Свързване на VPN файлово споделяне с профила Samba, който сървърът познава

Свържете тунела и споделянето продължава да иска парола, която потребителят смята за вярна. В самостоятелно внедряване на Samba влизането във VPN и влизането в SMB са несвързани идентификационни данни: едното оторизира тунела, другото се проверява от файловия сървър. Затова свързването на устройството с VPN профила се проваля дори когато паролата е вярна и мрежовият път е безупречен. Тази разлика обяснява повечето неуспехи при свързване през VPN.

Решението не е да нулирате VPN профила. А да назовете идентичност, която Samba сървърът наистина познава, и след това да проверите дали същата идентичност има права върху споделянето и директорията.

Влизането във VPN и влизането в SMB са различни идентичности

VPN профилът се оценява от VPN шлюза по негова собствена политика. Той отговаря дали този клиент може да влезе в частната мрежа. Не казва нищо за това кой SMB профил съществува на файлов сървър в тази мрежа.

Профилът Samba живее в сървърната част за удостоверяване, със своя база данни за пароли и своето име. Две машини могат и двете да имат потребител на име alice, без да споделят система за идентичност, парола или идентификатор на потребителя. Имената съвпадат; профилите не.

Samba сървър, интегриран в домейн, променя картината: идентичността идва от директорията и от Kerberos, а не от локален списък с профили. В този случай използвайте идентичността от директорията и поддържаната SMB конфигурация, вместо да създавате локални дубликати, имитиращи членство в домейн. Проверете кой модел използва сървърът, преди да създадете какъвто и да е профил.

Вижте коя идентичност Windows всъщност използва

Windows кешира връзките за всеки сървър. Ако съществуваща сесия към същия сървър е отворена с друг профил, ново свързване може да използва тази сесия или да се провали с грешка за удостоверяване, която посочва грешния потребител. Така вярна парола изглежда грешна. Прегледайте текущите връзки, преди да промените идентификационните данни.

net use
cmdkey /list
klist

Първата команда показва свързаните устройства и отворените сесии, втората показва запазени идентификационни данни, които могат да се прилагат автоматично, а третата показва билети на Kerberos, когато се използва домейн. Запазени идентификационни данни могат тихо да заменят профила, който сте възнамерявали да въведете.

Премахнете само връзката или идентификационните данни, които принадлежат на този проблем. Изключването на всички устройства или замяната на името на сървъра с IP адрес скрива избора на идентичност и може да наруши подписването или политики, базирани на имена.

Свържете споделянето с профила, който сървърът разпознава

Посочете профила във формата, която сървърът очаква, и оставете Windows да поиска паролата, за да не попадне тайната в историята на командите или в скрипт:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Сървърната част преди обратната наклонена черта е контекстът на идентичност на Samba сървъра, а не VPN шлюзът. Звездичката иска интерактивна заявка за парола, а /persistent:no държи свързването извън следващото влизане. Изберете свободна буква на устройство.

Ако сървърът е интегриран в домейн, потребителската част може да е вместо това име на директория или идентичност с домейн префикс. Използвайте формата, документирана от администратора; измислянето на локален профил със същото име създава втора идентичност и втора парола за поддръжка.

Валидност на профила, достъп до споделянето и права на файловата система са три проверки

Samba проверява дали идентичността се удостоверява, дали дефиницията на споделянето я допуска и дали файловата система предоставя заявената операция. Преминаването на първата проверка не означава, че и другите две са преминати. Споделянето може да е видимо и въпреки това да отказва записи, защото правата на директорията казват така.

Споделяне, ограничено с valid users, допуска само изброените профили или групи. Профилът може да се удостовери правилно и въпреки това да бъде отхвърлен от този ред. Проверете дефиницията на споделянето, преди да заключите, че паролата е грешна.

От страна на файловата система значение имат както процесът Samba, така и свързаната идентичност. Директория, собственост на root с режим 700, няма да приеме записи от обикновен профил, дори когато дефиницията на споделянето го позволява. Тествайте с четене, а след това със запис в директория, която профилът трябва да използва.

Изчистете конфликтна сесия, без да нарушавате политиката

Когато причината е остаряла сесия, затворете точно тази връзка и се свържете отново с предвидения профил. Ако запазени идентификационни данни продължават да се връщат, премахнете ги, вместо целия списък с устройства. След това потвърдете новата сесия с net use.

Запазете изискваното SMB подписване, криптиране и политика за профилите. Сървър, който отхвърля неподписана или нешифрована сесия, налага политика, а не чете паролата грешно, и отслабването ѝ, за да успее свързването, разменя сигурност срещу симптом.

Запишете името на сървъра, точната форма на профила и правата върху споделянето и директорията, които са работили. Иначе следващият човек, който свързва устройството, ще опита първо влизането във VPN, защото това са данните, с които е стигнал до мрежата.