Компьютер домена Windows 10 64 не может получить доступ к общему ресурсу Linux (Raspberry Pi3)

Question

Сервер Samba: Raspberry Pi3, на котором установлен медиа-сервер osmc (я считаю, что это уменьшенная версия Raspbian). Самба версия: 4.2.10

Контроллер домена: Windows 2012

Клиент Windows: Windows 10 Evt. 64-битный

Прежде чем я настроил контроллер домена и подключил к нему клиент Win10, я смог без проблем получить доступ к общим ресурсам smb на сервере smb.

После подключения клиента Win10 к AD я вижу сервер smb, но не могу войти ("Доступ запрещен").

РЕДАКТИРОВАТЬ: Естественно, я попытался войти в общий ресурс Samba с WORKGROUP\username, что, по мнению некоторых, должно работать. Это не так.

Из того, что я читаю, это из-за того, что сервер smb не поддерживает версию клиента smb (3?) используется Windows 10. Итак, поскольку нет справки по Windows 10, я попробовал эту статью MS для Windows 7:

https://support.microsoft.com/en-us/kb/2696547

Я отключил smb версии 2 и 3 и включил версию 1, как это было предложено на другом форуме. Когда я перезагрузил машину, клиент Win10 даже не смог УВИДЕТЬ общие ресурсы smb. Когда я отключил версию 1 и снова включил версии 2 и 3, я вернулся к клиенту, увидев общий ресурс, но не смог войти в систему.

Кто-нибудь знает, как это исправить? Было также предложено присоединить сервер smb/linux к домену Windows, но поскольку простое решение для этого не работает на архитектуре Pi3, я неохотно пытаюсь установить Kerberos и все такое вручную, так как я действительно не не знаю много об этом. Кроме того, я ожидаю, что какой-то необходимый пакет для Pi3 не существует, и я застряну на полпути с более или менее сломанной системой.

Кажется, что некоторые люди утверждают, что отключение samba 2/3 работает для них. Странно, что у меня это не работает ни на клиенте Win 10, ни на сервере Win 2008. И MS, похоже, более или менее не хочет помогать с этим тоже - что не редкость, по моему опыту.

Файл smb.conf (без изменений после установки):

[global]

config file = /etc/samba/smb-local.conf

workgroup = WORKGROUP
security=user
follow symlinks = yes
wide links = no
unix extensions = no
lock directory = /var/cache/samba
load printers = no
printing = bsd
printcap name = /dev/null
disable spoolss = yes
log level = 1
map to guest = bad user
usershare template share = automount template

read raw = Yes
write raw = Yes
strict locking = no
min receivefile size = 16384
use sendfile = true
aio read size = 2048
aio write size = 2048
socket options = TCP_NODELAY IPTOS_LOWDELAY SO_RCVBUF=131072 SO_SNDBUF=131072

[osmc]
browsable = yes
read only = no
valid users = osmc
path = /home/osmc
comment = OSMC Home Directory

[automount template]
browseable = yes
-valid = no
valid users = osmc
path = %P
hide files = /$RECYCLE.BIN/System Volume Information/desktop.ini/thumbs.db/

ОБНОВИТЬ

Я отказался от сервера Windows AD и вместо этого установил Samba DC. Невероятно, но точно такая же проблема возникает, когда компьютер с Windows 10 вошел в домен Samba. И DC Samba также не может получить доступ к тем же ресурсам (samba), получая "Доступ запрещен".

Кажется, что Самба - настоящий источник боли и страданий здесь, и, похоже, нет никакого способа исправить это. Решением должно быть использование только Windows в качестве файловых серверов.

Answer 1

Возможно, ваш клиент Windows 10 теперь пытается неявно пройти аутентификацию, используя DOMAIN\username когда вы пытаетесь получить доступ к общему ресурсу.

Есть ли в Raspberry Pi3 имя хоста /NETBIOS в конфигурации samba (в разделе глобальной конфигурации)? Если это так, вы можете попробовать указать SAMBA_NETBIOSNAME\username при попытке аутентификации для доступа к общему ресурсу.

ОБНОВИТЬ:
Исходя из предоставленной вами конфигурации, я бы предложил добавить netbios name = pi3 или что-то подобное, а затем попытаться войти с помощью pi3\username .

Вы также можете попробовать поиграть с некоторыми другими параметрами аутентификации, приведенными в документации по SAMBA. Обратите внимание, что вам, вероятно, придется перезапустить демон samba после внесения изменений в конфигурацию.

---

Например, вы можете попробовать добавить auth methods = guest sam winbind отметив, что guest разрешает анонимный доступ. Таким образом, вы могли бы изолировать проблему между проблемой конфигурации и проблемой аутентификации (при условии, что анонимный доступ будет использоваться, когда вы не можете аутентифицироваться - мне не хватает моих навыков SAMBA).

Другими словами, до тех пор, пока вы можете войти с включенным гостем, мы знаем, что, по крайней мере, часть v1,2,3 работает, и вы можете сосредоточиться на настройках аутентификации. После того, как вы, наконец, получили настройки, работающие для не гостевого доступа, вы должны удалить гостевой доступ, чтобы предотвратить несанкционированный доступ к вашим ресурсам.

Я также рассмотрю возможность добавления настроек, чтобы принудительно ntlm auth , lanman auth , server schannel server signing для зеркалирования настроек в вашем клиенте Windows.

Чтобы проверить эквивалентные настройки Windows, запустите «secpol.msc» и проверьте настройки в:

Security Settings
  Local Polices
    Security Options
      - Microsoft network client: *
      - Network security: *

Клиент сети Microsoft: цифровое шифрование или подпись данных защищенного канала (всегда)
Клиент сети Microsoft: цифровое шифрование данных защищенного канала (когда это возможно)
Клиент сети Microsoft: цифровая подпись данных защищенного канала (когда это возможно)

Эти параметры определяют, какие настройки канала server schannel и server signing должны быть указаны в вашей конфигурации samba.

Сетевая безопасность: уровень аутентификации LAN Manager

Этот параметр определяет, какие настройки ntlm auth и lanman auth должны быть в вашей конфигурации samba.

Например, Send NTLMv2 response only. Refuse LM & NTLM в ваших настройках Windows эквивалентен ntlm auth = no и lanman auth = no в вашей конфигурации samba.

ПРИМЕЧАНИЕ. Я не рекомендую изменять настройки Windows, если вы не хотите устранять проблемы аутентификации с доменом впоследствии.