقد يكسر التوقيع أو السياسات القائمة على الأسماء.

اربط المشاركة بالحساب الذي يتعرف عليه الخادم

قدّم الحساب بالصيغة التي يتوقعها الخادم واترك Windows يطلب كلمة المرور، حتى لا يقع السر في سجل الأوامر أو في نص برمجي:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

مكوّن الخادم قبل الشرطة المائلة العكسية هو سياق هوية خادم Samba، لا بوابة VPN. تطلب النجمة مطالبة تفاعلية بكلمة المرور، ويبقي /persistent:no الربط خارج تسجيل الدخول التالي. اختر حرف قرص حرًا.

إذا كان الخادم مدمجًا في النطاق، فقد يكون مكوّن المستخدم بدلًا من ذلك اسم دليل أو هوية مؤهلة بالنطاق. استخدم الصيغة التي يوثقها المسؤول؛ فاختراع حساب محلي بالاسم نفسه ينشئ هوية ثانية وكلمة مرور ثانية يجب صيانتها.

صلاحية الحساب والوصول إلى المشاركة وحقوق نظام الملفات ثلاث عمليات تحقق

يتحقق Samba مما إذا كانت الهوية تصادق، وما إذا كان تعريف المشاركة يقبلها، وما إذا كان نظام الملفات يمنح العملية المطلوبة. اجتياز التحقق الأول لا يعني اجتياز الآخرين. قد تكون المشاركة مرئية ومع ذلك ترفض الكتابة لأن أذونات المجلد تقول ذلك.

المشاركة المقيدة بـ valid users لا تقبل إلا الحسابات أو المجموعات المدرجة. قد يصادق الحساب بشكل صحيح ومع ذلك يرفضه ذلك السطر. تحقق من تعريف المشاركة قبل استنتاج أن كلمة المرور خاطئة.

في جانب نظام الملفات تهمّ عملية Samba والهوية المربوطة معًا. المجلد المملوك لـ root بالوضع 700 لن يقبل الكتابة من حساب عادي حتى عندما يسمح تعريف المشاركة بذلك. اختبر بالقراءة ثم بالكتابة في مجلد يفترض أن يستخدمه الحساب.

نظّف جلسة متعارضة دون كسر السياسة

عندما تكون جلسة قديمة هي السبب، أغلق ذلك الاتصال الواحد وأعد الربط بالحساب المقصود. إذا استمرت بيانات اعتماد مخزنة بالعودة، فأزل تلك البيانات بدل قائمة الأقراص كاملة. ثم أكّد الجلسة الجديدة باستخدام net use.

أبقِ توقيع SMB والتشفير وسياسة الحسابات المطلوبة في مكانها. الخادم الذي يرفض جلسة غير موقعة أو غير مشفرة يطبّق السياسة، ولا يقرأ كلمة المرور خطأً، وإضعافها لنجاح الربط يقايض الأمان بعَرَض.

سجّل اسم الخادم وصيغة الحساب الدقيقة وحقوق المشاركة والمجلد التي نجحت. وإلا فسيجرّب الشخص التالي الذي يربط القرص تسجيل الدخول عبر VPN أولًا، لأنها بيانات الاعتماد التي وصل بها إلى الشبكة.