[sisyphus] I: new samba3 build

[sisyphus] I: new samba3 build

[Alexander Bokovoy]

Greetings!

В /incoming/Sisyphus/BTE ушла новая сборка Samba 3.0, alt8.

Из нового:

1. Должна быть стабильнее alt7.
2. Исправлены все известные ошибки в безопасности.
3. Собраны два новых PASSDB: XML и MySQL
4. Реализован schannel для тех версий клиентов, которые его понимают
   (Windows XP)
4. Добавлена *экспериментальная* поддержка NT quotas: теперь появилась
   возможность изменять квоты на сервере, используя Windows Explorer.

Очень жду отчетов заинтересованных лиц с результатами тестировании, в частности:

1. NT/W2K trusts
2. Schannel -- проверяется попыткой join Windows XP в домен на Самбе с
   последующим логоном -- без изменения в реестре ключа Sign&Seal.
3. NT Quotas. Должно работать, но тестирование очень нужно.

Просьба отнестись к тестированию серьезно -- 5 мая будет feature freeze
Samba 3.0 и 19 мая -- первая бета.

-- 
/ Alexander Bokovoy
---
Even bytes get lonely for a little bit.

[sisyphus] Re: I: new samba3 build

[Grigory Batalov]

On Fri, 25 Apr 2003 19:40:38 +0300
Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:

> В /incoming/Sisyphus/BTE ушла новая сборка Samba 3.0, alt8.
<skip>
> Очень жду отчетов заинтересованных лиц с результатами тестировании, в частности:
> 
> 1. NT/W2K trusts
> 2. Schannel -- проверяется попыткой join Windows XP в домен на Самбе с
>    последующим логоном -- без изменения в реестре ключа Sign&Seal.
> 3. NT Quotas. Должно работать, но тестирование очень нужно.
> 
> Просьба отнестись к тестированию серьезно -- 5 мая будет feature freeze
> Samba 3.0 и 19 мая -- первая бета.

  А я опять про своих баранов =) :

1. Не работает ntlm_auth в squid. В /etc/squid/squid.conf
   пробовал строку:

auth_param ntlm program /usr/bin/ntlm_auth -d 31 --helper-protocol=squid-2.5-ntlmssp

  На попытку аутентифицироваться в логах было неизменное
  NT_..._ACCESS_DENIED. Если надо, процитирую подробнее.

  В результате вернулся к /usr/lib/squid/ntlm_auth
  от squid-2.5.STABLE1-alt5, там ещё старый формат запуска:

auth_param ntlm program /usr/lib/squid/ntlm_auth UPRAV_NT\\gok UPRAV_NT\\serv_nt

2. Базовая аутентификация тем же ntlm_auth, как ни странно,
   проходит. Используется такая строка:

auth_param basic program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic

3. Для распределения доступа по группам используется
   /usr/lib/squid/wb_group, запись:

external_acl_type NT_global_group %LOGIN /usr/lib/squid/wb_group
acl int_user external NT_global_group int_user
...

   Всё ещё непонятно, с какой скоростью происходит обновление
   списка групп. Например, добавляем пользователя в группу
   int_user (на Windows-машине) и wb_group-ом проверяем,
   когда об этом узнает squid.

   В /etc/samba/smb.conf указано:

winbind cache time = 120

   Однако, проходит гораздо более 120 секунд. Непонятно,
   виноват ли в этом сервер winbindd или контроллер
   домена, сообщающий устаревшие сведения.

4. Замечено, что лог-файлы пишутся в /var/log/samba,
   а не как раньше =), и логин из русских букв не валит
   winbind. Это по сравнению с samba3-3.0-alt5.1.

-- 
Григорий Баталов,
группа техподдержки
ОАО "Ковдорский ГОК"

Re: [sisyphus] Re: I: new samba3 build

[Alexander Bokovoy]

On Mon, Apr 28, 2003 at 05:06:52PM +0400, Grigory Batalov wrote:
> On Fri, 25 Apr 2003 19:40:38 +0300
> Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:
> 
> > В /incoming/Sisyphus/BTE ушла новая сборка Samba 3.0, alt8.
> <skip>
> > Очень жду отчетов заинтересованных лиц с результатами тестировании, в частности:
> > 
> > 1. NT/W2K trusts
> > 2. Schannel -- проверяется попыткой join Windows XP в домен на Самбе с
> >    последующим логоном -- без изменения в реестре ключа Sign&Seal.
> > 3. NT Quotas. Должно работать, но тестирование очень нужно.
> > 
> > Просьба отнестись к тестированию серьезно -- 5 мая будет feature freeze
> > Samba 3.0 и 19 мая -- первая бета.
> 
>   А я опять про своих баранов =) :
> 
> 1. Не работает ntlm_auth в squid. В /etc/squid/squid.conf
>    пробовал строку:
> 
> auth_param ntlm program /usr/bin/ntlm_auth -d 31 --helper-protocol=squid-2.5-ntlmssp
> 
>   На попытку аутентифицироваться в логах было неизменное
>   NT_..._ACCESS_DENIED. Если надо, процитирую подробнее.
Включите пользователя, под которым Сквид запускает ntlm_auth в группу
winbind. С марта месяца несколько ужесточились права доступа к
привилегированной pipe в winbindd.

> 2. Базовая аутентификация тем же ntlm_auth, как ни странно,
>    проходит. Используется такая строка:
> 
> auth_param basic program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic
Потому что она не использует привилегированный доступ к winbind.

