[mdk-re] samba authorization - HELP plz ;-(

[mdk-re] samba authorization - HELP plz ;-(

[Peter V. Saveliev]

[-- Warning: decoded text below may be mangled, UTF-8 assumed --]
[-- Attachment #1: Type: text/plain, Size: 2555 bytes --]

Hello all.
ôÒÅÔØÉ ÓÕÔËÉ ÐÙÔÁÀÓØ ÚÁÓÔÁ×ÉÔØ ÓÁÍÂÕ ÒÁÂÏÔÁÔØ, Á ÏÎÁ ËÁË ÉÚÄÅ×ÁÅÔÓÑ.
åÓÔØ:

 ÍÁÛÉÎÁ - Mdk Spring, + samba 2.2.1a Ó ÓÁÊÔÁ ÓÁÍÂÙ (ËÁÞÁÌ,
   ËÏÇÄÁ ÅÝÅ × ÓÉÚÉÆÅ ÎÅ ÂÙÌÏ), ÓÏÂÒÁÎÁ × rpm Ó ÐÏÍÏÝØÀ ÎÁÔÉ×ÎÏÇÏ
   spec, Ó ÐÏÄÄÅÒÖËÏÊ pam + vmware ÄÒÅ×ÎÅÊ ×ÅÒÓÉÉ, ÎÏ ÒÁÂÏÔÁÅÔ -
   ËÁË ÞÁÓÙ, É ×ÉÎ98 ÎÁ ÎÅÊ.

 ÍÁÛÉÎÁ - ×ÉÒÔÕÁÌØÎÁÑ, ×ÉÎ98 ÎÁ ×ÁÒÉ (ÓÍ. ×ÙÛÅ).

ëÏÎÆÉÇÕÒÁÃÉÑ ×ÉÒÔÕÁÌØÎÏÊ ÓÅÔÉ ÎÅ ÓÔÏÌØ ÉÎÔÅÒÅÓÎÁ, Ô.Ë. ÒÁÂÏÔÁÅÔ,
ÎÏ ×ÏÔ ÏÔÒÙ×ËÉ:

×ÓÅ policies - ACCEPT, Õ ÍÅÎÑ ÎÅÔ ×ÙÈÏÄÁ × ÒÅÁÌØÎÕÀ ÓÅÔØ.
vmnet1 - 192.168.1.1/24, ×ÉÎÄÙ - 192.168.1.2/24, ÐÒÉÞÅÍ ×ÓÅ ÜÔÉ
ÎÁÓÔÒÏÊËÉ ÌÅÇËÏ ÍÅÎÑÀÔÓÑ ÂÅÚ ÕÝÅÒÂÁ ÄÌÑ ÒÁÂÏÔÙ, Ñ ÉÍÅÀ × ×ÉÄÕ
ÁÄÒÅÓÁ.

smbd, nmbd ÚÁÐÕÓËÁÀÔÓÑ, ÒÁÂÏÔÁÀÔ, ÓÁÍÂÁ ÎÁÓÔÒÏÅÎÁ ÐÏÄ PDC6
ÏÔÓÔÁ×ÉÔØ, PDC:

security = user
os level = 255
preferred master = yes
local master = yes
domain master = yes
lanman auth = yes

ðÒÏÛÕ ÏÂÒÁÔÉÔØ ×ÎÉÍÁÎÉÅ ÎÁ ÐÏÓÌÅÄÎÀÀ ÓÔÒÏÞËÕ, Ï ÜÔÏÍ ÒÅÞØ ÐÏÚÖÅ.
éÔÁË, ÐÒÏ×ÅÒËÁ: ÎÁ ÌÉÎÕÈÏ×ÏÊ ÍÁÛÉÎÅ
$ smbclient -L hamster -U peet
ÐÏËÁÚÙ×ÁÅÔ ÏÔÛÁÒÅÎÎÙÅ public É ÈÏÍÕ - peet (hamster - ÌÉÎÕÈÏ×ÁÑ
ÍÁÛÉÎÁ). îÁ ×ÉÎÄÁÈ (ÍÁÛÉÎÁ billy, ÒÁÂÏÞÁÑ ÇÒÕÐÐÁ willy) - 
"ÎÅ×ÅÒÎÙÊ ÐÁÒÏÌØ ÄÌÑ ÐÏÄËÌÀÞÅÎÉÑ Ë $IPC". ÷ ÌÏÇÁÈ - authentification
failed for user "peet". á ÐÅÒÅÄ ÜÔÉÍ - defaulting auth to lanman.
ïÔËÌÀÞÁÀ ÎÁÈÒÅÎ lanman auth - ÷óå ÐÅÒÅÓÔÁÅÔ ÒÁÂÏÔÁÔØ. ÷ÓÅ ÏÂÒÁÔÎÏ.

