14. Samba Introduction Protocoles Microsoft. Page suivante Page précédente Table des matières

Transcription

1 Page suivante Page précédente Table des matières 14. Samba 14.1 Introduction Samba sur une machine Unix offre les mêmes services aux machines Windows qu'un serveur Windows NT: serveur de fichier et d'impression. Ce document est un support de cours. Il décrit l'utilisation de Samba sur Linux Debian. Samba (de Andrew Tridgell) est un serveur de fichiers et d'impression fonctionnant en UNIX, sur Linux en particulier et compatible avec les clients réseau Microsoft. Il rend (à peu près) les mêmes services que Windows NT serveur. Donc on peut se passer de ce dernier. Il permet aux utilisateurs Windows d'accéder à des ressources UNIX et inversement aux utilisateurs Unix d'accéder aux ressources partagées par les machines Windows. Utilité pour Windows: accès à des ressources distantes comme si elles étaient locales manipulation des fichiers distants "à la souris" espace disque supplémentaire pour chaque utilisateur (sécurisé par des sauvegardes) espace commun pour échanges de fichier accès aux imprimantes réseau accès au lecteur de cartouches pour sauvegardes distribution de logiciels partage de logiciels 14.2 Protocoles Microsoft SMB (Server Messaging Block) est le protocole utilisé par Microsoft pour partager fichiers et imprimantes entre WfWg, W95, W98, WNT. C'est une sorte de NFS. SMB est également appelé le protocole NetBIOS (Microsoft a repris le NetBios développé par IBM et qui a été porté sur IP, NBT: NetBios over IP, RFC ) ou LanManager. CIFS (Common Internet File System) gère les fonctions de type NFS. L'intérêt de SMB est qu'il peut fonctionner soit sur NetBeui, soit sur IPX, (deux protocoles qu'on se dépêche d'oublier), soit sur IP. Quelques concepts: Workgroup (groupe de travail): ensemble de machines auxquelles on accède (notion Windows 3.11 for workgroups) Name registration : Nom déclaré par une machine quand elle se connecte au réseau, (doit être unique). Il est recommandé de prendre le même nom que le nom de domaine Internet Sharename (Partage) : nom de la ressource partagée (répertoire disque ou imprimante) Browse : fonction à deux niveaux: 1. Visualiser la liste des machines qui partagent des ressources. (1 of 15) [24/10/03 08:50:43]

2 2. Visualiser les ressources partagées par une machine. Browse list: liste des machines du workgroup Local Browse Master: machine qui tient à jour la browse list. N'importe quelle machine Windows peut être Local Browse Master (il y a un concours). Chaque machine qui partage un service, l'annonce par un message broadcast. Domain Browse Master: machine qui réunit les browse lists de Workgroups répartis sur différents sous-réseaux IP. Domain : En 1ère approximation un Domain est un Workgroup avec un Domain Controler. WINS: Windows Internet Name Services. WNT serveur ou Samba font serveur WINS. Le serveur WINS permet la traduction de noms NetBIOS (SMB) en adresse IP. WINS permet aussi aux clients d'avoir des informations sur les NetBIOS name_type. Si un WNT serveur existe, le prendre comme serveur WINS. Sinon prendre Samba. Chaque machine Microsoft ou Samba doit indiquer le serveur WINS. Domain Controler: assure l'authentification des utilisateurs (gère un système userid/password = Security Account Manager -SAM-). Gère aussi des logon scripts et des profils utilisateurs. PDC: Primary Domain Controller en NT BDC: Backup Domain Controller en NT: simple copie d'un PDC Noms NetBIOS: suite d'au plus 15 caractères plus un caractère de type codé en hexa: 00 Standard Workstation Service 20 Serveur de fichiers (et d'imprimantes) (défaut) 03 Service Messenger (Winpopup) 06 Serveur RAS 21 Client RAS 1b Domain master browser 1d Master Browser Name 1f Serveur NetDDE be Network Monitor Agent bf Network Monitor Utility Types de noms de groupe: 00 Groupe standard 1c Serveur de logons 1d Master Browse Name 1e Normal group Name 20 Internet group Name 01 MSBROWSE (utilisé pour annoncer un groupe aux autres Master Browser) Configuration des clients réseau Microsoft sur Windows En W98: Démarrer/Paramètres/Panneau de configuration Double cliquer l'icône réseau Ajouter: Clients/Microsoft/Client pour les réseaux Microsoft Ajouter: Protocoles/Microsoft/TCP-IP Configurer en sélectionnant TCP-IP/Propriétés: remplir adresse IP... (2 of 15) [24/10/03 08:50:43]

