Ánh xạ thư mục chia sẻ VPN bằng tài khoản Samba mà máy chủ biết

Kết nối đường hầm và thư mục chia sẻ vẫn hỏi mật khẩu mà người dùng cho là đúng. Trong một triển khai Samba độc lập, đăng nhập VPN và đăng nhập SMB là những thông tin xác thực không liên quan: một cái cho phép đường hầm, cái kia do máy chủ tệp kiểm tra. Vì vậy ánh xạ ổ đĩa bằng tài khoản VPN thất bại ngay cả khi mật khẩu đúng và đường mạng hoàn hảo. Sự khác biệt này giải thích phần lớn lỗi ánh xạ qua VPN.

Cách khắc phục không phải là đặt lại tài khoản VPN. Mà là nêu tên một danh tính mà máy chủ Samba thực sự biết, rồi kiểm tra rằng chính danh tính đó có quyền trên thư mục chia sẻ và thư mục.

Đăng nhập VPN và đăng nhập SMB là hai danh tính khác nhau

Tài khoản VPN được cổng VPN đánh giá theo chính sách riêng của nó. Nó trả lời liệu máy khách này có được vào mạng riêng hay không. Nó không nói gì về tài khoản SMB nào tồn tại trên máy chủ tệp bên trong mạng đó.

Tài khoản Samba sống trong phần phụ trợ xác thực của máy chủ, với cơ sở dữ liệu mật khẩu và tên riêng. Hai máy có thể cùng có người dùng tên alice mà không chia sẻ hệ thống danh tính, mật khẩu hay định danh người dùng. Tên khớp nhau; tài khoản thì không.

Máy chủ Samba tích hợp miền thay đổi bức tranh: danh tính đến từ thư mục và Kerberos, không từ danh sách tài khoản cục bộ. Trong trường hợp đó, hãy dùng danh tính của thư mục và cấu hình SMB được hỗ trợ thay vì tạo bản sao cục bộ để bắt chước tư cách thành viên miền. Kiểm tra máy chủ dùng mô hình nào trước khi tạo bất kỳ tài khoản nào.

Xem Windows thực sự đang dùng danh tính nào

Windows lưu bộ nhớ đệm các kết nối theo từng máy chủ. Nếu một phiên hiện có tới cùng máy chủ được mở bằng tài khoản khác, ánh xạ mới có thể dùng lại phiên đó hoặc thất bại với lỗi xác thực nêu sai người dùng. Đó là cách một mật khẩu đúng trông như sai. Hãy kiểm tra các kết nối hiện tại trước khi đổi thông tin xác thực.

net use
cmdkey /list
klist

Lệnh thứ nhất hiển thị ổ đĩa đã ánh xạ và phiên đang mở, lệnh thứ hai hiển thị thông tin xác thực đã lưu có thể được áp dụng tự động, và lệnh thứ ba hiển thị vé Kerberos khi dùng miền. Thông tin xác thực đã lưu có thể âm thầm ghi đè tài khoản mà bạn định nhập.

Chỉ xóa kết nối hoặc thông tin xác thực thuộc về vấn đề này. Ngắt mọi ổ đĩa hoặc thay tên máy chủ bằng địa chỉ IP sẽ che giấu việc chọn danh tính và có thể phá vỡ việc ký hoặc chính sách dựa trên tên.

Ánh xạ thư mục chia sẻ bằng tài khoản mà máy chủ nhận ra

Cung cấp tài khoản theo dạng máy chủ mong đợi và để Windows hỏi mật khẩu, để bí mật không rơi vào lịch sử lệnh hay một tập lệnh:

net use Z: \\files.corp.example\team * /user:FILESERVER\alice /persistent:no

Phần máy chủ trước dấu gạch chéo ngược là ngữ cảnh danh tính của máy chủ Samba, không phải cổng VPN. Dấu hoa thị yêu cầu nhắc mật khẩu tương tác, và /persistent:no giữ ánh xạ ngoài lần đăng nhập kế tiếp. Chọn một chữ cái ổ đĩa trống.

Nếu máy chủ tích hợp miền, phần người dùng có thể thay vào đó là tên thư mục hoặc danh tính đủ điều kiện miền. Dùng dạng mà quản trị viên ghi lại; việc bịa ra tài khoản cục bộ cùng tên tạo ra danh tính thứ hai và mật khẩu thứ hai phải bảo trì.

Tính hợp lệ của tài khoản, quyền truy cập thư mục chia sẻ và quyền hệ thống tệp là ba bước kiểm tra

Samba kiểm tra danh tính có xác thực được không, định nghĩa thư mục chia sẻ có chấp nhận nó không, và hệ thống tệp có cấp thao tác được yêu cầu không. Vượt qua bước kiểm tra đầu không có nghĩa là vượt qua hai bước còn lại. Một thư mục chia sẻ có thể hiển thị mà vẫn từ chối ghi vì quyền của thư mục nói vậy.

Thư mục chia sẻ bị giới hạn bằng valid users chỉ chấp nhận các tài khoản hoặc nhóm được liệt kê. Tài khoản có thể xác thực đúng mà vẫn bị dòng đó từ chối. Kiểm tra định nghĩa thư mục chia sẻ trước khi kết luận mật khẩu sai.

Ở phía hệ thống tệp, cả tiến trình Samba và danh tính được ánh xạ đều quan trọng. Một thư mục thuộc sở hữu root với chế độ 700 sẽ không nhận ghi từ tài khoản thường ngay cả khi định nghĩa thư mục chia sẻ cho phép. Hãy thử đọc rồi ghi trong thư mục mà tài khoản phải dùng.

Dọn một phiên xung đột mà không phá chính sách

Khi nguyên nhân là phiên cũ, hãy đóng đúng kết nối đó và ánh xạ lại bằng tài khoản dự định. Nếu thông tin xác thực đã lưu cứ quay lại, hãy xóa thông tin đó thay vì toàn bộ danh sách ổ đĩa. Sau đó xác nhận phiên mới bằng net use.

Giữ nguyên việc ký SMB, mã hóa và chính sách tài khoản được yêu cầu. Máy chủ từ chối phiên không ký hoặc không mã hóa là đang thực thi chính sách, không đọc sai mật khẩu, và làm yếu nó để ánh xạ thành công là đổi bảo mật lấy một triệu chứng.

Ghi lại tên máy chủ, dạng tài khoản chính xác và quyền trên thư mục chia sẻ cùng thư mục đã hiệu quả. Nếu không, người tiếp theo ánh xạ ổ đĩa sẽ thử đăng nhập VPN trước, vì đó là thông tin xác thực họ đã dùng để vào mạng.