Samba 4.15.0 թողարկում

Ներկայացվեց Samba 4.15.0-ի թողարկումը, որը շարունակեց Samba 4 մասնաճյուղի զարգացումը տիրույթի վերահսկիչի և Active Directory ծառայության լիարժեք ներդրմամբ, որը համատեղելի է Windows 2000-ի ներդրման հետ և կարող է սպասարկել Windows-ի հաճախորդների բոլոր տարբերակները: աջակցվում է Microsoft-ի կողմից, ներառյալ Windows 10-ը: Samba 4-ը բազմաֆունկցիոնալ սերվերային արտադրանք է, որը նաև ապահովում է ֆայլերի սերվերի, տպագիր ծառայության և ինքնության սերվերի (winbind) ներդրում:

Հիմնական փոփոխությունները Samba 4.15-ում.

• VFS շերտի արդիականացման աշխատանքներն ավարտված են։ Պատմական պատճառներով, ֆայլերի սերվերի ներդրմամբ ծածկագիրը կապված էր ֆայլերի ուղիների մշակման հետ, որը նույնպես օգտագործվում էր SMB2 արձանագրության համար, որը փոխանցվում էր նկարագրիչների օգտագործմանը: Արդիականացումը ներառում էր սերվերի ֆայլային համակարգ մուտք ապահովող ծածկագրի փոխակերպումը՝ ֆայլի ուղիների փոխարեն ֆայլերի նկարագրիչներ օգտագործելու համար (օրինակ՝ կանչել fstat() stat()-ի փոխարեն և SMB_VFS_FSTAT() SMB_VFS_STAT()-ի փոխարեն):
• BIND DLZ (Dynamically-loaded zones) տեխնոլոգիայի ներդրումը, որը թույլ է տալիս հաճախորդներին ուղարկել DNS գոտու փոխանցման հարցումներ BIND սերվերին և ստանալ պատասխան Samba-ից, ավելացրել է մուտքի ցուցակներ սահմանելու հնարավորություն, որոնք թույլ են տալիս որոշել, թե որ հաճախորդներն են: թույլատրվում է նման խնդրանքներ և որոնք չեն: DLZ DNS հավելվածն այլևս չի աջակցում Bind մասնաճյուղերը 9.8 և 9.9:
• SMB3 բազմալիքային ընդլայնման (SMB3 Multi-Channel արձանագրություն) աջակցությունը լռելյայն միացված է և կայունացված՝ թույլ տալով հաճախորդներին ստեղծել բազմաթիվ կապեր՝ մեկ SMB սեանսի ընթացքում տվյալների փոխանցումները զուգահեռացնելու համար: Օրինակ, մեկ ֆայլ մուտք գործելու ժամանակ I/O գործառնությունները կարող են բաշխվել միանգամից մի քանի բաց միացումների վրա: Այս ռեժիմը թույլ է տալիս մեծացնել թողունակությունը և բարձրացնել խափանումների դիմադրությունը: SMB3 Multi-Channel-ն անջատելու համար դուք պետք է փոխեք «server multi channel support» տարբերակը smb.conf-ում, որն այժմ լռելյայն միացված է Linux և FreeBSD հարթակներում:
• Այժմ հնարավոր է օգտագործել samba-tool հրամանը Samba-ի կոնֆիգուրացիաներում, որոնք կառուցված են առանց Active Directory տիրույթի վերահսկիչի աջակցության (երբ նշված է «--առանց-ad-dc» տարբերակը): Բայց այս դեպքում ոչ բոլոր գործառույթներն են հասանելի, օրինակ՝ «samba-tool domain» հրամանի հնարավորությունները սահմանափակ են։
• Հրամանի տողի բարելավված ինտերֆեյս. առաջարկվել է հրամանի տողի ընտրանքների նոր վերլուծիչ՝ տարբեր սամբայի կոմունալ ծառայություններում օգտագործելու համար: Նմանատիպ տարբերակները, որոնք տարբերվում էին տարբեր կոմունալ ծառայություններում, միավորվել են, օրինակ՝ գաղտնագրման, թվային ստորագրությունների հետ աշխատելու և kerberos-ի օգտագործման հետ կապված տարբերակների մշակումը միավորվել է։ smb.conf-ը սահմանում է պարամետրեր՝ ընտրանքների համար լռելյայն արժեքներ սահմանելու համար: Սխալների ելքի համար բոլոր կոմունալ ծառայություններն օգտագործում են STDERR (STDOUT-ի ելքի համար առաջարկվում է «--debug-stdout» տարբերակը):

