Linux Systeme in der NWZ-Umgebung

Transkript

1 Einführung Linux als Samba-Server in der NWZnet-Domäne Christian Mück-Lichtenfeld IVV4 Linux January 18, /26 Einführung : Unix-Unterstützung des SMB-Protokolls Was ist? 1 Freie Implementierung eines Server-Message-Block (SMB) Servers für UNIX und andere Betriebssysteme 2 Freigabe (Share) von Filesystemen/Druckern auf dem lokalen Server 3 Zugriff auf Netzfreigaben anderer Server als Client 4 Funktion als NetBIOS-Nameserver 5 Unterstützung von NetBIOS-Browsing und Browse-Master-Auswahl 2/26

2 Einführung Quellen International: (aktuelle Version: a) Deutsch: samba.sernet.de Bücher/Dokumentation: Samba 3 - Das offizielle Handbuch (Addison Wesley) (0 $) 3/26 Installation Installation Binär-Distribution (SuSE 9.3) bzw (SuSE 10.0) Paket samba: Server (smbd, nmbd) Paket samba-client: nur Client-Programme Paket samba-winbind: (winbindd) Source-Distribution (SuSE 9.3): Paket samba (Sourcen) : und Compilation erforderlich (zusätzlich: krb5-devel, ldap-devel usw.) 4/26

3 Installation Samba-Compilation aus SuSE-Paket (nicht nötig) Sourcen installieren rpmbuild -bp /usr/src/packages/specs/samba.spec error: Failed build dependencies: bison is needed by samba cvs is needed by samba flex is needed by samba cracklib-devel is needed by samba cups-devel is needed by samba libacl-devel is needed by samba libattr-devel is needed by samba mysql-devel is needed by samba mysql-shared is needed by samba openafs-devel is needed by samba pam-devel is needed by samba popt-devel is needed by samba postgresql-devel is needed by samba postgresql-libs is needed by samba python-devel is needed by samba besser Quellen herunterladen z.b. ftp://de3.samba.org/pub/samba/ 5/26 Installation der Samba Sourcen (nicht nötig) cd /usr/local; tar -xzf ~/samba a.tar.gz cd samba a; configure --help --prefix=prefix install architecture-independent files in PREFIX [/usr/local/samba] --exec-prefix=eprefix install architecture-dependent files in EPREFIX [PREFIX] --with-configdir=dir Where to put configuration files ($libdir) --with-logfilebase=dir Where to put log files ($VARDIR) --with-libdir=dir Where to put libdir ($libdir) --with-mandir=dir Where to put man pages ($mandir) --with-ldap LDAP support (default yes) with-ads Active Directory support (default auto) with-krb5=base-dir Locate Kerberos 5 support (default=/usr) --with-smbmount Include smbmount (Linux only) support (default=no) --with-pam Include PAM support (default=no) --with-pam smbpass Build PAM module for authenticating against passdb backends (default= --with-ldapsam Include LDAP SAM 2.2 compatible configuration (default=no) --with-quotas Include disk-quota support (default=no) --with-sys-quotas Include lib/sysquotas.c support (default=auto) --with-libsmbclient Build the libsmbclient shared library (default=yes if shared --with-acl-support Include ACL support (default=no) --with-sendfile-support Check for sendfile support (default=yes) --with-winbind Build winbind (default, if supported by OS) make; make install 6/26

4 Mögliche Rollen eines Samba-Servers In NT4-Domänen: Domain Controller (PDC/BDC): Authentifizierung der Nutzer durch Security Account Manager (SAM), gilt dann für die gesamte Domäne. Local (Master) Browser: Hält Liste der im Netz verfügbaren Maschinen vor (NetBIOS-Namen). Rolle des Master Browsers wird im Netz ermittelt (Election) WINS-Server: Domänenunabhängiger NetBIOS-Nameserver -Server kann NT4-PDC, Local Master Browser, Domain Master Browser und primärer WINS-Server sein auf Linux-Server im WWU-LAN/NWZnet deaktivieren! 7/26 Dateien und Dämonen des Samba-Systems smbd bearbeitet die File- und Printerservices (1 TCP/IP-Stream und 1 Dämon pro Client) /usr/sbin/nmbd NETBIOS- und Browsing-Dämon. Antwortet auf NBT-Broadcast-Name-Service-Requests (UDP/IP, nur im Subnetz) und WINS-Requests (optional, TCP/IP: Routing aus dem Subnetz möglich). Nicht erforderlich! Bei Betrieb als WINS-Server: Namen/Adresse-Datenbank wins.dat in {-DIR}/var/locks /etc/samba/smb.conf Zentrale sdatei (s.u.) /etc/samba/smbpasswd Verschlüsselte Passwörter (nur für root bei Active-Directory-Anbindung LDAP/KRB5) /var/log/samba/log.smbd Logfile 8/26

