форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Samba, вопросы интеграции Unix и Windows (Public)
Изначальное сообщение		[Проследить за развитием треда]

"Samba-3.0.23c, Kerberos и W2K Srv AD"

Сообщение от Дмитрий (??) on 09-Ноя-06, 13:29

Доброго времени суток Итак, имеется сабж на FreeBSD-5.3 в качестве файл-сервера, самба собрана из исходников с поддержкой LDAP, ADS, Kerberos, winbind. Также установлен из портов heimdal-0.6.3_3. Проблема в следующем: при попытке зайти на шару выдается окно с предложением ввести логин/пароль но их не принимает и, соответственно, никого на шару не пускает. В логах наблюдаю следующее: === [2006/11/09 10:47:00, 3] libads/kerberos_verify.c:ads_secrets_verify_ticket(261)   ads_secrets_verify_ticket: enc type [1] failed to decrypt with error Message size is incompatible with encryption type [2006/11/09 10:47:00, 3] libads/kerberos_verify.c:ads_secrets_verify_ticket(261)   ads_secrets_verify_ticket: enc type [3] failed to decrypt with error Message size is incompatible with encryption type [2006/11/09 10:47:00, 10] libads/kerberos_verify.c:ads_secrets_verify_ticket(252)   ads_secrets_verify_ticket: enc type [23] decrypted message ! === Не совсем понятно: после перебора криптометодов сообщение таки было расшифровано или таки нет? Далее пытаюсь зарегистрироваться юзером srvadmin (Администратор домена): === [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_alloc(131)   Finding user SGNI\srvadmin [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_internals(75)   Trying _Get_Pwnam(), username as lowercase is sgni\srvadmin [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_internals(83)   Trying _Get_Pwnam(), username as given is SGNI\srvadmin [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_internals(93)   Trying _Get_Pwnam(), username as uppercase is SGNI\SRVADMIN [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_internals(102)   Checking combinations of 0 uppercase letters in sgni\srvadmin [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_internals(108)   Get_Pwnam_internals didn't find user [SGNI\srvadmin]! [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_alloc(131)   Finding user srvadmin [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_internals(75)   Trying _Get_Pwnam(), username as lowercase is srvadmin [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_internals(93)   Trying _Get_Pwnam(), username as uppercase is SRVADMIN [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_internals(102)   Checking combinations of 0 uppercase letters in srvadmin [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_internals(108)   Get_Pwnam_internals didn't find user [srvadmin]! [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_alloc(131)   Finding user srvadmin [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_internals(75)   Trying _Get_Pwnam(), username as lowercase is srvadmin [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_internals(93)   Trying _Get_Pwnam(), username as uppercase is SRVADMIN [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_internals(102)   Checking combinations of 0 uppercase letters in srvadmin [2006/11/09 10:47:00, 5] lib/username.c:Get_Pwnam_internals(108)   Get_Pwnam_internals didn't find user [srvadmin]! [2006/11/09 10:47:00, 1] smbd/sesssetup.c:reply_spnego_kerberos(310)   Username SGNI\srvadmin is invalid on this system [2006/11/09 10:47:00, 3] smbd/error.c:error_packet(146)   error packet at smbd/sesssetup.c(315) cmd=115 (SMBsesssetupX) NT_STATUS_LOGON_FAILURE === Почему, в чем дело? Из-за чего юзер не находится? Kerberos настроен - самба успешно регистрируется в домене, протокол - вроде как 5-ый: krb5.conf: === [libdefaults] default_realm = 0905.DN.STA dns_lookup_realm = false dns_lookup_kdc = false krb4_get_tickets = false default_etypes = des-cbc-crc des-cbc-md5 default_etypes_des = des-cbc-crc des-cbc-md5 [appdefaults] proxiable = true ticket_lifetime = 24000 [realms] 0905.DN.STA = { kdc = zeon.0905.dn.sta:88 admin_server = zeon.0905.dn.sta:749 default_domain = 0905.dn.sta } [domain_realm] .0905.dn.sta = 0905.dn.STA 0905.dn.sta = 0905.DN.STA      [kdc] enable-kerberos4 = false [logging] default = FILE:/var/log/kerberos/krb5libs.log kdc = FILE:/var/log/kerberos/krb5kdc.log admin_server = FILE:/var/log/kerberos/kadmind.log === klist выдает следующее: === Credentials cache: FILE:/tmp/krb5cc_0         Principal: srvadmin@0905.DN.STA   Issued           Expires          Principal Nov  9 11:36:47  Nov  9 18:16:41  krbtgt/0905.DN.STA@0905.DN.STA === smb.conf: === [global]         dos charset = 866         unix charset = KOI8-U         workgroup = SGNI         realm = 0905.DN.STA         server string = File server         interfaces = 10.5.9.0/24         security = ADS         auth methods = winbind         private dir = /etc/samba         passdb backend = tdbsam:/etc/samba/passdb.tdb         lanman auth = No         client NTLMv2 auth = Yes         client lanman auth = No         client plaintext auth = No         log level = 10 ads:10         log file = /var/log/samba/samba.log         max log size = 0         announce as = win95         client signing = Yes         server signing = Yes         deadtime = 360         paranoid server security = No         max open files = 100000         load printers = No         show add printer wizard = No         os level = 8         preferred master = Yes         dns proxy = No         log level = 10 ads:10         log file = /var/log/samba/samba.log         max log size = 0         announce as = win95         client signing = Yes         server signing = Yes         deadtime = 360         paranoid server security = No         max open files = 100000         load printers = No         show add printer wizard = No         os level = 8         preferred master = Yes         dns proxy = No         ldap ssl = no         idmap uid = 10000-20000         idmap gid = 10000-20000         winbind enum users = Yes         winbind enum groups = Yes         winbind use default domain = Yes         winbind trusted domains only = Yes         winbind refresh tickets = Yes         hosts allow = 10.5.9.         map acl inherit = Yes         case sensitive = No         hide unreadable = Yes [pub]         comment = pubic access         path = /pub         valid users = @SGNI\it         guest ok = Yes === В событиях на вынь-сервере ничего не фиксируется. Пробовал удалять данные о компе из домена и регистрироваться по-новой - безрезультатно. Время с сервером синхронизировано, в /etc/hosts вынь-сервер и фри-машина прописаны - FQDN -имена получаю. Куда смотреть, что делать, где ошибка?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Сообщения по теме