  Ավելացվեց «--client-protection=off|sign|encrypt» տարբերակը:

  Վերանվանված տարբերակներ՝ --kerberos -> --use-kerberos=պահանջվում է|ցանկալի|անջատված --krb5-ccache -> --use-krb5-ccache=CCACHE --scope -> --netbios-scope=SCOPE --օգտագործում -ccache -> --օգտագործել-winbind-ccache

  Հեռացված տարբերակները՝ «-e|—encrypt» և «-S|—signing»:

  Աշխատանքներ են կատարվել կրկնօրինակ տարբերակները մաքրելու համար ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename և ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd և winbindd կոմունալ ծառայություններում:

• Լռելյայնորեն, Winbindd-ի գործարկման ժամանակ վստահելի տիրույթների ցանկի սկանավորումն անջատված է, ինչը իմաստալից էր NT4-ի օրերին, բայց չի համապատասխանում Active Directory-ին:
• Ավելացվել է աջակցություն ODJ (Offline Domain Join) մեխանիզմին, որը թույլ է տալիս համակարգիչը միացնել տիրույթին՝ առանց ուղղակիորեն կապ հաստատել տիրույթի վերահսկիչի հետ: Samba-ի վրա հիմնված Unix-ի նման օպերացիոն համակարգերում միանալու համար առաջարկվում է «net offlinejoin» հրամանը, իսկ Windows-ում կարող եք օգտագործել ստանդարտ djoin.exe ծրագիրը:
• «samba-tool dns zoneoptions» հրամանը տրամադրում է տարբերակներ՝ թարմացման միջակայքը սահմանելու և հնացած DNS գրառումների մաքրումը վերահսկելու համար: Եթե ​​DNS անվանման բոլոր գրառումները ջնջվում են, հանգույցը տեղադրվում է շիրմաքարի վիճակում:
• DNS սերվեր DCE/RPC-ն այժմ կարող է օգտագործվել samba-tool-ի և Windows կոմունալ ծառայությունների կողմից՝ արտաքին սերվերի վրա DNS գրառումները շահարկելու համար:
• «Samba-tool տիրույթի պահուստավորում անցանց» հրամանը կատարելիս ապահովվում է LMDB տվյալների բազայի ճիշտ կողպումը, որը պաշտպանում է կրկնօրինակման ընթացքում տվյալների զուգահեռ փոփոխությունից:
• SMB արձանագրության՝ SMB2_22, SMB2_24 և SMB3_10 փորձարարական բարբառների աջակցությունը, որոնք օգտագործվում էին միայն Windows-ի փորձնական ձևավորումներում, դադարեցվել է:
• MIT Kerberos-ի վրա հիմնված Active Directory-ի փորձարարական ներդրմամբ կառուցումներում այս փաթեթի տարբերակի պահանջները բարձրացվել են: Այժմ կառուցելը պահանջում է MIT Kerberos-ի առնվազն 1.19 տարբերակ (առաքվում է Fedora 34-ով):
• NIS աջակցությունը հանվել է:
• Շտկվել է CVE-2021-3671 խոցելիությունը, որը թույլ է տալիս չհաստատված օգտվողին խափանել Heimdal KDC-ի վրա հիմնված տիրույթի վերահսկիչը, եթե ուղարկվի TGS-REQ փաթեթ, որը չի ներառում սերվերի անունը:

Source: opennet.ru