Bol spustený Samba 4.15.0, ktorý pokračuje vo vývoji vetvy Samba 4 s plnohodnotnou implementáciou ovládača domény a služby Active Directory, kompatibilnej s implementáciou Windows 2000 a schopnej obsluhovať všetky podporované verzie klientov Windows od Microsoftu, vrátane Windows 10. Samba 4 je multifunkčný serverový produkt, ktorý poskytuje aj implementáciu súborového servera, servis tlače a server identifikácie (winbind).
Kľúčové zmeny v Samba 4.15:
- Práca na modernizácii vrstvy VFS bola dokončená. Z historických dôvodov bol kód implementácie súborového servera viazaný na spracovanie súborových ciest, ktoré sa používali aj pre protokol SMB2, preložený na použitie deskriptorov. Modernizácia spočívala v preložení kódu, ktorý zabezpečuje prístup k súborovému systému servera, na použitie súborových deskriptorov namiesto súborových ciest (napríklad, bol použitý volanie fstat() namiesto stat() a SMB_VFS_FSTAT() namiesto SMB_VFS_STAT()).
- Do implementácie technológie BIND DLZ (Dynamically-loaded zones), ktorá umožňuje klientom posielať požiadavky na prenos DNS zón serveru BIND a prijímať odpoveď od Samba, bola pridaná možnosť definovania prístupových zoznamov, ktoré umožňujú určiť, ktorým klientom sú takéto požiadavky povolené a ktorým nie. V plugine DLZ DNS bola zastavená podpora verzií Bind 9.8 a 9.9.
- Podpora multikanálového rozšírenia SMB3 (protokol SMB3 Multi-Channel) bola zapnutá predvolene a stabilizovaná, čo umožňuje klientom vytvárať niekoľko spojení na paralelizáciu prenosu údajov v rámci jednej SMB relácie. Napríklad pri prístupe k jednému súboru môžu byť operácie vstupu/výstupu distribuované okamžite medzi niekoľkými otvorenými spojeniami. Tento režim zvyšuje priepustnosť a zvyšuje odolnosť voči výpadkom. Pre vypnutie SMB3 Multi-Channel v smb.conf je potrebné zmeniť možnosť „server multi channel support“, ktorá je odteraz predvolene zapnutá na platformách Linux a FreeBSD.
- Bola zabezpečená možnosť používať príkaz samba-tool v konfiguráciách Samba, ktoré boli zostavené bez podpory ovládača domény Active Directory (pri zadávaní možnosti „--without-ad-dc“). Ale v tomto prípade nie je dostupná celá funkcionalita, napríklad sú obmedzené možnosti príkazu ‘samba-tool domain’.
- Vylepšené rozhranie príkazového riadku: Bol navrhnutý nový parser príkazových opcií, ktorý je použitý v rôznych utilitách samba. Zjednotené podobné opcie, ktoré sa líšili v rôznych utilitách, napríklad zjednotená správa opcií súvisiacich so šifrovaním, prácou s digitálnymi podpismi a používaním kerberos. V smb.conf sú definované nastavenia pre nastavenie hodnôt predvolených opcií. Na výstup chýb vo všetkých utilitách je použitý STDERR (na výstup do STDOUT je navrhnutá možnosť „—debug-stdout“).
Pridaná možnosť „—client-protection=off|sign|encrypt“.
Prečíslené opcie: —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache
Odstránené opcie: „-e|—encrypt“ a „-S|—signing“.
Pracovalo sa na čistení duplicitných opcií v utilitách ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename a ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd a winbindd.
- Predvolene je vypnuté skenovanie zoznamu dôveryhodných domén (Trusted Domain) pri spustení winbindd, ktoré malo zmysel v čase NT4, ale nie je aktuálne pre Active Directory.
- Pridaná podpora pre mechanizmus ODJ (Offline Domain Join), ktorý umožňuje pripojiť počítač k doméne bez priameho kontaktovania doménového riadiča. V Unixových podobných OS na báze Samba je navrhnutý príkaz ‘net offlinejoin’, a na Windows je možné použiť štandardný program djoin.exe.
- V príkaze ‘samba-tool dns zoneoptions’ sú implementované možnosti na nastavenie intervalu aktualizácie a správy čistenia zastaraných DNS záznamov. V prípade odstránenia všetkých záznamov pre názov DNS je uzol prevedený do stavu odstráneného („tombstone“).
- DCE/RPC DNS servery môžu byť teraz používané utilitou samba-tool a utilitami Windows na manipuláciu s DNS záznamami na externom serveri.
- Pri vykonávaní príkazu „samba-tool domain backup offline“ je zabezpečené správne nastavenie blokád na DB LMDB na ochranu pred paralelnými úpravami dát počas zálohovania.
- Podpora experimentálnych dialektov protokolu SMB — SMB2_22, SMB2_24 a SMB3_10, ktoré boli používané iba v testovacích zostaveniach Windows, bola zastavená.
- V zostaveniach s experimentálnou implementáciou Active Directory na báze MIT Kerberos sa zvýšili požiadavky na verziu tohto balíka. Pre zostavenie je teraz potrebná minimálne verzia MIT Kerberos 1.19 (dodáva sa vo Fedore 34).
- Podpora NIS bola odstránená.
- Bola odstránená zraniteľnosť CVE-2021-3671, ktorá umožnila neautentifikovanému používateľovi spôsobiť pád riadiaceho panela domény založeného na Heimdal KDC v prípade odoslania paketu TGS-REQ, v ktorom nebolo uvedené meno servera.
Zdroj: opennet.ru
