Memetakan perkongsian fail VPN dengan akaun Samba yang dikenali pelayan

Sambungkan terowong dan perkongsian masih meminta kata laluan yang dianggap betul oleh pengguna. Dalam penggunaan Samba berdiri sendiri, log masuk VPN dan log masuk SMB ialah kelayakan yang tidak berkaitan: satu membenarkan terowong, satu lagi diperiksa oleh pelayan fail. Oleh itu pemetaan pemacu dengan akaun VPN gagal walaupun kata laluan betul dan laluan rangkaian sempurna. Perbezaan inilah yang menjelaskan kebanyakan kegagalan pemetaan melalui VPN.

Penyelesaiannya bukan menetapkan semula akaun VPN. Penyelesaiannya ialah menamakan identiti yang benar-benar dikenali pelayan Samba, kemudian memeriksa bahawa identiti yang sama mempunyai hak pada perkongsian dan direktori.

Log masuk VPN dan log masuk SMB ialah identiti yang berbeza

Akaun VPN dinilai oleh get laluan VPN mengikut dasarnya sendiri. Ia menjawab sama ada klien ini boleh masuk ke rangkaian peribadi. Ia tidak berkata apa-apa tentang akaun SMB mana yang wujud pada pelayan fail dalam rangkaian itu.

Akaun Samba tinggal dalam backend pengesahan pelayan, dengan pangkalan data kata laluan dan namanya sendiri. Dua mesin boleh kedua-duanya mempunyai pengguna bernama alice tanpa berkongsi sistem identiti, kata laluan atau pengecam pengguna. Nama sepadan; akaun tidak.

Pelayan Samba yang bersepadu domain mengubah gambaran: identiti datang dari direktori dan Kerberos, bukan dari senarai akaun tempatan. Dalam kes itu gunakan identiti direktori dan konfigurasi SMB yang disokong dan bukan mencipta pendua tempatan untuk meniru keahlian domain. Periksa model mana yang digunakan pelayan sebelum mencipta sebarang akaun.

Lihat identiti mana yang sebenarnya digunakan Windows

Windows menyimpan sambungan dalam cache mengikut pelayan. Jika sesi sedia ada ke pelayan yang sama dibuka dengan akaun lain, pemetaan baharu boleh menggunakan semula sesi itu atau gagal dengan ralat pengesahan yang menamakan pengguna yang salah. Begitulah kata laluan yang betul kelihatan salah. Periksa sambungan semasa sebelum menukar kelayakan.

net use
cmdkey /list
klist

Perintah pertama menunjukkan pemacu yang dipetakan dan sesi terbuka, perintah kedua menunjukkan kelayakan tersimpan yang mungkin digunakan secara automatik, dan perintah ketiga menunjukkan tiket Kerberos apabila domain digunakan. Kelayakan tersimpan boleh menimpa akaun yang anda mahu taip secara senyap.

Alih keluar hanya sambungan atau kelayakan yang berkaitan dengan masalah ini. Memutuskan semua pemacu atau menggantikan nama pelayan dengan alamat IP menyembunyikan pilihan identiti dan boleh merosakkan tandatangan atau dasar berasaskan nama.

Petakan perkongsian dengan akaun yang dikenali pelayan

Berikan akaun dalam bentuk yang dijangka pelayan dan biarkan Windows meminta kata laluan, supaya rahsia tidak masuk ke sejarah perintah atau skrip:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Bahagian pelayan sebelum garis miring terbalik ialah konteks identiti pelayan Samba, bukan get laluan VPN. Tanda bintang meminta gesaan kata laluan interaktif, dan /persistent:no menyimpan pemetaan di luar log masuk seterusnya. Pilih huruf pemacu yang kosong.

Jika pelayan bersepadu domain, bahagian pengguna mungkin nama direktori atau identiti layak domain. Gunakan bentuk yang didokumenkan pentadbir; mereka akaun tempatan dengan nama yang sama mencipta identiti kedua dan kata laluan kedua untuk diselenggara.

Kesahan akaun, akses perkongsian dan hak sistem fail ialah tiga pemeriksaan

Samba memeriksa sama ada identiti disahkan, sama ada takrif perkongsian menerimanya, dan sama ada sistem fail memberikan operasi yang diminta. Lulus pemeriksaan pertama tidak bermakna dua lagi lulus. Perkongsian boleh kelihatan tetapi menolak penulisan kerana kebenaran direktori berkata begitu.

Perkongsian yang dihadkan dengan valid users hanya menerima akaun atau kumpulan yang disenaraikan. Akaun boleh disahkan dengan betul dan masih ditolak oleh baris itu. Periksa takrif perkongsian sebelum membuat kesimpulan kata laluan salah.

Di sisi sistem fail, proses Samba dan identiti yang dipetakan kedua-duanya penting. Direktori milik root dengan mod 700 tidak akan menerima penulisan daripada akaun biasa walaupun takrif perkongsian membenarkannya. Uji dengan bacaan, kemudian penulisan, dalam direktori yang sepatutnya digunakan akaun.

Bersihkan sesi yang bercanggah tanpa melanggar dasar

Apabila puncanya sesi lapuk, tutup satu sambungan itu dan petakan semula dengan akaun yang dimaksudkan. Jika kelayakan tersimpan terus kembali, alih keluar kelayakan itu dan bukan keseluruhan senarai pemacu. Kemudian sahkan sesi baharu dengan net use.

Kekalkan tandatangan SMB, penyulitan dan dasar akaun yang diwajibkan. Pelayan yang menolak sesi tanpa tandatangan atau tanpa penyulitan sedang menguatkuasakan dasar, bukan salah membaca kata laluan, dan melemahkannya supaya pemetaan berjaya menukar keselamatan dengan gejala.

Catat nama pelayan, bentuk akaun yang tepat dan hak perkongsian serta direktori yang berjaya. Jika tidak, orang seterusnya yang memetakan pemacu akan mencuba log masuk VPN dahulu, kerana itulah kelayakan yang digunakannya untuk sampai ke rangkaian.