Stefan Kania

Samba 4

Das Handbuch für Administratoren

2., überarbeitete und erweiterte Auflage

Eine neue Auflage des Samba-4-Buchs ist fertig. Nachdem seit dem Beginn der Arbeiten zur vorherigen Auflage mehr als zwei Jahre vergangen sind, wurde es Zeit, die Inhalte zu überarbeiten. Sehr viel hat sich seit der damals verwendeten Samba-Version 4.8 geändert. Vieles ist komplett überarbeitet worden wie die Konfiguration von CTDB. Viel wichtiger hingegen, es sind auch eine Menge an neuen Funktionen und Möglichkeiten in der Zeit dazugekommen. Eine der aktuellsten und in meinen Augen größten Neuerungen sind die Gruppenrichtlinien für Linux-Clients. Damit ist es jetzt auch möglich, über das Active Directory Teile der Linux-Client-Konfiguration zentral über Gruppenrichtlinien zu steuern. Auch ist im Hintergrund, also in dem Teil, der keine neuen Funktionen bietet, viel getan worden. So wurde der gesamte SMB-Stack überarbeitet und zusammen mit den verbesserten Funktionen des Kernels ab 5.4 die Performance verbessert. Eine der wohl größten Änderungen ist die Umgestaltung des VFS-Systems. Das Datenbank-Backend lmdb hat Einzug gehalten, damit können jetzt die Datenbanken erheblich größer werden und somit mehr Objekte im Active Directory verwaltet werden.

Alle Dinge aufzuzählen, die sich im Hintergrund getan haben, würde die Liste zu lang werden lassen.

Auch für Sie als Administrator hat sich seit der Version 4.8 sehr viel getan. Hier im Buch verwende ich die Version 4.14, die beim Erscheinen des Buchs die gerade aktuelle Version ist. Wenn Sie jetzt erst von 4.8 umsteigen und den Wechsel auf 4.14 vollziehen, werden Sie am Anfang gleich sehen, was sich alles getan hat. Rufen Sie nur einmal das Kommando samba-tool auf und vergleichen Sie die Möglichkeiten mit älteren Versionen, da ist jetzt schon so einiges mehr möglich. Natürlich habe ich alle wichtigen Neuerungen auch ins Buch aufgenommen, sodass Sie schnell auf dem aktuellen Stand sind und die neuen Möglichkeiten kennenlernen.

Ich hoffe, dass ich Ihnen mit diesem Buch wieder eine Anleitung an die Hand gegeben habe, die Sie von vorne bis hinten der Reihe nach abarbeiten können, aber Sie können auch gezielt einzelne Kapitel nutzen.

Ich weiß, viele Leser suchen als Erstes immer, was denn bei einem Buch im Vergleich zur letzten Auflage rausgefallen und was neu dazugekommen ist. Rausgefallen ist das Compilieren von Samba. Es gibt mittlerweile so viele Möglichkeiten, aktuelle Versionen als Pakete zu bekommen, dass das Selberbauen, um aktuelle Versionen zu bekommen, nicht mehr unbedingt notwendig ist. Durch die Umstellung auf Python3 und andere technische Änderungen ist das Bauen auch etwas komplexer geworden. Das alles hat mich zu dem Entschluss gebracht, diesen Teil zugunsten anderer Themen aus dem Buch zu nehmen.

Genau so wichtig ist auch immer, was ist denn neu im Buch? Ja, Neues gibt es. Das Kapitel zum Thema Freigaben habe ich erheblich erweitert. Ich habe hier jetzt eine komplette Beschreibung zur Einrichtung von servergespeicherten Profilen und der Ordnerumleitung über Gruppenrichtlinien geschrieben. Denn das ist eines der Themen, die auch meinen Kunden immer wieder Schwierigkeiten bereiten. Natürlich das gesamte Thema Gruppenrichtlinien für Linux-Clients ist komplett neu. Bei der Client-Verwaltung habe ich mich mal an die Einbindung von macOS-Clients gewagt.