äÁÌÅÅ - domain logons = yes, logon drive =, logon home =, logon path =.
÷ ×ÉÎÄÁÈ ÄÅÌÁÀ "×ÈÏÄÉÔØ × ÄÏÍÅÎ NT". äÏÍÅÎ, ÑÓÅÎ ÐÅÒÅÃ, willy.
ðÅÒÅÚÁÇÒÕÚËÁ - "ÐÏÌØÚÏ×ÁÔÅÌØ/ÐÁÒÏÌØ ÎÅ ÏÐÏÚÎÁÎÙ ÎÉ ÏÄÎÉÍ ÉÚ ÓÅÒ×ÅÒÏ×
ÄÏÍÅÎÁ". ÷ ÌÏÇÁÈ - auth. failed for user "peet". ÷ÏÔ ÓÒÁÎØ. é ÜÔÏ
ÐÒÉ ÔÏÍ, ÞÔÏ ×ÙÛÅÐÒÉ×ÅÄÅÎÎÁÑ ÏÛÉÂËÁ ×ÉÎÄÏ× ÍÎÅ ÐÏËÁÚÙ×ÁÌÁÓØ ÌÉÛØ
ËÏÇÄÁ _×ÓÅ_ÓÅÒ×ÅÒÁ_ÄÏÍÅÎÁ_ ÂÙÌÉ ÎÅÄÏÓÔÕÐÎÙ (× ÒÅÁÌØÎÏÊ ÓÉÔÕÁÃÉÉ).
á ÔÁË - "ÎÅ×ÅÒÎÏÅ ÉÍÑ/ÐÁÒÏÌØ", ×ÏÔ ÞÔÏ ÄÏÌÖÎÏ ×Ù×ÁÌÉ×ÁÔØÓÑ ÎÁ auth
failed!

äÁÌÅÅ. $ testparm billy 192.168.1.2 == $ testparm hamster 192.168.1.1
ôÏ ÅÓÔØ, × ËÏÎÆÉÇÅ ×ÓÅ × ÐÏÒÑÄËÅ? á ÇÄÅ ÇÒÁÂÌÉ? åÝÅ ÈÕÖÅ. äÅÌÁÀ
security = share, É ÐÏÌÕÞÁÀ × ×ÉÎÄÁÈ ÏÔÛÁÒÅÎÎÙÅ ÒÅÓÕÒÓÙ! ïÎ ÉÈ ×ÉÄÉÔ!
á ÄÏÓÔÕÐÁÔØÓÑ ÎÅ ÈÏÞÅÔ. "îÅ×ÅÒÎÙÊ ÐÁÒÏÌØ ÄÌÑ ÄÏÓÔÕÐÁ Ë public". á
ËÁË ÔÁËÏÅ ÍÏÖÅÔ ÂÙÔØ, ÏÎ Õ ÍÅÎÑ ÎÁÍÅÒÔ×Ï Ó ÐÏÌÎÙÍ ÄÏÓÔÕÐÏÍ ÏÔÛÁÒÅÎ?!

$ smbpasswd -a peet. ðÁÒÏÌØ - odin. ðÁÒÏÌØ ÎÁ ×ÈÏÄ × ÌÉÎÕÈ - dva.
ðÒÅÄÐÏÌÏÖÉÍ. ôÅÐÅÒØ: $ smbclient -L hamster -U peet - ÒÅÁÇÉÒÕÅÔ
ÎÁ ÐÁÒÏÌØ dva. îÅ ÎÁ odin! ÷ smb.conf: smbpasswd path = ÒÅÁÌØÎÙÊ ÐÕÔØ.
äÏÓÔÕÐ Ë smbpasswd ÏÓÕÝÅÓÔ×ÌÅÎ. á ÏÎ ÎÁ ÎÅÇÏ ÐÌÀÅÔ. PAM, ÑÓÅÎ ÐÅÒÅÃ.
ôÁË ËÁËÏÇÏ ÌÅÛÅÇÏ ÏÎ ×ÉÎÄÙ ÎÉ ÎÁ ÏÄÉÎ ÉÚ ÐÁÒÏÌÅÊ ÎÅ ÐÕÓËÁÅÔ? é ÐÏÞÅÍÕ
swat ÐÅÒÅÓÔÁÅÔ ÒÁÂÏÔÁÔØ, ÅÓÌÉ ÓËÏÍÐÉÌÉÔØ ÓÁÍÂÕ ÂÅÚ PAM?

