Samba使用大全(一)-samba服務(wù)器

1、Samba使用大全（一）samba服務(wù)器Samba協(xié)議基礎(chǔ)在NetBIOS出現(xiàn)之后，Microsoft就使用NetBIOS實(shí)現(xiàn)了一個(gè)網(wǎng)絡(luò)文件/打印服務(wù)系統(tǒng)，這個(gè)系統(tǒng)基于NetBIOS設(shè)定了一套文件共享協(xié)議，Microsoft稱之為SMB（ServerMessageBlock）協(xié)議。這個(gè)協(xié)議被Microsoft用于它們LanManager和WindowsNT服務(wù)器系統(tǒng)中，實(shí)現(xiàn)不同計(jì)算機(jī)之間共享打印機(jī)、串行口和通訊抽象（如命名管道、郵件插槽等）。隨著Internet的流行，Microsoft希望將這個(gè)協(xié)議擴(kuò)展到Internet上去，成為Internet上計(jì)算機(jī)之間相互共享數(shù)據(jù)的一種標(biāo)準(zhǔn)。因此它將原

2、有的幾乎沒(méi)有多少技術(shù)文檔的SMB協(xié)議進(jìn)行整理，重新命名為CIFS（CommonInternetFileSystem），并打算將它與NetBIOS相脫離，試圖使它成為Internet上的一個(gè)標(biāo)準(zhǔn)協(xié)議。因此，為了讓W(xué)indows和Unix計(jì)算機(jī)相集成，最好的辦法即是在Unix計(jì)算機(jī)中安裝支持SMB/CIFS協(xié)議的軟件，這樣Windows客戶就不需要更改設(shè)置，就能如同使用WindowsNT服務(wù)器一樣，使用Unix計(jì)算機(jī)上的資源了。Samba是用來(lái)實(shí)現(xiàn)SMB的一種軟件，它的工作原理是，讓NETBIOS（Windows95網(wǎng)絡(luò)鄰居的通訊協(xié)議）和SMB（ServerMessageBlock）這兩個(gè)協(xié)議運(yùn)行

3、于TCP/IP通信協(xié)議之上，并且使用Windows的NETBEUI協(xié)議讓Unix計(jì)算機(jī)可以在網(wǎng)絡(luò)鄰居上被Windows計(jì)算機(jī)看到。它的功能有：1 .共享Linux磁盤給Win95/NT2 .共享Win95/NT磁盤給Linux機(jī)器3 .共享Linux打印機(jī)給win95/NT4 .共享win95/NT打印機(jī)給Linux機(jī)器。同時(shí)它的文件服務(wù)功能比NT系統(tǒng)還高，而且在Windows2000之前就提供了用戶磁盤空間限制的功能。Samba的配置在我寫這篇文章的時(shí)候，Samba的版本已經(jīng)到了2.2.2了，需要的可以通過(guò)/pub/samba/Binary_Pa.011013.i

4、386.rpm得到最新的rpm安裝包。然后執(zhí)行rpm-Uvhsamba-222-20011013.i386.rpm來(lái)安裝或者升級(jí)它。安裝完后，可以看見(jiàn)/etc/samba這么一個(gè)目錄，里面存放和Samba相關(guān)的一些文件，最主要的是smb.conf,現(xiàn)在根據(jù)配置文件講講它的配置選項(xiàng)：全局設(shè)置:workgroup=MYGROUP定義該Samba服務(wù)器所在的工作組或者域（如果下面的security=domain的話）。serverstring=MYSambaServer設(shè)定機(jī)器的描述，當(dāng)我們通過(guò)網(wǎng)絡(luò)鄰居訪問(wèn)的時(shí)候可以在備注里面看見(jiàn)這個(gè)內(nèi)容，而且還可以使用samba設(shè)定的變量。這里說(shuō)一下samba定義