3 Remplir WINS Server: adresse IP du serveur WINS Onglet: Identification Nom de l'ordinateur: (Name registration) Groupe de travail: (Workgroup) Description de l'ordinateur: nom propriétaire, par exemple. Optionnel: Si on veut utiliser Samba comme un PDC, sélectionnez Clients/Microsoft/"Client pour les réseaux Microsoft". Dans "Propriétés": cocher la case "ouvrir la session sur un domaine NT", et indiquer le nom du DOMAINE qui est identique au WORKGROUP. Sélectionnez "Partage de fichiers et d'imprimantes" Onglet: Contrôle d'accès Par suite, une icône "voisinage réseau" (Network Neighborhood) apparaît sur le bureau. Quand on clique cette icône apparaissent toutes les machines (Windows ou Unix-Samba) du groupe de travail. A l'entrée de Windows apparaîtra une fenêtre demandant nom d'utilisateur et mot de passe. On verra que pour accéder au serveur Samba, ces userids/passwords doivent être définis en Unix (voir security=user plus loin). Si on a sélectionné "ouvrir la session sur un domaine NT" un 3ème champ apparaît dans cette fenêtre: "Groupe de travail" 14.3 Commandes Lan-Manager sous DOS Commandes net Usage: net /h more Marche : net start Arrêt : net stop Liste des serveurs et des partages : net view Liste des partages d'un serveur : net view \\serveur Accès à un disque d'une machine distante: net use e: \\zoroastre\tmp e: dir net use e: /delete (fermeture de l'accès au disque) Fermeture de l'accès à un disque distant: net use e: /delete Accès à une imprimante distante: net use lpt2: \\zoroastre\hp5m type fichier>lpt2 net use lpt2: /delete Fermeture de l'accès à une imprimante distante: (3 of 15) [24/10/03 08:50:43]

4 net use lpt2: /delete zoroastre est le nom du serveur, hp5m, le nom de l'imprimante, lpt2 le nom local sous lequel l'imprimante est déclarée synchronisation horloge: net time \\serveur /set/ yes Interrogation de noms NetBIOS nbtstat -a NetBIOS_name 14.4 Le logiciel Samba Installation Dernière version: Sur Debian slink: 2.0.5a-1. Site www: Packages Debian samba 2.0.5a-1 A LanManager like file and printer server for Unix samba-common 2.0.5a-1 Samba common files used by both the server and the client. samba-doc p10-7 Samba documentation. smbclient 2.0.5a-1 A LanManager like simple client for Unix. smbfs 2.0.5a-1 Mount and umount commands for the smbfs (2.0.x and 2.1.x kernels) Debian fait à l'installation une configuration par sambaconfig qui propose de démarrer samba à travers inetd (déconseillé) ou comme daemon, de créer un fichier /etc/samba/smbpasswd et de démarrer samba s'il est en daemon. Ces paramètres sont rangés dans /etc/samba/debian_config Description Le serveur est constitué de deux daemons: smbd : serveur SMB: gère les accès aux ressources partagées nmbd : serveur de noms Netbios: permet de localiser les serveurs Fichier de configuration: /etc/samba/smb.conf Entrées dans /etc/services netbios-ns 137/tcp # NETBIOS Name Service netbios-ns 137/udp netbios-dgm 138/tcp # NETBIOS Datagram Service netbios-dgm 138/udp (4 of 15) [24/10/03 08:50:43]

