Harta e një ndarjeje skedarësh VPN me llogarinë Samba që serveri njeh

Lidhni tunelin dhe ndarja vazhdon të kërkojë një fjalëkalim që përdoruesi mendon se është i saktë. Në një vendosje autonome Samba, hyrja VPN dhe hyrja SMB janë kredenciale të palidhura: njëra autorizon tunelin, tjetrën e kontrollon serveri i skedarëve. Prandaj lidhja e diskut me llogarinë VPN dështon edhe kur fjalëkalimi është i saktë dhe rruga e rrjetit është e përsosur. Ky dallim shpjegon shumicën e dështimeve të lidhjes përmes një VPN.

Zgjidhja nuk është rivendosja e llogarisë VPN. Është të emërtosh një identitet që serveri Samba e njeh vërtet, dhe pastaj të kontrollosh që i njëjti identitet ka të drejta mbi ndarjen dhe drejtorinë.

Hyrja VPN dhe hyrja SMB janë identitete të ndryshme

Një llogari VPN vlerësohet nga porta VPN sipas politikës së saj. Ajo përgjigjet nëse ky klient mund të hyjë në rrjetin privat. Nuk thotë asgjë për atë se cila llogari SMB ekziston në një server skedarësh brenda atij rrjeti.

Një llogari Samba jeton në backendin e vërtetimit të serverit, me bazën e vet të fjalëkalimeve dhe emrin e vet. Dy makina mund të kenë të dyja një përdorues të quajtur alice pa ndarë një sistem identiteti, një fjalëkalim ose një identifikues përdoruesi. Emrat përputhen; llogaritë jo.

Një server Samba i integruar në domen e ndryshon pamjen: identiteti vjen nga drejtoria dhe nga Kerberos, jo nga një listë lokale llogarish. Në atë rast përdorni identitetin e drejtorisë dhe konfigurimin e mbështetur SMB në vend që të krijoni dublikatë lokalë për të imituar anëtarësimin në domen. Kontrolloni cilin model përdor serveri përpara se të krijoni ndonjë llogari.

Shihni cilin identitet Windows po përdor në të vërtetë

Windows ruan në cache lidhjet për çdo server. Nëse një sesion ekzistues drejt të njëjtit server u hap me një llogari tjetër, një lidhje e re mund të ripërdorë atë sesion ose të dështojë me një gabim vërtetimi që emërton përdoruesin e gabuar. Kështu një fjalëkalim i saktë duket i gabuar. Inspektoni lidhjet aktuale përpara se të ndryshoni kredencialet.

net use
cmdkey /list
klist

Komanda e parë shfaq disqet e lidhura dhe sesionet e hapura, e dyta shfaq kredencialet e ruajtura që mund të zbatohen automatikisht, dhe e treta shfaq biletat Kerberos kur përdoret një domen. Një kredencial i ruajtur mund të anashkalojë në heshtje llogarinë që kishit ndërmend të shkruani.

Hiqni vetëm lidhjen ose kredencialin që i përket këtij problemi. Shkëputja e të gjithë disqeve ose zëvendësimi i emrit të serverit me një adresë IP fsheh zgjedhjen e identitetit dhe mund të prishë nënshkrimin ose politikat e bazuara në emra.

Lidhni ndarjen me llogarinë që serveri njeh

Jepni llogarinë në formën që pret serveri dhe lërini Windows të kërkojë fjalëkalimin, që sekreti të mos përfundojë në historikun e komandave ose në një skript:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Komponenti i serverit përpara vijës së kundërt është konteksti i identitetit të serverit Samba, jo porta VPN. Ylli kërkon një kërkesë interaktive fjalëkalimi, dhe /persistent:no e mban lidhjen jashtë hyrjes së radhës. Zgjidhni një shkronjë të lirë disku.

Nëse serveri është i integruar në domen, komponenti i përdoruesit mund të jetë në vend të kësaj një emër drejtorie ose një identitet i kualifikuar me domen. Përdorni formën që dokumenton administratori; sajimi i një llogarie lokale me të njëjtin emër krijon një identitet të dytë dhe një fjalëkalim të dytë për t'u mirëmbajtur.

Vlefshmëria e llogarisë, aksesi në ndarje dhe të drejtat e sistemit të skedarëve janë tre kontrolle

Samba kontrollon nëse identiteti vërtetohet, nëse përkufizimi i ndarjes e pranon, dhe nëse sistemi i skedarëve jep operacionin e kërkuar. Kalimi i kontrollit të parë nuk nënkupton dy të tjerët. Një ndarje mund të jetë e dukshme dhe prapë të refuzojë shkrimet, sepse lejet e drejtorisë thonë kështu.

Një ndarje e kufizuar me valid users pranon vetëm llogaritë ose grupet e listuara. Llogaria mund të vërtetohet saktë dhe prapë të refuzohet nga ai rresht. Kontrolloni përkufizimin e ndarjes përpara se të konkludoni se fjalëkalimi është i gabuar.

Në anën e sistemit të skedarëve rëndësinë e kanë si procesi Samba ashtu edhe identiteti i lidhur. Një drejtori në pronësi të root me modalitetin 700 nuk do të pranojë shkrime nga një llogari e zakonshme, edhe kur përkufizimi i ndarjes e lejon. Provoni me një lexim, pastaj një shkrim, në një drejtori që llogaria duhet të përdorë.

Pastro një sesion konfliktual pa thyer politikën

Kur shkaku është një sesion i vjetëruar, mbyllni atë lidhje të vetme dhe lidhni përsëri me llogarinë e synuar. Nëse një kredencial i ruajtur vazhdon të kthehet, hiqni atë kredencial në vend të të gjithë listës së disqeve. Pastaj konfirmoni sesionin e ri me net use.

Mbani nënshkrimin SMB, kriptimin dhe politikën e llogarive të kërkuara. Një server që refuzon një sesion të panënshkruar ose të pafshehur po zbaton politikën, nuk po e lexon gabim fjalëkalimin, dhe dobësimi i saj që lidhja të ketë sukses shkëmben sigurinë me një simptomë.

Regjistroni emrin e serverit, formën e saktë të llogarisë dhe të drejtat e ndarjes dhe të drejtorisë që funksionuan. Përndryshe personi tjetër që lidh diskun do të provojë së pari hyrjen VPN, sepse janë kredencialet me të cilat arriti në rrjet.