Мы — долго запрягаем, быстро ездим, и сильно тормозим.

FreeBSD
  настройка
  подсчёт трафика
  программы
  frox
  SARG
  samba & ClamAV
  named
  proftpd
  cacti
  SAMBA+AD+NT ACL
  MySQL
  hylafax
  DDNS+DHCP
  cvsupd
  Samba как PDC
  Основы LDAP
  LDAP+SSL
  LDAP auth
  knockd
  rsync
  MRTG
  Rejik
  Jabber - OpenFire
  Samba(PDC) + Ldap
  squid+AD
  ATSlog
  vsftpd
  LDAP: samba, dns, dhcp
  Free-SA
  cups-samba на samba+AD
  irc + services
  Nagios - мониторинг сети
  TeamSpeak
  icecast2
  verlihub (p2p)
  Icecast2 + Darkice
  OOPS
  vsftpd + mysql
  Amanda
  HAVP
  Рыбалка на FreeBSD
  DNS сервер NSD
  DNS сервер Unbound
  mpd5, msmtp, dynamic ip
  ProFTPd + LDAP
  OpenVPN + LDAP
  Samba (PDC+BDC)
  BIND & AD
  POWERDNS
  3proxy
  eGroupWare
  GLPI
  SugarForge CRM
  Bacula
  Mysql - базовое описание
  Asterisk IP PBX
  Samba & CUPS & AD & ACL
  SMSTools 3
  Samba+ NT ACL
  phpmyadmin
  1С:Предприятие 8.1
  PurefFTPd
  qemu network
  AimSniff
  comms/scmxx
  Zoneminder
  Openfire Jabber Server
  Zoneminder 2
  Принт-Сервер Samba+LPD & AD
  Кластер OpenLDAP 2.4
  Lightsquid
  Установка Zabbix-1.6
  Установка net2ftp
  VSFTPD + AD && MySQL
  Network UPS Tools
  mpd5 L2TP client
  Apache 2.2 as a proxy
  ejabberd+mysql+icq
  HotSpot
  Установка и использование Zenoss на FreeBSD 7.2
  mysql-proxy
  DNS zones
  squid+sams+sqstat
  transmission-daemon
  Squid+AD (group access)
  SysAid Server
  MySQL Master+Master
  proftpd file auth&quota
  usb_modeswitch
  NSDadmin
  iperf Тест скорости между хостами
  Простой факс-сервер mgetty+sendfax
  SQUID-MultiCpuSystem
  vsftpd + system users
  Syslog server
  Температура в серверной
  Nagios+Digitemp
  Avast! FreeBSD
  Настройка git+gitosis
  Firefox SyncServer
  Scan+Print server FreeBSD 9
  proftpd,pgsql,web
  почтовые системы
  Шелезяки
  Мелочи
  Файловая система
  WWW
  Security
  system
  Games Servers
  X11
  Programming
Очумелые Ручки
OpenBSD
Cisco


www.lissyara.su —> статьи —> FreeBSD —> программы —> SAMBA+AD+NT ACL

SAMBA с авторизацией в AD и поддержкой NT ACL

Автор: urgor.


Когда-то давно, когда деревья были большие... был у меня сервак на вынь 2к и держал он контроллер домена, там же были заведены принтеры, кучка шар и паслись на нем табуны пользователей. И жили все счастливо... ну почти все, те у кого был вынь98, да еще и бездоменный, то вообще на сервак зайти не могли, то печатать он от них не хотел. Вообщем часть 98х перевел на ХР, а вот что делать с остальными? Пробовать уломать начальство на новые CAD пакеты под ХР и пытаться не стал, а конструкторов и эти проги устраивали... им шар хотелось, да печати. Подумав, решил на свободной машинке собрать файлопомойку с сервером печати на пакете Samba с авторизацией юзеров в AD (у кого были там учетки).
Port:   samba-3.0.22,1
Path:   /usr/ports/net/samba3
Info:   A free SMB and CIFS client and server for UNIX
Maint:  timur@gnu.org
WWW:    http://www.samba.org/

