Пакет samba (с поддержкой MIT Kerberos) входит в стандартные дистрибутивы Astra Linux, но по умолчанию не устанавливается.

Дополнительно, в стандартный дистрибутив входит графический инструмент для настройки samba - fly-admin-samba.
Вариант samba с поддержкой Heimdal Kerberos доступен по ссылке.

Быстрая установка

Установку samba можно сделать с помощью графического менеджера пакетов synaptic или из командной строки. Можно сразу установить графический инструмент администрирования fly-admin-samba, пакет samba при этом установится автоматически. Пример команды для установки графического пакета:

Быстрая настройка и запуск

Для быстрой настройки сервиса запустить графический инструмент:

С помощью графического инструмента возможно выполнение большинства действий по администрированию разделяемых ресурсов сервиса samba:

• задание имени рабочей группы;
• запуск/остановка сервиса;
• определение разделяемых ресурсов;
• определение списка пользователей;
• настройка аутентификации пользователей через Kerberos;

Настройка анонимного разделяемого каталога

1. Создать разделяемый каталог, к которому будет предоставлен полный доступ (например, каталог /srv/share):
   

   sudo mkdir /srv/share

2. Установить на созданный каталог права доступа 0775 и сделать владельцем пользователя nobody ("никто") и группу nogroup ("никакая"):

   sudo chown nobody:nogroup /srv/share
   sudo chmod 775 /srv/share

3. В конфигурационный файл /etc/samba/smb.conf внести следующие исправления:

   1. Убедиться, что в секции [global] присутствует параметр map to guest, имеющий значение Bad User, в случае отсутствия - добавить его в секцию:

      map to guest = Bad User

      Параметр разрешает работу пользователей, не прошедших аутентификацию, в том числе работу с анонимными разделяемым ресурсами;

   2. Добавить секцию вида:

      [share]
         comment = <Произвольный комментарий>
         guest ok = yes
         path = /srv/share
         read only = no
         create mask = 0666

      Анонимное подключение с параметрами по умолчанию принудительно обеспечивают для всех подключений к ресурсу подключение от имени nobody ("никто") и группы nogroup ("никакая"), что ограничивает возможность несанкционированных действий. Однако, применение этих параметров имеет нежелательный побочный эффект: все файловые объекты, создаваемые на ресурсе, получают владельца nobody:nogroup независимо от того, кто их создавал, то есть доступны всем анонимным пользователям, подключающимся к разделяемому ресурсу.
      Кроме того, по умолчанию владельцу файлов (а при анонимном доступе это пользователь nobody) разрешается их исполнение (маска прав доступа создаваемых файлов 744). Для предотвращения возможности исполнения нежелательных анонимно загруженных файлов в примере выше использована опция create mask = 0666, запрещающая установку битов исполнения в маске файла.

      Для запрета изменения файловых ресурсов параметр read only привести к виду:

          read only = yes

4. Проверить корректность конфигурационного файла:
   

   testparm

5. Перезапустить службу samba, чтобы изменения вступили в силу (в актуальных обновлениях перезапуск не требуется, изменения конфигурационного файла применяются автоматически):

   sudo systemctl restart smbd

Тонкая настройка

Основной файл настройки сервиса samba - /etc/samba/smb.conf - содержит значительное количество комментариев по проведению настройки.

Инструменты командной строки для samba

• Для того, чтобы проверить разделяемые ресурсы samba, доступные в сети, можно использовать команду

  smbtree
  Эта команда выводит дерево рабочих групп, и принадлежащих им ресурсов (файлов, принтеров и пр.) всех серверов samba, доступных в сети.

• Для работы с конкретным ресурсом можно использовать команду smbclient:

  • Список ресурсов конкретного сервера с именем hostname:

    smbclient -L hostname

  • Анонимная работа с разделяемым ресурсом share предоставляемым сервером hostname:

    smbclient -N \\\\hostname\\share
    После запуска команды в интерактивном режиме доступны команды для просмотра содержимого разделяемых каталогов, создания и удаления поддиректорий и пр. Полный список команд доступен по команде help

Настройка клиентов

Простой доступ к ресурсам

Для доступа к ресурсам следует использовать пункт "Сеть" - "Создать сетевое место" в верхнем меню файлового менеджера, в открывшейся форме ввода указать имя сервиса, и его адрес.

Примеры форматов задания адресов имеются непосредственно в форме ввода.

Монтирование ресурсов

Для монтирования ресурсов на клиентские машины следует установить пакет cifs-utils, который входит в дистрибутивы, но по умолчанию не устанавливается:

Анонимное монтирование ресурсов

После установки пакета анонимное монтирование ресурсов (при условии их доступности) будет доступно командой mount, например:

• //10.0.10.201/share - ресурс "share" на сервере 10.0.10.201
• /mnt - точка монтирования

Автоматическое монтирование ресурсов

Для того, чтобы сетевой ресурс монтировался при загрузке системы, необходимо в конфигурационный файл /etc/fstab добавить строчку вида:

Комментарий по используемым и возможным опциям:

Дополнительно можно использовать параметр монтирования vers=, позволяющий выбрать версию протокола монтирования. Если параметр не указан, то в современных обновлениях Astra Linux по умолчанию выбирается максимально доступная версия протокола (версия 3.11). Список доступных версий протокола монтирования доступен в описании параметра в справочной системе man (man mount.cifs). Узнать версию протокола, использующегося для существующего монтирования, можно командой:

Получить список версий протокола монтирования, поддерживаемых сервером, можно установив пакет nmap (требуется подключение расширенного репозитория и выполнить команду:

Автоматическое монтирование ресурсов по запросу

Автоматическое монтирование ресурсов по запросу выполняется с помощью пакета autofs.

Обнаружение серверов samba другими компьютерами

Для того, чтобы другие компьютеры (в том числе компьютеры Windows) в сети могли обнаруживать компьютеры под управлением Astra Linux (в том числе — обнаруживать серверы samba для дальнейшего запрос их ресурсов) необходимо установить пакет wsdd:

Для применения wsdd с указанной целью дополнительных настроек после установки не требуется.