Mapování sdílené složky VPN za pomoci účtu Samba, který server zná

Připojte tunel a sdílení se stále ptá na heslo, které uživatel považuje za správné. V samostatném nasazení Samba jsou přihlášení VPN a přihlášení SMB nesouvisející přihlašovací údaje: jedno autorizuje tunel, druhé kontroluje souborový server. Namapování jednotky pomocí účtu VPN proto selže, i když je heslo správné a síťová cesta dokonalá. Tento rozdíl vysvětluje většinu selhání mapování přes VPN.

Řešením není obnovit účet VPN. Řešením je pojmenovat identitu, kterou server Samba skutečně zná, a poté ověřit, že stejná identita má práva ke sdílení a adresáři.

Přihlášení VPN a přihlášení SMB jsou různé identity

Účet VPN vyhodnocuje brána VPN podle své vlastní politiky. Odpovídá, zda tento klient může vstoupit do privátní sítě. Nic neříká o tom, který účet SMB existuje na souborovém serveru v této síti.

Účet Samba žije v autentizačním backendu serveru s vlastní databází hesel a vlastním jménem. Dva počítače mohou mít oba uživatele jménem alice, aniž by sdílely systém identit, heslo nebo identifikátor uživatele. Jména se shodují; účty ne.

Server Samba integrovaný do domény mění obraz: identita pochází z adresáře a z Kerberosu, ne z místního seznamu účtů. V takovém případě použijte identitu z adresáře a podporovanou konfiguraci SMB místo vytváření místních duplikátů napodobujících členství v doméně. Před vytvořením jakéhokoli účtu zkontrolujte, který model server používá.

Zjistěte, kterou identitu Windows skutečně používá

Windows ukládá připojení do mezipaměti podle serveru. Pokud byla existující relace k témuž serveru otevřena jiným účtem, nové mapování může tuto relaci znovu použít nebo selhat s chybou ověřování, která uvádí nesprávného uživatele. Tak vypadá správné heslo jako špatné. Před změnou přihlašovacích údajů prohlédněte aktuální připojení.

net use
cmdkey /list
klist

První příkaz zobrazuje namapované jednotky a otevřené relace, druhý zobrazuje uložené přihlašovací údaje, které mohou být použity automaticky, a třetí zobrazuje lístky Kerberos, když se používá doména. Uložený přihlašovací údaj může tiše přebít účet, který jste chtěli zadat.

Odstraňte pouze připojení nebo přihlašovací údaj, který k tomuto problému patří. Odpojení všech jednotek nebo nahrazení názvu serveru adresou IP skryje volbu identity a může porušit podepisování nebo politiky založené na názvech.

Namapujte sdílení pomocí účtu, který server rozpoznává

Zadejte účet ve formě, kterou server očekává, a nechte Windows vyžádat heslo, aby se tajemství nedostalo do historie příkazů ani do skriptu:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Část serveru před zpětným lomítkem je kontext identity serveru Samba, ne brána VPN. Hvězdička vyžaduje interaktivní výzvu k zadání hesla a /persistent:no drží mapování mimo příští přihlášení. Zvolte volné písmeno jednotky.

Pokud je server integrován do domény, částí uživatele může být místo toho název adresáře nebo identita kvalifikovaná doménou. Použijte formu dokumentovanou správcem; vymýšlení místního účtu se stejným názvem vytváří druhou identitu a druhé heslo k údržbě.

Platnost účtu, přístup ke sdílení a práva systému souborů jsou tři kontroly

Samba kontroluje, zda se identita ověří, zda definice sdílení ji připouští, a zda systém souborů uděluje požadovanou operaci. Projití první kontroly neznamená i další dvě. Sdílení může být viditelné a přesto odmítat zápisy, protože to říkají oprávnění adresáře.

Sdílení omezené pomocí valid users připouští pouze uvedené účty nebo skupiny. Účet se může ověřit správně a přesto být tímto řádkem odmítnut. Před závěrem, že je heslo špatné, zkontrolujte definici sdílení.

Na straně systému souborů záleží na procesu Samba i na namapované identitě. Adresář vlastněný rootem s režimem 700 nepřijme zápisy od běžného účtu, i když to definice sdílení povoluje. Otestujte čtení a poté zápis v adresáři, který má účet používat.

Vyřešte konfliktní relaci bez porušení politiky

Pokud je příčinou zastaralá relace, zavřete to jedno připojení a namapujte znovu zamýšleným účtem. Pokud se uložený přihlašovací údaj stále vrací, odstraňte tento údaj místo celého seznamu jednotek. Poté novou relaci potvrďte pomocí net use.

Zachovejte požadované podepisování SMB, šifrování a politiku účtů. Server, který odmítá nepodepsanou nebo nešifrovanou relaci, prosazuje politiku, nečte špatně heslo, a oslabování politiky, aby mapování uspělo, vyměňuje bezpečnost za symptom.

Zaznamenejte název serveru, přesnou formu účtu a práva ke sdílení a adresáři, která fungovala. Jinak příští člověk, který jednotku namapuje, zkusí nejprve přihlášení VPN, protože to jsou údaje, se kterými se dostal do sítě.