Dotaz: Samba - nejsou vidět některé soubory

[trupik]

Dobrý den, potřeboval bych poradit ze Sambou. Upgradoval jsem Sambu na verzi 3.6.23-30, systém CentOS 6.7. Po upgradu začali mít někteří uživatelé problémy s přihlášením a to „Vztah důvěryhodnosti mezi touto pracovní stanicí a primární doménou selhal„. Přihlašovali se třeba až na pátý pokus a některým se to nepovedlo vůbec. Do té doby, cca 2 roky vše bez problémů. Zkoušel jsem počítače z domény odebrat a zase přidat, ale nepomohlo. Zkoušel jsem znovu založit účet počítače, taky zbytečné. Takže jsem to omezil jenom na pracovní skupinu a namapoval síťové disky ručně. Vše se jevilo jako dobré až na to, že si uživatelé začali stěžovat, že jim zmizely některé soubory ze síťového disku, respektivě z domovského adresáře. Soubory tam zřejmě jsou, ale nějakým způsobem nejsou vidět, protože např. jeden soubor byl poslán mailem a když jsem ho chtěl nakopírovat zpátky do složky tak se zeptal jestli chci starý soubor přepsat. Ovšem přepsání se nezdařilo z důvodu „nedostatečných práv“. Bohužel soubory nevidím ani po rootem. Ještě dodám, že klienti jsou win7. Díky za každou radu Petr

---

---

Odpovědi

[Pavel 'TIGER' Růžička]

Jako první bych překontroloval síťový disk, jestli neobsahuje chyby. I když zjevně se může zdát, že to spolu nesouvisí, tak jistota je jistota. Dále bzch překontroloval konfigurační soubor tesparmem, jestli je vše v pořádku, případně bych ho sem vystavil. No a nakonec bych se začal zabívat právy, jelikož v nich bude s největší pravděpodobností chyba. Nejdříve bych si založil složku jednoho uživatele a pak bych se pokusil jí restruktivně vrátit vlastníka s jeho právy. To, že root také nevidí všechny soubory je divné. Jak to kontroluješ? Midnight Commanderem? Pak bych též překontroloval v jakých je skupinách a jaká má práva. Ale to už je velmi nestandartní krok.

[jekub]

Mám podobný problém po aktualiazci na Version 3.6.23-30.el6_7 (CentOS release 6.7 (Final)).

Při pokusu připojení ke sdílení Win z Linuxu:

session setup failed: NT_STATUS_TRUSTED_RELATIONSHIP_FAILURE

Ze stanice Win totéž co píšete, „Vztah důvěryhodnosti mezi touto pracovní stanicí a primární doménou selhal„

Zatím jsem v řešení nikam nepokročil, omezení na pracovní skupinu jsem zatím nezkoušel (není teď za provozu možné).

[trupik]

Zdravim

Toto je znamy problem. upgrade na verziu 3.6.23-30 znefunkcni trust relationships (medzi domain clientmi a PDC) a tiez aj pristup k sharom pre nedomenovych klientov. Na oprave sa stale pracuje (bug id=1327216 a id=1316298). Docasne odporucam navrat na 3.6.23-25 (staci downgrade, restart smb, nmb sluzieb a vsetko hned funguje). Nevyzera to ze by to malo byt cochvila opravene, preto odporucam pridat do yum.comf do [main] sekcie toto:

exclude=samba*

aby ste sambu "omylom" nevyaktualizovali znova v blizkej dobe.

[jekub]

Díky, timeos. Ponižení funguje.

[trupik]

I já jsem teď do downgradoval a opravdu to funguje. Mockrát díky za pomoc. I soubory, které se zdály být ztracené a nebyly vidět jsou už na světě.

[Pavel 'TIGER' Růžička]

Mne celkem zarazilo, že se takový balíček může dostat do distribuce jako je CentOS. To je ta chyba i v RedHatu?

[Peter Golis]

Ktorá, oprava badlock ktorá rakto zblbne prístup prastarých klientov v móde guest (bez prebehnutej autentifikácie) pri vypnutom ntlm a vynútenom šifrovaní?

