Mapear unha unidade de ficheiros VPN coa conta Samba que o servidor coñece

Conecta o túnel e a compartición segue pedindo un contrasinal que o usuario cre correcto. Nunha instalación Samba independente, o inicio de sesión VPN e o de SMB son credenciais sen relación: un autoriza o túnel e o outro vérificao o servidor de ficheiros. Por iso, mapear a unidade coa conta VPN falla aínda que o contrasinal sexa correcto e a ruta de rede sexa perfecta. Esa distinción explica a maioría dos fallos de mapeamento a través dunha VPN.

A solución non é restablecer a conta VPN. É nomear unha identidade que o servidor Samba coñeza de verdade e despois comprobar que esa mesma identidade ten dereitos sobre a compartición e o directorio.

O inicio de sesión VPN e o de SMB son identidades distintas

Unha conta VPN é avaliada pola pasarela VPN segundo a súa propia política. Responde se este cliente pode entrar na rede privada. Non di nada sobre que conta SMB existe nun servidor de ficheiros dentro desa rede.

Unha conta Samba vive no backend de autenticación do servidor, coa súa propia base de datos de contrasinais e o seu propio nome. Dúas máquinas poden ter ambas un usuario chamado alice sen compartir un sistema de identidade, un contrasinal ou un identificador de usuario. Os nomes coinciden; as contas non.

Un servidor Samba integrado no dominio cambia o panorama: a identidade procede do directorio e de Kerberos, non dunha lista local de contas. Nese caso, usa a identidade do directorio e a configuración SMB admitida en lugar de crear duplicados locais para imitar a pertenza ao dominio. Comproba que modelo usa o servidor antes de crear calquera conta.

Comproba que identidade está a usar Windows realmente

Windows almacena na caché as conexións por servidor. Se unha sesión existente cara ao mesmo servidor se abriu con outra conta, un novo mapeamento pode reutilizar esa sesión ou fallar cun erro de autenticación que nomea o usuario incorrecto. Así é como un contrasinal correcto parece incorrecto. Inspecciona as conexións actuais antes de cambiar as credenciais.

net use
cmdkey /list
klist

O primeiro comando mostra as unidades mapeadas e as sesións abertas, o segundo mostra credenciais gardadas que poden aplicarse automaticamente, e o terceiro mostra tickets de Kerberos cando se usa un dominio. Unha credencial gardada pode substituír silenciosamente a conta que pretendías escribir.

Elimina só a conexión ou a credencial que pertence a este problema. Desconectar todas as unidades ou substituír o nome do servidor por un enderezo IP oculta a elección de identidade e pode romper a sinatura ou as políticas baseadas en nomes.

Mapea a compartición coa conta que recoñece o servidor

Indica a conta na forma que o servidor espera e deixa que Windows pida o contrasinal, para que o segredo non acabe no historial de comandos nin nun script:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

O compoñente de servidor antes da barra invertida é o contexto de identidade do servidor Samba, non a pasarela VPN. O asterisco solicita unha petición interactiva de contrasinal, e /persistent:no mantén o mapeamento fóra do seguinte inicio de sesión. Escolle unha letra de unidade libre.

Se o servidor está integrado no dominio, o compoñente de usuario pode ser, no canto diso, un nome de directorio ou unha identidade cualificada polo dominio. Usa a forma que documente o administrador; inventar unha conta local co mesmo nome crea unha segunda identidade e un segundo contrasinal que manter.

Validez da conta, acceso á compartición e dereitos do sistema de ficheiros son tres comprobacións

Samba comproba se a identidade se autentica, se a definición da compartición a admite, e se o sistema de ficheiros concede a operación solicitada. Superar a primeira comprobación non implica as outras dúas. Unha compartición pode ser visible e aínda así rexeitar escrituras porque os permisos do directorio din que non.

Unha compartición restrinxida con valid users só admite as contas ou os grupos enumerados. A conta pode autenticarse correctamente e aínda así ser rexeitada por esa liña. Comproba a definición da compartición antes de concluír que o contrasinal é incorrecto.

Do lado do sistema de ficheiros importan tanto o proceso Samba como a identidade mapeada. Un directorio propiedade de root con modo 700 non aceptará escrituras dunha conta común aínda que a definición da compartición o permita. Proba cunha lectura e despois cunha escritura nun directorio que a conta deba usar.

Limpa unha sesión en conflito sen romper a política

Cando a causa é unha sesión obsoleta, pecha esa única conexión e mapea de novo coa conta prevista. Se unha credencial gardada segue reaparecendo, elimina esa credencial en lugar da lista completa de unidades. Despois confirma a nova sesión con net use.

Mantén a sinatura SMB, o cifrado e a política de contas obrigatorios. Un servidor que rexeita unha sesión non asinada ou non cifrada está aplicando a política, non lendo mal o contrasinal, e debilitalo para que o mapeamento funcione troca seguridade por un síntoma.

Anota o nome do servidor, a forma exacta da conta e os dereitos de compartición e de directorio que funcionaron. Doutro xeito, a seguinte persoa que mapee a unidade tentará primeiro o inicio de sesión VPN, porque son as credenciais coas que chegou á rede.