Forum Debian Users Gang

ZepsutyBanan · 2016-04-25 16:07:23

Witajcie,

jestem forumowy Świeżak, lecz z Debianem pracuję od paru lat.

Parę dni w firmie podniesiono wymogi bezpieczeństwa. Jednym z nich jest certyfikowanie podłączeń do domeny Samba 4. Zadanie proste do zrobienia na windows server, lecz nie na Sambie.

Na czym mi zależy:
- W windows server możliwe jest zabezpieczenie domeny w taki sposób, aby komputery z odpowiednim certyfikatem miały możliwość podłączenia do domeny (sieć LAN).
Zależy mi na zrobieniu tego samego na Sambie, albo, jeśli się da, zabezpieczenie w taki sposób udziałów SMB, aby komputery z odpowiednim certyfikatem je "widziały".

Serwer kontroluje Debian, są na nim udziały SMB (z NAS'a), oraz AD.

Jacekalex · 2016-04-25 18:16:47

Co to za certyfikat?

Kerberos?

Rzuć okiem na to:
https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/7/html/Windows_Integration_Guide/windbind.html

ZepsutyBanan · 2016-04-25 18:52:22

Debian z AD ma być serwerem, który wygeneruje certyfikat.

Podobnie działa OpenVPN, gdzie server generuje cert dla użytkownika, a następnie, aby się połączyć do VPN, należy użyć certyfikatu. Podobny mechanizm autoryzacji jest w Windows Server, gdzie server AD pozwala na wygenerowanie certyfikatu i, aby podłączyć się do domeny, należy na PC zainstalować ten certyfikat. Wtedy PC jest rozpoznawany jako "zaufany" i server pozwala na podłączenie do domeny.

Autoryzacja może być po Kerberosie, SMB, czy czymkolwiek. Zależy mi tylko na tym, aby możliwość podłączenia do domeny miały komputery z odpowiednim certyfikatem wygenerowanym przez server (Samba, Kerberos, whatever).

uzytkownikubunt · 2016-04-25 19:15:57

2972

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:39:59)

Jacekalex · 2016-04-25 19:25:56

[quote=uzytkownikubunt]Chcesz wygenerować certyfikat? W jakim formacie? Być może OpenSSL potrafi w takim formacie wygenerować certyfikat.[/quote]
Tu chodzi o autoryzację GSSAPI/Kerberos, OpenSSL nie ma z tym nic wspólnego.

ZepsutyBanan · 2016-04-25 21:15:25

[quote=Jacekalex][quote=uzytkownikubunt]Chcesz wygenerować certyfikat? W jakim formacie? Być może OpenSSL potrafi w takim formacie wygenerować certyfikat.[/quote]
Tu chodzi o autoryzację GSSAPI/Kerberos, OpenSSL nie ma z tym nic wspólnego.[/quote]
OpenLDAP z Kerberosem da radę zrobić coś takiego?

Jacekalex · 2016-04-25 21:17:02

Da się na pewno, ale to raczej zdrowa gimnastyka będzie.

Rzuć okiem na to:
https://wiki.samba.org/index.php/Samba,_Active_Directory_%26_LDAP
https://wiki.samba.org/index.php/Samba_%26_LDAP

W ogóle ja bym raczej do różnych Windowsów posłał szefa po Win 2012 serwer.

Samba na Linuxie jest może fajna w domu, ale jak w robocie przyjdzie jakaś magiczna aktualizacja Windowsów, to potrafi się wszystko spieprzyć w ciągu godziny.

Jeżeli chcesz mieć serwery plików na Linuxie, to jest dosyć uniwersalnych protokołów sieciowych, których dział marketingu M$ nie kontroluje, bo są opisane w RFC, i dlatego są trochę pewniejsze od Samby.
To np NFS, SSH, FTP, HTTP.

SMB to zabawka Microsoftu, a M$ bardzo dba o to, żeby ich systemy zbyt dobrze nie gadały z Linuxami.
Dlatego bezpieczniej używać protokołu, którego M$ nie kontroluje.

Pozdro

Ostatnio edytowany przez Jacekalex (2016-04-25 21:28:57)

Time (s)	Query
0.00011	SET CHARSET latin2
0.00004	SET NAMES latin2
0.00105	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.16.69.243' WHERE u.id=1
0.00073	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.16.69.243', 1732746755)
0.00056	SELECT * FROM punbb_online WHERE logged<1732746455
0.00083	DELETE FROM punbb_online WHERE ident='3.137.164.229'
0.00059	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=28569 AND t.moved_to IS NULL
0.00008	SELECT search_for, replace_with FROM punbb_censoring
0.00129	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=28569 ORDER BY p.id LIMIT 0,25
0.00074	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=28569
Total query time: 0.00602 s

Forum Debian Users Gang

Ogłoszenie

#1 2016-04-25 16:07:23

ZepsutyBanan - Nowy użytkownik

Samba - podłączenie do domeny tylko z certyfikatem

#2 2016-04-25 18:16:47

Jacekalex - Podobno człowiek...;)

Re: Samba - podłączenie do domeny tylko z certyfikatem

#3 2016-04-25 18:52:22

ZepsutyBanan - Nowy użytkownik

Re: Samba - podłączenie do domeny tylko z certyfikatem

#4 2016-04-25 19:15:57

uzytkownikubunt - Zbanowany

Re: Samba - podłączenie do domeny tylko z certyfikatem

#5 2016-04-25 19:25:56

Jacekalex - Podobno człowiek...;)

Re: Samba - podłączenie do domeny tylko z certyfikatem

#6 2016-04-25 21:15:25

ZepsutyBanan - Nowy użytkownik

Re: Samba - podłączenie do domeny tylko z certyfikatem

#7 2016-04-25 21:17:02

Jacekalex - Podobno człowiek...;)

Re: Samba - podłączenie do domeny tylko z certyfikatem

Stopka forum

Informacje debugowania