13 replies to this topic

[tc-t]

Ik heb een Mutant HD51 met de laatste versie van OpenPLI8 op. Vanmiddag nog bijgwerkt.

 

 

Sinds vorige week geraak ik niet meer op de Samba shares van mijn Mutant (root en harddisk)

 

 

Ik ben er ondertussen wel (ongeveer) achter waar het probleem zit.

 

De laptop is van mijn werk en zit daar in het Windows AD domein. Via Group Policies is een setting veranderd die SMB signing vereist.

Met die laptop geraak ik nu niet meer op de Mutant-shares en vroeger wel.

 

 

Met diezelfde laptop kan ik nog wel op de shares van mijn NAS en van mijn Webserver (ook Linux)

 

Ik heb op die laptop een Virtual Machine aangemaakt met een frise Win10 installatie en daarmee kan ik wel op de Mutant-shares.

 

het is pas als ik deze registry-key wijzig:

HKLM\Sustem\CurrentControlSet\Services\LanManWorkstation\Parameters

-> RequireSecuritySignature  en die de waarde 1 ipv 0 geef

 

dat alles stopt met werken.

Op mijn laptop zelf staat die ook met de waarde 1.

 

Ik heb ondertussen bevestigd gekregen dat dat recent gewijzigd is.

 

Als ik die waarde in mijn Virtual Machine weer op 0 zet zijn de Samba-shares op de Mutant weer bereikbaar.

 

 

 

Aangezien op mijn NAS en mijn webserver de samba share wel bereikbaar blijkven neem ik aan dat het een setting is in smb.conf of beter nog: smb-user.conf die ik in OpenPLi moet gaan wijzigen?

Weten jullie welke?

 

Ik dacht aan

server signing = required

 

maar dat lijkt het niet te zijn ...

 

Ik kom er voorlopig niet uit ...

 

 

[WanWizard]

Je moet dit

server signing = mandatory

toevoegen aan smb-user.conf, in de [global] sectie,

 

en daarna samba herstarten met

/etc/init,d/samba.sh restart

Let op, eens dit geactiveerd is moeten ALLE clients SMB signing gebruiken.

[tc-t]

Hey WanWizard,

 

bedankt, maar voorlopig geen succes

 

Ik heb in smb-user.conf geprobeerd met achtereenvolgens deze 3 settings:

server signing = mandatory
server signing = required
server signing = disabled

Als de RegKey HKLM\System\CurrentControlSet\Services\LanManWorkstation\Parameters\RequireSecuritySignature op de win10 client op 0 staat werkt het met alle 3 de settings in smb-user.conf

Als ik die waarde op 1 zet werkt het met geen van de 3.

 

Ik heb telkens ik iets wijzigde zowel de Mutant als de Win10 VM herstart,,,

 

 

 

Is er nog iets anders dat ik moet wijzigen buiten die ene setting?

Edited by tc-t, 25 April 2021 - 22:23.

[WanWizard]

Probeer je de connectie te maken met een gebruikersnaam en wachtwoord? Of gebruik je de unsecure config (dat is de default in OpenPLi) en de guest user (dan krijg je dus geen prompt maar verbind je direct)?

 

Wat ik er van begrijp is dat SMB signing een login (dus een user) vereist.

Edited by WanWizard, 25 April 2021 - 22:47.

[WanWizard]

p.s. als je over wilt schakelen naar de secure config, in smb-user.conf het hekje voor deze regel

# include = /etc/samba/smb-secure.conf

weghalen en samba herstarten.

 

Daarna werkt de guest login niet meer en wordt je gevraagd voor een gebruikersnaam en wachtwoord (die moet je box wel hebben, standaard staat er geen wachtwoord op).

[tc-t]

Voor de rest stond de config standaard, dus inderdaad via de guest user (zonder username en password)

 

Ik heb het hekje voor de

# include = /etc/samba/smb-secure.conf

weggehaald.

 

Dat heeft als effect dat met de registry setting op 0 en verbinden naar \\hd51 er nu

* de 2 shares getoond worden

* een username/password gevraagd worden zodra ik een share wil openen

 

Als ik de registry setting op 1 zet en verbindt naar \\hd51

krijg ik meteen dezelfde foutmelding als voorheen "Windows cannot access \\HD51"

 

(Aan de DNS-config ligt dat niet, op ip heb ik exact hetzelfde)

 

 

Users zelfs heb ik voorlopig nog niet (buiten root met een niet-standaard password).

Ik verwacht dat ik hoe dan ook de shares zou moeten zien en het loginvenster zou moeten krijgen?

Edited by tc-t, 25 April 2021 - 23:19.

[WanWizard]

Dus je krijgt die fout al voordat er om een login gevraagd wordt? Dat is wel erg apart, ja.

 

Helpt dit misschien: https://devanswers.c...hostname-samba/ ?

