Samba

Je vais essayer de vous exposer ici le travail que nous avons réalisé dans la mise en place d'un serveur linux-samba comme contrôleur de domaine d'un réseau Windows. La gestion des restrictions utilisateurs, les profils itinérants ... seront exposés en détails. Ce document est basé sur une Debian GNU/Linux 2.2, ce qui fait que le fichier smb.conf par défaut sur votre distribution risque d'être légèrement différent. Pour ce qui est de la version de samba utilisée : Samba 2.0.7

Installation de Samba

On part du principe que vous connaissez un minimum samba et qu'il est déjà installé sur votre serveur de test. Si jamais ce n'etait pas le cas, pour installer samba rapidement, regardez du côté de :

Debian: apt-get install samba
Red Hat (Mandrake): rpm -ivh /mnt/cdrom/RedHat(Mandrake)/RPMS/samba*

Le fichier de configuration : informations générales

Samba utilise un fichier de configuration unique dans lequel se trouvent des blocs comme par exemple le bloc [global].

<fichier smb.conf minimal>

[global]
   printing = bsd
   printcap name = /etc/printcap
   load printers = yes
   guest account = pcguest

   log file = /usr/local/samba/log.%m

[tmp]
  comment = Temporary file space
  path = /tmp
  read only = yes
  public = yes

</fichier>

Si samba est lancé avec ce fichier de configuration, les postes windows du réseau local pourront voir dans le voisinage réseau qu'un ordinateur nommé (le nom de votre machine Linux) partage un répertoire temp dans lequel vous avez le droit d'écrire.

Le fichier de configuration : paramètres "avancés"

Voyons maintenant les paramètres suivants :

• Section [global]
  • netbios name:
    Vous pouvez spécifier le nom netbios de votre serveur samba. Le nom netbios est visible dans le voisinage réseau de vos ordinateurs sous windows. Si vous ne spécifiez pas de nom netbios, le serveur linux prendra comme nom netbios son nom réseau.
  • invalid users:
    Liste des utilisateurs interdits d'accès à Samba. Par exemple "root" devrait être interdit.
  • interfaces:
    Si votre serveur linux dispose de plusieurs cartes réseaux et que vous voulez restreindre son activité à un seul réseau.
  • security:
    Choix du mode de sécurité que vous voulez utiliser. Si on utilise security=user ca oblige que chaque utilisateur ait un compte sur le serveur GNU/Linux.
    Si vous voulez lancer un samba qui ne gère pas les utilisateurs et qui ne partage que des ressources identiques pour tout le monde, vous pourrez utiliser security=share.
  • workgroup:
    Nom du groupe de travail dont votre serveur linux doit faire partie.
  • server string:
    Description de votre serveur linux.
  • socket options:
    Une liste d'options pour "tunner" votre samba et faire en sorte qu'il réagisse plus vite par exemple.
  • encrypt passwords:
    Faut il utiliser les mots de passes encrypté ? Il est important de savoir que tous les windows (ou presque) utilisent un système différent !
  • wins support:
    Votre serveur linux fait il aussi office de serveur wins ?
  • os level:
    "Niveau" de votre OS pour savoir qui sera élu maitre du domaine, local, etc.
  • domain master:
    Active samba comme serveur maitre du domaine
  • local master:
    Active samba comme serveur maitre local
  • preferred master:
    Samba doit il être "préféré" a tout autre serveur si il y en a ?
  • domain logons:
    Samba doit il gérer les contrôles de connexions pour le domaine ?
  • logon script:
    Quel sera le script à lancer lors de l'ouverture de la session de cet utilisateur ?
  • logon path:
    Ou se trouvent les fichier scripts de démarrage ?
  • logon home:
    Ou faut-il stocker les profils itinérants des utilisateurs ?
  • name resolve order:
    Dans quel ordre on fait appel aux ressources pour trouver le nom d'une machine du réseau ?
  • dns proxy:
    Le serveur samba doit il faire aussi proxy DNS ?
  • preserve case:
    Permer de garder la casse des noms de fichiers.
  • short preserve case:
    Permer de garder la casse des noms de fichiers.
  • unix password sync:
    Faut il syncroniser les mots de passe Unix et Windows ?
  • passwd program:
    Quel programme lancer pour changer le mot de passe.
  • passwd chat:
    Quel est le "protocole" de discution pour changer le mot de passe.
  • max log size:
    Taille maximum du fichier de log.
  
  
• Section [netlogon]
  On spécifie ou se trouve le netlogon.

• Section [profiles]
  Bloc des profils utilisateurs.

• Section [homes]
  Le répertoire utilisateur.

Les variables de Samba

Résultat : notre fichier de configuration

<fichier smb.conf> 

[global]
   printing = bsd
   printcap name = /etc/printcap
   load printers = yes
   guest account = nobody
   invalid users = root

; on "fixe" son nom netbios
   netbios name = pantoufle

; le réseau à écouter n'est que celui çi
; (sur l'autre interface on a la connexion internet,
: pas la peine d'avoir du samba de ce côté !)
   interfaces = 192.168.0.1/255.255.255.0

; security user implique que tout utilisateur DOIT
; avoir un compte unix sur ce serveur :)
   security = user

; Le nom du groupe de travail dont ce serveur est membre
   workgroup = rycks

; La description du serveur, visible lorsque on affiche les détails
; %h étant le nom DNS du serveur et %v la version de samba
   server string = %h server (Samba %v)

; On utilise encore le fichier de log de samba, et pas que celui
; de syslog
   syslog only = no

