Tras 6 meses de desarrollo, se presenta la versión 4.25.0 de Samba, que continúa el desarrollo de la rama Samba 4 con una implementación completa del controlador de dominio y del servicio Active Directory, compatible con la implementación de Windows Server y capaz de atender todas las versiones de clientes Windows compatibles con Microsoft, incluyendo Windows 11. Samba 4 es un producto de servidor multifuncional que también ofrece la implementación de un servidor de archivos, servicio de impresión y servidor de identificación (winbind). El código del proyecto está escrito en C y se distribuye bajo la licencia GPLv3.
Cambios clave en Samba 4.25:
- Se ha añadido soporte experimental para descriptores de archivos persistentes en la implementación del protocolo SMB3 (SMB2_CAP_PERSISTENT_HANDLES), permitiendo que los clientes continúen trabajando con archivos abiertos después de una interrupción de la conexión de red o un reinicio. servidores o al cambiar la carga a un servidor de respaldo. Los descriptores persistentes permiten evitar la reapertura de archivos después de una falla del servidor, lo que es especialmente relevante al alojar máquinas virtuales y bases de datos en Samba. servidor Se requiere proporcionar acceso exclusivo al almacenamiento SMB y desactivar las configuraciones de «kernel oplocks», «kernel share modes» y «posix locking», lo que interfiere con la compatibilidad con POSIX y NFS, y también reduce significativamente el rendimiento debido a la escritura sincrónica de metadatos en disco en cada operación. Se han propuesto dos modos de alta disponibilidad: full_outage (por defecto) — se crea una copia de respaldo local del estado, que permite conservar los descriptores incluso después de una falla total del clúster, pero aumenta la carga; partial_outage — funcionamiento más rápido sin copia de seguridad, pero los descriptores se pierden si todos los nodos del clúster fallan simultáneamente.
Se ha añadido el módulo VFS vfs_aio_ratelimit, que permite establecer un límite de intensidad de solicitudes (rate limit) que se aplica en el contexto de todo el clúster, y no solo vinculado a nodos individuales. Para coordinar la aplicación global de límites en cada nodo, debe ejecutarse un proceso en segundo plano ratelimitd, que agrega la actividad de todos los procesos smbd en el nodo y transmite información a otros nodos del clúster. La activación de vfs_aio_ratelimit se realiza en la etapa de compilación mediante la especificación de la opción «—with-ratelimitd».
- Se ha añadido un módulo VFS vfs_aio_ratelimit, permitiendo establecer un límite de tasa para las solicitudes (rate limit), que afecta al contexto de todo el clúster, no solo a los nodos individuales. Para coordinar la aplicación global de límites en cada nodo, debe ejecutarse un proceso en segundo plano ratelimitd, que agrega la actividad de todos los procesos smbd en el nodo y transmite la información a otros nodos del clúster. La inclusión de vfs_aio_ratelimit se lleva a cabo en la etapa de compilación especificando la opción «—with-ratelimitd».
- Se añadió el módulo VFS vfs_ceph_rgw para Ceph RGW (Object Gateway), que permite exportar datos del Ceph Object Gateway como un almacenamiento SMB con una representación jerárquica de los objetos almacenados en forma de archivos y directorios con separación de acceso a nivel POSIX uid/gid.
- Se implementaron niveles de funcionalidad de clúster, similares a los niveles dominio y bosques en Active Directory, lo que permite actualizar los nodos en el clúster de manera progresiva (rolling upgrade). Los formatos de base de datos y los formatos internos de intercambio de mensajes que afectan la interacción entre nodos solo cambian después de una actualización explícita para todo el clúster, garantizando la compatibilidad entre nodos con diferentes versiones de Samba durante la actualización. La gestión se realiza a través de los comandos "net clusterlevel features|show|showall|upgrade".
- Para el cifrado en el dominio, por defecto se utilizan los algoritmos aes128-cts-hmac-sha1-96 y aes256-cts-hmac-sha1-96 para los dominios con nivel de funcionalidad 2008 y superior. Este cambio bloquea la manifestación de la vulnerabilidad CVE-2026-20833, provocada por el uso de métodos de cifrado no seguros en Windows Kerberos.
- En CTDB, los archivos con bloqueos, PID y sockets se trasladaron a subdirectorios ctdb/. El script de inicialización ctdb.init se movió a ctdb/doc/examples. Se añadió soporte para la monitorización de hosts, como los servidores DNS. La función detect_init_style() y la variable CTDB_INIT_STYLE se declararon obsoletas (en su lugar se recomienda usar CTDB_PLATFORM_STYLE).
Fuente: opennet.ru
