Présentation Samba Jres'99

____________[]____________

Jres 99

Contrôler des postes Windows avec SAMBA et Unix

____________________

Jean-François Micouleau, Dalalu Bordeaux

Michel Vayssade, UTC Compiègne

____________[]____________

Partie 1 : Samba et les réseaux Windows

Plan

1 - Samba et les réseaux Windows

Introduction : qu'est-ce que Samba
Les protocoles de réseau de Windows
- NetBIOS
- les noms NetBIOS
- le protocole SMB
- Workgroup et Domaines
- Browsing : balayage du voisinage réseau
- Résolution des noms
- Browsing à travers des sous-réseaux
Les composants de la suite Samba

2 - Configurer Samba
Installation de Samba
- les sites, les sources, les binaires
- une première installation minimale
Les options de configuration
- le fichier smb.conf
- les macros et variables
- les paramètres de la section [global]
Sécurité et mots de passe
La configuration du serveur
La configuration des services
Autres trucs et techniques
Documentation et bibliographie

3 - Utilisation avancée de Samba

Configuration des partages disques
Configuration des services imprimantes
Automatisation sur le serveur
Recherche de pannes - Vérification
Les outils Samba sur Unix
Contrôle d'un domaine Win9x
Samba PDC expérimental
Autres trucs et techniques
Documentation et bibliographie

Introduction : qu'est-ce que Samba ?

Samba = suite de programmes permettant à une machine Unix de fournir des services utilisant les protocoles réseaux de Windows
logiciel libre, licence GNU-GPL, code source disponible
les systèmes de fichiers et les imprimantes des machines unix peuvent être accédées directement par toute machine DOS ou Windows en utilisant uniquement les protocoles et outils de réseaux fournis avec le système
le système de fichiers Unix est vu de Windows soit comme un lecteur réseau (drive E:, F:, ...) soit comme une icône dans le "voisinage réseau")

==> les fichiers sur Unix peuvent être directement utilisés par les applications Windows

Introduction : qu'est-ce que Samba ?

Comment ?

Samba fournit ces services en implémentant le protocole SMB (Server Message Block) de Windows (désormais appelé CIFS); d'où le nom (SMB --> SaMBa)

Le protocole SMB implémente le partage de systèmes de fichiers de Windows et les services d'imprimante à distance.
Samba implémente SMB au-dessus de NetBIOS sur TCP/IP
- rappel : NetBIOS est un protocole fournissant des services de nom, établissant des circuits virtuels et envoyant des datagrammes

NetBIOS existe au-dessus de NetBEUI, IPX, DECNet et TCP/IP

Introduction : qu'est-ce que Samba ?

Que fait-il ?

Samba peut utiliser correctement WINS et même être déclaré comme un serveur WINS (serveur de noms Netbios)
l'installation de Samba sur une machine Unix rend son système de fichiers immédiatement accessible à toute machine Windows (95, 98, NT) sans installation supplémentaire sur les PCs
le serveur Samba peut être rendu visible dans le voisinage réseau des machines Windows (browse server),
un utilitaire client permet d'utiliser les imprimantes locales Windows dans le fichier "printcap" d'Unix et de les accéder depuis Unix via lpd
Samba permet de faire les sauvegardes de fichiers sur des "partages" ("shares") Windows,
Samba peut agir comme contrôleur de domaine complet pour Win9x,
Samba peut agir partiellement comme contrôleur de domaine primaire (PDC) WinNT.

Introduction : qu'est-ce que Samba ?

SMB versus NFS

NFS est un protocole "sans état" (le serveur ne garde pas trace des transactions du client), ce qui en fait un système très robuste: une connexion NFS peut survivre au crash+reboot d'un serveur (NFS server stalled, still trying !)
SMB est lui aussi supposé survivre à cet événement, mais est dépendant d'une implémentation correcte sur le client des procédures de récupération
NFS fournit seulement une poignée de commandes d'accès aux fichiers,
SMB est beaucoup plus complexe : pour diminuer le rôle des clients et diminuer le trafic réseau, un serveur SMB dispose de centaines de commandes

==> un serveur SMB est un gros programme, trop complexe pour être inclus dans le noyau d'Unix.
NFS effectue seulement une authentification basée sur l'hôte (l'identité de l'ordinateur qui monte le système de fichier à distance)
SMB inclus un système d'authentification de l'utilisateur (ce système peut être corrélé aux informations "user/passwd" d'Unix) ainsi qu'un système d'accès aux imprimantes

==> SMB = NFS + lpd + Login/Passwd

Introduction : qu'est-ce que Samba ?

Philosophie de conception

Samba = Windows Networking ... "the Unix way"
plutôt que de cacher les aspects complexes de configuration du comportement des services derrière des heuristiques ou des valeurs par défaut "en dur", Samba laisse ouverts tous les aspects des protocoles en permettant de les ajuster ou de les modifier
ceci implique une complexité apparente, mais qui n'a pas besoin d'être maîtrisée d'un coup : elle peut être apprise par étapes en commençant par des configurations simples, modifiées et optimisées peu à peu
Samba est beaucoup plus simple que les solutions traditionnelles de type PC-NFS, car il n'y a aucune installation sur les postes clients.

Introduction : qu'est-ce que Samba ?

Sur quelles plates-formes tourne-t-il ?

Samba fonctionne sur presque tous les Unix (open source), et supporte autoconf :
- ./configure
- make
- make install
Samba est disponible en format binaire pour tous les unix répandus :
- Solaris 2.x, SunOS 4.x, Ultrix, Irix, HP-UX, AIX,
  DEC-Unix
- Linux, FreeBSD, SCO
et aussi :
- Amiga, VMS, OS/2, MVS, Stratus-VOS, MPE/iX
lors de l'install d'une RedHat 6.0 il suffit de cocher 2 cases pour avoir Samba installé et lancé au boot

Les protocoles de réseau de Windows

Au commencement était NetBIOS

au départ NetBIOS était une API, décrite dans un manuel IBM de Sept.84
peu après, IBM a écrit un protocole encapsulant l'API : NetBEUI (E=Extended)
il a été ensuite adopté par Microsoft
NetBEUI était conçu pour de petits réseaux et non routable
la version 3 de NetBEUI livrée avec NT apporte une amélioration de performance notable,
toutefois dans un contexte TCP/IP, NetBEUI ne doit jamais être utilisé et doit être enlevé du champ "protocole" dans le panneau de configuration "réseau" de Windows
en 1987, l'IETF standardise NetBIOS au-dessus de TCP et UDP dans les RFC 1001 et 1002
NetBIOS sur TCP (appelé NBT) défini trois services :
- service de noms,
- service de session,
- service de datagramme.

Les protocoles de réseau de Windows

Au commencement était NetBIOS

SMB a été construit au-dessus de NetBIOS => les limitations de SMB sont celles de NetBIOS
Concepts importants :
- chaque service est référencé par un nom unique défini dans un espace de noms "plat" pour toute l'organisation
- les services communiquent soit par session soit par datagramme
- NetBIOS est indépendant du transport qui peut être NetBEUI, TCP/IP, IPX, ... ( Samba utilise NetBIOS sur TCP/IP )
- SMB est un protocole de session analogue à NFS

Les protocoles de réseau de Windows

SMB, NetBIOS et TCP / IP

Les protocoles de réseau de Windows

Les noms NetBIOS

** espace de noms plat **
nom NetBIOS = <chaîne><type>
- chaîne = 15 caractères (a-z,A-Z,0-9, @#$%^&()-`{}.~ )
- type = 1 octet de 0x00 à 0xFF
exemples:
- SIRIUS<00> est le nom NetBIOS d'une machine
- FINANCE<1E> est un nom de groupe utilisé pour élire la machine qui sera "master browser" du groupe
on peut penser au <type> qui accompagne la chaîne de caractère comme à un numéro de port TCP ou UDP: il indique par quelle partie de NetBIOS la chaîne doit être utilisée

Les protocoles de réseau de Windows

Les noms NetBIOS

Tous les systèmes Winxx disposent de la commande nbtstat :

C:\windows>nbtstat





Displays protocol statistics and current TCP/IP 


connections using NBT(NetBIOS over TCP/IP).


NBTSTAT [-a RemoteName] [-A IP address] [-c] [-n]


        [-r] [-R] [-s] [S] [interval] ]


 -a (adapter status) Lists the remote machine's 


                     name table given its name


 -A (Adapter status) Lists the remote machine's 


                     name table given its IP address.


 -c (cache)          Lists the remote name cache 


                     including the IP addresses


 -n (names)          Lists local NetBIOS names.


 -r (resolved)       Lists names resolved by 


                     broadcast and via WINS


 -R (Reload)         Purges and reloads the remote 


                     cache name table


 -S (Sessions)       Lists sessions table with 


                     the destination IP addresses


 -s (sessions)       Lists sessions table converting 


                     destination IP addresses to host 


                     names via the hosts file.





 RemoteName   Remote host machine name.


 IP address   Dotted decimal representation of the IP address.


 interval     Redisplays selected statistics, pausing interval 


              seconds between each display. Press Ctrl+C to 


              stop redisplaying statistics.


C:\windows>

Les protocoles de réseau de Windows

Les noms NetBIOS. Programme "nbtstat".

Exemple de nbtstat : lister les noms Netbios locaux

C:\WINDOWS>nbtstat -n





Node IpAddress: [195.83.155.126] Scope Id: []





            NetBIOS Local Name Table





   Name           Type         Status


-----------------------------------------


VIRGO       <00>  UNIQUE      Registered


SI          <00>  GROUP       Registered


VIRGO       <03>  UNIQUE      Registered


VAYSSADE    <03>  UNIQUE      Registered





C:\WINDOWS>

Exemple de nbtstat : lister les noms Netbios d'une autre machine



C:\WINDOWS>nbtstat -a kappa





       NetBIOS Remote Machine Name Table





   Name           Type         Status


-----------------------------------------


KAPPA       <00>  UNIQUE      Registered


KAPPA       <03>  UNIQUE      Registered


KAPPA       <20>  UNIQUE      Registered


SI          <00>  GROUP       Registered


SI          <1E>  GROUP       Registered





MAC Address = 00-00-00-00-00-00





C:\WINDOWS>nbtstat -a hydra





       NetBIOS Remote Machine Name Table





   Name           Type         Status


-----------------------------------------


HYDRA       <00>  UNIQUE      Registered


HYDRA       <03>  UNIQUE      Registered


HYDRA       <20>  UNIQUE      Registered


SI          <00>  GROUP       Registered


SI          <1E>  GROUP       Registered





MAC Address = 00-00-00-00-00-00





C:\WINDOWS>

On peut y voir que la machine "kappa" a comme nom Netbios unique "kappa" à cause du tag <00>, qu'elle a activé un service de messages Netbios (<03>) et qu'elle offre un service de partage de fichier par le nom "kappa"<20> et qu'elle appartient au groupe "SI"<00>. La ligne "SI"<1E> indique que le nom "SI" est aussi utilisé pour l'élection du "browse master".

Les protocoles de réseau de Windows

Les noms NetBIOS

noms de groupes, partagés par plusieurs hôtes :
- GROUP<00>: le nom du groupe NetBIOS
- DOMAINGROUP<1C>: enregistré par les serveurs de login. Traité spécialement par WINS: renvoie la liste des machines ayant enregistré ce groupe plutôt qu'une adresse IP
- WORKGROUP<1D>: enregistré par le "master browser" local; traité spécialement par WINS car il est unique ET enregistré par de nombreux hôtes (Wins renvoie réponse négative).
- WORKGROUP<1E>: nom de groupe, enregistré par les candidats à l'élection de "master browser" du DOMAINE; Les paquets d'élection sont envoyés à tous les hôtes ayant enregistré ce nom.
- WORKGROUP<1B>: nom de groupe, enregistré par le "master browser" du DOMAINE et utilisé par les clients pour contacter le PDC du domaine. C'est très triste que MS ait choisi de l'utiliser AUSSI pour le PDC de NT, empêchant de répartir les rôles facilement. Il s'agit sans doute d'une maneuvre pour imposer l'utilisation de serveurs NT.
- <01><02>__MSBROWSE__<02><01>: nom de groupe enregistré par les browsers maîtres: utilisé pour annoncer les workgroups à d'autres "master browsers", accolé au nom de domaine
noms uniques
- WORKSTATION<00>: enregistré par tous les serveurs, c'est le nom NetBIOS d'une station
- HOST<00>: nom Netbios enregistré par tous les clients
- HOST<20>: nom Netbios enregistré par tous les serveurs
- HOST<03>: nom du service de message; tous les clients l'enregistre, ainsi winpopup peut être envoyé à un hôte
- USER<03>: nom de user enregistré au login
- HOST<1B>: enregistré par tous les clients, nom du "master browser" du domaine

Les protocoles de réseau de Windows

Les noms NetBIOS. Programme "nbtstat".

Exemple de nbtstat : lister la table des sessions Netbios courantes



C:\WINDOWS>nbtstat -s


                 NetBIOS Connection Table





Local Name    State   In/Out Remote Host Input Output


-----------------------------------------------------


VIRGO    <00> Connected  Out KAPPA  <20> 250B  401B


VIRGO    <03> Listening


VAYSSADE <03> Listening





==> on fait une deuxième connexion, et :





C:\WINDOWS>nbtstat -s


                 NetBIOS Connection Table





Local Name    State   In/Out Remote Host  Input Output


------------------------------------------------------


VIRGO    <00> Connected  Out KAPPA  <20>  254B  401B


VIRGO    <00> Connected  Out HYDRA  <20>  244B  401B


VIRGO    <03> Listening


VAYSSADE <03> Listening





C:\WINDOWS>

Les protocoles de réseau de Windows

Les noms NetBIOS. Programme "nbtstat".

Exemple de nbtstat : lister le contenu du cache Netbios courant



C:\WINDOWS>nbtstat -c





Node IpAddress: [195.83.155.126] Scope Id: []





              NetBIOS Remote Cache Name Table





    Name          Type    Host Address   Life [sec]


---------------------------------------------------


KAPPA      <20>  UNIQUE  195.83.155.100     240


KAPPA      <00>  UNIQUE  195.83.155.100     300


HYDRA      <20>  UNIQUE  195.83.155.125     300


HYDRA      <00>  UNIQUE  195.83.155.125     240

Les protocoles de réseau de Windows

Les noms NetBIOS. Programme "nbtstat".

Exemple de nbtstat : table des noms Netbios après élection d'un master browser ("SI"<1D>) qui a enregistré __MSBROWSE__ pour les échanges avec d'autres master browsers



C:\WINDOWS>nbtstat -a sirius





       NetBIOS Remote Machine Name Table





   Name               Type         Status


---------------------------------------------


SIRIUS         <00>  UNIQUE      Registered


SIRIUS         <03>  UNIQUE      Registered


SIRIUS         <20>  UNIQUE      Registered


..__MSBROWSE__.<01>  GROUP       Registered


SI             <00>  GROUP       Registered


SI             <1D>  UNIQUE      Registered


SI             <1E>  GROUP       Registered

Les protocoles de réseau de Windows

Les noms NetBIOS. Programme "nbtstat".

Exemple de nbtstat : types de résolution des noms Netbios



C:\WINDOWS>nbtstat -r





NetBIOS Names Resolution and Registration Statistics


----------------------------------------------------





Resolved By Broadcast     = 6


Resolved By Name Server   = 0





Registered By Broadcast   = 4


Registered By Name Server = 0





    NetBIOS Names Resolved By Broadcast


-----------------------------------------


       HYDRA


       KAPPA


       HYDRA          <00>


       KAPPA          <00>


       KAPPA          <00>


       HYDRA          <00>

Les protocoles de réseau de Windows

Les noms NetBIOS.

Programme Unix "nmblookup".

[root@hydra /root]# nmblookup hydra   


Sending queries to 195.83.155.255


195.83.155.125 hydra<00>


[root@hydra /root]# nmblookup kappa 


Sending queries to 195.83.155.255


195.83.155.100 kappa<00>








[root@hydra /root]# nmblookup kappa -S


Sending queries to 195.83.155.255


195.83.155.100 kappa<00>


Looking up status of 195.83.155.100


received 5 names


	KAPPA           <00> -         M <ACTIVE> 


	KAPPA           <03> -         M <ACTIVE> 


	KAPPA           <20> -         M <ACTIVE> 


	SI              <00> - <GROUP> M <ACTIVE> 


	SI              <1e> - <GROUP> M <ACTIVE> 


num_good_sends=0 num_good_receives=0





[root@hydra /root]# nmblookup hydra -S


Sending queries to 195.83.155.255


195.83.155.125 hydra<00>


Looking up status of 195.83.155.125


received 5 names


	HYDRA           <00> -         B <ACTIVE> 


	HYDRA           <03> -         B <ACTIVE> 


	HYDRA           <20> -         B <ACTIVE> 


	SI              <00> - <GROUP> B <ACTIVE> 


	SI              <1e> - <GROUP> B <ACTIVE> 


num_good_sends=0 num_good_receives=0





[root@hydra /root]# 





[root@hydra /root]# nmblookup kappa#03


Sending queries to 195.83.155.255


195.83.155.100 kappa<03>





[root@hydra /root]# nmblookup SI      


Sending queries to 195.83.155.255


195.83.155.125 SI<00>


195.83.155.123 SI<00>


.....


