====== Файловый сервер SAMBA ======

  * [[https://ru.wikipedia.org/wiki/Samba|Samba]]
  * [[https://interface31.ru/tech_it/2023/07/vklyuchaem-otobrazhenie-samba-servera-v-setevom-okruzhenii-windows.html|Включаем отображение Samba-сервера в сетевом окружении Windows]]

===== Установка SAMBA =====

==== Debian/Ubuntu ====
<code>
# apt install samba

# mkdir -p /disk2/samba && chown games /disk2/samba
</code>


===== Публичный каталог доступный на чтение =====

==== Debian/Ubuntu ====

<code>
# cat /etc/samba/smb.conf
</code><code>
[global]
   security = user
   map to guest = Bad User
[ast_records]
   force user = asterisk
   path = /var/spool/asterisk/monitor/
   guest ok = Yes
[distrs]
   force user = games
   path = /var/distrs
   guest ok = Yes
</code><code>
# mkdir /var/distrs

# cd /var/distrs

# wget http://val.bmstu.ru/unix/Mail/Thunderbird%20Setup%2017.0.msi
</code>
===== Публичный каталог доступный на запись =====

!!! Липовое окно аутентификации возникает в случае совпадения имени пользователя Windows с пользователем зарегистрированным в /etc/passwd
==== Debian/Ubuntu ====
<code>
# cat /etc/samba/smb.conf
</code><code>
[global]
   unix charset = UTF-8
   dos charset = cp866
   workgroup = CORPX
   security = user
#   hosts allow = 192.168.100+X. 192.168.200+X.
   map to guest = Bad User
[pub_share]
   path = /disk2/samba
   guest ok = yes
   read only = no
   force user = games
#   browseable = no
</code><code>
# testparm
</code>
===== Идентификация доступа к файловому серверу на основе копии базы данных учетных записей =====

Добавляем пользователей user1 и user2 на server ([[Управление учетными записями в Linux]])

!!! smbd должен быть запущен!!!
<code>
server# smbpasswd -a user1
New SMB password: wpassword1

server# (echo wpassword2; echo wpassword2) | smbpasswd -a user2

# pdbedit -w -L

# smbpasswd -x user1

# cat /etc/samba/smb.conf
</code><code>
[global]
        unix charset = UTF-8
        dos charset = cp866
        workgroup = CORPX
        security = user
[homes]
        read only = no 

; sometimes solves the problem permission deny
;;;;        users = %U
;        force user=%U


[corp_share]
        path = /disk2/samba
        valid users = user1 user2 games
#       valid users = @group1 games
        force user = games
        read only = No
</code>

===== Идентификация доступа к файловому серверу на основе регистрации в Active Directory/DOMAIN/Kerberos REALM =====
==== Режим ADS без использования WINBIND ====

!!! В FreeBSD samba должна быть скомпилирована с поддержкой ADS !!!

=== Kerberos REALM ===

== FreeBSD (Heimdal) ==
<code>
server# kadmin -l
</code><code>
kadmin> add -r cifs/gate.corpX.un
kadmin> add -r cifs/gate.CORPX.UN

kadmin> ext -k gatecifs.keytab cifs/gate.corpX.un
kadmin> ext -k gatecifs.keytab cifs/gate.CORPX.UN
</code>

== Debian/Ubuntu MIT ==
<code>
server# kadmin.local
</code><code>
kadmin.local:  addprinc -randkey cifs/gate.corpX.un
kadmin.local:  addprinc -e rc4-hmac:normal -randkey cifs/gate.CORPX.UN

kadmin.local:  ktadd -k gatecifs.keytab cifs/gate.corpX.un
kadmin.local:  ktadd -k gatecifs.keytab cifs/gate.CORPX.UN
</code>

== FreeBSD/Debian/Ubuntu ==
<code>
server# scp gatecifs.keytab gate:
</code>

=== Active Directory ===

<code>
Login: gatecifs
Password: Pa$$w0rd
</code>
Пароль не меняется и не устаревает

Устанавливаем Microsoft Windows Support Tools

<code>
C:\>ktpass -princ cifs/gate.corpX.un@CORPX.UN -mapuser gatecifs -pass 'Pa$$w0rd' -out gatecifs.keytab
</code>

== Копируем ключ сервиса cifs на сервер samba ==
<code>
C:\>pscp gatecifs.keytab gate:
</code>

=== Копируем ключи в системный keytab ===

== FreeBSD (Heimdal) ==
<code>
gate# ktutil copy /root/gatecifs.keytab /etc/krb5.keytab

gate# ktutil list
</code>

== Debian/Ubuntu (MIT) ==
<code>
root@gate:~# ktutil
</code><code>
ktutil: rkt /root/gatecifs.keytab
ktutil: list
ktutil: wkt /etc/krb5.keytab
ktutil: quit

root@gate:~# klist -k /etc/krb5.keytab
</code>

=== Настройка samba сервера в режиме ADS без использования WINBIND ===

  * [[https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=899269|ads with MIT Kerberos KDC fails]]

<code>
gate# cat /etc/samba/smb.conf
</code><code>
[global]
...
	security = user
	realm = CORPX.UN
        kerberos method = system keytab
...
</code>

==== Режим ADS c WINBIND ====

Авторизация в режиме ADS ([[Сервис WINBIND]])

Примечание: достаточно зарегистрировать SAMBA сервер в домене, принципал cifs не нужен

==== Режим DOMAIN c WINBIND ====

Авторизация в режиме DOMAIN ([[Сервис WINBIND]])
==== Настройка samba сервера в режиме DOMAIN/ADS c WINBIND ====
<code>
gate# cat /etc/samba/smb.conf
</code><code>
[global]

...

[homes]
; may be need make homedir
        read only = no        

[corp_share]
        path = /disk2/samba

;with winbind
;        valid users = CORPX\user1 CORPX\Administrator CORPX\root
;        valid users = @CORPX\group1
;        valid users = "@CORPX\domain users"

;without winbind, group1 must be master group
;        valid users = @group1 games

;without winbind      
;        valid users = user1 user2 games
        
        read only = no
        force user = games
</code>

===== Автоматическое создание домашних каталогов =====

  * Использование библиотеки PAM [[Использование библиотеки PAM#Автоматическое создание домашних каталогов]]

<code>
# cat /etc/pam.d/samba
</code><code>
...
@include common-session-noninteractive
session optional pam_mkhomedir.so
</code><code>
gate# cat /etc/samba/smb.conf
</code><code>
[global]
...
        obey pam restrictions = yes
</code>

===== Отладка =====

  * [[https://wiki.samba.org/index.php/Client_specific_logging|Client specific logging]]

<code>
# cat /etc/samba/smb.conf
</code><code>
[global]
...
        max log size = 0
        log file = /var/log/samba/log.%I
        log level = 10
        debug pid = yes
        debug uid = yes
        debug class = yes
        debug hires timestamp = yes
...
</code>

===== Мониторинг активности пользователей =====

  * [[https://moiristo.wordpress.com/2009/08/10/samba-logging-user-activity/|Samba: Logging User Activity]] !!! аудит можно настроить глобально или, на конкретном ресурсе !!!

<code>
# cat /etc/samba/smb.conf
</code><code>
...
        vfs objects = full_audit
        full_audit:prefix = %U|%u|%I|%m|%S
        full_audit:success = unlink open
        full_audit:failure = none
        full_audit:priority = NOTICE
...
</code><code>
# service smbd restart

# tail -f /var/log/syslog
</code>
===== Сокрытие названия/версии сервиса =====
<code>
# cat smb.conf
</code><code>
[global]
...
  server string = MS File Server
...
</code>