Поврзување на VPN споделен диск со сметката Samba што серверот ја знае

Поврзете го тунелот и споделувањето сѐ уште бара лозинка за која корисникот мисли дека е точна. Во самостојно распоредување на Samba, најавувањето VPN и најавувањето SMB се неповрзани акредитиви: едното го овластува тунелот, другото го проверува серверот за датотеки. Затоа поврзувањето на дискот со VPN сметката не успева дури и кога лозинката е точна и мрежната патека е совршена. Таа разлика ги објаснува повеќето неуспеси при поврзување преку VPN.

Решението не е ресетирање на VPN сметката. Туку именување идентитет што Samba серверот навистина го знае, потоа проверка дали истиот идентитет има права на споделувањето и директориумот.

Најавувањето VPN и најавувањето SMB се различни идентитети

VPN сметката ја оценува VPN портата според сопствената политика. Таа одговара дали овој клиент може да влезе во приватната мрежа. Не кажува ништо за тоа која SMB сметка постои на сервер за датотеки во таа мрежа.

Сметката Samba живее во заднината за автентикација на серверот, со сопствена база на лозинки и сопствено име. Две машини можат двете да имаат корисник по име alice без да делат систем за идентитет, лозинка или идентификатор на корисник. Имињата се совпаѓаат; сметките не.

Samba сервер интегриран во домен ја менува сликата: идентитетот доаѓа од директориумот и од Kerberos, не од локален список на сметки. Во тој случај користете го идентитетот од директориумот и поддржаната SMB конфигурација наместо да создавате локални дупликати што имитираат членство во домен. Проверете кој модел го користи серверот пред да создадете каква било сметка.

Видете кој идентитет Windows навистина го користи

Windows ги кешира врските по сервер. Ако постојната сесија кон истиот сервер е отворена со друга сметка, новото поврзување може повторно да ја искористи таа сесија или да не успее со грешка за автентикација што го именува погрешниот корисник. Така точната лозинка изгледа погрешна. Прегледајте ги тековните врски пред да ги промените акредитивите.

net use
cmdkey /list
klist

Првата команда ги прикажува поврзаните дискови и отворените сесии, втората ги прикажува зачуваните акредитиви што можат автоматски да се применат, а третата ги прикажува билетите Kerberos кога се користи домен. Зачувани акредитиви можат тивко да ја заменат сметката што сте имале намера да ја внесете.

Отстранете само врската или акредитивите што припаѓаат на овој проблем. Исклучувањето на сите дискови или замената на името на серверот со IP адреса го крие изборот на идентитет и може да го наруши потпишувањето или политиките засновани на имиња.

Поврзете го споделувањето со сметката што серверот ја препознава

Наведете ја сметката во формата што серверот ја очекува и оставете Windows да ја побара лозинката, за да не заврши тајната во историјата на команди или во скрипта:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Серверскиот дел пред обратната коса црта е контекстот на идентитет на Samba серверот, не VPN портата. Ѕвездичката бара интерактивно барање лозинка, а /persistent:no го држи поврзувањето надвор од следната најава. Изберете слободна буква на диск.

Ако серверот е интегриран во домен, корисничкиот дел може наместо тоа да биде име на директориум или идентитет со доменски префикс. Користете ја формата документирана од администраторот; измислувањето локална сметка со истото име создава втор идентитет и втора лозинка за одржување.

Валидноста на сметката, пристапот до споделувањето и правата на датотечниот систем се три проверки

Samba проверува дали идентитетот се автентикува, дали дефиницијата на споделувањето го прифаќа и дали датотечниот систем ја доделува бараната операција. Поминувањето на првата проверка не значи и другите две. Споделувањето може да биде видливо, а сепак да одбива записи затоа што така велат дозволите на директориумот.

Споделување ограничено со valid users прифаќа само наведените сметки или групи. Сметката може правилно да се автентикува и сепак да биде одбиена од таа линија. Проверете ја дефиницијата на споделувањето пред да заклучите дека лозинката е погрешна.

На страната на датотечниот систем значат и процесот Samba и поврзаниот идентитет. Директориум во сопственост на root со режим 700 нема да прими записи од обична сметка, дури и кога дефиницијата на споделувањето го дозволува тоа. Тестирајте со читање, потоа со запишување во директориум што сметката треба да го користи.

Исчистете конфликтна сесија без да ја нарушите политиката

Кога причината е застарена сесија, затворете ја токму таа врска и поврзете се повторно со предвидената сметка. Ако зачуваните акредитиви продолжуваат да се враќаат, отстранете ги нив наместо целиот список на дискови. Потоа потврдете ја новата сесија со net use.

Задржете го бараното SMB потпишување, шифрирањето и политиката за сметки. Сервер што одбива непотпишана или нешифрирана сесија спроведува политика, а не чита погрешно лозинката, и нејзиното слабеење за да успее поврзувањето ја менува безбедноста за симптом.

Запишете го името на серверот, точната форма на сметката и правата на споделувањето и директориумот што работеле. Инаку следната личност што ќе го поврзе дискот прво ќе ја проба најавата VPN, бидејќи тоа се акредитивите со кои стигнала до мрежата.