195.83.155.55 SI<00>


195.83.155.126 SI<00>


195.83.155.124 SI<00>

Les protocoles de réseau de Windows

Le service de noms de NetBIOS

tous les services de NetBIOS sont référencés par un nom; les infos de plus bas niveau (par ex. l'adr. IP) ne sont pas accessibles aux applis.
l'espace est plat; chaque nom contient au plus 15+1 caractères et ne doit pas commencer par "*",
deux applications ne peuvent utiliser simultanément un nom unique sur le réseau; une application "possède" le nom jusqu'à ce qu'il soit détruit
primitives :
- Add Name : une application demande à utiliser un nom unique
- Delete Name : l'appli. n'utilise plus le nom
- Add Group Name : ajout d'un nom partagé

Les protocoles de réseau de Windows

L'espace des noms de NetBIOS

espace plat
on peut isoler des groupes de machines avec la notion de "scope" :
- NetBIOS scope = <une chaîne de caractères>
- lng chaîne scope + lng nom Netbios <= 256
- ne crée pas une hiérarchie !
rarement une bonne idée d'utiliser les "scopes" : deux machines dans deux scopes différents ne pourront pas communiquer
Samba a des moyens plus souples de gérer les partages et les isolations entre machines

Les protocoles de réseau de Windows

Enregistrement de noms NetBIOS

quand une machine boote, elle enregistre son nom NetBIOS auprès du "master browser" du domaine
si une autre machine a déjà enregistré ce nom, celle-ci renvoie un message indiquant qu'elle a déjà le nom et veut le conserver
si rien de tel ne se produit, le nom est accordé
c'est assez étrange : les noms NetBIOS sont stockés statiquement sur chaque machine et enregistrés dynamiquement au boot auprès du master browser !!
il n'y a pas de base indépendante du genre DNS
l'enregistrement de noms et la correspondance "noms NetBIOS" <--> adresses IP a été définie dans les RFC 1001/1002 sous la spécification NBNS
WINS est l'implémentation par MicroSoft de NBNS
Samba peut fonctionner comme serveur WINS
c'est même le meilleure façon de résoudre les problèmes de noms NetBIOS sur un réseau comportant des routeurs

Les protocoles de réseau de Windows

Service de session NetBIOS

une session NetBIOS est une connexion fiable entre deux noms NetBIOS enregistrés,
la connexion se fait entre deux noms: le "calling name" et le "called name",
session NetBIOS = canal de données en séquence, full-duplex entre deux applications (analogue à un circuit virtuel TCP)
plusieurs sessions simultanées peuvent exister entre deux applis.
les deux applications d'une session ont accès au nom de l'application partenaire de la session
primitives :
- Call : initialise une session avec un service NetBIOS qui écoute sous un nom spécifique
- Listen : accepte une session d'une application appelante
- Hang Up : termine correctement une session (flush data)
- Send : envoie un message; si time-out => terminaison anormale
- Receive : reçoi des data; si time-out => terminaison anormale
- Session Status : donne infos sur les sessions en cours sur l'hôte (pas d'activité réseau)

Les protocoles de réseau de Windows

Service de datagramme de NetBIOS

datagramme NetBIOS = échange non fiable (best effort) et non séquencé de données entre 2 applis (analogue à UDP)
chaque datagramme est envoyé sous couvert du nom NetBIOS de l'appli. destinataire
si envoyé à un groupe => multicast ou broadcast
les datagrammes NetBIOS sont appelés "mailslots" par MicroSoft
primitives :
- Send Datagram : envoie non fiable d'un message;
- Send Broadcast Datagram : envoie message à toute appli. ayant posté une commande "Receive Broadcast Datagram"
- Receive Datagram : reçoi datagramme envoyé par un nom spécifique à un nom spécifique
- Receive Broadcast Datagram : reçoit datagramme broadcast

Les protocoles de réseau de Windows

Le protocole SMB

SMB est un protocole orienté connexion : tous les échanges de paquets ont lieu dans le contexte d'un circuit virtuel (VC) entre le client et le serveur, et sont délivrés dans l'ordre;
si le "VC" est coupé, toutes les informations qu'il contient deviennent invalides
le contexte d'une connexion SMB peut contenir :
- le circuit virtuel (VC)
- un numéro unique de session (uid) [rien à voir avec l'uid unix ou le sid windows !]
- un ou plusieurs TID : tree identifier, qui désigne la racine d'une arborescence de fichiers accédée
- un ou plusieurs FID : file ident
les UID, TID et FID d'une connexion précédente ne peuvent pas resservir : ils doivent être réouverts
==> ceci explique que si une connexion SMB est rompue les applications qui avaient des fichiers ouverts vont crasher
(opposer à NFS qui permet une continuation après reboot du serveur)
un VC peut contenir plusieurs UIDs
un UID peut contenir plusieurs FIDs
si le VC est coupé, tout est invalide

Les protocoles de réseau de Windows

Le protocole SMB

Le protocole SMB implémente le partage de systèmes de fichiers de Windows et les services d'imprimante à distance.
Son nom vient de sa structure interne : les commandes sont codées dans des paquets appelés "server message blocks".
il est implanté au-dessus de l'API de NetBIOS
Samba implémente la dernière extension de SMB appelée "NT Lan Manager 0.12"
SMB est très complexe : il y a 65 opérations de premier niveau (comme SMBread, SMBwrite, ...). Certaines possèdent des dizaines de sous- fonctions: par exemple SMBtrans en a 120 ! Les sous-fonctions peuvent avoir plusieurs dizaines d'options qui changent la structure qui doit être retournée.
Samba supporte toutes les fonctions de haut niveau sauf 2 et seulement 8 des sous-fonctions de SMBtrans. Même NT ne les supporte pas toutes.

Les protocoles de réseau de Windows

Le protocole SMB : un échange simple

requête d'une session NetBIOS, puis échange de paquets SMB pour demander un service :

negprot : client envoie commande negprot pour décider quelle extension de protocole utiliser dans la suite,
le serveur répond avec le numéro d'extension qu'il souhaite ou 0xFFFF
sesssetupX : client envoie username/password
serveur répond si info est valide (cas d'une politique de sécurité de type "user level") et y ajoute un numéro d'identification qui sera utilisé dans toute la suite du dialogue: l'uid, unique pour la session
tconX : "Tree Connect" : le client envoie une commande d'accès à une arborescence (équivalent du mount NFS)
le serveur répond par un identifiant de l'arbre qui sera utilisé dans les opérations d'accès aux fichiers: le tid
le client fait des accès fichiers: identifiés par des fid
....
le client se déconnecte

Les protocoles de réseau de Windows

Workgroups (Win9x) et Domaines (WinNT)

réseau de PCs : peer-to-peer (d'égal à égal)
==> concept de "Workgroup" en découle
- chaque machine a une base de comptes séparée et locale
- toutes les validations sont faites localement
- chaque PC peut servir des "partages" (fichiers ou imprimantes)
- il fait lui-même la validation des accès à ses partages
- ==> il faut utiliser autant de mots de passe qu'il y a de PCs différents sur lesquels on accède des partages
un domaine est similaire à un Workgroup à la différence de l'authentification des accès qui est faite grâce à une base centralisée
il y a encore une notion "d'égal à égal" en ce sens que tout membre du domaine peut "exporter" des partages en les rendant accessibles aux autres membres
mais la validation des accès est renvoyée sur un "contrôleur de domaine" utilisant une base de donnée centrale
les domaines sont nés du besoin de s'affranchir de la masse de mots de passe générée par le modèle du Workgroup

Les protocoles de réseau de Windows

Workgroups (Win9x) et Domaines (WinNT)

Schéma de validation des accès d'un client sur un serveur :
Modèle du Workgroup et modèle du domaine.

Les protocoles de réseau de Windows

Workgroups (Win9x) et Domaines (WinNT)

---> *** un domaine NT n'est PAS un domaine Internet ***
un domaine NT est un groupement administratif d'hôtes destiné à gérer de façon centralisée sur le groupe les comptes utilisateurs
bien qu'apparaissant de façon hiérarchisée dans le browser du voisinage réseau, les domaines NT n'ont rien à voir avec des espaces de nommage uniques
pour un utilisateur, les Workgroup et les domaines NT apparaissent identiques dans le voisinage réseau, toutefois les deux notions sont différentes
dans un Workgroup le contrôle d'accès est défini localement sur chaque hôte : un utilisateur de workgroup affecte un password à chaque mode d'accès de chaque ressource déclarée partagée et distribue ce mot de passe aux personnes en ayant besoin
un domaine NT stocke les informations des comptes et droits des utilisateurs dans une base centrale sur un PDC ("Primary Domain Controller"), qui DOIT être située sur un SERVEUR NT.

Les protocoles de réseau de Windows

Workgroups (Win9x) et Domaines (WinNT)

un domaine NT est un groupement administratif d'hôtes destiné à gérer de façon centralisée sur le groupe les comptes utilisateurs,
le domaine NT stocke les informations des comptes et droits des utilisateurs dans une base centrale sur un PDC
donc un username/password est le même pour tous les hôtes d'un domaine NT
==> NT seul système viable dans un environnement d'enseignement avec des machines en libre accès
les bénéfices d'un domaine NT peuvent être étendues à des machines Win95/Win98 si on les configure pour que les utilisateurs se loggent sur le domaine NT
==> *!* pas dans un contexte libre service (trop facile à contourner)
un domaine NT et un workgroup de même nom se réfèrent au même groupe d'ordinateurs; un hôte peut participer à un domaine NT sans participer au processus d'authentification du domaine NT: pour lui le domaine est alors juste un "workgroup" (ceci pour des raisons de compatibilité avec des machines WfW 3.11)

Les protocoles de réseau de Windows

Domaines (WinNT) : contrôle d'accès

le protocole du PDC est délibérément non documenté
raisons possibles :
- "ils" veulent rendre difficile à un produit non-MS de participer ou de devenir un PDC (i.e. ils veulent imposer l'usage de NT-server)
- "ils" croient qu'en ne publiant pas le protocole, le contrôle d'accès à NT sera rendu plus sûr (sécurité par l'obscurité !)
jusqu'à la version 1.9.19 un serveur Samba ne peut pas participer au processus de login sur un domaine NT,
Samba <= 1.9.19 peut être configuré pour utiliser (déléguer à) un serveur NT pour authentifier les logins
Samba peut être configuré pour authentifier SEUL un utilisateur Win95 qui "se connecte au réseau" => dans des environnements protégés (machines personnelles) une machine Unix avec Samba peut remplacer complètement un serveur NT
à partir de la version 2.0 Samba peut agir en tant que PDC

Les protocoles de réseau de Windows

Browsing : balayage du voisinage réseau

voir les ressources d'un réseau Windows s'appelle "browsing"
la liste des machines d'un domaine s'appelle la "browse list";
sous Win95 et NT4 elle est utilisée pour construire la vue montrée dans le voisinage réseau et dans l'explorateur; elle est aussi accessible par la commande DOS "NET USE"
la browse list est maintenue par un "Master Browser" et des "Backup Browser"
chaque domaine NT ou workgroup contient au moins un "Backup Browser"; leur présence évite de reconstruire la liste si le Master Browser se plante;
Samba peut opérer comme serveur simple, comme Master Browser ou comme Backup Browser
dans un réseau NetBEUI ou IPX, il n'existe qu'un Master Browser car tous les hôtes d'un tel réseau peuvent être atteints par un broadcast;
dans un réseau TCP/IP, en général les broadcast ne traversent pas les routeurs, il faut donc un Master Browser sur chaque segment (chaque réseau IP);

Les protocoles de réseau de Windows

Browsing : balayage du voisinage réseau

Temps de propagation des modifications

jusqu'à 45 minutes peuvent s'écouler quand un PDC NT est arrêté avant que son domaine NT soit enlevé des "browse list" dans les autres domaines du réseau
dans un environnement NetBEUI, IPX ou TCP/IP non routé, jusqu'à 36 minutes peuvent s'écouler après l'arrêt d'un hôte avant que son nom ne soit enlevé de la browse list
dans un environnement avec des segments TCP/IP multiples, les synchronisations entre le Master browser et les Backup Browser locaux sur les segments ont lieu toutes les 15 minutes

==> au pire, cela peut prendre 51 minutes (36+15) avant qu'un changement soit propagé sur la browse list du segment IP voisin
==> sur un réseau à trois segments la propagation complète prendra 66 minutes (15 + 15 + 36)

Les protocoles de réseau de Windows

Browsing : balayage du voisinage réseau

Browsing : l'élection du Master Browser

le protocole d'élection du Master Browser est biaisé pour favoriser les machines Win NT Server et Win NT Workstation
mais il est aussi possible pour une machine Win95 ou une machine Samba/Unix de devenir Master Browser
un processus d'élection est déclenché chaque fois qu'une machine émet un paquet "election packet"; ce paquet contient un nombre représentant le système d'exploitation de la machine émettrice, son nom et la durée depuis laquelle elle est bootée.
un tel paquet est émis dans 3 cas :
- un client ne peut plus contacter le Master Browser
- un Backup Browser qui veut mettre sa liste à jour ne peut plus contacter le Master Browser
- un Master Browser "préféré" vient en ligne

Les protocoles de réseau de Windows

Browsing : balayage du voisinage réseau

Browsing : l'élection du Master Browser

les critères d'élections sont dans l'ordre :
- la version de protocole (non utilisé à ce jour)
- le type de l'OS avec :
NT ser 4 > NT ser 3.51 > NT work 4 > NT work 3.51 > Win95 > WfW
- le temps de vie : le plus vieux gagne
- le nom d'hôte : ordre alphabétique ( aaa bat zzz)
si un browser reçoit un paquet d'élection indiquant qu'il gagne l'élection, il doit le notifier aux autres en envoyant à nouveau un paquet d'élection;

si au bout de 4 fois il n'a reçu aucun paquet indiquant qu'il a perdu, il devient Master Browser, sinon il devient Backup Browser

Les protocoles de réseau de Windows

Résolution des noms dans un environnement routé

avec NetBIOS sur TCP/IP, un serveur ne peut pas toujours atteindre les autres serveurs avec des broadcast
WINS fournit une database centrale pour résoudre les noms Windows en adresses IP
une autre solution est de définir les adr.IP des hôtes dans un fichier LMHOSTS sur chaque machine (Lan Manager HOSTS), équivalent au /etc/hosts d'unix
WINS est basé sur et compatible avec le protocole NBNS définit dans les RFCs 1001 et 1002 : NetBIOS Name Service qui fournit un espace de nommage "plat".
WINS peut donc coopérer avec Samba qui implémente ces RFCs
quand un nouveau service devient disponible (une machine boote ou Samba démarre), ce service doit s'enregistrer auprès du serveur WINS pour devenir accessible des clients installés sur d'autres sous-réseaux
WINS stocke le nom du hôte, son domaine NT, son adresse IP
quand un hôte veut résoudre un nom, il demande d'abord au serveur WINS
Samba peut agir en tant que serveur WINS et aussi s'enregistrer correctement auprès d'un serveur WINS

Les protocoles de réseau de Windows

Résolution des noms dans un environnement routé

des clients sur lesquels WINS n'est pas configuré ne verront pas les serveurs situés sur d'autres sous-réseaux
en effet, la "browse list" ne fournit que des noms Netbios de serveurs et de domaines. Pour les traduire en adresses IP (et donc pouvoir atteindre un serveur sur un autre réseau IP), il faut utiliser WINS
pour les clients qui ne comprennent pas WINS, on peut installer un serveur Samba sur chaque réseau local, configuré comme un "WINS Proxy"

=> ainsi, même les PCs mal configurés ("out-of-the-box") verront les serveurs dans le voisinage réseau

Les protocoles de réseau de Windows

Résolution des noms dans un environnement routé

WINS peut se répliquer sur des serveurs backup, MAIS :
- il y a un délai entre les réplications
- si un hôte interroge un WINS-backup qui ne possède pas l'information, il y a échec de la requête sans essayer de contacter le WINS primaire
  --> s'il y a trop de changements et trop de serveurs WINS, ils ne seront jamais tous complètement synchrones
- ===> se limiter à deux serveurs au plus
la réplication de serveurs WINS est un protocole propriétaire non documenté, ce qui fait que Samba ne peut pas répliquer sa base WINS sur un serveur MS
un seul serveur WINS pour un campus moyen (500 machines) peut être suffisant

Les protocoles de réseau de Windows

Résolution des noms dans un environnement routé

Windows ne supporte pas le fait de "browser" un même "workgroup" réparti sur plusieurs sous-réseaux IP, MAIS, Samba peut le faire :
dans ce cas, il faut configurer le serveur Samba principal pour qu'il devienne "Domain Master Browser", puis les serveurs Samba locaux comme "Master Browser" et sur le serveur principal mettre :
remote browse sync = yes
attention ! si Samba est configuré pour devenir "Domain Master Browser" et que sur le réseau, il y a un serveur NT qui est aussi un PDC :
- si Samba boote avant le serveur NT, c'est Samba qui enregistre le nom DOMAIN<1B>
- les PCs clients essaieront de se logger sur Samba et ne pourront plus atteindre le serveur NT

Les protocoles de réseau de Windows

Browsing à travers des sous-réseaux
(un peu compliqué et parfois subtil)

il a fallut plusieurs essais à MS pour amener le système à son état actuel, qui marche ... la plupart du temps
l'implémentation permet aux domaines NT (mais PAS aux workgroups) de s'étendre sur plusieurs sous-réseaux IP
lorsqu'on essaie de mettre des workgroup de même nom sur deux sous-réseaux IP, il se produit des situations bizarres et indésirables
on va d'abord considérer le cas d'un domaine NT s'étendant sur plusieurs subnet IP : ceci nécessite un "Domain Master Browser".

