Все о Samba » name resolve order

password server (G)

admin1 — Sat, 09 May 2009 11:16:26 +0000

Указав имя другого SMB сервера или домен-контроллера АД и при использовании режима security = [ads|domain|server] с помощью этого параметра становится возможным производить проверку имени пользователя и пароля используя удаленный сервер. Этот параметр устанавливает имя или IP адрес сервера проверки паролей. Был добавлен новый синтаксис для определения порта, который следует использовать для подключения к серверу на случай если используется ADS. Для указания порта, отличного от значения порта LDAP (389) установленного по умолчанию , добавьте к имени или IP адресу двоеточие и номер порта (напр., 192.168.1.100:389).

Если Вы не укажете порт, то Самба будет пытаться установить соединение по стандартному порту LDAP tcp/389. Заметьте, что номер порта не имеет смысла при использовании серверов Windows NT 4.0 . Если указано имя сервера, по нему определяется адрес, использую очередность, указанную в параметре name resolve order. Имя может быть определено с помощью любого из этих методов. Сервер паролей должен поддерживать протокол “LM1.2X002″ или “NT LM 0.12″ и он должен быть настроен в режиме безопасности уровня пользователя (USER).

В имени сервера паролей можно использовать макросы, но, вероятно, полезным будет только %m , которое означает что Самба будет использовать клиентов в качестве сервера паролей. Если это так, то клиенты должны быть внушающими доверие и вам следовало бы ограничить их с помощью hosts allow! Если параметр безопасности (security) выставлен в domain или ads, тогда список компьютеров в этом параметре должен быть списком первичных или резервных доменных контроллеров или символом ‘*’ , поскольку Самба находится в этом домене и будет использовать криптографически аутентифицированные вызовы удаленных процедур для аутентификации пользователя, выполняющего процедуру входа. Преимущество использования security = domain состоит в том, что если Вы указываете несколько узлов в параметре password server тогда демон smbd будет пытаться обработать каждый сервер из списка, пока не будет найден откликающийся сервер.

Если параметр password server установлен в ‘*’ , тогда Самба будет пытаться автоматически определить первичный или резервный доменные контроллеры относительно которого аутентифицировать учетки. Самба будет посылать запросы для имени WORKGROUP<1C> , затем установит соединение с каждым сервером, адрес которого будет возвращен в результате выполнения запроса. Если список серверов содержит имена/IP адреса и символ ‘*’ , список будет обработан как список предпочтительных доменных контроллеров и кроме этого, в список будут занесены те доменные контроллеры, которые получены с помощью авто поиска (auto lookup). Самба НЕ будет пытаться оптимизировать этот список, определяя ближайший доменный контроллер. Если параметр безопасности установлен в server , тогда есть определенные ограничения по сравнению с security = domain :

* Вы можете указывать несколько серверов паролей в параметре password server, тем не менее, если демон smbd устанавливает соединение с сервером паролей и впоследствии сервер паролей ломается, с этого smbd больше ни один пользователь не сможет аутентифицироваться. Это ограничение протокола SMB/CIFS в режиме security = server и не может быть компенсировано средствами Самбы.

* Если Вы используете сервер Windows NT в качестве сервера паролей, тогда вам придется удостовериться в том, что Ваши пользователи могут аутентифицироваться на сервере Самбы, т.к. в режиме security = server сетевой вход будет произведен именно при помощи сервера, а не с рабочей станции.

Замечание;

Использование сервера паролей означает, что ваш компьютер с UNIX и Самбой безопасен настолько, насколько безопасен ваш сервер паролей (password server). НЕ УКАЗЫВАЙТЕ СЕРВЕР ПАРОЛЕЙ, КОТОРОМУ ВЫ НЕ ДОВЕРЯЕТЕ. Никогда не указывайте Самбе на саму себя. Это вызовет бесконечный цикл и Ваш сервер заблокируется!

Значение по умолчанию:

password server =

Пример:

password server = NT-PDC, NT-BDC1, NT-BDC2, *

или

password server = windc.mydomain.com:389 192.168.1.101 *

или

password server = *

name resolve order (G)

admin1 — Sat, 09 May 2009 10:40:09 +0000

Этот параметр используется программами из пакета Самба чтобы определить в каком порядке ипользовать сервисы имен для получения IP адреса. Основное назначение в том, чтобы устанавливать каким образом определяются имена NetBIOS. В этом параметре указываются строковые значения разделенные пробелами. Возможные значения : “lmhosts”, “host”, “wins” и “bcast”. Они означают :

* lmhosts : искать IP адрес в Самбовском файле lmhosts. Если в строке файла lmhosts не указано типа имени NetBIOS (см. lmhosts) тогда любое имя подходит для поиска.

