SAMBA Yonel GRUSSON 1 Les grandes Jorasses SAMBA

SAMBA Yonel GRUSSON 1 Les grandes Jorasses

SAMBA La première version stable de Samba, créée par Andrew Tridgell, date de 1994 (Samba 1. 7). La version 2 apparaît en 1999, la version 3 en 2003. Samba est un logiciel serveur permettant à des stations Unix (Linux), Windows, OS 2 et Mac de se connecter sur un serveur Unix (Linux) pour accéder à différents services. Yonel GRUSSON Logo officiel de Samba 2

SAMBA Documentation • Le site officiel de samba : www. samba. org • De nombreux sites consacrés à Linux, par exemple : www. linux-france. org • Toute la documentation fournie avec les distributions de Linux qui contiennent Samba Yonel GRUSSON 3

SAMBA • Petite biographie : Samba, installation et mise en œuvre par Eckstein Edité par O'Reilly Samba, précis et concis par Jay Ts, Robert Eckstein David Collier-Brown Edité par O'Reilly Samba : Installation, mise en œuvre et administration par Michel Dutreix Edité par Eni Yonel GRUSSON 4

SAMBA Un serveur Samba offre les services suivants : • partage de fichiers et de répertoires • partage d'imprimantes • exécution de scripts de connexion • serveur Dfs (voir cours Windows) • exploration de réseau pour le client • d'authentification des clients se connectant sur un domaine Windows • serveur de noms Wins Yonel GRUSSON 5

SAMBA Ces services sont rendus en respectant : • les comptes d'utilisateur (authentification) • les permissions d'accès SAMBA s'appuie sur le protocole SMB (Server Message Block). SMB s'appelle maintenant CIFS (Common Internet File System – RFC 1002 -1002) Note : SAMBA = Sa. MBa Yonel GRUSSON 6

SAMBA s'appuie sur le protocole SMB (Server Message Block) Yonel GRUSSON 7

SAMBA Rappel sur les réseaux Microsoft : • Les workgroups (ou groupe de travail) • Les domaines avec un PDC (Primary Domain Controller) qui gère la base SAM (Security Account Manager) et les BDC (Backup Domain Controller) qui en détiennent une copie. • L'Active Directory qui s'appuie sur LDAP et DNS Yonel GRUSSON 8

SAMBA Un serveur SAMBA peut être : • membre d'un workgroup • serveur principal (PDC) d'un domaine • serveur secondaire (BDC) d'un domaine si le PDC est un serveur Samba (impossible si le PDC est une serveur Microsoft) • serveur membre d'un domaine Active Directory (avec Samba 3) Yonel GRUSSON 9

SAMBA UTILISATION ET LANCEMENT Du côté client Windows TCP/IP doit être installé et NETBIOS (Net. BT ou NBT) doit être activé (à vérifier dans les propriétés réseau) (NETBEUI est inutile) Note 1 : SMBCLIENT est un client SMB pour système Unix Note 2 : Ce cours est basé sur la distribution Suse Enterprise Server 10 Yonel GRUSSON 10

SAMBA Yonel GRUSSON 11

SAMBA Du côté serveur Concrètement Samba s'appuie sur 2 "démons" (services) • smbd le serveur proprement dit • nmbd service de résolution des noms Net. Bios Il existe également le service …. . Yonel GRUSSON 12

SAMBA • winbindd Service permettant l'intégration d'un serveur Samba dans un domaine possédant déjà un PDC Windows (récupération des comptes) De nombreuses commandes et utilitaires sont associés à Samba, en voici quelques unes : Yonel GRUSSON 13

SAMBA • • smbstatus smbpasswd testparm pbedit (version 3) • net (version 3) • smbcals • smbspool • testprns • smbtar Yonel GRUSSON Pour obtenir l'état des connexions Gestion des mots de passe Vérification de la configuration Gestion des comptes dans une base de données SAM Semblable à la commande Windows Gestion des ACL (Access Control List) Gestion des imprimantes Vérification des imprimantes Utilitaire de sauvegarde 14

