Хант Крэйг. TCP/IP Сетевое администрирование

Подождите немного. Документ загружается.

302

Глава 9. Локальные службы сети

Клиенты выбирают Add (Добавить), затем Access to Printer (Доступ к прин

теру) из меню Edit (Правка) и вводят имя удаленного принтера и сервера в

открывшемся окне. Серверу, чтобы организовать совместный доступ к прин-

теру, достаточно выбрать Add (Добавить), затем Local Printer (Локальный

принтер) из того же меню и выполнить настройку локального принтера.

Все ОС Unix предоставляют какие-либо механизмы организации совместно

го доступа к принтерам. Задача администратора сети - убедиться, что прин-

теры доступны по сети и соответствующим образом защищены.

Samba и Windows:

совместный доступ к ресурсам

NFS и lpd - это службы совместного доступа к файлам и принтерам для сис-

тем Unix, причем обе являются «родными» приложениями TCP/IP. Службы

совместного доступа к принтерам и файлам в Microsoft Windows работают

на основе протокола NetBIOS (Network Basic Input Output System). Samba со-

единяет эти два мира, обеспечивая совместный доступ к ресурсам систем под

управлением Unix и Windows. Samba - ключ к интеграции систем Unix и

Windows, позволяющий системе Unix быть сервером файлов и печати для

клиентов Windows либо выступать в качестве клиента сервера Windows.

Для обмена данными клиенты и серверы NetBIOS используют протокол SMB

(Server Message Block) - протокол блоков серверных сообщений. Изначаль-

но NetBIOS представлял собой монолитный протокол, самостоятельно пере-

носивший данные от приложения на уровень физической сети. Сегодня Net-

BIOS работает поверх TCP/IP, что позволяет исполнять приложения NetBI-

OS в системах Unix, реализующих семейство протоколов TCP/IP.

Для работы NetBIOS в сети TCP/IP необходимы две вещи: протокол для пе-

редачи данных NetBIOS через стек TCP/IP и способ отображения адресов

NetBIOS в адреса TCP/IP. Протокол транспортировки данных NetBIOS но-

сит название NBT (NetBIOS over TCP/IP), его определение содержится в до-

кументах RFC 1001 и RFC 1002. Отображение адресов выполняет специаль-

ный сервер имен NetBIOS. Samba реализует обе функции.

Службы Samba реализованы в виде пары демонов. Демон SMB (smbd), сердце

Samba, обеспечивает совместный доступ к файлам и принтерам. Демон сер-

вера имен NetBIOS (nmbd) реализует преобразование имен NetBIOS в адреса

IP. NBT требует способа преобразования имен компьютеров NetBIOS, явля-

ющихся адресами сети NetBIOS, в IP-адреса сети TCP/IP.

Samba входит в состав большинства дистрибутивов Linux и устанавливается

в процессе начальной установки системы. В системе Red Hat в процессе за-

грузки системы выполняется сценарий /etc/rc.d/init.d/smb, запускающий

smbd и nmbd. Samba не входит в поставку Solaris 8, однако пакет можно полу-

чить в сети Интернет. Отправляйтесь на сайт http://www.samba.org и выбе-

рите территориально ближайший сервер для загрузки файла.

Stmba и Windows: совместный доступ к ресурсам

303

Нас тройка сервера Samba

Настройки сервера Samba хранятся в файле smb.conf. Взгляните на загру-

зочный сценарий, чтобы выяснить, где, по мнению smbd, находится файл на-

стройки. В системе Red Hat этот файл называется /etc/samba/smb.conf.

К В системе Caldera - /etc/samba.d/smb.conf. Имя по умолчанию, которое фи-

гурирует в большинстве документов по Samba, - /usr/local/samba/lib/

smb.conf. Воспользуйтесь командой find или сверьтесь с загрузочным сцена-

I рием, чтобы определить расположение этого файла в своей системе.

