IntegracionLinuxWindows2-v1 1 0

INTEGRACIN LINUX WINDOWS
Parte2: Dominios Windows con Samba

Versin: 1.1.0
Alfredo Barrainkua Zallo Daniel Lopez Pelaz Junio del 2007
Creative Commons Share Alike

Lizentzia laburpena: English Castellano
Integracin Linux Windows :: Dominios Windows con Samba
ndice
1. Introduccin............................................................................................................................................. .....3 2. Trabajos previos............................................................................................................... ............................4 2.1 Nombre del servidor.................................................................................................................. ............4 2.2 Direccin IP................................................................................................................................ ...........4 2.3 La hora, la hora, la hora..................................................................................................................... ....5 2.4 Deshabilitar el reinicio por teclado................................................................................... ....................5 2.5 Acceso por la red : SSH..................................................................................................................... ....6 3. Instalacin y configuracin de Samba....................................................................................... ..................7 4. Un ejemplo........................................................................................................................ .........................16 4.1 Configuracin global................................................................................................................ ...........17 4.2 Creacin de grupos................................................................................................................. .............18 4.3 Creacin de usuarios y scrips de inicio de sesin.................................................................... ...........19 4.4 Creacin de carpetas compartidas............................................................................................ ...........21 4.5 Otro ejercicio...................................................................................................................... .................24 5. Scrips que nos ahorrarn trabajo.................................................................................................... ............25 6. Metiendo mquinas al dominio......................................................................................................... .........28 7. Trabajando con herramientas grficas........................................................................... ............................29 8. Referencias........................................................................................................................... ......................33 9. Autores................................................................................................................................................ ........34
Integracin Linux Windows

Iurreta GLHB Institutua Olaburu 19, Iurreta Bizkaia Tel: 944 66 88 00 2
1. Introduccin
Ya no queda empresa ni oficina que no dispongan de una red de rea local. Ya sea por que se tiene gran cantidad de ordenadores, por que el almacenamiento de datos est centralizado, por que se desea compartir una impresora costosa, o simplemente la conexin a Internet, las redes de computadores se han hecho omnipresentes. En el mundo empresarial, es tpico encontrar redes de clientes Windows, con la autentificacin centralizada en un controlador de dominio Windows, y carpetas compartidas en red. Esto hace que haya un coste econmico importante asociado a las licencias de uso del software servidor. Por otro lado, cada vez es ms comn encontrarse tambin en el mismo entorno, mquinas con Linux. Los entornos heterogneos estn hacindose con el mundo de la informtica. Esto nos plantea varios problemas. Entre ellos, la comparticin de informacin entre los distintos sistemas, y por el otro lado, el coste econmico de las licencias. La integracin de mquinas Windows puede hacerse instalando software de cliente para NIS y NFS, por ejemplo. Esto nos trae el problema de tener que instalar y mantener software en un gran nmero de mquinas. Adems este software tambin hay que pagarlo. Hay otra forma de hacer la integracin. Hacer que una mquina Linux hable el protocolo nativo de los sistemas Windows: SMB (CIFS). El software que tenemos para que mquinas Unix hablen SMB se llama Samba. Samba es un Samba es un servidor que implementa el protocolo SMB desarrollado inicialmente por IBM y Microsoft, para sus redes Lan Server y Lan Manager. Despus, su desarrollo ha estado ligado a los productos Windows. Es un sistemas de red bastante ruidoso pero sencillo de configurar y con una funcionalidad bastante rica. Vamos a utilizar en este curso servidores Debian 4.0 ETCH. Instalaremos Samba como controlador de dominio windows. Como clientes de escritorio vamos a utilizar Windows 2000. Se va a ver la configuracin del controlador de dominio y de las carpetas compartidas a travs de un ejemplo de una oficina. No se va a entrar en la funcionalidad de comparticin de impresoras. En esta documentacin, el dominio se denomina NIREDOMAIN, y el nombre del servidor es NIRESERVER. El dominio DNS ser niredomain.net. La IP del servidor ser 192.168.33.44. No se va a utilizar servidor DNS, por lo que la resolucin de nombres de host se realizar con wins.

2. Trabajos previos
Antes de instalar y configurar samba, realizaremos una serie de configuraciones en el servidor, que si bien no son especficas de samba, si son imprescindibles para su correcto funcionamiento. Son detalles que hay que cuidar en un servidor, para este servicio o para cualquier otro.
2.1
Nombre del servidor
Necesitamos poder resolver el nombre de nuestro servidor independientemente de que tengamos un servidor DNS. Al inicio del sistema, puede suceder que necesitemos resolver el nombre de nuestra mquina, y no tengamos an cargada la red o el servicio de interrogacin DNS, o simplemente puede suceder que no podamos acceder al servidor DNS. Para ello, vamos a verificar que el nombre del servidor est correctamente establecido en los ficheros /etc/hostname y /etc/hosts. He aqu el contenido del fichero /etc/hostname:
nireserver
El contenido del fichero /etc/hosts:

127.0.0.1localhost 127.0.0.1nireserver.niredomain.netnireserver #ThefollowinglinesaredesirableforIPv6capablehosts ::1ip6localhostip6loopback fe00::0ip6localnet ff00::0ip6mcastprefix ff02::1ip6allnodes ff02::2ip6allrouters ff02::3ip6allhosts
2.2
Direccin IP
La IP deber de ser fija. Por medio de Escritorio, Configuracin del sistema, Configuracin de red, IP fija, podremos hacerlo. Otra manera es en el fichero /etc/network/interfaces. En este fichero aparecen todos los interfaces de red. Deber contener algo similar a esto:
autoeth0