> 3. Для распределения доступа по группам используется
>    /usr/lib/squid/wb_group, запись:
> 
> external_acl_type NT_global_group %LOGIN /usr/lib/squid/wb_group
> acl int_user external NT_global_group int_user
> ...
> 
>    Всё ещё непонятно, с какой скоростью происходит обновление
>    списка групп. Например, добавляем пользователя в группу
>    int_user (на Windows-машине) и wb_group-ом проверяем,
>    когда об этом узнает squid.
> 
>    В /etc/samba/smb.conf указано:
> 
> winbind cache time = 120
> 
>    Однако, проходит гораздо более 120 секунд. Непонятно,
>    виноват ли в этом сервер winbindd или контроллер
>    домена, сообщающий устаревшие сведения.
Виновата недоделанность обработки Sequence numbers, из-за этого также пока
нельзя использовать Самбу как BDC для существующего PDC на Windows.

> 
> 4. Замечено, что лог-файлы пишутся в /var/log/samba,
>    а не как раньше =), и логин из русских букв не валит
>    winbind. Это по сравнению с samba3-3.0-alt5.1.
Да, это место переделали :)

-- 
/ Alexander Bokovoy
---
Jan  9 16:41:27 huber su: 'su root' succeeded for .... on /dev/pts/1

Re: [sisyphus] Re: I: new samba3 build

[Grigory Batalov]

On Mon, 28 Apr 2003 16:24:31 +0300
Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:

> > auth_param ntlm program /usr/bin/ntlm_auth -d 31 --helper-protocol=squid-2.5-ntlmssp
> > 
> >   На попытку аутентифицироваться в логах было неизменное
> >   NT_..._ACCESS_DENIED. Если надо, процитирую подробнее.
> Включите пользователя, под которым Сквид запускает ntlm_auth в группу
> winbind. С марта месяца несколько ужесточились права доступа к
> привилегированной pipe в winbindd.

  А та pipe, что в tmp, не привилегированная? У меня так:

$ ls -l /tmp/.winbindd/pipe 
srwxrwxrwx    1 root     root            0 Апр 29 08:16 /tmp/.winbindd/pipe

  Включил squid в группу winbind, аутентификация всё равно
  не проходит:

[2003/04/29 08:22:17, 10] utils/ntlm_auth.c:manage_squid_request(376)
  Got 'KK TlRMTVNTUAADAAAAGAAYAE0AAAAYABgAZQAAAAgACABAAAAAAwADAEgAAAACAAIASwAAAAAAAAB9AAAABgIAIFVQUkFWX05UTElOREL518+tygpBALVmX8
0afRrjnhfOSCEE24cnVabkho83PBRuf2k5jUjlg8xhqu/07j4=' from squid (length: 171).
[2003/04/29 08:22:17, 10] utils/ntlm_auth.c:manage_squid_ntlmssp_request(298)
  got NTLMSSP packet:
[2003/04/29 08:22:17, 10] lib/util.c:dump_data(1886)
  [000] 4E 54 4C 4D 53 53 50 00  03 00 00 00 18 00 18 00  NTLMSSP. ........
  [010] 4D 00 00 00 18 00 18 00  65 00 00 00 08 00 08 00  M....... e.......
  [020] 40 00 00 00 03 00 03 00  48 00 00 00 02 00 02 00  @....... H.......
  [030] 4B 00 00 00 00 00 00 00  7D 00 00 00 06 02 00 20  K....... }...... 
  [040] 55 50 52 41 56 5F 4E 54  4C 49 4E 44 42 F9 D7 CF  UPRAV_NT LINDB...
  [050] AD CA 0A 41 00 B5 66 5F  CD 1A 7D 1A E3 9E 17 CE  ...A..f_ ..}.....
  [060] 48 21 04 DB 87 27 55 A6  E4 86 8F 37 3C 14 6E 7F  H!...'U. ...7<.n.
  [070] 69 39 8D 48 E5 83 CC 61  AA EF F4 EE 3E 00        i9.H...a ....>.
[2003/04/29 08:22:17, 3] libsmb/ntlmssp.c:ntlmssp_server_auth(284)
  Got user=[LIN] domain=[UPRAV_NT] workstation=[DB] len1=24 len2=24
[2003/04/29 08:22:17, 10] utils/ntlm_auth.c:manage_squid_ntlmssp_request(311)
  NTLMSSP NT_STATUS_ACCESS_DENIED

  При проверке /usr/lib/squid/wb_ntlmauth появляется следующее:

(wb_ntlmauth)[28789](wb_ntlm_auth.c:292): Got 'YR' from squid.
(wb_ntlmauth)[28789](wb_ntlm_auth.c:72): sending 'TT TlRMTVNTUAACAAAACAAIACgAAACCgkEA5mVbiSOCxXMAAAAAAAAAAFVQUkFWX05U' to squid
(wb_ntlmauth)[28789](wb_ntlm_auth.c:292): Got 'KK TlRMTVNTUAADAAAAGAAYAE0AAAAYABgAZQAAAAgACABAAAAAAwADAEgAAAACAAIASwAAAAAAAAB9AAAABoIAAFVQUkFWX05UTElOREK90E/NQvldWG/XiAdYS3Oi4gW9rZKZB+VCCuPz1IfggqX0Q+eDFUuGxG/f89u5TgP=' from squid.
(wb_ntlmauth)[28789](wb_ntlm_auth.c:240): Checking user 'UPRAV_NT\LIN' lmhash len =24, have_nthash=0, nthash len=24
(wb_ntlmauth)[28789](wb_ntlm_auth.c:246): winbindd result: 0
(wb_ntlmauth)[28789](wb_ntlm_auth.c:60): sending 'NA UPRAV_NT\LIN auth failure because: Authentication Failure (winbind client not authorized to use winbindd_pam_auth_crap)' to squid

  Т.е. всё-таки недостаточно прав?

