Dotaz: jaké distro na Samba Active Directory Domain Controller?

[Franta Hanzlík]

Mám nainstalovat Linux server pro funkci $SUBJ (akce vyvolaná nepodporou NT4 DC v posledních win10 ;) a trochu váhám kudy na to. Z distribucí znám celkem dobře Fedoru a Centos, ale v tomhle případě nevím, jestli je to ta správná volba:

• Centos 7 je už dost zastaralý a Samba v něm AD DC nepodporuje. Na netu jsem RPM balíčky pro Centos nenašel (jakési japonské Wing repo už zřejmě neexistuje a Sernet je placený), ale nechají se najít návody na kompilaci a instalaci.
• Fedora tolik zastaralá není a Samba v ní AD DC podporuje, ale pouze cca poslední rok (Samba 4 přitom vyšla v r. 2012) a s MIT Kerberem. Netuším, nakolik je to stabilní a jestli to někdo používá.

Tak bych chtěl poprosit, jestli máte někdo v téhle oblasti přehled a příp. Sambu jako AD DC provozujete, jestli můžete něco doporučit - ideálně něco ověřeného a snadno instalovatelného. LTS distro je výhoda, ale ne nutné. Heimdal Kerberos je OK, nepotřebuji zrovna MIT Kerberos. Ani FreeIPA, SSSD, systemd, journald,... - bude to čistě Samba server v celkem malé síti.
Předem díky, Franta

Odpovědi

[David Indra]

Dobrý den, a proč ne běžný Debian? :)

[Franta Hanzlík]

Spíš proč ano? Používáte jej jako Samba4 AD DC? Praktické zkušenosti? A nebyl by pak lepší Devuan?
A co třeba takové OpenSUSE (když už mám rpm/yum zažité)?

Spíš proč ano?

Protože není zastaralý?

[Franta Hanzlík]

Hm, nevím, o co to tvrzení opíráte (např. koukám, že stable Stretch má ISC BIND v9.10.3 a aktuální je 9.12.3, Samba je 4.5.16 a aktuální je 4.9.4 - což je někde mezi tím Centos-em a Fedorou).
Ale hlavně - mít úplně to nejčerstvější nemám jako hlavní a jediné kritérium; spíš bych preferoval stabilitu a dobrou integraci Samby a souvisejících balíčků, snadnou instalaci a konfiguraci, dostupnost nějakých HOWTO ap.

[PetrK.]

Dobrý den.
Osobně bych volil Debian 9 nebo Ubuntu 18.04 LTS. Podobnou situaci jsem nedávno řešil. Pěknou "step-by-step" dokumentaci naleznete třeba zde "https://www.tecmint.com/install-samba4-active-directory-ubuntu/". Já se tu spíš inspiroval a doplňoval z oficiální dokumentace Samby.

Pokud by jste to řešil v Debianu, tak je potřeba odmaskovat samba-ad-dc.

systemctl stop samba-ad-dc.service smbd.service nmbd.service winbind.service
systemctl disable samba-ad-dc.service smbd.service nmbd.service winbind.service

systemctl unmask samba-ad-dc.service
systemctl start samba-ad-dc.service
systemctl status samba-ad-dc.service
systemctl enable samba-ad-dc.service

Kdyby cokoli, tak se ptejte, mám to teď v hodně živé paměti.
Petr

[MP]

Byla to cista instalace ci upgrade? Pokud upgrade, z ceho a byly tam nejake problemy, rozdily? Rad bych se jiz pohnul z Deb8.

[Petr K.]

Byla to cista instalace.
Mohu nejak pomoci ?

[MP]

No ja resim dve veci

1] potrebuji precislovat vsechny AD v domene (3 kusy)

2] potrebuji to casem upgradnout a nevim, co to udela Mozna pockam na Deb10, co uz se blizi...

[Franta Hanzlík]

