Eine VPN-Dateifreigabe mit dem Samba-Konto verbinden, das der Server kennt

Stellen Sie den Tunnel her, und die Freigabe fragt weiterhin nach einem Passwort, das der Benutzer für richtig hält. In einer eigenständigen Samba-Bereitstellung sind das VPN-Login und das SMB-Login voneinander unabhängige Anmeldedaten: Das eine autorisiert den Tunnel, das andere prüft der Dateiserver. Das Laufwerk mit dem VPN-Konto zu verbinden scheitert daher selbst dann, wenn das Passwort stimmt und der Netzwerkpfad einwandfrei ist. Diese Unterscheidung erklärt die meisten Verbindungsfehler über ein VPN.

Die Lösung besteht nicht darin, das VPN-Konto zurückzusetzen. Sie besteht darin, eine Identität zu benennen, die der Samba-Server tatsächlich kennt, und dann zu prüfen, ob dieselbe Identität Rechte auf die Freigabe und die Verzeichnisse hat.

VPN-Login und SMB-Login sind verschiedene Identitäten

Ein VPN-Konto wird vom VPN-Gateway nach dessen eigener Richtlinie bewertet. Es beantwortet die Frage, ob dieser Client das private Netz betreten darf. Es sagt nichts darüber aus, welches SMB-Konto auf einem Dateiserver in diesem Netz existiert.

Ein Samba-Konto liegt im Authentifizierungs-Backend des Servers, mit eigener Passwortdatenbank und eigenem Namen. Zwei Rechner können beide einen Benutzer namens alice haben, ohne ein Identitätssystem, ein Passwort oder eine Benutzerkennung zu teilen. Die Namen stimmen überein; die Konten nicht.

Ein domänenintegrierter Samba-Server ändert das Bild: Die Identität stammt aus dem Verzeichnis und von Kerberos, nicht aus einer lokalen Kontenliste. Verwenden Sie in diesem Fall die Verzeichnisidentität und die unterstützte SMB-Konfiguration, statt lokale Duplikate anzulegen, um eine Domänenmitgliedschaft nachzuahmen. Prüfen Sie, welches Modell der Server verwendet, bevor Sie ein Konto anlegen.

Prüfen Sie, welche Identität Windows tatsächlich verwendet

Windows speichert Verbindungen pro Server zwischen. Wurde eine bestehende Sitzung zu demselben Server mit einem anderen Konto geöffnet, kann eine neue Verbindung diese Sitzung wiederverwenden oder mit einem Authentifizierungsfehler scheitern, der den falschen Benutzer nennt. So wirkt ein richtiges Passwort falsch. Prüfen Sie die aktuellen Verbindungen, bevor Sie Anmeldedaten ändern.

net use
cmdkey /list
klist

Der erste Befehl zeigt verbundene Laufwerke und offene Sitzungen, der zweite zeigt gespeicherte Anmeldedaten, die automatisch angewendet werden können, und der dritte zeigt Kerberos-Tickets, wenn eine Domäne im Einsatz ist. Ein gespeicherter Anmeldedatensatz kann das Konto stillschweigend überschreiben, das Sie eingeben wollten.

Entfernen Sie nur die Verbindung oder den Anmeldedatensatz, der zu diesem Problem gehört. Alle Laufwerke zu trennen oder den Servernamen durch eine IP-Adresse zu ersetzen, verdeckt die Identitätswahl und kann die Signierung oder namensbasierte Richtlinien brechen.

Binden Sie die Freigabe mit dem vom Server erkannten Konto ein

Geben Sie das Konto in der Form an, die der Server erwartet, und lassen Sie Windows nach dem Passwort fragen, damit das Geheimnis nicht in der Befehlshistorie oder einem Skript landet:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Der Serveranteil vor dem Backslash ist der Identitätskontext des Samba-Servers, nicht das VPN-Gateway. Das Sternchen fordert eine interaktive Passwortabfrage an, und /persistent:no hält die Verbindung aus der nächsten Anmeldung heraus. Wählen Sie einen freien Laufwerksbuchstaben.

Ist der Server domänenintegriert, kann der Benutzeranteil stattdessen ein Verzeichnisname oder eine domänenqualifizierte Identität sein. Verwenden Sie die vom Administrator dokumentierte Form; ein lokales Konto mit demselben Namen zu erfinden, erzeugt eine zweite Identität und ein zweites Passwort, das gepflegt werden muss.

Kontogültigkeit, Freigabezugriff und Dateisystemrechte sind drei Prüfungen

Samba prüft, ob die Identität sich authentifiziert, ob die Freigabedefinition sie zulässt, und ob das Dateisystem die angeforderte Operation erlaubt. Das Bestehen der ersten Prüfung bedeutet nicht, dass die anderen beiden ebenfalls bestehen. Eine Freigabe kann sichtbar sein und Schreibvorgänge dennoch verweigern, weil die Verzeichnisberechtigungen es so vorsehen.

Eine mit valid users eingeschränkte Freigabe lässt nur die aufgeführten Konten oder Gruppen zu. Das Konto kann sich korrekt authentifizieren und trotzdem an dieser Zeile scheitern. Prüfen Sie die Freigabedefinition, bevor Sie schließen, dass das Passwort falsch ist.

Auf der Dateisystemseite zählen sowohl der Samba-Prozess als auch die eingebundene Identität. Ein Verzeichnis im Besitz von root mit Modus 700 nimmt keine Schreibvorgänge von einem gewöhnlichen Konto an, selbst wenn die Freigabedefinition es erlaubt. Testen Sie mit einem Lese- und dann einem Schreibvorgang in einem Verzeichnis, das das Konto verwenden soll.

Lösen Sie eine Konfliktsitzung, ohne die Richtlinie zu verletzen

Wenn eine veraltete Sitzung die Ursache ist, schließen Sie diese eine Verbindung und binden Sie das Laufwerk erneut mit dem vorgesehenen Konto ein. Wenn ein gespeicherter Anmeldedatensatz immer wiederkehrt, entfernen Sie diesen Datensatz statt der ganzen Laufwerksliste. Bestätigen Sie dann die neue Sitzung mit net use.

Lassen Sie die erforderliche SMB-Signierung, Verschlüsselung und Kontorichtlinie bestehen. Ein Server, der eine unsignierte oder unverschlüsselte Sitzung ablehnt, setzt eine Richtlinie durch und liest nicht das Passwort falsch; sie zu schwächen, damit die Verbindung gelingt, tauscht Sicherheit gegen ein Symptom.

Notieren Sie den Servernamen, die genaue Kontoform und die Freigabe- und Verzeichnisrechte, die funktioniert haben. Die nächste Person, die das Laufwerk verbindet, versucht sonst zuerst das VPN-Login, weil sie mit diesen Anmeldedaten das Netzwerk erreicht hat.