اتصال اشتراک فایل VPN با حساب Samba که سرور می‌شناسد

تونل را وصل کنید و اشتراک همچنان گذرواژه‌ای را می‌خواهد که کاربر آن را درست می‌داند. در نصب مستقل Samba، ورود VPN و ورود SMB اعتبارنامه‌های بی‌ارتباطی هستند: یکی تونل را مجاز می‌کند و دیگری را سرور فایل بررسی می‌کند. بنابراین اتصال درایو با حساب VPN حتی وقتی گذرواژه درست است و مسیر شبکه بی‌عیب است شکست می‌خورد. همین تفاوت بیشتر خطاهای اتصال از طریق VPN را توضیح می‌دهد.

راه‌حل بازنشانی حساب VPN نیست. راه‌حل نام‌بردن هویتی است که سرور Samba واقعاً می‌شناسد و سپس بررسی اینکه همان هویت حقوق اشتراک و پوشه را دارد.

ورود VPN و ورود SMB دو هویت متفاوت هستند

حساب VPN را دروازه VPN بر اساس سیاست خودش ارزیابی می‌کند. پاسخ می‌دهد که آیا این کارخواه می‌تواند وارد شبکه خصوصی شود. هیچ چیزی درباره اینکه کدام حساب SMB روی سرور فایل داخل آن شبکه وجود دارد نمی‌گوید.

حساب Samba در بخش پشتی احراز هویت سرور زندگی می‌کند، با پایگاه گذرواژه و نام خودش. دو ماشین می‌توانند هر دو کاربری به نام alice داشته باشند بدون آنکه سامانه هویت، گذرواژه یا شناسه کاربری را به اشتراک بگذارند. نام‌ها یکی هستند؛ حساب‌ها نه.

سرور Samba یکپارچه با دامنه تصویر را تغییر می‌دهد: هویت از فهرست و از Kerberos می‌آید، نه از فهرست محلی حساب‌ها. در این حالت از هویت فهرست و پیکربندی پشتیبانی‌شده SMB استفاده کنید، نه از ساختن نسخه‌های محلی برای تقلید عضویت دامنه. پیش از ساختن هر حساب بررسی کنید سرور از کدام مدل استفاده می‌کند.

ببینید Windows واقعاً از کدام هویت استفاده می‌کند

Windows اتصال‌ها را برای هر سرور در حافظه نهان نگه می‌دارد. اگر نشستی موجود به همان سرور با حساب دیگری باز شده باشد، اتصال جدید می‌تواند همان نشست را دوباره به کار ببرد یا با خطای احراز هویتی شکست بخورد که کاربر اشتباه را نام می‌برد. این‌گونه گذرواژه درست اشتباه به نظر می‌رسد. پیش از تغییر اعتبارنامه‌ها اتصال‌های کنونی را بررسی کنید.

net use
cmdkey /list
klist

فرمان نخست درایوهای متصل و نشست‌های باز را نشان می‌دهد، دومی اعتبارنامه‌های ذخیره‌شده‌ای را که ممکن است خودکار اعمال شوند، و سومی بلیت‌های Kerberos را هنگامی که دامنه به کار می‌رود. ممکن است اعتبارنامه ذخیره‌شده حساب مورد نظر شما را بی‌صدا بازنویسی کند.

فقط همان اتصال یا اعتبارنامه‌ای را حذف کنید که به این مشکل مربوط است. قطع همه درایوها یا جایگزینی نام سرور با نشانی IP انتخاب هویت را پنهان می‌کند و می‌تواند امضا یا سیاست‌های مبتنی بر نام را بشکند.

اشتراک را با حسابی که سرور می‌شناسد متصل کنید

حساب را در قالبی که سرور انتظار دارد بدهید و بگذارید Windows گذرواژه را بپرسد، تا راز در تاریخچه فرمان‌ها یا اسکریپت نیفتد:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

بخش سرور پیش از خط اریب وارونه، زمینه هویت سرور Samba است، نه دروازه VPN. ستاره درخواست تعاملی گذرواژه می‌خواهد و /persistent:no اتصال را بیرون از ورود بعدی نگه می‌دارد. حرف درایو آزادی انتخاب کنید.

اگر سرور یکپارچه با دامنه است، بخش کاربر می‌تواند به‌جای آن نام فهرست یا هویتی واجد شرایط دامنه باشد. قالبی را به کار ببرید که مدیر مستند کرده است؛ ساختن حساب محلی با همان نام هویت دومی و گذرواژه دومی برای نگهداری می‌سازد.

اعتبار حساب، دسترسی به اشتراک و حقوق سامانه فایل سه بررسی هستند

Samba بررسی می‌کند آیا هویت احراز می‌شود، آیا تعریف اشتراک آن را می‌پذیرد و آیا سامانه فایل عملیات درخواستی را می‌دهد. گذر از بررسی نخست به معنای گذر از دو بررسی دیگر نیست. اشتراک می‌تواند دیده شود و باز هم نوشتن را رد کند، چون مجوزهای پوشه چنین می‌گویند.

اشتراک محدودشده با valid users تنها حساب‌ها یا گروه‌های فهرست‌شده را می‌پذیرد. حساب می‌تواند درست احراز شود و باز هم با همان خط رد شود. پیش از نتیجه‌گیری درباره اشتباه بودن گذرواژه، تعریف اشتراک را بررسی کنید.

در سمت سامانه فایل هم فرایند Samba و هم هویت متصل اهمیت دارند. پوشه‌ای متعلق به root با حالت 700 نوشتن از یک حساب عادی را نمی‌پذیرد، حتی وقتی تعریف اشتراک اجازه می‌دهد. ابتدا با خواندن و سپس با نوشتن در پوشه‌ای که حساب باید به کار ببرد آزمایش کنید.

نشست متعارض را بدون شکستن سیاست پاک کنید

وقتی علت نشست کهنه است، همان یک اتصال را ببندید و با حساب مورد نظر دوباره متصل شوید. اگر اعتبارنامه ذخیره‌شده باز می‌گردد، همان اعتبارنامه را حذف کنید نه کل فهرست درایوها. سپس نشست جدید را با net use تأیید کنید.

امضای SMB، رمزنگاری و سیاست حساب‌های لازم را سر جای خود نگه دارید. سروری که نشست بدون امضا یا بدون رمز را رد می‌کند سیاست را اعمال می‌کند، نه اینکه گذرواژه را اشتباه بخواند، و تضعیف آن برای موفقیت اتصال، امنیت را با یک نشانه عوض می‌کند.

نام سرور، قالب دقیق حساب و حقوق اشتراک و پوشه‌ای را که کار کرد ثبت کنید. وگرنه نفر بعدی که درایو را متصل می‌کند نخست ورود VPN را امتحان می‌کند، چون همان اعتبارنامه‌ای است که با آن به شبکه رسیده است.