Firwat Samba VPN-Clienten ofleet, déi de Server erreechen

E VPN-Client pingt de Dateiserver, léist säin Numm op an kann trotzdem eng Deelung net opmaachen. Dem Samba seng Hostpolitik ass eng vun véier Schichten, déi déi Verbindung kënnen ofleenen, an et ass déi Schicht, déi d’Leit als lescht änneren. D’Erlaabnislëscht gëtt géint d’Quelladress gepréift, déi smbd tatsächlech kritt, an dat ass vläicht net d’Adress, déi de Client mengt ze hunn. Wann Dir déi Quell richteg ermëttelt, gëtt aus engem onkloore Berechtegungsproblem eng Konfiguratiounsännerung vun enger Linn.

Véier Schichten, déi mat der selwechter Noriicht feelen

Eng Oflehnung kann aus der Route, aus der Firewall vum Host, aus der Samba-Hostpolitik oder aus der SMB-Identitéit kommen. All Schicht mécht dem Client eng Noriicht, déi ongeféier datselwecht seet, dofir kascht Radiéieren en Nomëtteg. D’Kontrollen aus dem Netz no banne bestellen hëlt de gréissten Deel vum Radiéieren ewech.

Fänkt mam Transport un. Wann de Port 445 de Server ni erreecht, mécht keng Samba-Astellung eppes aus, an eng Opnam op der Server-Schnittstell entscheet dat a Sekonnen. Duerno kënnt d’Firewall vum Host um Server selwer, déi eng erlaabt Quell ka verwerfen, ier smbd se iwwerhaapt gesäit. Eréischt wann déi zwou da sinn, gëtt d’Erlaabnislëscht e Kandidat. D’Authentifizéierung kënnt als lescht, well eng feelgeschloe Umeldung an eng Oflehnung vum Host am Server-Log anescht ausgesinn, och wann de Client béid als verweigerten Zougang mellt. D’Reiefolleg ass méi wichteg wéi d’Instrumenter, well all Schicht en Uerder huet, deen se beäntwert.

Fannt d’Quelladress, déi smbd tatsächlech gesäit

Bei geroutetem Zougang gesäit de Server normalerweis d’Adress vum Client aus dem VPN-Pool. Bei Quelltranslat am Gateway gesäit en dogéint d’LAN-Adress vum Gateway, an all Client hannert deem Gateway gëtt onënnerscheedbar.

Dee Ënnerscheed entscheet, ob en Aschreiwung an der Erlaabnislëscht eng Politik oder en Lach ass. Eng iwwersat Gatewayadress erlaaben hëlt jiddwereen hannendrun op, wat eng Regel pro Client selten ausdrécke wollt. Liest d’Quell um Server an net aus der Iddi vum Client iwwer seng eege Adress. Eng Opnam op der Server-Schnittstell ass dee bëllegste Wee fir se ze gesinn, an déiselwecht Opnam beweist, ob de Pak iwwerhaapt ukomm ass. Begrenzt d’Opnam mat enger Pakzuel a setzt e Hostfilter dobäi, soubal Dir wësst wiem Dir follegt. D’Samba-Sessiounstabell ass déi aner Hallschent vun der Äntwert: an smbstatus -b ass d’Client-Kolonn vun all Sessiounszeil de Partner, deen smbd festgehalen huet, an dat ass déi séierst Bestätegung vun der Adress, déi tatsächlech beim Service ukomm ass.

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

Liest d’Erlaabnislëscht sou wéi Samba se liest

D’Astellung hosts allow hëlt eng Lëscht vun Adressen, Netzwierker oder Nimm, an se kann global oder bannen an enger Deelung stoen. Zwee Aschreiwungen, déi Iech gläich schéngen, sinn dem Parser vläicht net gläich, dofir ass déi effektiv Konfiguratioun dat, wat ee misst kontrolléieren. Dat heescht d’zesummegesat Vue an net de Fichier, den Dir zoufälleg geännert hutt.

En illustratiivt Puer Prefixen gesäit aus wéi d’Linn hei drënner, an et ass e Beispill an net en Ersatz fir d’Aschreiwungen, déi schonn do sinn. Halt d’administrativ an d’Applikatiounsclienten, déi sech haut rechtméisseg verbannen, a liest all Sperrlëscht am selwechte Passage. Ob en Host ugeholl gëtt, hänkt vun der Politik als Ganzt of, dofir test de geneeë Client amplaz iwwer Virrang ze raisonéieren. D’Hosterlaabnis seet och näischt iwwer Deelungsberechtegungen oder Dateisystem-Modi, déi getrennt Paarte sinn. Den Erfolleg vun den Testinstrumenter bedeit, datt d’Hostpolitik déi Quell zougëtt, an net méi.

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

Ännert de Fichier, deen en Neistart iwwerlieft

Op engem normale Linux-Host ass de Konfiguratiounswee fix, an den Service liest en beim Neistart nees. Op engem Router oder Apparat gëtt déi lafend smb.conf dacks beim Booten erstallt, an eng manuell Ännerung verschwënnt beim nächsten Neistart. Benotzt de ënnerstëtzte Upassungsmechanismus vum Apparat, deen normalerweis en eegene Konfiguratiounsfichier ass.

D’Versuchung op dësem Punkt ass, alternativ Firmware ze flashen, well en Thread gemellt huet, et géif funktionéieren. Dat ass eng grouss Ännerung fir e klengt Politikproblem, an et bréngt den Apparat aus sengem ënnerstëtzte Zoustand. Identifizéiert fir d’éischt déi ënnerstëtzt Kontroll, well déi meescht Apparater d’Erlaabnislëscht iwwer hir eege Schnittstell weisen. Wann se dat wierklech net maachen, ass déi Limitatioun en Argument fir aner Hardware an net fir en onënnerstëtzte Build.

Schreift op, wéi ee Fichier Dir geännert hutt a wat en nees erstallt, sou datt déi nächst Persoun d’Diagnos net widderhëlt.

Test een erlaabten an een ausgeschlossene Client

Test béid Resultater, net just dat, wat Dir wollt. En erlaabte Client, deen sech verbënnt, beweist, datt d’Ännerung funktionéiert; en ausgeschlossene Client, deen nach ëmmer ofgeleent gëtt, beweist, datt d’Regel net einfach alles opgemaach huet.

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

Wann d’Verbindung smbd ni erreecht, läit d’Äntwert an der Route oder an der Firewall vum Server. Wann den Host erlaabt ass an d’Umeldung feelgeet, ass d’Identitéit de Problem, an d’Erlaabnislëscht nach eng Kéier ze vergréisseren hëlleft net. Halt diagnosteschen Output privat, well en ausféierleche Samba-Log Deelungsweeër an Accountnimm kënnt opdecken. Ännert eng Schicht pro Versuch, soss seet Iech dat nächst Resultat näischt.