asu-004# cd /usr/ports/net/samba3
asu-004# make && make install && make clean
---------------------------------------------------------------------¬
¦                    Options for samba 3.0.22,1                      ¦
¦ -----------------------------------------------------------------¬ ¦
¦ ¦ [X] LDAP          With LDAP support                            ¦ ¦
¦ ¦ [X] ADS           With Active Directory support                ¦ ¦
¦ ¦ [X] CUPS          With CUPS printing support                   ¦ ¦
¦ ¦ [X] WINBIND       With WinBIND support                         ¦ ¦
¦ ¦ [X] ACL_SUPPORT   With ACL support                             ¦ ¦
¦ ¦ [ ] AIO_SUPPORT   With experimental AIO support                ¦ ¦
¦ ¦ [X] SYSLOG        With Syslog support                          ¦ ¦
¦ ¦ [X] QUOTAS        With Quota support                           ¦ ¦
¦ ¦ [ ] UTMP          With UTMP support                            ¦ ¦
¦ ¦ [ ] MSDFS         With MSDFS support                           ¦ ¦
¦ ¦ [ ] SAM_XML       With XML smbpasswd backend                   ¦ ¦
¦ ¦ [ ] SAM_MYSQL     With MYSQL smbpasswd backend                 ¦ ¦
¦ ¦ [ ] SAM_PGSQL     With PostgreSQL smbpasswd backend            ¦ ¦
¦ ¦ [ ] SAM_OLD_LDAP  With Samba2.x LDAP legacy smbpasswd backend  ¦ ¦
¦ ¦ [ ] SMBSH         With SMBSH wrapper for UNIX commands         ¦ ¦
¦ ¦ [ ] PAM_SMBPASS   With SMB PAM module                          ¦ ¦
¦ ¦ [ ] EXP_MODULES   With experimental module(s)                  ¦ ¦
¦ ¦ [X] POPT          With system-wide POPT library                ¦ ¦
+-L-----v(+)---------------------------------------------------------+
¦                       [  OK  ]       Cancel                        ¦
L---------------------------------------------------------------------

За собой самба потянет CUPS (сервер печати) и еще по мелочам :) Сначала отрихтуем CUPS.
В файлах mime.convs и mime.types разкомментировать строки:
[mime.convs]
application/octet-stream        application/vnd.cups-raw        0       -
[mime.types]
application/octet-stream
Дабы cups пропускал потоки данных не форматируя их.
Добавляем в /etc/rc.conf строку cupsd_enable="YES"
asu-004# cd /usr/local/etc/cups
asu-004# cat /usr/local/etc/cups/cupsd.conf
AccessLog /var/log/cups/access_log
DataDir /usr/local/share/cups
ErrorLog /var/log/cups/error_log
FontPath /usr/local/share/cups/fonts
LogLevel debug
Printcap /etc/printcap
PrintcapFormat BSD
RequestRoot /var/spool/cups
ServerTokens Minor
Port 127.0.0.1:631
Port 192.168.0.201:631
Browsing Off
BrowseDeny All

<Location />
Order Deny,Allow
Deny From All
Allow From 127.0.0.1
Allow From 192.168.0.*
</Location>

<Location /admin>
AuthType Basic
AuthClass System

## Restrict access to local domain
Order Deny,Allow
Deny From All
Allow From 127.0.0.1
Allow From 192.168.0.*

#Encryption Required
</Location>
asu-004# /usr/local/etc/rc.d/cupsd.sh start
Starting cupsd.

Далее бровсером ломимся на http://192.168.0.201:631
На запрос пароля, вводим данные рута и устанавлеваем принтеры.
Я ставил тип очереди как RAW queue, т.к. драйвера ставились на виндовые машины.
После чего можно перейти к настройкам самбы.
Пишем в /etc/krb5.conf
[logging]
 default = FILE:/var/log/kerberos/krb5libs.log
 kdc = FILE:/var/log/kerberos/krb5kdc.log
 admin_server = FILE:/var/log/kerberos/kadmind.log
   
[libdefaults]
ticket_lifetime = 24000
default_realm = KK.COM
dns_lookup_realm = false
dns_lookup_kdc = false
kdc_req_checksum_type = 2
checksum_type = 2
ccache_type = 1
forwardable = true
proxiable = true
	       
[realms]
KK.COM = {
 kdc = 192.168.0.1:88
 admin_server = 192.168.0.1:749
 default_domain = kk.com
}
		       
[domain_realm]
.kk.com = KK.COM
			
[pam]
debug = false
ticket_lifetime = 36000
renew_lifetime = 36000
forwardable = true
krb4_convert = false
			      
[login]
krb4_convert = false
krb4_get_tickets = false

Редактируем файл /etc/nsswitch.conf
group: files winbind
group_compat: nis
hosts: files dns
networks: files
passwd: files winbind
passwd_compat: nis
shells: files

Редактируем файл /usr/local/etc/smb.conf
[global]
#  dos charset = cp866       # Если у вас нет юзеров с логином русскими
#  unix charset = koi8-r     # буковками, можете раскоментировать, тогда 
#  display charset = cp866   # в консоли русские файлики будут отображаться
                             # нормально
  workgroup = KK             
  realm = KK.COM
  netbios name = asu-004
  server string = Samba Server %v
  security = ADS
  auth methods = winbind
  map to guest = Bad User
  password server = 192.168.0.1
  printer admin = root 
  client NTLMv2 auth = Yes
  log file = /var/log/samba/log.%m
  max log size = 50
  client signing = Yes
  disable spoolss = Yes
  preferred master = No
  local master = No
  domain master = No
  dns proxy = No
  idmap uid = 10000-20000
  idmap gid = 10000-20000
  winbind use default domain = Yes
  inherit acls = Yes
  hosts allow = 192.168.0., 192.168.1., 127.
  map acl inherit = Yes
  case sensitive = No
  nt acl support = yes
  os level = 10
  socket options = TCP_NODELAY
  load printers = yes
  printing = cups 
  printcap name = /etc/printcap
  guest account = nobody
  guest ok = yes
#  debug level = 3 

