ADMINISTRACIÓN DE SISTEMAS OPERATIVOS. 2º ASIR. CURSO 17/18 SAMBA... 2 INTRODUCCIÓN... 2 HISTORIA... 2 CARACTERISTICAS... 3 INSTALACIÓN...

Transcripción

1 CONTENIDO SAMBA... 2 INTRODUCCIÓN HISTORIA CARACTERISTICAS INSTALACIÓN CONFIGURANDO SAMBA SMB.CONF... 3 PUBLICACION DE UNA CARPETA PARA UN UNICO USUARIO PUBLICACIÓN DE CARPETAS CON ACCESO RESTRINGIDO A VARIOS USUARIOS PUBLICACION DE LAS CARPETAS HOME DE CADA USUARIO PUBLICACION DE CARPETAS ANONIMAS CON SEGURIDAD HABILITADA PUBLICACIÓN DE IMPRESORAS ACCESO A RECURSOS COMPARTIDOS COMO CLIENTE MONTANDO RECURSOS COMPARTIDOS EN NUESTRA MAQUINA LINUX OPCIONES DE MONTAJE EN FSTAB Servidor SAMBA. Página: 1 de 17

2 SAMBA INTRODUCCIÓN. Microsoft Windows utiliza un protocolo de red conocido como Server Message Block (SMB). Este protocolo SMB fue originalmente desarrollado por IBM, y fue modificado por Microsoft. Antiguamente este protocolo funcionaba directamente mediante NETBIOS sobre IPX/SPX, y fue modificado para poder funcionar también sobre TCP, utilizando para ello el puerto 139. Desde Windows 2000 Microsoft modificó SMB para que funcionará directamente sobre TCP, sin necesitar NETBIOS y usando el puerto 445. También introdujo novedades como los enlaces duros, enlaces simbólicos, ficheros de mayor tamaño, etc. Esta modificación de Microsoft recibió el nombre de CIFS (Common Internet File System) pero no se suele utilizar mucho, dado que no fue aprobada como estándar. El proyecto SAMBA se originó con la idea de crear un protocolo compatible con SMB (propiedad de Microsoft) y que pudiera ser distribuido como open source. Para ello se utilizó ingeniería inversa sobre SMB por parte de Sun Microsystems. A causa de la importante difusión del protocolo SMB, SAMBA se ha convertido en un protocolo tremendamente popular para poder comunicar directamente maquinas Linux y maquinas Windows dentro de una red local. En 2006 Microsoft introdujo SMB2 dentro del sistema operativo Windows Vista. Aunque SMB2 sigue siendo software propietario, Microsoft ha publicado todas sus especificaciones para permitir que otros sistemas interactúen directamente con este nuevo protocolo. SMB2 mejora bastante el protocolo SMB, que por la herencia de NETBIOS es un sistema bastante ineficiente. SMB2 es utilizado cuando se comunican maquinas Windows Vista o Windows 7 entre sí, usando SMB1 cuando dichas maquinas se comunican con sistemas operativos anteriores como XP. Las versiones nuevas de SAMBA (desde la 3.6 soportan SMB2) SAMBA también es capaz de emular las características de SMB que permiten conectarse a un controlador de dominio, o incluso puede directamente validar usuarios dentro del dominio, realizando algunas funciones específicas de los controladores de dominio. HISTORIA. Samba fue desarrollado originalmente para Unix utilizando un sniffer o capturador de tráfico para entender el protocolo SMB usando ingeniería inversa. El nombre viene de insertar dos vocales al protocolo estándar que Microsoft usa para sus redes, el SMB o server message block. En un principio Samba tomó el nombre de smbserver pero tuvieron que cambiarlo por problemas con una marca registrada. El creador buscó en el diccionario de su máquina Unix alguna palabra que incluyera las 3 letras y de ahí surgió el nombre actual. Servidor SAMBA. Página: 2 de 17

