Foi lançado o Samba 4.15.0, dando continuidade ao desenvolvimento da linha Samba 4 com a implementação completa do controlador de domínio e do serviço Active Directory, compatível com a implementação do Windows 2000 e capaz de atender todas as versões suportadas do cliente Windows, incluindo o Windows 10. O Samba 4 é um produto de servidor multifuncional, que também fornece a implementação de servidor de arquivos, serviço de impressão e servidor de identificação (winbind).
Mudanças principais no Samba 4.15:
- O trabalho de modernização da camada VFS foi concluído. Por razões históricas, o código responsável pela implementação do servidor de arquivos estava vinculado ao processamento de caminhos de arquivos, que era utilizado, entre outros, para o protocolo SMB2, que foi convertido para o uso de descritores. A modernização consistiu em transferir o código que garante o acesso ao sistema de arquivos do servidor para o uso de descritores de arquivos em vez de caminhos de arquivos (por exemplo, passando a utilizar a chamada fstat() em vez de stat() e SMB_VFS_FSTAT() em vez de SMB_VFS_STAT()).
- Na implementação da tecnologia BIND DLZ (Zonas carregadas dinamicamente), que permite aos clientes enviar solicitações de transferência de zonas DNS para o servidor BIND e receber respostas do Samba, foi adicionada a capacidade de definir listas de acesso, permitindo especificar quais clientes têm permissão para essas solicitações e quais não têm. No plugin DLZ DNS, o suporte para as versões 9.8 e 9.9 do Bind foi descontinuado.
- O suporte para a extensão multicanal SMB3 (protocolo SMB3 Multi-Channel) foi ativado por padrão e estabilizado, permitindo que os clientes estabeleçam várias conexões para paralelizar a transmissão de dados dentro de uma única sessão SMB. Por exemplo, ao acessar um único arquivo, as operações de entrada/saída podem ser distribuídas entre várias conexões abertas. Este modo permite aumentar a largura de banda e melhorar a resistência a falhas. Para desativar o SMB3 Multi-Channel no smb.conf, altera-se a opção 'server multi channel support', que agora está habilitada por padrão nas plataformas Linux e FreeBSD.
- Foi possibilitado o uso do comando samba-tool em configurações do Samba compiladas sem suporte ao controlador de domínio Active Directory (ao indicar a opção '--without-ad-dc'). Mas, nesse caso, nem todas as funcionalidades estão disponíveis; por exemplo, as capacidades do comando 'samba-tool domain' são limitadas.
- A interface da linha de comando foi aprimorada: Um novo analisador de opções da linha de comando foi introduzido em várias utilitários Samba. As opções semelhantes que eram diferentes em utilitários foram unificadas, por exemplo, o processamento unificado das opções relacionadas a criptografia, trabalho com assinaturas digitais e uso do Kerberos. As configurações são definidas no smb.conf para estabelecer valores padrão das opções. Para a saída de erros em todos os utilitários, STDERR foi empregado (uma opção ‘--debug-stdout’ foi proposta para saída em STDOUT).
Foi adicionada a opção ‘--client-protection=off|sign|encrypt’.
As opções foram renomeadas: —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache
As opções ‘-e|—encrypt’ e ‘-S|—signing’ foram removidas.
Foi realizada a limpeza de duplicatas de opções nos utilitários ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename e ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd e winbindd.
- Por padrão, a verificação da lista de domínios de confiança (Trusted Domain) foi desativada ao iniciar o winbindd, o que era relevante na época do NT4, mas não é mais aplicável ao Active Directory.
- Foi adicionada a suporte ao mecanismo ODJ (Offline Domain Join), que permite conectar um computador domínio sem a necessidade de se conectar diretamente ao controlador de domínio. Em sistemas operacionais Unix-like baseados em Samba, o comando ‘net offlinejoin’ foi proposto para a adesão, enquanto no Windows pode-se usar o utilitário djoin.exe.
- No comando ‘samba-tool dns zoneoptions’ foram implementadas opções para definir o intervalo de atualização e gerenciar a limpeza de registros DNS obsoletos. Se todos os registros para um nome DNS forem excluídos, o nó será marcado como removido (‘tombstone’).
- O servidor DNS DCE/RPC pode agora ser utilizado pelo utilitário samba-tool e por utilitários do Windows para manipulação de registros DNS em externos. servidor.
- Ao executar o comando ‘samba-tool domain backup offline’ foi garantido o bloqueio correto ao banco de dados LMDB para proteção contra modificações paralelas durante o backup.
- O suporte para dialetos experimentais do protocolo SMB — SMB2_22, SMB2_24 e SMB3_10 foi encerrado, pois eram utilizados apenas em builds de teste do Windows.
- Em builds com implementação experimental do Active Directory baseado em MIT Kerberos, foram elevadas as exigências para a versão deste pacote. Agora, pelo menos a versão 1.19 do MIT Kerberos é necessária (disponível no Fedora 34).
- O suporte ao NIS foi removido.
- Foi corrigida uma vulnerabilidade CVE-2021-3671, permitindo que um usuário não autenticado causasse uma falha no controlador de domínio baseado no Heimdal KDC ao enviar um pacote TGS-REQ que não especificasse o nome do servidor.
Fonte: opennet.ru
