netapp存储配置练习_CIFS.doc

NetApp存储基础学习汇总(第三部分)目 录一、什么是CIFS21.1、定义21.2、CIFS通用 Internet 文件系统41.3、使用CIFS SETUP命令51.4、创建和访问共享101.5、启动或者关闭CIFS协议11二、CIFS概念深入学习122.1、CIFS概述122.2、CIFS和NFS的对比132.3、CIFS所服务的环境132.4、什么叫工作组132.4.1、如何加入工作组132.4.2、Workgroup中机器名解析142.4.4、工作组中如何做用户验证142.4.5、存储加入工作组142.4.6、存储在工作组中如何进行用户验证152.4.7、工作组的缺点152.5、什么是域152.5.1、域中的机器名解析152.5.2、加入域162.5.3、域中如何进行用户认证162.5.4、域里典型的几类机器172.5.5、将存储加入域172.5.6、在域环境的存储如何进行用户认证172.5.7、存储加入Windows 2000或之后版本的域182.5.8、存储在Windows 2000或之后版本域中如何认证用户182.5.9、在混合的windows域中182.5.10、什么是NetBIOS182.6、什么是Non-Windows Workgroup182.6.1、存储作为Non-Windows Workgroup服务器192.6.2、存储加入Non-Windows Workgroup（环境中包括LDAP和DNS）192.7、三种方式比较202.8、工作组和域中的CIFS特性202.9、Session, Share Access和File Authorization，客户端和服务器如何通讯212.10、在NETAPP FILER上开始使用CIFS22三、CIFS SETUP详解223.1、通常一个CIFS SETUP过程223.2、CIFS SETUP将存储加入工作组完全过程233.3、工作组模式下，访问控制如何设置273.4、实际案例测试293.5、共享级访问313.6、支持CIFS环境的一些文件31Active Directory domain authentication32Multiprotocol or NTFS-only 补充一下32几个和DC有关的cifs 子命令34共享资源的认证35Share-level Access35File Permission Attributes with Data ONTAP36Files Created to Support the CIFS Environment37CIFS Default Shares Created as a Result of cifs setup37NETAPP FILER的administration host:37Purpose of a Domain Administrator and Local Administrator Accounts38cifs shares38Share Management by Using the cifs access Command39Displaying CIFS Shares39Creating a Share39cifs access修改用户41CIFS Sessions42Stopping and Restarting CIFS Services43我的DC用起来不大正常,不知道啥原因43Auto Home Share on the Storage System45Auditing CIFS Events46CIFS Opportunistic Locks47杀毒47CIFS性能分析工具之cifs stat48cifs_stat Options48cifs top49NTFS-only 或者 Multiprotocol49/etc/usermap.cfg and /etc/passwd50FILER提供的用户转换51一、什么是CIFS 1.1、 定义CIFS是一种网络共享协议发展自微软的SMB协议。当使用CIFS，任何应用程序都可以通过网络访问和操作远程计算机上的文件和目录。在一个网络环境中,一个windows客户端用户有以下的需求：l 发现其它的计算机l 从角色是服务器的机器获取资源。这样就需要做以下工作:l 请求用户的验证(验证用户身份)与服务器之间建立会话。l 请求用户授权(权限)来访问共享和资源(目录和文件)。netapp dns infoDNS is enabledDNS caching is enabled0 cache hits0 cache misses0 cache entries0 expired entries0 cache replacementsIP Address State Last Polled Avg RTT Calls Errs-05 NO INFO 0 0 00 NO INFO 0 0 0Default domain: Search domains: C:UsersAdministratornet use 17密码或用户名在 17 无效。为 17 输入用户名: administrator输入 17 的密码:命令成功完成。C:UsersAdministratornet view 17在 17 的共享资源共享名 类型 使用为 注释-HOME Disk Default Sharetest Diskwangjun Diskwindowstest Disk命令成功完成。C:UsersAdministratornet use * /del /y您有以下的远程连接: 17c$ 17IPC$继续运行会取消连接。在与 17c$ 的连接中，有打开的文件和/或没有结束的目录搜索。命令成功完成。二者的区别域和工作组都是由一些计算机组成，比如我们可以把公司的每个部门组织成一个域或者一个工作组，网络部、软件部、销售部、客户服务部等等。这种组织关系和物理上电脑之间的连接没有关系，是逻辑意义上的。一个网络中可以创建多个域和多个工作组。 它们之间的区别可以归结为以下几点： u 首先创建方式不同，工作组可以由任何一个计算机的主人来创建，他在工作组输入新名称，重新启动一下就创建了一个新组，每一个电脑都可以创建一个组。而域只能由服务器来创建，其他的计算机只能加入这个域。u 其次是安全机制不同，在域中有可以登录该域的帐号，这些由域管理员来建立。在工作组中不存在组帐号，只有本机上的帐号和密码。 u 再次登录方式不同，在工作组方式下，计算机启动后自动就在工作组中。登录域是要提交域用户名和密码，一旦登录，便被赋予相应的权限。1.2、CIFS通用 Internet 文件系统samba - Windows SMB/CIFS 协议的文件服务器。The samba software suite is a collection of programs that implements the Server Message Block(commonly abbreviated as SMB) protocol for UNIX systems.This protocol is sometimes also referred to as the Common Internet File System (CIFS), LanManager or NetBIOS protocol.通用网际文件系统（CIFS）是微软服务器消息块协议（SMB）的增强版本，是计算机用户在企业内部网和因特网上共享文件的标准方法。CIFS 通过定义一种与应用程序在本地磁盘和网络文件服务器上共享数据的方式相兼容的远程文件访问协议使之能够在因特网上进行协作。CIFS 在 TCP/IP 上运行，利用因特网上的全球域名服务系统（DNS）增强其可扩展性，同时为因特网上普遍存在的慢速拨号连接优化。