; Le minimum d'informations importantes dans le syslog,
; le reste étant toujours dans /var/log/smb(nmb)/
   syslog = 0;

; Vive le tuning !
   socket options = IPTOS_LOWDELAY TCP_NODELAY \
                    SO_SNDBUF=4096 SO_RCVBUF=4096

; On utilise les mots de passe encrypté. Attention tous les clients
; W95 devront être upgradé par le patch sécurité SMB de MS.
; De même NT4 devra être patché par le SP3 ou mieux ... Pour le W3.11
; je ne sais plus, ils ne doivent probablement pas supporter les passwords
; encrypté :(
   encrypt passwords = yes

; Ce serveur fait aussi serveur WINS.
; WINS permet à deux réseaux qui utilisent des plages d'IP différentes
; (par exemple 192.168.0.0/255.255.255.0 et 192.168.0.1/255.255.255.0)
; de voir les ressources partagées dans "l'autre" réseau, si la passerelle
; est active.
   wins support = yes

; Niveau de l'OS. Comme notre serveur se charge d etre le maitre du domaine,
; local logons etc. Il est donc au dessus du serveur NT si y en a un !
   os level = 34

; On fait la gestion du domaine 
   domain master = yes
   local master = yes
   preferred master = yes

; On assure la centralisation des connexions du domaine
   domain logons = yes

; Quel script à lancer lorsque un client se connecte ?
; %g correspond au nom du groupe primaire dont fait partie cet utilisateur.
   logon script = %g.bat

; Dans quel répertoire se trouvent les fichiers de démarrage ?
; %L est le nom netbios du serveur samba
   logon path=\\%L\netlogon

; Ou faudra t-il stoquer les profils itinérants des
; utilisateurs ?
; %U est le login de l'utilisateur
   logon home=\\%L\%U\winprofile

; Dans que ordre on fait appel aux ressources pour trouver le nom
; d'une machine ? Notez le broadcast en FIN ... pas comme les windows
; classique qui balancent régulièrement des broadcasts.
   name resolve order = lmhosts host wins bcast

; Samba doit il faire proxy DNS ?
   dns proxy = no

; Respect des nom de fichiers et de leur casse
   preserve case = yes
   short preserve case = yes

; Faut-il synchroniser les mots de passe windows et linux ?
   unix password sync = yes

; Que faut il mettre en place pour la synchronisation des mots de passes
   passwd program = /usr/bin/passwd %u
   passwd chat = *Enter\snew\sUNIX\spassword:* \
%n\n *Retype\snew\sUNIX\spassword:* %n\n .

; La taille maximum du fichier de log, évite de saturer son /var :p
   max log size = 1000

; On fait office de serveur de temps, c'est pratique que toutes les machines
; du réseau soient un tant soit peu synchronisées. On utilisera cette
; fonctionnalité dans le fichier .bat de loggon
   time server = yes

; On spécifie ou se trouve le netlogon. Il ne sera utilisé que lors
; de la connexion, c'est pour cela que ce n'est pas nécessaire
; qu'il soit publique etc.
[netlogon]
   path = /home/netlogon/%g
   public = no
   writeable = no
   browseable = no

; Le répertoire Home de chaque utilisateur
[homes]
   comment = Home Directories
   browseable = no

; Il a quand même le droit d'y écrire !
   read only = no

; Le masque Unix de création de fichier par défaut
   create mask = 0700

; Pour des raisons de sécurité, on met un masque de répertoire à 700 aussi !
   directory mask = 0700


; On partage le FTP, c plus pratique de l'avoir dans le voisinage réseau
; que de devoir lancer un utilitaire spécial.
 [ftp]
   path = /home/ftp/pub
   public = yes
   printable = no
   guest ok = yes

; Le répertoire temporaire
 [tmp]
   path = /tmp
   public = yes
   printable = no
   guest ok = yes
   writable = yes

; un autre temporaire spécial pour un utilisateur qui est bien éxigeant en place !
 [bigtemp]
   path = /home/bigtemp
   public = yes
   printable = no
   guest ok = yes
   valid users = erics
   writable = yes

</fichier> 

Ce qu'on a sur le serveur

En bref, sur le serveur, on doit avoir :

<fichier /home/netlogon/admin.bat>
net use P: \\pantoufle\homes
net use T: \\pantoufle\tmp
net time \\pantoufle /SET /YES
</fichier admin.bat>

<fichier /home/netlogon/professeurs/professeurs.bat>
net use P: \\pantoufle\homes
net use T: \\pantoufle\tmp
net time \\pantoufle /SET /YES
regedit /s \\pantoufle\netlogon\professeurs.reg
</fichier professeurs.bat>

<fichier /home/netlogon/eleves/eleves.bat>
net use P: \\pantoufle\homes
net use T: \\pantoufle\tmp
net time \\pantoufle /SET /YES
regedit /s \\pantoufle\netlogon\eleves.reg
</fichier eleves.bat>

<fichier /home/netlogon/professeurs/professeurs.reg>
[HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\Explorer\User Shell Folders]
"Personal"="P:\\"
</fichier professeurs.reg>

<fichier /home/netlogon/eleves/eleves.reg>
[HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\Explorer\User Shell Folders]
"Personal"="P:\\"
</fichier eleves.reg>

<fichier smb.conf>

[netlogon]
   ; on a rajouté le %g pour que selon le groupe de l'utilisateur,
   ; netlogon pointe vers un répertoire différent, dans lequel le config.pol
   ; correspond à chaque groupe de profil utilisateurs.
   path = /home/netlogon/%g
   public = no
   writeable = no
   browseable = no
   
</fichier smb.conf>