Як настроїти SAMBA

Samba за 5 минут Здесь описаний мій досвіду у установці і конфигурировании Samba. Я постарався описати все процедури щоб одержати працюючих конфігурацій. Звісно це user manual — скоріш інформація для роздумів. Додаткове опис настройок можна знайти у документації, поданій до вихідним текстам.

Не претендуючи абсолютну істину, із яким нетерпінням чекаю зауваг та описи помилок, допущених мною. Буду радий обмінюватися досвідом по конфігурації Samba. Навіщо це нужно.

Перший звонок.

Горезвісна сумісність продуктів Microsoft.

SysAdmin їде під відпустку (чи мрії, які БУДУТЬ реальністю). Що таке Samba. Установка. Конфігурація: Samba як Primary DOMAIN Controller.

Додаткові дирректории.

PlainTextPassword.

Правка Registry для PlainTextPassword (Windows 95 OSR2).

Правка Registry для PlainTextPassword (Windows 98).

Правка Registry для PlainTextPassword (Windows NT).

Encrypted Password.

Створення smbpasswd.

Додавання користувачів Samba PDC.

Приклад smb. conf для Samba PDC (клієнтам Windows 9X).

Додавання учасників Samba PDC.

Приклад smb. conf для Samba PDC (клієнтам Windows 9X / Windows NT) Samba як учасник NT DOMAIN.

Приклад smb. conf для Samba file-server учасника PDC.

Приклад smb. conf для Samba print-server учасника PDC.

Додавання Samba-box в DOMAIN.

Почему мені знадобилася Samba Перший дзвоник Приблизно 2 роки тому я встановив машину під Linux задля забезпечення корпоративного виходу в Internet. Відразу стала проблема резервного копіювання. Річ у тім, що файл-сервер з установленою стримером працював під керівництвом Windows NT. Потрібно було вибирати: шукати клієнт NFS для Windows NT чи намагатися знайти спосіб. Тоді ж почув назва Samba. Горезвісна сумісність продуктів Microsoft У червні 1998 наша компанія купила мережевий принтер HP4000N. Сервером друку був обраний PDC під WindowsNT3.51sp5. Windows 95 чудово працювали з цим принт-сервером, але у мережі, як у гріх, були дві Windows NT 4.0 Workstation.

Может бути це через незнання (не гадаю, що все погано насправді), але у протягом місяця, я безуспішно намагався налаштувати печатку з під Windows NT Workstation 4.0sp3. Система завзято вимагала наявності драйверів на принтсервері. Насильная установка мережного принтера викликала зависання системи. Статут від марнування нервів, я настроїв принт-сервер (використовуючи Linux Slakware 3.5 і Samba 1.9p18−10). Вже кілька місяців весь офіс (приблизно 30 комп’ютерів) чудово друкує незалежно від ОС на комп’ютері користувача. SysAdmin їде під відпустку (чи мрії, які БУДУТЬ реальністю) Так чи інакше, і навіть комп’ютерник повинен іноді відпочивати чи навіть похворіти. Чудово, коли він має супер-квалификацией і суворий, щоб видресирувати користувачів. Тоді одного разу налаштувавши систему, може увольняться.

Но до таким не ставлюся; хотів би матимуть можливість раз у раз перевіряти працездатність системи, перебуваючи поза межами офісу, і якщо треба, вносити виправлення. Як це, якби сервері стоїть WindowsNT (і використовувати Remote Access, не зручно телефонувати на модем з іншого міста, чи країни наример — є Internet)?

Можно використовувати BackOrifice ;-) або скористатися Microsoft Unix AddOn Pack.

Это прекрасне рішення наштовхується на фінансових труднощів. Дуже важко переконати начальство витратити ~900 $ на upgrade Windows NT3.51 до Windows NT4.0 і ещеё трохи на AddOn Pack (не впізнавав точно, а, гадаю немало), щоб АДМИНИСТРАТОР КОМЬЮТЕРНОЙ МЕРЕЖІ ПОЇХАВ У ВІДПУСТКА. Заодно слід враховувати, що цей комплект входить демон телнета, паролі через мережу передаються plain-text. За наявності у зловмисника зацікавленості і snifer усі ваші хитрощі за безпеку зведуться до нулю.

