Samba яагаад серверт хүрдэг VPN клиентүүдийг татгалздаг вэ

VPN клиент файлын серверт ping хийж, нэрийг нь шийдэж чаддаг ч хуваалтыг нээж чадахгүй. Samba-гийн хост бодлого нь энэ холболтыг татгалзаж болох дөрвөн давхаргын нэг бөгөөд хүмүүс хамгийн сүүлд засварладаг давхарга нь энэ юм. Зөвшөөрөгдсөн жагсаалт нь smbd-ийн бодитоор хүлээж авдаг эх хаягтай харьцуулагдана, тэр нь клиентийн өөртөө байна гэж боддог хаяг биш байж болно. Тэр эх сурвалжийг зөв тодорхойлбол бүрхэг зөвшөөрлийн асуудал нэг мөрийн тохиргооны өөрчлөлт болно.

Ижил мессежээр бүтэлгүйтдэг дөрвөн давхарга

Татгалзалт нь маршрут, хостны галт хана, Samba-гийн хост бодлого эсвэл SMB таних тэмдэгээс ирж болно. Давхарга бүр клиентэд ойролцоогоор ижил зүйл хэлдэг мессеж өгдөг тул таамаглах нь хагас өдрийг иддэг. Шалгалтуудыг сүлжээнээс дотогш эрэмбэлбэл ихэнх таамаглал арилна.

Тээвэрээс эхэл. Хэрэв 445 порт серверт хэзээ ч хүрэхгүй бол ямар ч Samba тохиргоо хамаагүй бөгөөд серверийн интерфэйс дээрх бичлэг үүнийг секундэд шийднэ. Дараа нь сервер дээрх хостны галт хана ирнэ, тэр нь зөвшөөрөгдсөн эх сурвалжийг smbd харахаас өмнө хаяж болно. Энэ хоёр дамжсаны дараа л зөвшөөрөгдсөн жагсаалт нэр дэвшигч болно. Таних баталгаажуулалт хамгийн сүүлд ирнэ, учир нь нэвтрэлтийн бүтэлгүйтэл ба хостны татгалзалт серверийн бүртгэлд өөрөөр харагдана, клиент хоёуланг нь нэвтрэх хориглосон гэж мэдээлсэн ч. Дараалал хэрэгслүүдээс илүү чухал, учир нь давхарга бүрт түүнд хариу өгдөг команд байдаг.

smbd-ийн бодитоор хардаг эх хаягийг олоорой

Маршрутлагдсан хандалтад сервер ихэвчлэн клиентийн хаягийг VPN нөөцөөс хардаг. Гарц дээр эх сурвалжийн хөрвүүлэлт байвал оронд нь гарцын LAN хаягийг харна, тэр гарцын ард байгаа клиент бүр ялгагдахгүй болно.

Энэ ялгаа нь зөвшөөрөгдсөн жагсаалтын бичлэг бодлого уу, нүх үү гэдгийг шийднэ. Хөрвүүлсэн гарцын хаягийг зөвшөөрөх нь түүний ард байгаа бүгдийг оруулна, клиент тус бүрийн дүрэм үүнийг ховор илэрхийлэхийг хүсдэг байсан. Эх сурвалжийг клиентийн өөрийн хаягийн талаарх төсөөллөөс биш, серверээс унш. Серверийн интерфэйс дээрх бичлэг нь үүнийг харах хамгийн хямд арга бөгөөд мөн бичлэг пакет ирсэн эсэхийг нотолно. Бичлэгийг пакетын тоогоор хязгаарлаж, аль клиентийг дагаж байгаагаа мэдсэн үед хостны шүүлтүүр нэм. Samba-гийн сессийн хүснэгт хариултын нөгөө хагас: smbstatus -b гаралтад сессийн мөр бүрийн клиент багана нь smbd-ийн бүртгэсэн тал бөгөөд үйлчилгээнд бодитоор хүрсэн хаягийн хамгийн хурдан баталгаа юм.

