Wêrom Samba VPN-klanten wegeret dy’t de tsjinner berikke kinne

In VPN-klant pinget de bestânsstsjinner, lost syn namme op en kin dochs gjin dieling iepenje. It hostbelied fan Samba is ien fan fjouwer lagen dy’t dy ferbining wegerje kinne, en it is de laach dy’t minsken as lêste bewurkje. De talittingslist wurdt beoardiele tsjin it boarneadres dat smbd eins ûntfangt, en dat is miskien net it adres dat de klant tinkt dat er hat. As jo dy boarne goed krije, wurdt in ûndúdlik tagongsprobleem in konfiguraasjefoarring fan ien regel.

Fjouwer lagen dy’t mislearje mei deselde melding

In wegering kin komme fan de rûte, de hostfirewall, it hostbelied fan Samba of de SMB-identiteit. Eltse laach jout de klant in melding dy’t sawat itselde seit, dêrom kostet rieden in middei. It oarderen fan de kontrôles fan it netwurk nei binnen ta hellet it measte fan it rieden fuort.

Begjin mei it ferfier. As poarte 445 de tsjinner nea berikt, makket gjin inkelde Samba-ynstelling wat út, en in opname op de tsjinnerinterface besljochtet it yn sekonden. Dêrnei komt de hostfirewall op de tsjinner sels, dy’t in talitten boarne fuortsmite kin foardat smbd dy ea sjocht. Pas nei’t dy beide slagje, wurdt de talittingslist in kandidaat. Autentikaasje komt as lêste, want in mislearre oanmelding en in hostwegering sjogge der oars út yn it tsjinnerlog, sels as de klant beide as tagong wegere rapportearret. De oarder is wichtiger as it ark, want eltse laach hat in opdracht dy’t der antwurd op jout.

Fyn it boarneadres dat smbd eins sjocht

By rûte tagong sjocht de tsjinner meastentiids it adres fan de klant út de VPN-pool. By boarneroersetting op de gateway sjocht er ynstee it LAN-adres fan de gateway, en eltse klant efter dy gateway wurdt net te ûnderskieden.

Dat ferskil beslút oft in ynskriuwing yn de talittingslist belied is of in gat. In oerset gatewayadres talitte lit elkenien efter dy gateway troch, wat in regel per klant selden útdrukke woe. Lês de boarne op de tsjinner en net út it byld fan de klant oer syn eigen adres. In opname op de tsjinnerinterface is de goedkeapste manier om dy te sjen, en deselde opname bewyst oft it pakket oait oankaam. Behein de opname mei in pakketoantal en foegje in hostfilter ta as jo witte hokker klant jo folgje. De Samba-sesjetabel is de oare helte fan it antwurd: yn smbstatus -b is de klantkolom fan elke sesjeregel de peer dy’t smbd registrearre, en dat is de fluchste befêstiging fan it adres dat de tsjinst eins berikte.

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

Lês de talittingslist sa’t Samba dy lêst

De ynstelling hosts allow nimt in list fan adressen, netwurken of nammen, en dy kin globaal of binnen in dieling stean. Twa ynskriuwingen dy’t jo gelyk lykje, binne miskien net gelyk foar de parser, dus de effektive konfiguraasje is wat ûndersocht wurde moat. Dat betsjut it gearfoege byld en net it bestân dat jo tafallich bewurke hawwe.

In yllustratyf pear foarheaksels sjocht der út as de rigel hjirûnder, en it is in foarbyld en gjin ferfanging fan de ynskriuwingen dy’t der al binne. Hâld de administraasje- en applikaasjeklanten dy’t hjoed legit belje, en lês elke blokkealist yn deselde pass. Oft in host talitten wurdt, hinget fan it belied as gehiel ôf, dus test it krekte klant ynstee fan oer foarrang te redenearjen. Hosttagong seit ek neat oer dielingstagonnen of bestânssysteemmodi, dy’t aparte doarren binne. Sukses fan it testark betsjut dat it hostbelied dy boarne talit, en neat mear.

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

Feroarje it bestân dat in werstart oerlibbet

Op in gewoane Linux-host is it konfiguraasjepaad fêst en de tsjinst lêst it by werstart opnij. Op in router of apparaat wurdt de rinnende smb.conf faak by de opstart generearre, en in hânmjittige bewurking ferdwynt by de folgjende werstart. Brûk it stipe oanpassingsmeganisme fan it apparaat, dat meastentiids in eigen konfiguraasjebestân is.

De ferlieding is op dit punt om alternative firmware te flashen omdat ien thread meldde dat it wurke. Dat is in grutte feroaring foar in lyts beliedsprobleem, en it set it apparaat bûten syn stipe steat. Identifisearje earst de stipe kontrôle, want de measte apparaten biede de talittingslist oan fia har eigen interface. As se dat echt net dogge, is dy beheining in argumint foar oare hardware en net foar in net-stipe build.

Skriuw op hokker bestân jo feroare hawwe en wat it opnij generearret, sadat de folgjende persoan de diagnoaze net werhellet.

Test ien talitten en ien útsletten klant

Test beide útkomsten, net allinnich dy’t jo woene. In talitten klant dy’t ferbynt bewist dat de feroaring wurket; in útsletten klant dy’t noch wegere wurdt bewist dat de regel net gewoan alles iepene hat.

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

As de ferbining smbd nea berikt, sit it antwurd yn it rûten of yn de tsjinnerfirewall. As de host talitten is en de oanmelding mislearret, is de identiteit it probleem en sil it ferbreedzjen fan de talittingslist net helpe. Hâld diagnostyske útfier privee, want in wiidweidich Samba-log kin dielingspaden en akkountnammen bleatstelle. Feroarje ien laach per poging, oars seit it folgjende resultaat jo neat.