[Сортировка по времени, UBB]

1. "Samba-3.0.23c, Kerberos и W2K Srv AD"

Сообщение от xasm on 16-Ноя-06, 00:48

> >Куда смотреть, что делать, где ошибка? теже грабли!!!!!!!!!!!!!!!!!!!! уже с 2 недели мучаюсь ..скро уволят нафиг..хотя помню чот на 5 фре и старой самбе все заводилось вобще есть тут люди которые  сумели 3 самбу и 6 фрю в винде через адс прикрутить если да напишите версии пакетов и листинг конфигов xasm

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "Samba-3.0.23c, Kerberos и W2K Srv AD"

Сообщение от Дмитрий (??) on 20-Ноя-06, 18:11

Ладно, сформулирую вопрос иначе: как я уже упомянул, самба с доменом нормально "общается", т.е. команды wbinfo -u, -g, -t, -p, net ... отрабатывают, регистрация в домене проходит успешно, но вот команда "id юзер_домена" оного юзера не находит, то-есть, выходит, что самба не отображает доменных юзеров во фрю. Почему? /etc/nsswitch.conf === group: files winbind                                                             hosts: files dns nis                                                             networks: files winbind                                                         passwd: files winbind                                                           shadow: files winbind                                                           shells: files winbind ===

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "Samba-3.0.23c, Kerberos и W2K Srv AD"
	Сообщение от sha on 21-Ноя-06, 04:48
	У меня так: (debian) # /etc/nsswitch.conf # # Example configuration of GNU Name Service Switch functionality. # If you have the `glibc-doc' and `info' packages installed, try: # `info libc "Name Service Switch"' for information about this file. passwd:         compat winbind group:          compat winbind shadow:         compat hosts:          files dns mdns networks:       files protocols:      db files services:       db files ethers:         db files rpc:            db files netgroup:       nis
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "Samba-3.0.23c, Kerberos и W2K Srv AD"
	Сообщение от Дмитрий (??) on 22-Ноя-06, 10:39
	>У меня так: (debian) Спасибо, попробовал, но результат тот же - никакого результата. Да и моя вышеприведенная конфигурация вполне себе успешно работает на двух серверах. Буду курить > # If you have the `glibc-doc' and `info' packages installed, try: > # `info libc "Name Service Switch"' for information about this file.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

