linux 5.3 管理系统下搭建samba详解

samba

SMB (server message block )服务消息块协议

windows之间的共享 网上邻居 cifs ( common interface file system)

mount -t cifs -o username=administrator //IP/共享名 /mnt

linux之间的共享 nfs network file system

linux与windows之间 samba

samba使用netbios （network basic input and output system)

netbeui (netbios extened user interface)

samba 通过两个守护进程来控制

nmbd 用来管理工作组,netbios名的解析等 udp 137,138端口

smbd 用来管理samba主机共享的目录，档案 tcp 139,445

特点：

1，能够支持更详细的访问控制

2，能够跨平台（linux和windows）共享文件

[root@li ~]# yum list |grep samba

This system is not registered with RHN.

RHN support will be disabled.

samba-common.i386 --公共的工具包，包括samba.conf和检测其语法的测试工具testparm

samba.i386 --samba服务端

samba-client.i386 --客户端的工具指令

samba-swat.i386 --图形化samba配置工具，其于web接口

[root@~]# yum install samba* -y

服务器端主配置文件： /etc/samba/smb.conf

netbios名与ip对应文件 /etc/samba/lmhosts

密码存放文件: /etc/samba/passdb.tdb --用sampasswd -a加入用户后就存在了

日志文件： /var/log/samba/

man smb.conf --查找帮助
http://write.blog.csdn.net/postedit/6685426
[root@ ~]# cat /etc/samba/smb.conf |grep -v ^# |grep -v ^$ |grep -v ^";"|grep -v "#"

[global] --定义全局的参数

workgroup = MYGROUP --定义工作组

server string = Samba Server Version %v --定义服务器的描述

security = user --定义工作模式：share,user,domain,ads

passdb backend = tdbsam --使用本地的.tdb文件保存账号密码

load printers = yes --加载打印机

cups options = raw --打印机类型

[homes] --保留的的资源名

comment = Home Directories

browseable = no

writable = yes

[printers] --保留的资源名

comment = All Printers

path = /var/spool/samba

browseable = no

guest ok = no

writable = no

printable = yes

security =

share 不用密码，包括匿名用户

user 使用samba自己的密码资料库

server,domain,ads 使用外部主机的密码

共享目录有关的参数

browseable 是否可见

public 是否让所有可以登入的使用者看到

guest ok 和public一样，使用其中之一就可以

writable 是否可写

read only 是否只读 --这个参数与writable同时存在会有冲突，以后面出现的设定值为主

create mode umask类似

valid users 指定能够进入的使用者

/etc/init.d/smb start

[root@~]# netstat -ntlup | grep bd

tcp 0 0 0.0.0.0:139 0.0.0.0:* LISTEN 3000/smbd

tcp 0 0 0.0.0.0:445 0.0.0.0:* LISTEN 3000/smbd

udp 0 0 10.1.1.45:137 0.0.0.0:* 3003/nmbd

udp 0 0 10.1.1.46:137 0.0.0.0:* 3003/nmbd

udp 0 0 192.168.195.1:137 0.0.0.0:* 3003/nmbd

udp 0 0 192.168.205.1:137 0.0.0.0:* 3003/nmbd

udp 0 0 0.0.0.0:137 0.0.0.0:* 3003/nmbd

udp 0 0 10.1.1.45:138 0.0.0.0:* 3003/nmbd

udp 0 0 10.1.1.46:138 0.0.0.0:* 3003/nmbd

udp 0 0 192.168.195.1:138 0.0.0.0:* 3003/nmbd

udp 0 0 192.168.205.1:138 0.0.0.0:* 3003/nmbd

udp 0 0 0.0.0.0:138 0.0.0.0:* 3003/nmbd

例一.

使用linux的客户端工具做测试：

smbclient - ftp-like client to access SMB/CIFS resources

on servers

[root@li ~]# smbclient -L //10.1.1.45

Password: --直接回车，表示以匿名用户登录，但没有看到共享资源，只有服务器的基本信息

[root@li ~]# smbclient -L //10.1.1.45 -U a --使用用户名登录，登录失败

Password:

session setup failed: NT_STATUS_LOGON_FAILURE

原因：

1，默认security = user 模式，这种模式指定访问用户需要密码，匿名用户除外

2， samba账号有两个要求，一，要求是系统用户 二，要把系统用户通过samba的命令把它加入到samba服务里去

smbpasswd - change a user’s SMB password

[root@ ~]# smbpasswd -a a --把a用户加入到samba用户里

New SMB password:

Retype new SMB password:

Added user a.

