Linux下Samba服務(wù)器配置和應(yīng)用

1、網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 Linux下Samb那務(wù)器配置和應(yīng)用Samba協(xié)議基礎(chǔ)在NetBIOS出現(xiàn)之后，Microsoft就使用NetBIOS實現(xiàn)了一個 網(wǎng) 絡(luò)文件/打印服務(wù)系統(tǒng)，這個系統(tǒng)基于NetBIOS設(shè)定了一套文件共享協(xié)議，Microsoft稱之為SMB（ Server Message Block ）協(xié) 議。這個協(xié)議被Microsoft用于它們Lan Manager和WindowsNT服務(wù)器系統(tǒng)中，實現(xiàn)不同計算機之間共享打印機、串行口和通訊抽象（如命名管道、郵件插槽等）。隨著Internet的流行，Microsoft希望將這個協(xié)議擴展到Internet

2、上去，成為Inter net上計算機之間相互共享數(shù)據(jù)的一種標(biāo)準(zhǔn)。因此它將原有的幾乎沒有多少技術(shù)文檔的SMEB議進行整理，重新命名為CIFS （Common Internet File System ）,并打算將它與NetBIOS相脫離，試圖使它成為Internet上的一 個標(biāo)準(zhǔn)協(xié)議。因此，為了讓W(xué)indows和Unix計算機相集成，最好的辦法即是 在Unix計 算機中安裝支持SMB/CIFS協(xié)議的軟件，這樣Windows客戶就不需要更改設(shè)置，就能如同使用Windows NT服務(wù)器一樣，使用Unix計算機上的資源了。Samb掘用來實現(xiàn)SMB勺一種軟件，它的工作原理是， 讓NETBIOS（ Win

3、dows95網(wǎng)絡(luò)鄰居 的通訊 協(xié)議）和SMBServer MessageBlock）這兩個協(xié)議運行于TCP/IP通信協(xié)議之上，并且使用Windows的NETBEU協(xié)議讓Unix計算機可以在網(wǎng)絡(luò)鄰居上被Windows計算機看到。它的功能有：網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 1.共享Linux磁盤給Win95/NT2.共享Win95/NT磁盤給Linux機器3.共享Linux打印機給win95/NT4.共享win95/NT打印機給Linux機器。同時它的文件服務(wù)功能比NT系統(tǒng)還高，而且在Windows2000之前就提供了用戶磁盤空間限制的功能。Samba6勺配置全局設(shè)置：

4、workgroup = MYGROUP定義該Samba務(wù)器所在的工作組或者域 （如果下面的security=domain的話）。server string = MY Samba Server設(shè)定機器的描述，當(dāng)我們通過網(wǎng)絡(luò)鄰居訪問的時候可以在備 注里面看見這個內(nèi)容，而且還可以使用samba設(shè)定的變量。這里 說一下samba定義的變量：%S =當(dāng)前服務(wù)名（如果有的話）%P =當(dāng)前服務(wù)的根目錄（如果有的話）網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 %u =當(dāng)前服務(wù)的用戶名（如果有的話）%g =當(dāng)前用戶說在的主工作組%U =當(dāng)前對話的用戶名%G =當(dāng)前對話的用戶的主工作組%H =當(dāng)前

5、服務(wù)的用戶的Home目錄%v = Samba服務(wù)的版本號。%h =運行Samba!艮務(wù)機器的主機名%m=客戶機的NETBIOS稱%L =服務(wù)器的NETBIOS稱%M=客戶機的主機名%N = NIS服務(wù)器名%p = NIS服務(wù)的Home目錄%R=說采用的協(xié)議等級（值可以是COREQOREPLU&ANMAN1, LANMAN2 NT1）%d =當(dāng)前服務(wù)進程的ID%a =客戶機的結(jié)構(gòu)（只能識別幾項：Samba WfWg WinNT Win95）網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 %I =客戶機的IP%T =當(dāng)前日期和時間hosts allow =網(wǎng)絡(luò)或者主機這里可以設(shè)

