Source: https://easgs.wordpress.com/2009/05/18/opensuse-11-1-como-controlador-de-dominio-la-manera-facil/
Timestamp: 2017-12-17 10:11:16+00:00

Document:
openSUSE 11.1 como controlador de Dominio, la manera facil | Weblog Tecnologico
openSUSE 11.1 como controlador de Dominio, la manera facil	mayo 18, 2009
Este es un ejemplo de un servidor openSUSE 11.1 configurado como PDC usando samba, en este escenario era requerido un controlador de dominio para una red de hasta 50 computadoras con Windows XP Professional SP-3 sin necesidad de un BDC por lo que se usara el backend tdbsam, de lo contrario se tendría que usar LDAP, se usara wins para la resolución de nombres, este servidor no funcionara como servidor de impresión por lo que esas opciones no se explican, para evitar redundancia tampoco se explican opciones ya planteadas previamente en el documento, también se necesita el servicio de DHCP para asignar dinámicamente las direcciones IP a las estaciones de trabajo y ofrecer el servidor wins, lo cual se explica en otro tutorial.
¿Porque este escenario?
Porque este es el escenario mas comun con el que se encuentra un administrador de redes y abarca una gran cantidad de empresas en el ambito nacional, redes de 10 hasta 50 computadoras, de hecho el equipo samba dice que el tdbsam se puede usar en redes con hasta 250 usuarios, en cualquier otro escenario LDAP es la recomendacion.
¿Pero que rayos es un controlador de dominio?
Un Domain Controller contiene una base de datos de todos los usuarios y las maquinas que son parte de nuestra red, de esta manera podemos administrar los recursos y politicas de seguridad de manera centralizada y esto nos permite tener un ambiente mas seguro.
Para comenzar debemos crear primero los usuarios easgs easgs1 easgs2 easgs3 (sustituya con el nombre que mas le convenga) en openSUSE usando Yast.
Este es el archivo smb.conf completo el cual se encuentra en la ruta /etc/samba y se puede editar usando kwrite.
server string = “opensuse”
path = /home/easgs/datos/
valid users = easgs easgs1 easgs2 easgs3
write list = easgs easgs1
read list = easgs2 easgs3
Sección [Globals]
La sección [globals] aparece en todos los ficheros de configuración de Samba, aunque no es obligatoria su definición. Cualquier opción de esta sección se aplicará al resto de recursos, como si los contenidos de la sección se copiasen a todas las demás. Sólo una salvedad: otras secciones pueden contener la misma opción pero con distinto valor; lo último prevalece siempre sobre lo antiguo, así que ese último valor prevalecerá sobre el establecido en la sección [globals].
Esta opción establece el nombre de nuestro dominio a BLUE.
Este parámetro fija el nombre NetBIOS por el cual es conocido el servidor Samba a suse-blue.
Configura a Samba para aceptar accesos en el dominio actuando como PDC.
Activa la comparación de lista WAN. Este parámetro indica a nmbd que solicite un nombre NetBIOS de dominio especial que lo identifica como examinador principal del dominio para el grupo de trabajo dado. Los examinadores locales del mismo grupo de trabajo dado en subredes-aisladas proporcionan a este nmbd sus listas locales, y solicitan a smbd una copia completa de la lista a la red amplia. Entonces las listas de clientes contactan con sus servidores locales y reciben una lista de la red amplia, en lugar de las listas de las subredes.
En pocas palabras mantiene una lista completa de todas las maquinas del dominio.
Le indica al servidor a mantener una lista local de las maquinas de su subred.
Si se pone a yes, al iniciar, samba forzará una elección y tendrá una ligera ventaja para ganar la elección. Es recomendable que este parámetro se use en conjunción con domain master = yes, para que samba pueda garantizar convertirse en un domain master.
Este parámetro indica el directorio home donde se guardan los ficheros de perfiles (NTuser.dat para windows NT).
Esta opción toma las sustituciones estándar, permitiendo tener script de conexión para cada usuario o máquina. También especifica el directorio desde el cual se cargan los contenidos de las carpetas “escritorio”, “menú inicio”, “programas” y “entorno de red” y se muestran en sus clientes Windows NT.
El recurso y la ruta deben poderse leer por el usuario para que las preferencias y los directorios sean cargados en los clientes Windows NT. El recurso debe tener permiso de escritura, al menos la primera vez que el usuario se conecta, para que los clientes Windows NT puedan crear el fichero user.dat y otros directorios.
Esta opción toma las sustituciones estándar, permitiendo tener script de conexión para cada usuario o máquina.
