VPN ֆայլային համօգտագործման միացումը Samba հաշվով, որը սերվերը գիտի

Միացրե՛ք թունելը, և համօգտագործումը դեռ պահանջում է գաղտնաբառ, որը օգտատերը ճիշտ է համարում։ Անկախ Samba տեղակայմամբ VPN մուտքը և SMB մուտքը անկապ հավատարմագրեր են՝ մեկը լիազորում է թունելը, մյուսը ստուգում է ֆայլերի սերվերը։ Այդ պատճառով սկավառակը VPN հաշվով միացնելը ձախողվում է նույնիսկ այն ժամանակ, երբ գաղտնաբառը ճիշտ է, և ցանցային ուղին կատարյալ։ Այս տարբերությունը բացատրում է VPN-ի միջոցով միացման ձախողումների մեծ մասը։

Լուծումը VPN հաշվի վերականգնումը չէ։ Այն ինքնություն անվանելն է, որը Samba սերվերը իսկապես գիտի, և ապա ստուգելը, որ նույն ինքությունն ունի իրավունքներ համօգտագործման և պանակի վրա։

VPN մուտքը և SMB մուտքը տարբեր ինքնություններ են

VPN հաշիվը գնահատում է VPN մուտքի կետը՝ ըստ իր քաղաքականության։ Այն պատասխանում է՝ կարո՞ղ է այս հաճախորդը մտնել մասնավոր ցանց։ Այն ոչինչ չի ասում, թե որ SMB հաշիվը գոյություն ունի այդ ցանցի ներսում գտնվող ֆայլերի սերվերում։

Samba հաշիվը ապրում է սերվերի նույնականացման հետևում՝ իր գաղտնաբառերի շտեմարանով և իր անունով։ Երկու մեքենա կարող են ունենալ alice անունով օգտատեր՝ չկիսելով ինքնության համակարգ, գաղտնաբառ կամ օգտատիրոջ նույնացուցիչ։ Անունները համընկնում են, հաշիվները՝ ոչ։

Տիրույթում ինտեգրված Samba սերվերը փոխում է պատկերը՝ ինքնությունը գալիս է գրացուցակից և Kerberos-ից, ոչ թե տեղական հաշիվների ցանկից։ Այդ դեպքում օգտագործե՛ք գրացուցակի ինքնությունը և աջակցվող SMB կազմաձևը՝ փոխարենը տեղական կրկնօրինակներ ստեղծելու՝ տիրույթի անդամակցությունը ընդօրինակելու համար։ Ստուգե՛ք, թե որ մոդելն է օգտագործում սերվերը, նախքան որևէ հաշիվ ստեղծելը։

Տեսե՛ք, թե Windows-ն իրականում որ ինքությունն է օգտագործում

Windows-ը պահում է միացումները սերվերի համար քեշում։ Եթե նույն սերվերին գոյություն ունեցող սեսիան բացվել է այլ հաշվով, նոր միացումը կարող է վերօգտագործել այդ սեսիան կամ ձախողվել նույնականացման սխալով, որը նշում է սխալ օգտատիրոջը։ Այդպես ճիշտ գաղտնաբառը սխալ է թվում։ Ստուգե՛ք ընթացիկ միացումները նախքան հավատարմագրերը փոխելը։

net use
cmdkey /list
klist

Առաջին հրամանը ցույց է տալիս միացված սկավառակները և բաց սեսիաները, երկրորդը՝ պահված հավատարմագրերը, որոնք կարող են կիրառվել ավտոմատ, իսկ երրորդը՝ Kerberos տոմսերը, երբ օգտագործվում է տիրույթ։ Պահված հավատարմագիրը կարող է լուռ վերափոխել այն հաշիվը, որը մտադիր էիք մուտքագրել։

Հեռացրե՛ք միայն այս խնդրին պատկանող միացումը կամ հավատարմագիրը։ Բոլոր սկավառակների անջատումը կամ սերվերի անունը IP հասցեով փոխարինելը թաքցնում է ինքնության ընտրությունը և կարող է կոտրել ստորագրումը կամ անունների վրա հիմնված քաղաքականությունը։