 

Ik heb zelf geen Windows in huis, dus ik kan zelf niks proberen...

[tc-t]

Dus je krijgt die fout al voordat er om een login gevraagd wordt? Dat is wel erg apart, ja.

 

Inderdaad.

Op mijn werklaptop is dat zo (sinds die GPO setting actief is) en op het Virtual Machine ook wanneer ik de regkey op 1 zet.

Wanneer die op 0 staat krijg ik eerst de shares en dan (afhankelijk of ik al dan niet smb-secure gebruik) meteen de inhoud of eerst de vraag voor gebruikersnaam/password.

Dat lijkt me hoe het zou moeten werken.

 

Ik bekijk vanavond of morgen het artikel dat je hebt doorgestuurd en kom hier op terug zodra ik resultaat heb, positief of negatief.

Bedankt voor je moeite alvast

[tc-t]

Bedankt voor de duw in de goede richting!

 

Toegevoegd in /etc/samba/smb-user.conf

[global]
server signing = mandatory
client signing = mandatory
client min protocol = SMB3
client max protocol = SMB3
restrict anonymous = 2
encrypt passwords = true
map to guest = never

en verder

adduser mijnnaam
smbpasswd -a mijnnaam
smbpasswd -a root

Als ik nu \\hd51 intyp in Windows Explorer wordt er wel een gebruikersnaam en password gevraagd

Als ik mijnnaam en het bijhorende password gebruik kan ik alles lezen, maar niks wijzigen.

 

Logisch, alles is owned by root en rw-r--r--

root@hd51:/media/hdd/movie# ls -l
-rw-r--r--    1 root     root     2257011440 Apr 10 21:57 20210410 2027 - Canvas HD - Line of Duty.ts

Vandaar ook smbpasswd -a root

 

Als ik inlog met root en dat password kan ik alles doen wat ik wil.

 

 

Hier ben ik al heel tevreden mee want daarmee kan ik terug alles wat ik vroeger kon.

Misschien straks nog een manier vinden waarmee ik met een gewone useraccount (mijnnaam) de opnames kan lezen én verwijderen

 

 

SMBSigning lijkt ook te werken:

root@hd51:/media/hdd/movie# smbstatus

Samba version 4.10.10
PID     Username     Group        Machine                                   Protocol Version  Encryption           Signing
----------------------------------------------------------------------------------------------------------------------------------------
2060    mijnnaam mijnnaam         172.17.34.2 (ipv4:172.17.34.2:58826)      SMB3_11           -                    AES-128-CMAC
2073    root         root         172.17.34.81 (ipv4:172.17.34.81:52130)    SMB3_11           -                    AES-128-CMAC

Service      pid     Machine       Connected at                     Encryption   Signing
---------------------------------------------------------------------------------------------
Harddisk     2073    172.17.34.81  Tue Apr 27 21:05:22 2021 CEST    -            AES-128-CMAC
IPC$         2073    172.17.34.81  Tue Apr 27 21:05:20 2021 CEST    -            AES-128-CMAC
IPC$         2060    172.17.34.2   Tue Apr 27 21:00:39 2021 CEST    -            AES-128-CMAC

Locked files:
Pid          User(ID)   DenyMode   Access      R/W        Oplock           SharePath   Name   Time
--------------------------------------------------------------------------------------------------
2073         0          DENY_NONE  0x100081    RDONLY     NONE             /media/hdd   .   Tue Apr 27 21:05:25 2021
2073         0          DENY_NONE  0x100081    RDONLY     NONE             /media/hdd   .   Tue Apr 27 21:05:27 2021

Edited by tc-t, 27 April 2021 - 20:47.

[WanWizard]

De box is geen security device, en ook geen NAS. Er is geen concept van user separatie, alles draait als root.

 

Die smbpasswd was niet nodig geweest, de user root bestaat al, en als je daar met passwd een password op zet, wordt die netjes met samba gedeeld.

[tc-t]

De box is geen security device, en ook geen NAS. Er is geen concept van user separatie, alles draait als root.

 

Die smbpasswd was niet nodig geweest, de user root bestaat al, en als je daar met passwd een password op zet, wordt die netjes met samba gedeeld.

Snap ik.

Een aparte user was nice to have maar zeker niet absoluut noodzakelijk.

Ik ben al heel tevreden dat dit terug werkt

 

 

Ik had het eerst zonder smbpasswd gedaan maar zo geraakte ik niet op de shares.

(Ik probeerde met root en het passwd dat ik voor de ssh connectie gebruik)

 

Na smbpasswd werkte het wel.

[WanWizard]

Apart, die twee zouden moeten synchroniseren als je met passwd de linux user van een password voorziet...

[littlesat]

Thanks dit oude draadje heeft net mijn smb issue opgelost

[40H3X]

Even als extra https://wiki.openpli...ithout_password en natuurlijk ook de RN https://wiki.openpli...eleasenotes-8.2