> Буду благодарен любым советам!

Совет простой, лучше вынести папку exeption в отдельную самостоятельную папку и шару и дать права тем кому нужно, лучше группу создать  отдельную.  Чем проще, тем лучше и спокойнее живется админу. Избегай этого всегда. Хотелки юзеров в этом плане лучше сразу пресекать на корню, мотивацию сам придумай.  
Если  такие вещи не документировать (права на вложенные папки), то при миграции  папок в другое место или на другой сервер, об этом никто не вспомнит. А если придет другой админ, то он вообще об этом знать не будет.

То, что ты хочешь, нужно решать установкой расширенных списков контроля доступа (ACL) для файлов и каталогов.  Читай про утилиту  setfacl и getfacl
Но это сложновато, в плане тестов прав тоже не просто,  повторюсь  лучше избежать этого.

Небольшой ликбез есть  здесь  https://help.ubuntu.ru/wiki/access_control_list
статьи получше сам найдешь, если захочешь.

> Беда в том, что в папку folder1/exception всё равно могут вносить изменения пользователи группы div1.

Каким образом пользователи без группы sharedgroup могут вносить изменения в папку с группой sharedgroup? Вот и думай.
Советовать выкидывать samba не буду, сам решишь.

> Я к чему это спрашиваю, у нас есть файловый ресурс, который находится
> в ДЦ. Связь с этим ДЦ из офиса через VPN, и
> задержки там порядка 25-30ms. Так вот копирование мелких файлов происходит чрезвычайно
> медленно. Буквально 300-400 Кб/сек.

Да, Самба она такая. В теории, оттуда можно выжать улучшение на какие-то проценты, но принципиально повлиять на ситуацию нельзя. Всё упирается в скорость света и особенности протокола.

Используйте SSFS/WebDAV/FTP/HTTP/whatever. Или перетаскивйте свой клиент Самбы туда-же в ДЦ, он будет ближе и latency улучшится. Толстый линк не поможет вообще никак.

у D-Link нет модели 245. Походу это какой-то Аbibas. Со всеми вытекающими.

>[оверквотинг удален]
> к компу, на котором стоят Ubuntu  и OSX.
> Происходит такая петрушка. Сам шарик из своего веб-интерфейса честно показывает абсолютно
> все свое содержимое. Все винты в настройках идентичны, все определены в
> публичные папки. Но в макоси стандартно (самба), без бубна легко показывает
> два первых винта, если подключиться по эпловскому протоколу afp://192.168.... тоже покажет
> все четыре. Но мне интересна именно самба.
> Я залез в шарик, смотрел настройки самбы, и там действительно черным по
> белому написано что активны лишь два диска (хотя обнаруживает все четыре,
> показывает размер и заполненность). Ну вот вопрос, как сделать активными все
> четыре? Нигде не нашел как их включить. Посоветуйте, пожалуйста, заранее благодарен.

не знаю туда ли пишу но все же подскажите вот тут https://sibsisadmin.ru/samba-net-prav-na-zapis/ вычитал как настроить права и разрешить всем создавать папки на сервере, но у меня все равно пишет нет разрешения. на сайте комментариев нет(  

т.е. ты делаешь sudo bla bla и ждешь что локальный билет подтянется?! LOL

- вводи в гугле: "powershell ftp". На форумах принято спрашивать то, что не гуглится.
- перед удалением файла его наличие проверять не надо

> Подумываем перейти с Windows Server на Ubuntu server (для подключения пользователей из
> внешней сети по RDP). Большую часть вопросов утрясли, но последний затык
> заключается в том, что клиенту при подключении по RDP нужно пробросить
> свой принтер, собственно для печати из 1С. Прокурил все возможные форумы,
> но ответа так и не нашёл. Штатка RDP принтер сама по
> себе не пробрасывает. На Ubuntu максимум, что получилось, это проброс через
> smb (но, соответственно из той же сети, в котором находится Ubuntu
> server). Вопрос публикации принтера через клиентский роутер так же не подходит
> (т.к. не у всех есть статика). Может быть есть какой-то аналог
> xrdp, который сможет увидеть клиентский принтер?

