blog.kompromis.net

Jednolita sieć około 70 stanowisk roboczych, same Windowsy 2000, wszyscy użytkownicy logują sie do domeny. To brzmi jak bajka. Nie powinno być z tym problemu ... niestety teoretycznie.

Bo zachować jednolitość jest coraz trudniej, Windows XP Home nie wiedzieć dlaczego już nie ma logowania do domeny. Nagle okazuje się, że zaczyna brakować licencji użytkowników na serwerze i nie wszyscy mogą korzystać z zasobów. Czasami komunikacja między stacjami roboczymi a serwerem domeny podczas logowania lub wylogowania trwa całe minuty, może to wpływ pogody lub plamy na słońcu powodują takie zachowanie, a może mi po prostu brakło cierpliwości, zaangażowania a nawet wiedzy na temat komercyjnego systemu dla klikających.

Tak czy inaczej postanowiłem uciec z Windowsa z serwerem plików i uruchomić go na Sambie pod Linuxem.

Od ponad roku Samba pracowała już w mojej sieci, ale nie była głównym serwerem plików. A to, że zapomniałem o tym serwerze świadczy tylko o tym jak dobrze pracowała.
Teraz kilku nieświadomych użytkowników przełączyłem na nowy serwer z nową konfiguracją opisaną poniżej, nieświadomych bo nie zdają sobie sprawy z tego, że od dwóch tygodni ich pliki już nie znajdują się na Windowsie tylko na Linuxie.

Linux

Mój wybór padł na dystrybucję Debian GNU/Linux. Ta dystrybucja jest mi najbardziej znana, a nakładany nacisk na sprawność i bezpieczeństwo oprogramowania w niej bardzo mi odpowiada.
Pobrałem obraz dysku debian-31r5-i386-netinst.iso i przystąpiłem do instalacji.

Informacje na temat konfiguracji i instalacji systemu Debian można przeczytać na stronach Polskiego Projektu Dokumentacji Debiana lub na stronie domowej http://debian.org.

Przygotowanie dysku

Na serwer plików przeznaczam osobny dysk i dzielę go na trzy partycje. Każda partycja będzie przechowywała innego rodzaju dane:

• Public - pierwsza partycja będzie przeznaczona na zasób gdzie gdzie użytkownicy będą mieli nieograniczony i swobodny dostęp. Będą mogli tam trzymać mało istotne informacje, które nie będą archiwizowane. Zasób ten często jest wykorzystywany do przenoszenia między użytkownikami dużych zbiorów.
• Pliki użytkowników - druga partycja będzie logicznie podzielona na zasoby w zależności od tego ile wydziałów (grup użytkowników) będzie tutaj składowało swoje dokumenty
• Aplikacje trzecia partycja - będzie przeznaczona tylko na aplikacje sieciowe.

Takie rozłożenie danych upraszcza proces archiwizacji i zabezpiecza ważne pliki użytkowników przed np. brakiem miejsca spowodowanym zbyt dużą ilością danych w zasobie Public, który z czasem stanie się wielkim "śmietniskiem" plików.

Założenia podczas konfiguracji Samby

Chcę tak skonfigurować Sambę aby mieć kilka zasobów z różnymi prawami dostępu. Pierwszy zasób Public ma być dostępny dla wszystkich do zapisu i odczytu bez konieczności podawania hasła. Dwa następne zasoby Wydzial1 i Wydzial2 będą dostępne tylko dla użytkowników należących do tych Wydziałów. Potrzebuję jeszcze zasobu Kierownicy oraz Program. Do Kierownicy dostęp będą mieli kierownicy wydziałów, będą oni musieli należeć do dwóch grup - grupy związanej ze swoim wydziałem i do grupy kierowników. Do Program dostęp będą mieli wyszczególnieni użytkownicy.

Zakładam, że dysk przeznaczony na serwer plików został już przygotowany i podmontowany. W opisywanym zbiorze konfiguracyjnym będę podawać ścieżki do przykładowych ale fizycznie istniejących w systemie katalogów.

Konfiguracja dotyczy Samby w wersji 3.0.

