Samba + LDAP (diskuse)

[Michal Fecko]

Ak by som mohol dam 110 percent - konecne blog ktory by sa nemusel hanbit ani ako clanok! Pekne!

[abr]

Jasne, clanek rozsekany na 10 dilu a 2 mesice. Jen to nechat tak jak je (z tahaku se nejlip uci).

[Michal Fecko]

Nie proste clanok - nie serial!

[abr]

[abr]

Diky za zapisek, skvela prace.

[xxx]

Je opravdu treba ten PAM? Podle me ten slouzi jen pro sluzby ho vyuzivajici, coz podle me Samba neni. Zkratka pokud nepotrebuju dat uzivatelum shell na servru tak ldap v PAMu nepotrebuju. Aby system znal uid a gid uzivatele, tak k tomu staci ldap-nss.

[OndraZX]

Ne nastaveni PAMu neni potreba, jelo to i bez neho - chtel jsem aby mel uzivatel moznost se prihlasit i mistne.

[otula]

Díky za bezva článek :)

[Frt]

Tenhle blog - to je prostě perfektní práce. Mimochodem kdo to školil ? Petr Staněk ?

 

[OndraZX]

Jo byl to on. V EIITE jsem byl na skoleni Samby cca v roce 2001-2 a ted jsem si to zopakoval znovu + LDAP - vzdy to stalo za to, navic za dle meho nazoru skvelou cenu. Ono pochopit LDAP z navodu z internetu bylo pro mne tezke, protoze je jich malo a vsechny zacinaji nekolikastrankovym LDIFem - az na skoleni jsem pochopil " vo co go"

[Frt]

No já byl před třemi týdny na jeho týdenní školeni Linux - poštovní server a bylo to opravdu perfektní. Člověk zjistí, že se má pořád co učit a mnoho věcí jde udělat elgantněji, než si myslel A přesně jak říkáš, až na tom školení člověku mnohdy věci zapadnou pěkně do sebe.

[CET]

Jo, pochopit LDAP jsem mel taky trosku problem, ale pak to prislo a vidim, jak je to easy:)

[Jan Včelák]

Opravdu bezva bezva příspěvek.

Sambu používáme ve škole jako doménový server. Asi 500 uživatelů, asi 60 počítačů. Tenkrát, když jsem to zaváděl, by se mi podobný článek hodil. Doménovou politiku řešíme jednoduchým netlogon skriptem napsaným v Javascriptu - nastavuje i cestu k adresářům s plochou, dokumenty apod. A na správu uživatelů jsem si napsal všelijaké skripty - řeší přidávání uživatelů do LDAP (máme tam jednotlivé skupiny odděleně), vytváří home adresáře, adresáře pro intranetové stránky na druhém serveru, nastavují diskové kvóty. I hromadný import z programu, co se ve škole používá na evidenci žáků. Klienti jsou Win2K, WinXP a WinVista.

Prostě Samba je dostačující řešení. Už se těším na verzi 4, aby se ta doménová politika konečně vyřešila nějak elegantně.

[dad]

jak to delate, kdyz maji zaci na plose odkaz na nejaky .exe, ktere lezi na serveru a pod WinVista se OS pri kazdem startu pta, zda je startovany program duveryhodny?

[Jan Včelák]

Zaci na plose mit zadny exe soubor mit nemohou. Protoze maji nastaveny adresar plochy na jeden z adresaru na serveru, kam nemohou zapisovat. (Muze tam ale zapisovat ucitel, takze jim tam treba muze pretahnout nejaky dokument, ktery maji zpracovat. A vsem se tam objevi. Je to v celku prakticke, i kdyz to moc nepouzivame. Spise slo o to, aby na sva data neukladali na plochu.)

[ET]

Jste si jist ze to byl javascript -neni to spis hostscript, csript, vbscript nebo jak se ten M$ bazmeg menuje.

[xindl]

Ty vole díky! 100% a seru magi v kostce!

[houska]

super! kdybys to vydal jako clanek mohl jsi se vic rozepsat a mohl jsi za to dostat nejaky honorar, pripadne jsi mohl prispet na dobrou vec (jako nekdo ;))

[alkoholik]

Doporucuju jeste apt-get install ldap-account-manager.

