Eng Samba-Deelung op e Benotzer an eng VPN-Adress beschränken

An dësem Design gi sech zwou verschidde Berechtegungen duercherneen: wien eng Verzeechnis däerf benotzen, a wéi eng Adressen iwwerhaapt däerfen sech verbannen. Eng Kontlëscht niewent enger Quelllëscht ze schreiwen fillt sech wéi eng Puerung un, awer Samba bewäert déi zwou Lëschten als onofhängeg Prädikater. All deen, deen déi zwou erfëllt, gëtt zougelooss, an dat ass eng méi breet Regel, wéi déi meescht Administrateuren et wëllen. D'Léisung ass entweder eng aner Deelungsopstellung oder eng Politikschicht, déi d'Puer kann ausdrécken.

De Mythos: zwou Lëschten erginn eng Regel

D'smb.conf-Referenz definéiert valid users an hosts allow als zwou onofhängeg Parameteren, a beim Setze vun deenen zwee op enger Deelung fänkt de Verwirrung un. Setzt valid users = mira, tomas an hosts allow = 10.77.0.21, 10.77.0.22, sou ginn véier Kombinatiounen zougelooss: Mira vun enger vun deenen zwou Adressen, Tomas vun enger vun deenen zwou Adressen. Näischt an der Konfiguratioun verbënnt den éischten Numm mat der éischter Adress, an d'Reiefolleg, an där d'Nimm erschéngen, huet keng Bedeitung. Si ëmzeordneren, eng zweet hosts allow Linn dobäizesetzen oder een Numm pro Linn ze setzen ännert näischt. D'Resultat ass d'Produkt vun zwou Lëschten, net eng Zouuerdnung tëschent hinnen.

Wat déi meescht Leit wierklech wëllen, ass méi enk: Mira just vun enger Adress, Tomas just vun enger anerer. Eng eenzeg Deelungsdefinitioun huet keng Syntax fir déi Bindung, a keng nach sou clever Reiefolleg schaaft eng. Dat ass eng Politikform, déi Samba bannent enger Deelung net ausdréckt, an do iwwerlieft de Mythos.

Wat Samba bewäert, a mat wéi enger Reiefolleg

D'Etappe lafe an enger fixer Reiefolleg, an eng falsch Reiefolleg ergëtt déi falsch Diagnos. E Client mécht eng Verbindung op; eng global Hostprüfung leeft, wann eng konfiguréiert ass; d'Sessiounsiichtung authentifizéiert de Kont; duerno verbënnt sech de Client mat enger Deelung, wou hir eege Hostlëscht, valid users an d'Nëmmen-noliesen-Astellungen ugewannt ginn; an eréischt wann eng Datei opgemaach gëtt, entscheeden d'Dateisystemberechtegungen vun der authentifizéierter Identitéit. Jidder Etapp kann d'Ufro eleng ofleenen, an duerch een ze kommen seet näischt iwwer deen nächsten. D'wichteg Konsequenz ass, datt de Kont bekannt ass, wann d'Hostlëscht vun der Deelung bewäert gëtt, an d'Hostlëscht nach ëmmer keng Manéier huet, dee Kont ze nennen.

Doduercher kann eng Deelung een Benotzer net un eng Adress bannen: hosts allow an valid users sinn getrennt Prädikater, déi op der selwechter Bam-Verbindungs-Etapp ugewannt ginn, an all eenzelt äntwert op seng eege Fro. D'Hostprädikat hëlt ni den Kontnumm als Input, dofir kann et net pro Benotzer geschriwwe ginn. Nëmmen eng zweet Deelung oder eng Politikschicht baussen Samba kann d'Puer ausdrécken.

Globale Wäerter si wichteg wéinst der Aart, wéi si ierwen. Eng Deelung, déi hosts allow wegléisst, ierft de globale Wäert, an eng Deelung, déi hire eigenen setzt, benotzt dee Wäert amplaz vum globalen, net derbäi. Sou verbreet eng breet global Lëscht d'Deelungen, déi de Parameter ni setzen, an ännert näischt un enger Deelung, déi hire eigenen definéiert. Füürt testparm -s aus a liest d'Wäerter pro Deelung, déi et dréckt, well deen Ausgab ass déi effektiv Politik, an d'Datei um Disk ass et net.

Eng Deelung méi enk ze maachen, ännert och näischt um Rescht vum Server. Aner Deelungen, Dréckerwäertschlaangen an d'IPC-Verbindung behalen hir eege Reegelen, also schützt en Design, dee sech op d'Adresslëscht vun enger Deelung stäipt, ee Wee an net den Host.

Zwee Deelungsnimm iwwer enger Verzeechnis

Wann déiselwecht Verzeechnis fir zwou Persounen aus zwou Adressen erreechbar muss sinn, weist se zweemol ënner verschiddenen Nimm. All Block dréit ee Kont an eng Quell, wat d'Puer zu eppes mécht, wat d'Konfiguratioun forcéiere kann. D'Käschte sinn, datt all Persoun en aneren Deelungsnumm benotzt, fir déi selwecht Dateien z'erreechen, an dat muss eng bewosst Ännerung op der Client-Säit sinn.

