[mdk-re] вопрос по самбе

[mdk-re] вопрос по самбе

[Oleg Lukashin]

Hello mandrake-russian,

Вот такая ситуация :
Я создаю шару
[install]
         comment = distributives
         path = /var/spool/samba/install
         writable = no
         write list = admin
         create mask = 0600

Вопрос :
кто и какими правами должен обладать на /var/spool/samba/install
Я подозреваю, что права на эту дир. должны принадлежать samba.samba,
но такого пользователя в системе нет.
если выставить права на эту дир. 0777, то туда можно будет записать
кому угодно, и write list на эту ситуацию не повлияет.
Что я делаю не так ?

-- 
Best regards,
Oleg Lukashin,
security@rega.ru

Re: [mdk-re] вопрос по самбе

[cornet]

Oleg Lukashin wrote:
> 
> Hello mandrake-russian,
> 
> Вот такая ситуация :
> Я создаю шару
> [install]
>          comment = distributives
>          path = /var/spool/samba/install
>          writable = no
>          write list = admin
>          create mask = 0600
> 
> Вопрос :
> кто и какими правами должен обладать на /var/spool/samba/install
> Я подозреваю, что права на эту дир. должны принадлежать samba.samba,
> но такого пользователя в системе нет.

Пользователь admin

> если выставить права на эту дир. 0777, то туда можно будет записать
> кому угодно, и write list на эту ситуацию не повлияет.

Повлияет да же при 0777. Проверьте сами.
:-)

А если у /var/spool/samba/install права admin.admin 0700 то всякое использование
write list = admin
просто теряет смысл, оно полностью покрыватся пермишенами fs.

-- 
Власенко Олег.
Отдел технической поддержки ALT Linux Team.
mailto:cornet@altlinux.ru

[mdk-re] Re: [mdk-re] вопрос по самбе

[Andrew Nazarkin]

Здравствуйте, Oleg.

Вы писали 6 февраля 2002 г., 17:24:20:

OL> Hello mandrake-russian,

OL> Вот такая ситуация :
OL> Я создаю шару
OL> [install]
OL>          comment = distributives
OL>          path = /var/spool/samba/install
OL>          writable = no
OL>          write list = admin
OL>          create mask = 0600

OL> Вопрос :
OL> кто и какими правами должен обладать на /var/spool/samba/install
OL> Я подозреваю, что права на эту дир. должны принадлежать samba.samba,
OL> но такого пользователя в системе нет.
OL> если выставить права на эту дир. 0777, то туда можно будет записать
OL> кому угодно, и write list на эту ситуацию не повлияет.
OL> Что я делаю не так ?


Дать права admin-у :))
Есть такой юзверь в passwd?
Нету, либо заведи либо вместо админа пропиши себя.
Можешь алиас в smbusers прописать...

-- 
С уважением,
  Alting                         mailto:alting@mail.ru

[mdk-re] Re[2]: [mdk-re] вопрос по самбе

[Oleg Lukashin]

Hello cornet,

Wednesday, February 06, 2002, 5:27:16 PM, you wrote:

>> если выставить права на эту дир. 0777, то туда можно будет записать
>> кому угодно, и write list на эту ситуацию не повлияет.

c> Повлияет да же при 0777. Проверьте сами.
c> :-)

Вот я попробовал и поэтому написАл. писать в эту директорию может кто
угодно, даже если его не указано в write list.

c> А если у /var/spool/samba/install права admin.admin 0700 то всякое использование
c> write list = admin
c> просто теряет смысл, оно полностью покрыватся пермишенами fs.

Тоесть это годится для реализации схемы : читать может кто угодно, но
записывать только admin ?

-- 
Best regards,
Oleg Lukashin,
security@rega.ru

[mdk-re] Re: [mdk-re] Re: [mdk-re] вопрос по самбе

[Oleg Lukashin]

Hello Andrew,

Wednesday, February 06, 2002, 5:37:09 PM, you wrote:

AN> Дать права admin-у :))
AN> Есть такой юзверь в passwd?
AN> Нету, либо заведи либо вместо админа пропиши себя.
AN> Можешь алиас в smbusers прописать...

admin - это алиас из /etc/samba/smbusers, указывающий на рута
на /var/spool/samba/install стоит root.root 0777

Заходим на самбу под пользователем admin
в write list на эту шару содержит этого пользователя
пробуем записать - пишет
заходим под васей пупкиным туда же.
пробуем записать - _пишет_

ставим права root.root 0700
под админом - _не пишет_
под васей - _не пишет_

не понимаю

-- 
Best regards,
Oleg Lukashin,
security@rega.ru

Re: [mdk-re] Re[2]: [mdk-re] вопрос по самбе

[cornet]

Oleg Lukashin wrote:
> 
> Hello cornet,
> 
> Wednesday, February 06, 2002, 5:27:16 PM, you wrote:
> 
> >> если выставить права на эту дир. 0777, то туда можно будет записать
> >> кому угодно, и write list на эту ситуацию не повлияет.
> 
> c> Повлияет да же при 0777. Проверьте сами.
> c> :-)
> 
> Вот я попробовал и поэтому написАл. писать в эту директорию может кто
> угодно, даже если его не указано в write list.

