Mapio rhannu ffeiliau VPN gyda chyfrif Samba mae'r gweinydd yn ei adnabod

Cysylltwch y twnnel ac mae'r rhannu yn dal i ofyn am gyfrinair y mae'r defnyddiwr yn credu sy'n gywir. Mewn gosodiad Samba annibynnol mae mewngofnodi VPN a mewngofnodi SMB yn dystlythyrau annibynnol: mae un yn awdurdodi'r twnnel, mae'r llall yn cael ei wirio gan y gweinydd ffeiliau. Felly mae mapio'r gyriant gyda'r cyfrif VPN yn methu hyd yn oed pan fo'r cyfrinair yn gywir a'r llwybr rhwydwaith yn berffaith. Mae'r gwahaniaeth hwnnw yn esbonio'r rhan fwyaf o fethiannau mapio dros VPN.

Nid yw'r ateb yn ailfotio'r cyfrif VPN. Yr ateb yw enwi hunaniaeth y mae'r gweinydd Samba yn ei hadnabod mewn gwirionedd, ac yna gwirio bod gan yr un hunaniaeth hawliau rhannu a chyfeiriadur.

Mae mewngofnodi VPN a mewngofnodi SMB yn hunaniaethau gwahanol

Mae cyfrif VPN yn cael ei werthuso gan y giât VPN o dan ei pholisi ei hun. Mae'n ateb a yw'r cleient hwn yn cael mynd i mewn i'r rhwydwaith preifat. Nid yw'n dweud dim am ba gyfrif SMB sy'n bodoli ar weinydd ffeiliau o fewn y rhwydwaith hwnnw.

Mae cyfrif Samba yn byw yn nghefnlen dilysu'r gweinydd, gyda'i gronfa gyfrinair ei hun a'i enw ei hun. Gall dau beiriant ill dau fod â defnyddiwr o'r enw alice heb rannu system hunaniaeth, cyfrinair na dynodwr defnyddiwr. Mae'r enwau'n cyfateb; nid yw'r cyfrifau.

Mae gweinydd Samba sy'n integreiddio â pharth yn newid y darlun: daw'r hunaniaeth o'r cyfeiriadur ac o Kerberos, nid o restr gyfrif leol. Yn yr achos hwnnw defnyddiwch hunaniaeth y cyfeiriadur a'r ffurfweddiad SMB a gefnogir yn hytrach na chreu dyblygiadau lleol i efelychu aelodaeth parth. Gwiriwch ba fodel mae'r gweinydd yn ei ddefnyddio cyn creu unrhyw gyfrif.

Gweld pa hunaniaeth mae Windows yn ei defnyddio mewn gwirionedd

Mae Windows yn cacheio cysylltiadau fesul gweinydd. Os agorwyd sesiwn bresennol i'r un gweinydd â chyfrif arall, gall mapio newydd ailddefnyddio'r sesiwn honno neu fethu â gwall dilysu sy'n enwi'r defnyddiwr anghywir. Dyna sut mae cyfrinair cywir yn edrych yn anghywir. Archwiliwch y cysylltiadau presennol cyn newid tystlythyrau.

net use
cmdkey /list
klist

Mae'r gorchymyn cyntaf yn dangos gyriannau wedi'u mapio a sesiynau agored, mae'r ail yn dangos tystlythyrau sydd wedi'u storio a all gael eu cymhwyso'n awtomatig, ac mae'r trydydd yn dangos tocynnau Kerberos pan fo parth yn cael ei ddefnyddio. Gall tystlythyr sydd wedi'i storio ddiystyru'r cyfrif y bwriadwyd i chi ei deipio yn dawel.

Tynnwch yn unig y cysylltiad neu'r tystlythyr sy'n perthyn i'r broblem hon. Mae datgysylltu pob gyriant neu ddisodli enw'r gweinydd ag IP yn cuddio'r dewis hunaniaeth a gall dorri llofnodi neu bolisi sy'n seiliedig ar enw.

