Preséntase a versión Samba 4.15.0, que continúa o desenvolvemento da rama Samba 4 cunha implementación completa dun controlador de dominio e un servizo de Active Directory compatible coa implementación de Windows 2000 e que é capaz de servir todas as versións de Clientes Windows compatibles con Microsoft, incluído Windows 10. Samba 4 é un produto de servidor multifuncional, que tamén ofrece unha implementación do servidor de ficheiros, o servizo de impresión e o servidor de identidade (winbind).
Cambios clave en Samba 4.15:
- Rematou o traballo de actualización da capa VFS. Por razóns históricas, o código coa implementación do servidor de ficheiros estivo ligado ao procesamento de rutas de ficheiros, que tamén se utilizou para o protocolo SMB2, que foi transferido ao uso de descritores. A modernización implicou converter o código que proporciona acceso ao sistema de ficheiros do servidor para utilizar descritores de ficheiros en lugar de rutas de ficheiros (por exemplo, chamar a fstat() en lugar de stat() e SMB_VFS_FSTAT() en lugar de SMB_VFS_STAT()).
- A implementación da tecnoloxía BIND DLZ (Zonas cargadas dinámicamente), que permite aos clientes enviar solicitudes de transferencia de zona DNS ao servidor BIND e recibir unha resposta de Samba, engadiu a posibilidade de definir listas de acceso que lle permiten determinar cales son os clientes. admitidos tales solicitudes e cales non. O complemento DLZ DNS xa non admite as ramas Bind 9.8 e 9.9.
- A compatibilidade coa extensión multicanle SMB3 (protocolo multicanle SMB3) está habilitada de forma predeterminada e estabilizada, o que permite aos clientes establecer varias conexións para paralelizar as transferencias de datos nunha única sesión SMB. Por exemplo, ao acceder a un único ficheiro, as operacións de E/S pódense distribuír en varias conexións abertas á vez. Este modo permítelle aumentar o rendemento e aumentar a resistencia aos fallos. Para desactivar SMB3 multicanle, debes cambiar a opción de "soporte multicanle de servidor" en smb.conf, que agora está activada por defecto nas plataformas Linux e FreeBSD.
- Agora é posible usar o comando samba-tool en configuracións de Samba creadas sen soporte de controlador de dominio de Active Directory (cando se especifica a opción "--without-ad-dc"). Pero neste caso, non todas as funcionalidades están dispoñibles; por exemplo, as capacidades do comando "samba-tool domain" son limitadas.
- Interface de liña de comandos mellorada: propúxose un novo analizador de opcións de liña de comandos para o seu uso en varias utilidades de samba. Unificáronse opcións similares que diferían en diferentes utilidades, por exemplo, unificouse o procesamento de opcións relacionadas co cifrado, o traballo con sinaturas dixitais e o uso de kerberos. smb.conf define a configuración para establecer os valores predeterminados das opcións. Para producir erros, todas as utilidades usan STDERR (para a saída a STDOUT, ofrécese a opción "--debug-stdout").
Engadida a opción "--client-protection=off|sign|cifrar".
Opcións renomeadas: --kerberos -> --use-kerberos=required|desired|off --krb5-ccache -> --use-krb5-ccache=CCACHE --scope -> --netbios-scope=SCOPE --use -ccache -> --use- winbind-ccache
Opcións eliminadas: “-e|—cifrar” e “-S|—sinatura”.
Traballouse para limpar as opcións duplicadas nas utilidades ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename e ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd e winbindd.
- Por defecto, a exploración da lista de dominios de confianza ao executar winbindd está desactivada, o que tiña sentido nos días de NT4, pero non é relevante para Active Directory.
- Engadiuse compatibilidade co mecanismo ODJ (Offline Domain Join), que che permite unir un ordenador a un dominio sen contactar directamente cun controlador de dominio. Nos sistemas operativos tipo Unix baseados en Samba, ofrécese o comando 'net offlinejoin' para unirse, e en Windows pode usar o programa estándar djoin.exe.
- O comando 'samba-tool dns zoneoptions' ofrece opcións para establecer o intervalo de actualización e controlar a eliminación de rexistros DNS obsoletos. Se se eliminan todos os rexistros dun nome DNS, o nodo colócase nun estado lápida.
- O servidor DNS DCE/RPC agora pode ser usado pola ferramenta samba e as utilidades de Windows para manipular rexistros DNS nun servidor externo.
- Ao executar o comando "samba-tool domain backup offline", garante o bloqueo correcto na base de datos LMDB para protexer contra a modificación paralela dos datos durante a copia de seguridade.
- Descontinuouse a compatibilidade con dialectos experimentais do protocolo SMB: SMB2_22, SMB2_24 e SMB3_10, que só se usaron nas versións de proba de Windows.
- Nas compilacións cunha implementación experimental de Active Directory baseada en MIT Kerberos, levantáronse os requisitos para a versión deste paquete. A compilación agora require polo menos a versión 1.19 de MIT Kerberos (enviado con Fedora 34).
- Eliminouse a compatibilidade con NIS.
- Corrixiuse a vulnerabilidade CVE-2021-3671, que permitía a un usuario non autenticado bloquear un controlador de dominio baseado en Heimdal KDC se se envía un paquete TGS-REQ que non inclúe un nome de servidor.
Fonte: opennet.ru