А какая версия Самбы??
С точностью до номера сборки, плиз.

-- 
Власенко Олег.
Отдел технической поддержки ALT Linux Team.
mailto:cornet@altlinux.ru

Re: [mdk-re] Re[2]: [mdk-re] вопрос по самбе

[cornet]

Oleg Lukashin wrote:
> 
> Hello cornet,
> 
> Wednesday, February 06, 2002, 5:27:16 PM, you wrote:
> 
> >> если выставить права на эту дир. 0777, то туда можно будет записать
> >> кому угодно, и write list на эту ситуацию не повлияет.
> 
> c> Повлияет да же при 0777. Проверьте сами.
> c> :-)
> 
> Вот я попробовал и поэтому написАл. писать в эту директорию может кто
> угодно, даже если его не указано в write list.

Странно... Видимо что то изменилось с тех пор когда я экспериментировал с этими делами...
Проверю.
 
> c> А если у /var/spool/samba/install права admin.admin 0700 то всякое использование
> c> write list = admin
> c> просто теряет смысл, оно полностью покрыватся пермишенами fs.
> 
> Тоесть это годится для реализации схемы : читать может кто угодно, но
> записывать только admin ?

Если читать всем, то права на каталоги 755 а файлы 644 иначе кроме admin никто ничего не прочтет :-)

-- 
Власенко Олег.
Отдел технической поддержки ALT Linux Team.
mailto:cornet@altlinux.ru

[mdk-re] Re: [mdk-re] Re: [mdk-re] Re: [mdk-re] вопрос по самбе

[Oleg Lukashin]

Hello Oleg,

Все, я разобрался.
И вот что плохо:
если на /var/spool/samba/install поставить root.root
то нельзя сделать write list = root, someuser
рут будет писАть, someuser - нет.
С моей точки зрения, странно что нет пользователя/группы samba,
которая сама бы уже распределяла на основе таких вещей как write list
кому куда можно писАть при условии, что ей принадлежат права на
директорию.
единственный workaround который я вижу, это в /etc/samba/smbusers
делать root = admin administrator someuser, но это не есть правильно.

Или все-таки есть какой-то иной способ ?

-- 
Best regards,
Oleg Lukashin,
security@rega.ru

[mdk-re] Re[2]: [mdk-re] Re[2]: [mdk-re] вопрос по самбе

[Oleg Lukashin]

Hello cornet,

Wednesday, February 06, 2002, 5:51:28 PM, you wrote:

>> Вот я попробовал и поэтому написАл. писать в эту директорию может кто
>> угодно, даже если его не указано в write list.

c> А какая версия Самбы??
c> С точностью до номера сборки, плиз.

последняя из сизифа.
samba-2.2.2-alt11


-- 
Best regards,
Oleg Lukashin,
security@rega.ru

[mdk-re] samba and win2k prof

[Alexander E. Syasin]

Hello.

Проблемка с подключением в домен на samba машинок под Win2k Prof.
Обьясните что нужно сделать? Машинки под NT 4.0 подцепляются к домену без проблем,
а 2k ни в какую.



-- 
+> 

[mdk-re] Re: samba and win2k prof

[Alexander Bokovoy]

On Wed, Feb 06, 2002 at 06:40:44PM +0300, Alexander E. Syasin wrote:
> Hello.
> 
> Проблемка с подключением в домен на samba машинок под Win2k Prof.
> Обьясните что нужно сделать? Машинки под NT 4.0 подцепляются к домену без проблем,
> а 2k ни в какую.
В каком режиме работают Win2k Prof? Native, mixed?
-- 
/ Alexander Bokovoy
Software architect and analyst             // SaM-Solutions Ltd.
---
Now is the time for all good men to come to.
		-- Walt Kelly

[mdk-re] Re: вопрос по самбе

[Alexander Bokovoy]