[timeos]

neviem, mne nesedi ani jedna podmienka z tych ktore ste vymenovali

• prastarých klientov

  u nas su to vsetko systemy Windows 7 alebo vyssie. ziadny z nich nebol domain member. ale problem je aj s domain membermi - tam nefunguje ani autentifikacia do systemu.
• u nas nepouzivame guest mod ale klasicku user authentifikaciu.

• pri vypnutom ntlm

  aky iny sposob autentifikacie okrem NTLM (v1 or v2) je mozne pri standalone samba3 kontroleri (NT4-like) pouzit?

[jekub]

prístup prastarých klientov

Fedora 23, Windows 7

v móde guest

guest nebylo povoleno

[Peter Golis]

prístup prastarých klientov

Fedora 23, Windows 7

Podpora mainstream Windows 7 skončila pred vyše rokom, rozšírená podpora je dodatočne platená a nepredpokladám že by sa jednalo o podnikový problém s zaplatenou rozšírenou podporou. Taká podpora obvykle stojí viac ako je cena za nový OS. V prípade že by mal ten podnik naozaj zaplatenú doplnkovú podporu, tak sa správca nepýta na na zadarmovom fóre. Fedora 27 bez príslušných záplat môže mať podobné problémy, a nielen fedora ich má.

v móde guest

guest nebylo povoleno

Pokial sa po zaplátaní nedadviazalo dôverné spojenie aj s overením užívateľa, tak klient obvykle skúsi mód guest.

[jekub]

7!=XP

[timeos]

Podpora mainstream Windows 7 skončila pred vyše rokom, rozšírená podpora je dodatočne platená a nepredpokladám že by sa jednalo o podnikový problém

toto nie je uplne pravda. "Microsoft doesn't plan to stop fixing security problems in Windows 7 until extended support ends. That's January 14, 2020--five years and a day from the end of mainstream support." Samozrejme aj windows7 boli zaplatovane na badblock rovnako ako samba kedze je to security-related. A takto to bude pokracovat (pre security fixy) az do 14. januara, 2020.

Pokial sa po zaplátaní nedadviazalo dôverné spojenie aj s overením užívateľa, tak klient obvykle skúsi mód guest.

Mam pocit ze si to trocha prisposobujete Preco sa asi nepodari nadviazat doverne spojenie s overenim pouzivatela, ktore predtym chodilo? Zeby kvoli tym fixom? To, ze nejde nasledne ani guest access je uz nepodstatne (zvycajne ani nieje povolene ak je user-auth aktivovana). Pointa je vsak ta, ze sa tento problem netyka len guest pristupu ako ste naznacili na zaciatku.

[k3dAR]

no ty perlis :) nejdriv tvrdis ze MPT je jen na prenos multimedialnich souboru, ted ze Windows7 uz zkoncila podpora a je treba ji platit a jeste sem tahas nejakou nevydanou Fedoru 27? no si naozaj volako zmateny

[Peter Golis]

Podpora Windows 7 je známa, a Windows 7 má uvedený End of mainstream support na dátum January 13, 2015. To, že si ľudia myslia že mainstream support bude čerpať z extended support je všeobecná mýľka.

PS: No, 27 bol preklep. Ale problém bol v zaplátaní servra a nezaplátaní klentov. Rýchle riešenie (downgrade servra) tomu zodpovedalo.

[timeos]

ale predsa na Windows 7 vysla zaplata na badlock. este raz - jedna sa o security problem, pre ktory sa zaplaty vydavaju na windows 7 az do roku 2020.

[Peter Golis]

Akurát že na toto by som sa nespoliehal. Či je to kritické tak ako táto diera v protokole, alebo nie je na posúdení MS. Odhad správcu v tomto prípade nehrá rolu. A stále majú Win7 bez extended supportu veľa kritických dier nezaplátaných. Ak chceš, nájdi di ich.

[timeos]

Akurát že na toto by som sa nespoliehal.

ved fixy su vydane a k dispozicii na tom linku alebo pri zapnutch automatickych aktualizaciach. tu snad niet o com. nechapem tu tvrdohlavost.

Odhad správcu v tomto prípade nehrá rolu.

Aky odhad? Ved je jasne napisane a potvrdene ze security-related fixy sa budu vydavat a basta. Toto nieje nic filozoficke.

