samba配置

1.SAMBA的安全等级 SAMBA有四种安全等级，可以使用security参数进行指定。分别是： share：用户不要账号及密码即可登入SAMBA服务器。 user：由提供服务的SAMBA服务器负责检查账户及密码（是SAMBA默认的安全等级）。 server：检查账户及密码的工作指定由另一台Windows NT/2000或SAMBA服务器负责。 domain：指定Windows NT/2000域控制服务器来验证用户的账户及密码。 2.安全全局参数 SAMBA的安全在操作系统高度安全的保障下，其自身的安全一般情况下主要依赖于smb.conf文件的正确配置与否。表1为smb.conf文件中常用的安全全局参数。 表　1 3.SAMBA的权限和文件属主 SAMBA权限设置和文件属性的正确设置是保障安全的前提。为了安全起见，设置SAMBA密码文件和目录权限为root，去掉smbpasswd文件中一些无shell的账号，SAMBA属性应设为500，smbpasswd属性应设为600。我们可以进行如下操作，查看文件和进行相关的设定： (1)检查权限和文件属性 //检查SAMBA文件 [root@ora9 root]# ll -d /etc/samba drwxr—xr—x 2 root root 4096 Sep 16 2004 /etc/samba //检查MSBPASSWD文件 [root@ora9 root]# ll /etc/samba/smbpasswd —rw------- 1 root root 105 Sep 16 2004 /etc/samba/smbpasswd (2)检查配置文件的正确性 输入如下命令将显示用户的配置和所有的默认配置： [root@ora9 root]# testparm Load smb config files from /etc/samba/smb.conf Processing section "[homes]" Processing section "[printers]" Processing section "[homepage]" Loaded services file OK. Press enter to see a dump of your service definitions 默认主配置文件 SAMBA默认主配置文件的正确配置是SAMBA安全的重中之重。正确配置好SAMBA的默认主配置文件将为系统提供一个强大的安全体系，为SAMBA的安全运行夯实基础。要想正确配置，我们必须对配置文件有深入地了解，理解其内涵才能“对症下药”，才能防范于未然。 1.SAMBA的默认主配置文件及其说明 我们用root用户执行如下操作，查看SAMBA的默认配置： //忽略被注释（即以#和；开头）的配置语句行，并查看其默认配置 [root@ora9 root]# grep -v "#" /etc/samba/smb.conf | grep -v ";" //设置全局参数 [global] //设置工作组名称 workgroup = MYGROUP //设置SAMBA服务器名称 server string = Samba Server //设置打印机配置文件路径 printcap name = /etc/printcap //允许共享打印机 load printers = yes //设置打印机类型 printing = cups //设置日志文件路径 log file = /var/log/samba/%m.log //不对日志文件做长度限制 max log size = 0 //设置USER安全等级 security = user //设置用户密码加密 encrypt passwords = yes //设置口令文件的路径 smb passwd file = /etc/samba/smbpasswd //设置SAMBA用户账号和UNIX系统账号同步 unix password sync = Yes //设置本地口令程序 passwd program = /usr/bin/passwd %u //控制smbd和/usr/bin/password之间的会话，用以对用户密码进行改变。 passwd chat = *New*password* %n/n *Retype*new*password* %n/n *passwd:*all*authentication*tokens* updated*successfully* //当用户要求更改密码时使用PAM，而不用PASSWD PROGRAM参数所指定的本地口令程序/usr/bin/passwd pam password change = yes //当认证用户时，服从PAM的管理限制 obey pam restrictions = yes //设置服务器和客户之间会话的SOCKET选项 socket options = TCP_NODELAY SO_RCVBUF=8192 SO_ SNDBUF=8192 //不为客户做DNS查询 dns proxy = no //设置每个用户的主目录 [homes] comment = Home Directories browseable = no writable = yes valid users = %S create mode = 0664 directory mode = 0775 //设置全部打印机共享 [printers] comment = All Printers path = /var/spool/samba browseable = no guest ok = no writable = no printable = yes //设置个人共享 [homepage] path = /usr/local/apache/htdocs valid users = oracle public = no writable = yes printable = no create mask = 0765 2.SAMBA配置文件中常用的运行效率全局参数 SAMBA配置文件中运行效率全局参数的设置也是至关重要的，设置不正确会给系统带来安全隐（下转第86页）患。表2是对该参数基本说明和举例。 表　2 3.SAMBA配置文件常用的共享资源访问控制参数 SAMBA配置文件共享资源访问控制参数的设定将直接影响到文件操作的权利分配，分配不当将直接威胁系统安全。表3是对该参数的基本说明和举例。 表　3 尽管我们按照要求配置好了SAMBA相关的配置文件，但并不能代表我们就可以安享太平了，还要求我们对SAMBA本身和每一个SAMBA的用户都要有一个强壮、复杂的密码；随时删除掉smbpasswd文件中无shell的账号；对于拥有写权利的用户所使用的时间不能设得太长；查阅目录的数目尽量设小点等。只有这样，SAMBA的安全使用才相对有所保障，系统也就多了一分安全。