4.项目2 samba服务器的配置与管理

1、4. 项目项目2 samba服务器的配置与管理服务器的配置与管理l任务二任务二 配置配置share级别的级别的Samba服务器服务器l2学时学时理论理论+2学时实践学时实践本课教学目标本课教学目标l掌握掌握sambasamba服务的主配置文件中的关键语句的含义；服务的主配置文件中的关键语句的含义；l学会配置学会配置shareshare级别的级别的sambasamba服务器。服务器。本课教学重难点本课教学重难点u教学重点教学重点 认识认识sambasamba服务的主配置文件；配置服务的主配置文件；配置shareshare级别的级别的sambasamba服务器。服务器。u教学难点教学难点 配置配置

2、shareshare级别的级别的sambasamba服务器。服务器。 我们已经完成了我们已经完成了SambaSamba服务的安装，要完成相应功能的服务器部署，还需要进行服务器服务的安装，要完成相应功能的服务器部署，还需要进行服务器配置。所谓服务器配置，主要工作就是要对与该服务相关的配置文件进行编辑，尤其是对主配置。所谓服务器配置，主要工作就是要对与该服务相关的配置文件进行编辑，尤其是对主配置文件的编辑。任何一个服务安装完成以后，与其相关的配置文件都会自动生成，而且配配置文件的编辑。任何一个服务安装完成以后，与其相关的配置文件都会自动生成，而且配置文件里已经生成了大量的语句模板，我们只需看懂里面

3、的主要语句，并进行简单的修改就置文件里已经生成了大量的语句模板，我们只需看懂里面的主要语句，并进行简单的修改就可以完成相应的配置任务。所以，咋一听服务器配置似乎是一个非常难的任务，但基于这一可以完成相应的配置任务。所以，咋一听服务器配置似乎是一个非常难的任务，但基于这一点，首先在战略上我们要藐视它。服务器配置都有其固定的配置步骤，只是在对配置文件进点，首先在战略上我们要藐视它。服务器配置都有其固定的配置步骤，只是在对配置文件进行编辑操作时一定要细心，多一个符号，少一个符号都不行，很多时候就因为在某行语句末行编辑操作时一定要细心，多一个符号，少一个符号都不行，很多时候就因为在某行语句末尾多了一个

4、空格，导致服务重启失败，所以在战术上我们又要重视它。总之，服务器配置是尾多了一个空格，导致服务重启失败，所以在战术上我们又要重视它。总之，服务器配置是一项技术活，也是一项经验活，更是一项细心活。作为初学者，大家只需按照固定步骤完成一项技术活，也是一项经验活，更是一项细心活。作为初学者，大家只需按照固定步骤完成配置，最终能够验证成功，体验服务效果即可。随着操作的熟练，学习的深入，大家慢慢就配置，最终能够验证成功，体验服务效果即可。随着操作的熟练，学习的深入，大家慢慢就会形成自己的经验和心得，对服务工作原理的理解也会越来越深。必须得承认的是：要想真会形成自己的经验和心得，对服务工作原理的理解也会越

5、来越深。必须得承认的是：要想真正胜任服务器部署和运维工作，除了具备扎实的理论功底，耐心的操作训练以外，还必须通正胜任服务器部署和运维工作，除了具备扎实的理论功底，耐心的操作训练以外，还必须通过真实的服务器运维岗位历练。过真实的服务器运维岗位历练。问题引入问题引入任务二任务二 配置配置share级别级别Samba服务器服务器 SambaSamba服务的主配置文件名为服务的主配置文件名为smb.confsmb.conf，位于，位于/etc/Samba/etc/Samba目录下，在目录下，在SambaSamba软件安装完成软件安装完成后会自动生成。执行打开文件的命令，结果如下：后会自动生成。执行打开

6、文件的命令，结果如下：rootMASTER # vi /etc/Samba/smb.conf rootMASTER # vi /etc/Samba/smb.conf # #开头部分为开头部分为.省略部分内容省略部分内容.#= #= = =# #接下来进入全局变量部分接下来进入全局变量部分.省略部分内容省略部分内容.#= #= =# #接下来为共享服务部分接下来为共享服务部分配置简介配置简介Global SettingsGlobal SettingsglobalglobalShare Definitions Share Definitions 一、一、Samba服务主配置文件服务主配置文件smb