5. "Samba-3.0.23c, Kerberos и W2K Srv AD"

Сообщение от Basileo on 22-Ноя-06, 14:41

Такая же ситуация случилась при обновлении с 3.0.22 на 3.0.23. Пришлось откатывать обратно... Может в 3.0.23d этого уже нет?? Сам пробовать пока не хочу)

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	6. "Samba-3.0.23c, Kerberos и W2K Srv AD"
	Сообщение от Дмитрий (??) on 22-Ноя-06, 16:04
	>Такая же ситуация случилась при обновлении с 3.0.22 на 3.0.23. Пришлось откатывать >обратно... Может в 3.0.23d этого уже нет?? Сам пробовать пока не >хочу) Уже дней пять как ковыряю 3.0.23d - ситуация та же. Так что можно и не пробовать - обновление не поможет (мне по крайней мере). Самое интересное, что новую самбу и под NTLM-аутентификацией в домен не могу загнать. Т.е. вообще никак не идет. А вот старая (3.0.20) - без проблем включается в домен под NT-style... А у Вас тоже "id юзер_домена" не видела этих злочастных доменных юзеров или в чем-то другом проблема была?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "Samba-3.0.23c, Kerberos и W2K Srv AD"
	Сообщение от Basileo on 22-Ноя-06, 17:37
	Сейчас уже не подскажу, в августе было дело.. не помню. Не пускала Самба никого на шары. У меня сквид с авторизацией в АД, после обновления самбы - никого в инет пускать не хотел)) поэтому эксперименты закончил пока с этим. Домен win2000 Native. Второй домен Win2003 Native. Samba 3.0.22. Все работает.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "Samba-3.0.23c, Kerberos и W2K Srv AD"
	Сообщение от Дмитрий (??) on 22-Ноя-06, 17:58
	Есть контакт! :) Есть такая либа - nss_winbind.so, создаваемая при сборке в сорцах самбы по пути source/nsswitch/. При установке самбы из сорцов она (либа) никуда не инсталлится. Скопировав ручками ее в /lib и создав на всякий случай симлинк nss_winbind.so.1 самба НАКОНЕЦ-ТО заработала как полноценный член AD. Вот конфиги, с которыми уже работает (доводить, конечно, еще кое-что нужно). smb.conf === [global]                                                                                 dos charset = 866                                                               unix charset = KOI8-U                                                           workgroup = SGNI                                                                 server string = Test                                             interfaces = 10.5.9.0/24                                                       auth methods = winbind                                                           obey pam restrictions = Yes                                                     password server = 10.5.9.3 10.5.9.6                                             private dir = /etc/samba                                                         passdb backend = tdbsam                                                         lanman auth = No                                                                 ntlm auth = No                                                                   client lanman auth = Yes                                                         client plaintext auth = Yes                                                     log level = 10                                                                   log file = /var/log/samba/samba.log                                             max log size = 0                                                                 deadtime = 360                                                                   paranoid server security = No                                                   max open files = 100000                                                         load printers = No                                                               show add printer wizard = No                                                     os level = 8                                                                     preferred master = Yes                                                           dns proxy = No                                                                   idmap uid = 10000-20000                                                         idmap gid = 10000-20000                                                         winbind use default domain = Yes         hosts allow = 10.5.9.                                                           