VPN failų bendrinimo prijungimas su Samba paskyra, kurią serveris žino

Prijunkite tunelį, o bendrinimas vis dar prašo slaptažodžio, kurį naudotojas laiko teisingu. Savarankiškoje Samba diegtyje VPN prisijungimas ir SMB prisijungimas yra nesusiję kredencialai: vienas įgalioja tunelį, kitą tikrina failų serveris. Todėl disko prijungimas su VPN paskyra nepavyksta net tada, kai slaptažodis teisingas, o tinklo kelias tobulas. Šis skirtumas paaiškina daugumą prijungimo per VPN nesėkmių.

Sprendimas nėra iš naujo nustatyti VPN paskyrą. Reikia įvardyti tapatybę, kurią Samba serveris tikrai žino, ir tada patikrinti, ar ta pati tapatybė turi teises į bendrinimą ir katalogą.

VPN prisijungimas ir SMB prisijungimas yra skirtingos tapatybės

VPN paskyrą vertina VPN šliuzas pagal savo politiką. Jis atsako, ar šis klientas gali patekti į privatų tinklą. Jis nieko nesako apie tai, kuri SMB paskyra egzistuoja failų serveryje tame tinkle.

Samba paskyra gyvena serverio autentifikavimo viduje, su sava slaptažodžių baze ir savo vardu. Du kompiuteriai gali abu turėti naudotoją vardu alice, nesidalydami tapatybės sistemos, slaptažodžio ar naudotojo identifikatoriaus. Vardai sutampa; paskyros ne.

Į domeną integruotas Samba serveris keičia vaizdą: tapatybė ateina iš katalogo ir Kerberos, o ne iš vietinio paskyrų sąrašo. Tokiu atveju naudokite katalogo tapatybę ir palaikomą SMB konfigūraciją, o ne kurkite vietinius dublikatus, imituodami narystę domene. Prieš kurdami bet kokią paskyrą patikrinkite, kurį modelį naudoja serveris.

Pažiūrėkite, kurią tapatybę Windows iš tikrųjų naudoja

Windows kaupia jungtis pagal serverį. Jei esama sesija į tą patį serverį buvo atidaryta su kita paskyra, naujas prijungimas gali pakartotinai naudoti tą sesiją arba nepavykti su autentifikavimo klaida, nurodančia ne tą naudotoją. Taip teisingas slaptažodis atrodo neteisingas. Prieš keisdami kredencialus peržiūrėkite dabartines jungtis.

net use
cmdkey /list
klist

Pirmoji komanda rodo prijungtus diskus ir atidarytas sesijas, antroji – išsaugotus kredencialus, kuriuos galima taikyti automatiškai, o trečioji – Kerberos bilietus, kai naudojamas domenas. Išsaugotas kredencialas gali tyliai pakeisti paskyrą, kurią ketinote įvesti.

Pašalinkite tik su šia problema susijusią jungtį ar kredencialą. Atjungti visus diskus arba pakeisti serverio vardą IP adresu – tai paslėpti tapatybės pasirinkimą ir gali sugadinti parašą ar politikas, pagrįstas vardais.

Prijunkite bendrinimą su paskyra, kurią serveris atpažįsta

Nurodykite paskyrą tokia forma, kokios tikisi serveris, ir leiskite Windows paprašyti slaptažodžio, kad paslaptis nepatektų į komandų istoriją ar scenarijų:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Serverio dalis prieš atgalinį pasvirąjį brūkšnį yra Samba serverio tapatybės kontekstas, o ne VPN šliuzas. Žvaigždutė prašo interaktyvaus slaptažodžio užklausos, o /persistent:no neleidžia prijungimui patekti į kitą prisijungimą. Pasirinkite laisvą disko raidę.

Jei serveris integruotas į domeną, naudotojo dalis gali būti katalogo vardas arba domeno kvalifikuota tapatybė. Naudokite formą, kurią dokumentuoja administratorius; sugalvoti vietinę paskyrą tuo pačiu vardu sukuria antrą tapatybę ir antrą slaptažodį, kurį reikia prižiūrėti.

Paskyros galiojimas, prieiga prie bendrinimo ir failų sistemos teisės yra trys patikros

Samba tikrina, ar tapatybė autentifikuojasi, ar bendrinimo aprašas ją priima, ir ar failų sistema suteikia prašomą operaciją. Pirmos patikros praėjimas nereiškia, kad praeis ir kitos dvi. Bendrinimas gali būti matomas ir vis tiek atsisakyti rašymo, nes taip sako katalogo teisės.

Bendrinimas, apribotas naudojant valid users, priima tik išvardytas paskyras ar grupes. Paskyra gali teisingai autentifikuotis ir vis tiek būti atmesta šios eilutės. Prieš darydami išvadą, kad slaptažodis neteisingas, patikrinkite bendrinimo aprašą.

Failų sistemos pusėje svarbu ir Samba procesas, ir prijungta tapatybė. Katalogas, priklausantis root su 700 režimu, nepriims rašymo iš įprastos paskyros, net jei bendrinimo aprašas tai leidžia. Išbandykite skaitymą, o paskui rašymą kataloge, kurį paskyra turėtų naudoti.

Išspręskite konfliktuojančią sesiją nepažeisdami politikos

Kai priežastis yra pasenusi sesija, uždarykite tą vieną jungtį ir prijunkite iš naujo su numatyta paskyra. Jei išsaugotas kredencialas vis grįžta, pašalinkite jį, o ne visą diskų sąrašą. Tada patvirtinkite naują sesiją naudodami net use.

Išlaikykite reikalaujamą SMB parašą, šifravimą ir paskyrų politiką. Serveris, kuris atsisako nepasirašytos ar nešifruotos sesijos, vykdo politiką, o ne neteisingai skaito slaptažodį, ir jos susilpninimas, kad prijungimas pavyktų, keičia saugumą į simptomą.

Užrašykite serverio vardą, tikslią paskyros formą ir bendrinimo bei katalogo teises, kurios veikė. Priešingu atveju kitas žmogus, prijungsiantis diską, pirmiausia bandys VPN prisijungimą, nes tai kredencialai, su kuriais jis pasiekė tinklą.