[shared-mira]
    path = /srv/shared
    guest ok = no
    read only = yes
    valid users = mira
    hosts allow = 10.77.0.21
    hosts deny = ALL

[shared-tomas]
    path = /srv/shared
    guest ok = no
    read only = yes
    valid users = tomas
    hosts allow = 10.77.0.22
    hosts deny = ALL

En Deelungspaart ass keng Dateisystemberechtegung. Béid Identitéiten brauchen nach ëmmer Zougang zu der Verzeechnis iwwer den ACL, deen drënner läit, an d'Nëmmen-noliesen-Astellung ass eng zweet Schicht an net déi eenzeg. Gitt Schreifzougang nëmmen, wann de Workflow et verlaangt, a préift duerno, datt Dateien, déi vun enger Identitéit erstallt goufen, fir déi aner brauchbar bleiwen.

Béid Bléck weisen op ee Wee, also beaflosst eng Ännerung an der Verzeechnis béid Deelungen. Normalerweis ass dat de Punkt, awer et heescht och, datt e Berichtegungsfehler fir béid Benotzer gläichzäiteg sichtbar ass.

Wat d'Quelladress beweise kann

D'Adress, déi Samba gesäit, ass déi Adress, déi de Server erreecht huet, net déi, déi de Client mengt ze hunn. En VPN-Gateway, deen all Client op eng Quelladress iwwersetzt, hieft den Ënnerscheed op: all Clienten kommen als deen selwechte Host un, an d'Quelllëscht kann se net méi ënnerscheeden. Eng stabil Zoutdeelung pro Client an e Gateway, deen d'Quell behält, sinn Viraussetzungen, fir Adressen iwwerhaapt als Politik ze benotzen. Ouni déi zwee misst d'Restriktioun de Gateway an net de Benotzer.

Och dann ass eng Adress keen Apparat. Zwee Laptoppen hannert enger Tunneladress, eng nei zougedeelte Leasing an eng gedeelt Aarbechtsplaz widderleeën all d'Annam, datt eng Quell eng Persoun identifizéiert. Behandelt d'Restriktioun als Netzwierkberäich a halen authentifizéiert SMB-Konten als Identitéitsschicht, mat engem Apparatsauswäiss wéi engem Zertifikat, wann Dir Apparatsautorisation braucht.

Doduercher gëtt d'Design Deelungen zou, a net de Server. Eng ofgeleent Puer kann nach ëmmer eng Sessioun opmaachen, eng aner Deelung erreechen oder de Server oplëschten, wat en anert Resultat ass wéi en Authentifikatiounsfehler bei der Verbindung. Wann d'Fuerderung d'Oflehnung virun der Authentifikatioun ass, sinn d'Samba Deelungsparameter dat falscht Instrument.

Beweist et mat gekräizte Pueren

Validéiert d'Konfiguratioun, a testt duerno déi véier Kombinatiounen mat frëschen Verbindungen amplaz enger erëmbenotzter Sessioun. D'gemeent Puer soll d'Verzeechnis erreechen, an déi zwou gekräizten Pueren sollen all falen. Eng Sessioun aus dem Cache vun engem fréieren Test äntwert gär fir déi falsch Kombinatioun a léisst eng futti Regel richteg ausgesinn.

testparm -s
smbclient //fileserver/shared-mira -U mira -c 'ls'
smbclient //fileserver/shared-tomas -U tomas -c 'ls'
smbstatus --shares

Eng Syntaxpréifung beweist just, datt d'Datei sech parsen léisst. Umeldungsdaten, ACLen an d'Hostentscheedung ginn duerch eng richteg Verbindung exercéiert, also füürt de Clientbefehl vun der Adress aus, déi Dir wëllt testen, a kuckt, wéi eng Etapp en ofleent. Wann eng gekräizt Puer geléngt, ass déi effektiv Hostlëscht méi breet wéi de Block et ugëtt, an testparm -s ass dat éischt, wat ze liesen ass. Wann eng gekräizt Puer aus dem falsche Grond feelt, sinn de Kont oder den ACL verdächteg.

Sessiounen mat smbstatus ze monitoréieren a se ëmzebréngen ass eng Reaktiounsakt nachdem den Zougang ugefaangen huet, net eng Zugangskontroll. Eng ganz observéiert Adress ze blockéieren kann och onbedeelegt Benotzer hannert dem selwechten NAT trennen, dofir gehéiert d'Entscheedung an d'Deelungsdefinitioun an d'Monitoren an de Reaktiounsprozess. Halt déi zwee getrennt an d'Design bleift éierlech dobäi, wat et forcéiert.