3 CARACTERISTICAS. Samba es una implementación de una docena de servicios y protocolos, entre los que están: NetBIOS sobre TCP/IP (NetBT), SMB (también conocido como CIFS), DCE/RPC o más concretamente, MSRPC, el servidor WINS también conocido como el servidor de nombres NetBIOS (NBNS), la suite de protocolos del dominio NT, con su Logon de entrada a dominio, la base de datos del gestor de cuentas seguras (SAM), el servicio Local Security Authority (LSA) o autoridad de seguridad local, el servicio de impresoras de NT y recientemente el Logon de entrada de Active Directory, que incluye una versión modificada de Kerberos y una versión modificada de LDAP. Samba configura directorios Unix y GNU/Linux (incluyendo sus subdirectorios) como recursos para compartir a través de la red. Para los usuarios de Microsoft Windows, estos recursos aparecen como carpetas compartidas normales de red. Los usuarios de GNU/Linux pueden montar en sus sistemas de archivos las carpetas compartidas en red de máquinas Windows como si fueran dispositivos locales, o utilizar la orden smbclient para conectarse a ellas directamente. INSTALACIÓN. Es posible que nos encontremos con que SAMBA ya está instalado en nuestra máquina, podemos comprobarlo fácilmente con la línea de comando: dpkg l grep samba Los paquetes que tenemos que instalar son los siguientes: samba. El paquete samba, instalará también el paquete samba-common cifs-utils. Permite utilizar los recursos samba directamente como un sistema de ficheros. smbclient. Permite conectar el sistema a un recurso compartido, usándolo de forma parecida al protocolo de ftp. CONFIGURANDO SAMBA. Toda la configuración de samba se realiza modificando el fichero smb.conf que podemos encontrar normalmente en /etc/samba. Cada vez que realicemos alguna modificación en este fichero, tendremos que reiniciar el demonio samba para que se efectúen los cambios, esto lo podemos conseguir con el comando /etc/init.d/samba restart en el caso de que contemos con un Linux de la familia Debían (ejecutar esta orden como root). SMB.CONF Este fichero contiene secciones y parámetros. Cada sección comienza con el nombre de la misma entre corchetes y continua hasta que aparezca el siguiente nombre de sección. Cada una de las secciones contiene parámetros, con el formato nombre=valor. Existe una sección especial conocida como [global] donde se almacenan parámetros generales. Cada una de las siguientes secciones especifica un recurso compartido. Existen dos secciones específicas que son [homes] y [printers], siendo [homes] una sección que se utiliza para compartir los homes de los usuarios de Linux y [printers] una sección desde donde se comparten todas nuestras impresoras. Servidor SAMBA. Página: 3 de 17

4 Existe un comando testparm que simplemente comprueba el fichero smb.conf y nos informa si existe Los principales parámetros que colocamos en la sección global son los siguientes: Parámetro Valores Explicación workgroup netbios name El nombre del grupo de trabajo al que se conectará nuestro equipo. El nombre netbios de nuestro equipo. security user/share Especifica como samba autentifica principalmente a los usuarios. El valor user se recomienda cuando el equipo Linux y los equipos Windows tengan muchos identificadores de usuarios iguales, mientras que share se recomienda cuando existan pocos identificadores comunes. En general, se recomienda dejar el valor por defecto que es user. guest account Nombre de cuenta hosts allow hosts deny La cuenta de usuario que se usará para introducir usuarios anónimos en los recursos de samba. Una lista de hosts que pueden conectarse al servidor. Si se omite, se pueden conectar todos los hosts. Ejemplo: hosts allow = / /24 Una lista de hosts que tienen prohibido conectarse al servidor. Ej: hosts deny = /0 log file Fichero Fichero donde se almacenará el log de samba. (Es aconsejable consultar el log para detectar posibles errores). Existen otros parámetros para indicar las interfaces de red que se van a utilizar, nombres de servidores WINS, etc. Pueden ser consultados en la documentación de samba. PUBLICACION DE UNA CARPETA PARA UN UNICO USUARIO. En esta configuración, compartimos un recurso con nombre privado, que en realidad es la carpeta /almacen_jose, donde se puede escribir y donde SOLO podrá acceder el usuario jose. Esto lo conseguimos en primer lugar pasando la seguridad de samba a user, que es la manera recomendada de trabajar con samba. Con ese cambio obligamos a los usuarios que deseen acceder a samba a que se presenten con su nombre de usuario y contraseña. Con la cláusula valid users le indicamos qué usuarios pueden acceder al mismo. Servidor SAMBA. Página: 4 de 17