ifaceeth0inetdhcp allowhotplugeth0 autoeth0 ifaceeth0inetstatic address192.168.33.44 netmask255.255.255.0 gateway192.168.33.1
2.3
La hora, la hora, la hora
Debemos asegurarnos de que la hora est correctamente configurada. Para ello, configuraremos el cliente ntp para que el reloj del sistema se sincronice con un servidor ntp. Lo primero es instalar los paquetes necesarios:
aptgetinstallntpntpdate
Posteriormente, configuraremos el fichero /etc/ntp.conf con un servidor de tiempo. En el fichero debe aparecer una lnea similar a esta:
server0.pool.ntp.org server1.pool.ntp.org
Reiniciaremos el demonio.
/etc/init.d/ntprestart
En Redes de rea Local, lo ms probable es que haya un servidor ntp, que sea el que se sincroniza con un reloj que haya en Internet. En este caso, los dems equipos de la red (incluidos los equipos que den algn tipo de servicio) se sincronizarn con este servidor. As conseguimos que sea un solo equipo el que tenga que comunicarse con un servidor de Internet, reduciendo el trfico entre la LAN e Internet.
2.4
Deshabilitar el reinicio por teclado
La distribucin Debian, por defecto tiene activado el reinicio del sistema cuando detecta la combinacin de teclado CTRL+ALT+DEL. Debemos desactivarlo. De este modo, se deber introducir el comando oportuno para reiniciar el sistema. El el fichero /etc/inittab, debemos comentar (poner # delante) la siguiente lnea, que quedar as:
#ca:12345:ctrlaltdel:/sbin/shutdownt1aanow

2.5
Acceso por la red : SSH
En un servidor es comn acceder al mismo por la red. Esto nos permite acceder al mismo desde lugares remotos, o aunque estemos en la misma localizacin, no tener que instalar perifricos para el mismo. el acceso se puede realizar tanto en modo consola o grfico. Las comunicaciones conviene realizarlas cifradas. De este modo, no se transmitirn por la red nuestros datos (entre otros, contraseas de acceso) en testo plano. Los datos se cifran con algn mtodo criptogrfico. No vamos a entrar aqu en teora ni sistemas de certificados, ni cosas de esas. Vamos a ver simplemente un acceso de clave compartida. El sistema de acceso que vamos a utilizar el ssh. Hay que mencionar que ssh tambin permite la copia de ficheros entre mquinas, de forma cifrada con scp. Vamos a instalarlo.
aptgetinstallssh
Vamos a configurar el paquete. El fichero de configuracin es /etc/ssh/sshd_config. Vamos a poner las siguientes lneas de esta forma:
Protocol2 PermitRootLoginno
Si querremos securizar ms el sistema, podemos evitar el acceso con password y que se usen certificados, limitarlo a unas mquinas, etc. Para acceder al sistema como el usuario elusuario:
sshelusuario@lamaquina.eldominio.net
Para copiar el fichero mifile de /home/mihome al directorio home del usuario elusuario en el sistema 10.22.1.59:
scp/home/mihome/mifileelusuario@10.22.1.59:/home/elusuario/

3. Instalacin y configuracin de Samba

La instalacin del software de Samba la haremos de la forma habitual. Tambin necesitamos la herramienta unix2dos, que se encuentra en el paquete sysutils y que Debian no instala por defecto:
aptgetinstallsambasysutilssmbclient
De cara a la configuracin es importante conocer y / o recordar algunos de los ficheros y carpetas de los equipos Linux: /etc/passwd /etc/shadow /etc/group /etc/nsswitch.conf /home /etc/samba/smb.conf /var/lib/samba/passdb.tdb /etc/samba/smbusers Fichero con los usuarios locales Fichero de contraseas cifradas de los usuarios locales Grupos locales y sus usuarios En la seccin hosts de este fichero se indica el orden en el que se har la resolucin de nombres Directorios home de los usuarios Fichero de configuracin de Samba Fichero con los usuarios de Samba. Puede ponerse en cualquier otro sitio Fichero con los alias de los usuarios. Por ejemplo: root = Administrator Administrador
Vamos a configurar primero un par de cosas para que el sistema funcione de forma ms ligera. Vamos a indicar en el fichero /etc/nsswitch.conf, que la resolucin de nombres la haga primero por los ficheros locales, luego con wins, y despus a travs del servicio DNS. La siguiente lnea deber estar as:
hosts: fileswinsdns
Debian no crea por defecto el fichero /etc/samba/smbusers para los alias de los usuarios. Vamos a crearlo, para acomodar un alias de root: Administrador. Este es el contenido:
root=Administrador


El fichero /etc/samba/smb.conf es el punto de referencia del servicio Samba. Todos los cambios que vayamos haciendo a nuestro sistema se vern reflejados en este fichero, y cada vez que hagamos un cambio habr que reiniciar samba o recargar el fichero de configuracin. Para ello haremos /etc/init.d/samba restart o bien /etc/init.d/samba reload. El fichero contiene entre otras, las tres secciones especiales: global, homes y printers. El resto de secciones lo conforman las carpetas compartidas o shares. Hay una carpeta compartida con un propsito especial. Es la carpeta netlogon. Este share se utiliza para compartir los scrips de inicio de sesin o logon scripts. He aqu un descripcin somera de estas secciones: global homes printers netlogon shares genricos En la seccin global se definir la configuracin del servicio Samba. En la seccin homes, se definirn las caractersticas que por defecto tendrn las carpetas personales de los usuarios. Equivalente a los homes de los usuarios, pero para las impresoras. En la seccin netlogon, se definir el directorio en el que estarn los scripts de inicio de sesin y algunas de las caractersticas de estos. Un share es una carpeta compartida en red a travs del servidor Samba. Cada share tiene su propia seccin. En dicha seccin se definen sus condiciones de comparticin.
Veamos los parmetros ms habituales en la seccin global: workgroup netbios name server string os level Define el nombre del dominio de la mquina, o el grupo de trabajo en ausencia de dominio. Nombre NETBIOS del host Cadena que proporciona cuando se conecta a l. Meramente descriptiva. Nivel del sistema operativo. El las redes Lan Manager, la publicacin de los recursos disponibles en los grupos de trabajo la realiza el Loca Master Browser. Para determinar quin va a hacerse cargo de dicho papel se realizan elecciones. Cada mquina se vota a s misma, y cada sistema operativo tiene un nmero de votos. Un Win 2000 Server tiene ms votos (32) que un Win 2000 PRO. Los Win 9x tienen menos. En caso de empate, se hace cargo del papel la mquina que ms tiempo lleve encendida. Este parmetro indica el nmero de votos de nuestra mquina. Indica si hace la labor de servidor de tiempo para las mquinas del dominio SMB.
time server


