Samba неге серверге жететін VPN клиенттерін қабылдамайды

VPN клиенті файлдық серверді пингтейді, оның атын шешеді және бәрібір ортақтасуды аша алмайды. Samba хост саясаты бұл қосылымды қабылдамай алатын төрт қабаттың бірі, және адамдар оны ең соңында өңдейді. Рұқсат етілгендер тізімі smbd нақты алатын көз мекенжайымен салыстырылады, және ол клиент өзінде бар деп ойлайтын мекенжай болмауы мүмкін. Осы көзді дұрыс анықтау бұлыңғыр рұқсат мәселесін бір жолдық конфигурация өзгерісіне айналдырады.

Бірдей хабарламамен сәтсіз болатын төрт қабат

Бас тарту маршруттан, хосттың брандмауэрынан, Samba хост саясатынан немесе SMB сәйкестігінен келуі мүмкін. Әр қабат клиентке шамамен бірдей нәрсе айтатын хабарлама береді, сондықтан болжау жарты күнді алады. Тексерулерді желіден ішке қарай реттеу болжамдардың көбін жояды.

Тасымалдан бастаңыз. Егер 445 порты серверге ешқашан жетпесе, ешбір Samba параметрі маңызды емес, және сервер интерфейсіндегі түсірілім мұны секундтарда шешеді. Содан кейін сервердің өзіндегі хост брандмауэры келеді, ол рұқсат етілген көзді smbd көрмей тұрып тастай алады. Осы екеуі өткеннен кейін ғана рұқсат етілгендер тізімі үміткерге айналады. Аутентификация ең соңында келеді, себебі кіру сәтсіздігі мен хосттан бас тарту сервер журналында әртүрлі көрінеді, тіпті клиент екеуін де қатынаудан бас тарту деп хабарласа да. Тәртіп құралдардан маңыздырақ, себебі әр қабаттың оған жауап беретін пәрмені бар.

smbd нақты көретін көз мекенжайын табыңыз

Маршруттық қатынауда сервер әдетте клиенттің мекенжайын VPN пулынан көреді. Шлюзде көзді аудару болса, ол орнына шлюздің LAN мекенжайын көреді, және сол шлюздің артындағы әр клиент ажыратылмайтын болады.

Бұл айырмашылық рұқсат етілгендер тізіміндегі жазба саясат па, әлде тесік пе екенін шешеді. Аударылған шлюз мекенжайына рұқсат беру оның артындағы барлығын кіргізеді, ал әр клиентке арналған ереже мұны сирек білдіргісі келді. Көзді клиенттің өз мекенжайы туралы түсінігінен емес, серверден оқыңыз. Сервер интерфейсіндегі түсірілім оны көрудің ең арзан жолы, және сол түсірілім пакеттің мүлде жеткенін дәлелдейді. Түсірілімді пакет санымен шектеп, қай клиентті бақылап жатқаныңызды білгенде хост сүзгісін қосыңыз. Samba сессия кестесі жауаптың екінші жартысы: smbstatus -b шығысында әр сессия жолының клиент бағаны smbd жазған серіктес, және бұл қызметке нақты жеткен мекенжайдың ең жылдам растауы.

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

Рұқсат етілгендер тізімін Samba оқығандай оқыңыз

hosts allow параметрі мекенжайлар, желілер немесе атаулар тізімін алады, және ол жаһандық деңгейде немесе ортақтасу ішінде тұра алады. Сізге баламалы көрінетін екі жазба талдаушы үшін баламалы болмауы мүмкін, сондықтан тексерілуі тиіс нәрсе — нақты әсер ететін конфигурация. Бұл біріктірілген көріністі білдіреді, кездейсоқ өңдеген файлды емес.

Префикстердің иллюстративті жұбы төмендегі жолға ұқсайды, және бұл мысал, бұрыннан бар жазбаларды алмастыру емес. Бүгін заңды түрде қосылатын әкімшілік және қолданбалы клиенттерді сақтап, кез келген тыйым тізімін сол бір өтуде оқыңыз. Хосттың қабылдануы тұтас саясатқа байланысты, сондықтан басымдық туралы ойлаудың орнына нақты клиентті сынаңыз. Хост рұқсаты ортақтасу рұқсаттары немесе файлдық жүйе режимдері туралы да ештеңе айтпайды, олар бөлек қақпалар. Сынақ құралдарының сәттілігі хост саясаты сол көзді қабылдайтынын білдіреді, одан артық ештеңе емес.

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

Қайта жүктеуден аман қалатын файлды өзгертіңіз

Қарапайым Linux хостта конфигурация жолы тіркелген, және қызмет қайта жүктелгенде оны қайта оқиды. Маршрутизаторда немесе құрылғыда жұмыс істеп тұрған smb.conf көбіне жүктелу кезінде жасалады, және қолмен жасалған өзгеріс келесі қайта жүктеуде жоғалады. Құрылғының қолдау көрсетілетін бейімдеу механизмін пайдаланыңыз, ол әдетте өзінің конфигурация файлы болады.

Бұл кезеңдегі азғыру — бір тақырып жұмыс істейді деп хабарлағаны үшін балама прошивканы жазу. Бұл кішкене саясат мәселесі үшін үлкен өзгеріс, және құрылғыны қолдау көрсетілетін күйінен шығарады. Алдымен қолдау көрсетілетін басқаруды анықтаңыз, себебі құрылғылардың көбі рұқсат етілгендер тізімін өз интерфейсі арқылы көрсетеді. Егер олар шынымен олай жасамаса, бұл шектеу басқа аппараттық құрал үшін дәлел, қолдаусыз құрастыру үшін емес.

Қай файлды өзгерткеніңізді және оны ненің қайта жасайтынын жазып қойыңыз, келесі адам диагностиканы қайталамас үшін.

Бір рұқсат етілген және бір шығарылған клиентті сынаңыз

Екі нәтижені де сынаңыз, тек қалағаныңызды ғана емес. Қосылатын рұқсат етілген клиент өзгерістің жұмыс істейтінін дәлелдейді; әлі де қабылданбайтын шығарылған клиент ереженің жай ғана бәрін ашпағанын дәлелдейді.

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

Қосылым smbd-ге ешқашан жетпесе, жауап маршруттауда немесе сервердің брандмауэрында. Егер хост рұқсат етілсе және кіру сәтсіз болса, мәселе сәйкестікте, және рұқсат етілгендер тізімін қайта кеңейту көмектеспейді. Диагностикалық шығысты жеке ұстаңыз, себебі егжей-тегжейлі Samba журналы ортақтасу жолдары мен тіркелгі атауларын аша алады. Әр әрекетте бір қабатты өзгертіңіз, әйтпесе келесі нәтиже сізге ештеңе айтпайды.