4 069
contributi
Samba e OpenLDAP: creare un controller di dominio con Debian Squeeze: differenze tra le versioni
Vai alla navigazione
Vai alla ricerca
Samba e OpenLDAP: creare un controller di dominio con Debian Squeeze (visualizza wikitesto)
Versione delle 00:15, 1 nov 2011
, 1 nov 2011→Aggiungere i primi utenti di dominio
| Riga 1 409: | Riga 1 409: | ||
# chown -R nome.utente /home/users/nome.utente | # chown -R nome.utente /home/users/nome.utente | ||
</pre> | </pre> | ||
== Creazione di un semplice script da eseguire al login di windows == | |||
E' possibile creare uno script "logon.bat" (come specificato nel file /etc/smbldap-tools/smbldap.conf) da mettere nella cartella indicata per la condivisione netlogon. Questo script conterrà alcuni comandi che saranno eseguiti all'avvio dei client Windows. | |||
Tale script dovrà esser scritto in modalità dos, per far questo sfrutteremo il tool unix2dos contenuto nel pacchetto tofrodos. | |||
<pre> | |||
# apt-get install tofrodos | |||
</pre> | |||
creiamo lo script con l'editor che preferiamo | |||
<pre> | |||
# vim /dominio/netlogon/logon.bat | |||
</pre> | |||
syncronizziamo gli orologi del client windows con il nostro server e mappiamo una condivisione di rete scrivendo nel file | |||
<pre> | |||
net time %LOGONSERVER% /set /yes | |||
net use X: \\SERVER\Nome_Condivisione | |||
</pre> | |||
infine | |||
<pre> | |||
# unix2dos /dominio/netlogon/logon.bat | |||
</pre> | |||
Allo script si possono aggiungere operazioni come il montaggio di unità di rete o altre condivisioni. | |||
Tenete conto che con queste impostazioni viene già creata un'unità di rete collegata alla home dell'utente linux. | |||
== Test e connessione al dominio == | |||
Il nostro server è ora pronto per essere utilizzato. Per testarne le funzionalità è possibile procedere per gradi, in modo da isolare quelli che sono i problemi di configurazione da quelli che sono i problemi di rete o dei client Windows.<br/> | |||
A tal fine il primo accesso può essere fatto dal server stesso con il comando: | |||
<pre> | |||
# smbclient -L localhost -U Administrator | |||
</pre> | |||
Dovrebbe essere richiesta la password impostata precedentemente per l'utente Administrator e, di seguito, dovrebbero venire elencate le condivisioni samba impostate sul server. | |||
<br/><br/> | |||
La procedura di connessione dei client al dominio varia a seconda del sistema operativo utilizzato sulle macchine client: | |||
<br/><br/> | |||
*'''Windows 95/98/ME''' | |||
# Verificare che sia installato il "Client per Reti Microsoft" fra le proprietà di rete | |||
# Assicurarsi che il Client per Reti Microsoft sia selezionato come protocollo di rete primario (Pannello di Controllo -> Rete -> Logon di rete primario). | |||
# Andare su Pannello di Controllo -> Rete -> Client per reti Microsoft -> Proprietà -> Logon su Dominio NT. | |||
# Se si è configurata su smb.conf l'opzione "add user script", selezionare il checkbox Crea un Computer Account, altrimenti creare a mano sul server Samba un utente con il nome della macchina Windows. | |||
# Inserire il nome del proprio dominio e cliccare OK. | |||
*'''Windows NT''' | |||
# Andare su Pannello di Controllo -> Rete -> Identificazione Rete -> Proprietà | |||
# Selezionare Dominio e inserire il nome del prorio dominio | |||
# Selezionare Crea un Computer Account | |||
# Alla richiesta della password di un amministratore inserire la login e la password di Administrator, ricordarsi che l'utente root deve essere aggiunto a smbpasswd. | |||
# Dovrebbe comparire un messaggio che ci da il benvenuto sul dominio. | |||
*'''Windows 2000''' | |||
# Le procedure sono uguali a quelle per Windows NT tranne che i settaggi di rete sono trovati sotto Pannello di Controllo -> Sistema -> Identificazione Rete (oppure, sul Desktop, cliccare col tasto destro del mouse sull'icona Risorse del Computer, selezionare Proprietà, cliccare sulla tab Identificazione Rete e sul tasto Proprietà). | |||
*'''Windows XP''' | |||
La procedura con Windows XP è più complessa (lamentele a Microsoft che usa cambiare le specifiche e le implementazioni dei suoi protocolli anche per rendere più complicata l'interoperabilità con soluzioni alternative). Notare che solo XP Professional Edition può essere usato per far parte di un dominio, Windows XP Home Edition non può far parte di un dominio (Samba o Windows based). | |||
