Samba: Server i pavarur në Debian

Përshëndetje miq!. Nëse duam të kemi një Server të Pavarur (standalone) për të ndarë burimet ose nga stacioni ynë i punës; ose për një grup të vogël makinerish; ose për një LAN pa një kontrollues domain të stilit Microsoft, është më e lehtë ta bësh atë duke përdorur Samba.

Ekzistojnë disa mjete grafike për këtë qëllim, si dhe mjeti për të administruar Samba përmes uebit "SWAT". Megjithatë, ne rekomandojme për fillestarët që fillojnë në këtë botë të mrekullueshme manualisht. Nuk është aq e vështirë apo djallëzore sa mendojnë shumë. Dhe gjatë këtij procesi mësoni shumë për rrjetet SMB / CIFS dhe për Lejet dhe të Drejtat në skedarët Linux.

Para se të vazhdoni, ju rekomandojmë të lexoni:

• Samba: Hyrje e nevojshme
• Samba: Shfletoni një rrjet SMB / CIFS pa Samba
• Samba: Klient i Smb
• Samba:CIFS-Utils

Ne nuk do ta shohim si të ndani printerët duke përdorur Samba. Për ata që dëshirojnë të përdorin këtë suitë për këto qëllime, ne rekomandojmë leximin e dokumentacionit shoqërues siç tregohet në Samba: Hyrje e nevojshme. Ju gjithashtu mund të lexoni artikullin CUPS: Si të përdorni dhe konfiguroni printerët në mënyrën më të lehtë.

Pikat themelore për t'u marrë parasysh

• Pavarësisht nga të gjithë aurën që rrethon Drejtoritë Aktive dhe Kontrolluesit e Domenit të tyre, të cilat në shumë raste nuk janë të nevojshme ose shfrytëzohen dobët, instalimi dhe konfigurimi i një Serveri të Pavarur Samba ISSHT a një opsion i vlefshëm dhe i besueshëm.
• Një Server i Pavarur mund të jetë po aq i sigurt ose i pasigurt në përputhje me nevojat tona, dhe ne mund ta konfigurojmë atë në një mënyrë të thjeshtë ose komplekse.
• Vërtetimi i përdoruesit kryhet në vetë serverin ku banojnë burimet.
• Që një përdorues të ketë mundësi të hyjë në burimet nga një kompjuter i largët, ata gjithashtu duhet të regjistrohen në bazën e përdoruesve Samba.
• Ne mund të shtojmë në bazën e të dhënave të përdoruesve Samba vetëm ata përdorues që tashmë ekzistojnë në serverin tonë ose në makinën desktop.
• Një server i pavarur Samba NUK siguron hyrjen në rrjet, siç bën një kontrollues domeni. Gjithashtu nuk siguron hyrjen në një domen.
• Sa më pak të ndryshojmë dhe / ose shtojmë parametra në skedar /etj/smb.conf Pa e ditur më parë në detaje se çfarë duam të arrijmë, do të jetë shumë më mirë.
• Shërbimi i ndarjes së burimeve në Samba punon në sistemin e skedarëve Linux, duke përfshirë sigurinë e tij të natyrshme. Shumë probleme zgjidhen duke i kushtuar vëmendjen e duhur lejeve të skedarëve dhe direktorive.
• Essentialshtë thelbësore të kuptohet se si të trajtohet sjellja e sistemit të skedarëve nga skedari smb.konf, si dhe të kuptuarit se si funksionon siguria e sistemit të skedarëve UNIX / Linux.
• Ne rekomandojmë që të mos përdorni thekse, pika, ose hapësira në emrat e dosjeve dhe burimeve të ndara. Preferohet të përdorni shkronja të vogla për emrat.
• Emrat e ndarjes nuk mund të përsëriten në një LAN. Secili emër është unik.
• Nëse nuk ka server WINS në LAN-in tonë, ne mund ta bëjmë Samba-n tonë të veprojë si e tillë duke shtuar «global»Nga dosja smb.konf parametri fiton mbështetje = Po., e cila rekomandohet shumë.

Serveri shembull

emër: miuheezy. Sferë: shokët.cu. IP: 10.10.10.20. përdoruesit: xeon, zeus dhe triton. Grupet shtesë: sportelet

instalim

Përmes Synaptic ose përmes konsolës ne instalojmë paketën samba.

aftësia sudo instalo samba

Veryshtë shumë e dobishme të instaloni edhe paketën smbclient. Ne do ta përdorim atë për kontrolle.