6、置允許訪問的網(wǎng)絡(luò)和主機IP,比如允許192.168.1.0/24和192.168.2.1/32訪問，就用host allow = 192.168.1.192.168.2.1 127.0.0.1（網(wǎng)絡(luò)注意后面加”.”號，各個項目間用空格隔開，記得把本機也加進去）printcap name = printcapFile至，printcapFile（一般是/etc/printcap ）這個文件中取得打印機的描述信息load printers = yes|no設(shè)定是否自動共享打印機而不用設(shè)置下面的printer一節(jié)的相關(guān)東西printing = PrintSystemType定義打印系統(tǒng)的類型， 缺省

7、是lprng,可選項有：bsd, sysv, plp, lprng,aix, hpux, qnx。guest account = pcguest網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 定義游客帳號，而且需要把這個帳號加入/etc/passwd,不然它就用缺省的nobodylog file = LogFileName定義記錄文件的位置LogFileName（一般是用/var/log/samba/%m.log）max log size = size定義記錄文件的大小size（單位是KB,如果是0的話就不 限大?。﹕ecurity = security_level定義Samba的

8、安全級別，按從低到高分為四級：share , user, server ,domain。它們對應(yīng)的驗證方式如下：share:沒有安全性的級別，任何用戶都可以不要用戶名和口 令訪問服務(wù)器上的資源。user:samba的默認(rèn)配置， 要求用戶在訪問共享資源之前資源 必須先提供用戶名和密碼進行驗證。server:和user安全級另U類似，但用戶名和密碼是遞交到另 外一個服務(wù)器去驗證，比如遞交給一臺NT服務(wù)器。如果遞交失敗，就退到user安全級。網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 domain:這個安全級另U要求網(wǎng)絡(luò)上存在一臺Windows的主域控制器，samba把用戶名和密碼遞

9、交給它去驗證。后面三種安全級都要求用戶在本Linux機器上也要系統(tǒng)帳戶。否則是不能訪問的。password server =;當(dāng)前面的security設(shè)定為server或者domain的時候才有 必要設(shè)定它。password level = n這是設(shè)定針對一些SM密戶像OS/2之類而設(shè)的，這樣的系 統(tǒng)在發(fā)送用戶密碼的時 候，會把密碼轉(zhuǎn)換成大寫再發(fā)送，這樣 就和samba的密碼不一致，這個參數(shù)可以設(shè)定密碼里允許的大寫字母個數(shù)，這樣samba就根據(jù)這個數(shù)目對接收到的密 碼進行大 小寫重組，以重組過的密碼嘗試驗證密碼的正確性。n越大，組臺的次數(shù)就越多，驗證時間就越長，安全性也會因此變得越低。例如n=

10、2,用戶的密碼是abcd ,但發(fā)送出去其實是ABCD samba就會把這個ABC皿行大小寫重組，組合后的結(jié)果可以是：Abcd, aBcd, abCd, abcD, abcd,ABcd, AbCd, AbcD,aBCd,aBcD,abCD。所以如果沒有必要，就把n定為是零。這樣的話samba只嘗 試兩次，一個是接收到的密碼，另一個嘗試的是這個密碼都是小 寫的情況。網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 username level = n這個是對于用戶名的情況，說明和上面一項類似。encrypt passwords = yes|no設(shè)置是否對密碼進行加密，samba本身有一個

11、密碼文件/etc/samba/smbpasswd,如果不對密碼進行加密則在驗證會話期 間客戶機和服務(wù)器之間傳遞的是明文密碼，samba直接把這個密碼和Linux里的/etc/samba/smbpasswd密碼文件進行驗證。但 是在Windows95 OS/R2以后的版本和Windows NT SP3以后的版 本缺省都不傳送明文密碼，要讓這些系統(tǒng)能傳送明文密碼必須在 其注冊表里更改，比較麻煩，好的方法就是把這里的這個開關(guān)設(shè) 置為yes。smb passwd file = smbPasswordFile設(shè) 置 存 放samba用 戶 密 碼 的 文 件smbPasswordFile （一 般 是/

12、etc/samba/smbpasswd）。ssl CA certFile = sslFile當(dāng)samba編譯的時候支持SSL的時候， 需要指定SSL的證書 的位置 （一般在/usr/share/ssl/certs/ca-bundle.crt）。unix password sync = yes|nopasswd program = /usr/bin/passwd %u網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 passwd chat = *New*UNIX*password* %n*ReType*new*UNIX*password* %n*passwd:*all*authenti

