Administração de Redes SAMBA Rafael S. Guimarães IFES - Campus Cachoeiro de Itapemirim Baseado no material de João Paulo de Brito Gonçalves
SAMBA
SAMBA A finalidade do serviço Samba é permitir que estações Linux e Windows compartilhem recursos entre si em uma rede. Através do Samba, o Linux pode servir clientes Windows, tornando-se:
SAMBA A finalidade do serviço Samba é permitir que estações Linux e Windows compartilhem recursos entre si em uma rede. Através do Samba, o Linux pode servir clientes Windows, tornando-se:
SAMBA A finalidade do serviço Samba é permitir que estações Linux e Windows compartilhem recursos entre si em uma rede. Através do Samba, o Linux pode servir clientes Windows, tornando-se: Servidor de arquivo
SAMBA A finalidade do serviço Samba é permitir que estações Linux e Windows compartilhem recursos entre si em uma rede. Através do Samba, o Linux pode servir clientes Windows, tornando-se: Servidor de arquivo Servidor de impressão
SAMBA A finalidade do serviço Samba é permitir que estações Linux e Windows compartilhem recursos entre si em uma rede. Através do Samba, o Linux pode servir clientes Windows, tornando-se: Servidor de arquivo Servidor de impressão Servidor de autenticação e autorização
SAMBA A finalidade do serviço Samba é permitir que estações Linux e Windows compartilhem recursos entre si em uma rede. Através do Samba, o Linux pode servir clientes Windows, tornando-se: Servidor de arquivo Servidor de impressão Servidor de autenticação e autorização Servidor de nomes Windows
SAMBA
SAMBA O Samba foi criado em 1992 por Andrew Tridgell e atualmente é mantido por uma equipe onde a maioria é de desenvolvedores voluntários. O Samba, tendo em vista suas funcionalidades acima, possui uma interação praticamente completa com estações de trabalho Windows.
SAMBA
SAMBA O Servidor Linux pode atuar como Controlador de Domínio Primário - PDC -, tarefa até então exclusiva do Windows NT e dos Windows Server, permitindo abrigar as contas de usuários, com suas respectivas senhas, de forma que clientes Windows possam ser autenticados, antes de utilizarem os recursos da rede.
SAMBA
SAMBA O arquivo de configuração do Samba é o smb.conf. Por padrão, este arquivo se encontra no diretório /etc/samba e pode ser editado diretamente usando o editor de texto puro de sua preferência.
SAMBA O arquivo de configuração do Samba é o smb.conf. Por padrão, este arquivo se encontra no diretório /etc/samba e pode ser editado diretamente usando o editor de texto puro de sua preferência. O arquivo smb.conf é dividido em seções, onde cada seção é identificada por um identificador único cercado por colchetes ( [ ] ), onde cada seção define as características individuais de cada diretório ou de impressora compartilhados.
SAMBA O arquivo de configuração do Samba é o smb.conf. Por padrão, este arquivo se encontra no diretório /etc/samba e pode ser editado diretamente usando o editor de texto puro de sua preferência. O arquivo smb.conf é dividido em seções, onde cada seção é identificada por um identificador único cercado por colchetes ( [ ] ), onde cada seção define as características individuais de cada diretório ou de impressora compartilhados. Entre cada seção e outra, existem diretivas definidas por palavras-chaves seguidas do sinal de igual (=) e o seu valor na sequência. Para se desabilitar uma diretiva ou criar um comentário, simplesmente insira um ponto-evírgula (;) ou uma cerquilha (#) no início de cada linha.
Seções Especiais
Seções Especiais Seção [Global]: Define os parâmetros de configuração gerais para o servidor como um todo. Qualquer opção configurada nesta seção será aplicada a todo compartilhamento.
