Server membri di dominio

Un server linux, connesso ad un domino WINDOWS (il cui controllore di dominio è un Windows SERVER), è in grado di partecipare al dominio come un membro dello stesso.

Aggiungere una nuova macchina ad un dominio è come aggiungere un nuovo utente, la cosa interessante è che prima in istanza tale macchina o utente deve essere creata sul controllore di dominio.

Samba 3.0 e Windows NT domain 4.0 usano il meccanismo di RPC  (Remote procedure Call) per comunicare. In particolare tramite questo canale i due server possono traferirsi informazioni sicure, permettendo al controllore di dominio windows di accettare la richiesta di aggiuntaa dominio di una nuova macchina proveniente dal server membro di dominio samba.

Ecco di seguito cosa accade in teoria quando un utente di dominio sul client FOX si connette ad un file server (Samba, lo chiameremo FSS) membro del dominio mantenuto da un controllore Windows (lo chiameremo CDW):

• Il client FOX si connette a FSS
• FSS inoltra al CDW le credenziali di Fox
• Una volta che CDW ha riconosciuto le credenziali di FOX, comunica al server FSS che può accettare la richiesta di FOX
• FSS fornisce la condivisione a FOX

Nel caso di autenticazione Kerberos, il server membro di dominio non deve interrogare il controllore, ma è sufficiente che decifri il ticket inviatogli dal client e verificare che:

1. sia ancora valido
2. sia stato validato dal Server Controllore di Dominio

Samba supporta due metodi per partecipare ad un dominio come membro, tale operazione viene effettuata dalla voce in smb.conf:

1. security = domain
2. security = ads

La differenza fra le due voci è che la seconda supporta l’autenticazioe Kerberos, LDAP e AD (Active Directory)

Una cosa molto importante da controllare quando si utilizza il secondo metodo è sincronizzare i tempi di sistema fra il controllore e il membro di dominio, ovviamente per la validità temporale dei ticket.

Come già accennato nei vecchi articoli, ogni utente che accede a samba deve possedere un utente locale (uid e gid di riferimento). Questo vale sia nel caso di autenticazione locale che di autenticazione validata da un controllore di dominio. Questo comporta numerose ripetizioni di credenziali nel caso in cui esista un controllore di dominio e uno o più membri di dominio. In questo caso co viene in aiuto winbindd, che è in grado di generare delle mappe uid e gid che si svincolano completamente dal sistema di account unix.

Client Unix

In questa sezione scorrerò velocemente le caratteristiche del filesystem SMB/CIFS

Innanzitutto il supporto per tale filesystem è compreso in tutti i kernel 2.6, e nei più aggiornati fra i 2.4.

SMB/CIFS, non è altro che l’aggiornamento di SMBFS, ricordo però, che sebbene SMBFS è ancora presente in quasi tutte le distribuzioni e viene spesse volte preinstallato, è consigliabile utilizzare CIFS, dato che SMBFS non è più mantenuto e aggiornato.

SMB/CIFS può essere utilizzato per montare su macchine linux, unix e MacOSx le condivisioni samba, ecco la sintassi corretta:

mount -t cifs //server_name/share mount_point [-o optios]

La voce //server_name/share non è altro che il percorso della risora di rete, mount_point e il punto di mount locale.

L’opzione -o permette di specificare:

• user=nome_utente
• dom=nome_dominio
• pass=password
• cred=nome_file (nome del file che contiene le credenziali di autenticazione)
• ip=server_ip_address
• uid=uid_utente_locale
• gid=gid_utente_locale
• file_mode=permessi_sui_file (0644)
• dir_mode=permessi_sulle_directory (0775)

E’ possibile inserire lo script cifs in fstab, per permettere il mount automatico delle cartelle all’avvio del pc. Il vantaggio di tale configurazione è che per l’utente finale lavorare sul cartelle locali o remote ha lo stesso effetto.

smbclient è uno strumento che permette l’accesso ftp-like ad un server samba. Può essere utile sfruttare questo strumento per effettuare dei backup in rete.

Controllori di dominio

Una delle caratteristiche peculiari dei controllori di dominio è quella di eliminare la ridondanza delle credenziali di autenticazione, infatti si occupano solo tali controllori della procedura di autenticazione.

Il vantaggio indubbio è che i terminali coinvolti nella autenticazione non devono mantenere un set di credenziali di rete, ma delegano tutto al server controllore di dominio.

Lo svantaggio è che se cade il controllore di dominio, nessuna macchina è in grado di visualizzare le risorse di rete.

In questo articolo evidenzierò alcuni dei passi principali da intraprendere per configurare samba e rendere un server Linux un PDC (Primary Domain Controller).

