Библиотека знаний - samba

security = ADS

Anonymous (anonymous@undisclosed.example.com) — 2015-09-29T00:13:08+00:00

security = ADS

В этом режиме Samba работает как член домена AD. Для работы в этом режиме, компьютеру, на котором запущена Samba, необходим будет установленный и настроенный Kerberos, и Samba должна быть присоеденина к области AD с использованием утилиты net. Заметим, что этот режим НЕ заставляет Samba работать в качестве доменного контроллера AD.

security = DOMAIN

Anonymous (anonymous@undisclosed.example.com) — 2015-09-29T00:14:18+00:00

samba

security = DOMAIN

Такой режим будет работать только в том случае, если была использована команда net(8) для добавления этого компьютера в домен Windows NT. Это требует установленного параметра encrypted passwords = yes. В этом режиме Samba попытается опознать имя пользователя и пароль, передав их первичному или резервному домен контроллерам Windows NT, т.е. сделает тоже самое, что сделал бы сервер Windows NT. Заметьте, что реальный пользователь UNIX все-таки должен быть, потому что Samba придется проверять права доступа пользователя UNIX (пусть даже и транслированного в другого, прим. перев.), к файлу в файловой системе UNIX. С точки зрения клиента, нет разницы между режимами DOMAIN и USER. Это затрагивает лишь то, как сервер проводит аутентификацию, только и всего. Заметьте, что имя запрошенного ресурса не будет послано серверу до тех пор, пока сервер не аутентифицирует клиента. Именно поэтому гостевые шары не работают в режиме USER, не позволяя серверу преобразовывать неопознанных пользователей в гостей, чтобы сервер аутентифицировал пользователя используются параметр guest account.

Samba 2/3/4 Установка и настройка

Anonymous (anonymous@undisclosed.example.com) — 2024-12-12T01:18:12+00:00

samba, netbios, smb, smbd, nmbd, ad, active directory, server

Samba 2/3/4 Установка и настройка

[global]

client min protocol = SMB2
client max protocol = SMB3

Конфигурация

Основные параметры

security = share - share, user, DOMAIN, SERVER, ADS
guest ok = Yes – для подключения к ресурсу не требуется пароль
guest account [UserName] – указанный пользователь UNIX будет получать доступ к ресурсу
guest only = Yes – разрешить только гостевые соединения к общему ресурсу
available = yes
read only = no
browsable = yes
public = yes
writable = yes – можно записывать и удалять
create mask = 0664 - с этими правами будут создаваться файлы
directory mask = 0755 - с этими правами будут создаваться директории
force user = site - действия будут происходить от этого пользователя
force group = www-data

Переменные

Переменная	Описание
%U	имя пользователя сессии (имя пользователя, которое клиент хотел, не обязательно то же самое как то, которое он получил).
%G	имя основной группы для %U.
%h	Интернет имя хоста где запущена Samba.
%m	NetBIOS имя клиентской машины (очень полезно) Этот параметр недоступен когда Samba слушает на 445 порту, т.к. клиенты больше не посылают эту информацию. Если вы используете этот макрос, то в разделе [global] установите smb ports = 139. Это заставит Самбу не слушать на порту 445 и разрешит, включит функциональные возможности Samba 2.x.
%L	NetBIOS имя сервера. Это позволяет вам изменять вашу конфигурацию под клиента. У вашего сервера может быть «Раздвоение личности».
%M	интернет имя клиентской машины.
%R	Выбранный уровень протокола после протокольных переговоров. Это может быть один из CORE, COREPLUS, LANMAN1, LANMAN2 or NT1.
%d	процесс id текущего процесса сервера.
%a	архитектура удаленной машины. В настоящее время признаются Samba (Samba), the Linux CIFS file system (CIFSFS), OS/2, (OS2), Windows for Workgroups (WfWg), Windows 9x/ME (Win95), Windows NT (WinNT), Windows 2000 (Win2K), Windows XP (WinXP), and Windows 2003 (Win2K3). Остальные определяются как UNKNOWN.
%I	IP адрес клиентской машины.
%i	Локальный IP адрес с которым соединился клиент.
%T	текущая дата и время.
%D	имя домена или рабочей группы для текущего пользователя.
%w	Разделитель winbind
%$(envvar)	значение переменной envar.

