Bemutatásra került a Samba 4.15.0, amely folytatja a Samba 4 ág fejlesztését a domain controller és az Active Directory szolgáltatás teljes megvalósításával, amely kompatibilis a Windows 2000 megvalósítással, és képes kiszolgálni az összes Microsoft által támogatott Windows kliensverziót, beleértve a Windows 10-et is. A Samba 4 egy sokoldalú kiszolgálótermék, amely fájl- és nyomtatószerver, valamint az azonosítási szolgáltatások (winbind) megvalósítását is biztosítja.
Főbb változások a Samba 4.15-ben:
- Befejeződött a VFS réteg korszerűsítése. Történelmi okokból a fájlszerver megvalósítása a fájlútvonalak feldolgozásához kötődött, amelyet a SMB2 protokoll is alkalmazott, amely átváltott a deszkriptorok használatára. A korszerűsítés lényege a szerver fájlrendszerhez való hozzáférést biztosító kód átdolgozása fájldeszkriptorok használatára a fájlútvonalak helyett (például az fstat() hívás használatára a stat() helyett és a SMB_VFS_FSTAT() a SMB_VFS_STAT() helyett).
- A BIND DLZ (Dynamically-loaded zones) technológia megvalósítása, amely lehetővé teszi a kliensek számára, hogy DNS-zónák átadásának kérelmeit küldjenek a BIND szervernek, és választ kapjanak a Sambától, hozzá lett adva a hozzáférési listák meghatározásának lehetősége, amely meghatározza, hogy mely kliensek számára engedélyezett az ilyen kérelmek teljesítése, és melyek számára nem. A DLZ DNS pluginben megszűnt a Bind 9.8 és 9.9 ágazatok támogatása.
- Alapértelmezetten engedélyezve van és stabilizálva lett az SMB3 multimédiás kiterjesztés támogatása (SMB3 Multi-Channel protokoll), amely lehetővé teszi a kliensek számára, hogy több kapcsolatot létesítsenek az adatátvitel párhuzamosításához egyetlen SMB-munkamenen belül. Például egy fájl elérésekor a bemeneti/kimeneti műveletek több nyitott kapcsolaton oszthatók el. Ez a mód növeli a sávszélességet és a hibák iránti ellenállást. Az SMB3 Multi-Channel letiltásához a smb.conf fájlban a „server multi channel support” opciót kell megváltoztatni, amely mostantól alapértelmezetten engedélyezve van a Linux és FreeBSD platformokon.
- Lehetővé vált a samba-tool parancs használata olyan Samba konfigurációkban, amelyek nem tartalmazzák az Active Directory domain controller támogatását (a „--without-ad-dc” opció megadásával). De ebben az esetben nem minden funkció érhető el, például a 'samba-tool domain' parancs korlátozott képességekkel rendelkezik.
- Javították a parancssori interfészt: egy új parancssori opciók elemzőt vezettek be, amelyet különböző samba segédprogramok használnak. Egységesítették a hasonló opciókat, amelyek eltértek a különböző segédprogramokban, például egységesítették a titkosítással, digitális aláírásokkal és Kerberos használatával kapcsolatos opciók kezelését. A smb.conf fájlban definiálták a beállításokat az alapértelmezett opciók értékeinek megadásához. Minden segédprogramnál a STDERR használatával írják ki a hibákat (a STDOUT-ra történő kiíráshoz a „—debug-stdout” opciót javasolták).
Hozzáadva a „—client-protection=off|sign|encrypt” opció.
Az opciók átnevezve lettek: —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache
Eltávolítva az opciók: „-e|—encrypt” és „-S|—signing”.
Dolgoztak az opciók duplikációinak eltávolításán az ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename és ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd és winbindd segédprogramokban.
- Alapértelmezés szerint letiltották a megbízható tartományok (Trusted Domain) listájának ellenőrzését a winbindd indításakor, amely annak idején NT4 alatt volt értelme, de már nem releváns az Active Directory számára.
- Hozzáadva az ODJ (Offline Domain Join) mechanizmus támogatása, amely lehetővé teszi egy számítógép csatlakoztatását domain a domain vezérlő közvetlen elérése nélkül. Unix-alapú operációs rendszerek esetén a Samba használatával a 'net offlinejoin' parancsot javasolják, Windows esetében a beépített djoin.exe programot lehet használni.
- A ‘samba-tool dns zoneoptions’ parancsban megvalósították az opciókat a frissítési intervallum megadására és az elavult DNS-bejegyzések takarításának kezelésére. Ha minden bejegyzést törölnek egy DNS név esetén, a csomópont távolított állapotba kerül („tombstone”).
- A DCE/RPC DNS-szerver most már a samba-tool és Windows segédprogramok által használható a DNS-bejegyzések manipulálására külső szerveren.
- A ‘samba-tool domain backup offline’ parancs végrehajtásakor biztosítják a LMDB adatbázisok zárolásának helyes beállítását az adatok párhuzamos módosításának védelme érdekében a biztonsági másolat készítése során.
- Megszüntették az SMB protokoll kísérleti dialektusainak támogatását — SMB2_22, SMB2_24 és SMB3_10, amelyeket csak a Windows tesztgyűjteményeiben használtak.
- Az Active Directory kísérleti implementációiban a MIT Kerberos alapú verzióra emelték a csomagkövetelményeket. A fordításhoz most legalább a MIT Kerberos 1.19 verziója szükséges (amely a Fedora 34-ben elérhető).
- Eltávolítva az NIS támogatása.
- Kijavították a CVE-2021-3671 sérülékenységet, amely lehetővé tette, hogy egy hitelesítetlen felhasználó összeomlassza a Heimdal KDC alapú domain vezérlőt, ha egy olyan TGS-REQ csomagot küldött, amelyben nem szerepelt a szerver neve.
Forrás: opennet.ru