Díky za rady a odkazy, také dík Pavlům a ostatním. Pustil jsem se do toho na konci minulého týdne a víceméně poreferuji, jak jsem si nabil hubu ;)
Jako distro jsem nakonec zvolil Fedoru (kterou znám asi nejlépe) - s tím že jsem si sestavil Sambu 4.6.4 s Heimdal Kerberem, včetně RPM balíčků (úprava Fedořího SPEC souboru pro Heimdal místo MIT byla celkem jednoduchá a bylo to hotové rychle. Pokud by měl někdo zájem, mohu poslat nebo odkaz). Nainstaloval jsem to na testovacím stroji s BIND 9.11 DNS backendem svázaným přes DLZ, s dvěma win10 klienty na testování, při oživování jsem se řídil hlavně podle Samba Wiki (má i slušný troubleshooting). Potud vše OK, takže jsme začali naostro - a tam to zkrachovalo, IMO hlavně díky (ne)znalosti AD, Kerbera a windows:
Samba AD DC jsem udělal jako virtuál běžící na hlavním Samba serveru (NT4 PDC s LDAP backendem a zároveň fileserver se share a profily uživatelů), s tím, že NT4 PDC bude následně zařazen jako AD Domain Member. A pro ulehčení práce jsem se vydal cestou migrace NT4 -> AD ("samba-tool domain classicupgrade ...") - což nevím, zda nebyla chyba. Migrace proběhla také celkem hladce (alespoň zdánlivě), a po mírném boji se podařilo do AD zařadit i klientské stanice. Problémem, který spolkl dost času, se ukázalo zařazení původního NT4 PDC jako člena AD, s tím jsme se docela potrápili - ale nakonec se podařilo i to. No a nakonec jsme se zastavili před na první pohled trivialitou - win10 klienti se přihlásili, ale v síťovém okolí průzkumníka nebyly vidět žádné stanice ani Samba servery, a share na fileserveru nebylo možné připojit z průzkumníka ani přes cmdline "net use X: \\server\share" - končilo to různými chybami.
Nakonec jsme to v neděli večer někdy kolem sedmé zabalili a vrátili vše do původního stavu (byl zazálohovaný a obnova rychlá).

Nezkoušel jste někdo také jít cestou migrace a nevíte, jaké špeky tam číhají, na co je třeba dát pozor?
Nejsem si také jist, jestli jsem parametry migrace pro samba-tool zadal dobře: původní NT4 doména byla "zus", a používali jsme (interní) DNS doménu "skola.home". Novou AD doménu/Kerberos realm jsme chtěli (s ohledem na popis významu parametrů) mít "skola.home"/"SKOLA.HOME" a NetBIOS doménové jméno "zus" (což nevím, zda je dobře - popis říká "... Může být cokoliv... Je doporučeno použít první část AD DNS jména." - tj. doporučení splněno není.
A migraci jsem provedl příkazem:
samba-tool domain classicupgrade --dbdir=/var/lib/samba.nt4 --realm=skola.home --dns-backend=BIND9_DLZ /etc/samba.nt4/smb.conf
(tu NetBIOS workgrupu "zus" to vzalo z NT4 databází)
Vidíte nějakou blbost?

[BigBRAMBOR]

Clasic upgrade jsem delal nekolikrat a vzdy probehl. Nerozumim ale nekterym tvym postupum, proc po migraci pripojujes puvodni pdc jako clena a proc pripojujes win znovu do domeny, jestli jsi mel pdc, tak uz prece v domene jsou a migraci se nic nemeni.

[BigBRAMBOR]

Myslim ze sdileni se po upgrade nastavuje znovu, pres sprava pocitace ve win se mu pak nastavuji prava.

[Franta Hanzlík]

Aha, díky, to by mohlo být. Ale neměly by se zobrazit alespoň okolní servery/počítače? Pokud vím, novější widle používají i jiné protokoly (Link-Local Multicast Name Resolution (LLMNR), Multicast DNS (MDNS) a možná další), které asi na Linuxu běžně nejsou zapnuté - není třeba něco povolit tam? A má smysl na síti s AD používat WINS server?

[Franta Hanzlík]

Tohle uspořádání (malý samostatný Samba AD DC /zde virtuál/ a fileserver zvlášť jsem volil proto, že někde na stránkách Samba Wiki je to doporučené (traffic s AD DC je prý vždy šifrován a podepisován, což u fileserveru není potřeba), a taky proto, že jsem chtěl mít možnost vše rychle vrátit do původního stavu, kdyby se migrace nepodařila.

A proč připojuji stroje zpět do domény: nevím, nakolik jsou NT4 doména a AD kompatibilní - předpokládal jsem, že moc ne nebo jen jednosměrně (NT4 -> AD), a také jsem si s tím chtěl trochu pohrát a testovat, odzkoušet zařazování a vynětí do/z AD. Jedny klientské windows jsem měl jako čistou instalaci (v doméně nikdy nebyly), druhé předtím byly v NT4 doméně - a na těch jsem chtěl dělat "pokusy".

Ještě mne napadá, jestli nemohl vzniknout nějaký problém tím, že původní NT4 PDC server se jmenoval "SAMBASRV" a nový AD DC jsem nazval "DC1" (FQDN "dc1.skola.home") - ta migrace tedy asi předpokládala, že nový se bude jmenovat také "SAMBASRV", a nevím, jaký dopad mohl mít ten jiný název.

Díky za jakýkoliv postřeh/nápad - zatím v téhle oblasti pořád dost plavu...

