Limitahan ang isang pagbabahaging Samba sa isang gumagamit at isang adres ng VPN

Sa disenyong ito, dalawang magkaibang pahintulot ang napagbabaliktad: kung sino ang maaaring gumamit ng direktoryo, at kung aling mga address ang maaaring kumonekta. Ang pagsulat ng listahan ng account sa tabi ng listahan ng pinagmulan ay parang pagpapares, ngunit tinatasa ng Samba ang dalawang listahan bilang magkahiwalay na panaguri. Tinatanggap ang sinumang tumutugon sa pareho, at ito ay mas malawak na tuntunin kaysa sa inaasahan ng karamihan ng tagapangasiwa. Ang lunas ay ibang layout ng share o isang patakaran na kayang magpahayag ng pares.

Ang mito: dalawang listahan ang gumagawa ng isang tuntunin

Ang sanggunian ng smb.conf ay tumutukoy sa valid users at hosts allow bilang dalawang walang kaugnayang parametro, at ang pagtatakda ng dalawa sa isang share ang pinagmumulan ng kalituhan. Itakda ang valid users = mira, tomas at hosts allow = 10.77.0.21, 10.77.0.22 at tinatanggap ang apat na kombinasyon: si Mira mula sa alinman sa dalawang address, si Tomas mula sa alinman sa dalawang address. Walang nag-uugnay sa unang pangalan sa unang address sa configuration, at walang kahulugan ang pagkakasunod-sunod ng mga pangalan. Ang muling pag-aayos sa kanila, pagdaragdag ng pangalawang linya ng hosts allow, o paglalagay ng isang pangalan bawat linya ay walang binabago. Ang resulta ay produkto ng dalawang listahan, hindi isang pagmamapa sa pagitan nila.

Ang talagang gusto ng karamihan ay mas makitid: si Mira mula lamang sa isang address, si Tomas mula lamang sa iba. Walang sintaks ang isang depinisyon ng share para sa pagkakabit na iyon, at walang matalinong pagkakasunod-sunod ang lumilikha nito. Iyon ay isang anyo ng patakaran na hindi ipinapahayag ng Samba sa loob ng isang share, at doon nabubuhay ang mito.

Ano ang tinatasa ng Samba, at sa anong pagkakasunod-sunod

Tumakbo ang mga yugto sa takdang pagkakasunod-sunod, at ang maling pagkakasunod-sunod ay nagbibigay ng maling diyagnosis. Bumubukas ng koneksyon ang isang kliyente; tumatakbo ang pandaigdigang pagsusuri ng host kung may naka-configure; pinatotohanan ng setup ng sesyon ang account; pagkatapos ay kumokonekta ang kliyente sa isang share, kung saan inilalapat ang sariling listahan ng host nito, valid users at ang setting na basahin lamang; at kapag binuksan lamang ang isang file doon nagpapasya ang mga pahintulot ng file system ng pinatotohanang pagkakakilanlan. Maaaring tanggihan ng bawat yugto ang kahilingan nang mag-isa, at ang pagpasa sa isa ay walang sinasabi tungkol sa susunod. Ang mahalagang kahihinatnan ay kilala na ang account kapag tinatasa ang listahan ng host ng share, at wala pa ring paraan ang listahan ng host na pangalanan ang account na iyon.

Kaya hindi maaaring ikabit ng isang share ang isang gumagamit sa isang address: ang hosts allow at valid users ay magkahiwalay na panaguri na inilalapat sa parehong yugto ng koneksyon ng puno, at bawat isa ay sumasagot sa sariling tanong. Hindi kailanman kinukuha ng panaguri ng host ang pangalan ng account bilang input, kaya hindi ito maisusulat ayon sa gumagamit. Isang pangalawang share lamang, o isang patakarang nasa labas ng Samba, ang makakapagpahayag ng pares.

Mahalaga ang mga pandaigdigang halaga dahil sa paraan ng pagmamana. Ang share na naglalaktaw sa hosts allow ay nagmamana ng pandaigdigang halaga, at ang share na nagtatakda ng sarili nito ay gumagamit ng halagang iyon kapalit ng pandaigdigan, hindi bukod pa. Kaya pinalalawak ng malawak na pandaigdigang listahan ang mga share na hindi kailanman nagtatakda ng parametro, at walang ginagawa sa share na naglilinaw ng sarili nito. Patakbuhin ang testparm -s at basahin ang mga halaga bawat share na inililimbag nito, dahil ang output na iyon ang mabisang patakaran, at ang file sa disk ay hindi.

Ang pagpapakitid ng isang share ay walang ginagawa para sa iba pang bahagi ng server. Ang iba pang share, mga pila ng printer at ang koneksyon ng IPC ay nagpapanatili ng sariling tuntunin, kaya ang disenyong umaasa sa listahan ng address ng isang share ay nagpoprotekta ng isang landas, hindi ang host.