13、cation*tokens*updated*successfully*這三項設(shè)置能否從windows的應(yīng)用程序修改unix系統(tǒng)的用 戶密碼username map = UsermapFile指定用戶映射文件（一般是/etc/samba/smbusers ）,當(dāng)我 們在這個文件里面指定一行root = administrator admin的時 候，客戶機的用戶是admin或者administrator連接時會被當(dāng)作 用戶root看待。include = MachineConfFile指定對不同機器的連接采用不同的配置文件MachineConfFile（一般為了靈活管理使用/etc/samba/

14、smb.conf.%m,由于采用了samba的變量，把配置文 件和客戶機的NETBIOS稱關(guān)聯(lián)起來，能很容易地控制這些客戶 機的權(quán)限和設(shè)置）。socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192這個是網(wǎng)絡(luò)socket方面的一些參數(shù)，能實現(xiàn)最好的文件傳 輸性能。相 關(guān) 的 選 項 還 有SO_KEEPALIVESO_REUSEADDRSO_BROADCASTPTOS_LOWDELAYPTOS_THROUGHP UT SO_SNDLOWAT*）、SO_RCVLOWAT）,帶* 號網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)

15、用 的要指定數(shù)值。 一般如果在本地網(wǎng)絡(luò)，就只用IPTOS_LOWDELAY,果是有一個本 地網(wǎng)絡(luò)的，就用IPTOS_LOWDELAY TCP_NODELAY果是廣域網(wǎng) 絡(luò)，就試試IPTOS_THROUGHPUTinterfaces = interface1 interface2如果有多個網(wǎng)絡(luò)接口，就必須在這里指定。如interface =192.168.12.2/24 192.168.13.2/24remote browse sync = host（subnet）這里指定瀏覽列表同步信息從哪里取得，如果用host（比如192.168.3.25 ）或者整個子網(wǎng)（192.168.5.255 ）。這

16、里說明一下什么是瀏覽（Browse）:在SMBBfr議中，計算機為了訪問網(wǎng)絡(luò)資源，就需要了解網(wǎng)絡(luò)上存在的資源列表（例如在Windows T使用網(wǎng)絡(luò)鄰居查看可以訪問的計算機），這個機制就被稱為瀏覽（Browse）。雖然SMB協(xié)議中經(jīng)常使用廣播的方式，但如果每次都使用廣播的方式了解當(dāng)前的網(wǎng)絡(luò)資源（包括提供服務(wù)的計算機和各個計算機上的服 務(wù)資源），就需要消耗大量的網(wǎng)絡(luò)資源和浪費較長的查找時間， 因此最好在網(wǎng)絡(luò)中維護一個網(wǎng)絡(luò)資源的列表，以方便查找網(wǎng)絡(luò)資源。只有必要的時候，才重新查找資源，例如使用Windows下的查找計算機功能。網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 但沒有必要每個

17、計算機都維護整個資源列表，維護網(wǎng)絡(luò) 中當(dāng)前資源列表的任務(wù)由網(wǎng)絡(luò)上的幾個特殊計算機完成的，這些計算機被稱為Browser,這些Browser通過記錄廣播數(shù)據(jù)或查詢 名字服務(wù)器來記錄網(wǎng)絡(luò)上的各種資源。Browser并不是事先指定的計算機，而是在普通計算機之間 通過自動進行的推舉產(chǎn) 生的。不同的計算機可以按照其提供服 務(wù)的能力，設(shè)置在推舉時具備的不同權(quán)重。 為了保證一個Browser停機時網(wǎng)絡(luò)瀏覽仍然正常，網(wǎng)絡(luò)中常常存在多個Browser,一 個為主Browser (Master Browser ),其他的為備 份Browser。remote announce = host(subnet)指定這些機