пробрасывайте порт, на клиентскую винду ставте LPR и печатайте себе на здоровье. А вот что там с правами будет без понятия. Как варик ставить виртуальный принтер с печатью в файл и отправкой этого файлика на принтер через тот-же проброс портов/шару

> Подумываем перейти с Windows Server на Ubuntu server (для подключения пользователей из
> внешней сети по RDP). Большую часть вопросов утрясли, но последний затык
> заключается в том, что клиенту при подключении по RDP нужно пробросить
> свой принтер, собственно для печати из 1С. Прокурил все возможные форумы,
> но ответа так и не нашёл. Штатка RDP принтер сама по
> себе не пробрасывает. На Ubuntu максимум, что получилось, это проброс через
> smb (но, соответственно из той же сети, в котором находится Ubuntu
> server). Вопрос публикации принтера через клиентский роутер так же не подходит
> (т.к. не у всех есть статика). Может быть есть какой-то аналог
> xrdp, который сможет увидеть клиентский принтер?

Решено! я нашёл способ проброса принтера через облачный papercut. Хост устанавливается на Windows, откуда публикуется ссылка на нужный принтер. Поскольку на Ubuntu papercut не поддерживается, нужно установить в системе Google Chrome и установить плагин papercut. После чего по ссылке хоста вы можете печатать из любого документа системы на принтер во внешней сети

CentOS, Oracle Enterprise Linux, Debian.
Остальные "отростки" фтопку...

SLES11 , OPENSUSE11.4

> хотя бы ссылки на документацию, а то уже заколебался гуглить и
> вбивать параметры, которые и вовсе перекосили мне сервак. ос - убунту
> 17.04... заранее благодарен за любую помощь. ниже в хронологическом порядке описаны
> проблемы, с которыми я столкнулся...

Запустите локально в виртуалбоксе виртуальную машину с вашей ОС и экспериментируйте.

[kmuvg] 
 valid users = @kmuvggroup 
 path = /etc/samba/kmuvg 
 directory mask = 0750 
 create mask = 0750 
 browseable = yes 
 read only = no 
 guest ok = no 
 force group = kmuvggroup

> кроме того, файл, создаваемый пользователем, имеет группу пользователя, (пользователь:пользователь
> вместо пользователь:отдел, к примеру), таким образом становится невозможным применение
> прав для группы ОТДЕЛ, к примеру.

chmod g+s dir
установиться SGID ( Set Group ID )
Если SGID бит  установлен на каталог,то все подкаталоги и файлы, созданные внутри получат ту же группу, что и группа основного каталога.

> Подскажите что делать

сказано же:

> Обратитесь к администратору этого сервера

ну или наймите грамотного

ну или если совсем по Ламерски !
добавляешь на сервак еще 1 ип
при подключении к нему логинишся в др. шару
etc

>[оверквотинг удален]
> newserver.ххх.ххх.ххх.
> как я понимаю вот это "590de540-a1cf-458e-9a0d-bb3941a1ae84" - это какой-то id сервера-контроллера
> домена. Как найти id нового сервера, чтобы прописать его вторым контроллером
> в dns-е, чтобы клиенты могли к нему обращаться? Я ж так
> понимаю, что при вводе нового контроллера в AD, винда сама генерирует
> эти циферки и прописывает в нужной зоне...
> Гугл как-то не просветлил пока (я подозреваю, что я вопрос неправильно формулирую)
> - "воды" много, а до сути добраться не могу.
> Подскажите, кто в данном вопросе разбирался - где искать и куда копать?
> Спасибо и с праздниками всех!

Вы часом не из администрации Владимирской области?

Просто гадаю.

Нужна dll для MS DAO. Врсии 2 (наверное) или совместимая.

файл выглядит как то так скорее всего DAOXXX.DLL

>Установлен Simple Linux 10.1

Можно было поставить не дистрибутив для распилов и откатов, а что-то реально работающее.

И заодно поискать что-то навроде этого: https://forum.winehq.org/viewtopic.php?t=2011

Попроси запятых отсыпать для начала в придачу. А еще поговори с местным админом.

7z x попробуй, копай в сторону распаковки msi.
>файл *.ovpn , но он какой-то кривой, в нем нет настроек.