Стоит чи городити город, якщо можливість віддаленого управління давно закладено в усі UNIX-подобные системи, а розвиток засобів криптографії дозволяє вільно поширювалося продуктам (мені випала у вигляді SSH) забезпечити гарантію тривалих витрат часу й машинних ресурсів для розшифровки мережного трафіку? Можна було використовувати Samba, але не можна применшувати зручність Windows NT DOMAIN system (якщо робочі станції у мережі суцільний Wintel). І от з’явилася Samba 2.0, ще не повної, але на досить потужній підтримкою WINDOWS NT DOMAIN. Все йде до того що, що це сервери у компанії поступово буде переведено на UNIXподібні системи. Перепрошую такий тривалий предисловие.

Что таке Samba Samba — вільно розповсюджуване програмное забезпечення (GPL), що дозволяє: а) створювати файлі принт-серверов (клієнтам підтримують жодну з реалізацій протоколу SMB) з урахуванням відкритих систем (OpenVMS, Digital Unix, AIX, IRIX, HPUX, Solaris, FreeBSD, NetBSD, Linux, тощо.); б) підтримувати (в повному обсязі) доменну структуру NT DOMAIN; 1) функції первинного контролера NT DOMAIN (з декотрими обмеженнями, докладніше — «NT DOMAIN support «з сайту Samba Team; 2) функції учасника NT DOMAIN; (з декотрими обмеженнями, докладніше — «NT DOMAIN support «з сайту Samba Team; в) забезпечувати сервіси WINS (клієнт і сервер), TIME-server тощо.; Розглядалися дві конфігурації: а) Linux-Samba — Primary DOMAIN Controller з клієнтами Windows 9x, Windows NT 4.0; б) Linux-Samba — учасник NT DOMAIN з Primary DOMAIN Controller під Windows NT Server 3.51 sp5. Також було розглянуті випадки застосування encrypted і plain-text passwords і випробувана конфігурація із підтримкою квотування дисків. На цей час апробовані конфігурації використовують у роботі (файлі принт-серверы).

Мой досвіду у установці та настроюванні пакета обмежений системами з урахуванням Linux Slakware. Самостійно було встановлено останні стабільні версії версії automake, autoconf, make, binutils, egcs. Використовувалися libc5 стандартної поставки Linux Slakware. Пакет shadow був пересобран з підтримкою md5crypt. Системи будувалися з допомогою ядер версій 2.0.35 і 2.2.x. Як системи друку використовувався пакет LPRng. Останню версію sambalatest.tar.gz можна отримати роботу з сайту Samba Team.

Установка Можно скопіювати з ftp-сервера бінарні файли, скомпільовані під вашу систему чи вихідні тексти. З використанням вихідних текстов Конфигурирование і складання із підтримкою syslog: hostname:/usr/src# tarxvzf samba-2.0.4b.tar.gz hostname:/usr/src# cd samba-2.0.4b/source hostname:/usr/src/samba-2.0.4b/source# ./configure — prefix=/usr/local/samba —with-syslog hostname:/usr/src/samba-2.0.4b/source# make hostname:/usr/src/samba-2.0.4b/source# make install Конфигурирование і складання із підтримкою syslog і quota:

(должен бути встановлено пакет quota із розділу ap1) hostname:/usr/src# tarxvzf samba-2.0.4b.targz hostname:/usr/src# cd samba-2.0.4b/source hostname:/usr/src/samba-2.0.4b/source# ./configure — prefix=/usr/local/samba —with-syslog —with-quota host:/usr/src/samba-2.0.4b/source# make host:/usr/src/samba-2.0.4b/source# make install Опція —prefix=/usr/local/samba задає шлях установки. Для отримання повного списку опцій: host:/usr/src/samba-2.0.4b/source#./configure —help | more Після цього копіюється файл smb. conf з установками за умовчанням: host:/usr/src/samba-2.0.4b/source#cp ./examples/smb.conf.default /usr/local/samba/lib/smb.conf Далі конфигурируется SWAT (Samba Web-based Administrative Tool):

