Illimita kondiviżjoni Samba għal utent wieħed u indirizz VPN wieħed

Il-parametri valid users u hosts allow ta' Samba ma jgħaqqdux persuna ma' indirizz: żewġ ismijiet ta' kondiviżjoni jistgħu jesprimu l-par, u t-testijiet tal-pari mqassma jippruvawha.

F'dan id-disinn jitħalltu żewġ permessi differenti: min jista' juża direttorju, u liema indirizzi jistgħu jikkonnettjaw. Li tikteb lista ta' kontijiet ħdejn lista ta' sorsi jidher bħal tgħaqqid, imma Samba tevalwa ż-żewġ listi bħala predikati indipendenti. Kull min jissodisfa t-tnejn jiġi ammess, u din hija regola usa' minn dak li jfissru ħafna amministraturi. Is-soluzzjoni hija jew tqassim differenti tal-kondiviżjoni jew saff ta' politika li jista' jesprimi l-par.

Il-mit: żewġ listi jagħmlu regola waħda

Ir-referenza smb.conf tiddefinixxi valid users u hosts allow bħala żewġ parametri mhux marbuta, u huwa meta titqiegħed it-tnejn fuq kondiviżjoni waħda li jibda l-ħasil il-ħin. Issettja valid users = mira, tomas u hosts allow = 10.77.0.21, 10.77.0.22 u jiġu ammessi erba' kombinazzjonijiet: Mira minn kwalunkwe indirizz, Tomas minn kwalunkwe indirizz. Xejn fil-konfigurazzjoni ma jorbot l-ewwel isem mal-ewwel indirizz, u l-ordni li fiha jidhru l-ismijiet m'għandha l-ebda tifsira. Li terġa' tordnahom, iżżid it-tieni linja hosts allow jew tpoġġi isem wieħed f'kull linja ma jbiddel xejn. Ir-riżultat huwa l-prodott ta' żewġ listi, mhux mappa bejniethom.

Dak li ħafna nies verament iridu huwa idjaq: Mira biss minn indirizz wieħed, Tomas biss minn ieħor. Definizzjoni waħda ta' kondiviżjoni m'għandhiex sintassi għal dik ir-rabta, u l-ebda ordni għaqlija ma toħloqha. Din hija forma ta' politika li Samba ma tesprimix ġewwa kondiviżjoni waħda, u hemm il-mit jibqa' ħaj.

X'tevalwa Samba, u b'liema ordni

L-istadji jmorru f'ordni fissa, u l-ordni ħażina tagħti dijanjosi ħażina. Il-klijent jiftaħ konnessjoni; kontroll globali tal-host isir jekk ikun ikkonfigurat; is-sessjoni tistabbilixxi l-kont; imbagħad il-klijent jikkonnettja ma' kondiviżjoni, fejn jiġu applikati l-lista tal-hosts tagħha stess, valid users u s-setting ta' qari biss; u biss meta fajl jinfetaħ jiddeċiedu l-permessi tas-sistema tal-fajls tal-identità awtentikata. Kull stadju jista' jirrifjuta t-talba waħdu, u li tgħaddi minn wieħed ma tgħid xejn dwar dak li jmiss. Il-konsegwenza importanti hija li l-kont huwa magħruf meta tiġi evalwata l-lista tal-hosts tal-kondiviżjoni, u l-lista tal-hosts għadha m'għandhiex mod kif issemmi dak il-kont.

Għalhekk kondiviżjoni ma tistax torbot utent wieħed ma' indirizz wieħed: hosts allow u valid users huma predikati separati applikati fl-istess stadju tal-konnessjoni tas-siġra, u kull wieħed iwieġeb il-mistoqsija tiegħu stess. Il-predikat tal-host qatt ma jieħu l-isem tal-kont bħala input, għalhekk ma jistax jinkiteb għal kull utent. Il-par jistgħu jesprimuh biss kondiviżjoni oħra jew saff ta' politika barra minn Samba.

Il-valuri globali huma importanti minħabba kif jiġu wirt. Kondiviżjoni li tħalli barra hosts allow tirt il-valur globali, u kondiviżjoni li tissettja tagħha tuża dak il-valur minflok dak globali, mhux barra minn hekk. Għalhekk lista globali wiesgħa twessa' l-kondiviżjonijiet li qatt ma jissettjaw il-parametru, u ma tagħmel xejn ma' kondiviżjoni li tiddefinixxi tagħha. Mexxi testparm -s u aqra l-valuri għal kull kondiviżjoni li tipprintja, għax dak l-output hija l-politika effettiva, u l-fajl fuq id-diska mhuwiex.

Li tnaqqas kondiviżjoni waħda lanqas tagħmel xejn għall-bqija tas-server. Kondiviżjonijiet oħra, il-kwewi tal-istampar u l-konnessjoni IPC iżommu r-regoli tagħhom, għalhekk disinn li jiddependi fuq il-lista tal-indirizzi ta' kondiviżjoni waħda jipproteġi triq waħda, mhux il-host.

