Samba (Servidor de archivos y de dominio Windows)

################################################################################
###############
################################################################################
###########
Servidor de Archivos SAMBA 3 PDC con LDAP en CentOS 6
################################################################################
###########
$> yum -y install samba samba-doc
Configurando el esquema de samba en el OpenLDAP
$> cp /usr/share/doc/samba-*/LDAP/samba.schema /etc/openldap/schema
Agregando el schema de samba en la configuracin de LDAP por la lnea 13
$> vim /etc/openldap/slapd.conf
.
.
include
/etc/openldap/schema/collective.schema
include
/etc/openldap/schema/samba.schema
<---- agregar esta ln
ea
Regenerar los archivos de configuracin
----------------------------------------$> service slapd stop
Borrar todos los archivos extras de configuracin que vienen en el rpm
$> rm -rf /etc/openldap/slapd.d/*
Generando la nueva configuracin de LDAP
$> slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d
$> chown -R ldap:ldap /etc/openldap/slapd.d
$> service slapd start
Creando el archivo de configuracin de samba
-------------------------------------------$> vim /etc/samba/smb.conf
#====================== Configuraciones Globales ===============================
====================
[global]
# Dominio de la red
workgroup = PLXDOMAIN
# Nombre del servidor
netbios name = PLXSERVER
# Descripcin del servidor
server string = Fileserver PeruLinux
# Interfaces de red donde se ejecuta samba
interfaces = lo eth0
# Redes que pueden acceder al servidor samba
hosts allow = 127.0.0.1 192.168.130.0/24 192.168.100.0/24
# Nivel de seguridad del servidor (user,domain,share,ads) "user" es el estandar
security = user
# Configurando SAMBA como PDC de la red
domain master = yes

domain logons = yes

local master = yes
preferred master = yes
os level = 65
# Nombre del script de logon de la red, se debe crear uno por cada usuario ej
pepito.bat %U es usuario
logon script = %U.bat
# Configuracin de los perfiles mviles %L es el nombre del servidor profiles es
la carpeta de los perfiles mviles
# Si se quiere deshabilitar poner
# logon path =
# logon home =
logon path = \\%L\profiles\%U
logon home = \\%L\%U\.profile
# Unidad de red del directorio de los usuarios
logon drive = H:
# Nivel de depuracin
log level = 4
# Habilitando servidor de tiempo para las mquinas windows, mejor es usar NTP
time server = yes
# Habilitando impresoras en red, configuradas por cups
load printers = yes
cups options = raw
# Opciones de LDAP
# Quien va a ser el usuario administrador del dominio (se usa para agregar mquin
as al dominio)
admin users = domainadmin
passdb backend = ldapsam:ldap://serverX.adiestra.pe
# Sufijo ldap para todas las entradas siguientes
ldap suffix = dc=perulinux,dc=pe
# OU de usuarios netbios
ldap user suffix = ou=people
# OU de Grupos netbios
ldap group suffix = ou=groups
# Cuentas maquinas netbios
ldap machine suffix = ou=machines
# La cuenta administrador openLDAP
ldap admin dn = cn=admin,dc=perulinux,dc=pe
# Sincronizacion de cuentas LDAP, NT y LM
ldap passwd sync = yes
# Habilitando el uso de tls en LDAP
ldap ssl = start tls
# Agregado de cuentas maquina automticamente con el utilitario smbldap-tools
add machine script = /usr/sbin/smbldap-useradd -w %u
add user script = /usr/sbin/smbldap-useradd -m "%u"
ldap delete dn = Yes
delete user script = /usr/sbin/smbldap-userdel "%u"
add group script = /usr/sbin/smbldap-groupadd -p "%g"
delete group script = /usr/sbin/smbldap-groupdel "%g"
add user to group script = /usr/sbin/smbldap-groupmod -m "%u" "%g"
delete user from group script = /usr/sbin/smbldap-groupmod -x "%u" "%g"
set primary group script = /usr/sbin/smbldap-usermod -g "%g" "%u"
# FIN DE PARAMETROS LDAP
#==================================== Recursos Compartidos =====================
==========================
# Recurso Compartido especial que comparte /home/usuario como \\TUNOMBRESERVER\