— в файл /etc/inetd.conf добавляеться рядок: # swat stream tcp nowait.400 root /usr/local/samba/bin/swat swat # - в файл /etc/services добавляеться рядок: # swat 901/tcp # Samba web-based administrative tool # Потім перезапускаетя daemon inetd. При зверненні до internet при допомоги браузери, після введення login & password (root), Ви отримуєте webінтерфейс конфигурирования Samba (наскільки мені відомо — можлива роботу з SSL).

Конфигурации Primary DOMAIN controller.

Сценарий установки створює таку структуру: host:/usr/local/samba#lsla total 6 drwxr-xr-x 8 root root 1024 Jun 16 10:34. drwxr-xr-x 26 root root 1024 Jun 8 17:06. drwxr-xr-x 2 root root 1024 Jun 10 09:31 bin drwxr-xr-x 3 root root 1024 May 10 17:24 lib drwxr-xr-x 6 root root 1024 May 7 13:26 man drwxr-xr-x 5 root root 1024 May 12 21:16 swat drwxr-xr-x 3 root root 1024 May 7 14:27 var host:/usr/local/samba#cd lib host:/usr/local/samba/lib#lsla total 3 drwxr-xr-x 3 root root 1024 May 10 17:24. drwxr-xr-x 8 root root 1024 Jun 16 10:34. drwxr-xr-x 2 root root 1024 May 7 13:26 codepagesrw-r—r— 1 root root 971 Jun 8 17:06 smb. conf Додаткові дирректории Нужно створити кілька дирректорий (дано шляху за умовчанням, вибір залишається за Вами — все можна описати в smb. conf: host:/usr/local/samba/lib# mkdir netlogon host:/usr/local/samba/lib# chown root: root netlogon; chmod 751 netlogon host:/usr/local/samba/lib# cd ./; mkdir profiles host:/usr/local/samba# chown root: root profiles; chmod 751 profiles host:/usr/local/samba# З використанням як клієнтів Windows NT Workstation чи Windows 98, можна буде створювати [profiles] на квотированном розділі диска. Windows 95 (без додаткових поправок у Registry) зберігає в [profiles] лише user.dat.

Также слід звернути увагу, що logon-scripts треба створювати з використанням Dosчи Windowsредактора текста.

Plaintext Password.

Следует краще визначитися з типом security. Хост, сконфигурированный як PDC, несе функцію авторизації. Значення ключа [security] можуть приймати відвідувачів значення [share], [user], [server], [domain]. Для кожної з нижче приведених конфігурацій можна вказати різний тип [security].

Ключ [encrypt password] визначає який механізм авторизації буде включений. Якщо ключу [encrypt password] присвоєно значення «No », то авторизація користувачів виробляється з учётных записів в passwd і shadow. І тут, паролі прередаются через мережу PlainText. Windows 95 OSR2, Windows 98, Windows NT вимагають змін — у registry:

(не рекомендується для Windows NT).

Windows 95 OSR2.

[HKEY_LOCAL_MACHINESystemCurrentControlSetServicesVxDVNETSUP] «EnablePlainTextPassword «=dword:1.

Windows 98.

[HKEY_LOCAL_MACHINESystemCurrentControlSetServicesVxDVNETSUP] «EnablePlainTextPassword «=dword:1.

Windows NT.

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRdrParameters] «EnablePlainTextPassword «=dword:1.

Encripted Password Усі подальші конфігурації рассматриваються для значення ключа [encrypted password] = Yes.