Следующие замены применяются только к некоторым вариантам конфигурации (только когда связь была установлена):

Переменная	Описание
%S	имя текушего сервиса для всех.
%P	корневая директория текущего сервиса для всех.
%u	имя пользователя для текущего сервися для всех.
%g	основная группа для %u.
%H	домашняя директория для пользователя %u.
%N	имя вашего NIS сервера домашних директорий. Это получено с вашего NIS auto.map entry. Если вы не компилировали Samba c with-automount опцией, это значение принимается как %L.
%p	путь к сервису домашних директорий, полученный с вашего NIS auto.map entry. NIS auto.map записи разделяются как %N:%p.

Проверка

$ testparm -S
$ smbstatus --shares

WINDOWS (net use)

c:\ net use <driveletter>: \\<server>\<sharename> /USER:<domain>\<username> <password> /PERSISTENT:YES

Список

c:\ net use

Новые подключения будут запомнены.


Состояние   Локальный  Удаленный                 Сеть

-------------------------------------------------------------------------------
OK           K:        \\NAS\User                Microsoft Windows Network

Подключение

c:\ net use k: \\NAS\User

c:\ net use k: \\NAS\User /USER:mirocow pass

Отключение

c:\ net use k: /delete

c:\ net use \\NAS\User /delete

Ошибки

C:\Windows\system32>net use v: \\NAS\User /USER:www-data pass
Системная ошибка 7054.

Число разрешенных подключений к этому компьютеру ограничено, и все подключения в
 данный момент уже используются. Попробуйте подключиться позже или обратитесь к
системному администратору.

smbclient

Параметры

Параметр	Описание
L host	Флаг выводит на экран список сервисов, доступных на сервере, заданном параметром host; при использовании этого флага нет необходимости указывать ресурс
-I IP_address-N	Флаг полезен, если не может быть найден адрес по имени; smbclient полагает, что компьютер расположен по указанному ГР-адресу
-U usemame	Флаг подавляет приглашение password. Особенно полезен, когда доступ к ресурсу осуществляется без пароля. Если этот флаг не установлен, а пароль не требуется, пользователь все же получает приглашение для ввода и должен нажимать клавишу Enter для ввода пустого пароля Используя этот флаг, можно указать username для установки соединения с ресурсом. Без этого флага сервер использует содержимое переменных среды USER или LOGNAME; и если они пустые, сервер не получает username. Отправить пароль к серверу можно, введя знак процента (%) после username, а затем введя пароль: -U username%pas sword Определяет, какая рабочая группа используется при соединении с сервером
-W workgroup-Т taroptions	Позволяет перемещать данные в tar-файл локальной системы Linux и обратно. Например, -Тх backup . tar восстанавливает файлы из backup . tar на удаленном ресурсе, в то время как -Тс backup . tar создает tar-файл с именем backup . tar, содержащий все файлы и каталоги удаленного ресурса
-c 'dir'	Выполняет команды операций с файлами