7、.conf任务二任务二 配置配置share级别级别Samba服务器服务器 这里只是列出了该配置文件的部分内容，大家发现了没，虽然该配置文件很长，但其实这里只是列出了该配置文件的部分内容，大家发现了没，虽然该配置文件很长，但其实绝大多数行都是注释行（即以绝大多数行都是注释行（即以“#”“#”号或者号或者“；”开头的行），因此，真正发挥作用的语句开头的行），因此，真正发挥作用的语句其实是很少的，而且大多数还是不需要我们管的，保持默认即可。仔细分析该配置文件，它其实是很少的，而且大多数还是不需要我们管的，保持默认即可。仔细分析该配置文件，它主要包括主要包括内容，第一部分是配置简介，第二部分是全局变量

8、，第三部分是共享服务。内容，第一部分是配置简介，第二部分是全局变量，第三部分是共享服务。下面重点介绍各部分中真正需要关注和理解的语句的功能。下面重点介绍各部分中真正需要关注和理解的语句的功能。1.1.全局变量部分全局变量部分 全局变量部分以全局变量部分以globalglobal作为开始标志，该部分的重点字段及含义如下：作为开始标志，该部分的重点字段及含义如下： workgroup = MYGROUPworkgroup = MYGROUP workgroup workgroup字段为工作组字段，通过它设置字段为工作组字段，通过它设置SambaSamba服务器所在的工作组或者域名。服务器所在的工作

9、组或者域名。三部分三部分一、一、Samba服务主配置文件服务主配置文件smb.conf任务二任务二 配置配置share级别级别Samba服务器服务器 server string = Samba Server Version %vserver string = Samba Server Version %v server string server string字段称为备注字段，主要用于设置字段称为备注字段，主要用于设置SambaSamba服务的备注信息。服务的备注信息。这里的这里的%v%v是一个变量，代表是一个变量，代表SambaSamba的版本号。的版本号。SambaSamba配置文件中类似

10、这样的常见变量配置文件中类似这样的常见变量还有还有： %s %s：任意用户可以登录：任意用户可以登录 %m %m：客户端的：客户端的NetBIOSNetBIOS主机名主机名 %L %L：服务器端的：服务器端的NetBIOSNetBIOS主机名主机名 %u %u：当前登录的用户名：当前登录的用户名 %g %g：当前登录的用户组名：当前登录的用户组名 log file = /var/log/Samba/log.%mlog file = /var/log/Samba/log.%m Samba Samba服务日志文件的存储路径。服务日志文件的存储路径。SambaSamba会为每个连接到会为每个连接到S

11、ambaSamba服务的客户机分别建立日志文件，网服务的客户机分别建立日志文件，网络管理员可以通过这些日志文件查看到用户的访问情况和服务器运行情况。络管理员可以通过这些日志文件查看到用户的访问情况和服务器运行情况。 max log size = 50max log size = 50设置每个日志文件的最大尺寸，单位是设置每个日志文件的最大尺寸，单位是KBKB。一、一、Samba服务主配置文件服务主配置文件smb.conf任务二任务二 配置配置share级别级别Samba服务器服务器 security = usersecurity = user security security字段称为安全模式

12、字段。字段称为安全模式字段。SambaSamba服务共有服务共有5 5种安全模式，分别是种安全模式，分别是shareshare，useruser，serverserver，domaindomain和和adsads。下面详细解释一下这。下面详细解释一下这5 5种模式：种模式： 客户端不需要提交用户名和密码就可以访问客户端不需要提交用户名和密码就可以访问SambaSamba服务器上的共享资源，即允许匿名服务器上的共享资源，即允许匿名用户访问。用户访问。 客户端需要提交用户名和密码，并经客户端需要提交用户名和密码，并经SambaSamba服务器验证通过之后才能访问其共享资源。服务器验证通过之后才能访

13、问其共享资源。useruser级别为级别为SambaSamba服务默认的安全级别。服务默认的安全级别。 server server模式：这是代理验证模式，客户端需要将用户名和密码提交到另一台指定的模式：这是代理验证模式，客户端需要将用户名和密码提交到另一台指定的SambaSamba服务器上服务器上进行验证，如果验证出错，客户端就会改用进行验证，如果验证出错，客户端就会改用useruser模式访问。模式访问。 domain domain模式：如果模式：如果SambaSamba服务器加入服务器加入WindowsWindows域环境，验证工作将由域环境，验证工作将由WindowsWindows域控制