[printers]
  comment = All Printers
  path = /var/spool/samba
  printable = Yes
  browseable = No
  use client driver = yes
  public = yes

[tmp]
  comment = Temporary file space
  path = /tmp
  read only = No
  create mask = 0666
  create mode = 666
  directory mode = 666
  directory mask = 0777
  guest ok = Yes

[films]
  comment = Films, films, films
  path = /var/shares/films
  read list = "@KK\Domain Users"
  write list = "@KK\Domain Admins"
  read only = No
  create mode = 666
  directory mode = 666
  create mask = 0666
  directory mask = 0777

Сверяем часы с AD, получаем билетик
asu-004# net time set -S 192.168.0.1
Wed Jun 14 13:42:56 MSD 2006
asu-004# kinit urgor@KK.COM
urgor@KK.COM's Password:
kinit: NOTICE: ticket renewable lifetime is 1 week
asu-004# klist
Credentials cache: FILE:/tmp/krb5cc_0
        Principal: urgor@KK.COM

  Issued           Expires          Principal
Jun 14 13:45:20  Jun 14 20:25:05  krbtgt/KK.COM@KK.COM

Добавляем в /etc/rc.conf строки
nmbd_enable="YES"
smbd_enable="YES"
winbindd_enable="YES"
Пускаем самбу, заводим комп в домен:
asu-004# /usr/local/etc/rc.d/samba.sh start
Starting SAMBA: removing stale tdbs :
Starting nmbd.
Starting smbd.
Starting winbindd.
asu-004# net ads join -U urgor
urgor's password:
Using short domain name -- KK
Joined 'ASU-004' to realm 'KK.COM'
asu-004# wbinfo -p
Ping to winbindd succeeded on fd 4
asu-004# wbinfo -t
checking the trust secret via RPC calls succeeded
asu-004# wbinfo -g
должен быть показан список групп
asu-004# wbinfo -u
должен быть показан список юзеров

Приводим файл /etc/pam.d/login к виду:
# auth 
auth    required        pam_nologin.so  no_warm 
auth    sufficient      /usr/local/lib/pam_winbind.so 
auth    sufficient      pam_opie.so     no_warm no_fake_prompts 
auth    requisite       pam_opieaccess.so       no_warm allow_local 
auth    required        pam_unix.so     no_warm try_first_pass 

# account 
account sufficient      /usr/local/lib/pam_winbind.so 
account required        pam_unix.so 

# session 
session required        pam_permit.so

И пробуем войти :) На этом можно и закончить... но! Хотелось бы еще поиметь nt acl.
Для этого надо загрузиться в однопользовательском режиме и включить ACL в суперблоке файловой системы.
/sbin/tunefs -a enable /fs

где /fs обозначает точку монтирования файловой системы (/, /usr, и так далее). Если Вы не имеете доступа к терминалу машины, можно добавить вызов команды tunefs в начало файла /etc/rc для включения ACL при последующей загрузке. Если используется файловая система UFS2, включение ACL закончено. Для включения ACL необходима только строчка "opions UFS_ACL", встроенная по умолчанию в GENERIC-конфигурацию ядра.
Все усложняется, если Вы, подобно многим пользователям FreeBSD 5.0, используете UFS1 (FreeBSD 5.1 и выше используют UFS2 как файловую систему по умолчанию). ACL основаны на расширенных атрибутах, которыми не обладает UFS1.
Для установки расширенных атрибутов Вы должны добавить строки options UFS_EXTATTR и options UFS_EXTATTR_AUTOSTART в файл конфигурации ядра системы, после чего собрать и установить новое ядро. Не перезагружайте машину - еще необходимо инициализировать расширенные атрибуты на каждой файловой системе. Например, для инициализации атрибутов для /var требуется выполнить следующее:
%mkdir -p /var/.attribute/system
% cd /var/.attribute/system
% extattrctl initattr -p /var/ 388 posix1e.acl_access
% extattrctl initattr -p /var/ 388 posix1e.acl_default

Вместо /var/ используйте любую файловую систему, которая будет нужна. После инициализации перезагрузитесь и атрибуты будут включены.



Ссылка на обсуждение: http://forum.lissyara.su/viewtopic.php?t=20459.