÷ ÏÂÝÅÍ, ÈÅÌÐ. ðÏÇÉÂÁÀ, ÅÝÅ ÈÕÖÅ - ÉÄÉÏÔÏÍ ÐÏÍÒÕ ;-(
ðÅÔÒ.

Re: [mdk-re] samba authorization - HELP plz ;-(

[Nik Volkov]

Hello Peter,

Friday, September 21, 2001, 12:14:38 PM, you wrote:

Peter> Hello all.

Hi!

Peter>  машина - Mdk Spring, + samba 2.2.1a с сайта самбы (качал,
Peter>    когда еще в сизифе не было), собрана в rpm с помощью нативного
Peter>    spec, с поддержкой pam + vmware древней версии, но работает -
Peter>    как часы, и вин98 на ней.

Peter>  машина - виртуальная, вин98 на вари (см. выше).

Peter> Конфигурация виртуальной сети не столь интересна, т.к. работает,
Peter> но вот отрывки:

Peter> все policies - ACCEPT, у меня нет выхода в реальную сеть.
Peter> vmnet1 - 192.168.1.1/24, винды - 192.168.1.2/24, причем все эти
Peter> настройки легко меняются без ущерба для работы, я имею в виду
Peter> адреса.
Peter> smbd, nmbd запускаются, работают, самба настроена под PDC6
Peter> отставить, PDC:

skeep...

Peter> В общем, хелп. Погибаю, еще хуже - идиотом помру ;-(
Peter> Петр.

А  пользователь  который  пытается  Виндой на сервак зайти в smbpasswd
занесён?

-- 
Best regards,
 Nik                            mailto:volkovnv@nv.vniigaz.gazprom.ru

Re: [mdk-re] samba authorization - HELP plz ;-(

[Nik Volkov]

Hello Peter,

Friday, September 21, 2001, 12:14:38 PM, you wrote:

Peter>> Hello all.

Hi!

Peter>>  машина - Mdk Spring, + samba 2.2.1a с сайта самбы (качал,
Peter>>    когда еще в сизифе не было), собрана в rpm с помощью нативного
Peter>>    spec, с поддержкой pam + vmware древней версии, но работает -
Peter>>    как часы, и вин98 на ней.

Peter>>  машина - виртуальная, вин98 на вари (см. выше).

Peter>> Конфигурация виртуальной сети не столь интересна, т.к. работает,
Peter>> но вот отрывки:

Peter>> все policies - ACCEPT, у меня нет выхода в реальную сеть.
Peter>> vmnet1 - 192.168.1.1/24, винды - 192.168.1.2/24, причем все эти
Peter>> настройки легко меняются без ущерба для работы, я имею в виду
Peter>> адреса.
Peter>> smbd, nmbd запускаются, работают, самба настроена под PDC6
Peter>> отставить, PDC:

skeep...

Peter>> В общем, хелп. Погибаю, еще хуже - идиотом помру ;-(
Peter>> Петр.

А  пользователь  который  пытается  Виндой на сервак зайти в smbpasswd
занесён?

ЗЫ. И еще, акаунт самбовый под него выделен?

-- 
Best regards,
 Nik                            mailto:volkovnv@nv.vniigaz.gazprom.ru

Re: [mdk-re] samba authorization - HELP plz ;-(

[Peter V. Saveliev]

Nik Volkov wrote:

<skip>

> ЗЫ. И еще, акаунт самбовый под него выделен?

Что за зверь?

--
Петр.

Re[2]: [mdk-re] samba authorization - HELP plz ;-(

[Nik Volkov]

Hello Peter,

Friday, September 21, 2001, 2:56:36 PM, you wrote:

>> ЗЫ. И еще, акаунт самбовый под него выделен?