map acl inherit = Yes                                                           case sensitive = No                                                             hide unreadable = Yes                                                                    security = ADS                                                                           realm = 0905.DN.STA                                                                     allow trusted domains = Yes                                                             fam change notify = No                                                                   client signing = Yes                                                                     server signing = Yes                                                                     ldap ssl = no                                                                           winbind enum users = Yes                                                                 winbind enum groups = Yes                                                               winbind nested groups = No                                                               winbind refresh tickets = Yes                               [pub]                                                                                   comment = For sysadmins                                                         path = /pub                                                                     guest ok = Yes                                                                  valid users="@SGNI\it" === nsswitch.conf === group:files winbind                                                             hosts:files dns nis                                                             networks:files winbind                                                           passwd:files winbind                                                             shadow:files winbind                                                             shells:files winbind ===
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "Samba-3.0.23c, Kerberos и W2K Srv AD"
	Сообщение от Basileo on 23-Ноя-06, 10:00
	РЕСПЕКТ!!! Проверю  у себя на досуге, заработает ли. Спасибо, за то что выложили решение проблемы!
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "Samba-3.0.23c, Kerberos и W2K Srv AD"
	Сообщение от VVD on 19-Янв-07, 20:18
	После апгрейда c 3.0.22 на 3.0.23 самба перестала пускать на шары с сообщениями в логах: [2006/12/14 17:28:38, 2] lib/access.c:check_access(323)   Allowed connection from  (10.0.0.27) [2006/12/14 17:28:39, 2] smbd/service.c:make_connection_snum(580)   user 'user_name' (from session setup) not permitted to access this share (share_name) [2006/12/14 17:28:46, 2] lib/access.c:check_access(323)   Allowed connection from  (10.0.0.27) [2006/12/14 17:28:46, 2] smbd/sesssetup.c:setup_new_vc_session(799)   setup_new_vc_session: New VC == 0, if NT4.x compatible we would close all old resources. [2006/12/14 17:28:46, 0] libads/authdata.c:decode_pac_data(797)   decode_pac_data: failed to parse PAC [2006/12/14 17:28:46, 1] smbd/sesssetup.c:reply_spnego_kerberos(310)   Username DOMAIN_NAME+COMPUTER_NAME$ is invalid on this system [2006/12/14 17:28:46, 2] smbd/sesssetup.c:setup_new_vc_session(799)   setup_new_vc_session: New VC == 0, if NT4.x compatible we would close all old resources. [2006/12/14 17:28:46, 0] libads/authdata.c:decode_pac_data(797)   decode_pac_data: failed to parse PAC smb.conf не менялся (security=ads) net ads join проходит нормально wbinfo -t, wbinfo -u работает нормально А вот зайти на как раньше с win машин не могу. $ls /usr/local/lib/nss_winbind.so* /usr/local/lib/nss_winbind.so -> nss_winbind.so.1 /usr/local/lib/nss_winbind.so.1 $ cat /etc/nsswitch.conf group: compat group_compat: nis hosts: files dns networks: files passwd: compat passwd_compat: nis shells: files Пытался прописывать winbind в nsswitch.conf - не помогает. Может неправильно вписывал - а как надо? Что ещё показать?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	11. "Samba-3.0.23c, Kerberos и W2K Srv AD"
	Сообщение от Дмитрий (??) on 19-Янв-07, 20:59
	Навскидку: похоже, что проблема с Kerberos-билетами: >[2006/12/14 17:28:46, 0] libads/authdata.c:decode_pac_data(797) >  decode_pac_data: failed to parse PAC PAC - Privilege Attribute Certificate - это Kerberos-данные про юзера, его права, к каким группам он принадлежит и т.п. Судя по ошибке, самба их не может обработать. Возможно, парсинг этих данных невозможен по следующим причинам: - в качестве winbind separator используется "+"? Если да - смените на дефолтный, разработчики не рекомендуют использовать "+" как разделитель; - имена юзеров, которым разрешено/запрещено входить на шару прописаны как @ДОМЕН\юзер? Если нет - пропишите так, ЕМНИП, с версии 3.0.23 это ОБЯЗАТЕЛЬНОЕ условие. >Что ещё показать? На конфиг самбы можно бы взглянуть... :)
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	12. "Samba-3.0.23c, Kerberos и W2K Srv AD"
	Сообщение от VVD on 19-Янв-07, 23:44
