毕业论文设计-Samba.docx

毕业论文设计Linux（企业版）下的Samba配置与应用年 级： 学 号： 姓 名： 专 业： 计算机网络 指导老师： 二零一二年六月目录一、Samba原理11.架设Samba 服务器的前提12.Samba概述13.Samba应用环境14.Samba工作原理2二、安装Samba服务31.Samba所需软件32.Samba的安装3三、Samba常规服务器配置41 . 主要配置文件smb.conf42. Samba服务日志文件113. Samba服务密码文件124. Samba的启动与停止145.share服务器实例及详解166.user服务器实例及详解18四、Samba高级服务器配置211 用户账号映射212 客户端访问控制233 设置Samba的权限254. Samba的隐藏共享25五、Samba客户端配置271 Linux客户端访问Samba共享272 Windows客户端访问Samba共享28六、Samba的打印共享301设置global配置项302设置printers配置项30七、Samba企业实战与应用301 企业环境及需求302 需求分析313 解决方案31八、Samba排错351Linux服务一般的排错方法352samba服务故障排错35【摘要】：接触Linux我们听的最多的就是Samba服务，为什么Samba应用这么广泛，原因是Samba最先在Linux和Windows两个平台之间架起了一座桥梁，正是由于Samba的出现，我们可以在Linux系统和Windows系统之间互相通信，比如拷贝文件、实现不同操作系统之间的资源共享等等，我们可以将其架设成一个功能非常强大的文件服务器，也可以将其架设成打印服务器提供本地和远程联机打印，甚至我们可以使用samba Server完全取代NT/2K/2K3中的域控制器，做域管理工作，使用也非常方便。【关键词】：Samba;服务配置；访问控制；企业应用；一、 Samba原理1. 架设Samba 服务器的前提Linux是一个多用户的操作系统，对任何服务器的架设与都用户、用户组及权限相关，这是操作的基础。Samba服务器也不例外，对这些知识的掌握也是极为重要的。在Windows系统上虽然也能架共享文件服务器，但它的权限控制实在令人不敢恭维。如果我们用Windows系统来架网络共享文件系统，就是点鼠标也能把我们点迷糊了。但在Linux中，我们可以轻松的改一改配置文件，不到几分钟就能建好自己的Samba服务器。哪个更容易，只有你知道；对于Samba服务器的架设，有的弟兄简单的认为，只要把改一下配置文件，创建好相应的目录就行了。其实并不是这样的，还要深入的工作，比如目录的权限和归属，也就是说能让哪个用户和用户组有读写权。只有把配置文件和共享目录的权限结合起来，才能架好Samba服务器；2. Samba概述Samba（SMB是其缩写） 是一个网络服务器，用于Linux和Windows共享文件之用；Samba 即可以用于Windows和Linux之间的共享文件，也一样用于Linux和Linux之间的共享文件；不过对于Linux和Linux之间共享文件有更好的网络文件系统NFS，NFS也是需要架设服务器的；大家知道在Windows 网络中的每台机器即可以是文件共享的服务器，也可以同是客户机；Samba 也一样能行，比如一台Linux的机器，如果架了Samba Server 后，它能充当共享服务器，同时也能做为客户机来访问其它网络中的Windows共享文件系统，或其它Linux的Sabmba 服务器；我们在Windows网络中，看到共享文件功能知道，我们直接就可以把共享文件夹当做本地硬盘来使用。在Linux的中，就是通过Samba的向网络中的机器提供共享文件系统，也可以把网络中其它机器的共享挂载在本地机上使用；这在一定意义上说和FTP是不一样的。3. Samba应用环境文件和打印机共享：文件和打印机共享是Samba的主要功能，SMB进程实现资源共享，将文件和打印机发布到网络之中，以供用户可以访问。身份验证和权限设置：smbd服务支持user mode和domain mode等身份验证和权限设置模式，通过加密方式可以保护共享的文件和打印机。名称解析：Samba通过nmbd服务可以搭建NBNS(NetBIOS Name Service)服务器，提供名称解析，将计算机的NetBIOS名解析为IP地址。浏览服务：局域网中，Samba服务器可以成为本地主浏览服务器（LMB），保存可用资源列表，当使用客户端访问Windows网上邻居时，会提供浏览列表，显示共享目录、打印机等资源。4. Samba工作原理Samba服务功能强大，这与其通信基于SMB协议有关。SMB不仅提供目录和打印机共享，还支持认证、权限设置。