Takmarka Samba-deilingu við einn notanda og eitt VPN-vistfang

valid users og hosts allow í Samba para ekki manneskju við vistfang: tvö deilingarnöfn geta lýst parinu, og prófanir með krosspörum sanna það.

Í þessari hönnun blandast tvær ólíkar heimildir: hver má nota möppu og hvaða vistföng mega tengjast yfirhöfuð. Að skrifa reikningslista við hlið upplistunnar virðist vera pörun, en Samba metur listana tvo sem óháðar forsendur. Allir sem uppfylla bæði eru samþykktir, og það er víðtækari regla en flestir kerfisstjórar ætla sér. Lagfæringin er annað deilingarsnið eða stefnulag sem getur lýst parinu.

Goðsögnin: tveir listar gera eina reglu

smb.conf-tilvísunin skilgreinir valid users og hosts allow sem tvo ótengda færibreytu, og það er að setja báða á eina deilingu þar sem ruglingurinn hefst. Stilltu valid users = mira, tomas og hosts allow = 10.77.0.21, 10.77.0.22 og fjórar samsetningar eru samþykktar: Mira frá hvorugu vistfanginu sem er, Tomas frá hvorugu vistfanginu sem er. Ekkert í stillingunni tengir fyrsta nafnið við fyrsta vistfangið, og röðin sem nöfnin birtast í hefur enga merkingu. Að endurraða þeim, bæta við annarri hosts allow línu eða setja eitt nafn á hverja línu breytir engu. Niðurstaðan er margfeldi tveggja lista, ekki vörpun milli þeirra.

Það sem flestir vilja í raun er þrengra: Mira aðeins frá einu vistfangi, Tomas aðeins frá öðru. Ein deilingskilgreining hefur enga setningafræði fyrir þá bindingu, og engin sniðug röðun skapar hana. Það er stefnuform sem Samba tjáir ekki innan einnar deilingar, og þar lifir goðsögnin áfram.

Hvað Samba metur og í hvaða röð

Þrepin keyra í fastri röð, og röng röð gefur ranga greiningu. Biðlari opnar tengingu; altæk hýsilsprófun keyrir ef ein er stillt; setustilling auðkennir reikninginn; þá tengist biðlarinn deilingu, þar sem hýsilisti hennar sjálfrar, valid users og stillingin aðeins lesa eru látin gilda; og aðeins þegar skrá er opnuð ráða skráarkerfisheimildir hins auðkennda auðkennis. Hvert þrep getur hafnað beiðninni eitt sér, og að komast í gegnum eitt segir ekkert um það næsta. Mikilvæga afleiðingin er að reikningurinn er þegar þekktur þegar hýsilisti deilingarinnar er metinn, og hýsilistinn hefur enn enga leið til að nefna þann reikning.

Þess vegna getur deiling ekki bundið einn notanda við eitt vistfang: hosts allow og valid users eru aðskildar forsendur sem gilda á sama trés-tengingarþrepi, og hver svarar sinni spurningu. Hýsilforsendan tekur aldrei reikningsnafnið sem inntak, svo ekki er hægt að skrifa hana fyrir hvern notanda. Aðeins önnur deiling, eða stefnulag utan Sambu, getur lýst parinu.

Altæk gildi skipta máli vegna arfleifðarinnar. Deiling sem sleppir hosts allow erfir altæka gildið, og deiling sem stillir sitt eigið notar það gildi í stað hins altæka, ekki til viðbótar. Þannig víkkar breið altæk list deilingarnar sem stilla aldrei færibreytuna og gerir ekkert fyrir deilingu sem skilgreinir sitt eigið. Keyrðu testparm -s og lestu gildin fyrir hverja deilingu sem það prentar, því það úttak er virka stefnan og skráin á disknum ekki.

Að þrengja eina deilingu gerir heldur ekkert fyrir restina af þjóninum. Aðrar deilingar, prentararaðir og IPC-tengingin halda sínum eigin reglum, svo hönnun sem byggir á vistfangalista einnar deilingar verndar eina leið en ekki hýsilinn.