Есть вариант, что ovpn генерирует программа, тогда тебе её придётся прослушать, рекомендую натравить Wireshark или Frida. Или оба.

>>файл *.ovpn , но он какой-то кривой, в нем нет настроек.

Тебе нужно найти на виндовой машине корректный ovpn и перетащить его на линуксовую тачку, в каталог /etc/openvpn.
Далее тебе нужно будет сменить ему расширение с .ovpn на .conf и запустить сервис systemd-шный. Имя сервиса будет зависеть от имени конфига. Так, если у тебя конфиг называется myvpn.conf, то надо дёргать systemctl start openvpn@myvpn

Дебажить ничего не надо. Надо либо найти на виндовой машине корректный ovpn файл, либо трaxaть мозги тем, кто обслуживает vpn для пользователей, потому что подключить тебя к vpn -- это их прямая обязанность.

> Всем привет!
> На работе дали настройки для подключения к VPN в виде *.msi файла
> для установки openvpn-connect-2.5.0.136
> на ноуте на котором win-10 после установки потребовался только ввод логина и
> пароля, после этого соединение установилось.
> Вопрос: можно ли как-то выдернуть настройки с винды и перенести их на
> Linux где у меня уже стоит OpenVPN
> PS/ Нашел в C:\Program Files (x86)\OpenVPN Technologies\OpenVPN Client\etc\profile
> файл *.ovpn но он какой-то кривой в нем нет настроек.

Посмотрите c:\Users\<username>\OpenVPN\config\

> Всем доброго дня. Возникла необходимость подключение сетевого диска через samba, которая
> является контроллером домена. В smb.conf создаются папки на этом же сервере
> (freebsd) public и так далее (шары), но как там же прописать
> чтобы, он подключал определенную папку с другого freebsd-сервака?

  Ппримонтровать эту папку до загрузки самбы

> Добрый день
> Никак не получается настроить доступ к сетевым папкам на основе IP. С
> таким конфигом любой компьютер может зайти в любую папку.
> Помогите, пожалуйста, где не так делаю?

[global]
hosts allow = 127.0.0.1 192.168.88
EXCEPT 192.168.88.237 192.168.88.1

[FLDR]
hosts allow = 192.168.88.7 192.168.88.50
hosts deny = ALL

Ну и до кучи:
   veto files = /*.exe/*.pif/*.dll/*.vxd/*.scr/*.bat/desktop.ini/*.htt/*.hlp/*.lnk/*.reg/*.com/*.inf/
Запретит запись в папку всякого вирусячего хлама.

была опечатка
hostS allow правильно
Спасибо теперь все работает

> этой папке, но при настройке виндового стандартного рез. копирования ос пишет
> отказано в доступе. что может быть?

Ты в очередной раз задал неправильный вопрос. "Винда" или "Микрософт" - это когда тебе платят за время, впустую потраченое на безнадёжные разборки. Никакого результата не будет, ты проведёшь месяцы в беспонтовых разговорах с тупыми индусами.

Если заказчик платит за это - ты потерял время впустую. Если ты такой дурак, что подписался на результат - ты потерял деньги.

ну если надо изменить какие-то параметры зоны в bind (named) то берешь текстовой редактор на свой вкус и меняешь файл зоны и перезапускаешь named.

Что мешает в винде создать _пустой_ файл на месте существующего?

SAMBA такое не умеет.

Оно, конечно, можно в Linux, но это извращение. Приготовь хост к аналу (ну, типа все утилиты поставь) и запусти сервисом [systemd?]:

stdbuf -o0 inotifywait -e create -rm /your/samba/dir | stdbuf -o0 -i0 grep -v ISDIR| \
stdbuf -i0 sh -c 'while read dir cmd file ; do chattr +i $dir$file ; done'

Перед этим можно сделать chattr +a /your/samba/dir.

> Столкнулся с проблемой работы самбы наружу.
> Никак не могу заставить ее работать на несколько интерфейсов.

А вы старый роутер подключите к локальной сети не его наружей, а внутренним интрфейсом lan. Не забудте заглушить на нём сервер DHCP. Пропишите маршрут по умолчанию вручную.

