Una introducción a Samba está disponible.
A lo largo de los años, Samba ha ganado una amplia gama de opciones configurables. Sin embargo, este módulo no le permite configurarlos todos, solo los que son útiles para un servidor pequeño en una red simple. Por ejemplo, la configuración relacionada con los scripts de inicio de sesión, los dominios NT y SSL no se puede editar. Sin embargo, si los agrega a su archivo smb.conf manualmente, el módulo no los modificará.
Como todos los demás módulos que configuran algún servidor, este solo se puede usar si el servidor Samba está realmente instalado. Si el módulo no puede encontrarlo, aparecerá un mensaje de error como No se encontró el ejecutable del servidor Samba /usr/sbin/smbd aparecerá en la página principal en su lugar. Si tiene Samba instalado pero en una ubicación diferente a la que espera el módulo, consulte Configuración del uso compartido de archivos de Windows de Samba sección del módulo más adelante en este capítulo para obtener instrucciones sobre cómo volver a configurarlo para usar las rutas correctas. De lo contrario, deberá instalarlo.
La mayoría de las distribuciones de Linux y varios otros sistemas operativos incluyen un paquete o paquetes Samba, que se pueden instalar fácilmente usando el módulo Paquetes de software (cubierto en el capítulo 12). De lo contrario, deberá descargar el código fuente de www.samba.org y luego compilarlo e instalarlo manualmente. El módulo espera que use el paquete si hay uno disponible o el código fuente de lo contrario, por lo que si no lo hizo y todavía se muestra un mensaje de error en la página principal, será necesario ajustar la configuración del módulo para usar las rutas correctas.
No importa cómo esté instalado Samba, su archivo de configuración predeterminado incluirá al menos dos recursos compartidos (los hogares especiales y las impresoras), así como varias configuraciones globales. Esto significa que incluso si nunca antes ha usado este módulo o ha configurado Samba manualmente, la lista en la página principal no estará vacía. Por supuesto, si ha estado agregando recursos compartidos editando directamente el archivo de configuración, también se mostrarán.
Si el módulo encuentra que ambos procesos del servidor Samba no se están ejecutando, mostrará Servidores de inicio en su lugar, los botones que, al hacer clic, iniciarán tanto smbd como nmbd. No se comprueba ningún archivo PID para determinar si se están ejecutando o no; en su lugar, el módulo busca procesos en ejecución con esos nombres.
Como se mencionó en la introducción, el protocolo SMB utiliza un formato de cifrado de contraseña que es incompatible con el formato Unix estándar. Hubo un tiempo en que esto no era un problema, ya que las versiones antiguas de Windows (95 y anteriores) enviaban contraseñas a servidores SMB sin cifrar. Esto permitió a Samba cifrarlas y verificarlas con la lista de contraseñas de Unix, tal como lo hacen los servidores FTP o Telnet. Desafortunadamente, las versiones recientes de Windows solo enviarán contraseñas en el nuevo formato cifrado NTLM a menos que se cambie una clave de registro oscura en particular. Esto significa que Samba debe mantener una lista separada de contraseñas para validar clientes modernos.
A menos que solo accedan a su servidor hosts antiguos de Windows o sistemas Linux, deberá habilitar esta lista de contraseñas cifradas por separado. Los pasos para hacerlo son :
Ahora que la lista de contraseñas separada de Samba está habilitada, deberá agregarle algunos de sus usuarios de Unix existentes. Esto se puede hacer fácilmente usando Webmin siguiendo los pasos a continuación:
Después de la conversión, probablemente necesitará establecer contraseñas para los nuevos usuarios de Samba. Esto debe hacerse uno por uno, siguiendo estas instrucciones para cada usuario:
Debido a que convertir y configurar la contraseña para cada nuevo usuario es una tediosa pérdida de esfuerzo, puede configurar el módulo para crear automáticamente un usuario de Samba para cada usuario de Unix creado en Webmin. También es posible cambiar el nombre de un usuario de Samba, eliminarlo o cambiar sus contraseñas cuando se cambia su cuenta de usuario de Unix correspondiente en el módulo Usuarios y grupos. Los pasos a seguir para configurar esta sincronización son:
| Nota: | Desafortunadamente, esta sincronización solo se aplica a los módulos Usuarios y grupos, Cambiar contraseñas y Grupos de usuarios y grupos en Webmin. Si agrega un usuario con el adduser comando de shell o cambiar una contraseña con passwd comando shell, no se agregará ni actualizará ningún usuario de Samba |
. Agregar un nuevo recurso compartido de archivos
En su configuración predeterminada habitual, Samba permitirá que cualquier usuario de Unix inicie sesión y acceda a los archivos en su directorio de inicio. Las casas especiales share proporciona esta función, que en muchos casos es todo lo que necesita para que los usuarios almacenen sus propios archivos en el servidor. Sin embargo, a menudo es útil compartir un directorio al que todos tengan acceso, de modo que los documentos de interés para toda la organización puedan estar disponibles. Un recurso compartido como este se puede configurar para permitir el acceso de invitados (lo que significa que no es necesario iniciar sesión para acceder a él) o para requerir un inicio de sesión válido en el servidor.
Para crear un recurso compartido de archivos, los pasos a seguir son :
- Primero, decida el directorio que desea compartir y créelo si aún no existe. Debe tener los permisos Unix apropiados para que los usuarios puedan leer y/o escribir en él.
- En la página principal del módulo, haga clic en Crear un nuevo recurso compartido de archivos enlace encima o debajo de la tabla. Esto lo llevará al formulario de creación de acciones que se muestra en la siguiente captura de pantalla.
- En el Nombre del recurso compartido asegúrese de que el primer botón esté seleccionado e ingrese un nombre alfanumérico único para su recurso compartido en el cuadro de texto, como documentos . Si ingresa el nombre de un usuario de Unix, se anulará su uso compartido automático del directorio de inicio.