Файл smb.conf состоит из разделов. За исключением раздела global, содержа-

щего параметры настройки сервера в целом, названия разделов соответству-

ют именам совместно используемых ресурсов (shares), которые сервер пре-

доставляет клиентам. Таким ресурсом может быть файловая система либо

печатающее устройство.

Лучший способ изучить файл smb.conf - рассмотреть конкретный пример.

Если не считать ресурса printers, о котором мы поговорим позже, файл

smb.conf системы Red Hat содержит следующие активные строки:

В приведенном фрагменте мы наблюдаем два раздела файла настройки: glo-

bal и homes. Раздел global содержит параметры, влияющие на работу сервера

в целом:

workgroup

Определяет иерархическую группу узлов (рабочую группу, workgroup),

к которой принадлежит сервер. Замените имя MYGROUP из примера

осмысленным именем рабочей группы не длиннее 15 символов. Убедитесь,

что имя содержательно. Никогда не используйте имена вроде MYGROUP

или WORKGROUP.

304

Глава 9. Локальные службы сети

server string

Определяет описательный комментарий для данного сервера. Коммента-

рий отображается по команде net view на DOS-клиентах. Замените строку

из примера на осмысленное описание своей системы.

printcap name

Определяет расположение файла printcap. Файл printcap позволяет опре-

делить, для каких принтеров может осуществляться совместный доступ.

Имя по умолчанию - /etc/printcap.

load printers

Указывает необходимость предоставлять доступ ко всем принтерам,

определенным в файле printcap. По умолчанию имеет значение yes, кото-

рое предписывает использовать все принтеры. Значение по запрещает чте-

ние определений из файла printcap. В случае когда указано значение по,

все доступные клиентам принтеры должны быть определены в индивиду-

альном порядке.

printing

Определяет систему печати Unix, используемую сервером. В примере

принимает значение lprng (LPR Next Generation, LPR нового поколения),

то есть указывает на реализацию стандартной системы LPR/LPD, опи-

санной ранее в этой главе.

log file

Определяет расположение файла журнала. В нашем примере имя содер-

жит переменную %т

, значением которой является NetBIOS-имя клиента.

Для каждого клиента создается отдельный файл журнала с именем кли-

ента в качестве расширения. Для клиента с NetBIOS-именем crab файл

журнала получит имя /var/log/samba/log.crab. Для клиента с NetBIOS-

именем rodent - имя /var/log/samba/log.rodent.

max log size

Определяет максимальный размер файла журнала. По умолчанию этот

размер равен 5 Мбайт. (При превышении максимального размера демон

smbd закрывает журнал и переименовывает файл, добавляя расширение

.old.) В примере данный параметр принимает значение 0, что означает от-

сутствие ограничений на размер файлов журналов.

security

Определяет используемый механизм безопасности. Возможны 4 варианта:

Безопасность уровня совместно используемого ресурса. Самый низкий

уровень безопасности. Ресурс доступен всем. С ним может быть связан

пароль, однако этот пароль одинаков для всех клиентов.

В Samba существует около 20 различных переменных. Полный их список приво-

дится на соответствующих страницах руководства (man).

Samba и Windows: совместный доступ к ресурсам 305

user

Безопасность уровня пользователя. Каждый пользователь должен

указать имя и соответствующий пароль. По умолчанию используются

имена пользователей и пароли из файла /etc/passwd. Значения паро-

лей по умолчанию могут изменяться. Более подробная информация о

паролях приводится ниже в тексте раздела.

server

Безопасность уровня сервера. Работает аналогично безопасности уров-

ня пользователя, но для авторизации пользователя используется

внешний сервер. Внешний сервер необходимо указать при помощи па-

раметра password server,

domain

Безопасность уровня домена. Сервер Linux присоединяется к домену

Windows NT/2000 и использует контроллер домена Windows NT/2000

в качестве сервера, проверяющего имена пользователей и пароли. Что-

бы указать первичный контроллер домена Windows NT/2000 (PDC,

primary domain controller), воспользуйтесь параметром password server.

