Dotaz: samba domain controller AD

[chinook]

Už asi 14 dní tu nastavuji sambu jako domain controller a nemůžu přijít na to proč to nefunguje. Mám server A, ten přesouvám na server B.

Server A se jmenuje puvodni.domena.cz server B se jmenuje novy.domena.cz. V DNS jsem změnil IP, aby puvodni.domena.cz odpovídala novy.domena.cz.

Ale nejsem si jistej, že se počítače s win přihlašují do správné domény, tj. DOMENA, která by měla běžet na novém serveru. Jak toto ověřím? Stačí změnit DNS? Konfigurace samby na obou serverech je téměř stejná, bohužel na novém to nepíše nic ohledně přihlašování do domény v logu. Jak ověřím, že mně přihlašování do domény běží na serveru?

Na novém serveru dám toto:

smbclient -L localhost -U%
Domain=[FANN] OS=[Windows 6.1] Server=[Samba 4.5.12-Debian]
Domain=[FANN] OS=[Windows 6.1] Server=[Samba 4.5.12-Debian]

        Server               Comment
        ---------            -------
        NOVY               novy.domena.cz

        Workgroup            Master
        ---------            -------
        DOMENA

To si myslím, že je v pořádku, ale toto již nefunguje. 

smbclient //localhost/netlogon -UAdministrator -c 'ls'
Enter Administrator's password:
session setup failed: NT_STATUS_LOGON_FAILURE


Na klientských stanicích to píše, že doména neběží. 

konfigurace smb.conf

[global]
        time server = Yes
        workgroup = DOMENA
        netbios name = NOVY
        dns forwarder = 192.168.120.254
        idmap_ldb:use rfc2307 = yes
        max log size = 1000
        lanman auth = Yes
        map acl inherit = Yes
        logon drive = M:
        domain master = Yes
        domain logons = Yes
        preferred master = Yes
        security = user
        encrypt passwords = true
        obey pam restrictions = Yes
        winbind use default domain = Yes
        logon home = \\%L\%U
        template shell = /bin/bash
        server string = novy.domena.cz
        logon path = \\%L\profiles\%U
        panic action = /usr/share/samba/panic-action %d
        wins support = Yes
        pam password change = No
        inherit permissions = yes
        inherit acls = yes
        map acl inherit = yes
        nt acl support = yes
client use spnego = yes
ntlm auth = yes
delete user script = /usr/sbin/smbldap-userdel '%u'
add user script = /usr/sbin/smbldap-useradd -a -n -m -s /bin/false '%u'
delete user from group script = /usr/sbin/smbldap-groupmod -x '%u' "%g"
add group script = /usr/sbin/smbldap-groupadd "%g"
delete group script = /usr/sbin/smbldap-groupdel "%g"
add user to group script = /usr/sbin/smbldap-groupmod -m '%u' "%g"
add machine script = /usr/sbin/smbldap-useradd -w -s /bin/false '%u'
        passdb backend = ldapsam:ldap://ldap.domena.cz
        ldap admin dn = "cn=Manager,dc=domena,dc=cz"
ldap suffix = dc=fann,dc=cz
        ldap machine suffix = ou=Computers
        ldap group suffix = ou=Groups
        ldap user suffix = ou=Users
        ldap idmap suffix = ou=Users
        ldap passwd sync = Yes
        ldap delete dn = Yes
        ldap ssl = no

Pak mám ještě v logu samby tuto hlášku, ale to s tím podle mě nesouvisí.

[2017/11/17 00:19:08.026873,  0] ../source3/lib/sysquotas.c:461(sys_get_quota)
  sys_path_to_bdev() failed for path [.]!

Poradí někdo kde může být chyba? V domain controller se moc nevyznám a pořádně nevím jak to funguje :(

Odpovědi

[BigBRAMBOR]

Ahoj, to ze v cinfu mas stejne domain nameznamena ze jde o stejnou domenu. To by nebylo ani bezpecne, kdyby stacilo nastavit si stejne jmeno a prebrat klienty. Musis se podivat na nastaveni SID a s tim souvisejici veci, trusted accounts pro pc apod.

[chinook]

Tak jsem provedl na starém serveru:

net getlocalsid

na novém nastavil stejnou hodnotu přes:

net setlocalsid

a přidal ji do:

etc/smbldap-tools/smbldap.conf

Při přihlášení win xp clienta do domény to píše:

../source3/rpc_server/netlogon/srv_netlog_nt.c:962(_netr_ServerAuthenticate3)
  _netr_ServerAuthenticate: no challenge sent to client W

Ještě jsem ze starého serveru popřesouval všechny soubory:

/var/lib/samba/*.tdb na nový.

