ولې Samba هغه VPN کلاینټونه ردوي چې سرور ته رسېږي

یو VPN کلاینټ د فایل سرور ته ping کوي، نوم یې حل کوي او بیا هم نشي کولی یو شریکول پرانیزي۔ د Samba د کوربه پالیسي له هغو څلورو پوړونو څخه یوه ده چې کولی شي هغه اړیکه رد کړي، او هغه پوړ ده چې خلک یې تر ټولو وروستی سمول کوي۔ د اجازې لیست د هغې سرچینې پتې په وړاندې ارزول کیږي چې smbd یې واقعاً ترلاسه کوي، او کېدای شي هغه پته نه وي چې کلاینټ فکر کوي چې لري یې۔ هغه سرچینه په سمه توګه ټاکل یوه ناڅرګنده اجازې ستونزه په یوه کرښه کې د ترتیباتو بدلون ته اړوي۔

څلور پوړونه چې په یوه پیغام سره ناکام کیږي

ردول کېدای شي د لارې، د کوربه فایر وال، د Samba د کوربه پالیسي یا د SMB هویت څخه راشي۔ هر پوړ کلاینټ ته هغه پیغام ورکوي چې نږدې هماغه شی وایي، له همدې امله اټکل کول نیمه ورځ خوري۔ که څېړنې له شبکې څخه دننه لوري ته ترتیب کړو، ډېری اټکلونه له منځه ځي۔

له انتقال څخه پیل وکړئ۔ که پورټ 445 هېڅکله سرور ته ونه رسېږي، هېڅ Samba ترتیبات اهمیت نلري، او د سرور په انټرفیس کې نیول په ثانیو کې پرېکړه کوي۔ بیا د سرور په خپل کوربه فایر وال راځي، کوم چې کولی شي اجازه لرونکې سرچینه له منځه یوسي مخکې له دې چې smbd یې وویني۔ یوازې وروسته له دې چې دا دواړه تېر شي، د اجازې لیست نوماند کیږي۔ تصدیق تر ټولو وروستی راځي، ځکه چې د ننوتلو ناکامي او د کوربه ردول په سرور لاګ کې جلا ښکارېږي، حتی کله چې کلاینټ دواړه د لاسرسي انکار په توګه راپور کړي۔ ترتیب له وسایلو مهم دی، ځکه هر پوړ یو حکم لري چې ځواب ورته وایي۔

هغه سرچینه پته ومومئ چې smbd واقعاً یې ویني

په لارښوونکي لاسرسي کې سرور معمولاً د کلاینټ پته د VPN حوض څخه ویني۔ کله چې د ګېټ وې په سرچینه کې ژباړه وي، هغه پرځای د ګېټ وې LAN پته ویني، او د هغې ګېټ وې شاته هر کلاینټ توپیر نه شي کېدای۔

همدا توپیر پرېکړه کوي چې د اجازې لیست یو اندراج پالیسي ده که سوری۔ د ژباړل شوې ګېټ وې پتې اجازه ورکول د هغې شاته هر څوک مني، کوم چې د هر کلاینټ لپاره قاعده په ندرت سره دا بیانول غوښتل۔ سرچینه له سرور څخه ولولئ، نه د کلاینټ له خپل پتې په اړه تصور څخه۔ د سرور په انټرفیس کې نیول د هغې لیدلو تر ټولو ارزانه لاره ده، او هماغه نیول ثابتوي چې پاکټ اصلاً ورسېد که نه۔ نیول د پاکټونو په شمېر محدود کړئ او کله چې پوه شئ کوم کلاینټ تعقیبوئ، د کوربه فلټر اضافه کړئ۔ د Samba غونډو جدول د ځواب بله نیمه ده: په smbstatus -b کې د هرې غونډې کرښې کلاینټ کالم هغه ملګری دی چې smbd ثبت کړی، او دا د هغې پتې تر ټولو ګړندی تایید دی چې واقعاً خدمت ته رسېدلې ده۔