A stále majú Win7 bez extended supportu veľa kritických dier nezaplátaných.

Verim tomu ze sa nejedna o nic, co by bolo verejne zname. Inak by boli skvor ci neskvor zaplatane. Viete o nejakej konkretnej ked tak pisete? Mozes dat nejaky externy link? Ak nie, tak to berem len ako pivne reci.

[Peter Golis]

Na tom linku sú výsledky práv. Skús pohľadať nahlásené chyby. Podľa reakcií máš prístup k vnútrofiremným informáciám.

[timeos]

Ako uz kolega nizsie pisal - jedna sa o opravne baliky na badlock vulnerability. podla How Badlock Was Discovered and Fixed je chyba principialna a tyka sa windows (nativny client) aj linux (samba client). Oprava je komplexna a zahrna velke mnozstvo riadkov, priklad pre sambu3:

samba-v3-6-security-2016-04-12.patch
 95 files changed, 4007 insertions(+), 978 deletions(-)

Kedze chyba je typu security s vysokym stupnom rizika, tak opravu vydali do terminu dohodnuteho najneskorsieho mozneho terminu (12. april) - avsak ako je vidno, neopravili to na vsetky pouzitelne scenare - no a pri sambe3 tych scenarov moc pouzitelnych asi nieje (asi len AD security?).

A ano, chyba je v RedHat-ackych balikoch. Tie bugreporty su priamo z RH bugzilly. Inak medzicasom uz zbuildli nejake novsie baliky samba-3.6.23-34.el6 avsak predpokladam ze este niesu oficialne dostupne.

[Peter Golis]

Vyššie. Ale mňa takéto chovanie pri CIFS tiež prekvapilo. Domáce prostredie, a niekoľko rokov starý CIFS klient (Android APP) mi blbol po zaplátaní servra úplne rovnako. Po aplikovaní dodatočných odporúčaných nastavení na servri som toho klienta odrezal v móde bez autentifikácie, pričom použitie užívateľa ktorý v SAMBA existoval ako riadny užívateľ fungovalo. Podobná APP z marca však nemala najmenší problém v móde guest/nobody, a ani s riadnym užívateľom a spomínanými dodatočnými nastaveniami (vypnutie NTLM a vynútenie server signing).

Zaujímalo by ma kedy sa opeť povolí tento anonymný prístup ktorý bol odrezaný kôli bezpečnostným slabinám badlock.

[Petr]

Stalo se mě totéž, server a tisky najednou po aktualizaci nefunkční, vrátil jsem aktualizaci a jedu dál, na domácím serveru je to fuk, ale v produkčním prostředí malé firmy, která nemá placeného admina aby se o tyto věci staral, to může být docela opruz. Způsob opravy, kdy zařízení přestane fungovat, je celkem nešťastný. Co s tím má dělat běžný uživatel, když nemá tucha o co jde, odklikne automaticky aktualizaci a je bez dat a bez tisků. Takhle by opravy neměly probíhat a spoustu lidí odradí od Linuxu jako takového.

[MP]

Nemaji IT...jejich problem. Neplati si support...jejich problem.

Kazdy SW ma chyby. Jestli chteji garanci funkcnosti, tak at si to zaplati, nikdo jim nic zadarmo (a casto ani za cash) neda a bezchybny provoz negarantuje.

[trupik]

Souhlasím s Vámi, nedovedu si představit, že by se mi v serverech hrabali běžní uživatelé. Vždyť stačí s někým se domluvit třeba jen na dálkové správě, nebo aby se 1x týdně stavil. Ale to je každého věc. Dělám admina více jak 15 let a taky jsem chyboval a nevěděl si rady. Proto jsem tady ten dotaz položil, protože by mě ani ve snu nenapadlo, že se takový (dost zásadní) problém objeví.

[timeos]

trocha prebudzam tento obstarozny thread aby som sa spytal, ci niekto skusal posledne verzie samba pre centos 6 s tym, ze problem pripajanim z windows klientov je uz fixnuty?

[Petr]

Taky by mě to zajímalo. Nemám to teď jak odzkoušet a asi to budu potřebovat tak za měsíc u našich doma, tahle vědomost by mě mohla ušetřit celkem dost sakrování.