5 Beitritt zur NWZnet-Domäne 1. Schritt: Computerkonto anlegen 9/26 Beitritt zur NWZnet-Domäne 2. Schritt: Samba konfigurieren und Domäne beitreten /etc/krb5.conf anpassen /etc/samba/smb.conf anpassen (s.u.) kinit ymeier (y-account mit Zugriff auf die betr. OU) net ads join optional mit..ou.. AD-(Maschinen)-Key wird lokal abgelegt 10/26

6 smb.conf des Samba-Servers erfolgt über smb.conf (Editieren) Alternative: SWAT (Webinterface) mit Security-Problemen Abschnitte in smb.conf: [global]: Allgemeine sinformationen [homes]: Shares der User-Homeverzeichnisse (z.b. bei NT4-PDC) [Name]: File-Share Name [printers]: Printer-Share für alle printcap-drucker [print$]: Standard-Windows-Freigabe für Druckertreiber etc. nach jeder Änderung an smb.conf: rcsmb restart (Samba neu starten) testparm - testet die und meldet Fehler 11/26 Samba mit YaST konfigurieren Network Services - Samba Server 12/26

7 Samba mit YaST konfigurieren Editieren der smb.conf: smb.conf anschliessend kontrollieren! 13/26 [global] Section ; ist das Kommentarzeichen workgroup = NWZNET ; Domäne oder Workgroup security = ads ; Authentifizierung via Kerberos/AD realm = NWZNET.UNI-MUENSTER.DE ; vgl. krb5- (/etc/krb5.conf) encrypt passwords = yes ; natürlich!! netbios name = bilbo ; Name im NBT Netzwerk (optional) server string = Samba %v on (%L) ; Kommentar in Browser-Listen username map = /etc/samba/smbusers ; (enthält root = Administrator) domain logons = No ; wir wollen keine Logons für die Domäne gewähren! printing = cups ; nutzt CUPS-Druckersystem printcap name = cups printcap cache time = 750 cups options = raw printer admin ; wer darf printer verwalten map to guest = Bad User ; keine guest-logons! include = /etc/samba/dhcp.conf ; Einstellung der WINS-Server ; Browsing preferred master = no ; Samba stösst keine Browser-Election an, ; wenn es sich im Netz meldet local master = no ; versucht nicht, lokaler Master-Browser zu werden ; (im Segment) Default = yes!! domain master = no ; versucht nicht, Domänen-Master-Browser zu werden wins support = no ; arbeitet nicht als WINS-Server os level = 2 ; Für Browser-Elections wichtig (Auswahlkriterium) ; W95 = 1, NT-WS = 17, NT-Server = 33 14/26

8 Alternative security-modes security = share Jede Freigabe hat ein oder mehrere Passwörter der zuvor verbundenen User. Mit guest only im Share erfolgt keine Passwort-Abfrage. security = user Mit jeder Freigabe können User angegeben werden, die sich verbinden dürfen. Validierung erfolgt mit der Liste valid users = im Share und dem lokalen Passwort (UNIX oder SMB). security = server Zur Authentifizierung des Nutzers wird ein SMB-Passwort-Server (NetBIOS-Name) befragt (password server = NetBIOS-Name). Wegen der UNIX-Zugriffsrechte muss der User trotzdem lokal (mit deaktiviertem Passwort) existieren security = domain Volle Integration des Samba-Servers in eine NT4-Domäne. Der PDC liefert ausführliche User-Informationen (z.b. Gruppe, Logon-Zeiten, Account-Ablaufzeit, Profil, Login-Script usw.) 15/26 eines Fileshares Verzeichnis /tmp1/data soll freigegeben werden [data] comment = Data Dir path = /tmp1/data browseable = yes writeable = yes create mask = 0600 read only = No valid users = +q0oc ; der Pfad im Unix-Filesystem ; Share erscheint beim Browsen (Netzwerkumgebung) ; schreibbar ; Dateien werden mit r/w-rechten des Users erzeugt ; ist gleich writeable = yes ; Nur die Gruppe q0oc darf zugreifen 16/26