On Wed, Feb 06, 2002 at 06:30:03PM +0300, Oleg Lukashin wrote:
> Hello Oleg,
> 
> Все, я разобрался.
> И вот что плохо:
> если на /var/spool/samba/install поставить root.root
> то нельзя сделать write list = root, someuser
> рут будет писАть, someuser - нет.
> С моей точки зрения, странно что нет пользователя/группы samba,
> которая сама бы уже распределяла на основе таких вещей как write list
> кому куда можно писАть при условии, что ей принадлежат права на
> директорию.
> единственный workaround который я вижу, это в /etc/samba/smbusers
> делать root = admin administrator someuser, но это не есть правильно.
> 
> Или все-таки есть какой-то иной способ ?
Создать нужную группу самому, назначить права на запись ей, в smbusers
делать маппинг пользователей на кого-то из этой группы, в write list
поставить этого пользователя (или @группа).
-- 
/ Alexander Bokovoy
Software architect and analyst             // SaM-Solutions Ltd.
---
Finster's Law:
	A closed mouth gathers no feet.

[mdk-re] Re: samba and win2k prof

[Alexander E. Syasin]

> > Проблемка с подключением в домен на samba машинок под Win2k Prof.
> > Обьясните что нужно сделать? Машинки под NT 4.0 подцепляются к домену без проблем,
> > а 2k ни в какую.
> В каком режиме работают Win2k Prof? Native, mixed?
Native


-- 
+> Хорошему танцору ничего не мешает. Жаль человека

[mdk-re] Re: samba and win2k prof

[Alexander Bokovoy]

On Wed, Feb 06, 2002 at 06:52:23PM +0300, Alexander E. Syasin wrote:
> > > Проблемка с подключением в домен на samba машинок под Win2k Prof.
> > > Обьясните что нужно сделать? Машинки под NT 4.0 подцепляются к домену без проблем,
> > > а 2k ни в какую.
> > В каком режиме работают Win2k Prof? Native, mixed?
> Native
Домен на Самбе в Native режиме пока не работает. Определенные подвижки
есть в 3.0, но пока что там полнофункциональный клиент.

-- 
/ Alexander Bokovoy
Software architect and analyst             // SaM-Solutions Ltd.
---
Q:	What is purple and commutes?
A:	A boolean grape.

[mdk-re] Re: [2] samba and win2k prof

[Alexander E. Syasin]

> > > > Проблемка с подключением в домен на samba машинок под Win2k Prof.
> > > > Обьясните что нужно сделать? Машинки под NT 4.0 подцепляются к домену без проблем,
> > > > а 2k ни в какую.
> > > В каком режиме работают Win2k Prof? Native, mixed?
> > Native
> Домен на Самбе в Native режиме пока не работает. Определенные подвижки
> есть в 3.0, но пока что там полнофункциональный клиент.
а вообще кому-нибудь удалось загнать в домен на samba win2k клиента?
или это пока физически не возможно.

-- 
+> Вот почему на лошадей ставят, а на людей кладут 

[mdk-re] Re: [2] samba and win2k prof

[Alexander Bokovoy]

On Thu, Feb 07, 2002 at 07:43:59AM +0300, Alexander E. Syasin wrote:
> > > > > Проблемка с подключением в домен на samba машинок под Win2k Prof.
> > > > > Обьясните что нужно сделать? Машинки под NT 4.0 подцепляются к домену без проблем,
> > > > > а 2k ни в какую.
> > > > В каком режиме работают Win2k Prof? Native, mixed?
> > > Native
> > Домен на Самбе в Native режиме пока не работает. Определенные подвижки
> > есть в 3.0, но пока что там полнофункциональный клиент.
> а вообще кому-нибудь удалось загнать в домен на samba win2k клиента?
> или это пока физически не возможно.
В mixed все нормально работает.
-- 
/ Alexander Bokovoy
Software architect and analyst             // SaM-Solutions Ltd.
---
Owe no man any thing...
		-- Romans 13:8

Re: [mdk-re] Re: [2] samba and win2k prof

[alex]

> > > Домен на Самбе в Native режиме пока не работает. Определенные подвижки
> > > есть в 3.0, но пока что там полнофункциональный клиент.
> > а вообще кому-нибудь удалось загнать в домен на samba win2k клиента?
> > или это пока физически не возможно.
> В mixed все нормально работает.

а не объясните дураку, что такое mixed и как вин2к в нем  запустить? 

Re[2]: [mdk-re] Re: [2] samba and win2k prof

[Russu V.F.]

