URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID14
Нить номер: 1634
[ Назад ]

Исходное сообщение
"Вопрос авторизации без smbpasswd"

Отправлено Moore , 07-Фев-08 07:57 
Здравствуйте! Подскажите пожалуйста, возможно ли организовать доступ на самбовские ресурсы таким образом, чтоб не заводить самбовских пользователей, а авторизоваться по учетным записям самой системы, на которой эта самба поднята? Например: в системе существует пользователь user13. Если ему нужен доступ к ресурсу в конфиге пишем valid users = user13. И при этом не заводить его в smbpasswd. Читал мануалы, но ответа пока не нашел. Такое вообще возможно?
Прошу прощения если тема не нова. Поиском не нашел.

ОС Solaris 9, Samba 3.0.25a


Содержание

Сообщения в этом обсуждении
"Вопрос авторизации без smbpasswd"
Отправлено tungus , 07-Фев-08 09:03 
>Здравствуйте! Подскажите пожалуйста, возможно ли организовать доступ на самбовские ресурсы таким образом,
>чтоб не заводить самбовских пользователей, а авторизоваться по учетным записям самой
>системы, на которой эта самба поднята? Например: в системе существует пользователь
>user13. Если ему нужен доступ к ресурсу в конфиге пишем valid
>users = user13. И при этом не заводить его в smbpasswd.
>Читал мануалы, но ответа пока не нашел. Такое вообще возможно?
>Прошу прощения если тема не нова. Поиском не нашел.
>
>ОС Solaris 9, Samba 3.0.25a

Можно (по крайней мере когда-то давно можно было). ТОлько надо вносить вносить изменения в реестр windows, чтобы по сети передавался plain text пароль.



"Вопрос авторизации без smbpasswd"
Отправлено XAnder , 07-Фев-08 09:08 
>Здравствуйте! Подскажите пожалуйста, возможно ли организовать доступ на самбовские ресурсы таким образом,
>чтоб не заводить самбовских пользователей, а авторизоваться по учетным записям самой
>системы, на которой эта самба поднята?

Теоретически можно всё :) А вот практически - в Самбе (т. е. в мире Виндовс) используется схема шифрования паролей, которая несовместима с теми, которые обычно используются в юниксоподобных системах. Так что клиенты Самбы не смогут авторизоваться по юниксовой базе пользователей. Зато относительно легко реализовать обратное - пароли системных пользователей могут проверяться по Самбе - для этого нужно только прикрутить соответствующий модуль PAM (делал во FreeBSD). Ещё можно покопать в сторону LDAP, на котором можно сделать единую базу пользователей для системы, Самбы и других программ, где есть поддержка LDAP.


"Вопрос авторизации без smbpasswd"
Отправлено Moore , 07-Фев-08 09:18 
Я, блин, уже в отчаянье.. Мой начальник, говорит, что у него всё так работает. Правда у него самба 2.с.чем-то. Я попросил у него полный конфиг (testparm)и обнаружил, что он практически полностью совпадает с моим. Может в самбе 3 эта возможность уже отключена?.. Даже не представляю, куда еще посмотреть, в мануалах таких тонкостей почему-то не написано.

"Вопрос авторизации без smbpasswd"
Отправлено XAnder , 07-Фев-08 09:24 
>Я, блин, уже в отчаянье.. Мой начальник, говорит, что у него всё
>так работает. Правда у него самба 2.с.чем-то. Я попросил у него
>полный конфиг (testparm)и обнаружил, что он практически полностью совпадает с моим.
>Может в самбе 3 эта возможность уже отключена?.. Даже не представляю,
>куда еще посмотреть, в мануалах таких тонкостей почему-то не написано.

Так, уважаемый Moore, покажите, пожалуйста, что там у вашего шефа написано, чтобы как-то облегчить ваше отчаяние. А то сейчас кое-кто начнёт поминать телепатов :)


"Вопрос авторизации без smbpasswd"
Отправлено XAnder , 07-Фев-08 09:19 
В дополнение, как правильно заметил tungus, можно использовать незашифрованные пароли (до сих пор можно), настроив на это и сервер, и всех клиентов. Но не нужно, поскольку при этом пароли превращаются в простую формальность - перехватить пароль в сети проблем не составит.

"Вопрос авторизации без smbpasswd"
Отправлено Moore , 07-Фев-08 09:56 
Вот конфиг самбы начальника:
# Global parameters
[global]
        coding system =
        client code page = 850
        code page directory = /usr/local/samba/lib/codepages
        workgroup = NTC
        netbios name = CBOSS_4800
        netbios aliases =
        netbios scope =
        server string = Samba 2.2.8a
        interfaces =
        bind interfaces only = No
        security = SHARE
        encrypt passwords = No
        update encrypted = No
        allow trusted domains = Yes
        hosts equiv =
        min passwd length = 5
        map to guest = Never
        null passwords = Yes
        obey pam restrictions = No
        password server =
        smb passwd file = /usr/local/samba/private/smbpasswd
        root directory =
        pam password change = No
        passwd program = /usr/bin/passwd
        passwd chat = *new*password* %n\n *new*password* %n\n *changed*
        passwd chat debug = No
        username map =
        password level = 0
        username level = 0
        unix password sync = No
        restrict anonymous = No
        lanman auth = Yes
        use rhosts = No
        admin log = No
        log level = 0
        syslog = 1
        syslog only = No
        log file =
        max log size = 5000
        timestamp logs = Yes
        debug hires timestamp = No
        debug pid = No
        debug uid = No
        protocol = NT1
        large readwrite = Yes
        max protocol = NT1
        min protocol = CORE
        read bmpx = No
        read raw = Yes
        write raw = Yes
        acl compatibility =
        nt smb support = Yes
        nt pipe support = Yes
        nt status support = Yes
        announce version = 4.9
        announce as = NT
        max mux = 50
        max xmit = 16644
        name resolve order = lmhosts host wins bcast
        max ttl = 259200
        max wins ttl = 518400
        min wins ttl = 21600
        time server = No
        unix extensions = No
        change notify timeout = 60
        deadtime = 0
        getwd cache = Yes
        keepalive = 300
        lpq cache time = 10
        max smbd processes = 0
        max disk size = 0
        max open files = 10000
        name cache timeout = 660
        read size = 16384
        socket options = TCP_NODELAY
        stat cache size = 50
        use mmap = Yes
        total print jobs = 0
        load printers = Yes
        printcap name = lpstat
        disable spoolss = No
        enumports command =
        addprinter command =
        deleteprinter command =
        show add printer wizard = Yes
        os2 driver map =
        strip dot = No
        mangling method = hash
        character set =
        mangled stack = 50
        stat cache = Yes
        domain admin group =
        domain guest group =
        machine password timeout = 604800
        add user script =
        delete user script =
        logon script =
        logon path = \\%N\%U\profile
        logon drive =
        logon home = \\%N\%U
        domain logons = No
        os level = 20
        lm announce = Auto
        lm interval = 60
        preferred master = Auto
        local master = Yes
        domain master = Auto
        browse list = Yes
        enhanced browsing = Yes
        dns proxy = Yes
        wins proxy = No
        wins server =
        wins support = No
        wins hook =
        kernel oplocks = Yes
        lock spin count = 3
        lock spin time = 10
        oplock break wait time = 0
        add share command =
        change share command =
        delete share command =
        config file =
        preload =
        lock dir = /usr/local/samba/var/locks
        pid directory = /usr/local/samba/var/locks
        default service =
        message command =
        dfree command =
        valid chars =
        remote announce =
        remote browse sync =
        socket address = 0.0.0.0
        homedir map =
        time offset = 0
        NIS homedir = No
        source environment =
        panic action =
        hide local users = No
        winbind uid =
        winbind gid =
        template homedir = /home/%D/%U
        template shell = /bin/false
        winbind separator = \
        winbind cache time = 15
        winbind enum users = Yes
        winbind enum groups = Yes
        winbind use default domain = No
        comment =
        path =
        alternate permissions = No
        username =
        guest account = nobody
        invalid users =
        valid users =
        admin users =
        read list =
        write list =
        printer admin =
        force user =
        force group =
        read only = Yes
        create mask = 0744
        force create mode = 00
        security mask = 0777
        force security mode = 00
        directory mask = 0755
        force directory mode = 00
        directory security mask = 0777
        force directory security mode = 00
        force unknown acl user = 00
        inherit permissions = No
        inherit acls = No
        guest only = No
        guest ok = No
        only user = No
        hosts allow =
        hosts deny =
        status = Yes
        nt acl support = Yes
        profile acls = No
        block size = 1024
        max connections = 0
        min print space = 0
        strict allocate = No
        strict sync = No
        sync always = No
        write cache size = 0
        max print jobs = 1000
        printable = No
        postscript = No
        printing = sysv
        print command = lp -c -d%p %s; rm %s
        lpq command = lpstat -o%p
        lprm command = cancel %p-%j
        lppause command = lp -i %p-%j -H hold
        lpresume command = lp -i %p-%j -H resume
        queuepause command = disable %p
        queueresume command = enable %p
        printer name =
        use client driver = No
        default devmode = No
        printer driver =
        printer driver file = /usr/local/samba/lib/printers.def
        printer driver location =
        default case = lower
        case sensitive = No
        preserve case = Yes
        short preserve case = Yes
        mangle case = No
        mangling char = ~
        hide dot files = Yes
        hide unreadable = No
        delete veto files = No
        veto files =
        hide files =
        veto oplock files =
        map system = No
        map hidden = No
        map archive = Yes
        mangled names = Yes
        mangled map =
        browseable = Yes
        blocking locks = Yes
        csc policy = manual
        fake oplocks = No
        locking = Yes
        oplocks = Yes
        level2 oplocks = Yes
        oplock contention limit = 2
        posix locking = Yes
        strict locking = No
        share modes = Yes
        copy =
        include =
        exec =
        preexec close = No
        postexec =
        root preexec =
        root preexec close = No
        root postexec =
        available = Yes
        volume =
        fstype = NTFS
        set directory = No
        wide links = Yes
        follow symlinks = Yes
        dont descend =
        magic script =
        magic output =
        delete readonly = No
        dos filemode = No
        dos filetimes = No
        dos filetime resolution = No
        fake directory create times = No
        vfs object =
        vfs options =
[cboss]
        comment = CBOSS file server (CBOSS user)
        path = /fsrv
        read only = No
        guest ok = Yes
[admin]
        comment = for admin use only
        path = /fsrv
        valid users = ora92
        read only = No
[backup]
        comment = for admin use only
        path = /backup
        valid users = ora92:dba
        read only = No
[cmd]
        comment = Switch control cmd's
        path = /cmd
        valid users = siemens:nobody
        read only = No


"Вопрос авторизации без smbpasswd"
Отправлено XAnder , 07-Фев-08 11:03 
>        server string = Samba 2.2.8a

Давно не нюхал вторую Самбу...

>        security = SHARE

А вот это я вообще никогда не использовал - не нужно было.

>        encrypt passwords = No

Пароли не зашифрованы - плохо. Зато нет проблем с совместимостью.

>        null passwords = Yes

К тому же, допустимы пустые пароли...

>        unix password sync = No

Пароли в passwd (система) и smbpasswd (Самба), конечно же, не синхронизируются. Используется только системная база паролей.

В общем, дело в использовании незашифрованных паролей. Цель достигнута, но не могу советовать делать так же.


"Вопрос авторизации без smbpasswd"
Отправлено Moore , 11-Фев-08 07:42 
Испробовал различные манипуляции с шифрованием паролей. Нужный эффект не достигнут.



"Вопрос авторизации без smbpasswd"
Отправлено XAnder , 11-Фев-08 19:31 
>Испробовал различные манипуляции с шифрованием паролей. Нужный эффект не достигнут.

Сочувствую. Могу только снова посоветовать смотреть в сторону настройки PAM (pam_smbpass или pam_winbind) или использования LDAP.


"Вопрос авторизации без smbpasswd"
Отправлено Moore , 12-Фев-08 02:21 
Всем спасибо за ответы.