Dotaz: Vhodný síťovný fs pro síť ve firmě

[vhodnost]

Už dlouhou dobu se koukám na siť. souborové systémy pro linux. Pro mé použití(uvnitř budovy, takže bez šifrovování dat) bych potřeboval souborový systém, který "zvládá hesla". Tzn. libovolný člověk z firmy by si mohl připojit svůj síť. adresář pod svým uživatelském jménem a heslem, které by odeslal souborovému systému. Umožňuje toto jiný fs než smb(který je určen výhradně pro windows, ale tady žádné windows nebudou)?

Odpovědi

[petris]

Pokud uzivatele nemaji roota na pracovnich stanicich, tak neni problem mit home na nfs.

[vhodnost]

No prave, oni ho klidne mit muzou, budou se tam pripojovat i os. notebooky ...

[hjkl]

NFSv4 umi autentizaci pres Kerberos pomoci GSS-API, takze i pres NFS by to slo.

V heterogenni siti se obvykle pouziva CIFS (realizovano pomoci Samby) pro Windows a Mac OS klienty a pro Unixove klienty se pouziva NFS. Samozrejme se to da vselijak kombinovat (Windows mohou pouzivat NFS a Unix klienti mohou jet pres CIFS), ale bezne to neni. Kdyz si koupite Open Enterprise Server od Novellu, tak tam krome NFS a CIFS budete mit i NCP protokol pro NetWarare klienty.

Pokud jsou v te siti notebooky, tak zacnete Sambou.

[michich]

... smb(který je určen výhradně pro windows, ale tady žádné windows nebudou)?

Neporadím ti, ale tohle není pravda. CIFS má dokonce i POSIXová rozšíření.

[Tomáš Crhonek]

Pouzivam CIFS v mensi siti (7 PC), spokojenost.

[vhodnost]

A cifs je součástí samby? Když nakonfiguruju sambu, budu mít k dispozici cifs? Nemohl by mi prosím někdo dát nějaký odkaz na návod, jak zprovoznit cifs s přihlašováním do ldap? Pár jsem jich našel, ale ty se věnují sambě jako takové a nevím jestli je to cifs nebo smb fs.

[Johny z Podoli]

pokud se nepletu tak cifs i smbfs je něco, co samba dělá defaultně. Pokud prostě máš sambu, nastavíš si přístup do homedirů pod heslem tak pak už je jedno jakým protokolem tam lezeš. Já třeba úspěšně mountuji windows 2003 do mého linuxu jako cifs. Cifs je jakási nová verze smbfs, pokud jsem v obraze. Nicméně tyto informace myslím nejsou podstatné, podstatné je, že to prostě funguje.

Johny

[Max]

Na samba serveru si nastavíš, kdo jaké má práva a co všechno může dělat. Poté u klientů můžeš daný síťový FS připojit buď pomocí smbfs, nebo cifs (který je vlastně nový vylepšený smbfs).SMBFS a CIFS jsou jednoduše řečeno moduly v jádře, stačí zaškrtnout a pak už jen :

mount -t cifs //192.168.1.xxx/adresar /mnt/adresar/ -o uid=uzivatel,gid=skupina,credentials=/etc/passwd-cifs

Pak by fstab vypadal asi nějak takhle :

//192.168.1.xxx/adresar /mnt/adresar/ cifs auto,uid=uzivatel,gid=skupina,credentials=/etc/passwd-cifs

Zdar Max

[hjkl]

CIFS (Common Internet File System) je marketingove jmeno, ktere Microsoft zacal pouzivat kolem roku 1996. Vic info je treba na http://en.wikipedia.org/wiki/CIFS.

[Tomáš Crhonek]

CIFS je vylepseny SMBFS... narozdil od SMB umi Unicode a soubory >2GiB.

[Michal Kubeček]

Rozlišoval bych SMB/CIFS coby označení protokolu a smbfs/cifs coby označení síťového filesystému v jádře.

