Newsgroup: it.comp.os.linux.sys
Titolo: [SAMBA] Fileserver linux in Win2003 ADS

Sto provando a configurare un file server Linux in un ambiente Windows
2003 SE con Active Directory (mixed mode).
Ho seguito le istruzioni presenti su 
samba.org
, ma non riesco ancora ad
avere l'accesso che desidero. In pratica dovrebbe gestire gli accessi
come un file server Windows, autenticando gli utenti tramite ads. Non ho
voglia di usare smbpasswd perché abbiamo un turnover di persone
abbastanza frequente.
Il server ha un utente (web_sertek) che dovrebbe servire per la gestione
ordinaria, e una directory (/home/sk_share) in cui dovrei costruire 
tutto. Nella pratica tutti gli utenti dovrebbero avere accesso a
sk_share.
Ho seguito diverse guide (alla voce "Active Directory Domain with Samba 
Domain Member Server") ma ottengo sempre lo stesso errore (da Kerberos): 
"Failed to verify incoming ticket!". Inoltre mi chiede la password per 
aprire la visualizzazione del server, ma anche se non mi fa navigare 
nella cartella sk_share.
Se uso kinit a mano, nessun problema (sugli utenti recenti, mentre non 
riesco a ricevere il ticket da quegli utenti che erano configurati con 
il vecchio server WinNT).
- Ho verificato di essere connesso al dominio (net ads info).
- Vedo gli utenti del dominio e i gruppi.
Però qualcosa continua a non funzionare. In particolare, facendo 
riferimento al punto 12 di 
http://us3.samba.org/samba/docs/man/Samba-Guide/unixclients.html#adssdm
 
non mi risolve i nomi del dominio, ma solo quelli locali. Il punto 13 è 
corretto, il 14 ha alcune differenze, tra cui il fatto che venga 
identificato al livello di dominio come XP Professional....
Il risultato finale è il seguente:
- all'accensione, mi chiede nome utente/password: ne metto uno 
qualunque, ed accedo al 'directory listing'.
- qualunque directory voglia esplorare, non ci riesco: mi chiede la 
password ma poi si rifiuta di farmi accedere (perché pare
Qualche volontario?
Il server è una Mandriva Spring 2007 con Samba 3.0.23d, la 
configurazione è la seguente:
[global]
     workgroup = SERTEK
     server string =  Manitou Server %v
     printcap name = cups
     load printers = yes
     printcap cache time = 60
     printing = cups
     log file = /var/log/samba/%m.log
     max log size = 50
     map to guest = bad user
     realm = SERTEK.LAN
     security = ads
     password server = *
     encrypt passwords = yes
     smb passwd file = /etc/samba/smbpasswd
     username map = /etc/samba/smbusers
     idmap uid = 10000-20000
     idmap gid = 10000-20000
     winbind separator = +
     socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
     wins server = 172.16.20.56
     dns proxy = no
     template shell = /bin/bash
[homes]
     comment = Home Directories
     browseable = no
     writable = yes
     valid users = %S
[printers]
     comment = All Printers
     path = /var/spool/samba
     browseable = no
     guest ok = yes
     writable = no
     printable = yes
     create mode = 0700
     print command = lpr-cups -P %p -o raw %s -r # using client side 
printer drivers.
     use client driver = yes
[print$]
     path = /var/lib/samba/printers
     browseable = yes
     write list = @adm root
     guest ok = yes
     inherit permissions = yes
[pdf-gen]
     path = /var/tmp
     guest ok = No
     printable = Yes
     comment = PDF Generator (only valid users)
     printing = bsd
     print command = /usr/share/samba/scripts/print-pdf "%s" "%H" 
"//%L/%u" "%m" "%I" "%J" &
     lpq command = /bin/true
[proj_dirs]
     path = /home/sk_share
     comment = Area di sviluppo
     browseable = yes
     public = yes
     writable = yes
     inherit acls = yes
     inherit permissions = yes
     create mask = 700
     directory mask = 700
     valid users = @"DOMAIN+Domain Users"
     admin users = @"DOMAIN+Domain Admins"
Con questa configurazione viene fuori la seguente sfilza di errori:
2007/08/01 10:24:09, 1] smbd/ipc.c:api_fd_reply(290)
   api_fd_reply: INVALID PIPE HANDLE: 7121
[2007/08/01 10:24:38, 1] smbd/sesssetup.c:reply_spnego_kerberos(202)
   Failed to verify incoming ticket!
[2007/08/01 10:24:38, 0] smbd/service.c:make_connection_snum(849)
   Can't become connected user!
[2007/08/01 10:24:38, 1] smbd/sesssetup.c:reply_spnego_kerberos(202)
   Failed to verify incoming ticket!
[2007/08/01 10:24:38, 0] smbd/service.c:make_connection_snum(849)
   Can't become connected user!
[2007/08/01 10:25:04, 1] smbd/sesssetup.c:reply_spnego_kerberos(202)
   Failed to verify incoming ticket!
Grazie a tutti