[root@li ~]# smbclient -L //10.1.1.45 -U a --再使用a用户登录

Password:

Domain=[LI] OS=[Unix] Server=[Samba 3.0.33-3.14.el5]

Sharename Type Comment

--------- ---- -------

IPC$ IPC IPC Service (Samba Server Version 3.0.33-3.14.el5)

a Disk Home Directories --发现多了一个共享资源，共享资源名为用户名一样

[root@ ~]# smbclient //10.1.1.45/a -U a

Password:

Domain=[LI] OS=[Unix] Server=[Samba 3.0.33-3.14.el5]

smb: \> pwd --查看当前登录的目录

Current directory is
\\10.1.1.45\a\

smb: \> ? --帮助

smb: \> help get --查看get命令的帮助

smb: \> ls --列表

smb: \> put install.log --上传

putting file install.log as \install.log (966.9 kb/s) (average 966.9 kb/s)

smb: \> get vvv

getting file \vvv of size 0 as vvv (0.0 kb/s) (average 0.0 kb/s)

smb: \> rm vvv

上面的实验知道，就是配置段内的homes这个保留资源

[homes] --定义共享资源的名字， 自动变成对应的用户名

comment = Home Directories --资源描述

browseable = no --指定在匿名用户使用－L时是否可见

writable = yes --表示可写，能够上传删除等操作

-------------------------------------------------------

例2. share模式

# vim /etc/samba/smb.conf

[global]

workgroup = MYGROUP

server string = Samba Server Version %v

security = share --在这里把user改为share

passdb backend = tdbsam

load printers = yes

cups options = raw

[homes]

comment = Home Directories

browseable = no

writable = yes

[printers]

comment = All Printers

path = /var/spool/samba

browseable = no

guest ok = no

writable = no

printable = yes

[share] --新定义了一个共享的资源，共享名为share

comment = public for everyone

path = /share --实际共享的资源目录名

guest ok = yes --表示可以匿名访问

browseable = yes

/etc/init.d/smb reload --重装载smb服务

[root@li ~]# smbclient -L //10.1.1.45 --使用匿名用户查看共享资源列表

Password:

Domain=[MYGROUP] OS=[Unix] Server=[Samba 3.0.33-3.14.el5]

Sharename Type Comment

--------- ---- -------

share Disk public for everyone --可以看到这个新的共享资源

[root@li ~]# smbclient //10.1.1.45/share --使用匿名用户登录共享资源名为share

Password:

Domain=[MYGROUP] OS=[Unix] Server=[Samba 3.0.33-3.14.el5]

Server not using user level security and no password supplied.

smb: \> put install.log --匿名用户上传失败

NT_STATUS_ACCESS_DENIED opening remote file \install.log

例3 ，share模式下匿名用户可写

修改配置文件：

[share]

comment = public for everyone

path = /share

guest ok = yes

browseable = yes

writeable = yes --加上这一句，表示可写

/etc/init.d/smb reload

再次上传，还是发现失败

原因：匿名用户登录的时候，samba是使用nobody的身份去操作的，而共享的/share目录权限属性如下，nobody用户是不能写的

[root@li ~]# ll -d /share/

drwxr-xr-x 5 root root 4096 Aug 17 16:27 /share/

修改/share的目录权限，允许nobody用户可写

chmod 757 /share/

[root@li ~]# smbclient //10.1.1.45/share

Password:

smb: \> put install.log --再次上传成功

putting file install.log as \install.log (2486.3 kb/s) (average 2486.3 kb/s)

例四：user模式普通用户可写的情况

[share]

comment = public for users

path = /share

browseable = yes

[root@li ~]# smbclient //10.1.1.45/share -U a

Password:

