VPN ფაილების გაზიარების დაკავშირება Samba ანგარიშით, რომელსაც სერვერი იცნობს

დააკავშირეთ გვირაბი და გაზიარება მაინც ითხოვს პაროლს, რომელსაც მომხმარებელი სწორად მიიჩნევს. დამოუკიდებელ Samba განლაგებაში VPN-ში შესვლა და SMB-ში შესვლა დაუკავშირებელი სერთიფიკატებია: ერთი ავტორიზებს გვირაბს, მეორეს ფაილების სერვერი ამოწმებს. ამიტომ დისკის VPN ანგარიშით დაკავშირება ვერ ხერხდება მაშინაც, როცა პაროლი სწორია და ქსელის გზა სრულყოფილი. ეს განსხვავება ხსნის VPN-ის მეშვეობით დაკავშირების წარუმატებლობების უმეტესობას.

გადაწყვეტა VPN ანგარიშის განულება არ არის. საჭიროა იდენტობის დასახელება, რომელსაც Samba სერვერი ნამდვილად იცნობს, და შემდეგ შემოწმება, რომ ამავე იდენტობას აქვს უფლებები გაზიარებასა და საქაღალდეზე.

VPN-ში შესვლა და SMB-ში შესვლა სხვადასხვა იდენტობაა

VPN ანგარიშს აფასებს VPN კარიბჭე საკუთარი პოლიტიკის მიხედვით. ის პასუხობს, შეიძლება თუ არა ამ კლიენტის შესვლა კერძო ქსელში. ის არაფერს ამბობს იმაზე, რომელი SMB ანგარიში არსებობს ამ ქსელის შიგნით ფაილების სერვერზე.

Samba ანგარიში ცხოვრობს სერვერის ავთენტიფიკაციის backend-ში, საკუთარი პაროლების ბაზითა და საკუთარი სახელით. ორ მანქანას შეიძლება ორივეს ჰყავდეს alice სახელის მომხმარებელი იდენტობის სისტემის, პაროლის ან მომხმარებლის იდენტიფიკატორის გაზიარების გარეშე. სახელები ემთხვევა; ანგარიშები არა.

დომენში ინტეგრირებული Samba სერვერი ცვლის სურათს: იდენტობა მოდის კატალოგიდან და Kerberos-იდან, არა ლოკალური ანგარიშების სიიდან. ამ შემთხვევაში გამოიყენეთ კატალოგის იდენტობა და მხარდაჭერილი SMB კონფიგურაცია, ნაცვლად ლოკალური დუბლიკატების შექმნისა დომენის წევრობის მიბაძვისთვის. სანამ რომელიმე ანგარიშს შექმნით, შეამოწმეთ, რომელ მოდელს იყენებს სერვერი.

ნახეთ, რომელ იდენტობას იყენებს Windows სინამდვილეში

Windows კეშირებს კავშირებს სერვერის მიხედვით. თუ იმავე სერვერზე არსებული სესია სხვა ანგარიშით გაიხსნა, ახალმა დაკავშირებამ შეიძლება ეს სესია ხელახლა გამოიყენოს ან ჩავარდეს ავთენტიფიკაციის შეცდომით, რომელიც არასწორ მომხმარებელს ასახელებს. ასე გამოიყურება სწორი პაროლი არასწორად. სანამ სერთიფიკატებს შეცვლით, შეამოწმეთ მიმდინარე კავშირები.

net use
cmdkey /list
klist

პირველი ბრძანება აჩვენებს დაკავშირებულ დისკებსა და ღია სესიებს, მეორე — შენახულ სერთიფიკატებს, რომლებიც ავტომატურად გამოიყენება, ხოლო მესამე — Kerberos ბილეთებს, როცა დომენი გამოიყენება. შენახულმა სერთიფიკატმა შეიძლება ჩუმად გადაფაროს ანგარიში, რომლის შეყვანასაც აპირებდით.

წაშალეთ მხოლოდ ამ პრობლემასთან დაკავშირებული კავშირი ან სერთიფიკატი. ყველა დისკის გათიშვა ან სერვერის სახელის IP მისამართით ჩანაცვლება მალავს იდენტობის არჩევანს და შეიძლება დააზიანოს ხელმოწერა ან სახელებზე დაფუძნებული პოლიტიკა.