CIFS 利用重定向包可以通过网络发送至远端设备，而重定向器也利用 CIFS 向本地计算机的协议栈发出请求。CIFS 提供如下关键特点：l 文件访问的完整性：CIFS 支持一套通用的文件操作：打开、关闭、读，写以及搜索。CIFS 也支持文件和记录的锁定和解锁。CIFS 允许多个客户端访问和更新同一个文件，它通过提供文件共享和文件锁定功能来避免发生冲突。l 为慢速链接优化：CIFS 已被优化过，使之能在慢速拨号线路上良好运行，结果就是为使用调制解调器访问因特网的用户提供了改善的性能。l 安全性：CIFS 服务器既支持匿名传输，也支持对于指定文件的安全的、需要验证的访问。同时，也易于管理文件和目录的安全策略。l 高性能和可扩展性：CIFS 服务器和操作系统高度集成，为最大化系统性能而优化。CIFS 支持 Windows 95 之后的所有微软平台。它也支持其它流行的操作系统，如 UNIX、VMS、Macintosh 、IBM LAN server等。l 使用统一码（Unicode）文件名：文件名可以使用任何字符集，而不局限于为英语或西欧语言设计的字符集。l 全局文件名：用户不必挂载远程文件系统也能直接查阅到全局有效名称，而不是只有本地意义的那些名称。1.3、使用CIFS SETUP命令Windows域是一组计算机共享域主服务器上的目录数据库。把Filer加入windows domain如果你：l 需要集中管理l 整合 windows拓扑l 使用域控制器进行账户验证。cifs setup命令执行为存储执行最初的CIFS设置。在执行cifs setup之前你必须有CIFS license,另外存储必须可以与域主服务器通讯。Cifs setup可以通过console口或者telnet来执行，rsh执行不了。收集下列信息:l Windows domain的名字。l Wins服务器的名字,最多可以4个(这是可选项)l 域主服务器的管理员名和密码l 是否存储要被设置为多协议或者NTFS安全风格的。l 安全验证时哪种风格的windows域、windows工作组还是UNIX密码验证。只有”Domain administrator”的用户或者”Administrators”组有权限通过filerC$访问根卷。tan cifs setup =CIFS服务运行着，运行不了cifs setupCIFS Setup can not be run while CIFS is activetan cifs terminate -t 5 =先关闭CIFS服务There are no connected CIFS users-shutting down immediately.CIFS local server is shutting down.CIFS local server has shut down.tan cifs setup =启动cifsThis process will enable CIFS access to the filer from a Windows(R) system.Use ? for help at any prompt and Ctrl-C to exit without committing changes. This filer is currently a member of the Windows-style workgroup WORKGROUP.Do you want to continue and change the current filer account information? n: y Your filer does not have WINS configured and is visible only to clients on the same subnet.Do you want to make the system visible via WINS? n: n This filer is currently configured as a multiprotocol filer.Would you like to reconfigure this filer to be an NTFS-only filer? n: n The default name for this CIFS server is TAN.Would you like to change this name? n: n Data ONTAP CIFS services support four styles of user authentication. Choose the one from the list below that best suits your situation.(1) Active Directory domain authentication (Active Directory domains only)(2) Windows NT 4 domain authentication (Windows NT or Active Directory domains)(3) Windows Workgroup authentication using the filers local user accounts(4) /etc/passwd and/or NIS/LDAP authenticationSelection (1-4)? 1: 3What is the name of the Workgroup? WORKGROUP: CIFS - Starting SMB protocol.Welcome to the WORKGROUP Windows(R) workgroupCIFS local server is running.将存储加入windows active directory，在这个过程中，推荐在存储上创建一个本地管理员账户(TAN(机器名)administrator)。当域控制器不可访问的时候这个账户允许接受从windows客户端来的访问。CIFS需要创建本地/etc/passwd和/etc/group，缺省的/etc/passwd文件包含条目root,pcuser,和 nobody。将filer机器账户加入域里面，需要有充足的权限。tan cifs setup This process will enable CIFS access to the filer from a Windows(R) system.Use ? for help at any prompt and Ctrl-C to exit without committing changes. This filer is currently a member of the Windows-style workgroup WORKGROUP.Do you want to continue and change the current filer account information? n: y Your filer does not have WINS configured and is visible only to clients on the same subnet.Do you want to make the system visible via WINS? n: y You can enter up to 4 IPv4 WINS server addresses.IPv4 address(es) of your WINS name server(s) : 5Would you like to specify additional WINS name servers? n: This filer is currently configured as a multiprotocol filer.Would you like to reconfigure this filer to be an NTFS-only filer? n: The default name for this CIFS server is TAN.Would you like to change this name? n: Data ONTAP CIFS services support four styles of user authentication. Choose the one from the list below that best suits your situation.