9 Dateibesitzer unter Linux Bei Anbindung an AD (Kerberos/LDAP) habe die Dateien die korrekten User- und Gruppen-IDs: jolle:/tmp1/data # ll total 5484 drwxrwxrwx 3 root root :09. drwxrwxrwx 4 root root :12.. -rw meier q0mueller :44 50ZAR.tif drwxr-xr-x 2 meier q0mueller :08 hyper7 -rw-r--r-- 1 root root :17 smb.conf jolle:/tmp1/data # 17/26 Server-Tools net: Tool zur Manipulation der Netzwerkfunktionalitäten von Samba net ads join net ads leave net ads user info name net ads user net ads group Beitritt zur Domäne Austritt aus der Domäne Gruppen des Users name Alle User anzeigen Alle Gruppen anzeigen net status sessions net status shares Alle Sitzungen (verbundenen User) anzeigen Alle Sitzungen (benutzte Shares) anzeigen 18/26

10 Server-Tools smbstatus: Netzverbindungen listen smbserver:/etc/samba # smbstatus Samba version SUSE PID Username Group Machine ymeier q0oc ( ) Service pid machine Connected at IPC$ Wed Jul 13 14:44: No locked files 19/26 Drucken... oder auch nicht Drucker freigeben Zur Zeit besser nicht verwenden (cups-samba v6.0 abwarten) smb.conf: printing = cups, printcap name = cups usw. lokales Samba-Root-Passwort erzeugen smbpasswd -a root Cups-Windowstreiber installieren (Download von cupsaddsmb -H Sambaserver Sambaserver\\root -v -a exportiert alle Druckertreiber des CUPS-Systems in die das print$-share Windows-Clients sollten dann den Cups-Treiber lokal installieren können... 20/26

11 Client-Tools client-tools smbclient: FTP-artiger interaktiver Client Verbindung zum Windows-Rechner jolle : meier@samos2:~ > smbclient //jolle/public -U meier -W nwznet Added interface ip= bcast= nmask= Password: Domain=[NWZNET] OS=[Unix] Server=[Samba a] smb: \> ls tca pdf Mon Apr 17 16:16: tca pdf Mon Apr 17 16:16: tca pdf Mon Apr 17 16:16: tca pdf Mon Apr 17 16:16: tca pdf Mon Apr 17 16:16: blocks of size blocks available smb: > quit meier@samos2:~ > Kommandos: put, get, ls, cd usw. 21/26 Client-Tools Mounten von Windows-Shares smbmount: Zur Anbindung von Windows-Shares im Linux-Filesystem kann per pam mount auch beim Login ausgeführt werden smbmount {service} {mount-point} [-o options] bzw. mount -t cifs {service} {mount-point} [-o options] options: krb - benutzt kerberos (AD) username=<arg>, password=<arg> - für den Zugriff auf den Windows-Server workgroup=<arg> - Domäne des Windows-Servers ro, rw - read-only oder read-write Zugriff 22/26

12 Serverdienste konfigurieren mit Yast Systemstart mit Samba (Runlevel 3 und 5) System - System Services (Runlevel) 23/26 Serverdienste konfigurieren mit Yast Problematische Serverdienste (in Auswahl...) 1 Verboten : DHCP Server DNS Server BOOTP Server (NIS Server) 2 Erlaubt, wenn man weiss, was man tut: (NIS Server) NFS Server Apache Webserver FTP Server MySQL Datenbankserver NX Terminalserver 24/26

13 Zusammenfassung Zusammenfassung: Samba im NWZnet Standard-Paket Samba-Server von SuSE zu verwenden Installation und Domänenintegration /etc/samba/smb.conf Voraussetzungen: AD-Konto, krb5-client von Fileshares Zugriff auf Windows-Resourcen 25/26 Zusammenfassung Ende DEMO 26/26