Tenga en cuenta que esta opción sólo es válida si Samba está configurado como logon server.
Para deshabilitar los perfiles móviles esta opción se deja sin definir, de esta manera se forzara a Windows a crear el perfil en la maquina local que es el caso de nuestro ejemplo, bajo Windows Xp esto se puede verificar en propiedades de la PC, opciones avanzadas, perfiles de usuarios configuración, en el campo tipo debe de decir local.
Mapea la carpeta home del usuario a la unidad F: cabe mencionar que puede ser cualquiera siempre y cuando no entre en conflicto con una existente, al dar doble clic sobre el icono de Mi Pc nos aparecerá esta unidad.
Esta opción permite al administrador elegir qué sistema o backend usa para guardar y recuperar contraseñas. Permite, por ejemplo, usar smbpasswd y tdbsam sin recompilar. Se pueden especificar múltiples backends separados por espacios. Los backends se usan en orden en el que se especifican. Los nuevos usuarios siempre se añaden al primer backend especificado, en nuestro ejemplo se usar tdbsam.
Esta es la ruta completa a un guión que smbd(8) ejecutará cuando agregue una máquina a su dominio usando el método con las contraseñas y claves del administrador.
En este ejemplo se creara la cuenta de la maquina usando el nombre netbios de la misma junto con el carácter $ en el archivo de passwords, también se pondrá el comentario Machine y lo agregara al grupo users que es el predeterminado para opensuse, después que unamos una maquina si revisamos nuestra lista de usuarios Linux y samba tendremos la nueva entrada con el nombre de la maquina con el carácter $ al final.
Esta opción se usa en los programas de Samba para determinar qué servicios de nombres y en qué orden resolver nombres de hosts a direcciones IP. Su principal función es controlar como se realiza la resolución NetBIOS. Esta opción toma una cadena, separada por espacios, de diferentes opciones de resolución.
Las opciones son “lmhosts”, “host”, “wins” y “bcast”. Hacen que los nombres se resuelvan de la siguiente forma:
lmhosts : Busca una dirección IP en el fichero lmhosts de Samba. Si la línea de lmhosts no tiene tipo de nombre adjuntado al nombre NetBIOS (vea lmhosts(5)) entonces vale cualquier tipo para la búsqueda.
host : Hace una resolución de nombre de host a dirección IP usando el sistema de resolución del sistema /etc/hosts , NIS, o búsquedas DNS. Este método de resolución depende del sistema operativo (por ejemplo, en IRIX o Solaris esto puede ser controlado por el fichero /etc/nsswitch.conf). Observe que este método se usa sólo si el tipo de nombre NetBIOS consultado es tipo 0x20 (server) o nombre tipe 0x1c (controladores de dominio). El último caso es sól útil para dominios Active directory y resultan de una consulta para la entrada SRV RR queverifique _ldap._tcp.domain.
wins: Pregunta por un nombre en la dirección IP address indicada en el parámetro wins server. Si no se ha especificado servidor WINS, este método se ignora (no se debería usar wins si no se cuenta con mas de una subred).
bcast : Efectúa una difusión (broadcast) en cada interfaz local conocido listado en el parámetro interfaces = . Este es el método de resolución menos seguro ya que depende de los hosts que están conectados en la red local.
Server String =”opensuse”
Esto controla qué cadena aparecerá en el cuadro de comentario de la impresora en el gestor de impresión y en la conexión IPC en “net view”. Puede ser cualquier cadena que quiera que vean sus usuarios y es la descripción de su equipo en el entorno de red.
Este parámetro booleano controla si Samba actúa como servidor WINS. No debería ponerlo como yes salvo que tenga una red multi-sub-red y quiera que un nmbd particular sea su servidor WINS. Tenga en cuanta que NUNCA debería poner esto como true en más de una máquina de su red. .
La sección [homes]
Si existe una sección denominada [homes] incluida en el fichero de configuración, los clientes se podrán conectar a su directorio HOME del servidor.
Significa que para los usuarios validos se tomaran del valor del servicio actual o el nombre del dominio o grupo de trabajo del usuario actual, nadie más podrá entrar.
Significa que los usuarios no podrán navegar en el recurso a través del entorno de red pero si podran ver el recurso homes, cuando se configura a yes en el entorno de red aparecen dos recursos compartidos unos con el nombre del usuario y otro llamado homes.
Por defecto samba siempre configura cualquier directorio como de solo lectura por razones de seguridad, por lo tanto debemos indicarle que queremos ser capaces de escribir en este directorio.
