LPI-2 202-450 Topico 209.1
Configuração do servidor Samba

Para todas as versões do Samba, o objetivo é o mesmo: compartilhar recursos do Windows com sistemas operacionais estilo Unix, como Linux, e compartilhar recursos do Linux com sistemas Windows. Infelizmente, o suporte para sistemas Microsoft é como atirar em um alvo em movimento: A Microsoft não é exatamente conhecida por sua disposição em publicar especificações, e a gigante do software continua estendendo seus protocolos SMB / CIFS de uma versão do Windows para a próxima. Os desenvolvedores de código aberto tentam acompanhar as mudanças no SMB usando ferramentas como o Ethereal para farejar conexões, mas a Microsoft intensificou seu jogo com o Windows 2000, introduzindo o sistema de diretório baseado em objeto chamado Active Directory Service.

Quando o Samba 3 foi lançado em 2003 ele consistia de três serviços:

• smbd o fileserver;
• nmbd o nameserver;
• winbind o servidor de autenticação.

Em sua interação com o resto do sistema, esses três serviços forneciam um serviço de arquivo e um controlador de domínio NT4.

Em dezembro de 2012, o mundo do código aberto recebeu o primeiro, e muito aguardado, lançamento da série Samba 4.x. O Samba 4 foi desenvolvido durante 10 anos. Ao mesmo tempo, a série Samba 3.x também teve vários lançamentos e avanços. Esse desenvolvimento paralelo levou a alguma confusão sobre a natureza do Samba 4; e, algumas distribuições lançam pacotes samba3 e samba4 que podem ser instalados em paralelo, com vários graus de sucesso.

Por fim a série 4.x se tornou um upgrade completo para o Samba 3 e se tornou a versão oficialmente em produção.

O suporte do Samba 4 para um domínio do Active Directory significa que ele precisa fornecer uma gama mais ampla de serviços: a resolução de nomes NETBIOS clássica foi substituída pelo DNS, a autenticação foi centralizada usando Kerberos e o armazenamento de dados centralizado foi implementado via LDAP - apenas o servidor de arquivos permaneceu mesmo, com mudanças para coincidir com a nova estrutura.

Devido a constante necessidade de interoperabilidade entre computadores rodando sistemas operacionais diferentes o Samba é um dos pacotes de software mais populares em sistemas Linux. Portanto o pacote que consta nos repositórios das tribuições de versão corrente já será uma versão moderna e estável. Portanto é bastante viável a instalação a partir do gerenciador de pacotes.

Como já mencionado anteriormente a configuração do Samba é escrita no arquivo /etc/samba/smb.conf. O arquivo padrão da instalação do pacote pode ser usado como um guia para as diretivas que ali existem. Ele é bastante extenso justamente por ser bastante documentado. Portanto o arquivo original é bastante útil para alguma ajuda rápida ou referênca, assim faça um backup dele para usar em consultas futuras. Pode-se usar o comando cp /etc/samba/smb.conf{,.ori} para copia-lo antes de começar as edições.

O arquivo de configuração possui apenas uma seção principal. A seção [global] as diretivas dessa seção fornecem todas as opções e parâmetros necessários para os daemons Samba (smbd) e NetBIOS (nmbd) operem na rede.

As outras seções no arquivo de configuração descrevem um recurso de compartilhamento (shared resource). O nome da seção em um recurso de compartilhamento e os parâmetros dentro da seção definem os atributos do compartilhamento.

O primeiro passo é definir qual diretório será compartilhado. Geralmente cria-se um diretório novo para esse propósito. Seguindo os padrões da estrutura de diretórios hierárquica do Linux devemos criar esse diretório como um sub-diretório abaixo de /srv e setar os permissionamento desse diretório:

$ mkdir -p /srv/samba/anonymous-shares
$ chmod 0777 /srv/samba/anonymous-shares
$ chown nobody:nobody /srv/samba/anonymous-shares

Agora precisamos preparar o arquivo de configuração /etc/samba/smb.conf.

Como já fizemos uma cópia do arquivo original, vamos apenas inserir um shared resource no final do arquivo smb.conf

[Anonymous]
comment = Compartilhamento anonimo
path = /srv/samba/anonymous_shares
browsable =yes
read only = no
writable = yes
guest ok = yes
force user = nobody

Onde:

[Anonymous]

O nome entre os colchetes é o nome do shared resource também o nome do compartilhamento;

comment

Uma descrição do compartilhamento;

path

O diretório a ser compartilhado;

brouseable

Quando setado com um yes os gerenciadores de arquivos conseguem navegar na estrutura de diretórios compartilhada;

read only

O compartilhamento só receberá edições caso essa diretiva seja setada com no;

writable

O antônimo de read only;

guest ok

Se este parâmetro for setado como yes nenhuma senha será necessária para conectar;

force user

Isso especifica um nome de usuário UNIX que será designado como usuário padrão para todos os usuários que se conectam a este serviço. Isso é útil para compartilhar arquivos. Também devemos usá-lo com cuidado, pois o uso incorreto pode causar problemas de segurança.

Tenha em mente que, embora estejamos definindo algumas permissões aqui, as permissões subjacentes do sistema de arquivos ainda serão aplicadas.

