Byl představen vydání Samba 4.15.0, které pokračuje ve vývoji větve Samba 4 s plnohodnotnou implementací doménového kontroleru a služby Active Directory, kompatibilní s implementací Windows 2000 a schopnou obsluhovat všechny podporované verze Windows klientů od Microsoftu, včetně Windows 10. Samba 4 je multifunkční serverový produkt, který také poskytuje implementaci souborového serveru, tiskové služby a serveru identifikace (winbind).
Klíčové změny v Samba 4.15:
- Byla dokončena modernizace vrstvy VFS. Z historických důvodů byl kód z implementace souborového serveru navázán na zpracování cest k souborům, které byly použity také pro protokol SMB2, převedený na využívání popisovačů. Modernizace spočívala v převodu kódu, který zajišťuje přístup k souborovému systému serveru, na používání popisovačů souborů místo cest k souborům (například byl použit systémový volání fstat() místo stat() a SMB_VFS_FSTAT() místo SMB_VFS_STAT()).
- Do implementace technologie BIND DLZ (Dynamically-loaded zones), která umožňuje klientům posílat dotazy na přenos DNS zón serveru BIND a získávat odpověď od Samba, byla přidána možnost definice seznamů přístupu, které určují, kterým klientům jsou takové dotazy povoleny, a kterým nikoli. V modulu DLZ DNS byla ukončena podpora větví Bind 9.8 a 9.9.
- Podpora vícestopého rozšíření SMB3 (protokol SMB3 Multi-Channel) je nyní ve výchozím nastavení aktivována a stabilizována, což umožňuje klientům navazovat více spojení pro paralelní přenos dat v rámci jedné SMB relace. Například při přístupu k jednomu souboru mohou být operace vstupu/výstupu rozloženy na několik otevřených spojení. Tento režim umožňuje zvýšit propustnost a zlepšit odolnost proti chybám. Pro deaktivaci SMB3 Multi-Channel v smb.conf je nutné změnit volbu „server multi channel support“, která je nyní ve výchozím nastavení povolena na platformách Linux a FreeBSD.
- Byla zajištěna možnost použití příkazu samba-tool v konfiguracích Samba sestavených bez podpory doménového kontroleru Active Directory (po uvedení volby „--without-ad-dc“). Ale v tomto případě není k dispozici veškerá funkčnost, například jsou omezeny možnosti příkazu 'samba-tool domain'.
- Byl vylepšen rozhraní příkazového řádku: Byl navržen nový parser příkazových možností, který se uplatňuje v různých utilitách samba. Byly sjednoceny podobné možnosti, které se lišily v různých utilitách, například byla sjednocena správa možností souvisejících s šifrováním, digitálními podpisy a použitím kerberos. V smb.conf jsou definovány nastavení pro nastavení výchozích hodnot možností. Pro výstup chyb ve všech utilitách byla použita STDERR (pro výstup do STDOUT je navržena volba "--debug-stdout").
Byla přidána volba "--client-protection=off|sign|encrypt".
Přejmenovány možnosti: —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache
Byly odstraněny možnosti: "-e|—encrypt" a "-S|—signing".
Byla provedena práce na odstranění duplicitních možností v utilitách ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename a ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd a winbindd.
- Ve výchozím nastavení je zakázáno skenování seznamu důvěryhodných domén (Trusted Domain) při spuštění winbindd, což mělo smysl v dobách NT4, ale není aktuální pro Active Directory.
- Byla přidána podpora mechanismu ODJ (Offline Domain Join), který umožňuje připojit počítač k domain bez přímého spojení s řadičem domény. V Unixových systémech založených na Samba je k připojení navržena příkaz 'net offlinejoin', a ve Windows lze použít standardní program djoin.exe.
- V příkazu 'samba-tool dns zoneoptions' byly implementovány možnosti pro nastavení intervalu aktualizace a správu čištění zastaralých DNS záznamů. V případě odstranění všech záznamů pro jméno DNS je uzel převeden do stavu odstraněného ('tombstone').
- DCE/RPC DNS servery nyní mohou být použity utilitou samba-tool a Windows utilitami pro manipulaci s DNS záznamy na externím serveru.
- Při provádění příkazu "samba-tool domain backup offline" bylo zajištěno správné nastavení zámků na databázi LMDB pro ochranu před paralelní modifikací dat během zálohování.
- Byla ukončena podpora experimentálních dialektů protokolu SMB — SMB2_22, SMB2_24 a SMB3_10, které byly používány pouze v testovacích sestavách Windows.
- V sestavách s experimentální implementací Active Directory založenou na MIT Kerberos byly zvýšeny požadavky na verzi tohoto balíčku. Pro sestavení je nyní potřebná alespoň verze MIT Kerberos 1.19 (dodává se ve Fedora 34).
- Podpora NIS byla odstraněna.
- Byla odstraněna zranitelnost CVE-2021-3671, která umožňuje neautentizovanému uživateli způsobit pád doménového řadiče založeného na Heimdal KDC, pokud je odeslána zpráva TGS-REQ, ve které není uvedeno jméno serveru.
Zdroj: opennet.ru