- En el Directorio para compartir campo, ingrese o seleccione con el botón pequeño la ruta completa al directorio elegido en el paso 1
- Para deshabilitar este recurso compartido para que no se pueda usar, cambie ¿Disponible? campo a No . Esto puede ser útil si desea desconectarlo hasta que todas las opciones se hayan configurado correctamente.
- Para ocultar este recurso compartido de la lista de recursos compartidos que aparece cuando se navega por el servidor, cambie la opción ¿Examinable? campo a No . Sin embargo, seguirá siendo accesible directamente usando una ruta \\servername\sharename.
- En el comentario Compartir campo, ingrese una breve descripción para este archivo compartido, como Documentos corporativos .
- Haga clic en Crear para agregarlo a la configuración de Samba. Su navegador regresará a la página principal del módulo, en la que se enumerará el nuevo recurso compartido.
- Haga clic en el nuevo nombre compartido para abrir su página de edición.
- Haga clic en Seguridad y control de acceso icono para mostrar el formulario de seguridad del recurso compartido.
- Si los archivos de este recurso compartido deben ser de solo lectura, establezca ¿Escribible? campo a No - de lo contrario, asegúrese de que Sí es seleccionado.
- ¿El acceso de invitados? El campo determina si los clientes pueden acceder a este recurso compartido sin iniciar sesión en el servidor. Las opciones disponibles son :Ninguna Solo los usuarios autenticados tendrán acceso. Sí Cualquiera podrá acceder al recurso compartido, pero los clientes no autenticados serán tratados como invitados. Los clientes que hayan iniciado sesión tendrán sus derechos normales de acceso a archivos. Solo invitados Todos los clientes, autenticados o no, serán tratados como invitados.
- Para configurar el usuario de Unix con el que los invitados leen y escriben archivos, cambie el Usuario invitado de Unix campo. Normalmente debería ser una cuenta con acceso de solo lectura.
- Haga clic en Guardar botón en la parte inferior del formulario. El recurso compartido ahora está listo para que lo usen los clientes y debería aparecer cuando se navega por su servidor.
-
Crear recurso compartido de archivos
Se puede editar un recurso compartido después de crearlo haciendo clic en su nombre en la lista de la página principal del módulo para que aparezca su formulario de edición, cambiando detalles como la ruta o la descripción y presionando Guardar. botón. O se puede eliminar por completo haciendo clic en Eliminar en el mismo formulario. También puede editar parámetros adicionales haciendo clic en los iconos en la parte inferior de la página de edición; las secciones posteriores de este capítulo explican lo que hacen con más detalle.
El recurso compartido de inicio también se puede editar, aunque por lo general no tiene una ruta (o si la tiene, contendrá el código %U especial que se reemplaza por el directorio de inicio del usuario que se conecta).
Editar archivo compartido Agregar una nueva impresora compartida
La configuración predeterminada de Samba normalmente contiene las impresoras especiales compartir, lo que indica que todas las impresoras de su sistema están disponibles para clientes SMB. Sin embargo, una impresora específica se puede compartir explícitamente en su lugar. Esto puede ser mejor que compartirlas todas automáticamente, ya que le permite configurar diferentes opciones para cada impresora o excluir algunas para que no se compartan por completo.
Antes de que la impresión y la exploración de impresoras en Samba funcionen correctamente, debe configurarse para usar el sistema de impresión adecuado para su caja Unix. Consulte la Configuración de impresoras más adelante en el capítulo para obtener detalles sobre cómo configurar esto. Si se configura incorrectamente, el servidor utilizará los comandos incorrectos para enumerar las impresoras y enviar trabajos, lo que puede hacer que la lista de impresoras generada automáticamente esté vacía o que las solicitudes de impresión fallen.
Para que una impresora esté disponible para clientes SMB, los pasos a seguir son :
- En la página principal del módulo, haga clic en el enlace *Crear una nueva impresora compartida* arriba o debajo de la tabla. Esto lo llevará al formulario de creación de recursos compartidos de impresión que se muestra a continuación.
- En el Nombre del recurso compartido asegúrese de que el primer botón esté seleccionado e ingrese un nombre alfanumérico único para su recurso compartido en el cuadro de texto, como hplaser . Este debe ser el mismo que el nombre de la impresora Unix que seleccione en el siguiente paso para evitar confusiones. Si ya existe un recurso compartido de impresora creado automáticamente con el mismo nombre, este nuevo lo anulará.
- Desde la impresora Unix menú, seleccione la impresora para que esté disponible para los clientes SMB. Esta lista se toma del módulo Administración de impresoras (tratado en el capítulo 22). Si Predeterminado se elige, se utilizará la impresora predeterminada del sistema de impresión.
- Para deshabilitar esta impresora y que no se pueda usar, cambie ¿Disponible? campo a No .
- Para ocultar esta impresora de la lista que aparece cuando se navega por el servidor, cambie ¿Explorable? campo a No . Sin embargo, seguirá siendo accesible directamente usando una ruta \\servername\printername.
- En el directorio Spool campo puede introducir el nombre de un directorio en el que se almacenan los archivos temporales para imprimir. Déjalo vacío para usar el valor predeterminado de Samba, que generalmente funcionará bien.
- En el comentario Compartir campo, ingrese una breve descripción para esta impresora, como Office HP Laserjet 5 .
- Haga clic en Crear para agregar el recurso compartido a la configuración de Samba. Su navegador regresará a la página principal del módulo, que ahora incluirá la nueva impresora en la tabla.
- Haga clic en el nuevo nombre compartido para abrir su página de edición.
- Haga clic en Seguridad y control de acceso icono para mostrar el formulario de seguridad del recurso compartido.
- ¿El acceso de invitados? El campo determina si los clientes pueden imprimir en esta impresora sin iniciar sesión en el servidor. Las opciones disponibles son :Ninguna Solo los usuarios autenticados tendrán acceso. Sí Cualquiera podrá acceder al recurso compartido, pero los clientes no autenticados serán tratados como invitados. A los clientes que hayan iniciado sesión se les enviarán trabajos de impresión con sus nombres de inicio de sesión. Solo invitados Todos los clientes, autenticados o no, serán tratados como invitados.