На сервере PDC необходимо создать учетную запись для системы Li-

nux. Наконец, добавьте следующие строки в раздел настройки global

на системе Linux:

domain master = no

local master = no

preferred master = no

os level = 0

encrypt passwords

Значение yes данного параметра предписывает Samba шифровать пароли

при передаче их по сети. Это повышает совместимость сервера с клиента-

ми Windows, начиная с системы Windows 98, которые по умолчанию ис-

пользуют шифрованные пароли, и затрудняет перехват паролей зло-

умышленниками. По умолчанию в Samba используются пароли Unix, пе-

редаваемые открытым текстом.

smb passwd file

Данный параметр определяет расположение файла smbpasswd, храняще-

го зашифрованные пароли Samba. При использовании зашифрованных

паролей серверу Samba приходится вести два файла паролей: passwd и

smbpasswd. Используйте сценарий mksmbpasswd.sh для создания началь-

ной версии файла smbpasswd из существующего файла passwd.

socket options

Определяет параметры настройки производительности. Не является обя-

зательным, хотя установка размера буферов передачи и приема в 8 Кбайт

может немного повысить производительность. В данном примере на-

стройки Red Hat параметр

TCP_NODELAY,

предписывающий Samba посылать

наборы пакетов при каждой передаче, не имеет никакого смысла, по-

306

Глава 9. Локальные службы сети-

скольку таково поведение системы по умолчанию для версий Samba начи-

ная с 2.0.4. Настройка производительности Samba достаточно хорошо

описана в приложении В книги «Using Samba» Питера Келли (Peter

Kelly), Роберта Экштейна (Robert Eckstein) и Дэвида Колье-Брауна (Da-

vid Collier-Brown), изданной O'Reilly.

dns proxy

Указывает, следует ли демону nmbd передавать неразрешенные запросы

NBNS системе DNS.

Помимо описанных параметров, существуют и другие, часто используемые

в разделе global: они описаны в табл. 9.3.

Таблица 9.3. Прочие параметры раздела global

Параметр

Назначение

deadtime Определяет интервал ожидания для неактивных соединений

debug level

Устанавливает уровень диагностики для сообщений журнала

keepalive Использует кеераНуе-сообщения для выяснения состояния кли-

ентов

lock directory Определяет каталог, где хранятся файлы wins.dat, файлы состо-

яния, а также файлы блокировки

message command Определяет способ обработки сообщений WinPopup демоном smbd

name resolve order Определяет порядок обращения к службам при разрешении имен

NetBIOS. Допустимые значения: lmhosts, hosts, wins и beast

netbios aliases

Определяет дополнительные имена, на которые отзывается сервер

netbios name Определяет NetBIOS-имя сервера

syslog Отображает уровни отладки в уровни syslog

syslog only

Предписывает использовать syslog вместо файлов журналов

Samba

time server

Предписывает серверу объявлять о своей способности выступать

в роли сервера времени Windows

wins support Включает сервер имен WINS

Как можно видеть из примера настройки системы Red Hat, многие серверы

поставляются с разумными глобальными настройками, позволяющими на-

чать работу простой серверной системы. Помимо готового раздела global,

в стандартном файле Red Hat существует еще и готовый раздел homes.

