Preslikava datoteke VPN v skupno rabo z računom Samba, ki ga strežnik pozna

Povežite tunel in skupna raba še vedno zahteva geslo, za katero uporabnik misli, da je pravilno. V samostojni namestitvi Samba sta prijava VPN in prijava SMB nepovezani poverilnici: ena pooblasti tunel, drugo preveri strežnik datotek. Zato preslikava diska z računom VPN ne uspe, tudi ko je geslo pravilno in je omrežna pot brezhibna. Ta razlika pojasnjuje večino napak pri preslikavi prek VPN.

Rešitev ni ponastavitev računa VPN. Rešitev je poimenovati identiteto, ki jo strežnik Samba res pozna, in nato preveriti, ali ima ista identiteta pravice do skupne rabe in imenika.

Prijava VPN in prijava SMB sta različni identiteti

Račun VPN ovrednoti prehod VPN po svoji politiki. Odgovori, ali ta odjemalec lahko vstopi v zasebno omrežje. Ne pove ničesar o tem, kateri račun SMB obstaja na strežniku datotek v tem omrežju.

Račun Samba živi v zaledju preverjanja pristnosti strežnika, z lastno bazo gesel in lastnim imenom. Dva računalnika imata lahko oba uporabnika z imenom alice, ne da bi delila sistem identitet, geslo ali identifikator uporabnika. Imena se ujemajo; računi ne.

Strežnik Samba, integriran v domeno, spremeni sliko: identiteta prihaja iz imenika in iz Kerberosa, ne s krajevnega seznama računov. V tem primeru uporabite identiteto iz imenika in podprto konfiguracijo SMB, namesto da ustvarjate krajevne dvojnike in posnemate članstvo v domeni. Preden ustvarite kateri koli račun, preverite, kateri model uporablja strežnik.

Poglejte, katero identiteto Windows dejansko uporablja

Windows shranjuje povezave v predpomnilnik po strežniku. Če je bila obstoječa seja do istega strežnika odprta z drugim računom, lahko nova preslikava to sejo znova uporabi ali ne uspe z napako preverjanja pristnosti, ki navaja napačnega uporabnika. Tako je pravilno geslo videti napačno. Preden spremenite poverilnice, preglejte trenutne povezave.

net use
cmdkey /list
klist

Prvi ukaz prikaže preslikane diske in odprte seje, drugi prikaže shranjene poverilnice, ki se lahko uporabijo samodejno, tretji pa prikaže vstopnice Kerberos, ko se uporablja domena. Shranjena poverilnica lahko tiho preglasi račun, ki ste ga nameravali vnesti.

Odstranite samo povezavo ali poverilnico, ki pripada tej težavi. Prekinjanje vseh diskov ali zamenjava imena strežnika z naslovom IP skrije izbiro identitete in lahko pokvari podpisovanje ali politike, ki temeljijo na imenih.

Preslikajte skupno rabo z računom, ki ga strežnik prepozna

Navedite račun v obliki, ki jo strežnik pričakuje, in pustite, da Windows zahteva geslo, da skrivnost ne konča v zgodovini ukazov ali v skriptu:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Del strežnika pred obrnjeno poševnico je kontekst identitete strežnika Samba, ne prehod VPN. Zvezdica zahteva interaktivno poziv za geslo, /persistent:no pa ohrani preslikavo zunaj naslednje prijave. Izberite prosto črko pogona.

Če je strežnik integriran v domeno, je lahko del uporabnika namesto tega ime imenika ali identiteta s kvalifikatorjem domene. Uporabite obliko, ki jo dokumentira skrbnik; izmišljanje krajevnega računa z istim imenom ustvari drugo identiteto in drugo geslo za vzdrževanje.

Veljavnost računa, dostop do skupne rabe in pravice datotečnega sistema so tri preverjanja

Samba preveri, ali se identiteta preveri, ali jo definicija skupne rabe dopušča, in ali datotečni sistem dodeli zahtevano operacijo. Prehod prvega preverjanja ne pomeni tudi drugih dveh. Skupna raba je lahko vidna in vseeno zavrača pisanje, ker tako pravijo dovoljenja imenika.

Skupna raba, omejena z valid users, dopušča samo navedene račune ali skupine. Račun se lahko pravilno preveri in ga ta vrstica vseeno zavrne. Preden sklepate, da je geslo napačno, preverite definicijo skupne rabe.

Na strani datotečnega sistema štejeta proces Samba in preslikana identiteta. Imenik v lasti root z načinom 700 ne bo sprejel pisanja z običajnega računa, tudi ko definicija skupne rabe to dovoljuje. Preizkusite z branjem in nato s pisanjem v imeniku, ki naj bi ga račun uporabljal.

Počistite konfliktno sejo, ne da bi kršili politiko

Ko je vzrok zastarela seja, zaprite to eno povezavo in znova preslikajte z nameravanim računom. Če se shranjena poverilnica kar vrača, odstranite to poverilnico namesto celotnega seznama diskov. Nato potrdite novo sejo z net use.

Ohranite zahtevano podpisovanje SMB, šifriranje in politiko računov. Strežnik, ki zavrne nepodpisano ali nešifrirano sejo, uveljavlja politiko, ne bere napačno gesla, in če jo oslabite, da bi preslikava uspela, zamenjate varnost za simptom.

Zapišite ime strežnika, natančno obliko računa ter pravice do skupne rabe in imenika, ki so delovale. Sicer bo naslednja oseba, ki bo preslikala disk, najprej poskusila prijavo VPN, ker so to poverilnice, s katerimi je dosegla omrežje.