Linux als NT 4.0 Server Eine echte Alternative?

Transkript

1 Linux als NT 4.0 Server Eine echte Alternative? Themenübersicht: - Vorwort - Grundsätzliches - Das Netzwerkkonzept - Installation von Samba und Beschreibung der Samba Tools - Konfiguration des Linux Systems - Fazit - Quellen Vorwort Mit dieser Dokumentation möchte ich erkären, wie ein Samba Server als NT 4.0 Server agiert. Damit dieses Verfahren verstanden werden kann, sollte man auf jeden Fall schon an NT 4.0 Server und NT 4.0 Workstation gearbeitet haben. Ebenso setzte ich hier die Grundkenntnisse von Linux voraus. In dieser hier vorliegenden Dokumentation wird "nur" die SuSE Distribution beschrieben, was nicht heißen soll, daß ich andere Distributoren damit abwerten möchte. Ich habe es einfach nur mit dieser Distribution ausprobiert. Die verwendete Samba Version war 2.05a, die standardmäßig bei SuSE 6.2 mitgeliefert ist. Nach Möglichkeit sollten keine frühere Version verwendet werden, da die Implementierung von Samba als NT PDC noch nicht komplett zu Ende entwickelt ist. Das soll allerdings nicht bedeuten das Samba als NT 4.0 nicht geeignet ist. Samba ist voll funktionsfähig um einen NT Server darzustellen. (Siehe dazu auch das Fazit) Einiges in dieser Dokumentation ist wahrscheinlich schon in vorigen Kapiteln beschrieben worden, allerdings werde ich hier nochmal KURZ darauf eingehen. Auf Druckerfreigabe möchte ich nicht noch extra eingehen, da sie nicht direkt zu diesem Thema gehört. Außerdem ist sie im Prinzip genauso zu behandeln, wie die anderen Resourcenfreigaben. Grundsätzliches Samba ist ein Server, der auf dem SMB (Server Message Block) Protokoll aufbaut. SMB ist das Herzstück, um Dateien und Drucker mit anderen Benutzern zu teilen. Dieses Protokoll baut auf NetBIOS auf, um die Namen einzelner Rechner innerhalb eines Netzes zu verwalten. NetBIOS ist ein Protokoll mit dem es ermöglicht wird anhand der Netzwerkkartenadresse den Rechner einen Namen zuzuweisen. NetBIOS wird auch mit dem TCP/IP Protokoll in Kombination verwendet (NBT), um Namensauflösung innerhalb eines Netzes zu betreiben. Um Samba nutzen zu können, muß das SMB Protokoll von den entsprechenden Betriebssystemen unterstützt werden, was heutzutage standardmäßig der Fall ist. Damit jeder

2 auf die geteilten Dateien (shared files) der Benutzer zugreifen kann, gibt es verschiedene Zugriffsrechten auf die ich später noch eingehen werde. Das Netzwerkkonzept In diesem Beispiel habe ich ein einfaches Netz aufgebaut, welches aus einem Linux Rechner, diverse Windows NT 4.0 WKS und Windows 95/98 Rechner bestand. Es ist also nur ein Server vorhanden der später als PDC laufen soll. Falls mehrere Server in einem Netz laufen sollten, ist es zusätzlich möglich "Vertraute Domainen" einzurichten. Nähere Informationen sind in der Manpage zu smb.conf zu finden. Installation von Samba und Beschreibung der Samba Tools Ok, jetzt haben wir genug über die grundsätzlichen Dinge gesprochen und legen richig los. Als erstes muß natürlich das aktuellste Samba Paket installiert sein. Vorher sollte allerdings noch festgestellt werden, ob das TCP/IP Protokoll korrekt installiert ist. Weiterhin sollte darauf geachtet werden, daß in der Datei /etc/rc.config der Parameter START_SMB auf YES nach der Installation des Paketes gesetzt ist, damit der Samba-Dämon smbd gestartet wird. Um sicherzustellen, daß sich bei der Konfiguration keine Fehler in der smb.conf eingeschlichen haben, gibt es das Programm testparm, welches die vorhandene Konfiguration auf ihre Richtigkeit überprüft. Mit smbclient -L localhost können Sie lokal prüfen ob alle gewünschten Resourcen auch freigegeben sind. Konfiguration des Linux Systems Wir legen eine neue Gruppe am Besten mit dem Namen "samba" an. In dieser Gruppe werden später alle User eingetrgen, die auf Samba zugreifen sollen. Es wird ebenfalls der root User in die Gruppe "samba" eingetragen. Danach müssen einige Verzeichnisse angelegt werden, damit Samba vollständig als PDC agiert. Wir befinden uns auf / sind mit root angemeldet und gehen wir wir folgt vor: mkdir samba # Samba Verzeichnis wird erstellt chgrp samba /samba # Änderung der Gruppenzugriffsrechte chmod 755 /samba # Änderung der Rechte lesen, schreiben, ausführen chmod 755 /cdrom # Änderung der Rechte lesen, schreiben, ausführen für das CDROM, wenn diese Rechte noch nicht vorhanden sind cd samba # Verzeichnis wird gewechselt