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

Зөвшөөрөгдсөн жагсаалтыг Samba уншдаг шигээ унш

hosts allow тохиргоо нь хаяг, сүлжээ эсвэл нэрсийн жагсаалтыг авдаг бөгөөд глобалаар эсвэл хуваалтын дотор байж болно. Танд тэнцүү мэт санагдах хоёр бичлэг задлагчид тэнцүү биш байж болно, тиймээс шалгах ёстой зүйл бол бодит үйлчлэх тохиргоо юм. Энэ нь нэгтгэсэн харагдац гэсэн үг, санамсаргүй засварласан файл биш.

Илтгэл үзүүлэх префиксийн хос доорх мөр шиг харагдана, энэ нь жишээ бөгөөд аль хэдийн байгаа бичлэгүүдийн орлуулалт биш. Өнөөдөр хууль ёсоор холбогддог захиргааны болон аппликейшн клиентүүдийг үлдээж, ямар ч хориглох жагсаалтыг нэг л дамжуулалтад унш. Хост хүлээн авах эсэх нь бодлого бүхэлдээ хамаарна, тиймээс давуу эрхийн талаар бодохын оронд яг тэр клиентийг турш. Хостны зөвшөөрөл нь хуваалтын зөвшөөрөл эсвэл файлын системийн горимын талаар юу ч хэлэхгүй, тэдгээр нь тусдаа хаалга юм. Туршилтын хэрэгслийн амжилт нь хост бодлого тэр эх сурвалжийг хүлээн авна гэсэн үг, үүнээс хэтрэхгүй.

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

Дахин ачаалсны дараа үлддэг файлыг өөрчил

Ердийн Linux хост дээр тохиргооны зам тогтмол бөгөөд дахин ачаалахад үйлчилгээ түүнийг дахин уншдаг. Чиглүүлэгч эсвэл төхөөрөмж дээр ажиллаж буй smb.conf ихэвчлэн ачаалах үед үүсдэг бөгөөд гарын засвар дараагийн ачаалалтад алга болно. Төхөөрөмжийн дэмжигдсэн тохируулгын механизмыг ашигла, энэ нь ихэвчлэн өөрийн тохиргооны файл байдаг.

Энэ үеийн уруу таталт бол нэг сэдэв ажиллаж байна гэж мэдээлсэн тул өөр firmware-ийг бичих явдал юм. Энэ нь жижиг бодлогын асуудалд том өөрчлөлт бөгөөд төхөөрөмжийг дэмжигдсэн төлөвөөс нь гаргана. Эхлээд дэмжигдсэн удирдлагыг тодорхойл, учир нь ихэнх төхөөрөмж зөвшөөрөгдсөн жагсаалтыг өөрийн интерфэйсээр харуулдаг. Хэрэв тэд үнэхээр тэгдэггүй бол тэр хязгаарлалт нь өөр техник хангамжийн талд аргумент, дэмжлэггүй бүтээцийн талд биш.

Аль файлыг өөрчилснөө болон түүнийг юу дахин үүсгэдгийг бичиж үлдээ, дараагийн хүн оношилгоог давтахгүйн тулд.

Нэг зөвшөөрөгдсөн, нэг хасагдсан клиентийг турш

Хоёр үр дүнг турш, зөвхөн хүссэнээ биш. Холбогддог зөвшөөрөгдсөн клиент өөрчлөлт ажиллаж байгааг нотолно; одоо ч татгалзагдаж буй хасагдсан клиент дүрэм зүгээр л бүгдийг нээгээгүйг нотолно.

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

Холболт smbd-д хэзээ ч хүрэхгүй бол хариулт нь чиглүүлэлт эсвэл серверийн галт хана дотор байна. Хост зөвшөөрөгдсөн боловч нэвтрэлт бүтэлгүйтвэл асуудал таних тэмдэгт байгаа бөгөөд зөвшөөрөгдсөн жагсаалтыг дахин өргөтгөх нь тус болохгүй. Оношилгооны гаралтыг нууцлаг байлга, учир нь дэлгэрэнгүй Samba бүртгэл хуваалтын зам, дансны нэрийг илчилж болно. Оролдлого бүрт нэг давхаргыг өөрчил, эс бөгөөс дараагийн үр дүн танд юу ч хэлэхгүй.