[Tomáš Crhonek]

Podle me je CIFS nova samba... Driv jsem mel smbfs a nyni uz mam jen cifs.

[Max]

Samba server můžeš využívat i bez windows, tvé zmíněné požadavky by maximálně splnil (pokud jsem tě správně pochopil, uživatel se připojí na server a může zapisovat jen do svého domovského adresáře a u ostatních lidí je jen může číst, nebo do nich má zakázaný přístup, nebo může vidět jen ten svůj).
Dále můžeš použít NFS, ale s tím, že pokud se ti do sítě někdy v budoucnu dostane win, tak free NFS klient pro win snad ani nejni a musel by jsi si ho zaplatit.
Zdar Max

[vhodnost]

A jak je to s právy na tom souborovém systému. Umí to používat linuxovská práva u různých souborů?

[Max]

Do samby jsem se moc nevrtal, ale myslím, že ne. Standartně si uživatel nemůže nastavit libovolná práva, aspoň myslím. Práva, s jakými se budou vytvářet adresáře a soubory se definují na serveru samby.
Zdar Max

[Filip Jirsák]

Samba samozřejmě respektuje práva nastavená u souborů (daný proces se vždy přepne do kontextu přihlášeného uživatele), pokud jí výslovně nepřikážete chovat se jinak (a vše dělat pod rootem). Nevím, jak to bude s nastavováním práv při komunikaci s Linuxu – při připojování z Windows bylo možné mapovat některé DOSovské atributy souborů na práva, ale to nemá pro Linux význam. Nevím, zda umí Samba nějakým rozšířením spravovat i unixová práva. Každopádně můžete se Sambou použít ACL.

[vhodnost]

Takže je to vlastně na mountování home adresářů v /home nevhodný, či spíše to ani nejde, protože třeba gdm+gnome vyžadují určitý druh práv na nějaké soubory. Pochopil jsem to tak správně?

[Filip Jirsák]

Práva r a w se budou mapovat správně, x u adresáře se asi mapuje automaticky tam, kde je r, takže problém by mohl být jen u x pro soubory. Ale nevím, jako klienta Samby jsem vždycky používal Windows, takže je klidně možné, že unixový klient a Samba si spolu dokážou předat i všechny informace o právech.

[Michal Kubeček]

Direktiva unix extensions

[vhodnost]

A umí cifs i softlinky?

[0/0]

CIFS jako protokol umi symbolicke linky i treba pojmenovane roury (viz http://www.snia.org/tech_activities/CIFS/CIFS-TR-1p00_FINAL.pdf) . Znaji je ale jen servery a klienti, kteri implementuji CIFS Unix extensions. Obecne receno, novejsi verze Samby a linuxoveho cifs klienta to umi, Windows ne (situace v praxi je komplikovanejsi, detaily vypoustim.)

Co se pristupovych prav na Linuxu tyce: u klasickych pristupovych prav (priznaky rwxrwxrwx) jsem si zadnych rozdilu oproti lokalnim souborum nevsiml. U ACL mohou byt nejake odchylky. (Pokud vim, urcite je drobny rozdil mezi funkcnosti ACL v Sambe a na Windows serveru. O rozdilu mezi ACL v Sambe a linuxovymi ACL nevim.)

[Josef Kufner]

Pak si ještě ověř, že bude fungovat zamykání souborů. Jinak bude Evolution a pár dalších pěkně nadávat.

[vhodnost]

Jak?

[vhodnost]

A ještě mi není jasný, jak by si pak uživatelé mohli měnit hesla? Chtěl bych systém nastavit tak, že klient se přihlásí proti ldap serveru a pak mu třeba pam_mount namountuje home adresář přes cifs. Problém ale je, že samba používá úplně jinou politiku hesel než unixové systémy.