Seções Especiais Seção [Global]: Define os parâmetros de configuração gerais para o servidor como um todo. Qualquer opção configurada nesta seção será aplicada a todo compartilhamento. Seção [homes]: Define individualmente os parâmetros para as pastas bases (diretórios pessoais, como /home/fulano) dos usuários. Na verdade, esta seção permite que os usuários acessem seus diretórios base (pastas bases) no servidor Samba.
Seções Especiais Seção [Global]: Define os parâmetros de configuração gerais para o servidor como um todo. Qualquer opção configurada nesta seção será aplicada a todo compartilhamento. Seção [homes]: Define individualmente os parâmetros para as pastas bases (diretórios pessoais, como /home/fulano) dos usuários. Na verdade, esta seção permite que os usuários acessem seus diretórios base (pastas bases) no servidor Samba. Seção [Printers]: Define os parâmetros para todas as impressoras compartilhadas pelo servidor. É a partir destas definições que compartilhamos impressoras na rede.
Seções Especiais Seção [Global]: Define os parâmetros de configuração gerais para o servidor como um todo. Qualquer opção configurada nesta seção será aplicada a todo compartilhamento. Seção [homes]: Define individualmente os parâmetros para as pastas bases (diretórios pessoais, como /home/fulano) dos usuários. Na verdade, esta seção permite que os usuários acessem seus diretórios base (pastas bases) no servidor Samba. Seção [Printers]: Define os parâmetros para todas as impressoras compartilhadas pelo servidor. É a partir destas definições que compartilhamos impressoras na rede. Além destas seções padrão, podem existir também as
Seções Especiais
Seção [global] [global] netbios name = nome workgroup = SOREDES server string = Servidor SAMBA da disciplina Adm Redes Onde: workgroup - grupo de trabalho ou domínio ao qual a máquina pertence server string comentário qualquer sobre o servidor netbios name - por padrão, o Samba uiliza o nome DNS da máquina menos o domínio como o nome NetBIOS. Através da opção netbios name podemos forçar outro nome NetBIOS para a máquina.
Seção [global] Neste momento é essencial entender o que é grupo de trabalho e domínio: Grupo de trabalho: é um grupo de computadores que comparilham recursos entre si e são listados de forma agrupada, quando é solicitado a lista de computadores do grupo de trabalho. A lista de computadores de um grupo de trabalho é apresentada no Windows Explorer, por exemplo. Domínio: é um grupo de trabalho que possui um servidor que mantém a lista de usuários e senhas denominado PDC (Controlador Primário do Domínio), de forma que os recursos que são comparilhados baseiam suas permissões de acesso na idenificação dos usuários do domínio.
Seção [global] - Sempre que for feita uma configuração no arquivo smb.conf, é interessante usar o comando testparm, que informa possíveis erros na configuração do arquivo. Para observar os comparilhamentos disponíveis em seu servidor e em outros servidores SAMBA espalhados pela rede, devemos usar o comando smbclient da seguinte forma: smbclient - L nome_da_maquina N onde - N efetua um login anônimo - L lista os comparilhamentos exportados pelo servidor
Seção [global] - Segurança hosts deny usado para listar endereços que não poderão ter acesso a um comparilhamento. hosts allow usado para listar endereços que poderão ter acesso ao comparilhamento. Os computadores não listados não terão acesso. Exemplo: hosts allow = 192.168.1.0/24 192.168.2.1 Lista os endereços IP separados por vírgulas ou espaços que podem se conectar ao comparilhamento. Endereços não listados aqui terão o acesso negado. security: especifica o nível de segurança dos comparilhamentos. Usando a opção user, fará com que qualquer usuário para acessar um comparilhamento, precise ter uma conta válida de usuário no sistema.
ComparMlhamento de diretórios Vamos comparilhar o diretório /mnt/arquivos no nosso servidor SAMBA. Para isto, será necessário adicionar mais uma seção ao arquivo smb.conf, com o nome do comparilhamento. [arquivos] comment = ComparIlhamento de teste path = /mnt/arquivos O parâmetro comment serve apenas como uma pequena descrição do comparilhamento, e é opcional. O parâmetro path indica o caminho para o diretório comparilhado.