размещено: 2006-06-15,
последнее обновление: 2006-06-15,
автор: urgor


artem, 2006-06-30 в 15:49:36

Автору большой респект!!!
Отличная пошаговая инструкция. :)
Одно замечание: после джойна домена, нужно перестартовать
winbindd.

Yanis, 2006-08-02 в 21:38:47

Хм, а если я не подрассчитал размер раздела /var и хочу удалить /var/.attribute/system?
После этого случится что-нибудь плохое?

rwd0, 2006-08-21 в 13:13:43

неплохо бы ещё с vfs поиграться:
audit, full_audit recycle etc.

yura, 2006-09-04 в 18:51:44

непонял только что такое бровсервер 192.168.0.201

Urgor, 2006-09-05 в 8:03:01

С аудитом все собирался поиграться, но пока не досуг. Да и не требовался.
192.168.0.201 - тестовый сервак на котором я все это настраивал...

yura, 2006-09-05 в 19:36:49

тоесть FreeBSD'ишный сервак!?
а password server = 192.168.0.1 - это что!?
Вообщем я пробовал настраивать по этой доке, застрял на Проверке времени AD и билетие неполучил! в чем может быть причина!? там ошибки высветились я их правда непереписал, а когда презагрузил фрю, не мог зайти под рутом!) пришлось занаво фрю переустанавливать!)

voffka, 2006-09-22 в 12:13:42

при вводе самбы в домен net ads join -U user
пишет....

Using short domain name — DOM
Failed to set servicePrincipalNames. Please ensure that
the DNS domain of this server matches the AD domain,
Or rejoin with using Domain Admin credentials.
Disabled account for 'BSD' in realm 'DOM.DOMAIN.RU'

в чем может быть дело?
Билетик от кербероса получен!

devlad, 2006-09-26 в 8:30:56

Файлы в каталоге /etc/pam.d/ редактируем обязательно имея под рукой:еще одну рутовскую консоль,загрузочный диск (например Frenzy) и копию каталога /etc/pam.d/.После редактирования перегружаться не надо!

Gosha, 2006-10-09 в 10:55:34

Using short domain name — DOM
Failed to set servicePrincipalNames. Please ensure that
the DNS domain of this server matches the AD domain,
Or rejoin with using Domain Admin credentials.
Disabled account for 'BSD' in realm 'DOM.DOMAIN.RU'
===========================================================
У меня тоже самое что у воффки, помогите, в чем может быть дело?

inkubus, 2006-11-20 в 15:21:27

а кто-нибудь знает как с этим параметром поиграться?!
#define    ACL_MAX_ENTRIES        32 /* maximum entries in an ACL */

т.е больше 32-х элементом можно как-нибудь заиметь?!

lissyara, 2006-11-21 в 9:24:44

В 6.1 не катит. Надо ставить из портов керберос - /usr/ports/security/heimdal
И конфиги примерно такие:

керберос:
[libdefaults]
   default_realm = DOMAIN-NAME
   clockskew = 300
   v4_instance_resolve = false
   v4_name_convert = {
       host = {
           rcmd = host
           ftp = ftp
       }
       plain = {
           something = something-else
       }
   }
[realms]
   DOMAIN-NAME = {
       ip-kontrollera-domena
       admin_server = ip-kontrollera-domena
   }
[domain_realm]
   .grand-prix = DOMAIN-NAME


самба
[global]
 workgroup = DOMAIN-NAME
 server string = Samba Backup Server
 netbios name = backup
 security = ads
 hosts allow = 192.168.0.0./16 127.0.0.1
 log file = /var/log/samba/log.%m
 max log size = 50000
 password server = ip-kontrollera-domena
 encrypt passwords = yes
 realm = DOMAIN-NAME
 socket options = TCP_NODELAY
 os level = 1

 display charset = koi8-r
 unix charset = koi8-r
 dos charset = cp866
 winbind use default domain = yes
 winbind uid = 10000-15000
 winbind gid = 10000-15000
 winbind enum users = yes
 winbind enum groups = yes
# дальше шары, обязательно хоть одна - иначе не запустится!


И /etc/nsswitch.conf:
group: files winbind
passwd: files winbind
group_compat: nis
passwd_compat: nis
hosts: files dns
networks: files
shells: files

Больше ничего править не надо!

devlad, 2006-11-23 в 13:52:26

Молодец!!! Книгу по Bsd-ке пора выпускать!
(если самба не идет в домен,установите в DNS Windows AD запись А вашей машины с самбой.Например моя самба 172.16.2.2,ее имя hp.devlad.local)

Kolesya, 2007-01-16 в 17:49:35

Для 6.2 справедлив комент Лисяры
========================================
lissyara, 2006-11-21 в 9:24:44

В 6.1 не катит. Надо ставить из портов керберос - /usr/ports/security/heimdal
И конфиги примерно такие:

керберос:
...
winbind enum groups = yes
# дальше шары, обязательно хоть одна - иначе не запустится!