- Para configurar el usuario de Unix como el que los invitados envían trabajos de impresión, cambie el Usuario invitado de Unix campo. Esto no importa mucho, a menos que su sistema de impresión esté configurado para bloquear a ciertos usuarios.
- Haga clic en Guardar en la parte inferior del formulario para volver a la página de edición de la impresora.
- Haga clic en Opciones de impresora icono.
- Si esta impresora va a ser utilizada por clientes de Windows y no tiene un controlador Unix instalado, ingrese su marca y modelo completos en el Controlador de impresora campo. Debe coincidir exactamente con el nombre con el que Windows se refiere a la impresora, para que los clientes sepan qué controlador instalar. Si Ninguno está seleccionado, a los usuarios que agreguen esta impresora a sus sistemas Windows se les pedirá que elijan el modelo de impresora de una lista. Si la impresora Unix seleccionada en el paso 3 ya está configurada con un controlador, entonces los clientes deben enviar trabajos en formato Postscript en lugar del formato de datos nativo que usa la impresora (porque el controlador hará la conversión). En este caso, puede introducir el nombre de una impresora que utilice Postscript de forma nativa, como Apple LaserJet II .
- Finalmente, haga clic en Guardar botón de este formulario. El recurso compartido de la impresora ya está listo para que lo utilicen los clientes de Windows.
Crear archivo compartido
Al igual que con los recursos compartidos de archivos, las impresoras se pueden editar y eliminar haciendo clic en sus nombres en la tabla de la página principal del módulo. Las impresoras especiales compartir también se puede modificar; sin embargo, no tiene sentido configurar muchas opciones, como la impresora Unix o Controlador de impresora .
Ver y desconectar clientes
Cada cliente que accede a un recurso compartido de archivos o impresoras en su sistema tiene una conexión con el servidor Samba, y esas conexiones se pueden ver usando este módulo. Los clientes también pueden bloquear los archivos que tienen abiertos para su edición, lo que impide que otros los abran. Una de las tareas del servidor es el mantenimiento de estos bloqueos, que están asociados a las sesiones y que también puedes consultar. Si un cliente falla sin desconectarse correctamente, los bloqueos que tenga permanecerán hasta que se agote el tiempo de espera de la conexión TCP, lo que puede demorar un tiempo. Por esta razón, el módulo le permite matar sesiones de clientes y así liberar sus bloqueos.
Para ver y eliminar sesiones de clientes, siga estos pasos :
- En la página principal del módulo, haga clic en Ver todas las conexiones enlace encima o debajo de la tabla de recursos compartidos para que aparezca una lista de todas las conexiones al servidor. Como alternativa, puede hacer clic en una impresora o un recurso compartido de archivos y luego en Ver conexiones. en su página de edición para mostrar una lista de conexiones únicas a ese recurso compartido en particular.
- De cualquier manera, la página que aparece enumerará los recursos compartidos actualmente en uso y para cada uno mostrará el nombre del usuario conectado, el host desde el que se conectaron, la hora de conexión y cualquier archivo bloqueado. En la columna más a la izquierda está el ID del subproceso del servidor Samba que está manejando esta conexión. Generalmente, las conexiones múltiples desde el mismo sistema cliente a diferentes recursos compartidos serán manejadas por un proceso.
- Para matar un proceso y así romper todas las conexiones que está manejando, haga clic en su ID de proceso en la primera columna. Se liberarán todos los bloqueos retenidos por el cliente, liberando los archivos para que los usen otros. Solo debe eliminar las conexiones de los clientes que realmente se han bloqueado:eliminar la sesión de un cliente activo puede dañar cualquier archivo que tenga abierto. Sin embargo, generalmente es seguro interrumpir una conexión a un cliente de Windows sin archivos abiertos, ya que el cliente la restablecerá de forma inmediata y transparente la próxima vez que se abra un archivo en el recurso compartido.
Editar opciones de seguridad para compartir
Una vez que se ha creado una impresora o un recurso compartido de archivos, puede editar varias opciones relacionadas con la seguridad que controlan quién tiene acceso a él y desde qué hosts se pueden conectar. Esto puede ser útil si algunos recursos compartidos contienen archivos a los que solo ciertas personas deberían tener acceso, o si su servidor Samba es para uso exclusivo de clientes en su red interna.
Para editar las opciones de seguridad para compartir, los pasos a seguir son :
- En la página principal del módulo, haga clic en el nombre del recurso compartido en la tabla para abrir su formulario de edición, luego en el icono *Seguridad y control de acceso*.
- Como se explica en Agregar un nuevo recurso compartido de archivos la sección ¿Escribible? y acceso de invitados? Los campos determinan si se puede escribir en el recurso compartido y si se necesita autenticación. El usuario invitado de Unix El campo establece al usuario que los archivos se leen y escriben como clientes invitados. Cámbialas de nuevo aquí si lo deseas.
- Para permitir que ciertos anfitriones accedan a este recurso compartido, seleccione el segundo botón de radio en Anfitriones para permitir e ingrese una lista de nombres de host y direcciones IP en el cuadro de texto adyacente. IP parciales como 192.168.1. o se pueden usar direcciones de red como 192.168.1.0/255.255.255.0 para permitir una red completa. Si su sistema es un cliente NIS, puede ingresar un nombre de grupo de red precedido por @_ (como _@servers ) para permitir a todos los miembros del grupo. Si Todos está seleccionado, se otorgará acceso a todos los hosts, a menos que complete el siguiente campo. Independientemente de lo que ingrese, las conexiones desde el host local (127.0.0.1) siempre están permitidas, a menos que se indique específicamente en el campo *Hosts to deny*.