ComparMlhamento de diretórios Usando a ferramenta smbclient é possível também acessar diretamente um comparilhamento explicitamente: smbclient //nome_da_maquina/arquivos N Entretanto, Ivemos um erro de acesso, pois o comparilhamento não pode ser acessado de forma anônima. Para que tal acesso seja possível, é necessário acrescentar à seção, a seguinte linha: [arquivos] comment = ComparIlhamento de teste path = /mnt/arquivos guest ok = Yes Habilitanto com isso o login de usuários anônimos.
AutenMcando usuários Para uma maior segurança no servidor, é interessante que só usuários autenmcados acessem o comparmlhamento. Durante a evolução do SAMBA, foram criados diversos backends, que permitem armazenar senhas criptografadas e outras informações referentes aos usuários. O smbpasswd é o backend mais simples, Nele as senhas são salvas no arquivo /etc/samba/smbpasswd e são transmiidas de forma encriptada através da rede, com suporte ao sistema NTLM, usado pelas versões contemporâneas do Windows. A vantagem do smbpasswd é que ele é um sistema bastante simples. Embora encriptadas, as senhas são armazenadas em um arquivo de texto, com uma conta por linha, o que lembra um pouco o arquivo /etc/passwd no Linux.
AutenMcando usuários Para que o usuário possa ser usado no SAMBA, é necessário cadastrá- lo no smbpasswd. Antes disso, o usuário precisa exisir previamente criado no sistema, caso contrário não será possível cadastrá- lo. Para que isto seja possível, é necessário registrar os usuários no serviço através do comando smbpasswd. Desta forma, para cadastrar um smbpasswd - a usuario usuário no sistema, deve- se usar o comando: Será pedida então a senha deste usuário, e após inseri- lo já é possível usá- lo para acessar comparilhamentos: smbclient //nome_da_maquina/arquivos U usuario remover uma conta de usuário: smbpasswd - x fulano desabilitar uma conta de usuário (sem removê- la): smbpasswd - d fulano Reabilitar um usuário usa- se o parâmetro e
Parâmetros de ComparMlhamento É possível permiir que o comparilhamento fique oculto quando acessado por outros usuários. Isto pode ser conseguido através do uso do parâmetro browseable na seção do comparilhamento da seguinte forma: [arquivos] comment = ComparIlhamento de teste path = /mnt/arquivos guest ok = yes browseable = no Desta forma será possível acessar o comparilhamento explicitamente, mas ele não aparecerá na lista de comparilhamentos do servidor.
Parâmetros de comparmlhamento Além disto é possível configurar se o comparilhamento será de leitura ou escrita ou só de leitura, sendo que o padrão é leitura. Isto pode ser feito através do parâmetro writable da seguinte forma: [arquivos] comment = ComparIlhamento de teste path = /mnt/arquivos guest ok = yes browseable = no writable = yes Para impedir que determinados Ipos de arquivos possam ser gravados nos comparilhamentos, deve- se usar a direiva veto files. Por exemplo: veto files = /*.mp3/ - Impede a gravação de qualquer arquivo Ipo.mp3 em um comparilhamento. Se usado na seção [global], impede a gravação deste Ipo de arquivo em qualquer comparilhamento daquele servidor.
AutenMcando usuários Quando o smbclient é invocado na forma ( //servidor/ comparmlhamento), ele abre um prompt para a digitação de comandos e ele age de maneira muito simular à um cliente FTP, aceitando os comandos tradicionais deste serviço. Desta forma, podemos usar comandos tradicionais, como GET, LS, MKDIR, etc. Para se verificar quais usuários e quais máquinas estão acessando comparilhamentos no servidor, podemos usar o comando smbstatus.