5、的變量：%S=當(dāng)前服務(wù)名（如果有的話）%P=當(dāng)前服務(wù)的根目錄（如果有的話）%u=當(dāng)前服務(wù)的用戶名（如果有的話）%g=當(dāng)前用戶說(shuō)在的主工作組%U=當(dāng)前對(duì)話的用戶名%G=當(dāng)前對(duì)話的用戶的主工作組%H=當(dāng)前服務(wù)的用戶的Home目錄%v=Samba服務(wù)的版本號(hào)。%h=運(yùn)行Samba服務(wù)機(jī)器的主機(jī)名%m=客戶機(jī)的NETBIOS名稱%L=服務(wù)器的NETBIOS名稱%M=客戶機(jī)的主機(jī)名%N=NIS服務(wù)器名%p=NIS服務(wù)的Home目錄%R=說(shuō)采用的協(xié)議等級(jí)（值可以是CORE,COREPLUS,LANMAN1,LANMAN2，NT1）%d=當(dāng)前服務(wù)進(jìn)程的ID%a=客戶機(jī)的結(jié)構(gòu)（只能識(shí)別幾項(xiàng)：Samba，WfW

6、g，WinNT，Win95）%I=客戶機(jī)的IP%T=當(dāng)前日期和時(shí)間hostsallow=網(wǎng)絡(luò)或者主機(jī)這里可以設(shè)置允許訪問(wèn)的網(wǎng)絡(luò)和主機(jī)IP,比如允許/24和/32訪問(wèn)，就用hostallow=（網(wǎng)絡(luò)注意后面加”.號(hào)，各個(gè)項(xiàng)目間用空格隔開(kāi)，記得把本機(jī)”也加進(jìn)去）printcapname=printcapFile到printcapFile（一般是/etc/printcap）這個(gè)文件中取得打印機(jī)的描述信息loadprinters=yes|no設(shè)定是否自動(dòng)共享打印機(jī)而不用設(shè)置下面的printer一節(jié)的

7、相關(guān)東西printing=PrintSystemType定義打印系統(tǒng)的類型，缺省是lprng,可選項(xiàng)有：bsd,sysv,plp,lprng,aix,hpux,qnx。guestaccount=pcguest定義游客帳號(hào)，而且需要把這個(gè)帳號(hào)加入/etc/passwd,不然它就用缺省的nobodylogfile=LogFileName定義記錄文件的位置LogFileName（一般是用/var/log/samba/%m.log）maxlogsize=size定義記錄文件的大小size（單位是KB,如果是0的話就不限大?。﹕ecurity=security_level定義Samba的安全級(jí)別，按從低

8、到高分為四級(jí)：share,user,server,domain。它們對(duì)應(yīng)的驗(yàn)證方式如下：share:沒(méi)有安全性的級(jí)別，任何用戶都可以不要用戶名和口令訪問(wèn)服務(wù)器上的資源。user:samba的默認(rèn)配置，要求用戶在訪問(wèn)共享資源之前資源必須先提供用戶名和密碼進(jìn)行驗(yàn)證。server:和user安全級(jí)別類似，但用戶名和密碼是遞交到另外一個(gè)服務(wù)器去驗(yàn)證，比如遞交給一臺(tái)NT服務(wù)器。如果遞交失敗，就退到user安全級(jí)。domain:這個(gè)安全級(jí)別要求網(wǎng)絡(luò)上存在一臺(tái)Windows的主域控制器，samba把用戶名和密碼遞交給它去驗(yàn)證。后面三種安全級(jí)都要求用戶在本Linux機(jī)器上也要系統(tǒng)帳戶。否則是不能訪問(wèn)的。pas

9、swordserver=<NT-Server-Name>當(dāng)前面的security設(shè)定為server或者domain的時(shí)候才有必要設(shè)定它。passwordlevel=n這是設(shè)定針對(duì)一些SMB客戶像OS/2之類而設(shè)的，這樣的系統(tǒng)在發(fā)送用戶密碼的時(shí)候，會(huì)把密碼轉(zhuǎn)換成大寫再發(fā)送，這樣就和samba的密碼不一致，這個(gè)參數(shù)可以設(shè)定密碼里允許的大寫字母?jìng)€(gè)數(shù)，這木¥samba就根據(jù)這個(gè)數(shù)目對(duì)接收到的密碼進(jìn)行大小寫重組，以重組過(guò)的密碼嘗試驗(yàn)證密碼的正確性。n越大，組合的次數(shù)就越多，驗(yàn)證時(shí)間就越長(zhǎng)，安全性也會(huì)因此變得越低。例如n=2，用戶的密碼是abcd,但發(fā)送出去其實(shí)是ABCD,samba

