Linux服务之Samba

samba服务的进程由smbd和nmbd组成
smbd进程：主要负责管理服务器上的共享目录、打印机、提供登录认证、创建对话进程和SMB资源共享等功能
端口 139和445

nmbd进程：主要负责提供NetBIOS的域名解析和浏览共享资源的服务
端口 137和138

工作原理：
1、由Samba客户端向Samba服务器端发送包含使用的协议版本等信息的数据请求包，
当服务器收到数据请求包后对数据包中的内容进行确认，
如果Samba服务器没有响应客户端的请求则本次会话请求连接失败。
2、当数据请求包的信息被Samba服务器确认后，
服务器就向客户端发送建议使用的协议版本、端口等相关信息
3、客户端在收到来自服务器端的信息后，开始根据服务器的要求确认自身的信息，
然后向服务器发送认证信息并等待服务器的响应，如果服务器端响应客户端的请求，
则本次会话请求连接成功，否则，则本次会话请求连接失败。
4、客户端与服务器端成功建立会话连接后，客户端就可以通过相应的命令访问所需的资源。

samba服务器部署
1、安装samba服务器所需的软件包
yum -y  install samba  samba-client

smbd：SMB服务器，为客户端提供文件和打印服务
nmbd：NetBIOS名称服务器，可以提供浏览支持
smbclient：SMB客户端程序，用于从Linux或其他操作系统上访问SMB服务器上的资源
smbmount：挂载SMB文件系统的工具
smbumount：卸载SMB文件系统的工具
smbpasswd：：添加、删除及管理SMB账户口令

2、配置文件
1）模板配置文件
# Security-Enhanced Linux (SELinux) Notes:  ---selinux参数配置
# setsebool -P samba_enable_home_dirs on      ---共享用户家目录时，需要设置的bool值
# chcon -t samba_share_t /path/to/directory   ---共享自定义目录时，需要更改目录的context值
当文件系统重打标签时，通过chcon进行的更改将丢失

# setsebool -P samba_export_all_ro on   ---以只读权限共享目录时，需要设置的bool值

# setsebool -P samba_export_all_rw on ----以读写权限共享目录时，需要设置的bool值

[global]   ---全局设置起始标签
 workgroup = MYGROUP                ----工作组名称设置
        server string = Samba Server Version %v          ----samba服务器的版本信息

;       netbios name = MYSERVER           --------主机的NetBIOS设置

;       interfaces = lo eth0 192.168.12.2/24   192.168.13.2/24    ----定义samba服务监听的
ip或者网络接口
;       hosts allow = 127.   192.168.12.    192.168.13.      ---允许访问的主机列表

日志设置
log file = /var/log/samba/log.%m   ---日志文件路径及文件名设置
max log size = 50         ----日志文件最大大小设置，单位KB，若日志文件大小大于50KB，则循环写入

独立服务器选项
security = user       --------samba运行模式
passdb backend = tdbsam  ----存储用户信息

security参数值可以设置为3种模式 ：
user：使用samba自身的数据库验证用户
share：无需共享密码，任何人都可以访问samba共享资源
server：在此级别下，身份验证由samba主机负责，但是不推荐使用

passdb backend参数值设置有3种：
tdbsam：使用数据库文件passdb.tdp，该文件存放在/etc/samba下，该参数值为默认
ldapsam：使用LDAP方式进行验证
smbpasswd：使用smbpasswd为系统用户设置samba密码

共享目录设置部分
[homes]        ----共享名，可以自定义
        comment = Home Directories      ----共享描述信息
        browseable = no             ----共享不可以浏览
        writable = yes               ----共享权限为可写
;       valid users = %S           ---定义可访问的用户，这里表示所有合法登录的用户

共享设置部分有一系列的参数设置，常见的如下：
comment = ：定义共享描述
path = ：定义具体的共享目录（值为共享目录的绝对路径）
browseable = ：定义是否可以浏览，yes为可以浏览，no为不能浏览，默认为yes
read only = ：定义共享权限是否只读，yes表示只读，默认值为只读
writable = ：定义共享权限是否可写，yes表示可写，no表示不可写，默认为no
write list = ：定义具体读写共享权限的用户列表，不在列表的用户默认只有只读权限，参数值可以
设置为用户名和组名；设置用户名的格式为：username1，username2（中间用逗号隔开）  
设置组名的格式：@groupname1，@groupname2（中间用逗号隔开）
guest ok = ：定义是否允许匿名，yes表示允许匿名，no表示不允许匿名
valid users = ：定义可以访问共享的samba用户列表，格式username1，username2
不允许列表以外的samba用户访问共享，若列表为空白，则表示所有的samba用户均可访问共享
public = ： 定义是否为公共共享，yes为公共共享  no表示非公共共享
设置目录共享时，一定要事先创建需要共享的目录，且留意共享目录的文件系统权限和共享权限的一致性。
rose  -----  r-x
marry -----rwx 

