Veröffentlichung von Samba 4.15.0

Die Veröffentlichung von Samba 4.15.0 wurde vorgestellt, die die Entwicklung des Samba 4-Zweiges mit einer vollwertigen Implementierung des Domänencontrollers und des Active Directory-Dienstes fortsetzt, der mit der Implementierung von Windows 2000 kompatibel ist und alle von Microsoft unterstützten Windows-Client-Versionen, einschließlich Windows 10, bedienen kann. Samba 4 ist ein multifunktionales Serverprodukt, das auch eine Implementierung des Datei-Servers, des Druckdienstes und des Identifikationsservers (winbind) bereitstellt.

Wesentliche Änderungen in Samba 4.15:

• Die Arbeiten zur Modernisierung der VFS-Schicht sind abgeschlossen. Aus historischen Gründen war der Code der Datei-Server-Implementierung an die Verarbeitung von Dateipfaden gebunden, die auch für das SMB2-Protokoll verwendet wurde, das auf die Nutzung von Deskriptoren umgestellt wurde. Die Modernisierung bestand darin, den Code, der den Zugriff auf das Dateisystem des Servers ermöglicht, auf die Verwendung von Dateideskriptoren anstelle von Dateipfaden umzustellen (zum Beispiel wird der Aufruf fstat() anstelle von stat() und SMB_VFS_FSTAT() anstelle von SMB_VFS_STAT() verwendet).
• In die Implementation der BIND DLZ-Technologie (Dynamisch geladene Zonen), die es Clients ermöglicht, DNS-Zonentransferanfragen an den BIND-Server zu senden und Antworten von Samba zu erhalten, wurde die Möglichkeit zur Definition von Zugriffslistern aufgenommen, die festlegen, welchen Clients solche Anfragen erlaubt sind und welchen nicht. Die Unterstützung für die Versionen Bind 9.8 und 9.9 wurde im DLZ DNS-Plugin eingestellt.
• Die Unterstützung für das SMB3-Multi-Channel-Extension wurde standardmäßig aktiviert und stabilisiert, wodurch Clients mehrere Verbindungen aufbauen können, um den Datentransfer innerhalb einer SMB-Sitzung zu parallelisieren. Beispielsweise können bei der Anforderung einer Datei Ein- und Ausgabeoperationen auf mehrere offene Verbindungen verteilt werden. Dieser Modus erhöht die Bandbreite und verbessert die Fehlertoleranz. Um das SMB3-Multi-Channel zu deaktivieren, sollte die Option "server multi channel support" in der smb.conf geändert werden, die jetzt standardmäßig auf Linux- und FreeBSD-Plattformen aktiviert ist.
• Die Verwendung des Befehls samba-tool in Samba-Konfigurationen, die ohne Unterstützung des Active Directory-Domänencontrollers erstellt wurden (wenn die Option „—without-ad-dc“ angegeben ist), wurde ermöglicht. In diesem Fall sind jedoch nicht alle Funktionen verfügbar, zum Beispiel sind die Möglichkeiten des Befehls ‘samba-tool domain’ eingeschränkt.
• Die Benutzeroberfläche der Befehlszeile wurde verbessert: Ein neuer Parser für Befehlszeilenoptionen wurde in verschiedenen Samba-Utilities eingeführt. Ähnliche Optionen, die sich in verschiedenen Utilities unterschieden, wurden vereinheitlicht, zum Beispiel wurde die Handhabung von Optionen in Bezug auf Verschlüsselung, digitale Signaturen und die Verwendung von Kerberos standardisiert. In smb.conf sind Einstellungen zur Festlegung der Standardwerte für Optionen definiert. STDERR wurde für die Fehlerausgabe in allen Utilities aktiviert (für die Ausgabe in STDOUT wurde die Option „—debug-stdout“ angeboten).

  Die Option „—client-protection=off|sign|encrypt“ wurde hinzugefügt.

  Die Optionen wurden umbenannt: —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache

  Die Optionen „-e|—encrypt“ und „-S|—signing“ wurden entfernt.

  Es wurde an der Bereinigung von Duplikaten in den Utilities ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename und ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd und winbindd gearbeitet.

• Standardmäßig wird das Scannen der Liste vertrauenswürdiger Domänen (Trusted Domain) beim Start von winbindd deaktiviert, was in der Zeit von NT4 sinnvoll war, aber für Active Directory nicht mehr relevant ist.
• Die Unterstützung für den ODJ (Offline Domain Join) Mechanismus wurde hinzugefügt, der es ermöglicht, einen Computer zu verbinden Domain ohne direkt auf den Domänencontroller zuzugreifen. In Unix-ähnlichen Betriebssystemen basierend auf Samba wird der Befehl ‚net offlinejoin‘ zum Verbinden angeboten, während auf Windows das Dienstprogramm djoin.exe verwendet werden kann.
• In dem Befehl ‚samba-tool dns zoneoptions‘ wurden Optionen zur Festlegung des Aktualisierungsintervalls und zur Verwaltung von veralteten DNS-Einträgen implementiert. Wenn alle Einträge für einen DNS-Namen gelöscht werden, wird der Knoten in den Zustand entfernt („tombstone“) versetzt.
• DCE/RPC DNS-Server können nun von der Utility samba-tool und Windows-Utilities zur Manipulation von DNS-Einträgen auf externen Server.
• Beim Ausführen des Befehls „samba-tool domain backup offline“ wird eine korrekte Sperrung der LMDB-Datenbank gewährleistet, um eine parallele Datenänderung während der Sicherung zu verhindern.
• Die Unterstützung für experimentelle Dialekte des SMB-Protokolls – SMB2_22, SMB2_24 und SMB3_10, die nur in Testversionen von Windows verwendet wurden, wurde eingestellt.
• In Builds mit experimenteller Active Directory-Implementierung auf der Basis von MIT Kerberos wurden die Anforderungen an die Version dieses Pakets angehoben. Für den Build ist jetzt mindestens die Version MIT Kerberos 1.19 erforderlich (verfügbar in Fedora 34).
• Die Unterstützung für NIS wurde entfernt.
• Die Sicherheitsanfälligkeit CVE-2021-3671 wurde behoben, die es einem nicht authentifizierten Benutzer ermöglicht, den Domain-Controller auf Basis von Heimdal KDC zum Absturz zu bringen, wenn ein TGS-REQ-Paket gesendet wird, in dem der Servername nicht angegeben ist.

Quelle: opennet.ru