VPN-tiedostojakamisen yhdistäminen Samba-tilillä, jonka palvelin tuntee

Yhdistä tunneli, ja jako kysyy edelleen salasanaa, jota käyttäjä pitää oikeana. Erillisessä Samba-asennuksessa VPN-kirjautuminen ja SMB-kirjautuminen ovat toisistaan riippumattomia tunnistetietoja: toinen valtuuttaa tunnelin, toisen tarkistaa tiedostopalvelin. Siksi aseman yhdistäminen VPN-tilillä epäonnistuu, vaikka salasana olisi oikea ja verkkopolku täydellinen. Tämä ero selittää useimmat VPN:n kautta tapahtuvat yhdistämisvirheet.

Ratkaisu ei ole VPN-tilin nollaaminen. Ratkaisu on nimetä identiteetti, jonka Samba-palvelin todella tuntee, ja tarkistaa sitten, että samalla identiteetillä on oikeudet jakoon ja hakemistoon.

VPN-kirjautuminen ja SMB-kirjautuminen ovat eri identiteettejä

VPN-tilin arvioi VPN-yhdyskäytävä oman käytäntönsä mukaisesti. Se vastaa, saako tämä asiakas tulla yksityisverkkoon. Se ei kerro mitään siitä, mikä SMB-tili on tiedostopalvelimella siinä verkossa.

Samba-tili elää palvelimen todennuksen taustalla omalla salasanatietokannallaan ja omalla nimellään. Kahdella koneella voi molemmilla olla käyttäjä nimeltä alice jakamatta identiteettijärjestelmää, salasanaa tai käyttäjätunnusta. Nimet täsmäävät; tilit eivät.

Toimialueeseen integroitu Samba-palvelin muuttaa kuvan: identiteetti tulee hakemistosta ja Kerberoksesta, ei paikallisesta tililuettelosta. Käytä siinä tapauksessa hakemiston identiteettiä ja tuettua SMB-määritystä sen sijaan, että loisit paikallisia kopioita toimialueen jäsenyyttä jäljitelläksesi. Tarkista, mitä mallia palvelin käyttää, ennen kuin luot mitään tiliä.

Katso, mitä identiteettiä Windows todella käyttää

Windows välimuistittaa yhteydet palvelimittain. Jos olemassa oleva istunto samaan palvelimeen avattiin toisella tilillä, uusi yhdistäminen voi käyttää istuntoa uudelleen tai epäonnistua todennusvirheeseen, joka nimeää väärän käyttäjän. Näin oikea salasana näyttää väärältä. Tarkastele nykyisiä yhteyksiä ennen tunnistetietojen vaihtamista.

net use
cmdkey /list
klist

Ensimmäinen komento näyttää yhdistetyt asemat ja avoimet istunnot, toinen näyttää tallennetut tunnistetiedot, joita voidaan soveltaa automaattisesti, ja kolmas näyttää Kerberos-lipukkeet, kun toimialuetta käytetään. Tallennettu tunnistetieto voi hiljaa ohittaa tilin, jonka aioit kirjoittaa.

Poista vain se yhteys tai tunnistetieto, joka kuuluu tähän ongelmaan. Kaikkien asemien irrottaminen tai palvelimen nimen korvaaminen IP-osoitteella piilottaa identiteetin valinnan ja voi rikkoa allekirjoituksen tai nimiin perustuvan käytännön.

Yhdistä jako tilillä, jonka palvelin tunnistaa

Anna tili siinä muodossa, jota palvelin odottaa, ja anna Windowsin kysyä salasana, jotta salaisuus ei päädy komentohistoriaan tai skriptiin:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Palvelinosa ennen kenoviivaa on Samba-palvelimen identiteettikonteksti, ei VPN-yhdyskäytävä. Tähti pyytää vuorovaikutteista salasanakehotetta, ja /persistent:no pitää yhdistämisen poissa seuraavasta kirjautumisesta. Valitse vapaa asemakirjain.

Jos palvelin on integroitu toimialueeseen, käyttäjäosa voi olla sen sijaan hakemiston nimi tai toimialueella kvalifioitu identiteetti. Käytä muotoa, jonka ylläpitäjä dokumentoi; samannimisen paikallisen tilin keksiminen luo toisen identiteetin ja toisen salasanan ylläpidettäväksi.

Tilin voimassaolo, pääsy jakoon ja tiedostojärjestelmän oikeudet ovat kolme tarkistusta

Samba tarkistaa, todennetaanko identiteetti, hyväksyykö jaon määritelmä sen ja myöntääkö tiedostojärjestelmä pyydetyn toiminnon. Ensimmäisen tarkistuksen läpäisy ei tarkoita kahden muun läpäisyä. Jako voi olla näkyvissä ja silti kieltää kirjoitukset, koska hakemiston käyttöoikeudet sanovat niin.

Komennolla valid users rajoitettu jako hyväksyy vain luetellut tilit tai ryhmät. Tili voi todennua oikein ja silti tulla hylätyksi tällä rivillä. Tarkista jaon määritelmä ennen kuin päättelet salasanan olevan väärä.

Tiedostojärjestelmän puolella sekä Samba-prosessilla että yhdistetyllä identiteetillä on merkitystä. Rootin omistama hakemisto tilassa 700 ei hyväksy kirjoituksia tavalliselta tililtä, vaikka jaon määritelmä sen sallisi. Testaa lukemalla ja sitten kirjoittamalla hakemistossa, jota tilin pitäisi käyttää.

Selvitä ristiriitainen istunto käytäntöä rikkomatta

Kun syynä on vanhentunut istunto, sulje se yksi yhteys ja yhdistä uudelleen aiottua tiliä käyttäen. Jos tallennettu tunnistetieto palaa jatkuvasti, poista se tunnistetieto koko asemaluettelon sijaan. Vahvista sitten uusi istunto komennolla net use.

Säilytä vaadittu SMB-allekirjoitus, salaus ja tilikäytäntö. Palvelin, joka hylkää allekirjoittamattoman tai salaamattoman istunnon, valvoo käytäntöä, ei lue salasanaa väärin, ja sen heikentäminen yhdistämisen onnistumiseksi vaihtaa turvallisuuden oireeseen.

Kirjaa palvelimen nimi, tilin tarkka muoto sekä jaon ja hakemiston oikeudet, jotka toimivat. Muuten seuraava aseman yhdistäjä yrittää ensin VPN-kirjautumista, koska ne ovat tunnistetiedot, joilla hän pääsi verkkoon.