10、就會(huì)把這個(gè)ABCD進(jìn)行大小寫重組，組合后的結(jié)果可以是:Abcd,aBcd,abCd,abcD,abcd,ABcd,AbCd,AbcD,aBCd,aBcD,abCD。所以如果沒(méi)有必要，就把n定為是零。這樣的話samba只嘗試兩次，一個(gè)是接收到的密碼，另一個(gè)嘗試的是這個(gè)密碼都是小寫的情況。usernamelevel=n這個(gè)是對(duì)于用戶名的情況，說(shuō)明和上面一項(xiàng)類似。encryptpasswords=yes|no設(shè)置是否對(duì)密碼進(jìn)行加密，samba本身有一個(gè)密碼文件/etc/samba/smbpassw（t如果不對(duì)密碼進(jìn)行加密則在驗(yàn)證會(huì)話期間客戶機(jī)和服務(wù)器之間傳遞的是明文密碼，samba直接把這個(gè)密碼和L

11、inux里的/etc/samba/smbpasswd密碼文件進(jìn)行驗(yàn)證。但是在Windows95OS/R2以后的版本和WindowsNTSP3以后的版本缺省都不傳送明文密碼，要讓這些系統(tǒng)能傳送明文密碼必須在其注冊(cè)表里更改，比較麻煩，好的方法就是把這里的這個(gè)開(kāi)關(guān)設(shè)置為yes。smbpasswdfile=smbPasswordFile設(shè)置存放samba用戶密碼的文件smbPasswordFile（般是/etc/samba/smbpasswdsslCAcertFile=sslFile當(dāng)samba編譯的時(shí)候支持SSL的時(shí)候，需要指定SSL的證書的位置（一般在/usr/share/ssl/certs/ca

12、-bundle.crt）。unixpasswordsync=yes|nopasswdprogram=/usr/bin/passwd%upasswdchat=*New*UNIX*password*%n*ReType*new*UNIX*password*%n*passwd:*all*authentication*tokens*updated*successfully*這三項(xiàng)設(shè)置能否從windows的應(yīng)用程序修改unix系統(tǒng)的用戶密碼usernamemap=UsermapFile指定用戶映射文件（一般是/etc/samba/smbusers），當(dāng)我們?cè)谶@個(gè)文件里面指定一行root=administr

13、atoradmin的時(shí)候，客戶機(jī)的用戶是admin或者administrator連接時(shí)會(huì)被當(dāng)作用戶root看待。include=MachineConfFile指定對(duì)不同機(jī)器的連接采用不同的配置文件MachineConfFile（一般為了靈活管理使用/etc/samba/smb.conf.%m,由于采用了samba的變量，把配置文件和客戶機(jī)的NETBIOS名稱關(guān)聯(lián)起來(lái)，能很容易地控制這些客戶機(jī)的權(quán)限和設(shè)置）。socketoptions=TCP_NODELAYSO_RCVBUF=8192SO_SNDBUF=8192這個(gè)是網(wǎng)絡(luò)socket方面的一些參數(shù)，能實(shí)現(xiàn)最好的文件傳輸性能。相關(guān)的選項(xiàng)還有SO_

14、KEEPALIVE、SO_REUSEADDR、SO_BROADCAST、IPTOS_LOWDELAY、IPTOS_THROUGHPUT、SO_SNDLOWAT（*）、SO_RCVLOWAT（*），帶*號(hào)的要指定數(shù)值。一般如果在本地網(wǎng)絡(luò)，就只用IPTOS_LOWDELAY,如果是有一個(gè)本地網(wǎng)絡(luò)的，就用IPTOS_LOWDELAYTCP_NODELAY，如果是廣域網(wǎng)絡(luò)，就試試IPTOS_THROUGHPUT。interfaces=interface1interface2如果有多個(gè)網(wǎng)絡(luò)接口，就必須在這里指定。如interface=/24/24remot

