Samba эмне үчүн серверге жеткен VPN кардарларын четке кагат

VPN кардары файлдык серверди пингдейт, анын атын чечет жана баары бир бөлүшүүнү ача албайт. Samba хост саясаты бул байланышты четке кага алган төрт катмардын бири, жана адамдар аны эң акырында түзөтөт. Уруксат тизмеси smbd иш жүзүндө алган булак дарегине каршы бааланат, жана ал кардар өзүндө бар деп ойлогон дарек болбошу мүмкүн. Ошол булакты туура аныктоо бүдөмүк уруксат маселесин бир саптуу конфигурация өзгөртүүсүнө айландырат.

Бирдей билдирүү менен ийгиликсиз болгон төрт катмар

Четке кагуу маршруттан, хосттун брандмауэринен, Samba хост саясатынан же SMB инсандыгынан келиши мүмкүн. Ар бир катмар кардарга болжол менен ошону айткан билдирүү берет, ошондуктан божомолдоо жарым күндү алат. Текшерүүлөрдү тармактан ичке карай иреттөө божомолдордун көбүн жок кылат.

Транспорттон баштаңыз. Эгер 445 порту серверге эч качан жетпесе, эч бир Samba жөндөөсү маанилүү эмес, жана сервер интерфейсиндеги жазуу муну секундаларда чечет. Андан кийин сервердин өзүндөгү хост брандмауэри келет, ал уруксат берилген булакты smbd көрө электе эле ыргыта алат. Ушул экөө өткөндөн кийин гана уруксат тизмеси талапкер болот. Аутентификация эң акырында келет, анткени кирүү ийгиликсиздиги менен хосттон баш тартуу сервер журналында башкача көрүнөт, кардар экөөнү тең кирүүгө тыюу салынды деп билдирсе да. Тартип куралдардан маанилүүрөөк, анткени ар бир катмардын ага жооп берген буйругу бар.

smbd иш жүзүндө көргөн булак дарегин табыңыз

Маршруттук кирүүдө сервер адатта кардардын дарегин VPN пулунан көрөт. Шлюзде булакты которуу болсо, ал ордуна шлюздун LAN дарегин көрөт, жана ошол шлюздун артындагы ар бир кардар айырмаланбай калат.

Бул айырма уруксат тизмесиндеги жазуу саясатпы же тешикпи экенин чечет. Которулган шлюз дарегине уруксат берүү анын артындагы бардыгын киргизет, ал эми ар бир кардарга арналган эреже муну сейрек билдиргиси келген. Булакты кардардын өз дареги тууралуу түшүнүгүнөн эмес, серверден окуңуз. Сервер интерфейсиндеги жазуу аны көрүүнүн эң арзан жолу, жана ошол эле жазуу пакеттин такыр жеткенин далилдейт. Жазууну пакет саны менен чектеп, кайсы кардарды көзөмөлдөп жатканыңызды билгенде хост чыпкасын кошуңуз. Samba сессия таблицасы жооптун экинчи жарымы: smbstatus -b чыгышында ар бир сессия сабынын кардар мамычасы smbd жазган өнөктөш, жана бул кызматка иш жүзүндө жеткен даректин эң тез ырастоосу.

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

Уруксат тизмесин Samba окугандай окуңуз

hosts allow жөндөөсү даректердин, тармактардын же аттардын тизмесин алат, жана ал глобалдык же бөлүшүүнүн ичинде тура алат. Сизге барабар көрүнгөн эки жазуу талдоочу үчүн барабар болбошу мүмкүн, ошондуктан текшерилүүчү нерсе — таасирдүү конфигурация. Бул бириктирилген көрүнүштү билдирет, сиз кокустан түзөткөн файлды эмес.

Префикстердин көрсөтмөлүү жуп төмөнкү сапка окшош, жана бул мисал, мурунтан бар жазууларды алмаштыруу эмес. Бүгүн мыйзамдуу туташкан административдик жана колдонмо кардарларын сактап, каалаган тыюу тизмесин ошол эле өтүүдө окуңуз. Хост кабыл алынабы же жокпу бүтүндөй саясатка көз каранды, ошондуктан артыкчылык жөнүндө ойлонуунун ордуна так кардарды сынаңыз. Хост уруксаты бөлүшүү уруксаттары же файлдык система режимдери жөнүндө эч нерсе айтпайт, алар өзүнчө дарбазалар. Сыноо куралдарынын ийгилиги хост саясаты ошол булакты кабыл аларын билдирет, андан ашык эч нерсе эмес.

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

Кайра жүктөөдөн аман калган файлды өзгөртүңүз

Кадимки Linux хостто конфигурация жолу бекитилген, жана кызмат кайра жүктөөдө аны кайра окуйт. Маршрутизатордо же түзмөктө иштеп жаткан smb.conf көбүнчө жүктөө учурунда жаралат, жана кол менен жасалган өзгөртүү кийинки кайра жүктөөдө жоголот. Түзмөктүн колдоого алынган ыңгайлаштыруу механизмин колдонуңуз, ал адатта өзүнүн конфигурация файлы болот.

Бул баскычтагы азгырык — бир тема иштейт деп билдиргендиктен, альтернативалуу прошивканы жазуу. Бул кичине саясат маселеси үчүн чоң өзгөртүү, жана түзмөктү колдоого алынган абалынан чыгарат. Адегенде колдоого алынган башкарууну аныктаңыз, анткени түзмөктөрдүн көбү уруксат тизмесин өз интерфейси аркылуу көрсөтөт. Эгер алар чын эле андай кылбаса, бул чектөө башка аппараттык камсыздоо үчүн далил, колдоосуз куруу үчүн эмес.

Кайсы файлды өзгөрткөнүңүздү жана аны эмне кайра жаратарын жазып коюңуз, кийинки адам диагностиканы кайталабашы үчүн.

Бир уруксат берилген жана бир чыгарылган кардарды сынаңыз

Эки натыйжаны тең сынаңыз, каалаганыңызды гана эмес. Туташкан уруксат берилген кардар өзгөртүү иштей турганын далилдейт; дагы эле четке кагылып жаткан чыгарылган кардар эреже жөн эле баарын ачпаганын далилдейт.

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

Байланыш smbd ге эч качан жетпесе, жооп маршруттоодо же сервердин брандмауэринде. Эгер хост уруксат берилген болсо жана кирүү ийгиликсиз болсо, маселе инсандыкта, жана уруксат тизмесин кайра кеңейтүү жардам бербейт. Диагностикалык чыгышты жашыруун сактаңыз, анткени кеңири Samba журналы бөлүшүү жолдору менен эсеп аттарын ачып бере алат. Ар бир аракетте бир катмарды өзгөртүңүз, болбосо кийинки жыйынтык сизге эч нерсе айтпайт.