Samba "Access denied" voor specifieke folders, voor Windows

[Anoniem: 298643]

Goedemorgen,

Momenteel draaien we hier een iOmega NAS (die ik op het punt sta om de deur uit te gooien door alle problemen). Hier werken we op met 8 iMac en 2 Windows stations.

An sich gaat het goed met de iMacs, werken op de NAS, maar soms hebben we problemen met de Windows machines die bepaalde mappen / bestanden proberen te benaderen op de NAS. Hierbij krijgt de gebruiker een "Toegang geweigerd" bij het object.

Hier is een voorbeeld van een map:

code:

drwxrwxrwx+ 7 root users 87 Aug 25 11:39 adriayachting.nl

Zo zijn er velen van deze mappen, vreemd genoeg wel te bereiken door de Windows bakken. Zoals je ziet, staan de modes voor rechten al op 0777, om bij dit probleem even te voorzien dat alles te benaderen is. De "users" group, is de groep waar alle clients bij staan geregistreerd. Ook heb ik dit nog gechecked:

code:

$ groups stagiair
users Algemeen

Daarnaast heb ik de .conf van samba gechecked (gedeelte waar de map ook instaat die ik hierboven heb vermeld):

code:

[Opslag]
path= /mnt/soho_storage/samba/shares/Opslag/
max connections= 50
directory mode= 0777
create mode= 0777
follow symlinks= yes
wide links= no
writeable= no
valid users= "[CENSUUR-user]" "[CENSUUR-user]" "[CENSUUR-user]" "[CENSUUR-user]" 
store dos attributes= yes
write list= "[CENSUUR-user]" "[CENSUUR-user]" "[CENSUUR-user]" "[CENSUUR-user]"

Nu ben ik geen goeroe in het lezen van deze Samba conf's, maar naar mijn weten is dit in orde?

Hieronder nog de global instellingen:

code:

[Global]
server string= [CENSUUR-servernaam]
wins server=   
Workgroup= [CENSUUR-workgroup]
security= user
domain master= yes
preferred master= yes
local master= yes
os level= 20
invalid users= bin daemon adm sync shutdown halt mail news uucp gopher
map to guest= Bad User
host msdfs= no
msdfs root= no
null passwords= yes
strict allocate= no
encrypt passwords= yes
printcap name= lpstat
printing= cups
printable= no
load printers= yes
max smbd processes= 500
getwd cache= yes
display charset= UTF-8
log level= 0
syslog= 0
max log size= 50
use sendfile= yes

Iemand enig idee wat hier het probleem is?

[Big Mama]

De mode drwxrwxrwx+ geeft aan dat er een Access Control List aan de directory hangt.
Deze kun je uitlezen met 'getfacl <DIRNAAM>'. Met een ACL kunnen - naast de UserGroupOther rechten - ook rechten aan een specifieke user/group worden gegeven, maar ook worden ontnomen.

[Anoniem: 298643]

Bedankt voor je reactie Big Mama,

Waar zie je dat eigenlijk aan? Door de "+"?

Daarnaast, zojuist even geprobeerd om "getfacl" uit te voeren, maar dit blijkt niet standaard op deze NAS te zitten.

code:

$ getfacl the_dir/
-sh: getfacl: command not found

Misschien nog andere ideeën?

Edit: Nog een wellicht belangrijk detail: Wanneer ik de user van root, naar "stagiair" bijvoorbeeld verander, krijgt deze client wél toegang, maar alle andere Windows clients blijven buiten gesloten.

[Voor 25% gewijzigd door Anoniem: 298643 op 25-08-2011 13:13]

[Anoniem: 298643]

Na wat puzzelen met samba heb ik de log files aan kunnen zetten. Nu krijg ik een duidelijke melding waarom de mappen niet mogen benaderd worden:

failed with NT_STATUS_ACCESS_DENIED

Maar dit zegt mij verder vrij weinig...

[Joseph]

Staan de rechten van de folder zelf wel goed ingesteld? (chmod)

[Anoniem: 298643]

@Sef24: Jup, althans, ze staan momenteel op 0777 zoals je ziet in een paar berichten terug.