Në proces, paketat do të instalohen - por ne kemi instaluar më parë disa të tjera në lidhje me Suite- samba, samba-e zakonshme, samba-zakonshëm-bin y mjetet tdb. Gjithashtu, skedari është krijuar /etj/samba/smb.conf. Kjo skedar do të krijohet për sa kohë që instalohen paketat samba-e zakonshme y samba-zakonshëm-bin, dhe nuk do të fshihen nga sistemi derisa t'i çinstalojmë ato.

Skedari smb.conf është më i rëndësishmi në Samba Suite

Samba ka një numër të madh të opsioneve të konfigurimit, shumica e të cilave nuk janë treguar në shembull smb.konf i cili instalohet si parazgjedhje. Opsionet e komentuara me një «;»Janë konsideruar mjaft të rëndësishëm për tu shfaqur dhe vlerat e tyre të paracaktuara ndryshojnë nga parazgjedhjet e sjelljes Samba. Opsionet e konfigurimit komentuan me një «#«, Bëni parazgjedhjet Samba dhe gjithashtu konsiderohen të rëndësishme për tu shfaqur.

Nëse duam të shohim përmbajtjen e skedarit pa marrë parasysh opsionet e komentuara ose me «;"ose me"#«, Ne duhet të ekzekutojmë:

 egrep -v '# |; | ^ * $' /etc/samba/smb.conf

Nëse duam të shohim përmbajtjen e skedarit pa marrë parasysh opsionet e komentuara me «#«, Ne duhet të ekzekutojmë:

egrep -v '# | ^ * $' /etc/samba/smb.conf

Gjëja e parë që duhet të bëni është një kopje e skedarit /etj/samba/smb.conf. Në vetë skedarin gjejmë mënyrën në të cilën Samba rekomandon të bësh një kopje të punës, të cilën ne e detajojmë më poshtë. Si rrënjë ne ekzekutojmë:

cd / etc / samba mv smb.conf smb.conf.master testparm -s smb.conf.master> smb.conf
rrënja @ miwheezy: / etc / samba # ls -l
total 32 -rw-r - r-- 1 rrënjë rrënjë 8 nëntor 10 2002 gdbcommands -rw-r - r-- 1 rrënjë rrënjë 805 4 gusht 12:05 smb.conf -rw-r - r-- 1 rrënjë rrënjë 12173 4 gusht 12:05 smb.conf.master

Vini re ndryshimin në madhësi midis smb.conf të gjeneruar në këtë mënyrë dhe origjinalit. Ndërsa madhësia është më e vogël, performanca e serverit rritet në përputhje me atë që tregohet nga Ekipi Samba.

Përmbajtja fillestare e skedarit /etj/samba/smb.conf Do të jetë (mos harroni se ne nuk do të zhvillojmë ndarjen e printerit):

[globale]
        grupi i punës = SHOKRIT emri netbios = siguria MIWHEEZY = përdoruesi
        vargu i serverit =% h harta e serverit te mysafiri = Përdoruesi i keq i bindet kufizimeve të pam = = Po ndryshimi i fjalëkalimit pam = Po programi passwd = / usr / bin / passwd% u bisedë passwd = * Vendos \ snew \ s * \ fjalëkalim: *% n \ n * Përsëritni \ snew \ s * \ spassword $ unix sync fjalëkalimin = Po syslog = 0 regjistër skedar = /var/log/samba/log.%m madhësia maksimale e regjistrit = 1000 dns proxy = Asnjë përdorues nuk lejon vizitorët = Po veprim paniku = / usr / share / samba / panic-action% d idmap config *: backend = tdb [shtëpitë] koment = Drejtoritë e shtëpisë përdorues të vlefshëm =% S krijoni maskë = 0700 direktori mask = 0700 i shfletueshëm = Jo

Vlerat e theksuara me shkronja të zeza janë të vetmet që duhet të modifikojmë fillimisht. Vini re se, pavarësisht nga sjellja e paracaktuar e Samba, ne e kemi deklaruar në mënyrë të qartë opsionin siguri = përdorues duke pasur parasysh rëndësinë e saj të madhe.

Nëse nuk ka server WINS në LAN-in tonë, ne mund ta bëjmë Samba-n tonë të veprojë si e tillë duke shtuar «global»Nga dosja smb.konf parametri fiton mbështetje = Po., e cila rekomandohet shumë.