Seção [homes] O c o m p a r I l h a m e n t o [homes] é um comparilhamento especial para o Samba. Este é um comparilhamento uilizado para automamcamente comparmlhar o diretório home do usuário. Em vez de criar comparilhamentos para cada diretório /home uiliza- se este comparilhamento especial.
Seção [homes] Sempre que um cliente SMB tentar uma conexão a um comparilhamento que não existe, o Samba vai verificar se o nome do comparilhamento por acaso não é um nome de usuário válido. Se for, e a senha esiver correta, então um comparilhamento com o nome do usuário será automaicamente criado. Este comparilhamento ficará invisível para logins anônimos e aparecerá para o usuário existente no sistema.
Seção [homes] Abaixo as linhas referentes à configuração da seção home. [homes] comment = Diretório home do usuário browseable = no writable = yes
Fazendo o Linux atuar como PDC Neste tópico será apresentada uma configuração básica do arquivo smb.conf, ou seja, mostraremos um resumo de quais opções devem ser alteradas para que o Linux se torne o PDC da rede. Esta configuração visa conseguir fazer com que o Linux tenha o controle de acesso ao Samba a nível de usuário. Assim, todos usuários deverão ser autenicados para terem acesso aos comparilhamentos de rede do Samba.
Fazendo o Linux atuar como PDC [global] workgroup = ADMREDES Server string = PDC Samba - IFES encrypt passwords = yes os level = 100 local master = yes domain master = yes preferred master = yes domain logons = yes
Fazendo o Linux atuar como PDC Onde: workgroup: neste momento, o parâmetro workgroup passa a especificar não mais apenas um grupo de trabalho, mas um domínio Netbios. local master: Quando você quiser que o Servidor Samba seja candidato à eleição de local master browser pelos computadores da sub- rede, atribua valor yes. preferred master: Caso você queira que o Servidor Samba sempre seja eleito, atribua valor yes para este parâmetro e descomente a opção. Esta opção deverá ser acompanhada com a opção domain master. domain master: Permite que o Samba atue como domain master browser, para o domínio. Ele irá, então, coletar e manter listas de computadores fornecidas pelos LMBs da rede local.
Fazendo o Linux atuar como PDC domain logons: Permite que o Samba autenique os clientes Windows que seja pertencentes a esse domínio. Portanto, esta opção é essencial para quando o Linux esiver atuando como um PDC. encrypt passwords: É usado para que o Samba possa autenicar uma senha criptografada. Esta opção é necessária pois o Windows não suporta transmissão de senhas sem criptografia, e caso esta opção não seja aivada, o servidor SAMBA simplesmente não conseguirá conversar com as máquinas Windows que tentarem se autenicar no mesmo. os level: Permite especificar qual chance o servidor Linux terá de ser o Master Browser do grupo de trabalho. O valor padrão para os level é 20, mas para sermos um PDC precisaremos de no mínimo o valor 33, pois o Windows Server tem nível 32. Com o valor 100, o servidor SAMBA sempre ganhará a eleição.
Contas de máquinas para clientes Windows Para clientes Windows poderem paricipar de um domínio controlado por um servidor SAMBA, você deve criar contas de máquinas para estas estações. Estas contas não terão login válido para usuário, serão apenas para autenicar as máquinas paricipantes do domínio.
Contas de máquinas para clientes Windows Crie uma conta de máquina na base de dados do Linux. [root@samba ~]# addgroup maquinas [root@samba ~]# useradd - g maquinas d /dev/null - s /bin/false lab5$ [root@samba ~]# smbpasswd a m lab5 Onde o m indica que a conta criada é uma conta de máquina e não uma conta de usuário válida. O símbolo $ é necessário para mostrar ao sistema que está sendo criada uma conta de máquina e não de usuário normal. - g máquinas - insere a máquina no grupo máquinas criado previamente. - d /dev/null - cria um diretório home nulo para o usuário. - s /bin/false - direciona o usuário para um shell inválido, de forma que ele não possa uilizar o terminal.