/etc/config/samba
config samba
    option 'interface' 'lo lan wan'

>[оверквотинг удален]
>

net rpc group members "Domain Users" -U bambucha3

> присутствую только я – администратор домена.
> Но по команде:
>

net rpc user info пользователь -U bambucha3

> и Аня и руководитель присутствуют в группе Domain Users
> Проблема: как сделать чтобы Анькин комп нормально входил в систему Windows/домен?
> Сразу скажу, что я не работаю сисадмином, моя работа вообще не связана
> с компами, и настраиваю компы в нашей огранизации только потому, что
> в них понимаю. Поэтому делаю между делом и изучать мануалы времени
> нет.

На клиентском компе в настройках сети в качестве DNS должен быть указан Samba PDC. Проверьте.

> На клиентском компе в настройках сети в качестве DNS должен быть указан Samba PDC. Проверьте.

А где он должен быть, здесь: https://ibb.co/s66yxt6 ?

Но в инструкции по настройке Samba PDC ( https://www.ylsoftware.com/news/259 ) такого нет и вручную я такого никогда не указывал, и раньше, на сдохшем сервере, всё работало.

Проблему решил, надо было пользователя по новой в домен вводить.

Расскажу по порядку.
Заметил, что когда сервер выключен, то anna логинится в виндовс/домен. Когда сервер включен, то не пускает.
Сделал так: выключил сервер, залогинился в виндовс/домен, переключился на WORKGROUP, перезагрузился, включил сервер и приплыл - всё равно не пускает в виндовс.
залогинился в виндовс как «администратор», без пароля, создал заново пользователя anna в группе администраторы, зашёл под ней и переключился с WORKGROUP на домен, и всё заработало.
Теперь входит, и я могу открыть её комп и печатать на её принтер.

Видимо просто настрой на старый сервер где-то глубоко зарыт был?

getent

Запроси в AD через LDAP, например так:

(member:1.2.840.113556.1.4.1941:=CN=UserName,CN=Users,DC=YOURDOMAIN,DC=NET)

На уровне каталога. support_1 не имеет прав на каталог exchange.

lxc вручную настроен или из под, например, Proxmox?

> Где копать?

Прошу прощение за беспокойство, сам разобрался. Естественно самба ищет пользователей и пароль в системе через nss_ldap. Соответственно там и указывается где искать

nss_base_passwd ou=users,dc=xxx,dc=ru?one
заменил на
nss_base_passwd ou=users,dc=xxx,dc=ru?sub

теперь юзеров можно распихивать в любые подюниты users. При большом их количестве это очень удобно.

> Подскажите пожалуйста в чем может быть дело.

ты не виноват, это linux плохой или старый у тебя.

Есть предположение что файловая система или ACL блокирует всё, так как со стороны smb.conf не было не каких изменений, а через терминал я не могу открыть даже текстовый файл не кем кроме root, при этом в правах ACL и просто разрешениях на файл ставлю полный доступ.

su support_1 -c 'cat 1'
su: /bin/false: Permission denied
su root -c 'cat 1'
test

> небольшим битрейтом проигрываются на устройствах отлично, но фото с NAS листаются
> с задержкой в несколько секунд. Размер фотографий около 5 мб, формат
> jpeg. Подскажите - почему так может происходить?

Может быть недостаток IOPS и глюки кэша файловой системы в W10. Попробуй линуксового клиента.

Ещё может быть настроено агрессивное энергосбережение - диски выключаются сразу же после чтения файла. Чтобы открыть следующий, нужно дождаться раскрутки ротора. Попробуй перекачать пачку файлов, а не разглядывать.

Может быть и диск со сбоем. Вытащи, воткни напрямую в компьютер, прогони SMART тест. Скорее всего, плакать захочется - в говно-NAS хорошие диски не ставят. Пара битых 3.5" на 5600 rpm, да ещё в RAID1.

> но фото с NAS листаются с задержкой в несколько секунд.

Чем листаете?
Если пачку фотографий к себе скопировать, тоже по несколько секунд на каждую тратит?
А потом полистать локально, скорость нормальная?

