samba服務(wù)全攻略(編輯修改稿)

　

【文章內(nèi)容簡介】 模式哈，下面偶就來看下user這個安全級別模式的配置如果公司有多個部門，因工作需要，我們就會分門別類的建立相應(yīng)部門的目錄，并將銷售部的資料存放在samba服務(wù)器的/panydata/sales/目錄下,集中管理，以便銷售人員瀏覽，并且該目錄只允許銷售部員工訪問。我們分析下，在/panydata/sales/目錄中存放有銷售部的重要數(shù)據(jù)，為了保證其他部門無法查看其內(nèi)容，我們需要將全局配置中security設(shè)置為user安全級別，這樣就啟用了samba服務(wù)器的身份驗證機制，然后在共享目錄/panydata/sales下設(shè)置valid users字段，配置只允許銷售部員工能夠訪問這個共享目錄。1）添加銷售部用戶和組并添加相應(yīng)samba帳號使用groupadd命令添加sales組，然后執(zhí)行useradd命令和passwd命令添加銷售部員工的帳號及密碼接下來為銷售部成員添加相應(yīng)samba帳號2）(1).設(shè)置user安全級別模式(2).設(shè)置銷售部共享目錄為sales(3).指定共享目錄為絕對路徑為/panydata/sales(4).設(shè)置可以訪問的用戶為sales組成員3）重新加載配置上個案例講過了哈，要讓修改后的Linux配置文件生效，我們就要重新加載配置。service smb reload現(xiàn)在我們測試下輸入銷售部的帳號及密碼進行登錄打開sales共享目錄這樣銷售部成員就可以進行訪問sales共享目錄下的數(shù)據(jù)了4 Samba高級服務(wù)器配置 上面偶說了下samba滴常規(guī)配置哈，這些已經(jīng)可以使用企業(yè)內(nèi)部滴資料通過網(wǎng)絡(luò)共享并分配適當(dāng)?shù)喂蚕頇?quán)限來管理共享目錄，但這僅僅對于很多大型企業(yè)或安全要求高滴來說還是不能滿足其需求哈，所以偶下面就來講下samba滴高級服務(wù)器配置讓我們搭建滴samba服務(wù)器功能更強大，管理更靈活，我們滴數(shù)據(jù)也更安全 用戶賬號映射前面已經(jīng)說過，samba的用戶帳號信息是保存在smbpasswd文件中滴，而且可以訪問samba服務(wù)器的帳號也必須對應(yīng)一個同名的系統(tǒng)帳號。基于這一點，所以哈，對于一些hacker來說，只要知道samba服務(wù)器滴samba帳號，就等于是知道了Linux系統(tǒng)帳號，只要crack其samba帳號密碼加以利用就可以攻擊samba服務(wù)器哈。所以我們要使用用戶帳號映射這個功能來解決這個問題用戶帳號映射這個功能需要建立一個帳號映射關(guān)系表，里面記錄了samba帳號和虛擬帳號的對應(yīng)關(guān)系，客戶端訪問samba服務(wù)器時就使用虛擬來登錄。1）編輯主配置文件/etc/samba/在global下添加一行字段username map = /etc/samba/smbusers開啟用戶帳號映射功能。2）編輯/etc/samba/smbuserssmbusers文件保存帳號映射關(guān)系，其有固定滴格式：samba帳號 = 虛擬帳號（映射帳號）帳號redking就是我們上面建立的samba帳號（同時也是Linux系統(tǒng)帳號），51cto及51blog就是映射滴帳號名（虛擬帳號），帳號redking在我們訪問共享目錄時只要輸入51cto或51blog就可以成功訪問了，但是實際上訪問samba服務(wù)器的還是我們滴redking帳號，這樣一來就解決了安全問題哈~我們繼續(xù)。