Pam mae Samba yn gwrthod cleientiaid VPN sy’n gallu cyrraedd y gweinydd

Mae cleient VPN yn pingio’r gweinydd ffeiliau, yn datrys ei enw ac yn dal i fethu ag agor rhaniad. Mae polisi gwesteiwyr Samba yn un o bedair haen a all wrthod y cysylltiad hwnnw, a dyna’r un y mae pobl yn ei olygu olaf. Mae’r rhestr ganiatáu yn cael ei gwerthuso yn erbyn cyfeiriad y ffynhonnell y mae smbd yn ei dderbyn mewn gwirionedd, ac efallai nad dyma’r cyfeiriad y mae’r cleient yn credu sy ganddo. Mae cael y ffynhonnell honno’n iawn yn troi problem caniatâd annelwig yn newid cyfluniad un llinell.

Pedair haen sy’n methu â’r un neges

Gall gwrthodiad ddod o’r llwybr, wal dân y gwesteiwr, polisi gwesteiwyr Samba neu hunaniaeth SMB. Mae pob haen yn cynhyrchu neges i’r cleient sy’n dweud tua’r un peth, a dyna pam mae dyfalu yn costio prynhawn. Mae trefnu’r gwiriadau o’r rhwydwaith i mewn yn dileu’r rhan fwyaf o’r dyfalu.

Dechreuwch â chludiant. Os nad yw porth 445 byth yn cyrraedd y gweinydd, nid oes unrhyw osodiad Samba yn bwysig, ac mae cipiad ar ryngwyneb y gweinydd yn ei setlo mewn eiliadau. Nesaf daw wal dân y gwesteiwr ar y gweinydd ei hun, a all ollwng ffynhonnell a ganiateir cyn i smbd ei gweld o gwbl. Dim ond ar ôl i’r ddau hynny basio y daw’r rhestr ganiatáu yn ymgeisydd. Daw dilysu olaf, oherwydd mae methiant mewngofnodi a gwrthodiad gwesteiwr yn edrych yn wahanol yn nogfen y gweinydd, hyd yn oed pan fo’r cleient yn adrodd y ddau fel mynediad wedi’i wrthod. Mae’r drefn yn bwysicach na’r offer, oherwydd mae gan bob haen orchymyn sy’n ei hateb.

Darganfyddwch y cyfeiriad ffynhonnell y mae smbd yn ei weld mewn gwirionedd

Gyda mynediad llwybreiddiedig mae’r gweinydd fel arfer yn gweld cyfeiriad y cleient o’r pwll VPN. Gyda chyfieithu ffynhonnell ar y giât mae’n gweld cyfeiriad LAN y giât yn lle hynny, ac mae pob cleient y tu ôl i’r giât honno’n dod yn anwahanadwy.

Mae’r gwahaniaeth hwnnw’n penderfynu a yw cofnod yn y rhestr ganiatáu yn bolisi neu’n dwll. Mae caniatáu cyfeiriad giât wedi’i gyfieithu yn derbyn pawb y tu ôl iddo, ac anaml y mae rheol fesul cleient wedi bwriadu mynegi hynny. Darllenwch y ffynhonnell oddi wrth y gweinydd yn hytrach nag o syniad y cleient am ei gyfeiriad ei hun. Cipiad ar ryngwyneb y gweinydd yw’r ffordd rataf i’w weld, ac mae’r un cipiad yn profi a gyrhaeddodd y pecyn o gwbl. Cyfyngwch y cipiad â chyfrif pecynnau ac ychwanegwch hidlydd gwesteiwr pan fyddwch yn gwybod pa gleient rydych yn ei ddilyn. Mae tabl sesiynau Samba yn hanner arall yr ateb: yn smbstatus -b y golofn cleient ym mhob rhes sesiwn yw’r cymar a gofnodwyd gan smbd, a dyna’r cadarnhad cyflymaf o’r cyfeiriad a gyrhaeddodd y gwasanaeth mewn gwirionedd.