14、器负责。注意域控制器负责。注意domaindomain级别的级别的SambaSamba服务器只是成为域的成员客户端，并不具备服务器的特性。服务器只是成为域的成员客户端，并不具备服务器的特性。 ads ads模式：如果模式：如果SambaSamba服务器使用服务器使用adsads模式，就具备了模式，就具备了domaindomain模式的全部功能，并同时具备模式的全部功能，并同时具备WindowsWindows域控制器的功能。域控制器的功能。shareshare模式：模式：useruser模式：模式：一、一、Samba服务主配置文件服务主配置文件smb.conf任务二任务二 配置配置share级别

15、级别Samba服务器服务器 username map=/etc/Samba/smbusersusername map=/etc/Samba/smbusers 在全局变量中加入该字段可以实现在全局变量中加入该字段可以实现。对于。对于SambaSamba服务，要访问共享资源，服务，要访问共享资源，需要使用需要使用SambaSamba账号和密码登录，而账号和密码登录，而SambaSamba账号就是由同名的系统账号转换过来的，只是密码账号就是由同名的系统账号转换过来的，只是密码可以重新修改，因为可以重新修改，因为SambaSamba账号和系统账号是同名的，总是存在安全隐患，因为只要破解了账号和系统账号

16、是同名的，总是存在安全隐患，因为只要破解了该系统账号的密码就可以直接登录服务器。所谓账号映射，就是将与系统账号同名的该系统账号的密码就可以直接登录服务器。所谓账号映射，就是将与系统账号同名的SambaSamba账号映射成一个虚拟账号来登录，这样一来，就算被恶意份子截获，得到的账号和密码都和账号映射成一个虚拟账号来登录，这样一来，就算被恶意份子截获，得到的账号和密码都和系统账号和密码不一样，这样想破解就无从下手。那怎样理解和利用该字段呢？该字段等号系统账号和密码不一样，这样想破解就无从下手。那怎样理解和利用该字段呢？该字段等号右边指定了一个用于记录真实右边指定了一个用于记录真实SambaSamb

17、a账号和虚拟账号映射对的文件，这里的账号和虚拟账号映射对的文件，这里的“/etc/Samba/smbusers”“/etc/Samba/smbusers”表示该文件名叫表示该文件名叫smbuserssmbusers，位于，位于/etc/Samba/etc/Samba/目录下。目录下。用户账号映射用户账号映射一、一、Samba服务主配置文件服务主配置文件smb.conf任务二任务二 配置配置share级别级别Samba服务器服务器 如果真的要实现账号映射功能，那除了在主配置文件中的全局部分添加这行语句以外，如果真的要实现账号映射功能，那除了在主配置文件中的全局部分添加这行语句以外，接下来还需要打

18、开该文件，并写入映射对。接下来还需要打开该文件，并写入映射对。rootMASTER Samba# vi smbusers rootMASTER Samba# vi smbusers # Unix_name = SMB_name1 SMB_name2 .# Unix_name = SMB_name1 SMB_name2 .root = administrator adminroot = administrator adminnobody = guest pcguest smbguestnobody = guest pcguest smbguest# #表示匿名用户访问表示匿名用户访问SambaS

19、amba服务器时实际上都是映射成一个叫服务器时实际上都是映射成一个叫nobodynobody的系统用户来访问的的系统用户来访问的# #上面这两行是默认已经存在的，如果要设置新的映射对，需按如下格式加入语句上面这两行是默认已经存在的，如果要设置新的映射对，需按如下格式加入语句 # #将将SambaSamba用户用户user1user1映射成映射成mapping1mapping1和和mapping2mapping2 同一个同一个SambaSamba账号可以映射成多个虚拟账号，中间用空格隔开。注意，虽然使用的是虚账号可以映射成多个虚拟账号，中间用空格隔开。注意，虽然使用的是虚拟拟SambaSamba