SAMBA • nmlookup • • • Interrogation du serveur de noms Netbios swat Utilitaire Web de configuration smbclient Client Unix pour utiliser Samba smbgroupedit (version 3) Pour faire la correspondance entre les groupes Unix et windows smbcontrol pour envoyer des commandes à smb et nmb en cours d'exécution findsmb Obtenir des informations sur smb Chaque utilitaire possède de nombreuses options Yonel GRUSSON 15

SAMBA Pour la distribution Suse Enterprise Server 10 • Les démons sont dans /usr/sbin • Utilisation des scripts : [/bin/sh] /etc/rc. d/smb et /etc/rc. d/nmb – Lancement des serveurs : nmb start puis smb start (ou /usr/sbin/rcnmb start puis rcsmb start) – Arrêt : idem avec stop (smb stop) – Vérification : idem avec status (smb status) Yonel GRUSSON 16

SAMBA Lancement au démarrage du système : • Par l'interface graphique • En ligne de commande la distribution Suse Enterprise Server 10 utilise le "super-démon" xinetd pour gérer les services réseau (super-démon dans la mesure ou il gère d'autres démons). La commande xinetd utilise soit le seul fichier xinetd. conf soit ce fichier et le répertoire xinetd. d (cas le plus général) Yonel GRUSSON 17

SAMBA Un seul fichier de configuration /etc/xinetd. conf defaults { . . . } service nom-service 1 { . . . } service nom-service 2 { . . . } Yonel GRUSSON Un fichier de configuration par service /etc/xinetd. conf defaults { . . . } includedir /etc/xinetd. d/nom-service 1 service nom-service 1 { . . . } /etc/xinetd. d/nom-service 2 service nom-service 2 { . . . } 18

SAMBA Fichier /etc/xinet. conf # xinetd. conf defaults { log_type = FILE /var/log/xinetd. log_on_success = HOST EXIT DURATION log_on_failure = HOST ATTEMPT # only_from = localhost instances = 30 cps = 50 10 interface = 127. 0. 0. 1 } includedir /etc/xinetd. d Yonel GRUSSON 19

SAMBA Les services Samba dans /etc/xinetd. d Fichier netbios-ssn Fichier netbios-ns Fichier swat service netbios-ssn { socket_type = stream protocol = tcp wait = no user = root server = /usr/sbin/smbd disable = no } service netbios-ns { socket_type = dgram protocol = udp wait = no user = root server = /usr/sbin/nmbd disable = no } service swat { port = 901 socket_type = stream protocol = tcp wait = no user = root server = /usr/sbin/swat only_from = 127. 0. 0. 1 log_on_failure += USERID disable = no } Note : Service swat voir plus loin Yonel GRUSSON 20

SAMBA Il faut vérifier que les services sont déclarer dans le fichier /etc/services netbios-ns netbios-ssn 137/tcp # NETBIOS Name Service 137/udp # NETBIOS Name Service 139/tcp # NETBIOS Session Service 139/udp # NETBIOS Session Service swat 901/tcp Yonel GRUSSON 21

SAMBA CONFIGURATION DE SAMBA Les fichiers de configuration de SAMBA se situent en général dans le répertoire : /etc/samba Ce répertoire contient essentiellement les fichiers suivants (noms par défaut) : smb. conf (pour la configuration de Samba) smbpasswd (pour les mots de passe) Yonel GRUSSON 22

SAMBA Le fichier smb. conf contiendra toutes les informations pour le fonctionnement du serveur : • Les informations générales • Répertoire personnel des utilisateurs • Répertoires partagés collectivement • Les imprimantes partagées • Les droits d'accès. • etc. Yonel GRUSSON 23

SAMBA Après une modification du fichier smb. conf • Détecter les erreurs de syntaxe et tester la cohérence du fichier avec l'utilitaire : testparm • Arrêter et relancer le serveur : smb stop puis smb start Yonel GRUSSON ou smb restart 24

SAMBA Le fichier smb. conf se décompose en sections dont les principales sont : • [global] Contient la configuration générale du serveur • [home] Description des répertoires personnels • [nom_rep_partagé] Description d'un répertoire collectif • [netlogon] Pour les scripts de connexion Yonel GRUSSON 25

SAMBA Le fichier smb. conf se décompose en section dont les principales sont : • [profiles] Pour les profils utilisateur • [nom_imprimante] Pour le partage d'une imprimante • [printers] Description des imprimantes partagées par le système Yonel GRUSSON 26

