Samba: Erillinen palvelin Debianissa

Hei ystävät!. Jos haluamme itsenäisen palvelimen (Standalone) resurssien jakamiseksi joko työasemaltamme; tai pienelle ryhmälle koneita; tai lähiverkossa ilman Microsoft-tyylistä toimialueen ohjainta on helpoin tehdä se Samban avulla.

Tätä tarkoitusta varten on joitain graafisia työkaluja, samoin kuin työkalu Samban hallitsemiseksi SWAT-verkon kautta. Kuitenkin, Suosittelemme aloittelijoille, jotka aloittavat tämän upean maailman manuaalisesti. Se ei ole niin vaikeaa tai pirullista kuin monet ajattelevat. Ja prosessin aikana opit paljon SMB / CIFS-verkoista ja Linux-tiedostojärjestelmien käyttöoikeuksista.

Ennen kuin jatkat, suosittelemme lukemaan:

• Samba: välttämätön esittely
• Samba: Selaa SMB / CIFS-verkkoa ilman Sambaa
• Samba: SmbClient
• Samba: CIFS-apuohjelmat

Emme näe kuinka jakaa tulostimia Samban avulla. Niille, jotka haluavat käyttää tätä sarjaa näihin tarkoituksiin, suosittelemme lukemaan mukana toimitetut asiakirjat kuten kohdassa Samba: välttämätön esittely. Voit myös lukea artikkelin CUPS: Kuinka käyttää ja määrittää tulostimia helposti.

Huomioon otettavat perustiedot

• Huolimatta kaikesta aktiivisten hakemistojen ja niiden toimialueen ohjainten ympäröivästä aurasta, jota ei useissa tapauksissa tarvita tai joita ei hyödynnetä huonosti, itsenäisen Samba Server IS: n asentaminen ja määrittäminen on kelvollinen ja luotettava vaihtoehto.
• Itsenäinen palvelin voi olla yhtä turvallinen tai epävarma tarpeidemme mukaan, ja voimme määrittää sen yksinkertaisella tai monimutkaisella tavalla.
• Käyttäjätodennus suoritetaan itse palvelimella, jossa resurssit sijaitsevat.
• Jotta käyttäjä voi käyttää resursseja etätietokoneelta, heidän on myös oltava rekisteröity Samba-käyttäjäkantaan.
• Voimme lisätä Samba-käyttäjätietokantaan vain ne käyttäjät, jotka ovat jo palvelimellamme tai työpöydällä.
• Erillinen Samba-palvelin EI tarjoa verkkoyhteyttä, kuten verkkotunnuksen ohjain. Se ei myöskään anna kirjautumista verkkotunnukseen.
• Mitä vähemmän muutamme ja / tai lisätään parametreja tiedostoon /etc/smb.conf Tietämättä ensin yksityiskohtaisesti, mitä haluamme saavuttaa, se on paljon parempi.
• Samban resurssienjakopalvelu toimii Linux-tiedostojärjestelmässä, mukaan lukien sen luontainen suojaus. Monet ongelmat ratkaistaan ​​kiinnittämällä asianmukaista huomiota tiedostojen ja hakemistojen oikeuksiin.
• On tärkeää ymmärtää, miten tiedostojärjestelmä käyttäytyy tiedostosta smb.confsekä ymmärtää, miten UNIX / Linux-tiedostojärjestelmä suojaa.
• Suosittelemme, että kansioiden ja jaettujen resurssien nimissä ei käytetä aksentteja, eñesejä tai välilyöntejä. Käytä mieluiten pieniä nimiä.
• Jakonimiä ei voi toistaa lähiverkossa. Jokainen nimi on ainutlaatuinen.
• Jos lähiverkossa ei ole WINS-palvelinta, voimme saada Samban toimimaan sellaisenaan lisäämällä siihen «maailmanlaajuinen»Tiedostosta smb.conf parametri voittaa tuen = Kyllä., joka on erittäin suositeltavaa.

Näytepalvelin

nimi: hirveä. verkkotunnuksen: ystävät.cu. IP: 10.10.10.20. Usuarios: xeon, zeus ja triton. Lisäryhmät: laskurit

Asennus

Asennamme paketin Synapticin tai konsolin kautta samba.

sudo aptitude asenna samba

On erittäin hyödyllistä asentaa myös paketti smbclient. Käytämme sitä tarkastuksiin.

