4. Samba
4.4. Configuración de la máquina Linux
4.4.1. Análisis del archivo de configuración de Samba
En Red Hat, el archivo de configuración de Samba es /etc/samba/smb.conf12. Mediante este archivo podemos controlar la gran cantidad de opciones disponibles del programa y tratar a fondo cada una de ellas está más allá del objetivo de esta entrega.
Se divide en varias secciones, cada una de ellas determinada por un nombre entre corchetes:[impre- soras],[global], etc. En cada sección encontramos una serie de parámetros compuestos por pares de clave/valor. Los comentarios comienzan con punto y coma (;) o mediante una almohadilla (#).13Ejempli-
fiquemos esto con una parte de la sección[global]:
[global]
# La almohadilla indica que estamos en un comentario remote announce = 192.168.1.255 192.168.2.44
# El siguiente parámetro está marcado como comentario y # el segundo no, es decir, está activo
; local master = no
os level = 33
Si modificamos el fichero de configuración tendremos que reiniciar el servidor14con:
# /etc/rc.d/init.d/smb restart
Para comenzar a trabajar y conocer las posibilidades que nos ofrece el programa sólo vamos a modificar las opciones más usuales de este fichero.
Sección [global]
En esta sección configuraremos parámetros para todo el servidor SAMBA así como algunos valores predeterminados a las otras secciones. Veamos algunas de las opciones más usuales15.
Comencemos por ajustar el grupo de trabajo16en el que nos encontramos. Por ejemplo, si nuestro grupo
de trabajo esTHALES17, escribiremos:
workgroup=THALES
Con el parámetro
server string = Samba Server
indicamos el nombre que identificará al servidor cuando lo consultan los clientes SAMBA. La línea que sigue aparece marcada como comentario. Si la activamos con el valor
hosts allow = 192.168.1. 127.
conseguimos que el acceso al servidor de Samba esté restringido a los hosts o redes especificados. En este caso el acceso está limitado a la red 192.168.1.0/24 y al host local. Si deseamos limitar el acceso a una
12Antes de tocar este archivo, como viene siendo habitual, deberíamos hacer una copia por si acaso.
13Normalmente apareceren marcados los parámetros como comentarios utilizando el punto y coma, y se deja la almohadilla para
comentarios normales.
14Es deseable actualizar el fichero/etc/hostscon las direcciones IP y el nombre de cada máquina a la que vamos a acceder. De
esta forma con sólo escribir el nombre del equipo al que queremos acceder, el servidor buscará en ese fichero el nombre del equipo y dirección IP correspondiente.
15Para conocer todas las opciones véase el libro Usando Samba ya comentado.
16Deberá estar limitado como máximo a nueve caracteres, sin espacios y todos en mayúsculas. 17Por defecto el grupo es MYGROUP.
red de clase B escribiríamos 192.168. y si es de clase A, 192. Conhosts denypodemos negar el acceso a determinadas máquinas o subredes (en caso de duda “gana”hosts allow). Por ejemplo, con
hosts allow = 192.168 EXCEPT 192.168.1
permitimos el acceso a la red de clase B 192.168. pero denegamos el acceso a la subred de clase C 192.168.1
Por defecto el archivo smb.confpermite que estén disponibles todas las impresoras definidas en
/etc/printcapcomo recursos compartidos.
# si se quiere cargar automáticamente la lista de impresoras en lugar # de configurarlas por separado, será necesario esto
printcap name = /etc/printcap load printers = yes
# No será necesario especificar el tipo de sistema de impresión a menos # que no sea estándar. Los sistemas con soporte en la actualidad incluyen: # bsd, sysv, pip, Iprng, aix, hpux, qnx
printing = lprng
Si se quiere especificar una cuenta de usuario guest (invitado) para el acceso anónimo a los servicios en un servidor Samba descomentaremos esta línea. Esto no es imprescindible, por omisión se permite el acceso de un usuario guest mediante la cuenta nobody18.
