Αντιστοίχιση κοινόχρηστου φακέλου VPN με τον λογαριασμό Samba που γνωρίζει ο διακομιστής

Συνδέστε τη σήραγγα και το κοινόχρηστο εξακολουθεί να ζητά κωδικό που ο χρήστης θεωρεί σωστό. Σε αυτόνομη εγκατάσταση Samba, η σύνδεση VPN και η σύνδεση SMB είναι διαπιστευτήρια άσχετα μεταξύ τους: η μία εξουσιοδοτεί τη σήραγγα, την άλλη την ελέγχει ο διακομιστής αρχείων. Επομένως η αντιστοίχιση της μονάδας με τον λογαριασμό VPN αποτυγχάνει ακόμη και όταν ο κωδικός είναι σωστός και η διαδρομή δικτύου τέλεια. Αυτή η διάκριση εξηγεί τις περισσότερες αποτυχίες αντιστοίχισης μέσω VPN.

Η λύση δεν είναι να επαναφέρετε τον λογαριασμό VPN. Είναι να ονομάσετε μια ταυτότητα που ο διακομιστής Samba γνωρίζει πραγματικά και μετά να ελέγξετε ότι η ίδια ταυτότητα έχει δικαιώματα στο κοινόχρηστο και στον κατάλογο.

Η σύνδεση VPN και η σύνδεση SMB είναι διαφορετικές ταυτότητες

Ένας λογαριασμός VPN αξιολογείται από την πύλη VPN σύμφωνα με τη δική της πολιτική. Απαντά αν αυτός ο πελάτης μπορεί να εισέλθει στο ιδιωτικό δίκτυο. Δεν λέει τίποτα για το ποιος λογαριασμός SMB υπάρχει σε διακομιστή αρχείων μέσα σε αυτό το δίκτυο.

Ένας λογαριασμός Samba ζει στο backend πιστοποίησης του διακομιστή, με τη δική του βάση κωδικών και το δικό του όνομα. Δύο μηχανήματα μπορούν και τα δύο να έχουν χρήστη με όνομα alice χωρίς να μοιράζονται σύστημα ταυτότητας, κωδικό ή αναγνωριστικό χρήστη. Τα ονόματα ταιριάζουν· οι λογαριασμοί όχι.

Ένας διακομιστής Samba ενσωματωμένος στον τομέα αλλάζει την εικόνα: η ταυτότητα προέρχεται από τον κατάλογο και από το Kerberos, όχι από τοπική λίστα λογαριασμών. Σε αυτή την περίπτωση χρησιμοποιήστε την ταυτότητα του καταλόγου και την υποστηριζόμενη διαμόρφωση SMB αντί να δημιουργείτε τοπικά αντίγραφα για να μιμηθείτε την ιδιότητα μέλους τομέα. Ελέγξτε ποιο μοντέλο χρησιμοποιεί ο διακομιστής πριν δημιουργήσετε οποιονδήποτε λογαριασμό.

Δείτε ποια ταυτότητα χρησιμοποιεί στην πραγματικότητα τα Windows

Τα Windows αποθηκεύουν προσωρινά τις συνδέσεις ανά διακομιστή. Αν μια υπάρχουσα συνεδρία προς τον ίδιο διακομιστή άνοιξε με άλλο λογαριασμό, μια νέα αντιστοίχιση μπορεί να επαναχρησιμοποιήσει αυτή τη συνεδρία ή να αποτύχει με σφάλμα πιστοποίησης που αναφέρει λάθος χρήστη. Έτσι ένας σωστός κωδικός φαίνεται λάθος. Εξετάστε τις τρέχουσες συνδέσεις πριν αλλάξετε διαπιστευτήρια.

net use
cmdkey /list
klist

Η πρώτη εντολή δείχνει αντιστοιχισμένες μονάδες και ανοιχτές συνεδρίες, η δεύτερη δείχνει αποθηκευμένα διαπιστευτήρια που μπορούν να εφαρμοστούν αυτόματα, και η τρίτη δείχνει εισιτήρια Kerberos όταν χρησιμοποιείται τομέας. Ένα αποθηκευμένο διαπιστευτήριο μπορεί να υπερισχύσει σιωπηλά του λογαριασμού που σκοπεύατε να πληκτρολογήσετε.

Αφαιρέστε μόνο τη σύνδεση ή το διαπιστευτήριο που ανήκει σε αυτό το πρόβλημα. Η αποσύνδεση όλων των μονάδων ή η αντικατάσταση του ονόματος του διακομιστή με διεύθυνση IP κρύβει την επιλογή ταυτότητας και μπορεί να σπάσει την υπογραφή ή πολιτικές βάσει ονομάτων.