local master preferred master / prefered master domain master Hace que se participe en las elecciones para ser el LMB. Es el Local Master Browser preferido de nuestra subred. Al inicio va a intentar forzar elecciones para ser el LMB. Hace que sea el controlador de dominio. Es decir es el LMB de toda la subnet, y el resto de LMB le ceden las listas de recursos. Se activa por defecto cuando se define como el servidor de logons de dominio domain logons. En caso de soportar domain logons y definir este parmetro como no, se estara trabajando como un BDC. Provee el servicio netlogon a los clientes Win9x. Se supone que tambin hace de PDC. Propagacin de la anunciacin de servicios entre subredes. No es estndar en los servicios de Microsoft. Extensiones para soportar enlaces simblicos y otras caractersticas. No soportado por Microsoft. Determina el modo en que se establece la seguridad de los recursos compartidos. user ads share server domain encrypt passwords passdb backend password level Uso de contraseas cifradas. Desde NT 4.0 SP3 y Win98, es la opcin preferida. Tipo y ubicacin de la base de datos de los usuarios de Samba y de sus contraseas. Numero de caracteres en mayscula con los que se intenta contrastar el password. Viene derivado por un problema de Windows para grupos, con el protocolo LANMAN1. Aunque se especifique el nivel de protocolo COREPLUS!, intenta enviar las contraseas en maysculas. Fichero que contiene mapeos entre usuarios del sistema y de Samba. root = Administrador logon script logon drive map to guest Script que se ejecutar al autentificarse el usuario. %U se sustituye por el nombre de usuario. Unidad a la que se mapea la carpeta de cada usuario. Indica lo que hay que hacer con un intento de login invlido. Tpicamente por que no se ha suministrado el nombre de usuario Linux correctamente, o el password, o no existe...
domain logons enhanced browsing unix extension security
username map


Never Bad user Bad password Bad uid guest account El usuario de sistema del cual tomarn los privilegios los invitados. nobody log level El nivel de registro. Cuanto ms alto, ms detallados sern los mensajes registrados y ms crecern los ficheros de registro. Un nivel aceptable es 2. Tamao mximo de los ficheros de registro. Se rotarn cuando se alcance dicho tamao. Script que se ejecuta al aadir una mquina al dominio. Se crea la cuenta de sistema de dicha mquina. Si no funciona la habremos de crear a mano. Script a ejecutar al aadir un usuario a Samba. Solamente es til si se utiliza en entornos con un PDC WinNT. Script a ejecutar al borrar un usuario de Samba. Script a ejecutar al aadir un grupo a Samba. Solamente es til en entornos que utilicen las herramientas administrativas de dominio de NT. Script a ejecutar al borrar un grupo de Samba.
max log size add machine script
add user script delete user script add group script
delete group script
add user to group script Script a ejecutar al aadir un usuario a un grupo de Samba. Solamente es til en entornos que utilicen las herramientas administrativas de dominio de NT. logon home logon path hosts allow Lugar donde se sita el perfil mvil de los usuarios de mquinas Win95 / Win98. Lugar donde se sita el perfil mvil de los usuarios de mquinas WinNT / Win2000 / WinXP Hosts o redes a las que se les permite acceder aun recurso. Si se indica en la seccin global es para todos los recursos del sistema. Lo contrario a la opcin anterior. Hace que se use el mecanismo Simple and Protected NEGOtiation.
hosts deny spnego
La mayora de stos parmetros tienen unos valores por defecto. Si no indicamos dicho parmetro, toma el valor por defecto. En la mayora de casos, estos valores nos son tiles, y no necesitamos definirlos. En este manual vamos a poner todos los relevantes, en aras de conocer su existencia.


En diversos lugares se hace uso de variables. Esto permite insertar en el lugar correspondiente, el valor de la variable en tiempo de ejecucin. Las variables ms importantes son: %U %G %L %m %h %D %u Se sustituye por el nombre del usuario va a iniciar la sesin. Nombre del grupo primario del usuario %U. Nombre NETBIOS del servidor donde se ha realizado el inicio de sesin. Nombre NETBIOS de la mquina cliente donde se ha realizado el inicio de sesin. Nombre DNS del servidor donde corre Samba. Nombre del dominio Windows. Nombre del usuario del servicio. Se sustituye una vez realizado el logon.
Aqu vemos el aspecto que va a ofrecer nuestra seccin global:

[global] workgroup=MIDOMINIO netbiosname=MISERVIDOR serverstring=ServidorSambaparaMIDOMINIO oslevel=33 timeserver=yes localmaster=yes preferredmaster=yes domainmaster=yes domainlogons=yes enhancedbrowsing=no unixextensions=yes security=user encryptpasswords=yes passdbbackend=tdbsam:/var/lib/samba/passdb.tdb passwordlevel=1 usernamemap=/etc/samba/smbusers logonscript=%U.bat logondrive=U: maptoguest=Baduser guestaccount=nobody loglevel=2 maxlogsize=7000 addmachinescript=/usr/sbin/useraddgmaquinasc'Mquinadeldominio' s/bin/falsed/var/lib/nobody'%u' adduserscript=/usr/sbin/useraddm%u deleteuserscript=/usr/sbin/userdelr%u addgroupscript=/usr/sbin/groupadd%g deletegroupscript=/usr/sbin/groupdel%g


addusertogroupscript=/usr/sbin/usermodg%g%u logonpath=\\%L\%U\profile
Parmetros de la seccin homes: comment valid users browsable / browseable writable / writeable create mask directory mask guest ok Meramente descriptivo Usuarios que tienen acceso al sistema de carpetas home Si el directorio puede ser visto en la red Si se puede escribir en l Los permisos que tendrn por defecto los ficheros creados en los directorios home Los permisos que tendrn por defecto los directorios creados en los directorios home Indica si el directorio debe ser visible a los usuarios de la red sin proveer contrasea.
Este es el aspecto de nuestra seccin homes:

