Configuración de Samba Menú de los compartimientos 11.. VViissiióónn GGeenneerraall Éste es el menú para las definiciones de las opciones de un compartimiento. 22.. SSuuss ooppcciioonneess 22..11.. NNoommbbrree ddeell ccoommppaarrttiimmiieennttoo El nombre del compatimiento que será exportado. Ese nombre se usará cuando se vaya a conectar ese compatimiento a otro computador. 22..22.. CCoommeennttaarriioo//ddeessccrriippcciióónn Es el texto que el cliente verá próximo al compatimiento cuando haga el listado de la red para ver los compatimientos disponibles. 22..33.. EEssttee sseerrvviicciioo eessttáá aaccttiivvoo Hace que este compatimiento sea visible en el listado de la red. 22..44.. NNaavveeggaabbllee Controla dónde debe verse este recurso en una lista de recursos de red 22..55.. HHeerreeddaarr ooppcciioonneess ddeell ccoommppaattiimmiieennttoo Esta opción le permite "clonar" entradas de un servicio. El servicio especificado simplemente se duplica con el nombre del servicio corriente. Cualquier parámetro especificado en la sección corriente va a sobreescribir aquéllos que fueron heredados. Con esa opción se puede crear un servicio "modelo" y crear otros servicios similares a partir de él. ppoorr ddeeffeeccttoo:: No hay copia ajustada EEjjeemmpplloo:: otro servicio 22..66.. DDiirreeccttoorryy ttoo eexxppoorrtt Es la ruta del directorio de acceso del usuario de este servicio. Cualquier ocurrencia de %u en la ruta del directorio se sustituirá por el nombre del usuario con el cual se está conectando el cliente. Cualquier ocurrencia de %m se sustituirá por el nombre de la máquina del cliente. Esas sustituciones son muy útiles para definir pseudo directorios HOME para usuarios. Note que esa ruta se basará en el Directorio Raíz (Root Directory), en caso de que esté especificado. ppoorr ddeeffeeccttoo:: Ningún camino ajustado EEjjeemmpplloo:: /home/fred+ 33.. AAcccceessoo 33..11.. AAcccceessoo PPúúbblliiccoo Si este parámetro está OOnn para un servicio, entonces éste no necesita seña para ser conectado. Los Privilegios de éste serán los mismos de la cuenta guest. ppoorr ddeeffeeccttoo:: Off 33..22.. AAcccceessoo SSoollaammeennttee ddee iinnvviittaaddoo Si este parámetro está OOnn para un servicio, entonces solamente un invitado tendrá acceso a este servicio. Este parámetro no tiene utilidad en un Acceso Público. ppoorr ddeeffeeccttoo:: Off 33..33.. GGrraabbaabbllee Si este parámetro estáOOffff, entonces el usuario de este servicio no grabará nada en el directorio del servicio. 33..44.. PPeerrmmiittee mmááqquuiinnaass Este parámetro es una lista separada por comas, de las máquinas que tienen acceso a este disco. Si fue especificado en la sección por defecto, entonces se aplicará a todos los servidores. Resguardando a aquéllos que tienen configuraçciones diferentes. Usted puede especificar la máquina por el nombre o IP. Por ejemplo, usted puede restringir el acceso solamente para las máquinas de la clase C con algo como: "allow hosts = 150.203.5.". En la página del manual hosts_access(5) se describe la sintaxis entera. Si su sistema lo soporta, usted también puede especificar las máquinas por la máscara de red o el grupo de red. La opción EXCEPT se puede usar para limitar una lista. A continuación presentamos algunos ejemplos: EEjjeemmpplloo 11 permite IPs en 150.203.*.* excepto uno hosts allow = 150.203. EXCEPT 150.203.6.66 EEjjeemmpplloo 22 permite máquinas que estén en esta máscara de red hosts allow = 150.203.15.0/255.255.255.0 EEjjeemmpplloo 33 permite algunas máquinas hosts allow = lapland, arvidsjaur EEjjeemmpplloo 44 permite solamente máquinas del grupo "foonet" o máquina local, pero impide que otra máquina lo accese. hosts allow = @foonet, localhost hosts deny = pirate Note que para tener acceso se continúa requiriendo permiso de super usuario. Vea testparm(1) para probar si funciona como usted espera. ppoorr ddeeffeeccttoo:: None (todas las máquinas tienen acceso) EEjjeemmpplloo:: 150.203.5. myhost.mynet.edu.au 33..55.. PPrroohhiibbee mmááqquuiinnaass Lo opuesto de Permite máquinas - las máquinas listadas aquí nnoo tienen acceso permitido a servicios, a no ser que el mismo tenga su propia lista. En caso de que haya conflictos, Prohibe máquinas tiene preferencia. ppoorr ddeeffeeccttoo:: None (no hay máquinas sin permiso) EEjjeemmpplloo:: 150.203.4. badhost.mynet.edu.au 44.. UUssuuaarriiooss 44..11.. LLiissttaa ddee uussuuaarriiooss Múltiples usuarios pueden ser definidos en una lista separada por comas. Para