Kāpēc Samba noraida VPN klientus, kas sasniedz serveri

VPN klients pingē failu serveri, atrisina tā vārdu un tomēr nevar atvērt koplietojumu. Samba resursdatora politika ir viens no četriem slāņiem, kas var noraidīt šo savienojumu, un cilvēki to rediģē pēdējo. Atļauto saraksts tiek vērtēts pret avota adresi, ko smbd faktiski saņem, un tā var nebūt tā adrese, ko klients uzskata sev esam. Pareizi nosakot šo avotu, neskaidra atļauju problēma pārvēršas vienas rindas konfigurācijas izmaiņā.

Četri slāņi, kas neizdodas ar to pašu ziņojumu

Noraidījums var nākt no maršruta, resursdatora ugunsmūra, Samba resursdatora politikas vai SMB identitātes. Katrs slānis klientam sniedz ziņojumu, kas saka apmēram to pašu, tāpēc minēšana izmaksā pusi dienas. Pārbaudes sakārtojot no tīkla uz iekšu, lielākā daļa minējumu pazūd.

Sāciet ar transportu. Ja 445 ports nekad nesasniedz serveri, neviena Samba iestatījums nav svarīgs, un uztveršana servera saskarnē to atrisina sekundēs. Tālāk nāk resursdatora ugunsmūris pašā serverī, kas var izmest atļauto avotu, pirms smbd to vispār redz. Tikai pēc tam, kad šie divi ir izgājuši, atļauto saraksts kļūst par kandidātu. Autentifikācija ir pēdējā, jo neveiksmīga pieteikšanās un resursdatora noraidījums servera žurnālā izskatās atšķirīgi, pat ja klients abus ziņo kā liegta piekļuve. Secība ir svarīgāka par rīkiem, jo katram slānim ir komanda, kas uz to atbild.

Atrodiet avota adresi, ko smbd faktiski redz

Maršrutētā piekļuvē serveris parasti redz klienta adresi no VPN pūla. Ja vārtejā ir avota tulkošana, tas tā vietā redz vārtejas LAN adresi, un katrs klients aiz šīs vārtejas kļūst neatšķirams.

Šī atšķirība nosaka, vai atļauto saraksta ieraksts ir politika vai caurums. Atļaujot tulkotu vārtejas adresi, tiek ielaisti visi aiz tās, ko noteikums uz klientu reti gribēja izteikt. Lasiet avotu serverī, nevis klienta priekšstatā par savu adresi. Uztveršana servera saskarnē ir lētākais veids, kā to redzēt, un tā pati uztveršana pierāda, vai pakete vispār ieradās. Ierobežojiet uztveršanu ar pakešu skaitu un pievienojiet resursdatora filtru, kad zināt, kuram klientam sekojat. Samba sesiju tabula ir otra atbildes puse: smbstatus -b izvadē katras sesijas rindas klienta kolonna ir partneris, ko smbd reģistrēja, un tas ir ātrākais apstiprinājums adresei, kas faktiski sasniedza pakalpojumu.

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

Lasiet atļauto sarakstu tā, kā to lasa Samba

Iestatījums hosts allow ņem adrešu, tīklu vai nosaukumu sarakstu, un tas var būt globāls vai koplietojuma iekšienē. Divi ieraksti, kas jums šķiet līdzvērtīgi, var nebūt līdzvērtīgi parserim, tāpēc pārbaudāma ir tieši efektīvā konfigurācija. Tas nozīmē apvienoto skatu, nevis failu, ko nejauši rediģējāt.

Ilustratīvs prefiksu pāris izskatās kā rinda zemāk, un tas ir piemērs, nevis jau esošo ierakstu aizstājējs. Saglabājiet administratīvos un lietotņu klientus, kas šodien likumīgi savienojas, un izlasiet jebkuru aizliegumu sarakstu tajā pašā piegājienā. Vai resursdators tiek pieņemts, ir atkarīgs no politikas kopumā, tāpēc testējiet precīzu klientu, nevis spriediet par prioritāti. Resursdatora atļauja arī neko neizsaka par koplietojuma atļaujām vai failu sistēmas režīmiem, kas ir atsevišķi vārti. Testa rīku panākums nozīmē, ka resursdatora politika pieņem šo avotu, un neko vairāk.

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

Mainiet failu, kas pārdzīvo pārstartēšanu

Parastā Linux resursdatorā konfigurācijas ceļš ir fiksēts, un pakalpojums to nolasa no jauna pārstartējot. Maršrutētājā vai ierīcē darbojošais smb.conf bieži tiek ģenerēts ielādes laikā, un manuāls labojums pazūd nākamajā pārstartēšanā. Izmantojiet atbalstīto ierīces pielāgošanas mehānismu, kas parasti ir atsevišķs konfigurācijas fails.

Šajā posmā kārdinājums ir ielādēt alternatīvu programmaparatūru, jo viena pavediens ziņoja, ka tas darbojas. Tas ir liels pavērsiens mazai politikas problēmai, un tas izved ierīci no atbalstītā stāvokļa. Vispirms nosakiet atbalstīto vadību, jo lielākā daļa ierīču atļauto sarakstu parāda caur savu saskarni. Ja viņi tiešām to nedara, šis ierobežojums ir arguments par labu citai aparatūrai, nevis neatbalstītai būvei.

Pierakstiet, kuru failu mainījāt un kas to atkal ģenerē, lai nākamā persona neatkārtotu diagnostiku.

Pārbaudiet vienu atļauto un vienu izslēgto klientu

Pārbaudiet abus iznākumus, ne tikai vēlamo. Atļauts klients, kas savienojas, pierāda, ka izmaiņas darbojas; izslēgts klients, kas joprojām tiek noraidīts, pierāda, ka noteikums vienkārši neatvēra visu.

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

Kad savienojums nekad nesasniedz smbd, atbilde ir maršrutēšanā vai servera ugunsmūrī. Ja resursdators ir atļauts un pieteikšanās neizdodas, problēma ir identitātē, un atļauto saraksta paplašināšana atkal nepalīdzēs. Turiet diagnostikas izvadi privātu, jo detalizēts Samba žurnāls var atklāt koplietojumu ceļus un kontu nosaukumus. Mainiet vienu slāni katrā mēģinājumā, citādi nākamais rezultāts jums neko nepateiks.