[homes] comment=Carpetaspersonalesdelosusuarios validusers=%S browseable=no writeable=yes createmask=0640 directorymask=0750 guestok=no
Parmetros de la seccin netlogon: comment path browsable / browseable writable / writeable Meramente descriptivo Lugar donde se sitan los scripts de inicio de sesin Si el directorio puede ser visto en la red Si se puede escribir en l
Este es el aspecto de nuestra seccin netlogon:

[netlogon] comment=Serviciologondelared path=/var/lib/samba/netlogon browseable=no writeable=no
Vamos a ver ahora los parmetros ms usuales de una carpeta compartida en red:


comment path valid users admin users write list Meramente descriptivo Lugar donde se sitan los scripts de inicio de sesin Usuarios que tienen acceso a la carpeta compartida Lista de usuarios con privilegios administrativos. Todas las operaciones las realizan como root. Lista de usuarios y grupos que tienen derecho de escritura en la carpeta. Separar con comas, y a los grupos aadir el carcter @ delante. Nombre del usuario Linux que se le va a asignar al usuario conectado a esta carpeta. Nombre del grupo Linux primario que se le va a aplicar al usuario conectado a esta carpeta. Ello significa que los ficheros escritos en ella son propiedad de ese grupo. Si el directorio puede ser visto en la red Si se puede escribir en l Los permisos que tendrn por defecto los ficheros creados en los directorios home Los permisos que tendrn por defecto los directorios creados en los directorios home Indica si el directorio debe ser visible a los usuarios de la red sin proveer contrasea.
force user force group
browsable / browseable writable / writeable create mask directory mask guest ok
Como ejemplo, vamos a poner una carpeta compartida llamada documentos. Esta carpeta est situada en /home/carpetas/documentos. El grupo de managers puede escribir en ella, y tambin el usuario jefe. Todos pueden leer su contenido. Hay un usuario boss que es el administrador de la carpeta. La carpeta no ha de ser vista en la red. Este es el aspecto que tendra la configuracin de esta carpeta compartida:
[documentos] comment=Documentosparatodos path=/home/carpetas/documentos adminusers=boss writelist=@managers,jefe browseable=no guestok=no
Una de las tareas que se han de realizar al instalar un servidor es mapear los grupos habituales en Windows con los grupos del sistema Linux. Esto solamente se realiza una vez. Despus, cuando creamos grupos de usuarios, tambin tendremos que hacerlo con los nuevos grupos. Hay que tener en cuenta que no todos los sistemas Linux tienen los mismos grupos por defecto, por lo que algunos los tendremos que crear primero.


Suponemos un sistema Debian. Vamos a ver los comandos a ejecutar para ello: Grupos nuevos del sistema:
groupaddpublic groupaddnogroup groupaddntadmin
Grupos del dominio:

netgroupmapaddntgroup="Admins.delDominio"unixgroup=root netgroupmapaddntgroup="UsuariosAutentificados"unixgroup=users netgroupmapaddntgroup="Invitadosdeldominio"unixgroup=nogroup
Grupos locales de NT:

netgroupmapaddntgroup="Administradores"unixgroup=sys netgroupmapaddntgroup="Usuarios"unixgroup=public netgroupmapaddntgroup="Invitados"unixgroup=nogroup netgroupmapaddntgroup="Opers.deservidores"unixgroup=daemon netgroupmapaddntgroup="Opers.decuentas"unixgroup=adm netgroupmapaddntgroup="Operadoresdecopia"unixgroup=backup netgroupmapaddntgroup="Opers.deimpresin"unixgroup=lp netgroupmapaddntgroup="Duplicadores"unixgroup=kmem netgroupmapaddntgroup="Usuariosavanzados"unixgroup=ntadmin
Vamos a probar el sistema. Primero verificamos la correctitud del fichero de configuracin:

testparm
Vamos a reiniciar el servicio:

/etc/init.d/sambarestart
Ahora debemos asegurarnos de que responde tanto en el interface loopback como en el interface re red.
smbclientLlocalhostU% smbclientLNOMBRESERVIDORU%
Con estos pasos ya tenemos un sistema bsico operativo para hacer las labores de controlador de un dominio de clientes windows. Ahora tenemos que realizar la aplicacin requerida. Eso ser en el prximo captulo. IMPORTANTE: La instalacin de Samba en Debian, hace que los usuarios del sistema sean importados automticamente. Entre ellos se encuentra el usuario root. La importacin se realiza sin incluir la contrasea, por lo que sta habr de ser establecida posteriormente. Para ello, ejecutaremos:


smbpasswdroot
Nos pedir la contrasea dos veces.