-- 
Григорий Баталов,
группа техподдержки
ОАО "Ковдорский ГОК"

Re: [sisyphus] Re: I: new samba3 build

[Alexander Bokovoy]

On Tue, Apr 29, 2003 at 08:30:43AM +0400, Grigory Batalov wrote:
> On Mon, 28 Apr 2003 16:24:31 +0300
> Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:
> 
> > > auth_param ntlm program /usr/bin/ntlm_auth -d 31 --helper-protocol=squid-2.5-ntlmssp
> > > 
> > >   На попытку аутентифицироваться в логах было неизменное
> > >   NT_..._ACCESS_DENIED. Если надо, процитирую подробнее.
> > Включите пользователя, под которым Сквид запускает ntlm_auth в группу
> > winbind. С марта месяца несколько ужесточились права доступа к
> > привилегированной pipe в winbindd.
> 
>   А та pipe, что в tmp, не привилегированная? У меня так:
> 
> $ ls -l /tmp/.winbindd/pipe 
> srwxrwxrwx    1 root     root            0 Апр 29 08:16 /tmp/.winbindd/pipe
Это не она. Смотрите в /var/cache/samba/winbindd_privileged


>   Включил squid в группу winbind, аутентификация всё равно
>   не проходит:
> 
> [2003/04/29 08:22:17, 10] utils/ntlm_auth.c:manage_squid_request(376)
>   Got 'KK TlRMTVNTUAADAAAAGAAYAE0AAAAYABgAZQAAAAgACABAAAAAAwADAEgAAAACAAIASwAAAAAAAAB9AAAABgIAIFVQUkFWX05UTElOREL518+tygpBALVmX8
> 0afRrjnhfOSCEE24cnVabkho83PBRuf2k5jUjlg8xhqu/07j4=' from squid (length: 171).
> [2003/04/29 08:22:17, 10] utils/ntlm_auth.c:manage_squid_ntlmssp_request(298)
>   got NTLMSSP packet:
> [2003/04/29 08:22:17, 10] lib/util.c:dump_data(1886)
>   [000] 4E 54 4C 4D 53 53 50 00  03 00 00 00 18 00 18 00  NTLMSSP. ........
>   [010] 4D 00 00 00 18 00 18 00  65 00 00 00 08 00 08 00  M....... e.......
>   [020] 40 00 00 00 03 00 03 00  48 00 00 00 02 00 02 00  @....... H.......
>   [030] 4B 00 00 00 00 00 00 00  7D 00 00 00 06 02 00 20  K....... }...... 
>   [040] 55 50 52 41 56 5F 4E 54  4C 49 4E 44 42 F9 D7 CF  UPRAV_NT LINDB...
>   [050] AD CA 0A 41 00 B5 66 5F  CD 1A 7D 1A E3 9E 17 CE  ...A..f_ ..}.....
>   [060] 48 21 04 DB 87 27 55 A6  E4 86 8F 37 3C 14 6E 7F  H!...'U. ...7<.n.
>   [070] 69 39 8D 48 E5 83 CC 61  AA EF F4 EE 3E 00        i9.H...a ....>.
> [2003/04/29 08:22:17, 3] libsmb/ntlmssp.c:ntlmssp_server_auth(284)
>   Got user=[LIN] domain=[UPRAV_NT] workstation=[DB] len1=24 len2=24
> [2003/04/29 08:22:17, 10] utils/ntlm_auth.c:manage_squid_ntlmssp_request(311)
>   NTLMSSP NT_STATUS_ACCESS_DENIED
а wbinfo -a user%password работает?

> 
>   При проверке /usr/lib/squid/wb_ntlmauth появляется следующее:
> 
> (wb_ntlmauth)[28789](wb_ntlm_auth.c:292): Got 'YR' from squid.
> (wb_ntlmauth)[28789](wb_ntlm_auth.c:72): sending 'TT TlRMTVNTUAACAAAACAAIACgAAACCgkEA5mVbiSOCxXMAAAAAAAAAAFVQUkFWX05U' to squid
> (wb_ntlmauth)[28789](wb_ntlm_auth.c:292): Got 'KK TlRMTVNTUAADAAAAGAAYAE0AAAAYABgAZQAAAAgACABAAAAAAwADAEgAAAACAAIASwAAAAAAAAB9AAAABoIAAFVQUkFWX05UTElOREK90E/NQvldWG/XiAdYS3Oi4gW9rZKZB+VCCuPz1IfggqX0Q+eDFUuGxG/f89u5TgP=' from squid.
> (wb_ntlmauth)[28789](wb_ntlm_auth.c:240): Checking user 'UPRAV_NT\LIN' lmhash len =24, have_nthash=0, nthash len=24
> (wb_ntlmauth)[28789](wb_ntlm_auth.c:246): winbindd result: 0
> (wb_ntlmauth)[28789](wb_ntlm_auth.c:60): sending 'NA UPRAV_NT\LIN auth failure because: Authentication Failure (winbind client not authorized to use winbindd_pam_auth_crap)' to squid
> 
>   Т.е. всё-таки недостаточно прав?
Недостаточно. У меня собственно вопрос -- по каким все же пользователем
запущен этот процесс 28789?

