Samba: serveur autonome sur Debian

Salut les amis!. Si nous voulons avoir un serveur indépendant (Standalone) pour partager des ressources soit de notre poste de travail; ou pour un petit groupe de machines; ou pour un LAN sans contrôleur de domaine de type Microsoft, il est plus simple de le faire en utilisant Samba.

Il existe quelques outils graphiques à cet effet, ainsi que l'outil pour administrer Samba via le web «SWAT». Cependant, nous recommandons aux débutants qui commencent manuellement dans ce monde merveilleux. Ce n'est pas aussi difficile ou diabolique que beaucoup le pensent. Et dans le processus, vous en apprendrez beaucoup sur les réseaux SMB / CIFS et sur les autorisations et droits sur les systèmes de fichiers Linux.

Avant de continuer, nous vous recommandons de lire:

• Samba: introduction nécessaire
• Samba: parcourir un réseau SMB / CIFS sans Samba
• Samba : SmbClient
• Samba : CIFS-Utils

Nous ne verrons pas comment partager des imprimantes avec Samba. Pour ceux qui souhaitent utiliser cette suite à ces fins, nous vous recommandons de lire la documentation d'accompagnement comme indiqué dans Samba: introduction nécessaire. Vous pouvez également lire l'article CUPS: comment utiliser et configurer facilement les imprimantes.

Points fondamentaux à considérer

• Malgré toute l'aura qui entoure les répertoires actifs et leurs contrôleurs de domaine, qui à de nombreuses reprises ne sont pas nécessaires ou mal exploités, l'installation et la configuration d'un serveur Samba indépendant EST une option valide et fiable.
• Un serveur indépendant peut être aussi sécurisé ou non sécurisé selon nos besoins, et nous pouvons le configurer de manière simple ou complexe.
• L'authentification de l'utilisateur est effectuée sur le serveur lui-même où résident les ressources.
• Pour qu'un utilisateur puisse accéder aux ressources depuis un ordinateur distant, il doit également être enregistré dans la base d'utilisateurs Samba.
• Nous ne pouvons ajouter à la base de données des utilisateurs Samba que les utilisateurs qui existent déjà sur notre serveur ou notre ordinateur de bureau.
• Un serveur Samba autonome ne fournit PAS de connexion réseau, comme le fait un contrôleur de domaine. Il ne fournit pas non plus de connexion à un domaine.
• Moins on change et / ou on ajoute des paramètres au fichier /etc/smb.conf Sans savoir d'abord en détail ce que nous voulons réaliser, ce sera beaucoup mieux.
• Le service de partage de ressources de Samba fonctionne sur le système de fichiers Linux, y compris sa sécurité inhérente. De nombreux problèmes sont résolus en prêtant attention aux autorisations de fichiers et de répertoires.
• Il est essentiel de comprendre comment gérer le comportement du système de fichiers à partir du fichier smb.conf, ainsi que comprendre le fonctionnement de la sécurité du système de fichiers UNIX / Linux.
• Nous vous recommandons de ne pas utiliser d'accents, d'eñes ou d'espaces dans les noms des dossiers et des ressources partagées. Utilisez de préférence des minuscules pour les noms.
• Les noms de partage ne peuvent pas être répétés sur un LAN. Chaque nom est unique.
• S'il n'y a AUCUN serveur WINS sur notre LAN, nous pouvons faire en sorte que notre Samba agisse comme tel en ajoutant le «de défis»À partir du fichier smb.conf le paramètre gagne le support = Oui., ce qui est fortement recommandé.

Exemple de serveur

Nom: miwheezy. domaine: amis.cu. IP: 10.10.10.20. Utilisateurs: xeon, zeus et triton. Groupes supplémentaires: compteurs

Installations préconisées

Via Synaptic ou via la console, nous installons le package samba.

sudo aptitude installer samba

Il est très utile d'installer également le package client. Nous allons l'utiliser pour les chèques.

Dans le processus, les packages seront installés - mais nous en avons déjà installé d'autres liés à la Suite- samba, samba-commune, samba-commun-bin y outils-tdb. En outre, le fichier est créé /etc/samba/smb.conf. Ce fichier sera créé tant que les packages sont installés samba-commun y samba-commun-bin, et ne sera pas effacé du système tant que nous ne les désinstallons pas.

Le fichier smb.conf est le plus important de la suite Samba

Samba a un grand nombre d'options de configuration, dont la plupart ne sont pas montrées dans l'exemple de smb.conf qui installe par défaut. Les options commentées avec un «;»Sont considérés comme suffisamment importants pour être affichés, et leurs valeurs par défaut diffèrent des valeurs par défaut du comportement de Samba. Les options de configuration commentées par un «#«, Ont les valeurs par défaut de Samba, et sont également considérés comme importants à afficher.