# Quitar la marca de comentario aquí si se desea una cuenta de usuario guest,
# se debe añadir esto a /etc/passwd, de no ser así, se utiliza el usuario # nobody
; guest account = pcguest
La líneas que siguen nos indican el lugar en dónde se almacerán los logs del sitema SMB así como el tamaño máximo que pueden tener19:
log file = /var/log/samba/ %m.log max log size = 50
Con la entrada que sigue nos garantizamos que sólo los usuarios de la máquina Linux tienen acceso vía SMB
# Modo de seguridad. La mayoría querrá nivel de seguridad de usuario. Ver
# security_level.txt para más detalles. security=user
Si en vez deuserescribimossharepodrán acceder al servidor usuarios no registrados en el sistema. Es mejor si se desea un acceso menos restringido al servicio de impresión o crear una zona pública limitada por la seguridad del recurso.
Con las líneas que siguen (están comentadas por defecto y no deberían descomentarse salvo que teng- amos problemas) establecemos el número de caracteres (no distinguen entre mayúsculas y minúsculas) que comprobaremos de los nombres de usuario así como de su contraseña.
# El nivel de password permite que concuerden _n_ caracteres de la con- traseña
# para todas las combinaciones de mayúsculas y minúsculas. ; password level = 8
; username level = 8
Como ya ha hemos visto, deberíamos descomentar las líneas que aparecen a continuación si traba- jamos con Windows 95 OSR2 y siguientes. De esta forma trabajaríamos con contraseñas encriptadas por el servidor Samba:
# Si se quiere usar encriptación de la password, consúltese, por favor # ENCRYPTION.txt, Win95.txt y WinNT.txt en la documentación de Samba.
18Sobre la forma de dar de alta un usuario véase la ordensmbadduser
# NO activar esta opción a menos que se hayan consultado dichos docu- mentos
encrypt passwords = yes
smb passwd file = /etc/smbpasswd
Permite a Samba actualizar el fichero de contraseñas de Linux cuando un usuario cambia su contraseña encriptada20(fichero/etc/samba/smbpasswd).
# The following are needed to allow password changing from Windows to # update the Linux system password also.
# NOTE: Use these with ’encrypt passwords’ and ’smb passwd file’ above. # NOTE2: You do NOT need these to allow workstations to change only # the encrypted SMB passwords. They allow the Unix password
# to be kept in sync with the SMB password. unix password sync = Yes
passwd program = /usr/bin/passwd %u
passwd chat = *New*password* %n\n *Retype*new*password* %n\n ...
Podemos conseguir que Linux autentifique a los clientes Windows en la red. Por defecto, estas líneas están comentadas:
# Actívese esto si se desea que Samba sea un servidor de inicio de sesión de
# dominio para estaciones de trabajo de Windows95. ; domain logons = yes
# Si se activan los inicios de sesión de dominio puede ser necesario un # script de inicio de sesión por máquina o por usuario ejecútese un archi- vo
# específico de procesamiento por lotes de inicio de sesión por máquina
; logon script = %m.bat
# ejecútese un archivo específico (de procesamiento por lotes de ini- cio de
# sesión por cada usuario
; logon script = %U.bat
Sección [homes]
Con esta sección podemos controlar de qué forma accederán los clientes al directorio principal de usuario en el servidor Linux. La configuración aquí establecida permite que los parámetros sean válidos para todos lo usuarios y no hay que especificar una configuración para cada usuario por separado.
comment = Home Directories browseable = no
writable = yes valid users = %S create mode = 0664 directory mode = 0775
Analicemos cada una de las líneas anteriores:
20Para ampliar sobre este tema y comprender las líneas no comentadas del fichero no estudiadas mirar
/usr/share/doc/samba-2.2.5/docs/htmldocs/ENCRYPTION.html, el capítulo 16 de The Official Red Hat
comment cadena de identificación que se muestra a los clientes que examinan el servidor Samba. browseable al establecerlo anoconseguimos que el explorador de Windows no nos muestre los$HOME
de otros usuarios del sistema Linux. Si no somos ningún usuario registrado del sistema no veríamos ningún$HOME. Sin embargo, si nos conectamos como un usuario del sistema Linux aparecerá una carpeta de nombre ese usuario a la que podremos acceder con nuestra contraseña. Si lo establecemos ayesaparecerán todas las carpetas de los$HOMEde usuario, aunque no podríamos acceder a ellas salvo que la validación sea la correcta (nombre de usuario y contraseña)
writable permite que un usuario pueda crear y modificar archivos en su directorio$HOMEcuando inicia una conexion SAMBA. Podemos conseguir esto mismo sustituyendo esta línea por
read only = no write ok = yes
valid users lista de usuarios que pueden conectarse a un recurso (en este caso, la variable%Scontiene el nombre actual del recurso).