要求：
将samba服务器端目录/smbshare共享，共享名为myshare，共享可以浏览，允许用户rose和用户marry访问
用户rose具有只读权限，marry具有读写权限  (rose和marry系统存在的用户)
mkdir /smbshare
cd /smbshare
mkdir test1
touch t1

semanage fcontext -a -t samba_share_t '/smbshare(/.*)?'
restorecon -Rv /smbshare

vim /etc/samba/smb.conf
[myshare]
    comment = this is a directory
    path = /smbshare
    browseable = yes
    valid users = rose,marry
    write list = marry
2、新建rose和marry用户
usermod -s /sbin/nologin rose
usermod -s /sbin/nologin  marry
为什么要将用户设置为不可登录状态？
因为将系统用户添加为samba用户后，防止系统用户直接登录系统或者通过ssh登录系统

3、设置samba用户
smbpasswd 
-a：添加用户
-x：删除用户
-e：启用用户
-d：禁用用户

smbpasswd -a rose
输入smb密码
确认smb密码----该密码可以不与系统密码一致
smbpasswd -a marry

设置权限，保证samba用户的访问权限和服务设置的权限一致
setfacl -m u:rose:r-x /smbshare/
setfacl -m u:marry:rwx /smbshare/

pdbedit -L  ---列出系统上配置为samba用户的所有用户

4、启动服务
systemctl restart smb.service
systemctl restart nmb.service

systemctl enable smb.service
systemctl enable nmb.service

5、设置防火墙
firewall-cmd --add-service=samba --permanent
firewall-cmd --add-service=samba-client --permanent
firewall-cmd --add-service=mountd --permanent
firewall-cmd --reload

客户端：
yum -y install samba-client cifs-utils
1、匿名用户访问samba服务器共享资源列表--smbclient
smbclient -L  [samba服务器的hostname或者IP]

smbclient -L 172.16.30.20         ----匿名访问，直接回车，不需要输入密码

2、samba用户浏览samba服务器共享资源列表
smbclient -L  [samba服务器的hostname或者IP]  -U 【samba用户名】

smbclient -L 172.16.30.20  -U rose

3、匿名用户访问samba服务器的共享资源
smbclient  //[samba服务器的hostname或者IP]/[共享名]   ---------匿名用户不需要密码

smbclient //172.16.30.20/myshare

4、samba用户浏览samba服务器共享资源
smbclient  //[samba服务器的hostname或者IP]/[共享名]  -U [samba用户]

smbclient //172.16.30.20/myshare  -U rose

5、使用mount命令讲samba服务器共享资源挂载到本地目录下
mkdir  /smbmount

交互式挂载---等待你输入密码
mount -t cifs -o username=rose //172.16.30.20/myshare   /smbmount  
----输入samba用户rose的samba密码

非交互式挂载---直接挂载上
mount -t cifs -o username=rose,password=rose,sec=ntlmssp //172.16.30.20/myshare   /smbmount

若想下次启动生效
vim  /etc/fstab
//172.16.30.20/myshare   /smbmount   cifs   username=rose,password=rose,sec=ntlmssp  0   0

多用户挂载，使用multiuser选项，
//172.16.30.20/myshare   /smbmount   cifs   multiuser,username=rose,password=rose,sec=ntlmssp  0   0

普通用户galaxy使用cifscreds命令向samba服务器提交samba用户marry的凭证，此时普通用户galaxy
临时具有samba用户marry的权限，实现其对myshare共享具有marry的读写权限

su  -   galaxy
cifscreds  add 172.16.30.20  -u  marry

cd  /smbmount
mkdir test2

windows操作系统
\\172.16.30.20   回车
输入samba用户和密码

默认情况下，普通用户无法拥有samba用户的权限去访问共享目录的。
multiuser这个挂载选项的作用是：可以让普通用户拥有samba用户的权限来访问共享目录。
需要通过cifscreds 172.16.30.20 -u marry 临时获得samba用户marry的权限来访问共享目录