Как ввести Samba 4.19 и выше в AD Windows 2008?

Приветствую!

Собственно, вопрос. Как ввести Samba 4.19 (Ubuntu 24.04, 26.04) в Active Directory с контроллером на Windows 2008?
Там заморочка какая-то с шифрованием. Windows 2008 использует алгоритмы, которые отключены в актуальных версиях Samba. Вроде бы их можно включить, но не могу понять как.

Можете подсказать?

Samba на сколько помню не отключала поддержку 2008 винда. По сути на ней она и строится.

Возможная причина проблемы: Windows 2008 требует устаревший RC4-HMAC, отключенный в Samba 4.19.

Решение: разрешить слабую криптографию в Kerberos.

Отредактировать как то так /etc/krb5.conf, добавьте в раздел [libdefaults]:

default_tgs_enctypes = arcfour-hmac-md5
default_tkt_enctypes = arcfour-hmac-md5
allow_weak_crypto = true

И возможно нужно потом руками Арм вводить:

sudo net ads join -U "DOMAIN\Administrator"

Примечание: при нерабочем Kerberos поможет ручное создание компьютера в AD и использование NTLM (команда выше). Работать будет, но безопасность снижена. Рекомендуйте модернизировать DC.

MozgFx написал:

Возможная причина проблемы: Windows 2008 требует устаревший RC4-HMAC, отключенный в Samba 4.19.

Решение: разрешить слабую криптографию в Kerberos.

Отредактировать как то так /etc/krb5.conf, добавьте в раздел [libdefaults]:

text

default_tgs_enctypes = arcfour-hmac-md5
default_tkt_enctypes = arcfour-hmac-md5
allow_weak_crypto = true

Да, так и есть.
К действующему контроллеру AD я так и не подключился. Стенд собрал. Windows 2008 - сервер, ADC; Ubuntu 26.04 (samba 4.23) - член домена.

/etc/krb5.conf

[libdefaults]
    default_realm = DOMAIN-TEST.LOCAL
    dns_lookup_realm = false
    dns_lookup_kdc = true
default_tgs_enctypes = arcfour-hmac-md5
default_tkt_enctypes = arcfour-hmac-md5
[realms]
    DOMAIN-TEST.LOCAL = {
        kdc = svr13.domain-test.local
        admin_server = svr13.domain-test.local
    }
[domain_realm]
    .svr13.domain-test.local = SVR13.DOMAIN-TEST.LOCAL

/etc/samba/smb.conf

### Domain Member ###
[global]
        workgroup = DOMAIN-TEST
        realm = DOMAIN-TEST.LOCAL
        security = ads
        dos charset = CP866
        winbind use default domain = Yes
        winbind nss info = rfc2307
        winbind enum users = yes
        winbind enum groups = yes
        winbind refresh tickets = Yes
        winbind offline logon = Yes
        idmap config * : backend = tdb
        idmap config * : range = 1024-2047
        idmap config DOMAIN-TEST : backend = ad
        idmap config DOMAIN-TEST : schema_mode = rfc2307
        idmap config DOMAIN-TEST : range = 2048-100000
        idmap config DOMAIN-TEST : unix_nss_info = yes

На стенде Samba успешно вошла в домен, wbinfo выдал список пользователей домена. К действующему подключиться не могу.

Может как-то влияет то, что в действующей сети два KDC? И это надо обязательно отражать в конфигах Кербероса и Самбы?
Главное, не пойму. Другие службы (zabbix, glpi, openfire) подключаются и берут пользователей из действующего AD нормально, ldapsearch выдаёт свойства пользователей.

Samba ни в какую. При выполнении команды:

root@srv26-test:/etc/samba# net ads join -U admin_test

выдаёт:

libnet_join_ok: failed to open schannel session on netlogon pipe to server srv1.company.local for domain COMPANY. Error was NT_STATUS_ACCESS_DENIED
Failed to join domain: failed to verify domain membership after joining: {Access Denied} A process has requested access to an object but has not been granted those access rights.

Админские права у пользователя есть, время синхронизировано, пароль ввожу правильно. Что им ещё надо?

smb.conf

Сначала добавить это
[global]
# ... (ваши остальные настройки)
client use spnego principal = no
allow weak crypto = yes # Эта строка разрешает Samba использовать устаревший RC4-HMAC

Для надежности рекомендуют и это добавить

client signing = if_required
server signing = if_required
client schannel = yes
server schannel = yes


После добавления перезапустить
[console]sudo systemctl restart smbd winbind nmbd[/console]

MozgFx написал:

client use spnego principal = no
allow weak crypto = yes # Эта строка разрешает Samba использовать устаревший RC4-HMAC

Этих параметров больше нет. По крайней мере в 4.23.

MozgFx написал:

client signing = if_required
server signing = if_required
client schannel = yes
server schannel = yes

Эти и так по умолчанию.

В общем, нефиг пытаться скрестить ужа и ежа. Надо менять устаревший контроллер домена.

"ivul" написал:

Надо менять устаревший контроллер домена.

Верный путь решения проблемы.

Я походу по этим же причинам FreeBSD 14 не смог загнать в Ыинду 2008