CO je ještě potřeba přesunout?

[MP]

Vzhledem k tomu, ze netusis vubec co delas, tak to udelej takhle:

1] postav novou domenu vcetne vsech odpovidajicich veci kolem, viz manual samby

2] pouzij ForensIT pro presun usera do nove domeny

(3]) pokud nedojde k presunuti i pc v 2], tak odpojit a prepojit do nove domeny

[chinook]

Jak ověřím, že běží doména? Ani nové PC se mně do ní nedaří přihlásit.

[chinook]

Tak on je asi problém, že PC si ověřují práva stále na starém serveru. Jak je donutím, aby si to ověřovali na novém? DNS jsem změnil. Tedy pro název serveru. Doména se jmenuje DOMENA a nevím jak říct stanicím, že domenu mají hledat jinde. POradí někdo? Možná toto je hlavní problém, případně mě to posune dál, protože se již něco v logu dozvím.

[creon]

Je třeba klienty odpojit ze staré domény a přihlásit na novou doménu.
DNS je jen jeden dílek v celé skládačce.

viz vyse:
Vzhledem k tomu, ze netusis vubec co delas, tak to udelej takhle:
1] postav novou domenu vcetne vsech odpovidajicich veci kolem, viz manual samby
2] pouzij ForensIT pro presun usera do nove domeny
(3]) pokud nedojde k presunuti i pc v 2], tak odpojit a prepojit do nove domeny

[chinook]

To musím obejít všechny win stanice a odhlásit je a přihlásit znovu k domene? Když jsem server přesouval posledně, tak nic takového potřeba nebylo. Přece když nastavím druhý server identicky, tak klienti nic nepoznají.

Pokud tedy změna DNS a SID a resync /var/lib/samba neni vše, co dál ještě musím? Na čem všem to tedy závisí?

[j]

Pokud udelas mirror systemu, starej server vypnes a novej zapnes na stejnych IP, tak to samozrejme fungovat bude, co s tim proboha delas?

Pokud do AD pridavas dalsi server, na kterej chces provoz previst (nevim proc ???), tak se to dela tak, ze se prida sekundarni DC, data se na nej nalifrujou "od prirody", pak se primarni vypne, a sekundar se povysi na primar. Ale tohle se dela na widlich, kvuli tomu ze widle na vyssi verzi widli (a tim pade AD) proste neupgradnes.

[JMP]

nene, Active Directory na windows pracuje s Domain Controllerama trochu jinak

pokud máte existující AD, tak do něj přidáte další DC tím, že promotnete windows server splňující nějaké minimální požadavky na DC

následně dojde k replikaci AD (doporučuji preventivní kontrolu záznamů DC v DNS a struktur v AD)

poté si pořešíte unikátní role | Global Catalog jak potřebujete

např. máte-li odstraňovat starý server, tak si musíte ohlídat aby mu před jeho odstraněním žádná unikátní role nezůstala (tedy jí musíte přesunout na jiný DC) a demotnete ho až pak (opět doporučuji preventivní kontroly...)

počítám, že na linuxu by mohl být postup obdobný, když se snažíte o totéž, ale nevím to jistě ...

[Max]

Já jsem to na sambě nikdy nedělal, ale osobně to taktéž předpokládám. Prostě připojit nový server do AD jako další DC, pak na něj převést všechny role a následně starý server demontovat.
Možná to jde nějak ručně přepsat na hafec místech, ale proč to dělat a riskovat. Minimálně se tazatel snaží připojit server s jiným jménem, to figuruje jak v ldapu, tak i v dns a na hafec místech.
Na druhou stranu, podle toho configu, co tazatel zveřejnil, to vypadá, jako by jel starou NT doménu (nikde nevidím definice realm, odkazuje se tam přímo na ldap apod.) a tam to možná šlo nějak zkopírovat, nevím.
Zdar Max

[j]

To je prave to, co tazatel zapomel jaksi napsat - wocogo.

Pokud vymenuje HW, tak bych to proste (cely, vcetne systemu) skopiroval ... coz na tuxovi neni zadnej problem. Neexistuje zadnej duvod proc to delat jinak.

Z toho co napsal to vypada, ze se snazi rucne nastavit novej DC ... aby se tvaril jako starej DC ... coz teda na tuxovi pude urcite taky, jen to bude drbani na mesic.

