VPN fayl paylaşımını serverin tanıdığı Samba hesabı ilə bağlama

Tuneli qoşun və paylaşım hələ də istifadəçinin düzgün hesab etdiyi parolu soruşur. Müstəqil Samba quraşdırmasında VPN girişi ilə SMB girişi bir-biri ilə əlaqəsiz etimad məlumatlarıdır: biri tuneli səlahiyyətləndirir, digərini fayl serveri yoxlayır. Buna görə diski VPN hesabı ilə bağlamaq, parol düzgün və şəbəkə yolu mükəmməl olsa belə uğursuz olur. Bu fərq VPN üzərindən bağlama xətalarının çoxunu izah edir.

Həll VPN hesabını sıfırlamaq deyil. Həll Samba serverinin həqiqətən tanıdığı bir kimliyi adlandırmaq və sonra həmin kimliyin paylaşım və qovluq hüquqları olduğunu yoxlamaqdır.

VPN girişi ilə SMB girişi fərqli kimliklərdir

VPN hesabı VPN şlüzü tərəfindən öz siyasətinə uyğun qiymətləndirilir. Bu müştərinin şəxsi şəbəkəyə girə bilib-bilmədiyini cavablandırır. Həmin şəbəkədəki fayl serverində hansı SMB hesabının olduğu barədə heç nə demir.

Samba hesabı serverin autentifikasiya arxa hissəsində öz parol bazası və öz adı ilə yaşayır. İki maşın kimlik sistemi, parol və ya istifadəçi identifikatoru paylaşmadan hər ikisi alice adlı istifadəçiyə sahib ola bilər. Adlar üst-üstə düşür; hesablar yox.

Domenə inteqrasiya olunmuş Samba serveri mənzərəni dəyişir: kimlik yerli hesab siyahısından deyil, kataloqdan və Kerberosdan gəlir. Bu halda domen üzvlüyünü təqlid etmək üçün yerli dublikatlar yaratmaq əvəzinə kataloq kimliyindən və dəstəklənən SMB konfiqurasiyasından istifadə edin. Hər hansı hesab yaratmazdan əvvəl serverin hansı modeldən istifadə etdiyini yoxlayın.

Windows-un həqiqətən hansı kimlikdən istifadə etdiyini görün

Windows bağlantıları server üzrə keşləyir. Eyni serverə mövcud sessiya başqa hesabla açılıbsa, yeni bağlama həmin sessiyanı təkrar istifadə edə bilər və ya yanlış istifadəçini göstərən autentifikasiya xətası ilə uğursuz ola bilər. Düzgün parol belə səhv görünür. Etimad məlumatlarını dəyişməzdən əvvəl cari bağlantıları yoxlayın.

net use
cmdkey /list
klist

Birinci əmr bağlanmış diskləri və açıq sessiyaları göstərir, ikincisi avtomatik tətbiq oluna bilən saxlanmış etimad məlumatlarını, üçüncüsü isə domen istifadə edildikdə Kerberos biletlərini göstərir. Saxlanmış bir etimad məlumatı yazmaq istədiyiniz hesabı səssizcə üstələyə bilər.

Yalnız bu problemə aid olan bağlantını və ya etimad məlumatını silin. Bütün disklərin bağlantısını kəsmək və ya server adını IP ünvanı ilə əvəz etmək kimlik seçimini gizlədir və imzalanmanı və ya ada əsaslanan siyasəti poza bilər.

Paylaşımı serverin tanıdığı hesabla bağlayın

Hesabı serverin gözlədiyi formada göstərin və parolu Windows-un soruşmasına icazə verin ki, sirr əmr tarixçəsinə və ya skriptə düşməsin:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Əks kəsikdən əvvəlki server komponenti Samba serverinin kimlik kontekstidir, VPN şlüzü deyil. Ulduz işarəsi interaktiv parol sorğusu tələb edir və /persistent:no bağlamanı növbəti girişdən kənarda saxlayır. Boş disk hərfi seçin.

Server domenə inteqrasiya olunubsa, istifadəçi komponenti əvəzinə kataloq adı və ya domenlə kvalifikasiya olunmuş kimlik ola bilər. Administratorun sənədləşdirdiyi formadan istifadə edin; eyni adla yerli hesab uydurmaq ikinci kimlik və saxlamaq üçün ikinci parol yaradır.

Hesab etibarlılığı, paylaşım girişi və fayl sistemi hüquqları üç yoxlamadır

Samba kimliyin autentifikasiya olub-olmadığını, paylaşım tərifinin onu qəbul edib-etmədiyini və fayl sisteminin tələb olunan əməliyyatı verib-vermədiyini yoxlayır. Birinci yoxlamadan keçmək digər ikisinin də keçdiyi anlamına gəlmir. Paylaşım görünən ola bilər və yenə də yazmağı rədd edə bilər, çünki qovluq icazələri belə deyir.

valid users ilə məhdudlaşdırılmış paylaşım yalnız sadalanan hesabları və ya qrupları qəbul edir. Hesab düzgün autentifikasiya ola bilər və yenə də həmin sətir tərəfindən rədd edilə bilər. Parolun səhv olduğu qənaətinə gəlməzdən əvvəl paylaşım tərifini yoxlayın.

Fayl sistemi tərəfində həm Samba prosesi, həm də bağlanmış kimlik vacibdir. root-a məxsus və rejimi 700 olan qovluq, paylaşım tərifi icazə versə belə, adi hesabdan yazma qəbul etməyəcək. Hesabın istifadə etməli olduğu qovluqda əvvəlcə oxuma, sonra yazma ilə sınayın.

Siyasəti pozmadan ziddiyyətli sessiyanı təmizləyin

Səbəb köhnəlmiş sessiyadırsa, həmin bir bağlantını bağlayın və nəzərdə tutulan hesabla yenidən bağlayın. Saxlanmış etimad məlumatı yenə qayıdırsa, bütün disk siyahısı əvəzinə həmin etimad məlumatını silin. Sonra yeni sessiyanı net use ilə təsdiqləyin.

Tələb olunan SMB imzalanmasını, şifrələməni və hesab siyasətini yerində saxlayın. İmzasız və ya şifrələnməmiş sessiyanı rədd edən server siyasəti tətbiq edir, parolu səhv oxumur və bağlamanın uğurlu olması üçün onu zəiflətmək təhlükəsizliyi simptomla dəyişir.

Server adını, hesabın dəqiq formasını və işləyən paylaşım və qovluq hüquqlarını qeyd edin. Əks halda diski bağlayacaq növbəti şəxs əvvəlcə VPN girişini sınayacaq, çünki şəbəkəyə çatdığı etimad məlumatları bunlardır.