Samba सर्वरपर्यंत पोहोचणाऱ्या VPN क्लायंट्सना का नाकारतो

एक VPN क्लायंट फाइल सर्व्हरला पिंग करतो, त्याचे नाव सोडवतो आणि तरीही शेअर उघडू शकत नाही। Samba चे होस्ट धोरण ते कनेक्शन नाकारू शकणाऱ्या चार स्तरांपैकी एक आहे, आणि लोक शेवटी संपादित करतात तोच स्तर। परवानगी सूचीचे मूल्यांकन smbd प्रत्यक्षात मिळवतो त्या स्रोत पत्त्याविरुद्ध होते, आणि तो क्लायंटला वाटत असलेला पत्ता नसेलही। तो स्रोत योग्यरित्या ओळखल्यास अस्पष्ट परवानगी समस्या एका ओळीच्या कॉन्फिगरेशन बदलात बदलते।

एकाच संदेशाने अपयशी होणारे चार स्तर

नकार मार्ग, होस्ट फायरवॉल, Samba होस्ट धोरण किंवा SMB ओळखीतून येऊ शकतो। प्रत्येक स्तर क्लायंटला जवळपास तेच सांगणारा संदेश देतो, म्हणून अंदाज लावण्यात अर्धा दिवस जातो। तपासण्या नेटवर्कपासून आतल्या बाजूला क्रमाने ठेवल्यास बहुतेक अंदाज नाहीसे होतात।

वाहतुकीपासून सुरुवात करा। जर पोर्ट 445 कधीही सर्व्हरपर्यंत पोहोचत नसेल, तर कोणताही Samba सेटिंग महत्त्वाचा नाही, आणि सर्व्हर इंटरफेसवरील कॅप्चर ते सेकंदांत ठरवते। पुढे सर्व्हरवरील होस्ट फायरवॉल येते, जे परवानगी असलेला स्रोत smbd पाहण्यापूर्वीच टाकून देऊ शकते। हे दोन्ही पार झाल्यावरच परवानगी सूची उमेदवार बनते। प्रमाणीकरण शेवटी येते, कारण लॉगिन अपयश आणि होस्ट नकार सर्व्हर लॉगमध्ये वेगळे दिसतात, क्लायंट दोन्हींची नोंद प्रवेश नाकारला अशी केली तरी। क्रम साधनांपेक्षा महत्त्वाचा आहे, कारण प्रत्येक स्तराकडे त्याला उत्तर देणारी आज्ञा आहे।

smbd प्रत्यक्षात पाहतो तो स्रोत पत्ता शोधा

राउटेड प्रवेशात सर्व्हर सहसा VPN पूलमधील क्लायंटचा पत्ता पाहतो। गेटवेवर स्रोत भाषांतर असल्यास तो त्याऐवजी गेटवेचा LAN पत्ता पाहतो, आणि त्या गेटवेमागील प्रत्येक क्लायंट वेगळा ओळखता येत नाही।

हा फरक ठरवतो की परवानगी सूचीतील नोंद धोरण आहे की भोक। भाषांतरित गेटवे पत्त्याला परवानगी दिल्यास त्यामागील सर्वांना प्रवेश मिळतो, जे प्रति-क्लायंट नियम क्वचितच व्यक्त करू इच्छित होता। स्रोत सर्व्हरवरून वाचा, क्लायंटच्या स्वतःच्या पत्त्याबद्दलच्या कल्पनेतून नाही। सर्व्हर इंटरफेसवरील कॅप्चर तो पाहण्याचा सर्वात स्वस्त मार्ग आहे, आणि तेच कॅप्चर पॅकेट आले की नाही हेही सिद्ध करते। कॅप्चर पॅकेट संख्येने मर्यादित करा आणि कोणत्या क्लायंटचा मागोवा घेत आहात हे कळल्यावर होस्ट फिल्टर जोडा। Samba सत्र तक्ता उत्तराचा दुसरा अर्धा भाग आहे: smbstatus -b मध्ये प्रत्येक सत्र ओळीचा क्लायंट स्तंभ smbd ने नोंदवलेला सहभागी आहे, आणि सेवेपर्यंत प्रत्यक्षात पोहोचलेल्या पत्त्याची ती सर्वात वेगवान पुष्टी आहे।