[03]

Mate v tom gulas. Pokud takovou sit potrebujete postavit se svymi znalostmi, pak si najdete kucharku a podle ni postupujte. Viz. napr. http://www.novell.com/coolsolutions/feature/15384.html Podobny navod vysel pred nedavnem i zde na abclinuxu.cz (pouzili to v nejake skole). Dalsi alternativou jsou komercni reseni.

Pokud si s tim chcete jen hrat, tak si napred prectete nejakou knihu.

Problem je v tom, ze se ptate na veci, o kterych ma dobry prehled pomerne malo lidi (problematika centralizovane autentizace v heterogennich sitich je hot topic dnesniho IT). Tihle lide nemaji cas Vam vysvetlovat zaklady.

[vhodnost]

No mám postavenou podobnou síť na ldap+nfs, ale ta nevyhovuje a proto se snažím zjistit co nejrychleji informace o sambě. Něco už jsem zkusil. Teď by mě ale zajímalo, proč nemohu vytvořit linky na přimontovaným cifs-u? Umí to vůbec?

[vhodnost]

A ještě jedna věc. Nějak mi přes všechna snažení nechodí nastavování chmod. Acl nechci, stačí mi standartní linuxová práva, ale ta také nejdou.

[0/0]

Symbolicke linky i chmod mi funguji.

Mate na Samba serveru povolene Unix extensions? Me se vypisuje:

# testparm -v | grep extensions

unix extensions = Yes

Funguji vam na klientovi? U me se vypisuje:

> cat /proc/fs/cifs/LinuxExtensionsEnabled

1

[vhodnost]

Právě že mám unix extensions povolené. Není to způsobené tím, že cifs mountuju s jiným user,password než na kterém jsem přihlášen. Mám uid 1000 a user pokusny, ktery je na samba serveru ma 1002.

[...]

Pristupova prava muze pres chmod menit jen vlastnik souboru a root. Neni problem v tomhle?

[vhodnost]

No jako rootu to jakoby jde, nicmene chmod nenadava, ale prava nezmeni.

[...]

Vyzkousel jsem to. Myslim, ze to chova takto:

Predpokladejme, ze jste uzivatel "A" a na klientovi poustite chmod na soubor, ktery je na souborovem systemu montovanem pres CIFS uzivatelem "B". Nejste-li vlastnikem souboru, chmod prava nezmeni (to je bezne unixove chovani). Jste-li vlastnikem (t.j. vlastnikem je uzivatel A), pak pozadavek chmodu je poslan na Samba server. Ten se pokusi prava zmenit, ale cini tak pod UID uzivatele, ktery souborovy system montoval, t.j. pod UID uzivatele B. chmod na serveru proto odmitne pozadavek provest (uzivatel B pousti chmod na soubor vlastneny uzivatelem A).

Mozna je na to nejaky workaround, nevim. V kazdem pripade nejjednodussi reseni je, kdyz souborovy system montuje kazdy uzivatel pod svym uzivatelskym jmenem.

[vhodnost]

Takže takhle by to asi šlo přes "sudo mount". Ale poradí si s tím i pam_mount?

[...]

Nechapu otazku.

Co se beznych uzivatelu tyce, man mount.cifs rika:

It is possible to set the mode for mount.cifs to setuid root to allow non-root users to mount shares to directories for which they have write permission.

...

user=arg specifies the username to connect as. If this is not given, then the environment variable USER is used.

Co se ruznych UID tyce, man mount.cifs rika:

noperm : Client does not do permission checks. This can expose files on this mount to access by other users on the local client system. It is typically only needed when the server supports the CIFS Unix Extensions but the UIDs/GIDs on the client and server system do not match closely enough to allow access by the user doing the mount. Note that this does not affect the normal ACL check on the target machine done by the server software (of the server ACL against the user name provided at mount time).

Ve vasem pripade by to mohlo pomoci. My noperm nepouzivame, takze s tim zkusenost nemam.