15、ebrowsesync=host（subnet）這里指定瀏覽列表同步信息從哪里取得，如果用host（比如5）或者整個(gè)子網(wǎng)（55）。這里說(shuō)明一下什么是瀏覽（Browse）：在SMB協(xié)議中，計(jì)算機(jī)為了訪問(wèn)網(wǎng)絡(luò)資源，就需要了解網(wǎng)絡(luò)上存在的資源列表（例如在Windows下使用網(wǎng)絡(luò)鄰居查看可以訪問(wèn)的計(jì)算機(jī)），這個(gè)機(jī)制就被稱為瀏覽（Browse）。雖然SMB協(xié)議中經(jīng)常使用廣播的方式，但如果每次都使用廣播的方式了解當(dāng)前的網(wǎng)絡(luò)資源（包括提供服務(wù)的計(jì)算機(jī)和各個(gè)計(jì)算機(jī)上的服務(wù)資源），就需要消耗大量的網(wǎng)絡(luò)資源和浪費(fèi)較長(zhǎng)的查找時(shí)間，因此最好在網(wǎng)絡(luò)中維護(hù)一個(gè)網(wǎng)絡(luò)資源的列表，以

16、方便查找網(wǎng)絡(luò)資源。只有必要的時(shí)候，才重新查找資源，例如使用Windows下的查找計(jì)算機(jī)功能。但沒(méi)有必要每個(gè)計(jì)算機(jī)都維護(hù)整個(gè)資源列表，維護(hù)網(wǎng)絡(luò)中當(dāng)前資源列表的任務(wù)由網(wǎng)絡(luò)上的幾個(gè)特殊計(jì)算機(jī)完成的，這些計(jì)算機(jī)被稱為Browser，這些Browser通過(guò)記錄廣播數(shù)據(jù)或查詢名字服務(wù)器來(lái)記錄網(wǎng)絡(luò)上的各種資源。Browser并不是事先指定的計(jì)算機(jī)，而是在普通計(jì)算機(jī)之間通過(guò)自動(dòng)進(jìn)行的推舉產(chǎn)生的。不同的計(jì)算機(jī)可以按照其提供服務(wù)的能力，設(shè)置在推舉時(shí)具備的不同權(quán)重。為了保證一個(gè)Browser停機(jī)時(shí)網(wǎng)絡(luò)瀏覽仍然正常，網(wǎng)絡(luò)中常常存在多個(gè)Browser，一個(gè)為主Browser(MasterBrowser)，其他的為備份B

17、rowser。remoteannounce=host(subnet)指定這些機(jī)器向網(wǎng)絡(luò)宣告自己，而不是有Browser得到。localmaster=yes|no這個(gè)參數(shù)指定nmbd是否試圖成為本地主瀏覽器，默認(rèn)值是yes,如果設(shè)為no則samba服務(wù)器就永遠(yuǎn)都不會(huì)成為本地主瀏覽器。但即使設(shè)置了yes,也不等于samba服務(wù)器就會(huì)成為本地主瀏覽器。只是參與本地主瀏覽器選擇。oslevel=nn的值是個(gè)整數(shù)，決定了nmbd是否有機(jī)會(huì)成為本地廣播區(qū)域的工作組里的本地主瀏覽器，默認(rèn)值是零，零則意味著nmbd失去瀏覽選擇。如果要nmbd更有機(jī)會(huì)成為本地主瀏覽器的話，可以設(shè)為65。domainmaster

18、=yes|no這個(gè)參數(shù)讓nmbd成為一個(gè)域?yàn)g覽器，取得各本地主瀏覽器的瀏覽列表，并將整個(gè)域的瀏覽列表遞交給各本地主瀏覽器。preferredmaster=yes|no這個(gè)參數(shù)指定nmbd是否是工作組里的首要的主瀏覽器，如果指定為yes，nmbd在啟動(dòng)的時(shí)候就強(qiáng)制一個(gè)瀏覽選擇。Domainmaster和localmaster工作組和域這兩個(gè)概念在進(jìn)行瀏覽時(shí)具備同樣的用處，都是用于區(qū)分并維護(hù)同一組瀏覽數(shù)據(jù)的多個(gè)計(jì)算機(jī)。事實(shí)上他們的不同在于認(rèn)證方式上，工作組中每臺(tái)計(jì)算機(jī)都基本上是獨(dú)立的，獨(dú)立對(duì)客戶訪問(wèn)進(jìn)行認(rèn)證，而域中將存在一個(gè)(或幾個(gè))域控制器，保存對(duì)整個(gè)域中都有效的認(rèn)證信息，包括用戶的認(rèn)證信息以及