20、账号登录账号登录SambaSamba服务器，但实际上操作的仍然是真实的服务器，但实际上操作的仍然是真实的SambaSamba账号。账号。user1=mapping1 mapping2user1=mapping1 mapping2一、一、Samba服务主配置文件服务主配置文件smb.conf任务二任务二 配置配置share级别级别Samba服务器服务器2.2.共享服务部分共享服务部分 该部分主要是针对具体的共享目录和打印机，需要说明的是，现实中打印机几乎已经不该部分主要是针对具体的共享目录和打印机，需要说明的是，现实中打印机几乎已经不再通过这种方式实现共享，完全有更实用简洁的方式实现，所以本项目

21、中我们不再讨论打印再通过这种方式实现共享，完全有更实用简洁的方式实现，所以本项目中我们不再讨论打印机的共享。该部分位于机的共享。该部分位于“Share Definitions”“Share Definitions”下方，因为每个共享下的字段变量只对该共下方，因为每个共享下的字段变量只对该共享本身有效，故相对于全局变量来讲也称作局部变量。接下来重点是要掌握共享服务部分中享本身有效，故相对于全局变量来讲也称作局部变量。接下来重点是要掌握共享服务部分中最常用的字段及功能。最常用的字段及功能。 为了更好的说明，下面围绕一个具体的共享目录来解释：为了更好的说明，下面围绕一个具体的共享目录来解释：一、一、

22、Samba服务主配置文件服务主配置文件smb.conf任务二任务二 配置配置share级别级别Samba服务器服务器 这就是配置这就是配置shareshare级别的级别的SambaSamba服务器最主要的几个字段，具体含义如下：服务器最主要的几个字段，具体含义如下：movie movie # #共享名。这是共享资源的名字共享名。这是共享资源的名字 comment=my share files comment=my share files # #设置共享资源的备注信息，可要可不要设置共享资源的备注信息，可要可不要 path=/tmp/share path=/tmp/share # #设置共享资源

23、所处的位置，设置共享资源所处的位置，SambaSamba服务器所要共享的资源都放在该目录下。服务器所要共享的资源都放在该目录下。 public=yes public=yes # #设置是否允许匿名用户访问共享资源，设置是否允许匿名用户访问共享资源，yesyes表示表示允许，允许，nono表示表示不允许。不允许。等同等同guest ok=yesguest ok=yes。 browseable=yes browseable=yes # #在客户端显示共享的目录，如果写作在客户端显示共享的目录，如果写作nono，相当于把它隐藏起来了，相当于把它隐藏起来了 writable=yes writable=

24、yes# #具备读写权限，即允许用户在共享目录中执行新建文件等操作，注意有些时候也用具备读写权限，即允许用户在共享目录中执行新建文件等操作，注意有些时候也用“read “read only=no”only=no”来表示，是一个意思。来表示，是一个意思。一、一、Samba服务主配置文件服务主配置文件smb.conf任务二任务二 配置配置share级别级别Samba服务器服务器 前面已经详细介绍了前面已经详细介绍了SambaSamba服务的主配置文件，对配置服务的主配置文件，对配置shareshare级别级别SambaSamba服务器所需的关服务器所需的关键语句进行了解释，下面通过一个具体的实例，

25、帮助大家感受服务器的配置过程，以及配置键语句进行了解释，下面通过一个具体的实例，帮助大家感受服务器的配置过程，以及配置成功后如何验证。成功后如何验证。1.1.任务描述任务描述 某学校要建立一个某学校要建立一个SambaSamba服务器，服务器，LinuxLinux服务器的服务器的IPIP地址为地址为192.168.1.112192.168.1.112，工作组名为，工作组名为WORKGROUPWORKGROUP，发布共享目录，发布共享目录/share/share，共享名为，共享名为noticenotice，共享资源备注说明为，共享资源备注说明为notice of notice of school

26、school，这个目录允许全体师生访问。，这个目录允许全体师生访问。2.2.任务分析任务分析 因为是允许全体师生访问，所以需要配置一台因为是允许全体师生访问，所以需要配置一台shareshare安全级别的安全级别的SambaSamba服务器。服务器。二、设置二、设置share安全级别的安全级别的Samba服务器服务器任务二任务二 配置配置share级别级别Samba服务器服务器3.3.实现步骤实现步骤 步骤一：建立共享路径的目录，并在该目录下建立测试文件。步骤一：建立共享路径的目录，并在该目录下建立测试文件。rootMASTER # mkdir /sharerootMASTER # mkdir

