Повезивање VPN дељеног диска са Samba налогом који сервер познаје

Повежите тунел, а дељење и даље тражи лозинку за коју корисник мисли да је тачна. У самосталном распоређивању Samba, пријава на VPN и пријава на SMB су неповезани акредитиви: један овлашћује тунел, други проверава фајл сервер. Зато повезивање диска са VPN налогом не успева чак и када је лозинка тачна и мрежна путања савршена. Та разлика објашњава већину неуспеха повезивања преко VPN-а.

Решење није ресетовање VPN налога. Већ именовање идентитета који Samba сервер заиста познаје, а затим провера да ли тај исти идентитет има права на дељење и директоријум.

Пријава на VPN и пријава на SMB су различити идентитети

VPN налог процењује VPN гејтвеј према сопственој политици. Он одговара да ли овај клијент сме да уђе у приватну мрежу. Не каже ништа о томе који SMB налог постоји на фајл серверу у тој мрежи.

Samba налог живи у позадини за аутентификацију сервера, са сопственом базом лозинки и сопственим именом. Два рачунара могу оба имати корисника по имену alice без дељења система идентитета, лозинке или идентификатора корисника. Имена се поклапају; налози не.

Samba сервер интегрисан у домен мења слику: идентитет долази из директоријума и од Kerberos-а, не из локалне листе налога. У том случају користите идентитет из директоријума и подржану SMB конфигурацију уместо да правите локалне дупликате који имитирају чланство у домену. Проверите који модел сервер користи пре него што направите било који налог.

Погледајте који идентитет Windows заиста користи

Windows кешира везе по серверу. Ако је постојећа сесија ка истом серверу отворена са другим налогом, ново повезивање може поново да искористи ту сесију или да не успе са грешком аутентификације која именује погрешног корисника. Тако тачна лозинка изгледа погрешно. Прегледајте тренутне везе пре него што промените акредитиве.

net use
cmdkey /list
klist

Прва команда приказује повезане дискове и отворене сесије, друга приказује сачуване акредитиве који могу аутоматски да се примене, а трећа приказује Kerberos тикете када се користи домен. Сачувани акредитив може тихо да замени налог који сте намеравали да унесете.

Уклоните само везу или акредитив који припада овом проблему. Искључивање свих дискова или замена имена сервера IP адресом крије избор идентитета и може да поквари потписивање или политике засноване на именима.

Повежите дељење са налогом који сервер препознаје

Наведите налог у облику који сервер очекује и дозволите Windows-у да затражи лозинку, да тајна не би завршила у историји команди или скрипти:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Део сервера пре обратне косе црте је контекст идентитета Samba сервера, не VPN гејтвеј. Звездица захтева интерактивни упит за лозинку, а /persistent:no држи повезивање ван следеће пријаве. Изаберите слободно слово диска.

Ако је сервер интегрисан у домен, део корисника може уместо тога бити име директоријума или идентитет са доменским префиксом. Користите облик који администратор документује; измишљање локалног налога са истим именом ствара други идентитет и другу лозинку за одржавање.

Валидност налога, приступ дељењу и права фајл система су три провере

Samba проверава да ли се идентитет аутентификује, да ли дефиниција дељења то допушта и да ли фајл систем додељује тражену операцију. Пролазак прве провере не значи и остале две. Дељење може бити видљиво и ипак одбијати уписе зато што тако кажу дозволе директоријума.

Дељење ограничено са valid users прихвата само наведене налоге или групе. Налог може исправно да се аутентификује и ипак буде одбијен том линијом. Проверите дефиницију дељења пре него што закључите да је лозинка погрешна.

На страни фајл система значе и Samba процес и повезани идентитет. Директоријум у власништву root-а са режимом 700 неће прихватити уписе од обичног налога, чак и када дефиниција дељења то дозвољава. Тестирајте читањем, а затим уписивањем у директоријум који налог треба да користи.

Очистите конфликтну сесију без кршења политике

Када је узрок застарела сесија, затворите ту једну везу и повежите се поново са предвиђеним налогом. Ако сачувани акредитив стално враћа, уклоните тај акредитив уместо целе листе дискова. Затим потврдите нову сесију помоћу net use.

Задржите обавезно SMB потписивање, шифровање и политику налога. Сервер који одбија непотписану или нешифровану сесију спроводи политику, а не чита погрешно лозинку, и његово слабљење да би повезивање успело мења безбедност за симптом.

Запишите име сервера, тачан облик налога и права на дељење и директоријум која су радила. Иначе ће следећа особа која повезује диск прво пробати пријаву на VPN, јер су то акредитиви са којима је стигла до мреже.