3 mkdir daten1 # Daten Resource 1 mkdir daten2 # Daten Resource 2 mkdir profiles # Profiles Verzeichnis für die Kopien der Benutzerprofile mkdir netlogon # Anmelde-Resource (Hat dieselbe Funktion, wie unter NT) chgrp samba * # Änderung der Gruppenzugriffsrechte sämtlicher Verzeichnisse (daten1, daten2, profiles, netlogon) chmod 770 * # Änderung der Rechte lesen, schreiben, ausführen sämtlicher Verzeichnisse (daten1, daten2, profiles, netlogon) Das war schon der erste Schritt! Jetzt haben wir alle benötigten Verzeichnisse auf denen wir später arbeiten können. Nun folgt das Samba Config File. Datei: /etc/smb.conf [global] # Alle Angaben betreffen die ganzen Samba Resourcen. workgroup = DATA # Das ist die DOMÄNE, in der wir uns später anmelden. keep alive = 30 # Prüft alle 30 Sekunden, ob noch eine Client Verbindung besteht. security = user # Sicherheitsüberprüfung befindet sich auf der User Ebene. Es muß also ein Benutzername und ein Benutzerkennwort angegeben werden. logon script = netlogon.bat # Dateiname der auszuführenden Anmeldedatei. logon path = \\%L\profiles\%U # Pfad zum Profiles Verzeichnis. # %L ist des NetBIOS Name des Samba Servers. # %U ist der Benutzername. domain logons = yes # Domänenlogons werden erlaubt. domain master = yes # Aktiviert das WAN-Weite Browsing encrypt passwords = yes # Passwörter werden verschlüsselt. [netlogon] # Freigabename "netlogon" comment = Netlogon-Resource # Detailliertere Beschreibung der freigegeben Resource path = /samba/netlogon # Pfad des "netlogon" Verzeichnis browseable = yes # Die Resource kann durch einen Suchdienst gefunden werden.

4 writable = no # Generell ist das Schreiben verboten # Damit die Datei netlogon.bat erstellt werden kann, muß kurzeitig die Option gesetzt werden, oder # es muß der Parameter write list = root gesetzt werden, damit nur der root User permanent schreiben kann. # Hinweis: Die netlogon.bat muß mit einem DOS-Editor geschrieben werden. [profiles] path = /samba/profiles browseable = no create mask = 700 # Wenn neue Dateien erstellt wurden, dann erhalten sie alle Rechte (lesen, schreiben, ausführen) für den Besitzer. directory mask = 700 # Wenn neue Verzeichnisse erstellt wurden, dann erhalten sie alle Rechte (lesen, schreiben, ausführen) für den Besitzer. [alles] # Freigabename alles comment = Alles auf Linux path = / valid users = root # Alle User, die in diesem Fall auf die Resource zugreifen dürfen. browseable = no # Generell ist das Schreiben erlaubt create mask = 0700 # Wenn neue Dateien erstellt wurden, dann erhalten sie alle Rechte (lesen, schreiben, ausführen) für den Besitzer und der Gruppe. # Diese Angabe ist besonders wichtig, da sonst nur der Ersteller volle Rechte auf die erstellten Dateien hat. directory mask = 0700 # Wenn neue Verzeichnisse erstellt wurden, dann erhalten sie alle Rechte (lesen, schreiben, ausführen) für den Besitzer und der Gruppe. # Diese Angabe ist besonders wichtig, da sonst nur der Ersteller volle Rechte auf die erstellten Verzeichnisse hat. [daten1] comment = Daten-Resource path = /daten1 valid users # Alle User in der Gruppe samba, die in diesem Fall auf die Resource zugreifen dürfen. Der Gruppenzugriff wird durch # gekennzeichnet. browseable = yes create mask = 0770 directory mask = 0770

