abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
včera 19:33 | Zajímavý článek

Jozef Mlich se v příspěvku PinePhone je nové OpenMoko na svém blogu věnuje svému novému linuxovému chytrému telefonu PinePhone v edici BraveHeart: "Momentálně se pocity z tohohle zařízení dají přirovnat k BrokenMoku. Většina věcí prostě nefunguje. Minimálně ne sama od sebe. Začít se dá už u samotného hardware, kde existuje wiki stránka popisující nedostatky".

Ladislav Hagara | Komentářů: 4
včera 10:00 | Zajímavý projekt

Justine Haupt aktualizovala svůj open source mobilní telefon s rotační číselnicí a zveřejnila kompletní dokumentaci, vlastní kód, schémata i STL soubory pro 3D tisk. Desku plošných spojů případně i vytištěný obal lze koupit v jejím obchodu.

Ladislav Hagara | Komentářů: 28
včera 06:00 | IT novinky

Otevřená certifikační autorita Let's Encrypt v příspěvku na svém blogu informuje, že žádosti o vystavení certifikátů nově validuje z několika míst současně (Multi-Perspective Validation). Další informace v diskusním fóru.

Ladislav Hagara | Komentářů: 7
19.2. 13:55 | Nová verze

Byla vydána verze 15.0 na Debianu založené linuxové distribuce Untangle NG Firewall. Přehled novinek v poznámkách k vydání a ve videu na YouTube. Vyzkoušet lze (zatím neaktualizované) demo webového rozhraní.

Ladislav Hagara | Komentářů: 0
19.2. 12:11 | Pozvánky

Letošní ročník konference LinuxDays se uskuteční o víkendu 3. a 4. října, opět se potkáme v pražských Dejvicích na FIT ČVUT. Také během devátého ročníku nás budou čekat desítky přednášek, workshopy, stánky a spousta doprovodného programu. Aktuální dění můžete sledovat na Twitteru nebo Facebooku, přidat se můžete také do telegramové diskusní skupiny.

Petr Krčmář | Komentářů: 5
19.2. 10:22 | Zajímavý článek

Alexander Popov se v příspěvku na svém blogu podrobně věnuje možnostem zneužití bezpečnostní chyby CVE-2019-18683 v linuxovém podsystému V4L2. Videoukázka eskalace práv na YouTube. Chyba byla v upstreamu opravena v listopadu loňského roku. Alexander Popov se chybě věnoval ve své přednášce (pdf) na konferenci OffensiveCon 2020.

Ladislav Hagara | Komentářů: 0
19.2. 06:00 | Nová verze

Byla vydána nová verze 20.02.17 svobodného multiplatformního video editoru Shotcut (Wikipedie). Přehled novinek v oznámení o vydání. Využíván je MLT Multimedia Framework 6.20.0 a WebVfx 1.2.0. Nejnovější Shotcut je k dispozici také ve formátech AppImage, Flatpak i Snap.

Ladislav Hagara | Komentářů: 2
18.2. 16:22 | IT novinky

Spolkový úřad pro informační bezpečnost (Bundesamt für Sicherheit in der Informationstechnik) schválil používání softwarů Gpg4win a Gpg4KDE, tj. nadstaveb nad GnuPG, pro šifrování a přenos utajovaných informací stupně utajení Vyhrazené (VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD)), EU RESTRICTED a NATO RESTRICTED [reddit].

Ladislav Hagara | Komentářů: 0
18.2. 12:44 | Humor

Viceprezident společnosti Oracle Matthew O'Keefe napsal na Twitteru: "Kdyby databáze Oracle neexistovala, světová ekonomika by se zastavila. Kdyby většina open source distribuovaných databází neexistovala, byl by svět pro data mnohem bezpečnějším místem". Příspěvek rozpoutal diskusi nejenom na redditu a následně byl z Twitteru smazán (Wayback Machine).

Ladislav Hagara | Komentářů: 17
18.2. 09:33 | Nová verze

Byla vydána nová verze 1.38 správce síťových připojení ConnMan (Wikipedie). Z novinek lze zdůraznit podporu WireGuardu.