Prosessin aikana paketit asennetaan - mutta olemme aiemmin asentaneet joitain muita Suite- samba, samba-yhteinen, samba-common-bin y tdb-työkalut. Lisäksi tiedosto luodaan /etc/samba/smb.conf. Tämä tiedosto luodaan niin kauan kuin paketit on asennettu samba-yhteinen y samba-common-bin, ja sitä ei poisteta järjestelmästä, ennen kuin olemme poistaneet ne.

Smb.conf-tiedosto on tärkein Samba Suitessa

Samballa on valtava määrä määritysvaihtoehtoja, joista useimpia ei ole esitetty esimerkissä smb.conf joka asennetaan oletuksena. Vaihtoehdot kommentoitu «;»Niitä pidetään tarpeeksi tärkeinä näytettäväksi, ja niiden oletusarvot poikkeavat Samban käyttäytymisen oletusasetuksista. Määritysvaihtoehdot kommentoivat «#«, Onko Samban oletukset, ja niitä pidetään myös tärkeinä näyttää.

Jos haluamme nähdä tiedoston sisällön huomioimatta kommentoituja vaihtoehtoja joko «;"tai"#«, Meidän on suoritettava:

 egrep -v '# |; | ^ * $' /etc/samba/smb.conf

Jos haluamme nähdä tiedoston sisällön ottamatta huomioon «#«, Meidän on suoritettava:

egrep -v '# | ^ * $' /etc/samba/smb.conf

Ensimmäinen asia, joka meidän on tehtävä, on kopio tiedostosta /etc/samba/smb.conf. Itse tiedostosta löydämme tavan, jolla Samba suosittelee alla olevan yksityiskohtaisen työkopion tekemistä. Kuten juuri me toteutamme:

cd / etc / samba mv smb.conf smb.conf.master testparm -s smb.conf.master> smb.conf
root @ miwheezy: / etc / samba # ls -l
yhteensä 32 -rw-r - r-- 1 juurihakemisto 8. marraskuuta 10 2002 gdbcommands -rw-r - r-- 1 juurihakemisto 805 4. elokuuta 12:05 smb.conf -rw-r - r - 1 juurihakemisto 12173 4. elokuuta 12:05 smb.conf. Master

Huomaa tällä tavalla luodun smb.conf-tiedoston ja alkuperäisen koon ero. Kun koko on pienempi, palvelimen suorituskyky kasvaa Samba-tiimin osoittaman mukaan.

Tiedoston alkuperäinen sisältö /etc/samba/smb.conf Se tulee olemaan (muista, ettemme kehitä tulostimen jakamista):

[Global]
        työryhmä = YSTÄVÄT netbios nimi = MIWHEEZY security = käyttäjä
        palvelimen merkkijono =% h palvelimen kartta vieraille = Huono käyttäjä noudata rajoituksia = Kyllä salasanan vaihto = Kyllä passwd-ohjelma = / usr / bin / passwd% u passwd chat = * Kirjoita \ snew \ s * \ spassword: *% n \ n * Retype \ snew \ s * \ spassword $ unix password sync = Kyllä syslog = 0 lokitiedosto = /var/log/samba/log.%m lokin enimmäiskoko = 1000 DNS proxy = Ei käyttäjien jakamista salli vieraita = Kyllä paniikkitoiminto = / usr / share / samba / panic-action% d idmap config *: backend = tdb [homes] comment = Kotihakemistot kelvolliset käyttäjät =% S create mask = 0700 hakemistomaskit = 0700 selattavissa = Ei

Lihavoidut korostetut arvot ovat ainoat, joita meidän on aluksi muutettava. Huomaa, että vaikka olemme Samban oletuskäyttäytymistä, olemme nimenomaisesti ilmoittaneet vaihtoehdon turvallisuus = käyttäjä ottaen huomioon sen suuren merkityksen.