5 Este usuario jose no sólo debe ser un usuario creado normalmente en Linux, sino que TAMBIEN debe ser creado dentro del sistema samba. Esto lo conseguimos con el comando smbpasswd. smbpasswd a nombre_de_usuario Una vez que hemos creado al usuario, tanto en Linux como en samba, tenemos que preparar la carpeta física, donde evidentemente debemos hacer que el usuario jose tenga permisos de acceso. Servidor SAMBA. Página: 5 de 17

6 PUBLICACIÓN DE CARPE TAS CON ACCESO RESTRINGIDO A VARIOS USUARIOS. Si queremos que un recurso compartido no sea simplemente accedido por un solo usuario, sino por varios, tenemos que modificar en el ejemplo anterior el valor del parámetro valid user. En este ejemplo vemos como en valid users hemos colocado directamente el nombre de 3 usuarios. Como ya sabemos, estos usuarios deben de existir tanto en Linux (adduser) como en Samba (smbpasswd ). Los permisos de la carpeta /almacen_varios deben de estar configurados de modo que permita que los 3 usuarios puedan leer y escribir en ella. Lo más simple es crear un grupo, introducir a los tres usuarios en el mismo y darle la propiedad a dicho grupo sobre esa carpeta, configurando los permisos de grupo para que permitan lectura y escritura: Servidor SAMBA. Página: 6 de 17

7 Con esta configuración, podemos acceder al recurso compartido usando los usuarios jose, juana o paco, siendo imposible acceder a dicho recurso con cualquier otro usuario. Podemos mejorar un poco el smb.conf anterior, y en lugar de escribir los nombres de los usuarios, escribir directamente el grupo donde están situados dichos usuarios, en nuestro ejemplo el grupo varios. Para ello, basta con escribir directamente el nombre del grupo precedido por el símbolo de la arroba. Servidor SAMBA. Página: 7 de 17

8 PUBLICACION DE LAS CARPETAS HOME DE CADA USUARIO. Una sección especial es [homes] la cual nos permite que los usuarios de Linux entren directamente a sus directorios home desde la red. Con el anterior smb.conf conseguimos lo siguiente: Cuando un usuario intente acceder desde la red a nuestro servidor, samba comprobará si dicho usuario tiene creado un directorio en /home/ con su propio nombre, si es un usuario reconocido de Linux y si también es un usuario creado en samba con smbpasswd. En caso de ser así, se le permitirá el acceso a su carpeta home como si estuviera compartida. De esta forma, nos ahorramos tener que crear una sección para cada carpeta home de usuario. Si no colocamos ningún parámetro path en la sección homes, samba establecerá por defecto el path a /home/%s (%S es una variable que toma como valor el nombre de usuario que está intentando entrar). Podemos darle otro valor a path, de forma que estos perfiles se creen en otro sitio. Para asegurarnos de que solo sea el usuario el que pueda entrar a su directorio home, también podemos poner el parámetro valid user = %S. Servidor SAMBA. Página: 8 de 17