[bigBRAMBOR]

pokud udelas migraci z NT4 na AD tak si na jeden z PC pripojenych do domeny nainstaluj RSAT - navod nekde najdes, to jsou win nastorje pro spravu uzivatelů, gpo, apod. Bez nich se pak v domene poradne neobejdes. Tam taky, pokud pustis spravu uzivatelů uvidis premigrovane stanice a uzivatele.

Nove sdileni zalozis normlane s smb.conf, ale pak je potreba jit na Win PC, pustit spravu pocitace, prepnout se na spravu ADDC a dokliakt práva odtamtud.

Vse pod uzivatelem administrator.

[bigBRAMBOR]

mít "skola.home"/"SKOLA.HOME" a NetBIOS doménové jméno "zus"

ano, je mozné mít rozdílné jméno NT4 a AD domény. takze muzete pouzivat ZUS/User stejne tak jako user@skola.home. Ale se jménem PDC uz si jistý nejsem. Mozná se to jmenovat růzmě muže, ale bude potřeba pak překontrolovat DNS záznamy.

[Franta Hanzlík]

Díky za všechny podněty. O tom RSATu jsem věděl a měl jej i nainstalovaný, jen jsem netušil, že už je čas jej použít... Ohledně výsledků té migrace - zkusím ještě zkontrolovat, co je pak v DNS a asi i v LDAP DB (ještě ani nevím pořádně jak, ale většinou je těch cest víc, tak snad nějakou trefím;). Hodím si ten virtuál se Samba AD DC někam jinam a udělám testovací síťku a rozběhám to nejdřív tak. Ostrý upgrade se bude muset udělat zase někdy o víkendu, aby to školu nebrzdilo - a to jen tak nebude. Já bych to tedy zatím uzavřel, až to dodělám, tak zkusím přidat nějaké poznatky...
Franta

[MP]

Ty vole, "skola.home" jako AD domena...cetl jste vubec nejakou dokumentaci od MS?

[Franta Hanzlík]

Občas na nějakou narazím, není toho až tak moc. Mám nějaké povědomí, že je hovadina používat jako TLD "local". Smím se zeptat, proč je "skola.home" špatná? Díky!

[Pavel 'TIGER' Růžička]

Tak na to by mohl stačit Alpine Linux. Ovšem je otázkou, co si představuješ pod pojmem "jednoduchá instalace"?

[Pavel]

Ohledně snadné instalace, možná s funkcemi, které nepotřebujete/nechcete, ale co nějaká specializovaná distribuce: https://www.univention.com/products/ucs/functions/active-directory-takeover/ http://www.zentyal.com/zentyal-server/ http://docs.nethserver.org/projects/nethserver-devel/en/v7/nethserver-dc.html?highlight=ad http://razdc.com/ https://www.clearos.com/clearfoundation/software/clearos-6-community#features

[logik]

Vcelku dobré zkušenosti mám s distribucí Zentyal, postavenou nad Ubuntu. Je to spíš pro takové to "bezstarostné užívání" - existence klikátka znamená, že běžné věci se tam nastavují velmi snadno, speciality nastavit jdou také i manuálně, ale s určitým množstvím úsilí.

Pro větší množství specialit to není nic moc, ale klasickej AD server se základníma funkcema to zvládne out of box. Na Samba (a poštovní) server v malé síti, kdy od toho člověk nechce nějaké netradiční extrabuřty, je to myslím hodně dobrá volba.

[Petr.K]

Není Zentyal placený ?

[Pavel 'TIGER' Růžička]

Jo, a je to pro tělocvikáře, co mají na starosti ICT plán.

[lertimir]

Pro tělocvikáře je dobrý i ClearOS. Community je neplacená.

[logik]

Je placená a neplacená verze, neplacená je IMHO v poho.

A samozřejmě, je to udělaný "pro blbý", takže udělat tam cokoli složitějšího tam je rovnák na vohejbák. Ale osobně jsem už tak nějak vyrost z toho, všechno si konfigurovat sám. Dokud mi klikátko stačí - a tady to na takový ty základní funkce: email, samba, vpn stačí v pohodě, tak proč se štvát s vlastní konfigurací?

Pokud to má být někam, kde dělá člověk admina na plnej úvazek, tak samozřejmě je lepší si to postavit. Ale pokud takový věci běžně neděláš, tak na domácí server nebo obecně někam, kde stačí levný řešení za pár korun (a kde je akceptovatelný, že to může mít mouchy), proč ne?

[ZS-Man]

Koukni také na https://www.univention.com

Ja mám jeden master (PDC), nějaké member a slave servery, vse spravovano centralne z masteru pres web, umí to premigrovat ze stávajícího win serveru, vlastní App Centre s predkonfigurovanyma aplikacema.....