SAMBA UTILSATEURS DU SERVEUR SAMBA Un utilisateur de Samba est avant tout un utilisateur Linux, il devra donc être déclaré sous Linux puis sera récupéré par Samba qui doit faire la correspondance entre les systèmes Linux et Windows Les utilisateurs sont gérés classiquement avec le fichier : /etc/samba/smbpasswd (d'autres méthodes sont possibles : Annuaire, tdb (trivial data base), NIS) Yonel GRUSSON 27

SAMBA • Une fois l'utilisateur Linux créé : useradd nom_user –m • Ajouter cet utilisateur dans le fichier smbpasswd en exécutant la commande : smbpasswd -a nom_user mot_de_passe -d pour désactiver ; -e pour activer (voir les autres options dans l'aide) Yonel GRUSSON 28

SAMBA • Exemple de fichier smbpasswd : # This file is the authentication source for Samba if 'passdb backend' is set # to 'smbpasswd' and 'encrypt passwords' is 'Yes' in the [global] section of # /etc/samba/smb. conf # See section 'passdb backend' and 'encrypt passwords' in the manual page of # smb. conf for more information. roger: 2002: C 21 EF 1 ABF 1 B 94 EC 3 AAD 3 B 435 B 51404 EE: 4 ACD 250 DD 63564 CBDA 6 D 4989 E 7 DA 259 C: [U ]: LCT-477 A 788 C: keith: 2004: C 21 EF 1 ABF 1 B 94 EC 3 AAD 3 B 435 B 51404 EE: 4 ACD 250 DD 63564 CBDA 6 D 4989 E 7 DA 259 C: [U ]: LCT-477 A 7 B 17: pete: 2003: C 21 EF 1 ABF 1 B 94 EC 3 AAD 3 B 435 B 51404 EE: 4 ACD 250 DD 63564 CBDA 6 D 4989 E 7 DA 259 C: [U ]: LCT-477 A 7 B 24: john: 2005: C 21 EF 1 ABF 1 B 94 EC 3 AAD 3 B 435 B 51404 EE: 4 ACD 250 DD 63564 CBDA 6 D 4989 E 7 DA 259 C: [DU ]: LCT-477 A 7 B 4 A: • Structure d'une ligne de ce fichier : nom_user : uid (de /etc/passwd) : mot de passe crypté (95/98/Me) : mot de passe crypté (NT/2000/XP) : flags : date de la dernière modification du mot de passe : Flags (11 caractères) : U utilisateur ; D utilisateur désactivé ; N utilisateur sans mot de passe ; W compte d'ordinateur Yonel GRUSSON 29

SAMBA Configuration du serveur Samba comme PDC d'un domaine : [global] domain master = yes Ce serveur est un PDC workgroup = pinball Nom du domaine netbios name = toundra Nom netbios du serveur (par défaut le nom de la machine) encrypt passwords = yes Les mots de passe sont cryptés (obligatoire dans ce contexte - valeur par défaut) passdb backend = smbpasswd La gestion des utilisateurs se fait à l'aide du fichier /etc/samba/smbpasswd (valeur par défaut) security = user La sécurité se situe au niveau de l'utilisateur (obligatoire dans ce contexte). Les utilisateurs devront fournir un login et un mot de passe à la connexion (autres valeurs : share, server, domain, ads) domain logons = yes Force Samba à offrir des ouvertures de session sur ce domaine (obligatoire dans ce contexte). Yonel GRUSSON 30

SAMBA Configuration du serveur Samba comme PDC d'un domaine : [global] local master = yes Autorise Samba à participer aux élections de l'explorateur de réseaux preferred master = yes Ce serveur est l'explorateur de réseau préféré. Il provoque une élection d'explorateur en démarrant os level = 255 Définit le niveau de candidature de ce serveur lors d'une élection d'un maître d'exploration (valeur par défaut 20). Attention s'il existe plusieurs serveurs sur le réseau. server string = Samba %v sur %L Commentaire pour décrire ce serveur time server = yes Fournit au client une synchronisation horaire SMB Yonel GRUSSON 31