A primeira etapa para proteger o compartilhamento de arquivos Samba é fazer uma união entre as senhas. Sistemas operacionais Linux e Microsoft Windows armazenam senhas com hash. Como a função hash é irreversível, isso fornece algumas medidas de segurança para o armazenamento das senhas. Mas o problema é que o Linux e o Windows não usam o mesmo algoritmo Hash para armazenar senhas!

Normalmente, o Windows armazena senhas em sistemas de um único computador usando SAM. O Security Accounts Manager (SAM) é um arquivo de registro do Windows NT e versões posteriores até o Windows 10. Ele armazena as senhas dos usuários em um formato hash (em hash LM e hash NTLM).

Em distribuições Linux, as senhas de login são geralmente registradas com hash e armazenadas no arquivo /etc/shadow usando o algoritmo MD5. A segurança da função hash MD5 foi seriamente comprometida por vulnerabilidades de colisão. Isso não significa que o MD5 é inseguro para hashing de senha, mas em algumas distribuições algoritmos SHA são usados (como a NSA tem recomendado) que são mais seguros e não têm fraquezas conhecidas. Podemos alterá-lo usando o módulo pam_unit (que será descrito no tópico 210.2).

Mediante a essas diferenças a solução é usar um mecanismo de hash separado para armazenamento das senhas para usar na autenticação dos compartilhamentos Samba.

Para essa demonstração criamos um novo diretório para compartilhar:

root@srvfs01:~# mkdir /srv/samba/shareprivado
root@srvfs01:~# chmod 777 /srv/samba/shareprivado
root@srvfs01:~# chown user1:user1 /srv/samba/shareprivado

Agora vamos criar um novo compartilhamento

[compartilhamento-privado]
comment = Compartilhamento exclusivo do usuario1
path = /srv/samba/shareprivado
valid users = usuario1 joao
read only = no
create mask = 0777
directory mask = 0777

Testamos o arquivo com o testparm e se tudo tiver OK recarregamos os daemons com o comando smbcontrol conforme já falamos anteriormente.

Agora falta criar o referenciado "usuario1"

root@srvfs01:~# smbpasswd -a usuario1
New SMB password:
Retype new SMB password:
Added user usuario1.

O comando smbpasswd conta com várias opções úteis:

• -x nome Exclui o usuário indicado;
• -d nome Bloqueia o usuário indicado;
• -e nome Desbloqueia o usuário indicado;
• -n nome A senha do usuário indicado se tornará nula. Somente será possível abrir o compartilhamento se existir o parâmetro null passwords = yes na seção [global] do arquivo smb.conf.
• -m nome Indica que a conta em questão é uma conta de máquina, não de usuário.

Após a criação da conta o usuário poderá acessar o recurso compartilhado no servidor. Eventualmente pode ocorrer de que o usuário na estação de trabalho utilize um nome diferente do que o que está parametrizado para acessar o compartilhamento alvo, nesses casos usa-se a opção username map no arquivo de configuração do Samba segue sintaxe:

username map = /var/lib/samba/users.map

Assim a equivalência de nomes de usuário pode ser definida no arquivo indicado seguindo o formato usuário servidor = usário estação. Podem ser mapeados mais de 1 usuário de estação por usuário de servidor basta inserir um espaço, por exemplo:

user1 = usuario1 joao

Assim (desde que o usuário joao também seja criado com o comando smbpasswd) tanto o usuario1 como o usuario joão terão acesso ao compartilhamento.

Primeiramente precisamos testar se o compartilhamento samba está alcançável utilizando o utilitário smbclient:

[root@linuxclient1 ~]# smbclient -L 192.168.35.129 -U usuario1
Enter SAMBA\user1's password: 
Domain=[srvfs01] OS=[Windows 6.1] Server=[Samba 4.3.11-Ubuntu]

    Sharename                        Type      Comment
    ---------                        ----      -------
    print$                           Disk      Printer Drivers
    Anonymous                        Disk      Compartilhamento anonimo
    IPC$                             IPC       IPC Service (ubuntu16-1 server (Samba, Ubuntu))
    compartilhamento-privado         Disk      Compartilhamento exclusivo do usuario1

Domain=[srvfs01] OS=[Windows 6.1] Server=[Samba 4.3.11-Ubuntu]

    Server               Comment
    ---------            -------

    Workgroup            Master
    ---------            -------
    WORKGROUP

Depois de testado podemos montar e desmontar o compartilhamento usando o comando mount:

[root@linuxclient1 ~]# mount //192.168.35.129/compartilhamento-privado /mnt -o username=usuario1
Password for usuario1@//192.168.34.129/compartilhamento-privado:  ***********

Para desmontar o exemplo acima um simples umount /mnt resolve.

Para fazer a montagem permanente desse compartilhamento precisamos inserir o caminho no /etc/fstab:

//192.168.35.129/compartilhamento-privado /mnt cifs username=usuario1,password=Ab123456? 0 0

Evidentemente não é uma boa ideia deixar a senha no arquivo /etc/fstab pois ele é um arquivo acessível a usuários comuns do Linux. Portanto uma forma mais segura de fazer essa montagem seria:

//192.168.35.129/compartilhamento-privado /mnt cifs credentials=/mnt/.smbcredenciais 0 0

Este arquivo oculto deverá ter as permissões setadas para 600 e ser de propriadade root:root. O conteúdo dele no nosso exemplo seria:

username=usuario1
password=Ab123456?