Я пытаюсь настроить Samba 4 на выделенном сервере от kimsufi.com, но у меня возникают трудности с настройкой Kerberos и Samba4.
Я совсем запутался в IP, Realm, Domain, NetBIOS, DNS и т. д. в Kerberos и Samba. Все руководства, которые я нашел в Google, похоже, имеют дело с домашними серверами в локальной сети и показывают домены типа TEST.LOCAL, но моя машина в Интернете с IP, отличным от 192.168...
У меня вопрос: какова конфигурация в моем конкретном случае?
Подробная информация о моем сервере (Debian 7.8):
Имя хоста: ks12345xxx.kimsufi.com
IP-адрес: 37.187.xx.xxx
/ect/host:
127.0.0.1 локальный_хост.локальный_домен локальный_хост
37.187.xx.xxx ks12345xxx.kimsufi.com ks12345xxx
/ect/имя_хоста:
ks12345xxx.kimsufi.com
/etc/sesolve.conf:
сервер имен 127.0.0.1
сервер имен 213.186.33.99
поиск ovh.net
В течениеКербероспри установке я получаю следующие настройки по умолчанию:
Область Kerberos версии 5: KIMSUFI.COM
Это так? Сервер не может быть доступен kimsufi.com, так как это домен моего хостера
Серверы Kerberos для вашей области:
По умолчанию пусто. Что мне вставить? Ничего или мое имя хоста ks12345xxx?
Административный сервер для вашей области Kerberos:
По умолчанию пусто. Что мне вставить? Ничего или мое имя хоста ks12345xxx?
В течениеПредоставление SAMBA4с помощью «samba-tool domain provision» я получаю следующие значения по умолчанию:
Область [KIMSUFI.COM]:
Та же проблема, что и при установке Kerberos: верно, kimsufi.com НЕ указывает на мой сервер?
Домен [КИМСУФИ]:
Правильный?
Роль сервера (dc, участник, автономный) [dc]:
DNS-сервер [SAMBA_INTERNAL]:
Это нормально.
IP-адрес DNS-пересылки [127.0.0.1]:
Это верно?
В итоге я получаю такой вывод:
Роль сервера: контроллер домена Active Directory
Имя хоста: ks12345xxx
Домен NetBIOS: KIMSUFI
DNS-домен: kimsufi.com
И в/etc/samba/smb.conf
[Глобальный]
рабочая группа = KIMSUFI
область = KIMSUFI.COM
имя netbios = KS12345xxx
роль сервера = контроллер домена Active Directory
Может ли эта конфигурация быть правильной, несмотря на то, что kimsufi.com не ведет на мой сервер?
Или мне нужно будет купить дополнительный домен, например mysamba4server.net?
Спасибо за любые советы и предложения по прояснению ситуации.
решение1
Относительно конфигурации Kerberos
Samba как AD/DC поставляется и запускает свой собственный сервер Kerberos (KDC). Поэтому не должно быть необходимости в отдельной установке и настройке сервера Kerberos.
Кроме того, инструмент подготовки Samba ( samba-tool domain provision) создает пример krb5.confфайла в конце. Вы должны иметь возможность просто скопировать его в /etc/krb5.conf.
Относительно конфигурации DNS
Вы решили использовать внутренний DNS-сервер Samba, что является стандартным безопасным выбором. Если ваш resolv.confфайл уже содержался 127.0.0.1как запись сервера имен ранее, то вам, вероятно, нужно внести некоторые изменения. Предполагая, что ваш сервер былнетDNS-сервер, который вы не должны изменять resolv.confперед запуском samba-tool domain provision. Затем samba-toolбудет предложено 213.186.33.99от вашего resolv.confв качестве DNS-пересылки, и это будет правильным выбором. Это DNS-сервер, на который Samba будет пересылать все запросы, которые не относятся к ее собственному домену.
После завершения подготовки Samba вам следует изменить свой resolv.conf
список на only 127.0.0.1как nameserver. И он должен содержать kimsufi.comзаписи domain и search. Но см. ниже комментарии по использованию этого домена.
Относительно использования домена kimsufi.com
Ваш сервер Samba должен быть авторитетным для домена DNS, который вы используете в качестве области/домена для предоставления. Это означает, что вы не должны использовать домен вашего хостера или любой другой домен, который существует снаружи.
Необходимость покупки нового домена зависит от того, как вы хотите получить доступ к новому домену Samba AD:
- Если вы хотите использовать его в изолированной сети, то вы можете просто создать домен, например,
mydomain.privateи сделать его владельцем вашего сервера AD, а ваши клиенты AD могут его использовать. - Если вместо этого вы хотите, чтобы ваш сервер AD был доступен через Интернет через официально известный интернет-домен, то вы должны владеть таким доменом. Для этого не требуется полный домен. В принципе, это может быть также поддомен существующего домена, например
myaddom.somedomain.com, но вам нужен контроль над ним. При этом не очень рекомендуется выставлять сервер AD в Интернет, поэтому, надеюсь, вы используете первый подход.
Больше информации
ВидетьSamba AD DC HOWTOЧтобы получить больше информации.