Samba

Úvod

SMB protokol

• 137/UDP pro rozlišení jmen (name resolving) a registraci
• 138/UDP pro prohlížení (browsing)
• 139/TCP pro sdílení souborů a tiskáren (sharing)

• SMB je orientován na spojení (connection oriented) a klient uchovává stav spojení
• NFS je bezstavový
• SMB je špatně dokumentovaný a dokumentace vzniká teprve z existujících implementací
• NFS je dobře dokumentovaný

Bezpečnost

• Share level. Zabezpečení dat probíhá na serveru na úrovni sdílených prostředků. Každý tento sdílený prostředek může mít svoje heslo a po jeho zadání může klient přistupovat ke všem souborům v tomto sdíleném prostředku.
• User level. Zabezpečení probíhá na úrovni jednotlivých souborů v každém sdíleném prostředku a je založeno na uživatelských přístupových právech k danému souboru. Každý uživatel (klient) se musí přihlásit na server. Po autentizaci dostane klient identifikační číslo UID, které musí používat při veškeré další komunikaci se serverem.

• Workgroup, čili pracovní skupina, je soubor počítačů, z nichž každý si uchovává své vlastní bezpečnostní informace. Bezpečnost je zde tedy distribuovaná. Např. ve Windows for Workgroups pracuje každý server v bezpečnostní úrovni "share". Ve Windows 95/98 lze již ale autentizaci uživatele delegovat na NT server.
• Domain, čili doména, je soubor počítačů, ve kterém je bezpečnost spravována centrálně. Každá doména má jednoho či více správců domény (domain controller) a zpravidla existuje jeden primární správce a několik záložních. Správce domény udržuje informace o účtech uživatelů (klientů) jako jsou např. názvy účtů, šifrovaná hesla, doby aktivního užívání, skupiny, do kterých uživatelé náležejí atd.

• samostatný server. Je třeba pouze zřídit lokální účty uživatelů. Počítače, které chtějí použít tento server, nemusejí provádět přihlášení do domény, uživatelé se přihlásí pouze lokálně do systému Windows.
• člen domény MS Windows NT.
• správce domény MS Windows NT.

• MD4 hash z UNICODE řetězce hesla. Tento způsob je znám jako NT hash.
• Heslo převedeno na velká písmena, zkráceno nebo doplněno na 14 bytů, dále je tento řetězec prodloužen o 5 NULL znaků a rozdělen na dva 56bitové DES klíče, kterými je zašifrováno magických 8 bytů. Výsledných 16 bytů se označuje jako LanMan hash.

Součásti balíku Samba

Instalace

Konfigurace

#======================= Globální nastavení =====================================
[global]

# jméno pracovní skupiny nebo domény
workgroup = MYGROUP

# přístup pouze z těchto podsítí
hosts allow = 10.0.0. 127.

# info o tiskárnách
printcap name = /etc/printcap
load printers = yes

# přístupová práva tohoto uživatele budou použity ve sdílení s 'public = yes'
guest account = ftp

# podrobnosti viz man smb.conf
security = user

# zvláštní log pro každý přistupující počítač, %m se expanduje do jména počítače
log file = /var/log/samba/%m.log

# certifikát, pokud je Samba zkompilovaná s podporou SSL
ssl CA certFile = /usr/share/ssl/certs/ca-bundle.crt

# lze vytvořit samostatnou konfiguraci pro každý přistupující stroj
include = /etc/samba/smb.conf.%m

#============================ Definice sdílení ==============================

# zpřístupní domovské adresáře jako //computername/username
[homes]
comment = Home Directories

# sdílení nebude viditelné při prohlížení
browseable = no

# uživatelé mohou zapisovat
# stejné jako 'read only = no'
writable = yes

# zpřístupní tiskárny
[printers]
comment = All Printers

# tisková fronta
path = /var/spool/samba

browseable = no

# umožní uživatelům zapisovat požadavky do tiskové fronty
printable = yes

# zpřístupní /tmp všem bez hesla
[tmp]
comment = Temporary file space
path = /tmp
read only = no

# bez hesla, přístupová práva uživatele z volby 'guest account'
public = yes

Samba jako člen NT domény

encrypt passwords = Yes
security = domain
workgroup = "name of NT domain"
password server = *

• Do správce příslušné MS Windows NT domény je třeba pomocí Server Manageru přidat účet pro Sambu.
• V UNIXu je třeba provést: smbpasswd -r PDC_NAME -j DOMAIN_NAME

Samba jako autentizační server

[global]
	encrypt passwords = Yes
	security = user
	domain logons = Yes
	; an OS level of 33 or more is recommended
	os level = 33

[NETLOGON]
	path = /somewhere/in/file/system
	read only = yes

# useradd -s /bin/bash -d /home/"userid" -m
# passwd "userid"
  Enter Password: *****
# smbpasswd -a "userid"
  Enter Password: *****

# useradd -a /bin/false -d /dev/null "machine_name"\$
# passwd -l "machine_name"\$
# smbpasswd -a -m "machine_name"

Zdroje