Раздел homes файла smb.conf

Раздел homes - это специальный раздел ресурса. Он предписывает smbd раз-

решить пользователям доступ к своим исходным каталогам посредством

SMB. В отличие от других разделов, рассмотренных ниже, он не содержит

имени конкретного каталога, для которого организуется совместный до-

Samba и Windows: совместный доступ к ресурсам

307

ступ, smbd использует домашний каталог пользователя из файла /etc/passwd,

основываясь на имени пользователя, обратившегося к ресурсу. Параметры

настройки в разделе homes для системы Red Hat следующие:

comment

Содержит описание ресурса, отображаемое в поле комментария окна Net-

work Neighborhood при просмотре ресурса с компьютера, работающего

под управлением Windows.

browseable

Указывает, всем ли пользователям разрешено просматривать содержимое

данного ресурса, по означает, что просмотр сегмента разрешен только поль-

зователям с корректным идентификатором пользователя, yes разрешает

просмотр всем пользователям, независимо от значений UID. Параметр

контролирует только просмотр; непосредственный доступ к содержимому

ресурса управляется стандартными файловыми правами доступа Linux.

writable

Определяет, разрешена ли запись файлов в этот ресурс. Значение yes раз-

решает запись. Значение по делает ресурс доступным только для чтения.

Данный параметр определяет действия, разрешенные сервером Samba. Не-

посредственная работа с содержимым каталога, связанного с ресурсом, по-

прежнему управляется стандартными файловыми правами доступа Linux.

valid users

Указывает пользователей, которым разрешено использовать данный ре-

сурс. В примере переменная %S принимает значение имени пользователя,

которому разрешен доступ к ресурсу.

create mode

Определяет права доступа к файлу, устанавливаемые при создании поль-

зователем файла в ресурсе homes.

directory mode

Определяет права доступа к каталогу, устанавливаемые при создании

клиентом каталога в ресурсе homes.

Организация совместного доступа к каталогам

Чтобы сделать каталог доступным посредством Samba, создайте в файле

smb.conf раздел ресурса, описывающий каталог и условия доступа к нему.

Чтобы организовать совместный доступ к каталогам /usr/doc/pcdocs и /ho-

me/research (последний встречался нам в примерах по NFS), добавьте следу-

ющие два раздела в файл smb.conf:

[pcdocs]

comment = PC Documentation

path = /usr/doc/pcdocs

browseable = yes

writable = no

308 Глава 9. Локальные службы сети

public = yes

[research]

comment = Research Deptment Shared Directory

path = /home/research

browseable = no

writable = yes

create mode = 0750

hosts allow = horseshoe,jerboas,crab,rodent

Каждый ресурс обозначен содержательным именем. Это имя отображается

как отдельная папка в окне Network Neighborhood на машине пользователя.

Приведенный фрагмент содержит команды, которые мы уже изучили, и не-

сколько новых команд. Первая из новых команд -

path,

она определяет путь

к каталогу сегмента.

Кроме того, сегмент pcdocs содержит команду

public,

разрешающую доступ

всем пользователям, даже в отсутствие корректного имени пользователя и

пароля. Такие пользователи получают «гостевой вход» для работы с ресур-

сом. Применительно к системе Linux это означает, что они работают с полно-

мочиями пользователя nobody и ограничены в доступе к файлам.

В ресурсе research запись файлов разрешена. Команда create mode определяет

права доступа, устанавливаемые для файлов, создаваемых клиентом в этом

ресурсе. В нашем примере значение 0750 определяет следующие права для

созданных файлов: чтение/запись/исполнение владельцем, чтение/испол-

нение группой, запрет любых действий для прочих пользователей. Родст-

венная команда directory mode определяет права доступа для создаваемых в

пределах ресурса каталогов. Пример:

directory mode = 0744

Для новых каталогов устанавливаются такие права доступа: чтение/запись/

исполнение владельцем, чтение/исполнение группой, чтение/исполнение

для прочих пользователей. Это разумное значение, позволяющее командам

cd и Is работать предсказуемым образом.

Раздел research содержит команду hosts

allow,

определяющую клиентов, ко-

торым разрешен доступ к ресурсу. Даже если пользователь представил кор-

ректное имя и правильный пароль, доступ к ресурсу ему разрешен только с

конкретного узла. По умолчанию доступ разрешен со всех узлов, а более точ-

ное управление доступом осуществляется при помощи имен пользователей и

паролей.