Rregulli I arte: Sa më pak të ndryshojmë dhe / ose të shtojmë parametra në skedarin smb.conf pa ditur më parë në detaje se çfarë duam të arrijmë, aq më mirë do të jetë.

Këtu është një përmbledhje e ngushtë e disa prej opsioneve të treguara. Për më shumë informacion, ju lutemi vraponi njeri smb.konf.

• grupi i punës: Kontrollet në të cilat do të shfaqen pajisjet në Grupin e Punës kur bëni një shfletues uebi. Ky parametër gjithashtu kontrollon emrin e domenit kur punoni me opsionin siguri = domen dhe në të cilën ekipi bashkohet me një Domain. Do ta shohim në artikuj të mëvonshëm. Vlera e paracaktuar është GRUPI I PUNS.
• emri netbios: Vendosni emrin NetBIOS me të cilin serveri Samba do të njihet në rrjet. Si parazgjedhje është e njëjtë me përbërësin e parë të FQDN nga nikoqiri. Në shembullin tonë FQDN i ekipit është miwheezy.amigos.cu. Ne mund të përdorim një emër ndryshe nga hosti për serverin tonë Samba. Në atë rast është e këshillueshme që të përfshini një rekord CNAME në tonë DNS.
• siguri: Parametri që ndikon sesi klientët reagojnë ndaj Samba dhe është një nga më të rëndësishmit në skedar smb.konf. Vlera e paracaktuar është përdorues.
• vargu i serverit: Kontrollon se cili emër shfaqet në komentet që shfaqen në një shfletues ueb pranë emrit të ekipit.
• hartë për mysafir: Parametri që është i dobishëm vetëm kur vendoset siguri = përdorues o siguri = domen. Vlera "Përdorues i Keq" i thotë Samba të refuzojë një fjalëkalim të pavlefshëm, përveç nëse përdoruesi NUK ekziston, në këtë rast ata do të trajtohen si Vizitor ose "mysafir« Nëse nuk duam të lejojmë sesione të ftuar, duhet ta ndryshojmë vlerën e tij në Kurrë, e cila është saktësisht vlera e paracaktuar, dhe gjithashtu ndryshon parametrin përdoruesit e lejojnë mysafirin a jo, e cila është gjithashtu vlera e paracaktuar.
• respektoni kufizimet e pam: Kontrollon nëse Samba duhet t'u bindet ose jo kufizimeve të vetë PAM «Moduli i vërtetueshëm i lëmueshëm«, Lidhur me Direktivat e Administrimit të Llogarive të Përdoruesve dhe Sesioneve. Vlera e paracaktuar është jo.
• ndryshimi i fjalekalimit pam: I thotë Samba të përdorë PAM për ndryshimet e fjalëkalimeve të kërkuara nga një klient SMB. Vlera e paracaktuar është jo.
• programi passwd: Programi i përdorur për të vendosur fjalëkalimet UNIX për përdoruesit.
• biseda e passwd: Zinxhir që kontrollon bisedën që zhvillohet midis demonit smbd dhe programin lokal për ndryshimin e fjalëkalimit të përcaktuar në parametrin e mëparshëm.
• sinkronizimi i fjalëkalimit unix: I thotë Samba të sinkronizojë fjalëkalimin SMB me fjalëkalimin UNIX, për sa kohë që ish ndryshon. Vlera e paracaktuar është jo.
• përdoruesit e vlefshëm: Lista e përdoruesve që lejohen të hyjnë në një pjesë.

Rinisni ose Rimbarko shërbimin Samba

Kurdoherë që bëjmë ndryshime të rëndësishme, veçanërisht në seksionin «[globale]" të smb.konf, ne duhet të rifillojmë shërbimin. Nëse tashmë kemi përdorues të lidhur me serverin tonë, sa herë që rinisim Samba, do t'i shkëputim ata. Kjo është arsyeja pse, dhe praktikisht nga tani e tutje, ne do ta rimbushim shërbimin vetëm kur shtojmë ose modifikojmë burime të ndara. Për të rifilluar shërbimin, ne ekzekutojmë si rrënjë:

sherbimi samba rinis

Për të rimbushur shërbimin:

shërbim samba ringarkoni

Ne i shtojmë përdoruesit në sistem dhe në bazën e të dhënave të përdoruesve të Samba

Ne mund të shtojmë në bazën e të dhënave të përdoruesve Samba vetëm ata përdorues që tashmë ekzistojnë në serverin tonë lokal.

