Samba - Domain Controller

Linux-haladó

Samba - Domain Controller

  • 4889 megtekintés

( Husi | 2006. 08. 02., sze – 00:45 )

Összeállítotam egy samba PDC-t. megyis "rendesen" csak a klienseket nem tudom domainba berakni, a win azt írja, hogy nincs ilyen domain kontroller, de workgroupban hajlandó tallózni a wines gép a sambán :)

nmdb.log:

[2006/08/01 23:45:55, 0] nmbd/nmbd_become_dmb.c:become_domain_master_query_success(225)
become_domain_master_query_success:
There is already a domain master browser at IP 192.168.0.102 for workgroup NMTREND registered on subnet UNICAST_SUBNET.
[2006/08/01 23:45:59, 0] nmbd/nmbd_logonnames.c:become_logon_server_success(124)
become_logon_server_success: Samba is now a logon server for workgroup NMTREND on subnet 192.168.0.254

a vicc az egészben, hogy a 192.168.0.102-es gép a router által kiosztott dhcp kliens
samba restart nem segit, network/ router restart szintén semmi, én tanácstalan, winbind meg fut :)

ötlet valalki?

( mocsi | 2005. 01. 25., k – 22:09 )

winbind gondolom szinten fut?

probaltad mar a
net join -D 10 .... verziot is

( aperger | 2005. 01. 27., cs – 17:06 )

Köszi,

"-D" opciót nem próbáltam, amint lesz időm kipróbálom és válaszolok is.

Attila

( mocsi | 2005. 01. 27., cs – 22:03 )

[quote:e8b3a5b23e="aperger"]Szia

A "net join" futtatása után a /etc/password fájlban és a /etc/samba/smbpasswd fájlban is megjelent "gepnév$" bejegyzés, ezért nem értem a dolgot, mert akkor látta a szervert ????

Nekem volt olyan hogy ugyan a ldab machine add script szepen felrakta megfelelo helyre a gepet, legalabbis a ldap machine filter-nek megfeleloen, de nem talalta meg visszafele. Sajnos nincs idom vele tokoreszgetni, ezert kezzel adtam hozza a user$ es smbpasswd -am user dolgot igy mukodott tokeletesen.

( 1g0R | 2005. 01. 27., cs – 22:23 )

Sziasztok,

Csináltam én is egy samba domain-t,
A probléma az, hogy amikor be szeretném rakni a WindowsXP-s gépeket a domain.be, akkor megkérdezi a usernevet és jelszót, akinek joga van berakni a gépet.
Aztán azt mondja, hogy rossz user vagy jelszó.
A logban pedig, getpeername failed van.
A smb.conf-ban benne van a new machine script.

( aperger | 2005. 01. 21., p – 08:53 )

Sziasztok,

Még egy apróság hátha segít, a hosts fájlban benne van a password-server ip-név bejegyzés... nem értem miért nem éri el, miért nem látja... vagy talán "az bizonyos" hibaüzenet miatt nem működik, de akkor miért tudok róla browse-olni...

( aperger | 2005. 01. 28., p – 00:06 )

[quote:7688bbea50="1g0R"]Sziasztok,

Csináltam én is egy samba domain-t,
A probléma az, hogy amikor be szeretném rakni a WindowsXP-s gépeket a domain.be, akkor megkérdezi a usernevet és jelszót, akinek joga van berakni a gépet.
Aztán azt mondja, hogy rossz user vagy jelszó.
A logban pedig, getpeername failed van.
A smb.conf-ban benne van a new machine script.