Tvö deilingarnöfn yfir einni möppu

Þegar sama mappa verður að vera aðgengileg tveimur einstaklingum frá tveimur vistföngum, birtu hana tvisvar undir mismunandi nöfnum. Hver blokk ber einn reikning og eina uppsprettu, sem gerir parið að einhverju sem stillingin getur framfylgt. Kostnaðurinn er að hver einstaklingur notar annað deilingarnafn til að ná sömu skrám, og það verður að vera viljandi breyting á biðlarahlið.

[shared-mira]
    path = /srv/shared
    guest ok = no
    read only = yes
    valid users = mira
    hosts allow = 10.77.0.21
    hosts deny = ALL

[shared-tomas]
    path = /srv/shared
    guest ok = no
    read only = yes
    valid users = tomas
    hosts allow = 10.77.0.22
    hosts deny = ALL

Deilingarhlið er ekki skráarkerfisheimild. Bæði auðkennin þurfa enn aðgang að möppunni gegnum undirliggjandi ACL, og stillingin aðeins lesa er annað lag en ekki það eina. Veittu skrifaðgang aðeins ef vinnuflæðið krefst þess, og athugaðu svo að skrár sem eitt auðkenni býr til haldist nothæfar fyrir hitt.

Báðar blokkir vísa á eina leið, svo breyting í möppunni hefur áhrif á báðar deilingar. Það er venjulega tilgangurinn, en það þýðir líka að heimildarmistak er sýnileg báðum notendum á sama tíma.

Hvað uppsprettuvistfangið getur sannað

Vistfangið sem Samba sér er vistfangið sem náði þjóninum, ekki vistfangið sem biðlarinn heldur að hann hafi. VPN-gátt sem þýðir hvern biðlara á eitt uppsprettuvistfang eyðir muninum: allir biðlarar koma sem sami hýsill og uppsprettulistinn getur ekki lengur greint þá. Stöðug úthlutun fyrir hvern biðlara og gátt sem varðveitir uppsprettuna eru forsenda þess að nota vistföng sem stefnu yfirhöfuð. Án beggja mælir takmörkunin gáttina en ekki notandann.

Jafnvel þá er vistfang ekki tæki. Tveir fartölvur bak við eitt gönguvistfang, endurúthlutað leigubréf og sameiginleg vinnustöð hrekja öll þá forsendu að uppspretta auðkenni manneskju. Meðhöndlaðu takmörkunina sem netumfang og haltu auðkenndum SMB-reikningum sem auðkennislaginu, með tækjaskírteini eins og vottorði ef þú þarft tækjavaðild.

Þess vegna hliðar hönnunin deilingar en ekki þjóninn. Hafnað par getur samt opnað setu, náð annarri deilingu eða listað þjóninn, sem er önnur niðurstaða en auðkenningarbilun við tengingu. Ef krafan er höfnun fyrir auðkenningu eru deilingarviðföng Samba rangt tól.

Sannaðu það með krosspörum

Staðfestu stillinguna og prófaðu svo fjórar samsetningar með nýjum tengingum en ekki endurnýttri setu. Ætlaða parið á að ná möppunni, og bæði krosspörin eiga að mistakast. Skyndiminnið seta frá fyrra prófi svarar fúslega fyrir röngu samsetninguna og lætur brotna reglu líta rétta út.

testparm -s
smbclient //fileserver/shared-mira -U mira -c 'ls'
smbclient //fileserver/shared-tomas -U tomas -c 'ls'
smbstatus --shares

Setningafræðipróf sannar aðeins að skráin þáttist. Auðkenni, ACL og hýsilsákvörðunin eru prófuð með raunverulegri tengingu, svo keyrðu biðlaraskipunina frá vistfanginu sem þú vilt prófa og fylgstu með hvaða þrep hafnar henni. Ef krosspar gengur er virki hýsilistinn víðtækari en blokkin gefur til kynna, og testparm -s er fyrsta sem skal lesa. Ef krosspar mistekst af rangri ástæðu eru reikningurinn eða ACL grunsamleg.

Að fylgjast með setum með smbstatus og drepa þær er viðbragð eftir að aðgangur hefst, ekki aðgangsstýring. Að loka öllu séðu vistfangi getur líka aftengt ótengda notendur bak við sama NAT, og þess vegna tilheyrir ákvörðunin deilingskilgreiningunni og eftirlitið viðbragðsferlinu. Haltu þessu tvennu aðskildu og hönnunin helst heiðarleg um það sem hún framfylgir.

Tengdir greinar