Я бы заподозрил глюк приложения которое с фотографиями работает. Например, что-то связанное с генерацией превьюшек, и попытками их закэшировать обратно на NAS.

> Привет специалистам ИТ отрасли  Подскажите пожалуйста. Есть NAS на Android (Beelink
> на Amlogik S922X (4ГБ ОЗУ/64 ГБ ПЗУ) с гигабитной сетью). Сетевая
> папка работает по smb2 (приложение LAN drive). Скорость между ПК (Win10
> x64) и NAS около 32 МБ/с (256 Мбит/с), UHD фильмы с
> небольшим битрейтом проигрываются на устройствах отлично, но фото с NAS листаются
> с задержкой в несколько секунд. Размер фотографий около 5 мб, формат
> jpeg. Подскажите - почему так может происходить?

у меня таже проблема, ты нашёл уже решение?

Читай journalctl, много думай.

Настроить pam_ldap и nss_ldap[d] что бы брали пользователей в том числе из AD

> Добрый день. Дистрибутив OpenSUSE leap 42.2 x86_64, samba 4. В домен ввел
> стандартными средствами YAST2. На компьютере установлена 1С 8.3.9.1850 x86_64, если запускать
> от любого локального пользователя, то все запускается корректно, если запустить под
> пользователем домена ,то вываливается ошибка "Ошибка сегментирования (core dumped)".
> На другие программы я сделал через net groupmap маппинг групп домена
> и локальных, и там все в порядке. При входе под пользователем
> домена локального пользователя не создается, а есть ли возможность создания его
> с стандартными группами и правами для пользователя. Думаю это исправит ситуацию.
> Или есть какие-то другие способы решения этой проблемы?

Вот Howto с Ubuntu. Это всё работало для samba 3 точно. Обратите внимание на конфигурацию nsswitch.conf (это добавляет пользователей AD и они становятся как локальные) и PAM (это позволяет пользователям AD зайти в систему).

shell script?

> По-прежнему, глухо? Средствами Дженкинса не реализуемо? Тогда как лучше подключать SMB
> и копировать файлы в Дженкинсе? Не хочу монтировать эту share перманентно,
> лучше будет, если она каждый раз будет монтироваться на время выполнения
> задачи и отключаться при его окончании. Есть что-либо рекомендуемое, помимо прописывания
> mount для пользователя jenkins в sudoers?

/etc/security/limits.conf

попробуй добавить (изменить)

*                soft    nproc          unlimited
*                hard    nproc          unlimited

> Прошу помочь решить проблему, указать куда ковырять и т.д.

Похоже на проблемы с DNS или WINS. Вообще, если WINS вам не нужен (а зачем он нужен в домене?), то лучше бы его отключить, конечно.

Проверьте, что в /etc/resolv.conf нет лажи и что все указанные там сервера отвечают одинаково и быстро.

Лимиты увеличивать здесь точно не поможет.

UPD: Заработался. WINS вам нужен, конечно, это я уже с NetBIOS путаю. Прошу прощения.

тему надо наверное закрывать, т.к. "она умерла", к сожалению
спасибо откликнувшимся

Если еще кому-нибудь интересно - закончилось установкой более свежей версии сабмы. сейчас стоит 4.7.8.
На протяжении почти 3-х недель боков не наблюдал...

>[оверквотинг удален]
> SAMBA samba48-4.8.3
> Все работает, но в логах при старте samba 4 пишет:
>   standard_fail_register: Failed to register/refresh name FS<03> on subnet 192.168.5.108
> [2018/08/13 10:48:17.087954,  0] ../source3/nmbd/nmbd_mynames.c:36(my_name_register_failed)
>   my_name_register_failed: Failed to register my name FS<00> on subnet 192.168.5.108.
> [2018/08/13 10:48:17.087987,  0] ../source3/nmbd/nmbd_namelistdb.c:320(standard_fail_register)
>   standard_fail_register: Failed to register/refresh name FS<00> on subnet 192.168.5.108
> С hostname вроде все ок
> FS.rrrr.local
> Не могу понять где нарыть

Разобрался сам. Вообщем совпадающие имена в сети получились. Исправил имя на другое и все ок стало.