Memetakan berbagi file VPN dengan akun Samba yang dikenal server

Sambungkan terowongan dan berbagi masih meminta kata sandi yang dianggap benar oleh pengguna. Dalam penyebaran Samba mandiri, login VPN dan login SMB adalah kredensial yang tidak berhubungan: satu mengotorisasi terowongan, yang lain diperiksa server file. Karena itu memetakan drive dengan akun VPN gagal bahkan ketika kata sandi benar dan jalur jaringan sempurna. Perbedaan inilah yang menjelaskan sebagian besar kegagalan pemetaan melalui VPN.

Solusinya bukan mengatur ulang akun VPN. Solusinya adalah menyebut identitas yang benar-benar dikenal server Samba, lalu memeriksa bahwa identitas yang sama memiliki hak pada berbagi dan direktori.

Login VPN dan login SMB adalah identitas yang berbeda

Akun VPN dievaluasi oleh gateway VPN menurut kebijakannya sendiri. Gateway menjawab apakah klien ini boleh masuk ke jaringan privat. Gateway tidak mengatakan apa pun tentang akun SMB mana yang ada di server file dalam jaringan itu.

Akun Samba hidup di backend autentikasi server, dengan basis data kata sandi dan namanya sendiri. Dua mesin dapat sama-sama memiliki pengguna bernama alice tanpa berbagi sistem identitas, kata sandi, atau pengenal pengguna. Namanya sama; akunnya tidak.

Server Samba yang terintegrasi domain mengubah gambaran: identitas berasal dari direktori dan Kerberos, bukan dari daftar akun lokal. Dalam kasus itu gunakan identitas direktori dan konfigurasi SMB yang didukung alih-alih membuat duplikat lokal untuk meniru keanggotaan domain. Periksa model mana yang dipakai server sebelum membuat akun apa pun.

Lihat identitas mana yang sebenarnya dipakai Windows

Windows menyimpan koneksi dalam cache per server. Jika sesi yang ada ke server yang sama dibuka dengan akun lain, pemetaan baru dapat memakai ulang sesi itu atau gagal dengan kesalahan autentikasi yang menyebut pengguna yang salah. Begitulah kata sandi yang benar tampak salah. Periksa koneksi saat ini sebelum mengubah kredensial.

net use
cmdkey /list
klist

Perintah pertama menampilkan drive yang dipetakan dan sesi terbuka, perintah kedua menampilkan kredensial tersimpan yang mungkin diterapkan otomatis, dan perintah ketiga menampilkan tiket Kerberos saat domain digunakan. Kredensial tersimpan dapat diam-diam menimpa akun yang ingin Anda ketik.

Hapus hanya koneksi atau kredensial yang termasuk masalah ini. Memutus semua drive atau mengganti nama server dengan alamat IP menyembunyikan pilihan identitas dan dapat merusak penandatanganan atau kebijakan berbasis nama.

Petakan berbagi dengan akun yang dikenali server

Berikan akun dalam bentuk yang diharapkan server dan biarkan Windows meminta kata sandinya, agar rahasia tidak masuk ke riwayat perintah atau skrip:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Bagian server sebelum garis miring terbalik adalah konteks identitas server Samba, bukan gateway VPN. Tanda bintang meminta prompt kata sandi interaktif, dan /persistent:no menjaga pemetaan di luar login berikutnya. Pilih huruf drive yang kosong.

Jika server terintegrasi domain, bagian pengguna mungkin berupa nama direktori atau identitas berkualifikasi domain. Gunakan bentuk yang didokumentasikan administrator; mengarang akun lokal dengan nama yang sama menciptakan identitas kedua dan kata sandi kedua untuk dipelihara.

Validitas akun, akses berbagi, dan hak sistem file adalah tiga pemeriksaan

Samba memeriksa apakah identitas terautentikasi, apakah definisi berbagi menerimanya, dan apakah sistem file memberikan operasi yang diminta. Lulus pemeriksaan pertama tidak berarti dua lainnya lulus. Berbagi dapat terlihat dan tetap menolak penulisan karena izin direktorinya begitu.

Berbagi yang dibatasi dengan valid users hanya menerima akun atau grup yang terdaftar. Akun dapat terautentikasi dengan benar dan tetap ditolak oleh baris itu. Periksa definisi berbagi sebelum menyimpulkan kata sandinya salah.

Di sisi sistem file, proses Samba dan identitas yang dipetakan sama-sama penting. Direktori milik root dengan mode 700 tidak akan menerima penulisan dari akun biasa meskipun definisi berbagi mengizinkannya. Uji dengan membaca, lalu menulis, di direktori yang seharusnya dipakai akun.

Bersihkan sesi yang bertentangan tanpa merusak kebijakan

Ketika penyebabnya sesi basi, tutup satu koneksi itu dan petakan lagi dengan akun yang dimaksud. Jika kredensial tersimpan terus kembali, hapus kredensial itu alih-alih seluruh daftar drive. Lalu konfirmasi sesi baru dengan net use.

Pertahankan penandatanganan SMB, enkripsi, dan kebijakan akun yang diwajibkan. Server yang menolak sesi tanpa tanda tangan atau tanpa enkripsi sedang menegakkan kebijakan, bukan salah membaca kata sandi, dan melemahkannya agar pemetaan berhasil menukar keamanan dengan gejala.

Catat nama server, bentuk akun yang tepat, dan hak berbagi serta direktori yang berhasil. Jika tidak, orang berikutnya yang memetakan drive akan mencoba login VPN lebih dulu, karena itulah kredensial yang dipakainya untuk mencapai jaringan.