3）重啟samba服務(wù)：service smb restart4）驗證效果輸入我們定義的映射帳號51cto，注意我們沒有輸入帳號redking哈~，映射帳號51cto滴密碼和redking帳號一樣哈~現(xiàn)在就可以通過映射帳號瀏覽共享目錄了注意：強烈建議不要將samba用戶的密碼與本地系統(tǒng)用戶的密碼設(shè)置成一樣哈，可以避免非法用戶使用samba帳號登錄系統(tǒng)非法破壞哈~~~ 客戶端訪問控制對于samba服務(wù)器的安全性，我們已經(jīng)說過可以使用valid users字段去實現(xiàn)用戶訪問控制，但是如果企業(yè)龐大，存在大量用戶的話，這種方法操作起來就顯得比較麻煩哈~比如samba服務(wù)器共享出一個目錄來訪問，但是要禁止某個IP子網(wǎng)或某個域的客戶端訪問此資源，這樣滴情況使用valid users字段就無法實現(xiàn)客戶端訪問控制。下面我們就講下使用hosts allow和hosts deny兩個字段來實現(xiàn)該功能。而用好這兩個字段滴關(guān)鍵在于熟悉和清楚它們的使用方法和作用范圍哈hosts allow 和 hosts deny 的使用方法1）hosts allow 和 hosts deny 字段的使用hosts allow 字段定義允許訪問的客戶端hosts deny 字段定義禁止訪問的客戶端2）使用IP地址進行限制比如公司內(nèi)部samba服務(wù)器上共享了一個目錄sales，這個目錄是存放銷售部的共享目錄。先將安全級別模式由user改為share這里我們添加hosts deny和hosts allow字段hosts deny = . hosts allow = 當(dāng)host deny和hosts allow字段同時出現(xiàn)并定義滴內(nèi)容相互沖突時，hosts allow優(yōu)先。測試下效果，如果是其他客戶端滴話就是這樣的效果如果想同時禁止多個網(wǎng)段滴IP地址訪問此服務(wù)器可以這樣設(shè)置hosts deny = . . 。hosts allow = 10. 。注意：當(dāng)需要輸入多個網(wǎng)段IP地址的時候，需要使用“空格”符號隔開。3）使用域名進行限制我們來看這樣一個例子哈，公司samba服務(wù)器上共享了一個目錄public，并且主機名為free的客戶端也不能訪問。hosts deny = . .net free 。注意：域名和域名之間或域名和主機名之間需要使用“空格”符號隔開。4）使用通配符進行訪問控制samba服務(wù)器共享了一個目錄security，規(guī)定所有人不允許訪問，只有主機名為boss的客戶端才可以訪問。對于這樣一個實例哈，我們就可以通過使用通配符的方式來簡化配置。hosts deny = All 表示所有客戶端，并不是說允許主機名為ALL的客戶端可以訪問哈~~~常用的通配符還有“*”，“？”，“LOCAL”等。還有一種比較有意思的情況，如果我們規(guī)定所有人不能訪問security目錄。我們可以使用hosts deny禁止所有用戶訪問，再設(shè)置hosts ，但當(dāng)hosts deny和hosts allow同時出現(xiàn)而且沖突滴時候，hosts allow生效，如果這樣滴話，~我們可以使用EXCEPT進行設(shè)置。hosts allow = . EXCEPT ，~hosts allow 和 hosts deny 的作用范圍hosts allow和hosts deny設(shè)置在不同的位置上，它們的作用范圍是不一樣滴。如果設(shè)置在[global]里面，表示對samba服務(wù)器全局生效哈，如果設(shè)置在目錄下面，則表只對這個目錄生效。，全局生效哈~這樣設(shè)置就表示只對單一目錄security生效。 設(shè)置Samba的權(quán)限 到這里我們已經(jīng)可以對客戶端訪問進行有效的控制，但是對于能訪問的客戶端來說，我們還是不能靈活方便滴控制他們訪問共享資源的權(quán)限，比如boss或gm這樣的帳號可以對某個共享目錄具有完全控制權(quán)限，其他帳號只有只讀權(quán)限哈，這樣的情況我們就可以使用write list字段來實現(xiàn)哈~例如公司samba服務(wù)器上有個共享目錄tech，公司規(guī)定只有boss帳號和tech組的帳號可以完全控制，其他人只有只讀權(quán)限。