Beim Thema Cluster habe ich den Teil mit GlusterFS etwas aufgebohrt, denn dazu kamen in der letzten Zeit vermehrt Fragen und die Bitte, das Thema doch mal etwas umfangreicher zu gestalten.

Beim Kapitel zur Fehlersuche sind das Logging und das Auditing dazugekommen.

Zwei neue Kapitel gibt es dieses Mal im Buch: einmal ein eigenes Kapitel zur Einrichtung des VFS-Moduls virusfilter zusammen mit ClamAV als Scan-Engine und das Thema Ansible. Da zeige ich, wie Sie eine komplette Umgebung mit zwei Domaincontrollern und einem Fileserver automatisch mit Ansible einrichten können. Die Rollen stelle ich alle als Download bereit.

Und die anderen Kapitel? Fast alle Kapitel habe ich komplett überarbeitet und auf die aktuelle Samba-Version 4.14 angepasst. Zu vielen Kapiteln sind auch neue Funktionen hinzugekommen. Alles in allem sind gut 100 Seiten neu hinzugekommen, und ich hoffe, dass auch für alle Leser etwas Neues dabei ist.

Danksagung

Bei den Danksagungen möchte ich dieses Mal mit Ihnen beginnen, denn was wäre ein Buch ohne die Leser? Ganz klar, nicht da. Deshalb danke an alle Leser, an die, für die dieses die erste Auflage ist, aber besonders an die Leser, die schon mehrere Auflagen dieses Buches besitzen.

Danke auch an den Hanser Verlag, dass ich das Buch, bei dem es sich ja schon um ein Nischenprodukt handelt, wieder neu auflegen durfte.

Mein besonderer Dank gilt drei Personen, ohne die es nicht möglich gewesen wäre, die Auflage so schnell herauszubringen und dabei die gerade aktuelle Samba-Version zu nutzen. Danke, Louis van Belle, für die Bereitstellung der Pakete zu 4.14 ab dem ersten Tag des Erscheinens des rc1-Release.

Auch Björn Baumbach von der Firma SerNet hat mir wieder sehr viel geholfen -- beim Auffinden von Bugs und anderen Fragen. Manchmal hatte ich schon Angst, bei ihm auf die Blacklist seines Mailprogramms zukommen. Auch er hat dafür gesorgt, dass ich die SerNet-Pakete zu 4.14 schon mit dem rc1-Release nutzen konnte.

Danken möchte ich auch Ralph Böhme von der Firma SerNet, der mir bei der Erstellung des Abschnitts zu macOS-Clients geholfen und den Teil des Kapitels auch gegengelesen hat, um mir als Nicht-Mac-User das eine oder andere zu erklären.

Da ein Buch immer ein Projekt neben der anderen Arbeit ist, muss man als Autor immer auch Stunden der Freizeit opfern, um alles zu testen und dann schreiben zu können. Aus dem Grund möchte ich hier auch meiner Lebensgefährtin danken, dass sie mich sehr oft in aller Ruhe hat arbeiten lassen. Ohne diese Geduld wäre so ein Projekt nicht möglich.

Jetzt bleibt mir nur noch, Ihnen viel Spaß mit der neuen Auflage zu wünschen, und wie immer freue ich mich über Anregungen und Kritik. Ihr Feedback hilft stets, eine weitere Auflage zu verbessern.

An dieser Stelle möchte ich Ihnen erklären, was ich mir bei der Verwendung der verschiedenen Formatierungsmöglichkeiten und Administrationsarten gedacht habe. Hier finden Sie auch die Beschreibung zu den im Buch verwendeten Icons.

1.1

Formales

Damit Sie den größtmöglichen Nutzen aus diesem Buch ziehen können, sollen im Folgenden einige Konventionen erläutert werden.