- Para bloquear el acceso de hosts específicos a este recurso compartido, complete los Hosts to deny campo con una lista similar de nombres de host, direcciones IP, redes o grupos de red. Si se completan ambos campos, Hosts para permitir toma precedencia. Si Ninguno está seleccionado, se permitirán todos los hosts.
- Para permitir que solo ciertos usuarios accedan a este recurso compartido, complete los Usuarios válidos campo con una lista de nombres de usuario separados por espacios. También puede rellenar los Grupos válidos campo con una lista de grupos cuyos miembros principales y secundarios tendrán acceso. Solo si ambas listas están vacías se permitirán todos los usuarios.
- Alternativamente, para rechazar usuarios específicos y miembros de grupos, complete los Usuarios no válidos y Grupos no válidos los campos. Si un usuario aparece tanto en la lista de válidos como en los de no válidos, se le negará el acceso.
- Para restringir el acceso de solo lectura de algunos usuarios a este recurso compartido, ingrese una lista de nombres de usuario en Usuarios de solo lectura campo. También puede ingresar una lista de grupos de Unix en los Grupos de solo lectura para restringir a sus miembros principales. Todos los demás tendrán acceso total de lectura/escritura, suponiendo que el recurso compartido sea realmente grabable y que el Lectura/escritura los campos no se han rellenado.
- Para otorgar permiso a ciertos usuarios para escribir en el recurso compartido y restringir el acceso de solo lectura a todos los demás, ingrese una lista de nombres de usuario en Usuarios de lectura/escritura campo. Como de costumbre, los grupos de lectura/escritura El campo se puede usar para ingresar una lista de grupos cuyos miembros principales también podrán escribir. Naturalmente, los permisos normales de archivo de Unix que pueden impedir la escritura en archivos o directorios aún se aplican a todos los usuarios. Si un usuario aparece tanto en Solo lectura y Leer/escribir listas, se le permitirá escribir. Los campos en este paso y en el anterior no tienen efecto en los recursos compartidos de impresoras. En su lugar, todos los usuarios autorizados podrán imprimir.
- Cuando haya terminado de editar las opciones de seguridad del archivo, haga clic en Guardar en la parte inferior de la página para activar la nueva configuración.
Además de configurar opciones de seguridad para un solo recurso compartido, puede establecer valores predeterminados para todos los recursos compartidos que se aplicarán a menos que se anulen en recursos compartidos individuales. Para hacer esto, haga clic en Valores predeterminados para compartir archivos icono en la página principal del módulo en lugar del nombre de un recurso compartido, y luego en Seguridad y control de acceso . Algunas configuraciones, como las listas de hosts para permitir o denegar, realmente deberían configurarse globalmente, ya que probablemente desee limitar el acceso a todo su servidor a solo una red confiable. Ver la Edición de valores predeterminados compartidos más adelante en el capítulo para obtener más información sobre cómo funcionan los valores predeterminados.
Editar recurso compartido de seguridad Editar la configuración de permisos de archivos
Los recursos compartidos de archivos tienen varias configuraciones relacionadas con los permisos de Unix y la propiedad de los archivos dentro de ellos que se pueden configurar globalmente o por recurso compartido. Debido a que los clientes de Windows y el protocolo SMB no tienen concepto de permisos, es útil tener una forma de establecer los valores predeterminados para archivos y directorios nuevos por recurso compartido. Los pasos para hacerlo son :
- En la página principal del módulo, haga clic en el nombre del recurso compartido para el que desea establecer permisos y luego en Permisos de archivo. icono en su página de edición.
- En el modo Nuevo archivo Unix campo, ingrese los permisos octales (como los usa el comando chmod) que deben asignarse a los archivos recién creados. Por ejemplo, modo 600 permitiría la lectura y escritura por parte del propietario, pero negaría completamente el acceso a cualquier otra persona.
- En el modo de directorio Nuevo Unix campo, ingrese los permisos octales para los directorios recién creados. Por ejemplo, 755 permitiría listar y leer por todos, pero solo permitiría al propietario crear archivos en el directorio.
- Para que algunos directorios siempre aparezcan vacíos para los clientes SMB, ingrese una lista de rutas completas separadas por comas en el campo *Directorios que no deben incluirse en la lista*. Por ejemplo, puede ingresar /proc,/dev para ocultar el contenido de esos dos directorios, que generalmente son inútiles para los clientes de Windows.
- Para obligar a todos los clientes a acceder a los archivos como un usuario de Unix específico (en lugar del usuario con el que iniciaron sesión), complete el campo *Forzar usuario de Unix*. Esto puede ser muy útil para un recurso compartido en el que diferentes personas editan los documentos de los demás, ya que evita los problemas de permisos de Unix que pueden ocurrir si los archivos son realmente propiedad de sus creadores. De forma predeterminada, el grupo al que se accede a los archivos será el grupo principal del usuario especificado. Para cambiar esto, complete el grupo Forzar Unix campo también.
- Debido a que los clientes SMB de Windows no son compatibles con los enlaces simbólicos de Unix, Samba siempre leerá o escribirá el archivo vinculado cuando un cliente intente leer o escribir un enlace. Desafortunadamente, esto presenta un riesgo potencial de seguridad, ya que se podría crear un enlace simbólico que apunte a un archivo normalmente inaccesible fuera del directorio compartido. Para evitar esto, cambie el campo *¿Permitir enlaces simbólicos fuera de compartir?* a No .
- En los sistemas de archivos Unix, los archivos que son de solo lectura para un usuario aún se pueden eliminar si se puede escribir en el directorio. Sin embargo, este no es el caso en los sistemas de archivos normales de Windows, por lo que Samba evita que suceda. Para cambiar esto y permitir que se aplique la semántica del sistema de archivos de Unix, cambie el campo *¿Se pueden eliminar archivos de solo lectura?* a Sí. .
- Haga clic en Guardar en la parte inferior de la página para activar las nuevas opciones de seguridad de archivos.
