VPN dosya paylaşımını sunucunun bildiği Samba hesabıyla eşleme

Tüneli bağlayın ve paylaşım hâlâ kullanıcının doğru olduğunu düşündüğü bir parola soruyor. Bağımsız bir Samba kurulumunda VPN girişi ile SMB girişi birbiriyle ilgisiz kimlik bilgileridir: biri tüneli yetkilendirir, diğerini dosya sunucusu denetler. Bu yüzden sürücüyü VPN hesabıyla eşlemek, parola doğru ve ağ yolu kusursuz olsa bile başarısız olur. Bu ayrım, VPN üzerinden yapılan eşleme hatalarının çoğunu açıklar.

Çözüm VPN hesabını sıfırlamak değildir. Çözüm, Samba sunucusunun gerçekten bildiği bir kimliği adlandırmak ve ardından aynı kimliğin paylaşım ve dizin haklarına sahip olduğunu doğrulamaktır.

VPN girişi ile SMB girişi farklı kimliklerdir

Bir VPN hesabı, VPN geçidi tarafından kendi politikasına göre değerlendirilir. Bu istemcinin özel ağa girip giremeyeceğini yanıtlar. O ağın içindeki bir dosya sunucusunda hangi SMB hesabının bulunduğu hakkında hiçbir şey söylemez.

Bir Samba hesabı, sunucunun kimlik doğrulama arka ucunda kendi parola veritabanı ve kendi adıyla yaşar. İki makine, bir kimlik sistemi, parola veya kullanıcı tanımlayıcısı paylaşmadan alice adlı bir kullanıcıya sahip olabilir. Adlar eşleşir; hesaplar eşleşmez.

Etki alanına entegre bir Samba sunucusu tabloyu değiştirir: kimlik yerel hesap listesinden değil, dizinden ve Kerberos'tan gelir. Bu durumda etki alanı üyeliğini taklit etmek için yerel kopyalar oluşturmak yerine dizin kimliğini ve desteklenen SMB yapılandırmasını kullanın. Herhangi bir hesap oluşturmadan önce sunucunun hangi modeli kullandığını denetleyin.

Windows'un gerçekte hangi kimliği kullandığını görün

Windows bağlantıları sunucu başına önbelleğe alır. Aynı sunucuya var olan bir oturum başka bir hesapla açıldıysa, yeni bir eşleme o oturumu yeniden kullanabilir veya yanlış kullanıcıyı adlandıran bir kimlik doğrulama hatasıyla başarısız olabilir. Doğru bir parola böyle yanlış görünür. Kimlik bilgilerini değiştirmeden önce geçerli bağlantıları inceleyin.

net use
cmdkey /list
klist

İlk komut eşlenmiş sürücüleri ve açık oturumları gösterir, ikincisi otomatik olarak uygulanabilecek kayıtlı kimlik bilgilerini gösterir, üçüncüsü ise bir etki alanı kullanıldığında Kerberos biletlerini gösterir. Kayıtlı bir kimlik bilgisi, yazmayı amaçladığınız hesabı sessizce geçersiz kılabilir.

Yalnızca bu soruna ait bağlantıyı veya kimlik bilgisini kaldırın. Tüm sürücülerin bağlantısını kesmek veya sunucu adını bir IP adresiyle değiştirmek kimlik seçimini gizler ve imzalamayı ya da ada dayalı politikayı bozabilir.

Paylaşımı sunucunun tanıdığı hesapla eşleyin

Hesabı sunucunun beklediği biçimde belirtin ve parolayı Windows'un istemesine izin verin, böylece sır komut geçmişine veya bir betiğe düşmez:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Ters eğik çizgiden önceki sunucu bileşeni Samba sunucusunun kimlik bağlamıdır, VPN geçidi değildir. Yıldız işareti etkileşimli bir parola istemi talep eder ve /persistent:no eşlemeyi bir sonraki oturum açmanın dışında tutar. Boş bir sürücü harfi seçin.

Sunucu etki alanına entegreyse, kullanıcı bileşeni bunun yerine bir dizin adı veya etki alanı nitelikli bir kimlik olabilir. Yöneticinin belgelediği biçimi kullanın; aynı adla yerel bir hesap uydurmak ikinci bir kimlik ve bakımı gereken ikinci bir parola yaratır.

Hesap geçerliliği, paylaşım erişimi ve dosya sistemi hakları üç denetimdir

Samba kimliğin kimlik doğrulamasını yapıp yapmadığını, paylaşım tanımının onu kabul edip etmediğini ve dosya sisteminin istenen işlemi verip vermediğini denetler. İlk denetimi geçmek diğer ikisinin de geçtiği anlamına gelmez. Bir paylaşım görünür olup dizin izinleri öyle söylediği için yine de yazmayı reddedebilir.

valid users ile kısıtlanan bir paylaşım yalnızca listelenen hesapları veya grupları kabul eder. Hesap doğru şekilde kimlik doğrulayabilir ve yine de o satır tarafından reddedilebilir. Parolanın yanlış olduğu sonucuna varmadan önce paylaşım tanımını denetleyin.

Dosya sistemi tarafında hem Samba süreci hem de eşlenen kimlik önemlidir. root'a ait ve modu 700 olan bir dizin, paylaşım tanımı izin verse bile sıradan bir hesaptan yazma kabul etmez. Hesabın kullanması gereken bir dizinde önce okuma, sonra yazma ile deneyin.

Politikayı bozmadan çakışan bir oturumu temizleyin

Neden eski bir oturumsa, o tek bağlantıyı kapatın ve amaçlanan hesapla yeniden eşleyin. Kayıtlı bir kimlik bilgisi geri gelmeye devam ediyorsa, tüm sürücü listesi yerine o kimlik bilgisini kaldırın. Ardından yeni oturumu net use ile doğrulayın.

Gerekli SMB imzalamayı, şifrelemeyi ve hesap politikasını yerinde tutun. İmzasız veya şifresiz bir oturumu reddeden sunucu politikayı uyguluyordur, parolayı yanlış okumuyordur ve eşlemenin başarılı olması için onu zayıflatmak güvenliği bir belirtiyle değiş tokuş eder.

Sunucu adını, hesabın tam biçimini ve işe yarayan paylaşım ve dizin haklarını kaydedin. Aksi hâlde sürücüyü eşleyecek sonraki kişi önce VPN girişini dener, çünkü ağa ulaştığı kimlik bilgileri bunlardır.