Архив форумов ЦИТФорума

[Bancal]

Скомплировал последнюю версию самбы с включенным внбиндом. Проблема в том, что сам компьютер успещно добавляется в домен, но wbinfo никакой информации о доменных пользователях давать не хочет.

[and3008]

По моему в доках же написано, что winbind работает только по Линухом. Под FreeBSD пока не сделали.

[Dmitry.Karpov http://www.]

Насколько я понимаю, от операционке Самбе нужны только TCP и UDP (ну, еще BIND/DNS и файловая система), а все остальное (собственно, сам NetBIOS) Самба реализует сама. Ну, я бы мог понять, если бы Самбу пытались перевести под IPX - реализации IPX несколько различаются в разных Юниксах; но если сделана какая-то NetBIOS-функция поветх TCP/IP, то она должна одинаково работать во всех Юниксах, где вообще работает Самба (IMHO)...

[and3008]

http://de.samba.org/samba/ftp/docs/htmldocs/winbind.html

Раздел Limitations

Все упирается в C-шные библиотеки доступа к NIS и PAM

[Dmitry.Karpov http://www.]

На http://de.samba.org/samba/ftp/docs/htmldocs/winbind.html я прочел, что требуются библиотеки доступа к NSS и PAM. Не знаю насчет NSS, но PAM работает на FreeBSD уже давно - чуть ли не 4.2 (на 4.4 точно есть). Правда, не знаю, есть ли для FreeBSD smbauth...

[Bancal]

В скачанном пакадже winbind'а не нашел. Видимо не работает.

[and3008]

-

[Dmitry.Karpov http://www.]

-

[and3008]

NSS - Name Service Switch

По моему так...

[Dmitry.Karpov http://www.]

Расшифровку названия я видел в статье - меня интересует, зачем надо переключать сервис имен. Это что - попытка совместить имена NetBIOS и DNS? Так их проще совместить через DDNS или лучше статически прописать в DNS...

[Bancal]

Я руководствовался вот этой статьей
http://www.34.ru/doc/samba/htmldocs/winbind.html

[and3008]

Я уже вконец с этими NIS и NSS запутался. Ты, Дима меня запутал.

Итак постановка проблемы:
Надо на Linux-e обеспечить сквозную аутентификацию клиента, а список юзверей и пароли надо брать с Windows NT. Вызвано это тем, что уже имеется инфраструктура домена Windows NT, заведена качу пользователей и вести параллельный список на Linux просто влом или невозможно (уж больно их много).

Решение:
С паролями все ясно. В smb.conf делаем security=domain, password server = PDC,BDC1,BDC2, encrypt passwords = yes
И собственно дело в шляпе, НО!
Далеко не все программы умеют работать через Самбу, но практически все можно заставить работать через PAM.
Так появился модуль smbauth
Есть еще одна задача. Сделать полную интеграцию с Windows NT. Например права доступа к каталогам развать на основании имен с сервера Windows NT.
Собственно нечто подобное уже есть. Это старый дабрый NIS. Вот winbind и является этаким небольшим специализированным NIS-сервачком.

Работает это по моим впечатлениям как-то коряво. Я запустил telnet и ftp через winbind, проде как работали квоты, но сам winbind жрет довольно много русорсов процессора и я от него отказался.

[Dmitry.Karpov http://www.]

Опять почему-то всплыл NIS, а про NSS ничего непонятно.

Кстати, Samba давно уже имеет средства синхронизации своего списка юзеров/паролей smbpasswd с системным /etc/passwd через скрипты-хуки add_user_script и passwd_program и другие - для этого надо сделать Самбу контроллером домена. Если Самба уже умеет быть BDC (2.1 не умела), то я вобще не вижу никаких проблем...

[and3008]

NSS. Это окончательное слово.

Вот первая строчка из man winbindd

winbindd - Name Service Switch daemon for resolving names from NT servers


Samba пока не умеет быть BDC. И вряд ли будет уметь, т.к. сама Микрософт от этой идеологии отказалась.
Следующая версия Самбы будет больше похожа на W2K с поддержкой AD (читай LDAP), Kerberos и т.п. фенечками.

В текущей версии Самбы уже есть экспериментальная поддержка LDAP, но вот UNIX-овый Kerberos не совместим с Kerberos W2k. Ждем-с пока прийдут к консенсусу.

[Bancal]

Расскажи подробнее про модуль smbauth.
Ткни пальцем в документацию. После сборки самбы я его не нашел

[Dmitry.Karpov http://www.]

Вооьще-то "smbauth" - это модуль авторизации для Squid через Самбу, причем довольно кривой - проверяет правА на доступ к WWW через чтение файла smbclient'ом. Выше я имел в виду некий PAM-модуль, способный проверять соответствие имен и паролей юзеров через Самбу. Я слышал термины libpam_smb и pam_smb.

Попробуйте http://search.rambler.ru/cgi-bin/rambler_search?words=PAM+Samba

[Bancal]

Мне не удалось заставить его работать под FreeBSD 4.4. Привязал PAM-модуль к программе входа в систему (logon), однако не могу войти на Unix-хост под NT аккаунтом. В журнале безопасности NT за успешным логином сразу же следовал успешный логофф. Насколько это нормально для PAM-авторизации, я не знаю.

[Dmitry.Karpov http://www.]

pam_smb должен сначала проверить соотвествие имени и пароля - отсюда logon. А больше ему от SMB (он же NetBIOS, он же M$-сеть, он же Windows Domains) ничего не нужно, вот он чтобы разгрузить сервер от необходимости помнить, что данный юзер вошел, сразу выходит. А вот почему pam_smb не возвращает сообщение, что залогиниться удалось - странно...
Может, не удается сопоставить Windows-SID с Unix-UID? Попробуй создать этого узера без пароля...