在早期，SMB运行于NBT协议（NetBIOS over TCP/IP）上，使用UDP协议的137、138及TCP协议的139端口，后期SMB经过开发，可以直接运行于TCP/IP协议上，没有额外的NBT层，使用TCP协议的445端口。（1）Samba工作流程当客户端访问服务器时，信息通过SMB协议进行传输，其工作过程可以分成四个步骤：步骤1：协议协商客户端在访问Samba服务器时，发送negprot指令数据包，告知目标计算机其支持的SMB类型。Samba服务器根据客户端的情况，选择最优的SMB类型，并做出回应。步骤2：建立连接当SMB类型确认后，客户端会发送session setup指令数据包，提交帐号和密码，请求与Samba服务器建立连接，如果客户端通过身份验证，Samba服务器会对session setup报文作出回应，并为用户分配唯一的UID，在客户端与其通信时使用。 步骤3：访问共享资源客户端访问Samba共享资源时，发送tree connect指令数据包，通知服务器需要访问的共享资源名，如果设置允许，Samba服务器会为每个客户端与共享资源连接分配TID,客户端即可访问需要的共享资源。步骤4：断开连接共享使用完毕，客户端向服务器发送tree disconnect报文关闭共享，与服务器断开连接。 （2）Samba相关进程Samba服务是由两个进程组成，分别是nmbd和smbd。nmbd：其功能是进行NetBIOS名解析，并提供浏览服务显示网络上的共享资源列表。smbd：其主要功能就是用来管理Samba服务器上的共享目录、打印机等，主要是针对网络上的共享资源进行管理的服务。当要访问服务器时，要查找共享文件，这时我们就要依靠smbd这个进程来管理数据传输。二、 安装Samba服务1. Samba所需软件在我们安装Samba服务之前，我们先来了解一下其所需要的软件包以及它们的用途。samba-3.0.33-3.29.el5_6.2.rpm：该包为Samba服务的主程序包。服务器必须安装该软件包，后面的数字为版本号。samba-client-3.0.33-3.29.el5_6.2.rpm：该包为Samba的客户端工具，是连接服务器和连接网上邻居的客户端工具并包含其测试工具。samba-common-3.0.33-3.29.el5_6.2.rpm：该包存放的是通用的工具和库文件，无论是服务器还是客户端都需要安装该软件包。samba-swat-3.0.33-3.29.el5_6.2.rpm：当安装了这个包以后，就可以通过浏览器（比如IE等）来对Samba服务器进行图形化管理。（本包较少使用，以下不再赘述）2. Samba的安装建议在安装Samba服务之前，使用rpm -qa命令检测系统是否安装了Samba相关性软件包：rpm -qa |grep samba图1如果系统还没有安装Samba软件包，我们可以使用rpm命令安装所需软件包。安装Samba主程序包：rpm -ivh samba-3.0.33-3.29.el5_6.2.rpm其他软件包的安装方法也一样。安装Samba客户端工具：rpm -ivh samba-client-3.0.33-3.29.el5_6.2.rpm安装Samba通用工具和库文件：rpm -ivh samba-common-3.0.33-3.29.el5_6.2.rpm所有软件包安装完毕之后，我们可以使用rpm命令进行查询：rpm -qa | grep samba三、 Samba常规服务器配置 在Samba服务安装完毕之后，并不是直接可以使用Windows或Linux的客户端访问Samba服务器，我们还必须对服务器进行设置，下面需要做的操作就是说我们要告诉Samba服务器将哪些目录共享出来给客户端进行访问，并根据需要设置其他选项，比如添加对共享目录内容的简单描述信息和访问权限等具体设置。作为我们Linux系统工程师了解及熟悉Samba服务器的搭建流程是至关重要的。基本的Samba服务器的搭建流程主要分为四个步骤：a) 编辑主配置文件smb.conf,指定需要共享的目录，并为共享目录设置共享权限。b) 在smb.conf文件中指定日志文件名称和存放路径。c) 设置共享目录的本地系统权限。d) 重新加载配置文件或重新启动smb服务，使用配置生效e) 为了更好地理解设定流程中每一步的作用，下面通过一个图例进行讲解Samba工作流程：a) 客户端请求访问Samba服务器上的Share共享目录。b) Samba服务器接收到请求后，会查询主配置文件smb.conf，看是否共享了Share目录，如果共享了这个目录则查看客户端是否有权限访问。c) Samba服务器会将本次访问信息记录在日志文件之中，日志文件的名称和路径都是需要我们设置。d) 如果客户端满足访问权限设置，则允许客户端进行访问。