Samba-4 и DNS

Привет всем!

Начал изучать (пока время есть) вопросы разворачивания Samba4. Ну и появились определенные непонятки. А именно:
1. Есть сеть организации, в которой поддерживается локальный DNS-сервер на bind-9 (ЦентОсь-6.4). Компьютеры этой локальной сети получают адреса динамичеки, от DHCP, ну и dhcpd обновляет динамически адресные таблицы этого локального DNS. Трогать эту конфигурацию как-то не хочется совершенно.
2. Разворачиваем SAMBA-4. И там возникает дилемма - или использовать встроенный DNS-сервер, или юзать внешний, на bind'е. Для чего надо по разному запускать инициализирующий домен скрипт.
Вопрос, который мне пока не понятен: Для чего нужен этот внутренний DNS-сервер? Кто именно будет с ним работать? Только самба или юзерские станции? Как работа внутреннего DNS'а соотносится с работой старого, который обслуживает нашу сеть? Ведь и там, там определяется одна зона, например, company.ru, но с совершенно различным содержимым. Если я перетащу стартовый файлик (подготовленный инитным скриптом самбы), точнее содержимое зоны, в "большую" зону, то как оно будет работать? Будет ли это стартовое "содержимое" меняться по прихоти самбы или нет? Или обновление зоны пойдет традиционным DHCP-порядком?

Перенести с десяток строчек зоны новой в старый конфиг bind'а - проблем нет, но вот как оно потом работать будет на пару с самбой?

А может DNS сервер от самбы сделать вторичным (slave) касаемо зон? У меня так и сделано. Подгружает время от времени все мои зоны из основного бинда на центоси. Для чего используется встроенный бинд? Я думаю для нормальной связи и работы с LDAP каталогом, который опять вшит в четверку. Получается он заранее настроен и оптимизирован на работу клиентов в домене. Т.е. не возникает проблем с ручной настройкой. ХЗ. Знаю одно точно. Вырубить его сложно, да и нет смысла. Самба без него не взлетит.

ИЗ опыта. Уже очень долго крутится samba4 в продакшене. Работает полноценный домен, GPO и всякие свестоперделки аля виндовс AD. ПОчти все. Ну и встроенный DNS используется в качестве slave и основного для всех клиентов в домене.

XliN написал:

А может DNS сервер от самбы сделать вторичным (slave) касаемо зон? У меня так и сделано. Подгружает время от времени все мои зоны из основного бинда на центоси.

Немного туплю. Вот у меня есть моя локальная зона, alma.ru. В ней определяются все компьютеры и девайсы локальной сети. Кроме этого - в этой же зоне у меня принудительно определены хосты фирмы, которые висят в интернете. То есть - глобальная зона фирмы содержит пару-другую хостов с их интернет-адресами, а локальная - эти же самые хосты и к ним в придачу - все девайсы локальной сети. Так сложилось исторически и это вполне для меня удобно было.
Я проинитил самбу-4 на использование внешнего bind'а. И получил начальный конфиг-файл, в котором тоже определена моя зона, та же alma.ru и прописаны настройки под керберос, под ldap в ней. Если я сделаю самбовый bind вторичным, который подгружает зоны из основного сервера, то не перепишется ли самбовая зона основной?
У меня есть вторичные bind-сервера, но они изначально пустые, локальной информации не содержат и обновления получают исключительно от основного сервера. Будет перезапись информации или её конкатенация - я не знаю.
Самбовые настройки я могу скопипастить в нужный основной файл, описывающий мою зону alma.ru. С этим вопросов нет. Тогда они попадут во вторичный сервер. А если самба сама что-то захочет записать в свой сервер - что будет? Я не знаю.

XliN написал:

Для чего используется встроенный бинд? Я думаю для нормальной связи и работы с LDAP каталогом, который опять вшит в четверку.

Есть мнение, что AD-домен есть CIFS+DNS+KERBEROS+LDAP. Это то понятно. Не совсем понятно пока - как именно ввести самба-4 домен в существующую уже инфраструктуру. У меня, например, LDAP реализован на 389-DS. Но, в нем нет, да я и не заморачивался особо с этим, поддержки именно самбы. У меня это - в основном - адресная книга почтового сервера. Почему бы не использовать 389-DS для поддержки самба-4? Поставив соответствующую в него схему. Но вот как?

XliN написал:

ИЗ опыта. Уже очень долго крутится samba4 в продакшене. Работает полноценный домен, GPO и всякие свестоперделки аля виндовс AD. ПОчти все. Ну и встроенный DNS используется в качестве slave и основного для всех клиентов в домене.

Вот можно чуть поподробнее как организовано с DNS? Для юзерей самбы реализована отдельная зона? Типа - зона локальной сети firma.ru (там всё, что не в домене, например, почта, www), а для доменных юзерей и их компьютеров - ad.firma.ru? Или и там и там - firma.ru? Мне в схему надо врубиться что как должно называться, куда входить и что именно это должно поддерживать...
Ну и если dhcp обновляет dns на бинде, то как он будет разбираться в какой зоне (на каком DNS-сервере) следует обновить адресную информацию для простого девайса, например, сетевого принтера, и где - для доменного компьютера? Здесь пока каша в голове...