5 [daten2] comment = Daten-Resource path = /daten2 valid users browseable = yes create mask = 0770 directory mask = 0770 [cdrom] comment = Linux CD-ROM path = /cdrom valid users writable = no locking = no Alle Zeilen die mit einer Raute (#) beginnen stellen bloß Kommentare dar, die ansonsten nichts weiter zur Sache tun. Wir haben jetzt eine Resource (alles), in der der root User alle Rechte auf dem ganzen System hat. Weiterhin haben wir die Resourcen (daten1, daten2, profiles und netlogon) auf der nur User zugreifen können, die sich in der Gruppe "samba" befinden. Jetzt müssen wir nur noch User anlegen, damit auf der Domäne DATA zugegriffen werden kann. Vorher muß allerdings noch die Passwortdatei smbpasswd erstellt werden, in der alle verschlüsselten Passwörter stehen. Mit dem Befehl cat /etc/passwd mksmbpasswd.sh > /etc/smbpasswd wird diese Datei erstellt. Danach werden wir die User anlegen, die auf die Domäne Zugriff haben. Jetzt erstellen wir erstmal 1 User, der sich in der Gruppe samba befinden soll. Dabei darf er sich nicht lokal an dem Linux Rechner anmelden können. useradd -g samba -s /bin/false user1 Der User wurde erstellt und wir haben ihm das Recht gegeben sich anmelden zu dürfen. Damit wird er aber nicht viel Erfolg haben, da er noch kein Passwort besitzt. Mit folgendem Befehl erteilen wir ihm ein verschlüsseltes Passwort: smbpasswd -a -e user1 Danach erscheint eine Aufforderung zur Passworteingabe. Jetzt wäre es sinnvoll ein sogenanntes Übergangspasswort zu erteilen, wie z.b. "anmeldung". Dieses Passwort wird dem User mitgeteilt, der sich zum ersten Mal an der Domäne anmeldet. Daraufhin sollte der User es selber wieder ändern, damit die Sicherheit des Netzes nicht gefährdet wird. Alternativ könnte man auch überhaupt kein Passwort mit dem Befehl smbpasswd -a -n -e user1 erstellen was allerdings nicht sehr empfehlenwert ist. So, jetzt sind wir soweit, daß sich alle Windows95/98 Rechner an der Domäne DATA anmelden können. Ein Problem haben wir allerdings noch! Windows NT 4.0 Rechner müssen, um sich in einer NT Domäne erfolgreich

6 anmelden zu können, in der entsprechenden Domäne integriert werden. NT User werden es wahrscheinlich gewohnt sein, sich von der WKS aus in die Domäne zu integrieren. Dieses ist leider noch nicht in Samba implementiert (folgt aber bestimmt noch ;-)). Um sich erfolgreich in die Domäne zu integrieren geben wir folgendes ein: useradd -s /bin/false RECHERNAME$ smbpasswd -a -m RECHNERNAME$ Bei der Angabe des Rechnernamens muß ein $ Zeichen stehen. Nun muß über Windows NT der Rechner nur noch integriert werden (Netwerkumgebung -> Eigenschaften -> Ändern -> Domäne = DATA -> OK). So damit sollte alles abgeschlossen sein, um sich komplett anmelden zu können. Damit aber auch beim anmelden alle Netzlaufwerke sofort zur Verfügung stehen muß noch die netlogon.bat erstellt werden, die wie folgt aussieht: Datei: netlogon.bat net use f: \\name_des_samba_server\alles net use g: \\name_des_samba_server\daten1 net use h: \\name_des_samba_server\daten2 net use i: \\name_des_samba_server\cdrom