Este parámetro se puede usar para asegurar que si existen ACL predeterminadas en el directorio padre, estas se asignan cuando se crean subdirectorios. El comportamiento predeterminado es usar el modo especificado cuando se crea un directorio. Al activar esta opción fija el modo 0777, así garantiza que el las acl predeterminadas del directorio se propagan.
Las ACL son listas que le dicen al sistema operativo u otros dispositivos de red que permisos tiene cada usuario sobre cada objeto en una computadora o dispositivo de red.
Seccion [Profiles]
Es una sección especial que define parámetros para perfiles de red de los usuarios.
Es la ruta dada por el nombre del directorio home del usuario obtenido por %u que es el nombre del servicio actual.
Esta opción le indica a samba usar el atributo extendido “userDOSATTRIB” para almacenar los permisos ocultos del sistema de archivos DOS “hidden” y “system”.
Cuando se crea un fichero, los permisos necesarios se calculan de acuerdo con la asociación de los modos DOS a los permisos UNIX, y los modelos UNIX resultantes son una AND bit a bit con este parámetro. Este parámetro es una máscara de bits para los modelos UNIX. Cualquier bit no puesto se elimina del conjunto cuando se crea un fichero.
En este caso el propietario tendrá derecho de lectura y escritura y le quitara todos los privilegios a los demás.
Este parámetro es el modo octal que se usa cuando se convierte el modo DOS al modo UNIX al crear directorios UNIX.
Cuando se crea un directorio, los permisos necesarios se calculan de acuerdo con la traducción de los modos DOS a los permisos UNIX, y el modo UNIX resultante es un AND de los bits correspondientes con este parámetro. Este parámetro puede ser un máscara de bits para los modos UNIX de un directorio. Cualquier bit not puesto aquí se elimina de los modos del directorio cuando se crea.
En este caso el propietario tendrá derechos de lectura escritura y ejecución y les quitara todos los privilegios a los demás.
Sección [netlogon]
Dentro de esta carpeta debemos ubicar los archivos logon script en caso que deseemos usar uno
Esto significa que solo el administrador tiene acceso de lectura a este recurso nadie mas.
Recurso compartido [datos]
Esta opción fuerza que los usuarios que se logean al servicio lo hagan como el usuario easgs por lo tanto todo lo que hagan será con los mismo derechos de este usuario.
El recurso compartido se encuentra en la carpeta home del usuario easgs.
Estos usuarios son lo únicos permitidos para escribir en este recurso.
Estos usuarios solo tienen permiso de lectura en este recurso.
Agregar los usuarios a samba.
Para que esto funcione primero debemos crear los usuarios en Linux usando yast (lo cual ya hicimos al inicio de este documento), luego ejecutamos el siguiente comando por cada usuario para agregarlo a samba.
pdbedit –a easgs
Mapear los grupos UNIX a grupos Windows.
Cuando unimos una maquina con Windows XP a un controlador de dominio de la gama se servidores Windows server y queremos compartir un recurso tenemos la opción de agregar los grupos domain users u otros para abarcar todos esos usuarios, para tal efecto, en samba ejecutamos los siguiente lo cual es mandatorio al menos para estos tres grupos.
net groupmap add ntgroup=”Domain Admins” unixgroup=root rid=512
net groupmap add ntgroup=”Domain Users” unixgroup=users rid=513
net groupmap add ntgroup=”Domain Guests” unixgroup=nobody rid=514
Esto hará que el grupo detectado por la estación Windows como Domain Users sea en verdad el grupo UNIX users, y tomara todos los usuarios de dicho grupo siempre y cuando existan en el password backend de samba.
Para que esto funcione debemos habilitar en el firewall los servicios samba server, DHCP, y Netbios
El uso del servidor DHCP nos ahorra el trabajo de estar configurando manualmente los protocolos TCP/IP en cada maquina, lo unico que tendremos que hacer es unir las estaciones con Windows XP a nuestro server a como lo hariamos con cualquier controlador de dominio con Windows server 2003 o 2008.
Con esto ya tenemos funcionando nuestro servidor samba como controlador de dominio.
Variables usadas por samba
Como limpiar la cache de wins en openSUSE
openSUSE en un grupo de trabajo mixto
1.	Alex Rodriguez - mayo 18, 2009
Buenisimo el tutorial …. esta super bien explicado … hasta con detalles que ya se me habian olvidado para que eran..
Felicidades ! =D
2.	Ricardo Perez - mayo 19, 2009
Te Felicito, esta completo y a la vez sencillo…
Espero que muy pronto elabores otros como este!
3.	Luis Méndez - febrero 20, 2012
tengo problemas con Mapear los grupos UNIX a grupos Windows.

References: resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución