samba 基本配置及自定义控制

Samba简介：

Samba实现的是Linux和Windows之间的一种共享，为两种不同的操作系统架起了一座桥梁，使Linux系统和Windows系统之间能够实现互相通信，共享文件系统、打印机及其他资源。

---

实验环境：

---

基本配置

[root@lhh ~]# yum install samba -y                                               # server安装Samba服务

[root@lhh ~]# firewall-cmd --add-service=samba                        # 防火墙开启Samba服务

success

[root@lhh ~]# firewall-cmd --add-service=samba --permanent        # 永久生效

success

[root@lhh samba]# cd /etc/samba/               # Samba配置文件目录

[root@lhh samba]# ls

lmhosts  smb.conf

[root@lhh ]# vim /etc/samba/smb.conf            # Samba的主配置文件

---------------- 配置文件重要的条目注释说明  ------------------------

[global]                                                                                               # Samba全局配置

workgroup = MYGROUP                                                            # 工作组名称，Windows的为：WORKGROUP

server string = Samba Server Version %v                               #  服务器介绍信息，参数%v为显示SMB版本号

#    interfaces = lo eth0 192.168.12.2/24 192.168.13.2/24         # Samba运行端口，默认是运行在所有端口上

#    hosts allow = 127. 192.168.12. 192.168.13.                        # 访问控制，默认是允许所以都可以访问

====================================================================

log file = /var/log/samba/log.%m              # 定义日志文件的存放位置与名称，参数%m为来访的主机名

max log size = 50                                     # 定义日志文件的最大容量为50KB

=====================================================================

security = user                                         # 安全验证的方式，总共有4种，如下：

#share：来访主机无需验证口令；比较方便，但安全性很差

#user：需验证来访主机提供的口令后才可以访问；提升了安全性

#server：使用独立的远程主机验证来访主机提供的口令（集中管理账户）

#domain：使用域控制器进行身份验证

passdb backend = tdbsam                    #定义用户后台的类型，共有3种 ，如下：

#  smbpasswd：使用smbpasswd命令为系统用户设置Samba服务程序的密码

#  tdbsam：创建数据库文件并使用pdbedit命令建立Samba服务程序的用户

#  ldapsam：基于LDAP服务进行账户验证

==============================================================

load printers = yes                # 设置在Samba服务启动时是否共享打印机设备，保存默认即可！

cups options = raw                # 打印机的选项，保存默认即可！

温馨提醒：

创建Samba用户时，本地必须存在此用户，但是Samba密码可以与系统密码不一致。

创建两个作为Samba测试用户

[root@lhh ~]# useradd -s /sbin/nologin test1

[root@lhh ~]# useradd -s /sbin/nologin test2

#  /sbin/nologin：表示此用户不可以登录系统，可以作为服务用户使用

=================================================

[root@lhh ~]# echo 123456 | passwd --stdin test1

[root@lhh ~]# echo 123456 | passwd --stdin test2

#  设置两个测试用户密码为：123456

如果没有 smbpasswd 这个命令，则需要安装命令

[root@lhh ~]# yum whatprovides   */smbpasswd                  # 查询命令相关的包

samba-client-4.1.1-31.el7.x86_64 : Samba client programs

[root@lhh ~]# yum install samba-client  -y                            # 安装命令

将两个用户添加到Samba服务里

[root@lhh ~]# smbpasswd -a test1              # -a：添加用户

New SMB password:                                    # 设置 test1 密码

Retype new SMB password:                        # 再次确认密码

Added user test1.                                        # 添加用户完成

[root@lhh ~]# smbpasswd  -a  test2            # 继续添加test2

New SMB password:

Retype new SMB password:

Added user test2.

=============================================

命令说明：#   smbpasswd   [选项]    用户名

# -a：添加用户

# -d：禁用用户

# -e：启用用户

# -x：删除用户

=======================================

[root@lhh ~]# pdbedit -L                               # 查看Samba的用户

test1:1001:

test2:1002:

继续注释说明主配置文件

------------- 配置文件重要的条目注释说明  ----------------

[homes]                                                                       # 共享参数

comment = Home Directories                           # 描述信息

browseable = no                                              # 指定共享信息是否在“网上邻居”中可见

writable = yes                                                  #  定义是否可以执行写入操作，与“read only”相反

===============================================================

[printers]                                                                      # 打印机共享参数

comment = All Printers

path = /var/spool/samba                                  # 共享文件的实际路径(重要)。

browseable = no

guest ok = no                                                   # 是否所有人可见，等同于"public"参数。

writable = no

printable = yes

我们了解完Samba配置文件的参数后，开始共享目录测试

[root@lhh ~]# mkdir /aaa                                         # 创建一个 aaa目录作为共享

[root@lhh ~]# vim /etc/samba/smb.conf                  # 编辑主配置文件，在底部编辑条目将aaa共享出去

-------------------- 省略部分输出信息 ------------------------

[aaa-test]                                   # 共享名称，可以随意定义

comment = aaa-test          # 描述名称，可以随意定义

path = /aaa                       # 共享的路径

===========================================

[root@lhh ~]# systemctl restart smb            # 重启Samba服务

Windows访问测试

---

虽然可以访问samba-server的共享了，但是无访问里面的目录！

[root@lhh ~]# chcon -R -t samba_share_t /aaa/                                # 修改上下文，就可以访问共享目录了

[root@lhh ~]# setsebool -P samba_enable_home_dirs on              # 开启家目录的bool值

此时就可以访问里面的内容

---

此时我们想创建文件发现没权限！

---

检查思路：

1、检查配置文件

[root@lhh ~]# vim /etc/samba/smb.conf                # 进入主配置文件

----------------------- 省略部分输出信息 ----------------------------------

[aaa-test]                                      # 共享名称，可以随意定义

comment = aaa-test            # 描述名称，可以随意定义

path = /aaa                           # 共享的路径

writable = yes                       # 可写权限

=============================================

[root@lhh ~]# systemctl restart smb            # 重启Samba服务

# 发现还是无法创建

2、检查文件系统权限

[root@lhh ~]# ls -ld /aaa/                                      # 查看共享目录权限，发现test1没有可写权限！

drwxr-xr-x. 2 root root 6 8月  13 20:16 /aaa/

[root@lhh ~]# chmod  o+w  /aaa/                        # 给其他用户加上可写权限，因为test1是属于其他用户

此时两个用户都可以正常有写的权限

---

访问控制设置

一、自定义用户写的权限

[root@lhh ~]# vim /etc/samba/smb.conf                # 进入主配置文件

---------------- 省略部分输出信息 ----------------------

[aaa-test]                                  # 共享名称，可以随意定义

comment = aaa-test        # 描述名称，可以随意定义

path = /aaa                        # 共享的路径

writable = no                     # 可写权限

write list = test1                # 指定某个用户可写，如需要多个用户格式为：test，test2..........

=========================================================

[root@lhh ~]# systemctl restart smb            # 重启Samba服务

Windows使用的是：test1用户

---

Linux使用的是：test2用户

[root@mail ~]# yum install samba-client -y                # 安装Samba客户端

[root@mail ~]# smbclient //192.168.115.201/aaa-test -U test2%123456

----------------------- 命令注释 ------------------------

# //192.168.115.201/aaa-test：共享IP地址+ 共享名称

# test2%123456：用户为：test2；密码为：123456

-------------------- 输出信息 ------------------

Domain=[WORKGROUP] OS=[Unix] Server=[Samba 4.1.1]

smb: \> mkdir test2                 # 创建目录

NT_STATUS_MEDIA_WRITE_PROTECTED making remote directory  \test2       # test2是没有权限无法创建

二、自定义用户浏览的权限

[root@lhh ~]# vim /etc/samba/smb.conf                # 进入主配置文件

------------- 省略部分输出信息 ----------------------

[aaa-test]                                  # 共享名称，可以随意定义

comment = aaa-test        # 描述名称，可以随意定义

path = /aaa                       # 共享的路径

writable = no                     # 可写权限

write list = test1                 # 指定某个用户可写

browseable = no                # 拒绝所有用户浏览共享目录，增加条目

==================================================

[root@lhh ~]# systemctl restart smb            # 重启Samba服务

Linux客户端浏览不了共享目录

[root@mail ~]# smbclient  -L  //192.168.115.201/  -U  test2%123456

--------------- 省略了输出信息 -------------------

test2           Disk      Home Directories

#   此时就无法浏览aaa-test目录，只能看见test2家目录

Windows客户端也浏览不了共享目录

---

接下来我们就自定义某个用户可以浏览共享目录

------------ 省略输出信息，跳到配置文件90行左右，添加条目 ------------

[global]

89         workgroup = WORKGROUP                          # 保存默认

90         server string = Samba Server Version %v    # 保存默认

91         config file = /etc/samba/smb.conf.%U           # 添加此条目

=====================   添加的条目简单注释  =============

# 哪个用户登录过来的时候，回去看/etc/samba/有没有 smb.conf.用户名 的配置文件

# 如果有，则使用自己后缀名的配置文件

# 如果没有，则使用 /etc/samba/smb.conf 主配置文件

[root@lhh ~]# cp /etc/samba/smb.conf /etc/samba/smb.conf.test1

# 将主配置文件复制一份作为test1的配置文件

[root@lhh ~]# vim /etc/samba/smb.conf.test1        # 编辑test1生成的配置文件

-------------------- 省略输出信息，直接跳到底端 ----------------------

[aaa-test]

comment = aaa-test

path = /aaa

writable = no

write list = test1

browseable = yes                # 原本是：no；修改为：yes

此时 Windows可以看得到共享目录

---

但是Linux客户端浏览不了共享目录，就实现了自定义浏览控制

[root@mail ~]# smbclient  -L  //192.168.115.201/  -U  test2%123456

----------------- 省略了输出信息 -----------------------

test2           Disk      Home Directories

[root@lhh ~]# ls /etc/samba/

lmhosts  smb.conf  smb.conf.test1

------------------ 最后整体的解释 ----------------------

#  因为上面主配置文件添加了：config file = /etc/samba/smb.conf.%U

#  当test1访问Samba时，会使用自己后缀名的配置文件（smb.conf.test1）

#  test1 不会使用主配置文件，自己的配置文件时允许可以浏览的，所以就可以浏览共享目录

#  test2 没有自己的配置文件，只能使用主配置文件（ smb.conf），但是主配置文件是拒绝所有用户浏览的，所有无法浏览

三、自定义IP地址访问

[root@lhh ~]# vim /etc/samba/smb.conf                # 进入主配置文件

--------------- 省略部分输出信息 -----------------------

[aaa-test]

comment = aaa-test

path = /aaa

writable = yes

hosts allow = 192.168.x.x                       # 如果增加这条目，只允许某个IP地址访问

#      hosts deny = 192.168.x.x                       # 如果增加这条目，只拒绝某个IP地址访问

#  接下来我们只测试允许的条目，拒绝的同理

Windows-IP地址115.1，无法访问

---

Linux-IP地址为：115.202-成功访问

[root@mail ~]# smbclient //192.168.115.201/aaa-test -U test2%123456

---------------- 省略部分输出信息 --------------

111                                 D        0  Mon Aug 13 21:18:33 2018

222                                 D        0  Mon Aug 13 21:18:37 2018

#  Linux是可以正常访问的

# 到此已经完成Samba的基本配置和自定义控制了