e) 实际上，Samba服务器和我们的图书馆有点相似之处，图书馆为读者共享了图书资源，而Samba服务器共享了我们的文件数据。图书馆会有图书分类，比如科普类、文学类等，并且图书馆会对借阅的图书做限制，拥有资格的读者，才可以借阅相应的图书，当然读者访问图书馆时，图书管理员会对他们的浏览、借阅信息进行记录。对于Samba服务器来说，其主配置文件smb.conf记录了共享的目录列表。比如share目录，temp目录等。对于每个共享目录，需要配置相应权限，服务器会根据smb.conf文件中的设置，判断客户端是否有权限访问，只有拥有权限才可以访问服务器的资源。Samba服务器同样会对用户的行为进行记录，每一次访问的信息都会记录在日志文件中，以便我们Linux管理员查询哪些客户端访问过Samba服务器。我们大致讲了Samba工作流程后，下面我们将对Samba具体配置过程中遇到的重要概念进行详细讲解.1 . 主要配置文件smb.conf我们先从最重要的配置文件开始，Samba的配置文件一般就放在/etc/samba目录中，主配置文件名为smb.conf。如果把Samba服务器比喻成一个公共图书馆，那么/etc/samba目录中，那么主配置文件/etc/samba/smb.conf文件，就相当于这个图书馆的图书总目录，记录着大量的共享信息和规则，所以该文件是samba服务非常重要的核心配置文件，几乎绝大部分的配置文件都在该文件中进行的。此外，在smb.conf这个配置文档中本身就含有非常丰富的说明，所以在我们配置之前可以先看一下这样说明性的文字。我们先看一下smb.conf这个文件：vim /etc/samba/smb.conf图2图3smb.conf配置文件有288行内容，配置也相对比较复杂，不过我们不用担心，Samba开发组按照功能不同，对smb.conf文件进行了分段划分，条理非常地清楚。下面我们来具体看下smb.conf的内容，smb.conf大致分为三个部分，我们来了解一下，其中我们经常要使用到的字段，我们将以实例解释，其他字段我们整理到字段汇总，有兴趣的可以去看下。（1） samba配置简介smb.conf文件的开头部分为samba配置简介，告诉我们smb.conf文件的作用及相关信息。图4smb.conf中以“#”开头的为注释，为用户提供相关的配置解释信息，方便用户参考，不用修改它。smb.conf中还有以“;”开头的，这些都是samba配置的格式范例，默认是不生效的，可以通过去掉前面的“;”并加以修改来设置想使用的功能。（2） Global SettingsGlobal Settings设置为全局变量区域。那什么是全局变量？全局变量就是说我们只要在global时进行设置，那么该设置项目就是针对所有共享资源生效的。这与以后我们学习的很多服务器配置文件相似。该部分以global开始:图5smb.conf配置通用格式，对相应功能进行设置：字段=设定值下面我们说下global常用字段及设置方法：1设置工作组或域名称工作组是网络中地位平等的一组计算机，可以通过设置workgroup字段来对samba服务器所在工作组或域名进行设置。我们设置samba服务器的工作组为RHEL52器描述服务器描述实际上类似于备注信息，在一个工作组中，可能存在多台服务器，为了方便用户浏览，我们可以在server string配置相应描述信息，这样用户就可以通过描述信息知道自己要登录哪台服务器了啊我们设置samba描述信息为“RHEL5 File Server”。图63设置samba服务器安全模式samba服务器有share、user、server、domain和ads 五种安全模式，用来适应不同的企业服务器需求。图7（1）share安全级别模式客户端登录samba服务器，不需要输入用户名和密码就可以浏览samba服务器的资源，适用于公共的共享资源，安全性差，需要配合其他权限设置，保证samba服务器的安全性。（2）user安全级别模式客户端登录samba服务器，需要提交合法帐号和密码，经过服务器验证才可以访问共享资源，服务器默认为此级别模式。（3）server安全级别模式客户端需要将用户名和密码，提交到指定的一台samba服务器上进行验证，如果验证出现错误，客户端会用user级别访问。（4）domain安全级别模式如果samba服务器加入windows域环境中，验证工作服将由windows域控制器负责，domain级别的samba服务器只是成为域的成员客户端，并不具备服务器的特性，samba早期的版本就是使用此级别登录windows域的。（5）ads安全级别模式当samba服务器使用ads安全级别加入到windows域环境中，其就具备了domain安全级别模式中所有的功能并可以具备域控制器的功能。