1.1.1

Kommandozeile vs. grafische Administration

An vielen Stellen im Buch verwende ich die Kommandozeile, um bestimmte Dienste zu konfigurieren oder zu testen, aber auch die Maus kommt hier zum Einsatz. In diesem Buch geht es ja um Samba 4. Samba 4 soll ein möglichst genaues Abbild einer Windows-Umgebung darstellen, und das betrifft natürlich auch die Administration.

Da die Administration unter Windows im Normalfall über die grafische Oberfläche stattfindet, wird genau das hier häufig auftauchen. An manchen Stellen macht es auch keinen Sinn, obwohl es ginge, die Administration über die Kommandozeile vorzunehmen, da Sie mit der Maus viel schneller sind. An einigen Stellen haben Sie auch mehr Möglichkeiten, wenn Sie die grafische Administration verwenden.

Für alle Leser unter Ihnen, die am liebsten alles oder wenigstens möglichst viel über die Kommandozeile erledigen möchten, habe ich das Kapitel zur Arbeit auf der Kommandozeile überarbeitet und erweitert.

1.2	Schriftarten

Viele der Beispiele zu den Kommandos werden aber auch in Listings dargestellt. In den Listings werden Sie von der Befehlszeile bis zum Ergebnis alles nachvollziehen können, wie Sie hier im Beispiel sehen:

Listing 1.1 Ein Testlisting

Die folgenden Schriftarten werden im Buch verwendet:

       Um bestimmte Begriffe hervorzuheben, wird die Schriftart Schief eingesetzt.

       Für die Darstellung von Tastenkombinationen und Klicks auf bestimmte Symbole oder Karteireiter in der grafischen Oberfläche wird die Schriftart KAPITÄLCHEN verwendet.

       Wenn im Text der Hinweis auf eine Datei gegeben wird, werde ich die Schriftart Sans Serif verwenden. Im fließenden Text werden Konsolenbefehle mit Schreibmaschine dargestellt.

       Parameter und Werte aus Listings durch die Verwendung von Kursivschrift gekennzeichnet.

1.2.1

Eingabe langer Befehle

Es gibt noch eine weitere wichtige, eher technische Konvention: Einige der vorgestellten Kommandozeilenbefehle oder Ausgaben von Ergebnissen erstrecken sich über mehrere Buchzeilen. Im Buch kennzeichnet am Ende der entsprechenden Zeilen ein "\", dass der Befehl oder die Ausgabe in der nächsten Zeile weitergeht.

1.2.2

Screenshots

Wie heißt es doch so schön: Ein Bild sagt mehr als tausend Worte. Wann immer es sinnvoll erscheint, soll ein Screenshot zur Erhellung des Sachverhalts beitragen.

Gerade wenn Windows verstärkt für die Administration eingesetzt wird, sind Screenshots einfach unerlässlich. Auch sollen die Screenshots Ihnen helfen, bestimmte Einstellungen schneller und einfacher zu finden.

1.2.3

Internetverweise

An einigen Stellen werde ich auf bestimmte URLs verweisen – sei es, um Ihnen Quellen für bestimmte Downloads zu geben, oder um Ihnen den Weg zu tiefergehenden und weiterführenden Erklärungen zu geben, die den Rahmen dieses Buches sprengen würden. Verweise auf Internetadressen werden immer kursiv geschrieben, zum Beispiel so: www.samba.org.

1.2.4

Icons

Sie werden in den einzelnen Kapiteln am Rand oft Icons finden, die Sie auf bestimmte Zusammenhänge oder Besonderheiten hinweisen sollen. Die Icons haben die folgenden Bedeutungen:

1.3	Linux-Distributionen

Welche Distribution Sie verwenden, ist immer abhängig davon, welche Samba-Funktion Sie nutzen wollen. Zurzeit unterstützen nur Ubuntu und Debian die Funktion des Active Directory-Domaincontrollers aus den eigenen Repositories. Der Grund ist der, dass bis zur Version 4.6 nur der Heimdal-Kerberos Server bei Samba zum Einsatz gekommen ist. Nur Debian und Ubuntu stellen den Heimdal-Server noch zur Verfügung, alle anderen Distributionen verwenden nur noch den MIT-Kerberos, um die aktuellen Versionen nutzen zu können. Die Nutzung des MIT-Kerberos ist immer noch experimentell und kann nur verwendet werden, wenn Sie Samba entsprechend selber bauen.