Cruiser78 написал:

Показать

[quote=XliN]А может DNS сервер от самбы сделать вторичным (slave) касаемо зон? У меня так и сделано. Подгружает время от времени все мои зоны из основного бинда на центоси.

Немного туплю. Вот у меня есть моя локальная зона, alma.ru. В ней определяются все компьютеры и девайсы локальной сети. Кроме этого - в этой же зоне у меня принудительно определены хосты фирмы, которые висят в интернете. То есть - глобальная зона фирмы содержит пару-другую хостов с их интернет-адресами, а локальная - эти же самые хосты и к ним в придачу - все девайсы локальной сети. Так сложилось исторически и это вполне для меня удобно было.
Я проинитил самбу-4 на использование внешнего bind'а. И получил начальный конфиг-файл, в котором тоже определена моя зона, та же alma.ru и прописаны настройки под керберос, под ldap в ней. Если я сделаю самбовый bind вторичным, который подгружает зоны из основного сервера, то не перепишется ли самбовая зона основной?
У меня есть вторичные bind-сервера, но они изначально пустые, локальной информации не содержат и обновления получают исключительно от основного сервера. Будет перезапись информации или её конкатенация - я не знаю.
Самбовые настройки я могу скопипастить в нужный основной файл, описывающий мою зону alma.ru. С этим вопросов нет. Тогда они попадут во вторичный сервер. А если самба сама что-то захочет записать в свой сервер - что будет? Я не знаю.

XliN написал:

Для чего используется встроенный бинд? Я думаю для нормальной связи и работы с LDAP каталогом, который опять вшит в четверку.

Есть мнение, что AD-домен есть CIFS+DNS+KERBEROS+LDAP. Это то понятно. Не совсем понятно пока - как именно ввести самба-4 домен в существующую уже инфраструктуру. У меня, например, LDAP реализован на 389-DS. Но, в нем нет, да я и не заморачивался особо с этим, поддержки именно самбы. У меня это - в основном - адресная книга почтового сервера. Почему бы не использовать 389-DS для поддержки самба-4? Поставив соответствующую в него схему. Но вот как?

XliN написал:

ИЗ опыта. Уже очень долго крутится samba4 в продакшене. Работает полноценный домен, GPO и всякие свестоперделки аля виндовс AD. ПОчти все. Ну и встроенный DNS используется в качестве slave и основного для всех клиентов в домене.

Вот можно чуть поподробнее как организовано с DNS? Для юзерей самбы реализована отдельная зона? Типа - зона локальной сети firma.ru (там всё, что не в домене, например, почта, www), а для доменных юзерей и их компьютеров - ad.firma.ru? Или и там и там - firma.ru? Мне в схему надо врубиться что как должно называться, куда входить и что именно это должно поддерживать...
Ну и если dhcp обновляет dns на бинде, то как он будет разбираться в какой зоне (на каком DNS-сервере) следует обновить адресную информацию для простого девайса, например, сетевого принтера, и где - для доменного компьютера? Здесь пока каша в голове...

[/quote]
немного не в тему но:
1- какая у вас ОС ?
2- и при установки разворачивался minimal или basic версию ОС

lone_wolf написал:

немного не в тему но:
1- какая у вас ОС ?
2- и при установки разворачивался minimal или basic версию ОС

1. CentOS 6.4.
2. А черт его знает, что разворачивается с Live-CD или с netinstall... Всё равно, потом добавляю лишнее и убираю нужное.

XliN написал:

А может DNS сервер от самбы сделать вторичным (slave) касаемо зон? У меня так и сделано. Подгружает время от времени все мои зоны из основного бинда на центоси. Для чего используется встроенный бинд? Я думаю для нормальной связи и работы с LDAP каталогом, который опять вшит в четверку. Получается он заранее настроен и оптимизирован на работу клиентов в домене. Т.е. не возникает проблем с ручной настройкой. ХЗ. Знаю одно точно. Вырубить его сложно, да и нет смысла. Самба без него не взлетит.

ИЗ опыта. Уже очень долго крутится samba4 в продакшене. Работает полноценный домен, GPO и всякие свестоперделки аля виндовс AD. ПОчти все. Ну и встроенный DNS используется в качестве slave и основного для всех клиентов в домене.

А можно чуть более подробно опытом поделиться? Чтобы мне не плясать на заботливо разложенных граблях...
Как реализовать встроенный DNS вторичным. Я что-то немного туплю. А именно - у меня есть slave-сервера, так они тривиально берут всю информацию с master-сервера. И своей информации - не содержат в принципе.
У меня как: dhcp раздает компьютерам адреса, передает эту информацию в DNS, тот обновляет зону, мой домен. Всё шоколадно. Но там нет никакой AD-информации.
А вот как приладить к этому (существующему домену) внутренний DNS от самбы - не понимаю.