18、器向網(wǎng)絡(luò)宣告自己，而不是有Browser得到。local master = yes|no這個參數(shù)指定nmbd是否試圖成為本地主瀏覽器，默認(rèn)值是yes ,如果設(shè)為no則samba服務(wù)器就永遠(yuǎn)都不會成為本地主瀏覽 器。但即使設(shè)置了yes,也不等于samba服務(wù)器就會成為本地主 瀏覽器。 只是參與本地主瀏覽器選擇。os level = nn的值是個整數(shù)，決定了nmbd是否有機會成為本地廣播區(qū)域 的工作網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 組里的本地主瀏覽器，默認(rèn)值是零，零則意味著nmbd失去瀏覽選擇。如果要nmbd更有機會成為本地主瀏覽器的話，可 以設(shè)為65。domain ma

19、ster = yes|no這個參數(shù)讓nmbd成為一個域瀏覽器，取得各本地主瀏覽器 的瀏覽列表，并將整個域的瀏覽列表遞交給各本地主瀏覽器。preferred master = yes|no這個參數(shù)指定nmbd是否是工作組里的首要的主瀏覽器，如 果指定為yes , nmbd在啟動的時候就強制一個瀏覽選擇。 Domain master和local master工作組和域這兩個概念在進行瀏覽時具備同樣的用處，都是 用于區(qū)分并維護同一組瀏覽數(shù)據(jù)的多個計算機。事實上他們的不同在于認(rèn)證方式上，工作組中每臺計算機都基本上是獨立的，獨立對客戶訪問進行認(rèn)證， 而域中將存在一個（或幾個）域控制器，保存對整個域中都有

20、效的認(rèn)證信息，包括用戶的認(rèn)證信息以及域內(nèi)成員計算 機的認(rèn)證信息。瀏覽數(shù)據(jù)的時候，并不需要認(rèn) 證信息，Microsoft將工作組擴展為域，只是為了形成一種分級 的目錄結(jié)構(gòu)，將原有的瀏覽和目錄服務(wù)相結(jié)合，以擴大Mircrosoft網(wǎng)絡(luò)服務(wù)范圍的一種策略。網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 工作組和域都可以跨越多個子網(wǎng)，因此網(wǎng)絡(luò)中就存在兩種Browser,一種為Domain Master Browser,用于維護整個工作 組或域內(nèi)的瀏覽數(shù)據(jù)，另一種為Local Master Browser,用于維護本子網(wǎng)內(nèi)的瀏覽數(shù)據(jù)，它和Domain Master Browser通信以 獲得

21、所有的可瀏覽數(shù)據(jù)。劃分這兩種Browser主要是由于瀏覽數(shù)據(jù)依賴于本地網(wǎng)廣播來獲得資源列表，不同子網(wǎng)之間只能通過瀏覽器之間的交流能力，才能互相交換資源列表。但是，為了瀏覽多個子網(wǎng)的資源，必須使用NBNSg字服務(wù)器的解析方式，沒有NBNS勺幫助，計算機將不能獲得子網(wǎng)外計 算機的NetBIOS名字。Local Master Browser也需要查詢NetBIOS名字服務(wù)器以獲得Domain Master Browser的名字，以 相互交換網(wǎng)絡(luò)資源信息。由于域控制器在域內(nèi)的特殊性，因此域控制器傾向于被用做Browser，主域控制器應(yīng)該被用作Domain Master Browser,他 們在推舉時設(shè)

22、置的權(quán)重較大。preserve case = yes|noshort preserve case = yes|no指定拷貝DO教件的時候保持大小寫，缺省是nodefault case = lower|upper網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 所有的DOSJ5C件的缺省是大寫還是小寫case sensitive = yes|no大小寫敏感，一般是no,不然會出現(xiàn)一些問題。共享設(shè)置：共享資源：每個SMM艮務(wù)器能對外提供文件或打印服務(wù)，每個共享資源 需要被給予一個共享名，這個名字將顯示在這個服務(wù)器的資源列表中。如果一個資源的名字的最后一個字母為$,則這個共享名就為隱藏共享