create mode determinamos que los permisos de archivo para todos los archivos creados en el directorio compartido sean 0664.
directory mode los permisos para todos los directorios creados en el recurso compartido serán 0775. Sección [printers]
Con SAMBA podemos configurar de dos formas distintas la forma en que nuestras impresoras están disponibles para la red:
1. Creando una sección específica para compartir en/etc/printcappara cada impresora que se quiera compartir. No es el método que vamos a usar.
2. Usar la sección especial[printers]para compartir todas las impresoras definidas en el archivo
/etc/printcap.
Con esta sección definimos cómo se controlan los servicios de impresión en el caso de que no haya entradas específicas en el archivo de configuración de SAMBA: si disponemos de un servicio, SAMBA buscará en primer lugar un servicio con ese nombre, si no hay ninguno con ese nombre se usa esta sección para permitir al usuario conectarse con cualquier impresora definida en/etc/printcap.
Con la sección[printers]que se lista a continuación damos a compartir todas las impresoras del sistema y además permitimos imprimir a cualquiera, excepto a la cuenta guest.
[printers]
comment = All Printers path = /var/spool/samba browseable = no
# Set public = yes para permitir al usuario guest imprimir # es equivalente a guest ok = yes
guest ok = no writable = no printable = yes
Los parámetroscommentybrowseableya se han visto en la sección[homes].
Con el parámetropathdeterminamos en qué directorio temporal21 se copian los archivos antes de imprimirlos, en este caso/var/spool/samba.
Con el parámetroprintableenyespermitimos la escritura en el fichero de spool de impresión (si los permisos lo permiten). Con el parámetrowritableanorestringimos a que sólo se permita la
21Los permisos de este directorio están configurados para permitir la lectura y la escritura, lo mismo que el directorio/tmp.
escritura de trabajos de impresión en el directorio de spool definido con el parámetro path. Es decir, definimos el servicio como no “escribible” pero sí como “imprimible”.
Secciones personalizadas
Usando las secciones personalizadas podemos compartir impresoras o directorios de una manera no genérica. La idea que subyace en estas secciones consiste en poder compartir directorios para grupos de usuarios o permitir que determinados directorios sean de acceso público. A su vez, si tenemos varias im- presoras conectadas a nuestra máquina y no queremos darlas todas a compartir, podemos usar esta sección para dar a compartir sólo una impresora en concreto.
Con el ejemplo que se lista a continuación permitimos acceso al serviciotrabajosa los usuarios del grupo llamadoclase:
[trabajos]
comment = Directorio compartido de la clase de informática path = /home/trabajos
browseable = yes writable = yes printable = no
valid users = @clase
Las líneas de este ejemplo significan:
damos a compartir el directorio/home/trabajos
La identificación de este servicio es:Directorio compartido de la clase de infor- mática
Al estarbrowseableenyes, se mostrará la carpeta del recurso compartido en el explorador de Windows siempre que accedamos al servidor SMB.
Permitimos que se pueda escribir en él.
Conprintable = noindicamos que no es un servicio de impresión.
Con el parámetrovalid users = @claserestringimos el acceso a este directorio a miembros del grupoclase.
Veamos cómo compartir una impresora dedicada en la que sólo puede imprimir el usuarioC U R S O L I N U X:
[Impresora]
comment = Impresora a compartir
# con print ok = yes se consigue el mismo efecto # que con la línea que sigue
printable= yes printer = lp
path = /var/spool/samba public = no
writable = no
valid users = cursolinux
Para finalizar, ¿por qué no dar a compartir nuestra unidad de CD a los usuariosT H A L E SyM I L E T Ode
nuestra máquina:
[Cdrom]
writable = no printable = no
valid users = thales, mileto public = no
Cuando terminemos de configurar nuestro sistema podemos usar:
$ testparm
y comprobar que todo está perfectamente.