4. Un ejemplo
Como ejemplo puede valer la red de una pequea empresa, en la cual somos los administradores. Vamos a crear un controlador de dominio con Samba. instalacin, configuracin, servicios, usuarios, grupos,.... Esta empresa llamada SUPERSOFT tendr dos tipos de trabajadores: supervisores y programadores. Los programadores tendrn distintas funciones, como ser programar en c, html, python y java. Los supervisores supervisarn los trabajos de algunos de los programadores, no de todos. De esta manera, cada grupo de la siguiente tabla, tendr un directorio en el servidor, al que podrn acceder tanto los programadores de ese lenguaje como sus supervisores. Adems de estos directorios habr uno personal por cada usuario, donde tan solo los usuarios propietarios tienen acceso. Tambin habr un directorio general para la oficina, donde los supervisores tendrn permisos de lectura y escritura y los programadores tan slo de lectura. Los supervisores tendrn un directorio de grupo al que slo ellos tienen acceso. Tendremos los siguientes usuarios: NOMBRE Mikel Aretxabaleta Maiz Josune Goitia Lopez Karlos Brown Artea Ander Hirigoien Gartzia Miren Uria Mendiola Miren Garcia Sertutxa Janire Urkizu Agirre Lorea Sanchez Agirre Jon Garcia Garcia GRUPO supervisor supervisor supervisor cprog cprog javaprog htmlprog htmlprog pythonprog USUARIO mikelare josunego karlosbr anderhir mirenuri mirengar janireur loreasan jongarci CONTRASEA 1234mail 9493zept 7321rera 8828idoa 9019olaa 7836ylkk 4321dkll 1236vasd 4473mdfg
Tenemos, por tanto, un grupo de supervisores y dentro de los programadores, distintas funciones. Adems, tendremos en cuenta que los supervisores supervisan ms de un lenguaje de programacin, por lo que sern miembros de esos grupos. Estos son los supervisores y los grupos que supervisan:


Mikel Aretxabaleta Josune Goitia Karlos Brown cprog, htmlprog, javaprog cprog, javaprog, pythonprog htmlprog, javaprog, pythonprog
Cuando un programador entra en el dominio, se le montarn automticamente distintas carpetas: carpeta personal, carpeta de grupo y carpeta de la empresa. Cuando un supervisor se loguea, se le montarn la carpeta personal, las de los grupos que supervisa, la de los supervisores y la de la empresa (empresa). Los supervisores tendrn permisos de lectura y escritura en las carpetas de los grupos donde supervisan. En la carpeta de supervisores, los supervisores podrn leer y escribir. En la carpeta de la empresa, los supervisores podrn leer y escribir y los programadores slo leer. Las unidades de red a asignar sern las siguientes: U T X P,Q,R Carpeta personal de cada usuario Carpeta del grupo primario Carpeta general de toda la empresa Carpetas de los grupos a supervisar
Vamos a ponernos manos a la obra. Nuestro jefe nos ha comprado una mquina nueva. Su nombre ser SUPERSERVER. Nuestro dominio ser SUPERSOFT. El software ya lo hemos instalado, por lo que nos queda configurarlo y crear los usuarios, grupos y carpetas...
4.1
Configuracin global
Vamos a realizar la configuracin bsica del fichero de configuracin de Samba /etc/samba/smb.conf. Quedar de esta manera:
[global] workgroup=SUPERSOFT netbiosname=SUPERSERVER serverstring=ServidorSambaparaSUPERSOFT oslevel=33 timeserver=yes localmaster=yes preferredmaster=yes domainmaster=yes domainlogons=yes enhancedbrowsing=no


unixextensions=yes security=user encryptpasswords=yes passdbbackend=tdbsam:/var/lib/samba/passdb.tdb passwordlevel=1 usernamemap=/etc/samba/smbusers logonscript=%U.bat logondrive=U: maptoguest=Baduser guestaccount=nobody loglevel=2 maxlogsize=7000 addmachinescript=/usr/sbin/useraddgmaquinasc'Mquinadeldominio' s/bin/falsed/var/lib/nobody'%u' logonpath=\\%N\%U\profile [homes] comment=Carpetaspersonalesdelosusuarios validusers=%SThecurrentservicenameissustitutedfor%S browseable=no writeable=yes createmask=0640 directorymask=0750 guestok=no [netlogon] comment=Serviciologondelared path=/var/lib/samba/netlogon browseable=no writeable=no
Vamos a crear el alias de root:

echoroot=Administrador>/etc/samba/smbusers
Los mapeos de grupos habituales Windows a grupos Linux estn realizados ya, por lo que no es necesario volver a realizarlo.
4.2
Creacin de grupos
Vamos a crear los grupos. Para crear los grupos utilizaremos el comando groupadd. Despus los mapearemos a grupos Windows del mismo nombre:
groupaddsupervisor groupaddcprog groupaddhtmlprog


groupaddjavaprog groupaddpythonprog netgroupmapaddntgroup=supervisorunixgroup=supervisor netgroupmapaddntgroup=cprogunixgroup=cprog netgroupmapaddntgroup=htmlprogunixgroup=htmlprog netgroupmapaddntgroup=javaprogunixgroup=javaprog netgroupmapaddntgroup=pythonprogunixgroup=pythonprog
Podemos ver lo que tenemos mapeado con el siguiente comando:

netgroupmaplist
4.3
Creacin de usuarios y scrips de inicio de sesin
Para que un usuario pueda utilizar una mquina de la red, debe de tener una cuenta de usuario. Con este nombre de usuario y su correspondiente contrasea, se autentificar, pudiendo acceder al dominio y a sus recursos. Vamos a crear los usuarios. Utilizaremos el comando useradd:
useraddgsupervisorc'MikelAretxabaletaMaiz's/bin/bashmmikelare useraddgsupervisorc'JosuneGoitiaLopez's/bin/bashmjosunego useraddgsupervisorc'KarlosBrownArtea's/bin/bashmkarlosbr useraddgcprogc'AnderHirigoienGartzia's/bin/bashmanderhir useraddgcprogc'MirenUriaMendiola's/bin/bashmmirenuri useraddgjavaprogc'MirenGarciaSertutxa's/bin/bashmmirengar useraddghtmlprogc'JanireUrkizuAgirre's/bin/bashmjanireur useraddghtmlprogc'LoreaSanchezAgirre's/bin/bashmloreasan useraddgpythonprogc'JonGarciaGarcia's/bin/bashmjongarci
Ahora vamos a asignarles las contraseas:

passwdmikelare passwdjosunego passwdkarlosbr passwdanderhir passwdmirenuri passwdmirengar passwdjanireur passwdloreasan passwdjongarci
Los usuarios creados estn en el fichero /etc/passwd, y los grupos en /etc/group. Hemos dicho en el enunciado de la prctica, que algunos usuarios van a ser a supervisar el trabajo de otros, y para ello necesitan permisos en las carpetas de esos otros grupos. Para ello podemos editar el fichero /etc/group y poner los usuarios en lops grupos correspondientes. Tambin se puede utilizar el comando usermod. Vamos a aadir a los supervisores a los grupos a los que supervisan.