Les protocoles de réseau de Windows

Browsing à travers des sous-réseaux
(un peu compliqué et parfois subtil)

un "Domain Master Browser" est responsable du maintient de la browse list pour un domaine NT étendu sur plusieurs subnets IP
chaque subnet va élire son propre Master Browser, qui aura autorité pour les noms des hôtes de son propre subnet
une fois élu, un Master Browser contacte le serveur WINS pour voir si il existe un "Domain Master Browser" pour le domaine NT auquel il appartient
s'il en existe déjà un, le Master Browser le contacte et mets en place avec lui une synchronisation toutes les 15 minutes
le Master Browser tournant sur le PDC est toujours le DMB
si aucune machine ne tourne NT server, Samba peut être le DMB.

Les protocoles de réseau de Windows

Browsing à travers des sous-réseaux

Schéma de l'exemple

Les protocoles de réseau de Windows

Browsing à travers des sous-réseaux

Exemple (schéma ci-dessus)

on suppose que chaque hôte du schéma doit apparaître dans la "browse list"
"ROUGE" est défini comme serveur WINS
"JEAN" est le contrôleur de domaine primaire (PDC) du domaine
remarque: le serveur WINS n'a pas besoin de faire partie du domaine, il peut être >
Transfert interrompu !
BR>
quand les machines sont bootées, une élection de master browser a lieu : JEAN étant le PDC gagne l'élection sur son sous-réseau, puis devient le "Domain Master Browser".
on suppose que "BLEU" et "PARIS" deviennent les Master Browser de leur sous-réseaux respectifs.
chaque hôte qui annonce un service fait un broadcast sur son sous-réseau et enregistre son nom dans le serveur WINS,
à la réception de la requête broadcast, chaque Master Browser sur chaque sous-réseau enregistre l'hôte émetteur de la requête, et est considéré comme ayant autorité pour le nom qu'il apprend via le broadcast,
un enregistrement d'une machine située sur un autre subnet est considéré comme "non-authoritative"

Les protocoles de réseau de Windows

Browsing à travers des sous-réseaux

Exemple (schéma ci-dessus - suite)

si toutes les machines sont bootées en même temps, la browse list de chaque Master Browser va contenir les machines de son sous-réseau :
- sous-réseau 1 : rouge , bleu , vert , jaune
- sous-réseau 2 : jean , paul , georges , jacques
- sous-réseau 3 : lille , paris , lyon , rouen
considérons le sous-réseau 1 :
- une fois élu Master Browser, "BLEU" consulte "ROUGE" (le serveur WINS) pour connaître qui est le DMB
- "ROUGE" réponds avec l'adresse IP de "JEAN"
- "BLEU" indique à "JEAN" qu'il est le Master Browser du subnet 1
- "JEAN" programme une synchronisation avec "BLEU"
après la synchronisation entre "JEAN" et "BLEU" les browse list contiendront:
- sous-réseau 1 : rouge , bleu , vert , jaune , jean , paul , georges , jacques
- sous-réseau 2 : jean , paul , georges , jacques , rouge , bleu , vert , jaune
- sous-réseau 3 : lille , paris , lyon , rouen
ensuite la même séquence aura lieu entre "JEAN" et "PARIS"
puis finalement les listes seront toutes identiques, après la deuxième synchronisation entre "JEAN" et "BLEU"

Les protocoles de réseau de Windows

Browsing à travers des sous-réseaux

Exemple (schéma ci-dessus - suite)

si l'un des routeurs s'arrête :
- les noms des hôtes qui sont de l'autre côté du routeur arrêté vont continuer d'apparaître dans la browse list locale pendant 36 minutes
- un essai d'atteindre l'un de ces hôtes va échouer
- si un hôte est coupé du serveur WINS par le routeur arrêté, il pourra atteindre les hôtes sur son segment local en utilisant la résolution de nom par broadcast NetBIOS, mais il ne pourra pas résoudre les adresses IP des hôtes d'un autre subnet, même si ce subnet continue d'être atteignable.
quand le routeur redémarre (si c'est après 36 minutes d'arrêt), les browse list ne seront rétablies qu'après une synchronisation avec le Domain Master Browser

Les composants de la suite Samba

par défaut dans /usr/local/samba
(sauf RPM RedHat)
quelle version avez-vous si pré-installée ?

[root@hydra /root]# locate log.smb 


/var/log/samba/log.smb


[root@hydra /root]# grep version /var/log/samba/log.smb


  smbd version 2.0.3 started.

samba/bin/ ___ tous les programmes de la suite
- _____===== Samba Core =====
- _____===== Samba Utilitaires =====
- _____===== Samba Clients =====
samba/ lib/ __ les fichiers de configuration _
__________ ( smb.conf ) _
samba/ private/ ___ le fichier smbpasswd : doit être lisible seulement par root
_ dir. private = mode 500,
_ file smbpasswd = mode 600
samba/ var/ ___ les fichiers de log __
log.smb , log.nmb , [wins.dat]
samba/var/locks/__ fichiers de lock pour chaque fichier ouvert par Samba

Les composants de la suite Samba

samba/bin/ : les programmes de la suite

_____===== Samba Core =====

nmbd ____ le serveur de noms NetBIOS (port 137)
smbd ____ le serveur de partage de fichiers (port 139)
smbrun __ utilisé par smbd pour lançer commandes
_____===== Samba Utilitaires =====

smbpasswd ___ ajouter utilisateur quand serveur tourne
addtosmbpass ______ utilitaires de gestion du fichier
convert_smbpasswd __ private/smbpasswd

nmblookup ___ chercher des noms NetBIOS
smbprint _____ imprimer depuis Unix vers imprimante Windows
smbstatus ____ montre statut des connexions Samba courantes
testparm _____ tester la cohérence d'un fichier de config
testprns _____ tester validité d'un nom d'imprimante
_____===== Samba Clients =====

smbclient __ client SMB "ligne de commande"
smbtar ____ tar un volume remote directement sur bande

Les composants de la suite Samba

Schéma d'un serveur Samba

____________[]____________

Jres 99

Contrôler des postes Windows avec SAMBA et Unix

____________________

Jean-François Micouleau, Dalalu Bordeaux

Michel Vayssade, UTC Compiègne

____________[]____________

Partie 2 : Configurer Samba

Plan

1 - Samba et les réseaux Windows

Introduction : qu'est-ce que Samba
Les protocoles de réseau de Windows
Les composants de la suite Samba

2 - Configurer Samba
Installation de Samba
- les sites, les sources, les binaires
- configuration réseau du PC client
- une première installation minimale
Les options de configuration
- le fichier smb.conf
- les macros et variables
- les paramètres de la section [global]
Sécurité et mots de passe
- sécurité de type "share" et "user"
- gestion majuscules / minuscules
- association de noms (map)
- passwd en texte et passwd crypté
- accessibilité (allow , deny , equiv)
3 - Utilisation avancée de Samba
Configuration des partages disques
Configuration des services imprimantes
Automatisation sur le serveur
Recherche de pannes - Vérification
Les outils Samba sur Unix
Contrôle d'un domaine Win9x
Samba PDC expérimental
Autres trucs et techniques
Documentation et bibliographie
La configuration du serveur
La configuration des services
Autres trucs et techniques
Documentation et bibliographie

Installation de Samba

Les sites web

site principal : http://samba.org
web sites :
http://fr.samba.org/samba/samba.html
http://us1.samba.org/samba/samba.html
download :
http://fr.samba.org/samba/download.html
ftp :
ftp://ftp.samba.org/pub/samba/
ftp://sunsite.org.uk/packages/samba/

Installer à partir des sources

Installer à partir d'un binaire

Le site principal : http://samba.org

Les sites web miroirs

Site de téléchargement

Site ftp

Samba T-shirts !

Installation de Samba à partir des sources

gtar xzvf samba-latest.tar.gz
compil + install : depuis la version 2.0, Samba supporte autoconf :
- ./configure
- make
- make install
3 répertoires à explorer :
- docs/ __ man , html , how-to
- examples/ ___ ex. de smb.conf
- source/
création de plusieurs répertoires
- bin/ ___ binaires
- lib/ ___ smb.conf
- var/ ___ logs , locks , smbd.pid , nmbd.pid, ...
- man/ __ man pages
- swat/ __ fichiers outil GUI editor

Installation de Samba à partir d'un binaire

(il peut y avoir des retards dans les versions pré-compilées)

Samba est disponible en format binaire pour tous les unix répandus :
- Solaris 2.x, SunOS 4.x, Ultrix, Irix, HP-UX, AIX,
  DEC-Unix
- Linux, FreeBSD, SCO
et aussi :
- Amiga, VMS, OS/2, MVS, Stratus-VOS, MPE/iX
lors de l'install d'une RedHat 6.0 il suffit de cocher 2 cases pour avoir Samba (V2.0.3) installé et lancé au boot
la version V2.0.5a existe en format RPM RH6.0 et permet "d'upgrader" la 2.0.3 en quelques minutes

Configuration réseau du PC client

Panneau de configuration / Réseau

--> carte ethernet + TCP/IP + Client Microsoft

Configuration réseau du PC client

Panneau de configuration / Réseau

--> TCP/IP / Propriétés

Configuration réseau du PC client

Panneau de configuration / Réseau

--> TCP/IP : config Wins

désactiver Wins = résoudre noms Netbios par broadcast (réseau local)

si routeur à traverser : spécifier serveur Wins

Configuration réseau du PC client

Panneau de configuration / Réseau

--> Identification : nom Netbios et "Workgroup"

Configuration réseau du PC client

Panneau de configuration / Réseau

--> lister la config : winipcfg.exe

Une première installation minimale

dans le vocabulaire Windows, un partage ("share") peut être un répertoire (toute la sous-arborescence est alors partagée) ou une imprimante
parfois un partage SMB est aussi appelé un service
après l'installation de Samba, il y a un fichier smb.conf installé qui contient des valeurs par défaut;
cette config. est utilisable pour un premier test, mais il vaut mieux répondre à une question préalable :
- de quel Workgroup ou Domaine sera-t-il membre ?
si vous voulez "voir" le serveur samba depuis des PCs déjà installés dans un Workgroup
dans smb.conf , modifier :
[global]

workgroup = recherche
par défaut, le nom du serveur sera le premier élément du nom DNS de la machine
ensuite, il faut arrêter et relancer Samba

Journal d'un première installation minimale sur un système Linux (RedHat 6.0)

==================================


[1] pendant l'install (RedHat 6.0):


==================================


    cocher les cases


	[*] installer Samba


	[*] lancer Samba au boot





état après install de Linux :


----------------------------


[mv@hydra mv]$ smbclient -L hydra  -U '' -N





Added interface ip=195.83.155.125 


bcast=195.83.155.255 nmask=255.255.255.0


Domain=[MYGROUP] OS=[Unix] Server=[Samba 2.0.3]





	Sharename   Type    Comment


	---------   ----    -------


	IPC$        IPC     IPC Service (Samba Server)


	lj          Printer   





	Server           Comment


	---------        -------


	HYDRA            Samba Server


	URANUS           Samba Server





	Workgroup        Master


	---------        -------


	MYGROUP          URANUS


[mv@hydra mv]$





[mv@hydra mv]$ netstat -a | grep netbios





tcp  0  0 *:netbios-ssn	     *:*	  LISTEN


udp  0  0 hydra.utc.f:netbios-dgm *:*	


udp  0  0 hydra.utc.fr:netbios-ns *:*


udp  0  0 *:netbios-dgm	     *:*				 


udp  0  0 *:netbios-ns	     *:*				 





[mv@hydra mv]$ nmblookup -B hydra __SAMBA__





Sending queries to 195.83.155.125


195.83.155.125 __SAMBA__<00>

Journal d'un première installation minimale sur un système Linux (RedHat 6.0)

=======================================


[2] modifier smb.conf et relancer Samba


=======================================


# edit smb.conf		!changer 2 lignes





	# workgroup = NT-Domain-Name or Workgroup-Name


	   workgroup = SI


	


	# server string (~= NT Description field)


	   server string = %h serveur Samba





#! relancer samba





	[root@hydra /etc]# cd rc.d/init.d/


	[root@hydra init.d]# ls smb


	smb


	[root@hydra init.d]# grep Usage smb


	echo "Usage: smb {start|stop|restart|status}"


	[root@hydra init.d]# ./smb restart

Journal d'un première installation minimale sur un système Linux (RedHat 6.0)

[root@hydra init.d]# ps -aef | grep mbd


root   553   1  0 Sep20 ?   00:00:00 smbd -D


root   564   1  0 Sep20 ?   00:00:00 nmbd -D





[root@hydra init.d]# ./smb restart


Shutting down SMB services:      [  OK  ]


Shutting down NMB services:      [  OK  ]


Starting SMB services:           [  OK  ]


Starting NMB services:           [  OK  ]





[root@hydra init.d]# ps -aef | grep mbd


root  2583    1  0 12:13 ?     00:00:00 smbd -D


root  2594    1  0 12:13 ?     00:00:00 nmbd -D


root  2598 2497  0 12:13 pts/7 00:00:00 grep mbd


[root@hydra init.d]# 





[mv@hydra mv]$ smbclient -L hydra  -U '' -N





Added interface ip=195.83.155.125 


bcast=195.83.155.255 nmask=255.255.255.0


Domain=[SI] OS=[Unix] Server=[Samba 2.0.3]





	Sharename   Type   Comment


	---------   ----   -------


	IPC$        IPC    IPC Service (hydra serveur Samba)


	lj          Printer   


	lp0         Printer   





	Server      Comment


	---------   -------


	HYDRA       hydra serveur Samba


	SIGMA       sigma, serveur FTP public





	Workgroup   Master


	---------   -------


	SI          SIGMA


[mv@hydra mv]$

Journal d'un première installation minimale sur un système Linux (RedHat 6.0)
"Connecter un lecteur réseau" à travers Samba

Après le lancement de Samba, machine Samba est vue dans le "voisinage réseau" :

On fait l'opération "Connecter un lecteur réseau" :

Journal d'un première installation minimale sur un système Linux (RedHat 6.0)
"Connecter un lecteur réseau" à travers Samba

Cette connexion donne accès au répertoire Unix de l'utilisateur sur la machine Samba:

Journal d'un première installation minimale sur un système Linux (RedHat 6.0)
Vision du serveur Samba depuis Windows

1 - après le 1er boot (smb.conf d'origine)

Microsoft(R) Windows 95


   (C)Copyright Microsoft Corp 1981-1995.





C:\WINDOWS>net view \\hydra


Erreur 53 : Le nom d'ordinateur spécifié dans le 


chemin réseau est introuvable. Vérifiez que le nom 


de l'ordinateur distant spécifié est correct 


ou réessayez lorsqu'il pourra être disponible.








C:\WINDOWS>net view \\kappa


Erreur 86 : Le mot de passe réseau spécifié est 


incorrect. Tapez le mot de passe correct ou pour 


plus d'informations, contactez votre administrateur


réseau.





C:\WINDOWS>net view \\kappa /yes


Ressources partagées à \\KAPPA





Nom de partageType    Commentaire


----------------------------------------------


dj1200_sapc1 Impr.


homes        Disque   Repertoires utilisateurs


lasbim1      Impr.


lasergb      Impr.


.....................


silaser1     Impr.


silaser2     Impr.


vayssade     Disque   Repertoires utilisateurs


Exécution achevée.





C:\WINDOWS>

Journal d'un première installation minimale sur un système Linux (RedHat 6.0)
Vision du serveur Samba depuis Windows

C:\WINDOWS>net view /?





Affiche la liste des ordinateurs dans le groupe 


de travail spécifié ou les ressources partagées 


disponibles sur l'ordinateur désigné.





  NET VIEW [\\ordinateur] [/YES]


  NET VIEW [/WORKGROUP:wgname] [/YES]





  ordinateur  Indique le nom de l'ordinateur 


              dont vous souhaitez afficher la 


              liste des ressources partagées.


  /WORKGROUP  Permet d'afficher les noms des 


              ordinateurs dans un autre


              groupe de travail qui partagent 


              des ressources.


  wgname      Identifie le groupe de travail 


              dont vous souhaitez afficher


              les noms des ordinateurs.


  /YES        Exécute la commande NET VIEW 


              sans vous demander au préalable


              de fournir des informations ou 


              de confirmer les opérations.





Pour afficher la liste des ordinateurs qui 


partagent des ressources dans votre groupe 


de travail, tapez la commande NET VIEW 


suivie d'aucun paramètre.





C:\WINDOWS>


C:\WINDOWS>net view /workgr:mygroup


Serveurs disponibles dans le groupe de 


travail MYGROUP.