Jos lähiverkossa ei ole WINS-palvelinta, voimme saada Samban toimimaan sellaisenaan lisäämällä siihen «maailmanlaajuinen»Tiedostosta smb.conf parametri voittaa tuen = Kyllä., joka on erittäin suositeltavaa.

kultainen sääntö: Mitä vähemmän muutamme ja / tai lisätään parametreja smb.conf-tiedostoon tietämättä ensin mitä haluamme saavuttaa, sitä parempi se on.

Tässä on tiivis yhteenveto joistakin näytetyistä vaihtoehdoista. Jos haluat lisätietoja, suorita mies jtk.

• työryhmän: Määrittää, missä työryhmässä laite näkyy, kun tehdään verkkoselainta. Tämä parametri ohjaa myös toimialueen nimeä, kun työskentelet vaihtoehdon kanssa turvallisuus = verkkotunnus ja jossa joukkue liittyy verkkotunnukseen. Näemme sen myöhemmissä artikkeleissa. Oletusarvo on WORKGROUP.
• netbios-nimi: Määritä NetBIOS-nimi, jolla Samba-palvelin tunnetaan verkossa. Oletusarvoisesti se on sama kuin FQDN isännältä. Esimerkissämme FQDN joukkueen on miwheezy.amigos.cu. Voimme käyttää eri nimeä kuin isäntä Samba-palvelimellamme. Siinä tapauksessa on suositeltavaa sisällyttää CNAME-tietue meidän DNS.
• turvallisuus: Parametri, joka vaikuttaa asiakkaiden tapaan reagoida Sambaan ja on yksi tärkeimmistä tiedostoista smb.conf. Oletusarvo on lähettämä.
• palvelimen merkkijono: Määrittää, mikä nimi näkyy kommenteissa, jotka näkyvät selaimessa joukkueen nimen vieressä.
• kartta vieraalle: Parametri, josta on hyötyä vain, kun se on asetettu turvallisuus = käyttäjä o turvallisuus = verkkotunnus. Arvo "Huono käyttäjä" käskee Sambaa hylkäämään virheellisen salasanan, ellei käyttäjää EI ole olemassa, jolloin häntä kohdellaan vieraana tai "vieras«. Jos emme halua sallia vierasistuntoja, meidän on muutettava sen arvoksi Ei ikinä, joka on tarkalleen oletusarvo, ja muuta myös parametria usershare salli vieras a Nro, joka on myös oletusarvo.
• tottele pam-rajoituksia: Valvoo, pitäisikö Samban noudattaa PAM: n omia rajoituksia «Kytkettävä todennusmoduuli«, Käyttäjätilien ja istuntojen hallintadirektiiveistä. Oletusarvo on Nro.
• pam salasanan vaihto: Käskee Sambaa käyttämään PAM: ää SMB-asiakkaan pyytämiin salasanamuutoksiin. Oletusarvo on Nro.
• passwd-ohjelma: Ohjelma, jolla asetetaan UNIX-salasanat käyttäjille.
• passwdchat: Ketju, joka hallitsee demonin välistä keskustelua jkt ja edellisessä parametrissa määritetty paikallinen ohjelma salasanan vaihtamiseksi.
• unix salasanan synkronointi: Käskee Sambaa synkronoimaan SMB-salasanan UNIX-salasanaan, kunhan edellinen muuttuu. Oletusarvo on Nro.
• kelvolliset käyttäjät: Luettelo käyttäjistä, joilla on oikeus kirjautua jakamiseen.

Käynnistä tai lataa Samba-palvelu uudelleen

Aina, kun teemme merkittäviä muutoksia, erityisesti kohdassa «[Global]" smb.conf, meidän on käynnistettävä palvelu uudelleen. Jos palvelimellemme on jo yhteydessä käyttäjiä, sammutamme heidät joka kerta, kun käynnistämme Samban uudelleen. Siksi ja käytännössä tästä eteenpäin lataamme palvelun uudelleen vasta, kun lisäämme tai muokkaamme jaettuja resursseja. Palvelun uudelleenkäynnistämiseksi suoritamme muodossa juuri:

service samba käynnistetään uudelleen

Palvelun lataaminen:

service samba lataa

Lisätään käyttäjät järjestelmään ja Samba-käyttäjätietokantaan

Voimme lisätä Samba-käyttäjätietokantaan vain ne käyttäjät, jotka ovat jo paikallisella palvelimellamme.