Eine weitere Möglichkeit für die Installation auf Debian-Systemen sind die Pakete von Louis van Belle https://apt.van-belle.nl/. Ich werde diese Pakete hier im Buch einsetzen, um die aktuelle Samba-Version vorstellen zu können.

Die wichtigsten Unterscheidungsmerkmale finden sich hauptsächlich in der Installation. Die Administration ist anschließend bei allen Distributionen identisch. Wenn Sie also Samba entweder aus den Quellen selber bauen oder die Pakete aus externen Quellen nutzen, können Sie mit jeder beliebigen Distribution den Aufbau Ihrer Systeme mit diesem Buch nachvollziehen. Sie sind nicht zwingend auf Debian oder Ubuntu angewiesen.

Ein Hinweis zu Firewalls, SELinux und Apparmor: Ich werde vor der Installation diese System immer deaktivieren, da es in diesem Buch nicht um das Thema Systemsicherheit geht. Wenn Sie eines dieser Systeme nutzen wollen, müssen Sie sich in zusätzlicher Literatur darüber informieren, da diese Systeme für sich schon ganze Bücher füllen.

Wenn Sie jetzt überlegen, welche Distribution Sie verwenden wollen, folgen hier ein paar Tipps:

       Achten Sie auf langen Support, wählen Sie deshalb auf jeden Fall eine LTS-Version Ihrer Lieblingsdistribution.

       Installieren Sie auf allen Servern die gleiche Distribution, schaffen Sie sich keinen Distributionszoo.

       Testen Sie, mit welcher Distribution Sie am besten zurechtkommen.

       Schauen Sie sich die verschiedenen Versionen von Samba 4 an und überlegen Sie, welche Version Sie mindestens installieren müssen, um alle benötigten Funktionen realisieren zu können.

Einige der hier im Buch beschriebenen Distributionen bringen nicht die Funktion des Domaincontrollers mit, da der Domaincontroller den Heimdal-Kerberos-Server benötigt und nicht alle Distributionen diesen unterstützen. An der entsprechenden Stelle werde ich auf diese Thematik noch genauer eingehen.

Jetzt bleibt mir nur noch, Ihnen viel Spaß mit dem Buch zu wünschen und zu hoffen, dass Ihnen mein Buch bei Ihrer täglichen Arbeit eine Hilfe sein wird.

Bevor es an die Praxis geht, will ich auf ein paar Grundlagen eingehen. Hier soll nicht das gesamte OSI-Referenzmodell besprochen, sondern ein kurzer Einblick in die verwendeten Protokolle vermittelt werden. Auch werde ich an dieser Stelle darauf eingehen, welche der Protokolle und welche Versionen noch aktuell sind und welche Versionen nicht mehr benutzt werden sollten.

In diesem Kapitel werden zunächst einige Grundlagen zu den Protokollen SMB und NetBI-OS angesprochen. Auch will ich hier auf die verschiedenen Versionen des SMB-Protokolls eingehen.

Für die Datenübertragung und Adressierung im Netzwerk verwendet Windows zwei unterschiedliche Protokolle: SMB für die Datenübertragung und NetBIOS für die Adressierung über die NetBIOS-Namen.

Die beiden Protokolle haben dabei verschiedene Aufgaben. Auf das SMB-Protokoll können Sie nicht verzichten, denn es wird immer für die Datenübertragung verwendet. Das Protokoll wurde auch über die Jahre immer weiterentwickelt.