Në shembullin tonë, përdoruesi Xeon ajo u shtua gjatë instalimit të Wheezy. Prandaj, ne nuk do ta shtojmë atë tek përdoruesit e ekipit. Grupi i përdoruesve ekziston në sistem dhe është krijuar gjatë instalimit.

Disa opsione komande smbpasswd shëndoshë:

• -a: Shtoni përdoruesin e specifikuar në skedarin lokal smbpasswd.
• -x: Përdoruesi i treguar duhet të hiqet nga skedari lokal smbpasswd. Në dispozicion vetëm kur smbpasswd shkon si rrënjë.
• -d: Llogaria e treguar e përdoruesit duhet të çaktivizohet. Në dispozicion vetëm kur smbpasswd shkon si rrënjë.
• -e: Përballë opsionit -d për sa kohë që llogaria e përdoruesit është e çaktivizuar.

Për të krijuar përdoruesit në ekipin tonë, ne e bëjmë atë me komandën e njohur adduser.

adduser zeus adduser triton

Për të krijuar grupin contadores:

sportelet e grupeve shtesë

Për të shtuar përdorues në bazën e të dhënave Samba:

smbpasswd - një rrënjë
smbpasswd -a xeon smbpasswd -a zeus smbpasswd -a triton

Ne bashkohemi në grup contadores për përdoruesit që duam:

sportelet e addoner xeon counters adduser zeus numeruesit e triton adduser

Rekomandohet të bashkoheni me secilin përdorues të krijuar në grup përdoruesit, në rast se duam të japim leje për të gjithë përdoruesit që kemi krijuar, në një burim specifik. Një mënyrë më e lehtë për t'u bashkuar me shumë përdorues në një grup është duke redaktuar direkt skedarin / etj / grupi, dhe duke shtuar listën e përdoruesve të ndarë me presje. Ata mund të drejtohen nga grupi contadores. Supozojmë se u bashkohemi përdoruesve në grup përdoruesit.

Në një stacion pune, për të hequr përdoruesit e krijuar duke përdorur adduser, ne duhet të editojmë skedarin /etc/gdm3/greeter.gsettings dhe uncomment opsionin çaktivizo-përdorues-listë = e vërtetë, në mënyrë që të mos shfaqet asnjë listë përdoruesish gjatë hyrjes. Kjo është sjellja standarde e çdo kompjuteri klient Windows që bashkohet me një Domain.

Në mënyrë të ngjashme, nëse duam që përdoruesit e krijuar të mos fillojnë një seancë të largët ssh, ne editojmë skedarin / Etc / ssh / sshd_config dhe shtoni në fund të skedarit udhëzimin LejoniPërdoruesit. shembull:

[....] # dhe ChallengeResponseAuthentication në 'jo'. Përdorni PAM po lejuesit e përdoruesve xeon

Ne shtojmë burime të përbashkëta

Shembull 1: Ne duam të ndajmë dosjen / shtëpi / xeon / muzikë për të gjithë përdoruesit e regjistruar. Leja do të lexohet vetëm. Para së gjithash ne krijojmë dosjen / shtëpi / xeon / muzikë dhe ne konfigurojmë pronarin dhe lejet e tij nëse është e nevojshme. Si përdorues Xeon ne ekzekutojmë:

mkdir / shtëpi / xeon / muzikë ls -l / shtëpi / xeon | muzikë grep

Pastaj në fund të skedarit smb.konf ne shtojmë sa vijon:

[music-xeon] koment = Rruga personale e dosjes muzikore = / shtëpi / xeon / vetëm muzikë e lexuar = Po përdorues të vlefshëm = @ përdoruesit lexoni listën = @ përdoruesit

Pas modifikimeve në skedar, ne ekzekutojmë test parm si përdorues Xeon dhe ne e rimbushim shërbimin si rrënjë. Ne gjithashtu mund të ekzekutojmë të dy komandat si rrënjë:

shërbimi testparm ringarkoni samba

Për të kontrolluar shërbimin e sapo konfiguruar mund ta bëjmë atë duke ekzekutuar komandën e mëposhtme në vetë kompjuterin:

smbclient -L localhost -U%

Shembull 2: Ne duam të ndajmë dosjen / shtëpi / xeon / muzikë për të gjithë përdoruesit e regjistruar. Lejet do të lexohen / shkruhen për të Xeon dhe vetëm për lexim për pjesën tjetër të përdoruesve që i përkasin grupit përdoruesit. Ne nuk kemi nevojë të modifikojmë pronarin ose lejet në dosje. Ne thjesht ndryshojmë pak cilësimet e ndarjes në skedar smb.konf.

