Журнал LinuxFormat - перейти на главную

LXF123:Samba

Материал из Linuxformat
Перейти к: навигация, поиск
Подписка на печатную версию
Весь 2015 год (12 номеров)
Первое полугодие (6 номеров)
Второе полугодие (6 номеров)
Подписка на электронную версию
Весь 2015 год (12 номеров)
Первое полугодие (6 номеров)
Второе полугодие (6 номеров)
Подшивки старых номеров журнала (печатные версии)
Весь 2014 год (12 номеров)
Первое полугодие (6 номеров)
Второе полугодие (6 номеров)
Samba в домене AD Поможем интегрировать ваши компьютеры в гетерогенной сети

Содержание

Samba: Linux и Active Directory

Часть 1: Многие современные дистрибутивы интегрируются с AD «из коробки», но хороший администратор должен понимать, что происходит «за кулисами». Алекcандр Фахрутдинов расскажет обо всем в подробностях.

Протокол SMB (Server Message Block) – основной способ сетевого взаимодействия между Windows-машинами. Его главная функция – предоставление доступа к файлам и каталогам на удаленном сервере (организация сетевой файловой системы), а также удаленная печать. Кроме того, SMB обеспечивает синхронизацию времени и некоторые другие возможности.

С момента своего создания и по сей день SMB/CIFS является основным протоколом, который используют ОС семейства Windows для сетевого взаимодействия, но это не значит, что все эти годы он оставался неизменным. Теоретически, современная реализация SMB обратно совместима со всеми предыдущими версиями. Однако настройка этой совместимости часто взывает у системных администраторов проблемы даже в том случае, когда и клиентская, и серверная ОС – это Windows. Как правило, все сводится к тому, что пользователь Windows 98 не может «зайти» на ПК с Windows XP, какие бы данные ни указывались в диалоге для ввода имени и пароля. А дело в том, что Windows 98 и Windows XP (по умолчанию) используют разные схемы аутентификации.

Впрочем, при настройке доступа через SMB на Linux-сервер с установленным пакетом Samba возникают не меньшие проблемы. Документация на официальном сайте достаточно подробна, но, к сожалению, содержит мало сведений об устранении возникающих неполадок. Поэтому пользователь, в большинстве случаев, остается один на один с выложенными в Сети HOW-TO, которые на полноту изложения тоже не претендуют. Мы постараемся описать специфику SMB, а затем – те настройки Windows и Samba, которые влияют на их взаимодействие по сети.

Методы аутентификации

Важнейшую часть протокола SMB составляют методы аутентификации. Именно их несогласованность на сторонах клиента и сервера является причиной большинства проблем при сетевом доступе. Различают четыре основных метода:

  1. Открытым текстом Пароль пересылается по сети в незашифрованном виде; по этой причине использование данного типа аутентификации крайне нежелательно. Такой метод применялся в клиентах MS-DOS, а также в старых версиях Windows NT, и отключен по умолчанию в Windows 95 и выше (для его включения необходимо редактировать реестр). В Windows 2000 и выше аутентификацию открытым текстом можно активировать и через локальные политики безопасности (надо установить переключатель «Посылать незашифрованный пароль сторонним SMB-серверам» в «Да»). Старые версии Samba также использовали аутентификацию открытым текстом; в текущих пароль шифруется. Это можно отключить, указав encrypted password = false в файле smb.conf.
  2. Методом LM (LAN Manager) Он используется в Windows 95/98. Здесь возможны проблемы с доступом к ресурсам, обслуживаемым Windows NT 4.0 SP3 и выше. При их возникновении следует установить параметр «Уровень проверки подлинности LAN Manager» в положение «Отправлять LM и NTLM ответы» в локальных политиках безопасности на Windows-сервере. Samba допускает аутентификацию по протоколу LM по умолчанию.
  3. Методом NTLM Технология появилась в Windows NT 3.5 и успешно применяется и по сей день в Windows 2000 и выше, правда, в переработанном виде (NTLMv2). Является методом по умолчанию в рабочих группах Windows. Windows 95/98 поддерживают ее после установки клиента Directory Services. Samba также поддерживает NTLMv2.
    NTLMv2 относится к схемам типа «запрос–ответ». При этом сервер аутентификации не хранит паролей ни в открытом, ни в зашифрованном виде – он знает только их хэши. По сети же не пересылается не только пароль, но даже хэш пароля.
  4. Через службу Kerberos Kerberos является мощной системой, обеспечивающей аутентификацию и авторизацию пользователей, а также шифрование внутрисетевого трафика. Он используется в домене Active Directory (AD). Samba, начиная с версии 3, может быть полноценным клиентом домена AD и использовать все преимущества Kerberos. Однако она не может выступать в роли контроллера домена AD: эта функция доступна только разрабатываемой Samba 4.

В сети Kerberos можно выделить три основных агента: это клиент, центр выдачи квитанций (KDC – Key Distribution Center) и сервер авторизации. Если описывать процессы в системе упрощенно, то при входе в сеть клиент обращается к центру выдачи квитанций, предоставляя свои имя и пароль. Если учетные данные верны, то KDC выдает ему квитанцию на доступ к серверу авторизации. Последний проверяет, разрешен ли клиенту доступ к ресурсу, и, если ответ положителен, выдает клиенту квитанцию на доступ к ресурсу.

Все описанные выше методы аутентификации можно свести в таблицу (рис. 1).

Kerberos в среде AD

При работе с системой Kerberos необходимо иметь в виду два момента: во-первых, вместо привычных комбинаций «имя пользователя–пароль» используются квитанции; во-вторых, если расхождение часов клиента и сервера составляет больше нескольких минут, то последний признает квитанцию недействительной и отказывает клиенту в соединении. В таком случае Windows XP, например, покажет окно для ввода имени и пароля. Стоит ли говорить, что какие бы реквизиты вы ни ввели, доступ к серверу все равно не получите? Впрочем, иногда Windows ведет себя более гуманно и просто показывает сообщение о том, что доступ запрещен.

Предположим, вам необходимо организовать файл-сервер под управлением Linux в домене AD. Linux в качестве файл-сервера имеет перед своими Windows-аналогами несколько существенных преимуществ: Windows Server 2003/2008 Standard Edition стоит около $800, а Linux-сервер бесплатен; кроме того, служба удаленного вызова процедур из Samba не подвержена атакам вирусов типа Conficker-Kido.

Как уже говорилось, Samba 3 поддерживает полноценную работу в качестве члена домена. Остается только отредактировать файл smb.conf, и файл-сервер готов...

Примерно так думают многие пользователи, не представляя, что для правильной настройки Samba надо хоты бы в общих чертах представлять, как функционирует домен AD. Позволим себе сделать небольшое отступление и пояснить, какие сетевые службы входят в состав Active Directory и как они взаимодействуют.

Основу AD составляют четыре службы, или, если угодно, технологии:

  • Служба доменных имен DNS
  • Служба каталога LDAP
  • Протокол SMB
  • Служба Kerberos

Хотя все они функционируют в составе домена, к каждой из них можно обращаться как к самостоятельному сервису. Так, DNS-запросы