Auf das NetBIOS-Protokoll können Sie heute aber ganz verzichten, denn sämtliche Adressierung kann über DNS oder das Active Directory vorgenommen werden. Aber sehr oft kommt das Protokoll doch noch zum Einsatz, um zum Beispiel die Netzwerkumgebung im Explorer unter Windows weiterverwenden zu können.

Unter Samba ist es aber schon so, dass auf einem Domaincontroller das NetBIOS-Protokoll gar nicht mehr aktiv ist und auch nicht mehr benötigt wird.

Da das Protokoll immer mehr in den Hintergrund tritt, werde ich hier auch nicht weiter darauf eingehen. Allerspätestens mit der Einführung von IPv6 ist die Nutzung nicht mehr möglich, da IPv6 das Protokoll nicht mehr unterstützt.

2.1	Das Protokoll SMB

Bei SMB handelt es sich um ein Protokoll zur Kommunikation mit Datei- und Druckdiensten. SMB wird auch oft als Dateisystem betrachtet, was es aber eigentlich nicht ist. SMB kann wohl besser mit NFS verglichen werden, das besonders unter Linux verwendet wird und dort den Austausch von Dateien regelt.

SMB ist für die Übertragung der Daten zwischen dem Client und dem Server verantwortlich. SMB benötigt immer ein Transportprotokoll. Hier kam früher das Protokoll NetBIOS alleine zum Einsatz, späterwurde dann auf NetBIOS over TCP umgeschwenkt. Ab Windows 2000 ist es aber auch möglich, TCP alleine zu verwenden. Unter Samba wird das Protokoll SMB über den Daemon smbd bereitgestellt.

Mit Windows Vista erschien eine neue Version des SMB-Protokolls auf dem Markt: das SMB2-Protokoll. Dieses Protokoll wurde an einigen Stellen komplett überarbeitet. Eines der Hauptmerkmale der neuen Version ist, dass die Anzahl der Kommandos von über 100 auf 16 reduziert wurde.

Dadurch ist das Protokoll im Netzwerk nicht mehr so „gesprächig“. Auch wurden die Puffer für die Datenübertragung vergrößert, wodurch eine schnellere Übertragung von großen Dateien möglich ist.

Mit Samba 4 kam dann die Unterstützung des SMB3-Protokolls. Damit ist die Entwicklung aber nicht abgeschlossen, es wird weiter an dem Protokoll gearbeitet, und das sowohl auf Seite von Microsoft als auch auf Seite des Samba-Teams.

Das SMB-Protokoll gibt es in verschiedenen Versionen, die von den unterschiedlichen Windows-Versionen unterstützt werden:

       Version 1.0

       Version 2.0

       Version 2.1

       Version 3.0

2.1.1

Was hat sich bei Samba getan?

Im letzten Buch habe ich die damals aktuelle Version 4.8 genutzt. Wie schon in der Einleitung beschrieben, verwende ich dieses Mal die Version 4.14. Da sich in den Versionen von 4.8 bis 4.14 eine Menge geändert hat, folgt hier eine kurze Übersicht über alle Änderungen zum SMB-Protokoll.

Version 4.10

Erstmal unterstützen in dieser Version die smbtools wie smbclient SMBv2. In den vorherigen Versionen funktionierten die smbtools nicht, wenn auf einem Server oder Domaincontroller SMBv1 deaktiviert wurde. Die Kommandos lieferten dann nur eine Fehlermeldung. Auch das wichtige Werkzeug samba-tool auf den Domaincontrollern unterstützt jetzt SMBv2.

Version 4.11

Hier wird es dann ernst, ab dieser Version wurde SMBv1 grundsätzlich deaktiviert. Wer ab der Samba-Version 4.11 noch SMBv1 benötigt, kann das nur, wenn es explizit in der smb.conf aktiviert wird. Bei den beiden Parametern client min protocol und server min protocol ist der Standardwert jetzt SMB2_02.