# Aprire l'editor delle policy di Sicurezza Locale (Start->Pannello di controllo->Strumenti di Aministrazione->Criteri di protezione locali->Criteri locali->opzioni di protezione) | |||
# Disabilitare la voce "Domain member: Digitally encrypt or sign secure channel (always)" (Membro di dominio: aggiunta crittografia of irma digitale ai dati del canale protetto (sempre) ) | |||
# Disabilitare la voce "Domain member: Disable machine account password changes" (Controller di dominio: rifiuta cambio password account computer) | |||
# Disabilitare la voce "Domain member: Require strong (Windows 2000 or later) session key" (Membro di dominio: richiesta chiave di sessione avanzata (Windows 2000 o versioni successive) ) | |||
# Scaricare la patch per il registro http://www.pepinet.com/download/samba/sambapatch.reg. Per applicarla cliccare due volte sul file .reg e rispondere Si alle domande | |||
# A questo punto ci si può unire al dominio come su Windows NT/2000: Tasto destro su Risorse del Computer, selezionare Proprietà, Nome del Computer e tasto Modifica uppure cliccare su Identificazione di Rete ed eseguire il Wizard fornendo le credenziali di Administrator. | |||
*'''Windows Vista''' | |||
# Non ancora testato. | |||
*'''Windows 7''' | |||
Il supporto a Windows 7 è stato aggiunto a partire dalla versione 3.3 di Samba; bisogna quindi provvedere all'installazione di Samba dal repository backports, come descritto nel relativo capitolo di questa guida. | |||
# Su Windows 7 Professional o Ultimate (gli unici che possono effettuare un join a un dominio) occorre modificare due chiavi di registro: | |||
<pre> | |||
HKLM\System\CCS\Services\LanmanWorkstation\Parameters | |||
DWORD DomainCompatibilityMode = 1 | |||
DWORD DNSNameResolutionRequired = 0 | |||
</pre> | |||
Occorre inoltre scaricare dal sito di Microsoft un hotfix che corregge un problema di "Server DNS non trovato". Il link all'hotfix è riportato nel wiki ufficiale di Samba: http://wiki.samba.org/index.php/Windows7 | |||
<br/> | |||
A questo punto la procedura di unione al dominio procede sulla falsariga di quella valida per Windows XP. | |||
== Backup e restore del database LDAP == | |||
Vengono suggeriti di seguito alcuni metodi per effettuare dei backup del database LDAP. Consiglio di prendere seriamente in considerazione l'idea di impostare dei backup regolari magari tramite cron e suggerisco altresì di effettuare '''sempre''' un backup dei dati LDAP prima di ogni modifica o riconfigurazione del server. | |||
=== Offline Physical Backup === | |||
Un offline physical backup deve essere effettuato sul server stesso. Lo svantaggio di questo tipo di backup è che il server LDAP non sarà disponibile per l'intera durata del processo. | |||
# Stopare il server LDAP: <tt>/usr/sbin/rcldap stop</tt> | |||
# Copiare tutti i files in /var/lib/ldap/ dentro una directory di backup | |||
# Riavviare il server LDAP: <tt>/usr/sbin/rcldap start</tt> | |||
=== Offline Logical Backup === | |||
Questo tipo di backup, noto anche come '''database dump''' richiede sempre l'arresto del servizio LDAP: | |||
# <tt>/usr/sbin/rcldap stop</tt> | |||
# <tt>slapcat >ldap.\$(date +'\%Y\%m\%d-\%T')</tt> Questo comando genera nella directory corrente un file LDIF che può successivamente essere archiviato | |||
# <tt>/usr/sbin/rcldap start</tt> | |||
=== Online Backup === | |||
Questo tipo di backup, a differenza dei precedenti, utilizza LDAP stesso per effettuare il dump dei dati del database e quindi, pur appensantendo il server, non richiede l'arresto del servizio. | |||
# <tt>ldapsearch -h LDAPServer -x -b baseDN > ldap.\$(date +'\%Y\%m\%d-\%T')</tt><br/> | |||
dove <tt>LDAPServer</tt> è il nome del server e <tt>baseDN</tt> è il distinguished name (DN) della struttura LDAP, nel nostro caso <tt>dc=dominio,dc=local</tt> | |||
=== Database Restore === | |||
# Per ripristinare un offline backup: | |||
## <tt>/usr/sbin/rcldap stop</tt> | |||
## copiare i files salvati in /var/lib/ldap (Se Offline Physical Backup) | |||
## <tt>slapadd -l nome_del_backupfile</tt> (Se Offline Logical Backup) | |||
## <tt>/usr/sbin/rcldap start</tt> | |||
# Per ripristinare un online backup: | |||
## <tt>ldapadd -D adminDN -x -w adminPassword -h LDAPServer -x -f nome_del_backupfile</tt><br/> | |||
dove <tt>adminDN</tt> è nel nostro caso dn=admin,dc=dominio,dc=local | |||
== Replica del database LDAP su un altro server == | |||
Se siete interessati a fornire ridondanza alla vostra rete, potete prendere in considerazione l'idea di inserire un secondo server OpenLDAP sincronizzato con il server principale che abbiamo appena configurato.<br/> | |||
In tal caso suggerisco di seguire [[Implementare un'architettura ridondante master/slave OpenLDAP | questa guida]], nella quale viene utilizzato lo stesso database LDAP che abbiamo appena configurato per costruire un server di replica. | |||
== db4 == | |||
OpenLDAP ha la brutta abitudine di non risistemarsi per bene quando la donna delle pulizie inciampa nell'interruttore generale della corrente. Perciò conviene installare: | |||
<pre> | |||
# apt-get install db4.8-util | |||
</pre> | |||
Questo pacchetto contiene l'utility db4.8_recover che viene lanciata automaticamente ad ogni restart di ldap, risolvendo eventuali problemi di incongruenza del Barkley DB. | |||
<br/> | |||
== Per approfondimenti == | == Per approfondimenti == | ||