5 netbios-ssn 139/tcp # NETBIOS session service netbios-ssn 139/udp Démarrage des daemons: En Debian /etc/init.d/samba start Remarque: smbd et nmbd peuvent être démarrés par inetd Test: testparm more smbclient -L serveur_samba netstat -a grep netbios Le test déterminant est l'accès depuis Windows. Utilitaires testparm : test de la configuration de Samba configuration testprns lp : teste l'accès à l'imprimante lp smbstatus : liste des connexions Samba en cours nmblookup : interrogation de noms NetBIOS Documentation Livre "Using Samba" chez O'Reilly. ftp://ftp.medasys-digital-systems.fr/pub/linux/doc/ man pages for smbd, nmbd and smb.conf cd /usr/doc/samba-doc 14.5 Configuration de Samba Tout le paramétrage est regroupé dans le fichier: /etc/samba/smb.conf Quand on modifie smb.conf il faut relancer Samba. Structure et syntaxe Le fichier est fait de sections (nom entre crochets) et de paramètres (nom = valeur). La casse des caractères est indifférente. Une ligne commençant par ; ou # est ignorée. ; ; /etc/smb.conf ; (5 of 15) [24/10/03 08:50:43]

6 ; Sample configuration file for the Samba suite for Debian GNU/Linux ; ; Please see the manual page for smb.conf for detailed description of ; every parameter. ; [global]... [homes]... [printers]... [tmp]... [partage]... Test de la configuration: testparm Section "global" Les paramètres définis dans la section global sont valables dans les autres sections. Exemple: [global] printing = bsd printcap name = /etc/printcap load printers = yes guest account = nobody invalid users = root hosts allow = security = user workgroup = PHASE server string = %h server (Samba %v) socket options = IPTOS_LOWDELAY TCP_NODELAY SO_SNDBUF=4096 SO_RCVBUF=4096 encrypt passwords = no wins support = yes ; wins server = os level = 65 ; domain master = no local master = yes preferred master = yes name resolve order = host wins bcast max log size = 1000 debug level = 0 Explications: voir man smb.conf printing : type de système d'impression Unix: BSD, SYSV, LPRNG,... printcap name : nom du fichier où les imprimantes sont définies (6 of 15) [24/10/03 08:50:43]

7 load printers : si yes (défaut) toutes les imprimantes du fichier printcap sont rendues visibles. guest account : userid utilisé pour les services "guest ok". Par exemple un client lira la browse list tenue par samba comme guest. Si guest account est absent, il ne pourra le faire. invalid users : liste d'utilisateurs interdits hosts allow : adresses IP des machines autorisées à accéder au service désigne un réseau de classe C security si user (défaut) le userid/password donné en entrée de session Windows doit être défini sur Unix (/etc/passwd...) encrypt passwords: par défaut en W98 et WNT les passwords sont cryptés (il faut modifier la base de données de registres pour qu'ils soient en clair). Il est recommandé maintenant de mettre encrypt passwords=yes. Le défaut de Samba est encrypt passwords=no workgroup : nom du groupe de travail server string : chaîne de caractères apparaissant en commentaire dans la "Browse List". %h désigne le nom du serveur, %v la version de Samba. socket options : paramètres d'optimisation de l'interface réseau wins support : si yes le daemon nmbd fera WINS serveur. wins server : adresse IP du WINS serveur si Samba ne le fait pas. os level : il y a un concours pour choisir un "local master browser" pour le workgroup. Celui qui a le plus fort os level l'emporte. (Wfg=W95=1, W98=2, WNT WS=16 ou 17 WNT Serveur= 32 ou 33). domain master: no (utile si sous-réseaux IP) local master: yes Samba tiendra à jour la browse list de son workgroup preferred master: force nmbd à gagner leconcours de master browser au démarrage name resolve order: ordre de consultation des services de noms pour résoudre les hostnames en adresses IP. host désigne le fichier /etc/hosts et le serveur DNS, wins interroge le WINS server, bcast l'envoi d'un broadcast. max log size: taille en K du log après quoi smbd le préfixe en.old et en recrée un autre. Nom des fichier log en Debian: /var/log/smb et /var/log/nmb debug level : niveau de debug (si problème, voir les messages dans fichiers logs. Partage Un partage (share) ou service est défini par un répertoire auquel il permet d'accèder et des conditions d'accès. C'est soit un partage de fichiers, soit un partage d'imprimante. Les droits d'accès aux fichiers sont conditionnés par les permissions Unix. Section "homes" Si une section "homes" existe, à la connexion d'un utilisateur un partage est créé à la volée avec pour nom son userid, pour chemin d'accès (path) son home directory et comme paramètres ceux de la section "homes". Cela suppose que l'utilisateur Windows a un login Unix. Ces partages ne seront accessibles qu'à leur propriétaire. [homes] comment = Home Directories browseable = no read only = no create mask = 0755 directory mask = (7 of 15) [24/10/03 08:50:43]

