基于SAMBA4的域控制器安装设置
在企业网络中采用域控制器,能给网络安全带来很大的方便,但采用商业域控软件的成本给中小微企业带来较大的压力,特别是小微和初创公司。商业软件往往集成了很多功能,而大多数功能对中小微企业来说并不是不可缺少的;同时因集成太多的功能,也给域控服务器的运维提出了更高的要求。
这里介绍使用SAMBA4的域控制器的安装和设置,这个系统具备下列特性:
1、提供LDAPS授权服务
2、提供资源共享和授权管理
3、支持使用GPO对域内电脑进行配置和软件安装
4、系统安装在SoftRAID上,具备高可靠低维护特性。
系统安装配置
1. 操作系统安装
我们采用了Ubuntu 18.04 LTS 服务器版
建议硬件配置:
CPU:Xeon/i3/i5
RAM:4GB (最小2GB)
硬盘:32GB SSD x3
(注:下面的安装配置演示在虚拟机上完成)
按正常方式安装Ubuntu,一直到硬盘配置,转为手动配置。
选【Manual】,然后按【回车】。
在三个盘上各自建立分区给为建立SoftRAID做准备。
选择【Configure Software RAID】,按提示建立一个有2个活动盘,一个备份盘的RAID1磁盘阵列。
RAID1阵列已建好,下面给阵列配置文件系统。一般情况下,我们会遵循KISS原则,将安装和设置做的尽可能简单,我们这里采用了最简单、最“愚蠢”的配置。
配置完成后的情况:
后面就是正常的自动安装,一直到安装结束。
注意:Linux的mdadm服务在构建磁盘阵列时,是不会动MBR的内容的!在系统安装时,安装程序会将GRUB安装到二个活动盘上,但不会安装在备份盘上。现在让我i们验证一下。
dd if=/dev/sda bs=512 count=1 | xxd | grep -i grub
在/dev/sdb上也有一样的结果,在MBR区内能见到GRUB。而/dev/sdc(备份盘)在MBR区内就没有GRUB。
我们需要在/dev/sdc上安装
grub-install /dev/sdc
再检查,我们就会在MBR区内发现GRUB了。
切记:更换安装启动系统的RAID阵列在更换新的磁盘后,必须手工安装GRUB,否则系统有可能因没有GRUB而不能启动。
2. SAMBA4安装和配置
apt install samba krb5-user krb5-config winbind libpam-winbind libnss-winbind
在安装中,需要回答一些问题,注意大小写,我们选用的AD域名为LSWIN.LAN。
安装完成,下面是配置SAMBA4为PDC。
3. SAMBA4配置为PDC
在开始配置前,先停用和禁用一些安装时自动启动的服务和删除产生的smb.conf配置文件
systemctl stop samba-ad-dc smbd nmbd winbind
systemctl disable samba-ad-dc smbd nmbd winbind
mv /etc/samba/smb.conf /etc/samba/smb.conf.initial
配置Samba为Domain Controller:
AD域的域名为LSWIN.LAN,DNS转发服务器的地址为192.168.220.1
samba-tool domain provision --use-rfc2307 --interactive
用SAMBA4初始化成DC时产生的Kerberos配置文件替换现有的Kerberos配置文件
mv /etc/krb5.conf /etc/krb5.conf.initial
ln -s /var/lib/samba/private/krb5.conf /etc/
重新启动/启用SAMBA4为DC的服务。
systemctl start samba-ad-dc
systemctl enable samba-ad-dc
如遇到Failed to start samba-ad-dc.service: Unit samba-ad-dc.service is masked.
问题,先执行:
systemctl unmask samba-ad-dc
SAMBA4作为DC已经配置完成,我们可以用下列命令检查一下配置是否成功:
samba-tool domain level show
配置成功的话,我们可以见到:
4. 其他配置
在ubuntu下,/etc/resolv.conf在每次启动时都会重新生成,我们使用rc.local将该文件覆盖成我们需要的内容。
vi /etc/rc.local
将下列内容加入:
#!/bin/sh
/bin/echo "nameserver 192.168.220.251" > /etc/resolv.conf
/bin/echo "nameserver 192.168.220.1" >> /etc/resolv.conf
/bin/echo "search lswin.lan" >> /etc/resolv.conf
192.168.220.251
是DC的IP地址,192.168.220.1
是主DNS服务器。
更改/etc/rc.local属性为可执行
chmod +x /etc/rc.local
停用systemd-resolved服务
systemctl disable systemd-resolved
修改/etc/hosts
文件,删除所有pdc有关的内容,增加下列行:
192.168.220.251 pdc
重启系统,然后测试DC。
5. 系统测试