De release van Samba 4.15.0 is gepresenteerd, waarmee de ontwikkeling van de Samba 4-tak is voortgezet met een volledige implementatie van de domeincontroller en de Active Directory-service, compatibel met de implementatie van Windows 2000 en in staat om alle ondersteunde Microsoft-versies van Windows-cliënten te bedienen, inclusief Windows 10. Samba 4 is een multifunctioneel serverproduct dat ook een bestandsserver, printservice en identificatieserver (winbind) biedt.
Belangrijkste wijzigingen in Samba 4.15:
- Het werk aan de modernisering van de VFS-laag is voltooid. Om historische redenen was de code voor de implementatie van de bestandsserver verbonden met de verwerking van bestandslocaties, die ook werd gebruikt voor het SMB2-protocol, dat is overgeschakeld op het gebruik van descriptors. De modernisering houdt in dat de code die toegang tot het bestandssysteem van de server biedt, is overgeschakeld van bestandslocaties naar het gebruik van bestandsdescriptors (bijvoorbeeld, de aanroep fstat() in plaats van stat() en SMB_VFS_FSTAT() in plaats van SMB_VFS_STAT()).
- In de implementatie van de BIND DLZ-technologie (Dynamically-loaded zones), waarmee cliënten verzoeken om het overdragen van DNS-zones naar de BIND-server kunnen indienen en antwoorden van Samba kunnen ontvangen, is de mogelijkheid toegevoegd om toegangslisten te definiëren die bepalen aan welke cliënten dergelijke verzoeken zijn toegestaan en aan welke niet. In de DLZ DNS-plugin is de ondersteuning voor de versies Bind 9.8 en 9.9 stopgezet.
- De ondersteuning voor het SMB3-multichannel extensie (SMB3 Multi-Channel protocol) is standaard ingeschakeld en gestabiliseerd, waardoor cliënten meerdere verbindingen kunnen opzetten om de gegevensoverdracht binnen één SMB-sessie te paralleliseren. Bijvoorbeeld, bij toegang tot één bestand kunnen invoer-/uitvoeroperaties verspreid worden over meerdere open verbindingen. Deze modus verhoogt de doorvoer en verbetert de foutbestendigheid. Om SMB3 Multi-Channel uit te schakelen, moet de optie 'server multi channel support' in smb.conf worden gewijzigd, die nu standaard is ingeschakeld op Linux- en FreeBSD-platforms.
- De mogelijkheid om het commando samba-tool te gebruiken in Samba-configuraties die zijn samengesteld zonder ondersteuning voor de Active Directory-domeincontroller (met de optie '—without-ad-dc') is gegarandeerd. Maar in dit geval is niet alle functionaliteit beschikbaar, bijvoorbeeld, de mogelijkheden van het commando ‘samba-tool domain’ zijn beperkt.
- Verbeterde de opdrachtregelinterface: Een nieuwe parser voor opdrachtregeltaken is geïmplementeerd in verschillende samba-tools. Vergelijkbare opties die in verschillende tools verschilden, zijn gestandaardiseerd, zoals de uniforme verwerking van opties met betrekking tot encryptie, digitale handtekeningen en het gebruik van kerberos. In smb.conf zijn de instellingen gedefinieerd voor het opgeven van standaardwaarden voor opties. Voor foutuitvoer in alle tools wordt STDERR gebruikt (voor uitvoer naar STDOUT is de optie ‘—debug-stdout’ voorgesteld).
De optie ‘—client-protection=off|sign|encrypt’ is toegevoegd.
Opties hernoemd: —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache
De opties ‘-e|—encrypt’ en ‘-S|—signing’ zijn verwijderd.
Er is gewerkt aan het opschonen van duplicaten van opties in de tools ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename en ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd en winbindd.
- Standaard is het scannen van de lijst met vertrouwde domeinen (Trusted Domain) bij het opstarten van winbindd uitgeschakeld, wat zinvol was in de NT4-tijd, maar niet meer relevant is voor Active Directory.
- Ondersteuning voor het ODJ-mechanisme (Offline Domain Join) is toegevoegd, waarmee een computer kan worden aangesloten zonder rechtstreeks contact te maken met de domeincontroller. een domein. In Unix-achtige besturingssystemen op basis van Samba is de opdracht ‘net offlinejoin’ voorgesteld voor aansluiting, terwijl in Windows het standaardprogramma djoin.exe kan worden gebruikt.
- De opdracht ‘samba-tool dns zoneoptions’ heeft opties geïmplementeerd voor het instellen van de update-interval en het beheren van verouderde DNS-records. In het geval dat alle records voor een DNS-naam zijn verwijderd, wordt de node in de status 'verwijderd' (‘tombstone’) gezet.
- DCE/RPC DNS-servers kunnen nu worden gebruikt met de samba-tool en Windows-tools voor het manipuleren van DNS-records op externe servers. de server.
- Bij het uitvoeren van de opdracht ‘samba-tool domain backup offline’ is ervoor gezorgd dat vergrendelingen op de LMDB-database correct worden ingesteld om gegevens tegen parallelle modificatie te beschermen tijdens het maken van een back-up.
- De ondersteuning voor experimentele dialecten van het SMB-protocol — SMB2_22, SMB2_24 en SMB3_10, die alleen in testbuilds van Windows werden gebruikt, is stopgezet.
- In builds met experimentele implementaties van Active Directory op basis van MIT Kerberos zijn de vereisten voor de versie van dit pakket verhoogd. Voor de build is nu minimaal versie MIT Kerberos 1.19 (beschikbaar in Fedora 34) vereist.
- Ondersteuning voor NIS is verwijderd.
- Een kwetsbaarheid CVE-2021-3671 is verholpen, waardoor een niet-geauthenticeerde gebruiker een crash van de domeincontroller op basis van Heimdal KDC kan veroorzaken door een TGS-REQ-pakket te verzenden zonder de servernaam op te geven.
Bron: opennet.ru