19、域內(nèi)成員計(jì)算機(jī)的認(rèn)證信息。瀏覽數(shù)據(jù)的時(shí)候，并不需要認(rèn)證信息，Microsoft將工作組擴(kuò)展為域，只是為了形成一種分級(jí)的目錄結(jié)構(gòu)，將原有的瀏覽和目錄服務(wù)相結(jié)合，以擴(kuò)大Mircrosoft網(wǎng)絡(luò)服務(wù)范圍的一種策略。工作組和域都可以跨越多個(gè)子網(wǎng)，因此網(wǎng)絡(luò)中就存在兩種Browser，一種為DomainMasterBrowser，用于維護(hù)整個(gè)工作組或域內(nèi)的瀏覽數(shù)據(jù)，另一種為L(zhǎng)ocalMasterBrowser,用于維護(hù)本子網(wǎng)內(nèi)的瀏覽數(shù)據(jù)，它和DomainMasterBrowser通信以獲得所有的可瀏覽數(shù)據(jù)。劃分這兩種Browser主要是由于瀏覽數(shù)據(jù)依賴于本地網(wǎng)廣播來(lái)獲得資源列表，不同子網(wǎng)之間只能通過(guò)瀏覽器

20、之間的交流能力，才能互相交換資源列表。但是，為了瀏覽多個(gè)子網(wǎng)的資源，必須使用NBNS名字服務(wù)器的解析方式，沒(méi)有NBNS的幫助，計(jì)算機(jī)將不能獲得子網(wǎng)外計(jì)算機(jī)的NetBIOS名字。LocalMasterBrowser也需要查詢NetBIOS名字服務(wù)器以獲得DomainMasterBrowser的名字，以相互交換網(wǎng)絡(luò)資源信息。由于域控制器在域內(nèi)的特殊性，因此域控制器傾向于被用做Browser，主域控制器應(yīng)該被用作DomainMasterBrowser,他們?cè)谕婆e時(shí)設(shè)置的權(quán)重較大。preservecase=yes|noshortpreservecase=yes|no指定拷貝DOS文件的時(shí)候保持大小寫，

21、缺省是nodefaultcase=lower|upper所有的DOS文件的缺省是大寫還是小寫casesensitive=yes|no大小寫敏感，一般是no,不然會(huì)出現(xiàn)一些問(wèn)題。共享設(shè)置：共享資源:每個(gè)SMB服務(wù)器能對(duì)外提供文件或打印服務(wù)，每個(gè)共享資源需要被給予一個(gè)共享名，這個(gè)名字將顯示在這個(gè)服務(wù)器的資源列表中。如果一個(gè)資源的名字的最后一個(gè)字母為$，則這個(gè)共享名就為隱藏共享，不能直接表現(xiàn)在瀏覽列表中，而只能通過(guò)直接訪問(wèn)這個(gè)名字來(lái)進(jìn)行訪問(wèn)。在SMB協(xié)議中，為了獲得服務(wù)器提供的資源列表，必須使用一個(gè)隱藏的資源名字舊。$來(lái)訪問(wèn)服務(wù)器，否則客戶無(wú)法獲得系統(tǒng)資源的列表。共享設(shè)置中有個(gè)比較奇怪的段:home

22、s，在smb.conf文件中一般沒(méi)有對(duì)這個(gè)目錄的設(shè)定特定內(nèi)容比如路徑等。當(dāng)客戶機(jī)發(fā)出服務(wù)請(qǐng)求時(shí)，就在smb.conf文件的其它部分查找友特定內(nèi)容的服務(wù)。如果沒(méi)有發(fā)現(xiàn)這些服務(wù)，并且提供了homes段時(shí)，那么就搜索密碼文件得到用戶的Home目錄。通過(guò)Homes段，Samba可以得到用戶的Home目錄并使之共享。下面是這個(gè)段的最基本的幾個(gè)設(shè)置。homescomment=HomeDirectorybrowseable=nowritable=yes比較正常的共享的配置如下例：MySharecomment=grindlesfipath=/home/grindallowhosts=host(subnet)d