Contas de máquinas para clientes Windows Quando a máquina passa a fazer parte do domínio, é criada uma relação de confiança entre ela e o servidor. Uma senha(chamada de machine trust account password ) é usada pela máquina para comprovar sua idenidade de domínio. Esta é uma senha interna, gerada automaicamente pelo sistema durante a conexão inicial. Para inserir as máquinas Windows no domínio, é necessário configurá- las no domínio criado com o PDC Samba. Após isto, será necessário logar- se como root para que seja criada a relação de confiança entre o servidor e o cliente. Após reiniciar a máquina, passa a aparecer a opção Efetuar logon em: DOMÍNIO na tela de login, permiindo ao cliente se logar com qualquer conta cadastrada previamente no servidor.
Seção [netlogon] O script de logon é uma forma práica e fácil de preparar um ambiente para um usuário. Podemos mapear drives de rede, impressoras, comparilhamentos, acertar o relógio(desde que o usuário tenha as permissões necessárias), etc. Este script é especificado através da direiva logon script na seção [global] e é sempre relaivo a uma seção de comparilhamento chamada de [netlogon]. [netlogon] comment = Serviço de Logon path = /etc/samba/netlogon guest ok = yes browseable = no O único item obrigatório é o caminho para o diretório onde se encontra o arquivo do script, no caso do exemplo o diretório /etc/samba/netlogon.
Seção [netlogon] Caso o script se chame teste.bat, então a linha logon script da seção [global] seria: logon script = teste.bat O script criado deve ser em formato de arquivo do Windows para que possa ser interpretado e executado pelo sistema operacional. Para converter o formato do arquivo podemos usar o programa unix2dos. Geralmente um script faz uso do comando net para realizar suas operações, podendo por exemplo permiir um mapeamento de comparilhamento usando net use ou o envio de mensagens winpopup uilizando net send. Uma outra forma de mapear um diretório no servidor para o cliente é através da direiva logon drive dentro da seção [global]. Com a opção logon drive = H: por exemplo, o diretório home do usuário será mapeado como unidade H: na máquina Windows.
Seção [netlogon]
Perfis Móveis em SAMBA Mais uma configuração útil (porém opcional) é fazer com que o servidor armazene os arquivos e configurações do usuário (recurso chamado Roaming Profiles, ou perfis móveis), fornecendo-os à estação no momento em que o usuário faz logon. Isso permite que o usuário possa trabalhar em outras máquinas da rede e faz com que seus arquivos de trabalho sejam armazenados no servidor, diminuindo a possibilidade de perda de dados. Por outro lado, ativar os perfis móveis faz com que seja consumido mais espaço de armazenamento do servidor e aumenta o tráfego da rede, já que os arquivos precisam ser transferidos para a estação a cada logon. Isso pode tornar-se um problema caso os usuários da rede tenham o hábito de salvar muitos arquivos grandes na área de trabalho.
Perfis Móveis em SAMBA Mais uma configuração útil (porém opcional) é fazer com que o servidor armazene os arquivos e configurações do usuário (recurso chamado Roaming Profiles, ou perfis móveis), fornecendo-os à estação no momento em que o usuário faz logon. Isso permite que o usuário possa trabalhar em outras máquinas da rede e faz com que seus arquivos de trabalho sejam armazenados no servidor, diminuindo a possibilidade de perda de dados. Por outro lado, ativar os perfis móveis faz com que seja consumido mais espaço de armazenamento do servidor e aumenta o tráfego da rede, já que os arquivos precisam ser transferidos para a estação a cada logon. Isso pode tornar-se um problema caso os usuários da rede tenham o hábito de salvar muitos arquivos grandes na área de trabalho.