Αντιστοιχίστε το κοινόχρηστο με τον λογαριασμό που αναγνωρίζει ο διακομιστής

Δώστε τον λογαριασμό στη μορφή που περιμένει ο διακομιστής και αφήστε τα Windows να ζητήσουν τον κωδικό, ώστε το μυστικό να μην καταλήξει στο ιστορικό εντολών ή σε σενάριο:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Το τμήμα διακομιστή πριν από την ανάποδη κάθετο είναι το πλαίσιο ταυτότητας του διακομιστή Samba, όχι η πύλη VPN. Ο αστερίσκος ζητά διαδραστική προτροπή κωδικού, και το /persistent:no κρατά την αντιστοίχιση έξω από την επόμενη σύνδεση. Επιλέξτε ένα ελεύθερο γράμμα μονάδας.

Αν ο διακομιστής είναι ενσωματωμένος στον τομέα, το τμήμα χρήστη μπορεί αντ’ αυτού να είναι όνομα καταλόγου ή ταυτότητα με πρόθεμα τομέα. Χρησιμοποιήστε τη μορφή που τεκμηριώνει ο διαχειριστής· το να επινοήσετε τοπικό λογαριασμό με το ίδιο όνομα δημιουργεί δεύτερη ταυτότητα και δεύτερο κωδικό προς συντήρηση.

Εγκυρότητα λογαριασμού, πρόσβαση στο κοινόχρηστο και δικαιώματα συστήματος αρχείων είναι τρεις έλεγχοι

Το Samba ελέγχει αν η ταυτότητα πιστοποιείται, αν ο ορισμός του κοινόχρηστου την αποδέχεται, και αν το σύστημα αρχείων παραχωρεί τη ζητούμενη λειτουργία. Η επιτυχία του πρώτου ελέγχου δεν συνεπάγεται τους άλλους δύο. Ένα κοινόχρηστο μπορεί να είναι ορατό και παρ’ όλα αυτά να αρνείται εγγραφές επειδή το λένε τα δικαιώματα του καταλόγου.

Ένα κοινόχρηστο περιορισμένο με valid users δέχεται μόνο τους καταγεγραμμένους λογαριασμούς ή ομάδες. Ο λογαριασμός μπορεί να πιστοποιηθεί σωστά και παρ’ όλα αυτά να απορριφθεί από αυτή τη γραμμή. Ελέγξτε τον ορισμό του κοινόχρηστου πριν συμπεράνετε ότι ο κωδικός είναι λάθος.

Στην πλευρά του συστήματος αρχείων μετράνε και η διεργασία Samba και η αντιστοιχισμένη ταυτότητα. Ένας κατάλογος που ανήκει στο root με λειτουργία 700 δεν θα δεχτεί εγγραφές από συνηθισμένο λογαριασμό ακόμη και όταν ο ορισμός του κοινόχρηστου το επιτρέπει. Δοκιμάστε με ανάγνωση και μετά με εγγραφή σε κατάλογο που ο λογαριασμός υποτίθεται ότι χρησιμοποιεί.

Καθαρίστε μια συνεδρία σε διένεξη χωρίς να παραβιάσετε την πολιτική

Όταν η αιτία είναι μια παρωχημένη συνεδρία, κλείστε αυτή τη μία σύνδεση και αντιστοιχίστε ξανά με τον προβλεπόμενο λογαριασμό. Αν ένα αποθηκευμένο διαπιστευτήριο επανέρχεται συνεχώς, αφαιρέστε αυτό το διαπιστευτήριο αντί για ολόκληρη τη λίστα μονάδων. Στη συνέχεια επιβεβαιώστε τη νέα συνεδρία με το net use.

Διατηρήστε την απαιτούμενη υπογραφή SMB, την κρυπτογράφηση και την πολιτική λογαριασμών. Ένας διακομιστής που αρνείται μη υπογεγραμμένη ή μη κρυπτογραφημένη συνεδρία επιβάλλει πολιτική, δεν διαβάζει λάθος τον κωδικό, και το να την αποδυναμώσετε για να πετύχει η αντιστοίχιση ανταλλάσσει ασφάλεια με ένα σύμπτωμα.

Καταγράψτε το όνομα του διακομιστή, την ακριβή μορφή του λογαριασμού και τα δικαιώματα κοινόχρηστου και καταλόγου που λειτούργησαν. Διαφορετικά, το επόμενο άτομο που θα αντιστοιχίσει τη μονάδα θα δοκιμάσει πρώτα τη σύνδεση VPN, επειδή αυτά είναι τα διαπιστευτήρια με τα οποία έφτασε στο δίκτυο.