Ladislav Hagara | Komentářů: 0
Vydržela vám novoroční předsevzetí?
 (10%)
 (6%)
 (3%)
 (82%)
Celkem 168 hlasů
 Komentářů: 0
Rozcestník

www.AutoDoc.Cz

Dotaz: samba domain controller AD

17.11.2017 09:29 chinook | skóre: 27
samba domain controller AD
Přečteno: 1581×
Už asi 14 dní tu nastavuji sambu jako domain controller a nemůžu přijít na to proč to nefunguje. Mám server A, ten přesouvám na server B.

Server A se jmenuje puvodni.domena.cz server B se jmenuje novy.domena.cz. V DNS jsem změnil IP, aby puvodni.domena.cz odpovídala novy.domena.cz.

Ale nejsem si jistej, že se počítače s win přihlašují do správné domény, tj. DOMENA, která by měla běžet na novém serveru. Jak toto ověřím? Stačí změnit DNS? Konfigurace samby na obou serverech je téměř stejná, bohužel na novém to nepíše nic ohledně přihlašování do domény v logu. Jak ověřím, že mně přihlašování do domény běží na serveru?

Na novém serveru dám toto:

smbclient -L localhost -U%
Domain=[FANN] OS=[Windows 6.1] Server=[Samba 4.5.12-Debian]
Domain=[FANN] OS=[Windows 6.1] Server=[Samba 4.5.12-Debian]

        Server               Comment
        ---------            -------
        NOVY               novy.domena.cz

        Workgroup            Master
        ---------            -------
        DOMENA

To si myslím, že je v pořádku, ale toto již nefunguje. 

smbclient //localhost/netlogon -UAdministrator -c 'ls'
Enter Administrator's password:
session setup failed: NT_STATUS_LOGON_FAILURE


Na klientských stanicích to píše, že doména neběží. 

konfigurace smb.conf
[global]
        time server = Yes
        workgroup = DOMENA
        netbios name = NOVY
        dns forwarder = 192.168.120.254
        idmap_ldb:use rfc2307 = yes
        max log size = 1000
        lanman auth = Yes
        map acl inherit = Yes
        logon drive = M:
        domain master = Yes
        domain logons = Yes
        preferred master = Yes
        security = user
        encrypt passwords = true
        obey pam restrictions = Yes
        winbind use default domain = Yes
        logon home = \\%L\%U
        template shell = /bin/bash
        server string = novy.domena.cz
        logon path = \\%L\profiles\%U
        panic action = /usr/share/samba/panic-action %d
        wins support = Yes
        pam password change = No
        inherit permissions = yes
        inherit acls = yes
        map acl inherit = yes
        nt acl support = yes
client use spnego = yes
ntlm auth = yes
delete user script = /usr/sbin/smbldap-userdel '%u'
add user script = /usr/sbin/smbldap-useradd -a -n -m -s /bin/false '%u'
delete user from group script = /usr/sbin/smbldap-groupmod -x '%u' "%g"
add group script = /usr/sbin/smbldap-groupadd "%g"
delete group script = /usr/sbin/smbldap-groupdel "%g"
add user to group script = /usr/sbin/smbldap-groupmod -m '%u' "%g"
add machine script = /usr/sbin/smbldap-useradd -w -s /bin/false '%u'
        passdb backend = ldapsam:ldap://ldap.domena.cz
        ldap admin dn = "cn=Manager,dc=domena,dc=cz"
ldap suffix = dc=fann,dc=cz
        ldap machine suffix = ou=Computers
        ldap group suffix = ou=Groups
        ldap user suffix = ou=Users
        ldap idmap suffix = ou=Users
        ldap passwd sync = Yes
        ldap delete dn = Yes
        ldap ssl = no

Pak mám ještě v logu samby tuto hlášku, ale to s tím podle mě nesouvisí.
[2017/11/17 00:19:08.026873,  0] ../source3/lib/sysquotas.c:461(sys_get_quota)
  sys_path_to_bdev() failed for path [.]!