И /etc/nsswitch.conf:
group: files winbind
passwd: files winbind
group_compat: nis
passwd_compat: nis
hosts: files dns
networks: files
shells: files
Больше ничего править не надо!
========================================

KaMa-CyTpA, 2007-02-02 в 15:50:53

chgrp squid  /var/db/samba/winbindd_priveleged

а то у меня нифига не аутентифицировался!!!

Морская Сова, 2007-05-02 в 12:43:34

Если получаете ошибку
" Please ensure that the DNS domain of this server matches the AD domain "

то внимательно смотрите вот что:
1) в DNS должна быть запись для имени сервера
например server1.domain.ru A 10.0.0.1
2) контроллер AD-домена должен быть настроен на использование DNS-сервера который может ответить этой записью
3) ГЛЮК: в файле /etc/hosts записи для имени сервера не должно быть! (по умолчанию она там есть). Т.е. в идеале в /etc/hosts должно быть только две строки, одна для localhost и вторая для localhost6

После удаления строчки вида:
server1 10.0.0.1
из /etc/hosts у меня SAMBA спокойно вошла в домен комендой net ads join

Xtremist, 2007-07-24 в 15:55:41

Хорошая статья! В бсде 6.2 никакого heidal'a не ставил все так поперло, стандартным kerberos. Вот только проблемка вышла с другого бока -
не хотел мапить доменные группы и юзеров, хотя wbinfo все показывал. Оказалось в
/etc/pam.d/login

строки для моей машинки неверные
/usr/local/lib/pam_winbind.so
/usr/local/lib/pam_winbind.so

Пути у меня другие убрал их вообще т.е привел к виду просто pam_winbind.so
Все заработало.

после рекомендую проверить

getenv group
getenv passwd
Убедиться, что группы и юзеры из AD.
еще
id названиепользователядомена
выдает Id присвоенный бсдой

Еще по умолчанию ACL не пускают доменных админов изменять права папок надо прописывать их с консоли, чем и занимаюсь.

Xtremist, 2007-07-24 в 19:18:41

В предыдущем посте чуток ошибся
не getenv, а getent

ACL поборол. Может не совсем правильно, но работает. Во-первых определился с локальными правами шары в бсде. Поставил owner на шару
chown -R  admin:"domain users" usr/local/shara

admin (Администратор из домена)
и доменная группа Domain Users
Локальные права поставил на шару 770.

Далее в конфиге smb.conf прописал в шаре
[shara]
admin users = DOMAIN\admin
...

Всё, аклы раздаю юзерам через правую кнопку как в винде :)

basil, 2007-09-16 в 9:45:16

Товарищщи! Я, конечно, дико ивиняюсь, но ОСь пока только начал осваивать, и много чего сделал по статьям с этого сайта, за что авторам респект. Но по этой статье (верней, по комментам), не могу настроить керберос - вернее, т.к. lissyara не указал явно, где найти файл конфига, да и как называется, тоже, конфиг heimdal. Понимаю, что это не форум, но "не будет ли столь любезен многоуважаемый джин (c)" поправить коммент для доступности понимания начинающими?

Al, 2007-09-30 в 22:13:57

Отличная статья!Все делал по ней-заработало.Вот только была проблема с получением билета кербероса:при правильно введенном пароле админа домена отвечал "incorrect password", а если неправильный пароль - "preautentification failed"(или как-то так).Возможные причины(просто не первый,кто с этим столкнулся):
-Имя домена в /etc/krb5.conf надо писать большими буквами
-Имя домена должно быть полным, т.е. domain.local, например

Al, 2007-10-01 в 16:47:37

Дрова для принтеров HP отлично ставятся с HPLIP.
С стандартными купсовыми дровами на сетевом HP 2420 была ошибка "Unsupported format 'application/postscript'!"

Al, 2007-10-01 в 19:10:52

шоб дрова для расшаренного на CUPS принтере автоматически ставились с нашего сервака надо поставить(а мож и не обязательно,но я поставил, cups-samba) и запустить cupsaddsmb -U root -v -a для установки дров для всех принтеров.Если дрова на ставятся- читайте раздел man по cupsaddsmb из веб-интерфейса.Там надо неск. файлов из винды копирнтуть:)

Al, 2007-10-02 в 15:57:17

если cupsaddsmb пишет ошибки (или долго не отвечает) - тогда cupsaddsmb -H localhost -U root -h localhost -a -v и пытаемся делать пошагово то,на что он пишет ошибку

Al, 2007-10-02 в 18:32:22

При настройке принт-сервака с cups-samba при вызове "rpcclient SRV -U root -c 'setdriver printer printer'" (вызывается при выполнении cupsaddsmb) если появляется ошибка WERR_ACCESS_DENIED возможно два варианта решения:
1) в секции [global] дописываем 'use client driver = no' - говорит клиенту стягивать дрова на приттер с нашего cups-сервака
2)Меняем /etc/pam.d/login на стандартный и smb.conf - на дефолтовый,при этом убираем из него все "лишнее",оставляя минимум.
После завершения установки дров все ставим на место и рестартим самбу.

