Samba 4 - PDC AD PDF

Preview

Summary

samba...

Description

I N S TA TAL L A R S A M B A 4 PA R A C R E A R P D C + A C T I V E D I R E C T O RY Introducción: Samba es un entorno libre que permite la administración de Active Directory desde la propio terminal de linux o desde un xp con las herramientas administrativas instaladas, lo cual permite la administración mediante Windows, igual que lo haríamos desde un Windows Server, con las mismas herramientas. Sistema escogido: Ubuntu 12.04 server 64 bits Una vez instalado el sistema, configurar la tarjeta de red. Un ejemplo válido sería el siguiente: # The loopback network interface auto lo iface lo inet loopback # The primary network interface auto eth0 iface eth0 inet static address 192.168.39.53 netmask 255.255.255.0 gateway 192.168.39.19 dns-nameservers 192.168.39.53 192.168.39.50 dns-search acceso.pru domain PRUEBACCESO Instalamos las dependencias para el correcto funcionamiento de samba 4: apt-get install build-essential libacl1-dev libattr1-dev \ libblkid-dev libgnutls-dev libreadline-dev python-dev \ python-dnspython gdb pkg-config libpopt-dev libldap2-dev \ dnsutils libbsd-dev attr krb5-user docbook-xsl Saltará la configuración de Kerberos. La primera pregunta es el reino de Kerberos (En el ejemplo, PRUEBACCESO.ACCESO.PRU, en mayúsculas siempre) y la segunda pregunta es el PDC, en este caso MADSPDC01, el servidor donde lo estamos instalando. Para esta y la siguiente pregunta, utilizamos localhost. Si no se saben los datos puede reconfigurarse más tarde. Procedemos a descargar samba 4 (version estable) wget http://ftp.samba.org/pub/samba/samba-latest.tar.gz descomprimir samba 4 tar -zxvf samba-latest.tar.gz Ejecutamos dentro de la carpeta que se habrá creado los siguientes comandos: ./configure (opcional: añadir –enable-debug --enable-selftest) make install Si todo ha ido bien, la instalación concluirá satisfactoriamente.

C R E A C IÓ N D E L D O M IN I O : ejecutamos: /usr/local/samba/bin/samba-tool domain provision Esto ira pidiendo una serie de datos: Realm (reino): dominio completo de datos, en este ejemplo PRUEBACCESO.ACCESO.PRU Domain (dominio): dominio simple PRUEBACCESO Server Role (Rol de servidor). Varias opciones: DC, member o standalone. Para pdc, seleccionar dc DNS Backend (servidor de DNS). Las opciones son varias, en esta prueba seleccionaremos que sea interno de samba, SAMBA_INTERNAL DNS Forward (Siguiente servidor de DNS). Para la resolución de nombres más allá del dominio, pondremos el siguiente servidor al que los equipos realizaran consultas DNS. Como estamos en un entorno de pruebas, pondremos el que se esta utilizando ahora, aunque la idea final es que en el propio servidor este nuestro DNS interno. Administrator password: para las pruebas, utilizare 97_osac3 (requiere complejidad). A R R A N CA N D O S A M B A 4 C O M O A D D C ejecutamos: /usr/local/samba/sbin/samba El servicio ya está arrancado y el PDC funcionando. Cabe destacar que es posible arrancar el servidor mediante un script en init.d que samba pone a disposición desde su web pero no viene por defecto. Para las pruebas no se ha realizado. P R O B A ND O : /usr/local/samba/bin/smbclient –version Debería devolver la versión 4.0.X /usr/local/samba/bin/smbclient -L localhost -U% Devolverá una tabla donde deberán aparecer netlogon y sysvol, involucrados en el uso de Active Directory. Para probar la autentificación en el netlogon, lanzamos el comando: /usr/local/samba/bin/smbcient //localhost/netlogon -Uadministrator%'97_osac3' -c 'ls' la salida debería ser similar a esta: Domain=[PRUEBACCESO] OS=[Unix] Server=[Samba 4.0.0] .

D

0 Tue Jan 15 08:31:27 2013

..

D

0 Tue Jan 15 08:36:26 2013

61187 blocks of size 524288. 53431 blocks available

C O N F I G U R A N D O R E S O LV. C O N F El servidor tiene que usarse a si mismo para resolver las peticiones DNS, de manera que como estamos usando Ubuntu, modificamos el archivo /etc/network/interfaces con el fin de que se modifique el resolv.conf automáticamente. Un ejemplo válido sería el siguiente, añadiendo las siguientes líneas al fichero de configuración. Dns-nameservers 192.168.39.80 192.168.39.50 dns-search acceso.pru domain PRUEBACCESO (Lo modificamos antes de instalar samba, pero conviene repasar que es correcto). Ejecutando service networking restart (ejecutar el script de init.d es deprecated en versiones nuevas de Ubuntu) generará un fichero resolv.conf válido para nuestro objetivo. P R O B A ND O E L D N S . Ejecutaremos los siguientes comandos: host -t SRV _ldap._tcp.PRUEBACCESO.ACCESO.PRU. _ldap._tcp.PRUEBACCESO.ACCESO.PRU has SRV record 0 100 389 madspdc01.pruebacceso.acceso.pru. host -t SRV _kerberos._udp.PRUEBACCESO.ACCESO.PRU. _kerberos._udp.PRUEBACCESO.ACCESO.PRU has SRV record 0 100 88 madspdc01.pruebacceso.acceso.pru. host -t A madspdc01.PRUEBACCESO.ACCESO.PRU. madspdc01.PRUEBACCESO.ACCESO.PRU has address 192.168.39.53 es de V I TA TAL L I M P O RTA TAN N C I A , que estos comandos funcionen. Si no, no podremos continuar. Comprobar que se pone el punto final despues del dominio, ya que se trata del FQDN completo. P R O B A ND O K E R B E R O S .

