Bakit Tinatanggihan ng Samba ang mga VPN Client na Nakakaabot sa Server

Ang isang VPN client ay nagpi-ping sa file server, nireresolba ang pangalan nito at hindi pa rin mabuksan ang isang share. Ang patakaran ng host ng Samba ay isa sa apat na patong na maaaring tumanggi sa koneksyong iyon, at ito ang huling inaayos ng mga tao. Ang listahan ng pinapayagan ay sinusuri laban sa address ng pinagmulan na aktwal na natatanggap ng smbd, at maaaring hindi ito ang address na inaakala ng client na mayroon siya. Ang tamang pagtukoy sa pinagmulan ay ginagawang isang linyang pagbabago sa configuration ang malabong problema sa pahintulot.

Apat na patong na nabigo sa parehong mensahe

Ang pagtanggi ay maaaring magmula sa ruta, sa firewall ng host, sa patakaran ng host ng Samba o sa pagkakakilanlang SMB. Bawat patong ay gumagawa ng mensahe sa client na halos pareho ang sinasabi, kaya ang paghula ay kumakain ng isang hapon. Ang pag-aayos ng mga pagsusuri mula sa network pakanloob ay nag-aalis ng karamihan sa paghula.

Simulan sa transport. Kung hindi kailanman umabot ang port 445 sa server, walang setting ng Samba ang mahalaga, at ang pagkuha sa interface ng server ay nagtatapos nito sa ilang segundo. Susunod ang firewall ng host sa server mismo, na maaaring magtapon ng pinapayagang pinagmulan bago pa man ito makita ng smbd. Pagkatapos lamang na makapasa ang dalawang ito nagiging kandidato ang listahan ng pinapayagan. Ang pagpapatunay ay huli, dahil magkaiba ang hitsura ng nabigong pag-login at ng pagtanggi ng host sa log ng server, kahit iniuulat ng client ang dalawa bilang denied access. Ang pagkakasunod-sunod ay mas mahalaga kaysa sa mga kasangkapan, dahil may utos ang bawat patong na sumasagot dito.

Hanapin ang address ng pinagmulan na talagang nakikita ng smbd

Sa naka-rutang access, karaniwang nakikita ng server ang address ng client mula sa pool ng VPN. Sa pagsasalin ng pinagmulan sa gateway, nakikita nito ang LAN address ng gateway sa halip, at nagiging hindi makilala ang bawat client sa likod ng gateway na iyon.

Ang pagkakaibang iyon ang nagpapasya kung ang isang entry sa listahan ng pinapayagan ay patakaran o butas. Ang pagpayag sa isinaling address ng gateway ay tumatanggap sa lahat ng nasa likod nito, na bihirang gustong ipahayag ng patakaran kada client. Basahin ang pinagmulan sa server at hindi sa akala ng client tungkol sa sariling address. Ang pagkuha sa interface ng server ang pinakamurang paraan upang makita ito, at ang parehong pagkuha ay nagpapatunay kung dumating man ang packet. Limitahan ang pagkuha sa bilang ng packet at magdagdag ng filter ng host kapag alam mo kung aling client ang sinusundan. Ang talahanayan ng session ng Samba ang kabilang kalahati ng sagot: sa smbstatus -b ang column ng client sa bawat hilera ng session ay ang peer na itinala ng smbd, at iyon ang pinakamabilis na kumpirmasyon ng address na aktwal na umabot sa serbisyo.

sudo tcpdump -ni any -c 20 'tcp port 445'
sudo smbstatus -b
ss -tnp | grep ':445'

Basahin ang listahan ng pinapayagan kung paano ito binabasa ng Samba

Ang setting na hosts allow ay tumatanggap ng listahan ng mga address, network o pangalan, at maaaring nasa pangkalahatan o sa loob ng isang share. Ang dalawang entry na mukhang pantay sa iyo ay maaaring hindi pantay sa parser, kaya ang epektibong configuration ang dapat suriin. Ibig sabihin nito ang pinagsamang tanaw at hindi ang file na na-edit mo nang nagkataon.

Ang isang halimbawang pares ng prefix ay mukhang linya sa ibaba, at ito ay halimbawa at hindi kapalit ng mga entry na mayroon na. Panatilihin ang mga administrative at application client na lehitimong kumokonekta ngayon, at basahin ang anumang listahan ng pagbabawal sa parehong pagdaan. Kung tatanggapin ang isang host ay nakasalalay sa patakaran sa kabuuan, kaya subukan ang eksaktong client sa halip na mangatuwiran tungkol sa priyoridad. Wala ring sinasabi ang pahintulot ng host tungkol sa mga pahintulot ng share o mga mode ng file system, na magkahiwalay na pintuan. Ang tagumpay ng mga kasangkapan sa pagsubok ay nangangahulugang tinatanggap ng patakaran ng host ang pinagmulang iyon, at wala nang iba pa.

hosts allow = 192.168.50.0/24 10.90.0.0/24
testparm -s
testparm -s /etc/samba/smb.conf client.example 10.90.0.14

Baguhin ang file na natitira pagkatapos ng reboot

Sa isang normal na Linux host, ang path ng configuration ay nakapirmi at binabasa itong muli ng serbisyo sa restart. Sa isang router o appliance, ang tumatakbong smb.conf ay madalas na nabuo sa boot, at nawawala ang manu-manong edit sa susunod na reboot. Gamitin ang sinusuportahang mekanismo ng pag-customize ng appliance, na karaniwang sariling configuration file nito.

Ang tukso sa puntong ito ay i-flash ang alternatibong firmware dahil may thread na nag-ulat na gumagana ito. Malaking pagbabago iyon para sa maliit na problema sa patakaran, at inilalabas nito ang device sa sinusuportahang estado. Tukuyin muna ang sinusuportahang kontrol, dahil ipinapakita ng karamihan ng appliance ang listahan ng pinapayagan sa sarili nilang interface. Kung talagang hindi nila ito ginagawa, ang limitasyong iyon ay argumento para sa ibang hardware at hindi para sa hindi sinusuportahang build.

Itala kung aling file ang binago mo at ano ang muling gumagawa nito, upang hindi ulitin ng susunod na tao ang diagnosis.

Subukan ang isang pinapayagang client at isang hindi kasamang client

Subukan ang parehong resulta, hindi lamang ang gusto mo. Ang pinapayagang client na kumokonekta ay nagpapatunay na gumagana ang pagbabago; ang hindi kasamang client na tinatanggihan pa rin ay nagpapatunay na hindi lamang binuksan ng patakaran ang lahat.

smbclient -L //fileserver -U alice
sudo testparm -s /etc/samba/smb.conf alice-laptop 10.90.0.14
sudo tail -n 40 /var/log/samba/log.smbd

Kapag hindi kailanman umabot ang koneksyon sa smbd, nasa routing o sa firewall ng server ang sagot. Kung pinapayagan ang host at nabigo ang pag-login, ang problema ay pagkakakilanlan at hindi makakatulong ang muling pagpapalawak ng listahan ng pinapayagan. Panatilihing pribado ang output ng diagnosis, dahil maaaring ilantad ng detalyadong Samba log ang mga path ng share at pangalan ng account. Baguhin ang isang patong kada pagtatangka, kung hindi ay wala kang matututuhan sa susunod na resulta.