Hvers vegna Samba hafnar VPN-biðlausum sem ná til þjónsins

VPN-biðlaus pingar skráarþjóninn, leysir úr nafni hans og getur samt ekki opnað deilingu. Hýsilregla Samba er ein af fjórum lögum sem geta hafnað þeirri tengingu, og það er lagið sem fólk breytir síðast. Leyfislistinn er metinn á móti upprunafanginu sem smbd fær í raun, og það er kannski ekki fangið sem biðlausinn heldur að hann hafi. Að finna þann uppruna rétt breytir óljósum heimildavanda í stillingarbreytingu á einni línu.

Fjögur lög sem mistakast með sama skilaboðum

Höfnun getur komið frá leiðinni, eldvegg hýsilsins, hýsilreglu Samba eða SMB-auðkenninu. Hvert lag býr til skilaboð til biðlausins sem segja um það bil það sama, þess vegna kostar gisk heilan eftirmiðdag. Að raða athugununum frá netinu og inn á við fjarlægir mest af giskinu.

Byrjaðu á flutningnum. Ef gátt 445 nær aldrei til þjónsins skiptir engin Samba-stilling máli, og grípun á viðmóti þjónsins leysir það á sekúndum. Næst kemur eldveggur hýsilsins á þjóninum sjálfum, sem getur hent leyfðum uppruna áður en smbd sér hann. Aðeins eftir að þessi tvö fara gegnum verður leyfislistinn kandídat. Auðkenning kemur síðust, því misheppnuð innskráning og höfnun hýsils líta öðruvísi út í þjónskránni, jafnvel þegar biðlausinn tilkynnir hvort tveggja sem synjaðan aðgang. Röðin skiptir meira máli en verkfærin, því hvert lag hefur skipun sem svarar því.

Finndu upprunafangið sem smbd sér í raun

Með beinumleiðis aðgangi sér þjónninn venjulega fang biðlausins úr VPN-lauginni. Með upprunatúlkun á gáttinni sér hann þess í stað LAN-fang gáttarinnar, og hver biðlaus bak við þá gátt verður óaðgreinanlegur.

Sá munur ræður því hvort færsla á leyfislistanum er stefna eða gat. Að leyfa þýtt gáttarfang hleypir inn öllum sem eru bak við hana, sem regla fyrir hvern biðlaus vildi sjaldan tjá. Lestu upprunann á þjóninum en ekki í hugmynd biðlausins um eigið fang. Grípun á viðmóti þjónsins er ódýrasta leiðin til að sjá hann, og sama grípunin sannar hvort pakkinn kom yfirhöfuð. Takmarkaðu grípunina með pakkafjölda og bættu við hýsilsíu þegar þú veist hvaða biðlaus þú fylgir. Lotutafla Samba er hinn helmingur svarsins: í smbstatus -b eru biðlaussúla hverrar loturðar jafninginn sem smbd skráði, og það er fljótasta staðfestingin á fanginu sem náði í raun til þjónustunnar.

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

Lestu leyfislistann eins og Samba les hann

Stillingin hosts allow tekur lista af föngum, netum eða nöfnum, og hún getur staðið almennt eða inni í deilingu. Tvær færslur sem þér virðast jafngildar eru kannski ekki jafngildar þáttaranum, þess vegna er það virka stillingin sem þarf að skoða. Það þýðir sameinaða sýn en ekki skrána sem þú breyttir fyrir tilviljun.

Dæmigerð forliðapör líta út eins og línan hér fyrir neðan, og það er dæmi en ekki staðgengill fyrir færslurnar sem þegar eru til. Haltu stjórnunar- og forritabiðlausunum sem tengjast lögmætlega í dag, og lestu allan bannlista í sama skrefi. Hvort hýsill er samþykktur fer eftir stefnunni í heild, svo prófaðu nákvæma biðlausinn í stað þess að rökræða um forgang. Hýsilheimild segir líka ekkert um deilingarheimildir eða skráarkerfisstillingar, sem eru aðskilin hlið. Árangur prófunarverkfæranna þýðir að hýsilreglan samþykkir þann uppruna, og ekkert meira.

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

Breyttu skránni sem lifir endurræsingu

Á venjulegum Linux-hýsli er stillingarslóðin föst og þjónustan les hana aftur við endurræsingu. Á beini eða tæki er keyrandi smb.conf oft búinn til við ræsingu, og handbreyting hverfur við næstu endurræsingu. Notaðu studda sérstillingaraðferð tækisins, sem er venjulega eigin stillingarskrá.

Freistingin á þessum punkti er að fletta upp öðrum vélbúnaðarhugbúnaði því ein þráður sagði að það virkaði. Það er stór breyting fyrir litla stefnuvandamál, og það færir tækið út úr studdu ástandi sínu. Greindu fyrst studda stjórnunina, því flest tæki sýna leyfislistann í gegnum eigið viðmót. Ef þau gera það sannarlega ekki er sú takmörkun rök fyrir öðrum vélbúnaði en ekki óstuddri byggingu.

Skráðu hvaða skrá þú breyttir og hvað býr hana til aftur, svo næsta manneskja endurtaki ekki greininguna.

Prófaðu einn leyfðan og einn útilokaðan biðlaus

Prófaðu bæði útkomin, ekki bara það sem þú vildir. Leyfður biðlaus sem tengist sannar að breytingin virki; útilokaður biðlaus sem er enn hafnaður sannar að reglan hafi ekki einfaldlega opnað allt.

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

Þegar tengingin nær aldrei til smbd liggur svarið í leiðun eða í eldvegg þjónsins. Ef hýsillinn er leyfður og innskráning mistekst er auðkennið vandamálið og að víkka leyfislistann aftur mun ekki hjálpa. Haltu greiningarúttakinu þínu, því ítarleg Samba-skrá getur afhjúpað deilingarslóðir og reikningsnöfn. Breyttu einu lagi í hvert skipti, annars segir næsta niðurstaða þér ekkert.