Kople ei VPN-fildeling til med Samba-kontoen serveren kjenner

Kople opp tunnelen, og delinga spør framleis etter eit passord som brukaren meiner er riktig. I ein frittståande Samba-installasjon er VPN-innlogginga og SMB-innlogginga uavhengige påloggingsdetaljar: den eine autoriserer tunnelen, den andre vert kontrollert av filserveren. Å kople stasjonen til med VPN-kontoen mislykkast derfor sjølv når passordet er riktig og nettverksbanen er perfekt. Den skilnaden forklarer dei fleste tilkoplingsfeila over ein VPN.

Løysinga er ikkje å tilbakestille VPN-kontoen. Ho er å namngje ein identitet Samba-serveren faktisk kjenner, og deretter kontrollere at den same identiteten har rettar til delinga og katalogen.

VPN-innlogginga og SMB-innlogginga er ulike identitetar

Ein VPN-konto vert vurdert av VPN-gatewayen etter sin eigen policy. Han svarar på om denne klienten får kome inn i det private nettverket. Han seier ingenting om kva SMB-konto som finst på ein filserver i det nettverket.

Ein Samba-konto ligg i autentiseringsbackend-en til serveren med sin eigen passorddatabase og sitt eige namn. To maskinar kan begge ha ein brukar som heiter alice utan å dele eit identitetssystem, eit passord eller ein brukar-id. Namna stemmer; kontoane gjer det ikkje.

Ein domeneintegrert Samba-server endrar biletet: identiteten kjem frå katalogen og frå Kerberos, ikkje frå ei lokal kontoliste. Bruk i så fall katalogidentiteten og den støtta SMB-konfigurasjonen i staden for å opprette lokale duplikat for å etterlikne domenemedlemskap. Kontroller kva modell serveren brukar før du opprettar ein konto.

Sjå kva identitet Windows faktisk brukar

Windows bufrer tilkoplingar per server. Viss ein eksisterande sesjon til same server vart opna med ein annan konto, kan ei ny tilkopling gjenbruke sesjonen eller mislykkast med ein autentiseringsfeil som namngjev feil brukar. Slik kan eit riktig passord sjå feil ut. Gransk dei gjeldande tilkoplingane før du endrar påloggingsdetaljar.

net use
cmdkey /list
klist

Den første kommandoen viser tilkopla stasjonar og opne sesjonar, den andre viser lagra påloggingsdetaljar som kan brukast automatisk, og den tredje viser Kerberos-billettar når eit domene er i bruk. Ein lagra påloggingsdetalj kan stille overstyre kontoen du hadde tenkt å skrive.

Fjern berre tilkoplinga eller påloggingsdetaljen som høyrer til dette problemet. Å kople frå alle stasjonar eller erstatte servernamnet med ein IP-adresse skjuler identitetsvalet og kan bryte signering eller namnebasert policy.

Kople delinga til med kontoen serveren kjenner att

Oppgi kontoen i forma serveren forventar og la Windows spørje etter passordet, slik at hemmelegheita ikkje hamnar i kommandohistorikken eller eit skript:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Serverdelen før omvend skråstrek er identitetskonteksten til Samba-serveren, ikkje VPN-gatewayen. Stjerna ber om ein interaktiv passordforespurnad, og /persistent:no held tilkoplinga unna neste pålogging. Vel ein ledig stasjonsbokstav.

Viss serveren er domeneintegrert, kan brukardelen i staden vere eit katalognamn eller ein domenekvalifisert identitet. Bruk forma administratoren dokumenterer; å finne opp ein lokal konto med same namn lagar ein andre identitet og eit andre passord å vedlikehalde.

Kontogyldigheit, delingstilgang og filsystemrettar er tre kontrollar

Samba kontrollerer om identiteten autentiserer seg, om delingsdefinisjonen slepp han inn, og om filsystemet innvilgar den førespurde operasjonen. Å bestå den første kontrollen tyder ikkje at dei to andre òg blir bestått. Ei deling kan vere synleg og likevel nekte skriving fordi katalogtillatelsane seier det.

Ei deling som er avgrensa med valid users, slepp berre inn dei oppførte kontoane eller gruppene. Kontoen kan autentiserast riktig og likevel avvisast av den linja. Kontroller delingsdefinisjonen før du konkluderer med at passordet er feil.

På filsystemsida spelar både Samba-prosessen og den tilkopla identiteten ei rolle. Ein katalog som er eigd av root med modus 700 godtek ikkje skriving frå ein vanleg konto, sjølv når delingsdefinisjonen tillèt det. Test med ei lesing og deretter ei skriving i ein katalog kontoen skal bruke.

Rydd ein motstridande sesjon utan å bryte policyen

Når ein utdatert sesjon er årsaka, lukkar du den eine tilkoplinga og koplar til igjen med den tiltenkte kontoen. Viss ein lagra påloggingsdetalj fortset å kome tilbake, fjernar du den detaljen i staden for heile stasjonslista. Stadfest deretter den nye sesjonen med net use.

Behald den påkravde SMB-signeringa, krypteringa og kontopolicyen. Ein server som nektar ein usignert eller ukryptert sesjon, handhevar policy og les ikkje passordet feil, og å svekkje han for at tilkoplinga skal lukkast byter tryggleik mot eit symptom.

Noter servernamnet, den nøyaktige kontoforma og delings- og katalogrettane som fungerte. Den neste personen som koplar stasjonen til, prøver elles VPN-innlogginga først, fordi det er detaljane dei nådde nettverket med.