Помимо команды hosts allow существует команда hosts

deny,

явным образом

запрещающая доступ к ресурсу перечисленным клиентам. Ее синтаксис

идентичен синтаксису команды hosts allow.

Эти два новых раздела ресурсов вместе с теми, что по умолчанию существо-

вали в настройках Red Hat, создают сервер, позволяющий пользователям

обращаться к своим исходным каталогам, открытым каталогам, а также к

закрытым каталогам, доступным только пользователям групп. Результат -

Samba и Windows: совместный доступ к ресурсам

309

то же возможности, что предоставляет NFS, но более простая интеграция

для клиентов, работающих под управлением Microsoft Windows. Samba так-

же может использоваться для предоставления клиентам Windows доступа к

принтерам.

Организация совместного доступа к принтерам

Настройка доступа к принтерам также выполняется в файле smb.conf. В со-

ставе системы Red Hat поставляется файл smb.conf, уже содержащий на-

стройки для обеспечения совместного доступа к принтерам. Следующие

строки следуют в файле smb.conf системы Red Hat непосредственно за разде-

лами global и homes:

[printers]

comment = All Printers

path = /var/spool/samba

browseable = no

guest ok = no

writable = no

printable = yes

Строки printcap и load printers раздела global готовят сервер к организации

совместного доступа к принтерам, определенным в файле printcap. Приве-

денный раздел printers делает эти принтеры доступными клиентам, подобно

тому, как раздел homes делает доступными пользователям их исходные ка-

талоги. В Red Hat раздел ресурса printers содержит пять параметров.

С тремя из них - comment, browseable и path - мы уже встречались. Однако в

случае принтеров параметр path определяет не путь к файлам, но путь к ка-

талогу буферной зоны печатающих устройств SMB.

Здесь мы познакомимся еще с двумя параметрами. Первый из них, printab-

le, указывает, что данный ресурс является принтером. По умолчанию этот

параметр имеет значение по, то есть ресурсы по умолчанию считаются фай-

ловыми. Чтобы создать ресурс принтера, необходимо присвоить этому пара-

метру значение yes. Использование printable = yes разрешает клиентам за-

пись файлов для печати в каталог буферной зоны, обозначенный парамет-

ром

path.

Чтобы ограничить права доступа к файлам, создаваемым клиента-

ми в каталоге буферной зоны, используйте команду create

mode.

К примеру,

такую: create mode = 0700.

Вторая новая строка, guest ok, определяет, разрешен ли доступ к ресурсу

«гостям». Действие данного параметра абсолютно идентично действию па-

раметра

public,

о котором говорилось выше, так что эти два параметра взаи-

мозаменяемы. Значение по запрещает пользователю nobody отправку зада-

ний на принтер. Пользователю нужна действующая учетная запись, чтобы

воспользоваться принтером. По замыслу такой подход предотвращает зло-

употребление принтером со стороны пользователей с гостевым доступом, од-

нако корректное имя пользователя позволяет еще и выполнять сортировку

заданий печати, если используются титульные листы и ведется учет потреб-

ления ресурса.

310 Глава 9. Локальные службы сети

Как правило, сервер печати предлагает всем клиентам доступ ко всем своим

принтерам. При этом для каждого принтера может быть создан отдельный со-

вместно используемый ресурс - точно так же, как в случае файлов. Если вы не

хотите открывать доступ ко всем принтерам, удалите раздел printers, назначь-

те параметру load printers значение

по,

а затем создайте отдельные разделы ре-

сурсов только для тех принтеров, которые должны быть доступны клиентам.

Файл smb.conf с разделом ресурса для отдельного принтера может выглядеть

следующим образом:

[global]

workgroup = BOOKS

server string = Print Server

load printers = no

security = user

[homes]

comment = Home Directories

browseable = no

writable = yes

[hp5m]

comment = PostScript Laser Printer

path = /var/spool/samba

browseable = no

public = no

create mode = 0700

printable = yes

printer = lp

В данном файле отсутствует раздел printers. Вместо него мы добавили раздел

ресурса с именем hp5m - и этот ресурс обеспечивает доступ к принтеру по

имени 1р. Чтобы схема заработала, принтеру должно соответствовать опре-

деление в файле printcap. Для параметра printcap можно использовать зна-

чение по умолчанию - /etc/printcap.