Команды операций с файлами

Команда	Описание
cd directory	Переход в другой каталог 8MB совместно используемого ресурса
del file	Удаление указанного файла с сервера (также используется команда rm)
dir	Отображение содержимого текущего каталога сервера (также используется команда Is)
get file	Получение указанного файла с удаленного сервера и сохранение его с тем же именем в текущем каталоге локальной системы; можно задать другое имя для файла на локальной системе: getfile localfilename
lcd directory	Переход в указанный каталог на локальной системе
mget filemask	Получение всех файлов на удаленном сервере, удовлетворяющих указанной маске файла
mkdir directory	Создание указанного каталога на удаленном сервере (также используется команда md)
mput filemask	Копирование всех файлов локального каталога, удовлетворяющих указанной маске файла, в текущий каталог удаленного сервера
prompt	Включение/выключение подсказки для операций с несколькими файлами (mput и mget). При задании значения on пользователи получают подсказку при копировании каждого файла
put file	Копирование указанного файла из текущего локального каталога в текущий каталог на удаленном сервере, имя файла остается прежним. Имя файла на удаленном сервере можно изменить: putfile remote filename
quit	Выход из программы smbclient (также используется команда exit)
recurse	Включает/выключает доступ к подкаталогам для операций с несколькими файлами (mput и mget). Когда задано значение on, команда при копировании файлов осуществляет поиск по всем подкаталогам текущего каталога
rm dirdirectory	Удаление каталога с удаленного сервера (также используется команда rd)

Примеры

Посмотреть

$ smbclient -L //NAS/Home -U mirocow%pass -W HOME

$ smbclient -U mirocow%pass //NAS/DISK1 --directory /DOWNLOAD -c 'dir'

$ smbclient -U MIROCOW-PC/mirocow%pass //NAS/User --directory / -c 'dir'

$ smbclient -L //192.168.1.252/C$ -U backuppc%backuppc -W WORKGROUP

Скачать

$ smbclient -U mirocow%pass //NAS/DISK1 --directory /DOWNLOAD -c 'get "Lua.zip"'

Залить

$ smbclient -U mirocow%pass //NAS/DISK1 --directory /DOWNLOAD -c 'put "Lua.zip"'

smbstatus

smbpasswd

Создание нового пользователя:

$ smbpasswd -a User_name

Смена пароля у существующего пользователя:

$ smbpasswd User_name

Удаление существующего пользователя:

$ smbpasswd -x User_name

Приостановить действие учетной записи без удаления:

$ smbpasswd -d User_name

Возобновить действие учетной записи:

$ smbpasswd -e User_name

Подключение данного компьютера к существующему домену:

$ smbpasswd -j Domain_name -U Administrator_name

smbclient

Ошибки

tree connect failed: NT_STATUS_ACCESS_DENIED

Документация

Ссылки

security = SERVER

Anonymous (anonymous@undisclosed.example.com) — 2015-09-29T00:14:45+00:00

samba

security = SERVER

В этом режиме Samba попытается определить правильность пары пользователь/пароль, передав ее другому серверу SMB, такому как NT. Если это не получится, будет работать security = USER. Шифрованные пароли (см. encrypted passwords) также могут быть использованы в этом режиме (конечно удаленный сервер должен поддерживать их). Тем не менее, если на этапе согласования параметров соединения, Samba уже НЕ сможет вернуться к режиму проверки файла паролей UNIX, у нее должен быть файл smbpasswd, в котором она и будет проверять пользователей. Как это сделать? — см Samba HOWTO Collection. Замечание. В зтом режиме есть серьезные недостатки, потому что он уязвим для атак посредника (man-in-the-middle) и подмене сервера. В частности, этот режим работы может вызвать значительно потребление ресурсов первичного контроллера домена, т.к. должен обслуживать активное соединение все то время пока оно активно. Более того, если соединение потеряно, нет вариантов переподключиться и будущие аутентификации могут провалиться (от одного клиента, пока он не отсоединится). Замечание. С точки зрения клиента, нет разницы в режимах SERVER и USER. Это затрагивает лишь то, как сервер проводит аутентификацию, только и всего. Заметьте, что имя запрошенного ресурса не будет послано серверу до тех пор, пока сервер не аутентифицирует клиента. Именно поэтому гостевые учетки не работают в режиме USER, не позволяя серверу преобразовывать неопознанных пользователей в гостей.