У меня в аналогичном варианте, но не со Сквидом, а с Мидгардом, куда я
добавил эту же поддержку, все работает. Через тот же 
/usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp

Там ntlm_auth запускается под пользователем apache, который добавлен в
группу winbind.
-- 
/ Alexander Bokovoy
---
He who slings mud generally loses ground.
		-- Adlai Stevenson

Re: [sisyphus] Re: I: new samba3 build

[Grigory Batalov]

On Tue, 29 Apr 2003 12:01:47 +0300
Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:

> > [2003/04/29 08:22:17, 3] libsmb/ntlmssp.c:ntlmssp_server_auth(284)
> >   Got user=[LIN] domain=[UPRAV_NT] workstation=[DB] len1=24 len2=24
> > [2003/04/29 08:22:17, 10] utils/ntlm_auth.c:manage_squid_ntlmssp_request(311)
> >   NTLMSSP NT_STATUS_ACCESS_DENIED
> а wbinfo -a user%password работает?

wbinfo -a user%password от имени bga - нет,
sudo wbinfo -a user%password - да


> > (wb_ntlmauth)[28789](wb_ntlm_auth.c:60): sending 'NA UPRAV_NT\LIN auth failure because: Authentication Failure (winbind client not authorized to use winbindd_pam_auth_crap)' to squid
> > 
> >   Т.е. всё-таки недостаточно прав?
> Недостаточно. У меня собственно вопрос -- по каким все же пользователем
> запущен этот процесс 28789?

  По информации из /proc/<pid>/status - uid = squid, gid = squid.

> У меня в аналогичном варианте, но не со Сквидом, а с Мидгардом, куда я
> добавил эту же поддержку, все работает. Через тот же 
> /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
> 
> Там ntlm_auth запускается под пользователем apache, который добавлен в
> группу winbind.

  В моём случае аналогично, но в группу winbind добавлен squid
  (проверял неоднократно =).
  Провёл такой эксперимент: в /etc/squid/squid.conf прописал

cache_effective_user squid
cache_effective_group winbind

  и все директории squid-a перевёл в gid = winbind
  (иначе squid не может прочесть конфиги и писать логи).
  Соответственно, процессы ntlm_auth стали uid = squid,
  gid = winbind. В таком варианте работает! Учитывая, что

$ ls -l /var/cache/samba/ | grep winbindd_privileged
drwxr-x---    2 root     winbind        55 Апр 29 14:33 winbindd_privileged

  мне это кажется вполне логичным =).
  Хотя это не то, чего я добивался, так что ещё подумаю.

-- 
Григорий Баталов,
группа техподдержки
ОАО "Ковдорский ГОК"

Re: [sisyphus] Re: I: new samba3 build

[Alexander Bokovoy]

On Tue, Apr 29, 2003 at 02:44:58PM +0400, Grigory Batalov wrote:
> On Tue, 29 Apr 2003 12:01:47 +0300
> Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:
> 
> > > [2003/04/29 08:22:17, 3] libsmb/ntlmssp.c:ntlmssp_server_auth(284)
> > >   Got user=[LIN] domain=[UPRAV_NT] workstation=[DB] len1=24 len2=24
> > > [2003/04/29 08:22:17, 10] utils/ntlm_auth.c:manage_squid_ntlmssp_request(311)
> > >   NTLMSSP NT_STATUS_ACCESS_DENIED
> > а wbinfo -a user%password работает?
> 
> wbinfo -a user%password от имени bga - нет,
Естественно, Вы же не в группе winbind.

> sudo wbinfo -a user%password - да
И это понятно.

> > > (wb_ntlmauth)[28789](wb_ntlm_auth.c:60): sending 'NA UPRAV_NT\LIN auth failure because: Authentication Failure (winbind client not authorized to use winbindd_pam_auth_crap)' to squid
> > > 
> > >   Т.е. всё-таки недостаточно прав?
> > Недостаточно. У меня собственно вопрос -- по каким все же пользователем
> > запущен этот процесс 28789?
> 
>   По информации из /proc/<pid>/status - uid = squid, gid = squid.
Теперь дайте мне результат команды

	id squid

> cache_effective_user squid
> cache_effective_group winbind
> 
>   и все директории squid-a перевёл в gid = winbind
>   (иначе squid не может прочесть конфиги и писать логи).
>   Соответственно, процессы ntlm_auth стали uid = squid,
>   gid = winbind. В таком варианте работает! Учитывая, что
> 
> $ ls -l /var/cache/samba/ | grep winbindd_privileged
> drwxr-x---    2 root     winbind        55 Апр 29 14:33 winbindd_privileged
> 
>   мне это кажется вполне логичным =).
>   Хотя это не то, чего я добивался, так что ещё подумаю.
Да, это не то.
-- 
/ Alexander Bokovoy
---
Reading is to the mind what exercise is to the body.

Re: [sisyphus] I: new samba3 build

[Grigory Batalov]

On Tue, 29 Apr 2003 15:20:47 +0300
Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:

> > > Недостаточно. У меня собственно вопрос -- по каким все же пользователем
> > > запущен этот процесс 28789?
> > 
> >   По информации из /proc/<pid>/status - uid = squid, gid = squid.
> Теперь дайте мне результат команды
> 
> 	id squid

  На одной машине (сервер):

uid=23(squid) gid=23(squid) группы=23(squid),37(winbind)

  на другой (тестовой):

uid=23(squid) gid=23(squid) группы=23(squid),58(winbind)

  Я нашёл то место в исходниках, где проверяются права
  доступа к привилегированной папке, собираюсь исправить
  на 755. Чем это чревато?

