Samba 4.15.0 väljaanne

Samba 4.15.0 on välja antud, jätkates Samba 4 haru arendust täieliku domeenikontrolleri ja Active Directory teenuse rakendusega, mis on ühilduv Windows 2000 implementatsiooniga ning suudab teenindada kõiki Microsofti toetatavaid Windowsi klientide versioone, sealhulgas Windows 10. Samba 4 on mitmeotstarbeline serveritooted, mis pakub ka failiserveri, printimisteenuse ja identiteedi serveerimise (winbind) rakendust.

Peamised muudatused Samba 4.15-s:

• VFS kihi uuendustööd on lõpetatud. Ajaloolistel põhjustel oli failiserveri rakenduse kood seotud failiteede töötlemisega, mida kasutati ka SMB2 protokolli jaoks, mis oli üle viidud deskriptorite kasutamisele. Uuendamine tõi endaga kaasa koodi ülemineku, mis tagab juurdepääsu serveri failisüsteemile, failide deskriptorite kasutamisele failiteede asemel (näiteks on kasutusel fstat() kutse stat() asemel ja SMB_VFS_FSTAT() asemel SMB_VFS_STAT()).
• BIND DLZ (dünaamiliselt laaditavad tsoonid) tehnoloogia rakendamisel, mis võimaldab klientidel saata DNS-tsooni edastamise päringud BIND-serverile ja saada vastuseid Samba kaudu, on lisatud juurdepääsuloendite määramise võimalus, mis määrab, millised kliendid saavad selliseid päringuid teha ja millised mitte. DLZ DNS plugina versioonis on lõpetatud toetus versioonidele Bind 9.8 ja 9.9.
• Vaikimisi on sisse lülitatud ja stabiliseeritud SMB3 mitme kanaliga laienduse tugi (SMB3 Multi-Channel protokoll), mis võimaldab klientidel luua mitu ühendust, et jagada andmeedastust ühe SMB-seansi raames. Näiteks failiga töötamisel võivad sisendi/väljundi toimingud jaotuda mitme avatud ühenduse vahel. See režiim võimaldab suurendada läbilaskevõimet ja suurendada häiredalumatust. SMB3 Multi-Channel väljalülitamiseks tuleb smb.conf failis muuta suvandit „server multi channel support”, mis on nüüd vaikimisi sisse lülitatud Linuxi ja FreeBSD platvormidel.
• Mugavad on kasutada samba-tool käsku Samba konfigureerimistes, mis on koostatud ilma Active Directory domeeni kontrolleri toetust (kui on määratud valik „—without-ad-dc“). Kuid sel juhul ei ole kogu funktsionaalsus saadaval, näiteks on piirdunud 'samba-tool domain' käsu võimalused.
• Käsklustepaneeli liides on paranenud: Uus käsuargumentide parser on kasutusele võetud erinevates samba utiliitides. Sarnased valikud on ühtlustatud, mis oli erinevates utiliitides erinevad, näiteks on ühtlustatud krüptimise, digitaalsete allkirjade töötlemise ja kerberos'e seonduvad valikud. smb.conf failis on määratud säteteks vaikimisi väärtuste määramiseks. Kõikides utiliidi veateates on kasutusel STDERR (STDOUT-i jaoks on soovitatud valik „—debug-stdout“).

  Lisatud on valik „—client-protection=off|sign|encrypt“.

  Valikud on ümber nimetatud: —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache

  Valikud on eemaldatud: „-e|—encrypt“ ja „-S|—signing“.

  Tööd on tehtud valikute duplikaatide puhastamiseks utiliitides ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename ja ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd ja winbindd.

• Vaikimisi on välja lülitatud usaldusväärsete domeenide (Trusted Domain) nimekirja skaneerimine winbindd käivitamisel, mis oli mõttekas NT4 ajal, kuid pole enam asjakohane Active Directory puhul.
• Lisatud on ODJ (Offline Domain Join) mehhanismi tugi, mis võimaldab arvutit ühendada domaadi ilma otse domeeni kontrollerile pöördumata. Unixilaadsetes OS-des, mis põhinevad Samba-l, on ühendamiseks ette nähtud käsk ‘net offlinejoin’, samas kui Windowsis saab kasutada padrão programmi djoin.exe.
• Käskluses ‘samba-tool dns zoneoptions’ on rakendatud valikud värskenduste intervalli määramiseks ja vananenud DNS-kirjete puhastamise haldamiseks. Kui kõik kirjed DNS-nime jaoks kustutatakse, muudetakse sõlm eemaldunda olekusse («tombstone»).
• DCE/RPC DNS-serverit saab nüüd kasutada samba-tool utiliidiga ja Windowsi utiliididega DNS-kirjete manipuleerimiseks välistes serveril.
• Käsku ‘samba-tool domain backup offline’ täites on tagatud LMDB andmebaasi blokeeringute õige seadmine, et kaitsta andmete paralleelse muutmise eest varundamise ajal.
• Eksperimentaalsete SMB protokolli dialekti, sealhulgas SMB2_22, SMB2_24 ja SMB3_10, toe lõpetamine, mis olid kasutusel ainult Windowsi testversioonides.
• Eksperimentaalse MIT Kerberose põhjal põhineva Active Directory rakenduses on tõstetud paketi versiooninõuded. Nüüd on vajalik vähemalt MIT Kerberos versioon 1.19 (juhitakse Fedora 34-sse).
• NIS toe eemaldamine.
• Rohkem on kõrvaldatud haavatavus CVE-2021-3671, mis võimaldas autentimata kasutajal põhjustada Heimdal KDC põhjal põhineva domeenikontrolleri kokkuvarisemise, kui TGS-REQ pakett saadeti ilma serveri nimega.

Allikas: opennet.ru