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

د اجازې لیست ولولئ لکه څنګه چې Samba یې لولي

د hosts allow ترتیب د پتو، شبکو یا نومونو لیست اخلي، او کېدای شي نړیوال وي یا د یو شریکولو دننه۔ دوه اندراجونه چې تاسو ته برابر ښکاري کېدای شي د تحلیل کوونکي لپاره برابر نه وي، نو هغه څه چې باید وڅېړل شي هغه اغېزمن ترتیب دی۔ دا یوځای شوی لید مانا لري، نه هغه فایل چې تاسو ناڅاپه سم کړی۔

د بېلګې په توګه دوه مختګونه لکه لاندې کرښه ښکاري، او دا بېلګه ده، د مخکې موجودو اندراجونو بدیل نه دی۔ هغه اداري او اپلیکیشن کلاینټونه وساتئ چې نن قانوني توګه نښلول کیږي، او هر بندیز لیست په هماغه پړاو کې ولولئ۔ ایا کوربه منل کیږي که نه، دا په ټولیزه پالیسي پورې اړه لري، نو د لومړیتوب په اړه فکر کولو پرځای دقیق کلاینټ وآزموئ۔ د کوربه اجازه د شریکولو اجازو یا د فایل سیسټم حالتونو په اړه هم هېڅ نه وایي، چې جلا دروازې دي۔ د ازموینې وسایلو بریالیتوب مانا دا ده چې کوربه پالیسي هغه سرچینه مني، او نه ډېر څه۔

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

هغه فایل بدل کړئ چې بیا پیلېدو ته پاتې کیږي

په عادي Linux کوربه کې د ترتیباتو لاره ثابته ده او د بیا پیلېدو پر مهال یې خدمت بیا لولي۔ په روټر یا وسیله کې روان smb.conf ډېری وخت د بوت پر مهال جوړیږي، او لاسي سمون د راتلونکي بیا پیلېدو پر مهال ورک کیږي۔ د وسیلې ملاتړ شوې د تنظیم میکانیزم وکاروئ، چې معمولاً خپل ترتیبات فایل وي۔

په دې پړاو کې هڅونه دا ده چې بدیل فرم وایر فلش شي ځکه چې یو تار راپور ورکړ چې کار کوي۔ دا د یوې کوچنۍ پالیسي ستونزې لپاره لوی بدلون دی، او وسیله د هغې له ملاتړ شوي حالت څخه باسي۔ لومړی ملاتړ شوی کنټرول وپېژنئ، ځکه ډېری وسایل د اجازې لیست د خپل انټرفیس له لارې ښیي۔ که دوی واقعاً داسې نه کوي، نو هغه محدودیت د بل هارډویر لپاره دلیل دی، نه د نیملاتړ شوي جوړښت لپاره۔

ثبت کړئ چې کوم فایل مو بدل کړ او څه یې بیا جوړوي، تر څو راتلونکی کس تشخیص تکرار نه کړي۔

یو اجازه لرونکی او یو ایستل شوی کلاینټ وآزموئ

دواړه پایلې وآزموئ، نه یوازې هغه چې تاسو غوښتله۔ هغه اجازه لرونکی کلاینټ چې نښلول کیږي ثابتوي چې بدلون کار کوي؛ هغه ایستل شوی کلاینټ چې لا هم رد کیږي ثابتوي چې قاعده یوازې هر څه نه دي پرانیستي۔

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

کله چې اړیکه هېڅکله smbd ته نه رسېږي، ځواب په لارښوونه یا د سرور په فایر وال کې دی۔ که کوربه اجازه ولري او ننوتل ناکام شي، ستونزه هویت دی او د اجازې لیست بیا پراخول به مرسته ونه کړي۔ تشخیصي وتنه خصوصي وساتئ، ځکه تفصیلي Samba لاګ کولی شي د شریکولو لارې او حساب نومونه افشا کړي۔ هر هڅه کې یو پوړ بدل کړئ، که نه راتلونکې پایله به تاسو ته هېڅ ونه وایي۔