LinuxForum.Fans
Тема

Ubuntu domain controller: сбой авторизации при encrypt passwords = yes

Автор: gals 3 сообщений 2390 просмотров
23.11.2011 17:09 #207672

Приветствую.

Мне надо сделать контроллер домена на базе ubuntu.
Ubuntu server 10.04.3 lts
Samba version 3.4.7

Делал точно так как показано здесь: Tutorial: Use Samba to Turn Your Linux Ubuntu Server into A PDC (Primary Domain Controller)

Из примера получился такой smb.conf:

Показать

[global]
workgroup = DOM
server string = %h server (Samba, Ubuntu)
encrypt passwords = yes
map to guest = Bad User
obey pam restrictions = Yes
pam password change = Yes
passwd program = /usr/bin/passwd %u
passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
unix password sync = Yes
syslog = 0
log file = /var/log/samba/log.%m
max log size = 1000
add machine script = /usr/sbin/useradd -g machines -c "%u machine account" -d /var/lib/samba -s /bin/false %u
logon drive = Z:
domain logons = Yes
os level = 64
preferred master = Yes
domain master = Yes
dns proxy = No
usershare allow guests = Yes
panic action = /usr/share/samba/panic-action %d

[homes]
comment = Home Directories
read only = No
browseable = No
browsable = No

[netlogon]
comment = Network Logon Service
path = /home/samba/netlogon
guest ok = Yes
share modes = No

[profiles]
comment = Users profiles
path = /home/samba/profiles
create mask = 0600
directory mask = 0700
browseable = No
browsable = No

[common]
comment = common files
path = /home/common
create mask = 0777
directory mask = 0777
guest ok = Yes

[printers]
comment = All Printers
path = /var/spool/samba
create mask = 0700
printable = Yes
browseable = No
browsable = No

[print$]
comment = Printer Drivers
path = /var/lib/samba/printers

Проблема в следующем.
После перезапуска самбы, домен работает, в него можно зайти.
Но если перезапустить весь сервер, то на этапе ввода пароля все останавливается. Точнее, после того как ввели логин и пароль долго висит, а потом выдает сообщение logon timeout.
При чем не важно, как я захожу: через домен, через ssh, или напрямую из консоли, подкинув к серверу монитор и клаву. :(
Хотя сервер пингуется, на него зайти нет возможности.
Помогает только компакт с установкой и режим восстановления.

Я долго мучался и выяснил, что причина в
encrypt passwords = yes
если поставить
encrypt passwords = no
то проблема исчезает, но зайти в домен теперь нельзя.
Ставлю опять yes, перезапускаю самбу, и все работает. Перезагружаю сервер, и опять все по новой - применять загрузочный компакт.

Кто нибудь сталкивался?
Это проблема в настройке какаято или в чем?

Странно, что настройки самбы приводят к нарушениям авторизации иными методами oO

23.11.2011 20:11 · отредактировано #207735

Да, в том то и дело, что при перезапуске только самбы все работает, но если перезапустить весь комп, то нет возможности залогиниться.

Спасибо за ссылки :D

Я вот еще тут ковырял сидел и вот что получилось.
Использовав материалы вот этой статьи получось следующее:

Проблема ушла, при перезапуске всего компа логины работают. Домен тоже работает (по крайней мере с Винды захожу)
Но очень медленно.

Вот новый мой конфиг.

Показать

[global]
workgroup = DOM
netbios name = SERVAK
server string = %h DOMAIN server
wins support = yes // включил винс
dns proxy = no

add user script = /usr/sbin/useradd -m %u // добавил (не знаю зачем ))))
delete user script = /usr/sbin/userdel -r %u // добавил (не знаю зачем ))))

add group script = /usr/sbin/groupadd %g // добавил (не знаю зачем ))))
delete group script = /usr/sbin/groupdel %g // добавил (не знаю зачем ))))

add user to group script = /usr/bin/gpasswd -a %u %g // добавил (не знаю зачем ))))
delete user from group script = /usr/bin/gpasswd -d %u %g // добавил (не знаю зачем ))))

add machine script = /usr/sbin/useradd -g nt_workstations -s /bin/false -d /dev/null %u // добавил (не знаю зачем ))))
set primary group script = /usr/sbin/usermod -g %g %u // добавил (не знаю зачем ))))

log file = /var/log/samba/log.%m
max log size = 1000
syslog = 0
panic action = /usr/share/samba/panic-action %d

security = user
; encrypt passwords = true // закомменитировал

passdb backend = tdbsam

; obey pam restrictions = yes // закомментировал

; unix password sync = yes // закомментировал

passwd program = /usr/bin/passwd %u
passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .

; pam password change = yes // закомментировал

map to guest = bad user

domain logons = yes
domain master = yes
local master = yes
preferred master = yes
os level = 255 /// поменял с 64 на 255 ????? кто может подсказать на что это влияет?

socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192 // добавил вот это

unix charset = utf8 // добавил
dos charset = cp1251 // добавил
display charset = cp1251 // добавил

logon path = \\%N\%U\profile
logon drive = Z:
logon home = \\%N\%U

usershare allow guests = yes

[homes]
comment = Home Directories
browseable = no
writeable = yes

[netlogon]
comment = Network Logon Service
path = /home/samba/netlogon
guest ok = yes
read only = yes
share modes = no

[profiles]
comment = Users profiles
path = /home/samba/profiles
guest ok = no
browseable = no
create mask = 0600
directory mask = 0700

[common]
comment = common files
path = /home/common
guest ok = yes
browseable = yes
create mask = 0777
directory mask = 0777

[printers]
comment = All Printers
browseable = no
path = /var/spool/samba
printable = yes
guest ok = no
read only = yes
create mask = 0700

[print$]
comment = Printer Drivers
path = /var/lib/samba/printers
browseable = yes
read only = yes
guest ok = no

Конкретно, что убрало проблему не знаю.
может включений винсов, или комментирование строк связанных с паролями?
Может пошагово попробовать от первого варианта прийти к последнему? wink
интересно же ))))

Но есть еще вопрос.
Сколько не бьюсь загнать комп с убунтой в домен через likewise - ничего не получается.
Можете подсказать надежный источник, а то те что я использовал - результата пока не дали.
Ошибка такая:

text
Lsass Error
9502 (0x251E) DNS_ERROR_BAD_PACKET - A bad packet was received from a DNS server. Potentially the requested address does not exist.

Error code: CENTERROR_DOMAINJOIN_LSASS_ERROR (0x00080047)


Backtrace:
    main.c:335
    djmodule.c:323
    djauthinfo.c:843
    djauthinfo.c:1187
Войдите или зарегистрируйтесь, чтобы ответить.