9 PUBLICACION DE CARPE TAS ANONIMAS CON SEGURIDAD HABILITADA. Cuando asignamos el valor user al parámetro security, que es el valor recomendado, Samba funciona de la siguiente manera: Cuando se realiza una conexión a un recurso compartido, pide el nombre de usuario y contraseña que se está intentando conectar. En caso de que dicho usuario no sea reconocido por el sistema, directamente deniega el acceso. Windows por ejemplo (si se configura adecuadamente) es bastante más permisivo, ya que si no reconoce a un usuario que intente entrar, lo convierte directamente en invitado y comprueba si la cuenta invitado tiene derecho a acceder al recurso. Vamos a configurar Samba para que imite este comportamiento de Windows, y podamos realizar acceso anónimo a recursos compartidos pero manteniendo security = user. Los parámetros importantes de la anterior configuración son: guest account = nobody Le indica a Samba que cuenta de usuario ha de usarse internamente para los invitados, es decir, los usuarios anónimos. Puede ser cualquier cuenta que deseemos, pero obviamente debe estar creada en el sistema, se suele utilizar nobody porque esta cuenta se suele crear automáticamente con la instalación del paquete samba. map to guest = bad user Le indica a Samba que convierta en invitado a cualquier usuario que intente entrar en nuestro sistema y no sea reconocido. Permite que cuando un usuario desconocido intente entrar, convirtamos dicho usuario automáticamente en guest, que por lo visto en el punto anterior, realmente lo transforma en el usuario nobody. Posteriormente en el recurso indicamos que se permite el acceso público, y además que permitimos los invitados. (En realidad estas opciones son redundantes y teóricamente con una de ellas bastaría) Es evidente que la carpeta que deseamos compartir debe tener asignados sus permisos de modo que el usuario nobody pueda leer o escribir, dependiendo del tipo de acceso que deseemos. Estos permisos deben coincidir con los permisos que indiquemos para dicho recurso en smb.conf. Un punto importante es que la cuenta de usuario que usemos para guest account (en nuestro ejemplo nobody) no debe tener contraseña. Para crear una cuenta sin contraseña en Samba se usa el parámetro n en smbpasswd. Servidor SAMBA. Página: 9 de 17

10 # smbpasswd an nobody Cosas a tener en cuenta al realizar esta práctica: 1) En este ejemplo hemos dado acceso anónimo a Carpeta_Publica. Desde la máquina Windows se tendrá acceso directo y anónimo a \\equipo\carpeta_publica, pero no tendremos acceso directo y anónimo a \\equipo. 2) Si desde una maquina Windows intenta entrar un usuario que da la casualidad que tiene el mismo nombre que un usuario de nuestro sistema Linux pero con distinta contraseña, no se le aplicará el parámetro map to guest = bad user por lo que se le denegará el acceso. Esto se puede solucionar modificando ese parámetro, de la siguiente forma: Servidor SAMBA. Página: 10 de 17

11 PUBLICACIÓN DE IMPRESORAS. Samba simplemente es un intermediario entre el sistema de impresión de Linux, y el sistema de impresión de Windows. Vamos a ver en primer lugar el modo tradicional de trabajar con impresoras en Samba, y posteriormente veremos un método más moderno y funcional utilizando CUPS. (Common UNIX Printing System). Aquí vemos una configuración típica, que nos permite compartir las impresoras que YA estén reconocidas e instaladas en Linux. Como decimos, esta forma de trabajar ya no se recomienda. No vamos a tratar más este tema de impresoras en Samba, por que como ya hemos comentado es mucho más razonable usar otras soluciones para compartir impresoras, como pueden ser CUPS o el protocolo directo de impresión por red. Si se desea obtener más información, en la propia documentación de Samba se indican muchísimos más parámetros que están disponibles a la hora de trabajar con impresoras. Servidor SAMBA. Página: 11 de 17