-- 
Григорий Баталов,
группа техподдержки
ОАО "Ковдорский ГОК"

Re: [sisyphus] I: new samba3 build

[Alexander Bokovoy]

On Tue, Apr 29, 2003 at 05:28:35PM +0400, Grigory Batalov wrote:
> On Tue, 29 Apr 2003 15:20:47 +0300
> Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:
> 
> > > > Недостаточно. У меня собственно вопрос -- по каким все же пользователем
> > > > запущен этот процесс 28789?
> > > 
> > >   По информации из /proc/<pid>/status - uid = squid, gid = squid.
> > Теперь дайте мне результат команды
> > 
> > 	id squid
> 
>   На одной машине (сервер):
> 
> uid=23(squid) gid=23(squid) группы=23(squid),37(winbind)
Нормально.

 
>   на другой (тестовой):
> 
> uid=23(squid) gid=23(squid) группы=23(squid),58(winbind)
Тоже нормально.

Все это должно работать без проблем.

 
>   Я нашёл то место в исходниках, где проверяются права
>   доступа к привилегированной папке, собираюсь исправить
>   на 755. Чем это чревато?
Не надо этого делать. Чревато это утеканием чувствительной информации.
-- 
/ Alexander Bokovoy
---
Force has no place where there is need of skill.
		-- Herodotus

[sisyphus] wbinfo -g | -u (was: I: new samba3 build)

[Grigory Batalov]

On Mon, 28 Apr 2003 16:24:31 +0300
Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:

> >    В /etc/samba/smb.conf указано:
> > 
> > winbind cache time = 120
> > 
> >    Однако, проходит гораздо более 120 секунд. Непонятно,
> >    виноват ли в этом сервер winbindd или контроллер
> >    домена, сообщающий устаревшие сведения.
> Виновата недоделанность обработки Sequence numbers, из-за этого также пока
> нельзя использовать Самбу как BDC для существующего PDC на Windows.

  Мне бы очень пригодился вывод команды wbinfo -u / wbinfo -g,
  но выходит ошибка:

Error looking up domain users

  При этом winbindd -i -d3 выдаёт:

bind_rpc_pipe: transfer syntax differs
rpc_pipe_bind: check_bind_response failed.
cli_nt_session_open: rpc bind to \PIPE\lsarpc failed
...
scanning trusted domain list
rpc: trusted_domains
IPC$ connections done anonymously
...
rpc: query_user_list

  Это как-нибудь связано с Sequence numbers?
  Или, может быть, нужны особые привилегии, которые
  я не указал (тогда как?) ?

-- 
Григорий Баталов,
группа техподдержки
ОАО "Ковдорский ГОК"

Re: [sisyphus] wbinfo -g | -u (was: I: new samba3 build)

[Alexander Bokovoy]

On Tue, Apr 29, 2003 at 05:38:24PM +0400, Grigory Batalov wrote:
> > Виновата недоделанность обработки Sequence numbers, из-за этого также пока
> > нельзя использовать Самбу как BDC для существующего PDC на Windows.
> 
>   Мне бы очень пригодился вывод команды wbinfo -u / wbinfo -g,
>   но выходит ошибка:
> 
> Error looking up domain users
> 
>   При этом winbindd -i -d3 выдаёт:
> 
> bind_rpc_pipe: transfer syntax differs
> rpc_pipe_bind: check_bind_response failed.
> cli_nt_session_open: rpc bind to \PIPE\lsarpc failed
У Вас, похоже, проблемы в другом месте. Опишите Вашу конфигурацию - где
PDC, клиенты и т.д.

-- 
/ Alexander Bokovoy
---
Serfs up!
		-- Spartacus

Re: [sisyphus] wbinfo -g | -u (was: I: new samba3 build)

[Grigory Batalov]

On Tue, 29 Apr 2003 17:14:54 +0300
Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:

> >   Мне бы очень пригодился вывод команды wbinfo -u / wbinfo -g,
> >   но выходит ошибка:
> > 
> > Error looking up domain users
> > 
> >   При этом winbindd -i -d3 выдаёт:
> > 
> > bind_rpc_pipe: transfer syntax differs
> > rpc_pipe_bind: check_bind_response failed.
> > cli_nt_session_open: rpc bind to \PIPE\lsarpc failed

> У Вас, похоже, проблемы в другом месте. Опишите Вашу конфигурацию - где
> PDC, клиенты и т.д.

  Домен - UPRAV_NT

  PDC - Windows NT 4 (4.00.1381) IP: 172.16.0.3, hostname: serv_nt
  BDC - Windows NT 4 (4.00.1381) IP: 172.16.0.8, hostname: gok

  Клиент - Samba3-3.0-alt8       IP: 172.16.0.57 hostname: bga

  Прямой ping по IP и по hostname проходит, другие настройки DNS
  (DNS-сервер, домен) разные, но они, по-моему, не участвуют.