Nom de serveur         Remarque


-----------------------------------------


\\HYDRA                Samba Server


\\URANUS               Samba Server


Exécution achevée.





C:\WINDOWS>

Journal d'un première installation minimale sur un système Linux (RedHat 6.0)
Vision du serveur Samba depuis Windows

2 - après le 2ème boot (smb.conf modifié)

C:\WINDOWS>net view /workgroup:SI


Serveurs disponibles dans le groupe de travail SI.


Nom de serveur   Remarque


-----------------------------------------------


\\HYDRA          hydra serveur Samba


\\KAPPA          kappa, serveur des PC du SI





>>>>>>>>> ici, faire :


>>>>>>>>> explorateur / outils / 


>>>>>>>>>     connecter un lecteur réseau





C:\WINDOWS>


C:\WINDOWS>net view \\hydra


Ressources partagées à \\HYDRA





Nom de partageType         Commentaire


--------------------------------------------------


lj           Impr.


lp0          Impr.


vayssade     Disque       Home Directories


Exécution achevée.





C:\WINDOWS>

Journal d'un première installation minimale sur un système Linux (RedHat 6.0)
Depuis Windows : connexion avec "net use"

Le programme windows "net" possède de nombreuses commandes utiles en plus "net view" :

C:\WINDOWS>net /?





Pour plus d'informations concernant une 


commande NET particulière de Microsoft


, tapez le nom de la commande suivi de 


/? (par exemple, NET VIEW /?).





NET CONFIG   Affiche les paramètres couran


NET DIAG     Exécute le programme de diagn


             qui permet d'afficher des inf


             votre réseau.


NET HELP     Fournit des informations conc


             les messages d'erreur.


NET INIT     Charge les pilotes des protoc


             les lier au gestionnaire des 


NET LOGOFF   Interrompt la connexion entre


             les ressources partagées auxq


NET LOGON    Permet de vous identifier en 


             de travail.


NET PASSWORD Modifie votre mot de passe d'


NET PRINT    Affiche des informations conc


             d'impression et gère les tâch


NET START    Démarre les services.


NET STOP     Arrête les services.


NET TIME     Affiche l'heure ou synchronis


             par rapport à celle d'un serv


             Workgroups, Windows NT, Windo


NET USE      Permet de se connecter à une 


             déconnecter de celle-ci, ou d


             concernant les connexions.


NET VER      Affiche le type et le numéro 


             redirecteur du groupe de trav


NET VIEW     Affiche la liste des ordinate


             des ressources ou la liste de


             sur un ordinateur spécifique.

Journal d'un première installation minimale sur un système Linux (RedHat 6.0)
Depuis Windows : connexion avec "net use"

"net use" permet de "connecter un lecteur réseau" et de le déconnecter depuis la ligne de commande, ce qui permet de mettre ces commandes dans des fichiers ".bat" que l'on pourra faire exécuter automatiquement sur le PC, au login et au logout réseau sur Samba :

connecter un lecteur réseau :





C:\WINDOWS>net use h: \\sirius\vayssade


Mot de passe non valide pour \\SIRIUS\VAYSSADE. 


Pour plus d'informations, contactez votre 


administrateur réseau.


Tapez le mot de passe pour \\SIRIUS\VAYSSADE :**********


Exécution achevée.





C:\WINDOWS>





déconnexion du lecteur réseau :





C:\WINDOWS>net use h: /delete /yes


Exécution achevée.





C:\WINDOWS>


C:\WINDOWS>net use





Etat            Nom local       Nom à distance


-----------------------------------------------------


OK              F:              \\KAPPA\VAYSSADE


OK              G:              \\HYDRA\VAYSSADE


Exécution achevée.





C:\WINDOWS>


C:\WINDOWS>net ver





Microsoft Client - Redirecteur complet. Version 4.00


Copyright (c) Microsoft Corp. 1993-1995.   





C:\WINDOWS>net config


Nom d'ordinateur               \\VIRGO


Nom d'utilisateur              VAYSSADE


Groupe de travail              SI


Rép. racine de la station      C:\WINDOWS





Version du logiciel            4.00.950


Version du redirecteur         4.00


Exécution achevée.





C:\WINDOWS>

Journal d'un première installation minimale sur un système Linux (RedHat 6.0)
Arborescence vue à travers Samba

Il peut être utile de ne pas montrer toute l'arborescence des utilisateurs Unix à travers Samba, mais seulement une branche :

[homes]


   comment = Home Directories


   path=/home/%u/pc


   browseable = no


   writable = yes

Journal d'un première installation minimale sur un système Linux (RedHat 6.0)
Utilisation d'un lecteur ZIP à travers Samba

[root@hydra /root]# 


mount -t vfat -o uid=500,gid=500 /dev/hdd4 /z





[mv@hydra mv]$ ls -l /z/


total 556


drwxr-xr-x  2 mv mv  2048 Sep 22 18:54 samba








On crée un lien 


depuis le répertoire utilisateur 


vers le point de montage du zip :





[mv@hydra mv]$ ln -s /z z


Par ce lien, le contenu du zip est accessible


dans le lecteur réseau :

Configuration de Samba : smb.conf

configuration => smb.conf
*! smb.conf est utilisé par smbd et nmbd, ainsi que par d'autres outils de la suite Samba
en version 1.9.17 il y avait 165 paramètres;
en version 2.0.x :
- 130 paramètres globaux
- 100 paramètres relatifs aux partages
- le man de smb.conf compte ~ 8500 lignes de texte
- ==> presque tout est configurable
la structure de smb.conf ressemble à celle d'un windows ".INI"
chaque [section] correspond à un service réseau, avec en plus une section [global]
- [global]
  nom_de_paramètre = une_valeur
  ; une ligne de commentaire
  ; noms de param. et valeurs sont \ insensibles à la casse, sauf si ceci est pertinent pour le système d'exploitation hôte
  
  [section]
  ...
  # ceci est aussi un commentaire
  
  param = true
  ; true , yes , 1
  ; false, no , 0
il y a trois sections par défaut :
[global], [homes] et [printers]

Les options de configuration:

Format des lignes de smb.conf

Les options de configuration:

les 3 sections spéciales du fichier smb.conf

[global]
- paramètres qui affectent tout le serveur
- permet de spécifier des valeurs par défaut pour des paramètres des sections de services
[homes]
- permet de donner accès à chaque répertoire "home", sans créer explicitement une section par utilisateur
- les clients se connectent à des services de Samba
- si un client "durand" se connecte au service "dupond", et que ce service n'est pas défini explicitement dans smb.conf, Samba cherche "dupond" dans le fichier password Unix;
- si le password est correct, un service virtuel temporaire est créé par Samba avec les valeurs des paramètres spécifiées dans la section [homes] et ayant comme nom "durand" (le nom du user qui se connecte, pas le nom du service virtuel);
- si le "username" envoyé à la connexion n'est pas trouvé dans /etc/passwd , une erreur "Invalid ressource in tree connexion request" est renvoyé au client.
[printers]
- si cette section existe, les clients peuvent utiliser toutes les imprimantes définies dans le /etc/printcap du serveur: par analogie avec [homes] cette section générique crée des services virtuels à partir des entrées du /etc/printcap
- si on est sur un système unix sans fichier /etc/printcap ,(ex. AIX), il faut en créer un listant tous les noms d'imprimantes valides sur le système.

[autres]
- en plus des 3 sections de base, on peut créer des partages adaptés au site : ils deviendront des services accessibles par \\serveur\service
  ( par exemple un répertoire où un groupe d'utilisateurs identifiés pourront déposer/retirer des fichiers par glisser déposer depuis l'explorateur Windows)

Les options de configuration:

Les macros et variables

Macros toujours disponibles

%U = le username demandé par le client à l'ouverture de la session, passé par le client au serveur
%G = groupe primaire de l'utilisateur %U
%M = nom DNS de la machine cliente (en minuscules)
%I = adresse IP de la machine cliente
%m = nom NETBIOS de la machine cliente
%h = nom de l'hôte sur lequel tourne Samba
%L = le nom NETBIOS du serveur
%a = architecture de la machine cliente; sont reconnus : Samba, WfWg, Win95, WinNT; Tout le reste est "UNKNOWN".
%R = le niveau de protocole négocié : CORE, COREPLUS, LANMAN1, LANMAN2, NT1
%N = nom du serveur NIS
%T = date et heure courante
%d = PID du process serveur courant
%v = version de Samba

Macros disponible uniquement dans un contexte de "partage"
%u = username du service courant (si défini, par exemple avec force user = xxx)
%g = nom du groupe primaire de l'utilisateur %u
%H = le "home" directory de l'utilisateur %u
%P = root directory du service courant
%S = nom du service courant

Les options de configuration:

Les macros et variables

peuvent être utilisées partout où une chaîne de caractères est valide. Exemples :
- login script = %a.bat
  - -> client W95 => w95.bat
  - -> client WNT => winNT.bat
- [homes]
  path = %H
  valid user = %S

Cet exemple (%S) restreint les connections à l'utilisateur dont le username est le même que celui du service virtuel créé à la connexion à l'image de [homes] et qui a pour nom le username trouvé dans /etc/passwd

Seul dupond pourra se connecter sur le répertoire home/dupond d'unix; durand ne pourra pas, même s'il connaît le mot de passe unix de dupond et même si le répertoire home/dupond est en mode 777 !

Les options de configuration:

les paramètres de la section [global]

include = /usr/local/samba/lib/smb.conf.%x (x = une macro)
si le fichier n'existe pas, l'ordre est ignoré
ceci permet de faire des fichiers conditionnels
netbios name = BIDULE
le nom que sera montré par nmbd sur le réseau windows
si absent, Samba utilise la première partie du nom DNS du serveur
netbios alias = TRUC MACHIN
alias : avec %m permet de créer des serveurs "virtuels" multiples
workgroup = GROUPE_MATH
nom de workgroup
la commande Windows C:\> net view permet de voir les serveurs SMB dans le Workgroup auquel appartient cette machine Windows
server string = Serveur de l'enseignement
commentaire qui apparaît dans les listes de balayages de windows
auto services = laser1
fait apparaître le nom dans la browse list (ne crée pas le service)
auto services = Public
déconseillé : potentiellement dangereux

Les options de configuration:

les paramètres de la section [global]... suite
paramètres relatifs à l'élection du browser

local master = yes
si "yes", nmbd va essayer de devenir local master
cela ne veut pas dire que nmbd va gagner l'élection !
preferred master = no
si oui, nmbd va s'annoncer comme "preferred master", ainsi quand Samba est lancé, il va provoquer une élection
ne mettre à yes que si on a aussi "domain master = true"
s'il y a un serveur NT sur le réseau, mieux vaut le laisser devenir master browser
os level = 33
si on veut que samba devienne master browser, mettre cette valeur plus élevée que les autres machines candidates (0 à 255)
domain master = yes
samba est ou pas, le master browser du réseau windows
si "yes", définir soit "wins server" soit "wins support"
wins server = unnom.de.domaine.dns
nom du serveur wins (noms NETBIOS) du réseau
si défini, ne pas mettre en même temps "wins support = true"
wins support = yes / no
contrôle si samba doit agir comme un serveur wins
wins proxy = yes / no
samba peut agir comme serveur wins proxy, répondant aux requêtes en utilisant un serveur wins
dns proxy = yes / no
si "yes", quand nmbd reçoit une requête pour un nom NETBIOS inexistant, il essaie de chercher un nom DNS
announce as = NT ou Win95
announce version = 4.2 (ne pas changer)

Les options de configuration:

les paramètres de la section [global]... suite
paramètres relatifs au réseau

interfaces = 192.54.189.11/24 192.55.130.20/255.255.255.0
donne à samba la liste des interfaces (si le serveur hôte en a plusieurs) sur lesquelles samba doit présenter ses services; (24 = spécifications du nombre de "1" dans le masque).
name resolver order = lmhosts hosts wins bcast
cet ordre est la valeur par défaut
- lmhost : fichier samba lmhost
- host : faire une recherche "standard" host-to-IP
- wins : appel à un serveur wins
- bcast : résolution par broadcast (réseau local)
dead time = 15
durée en minutes d'inactivité d'une connexion avant qu'elle ne soit coupée (défaut = 0 = jamais coupée)
log file = fichier
(défaut défini à la compilation)
max log file = 2000
2000 = 2 Mo : quand dépassé, rename log en log.old
si log.old existe déjà, il est écrasé
Samba ne peut être membre que d'un seul Workgroup

Les options de configuration:

Vérifier le fichier smb.conf et lancer samba

unix # testparm
=> imprime toutes les valeurs par défaut non modifiées dans le smb.conf ; vérifie et signale les erreurs de syntaxe.
lancement de samba :
- deux méthodes: par inetd ou comme des démons autonomes
--> le choix est fonction du nombre et de la fréquence des connexions :
- place mémoire occupée par Samba :
  - =~ 1.5 Mo x Nbre_users_simultanés
démons : service plus rapide
inetd : si peu utilisé, pas de gaspillage de mémoire

Les options de configuration:

Tester le serveur Samba actif

unix > smbclient -L kappa -N
- -L serveur -> liste des partages disponibles
- -N -> pas de demande de password par le serveur puisqu'on ne demande pas de connexion
se connecter au répertoire partagé "projet" en tant qu'utilisateurs "pierre" :

unix > smbclient //kappa/projet -U pierre

Sécurité et mots de passe

Comment Samba valide-t-il une connexion ?
Dans SMB il y a deux modes de validation. Le choix dans Samba se fait par le paramètre security = valeur

SMB
Samba
commentaire

share share
valeur par défaut pour V <= 1.19

user user
server
domain
valeur par défaut pour V >= 2.00
variation du mode user
idem

la validation d'un mot de passe peut se faire de différentes façons sur la machine Unix :

Sécurité et mots de passe

security = share

c'est le modèle par défaut de Win95 qui "partage" des fichiers ou un imprimante : il y a un passwd par "partage"

c'est un modèle différent de celui d'unix (user/passwd pour une session) car il y a un passwd par partage
mais Samba fonctionne "à la unix" en essayant toujours de valider une paire "user / passwd"
==> cette méthode est déconseillée avec Samba
malgré tout, elle peut fonctionner dans certains cas, car certains clients (e.g. Win95) envoient aussi une requête de connexion contenant un username

Sécurité et mots de passe

security = user

le serveur Samba accepte une paire (username / passwd ) et essaie de la valider.
si la validation réussi, une session est établie et il n'est plus nécessaire de transmettre de password lors des requêtes de "tree connexion" suivantes (accès à l'arborescence sous le partage initial).

Sécurité et mots de passe

security = user

si on examine avec "tcpdump-SMB-enabled" les trames échangées entre certains clients (e.g. Win95) et le serveur Samba, on constate que la paire username / password lors de la requête de "session connexion" est transmise en MAJUSCULES :

Samba va faire une série d'essais pour valider cette paire vis à vis d'une base de compte le plus souvent en minuscules (voir plus loin).

Sécurité et mots de passe

security = server

le serveur Samba fait croire au client qu'il est en mode security = user et fait faire la validation du mot de passe par un autre serveur

Sécurité et mots de passe

security = server

le serveur Samba agit comme un proxy :
le(s) serveur(s) de mots de passe est désigné par :
password server = serveur1 serveur2 serveur3
Samba essaie d'atteindre "serveur1"
- s'il réussit, serveur1 fait l'authentification
  - si celle-ci réussit : OK
  - si celle-ci échoue : FIN, pas d'autre essai
Si serveur1 n'est pas atteignable, Samba cherche à atteindre "serveur2"
les noms "serveur1" ... doivent être des noms NetBIOS, et ceux-ci doivent être traduisibles en adresses IP par Samba
"serveur1", ... peuvent être un PDC WinNT ou un autre serveur Samba
finesse : si Samba fait faire la validation "user / pass" par une autre machine, il a tout de même besoin d'associer un UID_unix au username afin de pourvoir faire le contrôle d'accès aux fichiers stockés sur la machine unix => il faut un fichier /etc/passwd contenant au moins des champs "username", "uid:gid" et "home" valides, le champ "pass" peut être à "*" et le champ "shell" à /usr/bin/false.
** cet UID_unix n'est pas l'UID de session renvoyé au client lorsque la connexion est acceptée.

Sécurité et mots de passe

security = domain

principe identique au mode security = server, mais en plus, le serveur Samba peut devenir membre du domaine NT

Sécurité et mots de passe

username level = n
password level = m

Pour traiter le cas des usernames / passwd qui lui parviennent en majuscules, Samba fait plusieurs essais successifs, le nombre des essais dépendant du paramètre "username level":
- essai de trouver un username correspondant,
- si on trouve un username, essai de valider le passwd
trouver le username (ex. reçu "DUPOND") :
- essai en mettant tout en minuscule : "dupond"
- essai de "Dupond"
- essai (force brute) de toutes les permutations de 1 à N lettre en majuscules (N = username level) :
  Dupond dUpont duPont dupOnt dupoNt duponT
  DUpond DuPont DupOnt .......
pour le mot de passe, le mécanisme est le même, sauf que au début, le mot de passe est aussi essayé "tout en majuscules".