usuario, pero solo es accesible

# para el usuario
[homes]
comment = Home Directories
browseable = no
# Indica que se puede escribir en el directorio
writable = yes
# Recurso compartido especial que comparte las impresoras, capturadas por cups
a la red windows
[printers]
comment = All Printers
path = /var/spool/samba
browseable = no
# accesible por cualquier usuario es igual a public=yes
guest ok = no
# el directorio no se puede escribir es igual a read only=yes
writable = no
printable = yes
[publico]
comment = Carpeta Publica
# Ruta fsica del Directorio
path = /opt/publicosamba
# El directorio es de acceso pblico
public = yes
# Cualquiera puede escribir en l
writable = yes
# Extensiones de archivo bloqueadas
veto files = /*.mp3/*.inf/*.vbs/*.tmp/*.ini/
# definiendo una carpeta accesible solo para el grupo sistemas
[sistemas]
comment = Carpeta Sistemas
path = /opt/sistemas
# directorio no es pblico
public = no
# se puede escribir en l
writable = yes
# solo pueden acceder a la carpeta los usuarios del grupo sistemas
valid users =@sistemas
# usuarios con permisos para escribir
write list = programador, analista, jefazo
# usuario que solo puede leer
read list = luser
# Se puede ver en la red
browseable = yes
# Mscara de permisos para la creacin de archivos
create mask = 0770
# Mscara de permisos para la creacin de directorios
directory mask = 0770
# Mdulos adicionales
audit (se crea un log del recurso) recycle (se crea un
a papelera de reciclaje)
vfs objects = audit, recycle
# Directorio para los scripts de logon
[netlogon]
comment = Network Logon Service
path = /etc/samba/netlogon
# Solo el grupo sistemas puede crear los archivos bat

write list = @sistemas

# El resto de gente solo podr leer
guest ok = Yes
browseable = Yes
# Directorio para los perfiles mviles
[profiles]
path = /opt/profiles
read only = No
guest ok = Yes
create mask = 0600
directory mask = 0700
vfs objects = audit, recycle
#==================================== Fin de Recursos Compartidos ==============
============================
Definiendo la contrasea del usuario administrador del LDAP cn=admin,dc=perulinux,
dc=pe en samba
$> smbpasswd -w alumno
* Agregamos el servidor samba como cliente LDAP
################################################################################
#########################
$> yum -y install openldap openldap-clients nss-pam-ldapd sssd oddjob nscd authc
onfig authconfig-gtk
Usando el entorno grfico
################################################################################
#########################
$> authconfig-gtk
Nos sale el dilogo
Base de Datos de Cuentas
DN de Base de bsqueda:
Servidor LDAP
ost del su servidor
Marcar Utilizar TLS para

de Usuario: LDAP
dc=perulinux,dc=pe
ldap://serverX.adiestra.pe

---> poner el nombre de h

encriptar conexiones

Dar click a Descargar el certificado CA

url del certificado
http://serverX.adiestra.pe/slapd.pem
Configuracin de la autenticacin

Contrasea LDAP

Opciones Avanzadas
-------------------------Marcar
Habilitar el soporte de Huella Digital
Algoritmo Hasing de contraseas:
SHA512
Marcar Crear los directorios home (principales) al ingresar la primera vez
Y luego click en Aplicar
Usando solo la consola
################################################################################
###########################