Sekcja GLOBAL czyli główne ustawienia

Przechodzę do edycji zbioru konfiguracyjnego Samby:

vi /etc/samba/samba.conf

Linie zaczynające się od znaków # lub ; (średnika) są komentarzami. Oto sekcja globalna zbioru konfiguracyjnego:

[global]
  server string = OPIS DOTYCZACY SERWERA
  workgroup = GRUPA_ROBOCZA

Powyższe opcje oznaczają: server string to opis komputera natomiast workgroup oznacza grupę roboczą w jakiej będzie pracować serwer.

  encrypt passwords = true
  smb passwd file = /etc/samba/smbpasswd
  security = user
  map to guest = Bad User

Ponieważ zasoby będą udostępniane przez hasła dla wybranych użytkowników dlatego powyższe linie są wymagane. Warto zwrócić uwagę na opcję map to guest = Bad User, która zapewni dostęp gościnny, bez hasła do udziałów odpowiednio skonfigurowanych (w naszym przypadku będzie to Public).

  guest account = nobody
  invalid users = root

Zablokowaliśmy możliwość logowania się użytkownika root i wymusiliśmy pracę użytkownika gościnnego, który się nie zalogował jako nobody.

  unix charset = ISO8859-2
  dos charset = CP852

Jeśli na serwerze Linuxa mamy kodowanie ISO-8859-2 to wymuszamy tworzenie nazw zbiorów i katalogów w tej stronie kodowej.

Zasób Public

Teraz czas na skonfigurowanie zasobów, na początku stworzymy zasób Public do którego dostaniemy się bez konieczności podawania hasła i będziemy w nim pracować na prawach użytkownika nobody. Pod sekcją Global w smb.conf dopisujemy:

# nazwa udzialu
[public]
  ; opis kartoteki
  comment = KARTOTEKA OGOLNODOSTEPNA
  ; sciezka do udzialu
  path = /home/public
  ; pozwolenie na wejscie nieautoryzowanym uzytkownikom
  guest ok = yes
  ; katalog jest widoczny na liscie przegladania
  browseable =yes
  ; zasob do zapisu
  writeable = yes
  ; wymuszenie pracy jako nobody i nogroup
  force user = nobody
  force group = nogroup
  ; maska tworzonych plikow i katalogow
  create mask = 0664
  directory mask = 0775
 

Teraz wystarczy zrestartować serwer Samby:

/etc/init.d/samba restart

i dostać się do niego z poziomu systemu Windows wpisując w Menu Start|Uruchom adres IP naszego serwera:

 \\\\192.168.1.10

W nowym oknie powinien pojawić się na liście zasób Public, możemy wejść do niego i utworzyć nowy katalog lub plik. Gdybyśmy jednak otrzymali informację, że nie mamy do tego praw. To należy skontrolować uprawnienia do katalogu public na linuxie, powinny one wyglądać mniej więcej tak:

  root@samba:/home$ ls -l
  razem 4
  drwxrwxr-x  6 nobody nogroup 4096 2007-03-08 13:46 public

Jeżeli prawa wyglądają inaczej to wydaj kolejno komendy:

chmod 775 /home/public
chown nobody /home/public
chgrp nogroup /home/public

Zasób publiczny jest już dostępny dla wszystkich użytkowników sieci. Teraz możemy przystąpić do tworzenia zasobów dla poszczególnych wydziałów oraz tworzenie użytkowników w systemie.

Użytkownicy serwera plików

Aby dodać użytkownika do Samby należy najpierw stworzyć go w systemie, a następnie uaktywnić go w Sambie nadając mu hasło.

Tworzę na początku grupę wydz1 a następnie do tej grupy dodam dwóch użytkowników.

groupadd wydz1
useradd -d /home/wydzial1/uzytkownik1 -g wydz1 -m -s /bin/false uzytkownik1
useradd -d /home/wydzial1/uzytkownik2 -g wydz1 -m -s /bin/false uzytkownik2

Zakładam, że istniała kartoteka /home/wydzial1. Jej właścicielem może być administrator i powinna ona należeć teraz do grupy wydz1. Prawa kartoteki 750 (rwxr-x---).

Tacy użytkownicy mają od razu stworzone swoje kartoteki domowe w katalogu wydziałowym. Należą też do tej samej grupy, czyli swojego wydziału. Opcja -s /bin/false zapobiegnie dostępowi użytkownika do Shella na serwerze linuxowym.

