Mugatu Samba partekatze bat erabiltzaile bakarrera eta VPN helbide bakarrera

Diseinu honetan bi baimen desberdin nahasten dira: nork erabil dezakeen direktorio bat eta zein helbidek konekta dezaketen behintzat. Kontuen zerrenda iturrien zerrendaren ondoan idazteak bikotekatze itxura du, baina Sambak bi zerrendak predikatu independente gisa ebaluatzen ditu. Biak betetzen dituen edonor onartzen da, eta hori administratzaile gehienek nahi dutena baino arau zabalagoa da. Konponbidea partekatzearen beste diseinu bat da edo bikotea adieraz dezakeen politika geruza bat.

Mitoa: bi zerrendek arau bakarra egiten dute

smb.conf erreferentziak valid users eta hosts allow elkarren arteko loturarik gabeko bi parametro gisa definitzen ditu, eta biak partekatze berean ezartzea da nahastea hasten den lekua. Ezarri valid users = mira, tomas eta hosts allow = 10.77.0.21, 10.77.0.22 eta lau konbinazio onartzen dira: Mira bi helbideetako edozetatik, Tomas bi helbideetako edozetatik. Konfigurazioan ezerk ez du lehen izena lehen helbidearekin lotzen, eta izenak agertzen diren ordenak ez du esanahirik. Haiek berrantolatzeak, bigarren hosts allow lerro bat gehitzeak edo lerro bakoitzean izen bat jartzeak ez du ezer aldatzen. Emaitza bi zerrenden biderkadura da, ez haien arteko mapa bat.

Jende gehienak benetan nahi duena estuagoa da: Mira helbide batetik soilik, Tomas beste batetik soilik. Partekatze definizio bakarrak ez du lotura horretarako sintaxirik, eta ez du inolako ordena azkarrek sortzen. Hori Sambak partekatze baten barruan adierazten ez duen politika forma bat da, eta hor bizirik irauten du mitoak.

Zer ebaluatzen duen Sambak, eta zein ordenatan

Etapak ordena finkoan exekutatzen dira, eta ordena okerrak diagnostiko okerra ematen du. Bezero batek konexio bat irekitzen du; ostalari egiaztapen global bat exekutatzen da konfiguratuta badago; saioaren ezarpenak kontua autentifikatzen du; gero bezeroa partekatze batera konektatzen da, non partekatze horren ostalari zerrenda propioa, valid users eta irakurketa-soilik ezarpena aplikatzen diren; eta fitxategi bat irekitzean soilik erabakitzen dute autentifikatutako identitatearen fitxategi sistemaren baimenek. Etapa bakoitzak bakarrik uka dezake eskaera, eta bat pasatzeak ez du hurrengoari buruz ezer esaten. Ondorio garrantzitsua da kontua ezaguna dela partekatzearen ostalari zerrenda ebaluatzen denerako, eta ostalari zerrendak oraindik ez duela kontu hori izendatzeko modurik.

Horregatik ezin du partekatze batek erabiltzaile bat helbide batekin lotu: hosts allow eta valid users zuhaitz-konexio etapa berean aplikatzen diren predikatu bereiziak dira, eta bakoitzak bere galderari erantzuten dio. Ostalari predikatuak ez du inoiz kontu izena sarrera gisa hartzen, beraz ezin da erabiltzaile bakoitzeko idatzi. Bikotea Samba kanpoko politika geruza batek edo bigarren partekatze batek soilik adieraz dezake.

Balio globalak garrantzitsuak dira heredatzen diren moduagatik. hosts allow uzten duen partekatze batek balio globala heredatzen du, eta berea ezartzen duen partekatze batek balio hori erabiltzen du globalaren ordez, ez hari gehituta. Beraz zerrenda global zabal batek parametroa inoiz ezartzen ez duten partekatzeak zabaltzen ditu, eta berea definitzen duen partekatzeari ez dio ezer egiten. Exekutatu testparm -s eta irakurri inprimatzen dituen partekatze bakoitzeko balioak, irteera hori baita politika eraginkorra, eta diskoan dagoen fitxategia ez.

Partekatze bat estutzeak ere ez dio ezer egiten zerbitzariaren gainerakoari. Beste partekatzeek, inprimagailu ilarak eta IPC konexioak beren arauak mantentzen dituzte, beraz partekatze baten helbide zerrendan oinarritzen den diseinuak bide bat babesten du, ez ostalaria.