Միացրե՛ք համօգտագործումը սերվերի կողմից ճանաչված հաշվով

Նշե՛ք հաշիվը այն ձևով, որը սերվերը սպասում է, և թողե՛ք Windows-ին գաղտնաբառը հարցնել, որպեսզի գաղտնիքը չհայտնվի հրամանների պատմության կամ սկրիպտի մեջ։

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Շեղ գծից առաջ սերվերի մասը Samba սերվերի ինքնության համատեքստն է, ոչ VPN մուտքի կետը։ Աստղանիշը պահանջում է ինտերակտիվ գաղտնաբառի հարցում, և /persistent:no-ը միացումը պահում է հաջորդ մուտքից դուրս։ Ընտրե՛ք ազատ սկավառակի տառ։

Եթե սերվերը ինտեգրված է տիրույթում, օգտատիրոջ մասը կարող է լինել գրացուցակի անուն կամ տիրույթով որակավորված ինքնություն, օգտագործե՛ք այն ձևը, որը փաստաթղթավորում է ադմինիստրատորը։ Տեղական հաշիվ հորինելը նույն անունով ստեղծում է երկրորդ ինքնություն և պահպանման կարիք ունեցող երկրորդ գաղտնաբառ։

Հաշվի վավերականությունը, համօգտագործման հասանելիությունը և ֆայլային համակարգի իրավունքները երեք ստուգումներ են

Samba-ն ստուգում է՝ արդյոք ինքնությունը նույնականանում է, արդյոք համօգտագործման սահմանումը թույլ է տալիս այն, և արդյոք ֆայլային համակարգը տրամադրում է պահանջված գործողությունը։ Առաջին ստուգումն անցնելը չի նշանակում, որ մյուս երկուսն էլ կանցնեն։ Համօգտագործումը կարող է տեսանելի լինել և այնուամենայնիվ մերժել գրառումները, որովհետև պանակի թույլտվություններն այդպես են ասում։

valid users-ով սահմանափակված համօգտագործումը թույլ է տալիս միայն նշված հաշիվներին կամ խմբերին։ Հաշիվը կարող է ճիշտ նույնականանալ և այնուամենայնիվ մերժվել այդ տողով։ Ստուգե՛ք համօգտագործման սահմանումը նախքան եզրակացնելը, որ գաղտնաբառը սխալ է։

Ֆայլային համակարգի կողմում կարևոր են և՛ Samba գործընթացը, և՛ միացված ինքնությունը։ root-ին պատկանող 700 ռեժիմով պանակը չի ընդունի գրառումներ սովորական հաշվից, նույնիսկ երբ համօգտագործման սահմանումը դա թույլ է տալիս։ Փորձե՛ք ընթերցմամբ, ապա գրառմամբ այն պանակում, որը հաշիվը պետք է օգտագործի։

Մաքրե՛ք կոնֆլիկտային սեսիան՝ չխախտելով քաղաքականությունը

Երբ պատճառը հնացած սեսիան է, փակե՛ք այդ մեկ միացումը և նորից միացրե՛ք նախատեսված հաշվով։ Եթե պահված հավատարմագիրը շարունակ վերադառնում է, հեռացրե՛ք այդ հավատարմագիրը, ոչ թե ամբողջ սկավառակների ցանկը։ Ապա հաստատե՛ք նոր սեսիան net use-ով։

Պահպանե՛ք պահանջվող SMB ստորագրումը, գաղտնագրումը և հաշիվների քաղաքականությունը։ Սերվերը, որը մերժում է չստորագրված կամ չգաղտնագրված սեսիան, կիրառում է քաղաքականություն, ոչ թե սխալ է կարդում գաղտնաբառը, և այն թուլացնելը՝ միացումը հաջողացնելու համար, անվտանգությունը փոխանակում է ախտանիշի հետ։

Գրանցե՛ք սերվերի անունը, հաշվի ճշգրիտ ձևը և համօգտագործման ու պանակի այն իրավունքները, որոնք աշխատել են։ Հակառակ դեպքում սկավառակը միացնող հաջորդ մարդը նախ կփորձի VPN մուտքը, որովհետև դա է այն հավատարմագիրը, որով նա հասել է ցանց։