При значенні ключа [encript passwords] = Yes, авторизація відбувається з використанням файла smbpasswd. Місце розташування за умовчанням: /usr/local/samba/private/smbpasswd За умовчанням інсталяційний скрипт не створює private/smbpasswd. Для внесення учётной записи користувача в файл smbpasswd, потрібно: 1. створити smbpasswd host:/usr/local/samba#lsla total 6 drwxr-xr-x 8 root root 1024 Jun 16 10:34. drwxr-xr-x 26 root root 1024 Jun 8 17:06. drwxr-xr-x 2 root root 1024 Jun 10 09:31 bin drwxr-xr-x 3 root root 1024 May 10 17:24 lib drwxr-xr-x 6 root root 1024 May 7 13:26 man drwxr-xr-x 5 root root 1024 May 12 21:16 swat drwxr-xr-x 3 root root 1024 May 7 14:27 var host:/usr/local/samba#mkdir private host:/usr/local/samba#echo > /private/smbpasswd; cd private host:/usr/local/samba/private# chown root: root smbpasswd; chmod 600 smbpasswd; cd ./ host:/usr/local/samba/# chown root: root private; chmod 500 private 2. має бути облікова запис Unix:

Слід зазначити, що файли passwd і shadow повинні містити учётные записи користувачів. При значенні ключа [encrypt password] = Yes, учётные записи може мати вид: passwd:

… username: x:1016:100:MYGROUP User:/home/user_name:/dev/null.

… shadow:

… username:*:10 666:0:99 999:7:

… 3. використовувати smbpasswd до створення учётной запис у /usr/local/samba/private/smbpasswd host:~#/usr/local/samba/bin/smbpasswda user_name Added interface ip=x.x.x.x broadcast=x.x.x.255 netmask=255.255.255.0 New SMB password: Retype New SMB password: Addedd user user_name Password changed for user user_name host:~# 4. активувати учётную запис (за умовчанням виставляється ключ [account disabled]): host:~#/usr/local/samba/bin/smbpasswde user_name Added interface ip=x.x.x.x broadcast=x.x.x.255 netmask=255.255.255.0 User user_name enabled host:~# При початковій установці можна використовувати скрипт mksmbpasswd. sh, вхідний до комплекту поставки. host:~#chmod +x /usr/src/samba-2.0.4b/source/script/mksmbpasswd.sh host:~#cat /etc/passwd | /usr/src/samba-2.0.4b/source/script/mksmbpasswd.sh > /usr/local/samba/private/smbpasswd host:~# Приклад робочої конфігурації Primary Domain Controller (клієнти Windows 9x):

используется тип security = user # Samba config file created using SWAT # Global parameters workgroup = MYGROUP netbios name = ASERVER server string = DOMAIN Controller security = user encrypt passwords = Yes passwd program = /usr/bin/passwd log file = /usr/local/samba/var/log.%U max log size = 50 nt acl support = Yes time server = Yes socket options = SO_KEEPALIVE SO_BROADCAST TCP_NODELAY SO_RCVBUF=4096 SO_SNDBUF=4096 load printers = No character set = KOI8-R client code page = 866 logon script = %U.bat logon path = %NProfiles%U domain logons = Yes os level = 33 preferred master = Yes domain master = Yes dns proxy = Yes wins proxy = Yes wins support = Yes hosts allow = x.x.x.

[homes] comment = Home Directories read only = No create mask = 0600 browseable = No.

[netlogon] comment = Network Logon Service path = /usr/local/samba/lib/netlogon guest ok = No public = No locking = No share modes = No browseable = Yes.

[Profiles] comment = Users «Profiles path = /usr/local/samba/profiles read only = No browseable = No.

[Public] comment = Public path = /usr/pub read only = No create mask = 0650 Все! Можна запускати: host:~#/usr/local/samba/bin/smbdD -d2 host:~#/usr/local/samba/bin/nmbdD -d2 host:~# Провівши відповідні настройки в Network Neighbrohood (такі як enable NT Domain logon тощо), можна спробувати зайти до мережі. Задля збереження настройок user. dat (для Windows 95) чи його повної User Profile (для Windows 98) потрібно зробити: host:~#cd /usr/local/samba/profils host:/usr/local/samba/profiles#mkdir user_name host:/usr/local/samba/profiles#chownR user_name:root user_name; chmodR 751 user_name host:/usr/local/samba/profiles#.