SAMBA Configuration du serveur Samba comme PDC d'un domaine : [global] host allow = 172. 16. EXCEPT 172. 16. 42. 15 Permet d'autoriser certains réseau, ici le réseau 172. 16. 0. 0 (attention au point final) – Par défaut le réseau auquel appartient le serveur. La clause EXCEPT permet d'écarter des machines de cette autorisation. Il existe également sur le même schéma "host deny = …" log level = 1 Niveau de détail des messages dans les fichiers log (valeur par défaut 1) log file = /var/log/samba/log. %m Emplacement et nom du fichier trace max log file = 4000 Taille du fichier log en kilo-octets (valeur par défaut : 5000) Notes : Il existe d'autres options en fonction du rôle joué par le serveur (voir documentation). Des options sont obligatoires et d'autres facultatives ; ces dernières sont calculées en fonction des options obligatoires. Yonel GRUSSON 32

SAMBA Joindre un domaine géré par un PDC Samba Comme avec un serveur Windows, pour que les utilisateurs puissent se connecter sur le domaine*, il faut créer un compte pour la machine sur ce domaine. Opération préliminaire. L'administrateur Linux (root) doit être administrateur de Samba : smbpasswd –a root * Cette opération ne concerne que les systèmes NT/2000/XP/Vista Yonel GRUSSON 33

SAMBA Création manuelle du compte d'ordinateur (comme pour l'utilisateur ce compte doit apparaître au niveau du système) useradd A 28 -10$ –g nogroup –c "Compte machine" –s /bin/false (Le symbole $ pour distinguer ce type de compte) smbpasswd –a –m A 28 -10$ (-m pour indiquer qu'il s'agit d'un compte d'ordinateur) Création automatique Mettre dans la section [global] add machine script = /usr/sbin/useradd %m$ –g nogroup – c "Compte machine" –s /bin/false Yonel GRUSSON 34

SAMBA Résultats : Dans le fichier /etc/passwd (extrait) root: x: 0: 0: root: /bin/bash roger: x: 2002: 100: : /home/roger: /bin/bash pete: x: 2003: 100: : /home/pete: /bin/bash keith: x: 2004: 100: : /home/keith: /bin/bash john: x: 2005: 100: : /home/john: /bin/bash A 28 -10$: x: 2006: 65534: Compte machine: /home/A 28 -10$: /bin/false Dans le fichier /etc/samba/smbpasswd roger: 2002: C 21 EF 1 ABF 1 B 94 EC 3 AAD 3 B 435 B 51404 EE: 4 ACD 250 DD 63564 CBDA 6 D 4989 E 7 DA 259 C: [U ]: LCT-477 A 788 C: keith: 2004: C 21 EF 1 ABF 1 B 94 EC 3 AAD 3 B 435 B 51404 EE: 4 ACD 250 DD 63564 CBDA 6 D 4989 E 7 DA 259 C: [U ]: LCT-477 A 7 B 17: pete: 2003: C 21 EF 1 ABF 1 B 94 EC 3 AAD 3 B 435 B 51404 EE: 4 ACD 250 DD 63564 CBDA 6 D 4989 E 7 DA 259 C: [U ]: LCT-477 A 7 B 24: john: 2005: C 21 EF 1 ABF 1 B 94 EC 3 AAD 3 B 435 B 51404 EE: 4 ACD 250 DD 63564 CBDA 6 D 4989 E 7 DA 259 C: [DU ]: LCT-477 A 7 B 4 A: root: 0: 9 D 3 BAFFBC 37 BE 6 B 8 AAD 3 B 435 B 51404 EE: 996 D 2 A 2 C 29 AA 30 DA 496 BF 533 E 319 C 106: [U ]: LCT-477 CDAD 1: A 28 -10$: 2006: XXXXXXXXXXXXXX: C 53 B 83 F 84 A 6893 C 8 E 141 D 0784394 FB 89: [W ]: LCT-477 D 2364: Yonel GRUSSON 35

SAMBA Joindre le domaine depuis un client XP : Yonel GRUSSON 36

SAMBA Résultat dans l'explorateur : Yonel GRUSSON 37

SAMBA Configuration de smb. conf pour des répertoires personnels Dans cet exemple, les répertoires personnels Samba sont les répertoires personnels Linux créés lors de la création de l'utilisateur (useradd … -m). Donc ici pas de problème de droit. [glogal] logon drive = U: Lettre affectée au répertoire personnel [homes] comment = Répertoire personnel de %u Commentaire (%u = Nom de l'utilisateur) browseable = no N'apparaît pas dans l'explorateur read only = no N'est pas en lecture seule Yonel GRUSSON 38