Mapio'r rhannu gyda'r cyfrif y mae'r gweinydd yn ei adnabod

Rhowch y cyfrif ar ffurf y mae'r gweinydd yn ei ddisgwyl a gadewch i Windows ofyn am y cyfrinair, fel nad yw'r gyfrinach yn glanio yn hanes gorchmynion nac mewn sgript:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Y gydran gweinydd cyn y slaes ôl yw cyd-destun hunaniaeth y gweinydd Samba, nid y giât VPN. Mae'r seren yn gofyn am anogwr cyfrinair rhyngweithiol, ac mae /persistent:no yn cadw'r mapio allan o'r mewngofnodi nesaf. Dewiswch lythyren gyriant sy'n rhydd.

Os yw'r gweinydd wedi integreiddio â pharth, gall y gydran defnyddiwr fod yn enw cyfeiriadur neu'n hunaniaeth gymwysedig i'r parth yn lle hynny. Defnyddiwch y ffurf y mae'r gweinyddwr yn ei dogfennu; mae dyfeisio cyfrif lleol gyda'r un enw yn creu ail hunaniaeth ac ail gyfrinair i'w gynnal.

Dilysrwydd cyfrif, mynediad rhannu a hawliau'r system ffeiliau yw tri gwiriad

Mae Samba yn gwirio a yw'r hunaniaeth yn dilysu, a yw'r diffiniad rhannu yn ei chyfaddef, ac a yw'r system ffeiliau yn caniatáu'r gweithrediad a ofynwyd. Nid yw pasio'r gwiriad cyntaf yn golygu bod y ddau arall yn pasio. Gall rhannu fod yn weladwy ac o hyd yn gwrthod ysgrifiadau oherwydd bod hawliau'r cyfeiriadur yn dweud hynny.

Mae rhannu a gyfyngir gan valid users yn cyfaddef yn unig y cyfrifau neu'r grwpiau a restrir. Gall y cyfrif ddilysu'n gywir ac o hyd gael ei wrthod gan y llinell honno. Gwiriwch ddiffiniad y rhannu cyn dod i'r casgliad bod y cyfrinair yn anghywir.

Ar ochr y system ffeiliau, mae'r broses Samba a'r hunaniaeth wedi'i mapio yn bwysig ill dau. Nid yw cyfeiriadur sy'n eiddo i root â modd 700 yn derbyn ysgrifiadau gan gyfrif cyffredin hyd yn oed pan fo diffiniad y rhannu yn caniatáu hynny. Profwch gyda darlleniad, yna ysgrifiad, mewn cyfeiriadur y dylai'r cyfrif ei ddefnyddio.

Clirio sesiwn wrthgefnol heb dorri polisi

Pan fo sesiwn segur yn achosi hyn, caewch y cysylltiad hwnnw ac ailfapio gyda'r cyfrif a fwriadwyd. Os yw tystlythyr sydd wedi'i storio yn dal i ddychwelyd, tynnwch y tystlythyr hwnnw yn hytrach na'r rhestr gyriant gyfan. Yna cadarnhewch y sesiwn newydd gyda net use.

Cadwch y llofnodi SMB gofynnol, y cryptiad a pholisi'r cyfrif mewn lle. Mae gweinydd sy'n gwrthod sesiwn heb lofnodi neu heb ei chryptio yn gorfodi polisi, nid yn darllen y cyfrinair yn anghywir, ac mae ei wanhau i wneud i'r mapio lwyddo yn cyfnewid diogelwch am symptom.

Cofnodwch enw'r gweinydd, ffurf fanwl y cyfrif a'r hawliau rhannu a chyfeiriadur a weithiodd. Fel arall bydd y nesaf i fapio'r gyriant yn rhoi cynnig ar fewngofnodi VPN yn gyntaf, oherwydd dyna'r tystlythyrau a ddefnyddiodd i gyrraedd y rhwydwaith.