VPN файл бөлүшүүсүн сервер билген Samba каттоосу менен туташтыруу

Туннелди туташтырыңыз, бөлүшүү колдонуучу туура деп эсептеген сырсөздү сурай берет. Өз алдынча Samba орнотуусунда VPN кирүү жана SMB кирүү өз ара байланышпаган каттоо маалыматтары: бирөө туннелди уруксаттайт, экинчисин файл сервери текшерет. Ошондуктан дискти VPN каттоосу менен туташтыруу сырсөз туура жана тармак жолу кемчиликсиз болсо да ийгиликсиз болот. Бул айырма VPN аркылуу туташуу ийгиликсиздиктеринин көбүн түшүндүрөт.

Чечим VPN каттоосун кайра орнотуу эмес. Чечим Samba сервери чындап билген идентитти атоо, анан ошол эле идентиттин бөлүшүүгө жана каталогго укугу бар экенин текшерүү.

VPN кирүү жана SMB кирүү ар башка идентиттер

VPN каттоосун VPN дарбазасы өз саясаты боюнча баалайт. Ал бул кардар жеке тармакка кире алабы дегенге жооп берет. Ал ошол тармактагы файл серверинде кайсы SMB каттоосу бар экени жөнүндө эч нерсе айтпайт.

Samba каттоосу сервердин аутентификация арткы бөлүгүндө өз сырсөз базасы жана өз аты менен жашайт. Эки машинанын экөөндө тең alice аттуу колдонуучу болушу мүмкүн, алар идентит системасын, сырсөздү же колдонуучу идентификаторун бөлүшпөйт. Аттар дал келет; каттоолор келбейт.

Доменге интеграцияланган Samba сервери көрүнүштү өзгөртөт: идентит жергиликтүү каттоолор тизмесинен эмес, каталогдон жана Kerberos-тон келет. Бул учурда домен мүчөлүгүн окшоштуруу үчүн жергиликтүү көчүрмөлөрдү түзүүнүн ордуна каталогдун идентитин жана колдоого алынган SMB конфигурациясын колдонуңуз. Кандайдыр бир каттоо түзүүдөн мурун сервер кайсы моделди колдонорун текшериңиз.

Windows чындап кайсы идентитти колдонуп жатканын көрүңүз

Windows туташууларды сервер боюнча кэште сактайт. Эгер ошол серверге болгон сессия башка каттоо менен ачылса, жаңы туташуу ошол сессияны кайра колдонушу же туура эмес колдонуучуну атаган аутентификация катасы менен ийгиликсиз болушу мүмкүн. Туура сырсөз ушундай туура эмес көрүнөт. Каттоо маалыматтарын өзгөртүүдөн мурун учурдагы туташууларды карап чыгыңыз.

net use
cmdkey /list
klist

Биринчи буйрук туташкан дисктерди жана ачык сессияларды көрсөтөт, экинчиси автоматтык колдонулушу мүмкүн болгон сакталган каттоо маалыматтарын, үчүнчүсү домен колдонулганда Kerberos билеттерин көрсөтөт. Сакталган каттоо маалыматы киргизүүнү ойлогон каттоону үнсүз басып жазышы мүмкүн.

Ушул маселеге тиешелүү туташууну же каттоо маалыматын гана өчүрүңүз. Бардык дисктерди ажыратуу же сервердин атын IP дареги менен алмаштыруу идентит тандоону жашырат жана кол коюуну же атка негизделген саясатты бузушу мүмкүн.

Бөлүшүүнү сервер тааныган каттоо менен туташтырыңыз

Каттоону сервер күткөн формада көрсөтүңүз жана Windows сырсөздү сурашына жол бериңиз, ошентип сыр буйруктар тарыхына же скриптке түшпөйт:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Кайрылган сызыктын алдындагы сервер бөлүгү Samba серверинин идентит контексти, VPN дарбазасы эмес. Жылдызча интерактивдүү сырсөз суроосун талап кылат, ал эми /persistent:no туташууну кийинки кирүүдөн тыш кармайт. Бош диск тамгасын тандаңыз.

Эгер сервер доменге интеграцияланган болсо, колдонуучу бөлүгү анын ордуна каталог аты же домен менен квалификацияланган идентит болушу мүмкүн. Администратор документтештирген форманы колдонуңуз; ошол эле ат менен жергиликтүү каттоону ойлоп табуу экинчи идентитти жана тейлөөнү талап кылган экинчи сырсөздү жаратат.

Каттоонун жарактуулугу, бөлүшүүгө жетүү жана файл системасынын укуктары — үч текшерүү

Samba идентиттин аутентификацияланаарын, бөлүшүү аныктамасы аны киргизерин жана файл системасы суралган операцияны берерин текшерет. Биринчи текшерүүдөн өтүү калган экөөнөн да өтүүнү билдирбейт. Бөлүшүү көрүнүүчү болуп, каталог уруксаттары ошентти дей тургандыктан жазуудан баш тартышы мүмкүн.

valid users аркылуу чектелген бөлүшүү тек тизмеленген каттоолорду же топторду кабыл алат. Каттоо туура аутентификацияланышы мүмкүн жана ошол сап менен четке кагылышы мүмкүн. Сырсөз туура эмес деп жыйынтык чыгарганга чейин бөлүшүү аныктамасын текшериңиз.

Файл системасынын жагында Samba процесси да, туташкан идентит да маанилүү. root-ко таандык 700 режимдүү каталог кадимки каттоодон жазууну кабыл албайт, бөлүшүү аныктамасы уруксат берсе да. Каттоо колдонушу керек болгон каталогдо адегенде окуу, анан жазуу менен сынаңыз.

Кагылышкан сессияны саясатты бузбай тазалаңыз

Себеби эскирген сессия болсо, ошол бир туташууну жабыңыз жана көздөлгөн каттоо менен кайра туташыңыз. Сакталган каттоо маалыматы кайра-кайра кайталанса, бүт дисктер тизмесинин ордуна ошол маалыматты өчүрүңүз. Анан жаңы сессияны net use аркылуу ырастаңыз.

Милдеттүү SMB кол коюуну, шифрлоону жана каттоо саясатын сактаңыз. Кол коюлбаган же шифрленбеген сессиядан баш тарткан сервер саясатты аткарат, сырсөздү туура эмес окубайт, ал эми туташуу ийгиликтүү болушу үчүн аны алсыздатуу коопсуздукту симптомго алмаштырат.

Сервердин атын, каттоонун так формасын жана иштеген бөлүшүү менен каталог укуктарын жазып коюңуз. Болбосо дискти туташтырган кийинки адам адегенде VPN кирүүнү сынап көрөт, анткени ал тармакка ушул каттоо маалыматтары менен жеткен.