Talán megoldás lehet, ha a "root"-ot is hozzáadjuk az "smbpasswd" fájkhoz a szerveren (PDC, az "smbusers" fájlban definiálhatunk neki alias nevet is). Ezt megtehetjük az "smbadduser/smbuseradd username:smbalias" (2.2.x-es samba esetén) illetve a "smbpasswd -a username" paranccsal (3.0.x-es samba esetén).
Ezek után használhatjuk a "root"-ot vagy az alias nevet a beállított jelszóval, neki lesz joga hoozáadni bejegyzéseket a password fájlokhoz. Azt nem tudom mi van ha a "root" nem megengdett felhasználó, de talán az csak logon-nál érdekes... Ezután meg kellene próbálni root + jelszó vagy root-alias + jelszó párossal hozzáadni a gépeket, nálam működött, de az XP veszélyes dolog, az aktuális profile-ról mentés legyen !!!!! Főleg hogy "eltitkosítja" és nehéz visszaszedni...

Attila

( mocsi | 2005. 01. 28., p – 08:42 )

[quote:bc8054df19="aperger"][quote:bc8054df19="1g0R"]Sziasztok,

Csináltam én is egy samba domain-t,
A probléma az, hogy amikor be szeretném rakni a WindowsXP-s gépeket a domain.be, akkor megkérdezi a usernevet és jelszót, akinek joga van berakni a gépet.
Aztán azt mondja, hogy rossz user vagy jelszó.
A logban pedig, getpeername failed van.
A smb.conf-ban benne van a new machine script.

Talán megoldás lehet, ha a "root"-ot is hozzáadjuk az "smbpasswd" fájkhoz a szerveren (PDC, az "smbusers" fájlban definiálhatunk neki alias nevet is). Ezt megtehetjük az "smbadduser/smbuseradd username:smbalias" (2.2.x-es samba esetén) illetve a "smbpasswd -a username" paranccsal (3.0.x-es samba esetén).
Ezek után használhatjuk a "root"-ot vagy az alias nevet a beállított jelszóval, neki lesz joga hoozáadni bejegyzéseket a password fájlokhoz. Azt nem tudom mi van ha a "root" nem megengdett felhasználó, de talán az csak logon-nál érdekes... Ezután meg kellene próbálni root + jelszó vagy root-alias + jelszó párossal hozzáadni a gépeket, nálam működött, de az XP veszélyes dolog, az aktuális profile-ról mentés legyen !!!!! Főleg hogy "eltitkosítja" és nehéz visszaszedni...

Attila

Samba 3-omnal nem kell root-nak lenni, sot nem is eppen egeszseges...
Siman letre kell hozni egy egyszeru unix user-t, hivjuk adminisztratornak majd smbpasswd -a az emberke es a legvegen jon a trukk, hogy az emberke group-jat map-elni a Domain Admins-hoz

net groupmap modify ntgroup="Domain Admins" unixgroup=adminisztratornak

Ezzel van a Windows vilagban egy God mode user es van a unix vilagban egy masik, es a kettonek semmi koze egymashoz.

( mocsi | 2005. 01. 28., p – 08:50 )

[quote:7c8e495cd1="aperger"]vagy root-alias + jelszó párossal hozzáadni a gépeket, nálam működött, de az XP veszélyes dolog, az aktuális profile-ról mentés legyen !!!!! Főleg hogy "eltitkosítja" és nehéz visszaszedni...

Attila

Samba-nal, vagyis a Windows-nal a Domain user nem ugyanaz mint a Local User, megha a username ugyanaz, ezert masik konyvtarba teszi oket a %WINDRIVE%\Documents and Settings-ben.

Utolag amikor mar belepett a user a gepre kb. igy nez ki a Documents and Settings

All user
Username1
Username1.Domain_name

Amennyiben migralni szeretnenk lokalis user-eket domain user-re, akkor a kozponti user felvetel utan be kell allitani kozpontilag, hogy remote profile-t hasznal X utvonalrol, be kell csatolni az adott gepet a domai-ba. Ezutan be kell lepni mint lokalis user, letorolni a Temp Internet Files es felmasolni a profile-t (Jobb click Sajatgep->Tulajdonsagok->Felhasz. Profilok->kvialasztani a megfelelot ->Masolas->X konyvtarba a server-en, es nem art hozzaferest adni a profile-hoz a domain\username-nek), majd logout login mint domain user es orvend ha nincs valami kibhosszu filenev (amitol hulyet kap masolaskor a samba) mert ott a profil minden beallitassal, vagyis majdnem mindennel en pl Outlook Express jelszavakat nem tudtam athozni. :)

