Zergatik uzten ditu Samba-k baztertzen zerbitzarira iristen diren VPN bezeroak

VPN bezero batek fitxategi-zerbitzaria ping egiten du, bere izena ebazten du eta hala ere ezin du partekatze bat ireki. Samba-ren host politika konexio hori baztertu dezaketen lau geruzetako bat da, eta jendeak azkenengo editatzen duen geruza da. Onartutakoen zerrenda smbd-k benetan jasotzen duen iturburu-helbidearen aurka ebaluatzen da, eta baliteke bezeroak duen ustezko helbidea ez izatea. Iturburu hori ondo zehazteak baimen-arazo lauso bat lerro bakarreko konfigurazio-aldaketa bihurtzen du.

Mezu berarekin huts egiten duten lau geruza

Baztertzea bidetik, host suebakitik, Samba-ren host politikatik edo SMB identitatetik etor daiteke. Geruza bakoitzak bezeroari gutxi gorabehera gauza bera dioen mezua sortzen dio, horregatik asmatzeak arratsalde bat kostatzen du. Egiaztapenak sarearen barrurantz ordenatzeak asmatze gehienak kentzen ditu.

Hasi garraioarekin. 445 portua inoiz zerbitzarira iristen ez bada, Samba ezarpenek ez dute ezer balio, eta zerbitzariaren interfazean egindako harrapaketa batek segundoetan konpontzen du. Ondoren dator zerbitzarian bertan dagoen host suebakia, eta horrek onartutako iturburu bat bota dezake smbd-k ikusi aurretik. Bi horiek gainditutakoan soilik bihurtzen da onartutakoen zerrenda hautagai. Autentifikazioa azkena da, saio-hasieraren hutsak eta host baztertzeak desberdin ikusten baitira zerbitzariaren erregistroan, bezeroak biak sarbide ukatu gisa jakinarazten dituenean ere. Ordena tresnek baino gehiago axola du, geruza bakoitzeko agindu batek erantzuten baitu.

Aurkitu smbd-k benetan ikusten duen iturburu-helbidea

Bideratutako sarbidearekin zerbitzariak normalean bezeroaren helbidea ikusten du VPN biltegitik. Atebideko iturburu-itzulpenean, ordea, atebidearen LAN helbidea ikusten du, eta atebide horren atzeko bezero bakoitza bereiztezin bihurtzen da.

Alde horrek erabakitzen du onartutakoen zerrendako sarrera bat politika den ala zulo bat. Itzulitako atebide-helbide bat onartzeak haren atzeko guztiak sartzen ditu, eta bezero bakoitzeko arau batek gutxitan nahi zuen hori adierazi. Irakurri iturburua zerbitzarian, ez bezeroak bere helbideaz duen ideian. Zerbitzariaren interfazean egindako harrapaketa da ikusteko modurik merkeena, eta harrapaketa berak frogatzen du paketea iritsi zen ala ez. Mugatu harrapaketa pakete-kopuru batekin eta gehitu host iragazki bat zein bezero jarraitzen duzun dakizunean. Samba saio-taula erantzunaren beste erdia da: smbstatus -b irteeran saio bakoitzeko bezero-zutabea smbd-k erregistratutako bikotekidea da, eta hori da zerbitzura benetan iritsi zen helbidearen berrespenik azkarrena.

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

Irakurri onartutakoen zerrenda Samba-k irakurtzen duen bezala

hosts allow ezarpenak helbide, sare edo izenen zerrenda bat hartzen du, eta globalean edo partekatze baten barruan ager daiteke. Zuri baliokide iruditzen zaizkizun bi sarrerek agian ez dira baliokideak analizatzailearentzat, beraz konfigurazio eraginkorra da ikuskatu behar dena. Horrek bista bateratua esan nahi du, eta ez ustekabean editatu duzun fitxategia.

Aurrizkien bikote ilustratibo bat beheko lerroaren antzekoa da, eta adibide bat da, ez dagoen sarreren ordezkoa. Mantendu gaur egun zilegitasunez konektatzen diren administrazio eta aplikazio bezeroak, eta irakurri debeku-zerrendaren bat passada berean. Host bat onartzen den politikaren osotasunaren araberakoa da, beraz probatu bezero zehatza, lehentasunari buruz aritu beharrean. Host baimenak ez du ezer esaten partekatze-baimenei edo fitxategi-sistemaren moduei buruz ere, eta horiek ate bereiziak dira. Proba-tresnen arrakastak esan nahi du host politikak iturburu hori onartzen duela, eta besterik ez.

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

Aldatu berrabiaraztea gainditzen duen fitxategia

Linux host arrunt batean konfigurazio-bidea finkoa da eta zerbitzuak berriro irakurtzen du berrabiaraztean. Bideratzaile edo gailu batean martxan dagoen smb.conf sarritan abioan sortzen da, eta eskuzko aldaketa hurrengo berrabiaraztean desagertzen da. Erabili gailuaren onartutako pertsonalizatze-mekanismoa, normalean bere konfigurazio-fitxategia baita.

Puntu honetan tentazioa firmware alternatiboa grabatzea da, hari batek funtzionatzen duela jakinarazi duelako. Hori aldaketa handia da politika-arazo txiki batentzat, eta gailua bere onartutako egoeratik ateratzen du. Lehenik onartutako kontrola identifikatu, gailu gehienek onartutakoen zerrenda beren interfazearen bidez erakusten dutelako. Benetan egiten ez badute, muga hori beste hardware baten aldeko argudioa da, eta ez onartu gabeko eraikuntza baten aldekoa.

Idatzi zein fitxategi aldatu duzun eta zer sortzen duen berriro, hurrengo pertsonak diagnostikoa errepika ez dezan.

Probatu onartutako bezero bat eta baztertutako beste bat

Probatu bi emaitzak, ez bakarrik nahi zenuena. Konektatzen duen onartutako bezero batek aldaketak funtzionatzen duela frogatzen du; oraindik baztertuta dagoen bezero batek arauak ez zuela dena ireki frogatzen du.

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

Konexioa inoiz smbd-ra iristen ez denean, erantzuna bideraketan edo zerbitzariaren suebakian dago. Host-a onartuta eta saio-hasiera huts egiten badu, identitatea da arazoa eta onartutakoen zerrenda zabaltzeak ez du lagunduko. Mantendu diagnostiko-irteera pribatuan, Samba erregistro zehatzak partekatze-bideak eta kontu-izenak ager baititzake. Aldatu geruza bat saiakera bakoitzeko, bestela hurrengo emaitzak ez dizu ezer esango.