Version Samba 4.15.0

La version Samba 4.15.0 a été mise en ligne, poursuivant le développement de la branche Samba 4 avec une mise en œuvre complète du contrôleur de domaine et du service Active Directory, compatible avec l'implémentation de Windows 2000 et capable de prendre en charge toutes les versions de Windows Client prises en charge par Microsoft, y compris Windows 10. Samba 4 est un produit serveur multifonction offrant également une mise en œuvre de serveur de fichiers, de services d'impression et de serveur d'identification (winbind).

Modifications clés dans Samba 4.15 :

• Le travail sur la modernisation de la couche VFS est achevé. Pour des raisons historiques, le code de mise en œuvre du serveur de fichiers était lié au traitement des chemins de fichiers, qui était également utilisé pour le protocole SMB2, converti pour utiliser des descripteurs. La modernisation a consisté à convertir le code assurant l'accès au système de fichiers du serveur pour utiliser des descripteurs de fichiers au lieu de chemins de fichiers (par exemple, l'appel fstat() a été utilisé au lieu de stat() et SMB_VFS_FSTAT() au lieu de SMB_VFS_STAT()).
• La technologie BIND DLZ (zones chargées dynamiquement) a été mise en œuvre, permettant aux clients d'envoyer des demandes de transfert de zones DNS au serveur BIND et de recevoir une réponse de Samba, avec la possibilité de définir des listes d'accès pour déterminer quels clients peuvent envoyer de telles demandes et lesquels ne le peuvent pas. Le plugin DLZ DNS ne prend plus en charge les versions Bind 9.8 et 9.9.
• Le support de l'extension multicanal SMB3 (protocole SMB3 Multi-Channel) est activé par défaut et stabilisé, permettant aux clients d'établir plusieurs connexions pour paralléliser le transfert de données dans le cadre d'une seule session SMB. Par exemple, lors de l'accès à un fichier, les opérations d'entrée/sortie peuvent être réparties sur plusieurs connexions ouvertes. Ce mode permet d'augmenter la bande passante et la résistance aux pannes. Pour désactiver SMB3 Multi-Channel dans smb.conf, il convient de modifier l'option « server multi channel support », qui est désormais activée par défaut sur les plateformes Linux et FreeBSD.
• Il est désormais possible d'utiliser la commande samba-tool dans des configurations Samba compilées sans support du contrôleur de domaine Active Directory (en spécifiant l'option « --without-ad-dc »). Cependant, dans ce cas, toutes les fonctionnalités ne sont pas disponibles, par exemple, les capacités de la commande 'samba-tool domain' sont limitées.
• Amélioré l'interface de ligne de commande : Un nouveau parseur d'options de ligne de commande a été proposé, utilisé dans diverses utilitaires samba. Les options similaires qui différaient dans différents utilitaires ont été unifiées, par exemple, le traitement des options liées au chiffrement, à la gestion des signatures numériques et à l'utilisation de kerberos a été unifié. Des paramètres ont été définis dans smb.conf pour spécifier les valeurs d'options par défaut. STDERR a été intégré pour la sortie d'erreurs dans tous les utilitaires (pour la sortie dans STDOUT, une option « —debug-stdout » a été proposée).

  Ajout de l'option « —client-protection=off|sign|encrypt ».

  Options renommées : —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache

  Options supprimées : « -e|—encrypt » et « -S|—signing ».

  Un nettoyage des options dupliquées a été effectué dans les utilitaires ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename et ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd et winbindd.

• Par défaut, le balayage de la liste des domaines de confiance (Trusted Domain) est désactivé au démarrage de winbindd, ce qui avait du sens à l'époque de NT4, mais n'est pas pertinent pour Active Directory.
• Ajout du support du mécanisme ODJ (Offline Domain Join), permettant de joindre un ordinateur à un domaine sans contact direct avec le contrôleur de domaine. Sur les systèmes d'exploitation Unix-like basés sur Samba, la commande ‘net offlinejoin’ est proposée pour le join, tandis que sur Windows, l'outil djoin.exe peut être utilisé.
• Dans la commande ‘samba-tool dns zoneoptions’, des options ont été mises en œuvre pour définir l'intervalle de mise à jour et gérer le nettoyage des enregistrements DNS obsolètes. Lorsque tous les enregistrements pour un nom DNS sont supprimés, le nœud passe à l'état supprimé (« tombstone »).
• Les serveurs DNS DCE/RPC peuvent maintenant être utilisés par l'outil samba-tool et les utilitaires Windows pour manipuler les enregistrements DNS à distance. le serveur.
• Lors de l'exécution de la commande « samba-tool domain backup offline », le blocage des bases de données LMDB est correctement mis en place pour se protéger contre la modification parallèle des données lors de la sauvegarde.
• Le support des dialectes expérimentaux du protocole SMB — SMB2_22, SMB2_24 et SMB3_10, qui n'étaient utilisés que dans des versions de test de Windows, a été interrompu.
• Dans les builds avec une implémentation expérimentale d'Active Directory basée sur MIT Kerberos, les exigences de version pour ce paquet ont été relevées. À présent, la version MIT Kerberos 1.19 (fournie avec Fedora 34) est requise pour la construction.
• Le support de NIS a été supprimé.
• Une vulnérabilité CVE-2021-3671 a été corrigée, permettant à un utilisateur non authentifié de provoquer un crash du contrôleur de domaine basé sur Heimdal KDC en envoyant un paquet TGS-REQ sans spécifier le nom du serveur.

Source : opennet.ru