Добавление учасників Samba PDC.

Если у мережі є клієнти Windows NT, необхідно зробити деякі зміни у конфігурації Samba. Також станція з Windows NT, мусить бути включено до Samba DOMAIN, тобто у smbpasswd мусить бути внесено облікова запис mashine account. Насамперед створюємо Unix-учётную запис (вносимо користувача з user_name = [netbios_name включаемой в NT DOMAIN робочої станції]+[$], щось на кшталт nt_ws₁$): host:~#adduser Login name for new user (8 characters or less) []: netbios_name$ User id fot netbios_name [defaults to next available]: Initial groups for netbios_name [users]: nobody netbios_name$ «p.s home directory [/home/netbios_name]: /dev/null netbios_name$ «p.s shell [/bin/bash]: netbios_name$ «p.s account expiry date [MM/DD/YY]: Ok, I «m about to make a new account. Here «p.s what you entered so far:

New login name: netbios_name$ New UID: [Next available] Initial group: nobody Additional groups: [none] Home directory: /dev/null Shell: /bin/false Expiry date: [no expiratron].

This is it… if you want to bail it out, hit Control-C. Otherwise, press ENTER to go ahead and make the account. Making new account… Changing the user information for netbios_name Enter the new value, or press return for the default.

Full Name []:

Room Number []:

Work Phone []:

Home Phone []:

Other []:

Changing password for netbios_name Enter the new password (minimum of 8, maximum of 127 characters) Please use a combination of upper and lower case letters and numbers. New password: some_password_will_be_changed_to- «*-in_shadow_files Re-enter new password: some_password_will_be_changed_to- «*-in_shadow_files Done… host:~# Після того правил shadow, змінюючи зашифрований пароль на «* » .

Следуюший крок — внесення учётной записи машини в smbpasswd: host:~# /usr/local/samba/bin/smbpasswda -m netbios_name Added interface ip=x.x.x.x broadcast=x.x.x.255 netmask=255.255.255.0 Addedd netbios_name$ Password changed for user netbios__name$ host:~# Зверніть увагу, що «маючи Unix-учётную запис netbios_name$, із внесенням в smbpasswd використовуємо netbios_name. Приклад робочої конфігурації Primary Domain Controller (клієнти Windows 9x / Windows NT):

используется тип security = user # Samba config file created using SWAT # Global parameters workgroup = MYGROUP netbios name = ASERVER server string = DOMAIN Controller security = user encrypt passwords = Yes passwd program = /usr/bin/passwd log file = /usr/local/samba/var/log.%U max log size = 50 nt acl support = Yes time server = Yes socket options = SO_KEEPALIVE SO_BROADCAST TCP_NODELAY SO_RCVBUF=4096 SO_SNDBUF=4096 load printers = No character set = KOI8-R client code page = 866 logon script = %U.bat logon path = %NProfiles%U domain logons = Yes os level = 33 preferred master = Yes domain master = Yes dns proxy = Yes wins proxy = Yes wins support = Yes hosts allow = x.x.x.

[homes] comment = Home Directories read only = No create mask = 0600 browseable = No.

[netlogon] comment = Network Logon Service path = /usr/local/samba/lib/netlogon guest ok = No public = No share modes = No locking = No browseable = Yes.

[Profiles] comment = Users «Profiles path = /usr/local/samba/profiles read only = No browseable = No.

[Public] comment = Public path = /usr/pub read only = No create mask = 0650 Все! Можна запускати: host:~#/usr/local/samba/bin/smbdD -d2 host:~#/usr/local/samba/bin/nmbdD -d2 host:~# Після цього треба стандартна процедура підключення Windows NT Workstation до PDC. Перевантажуємо Windows NT — можна спробувати зайти! NT DOMAIN members.

Сначала модифицируeтся файл smb.conf. Нижче наведені робочі конфігурації файлі принт-сервера (учасників NT DOMAIN).

