VPN файл ортақтасуын сервер білетін Samba тіркелгісімен қосу

Туннельді қосыңыз, ал ортақтасу пайдаланушы дұрыс деп санайтын құпиясөзді сұрай береді. Дербес Samba орнатуында VPN кіруі мен SMB кіруі өзара байланыссыз тіркелгі деректері: біреуі туннельді рұқсаттандырады, екіншісін файл сервері тексереді. Сондықтан дискіні VPN тіркелгісімен қосу құпиясөз дұрыс және желі жолы кемелді болса да сәтсіз аяқталады. Бұл айырмашылық VPN арқылы қосу сәтсіздіктерінің көбін түсіндіреді.

Шешім VPN тіркелгісін қалпына келтіру емес. Шешім — Samba сервері шынында білетін идентитті атау, содан кейін сол идентиттің ортақтасу мен қалтаға құқығы бар екенін тексеру.

VPN кіруі мен SMB кіруі әртүрлі идентиттер

VPN тіркелгісін VPN шлюзі өз саясаты бойынша бағалайды. Ол бұл клиент жеке желіге кіре ала ма дегенге жауап береді. Ол сол желідегі файл серверінде қандай SMB тіркелгісі бар екені туралы ештеңе айтпайды.

Samba тіркелгісі сервердің аутентификациялық артқы бөлігінде өз құпиясөз дерекқорымен және өз атымен тұрады. Екі машинаның екеуінде де alice атты пайдаланушы болуы мүмкін, олар идентит жүйесін, құпиясөзді немесе пайдаланушы идентификаторын бөліспейді. Аттар сәйкес келеді; тіркелгілер жоқ.

Доменге кіріктірілген Samba сервері көріністі өзгертеді: идентит жергілікті тіркелгілер тізімінен емес, каталогтан және Kerberos-тан келеді. Бұл жағдайда домен мүшелігін имитациялау үшін жергілікті көшірмелер жасаудың орнына каталог идентитін және қолдау көрсетілетін SMB конфигурациясын пайдаланыңыз. Кез келген тіркелгі жасамас бұрын сервер қай модельді пайдаланатынын тексеріңіз.

Windows шынында қандай идентитті пайдаланып жатқанын қараңыз

Windows қосылымдарды сервер бойынша кеште сақтайды. Егер сол серверге бар сессия басқа тіркелгімен ашылған болса, жаңа қосу сол сессияны қайта пайдалануы немесе қате пайдаланушыны атайтын аутентификация қатесімен сәтсіз аяқталуы мүмкін. Дұрыс құпиясөз осылай қате көрінеді. Тіркелгі деректерін өзгерту алдында ағымдағы қосылымдарды қарап шығыңыз.

net use
cmdkey /list
klist

Бірінші команда қосылған дискілер мен ашық сессияларды көрсетеді, екіншісі автоматты қолданылуы мүмкін сақталған тіркелгі деректерін, үшіншісі домен пайдаланылғанда Kerberos билеттерін көрсетеді. Сақталған тіркелгі деректері енгізуді ойлаған тіркелгіні үнсіз басып жазуы мүмкін.

Тек осы мәселеге қатысты қосылымды немесе тіркелгі деректерін жойыңыз. Барлық дискілерді ажырату немесе сервер атын IP мекенжайымен ауыстыру идентит таңдауын жасырады және қолтаңбаны немесе атқа негізделген саясатты бұзуы мүмкін.

Ортақтасуды сервер танитын тіркелгімен қосыңыз

Тіркелгіні сервер күтетін форматта көрсетіңіз және Windows-қа құпиясөзді сұрауға рұқсат етіңіз, осылайша құпия командалар тарихына немесе скриптке түспейді:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Кері қиғаш сызықтың алдындағы сервер бөлігі Samba серверінің идентит контексті, VPN шлюзі емес. Жұлдызша интерактивті құпиясөз сұрауын талап етеді, ал /persistent:no қосылымды келесі кіруден тыс ұстайды. Бос диск әрпін таңдаңыз.

Егер сервер доменге кіріктірілген болса, пайдаланушы бөлігі оның орнына каталог аты немесе доменмен біліктіленген идентит болуы мүмкін. Әкімші құжаттайтын форматты пайдаланыңыз; сол атпен жергілікті тіркелгі ойлап табу екінші идентит пен күтуді қажет ететін екінші құпиясөз жасайды.

Тіркелгінің жарамдылығы, ортақтасуға қолжетімділік және файл жүйесінің құқықтары — үш тексеру

Samba идентиттің аутентификацияланатынын, ортақтасу анықтамасы оны жіберетінін және файл жүйесі сұралған операцияны беретінін тексереді. Бірінші тексеруден өту қалған екеуінен де өтуді білдірмейді. Ортақтасу көрінетін болып, қалта рұқсаттары солай дейтіндіктен жазудан бас тартуы мүмкін.

valid users көмегімен шектелген ортақтасу тек тізімделген тіркелгілерді немесе топтарды қабылдайды. Тіркелгі дұрыс аутентификациялануы мүмкін және сол жолмен қабылданбауы мүмкін. Құпиясөз қате деп қорытынды жасамас бұрын ортақтасу анықтамасын тексеріңіз.

Файл жүйесі жағында Samba процесі де, қосылған идентит те маңызды. root-қа тиесілі 700 режимі бар қалта қарапайым тіркелгіден жазу қабылдамайды, тіпті ортақтасу анықтамасы рұқсат етсе де. Тіркелгі пайдалануы тиіс қалтада алдымен оқумен, содан кейін жазумен сынаңыз.

Қақтығысқан сессияны саясатты бұзбай тазартыңыз

Себебі ескірген сессия болса, сол бір қосылымды жабыңыз және көзделген тіркелгімен қайта қосылыңыз. Сақталған тіркелгі деректері қайта-қайта қайталанса, бүкіл дискілер тізімінің орнына сол деректерді жойыңыз. Содан кейін жаңа сессияны net use көмегімен растаңыз.

Міндетті SMB қолтаңбасын, шифрлауды және тіркелгі саясатын сақтаңыз. Қолтаңбасыз немесе шифрланбаған сессиядан бас тартатын сервер саясатты орындайды, құпиясөзді қате оқымайды, ал қосылым сәтті болуы үшін оны әлсірету қауіпсіздікті симптоммен ауыстырады.

Сервер атын, тіркелгінің нақты формасын және жұмыс істеген ортақтасу мен қалта құқықтарын жазыңыз. Әйтпесе дискіні қосатын келесі адам алдымен VPN кіруін көреді, себебі ол желіге осы тіркелгі деректерімен жеткен.