Domain=[LI] OS=[Unix] Server=[Samba 3.0.33-3.14.el5]

smb: \> put 123 --不能上传

NT_STATUS_ACCESS_DENIED opening remote file \123

[share]

comment = public for everyone

path = /share

browseable = yes

read only = no --和writable = yes一样，表示可写

/etc/init.d/smb reload

[root@li ~]# smbclient //10.1.1.45/share -U a

Password:

Domain=[LI] OS=[Unix] Server=[Samba 3.0.33-3.14.el5]

smb: \> put 123 --再次put上传文件成功

putting file 123 as \123 (0.0 kb/s) (average 0.0 kb/s)

例五：验证writable 参数和 read only参数同时存在的情况

[share]

comment = public for everyone

path = /share

browseable = yes

read only = yes --这里表示只读，也就是不可写

writeable = yes --这里表示可写，与上面的参数冲突，后面的生效，所以应该是可写的

/etc/init.d/smb reload

[root@li ~]# smbclient //10.1.1.45/share -U a

Password:

Domain=[LI] OS=[Unix] Server=[Samba 3.0.33-3.14.el5]

smb: \> put 456 --上传成功，表示可写，验证成功

putting file 456 as \456 (0.0 kb/s) (average nan kb/s)

例六.关于用户互相能删除文件的解决

使用b用户登录/share共享资源，也上传两个文件 678 和 789

查看一下用户上传的文件属性

[root@li ~]# ls /share/ -l

total 60

-rwxr--r-- 1 a a 0 Sep 2 11:39 123

-rwxr--r-- 1 a a 0 Sep 2 11:39 456

-rwxr--r-- 1 b b 0 Sep 2 11:43 678

-rwxr--r-- 1 b b 0 Sep 2 11:43 789

[root@li ~]# smbclient //10.1.1.45/share -U a

smb: \> rm 678

[root@li ~]# smbclient //10.1.1.45/share -U b

smb: \> rm 123

把a用户上传的456改成577，也就是自己对自己的文件没有写权限

[root@li ~]# chmod 577 /share/456

[root@li ~]# ls /share/ -l

total 60

-r-xrwxrwx 1 a a 0 Sep 2 11:39 456

[root@li ~]# smbclient //10.1.1.45/share -U b --用b用户去删除，删除失败

smb: \> rm 456

NT_STATUS_CANNOT_DELETE deleting remote file \456

再次把a用户上传的456改成200，也就是自己对自己的文件只有写权限

[root@li ~]# chmod 200 /share/456

[root@li ~]# ls /share/ -l

total 60

--w------- 1 a a 0 Sep 2 11:39 456

[root@li ~]# smbclient //10.1.1.45/share -U b --用b用户去删除，删除成功

smb: \> rm 456

分析总结： 只要文件的拥有者对这个文件有可写的权限，那么别人就可以删除它 （200权限例子）

文件的拥有者对这个文件没有可写的权限，别人就不能删除它 （577权限的例子）

解决方法：

chmod o+t /share

-------------------------------------------------------------

例七： create mask 和 directory mask 直接定义上传后的文件或者目录的权限

[share]

comment = public for everyone

path = /share

browseable = yes

read only = yes

writeable = yes

create mask = 0555 --表示创建的或者上传的文件权限为555

directory mask = 0666 --表示创建的或者上传的目录权限为666

/etc/init.d/smb restart

例八：user模式下，实现a用户可以上传下载，b用户只能下载，拒绝匿名用户访问

valid users = a,b,@group --只允许a,b用户和group组访问

write list = a，@group --允许写的用户列表

[share]

comment = public for everyone

path = /share

guest ok = no --拒绝匿名用户，或者使用public = no

write list = a --写列表只允许a用户写，表示只允许a用户上传

/etc/init.d/smb reload

测试

例九:user模式下，实现a用户可以上传下载，b用户只能下载，属于smb组的用户可以登录和上传下载，别的普通用户和匿名用户都拒绝

[share]

comment = public for a,b,@smb

path = /share

public = no

valid users = a,b,@smb --注意users不要写成user

write list = a,@smb

[root@li ~]# useradd smb

[root@li ~]# useradd smb2 -g smb

[root@li ~]# smbpasswd -a smb

[root@li ~]# smbpasswd -a smb2

[root@li ~]# id smb

uid=521(smb) gid=521(smb) groups=521(smb)

