VPN-fájlmegosztás csatlakoztatása a kiszolgáló által ismert Samba-fiókkal

Csatlakoztassa az alagutat, és a megosztás továbbra is olyan jelszót kér, amelyet a felhasználó helyesnek hisz. Önálló Samba-telepítésben a VPN-bejelentkezés és az SMB-bejelentkezés egymástól független hitelesítő adatok: az egyik az alagutat engedélyezi, a másikat a fájlkiszolgáló ellenőrzi. Ezért a meghajtó VPN-fiókkal való csatlakoztatása akkor is sikertelen, ha a jelszó helyes és a hálózati útvonal kifogástalan. Ez a különbség magyarázza a VPN-en keresztüli csatlakoztatási hibák többségét.

A megoldás nem a VPN-fiók visszaállítása. Hanem egy olyan identitás megnevezése, amelyet a Samba-kiszolgáló valóban ismer, majd annak ellenőrzése, hogy ugyanennek az identitásnak van-e joga a megosztáshoz és a könyvtárhoz.

A VPN-bejelentkezés és az SMB-bejelentkezés különböző identitások

A VPN-fiókot a VPN-átjáró a saját házirendje szerint értékeli. Arra válaszol, hogy ez az ügyfél beléphet-e a magánhálózatba. Semmit nem mond arról, hogy melyik SMB-fiók létezik a hálózaton belüli fájlkiszolgálón.

A Samba-fiók a kiszolgáló hitelesítési hátterében él, saját jelszóadatbázissal és saját névvel. Két gépnek is lehet alice nevű felhasználója anélkül, hogy identitásrendszert, jelszót vagy felhasználóazonosítót osztana meg. A nevek egyeznek; a fiókok nem.

A tartományba integrált Samba-kiszolgáló megváltoztatja a képet: az identitás a címtárból és a Kerberosból származik, nem helyi fióklistából. Ebben az esetben használja a címtár identitását és a támogatott SMB-konfigurációt ahelyett, hogy helyi másolatokat hozna létre a tartománytagság utánzására. Mielőtt bármilyen fiókot létrehoz, ellenőrizze, melyik modellt használja a kiszolgáló.

Nézze meg, melyik identitást használja a Windows valójában

A Windows kiszolgálónként gyorsítótárazza a kapcsolatokat. Ha egy meglévő munkamenetet ugyanahhoz a kiszolgálóhoz más fiókkal nyitottak meg, egy új csatlakoztatás újrahasználhatja ezt a munkamenetet, vagy olyan hitelesítési hibával hiúsulhat meg, amely a rossz felhasználót nevezi meg. Így tűnik egy helyes jelszó hibásnak. A hitelesítő adatok módosítása előtt vizsgálja meg az aktuális kapcsolatokat.

net use
cmdkey /list
klist

Az első parancs a csatlakoztatott meghajtókat és a nyitott munkameneteket mutatja, a második a tárolt hitelesítő adatokat, amelyek automatikusan alkalmazhatók, a harmadik pedig a Kerberos-jegyeket, ha tartományt használnak. Egy tárolt hitelesítő adat csendben felülírhatja a beírni szándékozott fiókot.

Csak a problémához tartozó kapcsolatot vagy hitelesítő adatot távolítsa el. Az összes meghajtó leválasztása vagy a kiszolgálónév IP-címre cserélése elrejti az identitásválasztást, és megtörheti az aláírást vagy a névalapú házirendeket.

Csatlakoztassa a megosztást a kiszolgáló által felismert fiókkal

Adja meg a fiókot a kiszolgáló által elvárt formában, és engedje, hogy a Windows bekérje a jelszót, hogy a titok ne kerüljön a parancselőzményekbe vagy egy szkriptbe:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

A fordított perjel előtti kiszolgálórész a Samba-kiszolgáló identitáskörnyezete, nem a VPN-átjáró. A csillag interaktív jelszókérést kér, a /persistent:no pedig távol tartja a csatlakoztatást a következő bejelentkezéstől. Válasszon egy szabad meghajtóbetűt.

Ha a kiszolgáló tartományba integrált, a felhasználói rész helyette lehet címtárnév vagy tartomány által minősített identitás. Használja az adminisztrátor által dokumentált formát; ha azonos nevű helyi fiókot talál ki, az második identitást és karbantartandó második jelszót hoz létre.

A fiók érvényessége, a megosztáshoz való hozzáférés és a fájlrendszer jogosultságai három ellenőrzés

A Samba ellenőrzi, hogy az identitás hitelesíthető-e, hogy a megosztásdefiníció beengedi-e, és hogy a fájlrendszer megadja-e a kért műveletet. Az első ellenőrzés átlépése nem jelenti a másik kettőét. Egy megosztás látható lehet, és mégis megtagadhatja az írást, mert a könyvtár jogosultságai ezt mondják.

A valid users használatával korlátozott megosztás csak a felsorolt fiókokat vagy csoportokat engedi be. A fiók helyesen hitelesíthető, és mégis elutasíthatja ezt a sor. Mielőtt arra jutna, hogy a jelszó hibás, ellenőrizze a megosztásdefiníciót.

A fájlrendszer oldalán a Samba-folyamat és a csatlakoztatott identitás egyaránt számít. A root tulajdonában lévő, 700-as módú könyvtár nem fogad el írást egy közönséges fióktól, akkor sem, ha a megosztásdefiníció engedi. Tesztelje olvasással, majd írással egy olyan könyvtárban, amelyet a fióknak használnia kell.

Tisztítson meg egy ütköző munkamenetet a házirend megsértése nélkül

Ha az ok egy elavult munkamenet, zárja be azt az egy kapcsolatot, és csatlakoztassa újra a szándékolt fiókkal. Ha egy tárolt hitelesítő adat folyton visszatér, távolítsa el azt az adatot a teljes meghajtólista helyett. Ezután erősítse meg az új munkamenetet a net use használatával.

Tartsa meg az előírt SMB-aláírást, a titkosítást és a fiókházirendet. Az a kiszolgáló, amely elutasítja az aláírás nélküli vagy titkosítatlan munkamenetet, házirendet érvényesít, nem a jelszót olvassa rosszul, és a házirend gyengítése a sikeres csatlakoztatás érdekében biztonságot cserél egy tünetre.

Jegyezze fel a kiszolgáló nevét, a fiók pontos formáját, valamint a működő megosztási és könyvtárjogosultságokat. Ellenkező esetben a következő ember, aki csatlakoztatja a meghajtót, először a VPN-bejelentkezést próbálja ki, mert ezekkel a hitelesítő adatokkal érte el a hálózatot.