[spectrum]

Do nastavení DHCP serveru si nezapomeňte přidat WINS server nebo se začnou rojit kecy o tom jak Windows nenašly doménu. Po přidání nastavení se budou objevovat také, ale v menší míře ... Windows je v tomhle na**** - naběhne a přitom ani neví co se kde v síti nachází (není "rozkoukaný"), no a další problém pak nastává v okamžiku kdy mu přeskočí kolečko (problém mezi nebem a zemí).

[VSi]

Problémy s tím, že Windows nemůžou najít doménu, jsem měl také. Nicméně WINS server se nakonec neukázal jako dobré řešení. Při větším počtu klientů (cca přes 100) v různých subnetech se to začínalo chovat dost divně problémy s přihlašováním byly pořád.

WINS hlavně udržuje tzv. browse-listy. Moc jsem ale nepochopil jejich význam - asi slouží jen k tomu, že lze zobrazit "okolní počítače", a tomu ve větší síti přikládám nulový význam. Pokud mám všechny stroje zanesené v DNS, tak se na ně dostanu naprosto spolehlivě podle názvu...

Problémy s nalezením domény jsou způsobeny tím, že Windows nemůžou najít PDC. Ten hledají broadcastem, z WINS, nebo z lokálního LMHOSTS souboru. Nastavení WINS nám nakonec jen přineslo další problémy. Teď na všech PC, které jsou v doméně, napevno nastavujeme adresu PDC v LMHOSTS. Po více jak roce provozu a > 100 PC mám zkušenost, že to pak funguje na 100%, i když je PC za routerem.

Obsah LMHOSTS na klientech lze generovat třeba takovýmhle skriptem:

REM vytvoreni noveho lmhosts souboru
echo 192.168.1.5 NETBIOS_JMENO_SERVERU #PRE #DOM:DOMENA > %systemroot%\system32\drivers\etc\lmhosts
REM nutno dodrzet delku retezce v uvozovkach
echo 192.168.1.5 "DOMENA         \0x1b" #PRE >> %systemroot%\system32\drivers\etc\lmhosts
REM nucene znovunacteni zaznamu z lmhosts
nbtstat -R

[spectrum]

Díky moc, zkusím... Počítačů mám v síti asi 150 a funguje si to jak chce ...

[VSi]

Výhody domény se až tak neprojeví, pokud každý uživatel stabilně pracuje na jednom počítači. Pokud je nastavená doména, může se přihlásit každý na libovolném PC se svým jménem a heslem. To je třeba ve škole docela nutnost.

Další výhoda domény může být, když chcete např. nějakou složku z jednoho PC nasdílet, ale jen některým uživatelům. S doménou máte na každém PC k dispozici seznam všech uživatelů a hned jim můžete přidělit ACL. Ověřování jde přes PDC, takže nemusíte mít všude lokální účty, které by ještě k tomu musely mít všeude stejná hesla.

Pokud jsou nastaveny cestovní profily, pak má uživatel kdekoliv svoje stejné prostředí - nastavení programů ap. Samozřejmě jsou s tím ale i problémy - je třeba nastavit kvóty a upozorňovat uživatele, pokud profil moc narostl - jinak přihlášení může trvat opravdu dlouho. Taky se občas stane, že se profil úplně rozsype a je potřeba ho smazat.

Celkově s tím ale mám dobré zkušenosti. Máme Sambu jako PDC s cestovními profily + další 2 Samba servery napojené na LDAP, cca 120 PC s WinXP a asi 600 uživatelů, je to ve škole, takže se k tomu nikdo nechová zrovna dobře - za rok a půl nebyl jedinný problém.

[OndraZX]

Využití LDAPu v praxi

[Haas]

Výborný článek dost pomohl v začátcích.

K problematice Wins co na to říci - asi před 3týdny mi přestal Wins chodit login se do pc prihlásí, ale nedá se už změnit heslo " řve doména není k dispozici" a ted se do toho přidal i problém s přihlašováním PC do domény.

Jde mi z toho hlava, kolem přemýšlím kde sem udělal chybu, ale řešení nenacházím:) Jediná má možnost je přidat wins na pevno do sítového nastavení Windows.

Taky bych rád upozornil na nestandartní déku sdílených služeb, stává se že pak po restartu samby už wokna nenamapujou disky zpátky takže se držte do 16 znaků :)

[Alex]

vsechno slo az dokud jsem neneainstaloval phpldapadmin pro spravu uzivatelu (jsem liny, no). Nejde se tam prihlasit. kdyz zadavam to stejne heslo jak po prikazu slappasswd, pise mi, ze "wrong credentials". kde je chyba? Diky