（3）、Share Definitions共享服务的定义Share Definitions设置对象为共享目录和打印机，如果我们想发布共享资源，需要对Share Definitions部分进行配置。Share Definitions字段非常丰富，设置灵活。图8我们先来讲下几个最常用的字段1设置共享名共享资源发布后，必须为每个共享目录或打印机设置不同的共享名，给网络用户访问时使用，并且共享名可以与原目录名不同。共享名设置非常简单：共享名我们来看个例子，Samba服务器中有个目录为/share，需要发布该目录成为共享目录，定义共享名为public图92共享资源描述网络中存在各种共享资源，为了方便用户识别，可以为其添加备注信息，以方便用户查看时知道共享资源的内容是什么。格式：comment = 备注信息举个例子,samba服务器上有个/sales目录存放公司销售部的数据，为了对公司部门员工进行区分，可以添加备注信息。图103共享路径共享资源的原始完整路径，可以使用path字段进行发布，务必正确指定。格式：path = 绝对地址路径samba服务器上/share/tools目录存放常用工具软件，需要发布该目录为共享，我们可以这样做。图114设置匿名访问共享资源如果对匿名访问进行设置，可以更改public字段。格式：public = yes #允许匿名访问public = no #禁止匿名访问samba服务器/share共享目录允许匿名用户访问，可以这样设置。图125设置访问用户如果共享资源存在重要数据的话，需要对访问用户审核，我们可以使用valid users字段进行设置格式：valid users = 用户名valid users = 组名我们来看下面一个例子，samba服务器/share/tech目录存放了公司技术部数据，只允许技术部员工和经理访问，技术部组为tech,经理帐号为gm图136设置目录只读共享目录如果限制用户的读写操作，我们可以通过readonly实现格式：readonly = yes #只读readonly = no #读写samba服务器公共目录/public存放大量共享数据，为保证目录安全我们只允许读取，禁止写入图147设置目录可写如果共享目录允许用户写操作，可以使用writable或write list两个字段进行设置writable格式：writable = yes #读写writable = no #只读write list格式：write list = 用户名write list = 组名注意：homes为特殊共享目录，表示用户主目录。printers表示共享打印机。2. Samba服务日志文件日志文件对于samba非常的重要，它存储着客户端访问samba服务器的信息，以及samba服务的错误提示信息等，可以通过分析日志，帮助解决客户端访问和服务器维护等问题。在/etc/samba/smb.conf文件中，log file为设置samba日志的字段。图15samba服务的日志文件默认存放在/var/log/samba/中，其中samba会为每个连接到samba服务器的计算机分别建立日志文件。我们启动smb服务：service smb start使用ls -a命令可以查看日志的所有文件。图16其中，当samba服务器刚刚建立好后，只有两个文件，分别是nmbd.log和smbd.log，它们分别记录nmbd和smbd进程的运行日志。nmbd.log记录nmbd进程的解析信息。smbd.log记录用户访问samba服务器的问题，以及服务器本身的错误信息，可以通过该文件获得大部分的samba维护信息。当客户端通过网络访问samba服务器后，会自动添加客户端的相关日志。所以，我们Linux管理员可以根据这些文件来查看用户的访问情况和服务器的运行情况。另外当samba服务器工作异常时，也可以通过/var/log/samba/下的日志进行分析。3. Samba服务密码文件samba服务器发布共享资源后，客户端访问samba服务器，需要提交用户名和密码进行身份验证，验证合格后才可以登录。samba服务为了实现客户身份验证功能，将用户名和密码信息存放在/etc/samba/smbpasswd中，在客户端访问时，将用户提交资料与smbpasswd存放的信息进行比对，如果相同，并且samba服务器其他安全设置允许，客户端与samba服务器连接才能建立成功。那如何建立samba帐号呢？我说之前先强调一点，samba帐号并不能直接建立，需要先建立Linux同名的系统帐号。比如如果我们要建立一个名为michael的samba帐号，那Linux系统中必须提前存在一个同名的michael系统帐号。