23、，不能直接表現(xiàn)在瀏覽列表中，而只能通過直接訪 問這個名字來進行訪問。在SMEB議中，為了獲得服務(wù)器提 供的資源列表，必須使用一個隱藏的資源名字IPC$來訪問服務(wù)器，否則客戶無法獲得系統(tǒng)資源的列表。共享設(shè)置中有個比較奇怪的段：homes,在smb.conf文件中一般沒有對這個目錄的設(shè)定特 定內(nèi)容比如路 徑等。當(dāng)客戶機發(fā)出服務(wù)請求時，就在smb.conf文件的其它部分查找友特定內(nèi)容的服務(wù)。如果沒有發(fā)現(xiàn)這些服 務(wù)，并且提供了homes段時，那么就搜索 密碼文件得到用戶的Home目錄。通過Home轂，Samba可以得到用戶的Home目錄并 使之共享。下面是這個段的最基本的幾個設(shè)置。網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和

24、專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 homescomment=Home Directorybrowseable=nowritable=yes比較正常的共享的配置如下例:MySharecomment = grind s filepath = /home/grindallow hosts = host(subnet)deny hosts = host(subnet)writable = yes|nouser = user(group)valid users = user(group)invalid users = user(group)read list = user(group)網(wǎng)絡(luò)技術(shù)應(yīng)用

25、網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 write list = user(group) admin list = user(group) public = yes|nohide dot files = yes|nocreate mode = 0755directory mode = 0755sync always = yes|noshort preserve case = yes|nopreserve case = yes|nocase sensitive = yes|nomangle case = yes|nodefault case = upper|lowerforce user

26、 = grindwide links = yes|nomax connections = 100delete readonly = yes|no其中里面的MyShare指定共享名，一般就是網(wǎng)絡(luò)鄰居里面 可以看見的文件夾的名字。網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 comment指的是對改共享的備注。path指定共享的路徑，其中可以配合samba變量使用。比如你可以指定path =/data/%m，這樣如果一臺機器的NETBIOS字是grind,它訪問MyShare這個共享的時候就是進入/data/grind目錄，而對 于NETBIOS是glass的機器，則進入/data/

27、glass目錄。allow hosts和deny hosts和前面的全局設(shè)置的方法一樣這 里不再提及。writeable指定了這個目錄缺省是否可寫，也可以用readonly = no來設(shè)置可寫。user設(shè)置所有可能使用該共享資源的用戶，也可以用group代表group這個組的所有成員，不同的項目之間用空格或者逗號 隔開。valid users指定能夠使用該共享資源的用戶和組。in valid users指定不能夠使用該共享資源的用戶和組。read list指定只能讀取該共享資源的用戶和組。write list指定能讀取和寫該共享資源的用戶和組。admin list指定能管理該共享資源（包括讀寫

28、和權(quán)限賦予等） 的用戶和組。網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 public指明該共享資源是否能給游客帳號訪問，這個開關(guān)有 時候也叫g(shù)uest ok，所以有的配置文件中出現(xiàn)guest ok = yes其實和public = yes是一樣的。hide dot files指明是不是像unix那樣隱藏以“.”號開頭 的文件。create mode指明新建立的文件的屬性，一般是0755。directory mode指明新建立的目錄的屬性，一般是0755。sync always指明對該共享資源進行寫操作后是否進行同步 操作。short preserve case指明不管文件名大小

29、寫。preserve case指明保持大小寫。case sensitive指明是否對大小寫敏感，一般選no,不然可能引起錯誤。mangle case指明混合大小寫。default case指明缺省的文件名是全部大寫還是小寫。force user強制把建立文件的屬主是誰。如果我有一個目錄，讓guest可以寫，那么guest就可以刪除，如果我用force user= grind強制建立文件的屬主是grind，同時限制create mask =0755，這樣guest就不能刪除了。網(wǎng)絡(luò)技術(shù)應(yīng)用網(wǎng)專業(yè)和專注企業(yè)網(wǎng)絡(luò)技術(shù)，服務(wù)器,網(wǎng)絡(luò)安全應(yīng)用 wide links指明是否允許共享外符號連接，比如共享資源里 面有個連接指向非共享資源里面的文件或者目錄，如果設(shè)置wide links = no將使該連接不可用。max connections = n設(shè)定同時連接數(shù)是n。delete readonly指明能否刪除共享資源里面已經(jīng)被定義為只讀的文件