security = SHARE

Anonymous (anonymous@undisclosed.example.com) — 2017-02-19T01:30:41+00:00

samba

security = SHARE

Устарело с версии 3.x

Когда клиенты присоединяются к ресурсу с security = SHARE им не нужно регистрироваться с использованием действительного имени пользователя и пароля (хотя современные клиенты Windows 95/98 и Windows NT посылают запрос на вход в систему с именем пользователя без пароля, когда подсоединяются к серверу, находящемуся в режиме SHARE). Вместо этого, клиенты посылают информацию аутентификации (пароли) на конкретный ресурс, в тот момент, когда хотят получить доступ к этому ресурсу. Заметьте, что smbd ВСЕГДА использует реального пользователя UNIX, когда обслуживает клиента, даже если установлено security = SHARE. Т.к. в режиме SHARE от пользователя не требуется посыла его имени, smbd использует несколько приемов для определения пользователя UNIX.

Список предполагаемых имен пользователей UNIX и соответствующих им паролей определяется следующим образом: Если установлен параметр guest only, тогда все остальные сценарии пропускаются и используется только имя гостевой учетки (guest account).

Если имя пользователя послано вместе с запросом на установление соединения после сопоставления (см. username map), добавляется в список. Если клиент выполнял запрос logon (вызов SessionSetup SMB), тогда имя пользователя, использовавшееся в этом вызове будет добавлено в список.

Имя сервиса, которое запросил клиент, будет добавлено в список. NetBIOS имя клиента добавляется в список. Все пользователи из списка пользователей добавляются в этот список.

Если параметр guest only не установлен, тогда этот список пользователей обрабатывается с соответствующими паролями. Первый пользователь, пароль которого совпадет с реальным будет использован в качестве действующего пользователя UNIX.

Если параметр guest only установлен или не найдено подходящего имени пользователя, тогда, если Samba разрешено "принимать гостей" (usershare allow guests), будет использоваться гостевая учетка, в противном случае доступ будет запрещен.

Заметьте, что при использовании уровня безопасности SHARE может быть очень сложно определить какой же пользователь UNIX будет использован в конечном счете.

Sabma 2 config

Anonymous (anonymous@undisclosed.example.com) — 2017-02-18T05:37:33+00:00

samba, smb.conf

Sabma 2 config

[global]
#dos charset = CP866
#unix charset = CP1251
#display charset = CP1251

unix charset = UTF-8
dos charset = CP866
display charset = UTF-8

workgroup = HOME
netbios name = zotac
server string = ZOTAC Server
security = share # share, user, 
browseable = yes
#browseable = yes [sh] path = /home/sh
guest ok = no
load printers = No
dns proxy = No
guest account = nobody # Назначает всех входящих пользователем nobody

log file = /var/log/samba/%m.log
max log size = 50

#os level = 33
#wins support = yes
#reate mask = 0777 directory mask = 0777 # (\\server\sh не существует !!!!) browseable = yes
#force user = nobody

# Execute windows files
acl allow execute always = true


[WWW]
path = /var/www
comment = mediafiles
create mask = 0664
directory mask = 0777
guest ok = Yes
available = yes
read only = no
browsable = yes
public = yes
writable = yes

[Log]
path = /var/log
comment = mediafiles
create mask = 0444
directory mask = 0777
guest ok = Yes
available = yes
read only = no
browsable = yes
public = yes
writable = yes

[Backup]
path = /mnt/sdb
comment = Backup files
create mask = 0664
directory mask = 0777
guest ok = Yes
available = yes
read only = no
browsable = yes
public = yes
writable = yes

Sabma 3 config

Anonymous (anonymous@undisclosed.example.com) — 2017-02-18T14:05:15+00:00

samba, smb.conf

Sabma 3 config

$ testparm -S

[global]
security = user
workgroup = HOME
server string = NAS Server
guest account = nobody
map to guest = Bad User
os level = 99
load printers = No