Al, 2007-10-09 в 19:05:29

Если в логах кламава "vfs_init failed for service share", то меняем в smb.conf модуль с "vscan-oav" на "vscan-calmav"

Александр, 2007-10-10 в 15:18:44

Уважаемые! При установки из портов вылетает ошибка
/usr/ports/net/samba3/>make && make install && make clean
===>  Vulnerability check disabled, database not found
===>  Found saved configuration for samba-3.0.21b,1
===>  -------------------------------------------
===>  Run 'make config' to (re)configure the port
===>  -------------------------------------------
===>  Extracting for samba-3.0.21b,1
=> MD5 Checksum OK for samba-3.0.21b.tar.gz.
=> SHA256 Checksum OK for samba-3.0.21b.tar.gz.
===>  Patching for samba-3.0.21b,1
===>  Applying FreeBSD patches for samba-3.0.21b,1
File to patch:
No file found--skip this patch? [n]
File to patch:

непойму что еиу надобно?

Afanas, 2007-10-25 в 9:46:11

в настройке файла "/etc/pam.d/login" у вас указан параметр "no warM", а в стандартном конфиге написано "no warN". Где правильно? :)

Al, 2007-10-30 в 20:39:42

У меня отказалась входить в домен,пока не прописал в DNS

shimbek, 2008-03-17 в 16:07:19

Машина FreeBSD 7.0 не добавляется в домен, подскажите где копать.

gw2# net ads join -U shim
shim's password:
[2008/03/17 16:04:32, 0] libads/kerberos.c:ads_kinit_password(228)
 kerberos_kinit_password shim@firma.LOCAL failed: Response too big for UDP, retry with TCP
Failed to join domain: NT_STATUS_PROTOCOL_UNREACHABLE

simplexe, 2008-04-01 в 12:17:27

shimbek, а в krb5.conf сервер KDC и smb.conf pasword server че написано?

Kolesya, 2008-04-14 в 11:03:52

Пришлось пересобрать самбу 3.0.28. Фря 6.2.
Вылетала с ошибкой
...
libsmb/clikrb5.c: In function `krb5_set_real_time':
libsmb/clikrb5.c:128: error: dereferencing pointer to incomplete type
libsmb/clikrb5.c:129: error: dereferencing pointer to incomplete type
...
Решилось так.
cd /usr/ports/security/krb5
make install
cd /usr/ports/net/samba3
make KRB5_HOME=/usr/local
make install
Подробности здеся [url=http://www.mail-archive.com/freebsd-net@freebsd.org/msg23632.html
]

simplexe, 2008-04-17 в 8:55:13

>>Пришлось пересобрать самбу 3.0.28. Фря 6.2.
>>вылетала с ошибкой

надо просто удалить heidmal и все будет ок.

кстати ACL например на /home или на любых каталогах не важных для системы можно врубить без однопользовательского режима:
umount -f /home
дальше по инструкции
mount /home
и все ок, проверяем:
mount | grep /home

/dev/mfid0s1g on /home (ufs, local, soft-updates, acls)

вот и все =)

jam, 2008-05-21 в 8:00:52

Однако есть проблема, acl включены, юзеры нормально ходят по шарам, но права на папки нельзя раздать правой кнопкой (( При добавлении группы юзеров на папку пишет Отказано в доступе. Что ей еще нужно...

jam, 2008-05-21 в 8:04:57

А если просто галочками на папку выставить разрешения, по по нажатии на кнопку применить они исчезают и ничего не происходит. В чем может быть дело ?

Leech, 2008-07-15 в 9:25:38

voffka, 2006-09-22 в 12:13:42

при вводе самбы в домен net ads join -U user
пишет....
Using short domain name — DOM
Failed to set servicePrincipalNames. Please ensure that
the DNS domain of this server matches the AD domain,
Or rejoin with using Domain Admin credentials.
Disabled account for 'BSD' in realm 'DOM.DOMAIN.RU'

в чем может быть дело?
Билетик от кербероса получен!