8 browseable Si no, n'apparaît pas dans la browse list. mask : Permission Unix des fichiers Section "printers" [printers] comment = All Printers browseable = no path = /tmp printable = yes public = no writable = no create mode = 0700 Toutes les imprimantes décrites dans /etc/printcap seront accédées comme c'est décrit ici. path est le répertoire où les fichiers sont stoqués avant d'être envoyés à l'impression. Partage accessible par tous en lecture/écriture Permet aux utilisateurs Windows d'échanger des fichiers sans passer par la messagerie ou ftp. [tmp] comment = Espace public temporaire path = /tmp read only = no public = yes Partage accessible par tous en lecture, réservé en écriture Ce répertoire est public mais seuls christof et weymann ont le droit d'écriture. [fournis] comment = Base de donnees des fournisseurs path = /home/fournis public = yes writable = yes printable = no write list = christof, weymann Partage à accès réservé Seul le userid christof peut accéder à ce répertoire [pv] comment = Pages Web photovoltaique path = /var/www/phase/pv valid users = christof (8 of 15) [24/10/03 08:50:43]

9 public = no writable = yes printable = no Authentification La méthode recommandée est d'utiliser security=user et de prendre comme userid/password Windows les mêmes userid/password qu'en Unix. Si pour un partage on a mis la clause guest ok = yes, alors aucun password n'est demandé pour l'accéder. Mots de passe cryptés [global] security = user encrypt passwords = yes smb passwd file = /etc/samba/private/smbpasswd Ce fichier /etc/samba/private/smbpasswd ne doit être lisible que par root. Faire : chmod 500 /etc/samba/private Passage aux mots de passe cryptés: cat /etc/passwd mksmbpasswd >/etc/samba/private/smbpasswd chmod 600 /etc/samba/private/smbpasswd mksmbpasswd crée une entrée par utilisateurs, mais les passwords cryptés ne sont pas entrés. Pour le faire, dans smb.conf ajouter: encrypt passwords = no smb passwd file = /etc/samba/private/smbpasswd update encrypted = yes Les machines clientes continuent à envoyer des passwords en clair mais ils sont entrés sous forme cryptée dans /etc/samba/private/smbpasswd. Quand ils sont tous entrés on passe à la forme cryptée en modifiant sur le serveur smb.conf ainsi: encrypt passwords = yes smb passwd file = /etc/samba/private/smbpasswd update encrypted = no et sur les clients en modifiant la base des registres pour que les passwords soient cryptés. Les passwords peuvent être modifiés par l'utilisateur, il suffit de taper smbpasswd comme pour passwd de Unix. Documentation : zmore /usr/doc/samba-doc/encryption.txt.gz (9 of 15) [24/10/03 08:50:44]

10 14.6 Audit: testparm : contrôle la validité du fichier de configuration de Samba ping : test connectivité du client, du serveur smbclient -L serveur : affiche les partages de la machine serveur netstat -a grep netbios : contrôle des sockets ouverts nmblookup : interrogation de noms NetBios Il y a deux types de résolution de nom NetBIOS: Broadcast (option -B), point à point (option -U). nmblookup -B serveur SAMBA : teste d'un serveur Samba (B comme adresse de broadcast) nmblookup SAMBA : teste tous les serveurs Samba nmblookup '*' : teste toutes les machines actives supportant NetBios/SMB dans la même zone de broadcast nmblookup -S serveur : liste les noms déclarés par un serveur (S comme node status query) [morel@zoroastre morel]$ nmblookup -S zoroastre Sending queries to zoroastre<00> Looking up status of received 7 names ZOROASTRE <00> - M <ACTIVE> ZOROASTRE <03> - M <ACTIVE> ZOROASTRE <20> - M <ACTIVE>.. MSBROWSE. <01> - <GROUP> M <ACTIVE> PHASE <00> - <GROUP> M <ACTIVE> PHASE <1d> - M <ACTIVE> PHASE <1e> - <GROUP> M <ACTIVE> nmblookup -U zoroastre -R phase : Interroge le serveur WINS zoroastre pour le nom PHASE (U comme Unicast) 14.7 Incidents Si problème consultez les log avec un niveau de debug 2 ou 3. "Si je veux aller sur le serveur samba a partir de windows 95 par l'icône Voisinage réseau. il ouvre une fenetre et me demande un password pour \\serveursamba\ipc$. Quel est ce password? Pourquoi cette requete?" Soit vous n'avez pas répondu à la question userid/password en début de session Windows, soit votre userid/password n'est pas conforme à celui du serveur Samba, soit il y a désaccord sur le cryptage des passwords entre le serveur et votre machine.en Windows 98 par défaut les passwords pour les échanges réseau sont cryptés. Pour l'empêcher modifier ainsi la base de registres: Démarrer/Exécuter/regedit HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Vxd\VNETSUP\ Menu Edit/Nouveau/Valeur DWORD (10 of 15) [24/10/03 08:50:44]

