Kwa nini Samba inakataa wateja wa VPN wanaofikia seva

Mteja wa VPN anapiga ping kwa seva ya faili, anatatua jina lake na bado hawezi kufungua ushirikiano. Sera ya wenyeji ya Samba ni moja ya tabaka nne zinazoweza kukataa muunganisho huo, na ndiyo ambayo watu hurekebisha mwisho. Orodha ya ruhusa hupimwa dhidi ya anwani ya chanzo ambayo smbd hupokea kweli, na huenda isiwe anwani ambayo mteja anadhani anayo. Kutambua chanzo hicho kwa usahihi hugeuza tatizo lisilo wazi la ruhusa kuwa mabadiliko ya usanidi wa mstari mmoja.

Tabaka nne zinazoshindikana kwa ujumbe mmoja

Kukataliwa kunaweza kutoka kwa njia, ukuta wa moto wa mwenyeji, sera ya wenyeji ya Samba au utambulisho wa SMB. Kila tabaka hutoa ujumbe kwa mteja unaosema takriban kitu kimoja, ndiyo sababu kubahatisha hugharimu mchana. Kupanga ukaguzi kutoka mtandao kuingia ndani huondoa sehemu kubwa ya kubahatisha.

Anza na usafirishaji. Ikiwa lango 445 halifikii seva kamwe, hakuna mpangilio wowote wa Samba unaojali, na kunasa kwenye kiolesura cha seva huamua hilo kwa sekunde. Kisha huja ukuta wa moto wa mwenyeji kwenye seva yenyewe, ambao unaweza kutupa chanzo kilichoruhusiwa kabla smbd kuiona. Ni baada ya hizi mbili kupita ndipo orodha ya ruhusa inakuwa mtarajiwa. Uthibitishaji huja mwisho, kwa sababu kushindikana kwa kuingia na kukataliwa kwa mwenyeji huonekana tofauti kwenye kumbukumbu ya seva, hata mteja anaporipoti zote mbili kama ufikiaji umekataliwa. Mpangilio ni muhimu kuliko zana, kwa sababu kila tabaka lina amri linalolijibu.

Pata anwani ya chanzo ambayo smbd inaiona kweli

Kwa ufikiaji uliopitishwa kwenye njia, seva kwa kawaida huona anwani ya mteja kutoka dimbwi la VPN. Kwa tafsiri ya chanzo kwenye lango, inaona badala yake anwani ya LAN ya lango, na kila mteja aliye nyuma ya lango hilo anakuwa hawezi kutofautishwa.

Tofauti hiyo huamua kama kipengele kwenye orodha ya ruhusa ni sera au shimo. Kuruhusu anwani ya lango iliyotafsiriwa huwapa nafasi wote walio nyuma yake, jambo ambalo kanuni ya kila mteja mara chache ilitaka kueleza. Soma chanzo kwenye seva na si kutoka kwa dhana ya mteja kuhusu anwani yake mwenyewe. Kunasa kwenye kiolesura cha seva ndiyo njia ya bei nafuu ya kuiona, na kunasa huko huko kunathibitisha kama pakiti ilifika kabisa. Punguza kunasa kwa idadi ya pakiti na uongeze kichujio cha mwenyeji ukiwa unajua mteja unaomfuatilia. Jedwali la vipindi la Samba ni nusu nyingine ya jibu: katika smbstatus -b safu ya mteja katika kila mstari wa kipindi ni mwenzake aliyeandikwa na smbd, na hiyo ni uthibitisho wa haraka zaidi wa anwani iliyofikia huduma kweli.

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

Soma orodha ya ruhusa jinsi Samba inaisoma

Mpangilio wa hosts allow huchukua orodha ya anwani, mitandao au majina, na unaweza kusimama kwa ujumla au ndani ya ushirikiano. Vipengele viwili vinavyoonekana sawa kwako vinaweza visiwe sawa kwa kichanganuzi, kwa hiyo usanidi unaofanya kazi ndio unaopaswa kuchunguzwa. Hiyo inamaanisha mwonekano uliounganishwa na si faili uliyoihariri kwa bahati.

Jozi ya mifano ya viambishi awali inaonekana kama mstari ulio chini, na hii ni mfano na si badala ya vipengele vilivyopo tayari. Weka wateja wa utawala na wa programu wanaounganisha kihalali leo, na soma orodha yoyote ya kuzuia katika hatua hiyo hiyo. Ikiwa mwenyeji atakubaliwa inategemea sera kwa ujumla, kwa hiyo jaribu mteja halisi badala ya kufikiria kuhusu kipaumbele. Ruhusa ya mwenyeji pia haisemi chochote kuhusu ruhusa za ushirikiano au hali za mfumo wa faili, ambazo ni malango tofauti. Mafanikio ya zana za majaribio yanamaanisha sera ya wenyeji inakubali chanzo hicho, na hakuna zaidi.

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

Badilisha faili inayostahimili kuwashwa upya

Kwenye mwenyeji wa kawaida wa Linux njia ya usanidi ni thabiti na huduma inaisoma tena wakati wa kuwasha upya. Kwenye kipanga njia au kifaa smb.conf inayofanya kazi mara nyingi huzalishwa wakati wa kuwasha, na uhariri wa mkono hupotea kwenye kuwasha upya kunakofuata. Tumia utaratibu wa ubinafsishaji unaoungwa mkono na kifaa, ambao kwa kawaida ni faili yake ya usanidi.

Majaribu ya wakati huu ni kuangaza programu-jalizi mbadala kwa sababu uzi mmoja uliripoti inafanya kazi. Hiyo ni mabadiliko makubwa kwa tatizo dogo la sera, na inaondoa kifaa kwenye hali yake inayoungwa mkono. Tambua kwanza udhibiti unaoungwa mkono, kwa kuwa vifaa vingi vinaonyesha orodha ya ruhusa kupitia kiolesura chao wenyewe. Ikiwa kwa kweli hawafanyi hivyo, kizuizi hicho ni hoja ya maunzi tofauti na si ya muundo usioungwa mkono.

Andika faili uliyobadilisha na kile kinachoizalisha tena, ili mtu anayefuata asirudie uchunguzi.

Jaribu mteja mmoja aliyeruhusiwa na mmoja aliyeondolewa

Jaribu matokeo yote mawili, si tu yale uliyotaka. Mteja aliyeruhusiwa anayeunganisha huthibitisha mabadiliko yanafanya kazi; mteja aliyeondolewa anayekataliwa bado huthibitisha kanuni haikufungua kila kitu kwa urahisi.

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

Wakati muunganisho haufikii smbd kamwe, jibu liko kwenye uelekezaji au kwenye ukuta wa moto wa seva. Ikiwa mwenyeji ameruhusiwa na kuingia kunashindikana, tatizo ni utambulisho na kupanua orodha ya ruhusa tena hakutasaidia. Weka matokeo ya uchunguzi kuwa ya faragha, kwa sababu kumbukumbu ya Samba yenye maelezo inaweza kufichua njia za ushirikiano na majina ya akaunti. Badilisha tabaka moja kwa jaribio, vinginevyo matokeo yanayofuata hayatakuambia kitu.