Si nous voulons voir le contenu du fichier sans considérer les options commentées non plus avec «;" ou avec "#«, Il faut exécuter:

 egrep -v '# |; | ^ * $' /etc/samba/smb.conf

Si nous voulons voir le contenu du fichier sans considérer les options commentées par «#«, Il faut exécuter:

egrep -v '# | ^ * $' /etc/samba/smb.conf

La première chose à faire est une copie du fichier /etc/samba/smb.conf. Dans le fichier lui-même, nous trouvons la manière dont Samba recommande de faire une copie de travail, que nous détaillons ci-dessous. Comme racine nous exécutons:

cd / etc / samba mv smb.conf smb.conf.master testparm -s smb.conf.master> smb.conf
root @ miwheezy: / etc / samba # ls -l
total 32 -rw-r - r-- 1 racine racine 8 10 novembre 2002 gdbcommands -rw-r - r-- 1 racine racine 805 4 août 12:05 smb.conf -rw-r - r-- 1 racine racine 12173 4 août 12:05 smb.conf.master

Notez la différence de taille entre le smb.conf généré de cette manière et l'original. Comme la taille est plus petite, les performances du serveur augmentent en fonction de ce qui est indiqué par l'équipe Samba.

Le contenu initial du fichier /etc/samba/smb.conf Ce sera (rappelez-vous que nous ne développerons pas le partage d'imprimantes):

[global]
        groupe de travail = AMIS netbios nom = MIWHEEZY security = utilisateur
        chaîne de serveur =% h mappage du serveur vers l'invité = Utilisateur incorrect obéir aux restrictions de pam = Oui changement de mot de passe pam = Oui passwd program = / usr / bin / passwd% u passwd chat = * Entrez \ snew \ s * \ spassword: *% n \ n * Retype \ snew \ s * \ spassword $ unix password sync = Oui syslog = 0 fichier journal = /var/log/samba/log.%m taille maximale du journal = 1000 dns proxy = Pas de partage d'utilisateurs autoriser les invités = Oui action de panique = / usr / share / samba / panic-action% d idmap config *: backend = tdb [homes] comment = Répertoires personnels utilisateurs valides =% S create mask = 0700 directory mask = 0700 Browseable = Non

Les valeurs surlignées en gras sont les seules que nous devons modifier dans un premier temps. Notez que, bien qu'il s'agisse du comportement par défaut de Samba, nous avons explicitement déclaré l'option security = utilisateur compte tenu de sa grande importance.

S'il n'y a AUCUN serveur WINS sur notre LAN, nous pouvons faire en sorte que notre Samba agisse comme tel en ajoutant le «de défis»À partir du fichier smb.conf le paramètre gagne le support = Oui., ce qui est fortement recommandé.

règle d'or: Moins nous changeons et / ou ajoutons de paramètres au fichier smb.conf sans savoir au préalable en détail ce que nous voulons réaliser, mieux ce sera.

Voici un résumé succinct de certaines des options présentées. Pour plus d'informations, veuillez exécuter homme smb.conf.

• groupe de travail: Contrôle dans quel groupe de travail l'équipement apparaîtra lors de la création d'un navigateur Web. Ce paramètre contrôle également le nom de domaine lorsque vous travaillez avec l'option security = domaine et dans lequel l'équipe rejoint un domaine. Nous le verrons dans des articles ultérieurs. La valeur par défaut est WORKGROUP.
• nom netbios: Définissez le nom NetBIOS par lequel le serveur Samba sera connu sur le réseau. Par défaut, c'est le même que le premier composant du FQDN de l'hôte. Dans notre exemple, le FQDN de l'équipe est miwheezy.amigos.cu. Nous pouvons utiliser un nom différent de celui de l'hôte pour notre serveur Samba. Dans ce cas, il est conseillé d'inclure un enregistrement CNAME dans notre DNS.
• sécurité: Paramètre qui affecte la façon dont les clients répondent à Samba et est l'un des plus importants du fichier smb.conf. La valeur par défaut est utilisateur.
• chaîne de serveur: Contrôle le nom affiché dans les commentaires qui apparaissent dans un navigateur Web à côté du nom de l'équipe.
• carte à l'invité: Paramètre qui n'est utile que lorsqu'il est défini security = utilisateur o security = domaine. La valeur "Bad User" indique à Samba de rejeter un mot de passe invalide, sauf si l'utilisateur n'existe PAS, auquel cas il sera traité comme invité ou "invité«. Si nous ne voulons pas autoriser les sessions d'invité, nous devons changer sa valeur en Jamais, qui est précisément la valeur par défaut, et modifiez également le paramètre partage d'utilisateurs autoriser l'invité a aucune, qui est également la valeur par défaut.
• obéir aux restrictions de pam: Contrôle si Samba doit ou non obéir aux propres restrictions de PAM «Module d'authentification enfichable«, Concernant les Directives d'Administration des Comptes Utilisateurs et des Sessions. La valeur par défaut est aucune.
• changement de mot de passe pam: Indique à Samba d'utiliser PAM pour les changements de mot de passe demandés par un client SMB. La valeur par défaut est aucune.
• programme passwd: Programme utilisé pour définir les mots de passe UNIX des utilisateurs.
• chat passwd: Chaîne qui contrôle la conversation qui a lieu entre le démon smbd et le programme local de changement de mot de passe défini dans le paramètre précédent.
• synchronisation des mots de passe unix: Indique à Samba de synchroniser le mot de passe SMB avec le mot de passe UNIX, tant que l'ancien change. La valeur par défaut est aucune.
• utilisateurs valides: Liste des utilisateurs autorisés à se connecter à un partage.