[root@li ~]# id smb2

uid=522(smb2) gid=521(smb) groups=521(smb)

验证OK

例十： user模式下，实现a上传下载（可以下载c上传的），b只能下载，c只能上传不能下载（但可以下载自己上传的），互相不能删除它人文件，其他用户和匿名用户登录拒绝

此例的关键难点是在c用户只能上传，首先思考什么情况才可以下载

-rw-r----- 1 root root 0 Sep 2 14:04 c1

-rw-r--r-- 1 root root 0 Sep 2 14:28 c2

能否下载的关键就是登录的用户对下载的文件是否有读权限，

所以上面两个文件a用户只能下载c2，不能下载c1

chmod o+t /share

vim /etc/samba/smb.conf

config file = /etc/samba/smb.conf.%U --手动加上这一句，表示针对每个用户都可以单独写一个配置文件,加上上面的全局［global]

[share]

comment = public for a,b,@smb

path = /share

public = no

valid users = a,b,c

write list = a --这里先不写c，在下面c用户自己的配置文件里写

create mask = 0740 --上传文件的权限为740，表示c用户没有r权限，所以c用户下载不了

vim /etc/samba/smb.conf.c --建立一个c用户的单独的配置文件

[share]

comment = share for c

path = /share

writeable = yes --上面的写列表里没有c，所以这里要为yes，表示能上传

create mask = 0404 --第一个4表示c用户上传的权限自己能读，实现的是自己能下载自己上传的需求；第二个4表示a,b用户能读，实现的是a,b用户能够下载c上传的文件

例十一：访问控制

注意写到全局参数［global]下

1,拒绝10.1.1网段

hosts deny ＝ 10.1.1.

1,拒绝10.1.1网段，但是允许10.1.1.20

hosts deny ＝ 10.1.1.

hosts allow = 10.1.1.20

2，拒绝所有，但允许10.1.1网段，但又不允许10.1.1.45

hosts deny = all

hosts allow = 10.1.1. EXCEPT 10.1.1.45

---------------------------------

samba补充知识点：

1，

smbpasswd

-a 添加smb用户

-d 禁用smb用户

-x 删除smb用户

-e 启用被禁用的smb用户

2，

linux客户端的访问除了

smbclient //10.1.1.45/share -U a

还可以挂载

mount -t smbfs -o username=a //10.1.1.45/share /mnt --samba-2.x版本

mount -t cifs -o username=a //10.1.1.45/share /mnt --samba-3.x版本

3，

testparm /etc/samba/smb.conf --测试配置文件

4，网页samba控制工具

yum install samba-swat -y

vim /etc/xinetd.d/swat

service swat

{

port = 901 --端口为901

socket_type = stream

wait = no

only_from = 127.0.0.1 --只允许本地回环访问

user = root

server = /usr/sbin/swat

log_on_failure += USERID

disable = no --把yes改为no代表启动

}

/etc/init.d/xinetd restart

[root@li test]# netstat -ntlup |grep 901

tcp 0 0 0.0.0.0:901 0.0.0.0:* LISTEN 8201/xinetd

访问方法：

http://127.0.0.1:901/ --只能用回环地址访问，因为/etc/xinet.d/swat的定义，

输入smb用户和密码就可以进入

----------------------------------------------------------

DHCP

dynamic host configuration protocol

动态主机配置协议

软件包： dhcp dhcp-devel

yum install dhcp* --安装软件包

vim /etc/dhcpd.conf --主配置文件，默认为空，有下面的信息

# DHCP Server Configuration file.

# see /usr/share/doc/dhcp*/dhcpd.conf.sample

拷贝模块配置文件

cp /usr/share/doc/dhcp-3.0.5/dhcpd.conf.sample /etc/dhcpd.conf

[root@li test]# cat /etc/dhcpd.conf

ddns-update-style interim; --动态更新DNS记录的方式

ignore client-updates; --不启用动态DNS记录的功能

subnet 192.168.195.0 netmask 255.255.255.0 { --DNS所在网段，服务器本身IP一定是固定，而且必须要在同一个网段内

# --- default gateway

option routers 192.168.195.1;--指定客户端获取的默认路由

option subnet-mask 255.255.255.0;--默认路由的掩码

option nis-domain "cluster.org";--客户端获取的NIS域名

option domain-name "cluster.org";--客户端获取的域名

option domain-name-servers 192.168.195.1;--给客户端分配DNS的指向，也就是自动加到客户端的/etc/reslov.conf