Como los valores predeterminados del recurso compartido de edición sección explica con más detalle, puede editar la configuración de permisos de archivos para todos los recursos compartidos haciendo clic en Valores predeterminados de uso compartido de archivos en la página principal, seguido de Permisos de archivo . Estos se aplicarán a menos que las instrucciones anteriores los anulen para una acción.
Editar permisos de archivo Opciones de edición de nombres de archivos
Samba tiene varias opciones que controlan cómo los nombres de archivo Unix se convierten en nombres adecuados para los sistemas Windows. En estos días, la mayoría de ellos ya no son necesarios, ya que las versiones de Windows 95 y superiores han sido capaces de admitir nombres de archivo largos correctamente. Solo Windows 3.1 y DOS se quedaron con el antiguo formato de nombre de archivo 8.3, y ya casi no se usan.
Para editar las opciones de nombre de un recurso compartido que sean relevantes para los clientes modernos, siga estos pasos :
- Haga clic en el nombre del recurso compartido en la página principal del módulo, luego en Nombre de archivo icono.
- ¿Cuándo se distingue entre mayúsculas y minúsculas? el campo está establecido en No , el servidor ignorará mayúsculas y minúsculas al abrir archivos solicitados por los clientes. Esta es la forma en que funcionan los sistemas de archivos de Windows y, por lo tanto, también es el comportamiento predeterminado para Samba. Sin embargo, consume más tiempo de CPU y ancho de banda de E/S debido a la necesidad de escanear directorios, ya que todos los sistemas de archivos Unix distinguen entre mayúsculas y minúsculas. Por este motivo, es posible que desee seleccionar Sí en cambio, si todos sus clientes son sistemas Linux que esperan que se aplique la regla de caso normal de Unix.
- Normalmente, Samba creará archivos con el caso exacto especificado por los clientes. Para cambiar esto y forzar el uso de mayúsculas o minúsculas, cambie ¿Conservar mayúsculas y minúsculas? campo a No y seleccione una de las opciones en ¿Caso predeterminado? campo. Esto puede ser útil si los clientes de Windows están creando muchos archivos en mayúsculas cuando usted prefiere seguir el estándar de minúsculas normal de Unix.
- En los sistemas de archivos de Windows, cada archivo tiene un atributo oculto que determina si normalmente es visible para los programas o no. No existe tal atributo en los sistemas Unix; en cambio, los archivos cuyos nombres comienzan con un punto están ocultos por ls y otros comandos. Por esta razón, Samba establece el atributo oculto en los archivos de puntos cuando la opción Ocultar archivos de puntos? el campo está establecido en Sí , como es por defecto. La alternativa es usar el bit de ejecución mundial de los permisos de archivo de Unix como indicador oculto, ya que Samba no usa los permisos de ejecución de otra manera. Para habilitar este comportamiento, cambie el ¿Guardar indicador oculto de DOS? campo a Sí . Debido a que esto estropeará los permisos para que los programas de Unix accedan a los archivos en el recurso compartido, solo debe usarse si solo los clientes SMB acceden al directorio compartido.
- Los archivos de Windows tienen dos atributos más:el indicador de archivo, que indica que se ha realizado una copia de seguridad de un archivo, y el indicador del sistema, que marca un archivo del sistema normalmente intocable. Samba se puede configurar para almacenar estos atributos en los bits de archivos ejecutados por el usuario y ejecutados por el grupo si el indicador Guardar archivo DOS? y ¿Guardar marca del sistema DOS? los campos están establecidos en Sí respectivamente. Si sus clientes de Windows no necesitan esta información o si encuentra que los permisos en los ejecutables y scripts de Unix están en mal estado, configúrelos en No en cambio.
- Para activar la nueva configuración de nombre de archivo, presione Guardar botón en la parte inferior de la página.
Una vez más, estas opciones se pueden configurar para todos los recursos compartidos haciendo clic en Valores predeterminados de uso compartido de archivos en la página principal, seguido de *Nombre de archivo*.
Editar nombre de archivo Editar otras opciones para compartir archivos
Hay algunas opciones más para compartir archivos relacionadas con el bloqueo y la ejecución automática de comandos que también puede configurar con este módulo. Los que se utilizan para bloquear controlan el comportamiento de Samba cuando un cliente de Windows intenta bloquear un archivo para obtener acceso exclusivo, de modo que pueda almacenar en caché los datos del archivo sin tener que ponerse en contacto con el servidor para cada lectura o escritura. De forma predeterminada, el bloqueo está completamente habilitado e implementado exactamente de la misma manera que en los servidores de Windows, por lo que generalmente no es necesario cambiar esta configuración.
Samba can also be configured to run shell commands when a client connects or disconnects, either as root or as the connecting Unix user. This can be useful if you want to move newly added files to some other directory or perform some kind of processing on them.
To edit the module's other file sharing options, follow these steps :
- Click on the name of the share to edit on the main page, and then on the Miscellaneous Options icon on the share editing page that appears.
- If this share is exclusively for read-only use (for example if you are sharing some kind of read-only media like a CD), then the Fake oplocks? field can be safely changed to Yes to boost performance. This tells Samba to simply grant all lock requests by clients and not to bother actually keeping track of who has locked what, which can boost performance. None of the other locking fields should be touched unless you really know what you are doing, as the defaults will work fine and any other settings may lead to data corruption if multiple clients try to access the same files.
- To limit the number of clients that can be connected to this share at any one time, select the second radio button in the Max connections field and enter a number into the adjacent text box. This can be useful if you want to limit the load on your system. If Unlimited is selected, no maximum will be placed on the number of concurrent connections.
- The fields Command to run on connect and *Command to run on disconnect* allow you to enter shell commands that will be run by Samba as the authenticated user at connection and disconnection time. They will always be run in the share directory, and special % codes like %U for the connecting user or %S for the server name can be used in the command.
