Escrito por Administrator Sábado, 24 de Mayo de :41 - Actualizado Jueves, 13 de Noviembre de :15

Transcripción

1 Desde hace varias semanas he intentado unir mis maquinas con Linux (Fedora core 6 y 8) a un dominio de Windows 2003, despues de un poco de investigación, por fin he logrado unir mis maquinas y utilizar los usuarios y grupos del dominio para poder aplicar seguridad a los recursos compartidos. Todas las pruebas fueron realizadas utilizando Fedora y un dominio Windows 2003, todo lo que esta resaltado con color amarillo en los comandos o en los archivos de configuración son comentarios y no deben ser escritos, tambien algo que me ha dado problemas es selinux al estar activado, para desactivarlo cambiar el parametro "SELINUX=enforcing" por "SELINUX=disabled" en el archivo "/etc/sysconfig/selinux". La primera tarea a realizar es la actualización de los paquetes utilizados en la configuración, los cuales son : Samba: yum upgrade samba samba-client Kerberos: yum upgrade krb5-libs Pam: yum upgrade pam El esquema de red es el siguiente : - 2 Servidores de dominio (roble/ y acacio/ ), siendo acacio el servidor primario o PDC, ambos tienen instalado Windows 2003 server con Service Pack 2. - El servidor de archivos linux que uniremos al dominio se llamara peumo/ grupos de seguridad que necesito usen los recursos de estos servidores, ademas de mi usuario personal y el administrador del dominio(mas adelante explicare cada uno). - Todos los equipos de la red estan en el mismo segmento de red / y el nombre del dominio sera patricioleon.cl. 1 / 6

2 Para autentificar los linux contra el dominio ocuparemos Kerberos, por lo que iniciaremos configurandolo y obteniendo un ticket de seguridad. Configuración de Kerberos. Para configurar Kerberos debemos modificar el archivo krb5.conf, ubicado en "/etc", adecuándolo al caso particular de cada dominio, quedando con la siguiente configuración. [logging] default = FILE:/var/log/krb5libs.log kdc = FILE:/var/log/krb5kdc.log admin_server = FILE:/var/log/kadmind.log [libdefaults] default_realm = PATRICIOLEON.CL dns_lookup_realm = false dns_lookup_kdc = false ticket_lifetime = 24h forwardable = yes [realms] PATRICIOLEON.CL = { kdc = acacio.patricioleon.cl:88 admin_server = acacio.patricioleon.cl:749 default_domain = patricioleon.cl } [domain_realm].patricioleon.cl = PATRICIOLEON.CL patricioleon.cl = PATRICIOLEON.CL [appdefaults] pam = { debug = false ticket_lifetime = renew_lifetime = forwardable = true krb4_convert = false } 2 / 6

3 Entonces donde aparece patricioleon.cl, debieses cambiar por tu dominio, y donde dice acacio.patricioleon.cl por el nombre o dirección ip de tu PDC. Una vez modificado el archivo krb5.conf debemos obtener un ticket, con el comando kinit, entonces ejecutamos el siguiente comando: kinit administrador@patricioleon.cl (reemplazando siempre el dominio PATRICIOLEON.CL, por el dominio propio) password for administrador@patricioleon.cl : (aca escribimos la password del administrador del dominio) Si todo a salido bien tendremos un ticket kerberos para verificar usamos el comando klist, el cual muestra todos los ticket actuales almacenados en nuestra maquina linux. El paso siguiente es modificar algunos archivos del sistema. Dos de los problemas mas comunes por los que no se puede obtener un ticket son porque, en el archivo krb5.conf algo a quedado mal escrito (verificar muy bien minusculas y mayusculas), o porque la diferencia de hora entre el servidor kerberos y nuestra maquina supera los 5 minutos (para solucionar esto puedes utilizar ntp), tambien puede deberse a que la maquina linux no logra encontrar el servidor kerberos configurado (para solucionar esto ver la siguiente pagina). Modificación de archivos de configuración del sistema. Ademas de la obtención del ticket kerberos, debemos modificar varios archivos del sistema operativo relacionados con la red y los usuarios. host.conf order hosts,bind,smb #agregamos smb para que cuando busque equipos también pueda utilizar nombres netbios. hosts peumo.patricioleon.cl localhost.localdomain localhost peumo #en esta linea agregaremos el nombre dns de la maquina al principio, esto es para que al momento de unir la maquina al dominio agregue este nombre al dns y no localhost.localdomain acacio.patricioleon.cl acacio roble.patricioleon.cl roble #agregamos los 2 servidores de directorio, por si en algun momento el dns no pudiese resolver los nombres a direcciones ip. nsswitch.conf passwd: files winbind # en esta linea debes agregar el parametro winbind al final shadow: files 3 / 6