option time-offset -18000; # Eastern Standard Time

# option ntp-servers 192.168.1.1;--指定客户端获取的ntp服务器

# option netbios-name-servers 192.168.1.1;

# --- Selects point-to-point node (default is hybrid). Don't change this unless

# -- you understand Netbios very well

# option netbios-node-type 2;

range dynamic-bootp 192.168.195.50 192.168.195.52; --分配给客户端的IP地址范围

default-lease-time 21600; --默认租约时间

max-lease-time 43200; --最大租约时间

# we want the nameserver to appear at a fixed address

host ns { --以MAC地址为基准，静态IP地址与MAC绑定

next-server marvin.redhat.com;

hardware ethernet 12:34:56:78:AB:CD;

fixed-address 207.175.42.254;

}

}

实验，给虚拟机DHCP分配IP，配置文件如上，对应的192.168.195网段是我本机的vmnet1网段

，指定只给虚拟机分配192.168.195.50－192.168.195.52

第一步：

/etc/init.d/dhcpd restart

第二步：

虚拟机把网卡改成连接对应的vmnet1

第三步： 虚拟机上使用dhcp自动获取

第四步：验证

客户端的验证

ifconfig

vim /etc/reslov.conf

route -n

[root@slave ~]# dhclient eth1

Internet Systems Consortium DHCP Client V3.0.5-RedHat

Copyright 2004-2006 Internet Systems Consortium.

All rights reserved.

For info, please visit http://www.isc.org/sw/dhcp/

Listening on LPF/eth1/00:0c:29:fa:8f:4b

Sending on LPF/eth1/00:0c:29:fa:8f:4b

Sending on Socket/fallback

DHCPDISCOVER on eth1 to 255.255.255.255 port 67 interval 6

DHCPOFFER from 192.168.195.1

DHCPREQUEST on eth1 to 255.255.255.255 port 67

DHCPACK from 192.168.195.1

bound to 192.168.195.52 -- renewal in 10119 seconds.

cat /var/log/messages --messages里有DHCP获取IP过程的信息

Sep 2 16:35:31 slave dhclient: DHCPDISCOVER on eth1 to 255.255.255.255 port 67 interval 3

Sep 2 16:35:31 slave dhclient: DHCPOFFER from 192.168.195.1

Sep 2 16:35:31 slave dhclient: DHCPREQUEST on eth1 to 255.255.255.255 port 67

Sep 2 16:35:31 slave dhclient: DHCPACK from 192.168.195.1

Sep 2 16:35:32 slave avahi-daemon[2439]: Joining mDNS multicast group on interface eth1.IPv4 with address 192.168.195.52.

cat /var/lib/dhclient/dhclient-eth1.leases

lease {

interface "eth1";

fixed-address 192.168.195.52;

option subnet-mask 255.255.255.0;

option time-offset -18000;

option routers 192.168.195.1;

option dhcp-lease-time 21600;

option dhcp-message-type 5;

option domain-name-servers 192.168.195.1;

option dhcp-server-identifier 192.168.195.1;

option nis-domain "cluster.com";

option domain-name "cluster.com";

renew 4 2010/9/2 11:14:45;

rebind 4 2010/9/2 13:50:31;

expire 4 2010/9/2 14:35:31;

}

服务端

cat /var/lib/dhcpd/dhcpd.leases

lease 192.168.195.52 {

starts 4 2010/09/02 08:35:32;

ends 4 2010/09/02 14:35:32;

binding state active;

next binding state free;

hardware ethernet 00:0c:29:fa:8f:4b;

}

注意的是：同一个网段不要有多个DHCP服务器，会造成客户端获取的混乱