----------------------------------------------------
Залезьте на свой DNS скорее всего он у вас на машине с AD и добавьте руками запись для него в DNS. Также в оснастке "Пользователи и комп.." активируйте свой хост, по умолчанию он почемуто в дизабле.

shadowj, 2008-10-09 в 15:08:14

Ставил месяц на двух машинах - Фряха 6.1 действительно не прет
а именно могёт найти Си-шные библиотеки для работы с базами group, passwd
так что при авторизации юзеров оно просто тупо не пускает их будто бы пароль не верный
Могло бы помочь тупо залить те несколько файлов что требует винбинд (списки их мона глянуть /var/log/cron)
это все возможные комбинации из
get (end, set) + pw (gr) + ent.c (ent_r.c)

?_? я бы с портов постаил керб но у мня безопасность не дает на фтп доступ

ЗюЫю Гном засранец убивает меня переключение раскладки

lvl_nmbr_0, 2008-10-16 в 21:12:08

Сделал все как в примере точ в точ (разве что домен другой - .STUDY.LOCAL). Билет кербкрос на неделю выдает. Однако при запуске самбы не грузится Winbind - ошибки выдает следующие:

smb winbindd[83882]: [дата тартата] nsswitch/winbindd_util.c:init_domain_list(518)
smb winbindd[83882]: Could not fetch our SID - did we join?
smb winbindd[83882]: [дата тартата] nsswitch/winbindd.c:main(1051)
smb winbindd[83882]: unable to initalize domain list

lvl_nmbr_0, 2008-10-18 в 1:23:47

Усе. разобрался сам с этими ошибками... у меня просто не был отредактирован файл host должным образом -)

nebo2140, 2008-11-11 в 16:19:09

SUPER Статья! Агромный респект! /начинающий админ linux suse

Xtremist, 2009-09-15 в 17:34:29

Столкнулся с такой проблемой: перешел на домен WIN 2008 Server, перестали в SAMBA авторизовываться юзеры. Переустановки самбы, kerberos не помогли.
kinit пишет:
krb5_get_init_creds: Response too big for UDP, retry with TCP

Частичное решение здесь
Проблема оказалась kerberos, сразу скажу  ниче переставлять не надо на другом серваке заработало.

1. Если нет, то создаем /etc/krb5.conf или в него копируем  из /var/db/samba/smb_krb5/krb5.conf.DOMAIN
2. В имени домен контроллеров дописываем tcp/ Например:
[realms]
       DOMAIN.RU = {
       kdc = tcp/dc.domain.ru
       }
3. kinit заработал получил тикет сразу
net ads join  - вывалило ошибки
kinit succeeded but ads_sasl_spnego_krb5_bind failed: Response too big for UDP, retry with TCP

помогло просто
net join

PS
у файл /var/db/samba/smb_krb5/krb5.conf.DOMAIN флаги не менял

kldload hands.ko, 2010-03-05 в 11:59:37

Статья отличная.
Вообще сайт замечательный. А по поводу недостаточно подробных камментов - Инет юзверю зачем дан? А мозг?

pochikau, 2017-03-21 в 16:54:28

самый удачный пример разграничения прав
очень помог спасибо
[films]
 comment = Films, films, films
 path = /var/shares/films
 read list = "@KK\Domain Users"
 write list = "@KK\Domain Admins"
 read only = No
 create mode = 666
 directory mode = 666
 create mask = 0666
 directory mask = 0777


Оставьте свой комментарий:
Ваше имя:   *
e-mail:  
жирный
наклонный
подчёркнутый
ссылка
цвет
Нынешний год:   *
 


Хостинг HOST-FOOD

2014-07-27, lissyara
gmirror

Удалённое создание софтверного зеркала средствами gmirror, на диске разбитом с использованием gpart. Использование меток дисков для монтирования разделов.
2013-08-20, zentarim
Scan+Print server FreeBSD 9

Настройка сервера печати и сервера сканирования под управлением операционной системы FreebSD 9 для МФУ Canon PIXMA MP540
2011-11-20, BlackCat
Разъём на WiFi-карту

Делаем съёмной несъёмную антену на WiFi-карте путём установки ВЧ-разъёма
2011-09-14, manefesto
Настройка git+gitosis

Настройка системы контроля версия исходного кода в связке git+gitosis+ssh
2011-08-14, zentarim
Wi-FI роутер + DHCP + DNS

Настройка Wi-Fi роутера на Freebsd 8 + DNS сервер + DHCP сервер: чтобы Wi-Fi клиенты были в одной подсети с проводными, проводные и беспроводные клиенты получали адреса автоматически по DHCP, кэширующ
2011-06-15, -ZG-
Охранная система на FreeBSD+LPT

В этой статье описана попытка реализации простой охранной системы на базе FreeBSD с подключением к ней охранных устройтсв на LPT порт и видеорегистрацией.
2011-03-13, terminus
ng_nat

Описание работы ng_nat, практическое использование, достоинства и недостатки в сравнении с ipfw nat
2011-02-20, Капитан
Nagios+Digitemp

Статья описывает создание системы оповещения о превышении температуры в специальных помещениях на основе Nagios с использованием программы Digitemp.
2011-02-17, Le1
Zyxel Configuration

