Mapovanie zdieľaného priečinka VPN pomocou účtu Samba, ktorý server pozná

Pripojte tunel a zdieľanie sa stále pýta na heslo, ktoré používateľ považuje za správne. V samostatnom nasadení Samba sú prihlásenie VPN a prihlásenie SMB nesúvisiace prihlasovacie údaje: jedno autorizuje tunel, druhé kontroluje súborový server. Namapovanie jednotky pomocou účtu VPN preto zlyhá, aj keď je heslo správne a sieťová cesta dokonalá. Tento rozdiel vysvetľuje väčšinu zlyhaní mapovania cez VPN.

Riešením nie je obnoviť účet VPN. Riešením je pomenovať identitu, ktorú server Samba skutočne pozná, a potom overiť, že tá istá identita má práva k zdieľaniu a adresáru.

Prihlásenie VPN a prihlásenie SMB sú rôzne identity

Účet VPN vyhodnocuje brána VPN podľa svojej vlastnej politiky. Odpovedá, či tento klient môže vstúpiť do privátnej siete. Nič nehovorí o tom, ktorý účet SMB existuje na súborovom serveri v tejto sieti.

Účet Samba žije v autentifikačnom backende servera s vlastnou databázou hesiel a vlastným menom. Dva počítače môžu mať oba používateľa menom alice bez toho, aby zdieľali systém identít, heslo alebo identifikátor používateľa. Mená sa zhodujú; účty nie.

Server Samba integrovaný do domény mení obraz: identita pochádza z adresára a z Kerbera, nie z miestneho zoznamu účtov. V takom prípade použite identitu z adresára a podporovanú konfiguráciu SMB namiesto vytvárania miestnych duplikátov napodobňujúcich členstvo v doméne. Pred vytvorením akéhokoľvek účtu skontrolujte, ktorý model server používa.

Zistite, ktorú identitu Windows skutočne používa

Windows ukladá pripojenia do vyrovnávacej pamäte podľa servera. Ak bola existujúca relácia k tomu istému serveru otvorená iným účtom, nové mapovanie môže túto reláciu znova použiť alebo zlyhať s chybou overenia, ktorá uvádza nesprávneho používateľa. Tak vyzerá správne heslo ako nesprávne. Pred zmenou prihlasovacích údajov si prezrite aktuálne pripojenia.

net use
cmdkey /list
klist

Prvý príkaz zobrazuje namapované jednotky a otvorené relácie, druhý zobrazuje uložené prihlasovacie údaje, ktoré sa môžu použiť automaticky, a tretí zobrazuje lístky Kerberos, keď sa používa doména. Uložený prihlasovací údaj môže potichu prepísať účet, ktorý ste chceli zadať.

Odstráňte iba pripojenie alebo prihlasovací údaj, ktorý patrí k tomuto problému. Odpojenie všetkých jednotiek alebo nahradenie názvu servera adresou IP skryje voľbu identity a môže porušiť podpisovanie alebo politiky založené na názvoch.

Namapujte zdieľanie pomocou účtu, ktorý server rozpoznáva

Zadajte účet vo forme, ktorú server očakáva, a nechajte Windows vyžiadať heslo, aby sa tajomstvo nedostalo do histórie príkazov ani do skriptu:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Časť servera pred spätným lomítkom je kontext identity servera Samba, nie brána VPN. Hviezdička žiada interaktívnu výzvu na zadanie hesla a /persistent:no drží mapovanie mimo nasledujúceho prihlásenia. Zvoľte voľné písmeno jednotky.

Ak je server integrovaný do domény, časťou používateľa môže byť namiesto toho názov adresára alebo identita kvalifikovaná doménou. Použite formu dokumentovanú správcom; vymýšľanie miestneho účtu s rovnakým názvom vytvára druhú identitu a druhé heslo na údržbu.

Platnosť účtu, prístup k zdieľaniu a práva systému súborov sú tri kontroly

Samba kontroluje, či sa identita overí, či definícia zdieľania ju pripúšťa, a či systém súborov udeľuje požadovanú operáciu. Prejdenie prvej kontroly neznamená aj ďalšie dve. Zdieľanie môže byť viditeľné a napriek tomu odmietať zápisy, pretože to hovoria oprávnenia adresára.

Zdieľanie obmedzené pomocou valid users pripúšťa iba uvedené účty alebo skupiny. Účet sa môže overiť správne a napriek tomu byť týmto riadkom odmietnutý. Pred záverom, že je heslo nesprávne, skontrolujte definíciu zdieľania.

Na strane systému súborov záleží na procese Samba aj na namapovanej identite. Adresár vlastnený rootom s režimom 700 neprijme zápisy od bežného účtu, aj keď to definícia zdieľania povoľuje. Otestujte čítanie a potom zápis v adresári, ktorý má účet používať.

Vyriešte konfliktnú reláciu bez porušenia politiky

Ak je príčinou zastaraná relácia, zatvorte to jedno pripojenie a namapujte znova zamýšľaným účtom. Ak sa uložený prihlasovací údaj stále vracia, odstráňte tento údaj namiesto celého zoznamu jednotiek. Potom novú reláciu potvrďte pomocou net use.

Zachovajte požadované podpisovanie SMB, šifrovanie a politiku účtov. Server, ktorý odmieta nepodpísanú alebo nešifrovanú reláciu, presadzuje politiku, nečíta nesprávne heslo, a oslabovanie politiky, aby mapovanie uspelo, vymieňa bezpečnosť za symptóm.

Zaznamenajte názov servera, presnú formu účtu a práva k zdieľaniu a adresáru, ktoré fungovali. Inak nasledujúci človek, ktorý jednotku namapuje, skúsi najprv prihlásenie VPN, pretože to sú údaje, s ktorými sa dostal do siete.