#dos charset = CP866
#unix charset = CP1251
#display charset = CP1251
#unix charset = UTF-8
#dos charset = CP866
#display charset = UTF-8
#workgroup = HOME
#netbios name = nas
#server string = NAS Server
#security = share # share, user,
#security = user
#browseable = yes
#browseable = yes [sh] path = /home/sh
#guest ok = no
#load printers = No
#dns proxy = No
#guest account = nobody # Назначает всех входящих пользователем nobody
#log file = /var/log/samba/%m.log
#max log size = 50
#os level = 99
#wins support = yes
#reate mask = 0777 directory mask = 0777 # (\\server\sh не существует !!!!) browseable = yes
#force user = nobody
acl allow execute always = true

[DISK1]
path = /mnt/1
comment = mediafiles
create mask = 0664
directory mask = 0775
guest ok = Yes
available = yes
browsable = yes
public = yes
writable = yes

[DISK2]
path = /mnt/2
comment = mediafiles
create mask = 0664
directory mask = 0775
guest ok = Yes
available = yes
browsable = yes
public = yes
writable = yes

[homes]
comment = Home Directories
browseable = no
writable = yes
smb passwd file = /etc/samba/smbpasswd
passwd chat = *New*UNIX*password* %n\n *ReType*new*UNIX*password* %n\n *passwd:*all*authentication*tokens*updated*successfully*
null passwords = no
encrypt passwords = yes
winbind trusted domains only = yes
passwd program = /usr/bin/passwd %u
unix password sync = Yes

Sabma 4 config

Anonymous (anonymous@undisclosed.example.com) — 2017-12-16T23:31:35+00:00

samba, smb.conf

Sabma 4 config

$ testparm -S
$ adduser share

# Global parameters
[global]
        server string = %h NAS Server
        workgroup = HOME
        os level = 99
        log file = /var/log/samba/log.%m
        max log size = 1000
        panic action = /usr/share/samba/panic-action %d
        usershare allow guests = Yes
        load printers = No
        name resolve order = wins host bcast
        map to guest = Bad User
        obey pam restrictions = Yes
        pam password change = Yes
        passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
        passwd program = /usr/bin/passwd %u
        security = USER
        server role = standalone server
        unix password sync = Yes
        username map = /etc/samba/smbusers
        dns proxy = No
        wins support = Yes
        idmap config * : backend = tdb
        acl allow execute always = Yes
        invalid users = root bin daemon adm sync shutdown halt mail news uucp operator

[User]
        comment = Home Directories
        path = /home/%U
        read only = No
        valid users = %U

[Home]
        path = /home
        comment = Home Directories
        valid users = share
        read only = no
        browseable = yes
        available = yes
        create mask = 0664
        directory mask = 0775
        force user = share
        force group = share

[DISK1]
        comment = mediafiles
        path = /mnt/1
        create mask = 0664
        directory mask = 0775
        guest ok = Yes
        read only = No


[DISK2]
        comment = mediafiles
        path = /mnt/2
        create mask = 0664
        directory mask = 0775
        guest ok = Yes
        read only = No

security = USER

Anonymous (anonymous@undisclosed.example.com) — 2015-09-29T00:15:15+00:00

samba

security = USER

Это значение по умолчанию в Samba 3.0. При этом, клиент должен сначала произвести вход (logon), с существующим именем пользователя и паролем (имя может быть транслировано с помощью параметра username map). Шифрованные пароли (см. encrypted passwords) также могут быть использованы в этом режиме. Такие параметры, как user и guest only, если они установлены на ресурс, могут поменять значение пользователя UNIX, который будет использоваться в конечном счете, НО только после того как пользователь успешно пройдет аутентификацию. Заметьте, что имя запрошенного ресурса не будет послано серверу до тех пор, пока сервер не аутентифицирует клиента. Именно поэтому гостевые учетки не работают в режиме USER, не позволяя серверу преобразовывать неопознанных пользователей в гостей.