Peter> Что за зверь?

Выдержка:
--------------------------------------------
По умолчанию инсталляционный скрипт не создаёт private/smbpasswd.
Для внесения учётной записи пользователя в файл smbpasswd, нужно:
1. создать smbpasswd 
host:/usr/local/samba#ls -la
total 6
drwxr-xr-x   8 root     root         1024 Jun 16 10:34 .
drwxr-xr-x  26 root     root         1024 Jun  8 17:06 ..
drwxr-xr-x   2 root     root         1024 Jun 10 09:31 bin
drwxr-xr-x   3 root     root         1024 May 10 17:24 lib
drwxr-xr-x   6 root     root         1024 May  7 13:26 man
drwxr-xr-x   5 root     root         1024 May 12 21:16 swat
drwxr-xr-x   3 root     root         1024 May  7 14:27 var
host:/usr/local/samba#mkdir private
host:/usr/local/samba#echo > /private/smbpasswd ; cd private 
host:/usr/local/samba/private# chown root:root smbpasswd ; chmod 600 smbpasswd ; cd ../
host:/usr/local/samba/# chown root:root private ; chmod 500 private

Должна существовать учётная запись Unix:
Нужно отметить, что файлы passwd и shadow должны содержать учётные
записи пользователей. При значении ключа [encrypt password] = Yes ,
учётные записи могут иметь вид:

passwd:
...
username:x:1016:100:MYGROUP User,,,:/home/user_name:/dev/null
...
shadow:
...
username:*:10666:0:99999:7:::
...

Использовать smbpasswd для создания учётной записи в
/usr/local/samba/private/smbpasswd :

host:~#/usr/local/samba/bin/smbpasswd -a user_name
Added interface ip=x.x.x.x broadcast=x.x.x.255 netmask=255.255.255.0
New SMB password:
Retype New SMB password:
Addedd user user_name
Password changed for user user_name
host:~#

Активировать учётную запись (по умолчанию выставляется ключ
[account disabled]):

host:~#/usr/local/samba/bin/smbpasswd -e user_name
Added interface ip=x.x.x.x broadcast=x.x.x.255 netmask=255.255.255.0
User user_name enabled 
host:~#

При начальной установке можно использовать скрипт mksmbpasswd.sh,
входящий в комплект поставки.

host:~#chmod +x /usr/src/samba-2.0.4b/source/script/mksmbpasswd.sh
host:~#cat /etc/passwd | /usr/src/samba-2.0.4b/source/script/mksmbpasswd.sh > \ 
/usr/local/samba/private/smbpasswd
host:~#
-------------------------------------------------

Ну вот собсно и всё :)

-- 
Best regards,
 Nik                            mailto:volkovnv@nv.vniigaz.gazprom.ru

Re: [mdk-re] samba authorization - HELP plz ;-(

[Peter V. Saveliev]

Nik Volkov wrote:

> >> ЗЫ. И еще, акаунт самбовый под него выделен?
>
> Peter> Что за зверь?

<skip> Понятно. Это все знакомо.

> host:~#/usr/local/samba/bin/smbpasswd -e user_name

                                                                ^^^^^^^^^^^^^^^^^^^^^

> Added interface ip=x.x.x.x broadcast=x.x.x.255 netmask=255.255.255.0
> User user_name enabled
> host:~#

<skip> Ага...

> Ну вот собсно и всё :)

Вот оно что. Но как же тогда происходит авторизация с линуха? Вроде как - раз с локальной
машины, так и PAM'ом, и без smbpasswd? А с удаленной? Там тоже PAM в логах прорастал
иногда...

Попробуем рецептик. Как-то и в голову такое не приходило - по умолчанию у меня все
пользователи добавлялись "enabled", это я их дизаблил иногда ;)

Спасибо.
--
Петр.