Sécurité et mots de passe

username map = fichier

parfois l'intégration de deux ensembles de comptes (Unix et WinNT) peut poser des problèmes "insolubles" (i.e. sans changer les habitudes des utilisateurs);
en particulier la possibilité sous WinNT de choisir des usernames incluant des espaces tels que "Jean Dupond".
le paramètre username map permet de spécifier le nom d'un fichier contenant des correspondances entre les users "WinNT" et les users Unix sous la forme :
unix_user = win_user1 win_user2
Par exemple :
root = Administrator Admin
!!! ce fichier doit être modifiable seulement par root !!!
le remplacement du username est la première chose faite : ainsi, si on fait connect to \\serveur\jean et que le fichier "map" contient la ligne "jean = pierre", on sera connecté à \\serveur\pierre et il faudra fournir le password du username unix "pierre"

Sécurité et mots de passe

password en texte et password crypté

Samba supporte les deux méthodes d'encryptage : LanManager et WinNT-SMB
WinNT implémente un protocole d'échange de données cryptées entre le client et le serveur, pour éviter de laisser circuler les mots de passe en clair, dans les trames réseau.
Cette méthode est-elle une garantie de sécurité ?
La revue de détail du protocole va montrer que non, pour plusieurs raisons :
- l'algorithme de hachage du mot de passe n'utilise pas de graine ("seed") => si deux utilisateurs ont choisi le même mot de passe, les chaînes hachées seront les mêmes.
- le serveur stocke les chaînes hachées une fois pour toutes, les transformant ainsi en un "équivalent mot de passe",
- lors du changement de mot de passe par un utilisateur, le mot de passe est transmis au serveur dans un paquet qui peut être décodé par "force brute",
- les chaînes hachées des mots de passe sont stockées dans la base SAM, cryptées par un algorithme qui a été reconstitué par "reverse engineering" et cassé par force brute, par un programme disponible sur Internet (MS croyait encore à la "sécurité par l'obscurité"!).

Sécurité et mots de passe

password en texte et password crypté

le dialogue client NT - serveur NT pour la validation du mot de passe (1 / 3 )

Sécurité et mots de passe

password en texte et password crypté

le dialogue client NT - serveur NT pour la validation du mot de passe (2 / 3 )

Sécurité et mots de passe

password en texte et password crypté

le dialogue client NT - serveur NT pour la validation du mot de passe (3 / 3 )

Sécurité et mots de passe

password en texte et password crypté

donc, les valeurs cryptées contenues dans la SAM peuvent être "crackées" et fournir les "hash-values"
ces "hash-values" (résultat d'un premier cryptage du mot de passe en clair) sont celles qui sont utilisées dans le protocole "challenge - réponse" de validation,
si on connaît les hash-values, on peut participer au protocole avec succès, sans jamais avoir besoin de connaître le vrai mot de passe !
ainsi, un bon password, résistant à une attaque par dictionnaire, peut tout de même être détourné
==> les "hash-values" sont aussi précieuses que les mots de passe en clair, d'où leur surnom "d'équivalents password"
==> à partir d'une base de "hash-values, on peut mener une attaque par force brute et dictionnaire pour découvrir les vrais mots de passe (plusieurs programmes de ce type existent sur Internet)
==> il est important de protéger la base SAM aussi bien qu'un /etc/passwd unix (et d'en nettoyer les copies de "backup" qui sont laissées par le processus d'installation d'un serveur NT)
le programme de dump de la base SAM (écrit par Jeremy Allison) s'appelle pwdump.exe et est très utile au gestionnaire système pour reprendre une base NT existante et la faire gérer par samba
ftp://_un_site_samba_/
pub/samba/pwdump/pwdump.exe

Sécurité et mots de passe

password en texte et password crypté

un "hot fix" inclus dans le Service Pack 3 de Win NT 4.0 permet l'utilisation d'une clé de 128 bits pour crypter les "hash-values" avant de les stocker dans la SAM
mais, pour valider un login le système doit connaître la clé: il faut fournir la clé au système: 3 façons :
1. la stocker "quelque part" dans le système (sécurité par l'obscurité)
2. la stocker sur une disquette dans A:Startkey.key
  - soit le floppy est présent tout le temps (sécurité ??)
  - soit il est inséré au boot puis enlevé -> empêche le reboot automatique
3. entrer la clé manuellement au boot

Sécurité et mots de passe

password en texte et password crypté : choisir

passwd texte (circule en clair sur le réseau) :

permet utiliser même base /etc/passwd qu'unix
la distribution de départ de W95 utilisait les passw en texte
avec la distribution du "network redirector update" W95 envoie le passwd crypté

C:\WINDOWS\SYSTEM>





VREDIR   VXD  156 761  24/08/96  11:11 VREDIR.VXD


VNETSUP  VXD   19 129  24/08/96  11:11 VNETSUP.VXD

avec la distribution WinNT 4 - SP3 le défaut devient aussi le passwd envoyé crypté
pour travailler en mode texte avec les clients récents, il faut leur modifier une clé de registre :

W95 :
[HKLM\System\CurrentControlSet\Services\VxD\VNETSUP] "EnablePlainTextPassword"=dword:00000001

WNT :
[HKLM\System\CurrentControlSet\Services\Rdr\Parameters] "EnablePlainTextPassword"=dword:00000001

!*! cette clé rend ces clients capables d'utiliser les passwd en clair, elle ne les force pas (ils peuvent les deux selon ce que demande le serveur SMB (échange "negociate protocole"))

Sécurité et mots de passe

password en texte et password crypté : choisir

passwd crypté (circule crypté sur le réseau) :

samba valide l'accès sur réception d'une hash-value envoyée par la client et comparée à celle stockée dans la base de mots de passe SMB "smbpasswd"
permet d'utiliser tels quels les clients récents
impose de patcher les anciens W95
impose la gestion simultanée de deux databases de passwd (celle de unix dans /etc/passwd et celle de NT dans samba/private/smbpasswd)
encrypt passwd = yes
format du fichier smbpasswd

username:uid:xx_32_octets_hash_Lan_Man_xx:
xx_32_octets_hash_NT_xxxx:flags:lastset:

lastset=date du dernier changement du mot de passe

Sécurité et mots de passe

construire et remplir une base de passwd NT
encrypt passwords = yes

la création de la base et son remplissage par des mots de passe peut être une tâche assez pénible
deux solutions :
1. reporter la tâche sur les utilisateurs en les laissant gérer les deux passwords (unix et SMB)
2. organiser un remplissage progressif et automatique de la base de passwords SMB (samba/private/smbpasswd)
dans les deux cas, il faut commencer par créer une base de mots de passe SMB par l'utilitaire mksmbpasswd.sh :
cat /etc/passwd | mksmbpasswd.sh > private/smbpasswd
les entrées sont créées avec un null password :
username:uid:XXXX...XXX:XXX...XXX:...
exactement 32 caractères "X"
une entrée avec un "nul password" interdit le login
enlever (edit) les entrées qui ne doivent jamais avoir accès par samba: root, cron, daemon, etc ...
modifier les entrées pour en faire des entrées "no password" (l'accès est toujours permis) :
user:uid:NO PASSWORDXX...XX:XX...XX:..
et toujours 32 car. par champ passwd !
null password = yes
ou alors mettre des mots de passe "à la main" avec l'utilitaire samba/bin/smbpasswd

Sécurité et mots de passe

construire et remplir une base de passwd NT
encrypt passwords = yes

apprendre aux utilisateurs à changer leurs 2 mots de passe:
1. pass unix avec /bin/passwd
2. pass SMB avec samb/bin/smbpasswd
  (l'utilitaire bin/smbpasswd permet de modifier les mots de passe du fichier samba/private/smbpasswd )
remplir la base SMB avec des valeurs de hash pendant une période de transition où l'on fait :
update encrypted = yes
encrypt password = no
- le mot de passe (unix) est transmis en texte,
- samba valide l'accès par rapport à /etc/passwd
- samba calcule et stocke la hash-value dans smbpasswd,
- au bout d'un certain temps smbpasswd contient pour la plupart des users la hash-value correspondante au passwd unix
- on refait alors :

update encrypted = no
encrypt password = yes

... et lors de la négociation de protocole, Samba réclame un password crypté au client, qui lui envoie une hash-value représentant ce password, qui est validée par rapport au contenu de smbpasswd

les utilisateurs se s'aperçoivent de rien
**!!** il reste alors à garder synchrones les bases SMB et Unix si on désire que les utilisateurs n'aient qu'un seul mot de passe pour leurs passwd NT et Unix.

Sécurité et mots de passe

garder synchrones des passwd NT et Unix

si on a choisi les mots de passe en texte (i.e. en clair) la seule base /etc/passwd unix suffit : les accès SMB et les accès unix sont validés par rapport à elle.
si on a choisi les mots de passe cryptés (encrypt passwords = yes) les accès SMB sont validés par rapport à la base private/smbpasswd qui contient les "hash-values" LanMan ou NT.
mais dans ce dernier cas les accès unix continuent à être validés par rapport à /etc/passwd
si on veut que les deux mots de passe (unix et SMB) restent les mêmes (ce n'est pas obligatoire, mais c'est plus simple pour les utilisateurs, ... et plus compliqué pour l'ingénieur système !), il va falloir mettre en place un mécanisme de synchronisation :
1. aujourd'hui :
- valider les logins WinXX sur SMB et propager les changements de mots de passe vers la base unix;
- pour propager les changements de mots de passe faits directement sur Unix, on peut :
  - (sur certains unix seulement comme Solaris ou Linux) utiliser les modules PAM (Pluggable Authentication Modules)
  - remplacer la commande "passwd" par un script qui appelle successivement /bin/passwd et /samba/bin/smbpasswd
1. demain :
- utiliser une base unique LDAP pour authentifier aussi bien les passwords SMB que les passwords Unix

Sécurité et mots de passe

garder synchrones des passwd NT et Unix

unix password sync = yes / no

ce paramètre demande à Samba de propager le nouveau mot de passe SMB vers Unix : ceci est possible car Samba implémente l'API de changement des mots de passe et que, au moment du changement, Samba a accès au nouveau password en clair, même si celui-ci a été transporté crypté sur le réseau.

unix password chat = \


*old*password* %o\n \


*new*password* %n\n \


*new*password* %n\n \


*changed*

ce paramètre décrit le dialogue attendu du programme Unix de changement des mots de passe

Sécurité et mots de passe

garder synchrones des passwd NT et Unix

propager les changements de Unix vers NT :

pam_smbpass

le module pam_smbpass de Stephen Langasek :
ftp://ftp.netexpress.net/pub/pam
dispo. en source ou en RedHat RPM
cp pam_smbpass.so /lib/security
ajouter à /etc/pam.d/login :

auth   required   /lib/security/pam_smbpass.so

pam_smbpass va mettre à jour à la fois la base Unix et la base SMB, MAIS, il ne peut le faire que sur la machine sur laquelle il est installé => pour que ça fonctionne il faut faire le changement de mot de passe sur la machine qui supporte le serveur Samba

il existe d'autres packages PAM, mais qui ne font pas la mise à jour du mot de passe SMB

Sécurité et mots de passe

accessibilité (allow , deny , equiv)

Samba possède des options de contrôle des connections, en plus de la validation standard par "user / passwd" :

hosts allow = 192.168.1.10 195.55.180 \
truc.machin.fr 192.168 except 192.168.1 





hosts deny = 195.10 178.1 mechan.hack.com








hosts equiv = /etc/hosts.equiv

!! liste de hosts ou users accédant sans passw



user host = yes

!! utilise ~/.rhosts du user qui se connecte

root directory = /samba_root
même fonction que le changement de root dir. des ftp anonymes; attention de mettre sous cette racine tous les scripts et fichiers nécessaires !

____________[]____________

Jres 99

Contrôler des postes Windows avec SAMBA et Unix

____________________

Jean-François Micouleau, Dalalu Bordeaux

Michel Vayssade, UTC Compiègne

____________[]____________

Partie 3 : Utilisation avancée de Samba

Contrôler des postes Windows avec SAMBA et Unix
Plan

1 - Samba et les réseaux Windows

Introduction : qu'est-ce que Samba

Les protocoles de réseau de Windows

Les composants de la suite Samba

2 - Configurer Samba

Installation de Samba

Les options de configuration

Sécurité et mots de passe

3 - Utilisation avancée de Samba

Configuration des partages disques

Configuration des services imprimantes

Automatisation sur le serveur

Recherche de pannes - Vérification

Les outils Samba sur Unix

Contrôle d'un domaine Win9x

Samba PDC expérimental

Autres trucs et techniques

Documentation et bibliographie

Un smb.conf minimum, avant ajout de configuration de partages disques

#=================== Global Definitions =================


[global]





   workgroup = SI


   server string = %h serveur Samba





   printcap name = /etc/printcap


   load printers = yes





   log file = /var/log/samba/log.%m


   max log size = 50





   security = user


   socket options = TCP_NODELAY 





   dns proxy = no 





#=================== Share Definitions ==================


[homes]


   comment = Home Directories


   browseable = no


   writable = yes





[printers]


   comment = All Printers


   path = /var/spool/samba


   browseable = no


# Set public = yes to allow user 'guest account' to print


   guest ok = no


   writable = no


   printable = yes





# This one for people to share files


;[projet]


;   comment = exemple de partage


;   path = /home/projet


;   read only = no

Configuration des partages disques

Scénario d'une première création d'un répertoire partagé

on veut permettre aux usernames "pierre" et "jean" de partager le répertoire "projet"
dans /etc/passwd il y a deux entrées :
- pierre:zzzzz:.....:/homes/pierre:/usr/bin/bash
- jean:zzzzz:........:/homes/jean:/usr/bin/bash
dans /etc/group on crée un groupe "pj"
- projet:pierre:jean
on crée le répertoire "projet" avec les protections adéquates:
- mkdir /home/projet
- chgrp projet /home/projet
- chmod 770 /home/projet
- chmod g+s /home/projet

ajouter une section [projet] dans smb.conf :

[projet]
comment = répertoire commun pierre et jean
; le texte ci-dessus apparait dans l'explorateur
path = /home/projet
writable = yes
valid users = @projet
# les membres du group "projet" ont accès
locking = yes
; modes par défaut à la création de fichiers:
create mode = 0660
directory mode = 0770
force group = projet

ensuite, il suffit à pierre et jean de "connecter un lecteur réseau" en désignant le répertoire partagé :
- \\hydra\projet

Configuration des partages disques

Un premier partage. Journal de la mise en place. Apparence dans le "voisinage réseau"

création sous unix :

[root@hydra /]# groupadd -g 400 projet


[root@hydra /]# useradd -g 100 -u 601 -c "Samba pierre" pierre


[root@hydra /]# useradd -g 100 -u 602 -c "Samba jean" jean    


[root@hydra /]# passwd pierre 





[root@hydra /]# pico /etc/group


[root@hydra /]# grep users /etc/group


users::100:


[root@hydra /]# grep projet /etc/group


projet:x:400:pierre,jean





[root@hydra /]# mkdir /home/projet


[root@hydra /]# ls -lgd /home/pierre/


drwx------  4 pierre  users  1024 Oct 12 16:06 /home/pierre


[root@hydra /]# chgrp projet /home/projet/


[root@hydra /]# ls -lgd /home/projet/


drwxr-xr-x  2 root    projet 1024 Oct 12 16:13 /home/projet


[root@hydra /]#

Configuration des partages disques

Un premier partage. Journal de la mise en place. Apparence dans le "voisinage réseau"

lancer Samba avec un smb.conf minimal :

[global]


  workgroup = recherche


  netbios name = hydra


  server string = Serveur recherche


  security = user

avec cette config, le serveur va apparaître dans la "browse list" :

Configuration des partages disques

Un premier partage. Journal de la mise en place. Apparence dans le "voisinage réseau"

mais il ne contiendra pas le partage "projet" (les partages du serveur sont visibles par double-clic sur le nom du serveur) comme ci-dessous :
si on ajoute au smb.conf la section suivante :

[projet]


  comment = exemple de partage sur hydra


  path = /home/projet


  browsable = yes

alors, le partage "projet" apparaît dans le voisinage réseau :

Configuration des partages disques

Un premier partage. Journal de la mise en place. Apparence dans le "voisinage réseau"

pour l'obtenir, on a relancé Samba avec le smb.conf modifié:

[root@hydra /etc]# cd rc.d/init.d/


[root@hydra init.d]# ./smb restart


Shutting down SMB services:             [  OK  ]


Shutting down NMB services:             [  OK  ]


Starting SMB services:                  [  OK  ]


Starting NMB services:                  [  OK  ]





[root@hydra init.d]# smbclient -L hydra -U '' -N


Added interface ip=195.83.155.125 


bcast=195.83.155.255 nmask=255.255.255.0


Domain=[SI] OS=[Unix] Server=[Samba 2.0.3]





  Sharename    Type    Comment


  ---------    ----    -------


  projet       Disk    exemple de partage sur hydra


  IPC$         IPC     IPC Service (hydra serveur Samba)


  lj           Printer   


  lp0          Printer   





  Server               Comment


  ---------            -------


  HYDRA                hydra serveur Samba





  Workgroup            Master


  ---------            -------


  SI                   


[root@hydra init.d]#

Configuration des partages disques

Un premier partage. Apparence dans le "voisinage réseau"

ajoutons des fichiers à ce premier partage :

unix> cat > /home/projet/test-1.txt


Un fichier de test


dans le répertoire partagé


^D


unix> cat /home/projet/test-2.txt


un autre fichier de test


dans le rép. commun.