Das bedeutet, dass Clients, die nicht mindestens SMBv2 unterstützen, keine Verbindung mehr zu einem Samba-Server aufbauen können.

Version 4.12

Einige Interna des SMBv3-Protokolls wurden verbessert, zusammen mit einem Kernel >= 5.1 (am besten ab Kernel 5.6.16) wurde die Performance erheblich verbessert.

Version 4.13

Die Möglichkeit, SMBv1 zu nutzen, wurde weiter eingeschränkt. Alle Parameter, die sich lediglich auf Sicherheitsmechanismen beziehen, die lediglich von SMBv1 unterstützt werden, wurden als deprecated markiert und werden in den nächsten Versionen vollständig entfernt. Die folgenden Parameter fallen darunter:

       raw NTLMv2 auth

       client plaintext auth

       client NTLMv2 auth

       client lanman auth

       client use spnego

2.2	Das Protokoll NetBIOS

NetBIOS ist dagegen für die Namensdienste im Netzwerk verantwortlich. Es wird unter Samba über den Daemon nmbd bereitgestellt. Im Verlauf des Buchs werden Sie sehen, dass bei Samba 4 NetBIOS auf den Domaincontrollern nicht mehr für den Computersuchdienst bereitgestellt wird. Dadurch werden die Domaincontroller nicht mehr in der Netzwerkumgebung angezeigt. Verbindungen lassen sich dort nur noch direkt über die Freigabe einrichten.

Das Protokoll NetBIOS ist eine Entwicklung der Firmen IBM und Sytek Inc. Es wurde bereits im Jahre 1983 entwickelt. Ursprünglich war es dazu gedacht, die Kommunikation in kleinen Netzen bis maximal 80 Hosts zu gewährleisten. Später wurde NetBIOS als Protokoll definiert, das direkt auf der OSI-Ebene 2 aufsetzt. Daraus wurde das Protokoll NetBEUI, ein sehr einfach aufgebautes Protokoll ohne Routing-Funktion, das aber den Anforderungen an kleine Netze genügte.

Alle Microsoft-Betriebssysteme vor der Version Windows 2000 waren zwingend auf das Protokoll NetBIOS angewiesen, da mit diesem Protokoll die gesamte Adressierung der Systeme und der Dienste im Netz durchgeführt wurde. NetBIOS ist ein Protokoll der Ebene 5 des OSI-Referenzmodells. Dadurch können die verschiedensten Netzwerkprotokollfamilien auf den Ebenen 3 und 4 verwendet werden. Am Anfang stand hier NetBEUI im Vordergrund, da das Protokoll NetBIOS mehr für kleine lokale Netze gedacht war. Heute verwendet NetBIOS die Protokolle TCP/IP zum Transport der Daten und kann somit auch in modernen Netzen zum Einsatz kommen.

Seit Windows 2000 kann aber auch ganz auf NetBIOS verzichtet und die gesamte Kommunikation komplett über TCP/IP realisiert werden. Aus Kompatibilitätsgründen ist NetBIOS aber immer noch in den Microsoft-Betriebssystemen vorhanden und auch standardmäßig immer aktiv. Der Grund, weshalb NetBIOS noch vorhanden und aktiv ist, ist der, dass die Netzwerkumgebung auf einem Windows-Client stark von NetBIOS abhängig ist. Zwar füllt NetBIOS die Netzwerkumgebung nicht direkt (dafür ist der Computersuchdienst verantwortlich), aber der Computersuchdienst ist sehr stark von NetBIOS abhängig.

Soll kein NetBIOS mehr zum Einsatz kommen, wird die Verwaltung der Dienste und Rechner in einem Windows-Netzwerk vom Active Directory übernommen, und die Netzwerkumgebung bleibt leer.

Viele Administratoren lassen deshalb NetBIOS aktiv, da sich die Anwender an die Netzwerkumgebung gewöhnt haben und sich nur schwer umstellen können oder wollen.