usermodaGcprog,htmlprog,javaprogmikelare usermodaGcprog,javaprog,pythonprojosunego usermodaGhtmlprog,javaprog,pythonprogkarlosbr
Veamos a verificar cmo han quedado los grupos y los usuarios del sistema. Para ello vamos a utilizar los siguientes comandos:
getentgroup getentpasswd
El siguiente paso es hacer que los usuarios del sistema lo sean tambin de samba. Para ello, tenemos que crear los usuarios en el fichero que hayamos indicado en el parmetro passwd backend del fichero de configuracin de Samba. En este caso ser /var/lib/samba/passdb.tdb. El comando a utilizar ser pdbedit:
pdbeditaumikelare pdbeditaujosunego pdbeditaukarlosbr pdbeditauanderhir pdbeditaumirenuri pdbeditaumirengar pdbeditaujanireur pdbeditauloreasan pdbeditaujongarci
Vamos a ver si los usuarios han sido creados correctamente:

pdbeditL
Ahora ya solamente nos queda crear los scripts de inicio de sesin. Cuando un usuario se autentifica, el controlador de dominio, entre otra informacin le indica a la mquina cliente cul es el nombre del fichero de scrips de inicio de sesin. La mquina cliente se conecta a la carpeta compartida con nombre netlogon, en el servidor de inicio de sesin y busca dicho fichero. Lo lee y lo ejecuta en la mquina local en nombre del usuario recin conectado. Nosotros vamos a utilizar este mecanismo, para montar automticamente las carpetas que van a usar nuestros usuarios. Los scripts de inicio de sesin (logon script) son ficheros que se guardan normalmente en /var/lib/samba/netlogon. En el caso de Debian, esta carpeta no existe, por lo que habr que crearla. Tambin se puede elegir otra ubicacin. Vamos a crearla:
mkdir/var/lib/samba/netlogon
Hemos dicho que la finalidad de nuestros scripts de inicio de sesin va a ser montar carpetas compartidas de red. Las carpetas que se han de montar son la personal, la del grupo primario, la de la empresa y las de los otros grupos de los cuales tambin somos miembros. Este es el contenido de cada lnea del fichero:


net use V: \\nombredelservidor\recurso El nombre del servidor indicara donde se encuentran los recursos a montar, y el recurso ser lo que habr que montar. Dependiendo del usuario los recursos a montar sern distintos. Las letras indican la unidad, y en un mismo script no se pueden repetir. As mismo, no se pueden utilizar letras que sean utilizadas por el sistema para referenciar discos duros, unidades de CD o de otro tipo. Es importante que al acabar la lnea introduzcamos un salto de lnea entendible por Windows, sino esa lnea no se tendr en cuenta. Cada sistema operativo utiliza un carcter distinto para indicar el final de lnea. El estilo DOS de salto de lnea se corresponde con los caracteres <CR><LF>, mientras que en el estilo Unix es <LF>. CR es Carriage Return y LF Line Feed. En el mundo Macintosh el salto de lnea es <CR>. Nosotros crearemos los ficheros y los editaremos en un entorno Linux, pero la ejecucin se dar en un equipo NT. Si el fin de lnea no es entendible por Windows, todo lo que haya dentro del fichero se considerar como una sola lnea, por lo que los comandos sern errneos. Para convertir el salto de lnea estilo Unix al estilo DOS utilizaremos el comando unix2dos. Los logon script o ficheros de inicio de sesin se guardan como nombre_usuario.bat.
Veamos el aspecto del fichero mikalare.bat correspondiente al usuario mikelare:

netuseU:\\SUPERSERVER\mikelare netuseT:\\SUPERSERVER\supervisor netuseX:\\SUPERSERVER\empresa netuseP:\\SUPERSERVER\cprog netuseQ:\\SUPERSERVER\htmlprog netuseR:\\SUPERSERVER\javaprog
Para cambiar los finales de lnea al estilo del DOS:

unix2dos/var/lib/samba/netlogon/mirentxu.bat
Con el resto de usuarios deberemos de hacer lo mismo.
4.4
Creacin de carpetas compartidas
Vamos a crear un directorio que contenga las carpetas de grupos, y a cada grupo le creamos una carpeta de grupo:
mkdir/grupos mkdir/grupos/empresa mkdir/grupos/supervisor mkdir/grupos/cprog mkdir/grupos/htmlprog mkdir/grupos/javaprog


mkdir/grupos/pythonprog
Tendremos que crear un grupo de nombre maquinas y hacer que las mquinas que metamos al dominio sean miembros de ese grupo. Esto ltimo se realizar a travs del script add machine script del fichero /etc/samba/smb.conf.
groupaddmaquinas netgroupmapaddntgroup=maquinasunixgroup=maquinas
Ahora deberemos cambiar el grupo propietario de las carpetas y adecuar los permisos. Lo primero se debe a que las carpetas han sido creadas por root, y su grupo primario es root. Vamos con el cambio de grupo:
chgrpsupervisor/grupos/empresa chgrpsupervisor/grupos/supervisor chgrpcprog/grupos/cprog chgrphtmlprog/grupos/htmlprog chgrpjavaprog/grupos/javaprog chgrppythonprog/grupos/pythonprog
Tambin vamos a cambiar los permisos de la carpeta de los grupos, para que solamente sus miembros tengan acceso a ellas. La de la empresa vamos a dejarla con acceso de lectura para todos.
chmod775/grupos/empresa chmod770/grupos/supervisor chmod770/grupos/cprog chmod770/grupos/htmlprog chmod770/grupos/pythonprog
Vamos a modificar el fichero /etc/smb.conf para poner las carpetas compartidas en red. Lo siguiente se lo habremos de aadir al fichero.
[empresa] comment=Carpetageneraldelaempresa path=/grupos/empresa browsable=yes createmask=0664 directorymask=0775 writelist=@supervisor forcegroup=supervisor [supervisor] comment=Carpetadelossupervisores path=/grupos/supervisor browsable=no createmask=0660 directorymask=0770 validusers=@supervisor writelist=@supervisor