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

परवानगी सूची Samba जशी वाचतो तशी वाचा

hosts allow सेटिंग पत्ते, नेटवर्क किंवा नावांची यादी घेते, आणि ती जागतिक स्तरावर किंवा शेअरमध्ये असू शकते। तुम्हाला समान वाटणाऱ्या दोन नोंदी पार्सरला समान नसू शकतात, म्हणून प्रभावी कॉन्फिगरेशन तपासणे आवश्यक आहे। याचा अर्थ एकत्रित दृश्य, तुम्ही अपघाताने संपादित केलेली फाइल नाही।

उदाहरणादाखल दोन उपसर्ग खालील ओळीसारखे दिसतात, आणि हे उदाहरण आहे, आधीच्या नोंदींची जागा घेणारे नाही। आज कायदेशीरपणे जोडणारे प्रशासकीय आणि अनुप्रयोग क्लायंट ठेवा, आणि कोणतीही प्रतिबंध सूची त्याच टप्प्यात वाचा। होस्ट स्वीकारला जाईल की नाही हे संपूर्ण धोरणावर अवलंबून आहे, म्हणून प्राधान्याबद्दल विचार करण्याऐवजी तंतोतंत क्लायंट तपासा। होस्ट परवानगी शेअर परवानगी किंवा फाइलसिस्टम मोडबद्दलही काही सांगत नाही, ते वेगळे दरवाजे आहेत। चाचणी साधनांचे यश म्हणजे होस्ट धोरण तो स्रोत स्वीकारते, आणि त्यापेक्षा जास्त काही नाही।

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

रीबूटनंतर टिकणारी फाइल बदला

सामान्य Linux होस्टवर कॉन्फिगरेशन मार्ग निश्चित असतो आणि रीस्टार्टवर सेवा तो पुन्हा वाचते। राउटर किंवा उपकरणावर चालणारी smb.conf बऱ्याचदा बूटवेळी तयार होते, आणि हाताने केलेला बदल पुढील रीबूटवर नाहीसा होतो। उपकरणाची समर्थित सानुकूलन पद्धत वापरा, जी सहसा त्याची स्वतःची कॉन्फिगरेशन फाइल असते।

या टप्प्यावर मोह हा आहे की एका थ्रेडने काम करते असे सांगितल्यामुळे पर्यायी फर्मवेअर फ्लॅश करावे। लहान धोरण समस्येसाठी हा मोठा बदल आहे, आणि उपकरणाला त्याच्या समर्थित स्थितीबाहेर नेतो। आधी समर्थित नियंत्रण ओळखा, कारण बहुतेक उपकरणे परवानगी सूची स्वतःच्या इंटरफेसवरून दाखवतात। त्यांनी खरोखर तसे केले नाही तर ती मर्यादा वेगळ्या हार्डवेअरच्या बाजूने युक्तिवाद आहे, असमर्थित बिल्डच्या बाजूने नाही।

तुम्ही कोणती फाइल बदलली आणि ती काय पुन्हा तयार करते हे नोंदवा, जेणेकरून पुढील व्यक्ती निदानाची पुनरावृत्ती करणार नाही।

एका परवानगी असलेल्या आणि एका वगळलेल्या क्लायंटची चाचणी करा

दोन्ही निकालांची चाचणी करा, फक्त तुम्हाला हवा असलेल्या एकाची नाही। जोडणारा परवानगी असलेला क्लायंट बदल काम करतो हे सिद्ध करतो; अजूनही नाकारला जाणारा वगळलेला क्लायंट नियमाने सर्व काही उघडले नाही हे सिद्ध करतो।

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

कनेक्शन कधीही smbd पर्यंत पोहोचत नसेल, तर उत्तर राउटिंगमध्ये किंवा सर्व्हर फायरवॉलमध्ये असते। होस्टला परवानगी असून लॉगिन अयशस्वी झाल्यास समस्या ओळखीची आहे आणि परवानगी सूची पुन्हा रुंदावण्याने मदत होणार नाही। निदान आउटपुट खाजगी ठेवा, कारण तपशीलवार Samba लॉग शेअर मार्ग आणि खात्यांची नावे उघड करू शकतो। प्रत्येक प्रयत्नात एक स्तर बदला, अन्यथा पुढील निकाल तुम्हाला काहीही सांगणार नाही।