[dustin]

Také by mě zajímalo, jak se v případě linux server - cifs - linux klient řeší zamykání souborů, třeba pro openoffice, aby dva uživatelé nemohli editovat současně stejný soubor a pokud možno o sobě věděli.

[...]

Ta otazka ma nekolik aspektu:

1. Jak by to melo fungovat v ramci CIFS. To je dano specifikaci, viz napr. http://www.snia.org/tech_activities/CIFS/CIFS-TR-1p00_FINAL.pdf . Konkretne CIFS podporuje opportunistic locks, byte range locks, a sharing locks (sekce 2.6.2)

2. Jak je to implementovano jadernym cifs modulem. Dobry popis je v dokumentu http://pserver.samba.org/samba/ftp/cifs-cvs/linux-cifs-client-guide.pdf Zalezi na verzi cifs modulu (jadra). Dostatecne nova jadra zamykani podporuji, ale mohou tam byt chyby.

3. Jak to funguje s jinymi protokoly. Napr. jestli uzivatele pristupujici pres NFS identifikuji zamky nastavene pres CIFS. Tady jsem zadnou shrnujici dokumentaci nenasel.

Co se konkretniho prikladu s OOo pres CIFS tyce: Vyzkousel jsem nesledujici: Uzivatel A vytvoril soubor a nechal ho otevreny. Uivatel B ho mohl otevrit na cteni, ale nemohl do nej zapisovat. Uzivatel A soubor zavrel. Kdyz uzivatel B soubor znovu otevrel, mohl do nej zapisovat.

Jeste jsem zkusil OOo, kdyz jeden uzivatel pristupuje pres CIFS a druhy pres NFSv4: Uzivatel A vytvoril soubor a nechal ho otevreny. Uzivateli B se otevrel s moznosti pro zapis, zapsal do nej. Uzivatel A pri pokusu o zapis do souboru dostal hlasku "General input/output error" a zapis se neprovedl. Tipuji, ze v tomto pripade zamek nebyl identifikovan, nicmene OOo detekovala necekanou zmenu souboru, a proto zahlasila chybu.

Testoval jsem to v nasledujici konfiguraci:

Server: samba-3.0.28-0.2 na SLES10 SP1, jadro 2.6.16.54-0.2.3-smp

Klient: openSUSE 10.2, jadro 2.6.18.8-0.7-xen

[...]

V nasi siti mame centralni souborovy server (kolem 7 TB), na kterem bezi jak Samba, tak i NFS server.

Aplikacni servery si montuji souborove systemy (domaci a sdilene adresare) pres NFS. Na kazdem z techto serveru obvykle spousti aplikace nekolik uzivatelu zaroven. Pristup roota maji jen administratori. Vyhody: (i) je to bezne a odzkousene reseni, takze nejsou problemy s pristupovymi pravy, zamykanim , ... (ii) neni problem mit sdilene adresare jako napr. /data. Nevyhody: nizsi bezpecnost, takze server exportuje souborove systemy jen vybranym klientum.

Notebooky si montuji souborove systemy pres CIFS. Jejich uzivatele maji v mnoha pripadech prava roota, a tak NFS by nebylo bezpecne. (NFSv4 s Kerberem jsme jeste nezavedli). Vyhody: vyssi bezpecnost. Nevyhody: (i) v minulosti problematicka podpora CIFS Unix extensions, nyni je to vyrazne lepsi. Obecne receno, CIFS byl navrzen s ohledem na Windows, takze plnou transparenci je lepsi nepredpokladat. (ii) Souborovy system se montuje pod danym uzivatelem. Takze kdyz si napr. adresar /data namontuje pepa, tak uz si ho na danem notebooku nenamontuje franta. To neni problem na jednouzivatelskych noteboocich, ale na aplikacnich serverech bychom s tim meli problemy.