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

Darllenwch y rhestr ganiatáu fel y mae Samba yn ei darllen

Mae’r osodiad hosts allow yn cymryd rhestr o gyfeiriadau, rhwydweithiau neu enwau, a gall ymddangos yn fyd-eang neu o fewn rhaniad. Efallai nad yw dau gofnod sy’n ymddangos yn gyfwerth i chi yn gyfwerth i’r parser, felly’r cyfluniad effeithiol yw’r peth i’w archwilio. Mae hynny’n golygu’r olwg gyfunol yn hytrach na’r ffeil y digwyddodd i chi ei golygu.

Mae pâr darluniadol o ragenwau yn edrych fel y llinell isod, ac mae’n enghraifft yn hytrach nag yn ddisodliad o’r cofnodion sydd eisoes yno. Cadwch y cleientiaid gweinyddol a chymhwysiad sy’n cysylltu’n gyfreithlon heddiw, a darllenwch unrhyw restr gwahardd yn yr un cyfle. Mae p’un a dderbynnir gwesteiwr yn dibynnu ar y polisi cyfan, felly profwch yr union gleient yn hytrach na rhesymu am flaenoriaeth. Nid yw caniatâd gwesteiwr yn dweud dim am ganiatâd rhannu nac am foddau system ffeiliau ychwaith, sy’n giatiau ar wahân. Mae llwyddiant yr offer profi yn golygu bod polisi gwesteiwyr yn derbyn y ffynhonnell honno, a dim mwy.

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

Newidiwch y ffeil sy’n goroesi ailgychwyn

Ar westai Linux arferol mae llwybr y cyfluniad yn sefydlog ac mae’r gwasanaeth yn ei ddarllen eto wrth ailgychwyn. Ar lwybrydd neu offeryn mae’r smb.conf sy’n rhedeg yn aml yn cael ei gynhyrchu wrth gychwyn, ac mae golygiad â llaw yn diflannu yn yr ailgychwyn nesaf. Defnyddiwch fecanwaith addasu cefnogol yr offeryn, sydd fel arfer yn ffeil cyfluniad iddo’i hun.

Y temtasiwn ar y pwynt hwn yw fflachio cadarnwedd amgen oherwydd bod un edefyn wedi adrodd ei fod yn gweithio. Mae hynny’n newid mawr am broblem polisi fach, ac mae’n symud y ddyfais allan o’i chyflwr cefnogol. Nodwch y rheolaeth gefnogol yn gyntaf, gan fod y rhan fwyaf o offer yn dangos y rhestr ganiatáu drwy eu rhyngwyneb eu hunain. Os nad ydynt wir yn gwneud hynny, mae’r cyfyngiad hwnnw’n ddadl dros galedwedd wahanol yn hytrach nag am adeiladwaith heb gefnogaeth.

Cofnodwch pa ffeil a newidiwyd gennych a beth sy’n ei hailgynhyrchu, fel nad yw’r person nesaf yn ailadrodd y diagnosis.

Profwch un cleient a ganiateir ac un cleient a eithrir

Profwch y ddau ganlyniad, nid yn unig yr un roeddech ei eisiau. Mae cleient a ganiateir sy’n cysylltu’n profi bod y newid yn gweithio; mae cleient a eithrir sy’n dal i gael ei wrthod yn profi nad yw’r rheol wedi agor popeth yn syml.

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

Pan nad yw’r cysylltiad byth yn cyrraedd smbd, mae’r ateb yn y llwybreiddio neu yng ngwal dân y gweinydd. Os derbynnir y gwesteiwr ac mae’r mewngofnodi’n methu, yr hunaniaeth yw’r broblem ac ni fydd ehangu’r rhestr ganiatáu eto yn helpu. Cadwch allbwn diagnosis yn breifat, oherwydd gall nodyn manwl Samba ddatgelu llwybrau rhannu ac enwau cyfrifon. Newidiwch un haen y tro, neu ni fydd y canlyniad nesaf yn dweud dim wrthych.