^D

toutefois un fichier texte "unix" n'est pas lu correctement par notepad ou wordpad de windows (bien qu'un bon éditeur de textes sache s'en arranger) :







unix> cp test-2.txt test-3.txt


unix> todos /home/projet/test-3.txt


unix>

l'utilitaire "todos" va transformer le fichier texte "unix" en fichier texte "windows" :
unix : fin_de_ligne marquée par "NL" (012 / 0x0A)
win.: fin_de_ligne = "CR"+"NL" (CR=015 / 0x0C)

Configuration des partages disques

Accessibilité du partage.

Essayer de copier un fichier vers le partage ou de créer un fichier ou un répertoire dans le partage --> impossible.

=> le partage est "read-only" par défaut
même si on se connecte sous "root" depuis Windows, on ne pourra pas ajouter de fichiers dans le partage

Comment Samba établit-il la connexion avec le partage ?

===>
chercher dans smb.conf si une section avec le nom du partage existe; si oui, l'utiliser.
si le partage n'a pas de section dans smb.conf, regarder si smb.conf contient une section [homes]; si oui, chercher dans /etc/passwd si le nom du partage demandé est celui d'un username unix; si oui, [homes] est clonée en [user]
idem avec la section [printers]
si toujours pas trouvé, vérifier s'il existe un "default service = xxx"; si oui, l'utiliser.
si non : envoyer erreur "invalid network name".

Le partage existe : le demandeur y a-t-il accès ?

Configuration des partages disques

Accessibilité du partage.

Samba a trouvé le partage, objet de la demande de connexion.

Comment vérifie-t-il que l'auteur de la demande de connexion a le droit d'accès au partage ?

Plusieurs tests sont effectués. Le processus s'arrête au premier test réussi. Si tous échouent, l'accès est refusé (liste simplifiée) :

si une paire "user / passw" valide a été fournie, l'accès est accordé en tant que "user"
les anciens clients peuvent utiliser la syntaxe spéciale suivante pour fournir le username en même temps que la requête : \\serveur\partage%username
si un "username" valide était déjà fournit et que le mot de passe fournit avec la demande de connexion au partage est correct, l'accès est accordé en tant que "username".
si une ligne " user = un_nom " est présente dans la section du partage dans le smb.conf, ET que le client a fourni un passwd, la paire " un_nom / passwd " est validée; si elle est valide l'accès est accordé en tant que " un_nom "

Si l'utilisateur choisi pour la connexion par cette procédure est dans une liste "invalid user", la connexion est refusée.

Samba détermine ainsi sous quel compte (quel user) l'accès au partage sera fait. Mais il y a encore d'autres paramètres qui, en plus des protections unix relatives à cet utilisateur, contrôlent l'accès au partage.

==> cas particulier d'un service déclaré "guest only" : samba donne accès en tant que user spécifié par le paramètre "guest = nom".

Configuration des partages disques

Accessibilité du partage.

Samba a trouvé le partage, objet de la demande de connexion.

Il a validé l'accès en tant que username "un_nom".

Un certain nombre de paramètres vont modifier le type d'accès, voire l'interdire :

admin users = root , pierre , jean
les usernames listés auront l'accès au partage en tant que root
** danger ** !
host allow = liste
host deny = liste
permet de restreindre les machines autorisées
affecte tout le serveur si dans section [global]
affecte le partage si dans la section [un_partage]
invalid users = liste de users n'ayant pas accès
valid users = liste des seuls users ayant accès (si absent, tous ont potentiellement accès, sauf si autre condition fausse).
max connections = n
nombre max de users connectés : peut servir à limiter la charge du serveur ou à contrôler l'usage d'une licence disponible en nombre limité. ! Attention : un user connecté mais inactif compte pour 1 .
read only = yes / no
writable = no / yes
read list = liste de users ayant accès "read only"
write list = liste de users ayant accès "read+write", même s'ils sont dans la liste "read"

Configuration des partages disques

Partage par défaut et user invité ("guest").

default service = xxx
Samba n'a pas trouvé le partage demandé, le client est connecté au service par défaut, qui aura probablement les paramètres guest ok et read only positionnés.
guest ok = yes (synonyme : public = yes)
accès accordé sans fourniture de username / passwd
guest only = yes
spécifie que le service concerné n'est accessible qu'en tant que guest

Configuration des partages disques

Accessibilité et protections

après avoir vérifié tous les paramètres de la section partage, Samba essaie d'accéder aux fichiers et répertoires en tant que le "username" donné à la connexion;
samba fait alors l'accès en vérifiant les permissions standard "unix" des fichiers :
- 4=SETUID, 2=SETGID, 1=T bit (sticky)
- user, group, other : 4=Read, 2=Write, 1=eXecute
create mask = 0755
=> -RWXR-XR-X
permet de spécifier le mode de création par défaut des fichiers (val. par déf. = 0744)
directory mask = 0744
idem pour les répertoires
force group = un_groupe_unix
force les fichiers créés à appartenir au groupe spécifié;
sinon : si SETGID est positionné sur le répertoire, le fichier prend le groupe du répertoire;
sinon : le fichier prend le groupe du "user" connecté

Configuration des partages disques

Accessibilité et protections

donc, en cas d'accès refusé au partage, aller sur Unix vérifier les protections :

[root@hydra work]# ls -lgd /home/projet/


drwxr-xr-x  2 root projet  1024 Oct 13 10:20 /home/projet


[root@hydra work]# ls -l /home/projet/


total 3


-rw-r--r--  1 root root      49 Oct 12 16:47 test-1.txt


-rw-r--r--  1 root root      41 Oct 13 10:18 test-2.txt


-rw-r--r--  1 root root      51 Oct 13 10:20 test-3.txt


[root@hydra work]# chmod g+w /home/projet/


[root@hydra work]# ls -lgd /home/projet/


drwxrwxr-x  2 root projet 1024 Oct 13 10:20 /home/projet

la création de fichiers dans /projet devient possible :

Configuration des partages disques

Accessibilité et protections

la création de fichiers dans /projet est devenue possible, mais pas la ré-écriture de fichiers existants :

à cause de :


-rw-r--r--  1 root root     41 Oct 13 10:18 test-2.txt 


    ===            =====

Configuration des partages disques

Accessibilité et protections

le but est de permettre à chaque membre du groupe la création de fichiers et la ré-écriture de fichiers existants dans /projet facilitant ainsi le travail coopératif



écriture de fichiers existants impossible


--> enregistre sous autre nom : test-pierre





[root@hydra work]# ls -lg /home/projet/


total 5


-rw-r--r--  1 root   root    49 Oct 12 16:47 test-1.txt


-rw-r--r--  1 root   root    41 Oct 13 10:18 test-2.txt


-rw-r--r--  1 root   root    51 Oct 13 10:20 test-3.txt


-rwxr--r--  1 jean   users   92 Oct 13 11:24 test-jean.txt


-rwxr--r--  1 pierre users  126 Oct 13 11:35 test-pierre.txt


[root@hydra work]# 





--> test-pierre.txt lisible par jean


[root@hydra work]# chmod o-r /home/projet/test-jean.txt 


[root@hydra work]# chmod o-r /home/projet/test-pierre.txt 


[root@hydra work]# chmod g+w /home/projet/test-pierre.txt 


[root@hydra work]# chmod g+w /home/projet/test-jean.txt   


[root@hydra work]# ls -lg /home/projet/


total 5


-rw-r--r-- 1 root    root    49 Oct 12 16:47 test-1.txt


-rw-r--r-- 1 root    root    41 Oct 13 10:18 test-2.txt


-rw-r--r-- 1 root    root    51 Oct 13 10:20 test-3.txt


-rwxrw---- 1 jean    users   92 Oct 13 11:24 test-jean.txt


-rwxrw---- 1 pierre  users  126 Oct 13 11:35 test-pierre.txt





---> jean peut lire test-pierre.txt





... et le modifier et le ré-écrire (rw pour le groupe)








mais tous les membres du groupe "users" 


peuvent lire ces fichiers ! 





les usernames "jean" et "pierre" sont à la fois


dans le groupe "users" et dans le groupe "projet"





exemple :





login: paul


Password: 


--- /etc/bashrc ---


[paul@hydra paul]$ ls /home/projet/


test-1.txt  test-2.txt  test-3.txt  


test-jean.txt  test-pierre.txt


[paul@hydra paul]$ more /home/projet/test-pierre.txt 


Ceci est un test de partage,

Configuration des partages disques

Accessibilité et protections

--> modifier le groupe des fichiers



[root@hydra work]# chgrp projet /home/projet/test-pierre.txt


[root@hydra work]# ls -lg /home/projet/


total 5


-rw-r--r-- 1 root   root     49 Oct 12 16:47 test-1.txt


-rw-r--r-- 1 root   root     41 Oct 13 10:18 test-2.txt


-rw-r--r-- 1 root   root     51 Oct 13 10:20 test-3.txt


-rwxrw---- 1 jean   users    92 Oct 13 11:24 test-jean.txt


-rwxrw---- 1 pierre projet  146 Oct 13 10:52 test-pierre.txt





login: paul


Password: 


Last login: Wed Oct 13 11:03:48 from localhost


--- /etc/bashrc ---


[paul@hydra paul]$ more /home/projet/test-pierre.txt 


/home/projet/test-pierre.txt: Permission denied

--> rendre cette attribution automatique



[projet]


   comment = exemple de partage sur hydra


   path = /home/projet


   read only = no





ajouter: force group = projet





jean crée un fichier dans /projet :





[root@hydra /root]# ls -lg /home/projet/


total 6


-rw-r--r-- 1 root   root     49 Oct 12 16:47 test-1.txt


-rw-r--r-- 1 root   root     41 Oct 13 10:18 test-2.txt


-rw-r--r-- 1 root   root     51 Oct 13 10:20 test-3.txt


-rwxr--r-- 1 jean   projet  233 Oct 13 12:46 test-5.txt


-rwxrw---- 1 jean   users    92 Oct 13 11:24 test-jean.txt


-rwxrw---- 1 pierre projet  191 Oct 13 11:06 test-pierre.txt

Configuration des partages disques

Accessibilité et protections

ainsi, la ré-écriture de fichiers dans /projet devient possible si on donne les protections et appartenances adéquates :



-rwxrw----  1 jean projet   233 Oct 13 12:46 test-5.txt


    ===            =======

Configuration des partages disques

Gestion des noms

nom de fichier Unix : tout caractère (sauf "/" et <esc>), et jusqu'à 255 caractères, en distinguant majuscules et minuscules.
les chemins (pathnames) peuvent aller jusqu'à 1024 car.
DOS 6.2 = noms "8.3", tout en majuscules
WfW 3.1 = DOS
DOS 95, Win 9x et Win NT permettent des noms plus longs ainsi que des majuscules et minuscules
mais Win 9x et Win NT refusent de créer des noms de plus 127 car. et des chemins de plus de 255 car.
malgré cela, Win 9x et Win NT peuvent manipuler les noms très longs de Unix s'ils existent déjà.
Samba a de nombreux paramètres pour contrôler la façon dont les noms longs sont présentés à Windows ainsi que la façon dont sont traitées les minuscules / majuscules.

Samba regroupe ces fonctions sous l'appellation de "name mangling"

Configuration des partages disques

Gestion des noms : Unix --> DOS

exemple : exemple-de-nom_long.txt-unix
-->DOS : EXEMP~8Y.TXT

EXEMP = 5 premiers car. avant le "."
~ = séparateur
8Y = calcul hash code sur nom complet
TXT = 3 premiers après "."

mangled names = yes (défaut)
mangle case = no
mangling char = ~
case sensitive = no
default case = lowercase
preserve case = yes
short preserve case = yes

Configuration des partages disques

Gestion des verrous sur fichiers ("file locking")

Samba supporte deux modes de verrous :
- "share mode"
- "oplocks" : opportunistic locks
"share mode" : sur les Unix qui possèdent la mémoire partagée, le mode "share" est implémenté par partage mémoire

share mode = no (rarement utile, peut être positioné partage par partage).
"oplocks" : introduit avec Win NT Server, permet à un client de "cacher" de nombreux accès à un fichier, tant que ce client est le seul à utiliser le fichier.
quand un autre client accède au fichier, le serveur envoie un "oplock break". Quand un client obtient un "oplock" la performance d'accès au fichier augmente de 30%.

oplocks = false (individuellement par partage)

veto oplocks files = *.C (pas de oplocks sur les .C)

Configuration des partages disques

Gestion des fichiers - divers

Samba suit les liens symboliques contenus dans le sous-arbre connecté, mais pas ceux qui vont en dehors du sous-arbre objet du partage
maxopenfiles
nis homedir = false
homedir map
ole locking compatibility = yes
strip dot = no

Configuration des partages disques

Gestion des CD-Roms

le problème est qu'ils doivent être "montés" sur le système Unix, chaque fois que changés => opération "manuelle".
on peut automatiser le processus grâce aux paramètres preexec et postexec :

[cdrom]


   comment = CDrom unix, automounts à la connexion


   browsable = yes


   read only = yes


   path = /mnt/cdrom


   root preexec  = /bin/mount /dev/hdd /mnt/cdrom


   root postexec = /bin/umount /mnt/cdrom

____________[]____________

Jres 99

Contrôler des postes Windows avec SAMBA et Unix

____________________

Jean-François Micouleau, Dalalu Bordeaux

Michel Vayssade, UTC Compiègne

____________[]____________

Partie 3 : Utilisation avancée de Samba

suite

Configuration des partages imprimantes

Impressions depuis Windows vers Unix

on veut permettre aux PCs clients sous Windows d'imprimer sur les imprimantes gérées par des machines Unix

ajouter, dans smb.conf, soit une section [printers] , soit des sections [une_imprimante] pour chaque imprimante que l'on veut montrer:


[printers]


   comment = All Printers


   path = /var/spool/samba


   browseable = no


# Set public = yes to allow 


# user 'guest account' to print


   guest ok = no


   writable = no


   printable = yes


   


  


 


[silaser1]


   printer=R_silaser1


   printer driver=Apple LaserWriter Pro 630


   postscript=true


   writable=true


   path=/usr/tmp


   printable=true


   public=false

Configuration des partages imprimantes

Impressions depuis Windows vers Unix

[printers]
- si cette section existe, les clients peuvent utiliser toutes les imprimantes définies dans le /etc/printcap du serveur: par analogie avec [homes] cette section générique crée des services virtuels à partir des entrées du /etc/printcap
- si on est sur un système unix sans fichier /etc/printcap ,(ex. AIX), il faut en créer un listant tous les noms d'imprimantes valides sur le système.

Ces imprimantes vont apparaître dans le voisinage réseau:



[mv@hydra mv]$ smbclient -L hydra  -U '' -N





Added interface ip=195.83.155.125 


bcast=195.83.155.255 nmask=255.255.255.0


Domain=[MYGROUP] OS=[Unix] Server=[Samba 2.0.3]





    Sharename   Type    Comment


    ---------   ----    -------


    IPC$        IPC     IPC Service (Samba Server)


    lj          Printer   


    lp0         Printer

[une_laser]
- si la section générique [printers] n'existe pas, les clients ne pourront accéder qu'aux imprimantes ayant leur propre section, et seules celles-ci seront visibles dans le voisinage réseau

Configuration des partages imprimantes

Impressions depuis Unix vers une imprimante connectée au port parallèle d'un PC

on veut permettre à un user Unix, depuis une fenêtre Unix, d'imprimer sur une imprimante connectée au port parallèle d'un PC sous Windows (souvent son propre PC depuis lequel il a fait un telnet vers Unix)
journal d'une installation de ce type :
(1) sur Unix :

(1-a) créer une entrée dans printcap



# remote HP Laserjet 6L on windows


wlp:\


        :sd=/var/spool/lpd/wlp:\


        :mx#0:\


        :sh:\


        :if=/usr/bin/smbprint:

(1-b) créer le spool associé



[root@sirius /etc]# cd /var/spool/lpd/


[root@sirius lpd]# ls -lg


total 4


drwxr-xr-x 2 root  lp   2048 Oct 14 13:13 lp


drwxr-xr-x 2 root  lp   1024 Sep 21 17:55 lp0


-rw-r--r-- 1 root  root    4 Sep 21 17:55 lpd.lock


[root@sirius lpd]# mkdir wlp


[root@sirius lpd]# chgrp lp wlp


[root@sirius lpd]# ls -lg


total 5


drwxr-xr-x 2 root  lp   2048 Oct 14 13:13 lp


drwxr-xr-x 2 root  lp   1024 Sep 21 17:55 lp0


-rw-r--r-- 1 root  root    4 Sep 21 17:55 lpd.lock


drwxr-xr-x 2 root  lp   1024 Oct 14 13:34 wlp


[root@sirius lpd]# 





[root@sirius wlp]# ls -lga


total 3


drwxr-xr-x 2 root  lp     1024 Oct 14 13:37 .


drwxrwxr-x 5 root  daemon 1024 Oct 14 13:34 ..