12 ACCESO A RECURSOS COMPARTIDOS COMO CLIENTE. Para acceder a los recursos compartidos por SMB desde una maquina Linux, debemos usar el programa smbclient. En primer lugar comprobad que tenéis instalado dicho paquete, porque no se suele instalar directamente con el paquete samba. Para echar un vistazo a nuestra red smb, podemos utilizar el comando smbtree: El programa smbclient se utiliza directamente desde línea de comandos. Así por ejemplo, para examinar los recursos compartidos por un equipo, podemos hacer lo siguiente: El parámetro L de smbclient indica que queremos listar todos los recursos compatibles de un host. En nuestro ejemplo dicho host es la máquina con nombre XPJOANCADI. Ante este host, nuestra maquina Linux se va a intentar autentificar con el nombre del usuario que ha ejecutado la orden smbclient en Linux, que como vemos en el ejemplo es usuario. Servidor SAMBA. Página: 12 de 17

13 ADMINISTRACIÓN DE SISTEMAS OPERATIVOS. 2º ASIR. CURSO 16/17 El host XPJOANCADI responde a dicho intento de conexión, preguntándonos la contraseña de dicho usuario, como vemos por pantalla. Posteriormente, la orden smbclient nos muestra todos los recursos compartidos que dicho host XPJOANCADI tiene compartidos en red mediante smb. Vemos como al final nos indica todos los equipos del grupo de trabajo (en nuestro ejemplo, no hay ningún equipo). Intentemos ahora conectarnos directamente al recurso compartido C1 por ejemplo: Dado que el recurso C1 en Windows solo esta compartido con el usuario joancadi, vemos como en la orden smbclient le he indicado que use dicho usuario para la conexión (-U). La contra barra (\) es un símbolo especial en Linux, y no basta con escribirlo directamente, tenemos que escapar de dicho carácter especial y esto se consigue repitiendo el carácter contra barra. (En resumen, para escribir en símbolo de comandos una contra barra, tenemos que escribir dos). Una vez que entramos con smbclient en un recurso compartido, vemos como nos aparece un prompt del sistema smb: \> indicándonos que a partir de este momento se admiten comandos especiales de smb. Podemos escribir help para que nos muestre una lista de los comandos que se pueden usar. Servidor SAMBA. Página: 13 de 17

14 ADMINISTRACIÓN DE SISTEMAS OPERATIVOS. 2º ASIR. CURSO 16/17 Algunos de los comandos más usados son: ls Muestra un listado del recurso compartido remoto o cd Cambia de directorio en el recurso compartido remoto o lcd Cambia de directorio en nuestro ordenador local o get Descarga un fichero del recurso compartido remoto al equipo local put Envía un fichero del equipo local al recurso compartido remoto Servidor SAMBA. Página: 14 de 17

15 ADMINISTRACIÓN DE SISTEMAS OPERATIVOS. 2º ASIR. CURSO 16/17 MONTANDO RECURSOS COMPARTIDOS EN NUESTRA MAQUINA LINUX. Podemos montar directamente un recurso compartido de Windows dentro de nuestro servidor Linux, de modo que aparezca en nuestro sistema como un directorio local. Para realizar el montaje de un recurso compartido directamente desde nuestra línea de comandos utilizaremos el comando mount, pero anteriormente debemos tener instalado el paquete cifs-utils que nos permitirá trabajar directamente con los recursos smb. La forma de utilizar el comando mount es: mount t cifs o username=user,password=pass \\\\NOMBRE-PC\\NOMBRE-RECURSO carpeta Carpeta es el directorio donde montaremos el recurso compartido. Es necesario indicar el nombre de usuario y contraseña ya que en caso contrario nos lo pedirá. En el ejemplo anterior vemos como en lugar del nombre del pc hemos usado en la URL la dirección IP del equipo. Esto es necesario hacerlo si el nombre del equipo no se reconoce en la red cifs. (Esto suele pasar muy frecuentemente al principio de configurar la red, con los minutos termina funcionando todo bien). Vemos también como usamos el comando mount indicando como tipo de sistema de ficheros cifs. Si el sistema nos indica que no tenemos permiso para acceder al recurso, normalmente será problema de la autentificación, es decir, del nombre de usuario y contraseña que hemos indicado que no son reconocidos por el sistema al que pertenece el recurso compartido. Si el sistema nos indica que no se encuentra el recurso o servidor remoto, normalmente el problema estará en el nombre del equipo Windows o en el nombre del recurso Como vemos en el ejemplo, un fallo de este sistema es que tenemos que escribir directamente en la orden el nombre de usuario y el password, y esto es francamente peligroso y un fallo de seguridad bastante peligroso. Una forma de remediar esto consiste en utilizar un fichero de credenciales, de la siguiente forma: Como vemos, indicamos en la opción o que en lugar de escribir directamente el username y el password, vamos a utilizar un fichero de credenciales que en nuestro caso hemos creado en /root con el nombre paso. (En este ejemplo vemos como sistema de ficheros hemos indicado smbfs en lugar de cifs, esto es como se hacía antiguamente y ya no es válido). Dicho fichero tendrá sus permisos establecidos de forma que sólo podrá ser leído por el usuario root, con lo cual nuestras contraseñas y nombres de usuario no podrán ser leídas ni vistas por usuarios normales del sistema. Servidor SAMBA. Página: 15 de 17

