Подключение сетевого диска VPN с учётной записью Samba, известной серверу

Подключите туннель, а общий ресурс по-прежнему запрашивает пароль, который пользователь считает правильным. В автономном развёртывании Samba вход VPN и вход SMB — несвязанные учётные данные: один авторизует туннель, другой проверяет файловый сервер. Поэтому подключение диска с учётной записью VPN не удаётся, даже когда пароль верен и сетевой путь безупречен. Это различие объясняет большинство сбоев подключения через VPN.

Решение не в сбросе учётной записи VPN. Нужно назвать идентификатор, который сервер Samba действительно знает, а затем проверить, что у этого же идентификатора есть права на общий ресурс и каталог.

Вход VPN и вход SMB — разные идентификаторы

Учётную запись VPN оценивает VPN-шлюз по собственной политике. Он отвечает, может ли этот клиент войти в частную сеть. Он ничего не говорит о том, какая учётная запись SMB существует на файловом сервере внутри этой сети.

Учётная запись Samba живёт в серверной части аутентификации, со своей базой паролей и своим именем. Две машины могут обе иметь пользователя с именем alice, не разделяя систему идентификации, пароль или идентификатор пользователя. Имена совпадают; учётные записи — нет.

Samba-сервер, интегрированный в домен, меняет картину: идентификатор берётся из каталога и Kerberos, а не из локального списка учётных записей. В этом случае используйте идентификатор из каталога и поддерживаемую конфигурацию SMB, а не создавайте локальные дубликаты, имитируя членство в домене. Проверьте, какая модель используется на сервере, прежде чем создавать учётную запись.

Посмотрите, какой идентификатор Windows использует на самом деле

Windows кэширует подключения для каждого сервера. Если существующий сеанс к тому же серверу был открыт под другой учётной записью, новое подключение может переиспользовать этот сеанс или завершиться ошибкой аутентификации с указанием неверного пользователя. Так правильный пароль выглядит неверным. Просмотрите текущие подключения, прежде чем менять учётные данные.

net use
cmdkey /list
klist

Первая команда показывает подключённые диски и открытые сеансы, вторая — сохранённые учётные данные, которые могут применяться автоматически, а третья — билеты Kerberos, когда используется домен. Сохранённые учётные данные могут молча переопределить учётную запись, которую вы собирались ввести.

Удалите только то подключение или те учётные данные, которые относятся к этой проблеме. Отключение всех дисков или замена имени сервера IP-адресом скрывает выбор идентификатора и может нарушить подпись или политики на основе имён.

Подключите ресурс с учётной записью, которую распознаёт сервер

Укажите учётную запись в форме, ожидаемой сервером, и позвольте Windows запросить пароль, чтобы секрет не попал в историю команд или скрипт:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Компонент сервера перед обратной косой чертой — это контекст идентификатора Samba-сервера, а не VPN-шлюз. Звёздочка запрашивает интерактивный ввод пароля, а /persistent:no не даёт подключению попасть в следующий вход. Выберите свободную букву диска.

Если сервер интегрирован в домен, компонентом пользователя может быть вместо этого имя каталога или идентификатор с доменным префиксом. Используйте форму, задокументированную администратором; выдумывание локальной учётной записи с тем же именем создаёт второй идентификатор и второй пароль для обслуживания.

Действительность учётной записи, доступ к ресурсу и права файловой системы — три проверки

Samba проверяет, проходит ли идентификатор аутентификацию, допускает ли его определение общего ресурса и предоставляет ли файловая система запрошенную операцию. Прохождение первой проверки не означает прохождения двух других. Ресурс может быть видимым и всё равно отказывать в записи, потому что так говорят права каталога.

Ресурс, ограниченный с помощью valid users, допускает только перечисленные учётные записи или группы. Учётная запись может правильно пройти аутентификацию и всё равно быть отклонённой этой строкой. Проверьте определение ресурса, прежде чем заключать, что пароль неверен.

На стороне файловой системы важны и процесс Samba, и подключённый идентификатор. Каталог, принадлежащий root с режимом 700, не примет записи от обычной учётной записи, даже если определение ресурса это разрешает. Проверьте чтением, а затем записью в каталоге, который учётная запись должна использовать.

Устраните конфликтующий сеанс, не нарушая политику

Если причина — устаревший сеанс, закройте именно это подключение и подключитесь заново с нужной учётной записью. Если сохранённые учётные данные продолжают возвращаться, удалите их, а не весь список дисков. Затем подтвердите новый сеанс с помощью net use.

Сохраняйте требуемую подпись SMB, шифрование и политику учётных записей. Сервер, который отклоняет сеанс без подписи или шифрования, проводит политику, а не читает пароль неправильно, и ослабление её ради успешного подключения меняет безопасность на симптом.

Запишите имя сервера, точную форму учётной записи и права на ресурс и каталог, которые сработали. Иначе следующий человек, подключающий диск, сначала попробует вход VPN, потому что именно с этими данными он попал в сеть.