 Grazie a tutti

 sk_share.
[CUT]....
in /etc/resolv.conf hai messo come prima voce l'ip del PDC principale?
io avevo stessi tuoi problemi e mettendo come primo dns di ricerca quello
del PDC ho risolto
Esempio:
search
nameserver 192.168.0.1 #PDC
nameserver xxx.xxx.xxx.xxx #ALTRI
Io uso Debian Sarge come file server e come PDC ho un W2K3 R2 SP2
Non uso nessun file samba password, l'autenticazione la fa il PDC.
L'unica differenza che ho notato con il tuo smb.conf č:
password server = pdc.intranet.local   # č il nome del PDC
winbind separator = @
Ciao

Francesco Paolini ha scritto:

net ads info riporta tutto corretto.

 
Il nameserver è a posto.
Il parametro "password server" l'avrò cambiato in tutti i modi possibili 
(anche perché cambiando guida/howto cambia anche l'impostazione di 
smb.conf).
"winbind separator" viene consigliato di metterlo a '+' dal Terpstra 
(Samba-3 by Example). In effetti lasciando il '\' non cambia nulla.
Mi viene da pensare che il problema sia in Windows, cioè che i settaggi 
del server mi impediscano in qualche modo l'accounting, dato che non 
riesco ad autenticarmi in automatico.


Windows 2003 segnala qualche errore nei log ?
 Giovanni
-- 
/*
 * SnB - 
http://www.snb.it
 */

  Giovanni
Nessuno....
In effetti al dominio sono connesso, ma è come se fossi uno zombie, 
nessuno riesce a navigare questo server.
1) Da Samba verso Windows 2003: mi chiede la password (uso la mia, non 
quella di admin), poi posso entrare in tutte le cartelle del server,  C$ 
compreso.
2) Da Windows 2003 verso Samba: vedo la directory condivisa e le 
stampanti, ma non posso entrarci dentro o connettermi ad esse.
3) Da Xp a Samba: come 2).
Andrea

Sono riuscito ad avere l'accesso 'simil-peer', ma in una maniera assurda.
Allora, ho usato SWAT per provare le configurazioni.
Nessuna mi ha fatto accedere al primo tentativo.
Nell'ultima ho aggiunto 'force user', 'force group' e 'guest ok'.
Ridotto ormai alla canna del gas, alla richesta di username e password 
ho messo 'pippo' e 'pluto' e mi ha fatto entrare!!!!
Ho aumentato il livello di debug, ed ho osservato che succede il 
seguente (almeno, così mi sembra):
-- XP vuole connettersi e manda in background nome utente e password 
(quelli giusti);
-- Samba contatta il DC, il DC risponde ma la verifica Kerberos non 
funziona: "enc type [23] failed to decrypt with error Encryption type 
not permitted". A questo punto si entra in modalità 
"NT_STATUS_LOGON_FAILURE", che è un loop che termina quando XP decide 
che ne ha abbastanza.
-- XP richiede in chiaro nomeutente/password: l'utente digita il suo 
nomeutente/password ed ottiene nuovamente il due di picche.
-- L'utente digita un nomeutente/password falsi.
-- Samba esegue un controllo su un 'unmapped user [...] with the new 
password interface'
-- il DC risponde con 'e chi lo conosce?' (NT_STATUS_NO_SUCH_USER);
-- Samba decide che siccome non esiste, può essere mappato come utente 
guest... e concede l'accesso!
A questo punto credo che il problema sia nel dialogo Kerberos/DC: o kerb 
usa una encryption non supportata da DC, oppure il modo con cui si 
parlano non funziona.
Vedremo dopo le ferie...
Saluti
Andrea