En teoria, al instalar samba 4, el archivo de configuración de kerberos se sobrescribe y no debería de ser modificado más. Las pruebas las realizaremos con dos comandos para saber si kerberos funciona correctamente. Kinit [email protected] Password: 97_osac3 Warning: Your password will expire in 41 days on Tue Feb 26 08:36:00 2013 Un resultado así sería correcto. klist Default principal: [email protected]

Valid starting

Expires

Service principal

15/01/13 09:41:18 15/01/13 19:41:18 krbtgt/[email protected] renew until 16/01/13 09:41:13 Un resultado así sería correcto. U N I E N D O E L E Q U I P O Q U E A D M I N I S T R A R Á A C T I V E D I R E C T O RY A L DOMINIO. 1. Configuramos el dns de XP que apuntará al nuevo servidor. 2. Repasamos la configuración de la hora. 3. Nos unimos al dominio nuevo normalmente. I N S TA TAL L A C I Ó N D E H E R R A M I E N TA TAS S A D M I N I S T R AT I VA S . NOTA: Entrar como “Administrator” Pack de herramientas administrativas y herramientas de soporte para: Win7: http://www.microsoft.com/es-es/download/details.aspx?id=7887 WinXP: Adminpack: http://www.microsoft.com/es-es/download/details.aspx?id=6315 SupportTools: http://download.microsoft.com/download/3/e/4/3e438f5e-24ef-4637-abd1981341d349c7/WindowsServer2003-KB892777-SupportTools-x86-ENU.exe GPMC (Consola de Administración de Politicas de Grupo) http://www.microsoft.com/es-es/download/details.aspx?id=21895

(Requiere NET framework) Con esto, ya tenemos listo el XP que hará de GUI del servidor de Active Directory Si al entrar en usuarios y equipos de Active Directory este reconoce el dominio, es que todo funciona correctamente, y ya podemos empezar a crear la estructura del Active Directory. CREAR OTRO DC Para ello, instalamos samba4 en el servidor que será un DC secundario, y modificamos la configuración de red para que apunte a la ip del PDC. Borramos el archivo smb.conf. También modificamos la configuración de kerberos para que sea la misma que en el servidor primario, modificando el fichero /etc/krb5.conf. Seguidos estos pasos, comprobamos la configuración con Kinit administrator, como hemos hecho otras veces. Si se autentifica ya estamos preparados para ejecutar el comando de unión al PDC: ./samba-tool domain join PRUEBACCESO.ACCESO.PRU DC -Uadministrator -realm=accesoprueba.acceso.fer Al final debería decir: Joined domain PRUEBACCESO (…) as a DC. P R O B A ND O E L D N S . Host -t A dc2.accesoprueba.acceso.fer. Si falla (que por lo visto, es lo normal) comprobar que se ha puesto el punto final del comando y añadir a mano: ./samba-tool dns add (ip del servidor dns) pruebacceso.acceso.pru DC2 A (ip del dc que estamos uniendo) -Uadministrator Ojo, el nombre del segundo dc tiene que estar en mayúsculas. En general, hay que respetar las mayúsculas y minúsculas que se van poniendo en esta documentación. Volver a probar, debería funcionar. Después comprobar el ObjectGUID del nuevo servidor, mediante el comando: ./ldbsearch -H /usr/local/samba/private/sam.ldb '(invocationid=*)' --cross-ncs objectguid la salida debería ser algo así: # record 2 dn: CN=NTDS Settings,CN=MADSPDC01,CN=Servers,CN=Default-First-Site-

Name,CN=Sites,CN=Configuration,DC=pruebacceso,DC=acceso,DC=pru objectGUID: d9c61c59-4814-43b7-a157-91efed92e785 Seguimos probando el DNS con la salida que acabamos de obtener: host -t CNAME d9c61c59-4814-43b7-a157-91efed92e785._msdcs.pruebacceso.pru. Si no responde, lo añadimos a mano como antes: ./samba-tool dns add (Ip del DNS) _msdcs.pruebacceso.com d9c61c59-4814-43b7-a15791efed92e785 CNAME DC2.pruebacceso.acceso.pru -Uadministrator P R U E B AS F I N A L E S : añadimos usuarios en ambos servidores y comprobamos que se crean en el otro. Se puede hacer mediante la GUI de XP o desde consola con el comando: ./samba-tool user add nombre-usuario y se pueden ver los usuarios mediante ./samba-tool user list...