Pse Samba i refuzon klientët VPN që arrijnë te serveri

Një klient VPN bën ping te serveri i skedarëve, zgjidh emrin e tij dhe prapë nuk mund të hapë një ndarje. Politika e pritësve e Samba-s është një nga katër shtresat që mund ta refuzojnë atë lidhje, dhe është ajo që njerëzit e modifikojnë të fundit. Lista e lejeve vlerësohet kundrejt adresës burimore që smbd merr në të vërtetë, dhe mund të mos jetë adresa që klienti mendon se e ka. Përcaktimi i saktë i atij burimi e kthen një problem të paqartë lejeje në një ndryshim konfigurimi prej një rreshti.

Katër shtresa që dështojnë me të njëjtin mesazh

Një refuzim mund të vijë nga rruga, nga muri i zjarrit i pritësit, nga politika e pritësve e Samba-s ose nga identiteti SMB. Çdo shtresë i prodhon klientit një mesazh që thotë afërsisht të njëjtën gjë, prandaj hamendja kushton një pasdite. Renditja e kontrolleve nga rrjeta nga brenda eliminon pjesën më të madhe të hamendjes.

Filloni me transportin. Nëse porta 445 nuk arrin kurrë te serveri, asnjë cilësim i Samba-s nuk ka rëndësi, dhe një kapje në ndërfaqen e serverit e zgjidh në sekonda. Më pas vjen muri i zjarrit i pritësit në vetë serverin, i cili mund të hedhë poshtë një burim të lejuar përpara se smbd ta shohë. Vetëm pasi këto dy kalojnë, lista e lejeve bëhet kandidate. Vërtetimi vjen i fundit, sepse një hyrje e dështuar dhe një refuzim pritësi duken ndryshe në regjistrin e serverit, edhe kur klienti i raporton të dyja si akses të refuzuar. Rendi ka më shumë rëndësi sesa mjetet, sepse çdo shtresë ka një komandë që i përgjigjet.

Gjeni adresën burimore që smbd sheh në të vërtetë

Me akses të rrugëzuar serveri zakonisht sheh adresën e klientit nga pishina VPN. Me përkthim burimi në portë sheh në vend të saj adresën LAN të portës, dhe çdo klient pas asaj porte bëhet i padallueshëm.

Ky ndryshim vendos nëse një zë në listën e lejeve është politikë apo vrimë. Lejimi i një adrese porte të përkthyer pranon të gjithë ata pas saj, gjë që një rregull për klient rrallë herë donte ta shprehte. Lexojeni burimin te serveri dhe jo nga ideja e klientit për adresën e vet. Një kapje në ndërfaqen e serverit është mënyra më e lirë për ta parë, dhe e njëjta kapje provon nëse paketa mbërriti fare. Kufizoni kapjen me një numër paketash dhe shtoni një filtër pritësi kur të dini cilin klient po ndiqni. Tabela e sesioneve e Samba-s është gjysma tjetër e përgjigjes: në smbstatus -b kolona e klientit në çdo rresht sesioni është pala që regjistroi smbd, dhe është konfirmimi më i shpejtë i adresës që arriti vërtet te shërbimi.

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

Lexojeni listën e lejeve ashtu siç e lexon Samba

Cilësimi hosts allow merr një listë adresash, rrjetesh ose emrash, dhe mund të qëndrojë globalisht ose brenda një ndarjeje. Dy zëra që ju duken ekuivalentë mund të mos jenë ekuivalentë për analizuesin, prandaj konfigurimi efektiv është ai që duhet inspektuar. Kjo do të thotë pamja e bashkuar dhe jo skedari që modifikuat rastësisht.

Një çift ilustrues prefiksesh duket si rreshti më poshtë, dhe është shembull dhe jo zëvendësim i zërave që ekzistojnë tashmë. Mbani klientët administrativë dhe të aplikacioneve që lidhen ligjërisht sot, dhe lexoni çdo listë ndalimi në të njëjtin hap. Nëse një pritës pranohet varet nga politika në tërësi, prandaj testoni klientin e saktë në vend që të arsyetoni për përparësinë. Leja e pritësit nuk thotë asgjë për lejet e ndarjes ose mënyrat e sistemit të skedarëve, të cilat janë porta të veçanta. Suksesi i mjeteve të testimit do të thotë që politika e pritësve pranon atë burim, dhe asgjë më shumë.

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

Ndryshoni skedarin që i mbijeton një rinisjeje

Në një pritës normal Linux rruga e konfigurimit është e fiksuar dhe shërbimi e rilexon në rinisje. Në një ruter ose pajisje smb.conf-ja që punon shpesh gjenerohet në nisje, dhe një modifikim manual zhduket në rinisjen tjetër. Përdorni mekanizmin e personalizimit të mbështetur të pajisjes, i cili zakonisht është një skedar konfigurimi i vetin.

Tundimi në këtë pikë është të flashetoni firmware alternativ sepse një fije raportoi se funksionon. Ky është një ndryshim i madh për një problem të vogël politike, dhe e nxjerr pajisjen nga gjendja e saj e mbështetur. Identifikoni së pari kontrollin e mbështetur, pasi shumica e pajisjeve e ekspozojnë listën e lejeve përmes ndërfaqes së tyre. Nëse vërtet nuk e bëjnë, ai kufizim është argument për hardware tjetër dhe jo për një ndërtim të pambështetur.

Regjistroni cilin skedar ndryshuat dhe çfarë e rigjeneron atë, që personi tjetër të mos e përsërisë diagnozën.

Testoni një klient të lejuar dhe një të përjashtuar

Testoni të dyja rezultatet, jo vetëm atë që dëshironit. Një klient i lejuar që lidhet provon se ndryshimi funksionon; një klient i përjashtuar që vazhdon të refuzohet provon se rregulli nuk hapi thjesht gjithçka.

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

Kur lidhja nuk arrin kurrë te smbd, përgjigjja është në rrugëzim ose në murin e zjarrit të serverit. Nëse pritësi lejohet dhe hyrja dështon, problemi është identiteti dhe zgjerimi i listës së lejeve nuk do të ndihmojë. Mbani daljen e diagnozës private, sepse një regjistër i detajuar i Samba-s mund të ekspozojë rrugë ndarjesh dhe emra llogarish. Ndryshoni një shtresë për provë, përndryshe rezultati tjetër nuk do t'ju thotë asgjë.