Re: [mdk-re] samba authorization - HELP plz ;-(

[Peter V. Saveliev]

"Peter V. Saveliev" wrote:

> > >> ЗЫ. И еще, акаунт самбовый под него выделен?
> >
> > Peter> Что за зверь?
>
> <skip> Понятно. Это все знакомо.
>
> > host:~#/usr/local/samba/bin/smbpasswd -e user_name
>
>                                                                 ^^^^^^^^^^^^^^^^^^^^^
>
> > Added interface ip=x.x.x.x broadcast=x.x.x.255 netmask=255.255.255.0
> > User user_name enabled
> > host:~#
>
> <skip> Ага...
>
> > Ну вот собсно и всё :)

<skip>


# smbd -D
# nmbd -D
# smbpasswd -a peet
   New SMB password: pswd01
   Retype new SMB password: pswd01
   Added user peet.
# smbpasswd -e peet
   Enabled user peet
# passwd peet
   New UNIX password: pswd02
   Retype new UNIX password: pswd02
   Update password database... done.
# smbclient -L hamster -U peet               // hamster == localhost
   password: pswd01
   Bad password/name pair
# smbclient -L hamster - U peet
   password: pswd02

   // куча зашаренных ресурсов - пустили =;-|
# vmware
   // входим в винды, просим hamster'a открыться по pswd01, затем по pswd02, и...
# less /var/log/samba/log.billy              // billy == virtual machine

[2001/09/22 10:10:17, 3] smbd/process.c:process_smb(837)
  Transaction 1 of length 158
[2001/09/22 10:10:17, 3] smbd/process.c:switch_message(650)
  switch message SMBnegprot (pid 1523)
[2001/09/22 10:10:17, 3] smbd/sec_ctx.c:set_sec_ctx(317)
  setting sec ctx (0, 0) - sec_ctx_stack_ndx = 0
[2001/09/22 10:10:17, 3] smbd/negprot.c:reply_negprot(349)
  Requested protocol [PC NETWORK PROGRAM 1.0]
[2001/09/22 10:10:17, 3] smbd/negprot.c:reply_negprot(349)
  Requested protocol [MICROSOFT NETWORKS 3.0]
[2001/09/22 10:10:17, 3] smbd/negprot.c:reply_negprot(349)
  Requested protocol [DOS LM1.2X002]
[2001/09/22 10:10:17, 3] smbd/negprot.c:reply_negprot(349)
  Requested protocol [DOS LANMAN2.1]
[2001/09/22 10:10:17, 3] smbd/negprot.c:reply_negprot(349)
  Requested protocol [Windows for Workgroups 3.1a]
[2001/09/22 10:10:17, 3] smbd/negprot.c:reply_negprot(349)
  Requested protocol [NT LM 0.12]
[2001/09/22 10:10:17, 3] smbd/negprot.c:reply_negprot(433)
  Selected protocol NT LM 0.12
[2001/09/22 10:10:17, 3] smbd/process.c:process_smb(837)
  Transaction 2 of length 133
[2001/09/22 10:10:17, 3] smbd/process.c:switch_message(650)
  switch message SMBsesssetupX (pid 1523)
[2001/09/22 10:10:17, 3] smbd/sec_ctx.c:set_sec_ctx(317)
  setting sec ctx (0, 0) - sec_ctx_stack_ndx = 0
[2001/09/22 10:10:17, 3] smbd/reply.c:reply_sesssetup_and_X(866)
  Domain=[WILLY]  NativeOS=[Windows 4.0] NativeLanMan=[Windows 4.0]
[2001/09/22 10:10:17, 3] smbd/reply.c:reply_sesssetup_and_X(876)
  sesssetupX:name=[PEET]
[2001/09/22 10:10:17, 2] smbd/reply.c:reply_sesssetup_and_X(990)
  Defaulting to Lanman password for peet
[2001/09/22 10:10:17, 1] smbd/reply.c:reply_sesssetup_and_X(1005)
  Rejecting user 'peet': authentication failed
[2001/09/22 10:10:17, 3] smbd/error.c:error_packet(123)
  error string = No such file or directory
[2001/09/22 10:10:17, 3] smbd/error.c:error_packet(141)
  error packet at line 700 cmd=115 (SMBsesssetupX) eclass=2 ecode=2
[2001/09/22 10:10:17, 3] smbd/process.c:process_smb(837)
  Transaction 3 of length 133
[2001/09/22 10:10:17, 3] smbd/process.c:switch_message(650)
  switch message SMBsesssetupX (pid 1523)
[2001/09/22 10:10:17, 3] smbd/sec_ctx.c:set_sec_ctx(317)
  setting sec ctx (0, 0) - sec_ctx_stack_ndx = 0
[2001/09/22 10:10:17, 3] smbd/reply.c:reply_sesssetup_and_X(866)
  Domain=[WILLY]  NativeOS=[Windows 4.0] NativeLanMan=[Windows 4.0]
[2001/09/22 10:10:17, 3] smbd/reply.c:reply_sesssetup_and_X(876)
  sesssetupX:name=[PEET]
[2001/09/22 10:10:17, 2] smbd/reply.c:reply_sesssetup_and_X(990)
  Defaulting to Lanman password for peet
[2001/09/22 10:10:17, 1] smbd/reply.c:reply_sesssetup_and_X(1005)
  Rejecting user 'peet': authentication failed
[2001/09/22 10:10:17, 3] smbd/error.c:error_packet(123)
  error string = No such file or directory
[2001/09/22 10:10:17, 3] smbd/error.c:error_packet(141)
  error packet at line 700 cmd=115 (SMBsesssetupX) eclass=2 ecode=2
[2001/09/22 10:10:17, 3] smbd/process.c:timeout_processing(1062)
  end of file from client
[2001/09/22 10:10:17, 3] smbd/sec_ctx.c:set_sec_ctx(317)
  setting sec ctx (0, 0) - sec_ctx_stack_ndx = 0
[2001/09/22 10:10:17, 2] smbd/server.c:exit_server(448)
  Closing connections
[2001/09/22 10:10:17, 3] smbd/connection.c:yield_connection(50)
  Yielding connection to
[2001/09/22 10:10:17, 3] smbd/server.c:exit_server(483)
  Server exit (normal exit)