-rw-r--r-- 1 root  root     47 Oct 14 13:37 .config

(1-c) dans le spool associé, créer un fichier ".config"



[root@sirius wlp]# cat .config


server=virgo         !nom du PC


service=laserjet6l   !nom du service windows


password=hp6l        !un mot de passe

Configuration des partages imprimantes

Impressions depuis Unix vers une imprimante connectée au port parallèle d'un PC - suite

journal d'une installation de ce type :
(2) sur Windows :

(2-a) installer l'imprimante (au sens Windows)

(2-b) déclarer que l'on va créer des services réseau sur ce PC (des "partages" dans le vocabulaire windows) :

be prepared ! (c'est Windows)

vous pouvez répondre "NON" !

Configuration des partages imprimantes

Impressions depuis Unix vers une imprimante connectée au port parallèle d'un PC - suite

journal d'une installation de ce type :
(2) sur Windows :

(2-c) déclarer que l'imprimante est partagée (au sens Windows)

icône imprimante, "propriétés", puis onglet "partage" :

Configuration des partages imprimantes

Impressions depuis Unix vers une imprimante connectée au port parallèle d'un PC - suite

journal d'une installation de ce type :
(2) sur Windows :

(2-c) donner le nom de partage sous lequel l'imprimante sera annoncée sur le réseau SMB

Configuration des partages imprimantes

Impressions depuis Unix vers une imprimante connectée au port parallèle d'un PC - suite

journal d'une installation de ce type :
(3) sur Unix :

(3-a) vérifier si l'imprimante est annoncée sur le réseau SMB



[root@sirius wlp]# smbclient -L virgo -N


Added interface ip=195.83.155.123 


bcast=195.83.155.255 nmask=255.255.255.0





	Sharename    Type    Comment


	---------    ----    -------


	PRINTER$     Disk      


	LASERJET6L   Printer   


	IPC$         IPC     Comm. entre processus distants





	Server               Comment


	---------            -------





	Workgroup            Master


	---------            -------


[root@sirius wlp]#

(3-b) faire un essai :



[vayssade@sirius samba]$ lpr -Pwlp  print-win.txt





---> sortie incorrecte !! ??

Configuration des partages imprimantes

Impressions depuis Unix vers une imprimante connectée au port parallèle d'un PC - suite

journal d'une installation de ce type :
(3) sur Unix :

(3-b) modifier fichier (<LF> versus <CR><LF>)

2 méthodes :

b1) manuelle :

[vayssade@sirius samba]$ cp  print-win.txt test.txt


[vayssade@sirius samba]$ todos test.txt

b1) automatique : modifier source du script smbprint

# NOTE You may wish to add the line 


# `echo translate' if you want automatic


# CR/LF translation when printing.


#       echo translate


	echo "print -"


	cat


) | /usr/bin/smbclient "\\\\$server\\$service" \


  $password -U $server -N -P >> $logfile

(3-c) nouvel essai :



[vayssade@sirius samba]$ lpr -Pwlp  test.txt     





---> sortie ~ correcte mais :


	. dernière page pas imprimée


	. pb de fonte (lettres accents)








[vayssade@sirius samba]$ more ff.txt 


^L


[vayssade@sirius samba]$ lpr -Pwlp  test.txt 


[vayssade@sirius samba]$ lpr -Pwlp  ff.txt 





---------> ok

Automatisation sur le serveur

scripts "pre" et "post" exec

exemple déjà connu : [homes] cloné en [username]
avec %U, %u, %G et %g
%U = username et %G = group

normalement %u = %U et %g = %G
sauf dans certains cas particuliers ou on désire changer le username ou le groupe effectif avec lesquels Samba va tester les protections , ceci par :

          force user  = un_user


          force group = un_groupe

automatisation de tâches par scripts "preexec " et "postexec"

     preexec = /.../a_login_script.sh par1 par2


     postexec = /.../a_logout_script.sh par1 par2





     root preexec = /usr/bin/a_login_script.sh %U %m


     root postexec = /usr/bin/a_logout_script.sh %U %m

!!**!! ces scripts peuvent être très difficiles à débuguer car "stdout" est envoyé par défaut sur /dev/null

!!****!! les scripts "root ...exec" sont équivalents à des "suid"
==> il faut les protéger, mais aussi protéger correctement le smb.conf !!

exemple d'utilisation des scripts "root *exec"

   [cdrom]


     comment = cdrom on unix


     path = /cd


     root preexec = /bin/mount /dev/cdrom /cd


     root postexec = \


      (/bin/umount /cd; /usr/bin/eject /dev/cdrom)


     read only = yes


     public = yes

Automatisation sur le serveur

paramètre "include" et variable %L

le paramètre "include = fichier" permet de construire facilement plusieurs "smb.conf" légèrement différents à partir d'une base commune
la variable %L associée au paramètre "netbios aliases =" permet de construire ces fichiers avec des "include" :
- netbios aliases = ens rech admin
- user se connecte sur "admin" => %L = admin
- include = samba/%L.conf
==> le même serveur Samba acquiert ainsi différentes personalités vues sous des noms Netbios différents

Recherche de pannes

Vérification du fonctionnement

le paquetage Samba contient des outils permettant une vérification rapide de la bonne mise en place du serveur.
=> sur RH6.0 , Samba 2.05a fichier :

/usr/doc/samba-2.0.5a/docs/textdocs/DIAGNOSIS.txt







==>(test 1) tester smb.conf





[root@hydra /root]# testparm


Load smb config files from /etc/smb.conf


Processing section "[homes]"


Processing section "[printers]"


Processing section "[projet]"


Loaded services file OK.


Press enter to see a dump of your service definitions





==>(test 2) ping dans les 2 sens





Microsoft(R) Windows 95


   (C)Copyright Microsoft Corp 1981-1995.





C:\WINDOWS>ping hydra





Pinging hydra.utc.fr [195.83.155.125] 


with 32 bytes of data:





Reply from 195.83.155.125: bytes=32 time=18ms TTL=255


Reply from 195.83.155.125: bytes=32 time=10ms TTL=255


Reply from 195.83.155.125: bytes=32 time<10ms TTL=255


Reply from 195.83.155.125: bytes=32 time=3ms TTL=255





C:\WINDOWS>





[root@hydra /root]# ping virgo


PING virgo.utc.fr (195.83.155.126): 56 data bytes


64 bytes from 195.83.155.126: icmp_seq=0 ttl=32 time=22.5 ms


64 bytes from 195.83.155.126: icmp_seq=1 ttl=32 time=1.4 ms


64 bytes from 195.83.155.126: icmp_seq=2 ttl=32 time=0.9 ms





--- virgo.utc.fr ping statistics ---


3 packets transmitted, 3 packets received, 0% packet loss


round-trip min/avg/max = 0.9/8.2/22.5 ms

Recherche de pannes

Vérification du fonctionnement

==>(test 3) démon smbd ok ?





[root@hydra /root]# smbclient -L hydra -N


Added interface ip=195.83.155.125 


bcast=195.83.155.255 nmask=255.255.255.0


Domain=[SI] OS=[Unix] Server=[Samba 2.0.3]





Sharename      Type      Comment


---------      ----      -------


projet         Disk      exemple de partage sur hydra


IPC$           IPC       IPC Service (hydra serveur Samba)


lj             Printer   


lp0            Printer   





Server           Comment


---------        -------


HYDRA            hydra serveur Samba


SIRIUS           sirius Samba Server





Workgroup        Master


---------        -------


SI               SIRIUS


[root@hydra /root]# 





==>(test 4) démon nmbd ok ?





[root@hydra /root]# nmblookup -B hydra __SAMBA__


Sending queries to 195.83.155.125


195.83.155.125 __SAMBA__<00>


[root@hydra /root]#

Recherche de pannes

Vérification du fonctionnement

==>(test 5) client ok ?





[root@hydra /root]# nmblookup -B virgo '*'      


Sending queries to 195.83.155.126


195.83.155.126 *<00>


[root@hydra /root]# nmblookup -B deneb '*'


Sending queries to 195.83.155.124


195.83.155.124 *<00>


[root@hydra /root]#





==>(test 6) tester adresse broadcast





[root@hydra /root]# nmblookup -d 2 '*'    


Added interface ip=195.83.155.125 


bcast=195.83.155.255 nmask=255.255.255.0


Sending queries to 195.83.155.255


Got a positive name query response \


 from 195.83.155.125 ( 195.83.155.125 )


........


Got a positive name query response \


 from 195.83.155.126 ( 195.83.155.126 )


195.83.155.125 *<00>


.......


195.83.155.126 *<00>


[root@hydra /root]#

Recherche de pannes

Vérification du fonctionnement

==>(test 7) se connecter à un partage


Samba localement depuis Unix





[root@hydra /root]# \


smbclient '\\hydra\vayssade' -U vayssade


Added interface ip=195.83.155.125 


bcast=195.83.155.255 nmask=255.255.255.0


Password: 


Domain=[SI] OS=[Unix] Server=[Samba 2.0.3]


smb: \> dir


  .Xdefaults      H   1422  Tue Sep 21 12:31:33 1999


...............


  pc              D      0  Tue Oct 12 16:10:06 1999





  55604 blocks of size 32768. 19916 blocks available


smb: \> 





Remarque au sujet des noms UNC 


(Universal Naming Convention) : \\hydra\vayssade


or \ est caractère d'échapement dans Unix 


=> le cacher par des quotes (simples ou doubles)





smbclient supporte le remplacement des \ par des /





[root@hydra /root]# \


smbclient //hydra/vayssade -U vayssade


Added interface ip=195.83.155.125 


bcast=195.83.155.255 nmask=255.255.255.0


Password: 


Domain=[SI] OS=[Unix] Server=[Samba 2.0.3]


smb: \> exit


[root@hydra /root]#

Recherche de pannes

Vérification du fonctionnement

==>(test 8) "browse" serveur Samba





C:\WINDOWS>net view


Serveurs disponibles dans le groupe de travail SI.


Nom de serveur  Remarque


---------------------------------------------------------


\\HYDRA         hydra serveur Samba


\\KAPPA         kappa, serveur des PC du Service Informat


\\SIGMA         sigma, serveur FTP public


\\SIPCJMB


\\SIRIUS        sirius Samba Server


Exécution achevée.





Attention ! il est con :





C:\WINDOWS>net view \\hydra /YES


Erreur 86 : Le mot de passe réseau spécifié est incorrect. 


Tapez le mot de passe correct ou pour plus d'informations, 


contactez votre administrateur réseau.





Il veut le nom de la machine en MAJUSCULES ! (grrrr)





C:\WINDOWS>net view \\HYDRA /YES


Ressources partagées à \\HYDRA





Nom de partageType     Commentaire


---------------------------------------------------


lj           Impr.


lp0          Impr.


projet       Disque   exemple de partage sur hydra


vayssade     Disque   Home Directories


Exécution achevée.





C:\WINDOWS>

Recherche de pannes

Vérification du fonctionnement

==>(test 9) se connecter à un partage





se connecter à un lecteur réseau


dans l'explorateur ou au prompt DOS :





C:\WINDOWS>net use h: \\HYDRA\VAYSSADE


Exécution achevée.





C:\WINDOWS>dir h:





 Le volume dans le lecteur H est VAYSSADE


 Répertoire de H:\





Desktop      <REP>        21/09/99  11:31 Desktop


z            <REP>        22/09/99   8:32 z


vmware       <REP>        22/09/99  12:23 vmware


nsmail       <REP>        22/09/99  15:32 nsmail


pcmcia   img   1 474 560  23/09/99  14:13 pcmcia.img


pc           <REP>        12/10/99  15:10 pc


       1 fichier(s)          1 474 560 octets


       5 répertoire(s)     652 574 720 octets libres





C:\WINDOWS>net use h: /delete /yes


Exécution achevée.





C:\WINDOWS>

Recherche de pannes

Vérification du fonctionnement

==>(test 10)





fichiers de log de samba





[root@hydra /root]# ls -l /var/log/samba/


total 137


-rw-r--r-- 1 root  root   1230 Oct 13 11:51 log.deneb


-rw-r--r-- 1 root  root    546 Oct 13 12:41 log.hydra


-rw-r--r-- 1 root  root    129 Oct 13 11:51 log.nmb


-rw-r--r-- 1 root  root   2886 Oct 13 11:51 log.nmb.1


-rw-r--r-- 1 root  root   7080 Oct  5 12:59 log.nmb.2


-rw-r--r-- 1 root  root  53410 Sep 27 12:52 log.nmb.3


-rw-r--r-- 1 root  root  55391 Sep 23 09:21 log.nmb.old


-rw-r--r-- 1 root  root      0 Sep 23 18:34 log.pclaurent


-rw-r--r-- 1 root  root      0 Sep 22 12:21 log.sipc02


-rw-r--r-- 1 root  root      0 Sep 22 12:22 log.sipc04


-rw-r--r-- 1 root  root      0 Sep 23 17:23 log.sipclabo


-rw-r--r-- 1 root  root   2241 Oct 13 11:51 log.smb


-rw-r--r-- 1 root  root    848 Oct 13 11:55 log.venus


-rw-r--r-- 1 root  root   9151 Oct 13 12:51 log.virgo


[root@hydra /root]#

Recherche de pannes

Vérification du fonctionnement

==>(test 10) fichiers de log de samba





[root@hydra samba]# more log.smb





[1999/09/27 12:53:54, 1] smbd/server.c:main(614)


  smbd version 2.0.3 started.


  Copyright Andrew Tridgell 1992-1998


[1999/09/27 12:53:54, 1] smbd/files.c:file_init(219)


  file_init: Information only: 


  requested 10000 open files, 1014 are available.








[root@hydra samba]# more log.nmb


[1999/10/13 11:51:42, 1] nmbd/nmbd.c:main(672)


  Netbios nameserver version 2.0.3 started.


  Copyright Andrew Tridgell 1994-1998

Recherche de pannes

Vérification du fonctionnement

==>(test 10) fichiers de log de samba





[root@hydra samba]# more log.virgo





............extrait..........





[1999/10/13 10:50:11, 1] smbd/service.c:close_cnum(514)


  virgo (0.0.0.0) closed connection to service projet


[1999/10/13 10:50:43, 0] smbd/oplock.c:request_oplock_break(943)


  request_oplock_break: 


  no response received to oplock break request to


pid 1537 on port 1060 for dev = 305, inode = 436230


[1999/10/13 10:52:26, 0] smbd/oplock.c:oplock_break(742)


  oplock_break: receive_smb timed out after 30 seconds.


  oplock_break failed for file test-pierre.txt 


  (dev = 305, inode = 436230).


[1999/10/13 10:52:26, 0] smbd/oplock.c:oplock_break(812)


  oplock_break: client failure in break - 


  shutting down this smbd.


[1999/10/13 10:52:26, 1] smbd/service.c:close_cnum(514)


  virgo (0.0.0.0) closed connection to service projet


[1999/10/13 10:52:28, 1] smbd/service.c:make_connection(488)


  virgo (195.83.155.126) connect to service projet 


  as user jean (uid=602, gid=100) (pid 1546)


[1999/10/13 10:55:17, 1] smbd/service.c:close_cnum(514)


  virgo (195.83.155.126) closed connection to service projet

Les outils Samba sur Unix - smbclient

smbclient : déjà vu dans § précédent
autres fonctions :

# faire liste services d'une machine


smbclient -L kappa -U '' -N





# sauver dans un tar fichiers windows


smbclient //server/service -Tc file.tar

smbclient dispose d'une interface ligne de commande "à la ftp" :



kappa:~samba/docs> smbclient //kappa/homes -U vayssade


Added interface ip=192.54.189.39 ...


Added interface ip=195.83.155.100 ...


Server time is Mon Oct 18 12:25:17 1999


Timezone is UTC+2.0


Password:


Domain=[SI] OS=[Unix] Server=[Samba 1.9.18p8]


security=user


smb: \>  help       


ls       dir        lcd        cd      pwd


get      mget       put        mput    rename


more     mask       del        rm      mkdir


md       rmdir      rd         pq      prompt


recurse  translate  lowercase  print   printmode


queue    qinfo      cancel     quit    q


exit     newer      archive    tar     blocksize


tarmode  setmode    help       ?       !


smb: \>

Les outils Samba sur Unix -

smbfs - smbmount - smbumount

smbfs : permet de monter des systèmes de fichiers CIFS/SMB sur une machine Unix
attention toutefois aux différences entre les possibilités dans les noms de fichiers entre les deux systèmes
smbfs est le nom du package qui ajoute smbmount et smbumount à Samba 1.19. Il est inclus dans Samba 2.0 s'il est compilé avec l'option "--with-smbmount"

NAME


 smbmount - mount smb file system


 smbmount [ options ]





DESCRIPTION


 smbmount  is a stripped-down version of


 the smbclient(1) program used to mount


 smbfs shares. It implements only the


 mount command, which then calls the


 smbmnt(8) program to  do the actual


 mount.





smbmount "\\server\tmp" -c 'mount /mnt -u 123 -g 456'








 smbmnt is a helper application used


 by the smbmount(8) program to do the


 actual mounting.  smbmnt is meant to be


 installed setuid root  so that  normal


 users  can mount their  smb  shares.