Poradí někdo kde může být chyba? V domain controller se moc nevyznám a pořádně nevím jak to funguje :(

Odpovědi

17.11.2017 12:45 BigBRAMBOR
Rozbalit Rozbalit vše Re: samba domain controller AD
Ahoj, to ze v cinfu mas stejne domain nameznamena ze jde o stejnou domenu. To by nebylo ani bezpecne, kdyby stacilo nastavit si stejne jmeno a prebrat klienty. Musis se podivat na nastaveni SID a s tim souvisejici veci, trusted accounts pro pc apod.
17.11.2017 16:08 chinook | skóre: 27
Rozbalit Rozbalit vše Re: samba domain controller AD
Tak jsem provedl na starém serveru:

net getlocalsid

na novém nastavil stejnou hodnotu přes:

net setlocalsid

a přidal ji do:

etc/smbldap-tools/smbldap.conf

Při přihlášení win xp clienta do domény to píše:
../source3/rpc_server/netlogon/srv_netlog_nt.c:962(_netr_ServerAuthenticate3)
  _netr_ServerAuthenticate: no challenge sent to client W
Ještě jsem ze starého serveru popřesouval všechny soubory:

/var/lib/samba/*.tdb na nový.

CO je ještě potřeba přesunout?

17.11.2017 13:54 MP
Rozbalit Rozbalit vše Re: samba domain controller AD
Vzhledem k tomu, ze netusis vubec co delas, tak to udelej takhle:

1] postav novou domenu vcetne vsech odpovidajicich veci kolem, viz manual samby

2] pouzij ForensIT pro presun usera do nove domeny

(3]) pokud nedojde k presunuti i pc v 2], tak odpojit a prepojit do nove domeny
20.11.2017 07:37 chinook | skóre: 27
Rozbalit Rozbalit vše Re: samba domain controller AD
Jak ověřím, že běží doména? Ani nové PC se mně do ní nedaří přihlásit.
20.11.2017 11:30 chinook | skóre: 27
Rozbalit Rozbalit vše Re: samba domain controller AD
Tak on je asi problém, že PC si ověřují práva stále na starém serveru. Jak je donutím, aby si to ověřovali na novém? DNS jsem změnil. Tedy pro název serveru. Doména se jmenuje DOMENA a nevím jak říct stanicím, že domenu mají hledat jinde. POradí někdo? Možná toto je hlavní problém, případně mě to posune dál, protože se již něco v logu dozvím.
20.11.2017 11:50 creon | skóre: 18 | blog: creonsnotes
Rozbalit Rozbalit vše Re: samba domain controller AD
Je třeba klienty odpojit ze staré domény a přihlásit na novou doménu.
DNS je jen jeden dílek v celé skládačce.

viz vyse:
Vzhledem k tomu, ze netusis vubec co delas, tak to udelej takhle:
1] postav novou domenu vcetne vsech odpovidajicich veci kolem, viz manual samby
2] pouzij ForensIT pro presun usera do nove domeny
(3]) pokud nedojde k presunuti i pc v 2], tak odpojit a prepojit do nove domeny
20.11.2017 14:43 chinook | skóre: 27
Rozbalit Rozbalit vše Re: samba domain controller AD
To musím obejít všechny win stanice a odhlásit je a přihlásit znovu k domene? Když jsem server přesouval posledně, tak nic takového potřeba nebylo. Přece když nastavím druhý server identicky, tak klienti nic nepoznají.

Pokud tedy změna DNS a SID a resync /var/lib/samba neni vše, co dál ještě musím? Na čem všem to tedy závisí?
22.11.2017 19:31 j
Rozbalit Rozbalit vše Re: samba domain controller AD
Pokud udelas mirror systemu, starej server vypnes a novej zapnes na stejnych IP, tak to samozrejme fungovat bude, co s tim proboha delas?