Dalawang pangalan ng share sa isang direktoryo

Kapag ang parehong direktoryo ay dapat maabot ng dalawang tao mula sa dalawang address, ilantad ito nang dalawang beses sa magkaibang pangalan. Bawat bloke ay may isang account at isang pinagmulan, na ginagawang isang bagay na maaaring ipatupad ng configuration ang pares. Ang halaga ay gumagamit ang bawat tao ng ibang pangalan ng share upang maabot ang parehong mga file, at iyon ay dapat maging sinadyang pagbabago sa panig ng kliyente.

[shared-mira]
    path = /srv/shared
    guest ok = no
    read only = yes
    valid users = mira
    hosts allow = 10.77.0.21
    hosts deny = ALL

[shared-tomas]
    path = /srv/shared
    guest ok = no
    read only = yes
    valid users = tomas
    hosts allow = 10.77.0.22
    hosts deny = ALL

Ang tarangkahan ng share ay hindi pahintulot ng file system. Kailangan pa rin ng parehong pagkakakilanlan ng access sa direktoryo sa pamamagitan ng pinagbabatayang ACL, at ang setting na basahin lamang ay pangalawang suson, hindi ang tanging. Magbigay ng pahintulot sa pagsulat lamang kung kailangan ito ng workflow, pagkatapos ay tiyakin na ang mga file na nilikha ng isang pagkakakilanlan ay nananatiling magagamit ng isa pa.

Parehong tumuturo sa isang landas ang dalawang bloke, kaya ang pagbabago sa direktoryo ay nakakaapekto sa parehong share. Karaniwang iyon ang layunin, ngunit nangangahulugan din itong nakikita ng parehong gumagamit nang sabay ang isang pagkakamali sa pahintulot.

Ano ang mapapatunayan ng pinagmulang address

Ang address na nakikita ng Samba ay ang address na umabot sa server, hindi ang address na inaakala ng kliyente. Ang gateway ng VPN na nagsasalin sa bawat kliyente sa isang pinagmulang address ay nag-aalis ng pagkakaiba: lahat ng kliyente ay dumarating bilang parehong host at hindi na sila maihihiwalay ng listahan ng pinagmulan. Ang matatag na pagtatalaga bawat kliyente at gateway na nagpapanatili ng pinagmulan ay mga paunang kundisyon sa paggamit ng address bilang patakaran. Kung wala ang dalawa, sinusukat ng paghihigpit ang gateway, hindi ang gumagamit.

Gayunpaman, ang address ay hindi isang aparato. Dalawang laptop sa likod ng isang address ng tunnel, isang lease na muling inilaan at isang pinagsasaluhang workstation ay pawang pinabubulaanan ang palagay na tinutukoy ng pinagmulan ang isang tao. Ituring ang paghihigpit bilang saklaw ng network at panatilihin ang mga pinatotohanang account ng SMB bilang suson ng pagkakakilanlan, kasama ang kredensyal ng aparato tulad ng sertipiko kung kailangan mo ng awtorisasyon ng aparato.

Kaya isinasara ng disenyo ang mga share at hindi ang server. Ang tinanggihang pares ay makakabukas pa rin ng sesyon, makakaabot sa ibang share o makakalista ng server, na ibang resulta mula sa pagkabigo ng pagpapatotoo sa oras ng koneksyon. Kung ang pangangailangan ay pagtanggi bago ang pagpapatotoo, ang mga parametro ng share ng Samba ay maling kasangkapan.

Patunayan ito gamit ang mga crossed pair

I-validate ang configuration, pagkatapos ay subukan ang apat na kombinasyon gamit ang mga bagong koneksyon sa halip na muling ginamit na sesyon. Dapat maabot ng inilaan na pares ang direktoryo, at dapat mabigo ang dalawang crossed pair. Ang naka-cache na sesyon mula sa naunang pagsubok ay kusang sasagot para sa maling kombinasyon at gagawing mukhang tama ang isang sirang tuntunin.

testparm -s
smbclient //fileserver/shared-mira -U mira -c 'ls'
smbclient //fileserver/shared-tomas -U tomas -c 'ls'
smbstatus --shares

Ang pagsusuri ng sintaks ay nagpapatunay lamang na ang file ay napi-parse. Ang kredensyal, ACL at desisyon sa host ay ginagamit ng tunay na koneksyon, kaya patakbuhin ang utos ng kliyente mula sa address na gusto mong subukan at panoorin kung aling yugto ang tumatanggi dito. Kung magtagumpay ang isang crossed pair, ang mabisang listahan ng host ay mas malawak kaysa sa iminumungkahi ng bloke, at testparm -s ang unang dapat basahin. Kung mabigo ang isang crossed pair sa maling dahilan, ang account o ang ACL ang pinaghihinalaan.

Ang pagsubaybay sa mga sesyon gamit ang smbstatus at pagpatay sa mga ito ay isang aksyon ng pagtugon pagkatapos magsimula ang access, hindi kontrol sa pagpasok. Ang pagharang sa buong naobserbahang address ay maaari ring makadiskonekta ng walang kaugnayang gumagamit sa likod ng parehong NAT, kaya ang desisyon ay kabilang sa depinisyon ng share at ang pagsubaybay sa proseso ng pagtugon. Panatilihing hiwalay ang dalawa at nananatiling tapat ang disenyo sa ipinapatupad nito.