NAME


    smbumount - umount for normal users


    smbumount mount-point





DESCRIPTION


 With  this  program,  normal  users can


 unmount smb-filesystems, provided that


 it is suid root.





 smbumount has been written to  give


 normal  linux-users  more  control


 over  their resources.  It  is safe to


 install this program suid root, because


 only the user who has mounted a


 filesystem is allowed to unmount it


 again.

Les outils Samba sur Unix -

smstatus, smbtar

smbtar est un "wrapper" autour de l'option "-T" de smbclient
smbstatus : montre les connexions actuelles à la machine Unix :

454 vayssade kappa:~> smbstatus





Samba version 1.9.18p8


Service      uid      gid      pid     machine


----------------------------------------------


....


vayssade     vayssade si       20580   kappa    \


(192.54.189.39) Mon Oct 18 12:25:22 1999


...


vayssade     vayssade si       30525   hydra    \


(195.83.155.125) Fri Oct 15 16:32:38 1999





dupont       dupont   persutc  25874   pcdupont \


(172.18.6.10) Mon Oct 18 13:47:12 1999


...





Locked files:


Pid    DenyMode   R/W    Oplock           Name


----------------------------------------------


25874  DENY_NONE  RDWR   EXCLUSIVE+BATCH  \


mac/dupont/work 99.xls  Mon Oct 18 13:50:54 1999


....





30525  DENY_NONE  RDONLY EXCLUSIVE+BATCH  \


dmv/samba/docs/popup.txt   Mon Oct 18 11:56:33 1999





Share mode memory usage (bytes):


   101624(99%) free + 616(0%) used + 160(0%) 


overhead = 102400(100%) total





455 vayssade kappa:~> man smbstatus

Contrôle d'un domaine Win9x

Pour faire de Samba un contrôleur de domaine Win9x :

security = user
samba doit devenir le "Domain Master Browser" ( pour pouvoir enregistrer le nom Netbios DOMAIN<1B> car c'est avec ce nom que les clients trouvent le serveur de login )
Pour cela :

     os level = 64


     domain master = yes


     local master = yes


     prefered master = yes

domain logons = yes
créer dans smb.conf , un partage appelé [netlogon]

     [netlogon]


        path = /home/samba/netlogon


        writeable = no


        public = no


# option recommandée :


        logon script = logon.bat


# sera exécutée par Windows au début de la session





On peut y mettre par exemple :


net use h: \\serveur\homes





et cette commande exécutée sur windows va monter


à travers Samba sur la machine "serveur" 


le répertoire de l'utilisateur (entrée [homes]


du smb.conf )

Contrôle d'un domaine Win9x

Après la configuration de Samba comme contrôleur de domaine Win9x , il faut configurer les clients windows.

Panneau de configuration / Réseau


  Client pour les réseaux Microsoft / Propiétés


    Cocher "Ouvrir la session sur un domaine NT"


    ET remplir la case "nom du domaine"

Quand le PC reboote, la boîte de login aura les trois champs des logins NT : Username / Password / Domaine

Si le client ne trouve pas le serveur de domaine, la raison la plus fréquente est que ce client ne résout pas correctement les noms Netbios (config. WINS).

Si le mot de passe est refusé alors que c'est "le bon":

vérifier que la machine client a droit de se connecter (host allow / host eny)
vérifier la conformité entre Samba et le client sur "password plain text" ou "crypté"

Contrôle d'un domaine Win9x

Les "user profiles"

Le "profil" windows peut être assimilé à une collection de fichier ".rc" sous Unix.

La base de registres de windows est constituée de deux fichiers :

C:\windows\system.dat

C:\windows\user.dat

Dans le cas de "roaming profile" (profil pour utilisateur itinérant, c'est-à-dire qui ne connecte pas au réseau toujours depuis le même PC), le fichier "user.dat" peut être téléchargé depuis le serveur.

L'entrée "HKEY_CURRENT_USER" (HKCU hive) contient les choix personnels de l'utilisateur, les derniers fichiers ouverts, etc ...

On le met en place dans "Panneau de configuration / Mot de passe" :

Si un client windows a "user profil" actif, et est configuré pour se logger sur un domaine, alors, les profiles sont stockés dans son "home directory".

Le profil est alors copié depuis le serveur au login et du PC sur le serveur au logout.

Par défaut, Samba stocke le profil dans un sous-répertoire "profile" du répertoire de base de l'utilisateur.

MAIS, de nombreux administrateur Samba préfèrent les stocker dans un "partage" séparé par :

[profile]


  comment = les profiles windows des utilisateurs


  path = /another_disk/profile


  create mode = 600


  directory mode = 0770


  browseable = yes


  writeable = yes





et


  logon path = \\serveur\profile\%U

en effet, le profile va inclure le bureau, ... et si les utilisateurs "déposent" des fichiers sur le bureau, ceux-ci seront copiés avec le profil, ce qui peut faire beaucoup de place.

Samba PDC expérimental

Actuellement (novembre 1999, Samba version 2.0.5a), le PDC NT n'est pas officiellement supporté par Samba. Mais la fonctionalité est présente sous forme de code expérimental. Le support , non officiel, se fait sur la liste samba-ntdom@samba.org

Malgré tout ... ça fonctionne ...

suffisamment bien pour être utilisé dans des contextes de production industriels.

Le protocole d'authentification du domaine NT est resté non documenté par le fabriquant. Il a été entièrement découvert à l'aide d'analyse de trames réseau.

Aujourd'hui, Samba peut :

agir comme PDC pour WinNT 3.51 SP5 et Win NT 4.0 SP4 clients
voir les infos user/passwd du fichier samba/smbpasswd à l'aide de l'outil Win NT4 User Manager for Domain
montrer les partages Samba via Win NT4 Server Manager for Domain
les membre d'un domaine NT peuvent changer leur mot de passe avec la méthode windows (ctrl-alt-del / change passwd)
associer des groupes NT à des groupes Unix

Il ne peut pas :

participer a une relation "trust" avec un autre PDC
répliquer sa base de comptes sur un BDC
implémenter les ACLs windows NT
supporter toutes les fonctions d'impression NT

Samba PDC expérimental

Mise en place

Créer un fichier smb.conf contenant :

[global]


security = user


encrypt password = yes


domain logon = yes





et une entrée [netlogon] comme dans Win9x DC

Quand Samba démarre, il regarde dans le même répertoire que le fichier smbpasswd la présence d'un fichier domain.sid

si domain.sid existe, il l'utilise,
sinon, samba génère un "sid" aléatoirement et l'écrit dans domain.sid

!!**!! Ne modifiez jamais ce fichier, sinon tous les PCs clients déjà membres du domaine ne pourront plus s'y connecter et devront être à nouveau "ajoutés au domaine".

Samba PDC expérimental

Mise en place : ajouter les clients

Chaque PC client devra être "ajouté au domaine" :

créer un compte spécial "machine cliente" (appelé computer account ou aussi trust account) sur le serveur
faire joindre le domaine au client
rebooter le client

Qu'est-ce qu'un "compte machine" ?

c'est un compte utilisateur utilisé par la machine membre du domaine (il n'y a pas de notion équivalente sous Unix);
l'idée est que la machine "se logue sur le domaine" avant que le contrôleur de domaine puisse accepter un essai de login d'un utilisateur depuis cette machine;
en ce sens une machine Win9x n'est jamais un membre à part entière du domaine, car il n'y a aucun moyen de s'assurer que ce qui provient d'une machine 9x est "sûr";
**==> Samba ne supporte pas la création de ce type de compte directement depuis l'interface graphique d'un client NT : il faut créer le compte machine manuellement sur Unix
le username d'un compte machine est le nom Netbios de la machine auquel un "$" a été ajouté à la fin;
le mot de passe initial de ce compte est le nom Netbios sans rien ajouté et en minuscules; (secure huh ?)

Samba PDC expérimental

Mise en place : ajouter les clients

"Compte machine" : complications

ce compte doit avoir un RID associé, RID qui doit être unique dans un espace de numéros commun à tous les comptes machines et à tous les groupes;
le RID des utilisateurs est formé par une fonction des uid et gid, qui sont (normalement) uniques, donc aussi les RID-users; (RID = Relative ID est l'identifiant interne de NT similaire à l'UID Unix).

Attention ! Sous WinNT les UID et GID sont pris dans le même espace ! Il est ainsi impossible sous NT d'avoir un UID et un GID de même valeur. NT associe un flag à chaque compte pour indiquer si c'est un groupe ou un utilisateur.

mais pour le nom des machines ?
==> créer sur Unix des comptes bidons, auxquels on affecte des UID et GID uniques :

client$:*:10100:5000:NT client:/dev/null:/bin/false

Ceci peut être réalisé avec smbpasswd qui va, par l'option -m , créer le compte avec le mot de passe prévu par NT :

root# smbpasswd -a -m client


Added user client$


Password changed for user client$

quand le client joint le domaine, il génère un mot de passe, qu'il envoie sous forme cryptée au serveur; il se servira de ce mot de passe pour se connecter après le reboot.

Samba PDC expérimental

Mise en place : ajouter les clients

Chaque PC client devra être "ajouté au domaine" :

Panneau de configuration / réseau


  Onglet identification / bouton "changer"


  entrer le nom du domaine, et cliquer OK





----> message de bienvenue


----> demande de rebooter





reboot


-----> on peut se connecter

Samba PDC expérimental

gestion des utilisateurs : groups et users

Samba va effectuer une projection ("mapping") des noms d'utilisateurs et de groupes NT vers et depuis des usernames et groupes Unix.

Ceci est géré par trois paramètres :

domain group map = samba/lib/domain_group.map


     Unixgroupname = NTgroupname





domain user map = samba/lib/domain_user.map


     Unixusername = \\Domainname\\NTusername





  !* ne pas confondre avec 


  !  username map = file    contenant:


  !     unixusername = clientusername


  !* qui n'est pas associé au domaine NT





local group map = samba/lib/local_group.map


     Unixgroupname = [BUILTIN\]NTgroupname


    la chaine "BUILTIN\" doit précéder 


    tous les groupes "biens connus"


    (Users , Administrator)

Samba PDC expérimental

gestion des utilisateurs : groups et users

Samba permet aussi d'indiquer l'emplacement des répertoires "homes" des utilisateurs , une lettre de disque ou samba monte le répertoire de l'utilisateur et un chemin d'accès au profil.

logon drive = Z:





logon home = \\%N\%U


(ou bien utiliser [homes] )





logon path = \\serveur\profiles\user

Sous NT les profils sont plus une nécessité, alors que ce n'était qu'un luxe sous Win9.x

Si on veut "verrouiller" les stations clientes, il est nécessaire de que l'environnement d'un utilisateur qui change de machine (salle en libre service) lui soit restitué à chaque login .

La méthode est la même que pour Win9x.

Microsoft a publié un certain nombre de "white papers" sur la gestion des profils :

www.microsoft.com/ntserver/nts/techdetails/

et dispose en téléchargement d'un certain nombre des outils de NT server (normalement sur le CDrom NTserver) : Server Manager, User Manager for Domains et System Policy Editor :

ftp://ftp.microsoft.com/Softlib/MSLFILES/


--> srvtool.exe pour WinNT


--> nexus.exe pour Win9x

Samba PDC expérimental

un outil de test sur Unix : rpcclient

Cet outil (expérimental) permet d'aller lister et modifier des informations sur des machines Win NT, par le réseau, depuis Unix (par utilisation des DCE/RPC).

[vayssade@sirius vayssade]$ rpcclient -S sipcjmb


Added interface ip=195.83.155.123 


bcast=195.83.155.255 nmask=255.255.255.0


Enter Password:


smb: \> ?





regenum      regdeletekey regcreatekey regquerykey    regdeleteval   


regcreateval reggetsec    regtestsec   ntlogin        wksinfo        


srvinfo      srvsessions  srvshares    srvconnections srvfiles       


lsaquery     lookupsids   enumusers    ntpass         samuser        


samtest      enumaliases  samgroups    quit           q	       


exit         bye          help         ?              !	       


smb: \>     


smb: \> lsaquery


lsaquery





LSA Query Info Policy


Domain Member     - Domain: SI SID: S-0-0


Domain Controller - Domain: SIPCJMB \


SID: S-1-5-21-347670475-1819742162-1947940980





smb: \> lookupsids S-1-5-21-347670475-1819742162-1947940980


lookupsids S-1-5-21-347670475-1819742162-1947940980





Lookup SIDS:


SID: S-1-5-21-347670475-1819742162-1947940980 -> \SIPCJMB\


smb: \> srvinfo


srvinfo





Server Info Level 101:


	SIPCJMB        Wk Sv NT PtB LMB     


	platform_id     : 500


	os version      : 4.0


smb: \>

Samba PDC expérimental

un exemple de smb.conf (1/4)



# Samba config file created using SWAT


# from pc-c.hq.dalalu.fr (192.168.24.104)


# Date: 1998/11/25 20:02:05





# Global parameters


	workgroup = DALALU


	server string = Serveur principal


	encrypt passwords = Yes


	passwd program = /usr/bin/passwd %u


	username map = /usr/local/samba/lib/users.map


	unix password sync = Yes


	read prediction = Yes


	read size = 4096


	socket options = SO_RCVBUF=4096


	domain admin group = root admins bcantou


	logon script = %U.bat


	logon path = \\%L\Profiles\%U


	domain logons = Yes


	os level = 33


	preferred master = Yes


	domain master = Yes


	wins support = Yes


	guest account = samba


	print command = lpr -h -r -P%p %s


	log file = /usr/local/samba/var/log.%m





[homes]


	comment = Repertoire utilisateur


	path = /home/%u


	read only = No


.../...

Samba PDC expérimental

un exemple de smb.conf (2/4)



.../...


[Commun]


	comment = Repertoire de stockage commun


	path = /home/commun


	read only = No


	create mask = 0777


	directory mask = 0777





[Logiciels]


	comment = Logiciels installables


	path = /home/logiciels


	write list = root administrateur micoulea


	create mask = 0774


	directory mask = 0775





[paie]


	comment = Partage PAIE


	path = /home/paie


	;write list = root administrateur micoulea


; les seuls utilisateurs qui peuvent se connecter 


; sont ceux du groupe paie


	valid users = @paie


; force le groupe sur les fichiers


	force group = paie


	force create mode = 0770


	force directory mode = 0770


	read only = no

Samba PDC expérimental

un exemple de smb.conf (3/4)



.../...





[expedition]


	read only = yes


	comment = Planning expeditions


	path = /home/expedition


	force group = expediti


	write list = @expediti


	force create mode = 0664


	force directory mode = 0775





[presence]


	read only = yes


	comment = Planning presence


	path = /home/presence


	force group = presence


	write list = @presence


	force create mode = 0664


	force directory mode = 0775





[netlogon]


	comment = Network Logon Service


	path = /home/netlogon


	guest ok = Yes


	share modes = No


	locking = no


	public = no


	write list = root administrateur bcantou

Samba PDC expérimental

un exemple de smb.conf (4/4)



.../...


[Profiles]


	path = /home/profiles


	read only = No


	guest ok = Yes





[Netscape]


	path = /home/profiles_netscape


	read only = No





[imp-eng-1]


	comment = Imprimante HP6 salle reunion Bat. Vert


	path = /tmp


	print ok = Yes


	printer name = imp-eng-1

Autres trucs et techniques

Winpopup

On peut utiliser Winpopup pour envoyer des messages aux PCs depuis Unix (il faut que winpopup soit activé sur le PC) :

268 vayssade kappa:~> smbclient -M hydra


Added interface ip=192.54.189.39 


bcast=192.54.189.255 nmask=255.255.255.0


Added interface ip=195.83.155.100 


bcast=195.83.155.255 nmask=255.255.255.0


Connected. Type your message, ending it with a Control-D


test 3


3<control-D>


sent 11 bytes (status was 0-0)

si on veut que la fenêtre vienne sur l'écran à réception :

Documentation et bibliographie

Une introduction rapide :

http://us1.samba.org/samba/docs/SambaIntro.html


Samba: An Introduction by Chris Hertel , Samba Team

Article très complet et pointeurs pertinents (en français) :

par Jerome.Le-Tannou@linuxfr.org


http://www.ujf-grenoble.fr/~letanou/samba_frame.html


avec des exemples de "smb.conf" commentés.

L'arborescense de documentation de Samba
(fichiers txt et html) :

/usr/docs/samba-2.0.5a/docs


ou 


/usr/local/samba/docs

Des articles dans les archives de "LinuxWorld" :

http://www.linuxworld.com/linuxworld/archive.html

Sur la sécurité de NT :

http://www.emf.net/~ddonahue/NThacks/ntexploits.htm

Des livres sur Samba :

Samba. Integrating Unix and Windows.


John D. Blair (Samba Team). published by SSC.


=> bonne introduction aux réseaux Netbios





Sams Teach Yourself Samba in 24 hours.
Gerald Carter (Samba Team)


ISBN : 0-672-31609-9


=> le meilleur (prix ~ 185 FTTC)

SMB	Samba	commentaire
share	share	valeur par défaut pour V <= 1.19
user	user server domain	valeur par défaut pour V >= 2.00 variation du mode user idem

Transfert interrompu !