Предупреждение в Samba4?

Question

[Ульрих]

Всем привет!

Поднял КД на Samba4, всё работает, виндовые машины в него входят. Раздражает меня вот это предупреждение


Гугл говорит, что возможно что-то неправильно в правах на ГП. У меня всё по умолчанию и вот так:


У кого есть КД на Win2008R2, скиньте скриншот, как у вас, для сравнения.

ОТВЕТ для тех, кому лень читать комментарии. Данная ошибка в этом конкретном случае была из-за недоступности шары sysvol

Answer 1

[LordNicky]

У меня была подобная ситуация. Данные ACL устанавливаются в 2-х местах и должны быть идентичные. Первое - в редакторе групповых политик, второе - каталог данной политики в sysvol\domainname\Policies\{...}. Виндовый сервер сам автоматически применяет параметры безопасности на каталог, с самбой же могут быть приколы. Во первых попробуйте на вашем DC выполнить команду samba-tool ntacl sysvolreset. Вывод команды в студию. Также неплохо было бы уточнить ОС и ФС. Разумеется ФС каталога с самбой(у меня на freebsd это /var/db/samba4).

Comments

[Ульрих]

Спасибо за ответ!
$samba-tool ntacl sysvolreset
Please note that POSIX permissions have NOT been changed, only the stored NT ACL

ОС Debian 8, ФС ext4
fstab на раздел
UUID=81f57d81-91b7-4117-8de8-be2402c7b0d2 / ext4 errors=remount-ro,user_xattr,acl,barrier=1 0 1

[Ульрих]

После samba-tool ntacl sysvolreset теперь вместо того предупреждения пишет, что "длина выданной программой команды слишком велика"

[LordNicky]

Ульрих: ок, покажите конфиг самбы(общий и на sysvol) также покажите вывод команды getfacl на [каталог самбы]/sysvol/domainname/Policies/{проблемная политика}

[LordNicky]

Ульрих: еще попробуйте по сети зайти на DC и посмотреть виндовыми средствами политики, выставленные на данный каталог. скрин в студию.

[Ульрих]

LordNicky: конфиг у меня скромный :)
# Global parameters
[global]
workgroup = TISIZ
realm = TISIZ.LOCAL
netbios name = SERVER-DC
server role = active directory domain controller
server services = smb, rpc, nbt, wrepl, ldap, cldap, kdc, drepl, winbindd, ntp_signd, kcc, dnsupdate
idmap_ldb:use rfc2307 = yes

[netlogon]
path = /var/lib/samba/sysvol/tisiz.local/scripts
read only = No

[sysvol]
path = /var/lib/samba/sysvol
read only = No

Это общий. А что за конфиг на sysvol? Самбу настраивал по вот этой статье unlis.ru/?p=501
И вот что интересно. Виндовая машина не видит КД в списке компов. По имени тоже не заходит.
и вообще у меня КД не является master browsing O_O

[LordNicky]

Ульрих: на sysvol вы показали, я имел ввиду как раз настройки шары.
раньше видела? файрвол? самба не выпадает с ошибкой? в процессах висит?
посмотрите эту статью https://wiki.samba.org/index.php/Shares_with_Windo...

[Ульрих]

LordNicky: нет, в iptables всё ACCEPT по умолчанию. Самба работает. В процессах и nmbd и smbd есть...

[LordNicky]

а вообще DC пингуется по имени/адресу? на шару по адресу пробовали заходить?

[Ульрих]

LordNicky: по имени пингуется, по айпи и по имени на шары не заходит. Есть пример конфига от Samba4 DC ? А то мне кажется, что мастер у меня в конфиге чего-то не хватает

[Ульрих]

LordNicky: при этом я могу редактировать пользователей и групповые политики

[LordNicky]

Конфиг конечно держите, но учтите тот факт, что у меня всё это безобразие крутится на FreeBSD + ZFS. Вам надо больше почитать о настройке именно на debian и ext4. А насчет начальной проблемы - скорее всего проблема именно с несоответствием ACL, как я писал выше. К сожалению, вы используете POSIX ACL, в то время, как у меня NFSv4 ACL, поэтому по конкретно данному вопросу не могу сказать ничего более конкретного.

# Global parameters
[global]
workgroup = DOMAINNAME
realm = DOMAINNAME.LOCAL
netbios name = DС
server role = active directory domain controller
server services = s3fs, rpc, nbt, wrepl, ldap, cldap, kdc, drepl, winbindd, ntp_signd, kcc, dnsupdate
idmap_ldb:use rfc2307 = yes
winbind use default domain = yes
nsupdate command = /usr/local/bin/nsupdate -g
rndc command = /usr/local/sbin/rndc
unix charset = UTF8
log level = 2
log file = /var/log/samba4/log.samba
interfaces = vlan2
bind interfaces only = yes
printing = bsd
printcap name = /dev/null
unix extensions = no
enable core files = yes
kernel change notify = No
use sendfile = off
server max protocol = SMB3
ldap server require strong auth = no

