Release von Samba 4.15.0

Die Version Samba 4.15.0 wurde veröffentlicht und setzt die Entwicklung der Samba 4-Serie fort. Sie bietet eine vollständige Implementierung des Domänencontrollers und des Active Directory-Dienstes, der mit der Windows 2000-Implementierung kompatibel ist und alle unterstützten Windows-Client-Versionen, einschließlich Windows 10, bedienen kann. Samba 4 ist ein vielseitiges Serverprodukt, das auch eine Implementierung eines Dateiservers, eines Druckdienstes und eines Identitätsservers (winbind) bereitstellt.

Wesentliche Änderungen in Samba 4.15:

• Die Modernisierung der VFS-Schicht wurde abgeschlossen. Historisch bedingt war der Code, der für die Implementierung des Dateiservers verwendet wurde, an die Verarbeitung von Dateipfaden gebunden, die auch für das SMB2-Protokoll verwendet wurde, welches nun auf die Nutzung von Deskriptoren umgestellt wurde. Die Modernisierung bestand darin, den Code für den Zugriff auf das Dateisystem des Servers auf die Verwendung von Dateideskriptoren anstelle von Dateipfaden umzustellen (zum Beispiel wurde der Aufruf fstat() anstelle von stat() und SMB_VFS_FSTAT() anstelle von SMB_VFS_STAT() verwendet).
• Die BIND DLZ-Technologie (Dynamically-loaded zones) ermöglicht es den Nutzern, Anfragen zur Übertragung von DNS-Zonen an den BIND-Server zu senden und Antworten von Samba zu erhalten. Neu hinzugefügte Zugriffslisten definieren, welchen Clients solche Anfragen gestattet sind und welchen nicht. Die Unterstützung für die BIND-Versionen 9.8 und 9.9 wurde im DLZ-DNS-Plugin eingestellt.
• Die Unterstützung für das SMB3-Multi-Channel-Extension ist standardmäßig aktiviert und stabilisiert worden. Dieses Protokoll ermöglicht es Clients, mehrere Verbindungen gleichzeitig zu nutzen, um die Datenübertragung innerhalb einer SMB-Sitzung zu parallelisieren. Beispielsweise können bei der Zugriff auf eine Datei die Ein-/Ausgabeoperationen auf mehrere offene Verbindungen verteilt werden. Dieser Modus verbessert die Bandbreite und erhöht die Fehlertoleranz. Um SMB3 Multi-Channel zu deaktivieren, ändern Sie die Option „server multi channel support“ in der smb.conf, die nun standardmäßig auf Linux- und FreeBSD-Plattformen aktiviert ist.
• Die Verwendung des Samba-Tool-Befehls wurde in Samba-Konfigurationen ermöglicht, die ohne Unterstützung für einen Active Directory-Domaincontroller erstellt wurden (bei Angabe der Option „—without-ad-dc“). In diesem Fall ist jedoch nicht die gesamte Funktionalität verfügbar, zum Beispiel sind die Möglichkeiten des Befehls ‘samba-tool domain’ eingeschränkt.
• Die Benutzeroberfläche der Befehlszeile wurde verbessert: Ein neuer Befehlszeilen-Parser wurde in verschiedenen Samba-Dienstprogrammen eingeführt. Ähnliche Optionen wurden vereinheitlicht, die in verschiedenen Dienstprogrammen unterschiedlich waren, zum Beispiel wurde die Verarbeitung von Optionen zu Verschlüsselung, digitaler Signatur und Kerberos vereinheitlicht. In der smb.conf wurden Einstellungen zur Festlegung von Standardwerten für Optionen definiert. STDERR wird für die Ausgabe von Fehlern in allen Dienstprogrammen verwendet (für die Ausgabe in STDOUT steht die Option „—debug-stdout“ zur Verfügung).

  Die Option „—client-protection=off|sign|encrypt“ wurde hinzugefügt.

  Optionen wurden umbenannt: —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache

  Die Optionen „-e|—encrypt“ und „-S|—signing“ wurden entfernt.

  Die Bereinigung von Duplikaten in den Tools ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename und ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd und winbindd wurde durchgeführt.

• Standardmäßig ist das Scannen der Liste vertrauenswürdiger Domains (Trusted Domain) beim Start von winbindd deaktiviert, was zur Zeit von NT4 sinnvoll war, aber für Active Directory nicht mehr relevant ist.
• Die Unterstützung für den ODJ-Mechanismus (Offline Domain Join) wurde hinzugefügt, der es ermöglicht, einen Computer ohne direkte Anbindung an den Domänencontroller hinzuzufügen. Domain Unter Unix-ähnlichen Betriebssystemen auf Basis von Samba wird der Befehl ‘net offlinejoin’ zum Hinzufügen angeboten, während in Windows das integrierte Programm djoin.exe verwendet werden kann.
• Im Befehl ‘samba-tool dns zoneoptions’ wurden Optionen zur Festlegung des Aktualisierungsintervalls und zur Verwaltung der Bereinigung veralteter DNS-Einträge implementiert. Bei der Löschung aller Einträge für einen DNS-Namen wird der Knoten in den Zustand 'tombstone' versetzt.
• DCE/RPC-DNS-Server können nun von der Utility samba-tool und den Windows-Utilities zur Manipulation von DNS-Einträgen auf externen Servern verwendet werden. Server.
• Bei der Ausführung des Befehls «samba-tool domain backup offline» wird sichergestellt, dass die Sperren für die LMDB-Datenbank korrekt gesetzt werden, um parallele Datenänderungen während der Sicherung zu verhindern.
• Die Unterstützung für experimentelle SMB-Protokolldialekte wurde eingestellt — SMB2_22, SMB2_24 und SMB3_10, die ausschließlich in Testversionen von Windows verwendet wurden.
• In Versionen mit experimenteller Active Directory-Implementierung basierend auf MIT Kerberos wurden die Anforderungen an die Version dieses Pakets angehoben. Für die Version wird nun mindestens MIT Kerberos 1.19 benötigt (verfügbar in Fedora 34).
• Die Unterstützung für NIS wurde entfernt.
• Eine Sicherheitsanfälligkeit (CVE-2021-3671) wurde behoben, die es einem nicht authentifizierten Benutzer erlaubte, einen Domain-Controller mit Heimdal KDC zum Absturz zu bringen, wenn ein TGS-REQ-Paket gesendet wurde, in dem kein Servername angegeben war.

Quelle: opennet.ru