Samba 4.15.0 er blevet udgivet og fortsætter udviklingen af Samba 4-grenen med en fuld implementering af domænekontrolleren og Active Directory-tjenesten, der er kompatibel med Windows 2000-implementeringen og i stand til at understøtte alle Microsoft-understøttede versioner af Windows-klienter, herunder Windows 10. Samba 4 er et multifunktionelt serverprodukt, der også tilbyder filserver, printservice og identifikationsserver (winbind).
Nøgleændringer i Samba 4.15:
- Arbejdet med at modernisere VFS-laget er afsluttet. Af historiske årsager var koden til implementeringen af filserveren bundet til behandlingen af filstier, som også blev brugt til SMB2-protokollen, der er blevet overført til brug af descriptors. Moderniseringen består i at omdanne den kode, der giver adgang til serverens filsystem, til at bruge fil-descriptors i stedet for filstier (f.eks. er der brugt fstat()-opkald i stedet for stat() og SMB_VFS_FSTAT() i stedet for SMB_VFS_STAT()).
- Implementeringen af BIND DLZ (Dynamically-loaded zones) teknologien, der tillader klienter at sende forespørgsler om overførsel af DNS-zoner til BIND-serveren og modtage svar fra Samba, har fået mulighed for at definere adgangslister, der bestemmer, hvilke klienter sådanne forespørgsler er tilladt for, og hvilke der ikke er. I DLZ DNS-pluginet er understøttelsen af Bind versioner 9.8 og 9.9 blevet fjernet.
- Understøttelsen af SMB3 Multi-Channel-udvidelsen er nu som standard aktiveret og stabiliseret, hvilket tillader klienter at etablere flere forbindelser for at parallelisere dataoverførsel inden for en enkelt SMB-session. For eksempel, når der tilgås en fil, kan input/output-operationer distribueres på flere åbne forbindelser. Denne tilstand øger båndbredden og øger modstandsdygtigheden overfor fejl. For at deaktivere SMB3 Multi-Channel skal indstillingen «server multi channel support» ændres i smb.conf, som nu som standard er aktiveret på Linux- og FreeBSD-platforme.
- Muligheden for at bruge kommandoen samba-tool i Samba-konfigurationer, der er bygget uden at støtte Active Directory domænekontroller (ved at angive indstillingen «—without-ad-dc»), er blevet sikret. Men i dette tilfælde er ikke al funktionalitet tilgængelig, for eksempel er mulighederne for kommandoen ‘samba-tool domain’ begrænsede.
- Forbedret kommandolinjegrænseflade: En ny parser til kommandolinjeindstillinger er blevet introduceret, som anvendes i forskellige samba værktøjer. Lignende indstillinger, der varierede mellem de forskellige værktøjer, er blevet ensartede, for eksempel er behandlingen af indstillinger relateret til kryptering, digitale signaturer og brugen af kerberos blevet ensartet. I smb.conf er indstillingerne defineret for at angive standardværdier for indstillingerne. STDERR er nu anvendt til fejloplysninger i alle værktøjer (for at udskrive til STDOUT er muligheden "--debug-stdout" blevet tilføjet).
Tilføjet mulighed "--client-protection=off|sign|encrypt".
Omnavngivet muligheder: —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache
Fjernet muligheder: «-e|—encrypt» og «-S|—signing».
Der er arbejdet på at fjerne duplikerede indstillinger i værktøjerne ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename og ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd og winbindd.
- Som standard er scanning af listen over pålidelige domæner (Trusted Domain) deaktiveret ved opstart af winbindd, hvilket var relevant i NT4-tiden, men ikke længere aktuelt for Active Directory.
- Tilføjet støtte for ODJ (Offline Domain Join) mekanismen, der muliggør tilslutning af en computer til domænet uden direkte kontakt til domænecontrolleren. I Unix-lignende OS'er baseret på Samba er kommandoen 'net offlinejoin' blevet foreslået for tilslutning, mens man i Windows kan bruge det standardprogram djoin.exe.
- I kommandoen 'samba-tool dns zoneoptions' er der implementeret indstillinger til at angive opdateringsinterval og administrere rengøring af forældede DNS-poster. Hvis alle poster for et DNS-navn slettes, skifter noden til en slettet tilstand ('tombstone').
- DCE/RPC DNS-servere kan nu anvendes af samba-tool og Windows-værktøjer til at manipulere DNS-poster på eksterne serveren.
- Ved udførelse af kommandoen «samba-tool domain backup offline» sikres korrekt låsesystem til LMDB databasen for at beskytte mod samtidig ændring af data under sikkerhedskopiering.
- Understøttelse af eksperimentelle protokol SMB-diakritik — SMB2_22, SMB2_24 og SMB3_10, der kun blev anvendt i testopbygninger af Windows, er blevet ophævet.
- I opbygninger med eksperimentel implementering af Active Directory baseret på MIT Kerberos er kravene til versionen af denne pakke blevet hævet. For opbygning kræves nu mindst version MIT Kerberos 1.19 (leveres i Fedora 34).
- Understøttelse af NIS er blevet fjernet.
- Sårbarheden CVE-2021-3671 er blevet rettet, hvilket gjorde det muligt for en uautentificeret bruger at få en domænekontroller baseret på Heimdal KDC til at gå ned ved at sende en TGS-REQ-pakke uden servernavn.
Kilde: opennet.ru
