Еще раз привет всем!
Возникли непонятности с поведением самбового сервера ремутной площадки. Самбовый сервер сконфигурирован в роли BDC.
Насколько я понимаю - в этой роли сервер держит на себе реплику базы данных домена (которую порождает PDC)и может раздавать необходимую информацию для аутентификации юзерей самостоятельно. Однако...
1. После определенной пляски с бубнами понял причину, почему не было связи двух самбовых серверов связанных по openVPN. Учел особенность, ремутный самбовый сервер в домен ввелся. На сервере центрального оффиса в нужных файлах появились соответсвующие записи. Виндовый обозреватель сети тоже новый сервер начал показывать.
2. Юзер не может зарегистрироваться на новом ремутном сервере. Ниже - конфиг самбы этого сервера:
Показать
workgroup = ALMANEW
server string = File Server Proizv
netbios name = GateProizv
interfaces = lo p2p1
bind interfaces only = yes
# socket address = 192.168.53.1
hosts allow = 127. 192.168.43. 192.168.53.
name resolve order = lmhosts hosts wins bcast
smb ports = 139
# security = DOMAIN
encrypt passwords = yes
security = USER
# password server = 192.168.43.5
remote announce = 192.168.43.5/ALMANEW
# passdb backend = smbpasswd
max log size = 10
time server = Yes
socket options = TCP_NODELAY IPTOS_LOWDELAY SO_KEEPALIVE SO_RCVBUF=8192 SO_SNDBUF=8192
os level = 65
local master = yes
domain master = No
preferred master = yes
domain logons = yes
wins server = 192.168.43.5
# wins proxy = yes
winbind separator = +
idmap uid = 10000-20000
idmap gid = 10000-20000
admin users = root, administrator, admin
log level = 3
log file = /var/log/samba/log.%m
oplocks = yes
kernel oplocks = no
level2 oplocks = yes
use sendfile = yes
;locking = no
deadtime = 120 ; разрывать соединение с юзером после 120 минут бездействия
nt acl support = yes
Вывод testparm'а - чист как слеза ребенка. При этом определяется, что Server role: ROLE_DOMAIN_BDC. Однако далее:
пытаемся вывести перечень групп домена:
[console]#net rpc group -U admin%password
Could not connect to server 127.0.0.1
The username or password was not correct.
Connection failed: NT_STATUS_LOGON_FAILURE
[/console]
Аналогичный обломс, если попытаться посмотреть сервер через smbclient. Проходит только гость. А именованному юзеру - обломс. Вот кусок лога:
Показать
check_ntlm_password: Checking password for unmapped user [DOMAIN]\[shults]@[GATEPROIZV] with the new password interface
[2011/08/04 10:47:47.077576, 3] auth/auth.c:219(check_ntlm_password)
check_ntlm_password: mapped user is: [DOMAIN]\[shults]@[GATEPROIZV]
[2011/08/04 10:47:47.077655, 3] smbd/sec_ctx.c:210(push_sec_ctx)
push_sec_ctx(0, 0) : sec_ctx_stack_ndx = 1
[2011/08/04 10:47:47.077706, 3] smbd/uid.c:429(push_conn_ctx)
push_conn_ctx(0) : conn_ctx_stack_ndx = 0
[2011/08/04 10:47:47.077862, 3] smbd/sec_ctx.c:310(set_sec_ctx)
setting sec ctx (0, 0) - sec_ctx_stack_ndx = 1
[2011/08/04 10:47:47.077997, 3] smbd/sec_ctx.c:418(pop_sec_ctx)
pop_sec_ctx (0, 0) - sec_ctx_stack_ndx = 0
[2011/08/04 10:47:47.078046, 3] auth/auth_sam.c:399(check_sam_security)
check_sam_security: Couldn't find user 'shults' in passdb.
[2011/08/04 10:47:47.078097, 3] auth/auth_winbind.c:54(check_winbind_security)
check_winbind_security: Not using winbind, requested domain [DOMAIN] was for this SAM.
[2011/08/04 10:47:47.078139, 2] auth/auth.c:314(check_ntlm_password)
check_ntlm_password: Authentication for user [shults] -> [shults] FAILED with error NT_STATUS_NO_SUCH_USER
[2011/08/04 10:47:47.078213, 3] smbd/error.c:80(error_packet_set)
error packet at smbd/sesssetup.c(111) cmd=115 (SMBsesssetupX) NT_STATUS_LOGON_FAILURE
При этом, регистрация этого же юзера на центральном сервере (он там был заведен издавна) проблем не вызывает.
Далее, если поставить в smb.conf следующие параметры (указываем на хранение учеток в файле):
security = DOMAIN
encrypt passwords = yes
password server = 192.168.43.5
remote announce = 192.168.43.5/ALMANEW
passdb backend = smbpasswd
то юзер на сервере регистрируется (через smbclient'а). Но при этом возникает сообщение:
[console]# smbclient -L 192.168.53.1 -U shults
Server's Role (logon server) NOT ADVISED with domain-level security
---далее нормальная серверная лабуда---
[/console]
С виндов регистрация тоже нормальная. Но, в том файле, в smbpasswd у меня (для тестов) только один юзер, остальные в домене. Так вот, этот один юзер и регистрируется. А те, кого нет в этом файле - пролетают как фанера над Парижем.
В чем моя ошибка?
Дополнения - я пока не использую для работы домена ни кербероса, ни LDAPа. Хочу обойтись только возможностями самбы. Или нет у неё таких возможностей? И надо обязательно поднимать LDAP и керберос для работы связки PDC и BDC?
