Montarea unei partajări de fișiere VPN cu contul Samba pe care îl cunoaște serverul

Conectează tunelul și partajarea cere în continuare o parolă pe care utilizatorul o consideră corectă. Într-o instalare Samba autonomă, autentificarea VPN și autentificarea SMB sunt credențiale fără legătură: una autorizează tunelul, cealaltă este verificată de serverul de fișiere. De aceea, montarea unității cu contul VPN eșuează chiar și atunci când parola este corectă și calea de rețea este perfectă. Această distincție explică majoritatea eșecurilor de montare printr-un VPN.

Soluția nu este resetarea contului VPN. Este să numești o identitate pe care serverul Samba o cunoaște cu adevărat, apoi să verifici dacă aceeași identitate are drepturi asupra partajării și directorului.

Autentificarea VPN și autentificarea SMB sunt identități diferite

Un cont VPN este evaluat de gateway-ul VPN conform propriei politici. Răspunde dacă acest client poate intra în rețeaua privată. Nu spune nimic despre ce cont SMB există pe un server de fișiere din acea rețea.

Un cont Samba se află în backendul de autentificare al serverului, cu propria bază de date de parole și propriul nume. Două mașini pot avea amândouă un utilizator numit alice fără a partaja un sistem de identitate, o parolă sau un identificator de utilizator. Numele coincid; conturile nu.

Un server Samba integrat în domeniu schimbă tabloul: identitatea vine din director și din Kerberos, nu dintr-o listă locală de conturi. În acest caz, folosește identitatea din director și configurația SMB acceptată în loc să creezi duplicate locale pentru a imita apartenența la domeniu. Verifică ce model folosește serverul înainte de a crea vreun cont.

Vezi ce identitate folosește Windows de fapt

Windows memorează în cache conexiunile pe server. Dacă o sesiune existentă către același server a fost deschisă cu alt cont, o montare nouă poate reutiliza acea sesiune sau poate eșua cu o eroare de autentificare care numește utilizatorul greșit. Așa ajunge o parolă corectă să pară greșită. Inspectează conexiunile curente înainte de a schimba credențialele.

net use
cmdkey /list
klist

Prima comandă afișează unitățile montate și sesiunile deschise, a doua afișează credențiale salvate care pot fi aplicate automat, iar a treia afișează bilete Kerberos atunci când este utilizat un domeniu. Un credențial salvat poate suprascrie în tăcere contul pe care intenționai să îl scrii.

Elimină doar conexiunea sau credențialul care aparține acestei probleme. Deconectarea tuturor unităților sau înlocuirea numelui serverului cu o adresă IP ascunde alegerea identității și poate rupe semnarea sau politicile bazate pe nume.

Montează partajarea cu contul pe care îl recunoaște serverul

Indică contul în forma pe care o așteaptă serverul și lasă Windows să solicite parola, astfel încât secretul să nu ajungă în istoricul comenzilor sau într-un script:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Componenta de server dinaintea barei oblice inverse este contextul de identitate al serverului Samba, nu gateway-ul VPN. Asteriscul solicită o cerere interactivă de parolă, iar /persistent:no ține montarea în afara următoarei autentificări. Alege o literă de unitate liberă.

Dacă serverul este integrat în domeniu, componenta de utilizator poate fi în schimb un nume de director sau o identitate calificată de domeniu. Folosește forma documentată de administrator; inventarea unui cont local cu același nume creează o a doua identitate și o a doua parolă de întreținut.

Valabilitatea contului, accesul la partajare și drepturile sistemului de fișiere sunt trei verificări

Samba verifică dacă identitatea se autentifică, dacă definiția partajării o admite, și dacă sistemul de fișiere acordă operația solicitată. Trecerea primei verificări nu implică celelalte două. O partajare poate fi vizibilă și totuși poate refuza scrierile pentru că permisiunile directorului spun asta.

O partajare restricționată cu valid users admite doar conturile sau grupurile listate. Contul se poate autentifica corect și totuși poate fi respins de acea linie. Verifică definiția partajării înainte de a concluziona că parola este greșită.

Pe partea sistemului de fișiere contează atât procesul Samba, cât și identitatea montată. Un director deținut de root cu modul 700 nu va accepta scrieri de la un cont obișnuit chiar dacă definiția partajării permite acest lucru. Testează cu o citire, apoi cu o scriere, într-un director pe care contul ar trebui să îl folosească.

Curăță o sesiune conflictuală fără a rupe politica

Când cauza este o sesiune învechită, închide acea singură conexiune și montează din nou cu contul dorit. Dacă un credențial salvat revine mereu, elimină acel credențial în locul întregii liste de unități. Apoi confirmă noua sesiune cu net use.

Păstrează semnarea SMB, criptarea și politica de conturi obligatorii. Un server care refuză o sesiune nesemnată sau necriptată aplică politica, nu citește greșit parola, iar slăbirea lui pentru ca montarea să reușească schimbă securitatea pe un simptom.

Notează numele serverului, forma exactă a contului și drepturile de partajare și de director care au funcționat. Altfel, următoarea persoană care montează unitatea va încerca mai întâi autentificarea VPN, pentru că acestea sunt credențialele cu care a ajuns în rețea.