Esimerkissämme käyttäjä Xeon se lisättiin Wheezyn asennuksen aikana. Siksi emme lisää sitä tiimin käyttäjille. Käyttäjäryhmä on järjestelmässä ja luotu asennuksen aikana.

Joitakin komentovaihtoehtoja smbpasswd ääni:

• -a: Lisää määritetty käyttäjä paikalliseen tiedostoon smbpasswd.
• -x: Ilmoitettu käyttäjä on poistettava paikallisesta tiedostosta smbpasswd. Käytettävissä vain, kun smbpasswd toimii kuten juuri.
• -d: Ilmoitettu käyttäjätili on poistettava käytöstä. Käytettävissä vain, kun smbpasswd toimii kuten juuri.
• -e: Vaihtoehtoa vastapäätä -d niin kauan kuin käyttäjän tili on poistettu käytöstä.

Luodaksemme käyttäjiä tiimiin, teemme sen tunnetulla komennolla lisää käyttäjä.

adduser zeus adduser triton

Ryhmän luominen laskurit:

lisäryhmän laskurit

Käyttäjien lisääminen Samba-tietokantaan:

smbpasswd - juuri
smbpasswd -a xeon smbpasswd -a zeus smbpasswd -a triton

Liitymme ryhmään laskurit haluamillemme käyttäjille:

xeon laskurit adduser zeus laskurit adduser triton laskurit

On suositeltavaa liittyä jokaiseen ryhmään luotuun käyttäjään Käyttäjät, jos haluamme myöntää käyttöoikeudet kaikille luomillemme käyttäjille tietylle resurssille. Helpompi tapa liittää useita käyttäjiä ryhmään on muokkaamalla tiedostoa suoraan / etc / groupja lisäämällä luettelo käyttäjistä pilkuilla erotettuna. Ryhmä voi ohjata heitä laskurit. Oletamme, että liittymme käyttäjiin ryhmään Käyttäjät.

Työasemalla poistamalla käyttäjät, jotka on luotu lisää käyttäjä, meidän on muokattava tiedostoa /etc/gdm3/greeter.gsettings ja kommentoimatta vaihtoehtoa disable-user-list = true, niin että EI käyttäjäluetteloa näytetään sisäänkirjautumisen yhteydessä. Tämä on kaikkien verkkotunnukseen liitettyjen Windows-asiakastietokoneiden vakiokäyttäytyminen.

Vastaavasti, jos haluamme, että luodut käyttäjät eivät aloita etäistuntoa ssh, muokkaamme tiedostoa / Etc / ssh / sshd_config ja lisää ohje tiedoston loppuun AllowUsers. esimerkiksi:

[....] # ja ChallengeResponseAuthentication "ei". UsePAM yes AllowUsers xeon

Lisäämme jaettuja resursseja

1-esimerkki: Haluamme jakaa kansion / home / xeon / musiikki kaikille rekisteröityneille käyttäjille. Lupa on vain luku -tilassa. Ensinnäkin luomme kansion / home / xeon / musiikki ja määritämme tarvittaessa sen omistajan ja käyttöoikeudet. Käyttäjänä Xeon me toteutamme:

mkdir / home / xeon / musiikki ls -l / home / xeon | nappaa musiikkia

Sitten tiedoston lopussa smb.conf lisätään seuraava:

[musiikki-xeon] kommentti = Oman musiikkikansion polku = / home / xeon / musiikki vain luku = kyllä ​​kelvolliset käyttäjät = @ käyttäjien lukulista = @ käyttäjät

Tiedostoon tehtyjen muutosten jälkeen suoritamme testparm käyttäjänä Xeon ja lataamme palvelun kuten juuri. Voimme myös suorittaa molemmat komennot kuten juuri:

testparm-palvelu samba lataa

Voit tarkistaa juuri määritetyn palvelun suorittamalla sen suorittamalla seuraavan komennon itse tietokoneessa:

smbclient -L paikallinen isäntä -U%

2-esimerkki: Haluamme jakaa kansion / home / xeon / musiikki kaikille rekisteröityneille käyttäjille. Käyttöoikeudet luetaan / kirjoitetaan Xeon ja vain luku -ryhmään kuuluville käyttäjille Käyttäjät. Meillä ei ole tarvetta muuttaa kansion omistajaa tai käyttöoikeuksia. Muutamme vain tiedoston jakoasetuksia hieman smb.conf.