如果只用writable字段則無法滿足這個實例的要求，因為當(dāng)writable = yes時，表示所有人都可以寫入了哈，而當(dāng)writable = no時表示所有人都不可以寫入。這時我們就需要用到write list字段哈~write list = boss,@tech 就表示只有boss帳號和tech組成員才可以對tech共享目錄有寫入權(quán)限哈（其中@tech就表示tech組）。我們來看下writable和write list之間的區(qū)別：字段值描述writableyes所有帳號都允許寫入writableno所有帳號都禁止寫入write list寫入權(quán)限帳號列表列表中的帳號允許寫入 Samba的隱藏共享 我們還可以使用browseable字段實現(xiàn)隱藏共享的功能哈~~~比如我們要把samba上的技術(shù)部共享目錄隱藏，我們可以這樣設(shè)置。browseable = no表示隱藏該目錄現(xiàn)在就看不到tech共享目錄了哈~如果我們直接輸入\\\tech就可以訪問了哈~在有些特殊的情況下，browseable也無法滿足企業(yè)的需求，比如，samba服務(wù)器上有個security目錄，此目錄只有boss用戶可以瀏覽訪問，其他人都不可以訪問。因為samba的主配置文件只有一個，所有帳號訪問都要遵守該配置文件的規(guī)則，如果隱藏了該目錄，那么所有人就都看不到該目錄了，就像上面演示的一樣，要知道共享目錄名稱后輸入\\\tech才可以訪問技術(shù)部資料。如果這樣滴目錄一多滴話，不可以叫boss去記那么多目錄名稱哈，那樣還不被boss罵死哈~~~^_^問題出在samba服務(wù)的主配置文件只有一個。那我們可以換個角度哈，既然單一滴配置文件無法實現(xiàn)要求，那么我們可以為不同需求的用戶或組分別建立相應(yīng)的配置文件并單獨配置后實現(xiàn)其隱藏目錄的功能哈，現(xiàn)在我們?yōu)閎oss帳號建立一個配置文件，并且讓其訪問的時候能夠讀取這個單獨的配置文件。（1）建立獨立滴配置文件哈~先為boss帳號創(chuàng)建一個單獨的配置文件，我們可以直接復(fù)制/etc/samba/，如果為單個用戶建立配置文件，命名時一定要包含用戶名哈。我們使用cp命令復(fù)制主配置文件，為boss帳號建立獨立的配置文件。（2）~在[global]中加入config file = /etc/samba/.%U，表示samba服務(wù)器讀取/etc/samba/.%U文件，其中%U代表當(dāng)前登錄用戶。命名規(guī)范與獨立配置文件匹配哈~（3），將tech目錄里面的browseable = no刪除，這樣當(dāng)boss帳號訪問samba時，tech共享目錄對boss帳號訪問就是可見滴，而boss帳號訪問時就是可見滴。（4）重新啟動samba服務(wù)：service smb restart（5）測試效果哈~現(xiàn)在我們以普通用戶redking帳號登錄samba服務(wù)器發(fā)現(xiàn)以redking帳號登錄samba看不到tech共享目錄哈~~證明tech共享目錄對除boss帳號以外的人是隱藏共享滴。現(xiàn)在我們以boss帳號登錄來看看哈~~我們發(fā)現(xiàn)以boss帳號登錄之后，tech共享目錄自動顯示了哈~~~這樣以獨立配置文件的方法來實現(xiàn)隱藏共享對不同帳號的可見性非常方便哈~注意：目錄隱藏了并不是說不共享了，只要知道共享名，并且有相應(yīng)權(quán)限，還是可以訪問滴，就像上面演示的一樣，可以輸入“\\IP地址\共享名”的方法就可以訪問隱藏共享了。5 Samba客戶端配置 Linux客戶端訪問Samba共享linux客戶端訪問服務(wù)器主要有兩種方法1）使用smbclient命令在Linux中，sam