  На клиенте '$ testparm' :

Load smb config files from /etc/samba/smb.conf
Processing section "[homes]"
Loaded services file OK.
Server role: ROLE_DOMAIN_MEMBER
Press enter to see a dump of your service definitions

# Global parameters
[global]
        dos charset = CP866
        unix charset = KOI8-R
        display charset = KOI8-R
        workgroup = UPRAV_NT
        server string = Samba server on %h (v. %v)
        security = DOMAIN
        password server = serv_nt
        log file = /var/log/samba/log.%m
        max log size = 50
        socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
        printcap name = lpstat
        dns proxy = No
        wins server = 172.16.0.3
        winbind uid = 10000-20000
        winbind gid = 10000-20000
        winbind use default domain = Yes
        use sendfile = Yes
        printing = cups

[homes]
        comment = Home Directory for '%u'
        read only = No
        browseable = No

  На клиенте запускаю winbindd:

$ sudo winbindd -i -d3

  И там же запрашиваю список групп:

$ sudo wbinfo -g
Error looking up domain groups  

  Полный вывод winbindd в это время таков:

[14485]: request interface version
[14485]: request location of privileged pipe
[14485]: endpwent
[14485]: request interface version
[14485]: request location of privileged pipe
[14485]: list groups
rpc_find_dc: Returning DC SERV_NT (172.16.0.3) for domain UPRAV_NT
cm_get_dc_name: Returning DC SERV_NT (172.16.0.3) for domain UPRAV_NT
IPC$ connections done anonymously
Connecting to host=SERV_NT share=IPC$
Connecting to 172.16.0.3 at port 445
error connecting to 172.16.0.3:445 (Connection refused)
Connecting to 172.16.0.3 at port 139
bind_rpc_pipe: transfer syntax differs
rpc_pipe_bind: check_bind_response failed.
cli_nt_session_open: rpc bind to \PIPE\lsarpc failed
add_trusted_domain: UPRAV_NT is a mixed mode domain
Added domain UPRAV_NT  
scanning trusted domain list
rpc: trusted_domains
IPC$ connections done anonymously
Connecting to host=SERV_NT share=IPC$
Connecting to 172.16.0.3 at port 445
error connecting to 172.16.0.3:445 (Connection refused)
Connecting to 172.16.0.3 at port 139
IPC$ connections done anonymously
Connecting to host=SERV_NT share=IPC$
Connecting to 172.16.0.3 at port 445
error connecting to 172.16.0.3:445 (Connection refused)
Connecting to 172.16.0.3 at port 139
rpc: enum_dom_groups
get_sam_group_entries: could not enumerate domain groups! Error: NT_STATUS_ACCESS_DENIED  


-- 
Григорий Баталов,
группа техподдержки
ОАО "Ковдорский ГОК"

Re: [sisyphus] wbinfo -g | -u (was: I: new samba3 build)

[Alexander Bokovoy]

On Wed, Apr 30, 2003 at 09:19:42AM +0400, Grigory Batalov wrote:
> Connecting to host=SERV_NT share=IPC$
> Connecting to 172.16.0.3 at port 445
> error connecting to 172.16.0.3:445 (Connection refused)
> Connecting to 172.16.0.3 at port 139
> IPC$ connections done anonymously
> Connecting to host=SERV_NT share=IPC$
> Connecting to 172.16.0.3 at port 445
> error connecting to 172.16.0.3:445 (Connection refused)
> Connecting to 172.16.0.3 at port 139
> rpc: enum_dom_groups
> get_sam_group_entries: could not enumerate domain groups! Error: NT_STATUS_ACCESS_DENIED  
Машина с winbindd присоединена к домену? net join делали?
-- 
/ Alexander Bokovoy
---
To err is human, to repent, divine, to persist, devilish.
		-- Benjamin Franklin

Re: [sisyphus] wbinfo -g | -u (was: I: new samba3 build)

[Grigory Batalov]

On Wed, 30 Apr 2003 10:10:56 +0300
Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:

> On Wed, Apr 30, 2003 at 09:19:42AM +0400, Grigory Batalov wrote:
> > Connecting to host=SERV_NT share=IPC$
> > Connecting to 172.16.0.3 at port 445
> > error connecting to 172.16.0.3:445 (Connection refused)
> > Connecting to 172.16.0.3 at port 139
> > IPC$ connections done anonymously
> > Connecting to host=SERV_NT share=IPC$
> > Connecting to 172.16.0.3 at port 445
> > error connecting to 172.16.0.3:445 (Connection refused)
> > Connecting to 172.16.0.3 at port 139
> > rpc: enum_dom_groups
> > get_sam_group_entries: could not enumerate domain groups! Error: NT_STATUS_ACCESS_DENIED  
> Машина с winbindd присоединена к домену? net join делали?

  Обязательно! =) На всякий случай ещё раз сделал:

$ sudo net -U bga join
bga password: 
[2003/04/30 11:49:39, 1] libads/ldap.c:ads_connect(271)
  Failed to get ldap server info
[2003/04/30 11:49:39, 1] utils/net_ads.c:ads_startup(160)
  ads_connect: Timed out
[2003/04/30 11:49:42, 1] rpc_client/cli_netlogon.c:cli_nt_setup_creds(283)
  cli_nt_setup_creds: auth2 challenge failed NT_STATUS_ACCESS_DENIED
[2003/04/30 11:49:42, 1] libsmb/trusts_util.c:just_change_the_password(44)
  just_change_the_password: unable to setup creds (NT_STATUS_ACCESS_DENIED)!
[2003/04/30 11:49:42, 1] utils/net_rpc.c:run_rpc_command(154)
  rpc command function failed! (NT_STATUS_ACCESS_DENIED)
Joined domain UPRAV_NT.