11 Mettre le nom à EnablePlainTextPassword (Attention aux majuscules) Sélectionner ce nom puis Menu Edit/Modifier/Données de la valeur: Puis rebooter Accès depuis Unix aux ressources Windows Le client Unix est smbclient, il permet d'accèder aux fichiers et imprimantes Windows. Le support de smbfs par le noyau Linux permet de monter des filesystems Windows à travers Samba. smbclient : accès aux fichiers Windows à la ftp smbclient -L zoroastre -U% : liste des partages de la machine zoroastre et de sa browse list (si c'est un local master browser). L'option -L indique le nom NetBIOS de la machine. L'option -U désigne le userid. Si % cela signifie password vide. smbclient '\\zoroastre\public' -U% : accès au partage "public" de zoroastre, sans password. On accède aux fichiers à la manière de ftp, commandes ls, put, get, faire help On utilise des quotes pour empêcher le shell d'interpréter '\'. smbclient //aline/java -U% : accès au partage java de la machine aline. On remarque qu'on peut utiliser '/' au lieu de '\'. Les quotes ne sont plus nécessaires. Messages Winpopup echo "salut Eric" smbclient -M canyon : message envoyé à Winpopup de la machine canyon. smbtar smbtar est un shell script qui appelle smbclient. Il permet de sauver sur un lecteur de cartouche Unix les fichiers d'un partage Windows. Appel: smbtar -s aline -x java -t /dev/nst0 -v sauvegarde par tar le partage java de la machine de nom NetBIOS aline sur le lecteur de cartouches SCSI /dev/nst0 en mode verbose. smbmount Le support de smbfs doit être configuré dans le noyau et, en Debian, il faut le package smbfs. smbmount-2.0.x //aline/java smb -n : monte le partage java de la machine aline sur le répertoire smb sans mot de passe (-n). Il n'est pas nécessaire d'être root. smbmount-2.0.x -h : décrit les options (11 of 15) [24/10/03 08:50:44]

12 smbumount-2.0.x smb : démonte le filesystem smbprint smbprint est un shell script qui appelle smbclient pour envoyer un fichier à imprimer sur une imprimante Windows. Pour imprimer il suffit de se connecter à un service d'impression et de faire print fichier. Exemple: smbclient //ananda/laser -U% print nom_fichier Ceci peut se faire par lpr via un filtre. Configuration dans /etc/printcap, exemple: pv laser LaserWriter Select 360:\ :lp=/dev/null:\ :sd=/var/spool/lpd/pv:\ :sh:\ :af=/var/spool/lpd/pv/acct:\ :lf=/var/log/lp3-errs:\ :if=/var/spool/lpd/pv/smbprint Un fichier /var/spool/lpd/pv/.config doit valoriser les variables: [morel@zoroastre pv]$ cat.config server=ananda service=laser password="" Exécute: (echo "print -"; cat) smbclient '\\ananda\laser' 14.9 Applications de samba Distribution de logiciels pour Windows Au lieu de faire une installation d'un logiciel sur le disque local d'une machine, il peut être installé sur un partage d'un serveur Samba par exemple. Fonction Primary Domain Controller de Samba Comme WNT, Samba peut authentifier les utilisateurs Windows et définir un environnement personnalisé : raccourcis du menu démarrer, icones du bureau, préférences comme fond d'écran ou couleurs que chacun retrouvera quelque soit la machine sur laquelle il se connecte. (12 of 15) [24/10/03 08:50:44]