* host : Произвести стандартную трансляцию имени хоста в IP адрес, используя /etc/hosts, NIS или DNS запрос. Этот метод определения зависит от операционной системы, например в IRIX или Solaris можно сконфигурировать в /etc/nsswitch.conf . Обратите внимание на то, что этот метод используется только тогда, когда тип запрашиваемого имени NetBIOS 0×20 (server) или 0×1c (domain controllers). Последний случай применим только для доменов АД и в результате будет DNS запрос для вхождения SRV RR соответсвующего _ldap._tcp.domain.

* wins : Определить IP адрес по имени, обозначенном в параметре wins server. Если сервер WINS не указан, то метод будет проигнорирован.

* bcast : Сделать широковещательный запрос по всем известным интерфейсам. Это самый ненадежный из всех методов определения имен, т.к. зависит от подключения компьютера к локальной сети.

Пример ниже обозначает следующий порядок : сначала искать в локальном файле lmhosts, затем широковещательный запрос, затем средствами операционной системы. Рекомендуется использовать следующие настройки при работе Самбы в режиме (security = ads) :

name resolve order = wins bcast

Запросы домен-контроллера все еще будут выполняться с помощью DNS, но в случае отката на имена NetBIOS, не затопит Ваши DNS сервера запросами типа DOMAIN<0×1c>.

Значение по умолчанию:

name resolve order = lmhosts host wins bcast

Пример:

name resolve order = lmhosts bcast host

nmbd (NetBIOS nameserver)

admin — Fri, 08 May 2009 07:50:12 +0000

НАЗВАНИЕ

nmbd – обеспечивает клиентам поддержку сервера имен NetBIOS

СИНТАКСИС

nmbd [-D] [-F] [-S] [-a] [-i] [-o] [-h] [-V] [-d ] [-H ] [-l ] [-p ] [-s ]

ОПИСАНИЕ

nmbd это сервер, понимающий и способный отвечать на запросы службы имен NetBIOS, посылаемые клиентами SMB/CIFS такими как: Windows 95/98/ME, Windows NT, Windows 2000, Windows XP и LanManager клиенты. Он также учавствует в просмотре (browsing) сети.

При запуске клиенты SMB/CIFS обычно ищут в сети сервер служб SMB/CIFS, необходимый им для определения IP-адреса интересующей их машины.

Сервер nmbd просто просматривает такие запросы, и, если в запросе упомянуто его NetBIOS-имя, он ответит IP-адресом машины, на которой он запущен. По умолчанию его NetBOIS-имя – это первичное DNS-имя машины, на которой он запущен, но может быть переопределено параметром netbios name smb.conf. Таким образом сервер nmbd будет отвечать на широковещательные запросы для своего имени(ен).

nmbd также может служить в качестве WINS-сервера (Windows Internet Name Server, Windows-сервер службы имен Internet). Это означает, что сервер nmbd сервера базы данных WINS: по результатам запросов добавлять имена в базу данных и отвечать на запросы имен клиентов.

Кроме того, сервер nmbd может действовать в качестве прокси-сервера WINS, ретранслировать широковещательные запросы от клиентов, не понимающих WINS, на WINS-сервер.

ОПЦИИ

-D, –daemon Become a daemon(default)

Этот параметр заставляет сервер перейти в режим демона, в котором он отсоединяется от управляющего терминала и уходит в фоновое исполнение, обслуживая запросы на подходящем порту.

Если сервер nmbd был запущен из командной строки shell’a, то работает он в качестве демона. Сервер nmbd может быть запущен при помощи meta-демона inetd, хотя это не рекомендуется.

-F, –foreground Run daemon in foreground (for daemontools & etc)

Если задан, то сервер nmbd переходит к не демоническому режиму работы, т.е. процесс раздваивается и отключается от терминала.

Дочерние процессы продолжат работу как были созданы, чтобы обслужить запрос установливаемых соединений, в отличие от основного процесса. Этот режим является подходящим для того, чтобы выполнить nmbd под супервизорами процесса.