(1) Active Directory domain authentication (Active Directory domains only)(2) Windows NT 4 domain authentication (Windows NT or Active Directory domains)(3) Windows Workgroup authentication using the filers local user accounts(4) /etc/passwd and/or NIS/LDAP authenticationSelection (1-4)? 1: What is the name of the Active Directory domain? lentil.local: In Active Directory-based domains, it is essential that the filers time match the domains internal time so that the Kerberos-based authentication system works correctly. If the time difference between the filer and the domain controllers is more than 5 minutes, authentication will fail. Time services are currently not configured on this filer. cifs setupThis process will enable CIFS access to the filer from a Windows(R) system.Use ? for help at any prompt and Ctrl-C to exit without committing changes. This filer is currently a member of the Active Directory domain LENTIL.LOCAL.Do you want to continue and change the current filer account information? n: tan cifs setup =加入wins服务器This process will enable CIFS access to the filer from a Windows(R) system.Use ? for help at any prompt and Ctrl-C to exit without committing changes. This filer is currently a member of the Active Directory domain LENTIL.LOCAL.Do you want to continue and change the current filer account information? n: y Your filer is currently visible to all systems using WINS. The WINS name server currently configured is: 5 .(1) Keep the current WINS configuration(2) Change the current WINS name server address(es)(3) Disable WINSSelection (1-3)? 1: 2 You can enter up to 4 IPv4 WINS server addresses.IPv4 address(es) of your WINS name server(s) : 5Would you like to specify additional WINS name servers? n: This filer is currently configured as a multiprotocol filer.Would you like to reconfigure this filer to be an NTFS-only filer? n: The default name for this CIFS server is TAN.Would you like to change this name? n: Data ONTAP CIFS services support four styles of user authentication. Choose the one from the list below that best suits your situation.(1) Active Directory domain authentication (Active Directory domains only)(2) Windows NT 4 domain authentication (Windows NT or Active Directory domains)(3) Windows Workgroup authentication using the filers local user accounts(4) /etc/passwd and/or NIS/LDAP authenticationSelection (1-4)? 1: 1What is the name of the Active Directory domain? LENTIL.LOCAL: In order to create an Active Directory machine account for the filer, you must supply the name and password of a Windows account with sufficient privileges to add computers to the LENTIL.LOCAL domain.Enter the name of the Windows user AdministratorLENTIL.LOCAL: Password for AdministratorLENTIL.LOCAL: CIFS - Logged in as AdministratorLENTIL.LOCAL. An account that matches the name TAN already exists in Active Directory: cn=tan,cn=computers,dc=lentil,dc=local. This is normal if you are re-running CIFS Setup. You may continue by using this account or changing the name of this CIFS server.Do you want