Демон smbd в Samba обеспечивает совместный доступ к файлам и принтерам.

Второй компонент Samba - демон nmbd.

Служба имен NetBIOS

Демон сервера имен NetBIOS (nmbd) входит в состав базового программного

дистрибутива Samba и превращает сервер Unix в сервер имен NetBIOS

(NBNS). Демон nmbd умеет обрабатывать запросы от клиентов LanManager,

а кроме того, может быть настроен на работу в качестве сервера WINS (Win-

dows Internet Name Server).

Настройка демона nmbd выполняется в разделе global файла smb.conf. Следу-

ющие параметры относятся к работе сервера WINS:

wins support

Допустимые значения: yes и

по.

Определяет, следует ли демону nmbd рабо-

тать в качестве сервера WINS. По умолчанию принято значение по, поэто-

Samba и Windows: совместный доступ к ресурсам

311

му по умолчанию nmbd предоставляет средства просмотра, но не службу

WINS.

dns proxy

Допустимые значения: yes и

по.

Данный параметр предписывает nmbd ис-

пользовать DNS для разрешения запросов WINS, которые не могут быть

разрешены другим путем. Параметр имеет смысл только в случае, когда

nmbd выступает в роли сервера WINS. Значение по умолчанию - yes. Сис-

тема DNS может быть полезна в разрешении имен NetBIOS, только если

имена NetBIOS и имена узлов DNS совпадают,

wins server

Позволяет указать IP-адрес внешнего сервера WINS. Параметр имеет

смысл, только если на локальной системе Linux не установлен сервер

WINS. Параметр сообщает системе Samba адрес внешнего сервера WINS,

которому следует направлять запросы по именам NetBIOS,

wins proxy

Допустимые значения: yes и по. По умолчанию - по. Значение yes предпи-

сывает nmbd при разрешении широковещательных запросов по именам

NetBIOS преобразовывать их в индивидуальные запросы и передавать

напрямую серверу WINS. Если wins support имеет значение

yes,

эти запро-

сы обрабатываются непосредственно демоном

nmbd.

Если же указано зна-

чение параметра wins server, такие запросы передаются внешнему серве-

ру. Параметр wins proxy требуется только в случаях, когда клиенты не

знают адреса сервера либо не понимают протокола WINS.

Сервер имен NetBIOS обычно запускается в процессе загрузки системы при

помощи следующей команды:

nmbd -О

При запуске с ключом -D nmbd работает непрерывно в качестве демона и прини-

мает запросы к службе имен NetBIOS через порт 137. Сервер отвечает на за-

просы, исходя из сведений, предоставленных клиентами при регистрации, а

также соответствия имен NetBIOS и адресов, полученного от других серверов.

Файл Imhosts используется для создания отображений адресов вручную,

когда возникает такая необходимость. Большинству серверов WINS файл

Imhosts не требуется, поскольку отображения поступают динамически от

клиентов и других серверов. Имена NetBIOS регистрируются автоматичес-

ки; клиенты регистрируют свои имена NetBIOS на сервере в процессе загруз-

ки. Адреса и имена хранятся в базе данных WINS, wins.dat. Файл Imhosts

является лишь небольшой составляющей полной базы данных.

Файл Imhosts схож с файлом hosts, описанным в главе 4. Каждая запись на-

чинается с адреса IP и содержит имя узла. Однако на этот раз вместо имени

узла фигурирует имя NetBIOS. Вот пример файла Imhosts:

$ cat /etc/lmhosts

172.16.12.3 horseshoe

172.16.12.1 crab