27、 /sharerootMASTER # touch /share/test.txtrootMASTER # touch /share/test.txt 步骤二：打开主配置文件，主要修改的地方有两处，再添加一个共享服务段。步骤二：打开主配置文件，主要修改的地方有两处，再添加一个共享服务段。workgroup = WORKGROUP workgroup = WORKGROUP /设置设置workgroupworkgroupsecurity = share /security = share /shareshare服务器级别服务器级别notice /notice /共享名共享名 comment= n

28、otice of school / comment= notice of school /共享资源备注说明共享资源备注说明 path=/share / path=/share /设置共享资源所在的路径设置共享资源所在的路径 public=yes / public=yes /允许匿名用户访问允许匿名用户访问 browseable=yes / browseable=yes /在客户端显示共享的目录在客户端显示共享的目录 writable=yes / writable=yes /允许读写文件允许读写文件二、设置二、设置share安全级别的安全级别的Samba服务器服务器任务二任务二 配置配置shar

29、e级别级别Samba服务器服务器 步骤三：重启步骤三：重启SambaSamba服务服务rootMASTER # service smb restartrootMASTER # service smb restart关闭关闭 SMB SMB 服务：服务： 确定确定 启动启动 SMB SMB 服务：服务： 确定确定 rootMASTER # service nmb restartrootMASTER # service nmb restart关闭关闭 NMB NMB 服务：服务： 确定确定 启动启动 NMB NMB 服务：服务： 确定确定 步骤四：关闭防火墙步骤四：关闭防火墙 关闭防火墙就是执行一

30、条如下命令：关闭防火墙就是执行一条如下命令：rootMASTER # iptables -FrootMASTER # iptables -F# #清除预设表清除预设表filterfilter中所有链中的规则，相当于防火墙不再起作用中所有链中的规则，相当于防火墙不再起作用二、设置二、设置share安全级别的安全级别的Samba服务器服务器任务二任务二 配置配置share级别级别Samba服务器服务器 步骤五：关闭步骤五：关闭SELinuxSELinuxu 方式一：可以执行如下命令：方式一：可以执行如下命令：rootMASTER # setenforce 0rootMASTER # setenfo

31、rce 0# #将将SELinuxSELinux的运行模式设置为宽容模式，此时的运行模式设置为宽容模式，此时SELinuxSELinux虽然仍是启动状态，但是只会显示警告信息，而虽然仍是启动状态，但是只会显示警告信息，而不会实际限制进程访问文件或者目录资源。这种方式只会临时生效。不会实际限制进程访问文件或者目录资源。这种方式只会临时生效。u 方式二：修改方式二：修改SELinuxSELinux的配置文件。打开的配置文件。打开/etc/selinux/config/etc/selinux/config文件，把里面的语句文件，把里面的语句SELINUX=enforcingSELINUX=enfor

32、cing注释掉，重新加入一行注释掉，重新加入一行SELINUX=disabledSELINUX=disabled。rootMASTER # vi /etc/selinux/config rootMASTER # vi /etc/selinux/config #SELINUX=enforcing #SELINUX=enforcing / /将该行注释将该行注释SELINUX=SELINUX= / /加入该行，完全禁止加入该行，完全禁止SELinuxSELinux的功能的功能 保存退出后，一定要重启系统才能生效，相比方式一来讲，这种方式将永久生效。保存退出后，一定要重启系统才能生效，相比方式一来讲

33、，这种方式将永久生效。disableddisabled二、设置二、设置share安全级别的安全级别的Samba服务器服务器任务二任务二 配置配置share级别级别Samba服务器服务器 步骤六：验证。步骤六：验证。 拿拿WindowsWindows宿主机作为客户机，打开资宿主机作为客户机，打开资源管理器，在地址栏中输入服务器的源管理器，在地址栏中输入服务器的IPIP地地址，输入格式为址，输入格式为，回车。，回车。等待一会，不需要输入任何的用户名和密等待一会，不需要输入任何的用户名和密码信息就会弹出码信息就会弹出右右图所示的共享界面，将图所示的共享界面，将查看方式改成查看方式改成“详细信息详细信

