Kvifor Samba avviser VPN-klientar som når serveren

Ein VPN-klient pingar filserveren, løyser opp namnet og kan likevel ikkje opne ei deling. Vertspolitikken til Samba er eitt av fire lag som kan avvise den sambindinga, og det er laget folk redigerer sist. Tillatingslista vert vurdert mot kjeldeadressa som smbd faktisk får, og det er kanskje ikkje adressa klienten trur han har. Får du kjelda rett, vert eit vagt løyveproblem til ei konfigurasjonsendring på éi linje.

Fire lag som sviktar med same meldinga

Ei avvising kan kome frå ruta, brannmuren til verten, vertspolitikken til Samba eller SMB-identiteten. Kvart lag gjev klienten ei melding som seier om lag det same, difor kostar gjetting ein ettermiddag. Å ordne kontrollane frå nettet og innover fjernar det meste av gjettinga.

Byrja med transporten. Viss port 445 aldri når serveren, tyder ingen Samba-innstilling noko, og eit opptak på grensesnittet til serveren avgjer det på sekund. Deretter kjem brannmuren til verten på sjølve serveren, som kan forkaste ei tillaten kjelde før smbd i det heile ser ho. Først når dei to er passerte, vert tillatingslista ein kandidat. Autentisering kjem sist, fordi ein mislukka innlogging og ei vertsavvising ser ulike ut i serverloggen, sjølv når klienten rapporterer båe som nekta tilgang. Rekkjefølgja er viktigare enn verktya, fordi kvart lag har ein kommando som svarar på det.

Finn kjeldeadressa smbd faktisk ser

Med ruta tilgang ser serveren vanlegvis adressa til klienten frå VPN-poolen. Med kjeldeomsetjing på gatewayen ser han i staden LAN-adressa til gatewayen, og kvar klient bak den gatewayen vert umogeleg å skilje.

Den skilnaden avgjer om ei oppføring i tillatingslista er politikk eller eit hol. Å tillate ei omsett gatewayadresse slepper inn alle bak henne, noko ein regel per klient sjeldan ville uttrykkje. Les kjelda på serveren og ikkje ut frå oppfatninga klienten har av si eiga adresse. Eit opptak på grensesnittet til serveren er den billegaste måten å sjå ho, og same opptaket provar om pakken i det heile kom fram. Avgrense opptaket med eit pakketal og legg til eit vertsfilter når du veit kva klient du følgjer. Sesjonstabellen til Samba er den andre halvdelen av svaret: i smbstatus -b er klientkolonnen i kvar sesjonsrad den parten smbd registrerte, og det er den snøggaste stadfestinga av adressa som faktisk nådde tenesta.

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

Les tillatingslista slik Samba les ho

Innstillinga hosts allow tek ei liste med adresser, nettverk eller namn, og ho kan stå globalt eller inne i ei deling. To oppføringar som ser like ut for deg, er kanskje ikkje like for parsaren, så den effektive konfigurasjonen er det som må granskast. Det tyder den samanslegne visninga og ikkje fila du tilfeldigvis redigerte.

Eit illustrerande par prefiks ser ut som linja nedanfor, og det er eit døme og ikkje ei erstatning for oppføringane som alt finst. Behald dei administrative klientane og applikasjonsklientane som koplar til lovleg i dag, og les kva som helst blokkeringsliste i same gjennomgangen. Om ein vert vert godteken avheng av politikken som heilskap, så test den nøyaktige klienten i staden for å resonnere om rang. Vertsløyve seier heller ingenting om delingsløyve eller filsystemmodus, som er separate portar. Suksess frå testverktya tyder at vertspolitikken godtek den kjelda, og ikkje noko meir.

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

Endre fila som overlever ein omstart

På ein vanleg Linux-vert er konfigurasjonsstien fast, og tenesta les han på nytt ved omstart. På ein ruter eller eining vert den køyrande smb.conf ofte generert ved oppstart, og ei manuell endring forsvinn ved neste omstart. Bruk den støtta tilpassingsmekanismen til eininga, som vanlegvis er ei eiga konfigurasjonsfil.

Freistinga på dette punktet er å flashe alternativ fastvare fordi ein tråd rapporterte at det verka. Det er ei stor endring for eit lite politikkproblem, og det flyttar eininga ut av den støtta tilstanden sin. Identifiser først den støtta kontrollen, sidan dei fleste einingar viser tillatingslista gjennom sitt eige grensesnitt. Viss dei verkeleg ikkje gjer det, er den avgrensinga eit argument for anna maskinvare og ikkje for eit ikkje-støtta bygg.

Noter kva fil du endra og kva som genererer ho på nytt, slik at neste person ikkje gjer diagnosen om att.

Test éin tillaten og éin utelukka klient

Test båe utfalla, ikkje berre det du ønskte. Ein tillaten klient som koplar til provar at endringa verkar; ein utelukka klient som framleis vert avvist provar at regelen ikkje berre opna alt.

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

Når sambindinga aldri når smbd, ligg svaret i rutaringa eller i brannmuren til serveren. Viss verten er tillaten og innlogginga sviktar, er identiteten problemet, og å utvide tillatingslista igjen hjelper ikkje. Hald diagnostisk utdata privat, fordi ein detaljert Samba-logg kan avdekkje delingsstiar og kontonamn. Endre eitt lag per forsøk, elles fortel neste resultat deg ingenting.