Samba: Samostojni strežnik v Debianu

Pozdravljeni prijatelji!. Če želimo imeti neodvisen strežnik (samostojna) za delitev virov bodisi z našega delovnega mesta; ali za majhno skupino strojev; ali za LAN brez Microsoftovega krmilnika domene je to najlažje storiti s Sambo.

V ta namen obstaja nekaj grafičnih orodij, pa tudi orodje za upravljanje Sambe prek spleta «SWAT». Vendar priporočamo za začetnike, ki začnejo v tem čudovitem svetu ročno. Ni tako težko ali hudičevo, kot mnogi mislijo. V tem procesu boste izvedeli veliko o omrežjih SMB / CIFS ter o dovoljenjih in pravicah v datotečnih sistemih Linux.

Pred nadaljevanjem priporočamo branje:

• Samba: Nujni uvod
• Samba: Brskajte po omrežju SMB / CIFS brez Sambe
• Samba: smbclient
• Samba: CIFS-Utils

Ne bomo videli kako deliti tiskalnike s pomočjo Sambe -. Tistim, ki želijo ta paket uporabiti za te namene, priporočamo, da preberejo spremno dokumentacijo, kot je navedeno v Samba: Nujni uvod. Članek si lahko tudi preberete CUPS: Kako uporabljati in konfigurirati tiskalnike na enostaven način.

Temeljne točke, ki jih je treba upoštevati

• Kljub vsej avri, ki obdaja aktivne imenike in njihove krmilnike domen, ki ob številnih priložnostih niso potrebni ali slabo izkoriščeni, je namestitev in konfiguracija neodvisnega strežnika Samba veljavna in zanesljiva možnost.
• Neodvisni strežnik je lahko tako varen ali negotov glede na naše potrebe in ga lahko konfiguriramo na preprost ali kompleksen način.
• Preverjanje pristnosti uporabnika se izvede na samem strežniku, kjer so viri.
• Da lahko uporabnik dostopa do virov iz oddaljenega računalnika, mora biti registriran tudi v zbirki uporabnikov Sambe.
• V bazo podatkov uporabnikov Samba lahko dodamo samo tiste uporabnike, ki že obstajajo na našem strežniku ali namiznem računalniku.
• Samostojni strežnik Samba NE zagotavlja omrežne prijave, kot to omogoča nadzornik domene. Prav tako ne omogoča prijave v domeno.
• Manj kot spremenimo in / ali dodamo parametrov v datoteko /etc/smb.conf Ne da bi prej podrobno vedeli, kaj želimo doseči, bo veliko bolje.
• Storitev za izmenjavo virov v Sambi deluje na datotečnem sistemu Linux, vključno z lastno varnostjo. Številne težave je mogoče rešiti s pozornostjo na dovoljenja datotek in imenikov.
• Bistveno je razumeti, kako ravnati z vedenjem datotečnega sistema iz datoteke smb.conf, pa tudi razumevanje, kako deluje zaščita datotečnega sistema UNIX / Linux.
• Priporočamo, da v imenih map in virov v skupni rabi ne uporabljate naglasov, besed ali presledkov. Za imena raje uporabite male črke.
• Imena skupne rabe ni mogoče ponoviti v lokalnem omrežju. Vsako ime je unikatno.
• Če v našem LAN-u NI strežnika WINS, lahko naredimo, da naša Samba deluje tako, tako da v polje «globalna»Iz datoteke smb.conf parameter zmaga podpora = Da., kar je zelo priporočljivo.

Vzorčni strežnik

ime: miwheezy. Domena: friends.cu. IP: 10.10.10.20. Uporabniki: xeon, zevs in triton. Dodatne skupine: števci

Namestitev

Preko Synaptic ali prek konzole namestimo paket samba.

sudo aptitude namestite sambo

Zelo koristno je tudi namestiti paket smbclient. Uporabili ga bomo za preglede.

V tem procesu bodo nameščeni paketi - vendar smo prej namestili še nekatere druge, povezane s Suite- samba, samba-skupna, samba-skupni-bin y tdb-orodja. Datoteka je tudi ustvarjena /etc/samba/smb.conf. Ta datoteka bo ustvarjena, dokler bodo nameščeni paketi samba-skupna y samba-skupni-bin, in ne bo izbrisan iz sistema, dokler jih ne odstranimo.

Datoteka smb.conf je najpomembnejša v zbirki Samba

Samba ima ogromno konfiguracijskih možnosti, večina pa jih ni prikazana v primeru smb.conf ki se privzeto namesti. Možnosti, komentirane z «;»Štejejo za dovolj pomembne za prikaz in njihove privzete vrednosti se razlikujejo od privzetih nastavitev vedenja Sambe. Možnosti konfiguracije so komentirane z «#«, Samba naj ima privzete vrednosti in so tudi pomembne za prikaz.