$> authconfig --enableldap --enableldapauth --ldapserver=ldap://serverX.adiestr

a.pe \
--ldapbasedn="dc=perulinux,dc=pe" --enableldaptls \
--ldaploadcacert=http://serverX.adiestra.pe/slapd.pem --enablemkhomedir --update
$> ssh pepito@localhost
clave: alumno
Reiniciamos los servicios
-----------------------------------------------------------------------$> service smb restart
$> service nmb restart
$> chkconfig smb on
$> chkconfig nmb on
Boleanos de SELINUX para samba
------------------------------------------------------------------------Necesitamos habilitar los boleanos para configurar selinux
Habilitando el boleano de PDC
$> setsebool -P samba_domain_controller on
Habilitando el uso de los directorios de usuarios en la red
$> setsebool -P samba_enable_home_dirs on
Prueba Inicial de configuracin (Obtener el SID del dominio SAMBA)
$> net getlocalsid
SMBLDAP tools
---------------------------------------------------------------------------programa necesario para crear usuarios y grupos en linux y samba dentro
del LDAP
Debemos tener instalado el repositorio de EPEL y Habilitar CentOS-Base
y CentOS-updates (tambien deshabilitar rpmforge)
$> vim /etc/yum.repos.d/rpmforge.repo
### Name: RPMforge RPM Repository for RHEL 6 - dag
### URL: http://rpmforge.net/
[rpmforge]
name = RHEL $releasever - RPMforge.net - dag
baseurl = http://apt.sw.be/redhat/el6/en/$basearch/rpmforge
mirrorlist = http://apt.sw.be/redhat/el6/en/mirrors-rpmforge
#mirrorlist = file:///etc/yum.repos.d/mirrors-rpmforge
enabled = 0
protect = 0
gpgkey = file:///etc/pki/rpm-gpg/RPM-GPG-KEY-rpmforge-dag
gpgcheck = 1
$> vim /etc/yum.repos.d/CentOS-Base.repo
[base]
name=CentOS-$releasever - Base
mirrorlist=http://mirrorlist.centos.org/?release=6&arch=x86_64&repo=os
#baseurl=http://mirror.centos.org/centos/$releasever/os/$basearch/
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6

#released updates
[updates]
name=CentOS-$releasever - Updates
mirrorlist=http://mirrorlist.centos.org/?release=6&arch=x86_64&repo=updates
#baseurl=http://mirror.centos.org/centos/$releasever/updates/$basearch/
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6
$> wget http://download.fedoraproject.org/pub/epel/6/i386/epel-release-6-8.noarc
h.rpm
$> rpm -Uhv epel-release-6-8.noarch.rpm
$> yum -y install smbldap-tools
************** Configurar SMBLDAP-tools *****************
$> vim /etc/smbldap-tools/smbldap_bind.conf
slaveDN="cn=admin,dc=perulinux,dc=pe"
slavePw="alumno"
masterDN="cn=admin,dc=perulinux,dc=pe"
masterPw="alumno"
$> cd /etc/smbldap-tools
$> mv smbldap.conf smbldap.conf.dist
$> wget --user=linux --password=adiestra http://www.adiestra.pe/fedora-centos6/s
mbldap.conf
$> vim smbldap.conf
37:SID="S-XXXXXXXXXXXXXXXXXXXX"

38:sambaDomain="TUNOMBREDOMAIN"

---> identificador del DOMINIO

generar con el comando
$> net getlocalsid
si no funciona
probar a cambiar el nombre
del dominio, en el parmetro
workgroup de samba
---> Dominio de la red windows
definido en workgroup

103:suffix="dc=perulinux,dc=pe" ---> Raiz del rbol LDAP

108:usersdn="ou=people,${suffix}"

---> OU de usuarios del sistema

113:computersdn="ou=machines,${suffix}" --> OU de PCs

118:groupsdn="ou=groups,${suffix}"

---> OU de grupos del sistema

129:sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}" --> Ubicacin

de dominio samba
en el LDAP
135:hash_encrypt="SSHA"
---> Algoritmo de encriptacin de
contraseas
185:userSmbHome="\\TUNOMBRESERVER\%U" ---> Ubicacin de carpeta de usuarios;
Nombre del servidor Samba, definido
en netbios name
193:userProfile="\\TUNOMBRESERVER\profiles\%U" ---> Ubicacin del perfil
mvil del usuario
206:userScript="%U.bat"

---> script de logon de usuarios

209:mailDomain="perulinux.pe"

