O computador de domínio do Windows 10 64 não pode acessar o compartilhamento de samba do Linux (Raspberry Pi3)

Question

servidor Samba: Raspberry Pi3, executando o servidor de mídia osmc (eu acredito que esta é uma versão Raspbian reduzida). Versão do Samba: 4.2.10

Controlador de domínio: Windows 2012

cliente do Windows: Windows 10 Evt. 64 bits

Antes de configurar o controlador de domínio e conectar o cliente Win10 a ele, consegui acessar os compartilhamentos smb no servidor smb sem problemas.

Depois de conectar o cliente Win10 ao AD, posso ver o servidor smb, mas não consigo fazer login ("Acesso negado").

EDIT: Naturalmente, eu tentei fazer o login no compartilhamento de samba com WORKGROUP \ username, que de acordo com alguns deve funcionar. Não faz.

Pelo que estou lendo, isso ocorre porque o servidor smb não suporta a versão do cliente smb (3?) usada pelo Windows 10. Portanto, como não há nenhuma ajuda do Windows 10, tentei este artigo da Microsoft. para o Windows 7:

link

Eu desabilitei o smb versão 2 e 3 e habilitei a versão 1, como sugerido em outro fórum. Quando eu reiniciei a máquina, o cliente Win10 não foi capaz de ver os compartilhamentos smb. Quando desabilitei a versão 1 e habilitei a versão 2 e 3 novamente, voltei para o cliente vendo o compartilhamento, mas não conseguindo fazer o login.

Alguém sabe como consertar isso? Também foi sugerido para juntar o servidor smb / linux ao domínio Windows, mas como a solução fácil para isso não funciona na arquitetura Pi3, estou relutante em tentar instalar o Kerberos e todas essas coisas manualmente, já que eu realmente não não sei muito sobre isso. Além disso, eu espero que algum pacote essencial não exista para o Pi3, e eu estarei preso no meio do caminho com um sistema mais ou menos quebrado.

Parece que várias pessoas afirmam que a desativação do samba 2/3 funciona para elas. Estranho que isso não funcione para mim, seja no cliente Win 10 e no servidor Win 2008. E a MS parece estar mais ou menos disposta a ajudar com isso também - o que não é incomum, na minha experiência.

O arquivo smb.conf (inalterado após a instalação):

[global]

config file = /etc/samba/smb-local.conf

workgroup = WORKGROUP
security=user
follow symlinks = yes
wide links = no
unix extensions = no
lock directory = /var/cache/samba
load printers = no
printing = bsd
printcap name = /dev/null
disable spoolss = yes
log level = 1
map to guest = bad user
usershare template share = automount template

read raw = Yes
write raw = Yes
strict locking = no
min receivefile size = 16384
use sendfile = true
aio read size = 2048
aio write size = 2048
socket options = TCP_NODELAY IPTOS_LOWDELAY SO_RCVBUF=131072 SO_SNDBUF=131072

[osmc]
browsable = yes
read only = no
valid users = osmc
path = /home/osmc
comment = OSMC Home Directory

[automount template]
browseable = yes
-valid = no
valid users = osmc
path = %P
hide files = /$RECYCLE.BIN/System Volume Information/desktop.ini/thumbs.db/

UPDATE

Eu desisti do servidor Windows AD e configurei um Samba DC. Incrivelmente, o mesmo problema EXATO está presente quando o computador Windows 10 está conectado ao domínio do Samba. E o Samba DC também não consegue acessar o (s) mesmo (s) compartilhamento (s) de samba, obtendo "Acesso negado".

Parece que o Samba é a verdadeira fonte de dor e sofrimento aqui, e não parece haver nenhuma maneira de corrigi-lo também. A solução deve ser usar apenas o Windows como servidores de arquivos.

    

Answer 1

Pode ser que o seu cliente Windows 10 esteja tentando autenticar implicitamente DOMAIN\username ao tentar acessar o compartilhamento.

O Raspberry Pi3 tem um nome hostname / NETBIOS na configuração do samba (na seção global config)? Nesse caso, você pode tentar especificar SAMBA_NETBIOSNAME\username quando tentar autenticar para acessar o compartilhamento.

UPDATE:
Com base na configuração que você forneceu, sugiro adicionar netbios name = pi3 ou algo nesse sentido e, em seguida, tentar fazer login com pi3\username .

Você também pode tentar jogar com algumas das outras configurações de autenticação encontradas em documentação para o SAMBA . Note que você provavelmente terá que reiniciar o daemon do samba depois de fazer alterações na configuração.

Por exemplo, você pode tentar adicionar auth methods = guest sam winbind observando que guest permite acesso anônimo. Dessa forma, você poderia isolar o problema entre um problema de configuração e um problema de autenticação (assumindo que o acesso anônimo seria usado quando você não puder autenticar - estou enferrujado em minhas habilidades de SAMBA).

Em outras palavras, desde que você possa entrar com o convidado ativado, sabemos que pelo menos a parte v1,2,3 está funcionando e você pode se concentrar nas configurações de autenticação. Depois de finalmente definir as configurações para o acesso de não visitantes, você deve remover o acesso de convidado para impedir o acesso não autorizado ao (s) seu (s) compartilhamento (s).

Eu também consideraria adicionar configurações para forçar as configurações ntlm auth , lanman auth , server schannel e server signing a espelhar as configurações no seu cliente Windows.

Para verificar as configurações equivalentes do Windows, execute "secpol.msc" e verifique as configurações em:

Security Settings
  Local Polices
    Security Options
      - Microsoft network client: *
      - Network security: *

Microsoft network client: Digitally encrypt or sign secure channel data (always)
Microsoft network client: Digitally encrypt secure channel data (when possible)
Microsoft network client: Digitally sign secure channel data (when possible)

Essas configurações determinam quais devem ser as configurações de server schannel e server signing em sua configuração do samba.

Network security: LAN Manager authentication level

Essa configuração determina quais configurações de ntlm auth e lanman auth devem estar na configuração do seu samba.

Por exemplo, Send NTLMv2 response only. Refuse LM & NTLM nas configurações do Windows é equivalente a ntlm auth = no e lanman auth = no na configuração do seu samba.

OBSERVAÇÃO: não recomendo alterar suas configurações do Windows, a menos que você se sinta à vontade para solucionar problemas de autenticação com o domínio posteriormente.