Če želimo videti vsebino datoteke, ne da bi upoštevali komentirane možnosti, bodisi z «;"ali z"#«, Izvesti moramo:

 egrep -v '# |; | ^ * $' /etc/samba/smb.conf

Če želimo videti vsebino datoteke, ne da bi upoštevali možnosti, komentirane z «#«, Izvesti moramo:

egrep -v '# | ^ * $' /etc/samba/smb.conf

Najprej je treba narediti kopijo datoteke /etc/samba/smb.conf. V sami datoteki najdemo način, na katerega Samba priporoča izdelavo delovne kopije, ki smo jo podrobno opisali spodaj. Kot koren izvedemo:

cd / etc / samba mv smb.conf smb.conf.master testparm -s smb.conf.master> smb.conf
root @ miwheezy: / etc / samba # ls -l
skupaj 32 -rw-r - r-- 1 korenski koren 8. novembra 10 2002 gdbcommands -rw-r - r-- 1 korenski koren 805 4. avgust 12:05 smb.conf -rw-r - r-- 1 korenski koren 12173 4. avgust 12:05 smb.conf.master

Opazite razliko v velikosti med tako ustvarjenim smb.conf in izvirnikom. Ker je velikost manjša, se zmogljivost strežnika povečuje v skladu s tistim, ki ga je navedla ekipa Samba.

Začetna vsebina datoteke /etc/samba/smb.conf Bo (ne pozabite, da ne bomo razvijali skupne rabe tiskalnikov):

[globalno]
        delovna skupina = PRIJATELJI netbios name = MIWHEEZY varnost = uporabnik
        niz strežnika =% h preslikava strežnika na gosta = Slab uporabnik upošteva omejitve pam = Da, sprememba gesla pam = Da, program passwd = / usr / bin / passwd% u passwd chat = * Vnesite \ snew \ s * \ spassword: *% n \ n * Vtipkajte \ snew \ s * \ spassword $ unix geslo sinhronizacija = Da syslog = 0 log datoteka = /var/log/samba/log.%m največja velikost dnevnika = 1000 dns proxy = Ni dovoljenja za skupno rabo uporabnikov = Da panika = / usr / share / samba / panic-action% d idmap config *: backend = tdb [domovi] comment = Domači imeniki veljavni uporabniki =% S create mask = 0700 directory mask = 0700 browseable = No

Edino vrednosti, označene s krepkim tiskom, moramo spremeniti. Upoštevajte, da smo kljub privzetemu vedenju Sambe možnost izrecno razglasili varnost = uporabnik glede na njegov velik pomen.

Če v našem LAN-u NI strežnika WINS, lahko naredimo, da naša Samba deluje tako, tako da v polje «globalna»Iz datoteke smb.conf parameter zmaga podpora = Da., kar je zelo priporočljivo.

Zlato pravilo: Manj ko spremenimo in / ali dodamo parametre v datoteko smb.conf, ne da bi prej podrobno vedeli, kaj želimo doseči, toliko bolje bo.

Tu je kratek povzetek nekaterih prikazanih možnosti. Za več informacij vas prosimo, zaženite človek smb.conf.