Pokud do AD pridavas dalsi server, na kterej chces provoz previst (nevim proc ???), tak se to dela tak, ze se prida sekundarni DC, data se na nej nalifrujou "od prirody", pak se primarni vypne, a sekundar se povysi na primar. Ale tohle se dela na widlich, kvuli tomu ze widle na vyssi verzi widli (a tim pade AD) proste neupgradnes.
22.11.2017 19:48 Skokan, Pavel | skóre: 29
Rozbalit Rozbalit vše Re: samba domain controller AD
nene, Active Directory na windows pracuje s Domain Controllerama trochu jinak

pokud máte existující AD, tak do něj přidáte další DC tím, že promotnete windows server splňující nějaké minimální požadavky na DC

následně dojde k replikaci AD (doporučuji preventivní kontrolu záznamů DC v DNS a struktur v AD)

poté si pořešíte unikátní role | Global Catalog jak potřebujete

např. máte-li odstraňovat starý server, tak si musíte ohlídat aby mu před jeho odstraněním žádná unikátní role nezůstala (tedy jí musíte přesunout na jiný DC) a demotnete ho až pak (opět doporučuji preventivní kontroly...)

počítám, že na linuxu by mohl být postup obdobný, když se snažíte o totéž, ale nevím to jistě ...
Max avatar 22.11.2017 20:54 Max | skóre: 68 | blog: Max_Devaine
Rozbalit Rozbalit vše Re: samba domain controller AD
Já jsem to na sambě nikdy nedělal, ale osobně to taktéž předpokládám. Prostě připojit nový server do AD jako další DC, pak na něj převést všechny role a následně starý server demontovat.
Možná to jde nějak ručně přepsat na hafec místech, ale proč to dělat a riskovat. Minimálně se tazatel snaží připojit server s jiným jménem, to figuruje jak v ldapu, tak i v dns a na hafec místech.
Na druhou stranu, podle toho configu, co tazatel zveřejnil, to vypadá, jako by jel starou NT doménu (nikde nevidím definice realm, odkazuje se tam přímo na ldap apod.) a tam to možná šlo nějak zkopírovat, nevím.
Zdar Max
Měl jsem sen ... :(
23.11.2017 00:22 j
Rozbalit Rozbalit vše Re: samba domain controller AD
To je prave to, co tazatel zapomel jaksi napsat - wocogo.

Pokud vymenuje HW, tak bych to proste (cely, vcetne systemu) skopiroval ... coz na tuxovi neni zadnej problem. Neexistuje zadnej duvod proc to delat jinak.

Z toho co napsal to vypada, ze se snazi rucne nastavit novej DC ... aby se tvaril jako starej DC ... coz teda na tuxovi pude urcite taky, jen to bude drbani na mesic.
23.11.2017 00:36 j
Rozbalit Rozbalit vše Re: samba domain controller AD
Ale ano ano ...

na widlich (dokonce podle doporuceni M$)* mas mit DC nejmin dva ... pricemz jeden z N je primarni. Kdyz libovolnej z nich nebezi, tak pochopitelne jeho funkci zastane libovolnej dalsi. A presne tohle se pouzije k vymene DC. Jinak receno, pokud uz nemas, tak vytvoris cluster. Klienti by (teoreticky) mely pouzivat vsechny bezici DC rovnomerne, takze by to (teoreticky) melo i rozkladat zatizeni.

A jak sem psal, dela se to takhle proto, ze widle nejde upgradnout. Je to o to vetsi zabava, kdyz je treba zvednout AD o vic verzi ... protoze prevazne soudruzi z M$ zvladaj jednu, maximalne dve verze zpatky. A netyka se to zdaleka jen AD ... ted sem dostal do ruky navrh na povyseni exchange ... skoro sem upad, protoze (mimo jiny) obsahuje instalaci 3 verzi exchange (aby se to pres ne postupne protahlo).