[share]
path = /mnt/share
comment = main share
public = no
browseable = yes
writable = yes
read only = no
printable = no
case sensitive = no
posix locking = yes
nt acl support = yes
inherit permissions = yes
inherit owner = yes
ea support = yes
store dos attributes = yes
map hidden = no
map system = no
map archive = no
map readonly = no
map acl inherit = yes
csc policy = disable
vfs objects = zfsacl,xattr_tdb,svf_clamav
nfs4:mode = special
nfs4:acedump = merge
nfs4:chown = yes
zfsacl: acesort = dontcare
xattr_tdb:file = /var/db/samba4/private/shares_xattrs/share.tdb
svf_clamav:socket path = /var/run/clamav/clamd.sock
svf_clamav:scan on open = yes
svf_clamav:scan on close = no
svf_clamav:infected file action = quarantine
svf_clamav:quarantine prefix = vir.
svf_clamav:quarantine directory = /var/log/quarantine

[profiles]
path = /mnt/profiles
comment = user profiles
read only = no
vfs objects = zfsacl,xattr_tdb,svf_clamav
zfsacl: acesort = dontcare
xattr_tdb:file = /var/db/samba4/private/shares_xattrs/profiles.tdb
svf_clamav:socket path = /var/run/clamav/clamd.sock
svf_clamav:scan on open = yes
svf_clamav:scan on close = no
svf_clamav:infected file action = quarantine
svf_clamav:quarantine prefix = vir.
svf_clamav:quarantine directory = /var/log/quarantine

[netlogon]
path = /var/db/samba4/sysvol/lencor.local/scripts
read only = No

[sysvol]
path = /var/db/samba4/sysvol
read only = No
hide dot files = Yes
vfs objects = zfsacl,xattr_tdb
zfsacl: acesort = dontcare
xattr_tdb:file = /var/db/samba4/private/shares_xattrs/sysvol.tdb

[Ульрих]

LordNicky: че за глюки. NMAP порты открытые видит
22/tcp open ssh
53/tcp open domain
88/tcp open kerberos-sec
111/tcp open rpcbind
135/tcp open msrpc
139/tcp open netbios-ssn
389/tcp open ldap
445/tcp open microsoft-ds
464/tcp open kpasswd5
636/tcp open ldapssl
1024/tcp open kdm
3268/tcp open globalcatLDAP
3269/tcp open globalcatLDAPssl

Но при этом в шары зайти нельзя и вообще КД не виден

[LordNicky]

также настоятельно рекомендую почитать https://wiki.samba.org/index.php/User_Documentation
сам в первый раз тоже настраивал по инструкции, типа вашей, но в итоге в этих инструкциях обычно не раскрыты все подводные камни + они имеют обыкновение устаревать.

[Ульрих]

LordNicky: локально шары тоже видны
smbclient //localhost/netlogon -UAdministrator -c 'ls'

Domain=[TISIZ] OS=[Unix] Server=[Samba 4.2.10-Debian]
. D 0 Fri Apr 15 08:09:39 2016
.. D 0 Fri Apr 15 08:10:36 2016

121528440 blocks of size 512. 113051408 blocks available

[LordNicky]

Ульрих: у меня подобная ситуация встречалась, когда компы определяли локальную сеть, как общедоступную. локально на DC что на это отвечает? smbclient -L localhost -U%

[Ульрих]

LordNicky: один в один как в инструкциях:
smbclient -L localhost -U%
Domain=[TISIZ] OS=[Unix] Server=[Samba 4.2.10-Debian]

Sharename Type Comment
--------- ---- -------
netlogon Disk
sysvol Disk
IPC$ IPC IPC Service
Domain=[TISIZ] OS=[Unix] Server=[Samba 4.2.10-Debian]

Server Comment
--------- -------

Workgroup Master
--------- -------

[LordNicky]

Ульрих: на локальном компе настройки сети(в смысле частная или нет. проверьте. ну и дальше смотрите логи самбы.

[Ульрих]

LordNicky: на компе стоит "доменная сеть". В логах какая-то ерунда
STATUS=daemon 'samba' finished starting up and ready to serve connections
[2016/04/27 16:31:27.958511, 0] ../source4/smb_server/smb2/sesssetup.c:242(smb2srv_cleanup_session_destructor)
free session[0xb891a840]
[2016/04/27 16:32:45.951310, 0] ../source4/smb_server/smb2/sesssetup.c:242(smb2srv_cleanup_session_destructor)

[Ульрих]

LordNicky: рабочий день закончился, продолжу завтра. Спасибо, что проявляете интерес :)

[LordNicky]

Ульрих: удачи)

[Ульрих]

LordNicky: вот что значит утро и свежие мозги :) Дело оказалось тут:
server services = smb, rpc, nbt, wrepl, ldap, cldap, kdc, drepl, winbindd, ntp_signd, kcc, dnsupdate

Вместо устаревшего smb нужно использовать s3fs. Собственно, что мы и видим у тебя в конфиге) Еще раз спасибо за помощь!

[Ульрих]

LordNicky: и первоначальные ошибки пропали. Похоже они были из-за недоступности sysvol