Jha es nekem ki kellett kapcsolni a roaming profile-t, mert a ... .... ... user-ek kenyelmesek es imadjak a poenos videokat kuldozgetni osztan nemelyiknek 3 Gig a profile-ja :D

( mocsi | 2005. 01. 21., p – 10:56 )

Lehet hogy felesleges kerdes, de fel van veve az FC3-as gep neve a PDC-re?

( aperger | 2005. 01. 28., p – 09:48 )

Köszi Mocsi a segítséget, a jogosultsági trükköket nem ismertem...

Egy korábbi tanácsot megfogadva "net join -D 10 ..." -ot megadva sem lettem okosabb az FC3-as gépemen...

[code:1:e97854862c]
[root@comp-h21]# net join -D 10 -S TFH04 -Uroot%*****
[2005/01/28 09:49:13, 0] utils/net_ads.c:ads_startup(186)
ads_connect: Az átviteli végpont nincs csatlakoztatva
Joined domain TFSH.
[root@comp-h21]#
[/code:1:e97854862c]

A Kliensről ez látszik (A 3. esetben nem írtam be a jelszót !!!)
[code:1:e97854862c]
aperger@comp-h10:~$ smbclient -L comp-h21
Password: *********
session setup failed: NT_STATUS_NO_LOGON_SERVERS
aperger@comp-h10:~$ smbclient -L comp-h21 -U aperger -W TFSH
Password:
session setup failed: NT_STATUS_PIPE_NOT_AVAILABLE
aperger@comp-h10:~$ smbclient -L comp-h21
Password: <empty>
Anonymous login successful
Domain=[TFSH] OS=[Unix] Server=[Samba 3.0.10-1.fc3]

Sharename Type Comment
--------- ---- -------
IPC$ IPC IPC Service (Samba Server)
ADMIN$ IPC IPC Service (Samba Server)
Anonymous login successful
Domain=[TFSH] OS=[Unix] Server=[Samba 3.0.10-1.fc3]

Server Comment
--------- -------
COMP-H21 Samba Server
TFH04 Samba Server on SuSE Linux (by Perger)

Workgroup Master
--------- -------
TFSH TFH04
aperger@comp-h10:~$
[/code:1:e97854862c]

Ha mégis tud valaki segíteni azt köszönöm (1. Kérdés)

Attila

( Steelman | 2005. 01. 28., p – 09:50 )

Hali!
Samba-val kapcsolatban lenne két kérdésem.
Eléggé kezdő vagyok még benne, de össze kellene raknom egy PDC-t kb 70 win2000-es kliensnek.
1. Van valakinek tapasztalata a Samba ACL-el való használatáról? Slackware Linuxnál, kernel(2.4.29)+filesystem+ACL-t, Attr-t kezelő csomagok+coreutils recompile ACL patch után+SAMBA compile ACL-el már megvolt.
2. Samba password backend mysql-el, erre van valakinek tapasztalata?
Mindkét kérdésben végigrágtam a google által kidobott összes linket, plusz a SAMBA-HOWTO-t, de szinte semmi gyakorlati info nem volt benne, és Samba mail list archívumban se találtam ilyesmit.
Visszatérve a témára: roaming profile ugyan nálam mehetne, 100Mbit/sec a belső háló, de mivel Profile-ban tárolja a levelezést pl, egy teljesen lecsupaszított Profile is simán megvan 20-30 MByte. Namost, ha egyszerre 20-30 domain bejelentkezési kérést kap a szerver (nálam PIII 933MHz, 512MB RAM, 40GB HDD), hát el fog tartani egy darabig, amíg beléptet mindenkit! :roll:
Arra pedig jelenleg nincs gép és erőforrás, hogy egy HW-RAID5-be kötött, SCSI vagy S-ATA vincsikkel megfejelt és legalább 2GByte RAM-al rendelkező szervert állítsak be PDC-nek! :(
Azon leírásokban, amiket eddig olvastam, ált felhívják a figyelmet arra, hogy romaing profile remek dolog, de ha nincs kellő sávszélesség és elég erős kiszolgáló, inkább nem javasolt.