Żewġ ismijiet ta' kondiviżjoni fuq direttorju wieħed

Meta l-istess direttorju jrid ikun aċċessibbli minn żewġ persuni minn żewġ indirizzi, esponih darbtejn taħt ismijiet differenti. Kull blokk iġorr kont wieħed u sors wieħed, li jbiddel il-par f'xi ħaġa li l-konfigurazzjoni tista' tinforza. L-ispiża hija li kull persuna tuża isem ta' kondiviżjoni differenti biex tasal għall-istess fajls, u dan irid ikun tibdil apposta fuq in-naħa tal-klijent.

[shared-mira]
    path = /srv/shared
    guest ok = no
    read only = yes
    valid users = mira
    hosts allow = 10.77.0.21
    hosts deny = ALL

[shared-tomas]
    path = /srv/shared
    guest ok = no
    read only = yes
    valid users = tomas
    hosts allow = 10.77.0.22
    hosts deny = ALL

Il-bieb tal-kondiviżjoni mhuwiex permess tas-sistema tal-fajls. Iż-żewġ identitajiet għadhom jeħtieġu aċċess għad-direttorju permezz tal-ACL ta' taħt, u s-setting ta' qari biss huwa t-tieni saff, mhux l-uniku. Agħti aċċess għall-kitba biss jekk il-fluss tax-xogħol jeħtieġu, imbagħad iċċekkja li l-fajls maħluqa minn identità waħda jibqgħu użabbli mill-oħra.

Iż-żewġ blokki jindikaw triq waħda, għalhekk bidla fid-direttorju taffettwa ż-żewġ kondiviżjonijiet. Normalment dan huwa l-għan, imma jfisser ukoll li żball fil-permessi jidher għaż-żewġ utenti fl-istess ħin.

X'tista' tipprova l-indirizz tas-sors

L-indirizz li jara Samba huwa l-indirizz li wasal għas-server, mhux dak li l-klijent jaħseb li għandu. Gateway VPN li jittraduċi kull klijent f'indirizz tas-sors wieħed ineħħi d-distinzjoni: il-klijenti kollha jaslu bħala l-istess host u l-lista tas-sorsi ma tistax tibqa' tagħrafhom. Allokazzjoni stabbli għal kull klijent u gateway li jippreserva s-sors huma prerekwiżiti biex l-indirizzi jintużaw bħala politika xejn. Mingħajr it-tnejn, ir-restrizzjoni tkejjel il-gateway, mhux l-utent.

Anki hekk, indirizz mhuwiex apparat. Żewġ laptops wara indirizz wieħed ta' mina, leasing riallokat u stazzjon tax-xogħol kondiviż kollha jiċħdu l-ipoteżi li sors jidentifika persuna. Ittratta r-restrizzjoni bħala firxa tan-netwerk u żomm kontijiet SMB awtentikati bħala s-saff tal-identità, b'kredenzjali tal-apparat bħal ċertifikat jekk għandek bżonn awtorizzazzjoni tal-apparat.

Għalhekk id-disinn jagħlaq kondiviżjonijiet u mhux is-server. Par miċħud għadu jista' jiftaħ sessjoni, jasal għal kondiviżjoni oħra jew jelenka s-server, li huwa riżultat differenti minn falliment ta' awtentikazzjoni fil-ħin tal-konnessjoni. Jekk ir-rekwiżit huwa ċ-ċaħda qabel l-awtentikazzjoni, il-parametri tal-kondiviżjoni ta' Samba huma l-għodda ħażina.

Ipprova b'pari mqassma

Ivvalida l-konfigurazzjoni, imbagħad ipprova l-erba' kombinazzjonijiet b'konnessjonijiet friski mhux b'sessjoni użata mill-ġdid. Il-par maħsub għandu jasal għad-direttorju, u ż-żewġ pari mqassma għandhom ifallu. Sessjoni fil-cache minn test preċedenti twieġeb bil-qalb għall-kombinazzjoni ħażina u tagħmel regola miksura tidher tajba.

testparm -s
smbclient //fileserver/shared-mira -U mira -c 'ls'
smbclient //fileserver/shared-tomas -U tomas -c 'ls'
smbstatus --shares

Kontroll tas-sintassi jipprova biss li l-fajl jiġi pparsjat. Il-kredenzjali, l-ACLs u d-deċiżjoni tal-host jiġu eżerċitati b'konnessjoni reali, għalhekk mexxi l-kmand tal-klijent mill-indirizz li trid tittestja u ara liema stadju jirrifjutah. Jekk par mqassam jirnexxi, il-lista tal-hosts effettiva hija usa' milli tissuġġerixxi l-blokk, u testparm -s hija l-ewwel ħaġa li għandha tinqara. Jekk par mqassam ifalli għar-raġuni ħażina, il-kont jew l-ACL huma s-suspettati.

Li timmonitorja sessjonijiet b'smbstatus u toqtolhom hija azzjoni ta' rispons wara li jibda l-aċċess, mhux kontroll tad-dħul. Li timblokka indirizz sħiħ osservat jista' wkoll jaqta' utenti mhux relatati wara l-istess NAT, għalhekk id-deċiżjoni tappartjeni lid-definizzjoni tal-kondiviżjoni u l-monitoraġġ lill-proċess tar-rispons. Żomm it-tnejn separati u d-disinn jibqa' onest dwar x'qed jinforza.

Artikli relatati