[Joseph]

Post eens de volledige logs?

[Sneezydevil]

Kun je eens een ls -Z doen?

Misschien staat selinux wel aan, ik kon zo snel niet vinden wat voor OS er op die IOmega draait.

[Anoniem: 298643]

@Sneezydevil

code:

$ ls -Z
 ? MODULES  ? THEME  ? _THEMEtest

Edit: En de distro:

code:

$ cat /proc/version 
Linux version 2.6.22.18 ([e-mail]) (gcc version 4.3.2 (crosstool-NG-1.3.1) ) #1 Wed Mar 10 11:58:52 EST 2010

Sef24 schreef op donderdag 25 augustus 2011 @ 14:41:
Post eens de volledige logs?

Ik kan helaas even niet één twee drie de logs plaatsen vanwege klantnamen e.d. in de folder namen. Ik kan ook even geen test map aanmaken, deze heeft niet standaard het zelfde probleem. Mocht het uiteindelijk toch nodig zijn, zal ik even tijd steken in het censureren van de log.

[Voor 100% gewijzigd door Anoniem: 298643 op 25-08-2011 15:10]

[Mijzelf]

Hoe drastisch moet de oplossing zijn? Je kunt proberen de ACL's te disabelen met

mount jouwdevice /mnt/soho_storage -o remount,noacl

Ik denk dat je dan ook even samba moet herstarten. Maar ik heb geen idee of dit nog neveneffecten heeft.

[Anoniem: 298643]

@Mijzelf Liever niet te drastisch, maar momenteel leven we al een tijdje met dit probleem en het begint de laatste tijd erg veel tijd in te nemen. Mocht het inderdaad alleen op een drastische wijze opgelost kunnen worden, zal ik inderdaad overwegen om dit te doen maar dan komt kort daarop een nieuw systeem in huis, aangezien ik niet te lang zonder beveiliging wil zitten.

Vanwege bovenstaande wil ik liever deze oplossing nog even achterwege laten.

[Joseph]

Klanten? iOmegaNAS? Dat rijmt niet.

Als je echt klanten hebt, haal dan een oude doos van de zolder waar SATA poortjes inzitten. Zet er een read-to-use NAS system op (FreeNAS, OpenFiler, TKL) of installeer je eigen Linux erop.

Ik snap dat dit je probleem niet oplost, maar iOmega is waarschijnlijk wel ergens afgeschermd. Die heksenketel die je daarvan krijgt kost je waarschijnlijk meer tijd, moeite en geld dan het oplevert.

[Anoniem: 298643]

@Sef24 I know, sowieso heeft iOmega mijn ass al meerdere malen hier flink ge-whipt, om nog maar niet over de support te spreken(!!!). Ik heb ook onderhand dus door op internet te zoeken toegang verkregen in shell die eigenlijk normaliter alleen bedoeld is voor iOmega support. Maar goed, daarom sta ik ook op het punt om de creditcard van m'n werkgever te pakken om iets anders te fixen... Maar om weer iets bij te leren en dergelijke, heb ik weer eens de moed bij elkaar geraapt om dit ding eens van dichterbij te bekijken.

Ik denk dat ik één dezer dagen nog een topic op zal starten hier met de vraag "Beste NAS oplossing voor (hoofdzakelijk) iMac's en een nihil aantal windows pc's" oid.

[Mijzelf]

Anoniem: 298643 schreef op donderdag 25 augustus 2011 @ 15:35:
Mocht het inderdaad alleen op een drastische wijze opgelost kunnen worden, zal ik inderdaad overwegen om dit te doen maar dan komt kort daarop een nieuw systeem in huis, aangezien ik niet te lang zonder beveiliging wil zitten.

Nou, zonder beveiliging is overdreven. Je hebt nog steeds je 'normale' samba en filesysteem beveiliging. Alleen extended access control op file niveau staat uit.

Mogelijk kun je ook alleen voor Samba de boel uitschakelen, op share niveau of globaal, met de regel

nt acl support = no