forcegroup=supervisor [cprog] comment=Carpetadecprog path=/grupos/cprog browsable=no createmask=0660 directorymask=0770 validusers=@cprog writelist=@cprog forcegroup=cprog [htmlprog] comment=Carpetadehtmlprog path=/grupos/htmlprog browseable=no createmask=0660 directorymask=0770 validusers=@htmlprog writelist=@htmlprog forcegroup=htmlprog [javaprog] comment=Carpetadejavaprog path=/grupos/javaprog browsable=no createmask=0660 directorymask=0770 validusers=@javaprog writelist=@javaprog forcegroup=javaprog [pythonprog] comment=Carpetadepythonprog path=/grupos/pythonprog browsable=no createmask=0660 directorymask=0770 validusers=@pythonprog writelist=@pythonprog forcegroup=pythonprog
Vamos a verificar que el fichero de configuracin es corecto:

testparm
Una vez hechos los cambios en smb.conf, y verificada su correctitud, indicamos a samba que relea el fichero de configuracin:
/etc/init.d/sambareload

4.5
Otro ejercicio
Suponiendo que eres en administrador de sistemas de una empresa. Implanta un controlador de dominio realizado con Samba y Linux. Esta empresa va a tener tres grupos de usuarios. Los grupos son compras, ventas y gerencia. Como ejemplo, he aqu unos empleados de la empresa. Nombre Juan Zurreta Cid Pepe Garai Yurrebeso Maria Lopez Zaragoza Josefa Hernndez Zarrabeitia Jos Auroberri Ansolegi Gorka Fernndez Areitio Arantza Ortuzar Ortiz Grupos: . compras . ventas . gerencia Cuando un usuario se autentifica en el dominio, se le montarn automticamente las carpetas compartidas personal, la de su grupo, la de la empresa y las de los grupos en las que est autorizado. En la carpeta personal, solamente puede leer y escribir el usuario correspondiente. En las carpetas gerencia, compras y ventas solamente los miembros de esos grupos pueden leer y escribir. Adems los miembros del grupo de gerencia pueden leer en las mismas. En la carpeta empresa todos tienen el derecho de leer, pero solamente pueden escribir los miembros de la gerencia. Letras para el mapeo de las carpetas de red: U T X R S La carpeta personal de cada usuario Carpeta del grupo Carpeta general de la empresa Carpeta compras para el grupo de gerencia Carpeta ventas para el grupo de gerencia Grupo compras compras compras ventas ventas gerencia gerencia Usuario juanzu pepega marialo josefahe josean gorkafe arantzaor Contrasea cid44732 yurre724 zara4224 zarra332 anso1272 arei4212 orti7762
Este ejercicio lo vamos a realizar con la ayuda de los scripts del siguiente apartado.

5. Scrips que nos ahorrarn trabajo

Hemos visto que muchas de las tareas realizadas son repetitivas. Para hacernos la vida un poco ms fcil podemos realizar unos scripts. Estos scripts los guardaremos en la carpeta del administrador (root). Vamos a crear dos scripts para automatizar la creacin de grupos y la de usuarios. El primero se llama creargrupo.sh y como se ve a continuacin pide el nombre de grupo, lo crea, crea la carpeta y le da a la carpeta como grupo propietario el nombre del grupo. Este es su contenido:
#!/bin/bash # #AlfredoBarrainkua,Junio2007 # echon"Nombredelgrupo:" readGRUPO groupadd$GRUPO netgroupmapaddntgroup="$GRUPO"unixgroup=$GRUPO mkdirp/grupos/$GRUPO chgrp$GRUPO/grupos/$GRUPO chmod770/grupos/$GRUPO echo" [$GRUPO] comment=Carpetadelgrupo$GRUPO path=/grupos/$GRUPO browsable=no createmask=0660 vreatedirectory=0770 validusers=@$GRUPO writelist="$GRUPO forcegroup=$GRUPO ">>/etc/samba/smb.conf
Tendremos que hacer el script ejecutable:

chmod+xcreargrupo.sh
La forma de utilizarlo (como root):

/root/creargrupo.sh


El segundo script, de nombre crearusuario.sh, crea usuarios para el sistema y para samba. Primero pide el nombre completo del usuario, el nombre de usuario y el grupo al que pertenece (por eso es conveniente crear antes los grupos que los usuarios). A continuacin crea el usuario y le asigna una contrasea que ser solicitada por pantalla. Despus se crear el usuario para samba, por lo que volveremos a introducir otras dos veces la contrasea. Finalmente crea el scripts de inicio de sesin bsico para el usuario.
#!/bin/bash # #AlfredoBarrainkua,Junio2007 # #Directoriodondeseubicanloslogonscript LOGONDIR=/var/lib/samba/netlogon/ #SuponemosquueelnombreDNSyNETBIOSdelservidoreselmismo SRVNAME=`hostname` echon"Nombrecompletodelusuario:" readNOMBRE echon"Nombredeusuario:" readUSUARIO echon"Password:" readPASSWORD echon"Grupoalquepertenece:" readGRUPO echo"Gruposenlosquetambintrabaja(separadosporcomasysinespacios):" readGRUPOS echo"$PASSWORD">passfile.tmp PASSMD5=`opensslpasswd1stdinnoverify<passfile.tmp` useraddg$GRUPOc"$NOMBRE"s/bin/bashmp$PASSMD5$USUARIO usermodaG$GRUPOS$USUARIO
echo"$PASSWORD">>passfile.tmp pdbeditatu$USUARIO<passfile.tmp rmpassfile.tmp if[!d$LOGONDIR];then mkdirp$LOGONDIR fi echo"netuset:\\\\$SRVNAME\\$GRUPO">>$LOGONDIR$USUARIO.bat echo"netusex:\\\\$SRVNAME\\empresa">>$LOGONDIR$USUARIO.bat unix2dos$LOGONDIR$USUARIO.bat