Redémarrez ou rechargez le service Samba

Chaque fois que nous apportons des changements significatifs, en particulier dans la section «[global]" du smb.conf, nous devons redémarrer le service. Si nous avons déjà des utilisateurs connectés à notre serveur, chaque fois que nous redémarrons Samba, nous les déconnecterons. C'est pourquoi, et pratiquement désormais, nous ne rechargerons le service que lorsque nous ajouterons ou modifierons des ressources partagées. Pour redémarrer le service, nous exécutons comme racine:

redémarrage du service samba

Pour recharger le service:

rechargement du service samba

Nous ajoutons les utilisateurs au système et à la base de données des utilisateurs de Samba

Nous ne pouvons ajouter à la base de données des utilisateurs Samba que les utilisateurs qui existent déjà sur notre serveur local.

Dans notre exemple, l'utilisateur xeon il a été ajouté lors de l'installation de Wheezy. Par conséquent, nous ne l'ajouterons pas aux utilisateurs de l'équipe. Le groupe d'utilisateurs existe sur le système et a été créé lors de l'installation.

Quelques options de commande mot de passe smb sont:

• -a: Ajoutez l'utilisateur spécifié au fichier local smbpasswd.
• -x: L'utilisateur indiqué doit être supprimé du fichier local smbpasswd. Uniquement disponible lorsque mot de passe smb s'exécute comme racine.
• -d: Le compte utilisateur indiqué doit être désactivé. Uniquement disponible lorsque mot de passe smb s'exécute comme racine.
• -e: En face de l'option -d tant que le compte de l'utilisateur est désactivé.

Pour créer les utilisateurs de notre équipe, nous le faisons avec la commande bien connue Adduser.

adduser zeus adduser triton

Pour créer le groupe compteurs:

compteurs addgroup

Pour ajouter des utilisateurs à la base de données Samba:

smbpasswd -a racine
smbpasswd -a xeon smbpasswd -a zeus smbpasswd -a triton

Nous rejoignons le groupe compteurs aux utilisateurs que nous voulons:

compteurs adduser xeon compteurs adduser zeus compteurs adduser triton

Il est recommandé de rejoindre chaque utilisateur créé dans le groupe utilisateurs, au cas où nous voudrions accorder des autorisations à tous les utilisateurs que nous avons créés, sur une ressource spécifique. Un moyen plus simple de joindre plusieurs utilisateurs à un groupe consiste à modifier directement le fichier / etc / group, et en ajoutant la liste des utilisateurs séparés par une virgule. Ils peuvent être guidés par le groupe compteurs. Nous supposons que nous joignons les utilisateurs au groupe utilisateurs.

Sur un poste de travail, pour supprimer l'affichage des utilisateurs créés à l'aide Adduser, il faut éditer le fichier /etc/gdm3/greeter.gsettings et décommentez l'option disable-user-list = vrai, afin qu'aucune liste d'utilisateurs ne s'affiche lors de la connexion. Il s'agit du comportement standard de tout ordinateur client Windows joint à un domaine.