Perfis Móveis em SAMBA Para se habilitar a opção do uso de perfis móveis no SAMBA, pode-se usar a seguinte opção na seção [global]: logon path = \\%L\%U\profile onde o \\%L\%U é substituído pelo diretório home de cada usuário, ou seja, a pasta profile vai ser criada no diretório home ou pessoal de cada usuário no servidor SAMBA e este é o valor padrão para a diretiva logon path. A diretiva logon path informa onde vão ficar os arquivos que fazem parte do perfil móvel do usuário. Desta forma, não é necessário criar um compartilhamento específico para os perfis, sendo esta solução bastante prática. Isto pode ou não ser desejado dependendo da política da rede local.
SAMBA como servidor ou cliente WINS É possível configurar o servidor SAMBA de forma a se tornar um servidor de nomes Netbios. Através do parâmetro wins support = yes, o servidor SAMBA se torna um servidor de nomes. Caso esteja habilitado, máquinas NetBios da rede podem usar este servidor para registrar seus nomes. Também é possível configurar a máquina SAMBA para que ela use um servidor de nomes já existente na rede. Usando a opção wins server = IPServidor, será especificado um servidor de nomes WINS onde o servidor SAMBA irá registrar seus nomes Netbios neste servidor de nomes. Obviamente não se deve especificar wins support e wins server ao mesmo tempo, muito menos com wins server apontando para si mesmo.
Seção [printers] O comparilhamento especial [printers] possui um comparilha- mento bastante semelhante ao [homes]. Se o nome do comparilhamento que o cliente quer não for encontrado nem no smb.conf e no [homes], então o Samba vai procurar uma impressora com este nome. Se for encontrada, será criado na mesma hora um comparilhamento com o nome desta impressora fazendo uma cópia da seção [printers]. Esta é uma forma bastante práica para comparilhar todas as impressoras conhecidas pelo servidor através do serviço CUPS. Para comparilharmos todas as impressoras conhecidas pelo servidor através do serviço CUPS devemos inserir ao final da seção [Global] as linhas: prining = cups printcap name = cups load printers = yes
Seção [printers]
Seção [printers] prinmng = Ele indica o Ipo de sistema de impressão a ser uilizado. O Valor padrão é o cups e é o recomendado atualmente para o Samba. printcap name = caso se use prining = cups, também deve ser colocado cups aqui, que é o valor padrão. load printers = indica se o SAMBA deve ou não carregar uma lista de todas as impressoras disponíveis ao ser iniciado. Deve ser habilitado para que as impressoras disponíveis sejam comparilhadas através do [printers]. O valor padrão é Yes.
Seção [printers] Após estas linhas é necessário também criar o compartilhamento das impressoras: [printers] comment = Compartilhamento das impressoras path = /var/spool/samba printable = Yes browseable = yes writable = no guest ok = yes use client driver = yes public = yes
Seção [printers] public torna a impressora pública no domínio. guest ok = yes permite que usuários anônimos consigam acessar a impressora. use client driver = yes permite que seja usado o driver da máquina cliente para impressão na impressora compartilhada. comment = comentário sobre o compartilhamento
Seção [printers] path diretório onde os trabalhos de impressão podem ser armazenados temporariamente. A instalação do SAMBA cria o diretório / var/spool/samba com este propósito e é o diretório que será usado aqui. printable valor yes para compartilhamento de impressoras. Faz com que o Samba trate este compartilhamento como uma impressora, e não um compartilhamento de diretórios comum. Equivalente ao parâmetro print ok = yes browseable - permite visualizar todos os compartilhamentos de impressoras. writable deve ser configurado para no neste caso. O parâmetro printable já garante o acesso de escrita necessário para rotinas de impressão.
SAMBA versão 4.0 Na versão 4 do SAMBA, teremos uma mudança radical no seu funcionamento. Nesta versão o SAMBA pode se tornar um DC (Domain Controller), podendo substituir totalmente o software Active Directory, desenvolvido pela Microsoft. Foram 10 anos de desenvolvimento até chegar na versão final do SAMBA 4.0.