Samba 4.15.0 väljaanne

Esitatud on Samba 4.15.0 versioon, mis jätkab Samba 4 haru arendamist, pakkudes täielikku domeenikontrolleri ja Active Directory teenuse rakendust, mis on kooskõlas Windows 2000 teostusega ja suudab toetada kõiki Microsofti toetatud Windowsi kliendiversioone, sealhulgas Windows 10. Samba 4 on multifunktsionaalne serveritootena, mis pakub ka failiserveri, printimisteenuse ja identifitseerimiserveri (winbind) rakendust.

Olulised muudatused Samba 4.15:

• VFS kihi moderniseerimine on lõpule viidud. Ajaloolistel põhjustel oli failiserveri rakenduse kood seotud failiteedega, mida kasutati sealhulgas SMB2 protokolli puhul, mis on üle viidud deskriptorite kasutamisele. Moderniseerimine viis koodi, mis tagab juurdepääsu serveri failisüsteemile, üleviimisele failides deskriptorite kasutusele failiteede asemel (nt fstat() kutsumine stat() asemel ja SMB_VFS_FSTAT() SMB_VFS_STAT() asemel).
• BIND DLZ (Dünaamiliselt laaditavad tsoonid) tehnoloogia rakendusse, mis võimaldab klientidel saata DNS-tsoonide edastamise päringuid BIND serverile ja saada Samba kaudu vastuseid, on lisatud juurdepääsuliste nimekirjade määramise võimalus, mis määravad, millised kliendid saavad selliseid päringuid esitada ja millised mitte. DLZ DNS pluginas on lõpetatud versioonide Bind 9.8 ja 9.9 tugi.
• SMB3 mitme kanali laienduse (SMB3 Multi-Channel protokoll) tugi on vaikimisi sisse lülitatud ja stabiliseeritud, võimaldades klientidel luua mitu ühendust andmete edastamise paralleelseks jaotamiseks ühe SMB seansi raames. Näiteks ühe faili juurdepääsu korral võivad sisendi/väljundi operatsioonid jaotuda kohe mitme avatud ühenduse vahel. See režiim võimaldab suurendada läbilaskevõimet ja parandada rikkealtiust. SMB3 Multi-Channel deaktiveerimiseks tuleb smb.conf'is muuta valikut 'server multi channel support', mis on nüüd vaikimisi sisse lülitatud Linuxi ja FreeBSD platvormidel.
• Samba konfigureerimistes, mis on koostatud ilma Active Directory domeenikontrolleri toeta (kui on määratud valik '—without-ad-dc'), on tagatud samba-tool käskluse kasutamise võimalus. Kuid sel juhul ei ole kogu funktsionaalsus saadaval, näiteks on piiratud ‘samba-tool domeeni’ käskluse võimalused.
• Parandatud käsurea liidest: Uus käsurea valikute parser on tõhustatud ja seda kasutatakse erinevates samba utiliitides. Ühtlustatud sarnased valikud, mis erinevates utiliitides varieerusid, näiteks on ühtlustatud valikute töötlemine, mis on seotud krüpteerimise, digitaalsete allkirjade ja kerberos'ega. smb.conf-is on määratletud seaded valikute vaikeväärtuste määramiseks. Kõikides utiliitides on vigade kuvamiseks kasutusel STDERR (STDOUT-i kuvamiseks on pakutud valik "--debug-stdout").

  Lisatud valik "--client-protection=off|sign|encrypt".

  Valikud on ümber nimetatud: —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache

  Valikud on eemaldatud: «-e|—encrypt» ja «-S|—signing».

  Tehtud on töö valikute dublettide puhastamiseks utiliitides ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename ja ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd ja winbindd.

• Vaikimisi on keelatud usaldusväärsete domeenide (Trusted Domain) nimekirja skaneerimine winbindd käivitamisel, mis oli mõttekas NT4 ajal, kuid ei ole asjakohane Active Directory jaoks.
• Lisatud on tugi ODJ (Offline Domain Join) mehhanismile, mis võimaldab arvuti ühendamist domeeniga ilma domeeni kontrollsüsteemi otse pöördumiseta. Unix-laadsetes opsüsteemides, mis põhinevad Samba-l, on ühenduseks ette nähtud käsk ‘net offlinejoin’, Windowsis on võimalik kasutada standardset programmi djoin.exe.
• Käsus ‘samba-tool dns zoneoptions’ on rakendatud valikud uuendamisintervalli määramiseks ja aegunud DNS-kirjete puhastamise haldamiseks. Kui kõik kirjed DNS-nime jaoks kustutatakse, muudetakse sõlm eemalduseks („tombstone”).
• DCE/RPC DNS-serverit saab nüüd kasutada samba-tool'i ja Windowsi utiliitide kaudu DNS-kirjete haldamiseks väliselt serveris.
• Käskluse «samba-tool domain backup offline» täitmisel on tagatud õige lukustuste seadmine LMDB andmebaasile, et kaitsta andmete paralleelse muutmise eest varundamise ajal.
• Eksperimentaalsete SMB protokolli dialektide — SMB2_22, SMB2_24 ja SMB3_10 — tugi on lõpetatud, kuna neid kasutati ainult Windowsi testversioonides.
• Eksperimentaalse Active Directory rakendusega, mis põhineb MIT Kerberosel, on tõstetud nõuded selle paketi versioonile. Koostamiseks on nüüd vajalik vähemalt MIT Kerberos 1.19 versioon (tarnitakse Fedora 34-s).
• NIS-i tugi on eemaldatud.
• Parandatud haavatavust CVE-2021-3671, mis võimaldab autentimata kasutajal põhjustada Heimdal KDC põhjal töötava domeenikontrolleri kokkuvarisemist, kui saadetakse TGS-REQ pakett, kus serverinime ei ole märgitud.

Allikas: opennet.ru