-S, –log-stdout Log to stdout

Если задан, то серверу nmbd придется вести log на стандартный вывод, а не в файл.

-i, –interactive Run interactive (not a daemon)

Если задан, то сервер nmbd переходит в интерактивный режим, даже если сервер nmbd был запущен из командной строки оболочки. Установка этого параметра отрицает неявный режим демона. Также log сервера nmbd подключается к стандартному выводу как будто задан параметр -S.

-d, –debuglevel=DEBUGLEVEL Set debug level

Число от 0 до 10. Если параметр не задан, то значение по умолчанию равно 0.

Высокие значения заставляют регистрировать много информации в log-файлы о активности сервера. При 0 регистрируются только критические ошибки и серьезные предупреждения. Уровень 1 самый оптимальный для ежедневной работы – при нем генерируется не большое количество информации о выполненных операциях.

Уровни выше 1 генерируют значительный объем log’ов, и могут создать проблемы при использовании. Уровни выше 3 используются только разработчиками.

Заметьте, что этот параметр отменяется если задан параметр log level smb.conf.

-H, –hosts=STRING Load a netbios hosts file

Файл lmhosts содержит в себе список вида: имя NetBIOS – IP адрес, который загружает сервер nmbd и использует через механизм распознавания имен, содержащийся в параметре name resolve order smb.conf, для определения NetBIOS-имен. Зметим, что содержимое этого файла не используется nmbd для формирования ответов на запросы имен. Используется это только этим компьютером.

-l, –log-basename=LOGFILEBASE Base name for log files

Если эта опция задана, то файл_протоколирования задает базовое имя файла, в который будет помещаться информация о работе сервера (log/debug).

Базовое имя используется для генерации реальных имен файлов протоколирования и к нему добавляется расширение ".progname". Например, если задано базовое имя "log", то будут созданы следующие файлы:

log.debug (содержащий отладочную информацию)

log.in (содержит входящие транзакции)

log.out (содержит выходящии транзакции)

log.smbclient, log.smbd

Сгенерированные файлы протоколирования не могут быть удалены клиентом.

-p, –port=INT Listen on the specified port

UDP порт, положительное число. Эта опция изменяет заданный по умолчанию UPD порт (137) который nmbd слушает для распознавания запросов. Лучше менять этот параметр если Вы шарите очень хорошо в этой хрени.

-s, –configfile=CONFIGFILE Use alternate configuration file

Заданный файл должен содержать конфигурацию требуемую серверу nmbd. Информация этого файла специфична для сервера nmbd такая как например что использовать файлу printcap, также в нем содержится описание всех услуг, которые должен оказывать сервер.

Имя конфигурационного файла по умолчанию определяется во время компиляции.

ФАЙЛЫ

/etc/inetd.confInternet superserver configuration database

в этом файле содержится информация для meta-демона inetd, если сервер nmbd запускается в режиме демона

/etc/rc

или любой другой инициализационный скрипт системы

Если сервер nmbd запущен в качестве демона, то в этом файле (скрипте) должны содержаться надлежащие последовательности для запуска сервера nmbd

/etc/services

если nmbd-сервер запущен посредством meta-демона inetd, то в этом файле содержится:

[Имя службы] [Порт] [Протокол]

netbios-ssn 139/tcp

/etc/samba/smb.conf

default конфигурационный файл nmbd-севера

Когда сервер nmbd запущен как WINS-сервер (смотрите wins support параметр smb.conf), nmbd хранит базу данных WINS в файле wins.dat в каталоге var/locks.

Если сервер nmbd действеут как browse master (смотрите параметр local master в smb.conf), nmbd хранит базу данных просмотров в файле browse.dat в каталоге var/locks.

SIGNALS

Для прекращения процесса nmbd не рекомендуется использовать SIGKILL (-9), разве что ну в самых крайних случаях, т.к. это может привести базу к нерабочему состоянию. Корректным завершением считается посыл SIGTERM (-15) и ожидания смерти процесса.

При использовании SIGHUP сервер nmbd выгружает свой namelists в файл namelist.debug директории /var/run/samba. И это событие регистрируется в логе log.nmb.

debug log level сервера nmbd можено изменять посредством административной утилиты smbcontrol. Используется при диагностике.