Mapear uma partilha de ficheiros VPN com a conta Samba que o servidor conhece

Ligue o túnel e a partilha continua a pedir uma palavra-passe que o utilizador considera correta. Numa instalação Samba autónoma, o início de sessão VPN e o início de sessão SMB são credenciais sem relação: um autoriza o túnel, o outro é verificado pelo servidor de ficheiros. Por isso, mapear a unidade com a conta VPN falha mesmo quando a palavra-passe está correta e o caminho de rede é perfeito. Essa distinção explica a maioria das falhas de mapeamento através de uma VPN.

A solução não é repor a conta VPN. É indicar uma identidade que o servidor Samba conheça de facto e depois verificar se essa mesma identidade tem direitos sobre a partilha e o diretório.

O início de sessão VPN e o início de sessão SMB são identidades diferentes

Uma conta VPN é avaliada pelo gateway VPN segundo a sua própria política. Responde se este cliente pode entrar na rede privada. Não diz nada sobre que conta SMB existe num servidor de ficheiros dentro dessa rede.

Uma conta Samba vive no backend de autenticação do servidor, com a sua própria base de dados de palavras-passe e o seu próprio nome. Duas máquinas podem ambas ter um utilizador chamado alice sem partilhar um sistema de identidade, uma palavra-passe ou um identificador de utilizador. Os nomes coincidem; as contas não.

Um servidor Samba integrado no domínio muda o quadro: a identidade vem do diretório e do Kerberos, não de uma lista local de contas. Nesse caso, use a identidade do diretório e a configuração SMB suportada em vez de criar duplicados locais para imitar a pertença ao domínio. Verifique que modelo o servidor usa antes de criar qualquer conta.

Veja que identidade o Windows está realmente a usar

O Windows coloca as ligações em cache por servidor. Se uma sessão existente para o mesmo servidor foi aberta com outra conta, um novo mapeamento pode reutilizar essa sessão ou falhar com um erro de autenticação que nomeia o utilizador errado. É assim que uma palavra-passe correta parece errada. Inspecione as ligações atuais antes de alterar as credenciais.

net use
cmdkey /list
klist

O primeiro comando mostra as unidades mapeadas e as sessões abertas, o segundo mostra credenciais guardadas que podem ser aplicadas automaticamente, e o terceiro mostra tickets Kerberos quando é usado um domínio. Uma credencial guardada pode substituir silenciosamente a conta que pretendia escrever.

Remova apenas a ligação ou a credencial que pertence a este problema. Desligar todas as unidades ou substituir o nome do servidor por um endereço IP esconde a escolha de identidade e pode quebrar a assinatura ou políticas baseadas em nomes.

Mapeie a partilha com a conta que o servidor reconhece

Indique a conta na forma que o servidor espera e deixe o Windows pedir a palavra-passe, para que o segredo não fique no histórico de comandos nem num script:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

O componente de servidor antes da barra invertida é o contexto de identidade do servidor Samba, não o gateway VPN. O asterisco pede uma solicitação interativa de palavra-passe, e /persistent:no mantém o mapeamento fora do próximo início de sessão. Escolha uma letra de unidade livre.

Se o servidor estiver integrado no domínio, o componente de utilizador pode ser, em vez disso, um nome de diretório ou uma identidade qualificada pelo domínio. Use a forma que o administrador documenta; inventar uma conta local com o mesmo nome cria uma segunda identidade e uma segunda palavra-passe para manter.

Validade da conta, acesso à partilha e direitos do sistema de ficheiros são três verificações

O Samba verifica se a identidade se autentica, se a definição da partilha a admite, e se o sistema de ficheiros concede a operação pedida. Passar a primeira verificação não implica as outras duas. Uma partilha pode estar visível e ainda assim recusar escritas porque as permissões do diretório assim o dizem.

Uma partilha restringida com valid users admite apenas as contas ou os grupos listados. A conta pode autenticar-se corretamente e ainda assim ser rejeitada por essa linha. Verifique a definição da partilha antes de concluir que a palavra-passe está errada.

Do lado do sistema de ficheiros, tanto o processo Samba como a identidade mapeada importam. Um diretório pertencente a root com modo 700 não aceita escritas de uma conta comum, mesmo quando a definição da partilha o permite. Teste com uma leitura e depois uma escrita num diretório que a conta deve usar.

Limpe uma sessão em conflito sem quebrar a política

Quando a causa é uma sessão obsoleta, feche essa única ligação e mapeie de novo com a conta pretendida. Se uma credencial guardada continuar a reaparecer, remova essa credencial em vez da lista completa de unidades. Depois confirme a nova sessão com net use.

Mantenha a assinatura SMB, a cifragem e a política de contas obrigatórias. Um servidor que recusa uma sessão não assinada ou não cifrada está a aplicar a política, não a ler mal a palavra-passe, e enfraquecê-lo para que o mapeamento funcione troca segurança por um sintoma.

Registe o nome do servidor, a forma exata da conta e os direitos de partilha e de diretório que funcionaram. Caso contrário, a próxima pessoa a mapear a unidade tentará primeiro o início de sessão VPN, porque foram essas as credenciais com que chegou à rede.