samba中添加帐号命令为smbpasswd，命令格式:smbpasswd -a 用户名我们来测试下，在samba服务器中添加samba帐号cjq,我们建立samba帐号之前必须先添加相对应的系统帐号，使用useradd命令建立帐号cjq执行passwd命令为帐号cjq置密码,最后我们添加cjq用户的samba帐号，执行smbpasswd添加帐号redking到samba配置文件中。图17OK，Samba帐号添加完毕，如果我们在添加samba帐号时输入完两次密码出错：Failed to modify password entry for user amy，这是因为Linux本地用户里没有amy这个用户，我们在系统里面添加一下就OK了所以，务必要注意在建立samba帐号之前，一定要先建立一个与samba帐号同名的系统帐号。我们经过上面的设置，再次访问samba共享文件时就可以使用 cjq或amy帐号访问了。注意：解决/etc/samba目录下没有smbpasswd文件原因：samba启用了tdbsam验证。图18解决：smb.conf文件中注释掉passdb backend = tdbsam一行，加上smb passwd file = /etc/samba/smbpasswd，然后保存退出。这样再建立用户就产生了/etc/samba/smbpasswd文件了。使用cat命令查看smbpasswd文件内容：cat /etc/samba/smbpasswd4. Samba的启动与停止（1）samba服务的启动service smb start或/etc/rc.d/init.d/smb start图19（2）samba服务的停止service smb stop或/etc/rc.d/init.d/smb stop图20（3）samba服务的重启service smb restart或/etc/rc.d/init.d/smb restart图21（4）samba服务配置重新加载service smb reload或/etc/rc.d/init.d/smb reload图22注意：Linux服务中，当我们更改配置文件后，一定要记得重启服务，让服务重新加载配置文件，这样新的配置才可以生效。(5) 自动加载samba服务chkconfig我们可以使用chkconfig命令自动加载smb服务: chkconfig -level 3 smbon #运行级别3自动加载chkconfig -level 3 smb off #运行级别3不自动加载图23ntsysv我们还可以使用ntsysv命令利用文本图形界面对smb自动加载进行配置，如果要自动加载smb可以在其前面选中“*”，否则取消掉就不自动加载了。图245. share服务器实例及详解ok,上面已经对samba的相关性配置文件讲了个大概，现在我们通过实例来掌握一下samba具体使用流程来搭建samba服务器。如果公司现在用一个工作组Workgroup需要添加samba服务器作为文件服务器，并发布共享目录/share，共享名为public,这个共享目录允许所有公司员工访问。我们分析下，这个案例属于samba的基本配置，我们可以实用share安全级别模式，既然允许所有员工访问，则需要为每个用户建立一个samba帐号，那么如果公司拥有大量用户呢？1000个用户，100000个用户，一个个设置会非常的麻烦，我们可以通过配置security = share来让所有用户登录时采用匿名帐户nobody访问，这样实现起来非常简单。（1）修改samba主配置文件smb.confvim /etc/samba/smb.conf(1).设置samba服务器工作组名为Workgroup(2).添加samba服务器注释信息为File Server(3).设置samba安全级别为share模式，允许用户匿名访问 workgroup = WORKGROUP #设置samba服务器工作组名为workgroup server string = File Server #添加samba服务器注释信息为File Server security = share #设置samba安全级别为share模式，允许用户匿名访问(4).设置共享目录的共享名为public(5).设置共享目录的绝对路径为/share(6).最后我们设置允许匿名访问设置完smb.conf后保存退出（2）重新加载配置上面我们说过，Linux为了使新配置生效，需要重新加载配置，可以使用restart重新启动服务或者使用reload重新加载配置注意：这里强调一下细节，重启samba服务，虽然可以让配置生效，但是restart是先关闭samba服务，再开启服务，这样如果在公司网络运营中肯定会对客户端员工的访问造成影响，建议使用reload命令重新加载配置文件使其生效，这样不需要中断服务就可以重新加载配置。