[musiikki-xeon] kommentti = Henkilökohtaisen musiikkikansion polku = / home / xeon / musiikki vain luku = Ei kelvollisia käyttäjiä = @käyttäjien kirjoitusluettelo = xeonin lukuluettelo = @käyttäjät

3-esimerkki: Haluamme jakaa kansion / home / xeon / kirjanpito käyttäjäryhmälle laskurit. Kaikilla ryhmän jäsenillä on lukuoikeus. Käyttäjät triton y Zeus he voivat kirjoittaa jaettuun kansioon.

JOS meidän on muutettava kansion omistajaa ja käyttöoikeuksia kirjanpito luomisen jälkeen, jotta he voivat kirjoittaa triton y Zeus jotka ovat ryhmän jäseniä laskurit. Meidän on myös huolehdittava siitä, että viimeisestä tiedostoa luoneesta tai muokkaavasta käyttäjästä ei tule sen absoluuttista omistajaa, jotta muut käyttäjät, joilla on kirjoitusoikeus, voivat muokata sitä.

On tärkeää ymmärtää, miten tiedostojärjestelmän käyttäytymistä käsitellään smb.confsekä ymmärtää, miten UNIX / Linux-tiedostojärjestelmä suojaa.

Näissä tapauksissa meidän on:

• Ilmoita sopivasti kuka on jaetun hakemiston omistajakäyttäjä ja kuka omistajaryhmä.
• Salli omistajaryhmän kirjoittaminen jaettuun hakemistoon.
• Ilmoita bitti SGID (Aseta ryhmän tunnus) hakemiston luomisen aikana.
• Ilmoita oikein tiedostossa smb.conf tapoja luoda tiedostoja ja hakemistoja yhteisessä resurssissamme.

Yksinkertainen ja mahdollinen ratkaisu käytännössä meillä on, jos suoritamme kuten juuri:

mkdir / home / xeon / kirjanpito-ch root -R-juuret: laskurit / home / xeon / kirjanpito-chmod -R g + ws / home / xeon / kirjanpito ls -l / home / xeon

Ja lisätään seuraava smb.conf-tiedoston loppuun:

[kirjanpito] kommentti = kansio kirjanpitäjille polku = / koti / xeon / kirjanpito vain luku = ei kelvollisia käyttäjiä = @ kirjanpitäjien kirjoitusluettelo = triton, zeuksen lukulista = @ kirjanpitäjät pakotetaan luomistila = 0660 pakotetaan hakemistotila = 0770

Tarkistamme välittömästi smb.conf kautta testparm ja lataamme palvelun läpi service samba lataa. Voimme myös juosta smbclient -L paikallinen isäntä -U%. paikallisella palvelimella ja smbclient -L mywheezy -U% o smbclient -L mywheezy.friends.cu -U% etätietokoneesta.

Aika on, että etätietokoneesta muodostamme yhteyden jaettuun resurssiin ja teemme kaikki tarvittavat testit. On suositeltavaa tarkistaa, miten kansioiden ja tiedostojen omistaja muuttuu, kun ne luodaan resurssissa.

Tärkeää: Käyttäjä juuri tai käyttäjä Xeon ja yleensä mikä tahansa ryhmän jäsen laskurit, voit kirjoittaa paikallisesta istunnosta, joka on aloitettu samalla tietokoneella tai kirjoittanut ssh, toisin sanoen käyttämättä SMB / CIFS-protokollaa. Jos luot kansion tai tiedoston paikallisesti, muista määrittää tarvittavat oikeudet uudelleen. Tarkista mennessä ls -l. Edellä mainitun laiminlyönti aiheuttaa paljon hämmennystä.

Ystävät, anna anteeksi artikkelin pituus ja toivon, että siitä on sinulle hyötyä. Seuraavaan seikkailuun asti!