  Это "NT_STATUS_ACCESS_DENIED" меня обычно настораживает,
  так что я делаю по-другому: на сервере Windows NT запускаю
  "Server Manager" (srvmgr.exe), удаляю BGA из домена UPRAV_NT,
  добавляю BGA заново, и опять запускаю на клиентской машине:

$ sudo net -U bga join
bga password: 
[2003/04/30 11:51:43, 1] libads/ldap.c:ads_connect(271)
  Failed to get ldap server info
[2003/04/30 11:51:43, 1] utils/net_ads.c:ads_startup(160)
  ads_connect: Timed out
Joined domain UPRAV_NT.

  После чего ещё раз запустил 
$ sudo winbindd -i -d 3
$ sudo wbinfo -g

  и увидел
rpc: enum_dom_groups
get_sam_group_entries: could not enumerate domain groups! Error: NT_STATUS_ACCESS_DENIED

-- 
Григорий Баталов,
группа техподдержки
ОАО "Ковдорский ГОК"

Re: [sisyphus] wbinfo -g | -u (was: I: new samba3 build)

[Alexander Bokovoy]

Я посмотрю попозже, что же там такое в коде.

On Wed, Apr 30, 2003 at 11:57:00AM +0400, Grigory Batalov wrote:
> On Wed, 30 Apr 2003 10:10:56 +0300
> Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:
> 
> > On Wed, Apr 30, 2003 at 09:19:42AM +0400, Grigory Batalov wrote:
> > > Connecting to host=SERV_NT share=IPC$
> > > Connecting to 172.16.0.3 at port 445
> > > error connecting to 172.16.0.3:445 (Connection refused)
> > > Connecting to 172.16.0.3 at port 139
> > > IPC$ connections done anonymously
> > > Connecting to host=SERV_NT share=IPC$
> > > Connecting to 172.16.0.3 at port 445
> > > error connecting to 172.16.0.3:445 (Connection refused)
> > > Connecting to 172.16.0.3 at port 139
> > > rpc: enum_dom_groups
> > > get_sam_group_entries: could not enumerate domain groups! Error: NT_STATUS_ACCESS_DENIED  
> > Машина с winbindd присоединена к домену? net join делали?
> 
>   Обязательно! =) На всякий случай ещё раз сделал:
> 
> $ sudo net -U bga join
> bga password: 
> [2003/04/30 11:49:39, 1] libads/ldap.c:ads_connect(271)
>   Failed to get ldap server info
> [2003/04/30 11:49:39, 1] utils/net_ads.c:ads_startup(160)
>   ads_connect: Timed out
> [2003/04/30 11:49:42, 1] rpc_client/cli_netlogon.c:cli_nt_setup_creds(283)
>   cli_nt_setup_creds: auth2 challenge failed NT_STATUS_ACCESS_DENIED
> [2003/04/30 11:49:42, 1] libsmb/trusts_util.c:just_change_the_password(44)
>   just_change_the_password: unable to setup creds (NT_STATUS_ACCESS_DENIED)!
> [2003/04/30 11:49:42, 1] utils/net_rpc.c:run_rpc_command(154)
>   rpc command function failed! (NT_STATUS_ACCESS_DENIED)
> Joined domain UPRAV_NT.
> 
>   Это "NT_STATUS_ACCESS_DENIED" меня обычно настораживает,
>   так что я делаю по-другому: на сервере Windows NT запускаю
>   "Server Manager" (srvmgr.exe), удаляю BGA из домена UPRAV_NT,
>   добавляю BGA заново, и опять запускаю на клиентской машине:
> 
> $ sudo net -U bga join
> bga password: 
> [2003/04/30 11:51:43, 1] libads/ldap.c:ads_connect(271)
>   Failed to get ldap server info
> [2003/04/30 11:51:43, 1] utils/net_ads.c:ads_startup(160)
>   ads_connect: Timed out
> Joined domain UPRAV_NT.
> 
>   После чего ещё раз запустил 
> $ sudo winbindd -i -d 3
> $ sudo wbinfo -g
> 
>   и увидел
> rpc: enum_dom_groups
> get_sam_group_entries: could not enumerate domain groups! Error: NT_STATUS_ACCESS_DENIED
> 
> -- 
> Григорий Баталов,
> группа техподдержки
> ОАО "Ковдорский ГОК"
> _______________________________________________
> Sisyphus mailing list
> Sisyphus@altlinux.ru
> http://altlinux.ru/mailman/listinfo/sisyphus

-- 
/ Alexander Bokovoy
---
Fanaticism consists of redoubling your effort when you have forgotten your aim.
		-- George Santayana

[sisyphus] failed to parse NTLMSSP (was: I: new samba3 build)

[Grigory Batalov]

On Mon, 28 Apr 2003 17:06:52 +0400
Grigory Batalov <grisxa@mail.ru> wrote:

> auth_param ntlm program /usr/bin/ntlm_auth -d 31 --helper-protocol=squid-2.5-ntlmssp

  Прошу прощения, это снова я.

  Начал было использовать ntlm_auth из samba3-3.0-alt8
  и столкнулся с такой проблемой: не проходят аутентификацию
  пользователи Windows 98. С Windows 2000 и NT - проходят.
  С модулем ntlm_auth из squid-2.5.STABLE1-alt5 проходят все.
  На всякий случай записал версии.