samba服务器通过以上设置，现在用户就可以不需要输入帐号和密码就可以直接登录samba服务器并访问public共享目录我们测试下，在/share目录下建个文件试下：touch /share/test_sharemode_samba.tar我们看下效果图256. user服务器实例及详解上面的案例我们讲了share安全级别模式的samba服务器，可以实现用户方便的通过匿名方式访问，但是如果在我们samba服务器上存在重要文件的目录，为了保证系统安全性及资料保密性，我们就必须对用户进行筛选，允许或禁止相应的用户访问指定的目录，这里share安全级别模式就不能满足我们这样的实际要求了。实现用户身份验证的方法很多，我们可以将安全级别模式配置为user、server、domain和ads，但是最常用的还是user安全级别模式，下面偶就来看下user这个安全级别模式的配置。如果公司有多个部门，因工作需要，我们就会分门别类的建立相应部门的目录，并将销售部的资料存放在samba服务器的/companydata/sales/目录下,集中管理，以便销售人员浏览，并且该目录只允许销售部员工访问。我们分析下，在/companydata/sales/目录中存放有销售部的重要数据，为了保证其他部门无法查看其内容，我们需要将全局配置中security设置为user安全级别，这样就启用了samba服务器的身份验证机制，然后在共享目录/companydata/sales下设置valid users字段，配置只允许销售部员工能够访问这个共享目录。（1）添加销售部用户和组并添加相应samba帐号使用groupadd命令添加sales组，然后执行useradd命令和passwd命令添加销售部员工的帐号及密码.图26接下来为销售部成员添加相应samba帐号（2）修改samba主配置文件smb.conf(1).设置user安全级别模式(2).设置销售部共享目录为sales(3).指定共享目录为绝对路径为/companydata/sales(4).设置可以访问的用户为sales组成员图27（3）重新加载配置上个案例讲过了，要让修改后的Linux配置文件生效，我们就要重新加载配置。#service smb reload现在我们测试下图28输入销售部的帐号及密码进行登录打开sales共享目录图29这样销售部成员就可以进行访问sales共享目录下的数据了注意：win7无法访问Samba默认情况下，Windows 7无法正常访问NAS或者Samba服务器上的共享文件夹。原因在于从Vista开始，微软默认只采用NTLM v2协议的认证回应消息了，而目前的NAS系统和Samba还只支持LM或者NTLM。解决的办法是：单击”开始“-“运行”，输入secpol.msc，打开“本地安全策略”，在本地安全策略窗口中依次打开“本地策略”-“安全选项”，然后再右侧的列表中找到“网络安全：LAN 管理器身份验证级别”，把这个选项的值改为“发送 LM 和 NTLM 如果已协商，则使用 NTLMv2 会话安全”，最后确定。图30四、 Samba高级服务器配置上面我说了下samba的常规配置，这些已经可以使用企业内部的资料通过网络共享并分配适当的共享权限来管理共享目录，但这仅仅对于很多大型企业或安全要求高的来说还是不能满足其需求，所以我下面就来讲下samba的高级服务器配置让我们搭建的samba服务器功能更强大，管理更灵活，我们的数据也更安全1 用户账号映射前面已经说过，samba的用户帐号信息是保存在smbpasswd文件中的，而且可以访问samba服务器的帐号也必须对应一个同名的系统帐号。基于这一点，所以，对于一些hacker来说，只要知道samba服务的samba帐号，就等于是知道了Linux系统帐号，只要破解其samba帐号密码加以利用就可以攻击samba服务器。所以我们要使用用户帐号映射这个功能来解决这个问题。用户帐号映射这个功能需要建立一个帐号映射关系表，里面记录了samba帐号和虚拟帐号的对应关系，客户端访问samba服务器时就使用虚拟来登录。（1）编辑主配置文件/etc/samba/smb.conf在global下添加一行字段username map = /etc/samba/smbusers开启用户帐号映射功能。图31（2）编辑/etc/samba/smbuserssmbusers文件保存帐号映射关系，其有固定的格式：samba帐号 = 虚拟帐号（映射帐号）图32帐号cjq就是我们上面建立的samba帐号（同时也是Linux系统帐号），admin1及admin2就是映射的帐号名（虚拟帐号），帐号cjq在我们访问共享目录时只要输入admin1或admin2就可以成功访问了，但是实际上访问samba服务器的还是我们的cjq帐号，这样一来就解决了安全问题,我们继续。