• Delovna skupina: Nadzoruje, v kateri opremi bo delovna skupina prikazana pri izdelavi spletnega brskalnika. Ta parameter nadzoruje tudi ime domene pri delu z možnostjo varnost = domena in v katerem se ekipa pridruži domeni. To bomo videli v kasnejših člankih. Privzeta vrednost je WORKGROUP.
• ime netbios: Nastavi ime NetBIOS, po katerem bo strežnik Samba znan v omrežju. Privzeto je enak kot prva komponenta FQDN od gostitelja. V našem primeru FQDN ekipe je miwheezy.amigos.cu. Za strežnik Samba lahko uporabimo drugačno ime kot gostitelj. V tem primeru je priporočljivo, da v naš zapis vključite zapis CNAME DNS.
• varnost: Parameter, ki vpliva na odziv strank na Sambo in je eden najpomembnejših v datoteki smb.conf. Privzeta vrednost je uporabnik.
• niz strežnika: Nadzoruje, katero ime je prikazano v komentarjih, ki se prikažejo v spletnem brskalniku poleg imena ekipe.
• zemljevid gostu: Parameter, ki je uporaben samo, če je nastavljen varnost = uporabnik o varnost = domena. Vrednost "Bad User" Sambi zavrne neveljavno geslo, razen če uporabnik NE obstaja, v tem primeru bo obravnavan kot gost ali "gost«. Če ne želimo dovoliti sej gostov, moramo njegovo vrednost spremeniti v Nikoli ne, ki je natančno privzeta vrednost, in spremenite tudi parameter dovolite gostom a št, ki je tudi privzeta vrednost.
• spoštovati omejitve pam: Nadzoruje, ali mora Samba upoštevati lastne omejitve PAM-a «Vtični modul za preverjanje pristnosti«, Glede direktiv o upravljanju uporabniških računov in sej. Privzeta vrednost je št.
• sprememba gesla pam: Sambi pove, naj uporablja PAM za spremembe gesla, ki jih zahteva odjemalec SMB. Privzeta vrednost je št.
• program passwd: Program, ki se uporablja za nastavitev UNIX gesel za uporabnike.
• passwd klepet: Veriga, ki nadzoruje pogovor med demonom smbd in lokalni program za spremembo gesla, opredeljen v prejšnjem parametru.
• sinhronizacija gesla unix: Sambi pove, naj sinhronizira geslo SMB z geslom UNIX, če se le-to spremeni. Privzeta vrednost je št.
• veljavnih uporabnikov: Seznam uporabnikov, ki se lahko prijavijo v skupno rabo.

Znova zaženite ali znova naložite storitev Samba

Kadar koli naredimo pomembne spremembe, zlasti v poglavju «[globalno]" od smb.conf, moramo ponovno zagnati storitev. Če imamo na strežnik že priključene uporabnike, jih bomo vsakič, ko ponovno zaženemo Sambo, odklopili. Zato bomo in praktično odslej storitev ponovno naložili le, če bomo dodali ali spremenili skupne vire. Za ponovni zagon storitve izvedemo kot koren:

servis samba ponovni zagon

Za polnjenje storitve:

servis samba reload

Uporabnike dodajamo v sistem in v zbirko podatkov Samba

V zbirko podatkov uporabnikov Samba lahko dodamo samo tiste uporabnike, ki že obstajajo na našem lokalnem strežniku.

V našem primeru uporabnik xeon dodan je bil med namestitvijo Wheezyja. Zato ga ne bomo dodajali uporabnikom ekipe. Skupina uporabnikov obstaja v sistemu in je bil ustvarjen med namestitvijo.

Nekaj ​​ukaznih možnosti smbpasswd Zvok:

• -a: Dodajte navedenega uporabnika v lokalno datoteko smbpasswd.
• -x: Navedenega uporabnika je treba odstraniti iz lokalne datoteke smbpasswd. Na voljo samo, ko smbpasswd teče kot koren.
• -d: Navedeni uporabniški račun mora biti onemogočen. Na voljo samo, ko smbpasswd teče kot koren.
• -e: Nasproti možnosti -d dokler je uporabnikov račun onemogočen.

Če želimo ustvariti uporabnike v naši ekipi, to storimo z znanim ukazom adduser.

zev adduser triton

Če želite ustvariti skupino števci:

števci skupin

Če želite uporabnike dodati v zbirko podatkov Samba:

smbpasswd -koren
smbpasswd -a xeon smbpasswd -a zeus smbpasswd -a triton

Pridružimo se skupini števci uporabnikom, ki jih želimo:

števci adduser xeon števci adduser zeus adduser števci triton

Priporočljivo je, da se pridružite vsakemu uporabniku, ustvarjenemu v skupini Uporabniki, v primeru, da želimo dodeliti dovoljenja vsem uporabnikom, ki smo jih ustvarili, za določen vir. Enostavnejši način, da se več uporabnikom pridruži skupini, je neposredno urejanje datoteke / etc / groupin dodajanje seznama uporabnikov, ločenih z vejico. Vodi jih skupina števci. Predvidevamo, da uporabnike pridružimo skupini Uporabniki.

Na delovni postaji odstranite prikazovanje uporabnikov, ustvarjenih z adduser, datoteko moramo urediti /etc/gdm3/greeter.gsettings in razkomentirajte možnost disable-user-list = true, tako da se ob prijavi ne prikaže NO user list. To je običajno vedenje katerega koli odjemalskega računalnika Windows, ki je povezan z domeno.