*to doporuceni je legracni predevsim proto, ze kdokoli to tak nekdy provozoval moc dobre vi, ze si na tom taky muze pekne nabit hubu, protoze se to velmi rado dojebe. Ostatne, jako vsechno z dilny M$.
Max avatar 23.11.2017 00:41 Max | skóre: 68 | blog: Max_Devaine
Rozbalit Rozbalit vše Re: samba domain controller AD
Dělám teď upgrade Exchange 2007 na 2013, a to prosím dělám ještě ke všemu crossdomain migraci. Tzn., že starý server je v úplně jiné doméně. A dělám to online (v koexistenci obou Exchange), protože 1,4TiB prostě nejde překlopit během chvilky.
By mně tedy zajímalo, z jaké a na jakou verzi upgraduješ :).
Zdar Max
Měl jsem sen ... :(
21.11.2017 11:53 Tomáš
Rozbalit Rozbalit vše Re: samba domain controller AD
A návod na samba webu jsi četl? Možná toto by mohlo být ono:

https://wiki.samba.org/index.php/Joining_a_Samba_DC_to_an_Existing_Active_Directory
Max avatar 21.11.2017 12:33 Max | skóre: 68 | blog: Max_Devaine
Rozbalit Rozbalit vše Re: samba domain controller AD
Co je prosím cílem? Jen předat DC roli jinému serveru? Protože pokud ano, tak postup je úplně jiný. A rozhodně není třeba vytvářet separátní server s jinou doménou a migrovat tam stanice.
Zdar Max
Měl jsem sen ... :(
23.11.2017 07:59 chinook | skóre: 27
Rozbalit Rozbalit vše Re: samba domain controller AD
Mám asi 10 let starý server

Debian GNU/Linux 7.11

Na nový server jsem si nainstaloval debiana 9 a chci postupem času ze starého převést všechny služby na toho debiana 9. Bohužel starý hned nemůžu vypnout, běží tam toho více, proto mu ani nemůžu změnit IP a tu přesunotu na nový.

Proto jsem nastavil sambu na novém podle starého configu, změnil DNS, změnil SID podle starého serveru a rsyncnul soubory /var/lib/*.tdb.

Možná by bylo lepší, jak tu někdo poznamenal nový server nastavit jako secondary a pak přepnout do primary.

Nebo jak mám postupovat?

Jak donutím nějakou win stanici, aby se zkusila přihlásit na nový? Co napsat do host? Stačí jednu nějak donutit, abych to mohl testovat.
Max avatar 23.11.2017 09:16 Max | skóre: 68 | blog: Max_Devaine
Rozbalit Rozbalit vše Re: samba domain controller AD
Takže se nejedná o Active Diurectory, ale o NT4 doménu? Podle toho zveřejněného nastavení to tak totiž vypadá.
V takovém případě bych se zamyslel, zda rovnou nemigrovat na Active Directory?
Zdar Max
Měl jsem sen ... :(
30.11.2017 09:39 chinook | skóre: 27
Rozbalit Rozbalit vše Re: samba domain controller AD
Tak jsem to prošel a máš pravdu. Nejspíš se jedná o NT4 doménu. Díval jsem se na active direcotory a nebylo by špatné pokročit dál. Půjde provést migrace bez zásahu klientů? A jak ji provést?

Díky za odpovědi
Max avatar 30.11.2017 13:05 Max | skóre: 68 | blog: Max_Devaine
Rozbalit Rozbalit vše Re: samba domain controller AD
Viz oficiální dokumentace : Migrating a Samba NT4 Domain to Samba AD (Classic Upgrade)
Nebo jiné materiály, co se válejí na netu : Migration from Samba 3 to Samba 4
Zdar Max
Měl jsem sen ... :(
2.12.2017 11:30 ByCzech
Rozbalit Rozbalit vše Re: samba domain controller AD
Ano zmigrovat NT4 doménu na AD jde a když se to udělá dobře, tak klienti ani nic nepoznají a po změně se normálně přihlásí, bez nutnosti odpojit/připojit PC z/do domény. Jediná věc je, že když už se klient přihlásí do AD, tak už to nejde vrátit zpět na NT4 doménu i kdyby jsi měl kompletní image serveru bez dalších zásahů. Tak je třeba s tím počítat a pořádně si to nachystat.
9.4.2019 21:12 chinook | skóre: 27
Rozbalit Rozbalit vše Re: samba domain controller AD
Tak se mně to nepodařilo bezchybne zmigrovat. Nic méně doména se mně zalíbila a postupně bych si do ní PC ručně přesunul. Je možné z NT4 nebo ldapu aspoň zkopírovat usery do nové domény?

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.