13 Cette fonctionnalité n'est disponible qu'à partir de Samba 2.1 pour des clients Windows NT. Pour W85/98, dans Configuration Réseau sélectionnez Clients/Microsoft/Client pour les réseaux Microsoft Dans "Propriétés": cocher la case "ouvrir la session sur un domaine NT", et indiquer le nom du DOMAINE qui est identique au WORKGROUP. Script de logon Cela se fait par un fichier *.bat rangé sur le serveur Samba. [global] security=user domain logons = Yes logon script=%u.bat [netlogon] comment = Network Logon Services path=/home/samba/netlogon writeable= no guest ok = no browseable = no locking = no case sensitive = no %U prend comme valeur le nom de l'utilisateur. Le partage netlogon est l'endroit où sont rangés les scripts *.bat. Ainsi pour l'utilisateur dupond il y aura un fichier: /home/samba/netlogon/dupond.bat Exemple d'un script dupond.bat echo Mise a l'heure net time \\zoroastre /set /yes echo Ouverture de partages net use h: \\zoroastre\tmp Ce script sera exécuté sous Windows, il doit avoir des fins de ligne à la MSDOS. Le script de logon peut être collectif, par exemple: logon script=startup.bat Profil mobile (roaming profile) Il permet de garder le même environnement de travail tout en changeant de machine: l'environnement est stocké sur le serveur. [global] domain logons = yes security = user logon path = \\zoroastre\profile\%u [profile] (13 of 15) [24/10/03 08:50:44]

14 comment = User profiles path = /home/samba/profile create mode = 0600 directory mode = 0700 writable = yes browsable = no Le partage profile contiendra les profils utilisateurs. Par exemple le répertoire /home/samba/profile/dupond. Des fichiers sont copiés dans ce répertoire à la 1ère connexion, notamment un user.dat. L'utilisateur Windows peut changer son profil. L'administrateur peut rendre un profil obligatoire (mandatory) en renommant user.dat en user.man et en mettant les fichiers read-only. Installation partagée de drivers d'imprimante pour W9x Quand on clique depuis W95 sur une imprimante partagée par Samba, le driver peut-être installé automatiquement comme depuis un serveur WNT. Ceci ne marche pas sur WNT. 1. Créer un répertoire et un partage par exemple: [printer$] comment = Pilotes d'imprimante path=/home/samba/printer public=yes writable=no browseable=yes 2. Installer les drivers sur une machine W Repérer les drivers nécessaires pour une imprimante. Copier c:\windows\inf\msprint*.inf sur Linux dans /home/samba/lib. Exécuter, par exemple: cd /home/samba/lib make_printerdef msprint.inf "Apple LaserWriter" >> printers.def ce programme affiche sur stderr tous les fichiers nécessaires. Copiez les dans /home/samba/printer 4. Ajoutez deux paramètres dans /etc/samba/smb.conf. Dans la section [global] 'printer driver file' doit pointer sur printers.def que l'on vient de créer. L'autre 'printer driver location' pour chaque partage d'imprimante pointe sur le répertoire où le client trouvera les drivers Exemple: (14 of 15) [24/10/03 08:50:44]

15 [global] printer driver file=/home/samba/lib/printers.def [lp] comment = My old printer laser browseable = yes printable = yes public = yes writable = no create mode = 0700 printer driver=apple LaserWriter printer driver location=\\%h\printer$ %h donnera le nom du serveur Samba, et printer$ est le nom du partage créé plus haut. Voir /usr/doc/samba-doc/printer_driver.txt.gz Serveurs virtuels La commande netbios aliases permet à un serveur de porter plusieurs noms NetBios. La commande include permet d'inclure de manière dynamique des paramètres de configuration. [global] netbios aliases = admin other include = /etc/samba/smb.conf.%l Ici le serveur apparaîtra dans le voisinage réseau des clients sous son nom par exemple zoroastre et aussi sous admin et other. %L prendra les valeurs zoroastre, admin et other. Le fichier /etc/samba/smb.conf.admin peut contenir une section global et des partages. S'il n'existe pas, cela ne fait pas d'erreur. Page suivante Page précédente Table des matières (15 of 15) [24/10/03 08:50:44]