Na enak način, če želimo, da ustvarjeni uporabniki ne začnejo oddaljene seje ssh, uredimo datoteko / etc / ssh / sshd_config in na koncu datoteke dodajte navodila Dovoli uporabnikom. Primer:

[....] # in ChallengeResponseAuthentication na 'ne'. UsePAM da AllowUsers xeon

Dodamo skupne vire

Primer 1: Želimo deliti mapo / home / xeon / music za vse registrirane uporabnike. Dovoljenje bo samo za branje. Najprej ustvarimo mapo / home / xeon / music in po potrebi konfiguriramo njegovega lastnika in dovoljenja. Kot uporabnik Xeon izvršimo:

mkdir / home / xeon / music ls -l / home / xeon | grep glasba

Nato na koncu datoteke smb.conf dodamo naslednje:

[music-xeon] comment = Pot do osebne glasbene mape = / home / xeon / samo branje glasbe = Da veljavni uporabniki = @users read list = @users

Po spremembah datoteke izvedemo testparm kot uporabnik xeon in storitev polnimo kot koren. Lahko izvajamo tudi oba ukaza kot koren:

testparm storitev samba ponovno naloži

Če želite preveriti novo konfigurirano storitev, lahko to storimo tako, da v samem računalniku izvedemo naslednji ukaz:

smbclient -L lokalni gostitelj -U%

Primer 2: Želimo deliti mapo / home / xeon / music za vse registrirane uporabnike. Dovoljenja bodo branje / pisanje za xeon in samo za branje za ostale uporabnike, ki pripadajo skupini Uporabniki. Nimamo potrebe po spreminjanju lastnika ali dovoljenj za mapo. Samo nekoliko spremenimo nastavitve skupne rabe v datoteki smb.conf.

[music-xeon] comment = Pot do osebne glasbene mape = / home / xeon / samo za branje glasbe = Ni veljavnih uporabnikov = @users write list = xeon read list = @users

Primer 3: Želimo deliti mapo / home / xeon / računovodstvo za uporabniško skupino števci. Vsi člani skupine bodo imeli dovoljenje za branje. Uporabniki triton y zeus lahko bodo pisali v mapo v skupni rabi.

Zdaj, če moramo spremeniti lastnika in dovoljenja mape računovodstvo po ustvarjanju, tako da lahko pišejo triton y zeus ki so član skupine števci. Paziti moramo tudi, da zadnji uporabnik, ki ustvari ali spremeni datoteko, ne postane njen absolutni lastnik, tako da jo lahko drugi uporabniki z dovoljenji za pisanje spremenijo.

Bistveno je razumeti, kako ravnati z vedenjem datotečnega sistema iz smb.conf, pa tudi razumevanje, kako deluje zaščita datotečnega sistema UNIX / Linux.

V teh primerih moramo:

• Po ugodnosti navedite, kdo bo lastnik uporabnika in kdo skupina lastnikov imenika v skupni rabi.
• Skupina lastnikov dovoli pisanje v imenik v skupni rabi.
• Navedite bit SGID (Nastavite ID skupine) imenika med ustvarjanjem.
• Pravilno se prijavite v datoteki smb.conf načine ustvarjanja datotek in imenikov znotraj našega skupnega vira.

Preprosto in možno rešitev v praksi bomo imeli, če izvedemo kot koren:

mkdir / home / xeon / računovodstvo chown -R root: števci / home / xeon / računovodstvo chmod -R g + ws / home / xeon / računovodstvo ls -l / home / xeon

In na konec datoteke smb.conf dodamo naslednje:

[računovodstvo] komentar = Mapa za računovodje pot = / home / xeon / samo za branje računovodstva = ni veljavnih uporabnikov = @ knjigovodje pišejo seznam = triton, zeus branje seznam = @ računovodje sila ustvari način = 0660 prisili način imenika = 0770

Takoj preverimo osnovno sintakso datoteke smb.conf skozi testparm in storitev polnimo prek servis samba reload. Lahko tudi tečemo smbclient -L lokalni gostitelj -U%. na lokalnem strežniku in smbclient -L mywheezy -U% o smbclient -L mywheezy.friends.cu -U% iz oddaljenega računalnika.

Čas je, da se iz oddaljenega računalnika povežemo s skupnim virom in opravimo vse potrebne teste. Priporočljivo je preveriti, kako se uporabnik, ki je lastnik map in datotek, spremeni, ko so ustvarjene v viru.

Pomembno: Uporabnik koren ali uporabnik xeon in na splošno kateri koli član skupine števci, lahko pišete iz lokalne seje, ki se je začela v istem računalniku ali do ssh, torej brez uporabe protokola SMB / CIFS. Če mapo ali datoteko ustvarite lokalno, ne pozabite dodeliti ustreznih dovoljenj. Preverite ls -l. Če tega ne storimo, je to zmeda.

Prijatelji, oprostite mi na dolžini članka in upam, da vam bo kaj koristil. Do naslednje pustolovščine!