[j]

Ale ano ano ...

na widlich (dokonce podle doporuceni M$)* mas mit DC nejmin dva ... pricemz jeden z N je primarni. Kdyz libovolnej z nich nebezi, tak pochopitelne jeho funkci zastane libovolnej dalsi. A presne tohle se pouzije k vymene DC. Jinak receno, pokud uz nemas, tak vytvoris cluster. Klienti by (teoreticky) mely pouzivat vsechny bezici DC rovnomerne, takze by to (teoreticky) melo i rozkladat zatizeni.

A jak sem psal, dela se to takhle proto, ze widle nejde upgradnout. Je to o to vetsi zabava, kdyz je treba zvednout AD o vic verzi ... protoze prevazne soudruzi z M$ zvladaj jednu, maximalne dve verze zpatky. A netyka se to zdaleka jen AD ... ted sem dostal do ruky navrh na povyseni exchange ... skoro sem upad, protoze (mimo jiny) obsahuje instalaci 3 verzi exchange (aby se to pres ne postupne protahlo).

*to doporuceni je legracni predevsim proto, ze kdokoli to tak nekdy provozoval moc dobre vi, ze si na tom taky muze pekne nabit hubu, protoze se to velmi rado dojebe. Ostatne, jako vsechno z dilny M$.

[Max]

Dělám teď upgrade Exchange 2007 na 2013, a to prosím dělám ještě ke všemu crossdomain migraci. Tzn., že starý server je v úplně jiné doméně. A dělám to online (v koexistenci obou Exchange), protože 1,4TiB prostě nejde překlopit během chvilky.
By mně tedy zajímalo, z jaké a na jakou verzi upgraduješ :).
Zdar Max

[Tomáš]

A návod na samba webu jsi četl? Možná toto by mohlo být ono:

https://wiki.samba.org/index.php/Joining_a_Samba_DC_to_an_Existing_Active_Directory

[Max]

Co je prosím cílem? Jen předat DC roli jinému serveru? Protože pokud ano, tak postup je úplně jiný. A rozhodně není třeba vytvářet separátní server s jinou doménou a migrovat tam stanice.
Zdar Max

[chinook]

Mám asi 10 let starý server

Debian GNU/Linux 7.11

Na nový server jsem si nainstaloval debiana 9 a chci postupem času ze starého převést všechny služby na toho debiana 9. Bohužel starý hned nemůžu vypnout, běží tam toho více, proto mu ani nemůžu změnit IP a tu přesunotu na nový.

Proto jsem nastavil sambu na novém podle starého configu, změnil DNS, změnil SID podle starého serveru a rsyncnul soubory /var/lib/*.tdb.

Možná by bylo lepší, jak tu někdo poznamenal nový server nastavit jako secondary a pak přepnout do primary.

Nebo jak mám postupovat?

Jak donutím nějakou win stanici, aby se zkusila přihlásit na nový? Co napsat do host? Stačí jednu nějak donutit, abych to mohl testovat.

[Max]

Takže se nejedná o Active Diurectory, ale o NT4 doménu? Podle toho zveřejněného nastavení to tak totiž vypadá.
V takovém případě bych se zamyslel, zda rovnou nemigrovat na Active Directory?
Zdar Max

[chinook]

Tak jsem to prošel a máš pravdu. Nejspíš se jedná o NT4 doménu. Díval jsem se na active direcotory a nebylo by špatné pokročit dál. Půjde provést migrace bez zásahu klientů? A jak ji provést?

Díky za odpovědi

[Max]

Viz oficiální dokumentace : Migrating a Samba NT4 Domain to Samba AD (Classic Upgrade)
Nebo jiné materiály, co se válejí na netu : Migration from Samba 3 to Samba 4
Zdar Max

[ByCzech]

Ano zmigrovat NT4 doménu na AD jde a když se to udělá dobře, tak klienti ani nic nepoznají a po změně se normálně přihlásí, bez nutnosti odpojit/připojit PC z/do domény. Jediná věc je, že když už se klient přihlásí do AD, tak už to nejde vrátit zpět na NT4 doménu i kdyby jsi měl kompletní image serveru bez dalších zásahů. Tak je třeba s tím počítat a pořádně si to nachystat.

[chinook]

Tak se mně to nepodařilo bezchybne zmigrovat. Nic méně doména se mně zalíbila a postupně bych si do ní PC ručně přesunul. Je možné z NT4 nebo ldapu aspoň zkopírovat usery do nové domény?