Izdaja Samba 4.15.0

Predstavljen je izid Samba 4.15.0, ki je nadaljeval razvoj veje Samba 4 z popolno implementacijo nadzornika domene in storitve Active Directory, združljive z implementacijo Windows 2000 in sposobne obvladovati vse podprte različice odjemalcev Windows, vključno z Windows 10. Samba 4 je večnamenski strežniški izdelek, ki obenem ponuja tudi implementacijo datotečnega strežnika, storitve tiskanja in strežnika identifikacije (winbind).

Ključne spremembe v Samba 4.15:

• Zaključeno je delo na modernizaciji sloja VFS. Zgodovinsko je bil koda z implementacijo datotečnega strežnika povezana z obravnavo datotečnih poti, ki se je uporabljala tudi za protokol SMB2, preusmerjen na uporabo deskriptorjev. Modernizacija se je osredotočila na prehod kode, ki omogoča dostop do datotečnega sistema strežnika, na uporabo datotečnih deskriptorjev namesto datotečnih poti (na primer, uporabljen je klic fstat() namesto stat() in SMB_VFS_FSTAT() namesto SMB_VFS_STAT()).
• V implementacijo tehnologije BIND DLZ (Dinamično naložene cone), ki omogoča odjemalcem pošiljanje zahtevkov za prenos DNS-con serverju BIND in prejemanje odgovorov od Sambe, je bila dodana možnost določanja dostopnih seznamov, ki določajo, katerim odjemalcem so takšni zahtevki dovoljeni in katerim ne. V vtičniku DLZ DNS je prenehana podpora za veji Bind 9.8 in 9.9.
• Privzeto je vključena in stabilizirana podpora za večkanalno razširitev SMB3 (protokol SMB3 Multi-Channel), ki omogoča odjemalcem vzpostavitev več povezav za vzporedno prenos podatkov znotraj enega SMB-seje. Na primer, pri dostopu do enega datoteke se lahko operacije vhod/izhod porazdelijo takoj po več odprtih povezavah. Ta način omogoča povečanje prepustnosti in izboljšuje odpornost proti napakam. Za izklop SMB3 Multi-Channel v smb.conf je treba spremeniti možnost 'server multi channel support', ki je od zdaj dalje privzeto vključena na platformah Linux in FreeBSD.
• Omogočena je uporaba ukaza samba-tool v konfiguracijah Sambe, zgrajenih brez podpore kontrolerja domene Active Directory (ob določanju možnosti '--without-ad-dc'). Vendar pa v tem primeru ni na voljo celotna funkcionalnost, na primer so možnosti ukaza 'samba-tool domain' omejene.
• Izboljšano je bilo vmesnik ukazne vrstice: Predlagan je nov parser ukaznih možnosti, uporabljen v različnih orodjih samba. Poenotene so bile podobne možnosti, ki so se razlikovale v različnih orodjih, na primer poenotena je obravnava možnosti, povezanih s šifriranjem, delom s digitalnimi podpisi in uporabo kerberos. V smb.conf so določene nastavitve za dodelitev privzetih vrednosti možnosti. Za izhod napak v vseh orodjih je bil uporabljen STDERR (za izhod v STDOUT je bila predlagana možnost „—debug-stdout“).

  Dodana je bila možnost „—client-protection=off|sign|encrypt“.

  Preimenovane so bile možnosti: —kerberos -> —use-kerberos=required|desired|off —krb5-ccache -> —use-krb5-ccache=CCACHE —scope -> —netbios-scope=SCOPE —use-ccache -> —use-winbind-ccache

  Odstranjene so možnosti: „-e|—encrypt“ in „-S|—signing“.

  Opravljeno je bilo delo na čiščenju podvojenih možnosti v orodjih ldbadd, ldbdel, ldbedit, ldbmodify, ldbrename in ldbsearch, ndrdump, net, sharesec, smbcquotas, nmbd, smbd in winbindd.

• Privzeto je izklopljeno skeniranje seznama zaupanja vrednih domen (Trusted Domain) ob zagonu winbindd, ki je imelo smisel v časih NT4, vendar ni aktualno za Active Directory.
• Dodana je podpora mehanizmu ODJ (Offline Domain Join), ki omogoča, da se računalnik priključi domeno brez neposrednega naslova na nadzorniški strežnik domene. V Unix-podobnih OS na osnovi Sambe je za pridružitev predlagana ukaz 'net offlinejoin', v Windows pa je mogoče uporabiti standardni program djoin.exe.
• V ukazu ‘samba-tool dns zoneoptions’ so implementirane možnosti za določitev intervala posodobitve in upravljanje s čiščenjem zastarelih DNS zapisov. V primeru izbrisa vseh zapisov za ime DNS se vozlišče preklopi v stanje odstranjeno („tombstone“).
• DCE/RPC DNS strežniki se zdaj lahko uporabljajo z orodjem samba-tool in orodji Windows za manipulacijo z DNS zapisi na zunanjih strežnikom.
• Pri izvajanju ukaza „samba-tool domain backup offline“ je zagotovljeno pravilno nastavitev zaklepov na BMD LMDB za zaščito pred hkratno spremembo podatkov med varnostnim kopiranjem.
• Podpora eksperimentalnim dijalektom protokola SMB — SMB2_22, SMB2_24 in SMB3_10, ki so se uporabljali samo v testnih gradnjah Windows, je bila prekinjena.
• V gradnjah z eksperimentalno implementacijo Active Directory na osnovi MIT Kerberos so bila zvišana zahtevana obdobja za različico tega paketa. Zdaj je za gradnjo potrebna vsaj različica MIT Kerberos 1.19 (dobavljena v Fedora 34).
• Podpora za NIS je bila odstranjena.
• Odpravljena je ranljivost CVE-2021-3671, ki neavtoriziranemu uporabniku omogoča zrušitev kontrolerja domene, ki temelji na Heimdal KDC, v primeru pošiljanja paketa TGS-REQ, v katerem ni navedeno ime strežnika.

Izvor: opennet.ru