[music-xeon] koment = Rruga e dosjes personale të muzikës = / shtëpi / xeon / vetëm muzikë e lexuar = Asnjë përdorues i vlefshëm = @ përdoruesit shkruaj listën = xeon lexon listën = @ përdoruesit

Shembull 3: Ne duam të ndajmë dosjen / shtëpi / xeon / kontabilitet për grupin e përdoruesve contadores. Të gjithë anëtarët e grupit do të kenë leje leximi. Përdoruesit triton y Zeus ata do të jenë në gjendje të shkruajnë në dosjen e përbashkët.

Tani NESE duhet të modifikojmë pronarin dhe lejet e dosjes llogaritje pasi të jenë krijuar, kështu që ata mund të shkruajnë triton y Zeus të cilët janë anëtar i grupit contadores. Ne gjithashtu duhet të kujdesemi që përdoruesi i fundit që krijon ose modifikon një skedar të mos bëhet pronari i tij absolut, në mënyrë që të mund të modifikohet nga përdoruesit e tjerë me leje shkrimi.

Essentialshtë thelbësore të kuptohet se si të trajtohet sjellja e sistemit të skedarëve nga smb.konf, si dhe të kuptuarit se si funksionon siguria e sistemit të skedarëve UNIX / Linux.

Në këto raste ne duhet:

• Deklaroni me lehtësi kush do të jetë Përdoruesi i Pronarit dhe kush do të jetë Grupi i Pronarëve të Drejtorisë së Përbashkët.
• Lejoni të shkruani në Drejtorinë e Përbashkët nga Grupi i Pronarëve.
• Deklaroni pak KEPUCE (Vendosni ID-në e Grupit) të drejtorisë gjatë krijimit të tij.
• Deklaroni siç duhet në dosje smb.konf mënyrat e krijimit të skedarëve dhe direktorive brenda burimit tonë të përbashkët.

Një zgjidhje e thjeshtë dhe e mundshme në praktikë do të kemi nëse ne ekzekutojmë si rrënjë:

mkdir / shtëpi / xeon / llogari llogaritëse -R rrënjë: banakë / shtëpi / xeon / llogari chmod -R g + ws / shtëpi / xeon / kontabilitet ls -l / shtëpi / xeon

Dhe ne shtojmë sa vijon në fund të skedarit smb.conf:

[kontabiliteti] koment = Dosje për rrugën e kontabilistëve = / shtëpi / xeon / llogari vetëm e lexuar = Asnjë përdorues i vlefshëm = @ llogaritarë shkruajnë listën = triton, lista e leximit e Zeus = @ llogaritarët krijojnë forcë mënyra = 0660 modaliteti i drejtorisë = 0770

Ne menjëherë kontrollojmë sintaksën themelore të smb.konf Mediante test parm dhe ne e rimbushim shërbimin përmes shërbim samba ringarkoni. Ne gjithashtu mund të kandidojmë smbclient -L localhost -U%. në serverin lokal, dhe smbclient -L mywheezy -U% o smbclient -L mywheezy.friends.cu -U% nga kompjuteri i largët.

Koha është që nga një kompjuter i largët të lidhemi me burimin e përbashkët dhe të bëjmë të gjitha testet e nevojshme. Shtë e këshillueshme të kontrolloni se si ndryshon përdoruesi që zotëron dosjet dhe skedarët ndërsa krijohen brenda burimit.

Rëndësishme: Perdoruesi rrënjë ose përdoruesi Xeon dhe në përgjithësi çdo anëtar i grupit contadores, ju mund të shkruani nga një seancë lokale e filluar në të njëjtin kompjuter ose nga ssh, domethënë, pa përdorur protokollin SMB / CIFS. Nëse krijoni një dosje ose skedar në vend, mos harroni të caktoni përsëri lejet e duhura. Kontrolloni nga ls-l. Të mos bësh sa më sipër është burim i shumë konfuzionit.

Miq, më falni gjatësinë e artikullit dhe shpresoj se do të jetë në ndonjë dobi për ju. Deri në aventurën tjetër!