È stato rilasciato Samba 4.15.0, che continua lo sviluppo della serie Samba 4 con un'implementazione completa del controller di dominio e del servizio Active Directory, compatibile con l'implementazione di Windows 2000 e in grado di supportare tutte le versioni di Windows client supportate da Microsoft, inclusa Windows 10. Samba 4 è un prodotto server multifunzionale che offre anche un'implementazione di file server, servizio di stampa e server di identificazione (winbind).
Modifiche chiave in Samba 4.15:
- È stata completata la modernizzazione dello strato VFS. Per motivi storici, il codice dell'implementazione del file server era legato alla gestione dei percorsi dei file, utilizzato anche per il protocollo SMB2, passata all'uso dei descrittori. La modernizzazione ha comportato la transizione del codice che gestisce l'accesso al file system del server all'uso di descrittori di file invece di percorsi di file (ad esempio, è stata introdotta la chiamata fstat() anziché stat() e SMB_VFS_FSTAT() anziché SMB_VFS_STAT()).
- Nell'implementazione della tecnologia BIND DLZ (zone caricate dinamicamente), che consente ai client di inviare richieste di trasferimento delle zone DNS al server BIND e ricevere risposte da Samba, è stata aggiunta la possibilità di definire liste di accesso che determinano quali client possono inviare tali richieste e quali no. Nel plugin DLZ DNS è stata interrotta la supporto per le versioni Bind 9.8 e 9.9.
- Il supporto per l'estensione multi-canale SMB3 (protocollo SMB3 Multi-Channel) è abilitato per impostazione predefinita e stabilizzato, consentendo ai client di stabilire più connessioni per parallelizzare il trasferimento dati all'interno di una singola sessione SMB. Ad esempio, quando si accede a un file, le operazioni di input/output possono essere distribuite su più connessioni aperte. Questa modalità consente di aumentare la larghezza di banda e migliorare la resilienza ai guasti. Per disabilitare SMB3 Multi-Channel in smb.conf è necessario modificare l'opzione "server multi channel support", che ora è abilitata per impostazione predefinita su piattaforme Linux e FreeBSD.
- È stata fornita la possibilità di utilizzare il comando samba-tool in configurazioni Samba compilate senza il supporto del controller di dominio Active Directory (specificando l'opzione "—without-ad-dc"). Tuttavia, in questo caso non tutte le funzionalità sono disponibili, ad esempio le possibilità del comando ‘samba-tool domain’ sono limitate.
- Migliorata l'interfaccia della riga di comando: Proposto un nuovo parser per le opzioni della riga di comando, utilizzato in vari strumenti samba. Uniformate opzioni simili che differivano tra i vari strumenti, ad esempio, unificata la gestione delle opzioni relative alla crittografia, al lavoro con le firme digitali e all'uso di kerberos. Nel smb.conf sono definite le impostazioni per specificare i valori delle opzioni predefiniti. Per la segnalazione degli errori in tutti gli strumenti è stato utilizzato STDERR (è stata proposta l'opzione «—debug-stdout» per la stampa su STDOUT).
Aggiunta l'opzione «—client-protection=off|sign|encrypt».
Rinominati le opzioni: —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache
Rimosse le opzioni: «-e|—encrypt» e «-S|—signing».
Effettuato un lavoro di pulizia delle opzioni duplicate negli strumenti ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename e ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd e winbindd.
- Per impostazione predefinita, è disabilitata la scansione dell'elenco dei domini fidati (Trusted Domain) all'avvio di winbindd, che aveva senso ai tempi di NT4, ma non è attuale per Active Directory.
- Aggiunta la supporto del meccanismo ODJ (Offline Domain Join), che consente di unire un computer a dominio senza contattare direttamente il controller di dominio. Nei sistemi operativi Unix-like basati su Samba, è disponibile il comando ‘net offlinejoin’ per l'unione, mentre in Windows è possibile utilizzare il programma ufficiale djoin.exe.
- Nel comando ‘samba-tool dns zoneoptions’ sono implementate opzioni per impostare l'intervallo di aggiornamento e gestire la pulizia dei record DNS obsoleti. In caso di eliminazione di tutti i record per un nome DNS, il nodo passa allo stato di remoto («tombstone»).
- I server DNS DCE/RPC possono ora essere utilizzati dallo strumento samba-tool e dalle utility Windows per manipolare i record DNS su un server.
- Durante l'esecuzione del comando «samba-tool domain backup offline» è stata garantita una corretta impostazione dei blocchi sul database LMDB per proteggere da modifiche simultanee dei dati durante il backup.
- Interrotta la supporto per i dialetti sperimentali del protocollo SMB — SMB2_22, SMB2_24 e SMB3_10, utilizzati solo nelle build di test di Windows.
- Nelle build con implementazione sperimentale di Active Directory basata su MIT Kerberos sono stati elevati i requisiti per la versione di questo pacchetto. Ora è necessaria almeno la versione MIT Kerberos 1.19 (disponibile in Fedora 34).
- Rimossa la supporto NIS.
- È stata rimossa la vulnerabilità CVE-2021-3671, che consentiva a un utente non autenticato di causare il crash del controller di dominio basato su Heimdal KDC nel caso venisse inviato un pacchetto TGS-REQ senza specificare il nome del server.
Fonte: opennet.ru