16 ADMINISTRACIÓN DE SISTEMAS OPERATIVOS. 2º ASIR. CURSO 16/17 El ejemplo anterior es perfecto cuando queremos montar un recurso momentáneamente, pero no funciona si queremos un montaje permanente, puesto que al abrir y cerrar sesión nuestro recurso desaparecerá. Para que se mantenga en el tiempo, tenemos que añadir una línea en el fichero /etc/fstab indicando en dicha línea que queremos realizar el montaje. Para comprobarlo, podemos ejecutar un mount a para indicar que se monten las unidades en este momento, y no cuando reiniciemos la máquina. Servidor SAMBA. Página: 16 de 17

17 ADMINISTRACIÓN DE SISTEMAS OPERATIVOS. 2º ASIR. CURSO 16/17 OPCIONES DE MONTAJE EN FSTAB. Si montamos los recursos como hemos visto en el punto anterior nos funcionara más o menos para un único usuario en nuestro cliente, pero tendremos diversos problemas al usar estos recursos de forma avanzada o bien con los demás usuarios. Estos problemas se solucionan usando algunas opciones en la línea del fstab donde montamos el recurso, algunas de estas opciones son: uid=num gid=num noperm dir_mode=num file_mode=num Nos permite indicar el número de usuario al que va a pertenecer el recurso montado. Nos permite indicar el número de grupo al que va a pertenecer el recurso montado. No sincroniza los permisos entre el cliente y el servidor para cada operación. Si no usamos esta opción recibiremos mensajes de permiso denegado falsos. Indica los permisos (en formato octal) con que se crearán los nuevos directorios en el recurso. Indica los permisos (en formato octal) con que se crearán los nuevos ficheros en el recurso. A la carpeta donde montemos el recurso no podemos cambiarle los propietarios desde el cliente con la orden chown ya que esa carpeta realmente no está en nuestra maquina cliente, pero si podemos cambiarle los permisos con la orden chmod para permitir que otros usuarios puedan leer y escribir. A parte de estos problemas de permisos, podemos encontrarnos con otro problema que surge en el inicio del sistema, y es que es posible que se procese el fichero fstab antes de que se procese el demonio samba. Esto es así por que los Linux nuevos procesan su inicio mediante un sistema conocido como systemd, que va cargando los demonios de inicio en paralelo. Para solucionar este error, hay que añadir a las opciones anteriores en el fstab algunas más: noauto x-systemd.automount x-systemd.device-timeout=90 El sistema de archivos no será montado automáticamente, solo cuando se le ordene manualmente. Esto comprobará el sistema de archivos y montará el recurso cuando se acceda al mismo por primera vez. Podemos utilizar esta opción para especificar un tiempo de espera para el caso de que el recurso de red no esté disponible. (90 es un ejemplo). Servidor SAMBA. Página: 17 de 17