（3）重启samba服务：service smb restart（4）验证效果输入我们定义的映射帐号admin1，注意我们没有输入帐号cjq，映射帐号admin1的密码和cjq帐号一样图33现在就可以通过映射帐号浏览共享目录了2 客户端访问控制对于samba服务器的安全性，我们已经说过可以使用valid users字段去实现用户访问控制，但是如果企业庞大，存在大量用户的话，这种方法操作起来就显得比较麻烦。比如samba服务器共享出一个目录来访问，但是要禁止某个IP子网或某个域的客户端访问此资源，这样的情况使用valid users字段就无法实现客户端访问控制。下面我们就讲下使用hosts allow和hosts deny两个字段来实现该功能。而用好这两个字段的关键在于熟悉和清楚它们的使用方法和作用范围。hosts allow 和 hosts deny 的使用方法（1）hosts allow 和 hosts deny 字段的使用hosts allow字段定义允许访问的客户端hosts deny字段定义禁止访问的客户端（2）使用IP地址进行限制比如公司内部samba服务器上共享了一个目录sale，这个目录是存放销售部的共享目录，公司规定/24这个网段的IP地址禁止访问此sales共享目录，但是其中4这个IP地址可以访问。先将安全级别模式由user改为share这里我们添加hosts deny和hosts allow字段hosts deny = 192.168.1. 172.16.表示拒绝所有网段和网段的IP地址访问sale这个共享目录。hosts allow = 10.表示允许网段的IP地址访问sales这个共享目录。注意：当需要输入多个网段IP地址的时候，需要使用“空格”符号隔开。图34（3）使用域名进行限制我们来看这样一个例子，公司samba服务器上共享了一个目录public，公司规定.域和.net域的客户端不能访问，并且主机名为free的客户端也不能访问。hosts deny = . .net free表示禁止.域和.net域及主机名为free的客户端访问public这个共享目录。注意：域名和域名之间或域名和主机名之间需要使用“空格”符号隔开。（4）使用通配符进行访问控制samba服务器共享了一个目录security，规定所有人不允许访问，只有主机名为boss的客户端才可以访问。对于这样一个实例，我们就可以通过使用通配符的方式来简化配置。hosts deny = All表示所有客户端都不可以访问，常用的通配符还有“*”，“？”，“LOCAL”等。还有一种比较有意思的情况，如果我们规定所有人不能访问security目录，只允许网段的IP地址可以访问，但是00及8的主机是要禁止访问的。我们可以使用hosts deny禁止所有用户访问，再设置hosts allow允许网段主机，但当hosts deny和hosts allow同时出现而且冲突的时候，hosts allow生效，如果这样的话，那么允许网段的IP地址可以访问，但是00及8的主机禁止访问就无法生效了。我们可以使用EXCEPT进行设置。hosts allow = 192.168.0. EXCEPT 00 8表示允许网段IP地址访问，但是00和8除外hosts allow 和 hosts deny 的作用范围hosts allow和hosts deny设置在不同的位置上，它们的作用范围是不一样的。如果设置在global里面，表示对samba服务器全局生效，如果设置在目录下面，则表只对这个目录生效。图353 设置Samba的权限到这里我们已经可以对客户端访问进行有效的控制，但是对于能访问的客户端来说，我们还是不能灵活方便的控制他们访问共享资源的权限，比如boss或gm这样的帐号可以对某个共享目录具有完全控制权限，其他帐号只有只读权限，这样的情况我们就可以使用write list字段来实现。例如公司samba服务器上有个共享目录tech，公司规定只有boss帐号和tech组的帐号可以完全控制，其他人只有只读权限。如果只用writable字段则无法满足这个实例的要求，因为当writable = yes时，表示所有人都可以写入了，而当writable = no时表示所有人都不可以写入。这时我们就需要用到write list字段。write list = boss,tech 就表示只有boss帐号和tech组成员才可以对tech共享目录有写入权限（其中tech就表示tech组）。4. Samba的隐藏共享我们还可以使用browseable字段实现隐藏共享的功能。比如我们要把samba上的技术部共享目录隐藏，我们可以这样设置。browseable = no表示隐藏该目录现在就看不到tech共享目录了如果我们直接输入88tech就可以访问了。在有些特殊的情况下，browseable也无法满足企业的需求，比如，samba服务器上有个security目录，此目录只有boss用户可以浏览访问，其他人都不可以访问。