to re-use this machine account? y: CIFS - Starting SMB protocol. Currently the user TANadministrator and members of the group LENTIL_ASDomain Admins have permission to administer CIFS on this filer. You may specify an additional user or group to be added to the filers BUILTINAdministrators group, thus giving them administrative privileges as well.Would you like to specify a user or group that can administer CIFS? n: yEnter the name of a user or group that will administer CIFS on the filer : administratorWelcome to the LENTIL.LOCAL (LENTIL_AS) Active Directory(R) domain.CIFS local server is running.下图：Wins服务器里可以看见存储了。1.4、创建和访问共享 作为管理员在存储上创建了目录和qtrees,但是用户是不可能自动获得它们的，你必须创建与目录或者qtrees一致的共享,用户才可以访问他们。 在创建共享的时候，你必须提供：n 目录或者qtree的全路径名。n 共享的名字，用户用共享名来访问目录或qtree。 DataONTAP 共享的命名规则与windows是类似的,共享名由$符号来结束是隐藏的共享和特定的共享名，比如:ADMIN$和IPC$是保留的,共享名大小写不敏感。 在创建共享的时候，你还可以指定一些选项：n 共享的描述n 同时在线的用户数量的限制tan cifs sharesName Mount Point Description- - -ETC$ /etc Remote AdministrationBUILTINAdministrators / Full ControlHOME /vol/vol0/home Default Share everyone / Full ControlC$ / Remote AdministrationBUILTINAdministrators / Full Controltan cifs shares -add test /vol/vol2 -comment just test -maxusers 5 =新建一个共享tan cifs shares test Name Mount Point Description- - -test /vol/vol2 just test. user limit=5 everyone / Full Controltan cifs shares -change test nomaxuserstan cifs shares delete test当创建完共享后,就可以用cifs access命令去设置或修改共享的ACL(Access Control List).cifs access命令设置或修改共享级别。也可以设置widows机器账户的访问当使用Kerberos的时候。tancifs access share -g user|group rightsshare参数指定在什么位置设置ACL。-g指定用户是unix组。用这个选项是当你有unix组和unix用户或NT用户或组具有相同名字的时候。user或group参数,可以是域里的用户或组也可以是指定组的每个成员也可以是UNIX的用户或组，或者是特殊的全包括的组everyone。User|group:如果存储加入域了，使用域验证，可以是域里的用户或组。right参数:可以分配NT类型或者UNIX类型的权限。NT权限是:No access、read、change和full control。UNIX权限是r(读)w(写)x(执行)-等。tancifs access delete share user|group-cifs access示例-下例在共享releases上授予ENGINEERINGmary用户read权限。 tan cifs access releases ENGINEERINGmary Read 在共享accounting上授予john用户UNIX读和执行权限。tan cifs access accounting john rx 下例在sysadmins共享上授予unix组wheel全部控制权限。 tan cifs access sysadmins -g wheel Full Control 下例是删除releases共享上的ACL条目tan cifs access -delete releases ENGINEERINGmary 下例 Windows机器账户访问其主目录。 tan cifs access cifs.homedir -m tan cifs testdc =测试存储与域控制器的连接Using Established configurationCurrent Mode of NBT is H Mode = H-node 是把 B-node 和 P-node 组合在一起。默认情况下向 WINS 服务器进行查询，如果失败，再使用广播的方式。如果 两种方法都失败，则查询 Lmhosts 文件,寻找相应的地址。Netbios scope Registered names. TAN WINS TAN WINS TAN WINS LENTIL_AS WINS Testing all Primary Domain Controllersfound 1 unique addressesfound PDC LENTIL at 5Testing all Domain Controllersfound 1 unique addressesfound DC LENTIL at 5这是cifs access可以设置的权限。1.5、启动或者关闭CIFS协议cifs terminate命令用来停止CIFS服务.如果一个主机名指定了，则这个主机上面的所有cifs session都将被终止。如果没有指定主机名，则所有连接到filer的CIFS进程都将被终止。如果用户通过共享有打开的文件，可以在cifs terminate命令后面加上-t选项，这样可以提示用户保存文件，关闭服务。tancifs terminate -t time workstationtancifs restarttan cifs sessionsServer Registers as TAN in workgroup WORKGROUPFiler is using C for DOS usersUsing Local Users authentication=PC IP(PC Name) (user) #shares #files0() (TANadministrator - root) 2 0tan cifs terminate -t 5 05 minutes left until termination (C to abort).Station 0(WANGJUN-PC) could not be notifiedMon Dec 21 05:17:42 GMT nbt.nbss.socketError:error: NBT: Cannot connect to server 0 over NBSS socket for port 139. Session setup erro