Teraz tworzę hasła tym użytkownikom w Sambie:

  smbpasswd -a uzytkownik1
  smbpasswd -a uzytkownik2

W podobny sposób tworzę nowe grupy i użytkowników.

Zasób dostępny tylko dla grupy wydz1

Najwyższy czas skonfigurować Sambę w taki sposób, aby użytkownicy jednej grupy mogli bez przeszkód pracować w kartotece wydziałowej (oczywiście po poprawnej autoryzacji), a nie mieli praw do innych wydziałów.

W zbiorze smb.conf pod konfiguracją zasobu Public dodaje nowy zasób wydzial1.

[wydzial1]
  path = /home/wydzial1/
  guest ok = no
  browseable =yes
  writeable = yes
  create mask = 0660
  directory mask = 0770
  write list = @wydz1

W podobny sposób tworze pozostałe zasoby.

[wydzial2]
  path = /home/wydzial2/
  guest ok = no
  browseable =yes
  writeable = yes
  create mask = 0660
  directory mask = 0770
  write list = @wydz2

[kierownicy]
  path = /home/kierownicy/
  guest ok = no
  browseable =yes
  writeable = yes
  create mask = 0660
  directory mask = 0770
  write list = @kierownicy

[programy]
  path = /home/programy/
  guest ok = no
  browseable =yes
  writeable = yes
  create mask = 0660
  directory mask = 0770
  write list = uzytkownik1 uzytkownik4

Do zasobu Kierownicy dostęp będą musieli mieć użytkownicy, którzy obejmują stanowisko kierownicze, a już należą do własnej grupy wydziałowej. Należy przydzielić taką osobę do dodatkowej grupy.

 usermod -G kierownicy,admin uzytkownik3
 usermod -G kierownicy uzytkownik7

Od tej pory uzytkownik3 i uzytkownik7 mają dostęp do zasobu Kierownicy. Warto zauważyć, że uzytkownik3 dodatkowo należy do grupy admin. Podczas tej komendy należy uważać przy przydzielaniu dodatkowych grup, muszą one być rozdzielone przecinkami (bez spacji) oraz należy zawsze wypisać wszystkie dodatkowe grupy do jakich ma należeć użytkownik. Pominięcie dodatkowej grupy do jakiej należał użytkownik spowoduje ściągnięcie jej z niego.

Dlaczego usunięty plik nie trafił do kosza?

Częste pytanie użytkowników korzystających z zasobów sieciowych. Pracują na dokumentach umieszczonych na dysku sieciowym, kasują plik i nagle okazuje się, że jest on jeszcze potrzebny ale go już nie ma.

Z pomocą przyjdzie nam moduł Samby VFS recycle. Po jego włączeniu i skonfigurowaniu usunięte z dysku sieciowego zbiory trafią do specjalnego katalogu.
Zmodyfikuję zasób Kierownicy i dopisze linie konfiguracji modułu recycle.

[kierownicy]
  path = /home/kierownicy/
  guest ok = no
  browseable =yes
  writeable = yes
  ###### poczatek konfiguracji VFS recycle
  ; wlaczenie kosza
  vfs objects = recycle
  ; sciezka do katalogu kosz
  recycle:repository = .KOSZ
  ; zachowanie struktury usunietych plikow i katalogow
  recycle:keeptree = True
  ; zachowanie roznych wersji usunietych plikow i katalogow
  recycle:versions = True
  ; dostepnosc usunietych danych
  recycle:touch = True
  ; pliki usuwane z pominieciem kosza
  recycle:exclude = *.tmp|*.o|*.obj|~$*|*.ba0
  ; katalogi usuwane z pominieciem kosza
  recycle:exclude_dir = /tmp|/temp|/cache
  ###### koniec konfiguracji VFS recycle
  create mask = 0660
  directory mask = 0770
  write list = @kierownicy

Przykładowy smb.conf użyty w artykule.

Literatura

1. Using Samba Robert Eckstein, David Collier-Brown, Peter Kelly
2. Internet http://banita.pl/konf/smbudostunix.html
3. Internet http://pl.samba.org/samba/