- Similarly, the Command to run on connect as root and *Command to run on disconnect as root* fields can be used to enter shell commands that will always be run as the Unix root user. However, they will be run in root's home directory instead.
- Presiona Guardar button to activate the new locking and command settings.
One thing to remember about locking and Samba is that locks taken out by SMB clients will not generally effect or be detectable by Unix programs or NFS clients. This means that data corruption can still happen if Unix and Windows programs open the same file, or if the same NFS exported directory is shared by two different Samba servers.
-
Samba - Miscelleanous File Defaults
Editing printer share options
Once a printer share has been created, there are several options that you can set for it. Most of them relate to the commands that Samba will run to print a new job, list the queue or cancel a job. By default, appropriate commands for the print system in use (explained in the Configuring printers section) will be used - however, there are times that you will want to specify additional parameters or even use a completely different command.
To edit printer options for a share, follow these instructions :
- On the module's main page, click on the name in the table of the printer share that you want to edit. On the form that appears, hit the Printer Options icon at the bottom of the page.
- To prevent clients using up all the disk space in the printer's spool directory with large jobs, change the *Minimum free space* field. You must enter a number of kilobytes that will always be left free on the filesystem.
- To change the command that Samba will run to print a submitted file, edit the Print command campo. The special codes %f (for the temporary file to print) and %p (for the printer name) can and should be used in the command, so that you can enter for example something like lpr -P%p %f ; rm %f . Your command must always delete the temporary file (as the example does), as the server will not do this for you. All the usual shell meta-characters like ;, &and> can be used, which allows you to enter quite complex series of commands. Whatever command you enter will always be run as the Unix user connected to the printer share.
- To edit the command that Samba uses to list jobs waiting to be printed on some printer, select the second radio button in the Display queue command field and fill in its text box. Whatever you enter must produce output in the format generated by the standard BSD lpr command so that Samba can parse. If the special code %p appears in the command, it will be replaced with the name of the printer.
- Similarly, you can change the commands that Samba runs to delete, pause and un-pause a print job by editing the *Delete job command*, Pause job command and Unresume job command fields respectively. All can and should use the codes %p for the printer name, and %j for the job ID. For most print systems, there are no defaults for the pause and un-pause commands as those features are not supported. Generally you will not need to change these fields.
- As the Adding a new printer share section explains, the Printer driver field can be used to enter the model of the attached printer (as recognized by Windows) so that clients can automatically select the right driver.
- When you are done with this page, hit the Save button to update the Samba configuration file and thus activate the new settings.
You can also edit these settings for all shares by clicking on the Printer Share Defaults icon on the module's main page and then on Printer Options . In fact, all of the command options make much more sense to edit globally as the same commands are likely to be needed for all printers.
Editing share defaults
As the previous few sections in this chapter have mentioned, the Samba configuration allows you to define defaults that apply to all shares unless specifically overridden. This can be done by clicking on either the File Share Defaults or Printer Share Defaults icon on the main page, editing the contents of the form that appears and hitting Save . However, most of the options in this form are not particularly useful to set globally, except maybe Available? and Browseable? .
More usefully, you can click on one of the icons on the defaults page and change settings that will apply to all file or printer shares. In the case of the Security and Access Control icon (which appears on both pages), and global defaults that you set will apply to both file and printer shares, as Samba does not differentiate between them.
Any option that is set globally will appear as the default on per-share forms. For example, if you fill in the Delete job command field under Printer Options on the Printer Share Defaults page and then went to the same page for a specific printer, the same value would appear. Even though the command does not actually appear in the configuration file for the printer, Webmin still displays it because as the default it will be used. Of course, if you enter a different command for the share, it will override the global setting and thus be used and display instead. This behavior may be a little confusing, as it is not the way that other Webmin modules usually work.
Configuring networking
This module can be used to set various Samba options that control how the entire server appears to and behaves for Windows clients. You can change the workgroup (under which the system is listed in the network neighborhood display), the server's name and any aliases, and the description that appears next to the name. Options related to the file sharing protocol and authentication method used can also be edited, in order to support old clients.
-
Windows Networking options
It is even possible to set up your system as a WINS server or client, a protocol that some Windows clients use to find IP addresses for SMB server names if DNS is not available. The biggest difference between WINS and DNS is that clients can register their own names and IP addresses with a WINS server, rather than having it done by an administrator. It is most useful on small file-sharing networks that do not have a DNS server.
To edit these windows networking options, the instructions to follow are :
- On the module's main page, click on the Windows Networking icon in the Global Configuration section to bring up the form shown in the screenshot below.
- To set a workgroup for your server, select the second radio button in the Workgroup field and enter a short name into the text box next to it. If your network already has a few SMB servers that are members of a workgroup, this server should be made a member too.
- If your network already has a WINS protocol server, select Use server in the WINS mode field and enter its IP address. If not, you should choose Be WINS server so that Windows clients can use your system to lookup IP addresses for SMB server names. More recent versions of Windows (and Linux clients) do not need to use WINS, as they can look up server names in the DNS - assuming your network has a DNS server that has entries for all your hosts.
- To set a description for your system, fill in the Server description field with something like Corporate file server .
- Normally, Samba will use the first part of your system's DNS name as the SMB server name. To change this, enter something else in the Server name campo. Clients will be able to refer to this server by whatever name you specify.
- To define alternate names that clients can use to refer to your server, fill in the Server aliases field with a space-separate list of names.
- If you want your system to be the master browser for a network (the server that maintains lists of other SMB servers and clients on the network, as seen in Window's network neighborhood), change the Master browser? field to Yes . If you are running multiple Samba servers on the same subnet, this option should be set for only one. If there are other Windows or Samba servers on the network that want to be master browsers, the one with the highest operating system level will win the 'election' that decides who gets the job. You can increase your system's change of winning by increasing the Master browser priority field - the default of 20 will win against Windows 95 systems, but you would need to enter 65 to beat Windows NT servers.