---> dominio del correo

-------------------------------------------------------------------------------------------------------------------******* Generando los usuario y grupos de Windows NT en Samba, as como el usuario

para agregar una mquina al dominio
$> smbldap-populate -a domainadmin
Clave: alumno
******* Comprobar los grupos de NT creado en SAmba, si esto funciona, todo esta
bien =D
$> net groupmap list
Parche
--------------Borrar usuario domainadmin y volverlo a crear
$>
$>
$>
$>

smbldap-groupadd -a sistemas
smbldap-userdel -r domainadmin
smbldap-useradd -g sistemas -a domainadmin -m /home/domainadmin -s /bin/bash
smbldap-passwd domainadmin

************************

USO DE smbldap-tools *****************************

# Listar usuarios del sistema, desde el servidor LDAP

$> smbldap-userlist
# Borrar un grupo
$> smbldap-groupdel grupo
# Borrar un usuario
$> smbldap-userdel -r tuxito
# Crear un grupo Linux que sea tambien grupo de NT
$> smbldap-groupadd -a sistemas
# Crear un usuario que sea usuario de Linux y de Samba
$> smbldap-useradd -g sistemas -a jefazo -m /home/jefazo -s /bin/false
$> smbldap-passwd jefazo
clave: jefazo
Crear tambin usuarios analista, programador y luser
$> smbldap-useradd -g sistemas -a analista -m /home/analista -s /bin/false
$> smbldap-passwd analista
clave: analista
$> smbldap-useradd -g sistemas -a programador -m /home/programador -s /bin/fals
e
$> smbldap-passwd programador
clave: programador
$> smbldap-useradd -g sistemas -a luser -m /home/luser -s /bin/false
$> smbldap-passwd luser
clave: luser

***************************** Creando carpetas **************************

$> mkdir /opt/publicosamba
$> mkdir /opt/profiles
$> mkdir /etc/samba/netlogon
$> mkdir /opt/sistemas
$> chmod 777 /opt/publicosamba /opt/profiles /etc/samba/netlogon
$> chgrp sistemas /opt/sistemas
$> chmod 770 /opt/sistemas
*****************Definiendo los contextos para las capetas compartidas
$> yum -y install policycoreutils policycoreutils-python
$>
$>
$>
$>
$>
$>
$>
$>

semanage fcontext -a -t samba_share_t

restorecon -FRvv /opt/publicosamba
semanage fcontext -a -t samba_share_t
restorecon -FRvv /opt/profiles
semanage fcontext -a -t samba_share_t
restorecon -FRvv /opt/sistemas
semanage fcontext -a -t samba_share_t
restorecon -FRvv /etc/samba/netlogon

"/opt/publicosamba(/.*)?"
"/opt/profiles(/.*)?"
"/opt/sistemas(/.*)?"
"/etc/samba/netlogon(/.*)?"

* Habilitando los puertos de samba en el firewall

############################################################
tcp 139
tcp 445
udp 137
udp 138
*************************Creando script de logon ***********************
$> cd /etc/samba/netlogon
$> vim programador.bat
net use P: \\TUNOMBRESERVER\publico
net use S: \\TUNOMBRESERVER\sistemas
net time \\TUNOMBRESERVER /SET /YES
$> yum -y install unix2dos
$> unix2dos programador.bat
$> chmod 777 *
***************************** Reiniciando samba y viendo los logs***********
$> service smb restart
$> service nmb restart
$> tail -f /var/log/samba/log.smbd
$> tail -f /var/log/samba/log.nmbd
****************************** Hacer prueba con estacin windows 7 ********
Instalar el regedit en el windows 7 para que puede agregarse
al Dominio SAMBA
https://bugzilla.samba.org/attachment.cgi?id=4988&action=view
Prueba con Windows 8
*************************************************************
crear archivo
samba.reg

------------------------------------------------------------Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\System\CCS\Services\Netlogon\Parameters]
"RequireSignOrSeal"=dword:00000001
"RequireStrongKey"=dword:00000000
------------------------------------------------------------Ejecutarlo como administrador
Parche
---------Intentar 2 veces el agregar al dominio
Opcional y de tarea: Configuracion de Entorno Web para gestionar
los usuarios ldap
http://adiestra.pe/fedora-centos6/lam.txt