( aperger | 2005. 01. 21., p – 11:34 )

Szia

A "net join" futtatása után a /etc/password fájlban és a /etc/samba/smbpasswd fájlban is megjelent "gepnév$" bejegyzés, ezért nem értem a dolgot, mert akkor látta a szervert ????

( mocsi | 2005. 01. 30., v – 19:25 )

[quote:d802fec592="Steelman"]Hali!
Samba-val kapcsolatban lenne két kérdésem.
Eléggé kezdő vagyok még benne, de össze kellene raknom egy PDC-t kb 70 win2000-es kliensnek.
1. Van valakinek tapasztalata a Samba ACL-el való használatáról? Slackware Linuxnál, kernel(2.4.29)+filesystem+ACL-t, Attr-t kezelő csomagok+coreutils recompile ACL patch után+SAMBA compile ACL-el már megvolt.
2. Samba password backend mysql-el, erre van valakinek tapasztalata?
Mindkét kérdésben végigrágtam a google által kidobott összes linket, plusz a SAMBA-HOWTO-t, de szinte semmi gyakorlati info nem volt benne, és Samba mail list archívumban se találtam ilyesmit.
Visszatérve a témára: roaming profile ugyan nálam mehetne, 100Mbit/sec a belső háló, de mivel Profile-ban tárolja a levelezést pl, egy teljesen lecsupaszított Profile is simán megvan 20-30 MByte. Namost, ha egyszerre 20-30 domain bejelentkezési kérést kap a szerver (nálam PIII 933MHz, 512MB RAM, 40GB HDD), hát el fog tartani egy darabig, amíg beléptet mindenkit! :roll:
Arra pedig jelenleg nincs gép és erőforrás, hogy egy HW-RAID5-be kötött, SCSI vagy S-ATA vincsikkel megfejelt és legalább 2GByte RAM-al rendelkező szervert állítsak be PDC-nek! :(
Azon leírásokban, amiket eddig olvastam, ált felhívják a figyelmet arra, hogy romaing profile remek dolog, de ha nincs kellő sávszélesség és elég erős kiszolgáló, inkább nem javasolt.

1. Ennyire szukseged van egy ilyen oszetettebb ACL-re? Nem elegek a share es a Unix jogkezelesi lehetosegei? Szerintem group-kkal, force user meg create mode-al sok mindent el lehet erni.

2. En anno meg a samba 3.0.2-nel hasznaltam egesz jo lett volna ha valamiert hajlando lett volna az nmbd hogy a gep nevet anounce-olja, azaz ott volt a tartomany, szepen ment a wins, csak a domain server neve nem jott elo tallozaskor. \\domain_server_neve -el siman mukodott viszont. Bosszankodtam, ugyanazt az smb.conf-ot (csak a sam-ot alliottam at) hasznaltam mysql nelkul is, akkor szepen ment, azota nem folgalkoztam vele. Most ldap-ot hasznalok es nagyon tetszik!

A gond ott van, hogy a kib. Win mindent sync-el a server-el login/logout-kor. Inkabb hasznaltass IMAP-ot vagy IMAPs-t, akkor nem lesz localmail-ban olyan sok, vagy kezzel egyenkent atirni hol van a mail mappa...

( mocsi | 2005. 01. 30., v – 19:36 )

[quote:9d39bc9377="aperger"]***

Attila

Amit irtam az csak a PDC es SAMBA 3-as eseten kell, Samba 2-esen nem emlekezem hogy is volt ez...