- To have your Samba server contact another SMB server to validate passwords instead of checking its own user list, select *Password server* from the Security menu and enter the other server's hostname or IP address in the Password server campo. Otherwise, leave the field set to Default or User level . Share level security is rarely used anymore with modern clients, and Domain security is too advanced to cover in this chapter.
- Normally, an SMB server broadcasts information about itself to other servers on the network so that it can be included in browse lists. However, if your network spans multiple subnets then broadcasts from one system may not reach others. To get around this problem, the Remote announce to table can be used to specify the addresses of browser master servers to which this server's IP address and workgroup should be sent. To configure remote announcements on this page, first select the From list option above the table. Then in the IP address field of each row enter the hostname or IP address of a server to announce to, and in the As workgroup field the name of the workgroup that your server should appear under. If the second field is left empty, the servers real workgroup (set in step 2) will be used. To enter more than two remote servers you will need to save and re-open this page so that more empty rows appear in the table.
- Finalmente, haga clic en Guardar button to activate the new networking settings.
-
Unix Networking options
Samba also has numerous global options related to networking that control such things as the IP address to listen on, whether to send keep-alive packets and how long clients can be idle for before they are disconnected. These can be used to tune your server's performance, or limit access to only clients on a local network. To edit them, follow these steps :
- Click on the Unix Networking icon on the module's main page.
- To have Samba disconnect clients that have been inactive for too long and do not have any files open, select the second radio button in the Idle time before disconnect field and enter a number of minutes into the adjacent text box. If Never is selected instead, clients will never be automatically cut off. Because Samba starts one server sub-process per client, this feature is useful for cutting down the amount of memory that they use up. And Windows clients will automatically re-connect if disconnected, so there is no down side to using it.
- To have Samba send packets to detect if clients have crashed without properly disconnect, select the Send every option in the Keepalive packets field and enter the number of seconds (such as 60) that a packet should be sent. Because clients can hold locks on files, a dead client may end up locking a file that other people need access to, even though it is clearly not using it. The same thing can be achieved by selecting the SO_KEEPALIVE checkbox in the Socket options campo. This tells the operating system kernel to do basically the same thing, and so should be used in preference. The only problem is that you cannot specify the keep-alive packet interval.
- To restrict Samba to listening for connections on a single one of your system's IP addresses, fill in the Listen on address campo. On a machine with one interface connected to an internal network and one connected to the Internet, this feature can be used to prevent outsiders connecting to your Samba server.
- Presiona Guardar button at the bottom of the page to activate the new network settings.
As you will see when you look at the actual form, there are many more fields on it than those documented above. However, the rest have extremely specialized uses and thus do not need to be touched by the average administrator.
Configuring authentication
-
Authentication
The SMB protocol allows users to change their passwords for a server from a client system. For a Samba server, this causes the encrypted passwords file to be updated, assuming one is in use (as is usually the case). You can also configure the server to change the user's Unix password as well, which makes sense if they are being kept synchronized.
Another authentication-related feature supported by Webmin is username mapping. This allows you to map fake client login names to real Unix usernames, and can be useful if users prefer to use their full names to login (like Jamie Cameron instead of jcameron ) or if you have a client that is regularly moved between two different networks, each of which has different SMB accounts.
To set these global authentication options using this module, the steps to follow are :
- On the module's main page, click on the Authentication icono.
- As explained in the Managing Samba users section, the *Use encrypted passwords?* field determines if Samba uses its own separate password file or the standard Unix user database. Because all recent versions of Windows use a password encryption format that is incompatible with the Unix format, this field should generally be set to Yes .
- To allow logins by users who have no password set, select Yes for the Allow null passwords? campo.
- The Password program field sets the program that Samba will use to change a user's Unix password if synchronization is enabled. If Default is selected /bin/passwd will be used, which is correct for most Unix systems. You can enter a different command by selecting the second radio button and fill in the text box with something like _/usr/bin/yppasswd %u_. The %u code is replaced with the name of the user whose password is being changed, and is required because the command is run as root.
- To have same change a user's Unix password when his SMB password is changed over the network, set the *Change Unix password as well?* field to Yes . Synchronization in the other direction is unaffected though - see the Managing Samba users section for more details on how that works.
- To define 'fake' SMB accounts, select Listed below in the Username mapping campo. In the table below it, each row specifies a mapping - the first field must contain a valid Unix username, and the second an SMB login name of your choice. Clients logging in with one of these made-up account names must of course provide the correct password for the associated Unix user.
- Presiona Guardar button at the bottom of the page to activate your new authentication settings.
Configuring printers
If you are sharing printers from your server, you will probably need to adjust the global printing options. These determine the print system commands that Samba will use to submit, list and delete jobs, the file it gets the list of printers from, and other related settings. To edit them, the steps to follow are :
- Click on the Windows To Unix Printing icon on the module's main page to bring up the printer options form.
- From the Unix print style menu select the type of print system in use on your box. Unfortunately, practically every different flavor of Unix has its own set of programs and configuration files for handling printers and print drivers, each of which must be treated differently by Samba. The options that you may want to select from are :
- BSD The traditional Unix print software, found on FreeBSD, NetBSD and older Linux distributions.
- SYSV The print system used on Solaris, UnixWare and a few other versions of Unix.
- HPUX The print system shipped with HP/UX.
- AIX The print software that comes with AIX, IBM's version of Unix.
- CUPS The superior Common Unix Print System, which is included with many new Linux distributions.
- LPRNG An improved version of the old BSD print system, used on all Linux systems that do not run CUPS. Most packages of Samba will have this option set correctly in the default configuration file. The PrinterAdministration page explains in more detail what the differences between the various print systems are, and how to select the right one for your operating system.
- Normally, Samba will find all the printers on your system and make them visible to clients when the special printers share exists. To disable this, change the Show all printers? campo a No en cambio. The printers will still be accessible using an explicit \\_servername_\_printername_ path though.