Скрипт для массового изменения конфига свичей Zyxel. Берет из файла iplist список ip-шек, заходит последовательно на каждый и выполняет комманды из файла commands, записывая происходящее в лог файл.
2011-02-16, fox
hast carp zfs ucarp cluster

HAST (Highly Available Storage), CARP, UCARP, ZFS, Cluster настройка и одаптация плюс личные размышления…
2011-02-04, BlackCat
Восстановление ZFS

История о том, как был восстановлен развалившийся RAIDZ ZFS-пул (перешедший в FAULTED) с помощью скотча и подручных средств. Или о том, какие приключения ожидают тех, кто не делает резервных копий.
2011-02-03, Капитан
1-Wire

Статья описывает самостоятельное изготовление контроллера DS9097 для съёма показаний с датчиков температуры DS1820 с помощью программы Digitemp.
2011-01-28, Капитан
Температура в серверной

Статья описывает построение системы наблюдения за температурой в помещении серверной с использованием программы Digitemp и выводом графиков в MRTG
2011-01-21, m4rkell
Syslog server

Как то буквально на днях, у нас завалилось, что то в еве) или не в еве не суть. Суть в том, что когда захотели снять логи с хостов esx обнаружили, что хранят эти негодяи логии только за последнии сутк
2011-01-07, lissyara
Canon/gphotofs

Монтирование цифровых фотоаппаратов Canon (PTP) как файловой системы, автоматизация этого процесса через события devd и внешние скрипты.
2010-12-13, Al
IPSec

Описание принципов работы IPSEC и способов аутентификации.
2010-12-07, manefesto
FreeBSD on flash

Было принято решении переехать на USB Flash и установить минимальный джентельменский набор для работы своего роутера. Делаем =)
2010-12-05, Fomalhaut
root ZFS, GPT

Инструкция по установке FreeBSD с использованием в качестве таблицы разделов GPT и в качестве основной файловой системы - ZFS
2010-09-05, Cancer
Настройка аудиоплеера на ximp3

Цели: Простенький аудиоплеер, для того что бы тетя продавец в магазине утром пришла нажала на кнопку Power и заиграла в зале музыка, так же был доступ по сети, общая шара куда можно заливать музыку, к
2010-08-31, Cancer
Установка и настройка OpenVPN

На днях появилась задача - объединить головной офис и 3 филиала в одну сеть через интернет посредством OpenVPN, чтобы люди могли подключаться через RDP к базам 1С на серверах.
2010-08-25, manefesto
freebsd lvm

Использование linux_lvm для работы с LVM разделами из-под FreeBSD. Проблемы которые возники при монтирование lvm раздела
2010-04-30, gonzo111
proftpd file auth&quota

Proftpd - квоты и авторизация из файлов, без использования базы данных и/или системных пользователей
2010-04-22, lissyara
tw_cli

Пошаговая инструкция по восстановлению RAID на контроллере 3ware, из которого выпал один диск. Настройка мониторинга состояния рейда и отчётов о его состоянии на email.
2010-04-14, fox
MySQL Master+Master

MySQL (Master Master) and (Master Slave) Как настроить репликацию…
2010-03-09, terminus
DNS zones

Краткий ликбез про управление DNS зонами. Примеры проведения делегирования прямых и обратных DNS зон.
2010-03-09, aspera
Squid+AD (group access)

Настройка прокси сервера SQUID с автроризацией пользователей в AD. Разделение пользователей на группы
2010-03-02, BlackCat
Шлюз: Часть 4

Настройка дополнительных сервисов: синхронизация времени (OpenNTPD), клиент DynDNS.org.
2010-03-01, BlackCat
Шлюз: Часть 3

Настройка DHCP и DNS серверов для работы внутри частной сети, c поддержкой внутренних (частных зон) DNS, а так же интеграция DHCP и DNS сервисов.
подписка

    вверх      
Статистика сайта
Сейчас на сайте находится: 10 чел.
За последние 30 мин было: 44 человек
За сегодня было
6217 показов,
759 уникальных IP
 

  Этот информационный блок появился по той простой причине, что многие считают нормальным, брать чужую информацию не уведомляя автора (что не так страшно), и не оставляя линк на оригинал и автора — что более существенно. Я не против распространения информации — только за. Только условие простое — извольте подписывать автора, и оставлять линк на оригинальную страницу в виде прямой, активной, нескриптовой, незакрытой от индексирования, и не запрещенной для следования роботов ссылки.
  Если соизволите поставить автора в известность — то вообще почёт вам и уважение.

© lissyara 2006-10-24 08:47 MSK

Коротко о приводном оборудовании и мотор-редукторах: https://render.ru/pbooks/2019-09-11?id=4969

Время генерации страницы 0.0509 секунд
Из них PHP: 44%; SQL: 56%; Число SQL-запросов: 77 шт.
Исходный размер: 211962; Сжатая: 36437