[Pedro m]

Jedine distro nad kterym se hodi postavit domenu jsou Widle. Nerad to rikam jelikoz jsem taky linuxak ale tak to proste je.

Samba jako client domeny ? Cajk. Samba jako sekundarni radic ? Celkem cajk. Samba jako mozek domeny ? Neee.

Samba funguje obstojne ale domenu bych na tom nikdy nestavel. Alespon ne tam, kde to ma opravdu fungovat. Right tools for right job.IMHO.

No flame prosim.

[Franta Hanzlík]

Díky za názor; já to nerozporuji, ale jako vždy nic není černobílé a je těch důvodů víc, a co mne namátkou napadá jako plus pro Sambu:

• mohu využít svých znalostí Linuxu (widlous nemusím), logy Samby pro mne byly vždy mnohem srozumitelnější než logy windows
• IMO podpora na fóru/maillistu Samby je na mnohem lepší úrovni než u windows - dokonce i zde na Linux obecně zaměřeném serveru je řada lidí, kteří ví a snaží se pomoci
• Samba ani Linux není černá skříňka jako windows - pokud by na to došlo, je kam se podívat
• dá se očekávat, že úroveň a funkcionalita Samby s časem poroste a bude držet krok
• tím, že si to člověk nainstaluje a nakonfiguruje sám, je donucen věcem trochu porozumět - takže jej nerozhází ani případné nestandardní a havarijní situace

Sambu jsem používal jako workgroup fileserver i jako NT4 DC + fileserver, a fungovalo to bez problémů a jestliže je (ostrá, nepočítám léta alfa- a beta-verzí) podpora AD DC v Sambě už přes šest let, tak to asi použitelné je, a pro zamýšlené účely to doufám stačí. Ani to neodporuje tomu "Right tools for right job" - nač si pořizovat M$ Office, když mi bohatě stačí OpenOffice/LibreOffice. Hlavně když to není Notepad ;)

[Pavel 'TIGER' Růžička]

Kdysi dávno jsem dělal správce sítě ve školství. Přistupoval jsem k tomu, jako kdyby ta organizace byla moje a snažil jsem se ušetřit, kde se dá. Ale ten boj se prostě nedal vyhrát. Třeba nasazení OpenOffice/MSOffice bylo bráno, jako podřadnost oné školy, protože všude v okolních školách byl MSOffice. Nejednalo se ani o faktickou stránku věci, že by jeden balík neuměl něco, co ten druhý. Ale šlo o nějakou nafouklou bublinu, nesmyslných argumentů.

Pravda, moc jsem se s tím nepáral a razil názory jako: "Je naprosto jedno v čem neumíte udělat pořádný dokument, akorát, že v MSO to bude o pár tisíc dražší. Podívejte se na deváťáky, s jakými neznalostmi opouštějí bránu této školy! A proč? Protože učitel hudební výchovy nemá patřičný počet hodin! Brouzdají po četech a hrají hry. Neumí udělat ani jednoduchý, strukturovaný dokument, natož nějakou tabulku s funkcí. Pak je naprosto jedno, jaké aplikace se jim povalují na disku!"

Nebo když jsem (v jiné škole) postavil jednu celou učebnu na noteboocích (z prostorových důvodů). Učebna na ThinkPadech T400. Největším problémem bylo, že u těch notebooků nebyli myši! Těch nesmyslných argumentů, proč tam musí být myši ... co na tom, že když se položí vedle notebooku myš, tak děcka do sebe budou narážet lokty. Ani openSUSE tak nevadilo, jako nepřítomnost myši.

Naštěstí tohle období je za mnou. Hodně jsem se díky němu naučil nejen v oblasti IT, ale i o lidech.

[Pavel 'TIGER' Růžička]

Samba jako mozek domény funguje naprosto bez problému, windows server je v tomto směru zbytečnou investicí.

[Franta Hanzlík]

Dvakrát jsem nahrazoval windows (file)server Sambou - v obou případech šlo o data s poměrně velkým počtem (20k+) souborů (i když celkem malých) v adresáři - s windows to bylo hodně pomalé, s Sambou na Linuxu v pohodě...

[Hafajs]

Každé řešení má něco do sebe. Používám obojí. Mrkvosoft to má provazane a z jednoho místa mohu dělat vše. Na Linuchu nemusím mít strach z podlicencování... Je fakt, ze u Zentyalu jsem se mnoho verzi bal něco přenastavit. Byla to taková křehka záležitost. Také je fakt, ze konkrétně na Zentyalu není dobré vymýšlet vlastní ohýbání systému. Pokud možno, jen co se da skrz web.