- When the Printcap file field is set to Default , Samba will get the list of printers available on your system from the standard /etc/printcap file. This is fine if you want them to all show up, but sometimes you want to hide some printers from users. To do this, create a fake printers file that looks {| border="1" |- like :printer1||Description for printer 1:printer2||Description |} of second printer:And set this field to the path to this file. Only the printers listed in it will be available automatically when a printers share exists.
- Samba caches the output from whatever command is used to list waiting print jobs (such as lpq) in order to reduce the frequency with which it is run. By default this cache time is 10 seconds, but you can increase or decrease it using the *Printer status cache time* field. If your lpq command is very slow you may want to increase it.
- Presiona Guardar button to activate your new printing settings.
Module access control
As WebminUsers explains, once a Webmin user has been granted access to a module he can be further restricted to only a subset of its functions. For the Samba module, you can allow a user to edit only certain types of settings in certain shares while denying him the ability to create new shares or edit global options. This can be useful if you want to let someone edit the settings that apply to the sharing of only his own directory, while protecting the rest of the Samba server's configuration.
I would advise against granting even limited access to this module to un-trusted users though, as it has many features that could be used by a malicious to gain root access to your system. For example, someone could allow guest access to a share with root permissions, allowing the remote modification of any file. Or they could set the command run as root at client connection time to something that changes the root password.
Instead, these access control features are should only be used to limit the changes that an in-experienced but still trusted user can make. To restrict such a user to only editing a few shares, the steps to follow are :
- In the Webmin Users module, create a user with access to the module, or modify an existing user to give him access.
- Click on Samba Windows File Sharing next to the name of the user to bring up the module access control form.
- Change the Can edit module configuration? campo a No .
- Set all the fields from *Can apply changes? *down to *Can maintain auto UNIX to SAMBA users sync?* to No as well, as they control access to global settings that the user should not touch.
- To hide shares that he cannot access from the user, change the Hide inaccessible objects? field to Yes . Leaving it set to No lets him see other shares, but if he tries to click on any of them an error message will appear.
- In the Access file shares field, de-select create but leave read and write seleccionado. Do the same for the *Access print shares* field. This does not mean that he can edit all shares - later fields control exactly which ones he can configure.
- Change the Enable per-file_share acls? and *Enable per-print-share acls?* fields to Yes , so that the options set in the next step are used.
- In the Per-share ACLs table, select n/a under *Access share* and Connections for all the shares that he should not be allowed to configure. You should definitely do this for the global share as well, as it sets the defaults for all others. For the shares that you do want the user to manage, select read write in the Access share columna. To allow the user to kill clients connected to this share, select kill in the Connections column - or to let him only see connected clients, choose view en cambio. The former option is not a good idea security-wise though, as it allows the user to terminate any process on your system. The radio buttons in the security , permissions , file naming and *miscellaneous or printer* columns control which of the sub-icons on the share editing form the user has access to. For each you can choose either edit to allow editing, view to only let him look at the settings or n/a to deny access altogether.
- Presiona Guardar button at the bottom of the page to activate the new access control settings.
Configuring the Samba Windows File Sharing module
The module assumes that you have installed the Samba package available for your operating system or Linux distribution, or have compiled Samba from source code if no such package is available. If this is not the case (for example if you have compiled the latest version instead of using a package), the paths that it uses for the Samba programs and configuration files will be wrong. This will cause the module's main page to incorrectly display an error message about Samba not being installed.
Fortunately, these paths can be easily changed by clicking on the standard Module Config enlace en la esquina superior izquierda de la página principal. On the form that appears if you follow this link are fields that control the module's user interface (under *Configurable options*) as well as the fields for configuration file and program paths (under System configuration ). The first group of settings can be safely changed at any time, but those that set paths do not generally need to be adjusted as the defaults are usually correct.
Contenido
Edit Config File
The samba configuration file can be manually edited as well:
Samba - Edit Config File Accessing SWAT from Webmin
| Note: | Samba 4 does not contain SWAT anymore. |
SWAT (which stands for Samba Web Administration Tool) is a program similar to Webmin's Samba module, but included as standard with Samba itself. It provides a web-based administration interface to the configuration file that allows you to create and edit shares and global settings. SWAT is usually run from a super-server like inetd or xinetd, which makes it appear as a web server, usually on port 901 . Most Samba packages for Linux include the program and an xinetd service for it, but have it disabled by default.
You can also access SWAT through this Webmin module, instead of needing to set it up to be run from inetd or xinetd. Unfortunately, this will not work if Samba has been configured to only allow connections from some IP addresses (using the Hosts to allow field) on the global Security and Access Control página. Because SWAT also uses Samba's configuration files, any IP restrictions that apply globally will apply to it as well. When it is run from Webmin, SWAT is unable to determine the connecting IP address and fails if any IP restrictions are in force.
Assuming that this is not the case on your system, you can use it by following these steps :
- On the module's main page, click on the SWAT icono. If this is the first time you have done so, the SWAT Login form will appear.
- If you do get the login form, enter root in the Username field and the root user's password in the Password campo. Because it can be used to totally re-configure your Samba server, SWAT requires users to authenticate first. Webmin will remember the login and password that you enter so that the login form will be bypassed in future.
- After you have logged in the SWAT main menu will appear. Along the top are icons for various parts of the Samba configuration, which when clicked on bring up forms for editing settings. Some things that can be configured in Webmin cannot be in SWAT, and vice versa - so you may find it superior to the Webmin interface for some tasks.
- To return to the module's main page, click on the *Return to share list* link at the bottom of any page. To have Webmin forget your SWAT password so that you can login again, hit the *Logout of SWAT* link in the bottom-right corner.
Be aware that when you login to SWAT through this module, the username and password that you enter are stored un-encrypted in the file /etc/webmin/samba/swat which is readable only by root. If this bothers you for security reasons, either do not use this feature of the module, or remember to click the Logout of SWAT link after you are done using it so that the window of exposure is limited.
Uso compartido de archivos de Windows Samba