VPN failu koplietojuma pievienošana ar Samba kontu, ko serveris pazīst

Pievienojiet tuneli, un koplietojums joprojām prasa paroli, ko lietotājs uzskata par pareizu. Autonomā Samba izvietojumā VPN pieteikšanās un SMB pieteikšanās ir nesaistīti akreditācijas dati: viens autorizē tuneli, otru pārbauda failu serveris. Tāpēc diska pievienošana ar VPN kontu neizdodas arī tad, kad parole ir pareiza un tīkla ceļš ir nevainojams. Šī atšķirība izskaidro lielāko daļu pievienošanas kļūdu VPN vidē.

Risinājums nav atiestatīt VPN kontu. Tas ir nosaukt identitāti, ko Samba serveris patiešām pazīst, un pēc tam pārbaudīt, vai šai pašai identitātei ir tiesības uz koplietojumu un direktoriju.

VPN pieteikšanās un SMB pieteikšanās ir dažādas identitātes

VPN kontu vērtē VPN vārteja saskaņā ar savu politiku. Tā atbild, vai šis klients drīkst iekļūt privātajā tīklā. Tā neko nesaka par to, kurš SMB konts pastāv failu serverī šajā tīklā.

Samba konts dzīvo servera autentifikācijas aizmugurē ar savu paroļu datubāzi un savu nosaukumu. Divām mašīnām var būt lietotājs ar nosaukumu alice, nekopīgojot identitātes sistēmu, paroli vai lietotāja identifikatoru. Nosaukumi sakrīt; konti ne.

Domēnā integrēts Samba serveris maina ainu: identitāte nāk no direktorija un Kerberos, nevis no vietējā kontu saraksta. Tādā gadījumā izmantojiet direktorija identitāti un atbalstīto SMB konfigurāciju, nevis veidojiet vietējus dublikātus, lai atdarinātu dalību domēnā. Pirms jebkura konta izveides pārbaudiet, kuru modeli serveris izmanto.

Apskatiet, kuru identitāti Windows patiešām izmanto

Windows kešatmiņā glabā savienojumus katram serverim. Ja esošā sesija uz to pašu serveri tika atvērta ar citu kontu, jauns pievienojums var atkārtoti izmantot šo sesiju vai neizdoties ar autentifikācijas kļūdu, kas nosauc nepareizo lietotāju. Tā pareiza parole izskatās nepareiza. Pirms akreditācijas datu maiņas pārbaudiet pašreizējos savienojumus.

net use
cmdkey /list
klist

Pirmā komanda rāda pievienotos diskus un atvērtās sesijas, otrā rāda saglabātos akreditācijas datus, ko var piemērot automātiski, bet trešā rāda Kerberos biļetes, kad tiek izmantots domēns. Saglabāts akreditācijas datu ieraksts var klusi aizstāt kontu, ko grasījāties ievadīt.

Noņemiet tikai to savienojumu vai akreditācijas datus, kas attiecas uz šo problēmu. Visu disku atvienošana vai servera nosaukuma aizstāšana ar IP adresi slēpj identitātes izvēli un var sabojāt parakstīšanu vai uz nosaukumiem balstītu politiku.

Pievienojiet koplietojumu ar kontu, ko serveris atpazīst

Norādiet kontu formā, kādu serveris sagaida, un ļaujiet Windows pieprasīt paroli, lai noslēpums nenokļūtu komandu vēsturē vai skriptā:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Servera daļa pirms apgrieztās slīpsvītras ir Samba servera identitātes konteksts, nevis VPN vārteja. Zvaigznīte pieprasa interaktīvu paroles uzvedni, un /persistent:no notur pievienojumu ārpus nākamās pieteikšanās. Izvēlieties brīvu diska burtu.

Ja serveris ir integrēts domēnā, lietotāja daļa tā vietā var būt direktorija nosaukums vai domēna kvalificēta identitāte. Izmantojiet formu, ko dokumentē administrators; vietēja konta izgudrošana ar tādu pašu nosaukumu rada otru identitāti un otru paroli, kas jāuztur.

Konta derīgums, piekļuve koplietojumam un failu sistēmas tiesības ir trīs pārbaudes

Samba pārbauda, vai identitāte autentificējas, vai koplietojuma definīcija to pieņem, un vai failu sistēma piešķir pieprasīto darbību. Pirmās pārbaudes iziešana nenozīmē, ka iziet arī pārējās divas. Koplietojums var būt redzams un tomēr atteikt rakstīšanu, jo tā saka direktorija atļaujas.

Koplietojums, kas ierobežots ar valid users, pieņem tikai uzskaitītos kontus vai grupas. Konts var pareizi autentificēties un tomēr tikt noraidīts šajā rindā. Pirms secināt, ka parole ir nepareiza, pārbaudiet koplietojuma definīciju.

Failu sistēmas pusē nozīme ir gan Samba procesam, gan pievienotajai identitātei. Direktorijs, kas pieder root ar režīmu 700, nepieņems rakstīšanu no parasta konta, pat ja koplietojuma definīcija to atļauj. Pārbaudiet ar lasīšanu un pēc tam rakstīšanu direktorijā, kuru kontam jāizmanto.

Novērsiet konfliktējošu sesiju, nepārkāpjot politiku

Ja cēlonis ir novecojusi sesija, aizveriet tieši šo savienojumu un pievienojiet vēlreiz ar paredzēto kontu. Ja saglabātie akreditācijas dati turpina atgriezties, noņemiet tos, nevis visu disku sarakstu. Pēc tam apstipriniet jauno sesiju ar net use.

Saglabājiet nepieciešamo SMB parakstīšanu, šifrēšanu un kontu politiku. Serveris, kas atsakās no neparakstītas vai nešifrētas sesijas, īsteno politiku, nevis nepareizi nolasa paroli, un tās vājināšana, lai pievienošana izdotos, maina drošību pret simptomu.

Pierakstiet servera nosaukumu, precīzu konta formu un koplietojuma un direktorija tiesības, kas darbojās. Citādi nākamā persona, kas pievienos disku, vispirms mēģinās VPN pieteikšanos, jo tie ir akreditācijas dati, ar kuriem tā sasniedza tīklu.