echo" Recuerdeaadirlosgruposadicionalesenellogonscript."
Como se ve al final del fichero, al usuario se le montarn su carpeta personal y la de su grupo primario en al inicio de sesin. El fichero ha de ejecutarse en un sistema con fines de lnea de ficheros de texto, al estilo DOS, por lo que hay que convertirlo. Por defecto hemos configurado que a los usuarios se les mapean las carpetas de usuario y la de grupo, pero muchas veces, y en el ejemplo ocurre as, no todos los usuarios tendrn mapeadas solo esas carpetas. En este caso los supervisores tendrn mapeadas las carpetas que supervisan, y tanto supervisores como programadores la carpeta de la empresa. Estas personalizaciones debern ser hechas a mano. O en caso de un uso intensivo tendremos que crear un script ms complejo. Al igual que con el script de creacin de grupos, habremos de hacerlo ejecutable. La forma de utilizarlo como root, sera:
/root/crearusuario.sh
Si no hemos hecho el script ejecutable, tendremos que pedir a bash que lo ejecute:
bash./crearusuario.sh

6. Metiendo mquinas al dominio

Si todo ha ido bien, este paso no debera de dar ningn problema. Meter los equipos NT al dominio Samba es igual que meterlos en un dominio Windows. Botn derecho en Mi PC, Propiedades, Nombre del equipo, Identificador de Red y aqu indicamos cual es el dominio. Aceptamos y nos pedir el nombre y la contrasea de un administrador con derechos de meter mquinas al dominio. NOTA: En caso de tener problemas para la bsqueda del controlador de dominio, ponemos su direccin IP en la solapa WINS de la configuracin del interface de red. Debemos tener en cuenta que en este supuesto no estamos utilizando un servidor DNS para la resolucin de nombres.

7. Trabajando con herramientas grficas

swat es una herramienta para configurar samba desde un entrono grfico va web. Lo primero es instalarlo:
aptgetinstallswat
Para utilizarlo nos tenemos que conectar (como root) al puerto 901 de nuestro equipo: http://localhost:901
Para acceder al entorno grfico, aparecer una ventana con nombre de usuario y contrasea. Evidentemente es el nombre y contrasea de quien tiene privilegios para configurar samba: root.


Una vez que sabemos como instalar y acceder a swat y los fundamentos de samba, la utilizacin de swat no tiene ningn misterio. En la seccin home, tenemos documentacin sobre diferentes ficheros, configuraciones, utilidades,... de samba. No es ms que una suma de pginas man. En la siguiente imagen vemos el contenido de la seccin global, que se corresponde con la seccin global del fichero de configuracin de samba smb.conf:
La siguiente seccin es shares, donde se definirn las carpetas compartidas y sus caractersticas:

La seccin printers, evidentemente, nos ayuda a configurar las impresoras y la seccin wizard nos ayuda a configurar samba de una manera supuestamente ms grfica y fcil. Con status, podemos visualizar cual es la situacin de los demonios smbd y nmbd, tambin se pueden parar y reiniciar. Podemos ver cuales son las conexiones activas, los shares que estn siendo utilizados y quin los est utilizando.

swat es una herramienta utilizable a gusto del usuario, pero es imprescindible saber samba. Se podra decir que no aporta especialmente nada ms que un entorno va web para trabajar con samba.

8. Referencias
Un libro prctico y ... divertido?!: Samba-3 By Example 2. Edition. John H. Terpstra
Lo que nunca hay que olvidar: man smb.conf
En la web: http://us1.samba.org/samba/docs/using_samba/toc.html http://us1.samba.org/samba/docs/man/Samba-HOWTO-Collection/

9. Autores
Alfredo Barrainkua Zallo Iurreta Institutuko Sare Administraria alfredobz@iurreta-institutua.net
Daniel Lopez Pelaz Iurreta Institutuko Sare Lokalen Irakaslea danilopez@iurreta-institutua.net


IntegracionLinuxWindows2-v1 1 0

Încărcat de

Informații document

Titlu original

Drepturi de autor

Formate disponibile

Partajați acest document

Partajați sau inserați document

Opțiuni de partajare

Vi se pare util acest document?

Este necorespunzător acest conținut?

Drepturi de autor:

Formate disponibile

IntegracionLinuxWindows2-v1 1 0

Încărcat de

Drepturi de autor:

Formate disponibile

INTEGRACIN LINUX WINDOWS

Parte2: Dominios Windows con Samba

Alfredo Barrainkua Zallo Daniel Lopez Pelaz Junio del 2007

Creative Commons Share Alike

Integracin Linux Windows :: Dominios Windows con Samba

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

Nombre del servidor

El contenido del fichero /etc/hosts:

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

La hora, la hora, la hora

Deshabilitar el reinicio por teclado

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

Acceso por la red : SSH

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

3. Instalacin y configuracin de Samba

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

domain logons enhanced browsing unix extension security

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

max log size add machine script

add user script delete user script add group script

delete group script

hosts deny spnego

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

Aqu vemos el aspecto que va a ofrecer nuestra seccin global:

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

Este es el aspecto de nuestra seccin homes:

Este es el aspecto de nuestra seccin netlogon:

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

force user force group

browsable / browseable writable / writeable create mask directory mask guest ok

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

Grupos del dominio:

Grupos locales de NT:

Vamos a probar el sistema. Primero verificamos la correctitud del fichero de configuracin:

Vamos a reiniciar el servicio:

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

Nos pedir la contrasea dos veces.

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

Vamos a crear el alias de root:

Integracin Linux Windows

Integracin Linux Windows :: Dominios Windows con Samba

Podemos ver lo que tenemos mapeado con el siguiente comando:

Creacin de usuarios y scrips de inicio de sesin