Linuxconf: SAMBA - Global konfiguration Original Author: Andrew Tridgell (Samba Team) Linuxconf ver­ sion by: Joshua Lamorie (jlamorie@engsoc.carleton.ca) Svensk Linuxconf-version: Anders Karlsson och Jan Smith 11.. ÖÖvveerrssiikktt Inställningarna i denna meny ärvs av alla andra Samba-utdelningar i systemet. 22.. GGrruunnddiinnssttäällllnniinngg Denna meny beskriver den generella konfigurationen för servern. Om det inte anges speciellt i andra delar så kommer alla utdelningar (exports) ärva dessa värden. 33.. BBaasskkoonnffiigguurraattiioonn 33..11.. SSyynnkkrroonniisseerraa llöösseennoorrdd ii SSaammbbaa ffrråånn LLiinnuuxx Linuxlösenord lagras i ett annat format än SMB-lösneord. Linuxlösenord lagras normalt i filen /etc/passwd medan SMB-lösenord lagras i filen /etc/smbpasswd. Linuxconf kan uppdatera båda lösenordsdatabaserna när du ändrar eller sätter ett lösenord för ett konto. Om du väljer att inte använda denna finess måste du manuellt uppdatera SMB-databasen med programmet smbpasswd. 33..22.. SSyynnkkrroonniisseerraa llöösseennoorrdd ii LLiinnuuxx ffrråånn SSaammbbaa När Samba-användare (Windows-användare) ändrar sina lösenord för Samba så lagras det i filen smbpasswd. Genom att aktivera denna finess kommer linuxlösenordet uppdateras på samma gång. 33..33.. BBeesskkrriivvnniinngg aavv sseerrvveerr ((sseerrvveerr ssttrriinngg)) Detta kontrollerar vilken text som visas bredvid maskinnamnet när en användare tittar i listan över maskiner på nätverket. Detta kontrollerar också vilken text som visas i skrivarkommentaren i skrivarhanteraren och bredvid IPC kopplingen i "net view". Det kan vara en valfri text som du vill att dina användare skall se. · A %v kommer ersättas med versionsnumret på Samba . · A %h kommer ersättas med värdnamnet. SSttaannddaarrdd:: Samba %v EExxeemmppeell:: Lysators Samba-server 33..44.. AArrbbeettssggrruupppp ((wwoorrkkggrroouupp)) Detta kontrollerar vilken arbetsgrupp din server kommer befinna sig i när klienter frågar efter den. SSttaannddaarrdd:: satt i Makefilen EExxeemmppeell:: MINGRUPP 33..55.. NNeettbbiiooss--nnaammnn ((vvaallffrrii)) ((nneettbbiiooss nnaammee)) Detta är namnet på maskinen som SMB-klienten ser det. Samba använder värdnamnet på servern som standard. Du kan här välja ett annat. 33..66.. NNeettbbiiooss--aalliiaass ((vvaallffrrii)) ((nneettbbiiooss aalliiaass)) En sambaserver kan adresseras med flera namn. Genom att använda makrot %L kan man lätt skapa virtuella tjänster där det effektiva biblioteket som exporteras ändras beroende på vilket servernamn som används. Du kan använda detta för att slå ihop två servrar till en och behålla klientkonfigurationerna (den gamla servern ser ut att fortfarande existera). 44.. LLöösseennoorrdd 44..11.. KKrryypptteerraatt llöösseennoorrdd kkrräävvss ((eennccrryypptt ppaasssswwoorrddss)) Denna parameter kontrollerar om krypterade lösenord kommer användas när klienter försöker ansluta. Notera att Windows NT 4.0 SP3 och senare kommer att kräva krypterade lösenord per default om man inte ändrar i Windows register. För krypterade lösenord i Samba, se filen docs/ENCRYPTION.txt. 44..22.. VVeerriiffiieerriinnggssllääggee ((AAuutthheennttiiccaattiioonn mmooddee)) 44..33.. LLöösseennoorrddsssseerrvveerr ((ppaasssswwoorrdd sseerrvveerr)) Genom att ange namnet på en annan SMB-server (t.ex en WinNT-server) med detta val satt, och använda "security = server" kan du få Samba att göra all sin användare/lösenord-verifiering via en fjärrserver. Detta alternativ sätter namnet på den lösenordsserver som skall användas. Det måste vara ett netbiosnamn, så om maskinens netbiosnamn skiljer sig från dess internetnamn så måste du lägga till netbiosnamnet i /etc/hosts. Notera att med Samba 1.9.18p4 och senare letas namnet på lösenordsservern upp med parametern "name resolve order=" och kan så bli uppslaget med vilken metod eller i vilken ordning som helst i den parametern. Lösenordsservern måste vara en maskin kapabel att använda "LM1.2X002" eller "LM NT 0.12"-protokollet, och det måste vara i säkerhetsläge "användarnivå" (user level security mode). NOTERING: Genom att använda en lösenordsserver blir din UNIX-maskin (som kör Samba) bara så säker som lösenordsservern. ANVÄND INTE EN LÖSENORDSSERVER SOM DU INTE LITAR PÅ HELT OCH FULLT! Peka aldrig en Sambaserver mot sig själv för lösenordstjänster. Detta kommer skapa en loop och skulle kunna låsa din Sambaserver! Namnet på lösenordsservern tar standardersättningar, men den enda användbara är förmodligen %m, som betyder att Sambaservern kommer använda de ingående klienterna som lösenordsserver. Om du använder detta måste du kunna lita på dina klienter och du bör begränsa dom med "Tillåt värddatorer" (se nedan)! Om du anger flera värdar i fältet "Lösenrodsserver" kommer smbd att prova dom i turordning till den hittar en som svarar. Detta är användbart om din huvudserver går ner. Om du använder en Windows NT-server som din lösenordsserver måste du förvissa dig om att dina användare kan logga in från Sambaservern, eftersom det kommer se ut som att anslutningen kommer från den snarare än från användarnas arbetsstation. 44..44.. LLöösseennoorrddssnniivvåå En del klient/server-kombinationer har svårt för lösenord med blandade stora och små bokstäver. En klient som gör så är Windows for Workgroups som av någon anledning tvingar sina lösenord till stora bokstäver när den använder LANMAN1 protokollet, men inte gör det med COREPLUS! Denna parameter anger max antal bokstäver som får vara stora i lösenord. T.ex, säg att lösenordet är "FRED". Om lösenordsnivån är satt till 1 kommer följande kombinationer provas om "FRED" inte fungerade: "Fred", "fred", "fRed", "frEd", "freD". Om nivån är satt till 2 kommer följande kombinationer också provas: "FRed", "FrEd", "FreD", "fREd", "fReD", "frED". Och så vidare. Ju högre värde på denna parameter desto troligare är det att blandade lösenord kommer att matchas mot ett med bara stora eller små bokstäver. Notera dock att detta sänker säkerhetsnivån drastiskt och gör varje ny koppling ganska tidskrävande då det skall matchas så många olika kombinationer. Ett värde av noll kommer tvinga fram endast två försök, ett med alla stora bokstäver och ett med alla små. Om du upptäcker att kopplingar tar för lång tid med detta val har du förmodligen en långsam krypteringsrutin. Samba kommer nu med den snabbare "ufc crypt" som du kan välja i Makefilen. Du borde också säkerställa att PASSWORD_LENGTH är korrekt satt för ditt system i local.h och include.h. På de flesta system används bara de första 8 tecknen så PASSWORD_LENGTH borde vara 8, men på en del system används fler tecken. I filen includes.h anges det rätta för ditt system. SSttaannddaarrdd:: 0 EExxeemmppeell:: 4 44..55.. LLöösseennoorrddsspprrooggrraamm ((PPaasssswwdd pprrooggrraamm)) Namnet på programmet som används för att sätta användarlösenord i linuxsystemet. Detta är endast tillgängligt om du aktiverat fjärrändring av lösenord när du kompilerar (se kommentaren tidigt i Makefilen för detaljer). Alla %u kommer ersättas med användarnamnet. Namnet kommer sedan kollas så att det finns innan programmet anropas för lösenordsbyte. Notera också att många lösenordsprogram insisterar på bra lösenord så som minsta längd, blandade tecken och siffror m.m. Detta kan ge problem då en del klienter (som Windows for Workgroups) omvandlar lösenord till stora bokstäver innan de skickar dom. Om parametern "Synkronisera lösenord i Linux från Samba" är satt kommer lösenordsprogrammet köras SOM ROOT när SMB-lösenordet i smbpasswd-filen ändras. Om parametern "Synkronisera lösenord i Linux från Samba" är satt måste du ange ABSOLUTA SÖKVÄGAR här för ALLA program som skall köras och du bör undersöka dessa med avseende på säkerhet. SSttaannddaarrdd:: /bin/passwd %u EExxeemmppeell:: /bin/passwd %u 44..66.. TTiillllåått aannvväännddaarree uuttaann llöösseennoorrdd Tillåt eller vägra tillgång till konton utan lösenord. SSttaannddaarrdd:: Av 