დააკავშირეთ გაზიარება სერვერის მიერ აღიარებული ანგარიშით

მიუთითეთ ანგარიში იმ ფორმით, რომელსაც სერვერი ელოდება, და მიეცით Windows-ს პაროლის მოთხოვნის უფლება, რათა საიდუმლო არ მოხვდეს ბრძანებების ისტორიაში ან სკრიპტში:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

სერვერის ნაწილი უკუღმა დახრილი ხაზის წინ არის Samba სერვერის იდენტობის კონტექსტი, არა VPN კარიბჭე. ვარსკვლავი ითხოვს ინტერაქტიულ პაროლის მოთხოვნას, ხოლო /persistent:no კავშირს შემდეგი შესვლის გარეთ ინახავს. აირჩიეთ თავისუფალი დისკის ასო.

თუ სერვერი დომენშია ინტეგრირებული, მომხმარებლის ნაწილი შეიძლება იყოს კატალოგის სახელი ან დომენით კვალიფიცირებული იდენტობა. გამოიყენეთ ადმინისტრატორის მიერ დოკუმენტირებული ფორმა; იმავე სახელის ლოკალური ანგარიშის გამოგონება ქმნის მეორე იდენტობას და მოსახმარი მეორე პაროლს.

ანგარიშის ვალიდობა, გაზიარებაზე წვდომა და ფაილური სისტემის უფლებები სამი შემოწმებაა

Samba ამოწმებს, ავთენტიფიცირდება თუ არა იდენტობა, უშვებს თუ არა მას გაზიარების განსაზღვრება და ანიჭებს თუ არა ფაილური სისტემა მოთხოვნილ ოპერაციას. პირველი შემოწმების გავლა არ ნიშნავს დანარჩენი ორის გავლას. გაზიარება შეიძლება ხილული იყოს და მაინც უარყოს ჩაწერა, რადგან საქაღალდის ნებართვები ასე ამბობს.

valid users-ით შეზღუდული გაზიარება უშვებს მხოლოდ ჩამოთვლილ ანგარიშებს ან ჯგუფებს. ანგარიში შეიძლება სწორად ავთენტიფიცირდეს და მაინც უარყოფილ იქნას ამ სტრიქონით. სანამ დაასკვნით, რომ პაროლი არასწორია, შეამოწმეთ გაზიარების განსაზღვრება.

ფაილური სისტემის მხარეს მნიშვნელოვანია როგორც Samba პროცესი, ისე დაკავშირებული იდენტობა. root-ის საკუთრებაში არსებული საქაღალდე 700 რეჟიმით არ მიიღებს ჩაწერას ჩვეულებრივი ანგარიშიდან, მაშინაც კი, როცა გაზიარების განსაზღვრება ამას უშვებს. სცადეთ კითხვით, შემდეგ ჩაწერით საქაღალდეში, რომელიც ანგარიშმა უნდა გამოიყენოს.

გაასუფთავეთ კონფლიქტური სესია პოლიტიკის დარღვევის გარეშე

როცა მიზეზი მოძველებული სესიაა, დახურეთ ის ერთი კავშირი და ხელახლა დაუკავშირდით განზრახული ანგარიშით. თუ შენახული სერთიფიკატი მაინც ბრუნდება, წაშალეთ ის სერთიფიკატი და არა მთელი დისკების სია. შემდეგ დაადასტურეთ ახალი სესია net use-ით.

შეინარჩუნეთ საჭირო SMB ხელმოწერა, დაშიფვრა და ანგარიშების პოლიტიკა. სერვერი, რომელიც უარყოფს ხელმოუწერელ ან დაშიფრვის გარეშე სესიას, პოლიტიკას ახორციელებს და არა პაროლს არასწორად კითხულობს, და მისი შესუსტება დაკავშირების წარმატებისთვის უსაფრთხოებას სიმპტომში ცვლის.

ჩაიწერეთ სერვერის სახელი, ანგარიშის ზუსტი ფორმა და გაზიარებისა და საქაღალდის ის უფლებები, რომლებიც მუშაობდა. წინააღმდეგ შემთხვევაში დისკის დამაკავშირებელი შემდეგი ადამიანი ჯერ VPN-ში შესვლას სცდის, რადგან ეს არის ის სერთიფიკატები, რომლითაც მან ქსელს მიაღწია.