A problemara most nem tudok mit kitalalni, talan azt hogy fut-e a winbind az FC-n?

( aperger | 2005. 01. 19., sze – 14:41 )

Sziasztok

Egy kis segítség kellene, mert a beállított SuSE 8.2 Samba PDC szerverhez nem tudom cliens-nek beállítani az FC3 gépet, amelyiken 3.0.x-es samba van. A Win2000-es gépek tudnak csatlakozni a domain-hez már a login-nél és minden jól működik...
A Linux-os gépről tudok browse-olni, de nem tudok rá bejelentkezni más gépekről: "no logon servers available ...." !
Az azonosítást a Domain Controller végezné és a password-öket is ott szeretném csak tárolni. A "net join -S <DOMAIN> -U<admin>%<password>" parancsot lefuttatam a kliensen (FC3) és végrehajtódott egy kis hibaüzenettel:
... utils/net_ads.c ....
ads_connect: Az átviteli végpont nincs csatlakoztatva
Joined domain TFSH.

Server config:

[code:1:d14ef1320f]
# Global parameters
[global]
workgroup = TFSH
netbios name = TFH04
server string = Samba Server on SuSE Linux (by Perger)
encrypt passwords = Yes
update encrypted = Yes
unix password sync = Yes
admin log = Yes
time server = Yes
disable spoolss = Yes
add user script = /usr/sbin/useradd -d /dev/null -g 100 -s /bin/false -M %u
logon script = STARTUP.BAT
logon drive = H:
domain logons = Yes
os level = 64
preferred master = Yes
domain master = Yes
wins support = Yes
admin users = root
create mask = 0644
force create mode = 0664
force directory mode = 0775
force group = +www

[netlogon]
comment = locale of logon script
path = /etc/samba/netlogon
write list = Administrator root

[homes]
comment = Home Directories
valid users = %S
read only = No
create mask = 0664
directory mask = 0775
browseable = No

[printers]
comment = All Printers
path = /var/spool/samba
guest ok = Yes
printable = Yes
browseable = No
[/code:1:d14ef1320f]

Client config:
[code:1:d14ef1320f]
# Global parameters
[global]
workgroup = TFSH
server string = Samba Server
security = DOMAIN
update encrypted = Yes
password server = tfh04
unix password sync = Yes
log file = /var/log/samba/%m.log
max log size = 50
nt pipe support = No
nt status support = No
announce as = NT Workstation
server signing = auto
socket options = TCP_NODELAY SO_SNDBUF=8192 SO_RCVBUF=8192
os level = 60
preferred master = No
domain master = No
dns proxy = No
wins server = 10.10.10.1
ldap ssl = no
idmap uid = 16777216-33554431
idmap gid = 16777216-33554431
winbind enum users = No
winbind enum groups = No
winbind use default domain = Yes

[homes]
comment = Home Directories
read only = No
browseable = No

[printers]
comment = All Printers
path = /var/spool/samba
printable = Yes
browseable = No
[/code:1:d14ef1320f]

( ecosse | 2006. 10. 10., k – 15:53 )

Sziasztok!

Jól működő Samba3 tartományvezérlőm van WinXP-s és Win2000-es környezetben. Iskolai rendszergazdaként állok a fal előtt, új problémaként egy új tartományba win98-as gépeket kell(ene) felvennem.

Annyit tudok, hogy a win98-as gépek nem képesek a titkosított jelszókezelésre, és ennek a lehetőségét a WinXP-s gépeken is le kell tiltani a registryben valahol.

Tud-e valaki pontos leírást, hogyan kell a fenti műveletet elvégezni.
(A fentiekre azért van csak szükség, mert nagyon gyenge gépeket vagyunk kénytelek üzemeltetni, amelyek nem bírnak win98-nál masszívabb oprendszert meghajtani.

Köszi

ecosse