De même, si nous voulons que les utilisateurs créés ne démarrent pas une session à distance via ssh, nous éditons le fichier / etc / ssh / sshd_config et ajoutez à la fin du fichier l'instruction Autoriser les utilisateurs. Exemple:

[....] # et ChallengeResponseAuthentication à «non». UsePAM oui AllowUsers xeon

Nous ajoutons des ressources partagées

Exemple 1: Nous voulons partager le dossier / home / xeon / musique pour tous les utilisateurs enregistrés. L'autorisation sera en lecture seule. Tout d'abord, nous créons le dossier / home / xeon / musique et nous configurons son propriétaire et ses permissions si nécessaire. En tant qu'utilisateur Xeon nous exécutons:

mkdir / home / xeon / musique ls -l / home / xeon | musique grep

Puis à la fin du fichier smb.conf nous ajoutons ce qui suit:

[music-xeon] comment = Chemin du dossier de musique personnel = / home / xeon / musique en lecture seule = Oui utilisateurs valides = @users read list = @users

Après les modifications du fichier, nous exécutons paramètre de test en tant qu'utilisateur xeon et nous rechargeons le service comme racine. Nous pouvons également exécuter les deux commandes comme racine:

rechargement du service testparm samba

Pour vérifier le service nouvellement configuré, nous pouvons le faire en exécutant la commande suivante sur l'ordinateur lui-même:

smbclient -L hôte local -U%

Exemple 2: Nous voulons partager le dossier / home / xeon / musique pour tous les utilisateurs enregistrés. Les permissions seront en lecture / écriture pour xeon et en lecture seule pour le reste des utilisateurs appartenant au groupe utilisateurs. Nous n'avons pas besoin de modifier le propriétaire ou les autorisations sur le dossier. Nous changeons juste un peu les paramètres de partage dans le fichier smb.conf.

[music-xeon] comment = Chemin du dossier de musique personnel = / home / xeon / music read only = Aucun utilisateur valide = @users write list = xeon read list = @users

Exemple 3: Nous voulons partager le dossier / home / xeon / comptabilité pour le groupe d'utilisateurs compteurs. Tous les membres du groupe auront l'autorisation de lecture. Les utilisateurs triton y Zeus ils pourront écrire dans le dossier partagé.

Maintenant, SI nous devons modifier le propriétaire et les autorisations du dossier contabilidad après avoir créé, afin qu'ils puissent écrire triton y Zeus qui sont membres du groupe compteurs. Nous devons également veiller à ce que le dernier utilisateur qui crée ou modifie un fichier ne devienne pas son propriétaire absolu, afin qu'il puisse être modifié par d'autres utilisateurs avec des autorisations d'écriture.

Il est essentiel de comprendre comment gérer le comportement du système de fichiers à partir du smb.conf, ainsi que comprendre le fonctionnement de la sécurité du système de fichiers UNIX / Linux.

Dans ces cas, nous devons:

• Déclarez à votre convenance qui sera l'utilisateur propriétaire et qui sera le groupe propriétaire de l'annuaire partagé.
• Autoriser l'écriture dans le répertoire partagé par le groupe de propriétaires.
• Déclarez le bit SGID (Définir l'ID de groupe) du répertoire lors de sa création.
• Déclarer correctement dans le fichier smb.conf les façons de créer des fichiers et des répertoires au sein de notre ressource partagée.

Une solution simple et possible dans la pratique que nous aurons si nous exécutons comme racine:

mkdir / home / xeon / comptabilité chown -R root: compteurs / home / xeon / comptabilité chmod -R g + ws / home / xeon / comptabilité ls -l / home / xeon

Et nous ajoutons ce qui suit à la fin du fichier smb.conf:

[comptabilité] comment = Dossier pour les comptables chemin = / home / xeon / comptabilité en lecture seule = Aucun utilisateur valide = @ accountants write list = triton, zeus read list = @ accountants force create mode = 0660 force directory mode = 0770

Nous vérifions immédiatement la syntaxe de base du smb.conf par paramètre de test et nous rechargeons le service grâce à rechargement du service samba. On peut aussi courir smbclient -L hôte local -U%. sur le serveur local, et smbclient -L mywheezy -U% o smbclient -L mywheezy.friends.cu -U% depuis l'ordinateur distant.

Le temps, c'est qu'à partir d'un ordinateur distant, nous nous connectons à la ressource partagée et faisons tous les tests nécessaires. Il est recommandé de vérifier comment l'utilisateur qui possède les dossiers et fichiers change au fur et à mesure de leur création dans la ressource.

Important: Utilisateur racine ou l'utilisateur xeon et en général tout membre du groupe compteurs, vous pouvez écrire à partir d'une session locale démarrée sur le même ordinateur ou par ssh, c'est-à-dire sans utiliser le protocole SMB / CIFS. Si vous créez un dossier ou un fichier localement, n'oubliez pas de réaffecter les autorisations appropriées. Vérifier par ls -l. Ne pas faire ce qui précède est source de beaucoup de confusion.

Mes amis, pardonnez-moi la longueur de l'article et j'espère qu'il vous sera d'une certaine utilité. Jusqu'à la prochaine aventure!