cada usuario la seña será probada. En muchos casos la lista de usuarios no es una solución, ya que torna lenta la conexión. En caso de que hayan dos usuarios iguales en la red usted puede recibir mensajes de que se ha agotadoel tiempo o abrir brechas de seguridad. Samba confía en la seguridad básica de Linux. Esa opción no restringe quién puede acessar, apenas le ofrece orientaciones al servidor Samba sobre cuáles nombres de usuarios pueden corresponder a la seña suministrada. Los usuarios pueden conectarse como cualquier usuario (siempre y cuando sepan la seña), y no podrán causar mayores daños de los que normalmente causarían accesando el sistema vía telnet. El servidor corre como el usuario conectado, entonces ellos no pueden hacer algo que al usuario no le esté permitido. Para restringir un servicio a una lista particular de usuarios, vea arriba la opción "Usuarios válidos". Si uno de los nombres de usuarios que se ha suministrado comienza con @, entonces el nombre se tratará como um nombre de grupo y será expandido para todos los nombres de usuarios de ese grupo. Note que hacer búsquedas en el archivo de grupos toma algún tiempo y la conexión de algunos clientes puede expirar durante ese tiempo de búsqueda. ppoorr ddeeffeeccttoo:: El nombre de usuario invitado en caso de que sea servicio de invitado. O el nombre del usuario. EEjjeemmppllooss:: fred, mary, jack, jane, @users, @pcgroup 44..22.. SSoollaammeennttee eell uussuuaarriioo ppuueeddee ccoonneeccttaarrssee Esa opción controla el permiso de conexiones de usuarios que estén fuera de la lista de usuarios. Note que samba no intenta deducir el nombre del usuario a partir del nombre del servicio. Para darle una solución a eso, Usted puede usar el "%S", que significa que su lista de usuarios será el nombre del servicio, que para directorios HOME es el mismo nombre del usuario. ppoorr ddeeffeeccttoo:: Off 44..33.. UUssuuaarriioo aaddmmiinniissttaaddoorr Ésta es una lista de usuarios que tienen privilegios de administrador en el compatimiento. Esto significa que todo lo que éste haga, será con permisos de super usuario (root). Usted debe usar esta opción con mucho cuidado, pues cada usuario que esté en esta lista tiene acceso para hacer cualquier cosa en su sistema. ppoorr ddeeffeeccttoo:: Ningún usuario definido. EEjjeemmpplloo:: jason 44..44.. LLiissttaa ddee eessccrriittuurraa Ésta es una lista de los usuarios que tienen permiso para grabar datos en este servicio. Si el usuario que está conectando tiene su nombre en esta lista, él tendrá permiso de grabación absoluta. La lista soporta grupos a través de la sintaxis @grupo . Si este usuario existe en la lista de lectura, la lista de grabación tiene prioridad. ppoorr ddeeffeeccttoo:: Ningún usuario definido EEjjeemmpplloo:: admin, root, @staff 44..55.. >>UUssuuaarriiooss vváálliiddooss Es la lista de usuarios que pueden acessar ese servicio. Un nombre que empieza con @ se interpreta como un nombre de grupo. Si está vacío, entonces cualquier usuario puede conectarse. Si un nombre de usuario se encuentra en esa lista y en la lista de usuarios inválidos, entonces se le negará el acceso. ppoorr ddeeffeeccttoo:: No hay usuarios válidos (Cualquiera puede conectarse) EEjjeemmpplloo:: greg, @pcusers 44..66.. UUssuuaarriiooss IInnvváálliiddooss Ésta es una lista de los usuarios que no tienen acceso a este servicio. Ésta realmente es una revisión paranóica, para garantizar absolutamente que el usuario no pueda acessar el servicio Un nombre que empieza por @ es considerado como un grupo UNIX El nombre del servicio actual se cambia por %S. Esto es útil en la sección por defecto. ppoorr ddeeffeeccttoo:: Ningún usuario inválido. EEjjeemmpplloo:: root fred admin @wheel 44..77.. LLiissttaa ssoollaammeennttee ddee lleeccttuurraa Ésta es una lista de los usuarios que tiene permiso para leer los datos en este servicio. La lista soporta grupos a través de la sintaxis @grupo . Si este usuario existe en la lista de grabación, tiene prioridad la lista de grabación. ppoorr ddeeffeeccttoo:: Ningún usuario definido EEjjeemmpplloo:: admin, root, @staff 55.. SSccrriippttss 55..11.. CCoommaannddoo SSeettuupp ((AAKKAA pprreeeexxeecc)) Esta opción especifica un comando que debe ejecutarse enseguida que el servicio se finalice. Un ejemplo interesante para enviar un mensaje de bienvenida cada vez que el usuario entra. ¿Podría ser el mensaje del día? csh -c 'echo \"Bienvenido to %S!