Здесь как раз, думается, надо мастером делать DNS на samba, только не встроенный в самбу, а BIND, указываемый при создании домена как --dns-backend=BIND9_FLATFILE.
В smb.conf прописать:
allow dns updates = nonsecure and secure
dns forwarder = 192.168.100.5 #samba-dc

named.conf:

zone "contora.local." {
    type master;
    file "/etc/bind/zone/contora.forward";
    check-names ignore;
    update-policy {
        grant * subdomain contora.local. ANY;
    };
};
zone "100.168.192.in-addr.arpa" in {
    type master;
    file "/etc/bind/zone/contora.reverse";
    update-policy {
        grant * subdomain 100.168.192.in-addr.arpa. PTR TXT;
    };
};

BIND должен быть собран как здесь: https://wiki.samba.org/index.php/Dns-backend_bind
В dhcpd.conf первичным DNS указывается samba-dc.

В этом случае в зонах присутствуют и AD-шные записи и записи, присвоенные dhcp.

Дополнение: в файл "/etc/bind/zone/contora.forward" была предварительно скопирована зона из /usr/local/samba/private/dns/contora.zone.

Я сейчас с нуля поднимаю самбу для компании. Хотим ввести линуксовые машины и на сервера по ssh ходить по единым пользователям.

Если получится отпишусь. Там уже samba 4.1 на много стабильнее.

"XliN" написал:

Хотим ввести линуксовые машины

А почему не хотите через ldap ?

"marikk" написал:

А почему не хотите через ldap ?

А я не знаю как я еще хочу. Хотелку я выше описал )) А есть опыт?

Просто samba4 подтягивает свой ldap и все пишет в него. Так что я думаю, хуже не будет. Кстате политики на линуксовые машины можно применять?

JonnyBekoff написал:

Здесь как раз, думается, надо мастером делать DNS на samba, только не встроенный в самбу, а BIND, указываемый при создании домена как --dns-backend=BIND9_FLATFILE.

Чуть подробнее - мастер-сервер DNS (стандартный BIND) должен быть поднят на сервере с самбой? Или он вполне может быть реализован на ином физическом компьютере?

"Cruiser78" написал:

Чуть подробнее - мастер-сервер DNS (стандартный BIND) должен быть поднят на сервере с самбой? Или он вполне может быть реализован на ином физическом компьютере?

Возможно что и на любом, но здесь может возникнуть загвоздка с dns.keytab. Он формируется при поднятии домена (как написано здесь: https://wiki.samba.org/index.php/Dns-backend_bind, A DNS keytab file was automatically created during provisioning/updating...) и как тогда его переформировать под новый сервер? Кроме того, с ним похоже еще завязан и kerberos.

"JonnyBekoff" написал:

Он формируется при поднятии домена (как написано здесь: https://wiki.samba.org/index.php/Dns-backend_bind,

Запятая лишняя в ссылке, правильно: https://wiki.samba.org/index.php/Dns-backend_bind

Здравствуйте,
Собрал из исходников bind 9.10 и samba 4.1.16
Активизировал домен с опцией DNS BIND9_FLATFILE
Вставил в файл smb.conf, в секцию global строки:
allow dns updates = nonsecure and secure
dns forwarder = 192.168.0.100 (адрес контроллера домена)

В named.conf прописал Ваш пример.
В файл зоны скопировал содержимое файла описания зоны, сгенеренный samba4

Как выглядит файл обратной зоны?

Есть ли еще какие настройки, которые не упоминались?

Самбу на CentOS лучше ставить из Sernet репозитория.
Из исходников криво работает, нету спец. утилиты.

Настройки правильные, сам файл зоны выглядит обычным образом:

kontora.reverse:
$ORIGIN .
$TTL 2592000    ; 4 weeks 2 days
1.168.192.in-addr.arpa IN SOA samba-dc.kontora.local. hostmaster.kontora.local. (
                                2014022776 ; serial
                                10800      ; refresh (3 hours)
                                3600       ; retry (1 hour)
                                2592000    ; expire (4 weeks 2 days)
                                86400      ; minimum (1 day)
                                )
                        NS      samba-dc.kontora.local.
$ORIGIN 1.168.192.in-addr.arpa.
10                      PTR     GLAV-BUH.kontora.local.
$TTL 1200       ; 20 minutes
101                     PTR     K02.kontora.local.
...

в named.conf я ее прописывал так:

zone "1.168.192.in-addr.arpa" {
    type master;
    file "/etc/bind/zone/kontora.reverse";
    update-policy {
        grant * subdomain 1.168.192.in-addr.arpa. PTR TXT;
    };
};

Спасибо!
Есть еще одна проблемка - если файл зоны располагается в каталоге /var/lib/bind, то при перезапуске bind он переименовывается и в логах появляется ошибка.
Если файл находится в каталоге dns samba (/usr/local/samba/private/dns) - все нормально работает.
Права на каталоги и файлы выставлены одинаковые.
Не могу понять в чем проблема.

А можно samba 4 сделать как slave AD? Т.е. в офисе есть виндузовый контроллер домена со своими виндузовыми DHCP и DNS.