	$ grep -Ev '^#|^;|^[     ]*$' /usr/local/etc/smb.conf [global]    workgroup = DOMAIN    netbios name = GW    message command = /bin/sh -c '/root/bin/winpopup.sh %s %f %m' &    time server = True    server string = GateWay    security = ads    auth methods = winbind    hosts allow = 10.0.0.0/24 127.0.0.1    load printers = no    log file = /var/log/samba/log.%m    max log size = 50    log level = 2    password server = 10.0.0.3    encrypt passwords = yes    nt acl support = Yes    name resolve order = wins host bcast lmhosts    guest ok = No    realm = DOMAIN.LOCAL    socket options = TCP_NODELAY    interfaces = 10.0.0.1 127.0.0.1    bind interfaces only = yes    local master = no    os level = 0    domain master = no    preferred master = no    domain logons = no    wins support = no    wins server = 10.0.0.3    dns proxy = no    display charset = koi8-r    unix charset = koi8-r    dos charset = cp866 #делал по разному: и "+" и "\" и вообще убирал параметр    winbind separator = \    winbind use default domain = yes    winbind uid = 10000-20000    winbind gid = 10000-20000    winbind enum users = yes    winbind enum groups = yes [pub]    path = /pub    browseable = no    writable = yes    guest ok = no    public = no    printable = no    valid users = DOMAIN\user1 DOMAIN\user2 DOMAIN\user3 DOMAIN\COMPUTER$ user1 user2 user3 COMPUTER$    force user = existing_local_user $ cat /etc/krb5.conf [libdefaults] default_realm = DOMAIN.LOCAL [realms] DOMAIN.LOCAL = {         kdc = server.domain.local         admin_server = server.domain.local } #server.domain.local - win2k domain controller Что лучше оставить в winbind separator и в valid users?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	13. "Samba-3.0.23c, Kerberos и W2K Srv AD"
	Сообщение от awsswa on 23-Янв-07, 14:46
	>Что лучше оставить в winbind separator и в valid users? winbind separator - можно вообще из конфига выбросить, по умолчанию там правильный "\"
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	14. "Samba-3.0.23c, Kerberos и W2K Srv AD"
	Сообщение от VVD on 23-Янв-07, 17:49
	>>Что лучше оставить в winbind separator и в valid users? > winbind separator - можно вообще из конфига выбросить, по умолчанию там >правильный "\" # man smb.conf /winbind separator winbind separator (G)    This  parameter  allows  an  admin to define the character used when    listing a username of the form of DOMAIN \fIuser. This parameter  is    only  applicable  when  using  the pam_winbind.so and nss_winbind.so    modules for UNIX services.    Please note that setting this parameter to +  causes  problems  with    group  membership  at  least on glibc systems, as the character + is    used as a special character for NIS in /etc/group.    Default: winbind separator = ''    Example: winbind separator = +
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	15. "Samba-3.0.23c, Kerberos и W2K Srv AD"
	Сообщение от VVD on 23-Янв-07, 18:25
	winbind separator убрал valid users = @DOMAIN\user1 @DOMAIN\user2 @DOMAIN\user3 @DOMAIN\COMPUTER$ user1 user2 user3 COMPUTER$ Ничего не изменилось - тежи ошибки в логах. :-(
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	16. "Samba-3.0.23c, Kerberos и W2K Srv AD"
	Сообщение от glitch on 09-Фев-07, 12:49
	>>Что лучше оставить в winbind separator и в valid users? > winbind separator - можно вообще из конфига выбросить, по умолчанию там >правильный "\" А если поставить winbind separator = \ testparm -a | grep separator: winbind separator =    template shell = /bin/bash т.е. захватывает следующую строчку [samba-3.0.23d из портов] Не "\" не '\' не \\ не канают, testparm: ERROR: the 'winbind separator' parameter must be a single character. Samba-HOWTO-collection/winbind.html: Example 24.1. smb.conf for Winbind Setup [global] # separate domain and username with '\', like DOMAIN\username winbind separator = \ # use uids from 10000 to 20000 for domain users ... :D)
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

17. "Samba-3.0.23c, Kerberos и W2K Srv AD"

Сообщение от glitch on 09-Фев-07, 18:58

>Далее пытаюсь зарегистрироваться юзером srvadmin (Администратор домена): ... >[2006/11/09 10:47:00, 3] smbd/error.c:error_packet(146) >  error packet at smbd/sesssetup.c(315) cmd=115 (SMBsesssetupX) NT_STATUS_LOGON_FAILURE >=== >Почему, в чем дело? Из-за чего юзер не находится? > >Kerberos настроен - самба успешно регистрируется в домене, протокол - вроде как >5-ый: Может быть это и не в тему: если используется pam_winbind, нужно в аргументах его вызова krb5_auth для ads, т.е. auth sufficient pam_winbind.so krb5_auth без него у меня вход под доменным бюджетом не проходил.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]