\" | \ /usr/local/samba/bin/smbclient -M %m -I %I' & Claro, después de un tiempo esto puede volverse aburrido &:-) ppoorr ddeeffeeccttoo:: None (no se ejecutará ningún comando) EEjjeemmpplloo:: echo \"%u connectado em %S de %m (%I)\" >> /tmp/log 55..22.. CCoommaannddoo SSeettuupp ((rroooott)) Lo mismo que el anterior, sólo que estos comandos tienen permiso de root. 55..33.. CCoommaannddoo ddee LLiimmppiieezzaa Esta opción especifica un comando que debe ejecutarse cada vez que es descontinuado el servicio. En algunos sistemas, el comando puede ejecutarse como root. Un ejemplo es el comando umount: /sbin/umount /mnt/cdrom ppoorr ddeeffeeccttoo:: None (ningún comando será ejecutado) EEjjeemmpplloo:: echo \"%u desconectado de %S de %m (%I)\" >> /tmp/log 55..44.. CCoommaannddoo ddee LLiimmppiieezzaa ((rroooott)) Lo mismo que el anterior, sólo que con privilegios de superusuario. 55..55.. SSccrriipptt mmáággiiccoo Es el nombre del archivo, que si está abierto, será ejecutado por el servidor cuando se cierre (el archivo). Eso permite que se le envíe un script UNIX al cliente Samba y que sea ejecutado en caso de que el usuario conectado así lo desee. Los scripts ejecutados así serán excluidos después de terminar, en caso de que los permisos lo permitan. Si el script genera salida, ella será enviada al archivo especificado por la opción "Salida mágica" (vea abajo). Note que algunos shells no consiguen interpretar scripts que contienen carriage-return-linefeed en vez de linefeed como marcador de fin-de- línea. Los scripts mágicos deben ejecutarse "como son" en el cliente, lo que para algunos clientes y algunos shells significa hacer un filtrado en el lado DOS. Los scripts mágicos están en estado _E_X_P_E_R_I_M_E_N_T_A_L> y _N_O> se debe confiar plenamente en ellos! EEjjeemmpplloo:: user.csh 66.. CCaarraacctteerrííssttiiccaass 66..11.. FFoorrzzaarr uussuuaarriioo Esta lista define los usuarios que tendrán su acceso garantizado a todos los recursos de este servicio. Es interesante si quiere compartir archivos. Usted debe usarlo con cuidado, porque puede causar fallas en la seguridad de su sistema. Usted primero debe entrar con un usuario válido en el sistema, para después, poder usar este servicio. Una vez actualizado, todas las operaciones que usted ejecute, serán reportadas como siendo de este usuario. ppoorr ddeeffeeccttoo:: Ningún usuario forzado. EEjjeemmpplloo:: auser 66..22.. FFoorrzzaarr GGrruuppoo Esta lista especifica los nombres de los grupos de usuarios que tienen acceso forzado a los recursos de los servicios. Interesante para compartir archivos. ppoorr ddeeffeeccttoo:: Ningún grupo forzado. EEjjeemmpplloo:: agroup 66..33.. NNoo bbaajjaarr En cualquier sistema existen ciertos directorios (ex. /proc), que el cliente no debería bajar. Esta lista de directorios separados por comas, determina los directorios que estarán ocultos a los usuarios. ppoorr ddeeffeeccttoo:: None (ej. todos los directorios son visibles) EEjjeemmpplloo:: /proc,/dev 66..44.. CCuueennttaa iinnvviittaaddoo ((eessttee ccoommppaattiimmiieennttoo)) Es un nombre de usuario que se usará para tener acceso a servicios que están especificados como "Acceso público". Sin importar los privilegios que el usuario tenga, serán aplicados para cualquier cliente que se conecte como invitado. Generalmente, ese usuario existe en el sistema, pero no tiene seña. Si un nombre de usuario se especifica en un determinado servicio, ese nombre especificado se sobrepone al de la cuenta invitado. En algunos sistemas la cuenta "nobody" no puede imprimir. En ese caso use otra cuenta. Para estar seguro de eso, acesse el sistema como "nobody" (puede usar el comando "su - nobody") e intentar imprimir algo usando el lpr. ppoorr ddeeffeeccttoo:: especificado en tiempo de compilación (generalmente nobody) EEjjeemmpplloo:: nobody 66..55.. SSaalliiddaa mmáággiiccaa Es el nombre del archivo que contendrá la salida generada por el Script mágico (vea arriba). Aviso: Si dos clientes usan el mismo script mágico en el mismo directorio, el contenido del archivo de salida es indefinido. por defecto: .out Ejemplo: archivo.txt 66..66.. NNúúmmeerroo mmááxxiimmoo ddee ccoonneexxiioonneess Esa opción le permite limitar el número de conexiones simultáneas para un servicio. Si el número máximo de conexiones definido es mayor que 0, entonces en caso de que el número de conexiones abiertas sea igual a ese número, todas las conexiones siguientes serán rechazadas. Un valor igual a 0 (cero) significa un número ilimitado de conexiones. Ejemplo: 10