Għaliex Samba jirrifjuta klijenti VPN li jistgħu jilħqu s-server

Klijent VPN jagħmel ping lis-server tal-fajls, isolvi ismu u xorta ma jistax jiftaħ kondiviżjoni. Il-politika tal-hosts ta’ Samba hija waħda mill-erba’ saffi li jistgħu jirrifjutaw dik il-konnessjoni, u hija dik li n-nies jeditaw l-aħħar. Il-lista tal-permessi tiġi evalwata kontra l-indirizz tas-sors li smbd fil-fatt jirċievi, u jista’ ma jkunx l-indirizz li l-klijent jaħseb li għandu. Li s-sors jiġi stabbilit sew ibiddel problema ta’ permess mhux ċara fi bidla ta’ konfigurazzjoni ta’ linja waħda.

Erba’ saffi li jonqsu bl-istess messaġġ

Ċaħda tista’ tiġi mir-rotta, mill-firewall tal-host, mill-politika tal-hosts ta’ Samba jew mill-identità SMB. Kull saff jipproduċi messaġġ lill-klijent li jgħid bejn wieħed u ieħor l-istess ħaġa, għalhekk l-istima tiswa nofs ta’ wara nofsinhar. L-ordni tal-verifiki min-netwerk ’il ġewwa tneħħi l-biċċa l-kbira tal-istima.

Ibda bit-trasport. Jekk il-port 445 qatt ma jasal għas-server, ebda setting ta’ Samba ma jgħodd, u qabda fuq l-interface tas-server issolviha fi ftit sekondi. Imbagħad tiġi l-firewall tal-host fuq is-server stess, li tista’ tarmi sors permess qabel ma smbd saħansitra jarah. Biss wara li jgħaddu dawn it-tnejn, il-lista tal-permessi ssir kandidata. L-awtentikazzjoni tiġi l-aħħar, għax falliment ta’ login u ċaħda tal-host jidhru differenti fil-log tas-server, anki meta l-klijent jirrapporta t-tnejn bħala aċċess miċħud. L-ordni hija aktar importanti mill-għodda, għax kull saff għandu kmand li jwieġbu.

Sib l-indirizz tas-sors li smbd fil-fatt jara

B’aċċess routed is-server normalment jara l-indirizz tal-klijent mill-pool tal-VPN. B’traduzzjoni tas-sors fuq il-gateway jara minflok l-indirizz LAN tal-gateway, u kull klijent wara dak il-gateway isir indistinguibbli.

Dik id-differenza tiddetermina jekk entrata fil-lista tal-permessi hijiex politika jew toqba. Li tippermetti indirizz tal-gateway tradott jammetti lil kulħadd warajh, li regola għal kull klijent rari kienet trid tesprimi. Aqra s-sors mis-server u mhux mill-idea tal-klijent dwar l-indirizz tiegħu stess. Qabda fuq l-interface tas-server hija l-irħas mod kif tarah, u l-istess qabda tipprova jekk il-pakkett wasalx. Illimita l-qabda b’numru ta’ pakketti u żid filtru tal-host meta tkun taf liema klijent qed issegwi. It-tabella tas-sessjonijiet ta’ Samba hija n-nofs l-ieħor tat-tweġiba: f’smbstatus -b il-kolonna tal-klijent f’kull ringiela tas-sessjoni hija l-pari li rrekordja smbd, u dik hija l-aktar konferma mgħaġġla tal-indirizz li fil-fatt wasal għas-servizz.

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

Aqra l-lista tal-permessi kif jaqraha Samba

Is-setting hosts allow tieħu lista ta’ indirizzi, netwerks jew ismijiet, u tista’ tidher globalment jew ġewwa kondiviżjoni. Żewġ entrati li jidhru ekwivalenti lilek jistgħu ma jkunux ekwivalenti għall-parser, għalhekk il-konfigurazzjoni effettiva hija dik li għandha tiġi eżaminata. Dan ifisser il-veduta magħquda u mhux il-fajl li editjajt b’kumbinazzjoni.

Par illustrattiv ta’ prefissi jidher bħal-linja t’isfel, u huwa eżempju u mhux sostitut għall-entrati li diġà hemm. Żomm il-klijenti amministrattivi u tal-applikazzjoni li jikkonnettjaw b’mod leġittimu llum, u aqra kwalunkwe lista ta’ projbizzjoni fl-istess pass. Jekk host jiġix ammess jiddependi mill-politika kollha kemm hi, għalhekk ipprova l-klijent eżatt minflok ma tirraġuna dwar il-prijorità. Il-permess tal-host ma jgħid xejn dwar il-permessi tal-kondiviżjoni jew il-modi tas-sistema tal-fajls, li huma bibien separati. Suċċess mill-għodda tat-test ifisser li l-politika tal-hosts tammetti dak is-sors, u xejn aktar.

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

Ibdel il-fajl li jgħaddi minn restart

Fuq host Linux normali t-triq tal-konfigurazzjoni hija fissa u s-servizz jaqraha mill-ġdid meta jerġa’ jibda. Fuq router jew appliance is-smb.conf li qed jaħdem spiss jiġi ġġenerat waqt il-boot, u editjar bl-idejn jisparixxi fir-restart li jmiss. Uża l-mekkaniżmu ta’ personalizzazzjoni appoġġjat tal-appliance, li normalment huwa fajl ta’ konfigurazzjoni tiegħu stess.

It-tentazzjoni f’dan il-punt hija li tifflesha firmware alternattiva għax thread wieħed irrapporta li taħdem. Dan huwa bidla kbira għal problema żgħira ta’ politika, u jċaqlaq il-mezz barra mill-istat appoġġjat tiegħu. Identifika l-kontroll appoġġjat l-ewwel, għax ħafna appliances juru l-lista tal-permessi permezz tal-interface tagħhom stess. Jekk tassew ma jagħmlux hekk, dik il-limitazzjoni hija argument għal ħardwer differenti u mhux għal build mhux appoġġjat.

Irreġistra liema fajl biddilt u x’jiġġenerah mill-ġdid, sabiex il-persuna li jmiss ma tirrepetix id-dijanjożi.

Ipprova klijent wieħed ammess u wieħed eskluż

Ipprova ż-żewġ eżiti, mhux biss dak li xtaqt. Klijent ammess li jikkonnettja jipprova li l-bidla taħdem; klijent eskluż li għadu miċħud jipprova li r-regola ma fetħetx sempliċement kollox.

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

Meta l-konnessjoni qatt ma tasal għal smbd, it-tweġiba tinsab fir-routing jew fil-firewall tas-server. Jekk il-host huwa ammess u l-login jonqos, il-problema hija l-identità u titwessa l-lista tal-permessi mill-ġdid mhux se tgħin. Żomm l-output tad-dijanjostika privat, għax log ta’ Samba dettaljat jista’ jikxef toroq tal-kondiviżjoni u ismijiet ta’ kontijiet. Ibdel saff wieħed għal kull prova, inkella r-riżultat li jmiss ma jgħidlek xejn.