SaMBa nagy hálózatokban

Szent István Egyetem, Gödöllői Területi Iroda
Informatikai és Kommunikációtechnikai Központ

Bevezetés

A SaMBa: SMB protokolt megvalósító programegyüttes, használatával egyszerű a Windows-os és UNIX-os világ összekötése. Free software, GNU-GPL.

Előadás tematikája: kapcsolodó hálózati protokollok, működési alapok, browsing több alhálózat esetén, biztonsági kérdések, Samba szerver beállítások.

Alap protokollok

NetBT:

NetBIOS over TCP/IP: Name, Datagram és Session szolgáltatás.

SMB:

NetBT fölötti főleg fájl- és nyomtató megosztás, de named pipes, mailslots, egyebek is.

CIFS:

ugyanaz mint az SMB, de közvetlenül TCP/IP fölött.

SMB kapcsolat létrehozásának lépései:

• cél gépet megfelő néven kell szólítani,
• felek a dialektusban megegyeznek,
• erőforrás - például fájl megosztás - kérése (tree connect),
• ha újabb erőforrás kell, akkor a meglévő kapocsolaton belül új tree connect,
• message, echo, server info autentikáció nélkül elérhető.

SMB autentikáció

megosztás (share) szintű autentikáció:

• az SMB kapcsolatfelvételnél nincs autentikáció,
• egy erőforrás eléréshez (tree connect) csak jelszó kell, nincs UID,
• feltételezi, hogy egy felhasználó ugyanazt a jelszót használja több helyen,

felhasználó (user) szintű autentikáció:

• az SMB kapcsolat elején dialektus tisztázása után azonnal,
• felhasználói név és jelszó kell,
• dialektustól függően a jelszó lehet cleartext vagy challenge-response,
• fallback guest gyakori.

• NetBIOS nevek és IP címek nyilvántartása,
• 16 karakter hosszú nevek, de az utolsó karakter mindig funkciókód,
• DNS packeteket használ, de mangled nevek a karakterkészlet miatt,
• NetBT NS és WINS variánsai ugyanannak a szolgáltatásnak, azonos célok, de eltérő módszerek:
  • NetBT NS broadcast alapú, WINS unicast, ezért a NetBT NS nem, de a WINS működik alhálózatok között is,
  • A két szolgáltatás független, nem cserélnek adatot még akkor sem, ha azonos gépen futnak,
  • Ezért pl. ha a WINS szerver nincs beállítva WINS kliensnek, nem szerepelteti saját magát a listájában, és független NetBT NS-t is futtat.

SaMBa: name resolve order,
lehetséges értékei: lmhosts, hosts,wins, bcast

• csak humán interface szerepe van,
• számítógép lista, megosztások már a cél gépről,
• nem része a WINS-nek,
• tipikus, hogy egy gép látszik a listán, de nem elérhető, ez nem browser hiba,
• gyakori, hogy egy gép nem látszik a listán, de elérhető, ez browser hiba,
• NetBT NS-hez hasonlóan broadcast alapú, de routerek miatt ...
• idővel több alhálózatos, nagy hálózatokban is stabilizálódik,
• általában egy nagy hálózat a stabilizálódás előtt átkonfigurálódik,

• workgroup (munkacsoport) nyitott: az lehet a tagja, aki ezt állítja magáról,
• domain (tartomány) zárt: belépéshez gép autentikációja a tartományvezérlőnél,
• master browser-t munkacsoportonként és alhálózatonként (UDP broadcast domain) választanak a gépek,
• minden alhálózatban külön munkacsoport, hiába azonos a neve
• megoldás összevonásra:
  • közös WINS kijelölés,
  • tartománnyá alakítás,
  • SaMBa remote announce opció másik alhálózat broadcast címére.

• a master browsert választják a gépek,
• ha nem látszik a master browser, a gépek új választást kezdeményeznek,
• gyakran előfordul, hogy több master browser van, de nem mindegyik rendelkezik teljes géplistával,
• szavazáson az nyer, akinek magasabb a verziószáma (win9x, NT ws + service pack verzió, NT srv + service pack verzió, win2k), uptime...,
• SaMBa opciók:
  • os level = 33,
  • preferred master,
  • domain master,
  • local master

Computer Browser frissítések: UDP 138-as port, broadcast.

• host announcement: bootoláskor 3 broadcast,
• local master announcement: 12 percenként,
• workgroup announcement: 15 percenként,
• host announcement: 12 percenként,
• master browser announcement: 15 percenként.

Computer Browser Listacserék: TCP 139-es port, unicast.

• tartomány master browser a WINS-nek: géplista 12 percenként,
• local master browser a tartomány master browsernek: 12 percenként,
• backup browser a tartomány master browsernek: 12 percenként,

WINS - WINS kommunákáció:TCP 42-es port, unicast

• WINS, azonos NetBT és DNS host nevek, csak IP protokoll,
• többlábú gépen samba master browser, de többlábú NT nem lehet,
• megosztás nélküli gépek elrejtése a browser listából:

  NT-ken:

  HKLM\System\CurrentControlSet\Services \LanManServer\Parameters\Hidden=dword:1

  win9x-eken:

  ez elérhető a nyomtató- és fájlmegosztás szolgáltatás eltávolításával.

• hatás: browser lista, választások, a host announcement.

• választások szabályozása HKLM\System\CurrentControlSet\Services \Browser\Parameters\IsDomainMaster:dword paraméterrel.

  Lehetséges értékei: 0 - soha, 1 - mindig, 2 - automatikus, ez az alapértelmezett a munkaállomásokon.

• Az SMB/CIFS nem biztonságos protokoll: túl sok mindent csinál, nehezen követhető,
• proxy-val a biztonság nehezen javítható,
• csomagszűrővel nem lehet finoman szabályozni a hozzáférést,
• SMB NAT mögött használható: NetBT tartalmaz beépített IP címeket, de általában nem használja ezt,
• WINS és NetBT névfeloldás nem NAT-olható egyszerűen,
• WINS sokkal sérülékenyebb, mint a DNS,
• WINS és browser lista érzékeny információt tartalmaz,
• nem elég a WINS szervereket védeni, megszólításra bármelyik kliens kiadja a WINS és browser adatokat!

Csomagszűrési szabályok - NetBT, SMB

SaMBa verziók

2.0.7:

stabil, mindenkinek javasolt változat, de Windows NT-vel és Windows 2000-el korlátozásokkal használható.

2.2.0:

béta fázis vége, sok fejlesztés, teljes NT és win2k támogatás, ACL és később LDAP funkciók.

HEAD:

ez lesz a 3.0.0, tartományvezérlési (PDC, inter-domain trust) fejlesztések,

TNG:

"The Next Generation": alternatív fejlesztői ág, samba team-től külön, de együttműködve. Teljesen más programstruktúra, főleg MS RPC és named pipe fejlesztés.

• munkacsoport tagjainak felhasználónként saját terület (home dir),
• munkacsoport tagjai által írható közös terület,
• másik munkacsoport tagjainak írható részterület,
• munkacsoport tagjainak írható, többieknek csak olvasható terület,
• netlogon, roaming profiles, WINS.

• A SaMBa forráskód ad legbővebb információt SMB/CIFS-hez,
• SaMBa config viszonylag egyszerű,
• kritikus pontok: browsing és fálj jogosultságok,
• browsing javítására megoldási javaslatok,
• csomagszűrő listához adatok,
• előadás anyaga http://www.szie.hu/ikkp/-ról megtalálható.