У меня была подобная ситуация. Данные ACL устанавливаются в 2-х местах и должны быть идентичные. Первое - в редакторе групповых политик, второе - каталог данной политики в sysvol\domainname\Policies\{...}. Виндовый сервер сам автоматически применяет параметры безопасности на каталог, с самбой же могут быть приколы. Во первых попробуйте на вашем DC выполнить команду samba-tool ntacl sysvolreset. Вывод команды в студию. Также неплохо было бы уточнить ОС и ФС. Разумеется ФС каталога с самбой(у меня на freebsd это /var/db/samba4).
Ульрих: ок, покажите конфиг самбы(общий и на sysvol) также покажите вывод команды getfacl на [каталог самбы]/sysvol/domainname/Policies/{проблемная политика}
LordNicky: конфиг у меня скромный :)
# Global parameters
[global]
workgroup = TISIZ
realm = TISIZ.LOCAL
netbios name = SERVER-DC
server role = active directory domain controller
server services = smb, rpc, nbt, wrepl, ldap, cldap, kdc, drepl, winbindd, ntp_signd, kcc, dnsupdate
idmap_ldb:use rfc2307 = yes
[netlogon]
path = /var/lib/samba/sysvol/tisiz.local/scripts
read only = No
[sysvol]
path = /var/lib/samba/sysvol
read only = No
Это общий. А что за конфиг на sysvol? Самбу настраивал по вот этой статье unlis.ru/?p=501
И вот что интересно. Виндовая машина не видит КД в списке компов. По имени тоже не заходит.
и вообще у меня КД не является master browsing O_O
LordNicky: по имени пингуется, по айпи и по имени на шары не заходит. Есть пример конфига от Samba4 DC ? А то мне кажется, что мастер у меня в конфиге чего-то не хватает
Конфиг конечно держите, но учтите тот факт, что у меня всё это безобразие крутится на FreeBSD + ZFS. Вам надо больше почитать о настройке именно на debian и ext4. А насчет начальной проблемы - скорее всего проблема именно с несоответствием ACL, как я писал выше. К сожалению, вы используете POSIX ACL, в то время, как у меня NFSv4 ACL, поэтому по конкретно данному вопросу не могу сказать ничего более конкретного.
# Global parameters
[global]
workgroup = DOMAINNAME
realm = DOMAINNAME.LOCAL
netbios name = DС
server role = active directory domain controller
server services = s3fs, rpc, nbt, wrepl, ldap, cldap, kdc, drepl, winbindd, ntp_signd, kcc, dnsupdate
idmap_ldb:use rfc2307 = yes
winbind use default domain = yes
nsupdate command = /usr/local/bin/nsupdate -g
rndc command = /usr/local/sbin/rndc
unix charset = UTF8
log level = 2
log file = /var/log/samba4/log.samba
interfaces = vlan2
bind interfaces only = yes
printing = bsd
printcap name = /dev/null
unix extensions = no
enable core files = yes
kernel change notify = No
use sendfile = off
server max protocol = SMB3
ldap server require strong auth = no
[share]
path = /mnt/share
comment = main share
public = no
browseable = yes
writable = yes
read only = no
printable = no
case sensitive = no
posix locking = yes
nt acl support = yes
inherit permissions = yes
inherit owner = yes
ea support = yes
store dos attributes = yes
map hidden = no
map system = no
map archive = no
map readonly = no
map acl inherit = yes
csc policy = disable
vfs objects = zfsacl,xattr_tdb,svf_clamav
nfs4:mode = special
nfs4:acedump = merge
nfs4:chown = yes
zfsacl: acesort = dontcare
xattr_tdb:file = /var/db/samba4/private/shares_xattrs/share.tdb
svf_clamav:socket path = /var/run/clamav/clamd.sock
svf_clamav:scan on open = yes
svf_clamav:scan on close = no
svf_clamav:infected file action = quarantine
svf_clamav:quarantine prefix = vir.
svf_clamav:quarantine directory = /var/log/quarantine
[profiles]
path = /mnt/profiles
comment = user profiles
read only = no
vfs objects = zfsacl,xattr_tdb,svf_clamav
zfsacl: acesort = dontcare
xattr_tdb:file = /var/db/samba4/private/shares_xattrs/profiles.tdb
svf_clamav:socket path = /var/run/clamav/clamd.sock
svf_clamav:scan on open = yes
svf_clamav:scan on close = no
svf_clamav:infected file action = quarantine
svf_clamav:quarantine prefix = vir.
svf_clamav:quarantine directory = /var/log/quarantine
[netlogon]
path = /var/db/samba4/sysvol/lencor.local/scripts
read only = No
LordNicky: че за глюки. NMAP порты открытые видит
22/tcp open ssh
53/tcp open domain
88/tcp open kerberos-sec
111/tcp open rpcbind
135/tcp open msrpc
139/tcp open netbios-ssn
389/tcp open ldap
445/tcp open microsoft-ds
464/tcp open kpasswd5
636/tcp open ldapssl
1024/tcp open kdm
3268/tcp open globalcatLDAP
3269/tcp open globalcatLDAPssl
Но при этом в шары зайти нельзя и вообще КД не виден
также настоятельно рекомендую почитать https://wiki.samba.org/index.php/User_Documentation
сам в первый раз тоже настраивал по инструкции, типа вашей, но в итоге в этих инструкциях обычно не раскрыты все подводные камни + они имеют обыкновение устаревать.
Ульрих: у меня подобная ситуация встречалась, когда компы определяли локальную сеть, как общедоступную. локально на DC что на это отвечает? smbclient -L localhost -U%
LordNicky: на компе стоит "доменная сеть". В логах какая-то ерунда
STATUS=daemon 'samba' finished starting up and ready to serve connections
[2016/04/27 16:31:27.958511, 0] ../source4/smb_server/smb2/sesssetup.c:242(smb2srv_cleanup_session_destructor)
free session[0xb891a840]
[2016/04/27 16:32:45.951310, 0] ../source4/smb_server/smb2/sesssetup.c:242(smb2srv_cleanup_session_destructor)
LordNicky: вот что значит утро и свежие мозги :) Дело оказалось тут:
server services = smb, rpc, nbt, wrepl, ldap, cldap, kdc, drepl, winbindd, ntp_signd, kcc, dnsupdate
Вместо устаревшего smb нужно использовать s3fs. Собственно, что мы и видим у тебя в конфиге) Еще раз спасибо за помощь!
Простой
Средний