因为samba的主配置文件只有一个，所有帐号访问都要遵守该配置文件的规则，如果隐藏了该目录，那么所有人就都看不到该目录了，就像上面演示的一样，要知道共享目录名称后输入88tech才可以访问技术部资料。如果这样的目录一多的话，不可以叫boss去记那么多目录名称，那样还不被boss骂死，问题出在samba服务的主配置文件只有一个，而smb.conf没有提供字段允许部分人可以浏览隐藏目录的功能。那我们可以换个角度，既然单一的配置文件无法实现要求，那么我们可以为不同需求的用户或组分别建立相应的配置文件并单独配置后实现其隐藏目录的功能，现在我们为boss帐号建立一个配置文件，并且让其访问的时候能够读取这个单独的配置文件。（1）建立独立的配置文件先为boss帐号创建一个单独的配置文件，我们可以直接复制/etc/samba/smb.conf这个文件并改名就可以了，如果为单个用户建立配置文件，命名时一定要包含用户名。我们使用cp命令复制主配置文件，为boss帐号建立独立的配置文件。（2）编辑smb.conf主配置文件在global中加入config file = /etc/samba/smb.conf.%U，表示samba服务器读取/etc/samba/smb.conf.%U文件，其中%U代表当前登录用户。命名规范与独立配置文件匹配。（3）编辑smb.conf.boss独立配置文件编辑boss帐号的独立配置文件smb.conf.boss，将tech目录里面的browseable = no删除，这样当boss帐号访问samba时，tech共享目录对boss帐号访问就是可见的，这样主配置文件smb.conf和boss帐号的独立配置文件相搭配就有实现其他用户访问时tech共享目录是隐藏的，而boss帐号访问时就是可见的。注意：目录隐藏了并不是说不共享了，只要知道共享名，并且有相应权限，还是可以访问的，就像上面演示的一样，可以输入“IP地址共享名”的方法就可以访问隐藏共享了。五、 Samba客户端配置1 Linux客户端访问Samba共享linux客户端访问服务器主要有两种方法（1）使用smbclient命令在Linux中，samba客户端使用smbclint这个程序来访问samba服务器时，先要确保客户端已经安装了samba-client这个rpm包。smbclient可以列出目标主机共享目录列表smbclient命令格式：smbclient -L 目标IP地址或主机名 -U 登录用户名%密码当我们查看主机的共享目录列表时，提示输入密码，这时候可以不输入密码，我们直接按回车，这样表示匿名登录，然后就会显示匿名用户可以看到的共享目录列表了。如果想使用samba帐号相看samba服务器端共享了什么目录，我们可以加上-U参数，后面跟上用户名%密码。smbclient -L 88 -U boss%boss这样就显示了只有boss帐号才显示的tech技术部共享目录。图36注意：不同用户使用smblient浏览的结果可能是不一样的，这要根据服务器设置的访问控制权限而定。我们还可以在使用smbclient命令行共享访问模式浏览共享的资料smbclient命令行共享访问模式命令格式：smbclient /目标IP地址或主机名/共享目录 -U 用户名%密码上面已经显示了服务器上有一个tech共享目录，我们来查看一下里面的内容图37另外smbclient登录samba服务器后，我们可以使用help查询所支持的命令。（2）使用mount命令挂载共享目录mount命令挂载共享目录格式：mount -t cifs /目标IP地址或主机名/共享目录名称挂载点 -o username=用户名2 Windows客户端访问Samba共享这个就比较简单了，我们也一直用这个访问微软的共享目录，上面其他也已经讲过了，方法就是在开始运行里面使用UNC路径直接进行访问,也可以到网上邻居里面找。（1）在开始-运行里面使用UNC路径直接进行访问图38（2）映射网络驱动器访问samba服务器共享目录输入tech共享目录的地址图39输入可以访问tech共享目录的samba帐号和密码图40这时在我的电脑的网络驱动器中就可以看到映射的Z盘了,打开Z盘就可以访问tech共享目录里面的资源。六、 Samba的打印共享默认情况下，samba的打印服务是开放的所以我们只要把打印机安装好后客户端的用户就可以使用打印机了。1设置global配置项修改smb.conf全局配置，开启打印共享功能2设置printers配置项使用默认设置就可以让客户端正常使用权打印机了，需要注意的就是printable一定要设置成yes，如果不设置成yes那还打什么,path字段定义打印机队列，可以根据需要自己定制，另外共享打印和共享目录不一样，安装