4 group: files winbind # en esta linea debes agregar el parametro winbind al final Modificación del smb.conf Este es el archivo desde donde samba, nmb y winbind leen sus parámetros de configuración, generalmente el archivo original tiene muchas lineas con ejemplos de como se puede configurar (recomiendo no eliminar ni sobrescribir el archivo original, cámbiale el nombre, por ejemplo. smb.conf.bak), pero para unir una maquina a un dominio con estas lineas sera suficiente, la idea es que modifiques este archivo hasta satisfacer tus necesidades. smb.conf [global] workgroup = PATRICIOLEON #nombre del grupo de trabajo, generalmente el nombre del dominio. realm = PATRICIOLEON.CL #nombre del realm este debe ser igual al valor del parametro "default_realm" del archivo krb5.conf. preferred master = no server string = "Linux testeos" password server = * security = ADS encrypt passwords = yes log level = 3 log file = /var/log/samba/%m max log size = 50 winbind separator = + #cambiamos el separador entre el dominio y nombre de usuario o grupo, ya que el backslash a veces provoca problemas. winbind enum users = yes winbind enum groups = yes idmap uid = idmap gid = client use spnego = yes #este parametro es necesario solo si tienes un servidor de dominio en Windows [compartida] path = /var/compartida comment = "Directorio compartido" admin users PATRICIOLEON+pleon, PATRICIOLEON+Administrador #usuarios y grupos con permisos de administración sobre el recurso. valid users PATRICIOLEON+pleon, PATRICIOLEON+Administrador #usuarios y grupos que pueden ver el contenido del recurso pero no modificarlo. 4 / 6

5 write list PATRICIOLEON+pleon, PATRICIOLEON+Administrador #usuarios y grupos que pueden escribir en el recurso. guest ok = no read only = no browseable = yes create mask = 0755 directory mask = 0755 #para diferenciar un grupo de un usuario se antepone el caracter arroba(@), por ejemplo en este archivo, utilizamos el grupo digitalizacion y los usuarios pleon y administrador. Unión de linux al dominio. Ahora que estan todos los archivos necesarios configurados y que tenemos un ticket valido, debemos unir la maquina al dominio para ello utilizaremos la utilidad net suministrada por samba. net ads join -Uadministrador%contraseña-del-usuario-administrador Using short domain name -- PATRICIOLEON Joined 'PEUMO' to realm 'PATRICIOLEON.CL' Si todo a salido bien debieses obtener un mensaje como el anterior, para verificar que tu equipo este activo en el dominio, revisa el panel de equipos de active directory y debiese aparecer el equipo que acabas de unir, tambien en el dns debiese haber un registro host para el equipo recien unido al dominio. Ahora que el equipo ha sido unido al dominio debes iniciar los servicios smb, nmb y winbind, con los siguientes comandos: service winbind start service nmb start service smb start Testeo de conección con el dominio. Ahora que has iniciado los servicios tu equipo ya tiene comunicación con el dominio de windows, entonces para testear ejecutaremos los siguientes comandos: 5 / 6

6 wbinfo -u # este comando muestra el listado de usuarios del dominio. wbinfo -g # este comando muestra el listado de grupos del dominio. net ads info # este comando muestra información de los servidores ldap y kerberos que esta utilizando. net ads status # este comando muestra la información relacionada con el equipo actual y el directorio ldap. getent passwd #muestra el listado de usuarios locales, seguido del listado de usuarios de active directory. getent group #muestra el listado de los grupos localhost, seguido de los grupos de active directory. por ultimo prueba a obtener informaciòn de los otros equipos del dominio usando el ticket kerberos smbclient -L acacio -k # esto deberia mostrar los recursos compartidos de la maquina acacio, ademas del sistema operativo del servidor si todos los comandos anteriores te entregan información como resultado, la union de tu maquina al dominio ha sido exitosa. Configuración del arranque de los servicios Ahora que ya tenemos samba configurado para conectarse al dominio, debemos configurar los servicios, generalmente samba y los servicios asociados a el (nmb y winbind), se configuraran para correr en los niveles 3,4 y 5, en este caso usaremos chkconfig para configurarlos ( ver articulo ), entonces ejecutaremos los siguientes comandos: chkconfig --level 345 smb on chkconfig --level 345 nmb on chkconfig --level 345 winbind on Ademas de la seguridad entregada por el dominio de windows, se pueden agregar mas opciones de seguridad como configurar y activar iptables, o tambien restringir las direcciones ip é interfaces de red que queremos que accedan a samba, en la pagina de samba( existe bastante documentación sobre esto - en ingles. 6 / 6