  Работает:

Windows 2000 (Professional) 5.00.2195
Internet Explorer 5.00.2920.0000

Windows NT (Server) 4.00.1381
Internet Explorer 6.00.2800.1106

  Не работает:

Windows 98SE 4.10.2222 A
Internet Explorer 5.00.2614.3500

  В логах запись:

[2003/04/30 14:35:04, 1] libsmb/ntlmssp.c:ntlmssp_server_auth(276)
  ntlmssp_server_auth: failed to parse NTLMSSP:
[2003/04/30 14:35:04, 2] lib/util.c:dump_data(1886)
  [000] 4E 54 4C 4D 53 53 50 00  03 00 00 00 18 00 18 00  NTLMSSP. ........
  [010] 43 00 00 00 00 00 00 00  5B 00 00 00 08 00 08 00  C....... [.......
  [020] 34 00 00 00 03 00 03 00  3C 00 00 00 04 00 04 00  4....... <.......
  [030] 3F 00 00 00 75 70 72 61  76 5F 6E 74 62 67 61 42  ?...upra v_ntbgaB
  [040] 47 41 34 F3 63 B3 87 98  B5 C6 CE 5F D5 11 84 E9  GA4.c... ..._....
  [050] 43 98 EB 4B 41 E5 DC 0E  58 13 2E 00              C..KA... X...

Windows 98SE 4.10.2222 A
Internet Explorer 6.0.2600.000

[2003/04/30 15:40:20, 1] libsmb/ntlmssp.c:ntlmssp_server_auth(276)
  ntlmssp_server_auth: failed to parse NTLMSSP:
[2003/04/30 15:40:20, 2] lib/util.c:dump_data(1886)
  [000] 4E 54 4C 4D 53 53 50 00  03 00 00 00 18 00 18 00  NTLMSSP. ........
  [010] 42 00 00 00 00 00 00 00  5A 00 00 00 08 00 08 00  B....... Z.......
  [020] 34 00 00 00 03 00 03 00  3C 00 00 00 03 00 03 00  4....... <.......
  [030] 3F 00 00 00 75 70 72 61  76 5F 6E 74 62 67 61 53  ?...upra v_ntbgaS
  [040] 49 47 50 B0 04 AA 04 76  BB 97 C6 C4 59 22 E6 E5  IGP....v ....Y"..
  [050] 1A 98 66 2C 4B 33 39 93  32 59                    ..f,K39. 2Y

  (Разная длина, поэтому привожу целиком: вдруг это важно?)

-- 
Григорий Баталов,
группа техподдержки
ОАО "Ковдорский ГОК"

Re: [sisyphus] failed to parse NTLMSSP (was: I: new samba3 build)

[Alexander Bokovoy]

On Wed, Apr 30, 2003 at 03:55:18PM +0400, Grigory Batalov wrote:
> On Mon, 28 Apr 2003 17:06:52 +0400
> Grigory Batalov <grisxa@mail.ru> wrote:
>   В логах запись:
> 
> [2003/04/30 14:35:04, 1] libsmb/ntlmssp.c:ntlmssp_server_auth(276)
>   ntlmssp_server_auth: failed to parse NTLMSSP:
> [2003/04/30 14:35:04, 2] lib/util.c:dump_data(1886)
>   [000] 4E 54 4C 4D 53 53 50 00  03 00 00 00 18 00 18 00  NTLMSSP. ........
>   [010] 43 00 00 00 00 00 00 00  5B 00 00 00 08 00 08 00  C....... [.......
>   [020] 34 00 00 00 03 00 03 00  3C 00 00 00 04 00 04 00  4....... <.......
>   [030] 3F 00 00 00 75 70 72 61  76 5F 6E 74 62 67 61 42  ?...upra v_ntbgaB
>   [040] 47 41 34 F3 63 B3 87 98  B5 C6 CE 5F D5 11 84 E9  GA4.c... ..._....
>   [050] 43 98 EB 4B 41 E5 DC 0E  58 13 2E 00              C..KA... X...
> 
> Windows 98SE 4.10.2222 A
> Internet Explorer 6.0.2600.000
> 
> [2003/04/30 15:40:20, 1] libsmb/ntlmssp.c:ntlmssp_server_auth(276)
>   ntlmssp_server_auth: failed to parse NTLMSSP:
> [2003/04/30 15:40:20, 2] lib/util.c:dump_data(1886)
>   [000] 4E 54 4C 4D 53 53 50 00  03 00 00 00 18 00 18 00  NTLMSSP. ........
>   [010] 42 00 00 00 00 00 00 00  5A 00 00 00 08 00 08 00  B....... Z.......
>   [020] 34 00 00 00 03 00 03 00  3C 00 00 00 03 00 03 00  4....... <.......
>   [030] 3F 00 00 00 75 70 72 61  76 5F 6E 74 62 67 61 53  ?...upra v_ntbgaS
>   [040] 49 47 50 B0 04 AA 04 76  BB 97 C6 C4 59 22 E6 E5  IGP....v ....Y"..
>   [050] 1A 98 66 2C 4B 33 39 93  32 59                    ..f,K39. 2Y
> 
>   (Разная длина, поэтому привожу целиком: вдруг это важно?)
Запишите, пожалуйста с помощью ethereal два обмена трафиком: 
98SE <-> Squid и 98SE <-> PDC.
-- 
/ Alexander Bokovoy
---
Veni, vidi, vici.
	[I came, I saw, I conquered].
		-- Gaius Julius Caesar

[sisyphus] Kernel

[Alexander Blagin]

Господа !
кто может помочь собрать последнее ядро
с наиновейшими модулями
saa7134, bttv, v412