Samba 3.0 è in grado di replicare le funzionalità di un server Windows NT 4.0 su un server Linux, non è in grado però di implementare il protocollo di replicazione SAM (System Account Manager), ed in sostanza non è in grado di convivere con un altro DC Windows nel medesimo sistema.

Risoluzione dei nomi e navigazione in rete

La risoluzione dei nomi è un’operazione critica, dato che viene utilizzata per scovare i server che forniscono le condivisioni di file e stampanti.

Ecco subito una precisazione:

1. I sistemi unix in origine erano pensati per essere utilizzati in piccoli gruppi, ben mantenuti e sempre disponibili, basati su un indirizzamento statico
2. I sistemi windows invece sono stati sviluppati per lavorare in sistemi di pari, senza strutture gerarchiche.

Le reti samba sono invece dinamiche, i pc possono lasciare e riallacciarsi alla rete in continuazione, spesso senza avvisare.

La risoluzione dei nomi non è altro che il processo che permette di associare ad un indirizzo IP un nome umanamente comprensibile.  I sistemi Windows utilizzano una combinazione di questa serie di protocolli quando devono risolvere un nome:

• Cercare il nome nella cache, per vedere se recentemente è stato contattato il pc ricercato
• Interrogare un server DNS
• Utilizzare il file hosts
• utilizzate il file lmhosts
• utilizzare il broadcast (in questo caso viene inviata una richiesta a tutte le unità che compongono la rete)

I sever dns sono molto in voga in questo periodo, e sono dei sistemi in grado di risolvere indirizzi IP in nomi. Un client in questo caso deve solo interrogare il server DNS ed ottenere l’ip desiderato.

Distinguiamo subito fra wins client e wins server, il primo fornisce solo il proprio nome associandolo all’indirizzo ip assegnato; il secondo è in grado di rispondere alle richieste del primo, fornendo l’ip di un sistema terzo dato il nome. Il server samba può fare le veci di un wins server impostando la direttiva wins support = yes . Samba può anche essere istruito per utilizzare un wins server specifico con la voce wins server = ip

La navigazione di rete è stata introdotta da Microsoft per facilitare gli utenti nella ricerca delle risorse condivise in rete. Tutto ciò è reso possibile da un pc, denominato Local Master Browser LMB che detiene una lista di sistemi attualmente disponibili in rete. Nel caso della presenza di un dominio o di più domini, il Primary Domain Controller PDC, diviene anche Domain Master Browser DMB, in grado di legare due sottoreti diverse, permettendo l’interazione fra LMB di reti diverse.

Quando non c’è nessun LMB in una rete viene utilizzato un procedimento di elezione, che alla fine determina quale dispositivo diventerà LMB. In particolare ongi server che fa parte di una rete, annuncia la propria presenza permettendo ai sistemi del gruppo di accedere alla proprie condivisioni grazie al LMB.

Samba può partecipare all’elezione del Local Master Browser, impostando i valori salienti del processo di ‘elezione:

• local master
• os level
• preferred master

Samba può anche assumere il compito di Domain Master Browser. Questo processo non è automatico grazie ad una elezione, ma deve essere forzato dall’amministratore di rete con la direttiva:

domain master = yes

Tre regole da ricordare quando si sta creando un dominio o un gruppo di lavoro che spazia su più sottoreti:

1. deve essere presente in ogni sottorete un sistema samba o windows NT in grado di assumere il ruolo di LMB
2. deve esistere un PDC Windows o un server Samba che agisca come DMB
3. deve esistere almeno un WINS server all’nterno della rete globale che possa essere sfruttato per la risoluzione dei nomi

Stampare con samba

Questo capitolo si concentra sui passi necessari per aggiungere i servizi di stampa al file di configurazione di samba.

In verità samba non è un sistema di stampa, ma un sistema di spooling. Sostanzialmente il client apre il file di spool sul server, scrive tutto ciò che deve essere stampato; fatto ciò chiude il file indicandolo come print job pronto per essere lanciato. Ovviamente l’utente di rete deve essere in grado di scrivere all’interno del file di spool, affinché il job possa essere inviato alla stampante.

CUPS è l’unico sistema di stampa attualmente supportato direttamente da samba, questo significa che per comunicare con la stampante non è necessario utilizzare altri programmi, ma è sufficiente solo samba e le librerie CUPS in esso integrate.

Perchè una stampante possa essere raggiungibile ed utilizzabile tramite samba sono necessari 4 parametri:

• Il nome della stampante
• Il nome della condivisione
• Il tipo di sistema di stampa supportato dal sistema operativo (bsd, CUPS, etc..)
• La directory locale sul server dove possono essere depositati i jobs (tale directory deve essere accessibile in modo totale chmod 1777)

In sostanza le condivisioni delle stampanti e dei file sono molto simili, quindi le direttive valide per i file e le directory sono valide anche per le condivisioni relative alle stampanti.