Файл-сервер (паролі шифрованы і перевіряються на зазначеному сервері, виконуючому роль Primary DOMAIN controller):

используется тип security = domain. # Samba config file created using SWAT # Global parameters workgroup = MYGROUP netbios name = FSERVER1 server string = File-server 1 security = DOMAIN encrypt passwords = Yes password server = ASERVER username map = /usr/local/samba/lib/username.map log level = 2 log file = /usr/local/samba/var/log.%U nt acl support = Yes name resolve order = host wins bcast lmhosts keepalive = 30 lpq cache time = 30 socket options = SO_KEEPALIVE SO_BROADCAST TCP_NODELAY SO_RCVBUF=4096 SO_SNDBUF=4096 load printers = No character set = KOI8-R client code page = 866 os level = 30 lm interval = 10 dns proxy = No wins server = x.x.x.x hosts allow = x.x.x. wide links = No.

[Public] comment = Varios files path =/pub/ read only = No create mask = 0744 Print-сервер (паролі шифрованы, і перевіряються на зазначеному сервер, виконуючому роль Primary DOMAIN controller):

используется тип security = domain # Samba config file created using SWAT # Global parameters [global] workgroup = MYGROUP netbios name = PSERVER1 server string = Print server security = DOMAIN encrypt passwords = Yes password server = ASERVER username map = /usr/local/samba/lib/username.map log level = 2 syslog = 2 log file = /usr/local/samba/var/log.%U name resolve order = host wins bcast lmhosts keepalive = 60 lpq cache time = 5 socket options = SO_KEEPALIVE SO_BROADCAST TCP_NODELAY IPTOS_THROUGHPUT SO_RCVBUF=4096 SO_SNDBUF=4096 load printers = No os level = 30 wins server = x.x.x.x hosts allow = x.x.x. printing = lprng wide links = No.

[hp6p] print command = /usr/local/bin/lprh -rP%p %p.s; rm %p.s lpq command = /usr/local/bin/lpqP%p lprm command = /usr/local/bin/lprmP%p %j comment = hp6p Laser Jet path = /usr/local/samba/spool/hp6p print ok = Yes printer name = hp6p.

[hp4000n] print command = /usr/local/bin/lprh -rP%p %p.s; rm %p.s lpq command = /usr/local/bin/lpqP%p lprm command = /usr/local/bin/lprmP%p %j comment = hp4000n Laser Jet path = /usr/local/samba/spool/hp4000n print ok = Yes printer name = hp4000n.

[tek350e] print command = /usr/local/bin/lprh -rP%p %p.s; rm %p.s lpq command = /usr/local/bin/lpqP%p lprm command = /usr/local/bin/lprmP%p %j comment = Tektronix 350 ext path = /usr/local/samba/spool/tek350e print ok = Yes printer name = tek350e Повинна існувати Unix-учётная запис в passwd і shadow.

Нужно відзначити, що файли passwd і shadow повинні містити учётные записи користувачів NT Domain (можна використовувати username. map). passwd: … username: x:1016:300:MYGROUP User:/dev/null:/dev/null … shadow: … username:*:10 666:0:99 999:7: … Додавання Samba-box в DOMAIN.

После закінчення конфігурації (при незапущенных демонів smbd і nmbd) здійснюватися додавання Samba-box в NT DOMAIN (використовуючи Server Manager for DOMAIN, якщо PDC — Windows NT Server чи розглянуту вище процедуру). Спочатку на PDC додаємо Samba-box. Далі використовуємо smbpasswd: host:~#/usr/local/samba/bin/smbpasswdj MYGROUPr PDC_netbios_name Added interface ip=x.x.x.x broadcast=x.x.x.255 netmask=255.255.255.0 YYYY/MM/DD hh: mm:ss: change_trust_account_password: Changed password for domain MYGROUP. Joined domain MYGROUP. host:~# Можна запускати! host:~#/usr/local/samba/bin/smbdD -d2 host:~#/usr/local/samba/bin/nmbdD -d2 host:~#.

Ресурсы Новини: вийшов другий реліз Samaba Головний сайт: Samba Team Архів документації: Samba Docs Arhiv SMB HOW-TO російською: на internet.

Ілля Басин.