SAMBA Configuration de smb. conf pour des répertoires personnels [homes] writeable = yes Autorise l'écriture dans le partage (idem : writable et write ok) Inverse de "read only" guest ok = no Accès public interdit create mask = 0700 Définition du masque pour la création des fichiers directory mask = 0700 Définition du masque pour la création des répertoires inherit acls = yes Le fichier ou le répertoire créé hérite des droits du père. Yonel GRUSSON 39

SAMBA Configuration de smb. conf pour des scripts de connexion [global] logon script = connect. vbs Nom du script situé dans le path figurant dans le partage [netlogon] Il s'agit ici d'un script collectif. Il est possible de personnaliser un script pour chaque utilisateur avec "logon script = %u. vbs" ou selon l'appartenance au groupe primaire avec "logon script = %g. vbs" [netlogon] path = /repsamba/connexion Répertoire où sont situés les scripts. Les utilisateurs Samba doivent un droit en lecture sur ce répertoire. writeable = no Ecriture impossible browseable = no N'apparaît pas dans l'explorateur Yonel GRUSSON 40

SAMBA Application avec le fichier "connect. vbs : On Error Resume Next set Wsh. Net=Create. Object("Wscript. Net. Work") Wsh. Net. Remove. Net. Work. Drive "S: " Wsh. Net. Map. Network. Drive "S: ", "\ToundraEchange", false Set Wsh. Net=Nothing Yonel GRUSSON 41

SAMBA Configuration de smb. conf pour des partages collectifs Présentation de l'exemple : • Les utilisateurs roger: x: 2002: 2001: : /home/roger: /bin/bash pete: x: 2003: 2001: : /home/pete: /bin/bash keith: x: 2004: 2000: : /home/keith: /bin/bash john: x: 2005: 2000: : /home/john: /bin/bash • Les groupes usersamba: !: 2000: roger, pete, john, keith leaders: !: 2001: roger, pete members: !: 20022: keith, john Yonel GRUSSON 42

SAMBA Configuration de smb. conf pour des partages collectifs • Structure visée /repsamba connexion Propriétaire "root" ; en lecture pour tous echange Propriétaire "root" ; en lecture/écriture pour le groupe "leaders" doc En lecture/écriture pour "roger" (propriétaire). En lecture seule pour le groupe "members" et "pete" Yonel GRUSSON 43

SAMBA Configuration de smb. conf pour des partages collectifs • Les droits Linux drwxr-xr-x 5 root 128 Jan 4 17: 03. drwxr-xr-x 23 root 568 Jan 6 2008. . drwxr-xr-x 2 root 112 Jan 6 10: 52 connexion drwxr-x--- 2 roger usersamba 48 Jan 6 11: 12 doc drwxrwx--- 3 root leaders 152 Jan 3 14: 12 echange • Fichier de smb. conf [echange] path = /repsamba/echange comment = Répertoire pour le groupe "leaders" browseable = yes writeable = yes valid users = @leaders Yonel GRUSSON 44

SAMBA Configuration de smb. conf pour des partages collectifs [doc] path = /repsamba/doc comment = Répertoire en consultation browseable = yes writeable = no valid users = @usersamba [admindoc] path = /repsamba/doc comment = administration du partage "doc" browseable = no writeable = yes valid users = roger Yonel GRUSSON 45

SAMBA Droits Samba/Linux/Windows • Le fichier "testfic. txt" sous Linux - rwx r- - r - - 1 roger leaders 4 Jan 6 11: 30 testfic. txt • Sa vision sous Windows Yonel GRUSSON 46

SAMBA Droits Samba/Linux/Windows L'accès à un partage par un utilisateur : • Doit d'abord satisfaire aux exigences de Samba ("writeable = no" ou "… = yes", "valid users = …") • Puis dans un second temps être autorisé par les permissions du système Unix (ou Linux) Yonel GRUSSON 47

SAMBA L'outil swat Un outil graphique permet de gérer un serveur Samba à partir d'un navigateur sous le port 901. Yonel GRUSSON 48