Assignar una unitat de fitxers VPN amb el compte Samba que el servidor coneix

Connecta el túnel i el recurs compartit continua demanant una contrasenya que l’usuari creu correcta. En una instal·lació Samba independent, l’inici de sessió VPN i l’inici de sessió SMB són credencials sense relació: un autoritza el túnel i l’altre el comprova el servidor de fitxers. Per això, assignar la unitat amb el compte VPN falla encara que la contrasenya sigui correcta i el camí de xarxa sigui perfecte. Aquesta distinció explica la majoria de fallades d’assignació a través d’una VPN.

La solució no és restablir el compte VPN. És nomenar una identitat que el servidor Samba conegui de debò i després comprovar que aquesta mateixa identitat té drets sobre el recurs i el directori.

L’inici de sessió VPN i el d’SMB són identitats diferents

Una porta d’enllaç VPN avalua un compte VPN segons la seva pròpia política. Respon si aquest client pot entrar a la xarxa privada. No diu res sobre quin compte SMB existeix en un servidor de fitxers dins d’aquesta xarxa.

Un compte Samba viu al backend d’autenticació del servidor, amb la seva pròpia base de dades de contrasenyes i el seu propi nom. Dues màquines poden tenir totes dues un usuari anomenat alice sense compartir un sistema d’identitat, una contrasenya ni un identificador d’usuari. Els noms coincideixen; els comptes no.

Un servidor Samba integrat al domini canvia el panorama: la identitat prové del directori i de Kerberos, no d’una llista local de comptes. En aquest cas, fes servir la identitat del directori i la configuració SMB admesa en lloc de crear duplicats locals per imitar la pertinença al domini. Comprova quin model fa servir el servidor abans de crear cap compte.

Comprova quina identitat està fent servir Windows realment

Windows desa a la memòria cau les connexions per servidor. Si una sessió existent cap al mateix servidor es va obrir amb un altre compte, una assignació nova pot reutilitzar aquesta sessió o fallar amb un error d’autenticació que anomena l’usuari equivocat. Així és com una contrasenya correcta sembla incorrecta. Inspecciona les connexions actuals abans de canviar les credencials.

net use
cmdkey /list
klist

La primera ordre mostra les unitats assignades i les sessions obertes, la segona mostra credencials desades que es poden aplicar automàticament, i la tercera mostra tiquets de Kerberos quan s’usa un domini. Una credencial desada pot anul·lar silenciosament el compte que volies escriure.

Elimina només la connexió o la credencial que pertany a aquest problema. Desconnectar totes les unitats o substituir el nom del servidor per una adreça IP amaga l’elecció d’identitat i pot trencar la signatura o les polítiques basades en noms.

Assigna el recurs amb el compte que reconeix el servidor

Indica el compte en la forma que el servidor espera i deixa que Windows demani la contrasenya, perquè el secret no acabi a l’historial d’ordres ni en un script:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

El component de servidor abans de la barra inversa és el context d’identitat del servidor Samba, no la porta d’enllaç VPN. L’asterisc sol·licita una petició interactiva de contrasenya, i /persistent:no manté l’assignació fora del següent inici de sessió. Tria una lletra d’unitat lliure.

Si el servidor està integrat al domini, el component d’usuari pot ser en canvi un nom de directori o una identitat qualificada pel domini. Fes servir la forma que documenta l’administrador; inventar un compte local amb el mateix nom crea una segona identitat i una segona contrasenya per mantenir.

Validesa del compte, accés al recurs i drets del sistema de fitxers són tres comprovacions

Samba comprova si la identitat s’autentica, si la definició del recurs l’admet, i si el sistema de fitxers concedeix l’operació sol·licitada. Superar la primera comprovació no implica les altres dues. Un recurs pot ser visible i tot i així rebutjar escriptures perquè els permisos del directori ho diuen.

Un recurs restringit amb valid users només admet els comptes o els grups llistats. El compte pot autenticar-se correctament i tot i així ser rebutjat per aquesta línia. Comprova la definició del recurs abans de concloure que la contrasenya és incorrecta.

Pel costat del sistema de fitxers, tant el procés Samba com la identitat assignada importen. Un directori propietat de root amb mode 700 no acceptarà escriptures d’un compte normal encara que la definició del recurs ho permeti. Prova amb una lectura i després una escriptura en un directori que el compte hagi d’usar.

Neteja una sessió en conflicte sense trencar la política

Quan la causa és una sessió obsoleta, tanca aquesta única connexió i assigna de nou amb el compte previst. Si una credencial desada continua reapareixent, elimina aquesta credencial en lloc de la llista completa d’unitats. Després confirma la nova sessió amb net use.

Mantén la signatura SMB, el xifratge i la política de comptes obligatoris. Un servidor que rebutja una sessió no signada o no xifrada està aplicant la política, no llegint malament la contrasenya, i afeblir-lo perquè l’assignació funcioni canvia seguretat per un símptoma.

Anota el nom del servidor, la forma exacta del compte i els drets de recurs i directori que van funcionar. Altrament, la següent persona que assigni la unitat provarà primer l’inici de sessió VPN, perquè són les credencials amb què va arribar a la xarxa.