Ну в чем я пред небесами провинился ?!!
И ведь одновременно удалось заживить в реальной сети PDC и файл-сервер на самбе. И никаких
траблов (почти) не было ;(

--
Петр.

Re: [mdk-re] samba authorization - HELP plz ;-(

[Peter V. Saveliev]

Nik Volkov wrote:

<skip>

> А  пользователь  который  пытается  Виндой на сервак зайти в smbpasswd
> занесён?

Пользователь peet есть и в /etc/passwd, и в smbpasswd, в первом случае с
одним паролем, во втором случае - с другим. Реакция есть только на
_системный_ пароль, в smbpasswd никто даже не смотрит, видимо.

--
Петр.

Re[2]: [mdk-re] samba authorization - HELP plz ;-(

[Nik Volkov]

Hello Peter,

Friday, September 21, 2001, 2:55:14 PM, you wrote:

>> А  пользователь  который  пытается  Виндой на сервак зайти в smbpasswd
>> занесён?

Peter> Пользователь peet есть и в /etc/passwd, и в smbpasswd, в первом случае с
Peter> одним паролем, во втором случае - с другим. Реакция есть только на
Peter> _системный_ пароль, в smbpasswd никто даже не смотрит, видимо.

Дык а так разве можно? Вроде smbpasswd создаётся из /etc/passwd.
У меня например так. Т.е. и там и там пароль один и тот-же.

-- 
Best regards,
 Nik                            mailto:volkovnv@nv.vniigaz.gazprom.ru

Re: [mdk-re] samba authorization - HELP plz ;-(

[Peter V. Saveliev]

Nik Volkov wrote:

> Peter> Пользователь peet есть и в /etc/passwd, и в smbpasswd, в первом случае с
> Peter> одним паролем, во втором случае - с другим. Реакция есть только на
> Peter> _системный_ пароль, в smbpasswd никто даже не смотрит, видимо.
>
> Дык а так разве можно? Вроде smbpasswd создаётся из /etc/passwd.
> У меня например так. Т.е. и там и там пароль один и тот-же.

Ага. И дырка та же. Нет, smbpasswd, хоть и отдаленно похож, но не passwd. И, как не
всякая рыба - селедка, не всякий _системный_ пользователь может быть в smbpasswd,
но в smbpasswd _нет_ несистемных пользователей. Для разрешения этой проблемы был
выдуман winbindd, который позволяет регистрить пользователей "на лету", не внося их
ни smbpasswd, ни в passwd. Естесственно, ето решение приемлемо только _не_для_PDC_.

А пароли в smbpasswd и в passwd могут и должны различаться (для пользователей,
имеющих shell) - по понятным причинам.

--
Петр