Hello mandrake-russian-admin,

Thursday, February 07, 2002, 4:30:45 PM, you wrote:


>> > > Домен на Самбе в Native режиме пока не работает. Определенные подвижки
>> > > есть в 3.0, но пока что там полнофункциональный клиент.
>> > а вообще кому-нибудь удалось загнать в домен на samba win2k клиента?
>> > или это пока физически не возможно.
>> В mixed все нормально работает.

> а не объясните дураку, что такое mixed и как вин2к в нем  запустить? 

режим совместимости с NT.... выбирается при установке, если перешел
ээээ, блин забыл название, одним словом родной для w2k режим -
обратной откатки нету.


-- 
 ОП ТюменьЭнергоСпецРемонт
 Системный администратор
 Руссу В.Ф.                  e-mail: ruwa@psrp.te.ru
                             phone: (3462)76-40-56

Re: [mdk-re] Re: [2] samba and win2k prof

[Alexander E. Syasin]

> > а вообще кому-нибудь удалось загнать в домен на samba win2k клиента?
> > или это пока физически не возможно.
> В mixed все нормально работает.
что нужно сделать чтоб перевести в mixed режим?

-- 
+> Кто на рояли играет, тот ее и носит 

[mdk-re] вопрос по самбе

[cornet]

Oleg Lukashin wrote:
> 
> Hello Andrew,
> 
> Wednesday, February 06, 2002, 5:37:09 PM, you wrote:
> 
> AN> Дать права admin-у :))
> AN> Есть такой юзверь в passwd?
> AN> Нету, либо заведи либо вместо админа пропиши себя.
> AN> Можешь алиас в smbusers прописать...
> 
> admin - это алиас из /etc/samba/smbusers, указывающий на рута
> на /var/spool/samba/install стоит root.root 0777
> 
> Заходим на самбу под пользователем admin
> в write list на эту шару содержит этого пользователя
> пробуем записать - пишет
> заходим под васей пупкиным туда же.
> пробуем записать - _пишет_
> 
> ставим права root.root 0700
> под админом - _не пишет_
> под васей - _не пишет_


НЕ подтверждаю Вашу инфу. Все работает совершенно иначе. write list маскирует собой разрешения fs
как и должно быть.

Плиз, Олег, вышлите мне полную информацию о Вашей системе, включающую:
-- Версия Самба с точностью дол сборки;
-- /etc/samba/smb.conf
-- /etc/samba/smbusers
-- кто из троих пользователей root, admin, "вася пупкин" присутствует в файлах /etc/passwd и
/etc/samba/smbpasswd при условии что пасворды есть и акаунты активны???

По, что Вы наблюдаете - совершенно НЕ нормально и НЕ правильно.

-- 
Власенко Олег.
Отдел технической поддержки ALT Linux Team.
mailto:cornet@altlinux.ru

Re: [mdk-re] Re: вопрос по самбе

[cornet]

Alexander Bokovoy wrote:
> 
> On Wed, Feb 06, 2002 at 06:30:03PM +0300, Oleg Lukashin wrote:
> > Hello Oleg,
> >
> > Все, я разобрался.
> > И вот что плохо:
> > если на /var/spool/samba/install поставить root.root
> > то нельзя сделать write list = root, someuser
> > рут будет писАть, someuser - нет.
> > С моей точки зрения, странно что нет пользователя/группы samba,
> > которая сама бы уже распределяла на основе таких вещей как write list
> > кому куда можно писАть при условии, что ей принадлежат права на
> > директорию.
> > единственный workaround который я вижу, это в /etc/samba/smbusers
> > делать root = admin administrator someuser, но это не есть правильно.
> >
> > Или все-таки есть какой-то иной способ ?
> Создать нужную группу самому, назначить права на запись ей, в smbusers
> делать маппинг пользователей на кого-то из этой группы, в write list
> поставить этого пользователя (или @группа).

Угу, все верно. У меня в свое время на серваке был прямо таки юзер administrator, которому
принадлежало все дерево отшаренных Самбой каталогов. И от этого юзера все заправлялось. Я специально
так все сконфигурил, что бы он был везде вхож и куда угодно мог писать в пределах Самбовых
каталогов. И никакого root'а там да же близко не было. Все удобно, прозрачно для виндов и вполне
секьюрно :-)
А вот это:
root = admin administrator
лучше не юзать без особой нужды. То есть можно конечно для простоты, но только в малых сетях где
есть доверие к людям и трафику. А там где есть хоть какие то требования по безопасности - лучше не
надо....

-- 
Власенко Олег.
Отдел технической поддержки ALT Linux Team.
mailto:cornet@altlinux.ru