Jeste zminim, ze podnikova adresarova struktura byva ve Windows postavena na mapovani disku. Napr. H: pro domaci adresare, S: pro sdilene, ... Teto strategii CIFS dobre vyhovuje. V Unixu se tradicne pouziva jeden adresarovy strom. Tam jsou s CIFS trochu problemy u sdilenych adresaru (viz priklad s /data vyse). Da se to resit treba pres per-login mount namespaces (http://www.ibm.com/developerworks/linux/library/l-mount-namespaces.html), ale to zatim nepouzivame, takze s tim zkusenosti nemam.

[stativ]

Jestli jde o větší síť, tak je dobrý (a i používaný) AFS (Andrew File System). V jádře by měla být jakás–takás implementace, která je ale jen read-only. Lepší je použít jeho implementaci v OpenAFS. Celkem pěkný návod je tady.

Mezi jeho výhody patří vysoký výkon (podle wikipedie se používá v sítích, které mají přes 50 000 klientů) a hlavně autentifikace probíhá přes Kerberos. Nevýhodou je (AFAIK) menší rozšíření než třeba CIFS a SMB.

[vhodnost]

Ehm, síť má zatím asi 100 klientů. A od nfs chci opustit, protože se mi nelíbí mechanismus Kerberos a ověřování jím v NFSv4(zatím používám NFSv3) a v AFS to bude asi podobné.

[...]

Pouziti AFS v male a stredni firme by prineslo jen spoustu problemu. Uvedomte si, ze:

- AFS klient neni soucasti ani Windows ani beznych distribuci Linuxu. (Scientific Linux ho obsahuje z toho duvodu, ze AFS se v CERNu, SLACu, a jinych HEP laboratorich pouziva po mnoho let.) To pro administratora predstavuje vyssi pracovni zatez.

- Zprovozneni AFS vyzaduje netrivialni zmeny na strane klienta. To je problem treba u hostujicich pracovniku s notebookem.

- AFS pouziva vlastni system pristupovych prav, nezna pojmenovane roury, ...

Pred 10 lety se hledala nahrada za zastaravajici NFSv2, ale ukazalo se, ze systemy jako AFS ho nemohly v praxi nahradit - pro male site byly prilis komplikovane. A tak Sunu nezbylo, nez NFS modernizovat na verzi 3. Podobna situace se odehrala u NFS verze 4. Jediny system, ktery v budoucnu muze NFS vytlacit, je CIFS. Duvod je prosty: Windows jsou vsude a klienta pro CIFS obsahuji. Cokoliv jineho se musi do Windows doinstalovat, coz pridava praci administratorum a snizuje spolehlivost. (Na to doplatil napriklad Novell se svym NetWare klientem. Zakaznici nadavali na jeho nestabilitu, ale v rade pripadu byly problemy zpusobeny necim jinym.)

[...]

Aby to nevypadalo, ze NetWare klient je uplna zdechlina, tak radsi jeste doplnim, ze je Novellem plne podporovan. Ale vyznam ma spise u zakazniku, kteri pouzivaji NetWare a v budoucnu budou migrovat na OES s NSS. Presneji receno, plna podpora je pro SLES a SLED, ale treba pro openSUSE 10.3 Novell toho klienta nevydal ani po nekolika mesicich od uvedeni openSUSE 10.3. Za to sice sklidil hodne kritiky, ale pochybuji, ze se z toho poucil. Jine non-enterprise distribuce na tom budou s moznosti pouziti NetWare klienta jeste hure.

[vhodnost]

Tak budu zkouset nasadit cifs. Vypada to, ze tam bude i par win klientu, tak tam by to taky melo fungovat. Jakym zpusobem uchovava samba windowsacka prava na linuxackym oddile exportovanym sambou?

[Filip Jirsák]

Pokud je zkompilována s podporou ACL a příslušný souborový systém také ACL podporuje, používá mapování na ACL. Jinak je „uchovává“ tak, že se jimi normálně při přístupu k souborům řídí, a Windowsům předává informaci, zda uživatel může do souboru zapisovat, jenom jej číst, nebo s ním nemůže dělat nic.