Preslikavanje VPN mape s računom Samba koji server poznaje

Povežite tunel, a mapa i dalje traži lozinku koju korisnik smatra ispravnom. U samostalnom raspoređivanju Samba prijava VPN i prijava SMB su nepovezani podaci za prijavu: jedan odobrava tunel, drugi provjerava poslužitelj datoteka. Zato preslikavanje pogona s računom VPN ne uspijeva čak i kada je lozinka ispravna i mrežni put besprijekoran. Ta razlika objašnjava većinu neuspjeha preslikavanja preko VPN-a.

Rješenje nije ponovno postavljanje računa VPN. Rješenje je navesti identitet koji poslužitelj Samba doista poznaje, zatim provjeriti da taj isti identitet ima prava na mapu i direktorij.

Prijava VPN i prijava SMB su različiti identiteti

Račun VPN procjenjuje VPN pristupnik prema vlastitoj politici. Odgovara smije li ovaj klijent ući u privatnu mrežu. Ne govori ništa o tome koji račun SMB postoji na poslužitelju datoteka unutar te mreže.

Račun Samba živi u pozadini provjere autentičnosti poslužitelja, s vlastitom bazom lozinki i vlastitim imenom. Dva računala mogu oba imati korisnika imena alice bez dijeljenja sustava identiteta, lozinke ili identifikatora korisnika. Imena se podudaraju; računi ne.

Poslužitelj Samba integriran u domenu mijenja sliku: identitet dolazi iz imenika i iz Kerberosa, ne s popisa lokalnih računa. U tom slučaju upotrijebite identitet iz imenika i podržanu konfiguraciju SMB umjesto stvaranja lokalnih duplikata koji oponašaju članstvo u domeni. Provjerite koji model poslužitelj rabi prije stvaranja bilo kojeg računa.

Pogledajte koji identitet Windows doista rabi

Windows predmemorira veze po poslužitelju. Ako je postojeća sesija prema istom poslužitelju otvorena drugim računom, novo preslikavanje može ponovno upotrijebiti tu sesiju ili ne uspjeti s pogreškom provjere autentičnosti koja navodi pogrešnog korisnika. Tako ispravna lozinka izgleda pogrešno. Pregledajte trenutačne veze prije promjene podataka za prijavu.

net use
cmdkey /list
klist

Prva naredba prikazuje preslikane pogone i otvorene sesije, druga prikazuje spremljene podatke za prijavu koji se mogu primijeniti automatski, a treća prikazuje Kerberos ulaznice kada se rabi domena. Spremljeni podaci za prijavu mogu tiho nadjačati račun koji ste namjeravali upisati.

Uklonite samo vezu ili podatke za prijavu koji pripadaju ovom problemu. Prekidanje svih pogona ili zamjena imena poslužitelja IP adresom skriva odabir identiteta i može pokvariti potpisivanje ili politike temeljene na imenima.

Preslikajte mapu s računom koji poslužitelj prepoznaje

Navedite račun u obliku koji poslužitelj očekuje i pustite Windows da zatraži lozinku, kako tajna ne bi završila u povijesti naredbi ili skripti:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Dio poslužitelja prije obrnute kose crte kontekst je identiteta poslužitelja Samba, a ne VPN pristupnik. Zvjezdica traži interaktivni upit za lozinku, a /persistent:no drži preslikavanje izvan sljedeće prijave. Odaberite slobodno slovo pogona.

Ako je poslužitelj integriran u domenu, dio korisnika može umjesto toga biti naziv imenika ili identitet kvalificiran domenom. Upotrijebite oblik koji administrator dokumentira; izmišljanje lokalnog računa s istim imenom stvara drugi identitet i drugu lozinku za održavanje.

Valjanost računa, pristup mapi i prava datotečnog sustava tri su provjere

Samba provjerava autentificira li se identitet, dopušta li ga definicija mape i dodjeljuje li datotečni sustav traženu operaciju. Prolazak prve provjere ne znači i prolazak druge dvije. Mapa može biti vidljiva i ipak odbijati upis jer tako kažu dopuštenja direktorija.

Mapa ograničena s valid users dopušta samo navedene račune ili grupe. Račun se može ispravno autentificirati i ipak ga to pravilo odbije. Provjerite definiciju mape prije nego zaključite da je lozinka pogrešna.

Na strani datotečnog sustava važni su i proces Samba i preslikani identitet. Direktorij u vlasništvu roota s načinom 700 neće prihvatiti upis običnog računa čak i kada definicija mape to dopušta. Testirajte čitanjem, a zatim upisom u direktorij koji račun treba rabiti.

Očistite sukobljenu sesiju bez kršenja politike

Kada je uzrok zastarjela sesija, zatvorite tu jednu vezu i ponovno preslikajte s predviđenim računom. Ako se spremljeni podaci za prijavu stalno vraćaju, uklonite te podatke umjesto cijelog popisa pogona. Zatim potvrdite novu sesiju pomoću net use.

Zadržite obvezno potpisivanje SMB, šifriranje i politiku računa. Poslužitelj koji odbija nepotpisanu ili nešifriranu sesiju provodi politiku, a ne čita lozinku pogrešno, i njegovo slabljenje da bi preslikavanje uspjelo mijenja sigurnost za simptom.

Zapišite ime poslužitelja, točan oblik računa te prava na mapu i direktorij koja su radila. Inače će sljedeća osoba koja preslikava pogon prvo pokušati prijavu VPN, jer su to podaci s kojima je došla do mreže.