55.. TTiillllggäänngglliigghheett 55..11.. TTiillllååttnnaa vväärrddddaattoorreerr ((aallllooww hhoossttss)) Denna parameter är en kommaseparerad lista med värdar som ges tillgång till en tjänst. Om denna inställning görs i standardsektionen kommer den gälla för alla tjänster oavsett om de individuella tjänsterna har andra inställningar. Du kan ange värdarna med namn eller IP-nummer. T.ex kan du begränsa tillgång till endast de värdar på ett C-nätverk med något som liknande "allow hosts = 150.203.5.". Den fulla syntaxen beskrivs i manualsidan hosts_access(5). Du kan också ange värdar med nätverk/nätmask-par och via nätgruppnamn om ditt system stödjer nätgrupper. Nyckelordet EXCEPT kan användas för att begränsa en jokerteckenlista. Se följande exempel: EExxeemmppeell 11 tillåt alla IP-nummer i 150.203.*.* utom ett: hosts allow = 150.203. EXCEPT 150.203.6.66 EExxeemmppeell 22 tillåt värdar som matchar givet nätverk/nätmask: hosts allow = 150.203.15.0/255.255.255.0 EExxeemmppeell 33 tillåt några specifika värdar: hosts allow = lappland, arvidsjaur EExxeemmppeell 44 tillåt bara värdar i nätgrupp "foonet" eller localhost, men vägra åtkomst från en specifik värd: hosts allow = @foonet, localhost hosts deny = pirate Notera att åtkomst fortfarande kräver matchande lösenord. Se manualsidan för testparm(1) för ett sätt att testa din värdåtkomst för att se om den gör som du väntar dig. SSttaannddaarrdd:: Inget (alla värdar tillåts åtkomst) EExxeemmppeell:: 150.203.5. myhost.mynet.edu.au 55..22.. SSttooppppaa vväärrddddaattoorreerr ((ddeennyy hhoossttss)) Motsatsen till 'tillåt värdar' - värdar listade här får INTE tillgång till tjänster om inte den speciella tjänsten har en egen lista som har högre prioritet än denna. När listorna krockar har tillåt-listan företräde. SSttaannddaarrdd:: Inget (inga värdar speciellt exkluderade) EExxeemmppeell:: 150.203.4. badhost.mynet.edu.au 66.. NNäättvveerrkksseeggeennsskkaappeerr ((NNeettwwoorrkkiinngg)) 66..11.. OOppeerraattiivvssyysstteemmnniivvåå ((ooss lleevveell)) Detta heltalsvärde kontrollerar på vilken nivå Samba anser sig vara för browse-omröstningar. Browse-omröstning är en process där Windows- maskiner bestämmer vem som skall vara "browse master", det vill säga den individ som hanterar listan över datorer på nätverket och deras namn. Se filen BROWSING.txt (följer med Samba) för detaljer. 66..22.. HHeellsstt ddoommiinneerraannddee ((pprreeffeerrrreedd mmaasstteerr)) Denna boolska parameter kontrollerar om samba är en "preferred master browser" för sin arbetsgrupp. Om satt till sant kommer Samba vid upstart tvinga fram en omröstning (om vilken maskin som skall sköta listor över maskiner på nätverket) och kommer ha ett övertag för att vinna valet. Det rekommenderas att denna parameter används tillsammans med "Dominerar domänen" satt till "sant" så att Samba kan garanteras att bli "domain master". Använd detta alternativ med försiktighet, för om det finns andra sambaservers på nätverket med samma inställning kommer dessa periodiskt tvinga fram fler omröstningar för att de också vill bli master. Detta resulterar i onödig trafik och reducerar effektiviteten hos Sambaservern. Se Operativsystemnivå ovan. SSttaannddaarrdd:: Av 66..33.. DDoommiinneerraarr ddoommäänneenn ((ddoommaaiinn mmaasstteerr)) Aktivera "browse list"-kollation för nätverket. Lokala "master browsers" på broadcast-isolerade subnät kommer ge samba sina lokala browselistor (listor över maskiner på nätverket). Samba bygger sedan en komplett lista för hela nätverket av de olika listorna, vilken sedan hämtas tillbaka av lokala masterbrowsers. Browserklienter kommer sedan kontakta sina lokala masterbrowsers för att få den kompletta browselistan istället för bara den för sitt broadcast-isolerade subnät. SSttaannddaarrdd:: Av 66..44.. UUttaannnnoonnsseerriinngg ffrråånn ((rreemmoottee aannnnoouunnccee)) Detta val låter dig sätta nmbd att periodiskt annonsera sig själv till godtyckliga IP adresser med ett godtyckligt arbetsgruppnamn. Detta