Компьютер с Windows 10 64 в домене не может получить доступ к samba-ресурсу на Linux (Raspberry Pi3).

Сервер Samba:
Raspberry Pi3, работает osmc медиасервер (я полагаю, это уменьшенная версия Raspbian).
Версия Samba: 4.2.10

Доменный контроллер:
Windows 2012

Клиент Windows:
Windows 10 Evt. 64-bit

До настройки доменного контроллера и подключения к нему клиента Win10 я без проблем имел доступ к SMB-общим ресурсам на сервере SMB.

После подключения клиента Win10 к AD я вижу сервер SMB, но не могу войти (“Доступ запрещен”).

РЕДАКЦИЯ: Естественно, я попытался войти в samba-ресурс с WORKGROUP\username, что, по мнению некоторых, должно работать. Это не так.

Судя по тому, что я читаю, это связано с тем, что сервер SMB не поддерживает версию клиента SMB (3?), используемую Windows 10. Поэтому, поскольку помощи от Windows 10 найти не удалось, я попробовал эту статью MS для Windows 7:

https://support.microsoft.com/en-us/kb/2696547

Я отключил версии SMB 2 и 3, и включил версию 1, как было предложено на другом форуме. Когда я перезагрузил машину, клиент Win10 даже не смог УВИДЕТЬ SMB-ресурсы. Когда я отключил версию 1, и снова включил версии 2 и 3, клиент снова смог видеть общий ресурс, но не мог войти.

Кто-нибудь знает, как это исправить? Также было предложено подключить сервер SMB/Linux к домену Windows, но поскольку простое решение для этого не работает на архитектуре Pi3, я не склонен пытаться устанавливать Kerberos и все такое вручную, так как, честно говоря, я мало что в этом понимаю. Кроме того, я ожидаю, что какой-нибудь важный пакет не существует для Pi3, и я застряну на полпути с более или менее неработающей системой.

Кажется, что несколько человек утверждают, что отключение samba 2/3 работает для них. Странно, что это не работает для меня, ни на клиенте Win 10, ни на сервере Win 2008. И MS, кажется, тоже не особо желает помогать в этом – что для меня не редкость.

Файл smb.conf (неизмененный после установки):

[global]

config file = /etc/samba/smb-local.conf

workgroup = WORKGROUP
security=user
follow symlinks = yes
wide links = no
unix extensions = no
lock directory = /var/cache/samba
load printers = no
printing = bsd
printcap name = /dev/null
disable spoolss = yes
log level = 1
map to guest = bad user
usershare template share = automount template

read raw = Yes
write raw = Yes
strict locking = no
min receivefile size = 16384
use sendfile = true
aio read size = 2048
aio write size = 2048
socket options = TCP_NODELAY IPTOS_LOWDELAY SO_RCVBUF=131072 SO_SNDBUF=131072

[osmc]
browsable = yes
read only = no
valid users = osmc
path = /home/osmc
comment = OSMC Home Directory

[automount template]
browseable = yes
-valid = no
valid users = osmc
path = %P
hide files = /$RECYCLE.BIN/System Volume Information/desktop.ini/thumbs.db/

ОБНОВЛЕНИЕ

Я отказался от сервера Windows AD и вместо этого настроил домен Samba. Удивительно, но ТОЧНО такая же проблема сохраняется, когда компьютер с Windows 10 подключен к домену Samba. И DC Samba также не может получить доступ к тем же samba-ресурсам, получая “Доступ запрещен”.

Похоже, что Samba является настоящим источником боли и страданий здесь, и, кажется, нет никакого способа исправить это. Решением может быть использование только Windows в качестве файловых серверов.

Возможно, что ваш клиент Windows 10 теперь пытается неявно аутентифицироваться с помощью DOMAIN\username при попытке получить доступ к ресурсу.

Имеет ли Raspberry Pi3 имя хоста/имя NETBIOS в конфигурации samba (в разделе глобальной конфигурации)? Если да, вы можете попробовать указать SAMBA_NETBIOSNAME\username, когда попытаетесь аутентифицироваться для доступа к ресурсу.

ОБНОВЛЕНИЕ:
Исходя из предоставленной вами конфигурации, я бы предложил добавить netbios name = pi3 или что-то в этом роде, а затем попытаться войти с pi3\username.

Вы также можете попробовать изменить некоторые из других настроек аутентификации, найденных в документации по SAMBA. Обратите внимание, что вам, вероятно, придется перезапустить демон samba после внесения изменений в конфигурацию.

Например, вы можете попробовать добавить auth methods = guest sam winbind, отметив, что guest позволяет анонимный доступ. Таким образом, вы могли бы изолировать проблему между проблемой конфигурации и проблемой аутентификации (предполагая, что будет использоваться анонимный доступ, когда вы не можете аутентифицироваться – я мало разбираюсь в SAMBA).

Другими словами, пока вы можете войти с разрешенным гостем, мы знаем, что по крайней мере компоненты v1,2,3 работают, и вы можете сосредоточиться на настройках аутентификации. Когда, наконец, вы получите рабочие настройки для не-гостевого доступа, вы должны удалить гостевой доступ, чтобы предотвратить несанкционированный доступ к вашим ресурсам.

Я также рассмотрел бы добавление настроек, чтобы заставить ntlm auth, lanman auth, server schannel и server signing соответствовать настройкам на вашем клиенте Windows.

Чтобы проверить эквивалентные настройки Windows, запустите “secpol.msc” и проверьте настройки в разделе:

Security Settings
  Local Polices
    Security Options
      - Microsoft network client: *
      - Network security: *

Клиент Microsoft network: Цифровое шифрование или подпись данных защищенного канала (всегда)
Клиент Microsoft network: Цифровое шифрование данных защищенного канала (когда возможно)
Клиент Microsoft network: Цифровая подпись данных защищенного канала (когда возможно)

Эти настройки определяют, какими должны быть настройки server schannel и server signing в вашей конфигурации samba.

Безопасность сети: уровень аутентификации LAN Manager

Эта настройка определяет, какими должны быть настройки ntlm auth и lanman auth в вашей конфигурации samba.

Например, Send NTLMv2 response only. Refuse LM & NTLM в настройках Windows эквивалентно ntlm auth = no и lanman auth = no в вашей конфигурации samba.

ПРИМЕЧАНИЕ: Я не рекомендую изменять настройки Windows, если вы не уверены, что сможете устранять проблемы с аутентификацией в домене впоследствии.