tl;dr
Как настроить доступ через samba клиент к серверу из другой подсети по имени?
Описание конкретной ситуации
Есть гетерогенная сеть (Windows/Linux) (условно 192.168.0.0/24
) к ней подключён клиент по openVPN (10.8.0.0/24
). Маршруты между сетями настроены; по ip-адресам доступ к машинам подсети с клиента и обратно есть.
Теперь вопрос: как минимальной кровью настроить чтобы был доступ к серверам samba и win-рабочих станций по имени? Желательно, чтобы вся конфигурацию производить только на шлюзе (192.168.0.4
; 10.8.0.1
, Linux Debian 9 "stretch", samba-4.5.12, openvpn-2.4.0).
Текущий конфиг на шлюзе (на машинах в основной сети аналогичные за исключением доступа по паролю и шар):
[global]
workgroup = NETWORK_WG
server string = %h server
security = user
encrypt passwords = true
passdb backend = tdbsam
obey pam restrictions = yes
unix password sync = yes
passwd program = /usr/bin/passwd %u
passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
pam password change = yes
map to guest = bad user
socket options = TCP_NODELAY
usershare max shares = 100
# Далее несколько шар
# ...
На клиенте за openVPN'ом (10.8.0.2
) всё аналогично с другой workgroup'ой:
[global]
workgroup = REMOTE_WG
server string = Samba Server %v
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
security = user
guest ok = yes
map to guest = bad user
# Шары
Update 1
nmbd отказывается слушать на tun-интерфейсе шлюза т.к. согласно логам
not adding non-broadcast interface tun0
Конфиг openVPN'а:
port 61194
;proto tcp
proto udp
dev tun
topology subnet
server 10.8.0.0 255.255.255.0
ca /etc/openvpn/server/ovpn-root-key/keys/ca.crt
cert /etc/openvpn/server/ovpn-root-key/keys/goblin-server.crt
key /etc/openvpn/server/ovpn-root-key/keys/goblin-server.key
dh /etc/openvpn/server/ovpn-root-key/keys/dh4096.pem
ifconfig-pool-persist /var/tmp/openvpn-ipp.txt
push "route 192.168.0.1 255.255.255.0"
;client-to-client
keepalive 10 120
compress lz4-v2
push "compress lz4-v2"
;cipher AES-256-GCM
user nobody
group nogroup
persist-key
persist-tun
verb 4
explicit-exit-notify 1
Update 2
Поменял в openvpn'е устройство на dev tap
— теперь шлюз виден по имени и со шлюза видна подсеть. Почему-то думал, что tap-устройство будет работать только с полноценным мостом. Оказалось — нет.
Update 3
Добавил в конфиг шлюза
wins support = yes
wins proxy = yes
domain master = yes # см. далее
Судя по всему это то что мне нужно. Давно об этом думал, но описание того, что делает wins proxy
в man'е крайне непонятное.
Теперь из локальных хостов (в 192.168.0.3
[/24] ) на удалённый (10.8.0.2
[/24]) можно достучаться по имени без какой-либо дополнительной конфигурации smbclient
'ом, а также он отображается в smbtree
и гуёвых просмоторщиках (последнего удалось стабильно добиться только с включением domain master
и переноса всех в одну workgroup'у).
Добавил бы это всё ответом в ответ, но проблема в том, что обратный доступ (что в общем то основное) и обзор по имени почему-то не работают. Рабочая версия — почему-то локальные серверы не добавляются в WINS записи на гейтвее.
Update 4
Записи, которые выводит nmbd
после убийства SIGHUP
'ом полностью аналогичны для обеих подсетей, согласно wireshark'у запросы также аналогичны, но почему-то на запрос из 10.8.0.1/24
он отвечает, что адрес неизвестен, а на запрос из локальной сети выдаёт все адреса на которых слушает сервер... остаётся что проблема или в каких-то мудрёных настройках nmbd
, или в баге...