34、息”后，可以看到后，可以看到共享名和备注信息，共享名和备注信息，这就是这就是“共享名共享名”和和“comment”“comment”两个字段的含义。两个字段的含义。192.168.1.112192.168.1.112二、设置二、设置share安全级别的安全级别的Samba服务器服务器任务二任务二 配置配置share级别级别Samba服务器服务器 接下来再双击文件夹接下来再双击文件夹noticenotice，进一步，进一步验证能否访问到共享资源，如验证能否访问到共享资源，如右图右图所示所示。 在右图所示界面中，我们看到了测试在右图所示界面中，我们看到了测试文件文件test.txttest.txt

35、，说明可以访问到共享资源。，说明可以访问到共享资源。二、设置二、设置share安全级别的安全级别的Samba服务器服务器任务二任务二 配置配置share级别级别Samba服务器服务器 接下来要讲解一个非常重要的问题接下来要讲解一个非常重要的问题权限控制。大家线先尝试一下在权限控制。大家线先尝试一下在noticenotice文件夹中新建文件文件夹中新建文件，效果如效果如右图右图所示所示。 我们会发现，在共享目录中执行我们会发现，在共享目录中执行“新新建文件建文件”操作时，会弹出一个拒绝警告框，操作时，会弹出一个拒绝警告框，说明我们还没有写入权限。为什么会这样说明我们还没有写入权限。为什么会这样呢

36、，在配置文件中我们明明已经赋予了共呢，在配置文件中我们明明已经赋予了共享目录的写权限，为何还是不能新建文件享目录的写权限，为何还是不能新建文件呢？答案就在于：呢？答案就在于：，只有两者都具备写权，只有两者都具备写权限才行。限才行。对于对于SambaSamba服务器，对共服务器，对共享目录的写权限由配置文件规定的权限和享目录的写权限由配置文件规定的权限和系统权限共同决定系统权限共同决定二、设置二、设置share安全级别的安全级别的Samba服务器服务器任务二任务二 配置配置share级别级别Samba服务器服务器 现在配置文件中是设置了写权限，那么，再查看一下现在配置文件中是设置了写权限，那么，

37、再查看一下/share/share目录本身的系统权限：目录本身的系统权限：rootMASTER # ll -d /sharerootMASTER # ll -d /sharedrwxr-xdrwxr-x 2 root root 4096 1 2 root root 4096 1月月 1 09:37 /share 1 09:37 /share 对于对于访问，系统都会将其映射成访问，系统都会将其映射成用户来对待，相当于其身份就是用户来对待，相当于其身份就是，从结果可以看出，其他人对该目录只有读和执行权限，是没有写权限的。要使匿名用，从结果可以看出，其他人对该目录只有读和执行权限，是没有写权限的。要

38、使匿名用户访问时能够具备写权限，最简单的方式是直接将该目录权限改成户访问时能够具备写权限，最简单的方式是直接将该目录权限改成777777，命令如下：，命令如下：rootMASTER # chmod 777 /sharerootMASTER # chmod 777 /sharerootMASTER # ll -d /sharerootMASTER # ll -d /sharedrwxrwxdrwxrwx 2 root root 4096 1 2 root root 4096 1月月 1 09:37 /share 1 09:37 /sharer-xr-x匿名用户匿名用户nobodynobody其他

39、其他人人rwxrwx二、设置二、设置share安全级别的安全级别的Samba服务器服务器任务二任务二 配置配置share级别级别Samba服务器服务器 这样做是肯定没问题的，对于初学者来讲，这样做也是最容易实现和理解的。但是请这样做是肯定没问题的，对于初学者来讲，这样做也是最容易实现和理解的。但是请大家注意一点，对于实际的生产服务器，决不能轻易赋予一个目录大家注意一点，对于实际的生产服务器，决不能轻易赋予一个目录777777的权限，这是极不的权限，这是极不负责任的做法，是非常不安全的。这里最好的方法是将该目录的所有者改成负责任的做法，是非常不安全的。这里最好的方法是将该目录的所有者改成nobodynobody，因为，因为对于对于SambaSamba服务来讲，匿名用户访问时实际上都是映射成一个叫服务来讲，匿名用户访问时实际上都是映射成一个叫nobodynobody的系统用户来访问的系统用户来访问的，当然这需要有一定经验做支撑。这个点姑且先放在这，等学习到一定阶段自然就能明的，当然这需要有一定经验做支撑。这个点姑且先放在这，等学习到一定阶段自然就能明白的，这里只是提醒大家对待服务器一定要树立最基本的安全意识