Se presenta la versión Samba 4.15.0, que continúa el desarrollo de la rama Samba 4 con una implementación completa del controlador de dominio y del servicio Active Directory, compatible con la implementación de Windows 2000 y capaz de atender todas las versiones soportadas de clientes Windows, incluyendo Windows 10. Samba 4 es un producto servidor multifuncional que también ofrece implementación de servidor de archivos, servicio de impresión y servidor de identificación (winbind).
Cambios clave en Samba 4.15:
- Se ha completado la modernización de la capa VFS. Por razones históricas, el código de implementación del servidor de archivos estaba ligado al manejo de rutas de archivos, que se utilizaba también para el protocolo SMB2, que fue trasladado al uso de descriptores. La modernización consistió en cambiar el código que proporcionaba acceso al sistema de archivos del servidor para usar descriptores de archivos en lugar de rutas de archivos (por ejemplo, se utiliza la llamada fstat() en lugar de stat() y SMB_VFS_FSTAT() en lugar de SMB_VFS_STAT()).
- En la implementación de la tecnología BIND DLZ (zonas cargadas dinámicamente), que permite a los clientes enviar solicitudes de transferencia de zonas DNS al servidor BIND y recibir respuestas de Samba, se ha añadido la posibilidad de definir listas de acceso, permitiendo determinar qué clientes tienen permitido realizar tales solicitudes y cuáles no. En el plugin DLZ DNS se ha descontinuado el soporte para las ramas Bind 9.8 y 9.9.
- Se ha incluido por defecto y se ha estabilizado el soporte para la extensión de múltiples canales SMB3 (protocolo SMB3 Multi-Channel), que permite a los clientes establecer múltiples conexiones para paralelizar la transferencia de datos dentro de una misma sesión SMB. Por ejemplo, al acceder a un solo archivo, las operaciones de entrada/salida pueden distribuirse de inmediato en varias conexiones abiertas. Este modo permite aumentar el ancho de banda y mejorar la resistencia a fallos. Para desactivar SMB3 Multi-Channel en smb.conf, se debe cambiar la opción 'server multi channel support', que ahora está habilitada por defecto en las plataformas Linux y FreeBSD.
- Se ha garantizado la posibilidad de usar el comando samba-tool en configuraciones de Samba compiladas sin soporte para el controlador de dominio Active Directory (al especificar la opción '--without-ad-dc'). Sin embargo, en este caso, no toda la funcionalidad está disponible, por ejemplo, las capacidades del comando 'samba-tool domain' están limitadas.
- Mejorada la interfaz de la línea de comandos: Se ha propuesto un nuevo analizador de opciones de línea de comandos, utilizado en varias utilidades de samba. Se han unificado opciones similares que diferían en diferentes utilidades, por ejemplo, se ha unificado el manejo de opciones relacionadas con la encriptación, el trabajo con firmas digitales y el uso de kerberos. En smb.conf se definen configuraciones para establecer los valores predeterminados de las opciones. Para la salida de errores en todas las utilidades se ha utilizado STDERR (para la salida en STDOUT se ha propuesto la opción "--debug-stdout").
Se ha añadido la opción "--client-protection=off|sign|encrypt".
Se han renombrado las opciones: —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache
Se han eliminado las opciones: «-e|—encrypt» y «-S|—signing».
Se ha trabajado en la limpieza de duplicados de opciones en las utilidades ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename y ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd y winbindd.
- De forma predeterminada, se ha desactivado el escaneo de la lista de dominios de confianza (Trusted Domain) al iniciar winbindd, lo cual tenía sentido en los tiempos de NT4, pero ya no es relevante para Active Directory.
- Se ha añadido soporte para el mecanismo ODJ (Offline Domain Join), que permite unir un ordenador a el dominio sin contactar directamente con el controlador de dominio. En sistemas operativos similares a Unix basados en Samba, se ha propuesto el comando ‘net offlinejoin’, mientras que en Windows se puede usar la herramienta djoin.exe.
- En el comando ‘samba-tool dns zoneoptions’ se han implementado opciones para establecer el intervalo de actualización y gestionar la limpieza de registros DNS obsoletos. Si se eliminan todos los registros para un nombre DNS, el nodo se convierte en un estado eliminado («tombstone»).
- Los servidores DNS DCE/RPC ahora pueden ser utilizados por la herramienta samba-tool y las utilidades de Windows para manipular registros DNS en los externos. servidor.
- Al ejecutar el comando «samba-tool domain backup offline» se asegura el correcto establecimiento de bloqueos en la base de datos LMDB para proteger contra modificaciones paralelas de los datos durante la copia de seguridad.
- Se ha terminado el soporte para dialectos experimentales del protocolo SMB — SMB2_22, SMB2_24 y SMB3_10, que solo se utilizaban en versiones de prueba de Windows.
- En las versiones con una implementación experimental de Active Directory basada en MIT Kerberos, se han elevado los requisitos para la versión de este paquete. Ahora se necesita al menos la versión MIT Kerberos 1.19 (distribuida en Fedora 34).
- Se ha eliminado el soporte para NIS.
- Se ha corregido la vulnerabilidad CVE-2021-3671, que permitía a un usuario no autenticado causar un fallo en el controlador de dominio basado en Heimdal KDC al enviar un paquete TGS-REQ sin especificar el nombre del servidor.
Fuente: opennet.ru