är användbart om du vill att din Sambaserver ska finnas i en fjärrarbetsgrupp för vilken de normala browse-spridningsreglerna inte fungerar. Fjärrarbetsgruppen kan finnas var som helst dit du kan skicka IP paket. TT..eexx:: Remote announce: 192.168.2.255/SERVERS 192.168.4.255/STAFF raden ovan skulle göra så att nmbd annonserar sig själv till 2 givna IP adresser med det givna arbetsgruppsnamnen. Om du utelämnar gruppnamnet används det som gives i "arbetsgrupp" (workgroup) istället. De IP adresser du väljer skall normalt vara broadcast-adresserna för fjärrnätverket, men kan också vara IP-adresser för kända browsemasters om ditt nätverks inställningar är så stabila. Detta val ersätter likvärdig funktionalitet från lmhosts-filen för nmbd. 66..55.. AAkkttiivveerraa SSaammbbaa ssoomm WWIINNSS--sseerrvveerr ((wwiinnss ssuuppppoorrtt)) Detta val anger om Samba skall agera WINS-server för nätverket eller inte. SSttaannddaarrdd:: Av 66..66.. WWIINNSS--sseerrvveerr ((wwiinnss sseerrvveerr)) Om det finns en WINS-server (namnserver för Windows) på ditt nätverk så anger du dess IP-nummer här. Detta talar om för Samba att registrera sig mot den och använda den för att senare konvertera netbios namn till IP nummer. EExxeemmppeell:: winsserver.foo.bar.org 66..77.. EEnnhheetteerr ((iinntteerrffaacceess)) Normalt opererar Samba bara på det första nätverket. För att låta Samba operera på fler nätverk måste du här ange IP numret och nätmasken till varje nätverksgränssnitt separerat med blanksteg. Om denna inställning lämnas tom kommer Samba själv att söka efter första nätverkenheten och tillhörande nätmask. Nätmasken kan beskrivas antingen genom en nätmask eller en bitlängd (antalet ettor i början av nätmasken). SSttaannddaarrdd:: Inget (maskinens huvudinterface kommer användas) EExxeemmppeell:: 138.26.25.10/255.255.255.0 138.26.25.39/255.255.255.0 EExxeemmppeell:: 138.26.25.10/24 138.26.25.39/24 77.. SSkkaappaa aannvväännddaarree Samba kan automatiskt skapa och ta bort användarkonton under drift under vissa omständigheter. Detta kan användas för att skapa administrationsfria fil och skrivarservrar. Användarkonton kommer skapas om: · En uppkoppling sker mot Sambaservern. · Autentieringsläge är satt till antingen "server" eller "domän". · Lösenordsservern verifierar användaren. · Det motsvarande användarkontot inte finns på Sambaservern. Användarkonton kommer tas bort om: · En uppkoppling sker mot Sambaservern. · Autentieringsläge är satt till "domän". · Lösenordsservern intygar att användarkontot inte finns. · Det motsvarande användarkontot FINNS på Sambaservern. 77..11.. SSccrriipptt fföörr aatttt llääggggaa ttiillll nnyyaa aannvväännddaarree Du måste ange ett kommando som används för att skapa användarkonton. Detta kommando får inte vara interaktivt. En hjälplista anger ett lämpligt kommando. Det skapar ett e-postkonto lämpligt för fil och skrivaranvändning. 77..22.. SSccrriipptt fföörr aatttt ttaa bboorrtt aannvväännddaarree Du måste ange ett kommando som används för att ta bort användarkonton. Detta kommando får inte vara interaktivt. En hjälplista anger ett lämpligt kommando. 88.. EEggeennsskkaappeerr 88..11.. GGäässttaannvväännddaarree ((gguueesstt aaccccoouunntt)) Detta är ett användarnamn som kommer användas för åtkomst till tjänster som anges under Public Access (se nedan). De privilegier denna användare har kommer vara tillgängliga för alla klienter som kopplar upp sig mot gästkontot. Denna användare finns oftast med i lösenordsfilerna men kan inte logga in. Om ett användarnamn finns angivet i en given tjänst kommer det angivna användarnamnet ha prioritet över detta. Notera att från version 1.9 av Samba kan detta val sättas separat för varje tjänst. SSttaannddaarrdd:: specificerad vid kompilering EExxeemmppeell:: nobody 88..22.. VVäänntteettiidd ((ddeeaadd ttiimmee)) Värdet av denna parameter (heltalsvärde) är antalet minuter av inaktivitet innan en anslutning anses vara död och kopplas ned. Dötiden har