Представен е релиз Samba 4.15.0, който продължава развитието на клон Samba 4 с пълна реализация на контролера на домейни и услугата Active Directory, съвместима с реализацията на Windows 2000 и способна да обслужва всички поддържани версии на клиентите на Windows, включително Windows 10. Samba 4 е многофункционален сървърен продукт, който предлага също реализация на файлов сървър, услуга за печат и сървър за идентификация (winbind).
Ключови промени в Samba 4.15:
- Завършена е работата по модернизацията на слоя VFS. По исторически причини кодът с реализация на файловия сървър беше свързан с обработката на файлови пътища, което се прилагаше, включително за протокола SMB2, който е преминал на използване на дескриптори. Модернизацията се състои в превода на кода, осигуряващ достъп до файловата система на сървъра, на използването на файлови дескриптори вместо файлови пътища (например, използва се извикването fstat() вместо stat() и SMB_VFS_FSTAT() вместо SMB_VFS_STAT()).
- В реализацията на технологията BIND DLZ (Dynamically-loaded zones), позволяваща на клиентите да изпращат заявки за прехвърляне на DNS-зони на сървъра BIND и да получават отговор от Samba, е добавена възможността за определяне на списъци с достъп, които позволяват да се определи на кои клиенти подобни заявки са разрешени, а на кои не. В плъгина DLZ DNS е прекратена поддръжката на версиите Bind 9.8 и 9.9.
- Включена е по подразбиране и стабилизирана поддръжка на многоканалното разширение SMB3 (протокол SMB3 Multi-Channel), позволяващо на клиентите да установяват няколко връзки за паралелно предаване на данни в рамките на една SMB сесия. Например, при достъп до един файл операции за вход/изход могат да се разпределят веднага на няколко отворени връзки. Този режим позволява да се увеличи пропускателната способност и да се повиши устойчивостта на повреди. За деактивиране на SMB3 Multi-Channel в smb.conf трябва да се промени опцията „server multi channel support“, която оттук нататък е включена по подразбиране на платформите Linux и FreeBSD.
- Осигурена е възможността за използване на командата samba-tool в конфигурации на Samba, компилирани без поддръжка на контролера на домейни Active Directory (при указание на опцията „—without-ad-dc“). Но в този случай не цялата функционалност е достъпна, например, възможностите на командата ‘samba-tool domain’ са ограничени.
- Подобрен интерфейс на командния ред: Въведен е нов парсер за опции на командния ред, използван в различни утилити на samba. Уеднаквени са сходни опции, които се различават в различните утилити, например, уеднаквена е обработката на опции, свързани с криптиране, работа с цифрови подписи и използването на kerberos. В smb.conf са определени настройки за задаване на стойности на опции по подразбиране. За извеждане на грешки във всички утилити е задействан STDERR (за извеждане в STDOUT е предложена опцията „—debug-stdout“).
Добавена е опцията „—client-protection=off|sign|encrypt“.
Преименувани са опции: —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache
Премахнати са опции: „-e|—encrypt“ и „-S|—signing“.
Направена е работа по почистването на дубликати на опции в утилитите ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename и ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd и winbindd.
- По подразбиране е деактивирано сканирането на списъка с доверени домейни (Trusted Domain) при стартиране на winbindd, което имаше смисъл по времето на NT4, но не е актуално за Active Directory.
- Добавена е поддръжка за механизма ODJ (Offline Domain Join), който позволява присъединяване на компютър домейн без директно свързване с контролера на домейна. В Unix-подобни ОС на базата на Samba за присъединяване е предложена командата 'net offlinejoin', а в Windows може да се използва стандартната програма djoin.exe.
- В командата ‘samba-tool dns zoneoptions’ са реализирани опции за задаване на интервал на обновление и управление на почистването на остарели DNS-записи. В случай на изтриване на всички записи за името на DNS, възелът се превръща в статус на изтрит («tombstone»).
- DCE/RPC DNS-серверите вече могат да се използват от утилитата samba-tool и утилитите на Windows за манипулиране с DNS-записите на външен сървър.
- При изпълнение на командата „samba-tool domain backup offline“ е осигурено коректно задаване на заключвания на БД LMDB за защита от паралелна модификация на данни по време на резервно копиране.
- Приключена е поддръжката на експериментални диалекти на протокола SMB — SMB2_22, SMB2_24 и SMB3_10, които са използвани само в тестови сборки на Windows.
- В сборките с експериментална реализация на Active Directory на базата на MIT Kerberos са повишени изискванията за версията на този пакет. За сборката вече е необходима поне версия MIT Kerberos 1.19 (предлага се в Fedora 34).
- Премахната е поддръжката на NIS.
- Отстранена уязвимостта CVE-2021-3671, позволяваща неаутентифициран потребител да предизвика срив на контролера на домейна, базиран на Heimdal KDC, в случай че бъде изпратен пакет TGS-REQ, в който не е посочено името на сървъра.
Източник: opennet.ru