Bi partekatze izen direktorio baten gainean

Direktorio bera bi pertsonentzat bi helbidetatik eskuragarri egon behar denean, erakutsi bitan izen desberdinekin. Bloke bakoitzak kontu bat eta iturri bat daramatza, eta horrek bikotea konfigurazioak betearaz dezakeen zerbait bihurtzen du. Kostua da pertsona bakoitzak partekatze izen desberdin bat erabiltzen duela fitxategi berberetara iristeko, eta hori aldaketa deliberatua izan behar da bezeroaren aldean.

[shared-mira]
    path = /srv/shared
    guest ok = no
    read only = yes
    valid users = mira
    hosts allow = 10.77.0.21
    hosts deny = ALL

[shared-tomas]
    path = /srv/shared
    guest ok = no
    read only = yes
    valid users = tomas
    hosts allow = 10.77.0.22
    hosts deny = ALL

Partekatze atea ez da fitxategi sistemaren baimena. Bi identitateek oraindik behar dute direktorioaren sarbidea azpiko ACLaren bidez, eta irakurketa-soilik ezarpena bigarren geruza da, ez bakarra. Eman idazteko baimena lan-fluxuak eskatzen badu soilik, eta gero egiaztatu identitate batek sortutako fitxategiak bestearentzat erabilgarri jarraitzen dutela.

Bi blokeek bide bakarrera seinalatzen dute, beraz direktorioaren aldaketak bi partekatzeei eragiten die. Hori izaten da helburua, baina baimen akats bat bi erabiltzaileentzat aldi berean ikusgai dagoela ere esan nahi du.

Zer froga dezakeen iturri helbideak

Sambak ikusten duen helbidea zerbitzarira iritsi den helbidea da, ez bezeroak uste duen helbidea. Bezero bakoitza iturri helbide bakarrera itzultzen duen VPN atebideak bereizketa desegiten du: bezero guztiak ostalari berdin gisa iristen dira eta iturri zerrendak ezin ditu jada bereizi. Bezero bakoitzeko esleipen egonkorra eta iturria mantentzen duen atebidea dira helbideak politikatzat erabiltzeko aurretiazko baldintzak. Biak gabe, murrizketak atebidea neurtzen du, ez erabiltzailea.

Hala ere, helbide bat ez da gailu bat. Tunel helbide baten atzean bi eramangarri, berresleipendutako kontratu bat eta lan-estazio partekatu bat guztiek uzten dute indarrik gabe iturri batek pertsona bat identifikatzen duen ustea. Hartu murrizketa sare esparru gisa eta mantendu SMB kontu autentifikatuak identitate geruza gisa, gailu egiaztagiri batekin, adibidez ziurtagiri bat, gailu baimena behar baduzu.

Horregatik ere diseinuak partekatzeak itxi eta ez zerbitzaria. Ukatutako bikote batek oraindik saio bat ireki, beste partekatze batera iritsi edo zerbitzaria zerrendatu dezake, eta hori konexioan autentifikazio hutsegitea baino emaitza desberdina da. Baldintza autentifikazio aurretik ukapena bada, Sambaren partekatze parametroak tresna okerra dira.

Froga ezazu gurutzatutako bikoteekin

Balioztatu konfigurazioa, eta gero probatu lau konbinazioak konexio berriekin, ez berrerabilitako saio batekin. Nahi den bikoteak direktorioa iritsi behar du, eta bi gurutzatutako bikoteek huts egin behar dute. Aurreko proba bateko saio katxeatuak gogoz erantzungo du konbinazio okerrarentzat eta arau hondatu bat zuzena dirudiela egingo du.

testparm -s
smbclient //fileserver/shared-mira -U mira -c 'ls'
smbclient //fileserver/shared-tomas -U tomas -c 'ls'
smbstatus --shares

Sintaxi egiaztapen batek fitxategia analizatzen dela soilik frogatzen du. Kredentzialak, ACLak eta ostalari erabakia benetako konexio baten bidez erabiltzen dira, beraz exekutatu bezeroaren komandoa probatu nahi duzun helbidetik eta begiratu zein etapak ukatzen duen. Gurutzatutako bikote batek arrakasta badu, ostalari zerrenda eraginkorra blokeak iradokitzen duena baino zabalagoa da, eta testparm -s da lehen irakurri beharrekoa. Gurutzatutako bikote batek arrazoi okerrengatik huts egiten badu, kontua edo ACLa da susmagarria.

Saioak smbstatus erabiliz monitorizatzea eta haiek hiltzea sarbidea hasi ondorengo erantzun ekintza da, ez onarpen kontrola. Behatutako helbide oso bat blokeatzeak NAT beraren atzean dauden erabiltzaile erlaziorik gabeak ere deskonekta ditzake, eta horregatik erabakia partekatze definizioan dago eta monitorizazioa erantzun prozesuan. Eutsi biak bereizita eta diseinuak zintzo jarraitzen du betearazten duenari buruz.