23、enyhosts=host(subnet)writable=yes|nouser=user(group)validusers=user(group)invalidusers=user(group)readlist=user(group)writelist=user(group)adminlist=user(group)public=yes|nohidedotfiles=yes|nocreatemode=0755directorymode=0755syncalways=yes|noshortpreservecase=yes|nopreservecase=yes|nocasesensitive=y

24、es|nomanglecase=yes|nodefaultcase=upper|lowerforceuser=grindwidelinks=yes|nomaxconnections=100deletereadonly=yes|no其中里面的MyShare指定共享名，一般就是網(wǎng)絡(luò)鄰居里面可以看見(jiàn)的文件夾的名字。comment指的是對(duì)改共享的備注。path指定共享的路徑，其中可以配合samba變量使用。比如你可以指定path=/data/%m,這樣如果一臺(tái)機(jī)器的NETBIOS名字是grind,它訪問(wèn)MyShare這個(gè)共享的時(shí)候就是進(jìn)入/data/grind目錄,而對(duì)于NETBIOS名是glass的

25、機(jī)器，則進(jìn)入/data/glass目錄。allowhosts和denyhosts和前面的全局設(shè)置的方法一樣這里不再提及。writeable指定了這個(gè)目錄缺省是否可寫，也可以用readonly=no來(lái)設(shè)置可寫。user設(shè)置所有可能使用該共享資源的用戶，也可以用group代表group這個(gè)組的所有成員，不同的項(xiàng)目之間用空格或者逗號(hào)隔開(kāi)。validusers指定能夠使用該共享資源的用戶和組。invalidusers指定不能夠使用該共享資源的用戶和組。readlist指定只能讀取該共享資源的用戶和組。writelist指定能讀取和寫該共享資源的用戶和組。adminlist指定能管理該共享資源（包括讀寫

26、和權(quán)限賦予等）的用戶和組。public指明該共享資源是否能給游客帳號(hào)訪問(wèn)，這個(gè)開(kāi)關(guān)有時(shí)候也叫g(shù)uestok，所以有的配置文件中出現(xiàn)guestok=yes其實(shí)和public=yes是樣的。hidedotfiles指明是不是像unix那樣隱藏以“.號(hào)開(kāi)頭的文件?！眂reatemode指明新建立的文件的屬性，一般是0755。directorymode指明新建立的目錄的屬性，一般是0755。syncalways指明對(duì)該共享資源進(jìn)行寫操作后是否進(jìn)行同步操作。shortpreservecasef旨明不管文件名大小寫。preservecasef旨明保持大小寫。casesensitive指明是否對(duì)大小寫敏感，

27、一般選no,不然可能引起錯(cuò)誤。manglecase指明混合大小寫。defaultcase指明缺省的文件名是全部大寫還是小寫。forceuser強(qiáng)制把建立文件的屬主是誰(shuí)。如果我有一個(gè)目錄，讓guest可以寫，那么guest就可以刪除，如果我用forceuser=grind強(qiáng)制建立文件的屬主是grind，同時(shí)限制createmask=0755，這樣guest就不能刪除了。widelinks指明是否允許共享外符號(hào)連接，比如共享資源里面有個(gè)連接指向非共享資源里面的文件或者目錄，如果設(shè)置widelinks=no將使該連接不可用。maxconnections=n設(shè)定同時(shí)連接數(shù)是n。deletereadonly指明能否刪除共享資源里面已經(jīng)被定義為只讀的文件。有兩類特殊的共享，分別是光驅(qū)和打印機(jī)光驅(qū)的共享設(shè)置:cdromcomment=grindscdrompath=/mnt/cdrompublic=yesbrowseable=yesrootpreexec=/bin/mount-tiso9660/dev/cd0/mnt/cdromrootpostexec=/bin/umount/mnt/cdrom這里rootpreexec指明了連接時(shí)用root的身份運(yùn)行mount命令，而rootpostexec則指明了斷開(kāi)時(shí)用root身份運(yùn)行umount,有效實(shí)現(xiàn)了對(duì)光驅(qū)的共享。打印機(jī)共享的設(shè)置：pri