effekt endast om antalet öppna filer är noll. Detta är användbart för att förhindra att en servers resurser ansträngs av ett stort antal inaktiva uppkopplingar. De flesta klienter har en automatisk återkopplingsfunktion när en koppling bryts så för det mesta kommer användarna inte ens märka denna egenskap. Att ange en timeout på ett par minuter fungerar för de flesta system. En dödtid på noll anger att funktionen ej skall vara aktiv. SSttaannddaarrdd:: 0 EExxeemmppeell:: 15 88..33.. DDeettaalljjnniivvåå ii lloogggg ((ddeebbuugg lleevveell)) Värdet på parametern (heltal) sätter debug-nivån för Samba. Detta ger en högre grad av flexibilitet i konfigurationen av ditt system. Standard kommer vara nivån som anges på kommandoraden till Samba. SSttaannddaarrdd:: 0 (om inget annat anges på kommandoraden) EExxeemmppeell:: 3 88..44.. SSttaannddaarrddttjjäännsstt ((ddeeffaauulltt sseerrvviiccee)) Denna parameter anger namnet på en tjänst som användaren kommer anslutas till om den tjänst som efterfrågades inte kan hittas. Det finns inget standardvärde för denna parameter. Om denna inte sätts kommer en uppkoppling till en icke existerande tjänst resultera i ett fel. Den typiska standardtjänsten är en publik read-only tjänst. Notera också att från 1.9.14 kommer det uppenbara tjänstnamnet ändras så det blir samma som den begärda tjänsten, detta är användbart för att använda makron som %S för en jokertjänst. Notera också att alla understrykningstecken "_" kommer mappas till ett "/". Detta kan få intressanta effekter. EExxeemmppeell:: pub där, [pub] path = /%S 88..55.. VViissaa aallllaa ttiillllggäänngglliiggaa sskkrriivvaarree ((llooaadd pprriinntteerrss)) En boolsk parameter som kontrollerar om alla skrivare i printcapfilen (skrivare installerade i Linux-systemet) skall visas vid listning av tjänster. SSttaannddaarrdd:: På 88..66.. WWiinnPPooppuupp--kkoommmmaannddoo ((mmeessssaaggee ccoommmmaanndd)) Detta anger vilket kommando som skall köras när servern tar emot ett WinPopup-meddelande. Detta bör normalt vara ett kommando som levererar meddelandet på något sätt. Hur det görs är upp till dig. Ett exempel: WinPopup command: csh -c 'xedit %s;rm %s' & Detta levererar meddelandet med xedit och tar bort det efteråt. nnootteerraa aatttt ddeett äärr mmyycckkeett vviikkttiiggtt aatttt ddeettttaa kkoommmmaannddoo aavvsslluuttaass aauuttoommaattiisskktt!! Det är därför som & används på slutet. Om det inte avslutar omedelbart kan din maskin frysa när den skickar meddelanden (den bör återgå efter 30 sekunder, förhoppningsvis). Alla meddelanden levereras som den globala gästanvändaren. Kommandot tar standardersättningarna, men %u kommer inte fungera, (%U kan vara bättre i detta fall). Bortsett från standardersättningarna är en del andra vara giltiga. Speciellt: %s = filnamnet innehållande meddelandet %t = destinationen som meddelandet sändes till (troligen servernamnet) %f = vem meddelandet kom ifrån Du kan få kommandot att skicka e-post, eller vad som helst som du kan hitta på. Här är ett sätt att skicka meddelanden som e-post till root: WinPopup command: /bin/mail -s 'meddelande från %f på %m' root < %s; rm %s Om du inte har ett meddelandekommando kommer meddelandet inte levereras och Samba kommer ge avsändaren ett felmeddelande. Tyvärr struntar Windows for Workgroups helt i felmeddelandet och tuffar på ändå vidmakthållandes att meddelandet levererades. Om du tyst vill ta bort meddelandet så kan du använda "message command = rm %s". För de verkligen äventyrslystna, prova detta: WinPopup command: csh -c 'csh < %s |& /usr/local/samba/bin/smbclient \ -M %m; rm %s' & Detta skulle exekvera kommandot som ett script på servern, och sedan ge dem resultatet i ett WinPopup meddelande. Notera att detta kan orsaka en loop om du skickar ett meddelande från en server med smbklient! Du borde nog packa in det ovanstående i ett script som kontrollerar detta :-) SSttaannddaarrdd:: inget meddelandekommando EExxeemmppeell:: csh -c 'xedit %s;rm %s' &