VPN-failijagamise ühendamine Samba kontoga, mida server tunneb

Ühendage tunnel ja jagamine küsib endiselt parooli, mida kasutaja peab õigeks. Eraldiseisvas Samba juurutuses on VPN-i sisselogimine ja SMB sisselogimine sõltumatud volitused: üks volitab tunnelit, teist kontrollib failiserver. Seetõttu ebaõnnestub draivi ühendamine VPN-kontoga ka siis, kui parool on õige ja võrgutee täiuslik. See erinevus selgitab enamikku VPN-i kaudu ühendamise tõrkeid.

Lahendus ei ole VPN-konto lähtestamine. Lahendus on nimetada identiteet, mida Samba server tegelikult tunneb, ja seejärel kontrollida, kas samal identiteedil on õigused jagamisele ja kataloogile.

VPN-i sisselogimine ja SMB sisselogimine on erinevad identiteedid

VPN-kontot hindab VPN-lüüs oma poliitika järgi. See vastab, kas see klient tohib privaatvõrku siseneda. See ei ütle midagi selle kohta, milline SMB konto on failiserveris selles võrgus.

Samba konto elab serveri autentimise taustal, oma parooliandmebaasi ja oma nimega. Kahel masinal võib mõlemal olla kasutaja nimega alice, ilma et nad jagaksid identiteedisüsteemi, parooli või kasutaja identifikaatorit. Nimed klapivad; kontod mitte.

Domeeniga integreeritud Samba server muudab pilti: identiteet pärineb kataloogist ja Kerberosest, mitte kohalikust kontode loendist. Sel juhul kasutage kataloogi identiteeti ja toetatud SMB konfiguratsiooni, mitte ärge looge kohalikke duplikaate domeeniliikmeks olemise jäljendamiseks. Enne mis tahes konto loomist kontrollige, millist mudelit server kasutab.

Vaadake, millist identiteeti Windows tegelikult kasutab

Windows vahemällu salvestab ühendused serveri kaupa. Kui olemasolev seanss samasse serverisse avati teise kontoga, võib uus ühendus seda seanssi uuesti kasutada või ebaõnnestuda autentimisveaga, mis nimetab vale kasutajat. Nii näib õige parool valena. Enne volituste muutmist kontrollige praeguseid ühendusi.

net use
cmdkey /list
klist

Esimene käsk näitab ühendatud draive ja avatud seansse, teine näitab salvestatud volitusi, mida saab automaatselt rakendada, ja kolmas näitab Kerberose pileteid, kui kasutatakse domeeni. Salvestatud volitus võib vaikselt alistada konto, mille kavatsesite sisestada.

Eemaldage ainult see ühendus või volitus, mis kuulub selle probleemi juurde. Kõigi draivide lahtiühendamine või serverinime asendamine IP-aadressiga peidab identiteedivaliku ja võib rikkuda allkirjastamise või nimedel põhineva poliitika.

Ühendage jagamine kontoga, mida server tunnistab

Esitage konto kujul, mida server ootab, ja laske Windowsil parooli küsida, et saladus ei jõuaks käsukohastesse ega skripti:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Serveri osa enne kaldkriipsu on Samba serveri identiteedikontekst, mitte VPN-lüüs. Tärn taotleb interaktiivset parooliküsimust ja /persistent:no hoiab ühenduse järgmisest sisselogimisest väljas. Valige vaba draivi täht.

Kui server on domeeniga integreeritud, võib kasutaja osa selle asemel olla katalooginimi või domeeniga kvalifitseeritud identiteet. Kasutage vormi, mille administraator dokumenteerib; sama nimega kohaliku konto väljamõtlemine loob teise identiteedi ja teise parooli, mida hooldada.

Konto kehtivus, juurdepääs jagamisele ja failisüsteemi õigused on kolm kontrolli

Samba kontrollib, kas identiteet autenditakse, kas jagamise definitsioon lubab selle ja kas failisüsteem annab taotletud toimingu. Esimese kontrolli läbimine ei tähenda, et läbivad ka teised kaks. Jagamine võib olla nähtav ja siiski kirjutamisest keelduda, sest kataloogi õigused ütlevad nii.

valid users abil piiratud jagamine lubab ainult loetletud kontosid või gruppe. Konto võib õigesti autentida ja siiski selle rea poolt tagasi lükata. Enne järeldust, et parool on vale, kontrollige jagamise definitsiooni.

Failisüsteemi poolel loevad nii Samba protsess kui ka ühendatud identiteet. Kataloog, mis kuulub rootile režiimiga 700, ei võta vastu kirjutamist tavaliselt kontolt, isegi kui jagamise definitsioon seda lubab. Katsetage lugemist ja seejärel kirjutamist kataloogis, mida konto peaks kasutama.

Kõrvaldage vastuoluline seanss poliitikat rikkumata

Kui põhjuseks on aegunud seanss, sulgege see üks ühendus ja ühendage uuesti kavandatud kontoga. Kui salvestatud volitus tuleb ikka tagasi, eemaldage see volitus, mitte kogu draivide loend. Seejärel kinnitage uus seanss net use abil.

Säilitage nõutav SMB allkirjastamine, krüpteerimine ja kontopoliitika. Server, mis keeldub allkirjastamata või krüpteerimata seansist, rakendab poliitikat, mitte ei loe parooli valesti, ja selle nõrgendamine ühendamise õnnestumiseks vahetab turvalisuse sümptomi vastu.

Kirjutage üles serveri nimi, konto täpne vorm ning jagamise ja kataloogi õigused, mis toimisid. Vastasel juhul proovib järgmine inimene, kes draivi ühendab, kõigepealt VPN-i sisselogimist, sest need on volitused, millega ta võrku jõudis.