1、Samba文件共享服務(wù)在Windows網(wǎng)絡(luò)環(huán)境中，主機(jī)之問進(jìn)行文件和打印機(jī)共享是通過微軟公司自己的 SMB/CIFS 網(wǎng)絡(luò)協(xié)議實現(xiàn)的。SMB （Server Message Block，服務(wù)消息塊）和 CIFS （Common Internet File System，通用互聯(lián)網(wǎng)文件系統(tǒng)）協(xié)議是微軟的私有協(xié)議，在Samba項目出現(xiàn)之前，并不能 直接與Linux/UNIX系統(tǒng)進(jìn)行通信。Samba是著名的開源軟件項目之一，它在Linux/UNIX系統(tǒng)中實現(xiàn)了微軟的SMB/CIFS網(wǎng) 絡(luò)協(xié)議，從而使得跨平臺的文件共享變得更加容易。在部署Windows. Linux/UNIX混合平臺 的企業(yè)環(huán)境時，選

2、用Samba可以很好地解決不同系統(tǒng)之問的文件互訪問題。一、軟件的安裝1、軟件包的構(gòu)成在RHEL6.5系統(tǒng)的DVD安裝光盤中可以找到與Samba相關(guān)的幾個軟件包，主要包括服 務(wù)端軟件samba、客戶端軟件samba-client,用于提供服務(wù)端和客戶端程序的公共組件 samba-common。大部分軟件包已經(jīng)隨RHEL 6.5系統(tǒng)默認(rèn)安裝好了，用戶可以查詢系統(tǒng)中samba 相關(guān)軟件包的安裝情況。rootlocalhost # rpm -qa I grepAsamba”samba-common-3.6.9-164.e16.x86_64samba-client-3.6.9-164.e16.x86_6

3、4samba4-1ibs-4.0.0-58.e16.rc4.x86_64samba-winbind-clients-3.6.9-164.e16.x86_64samba-winbind-3.6.9-164.e16.x86_64samba-3.6.9-164.e16.x86_64只需要從RHEL 6.5光盤中找到安裝包文件samba-3.6.9-164.elb.x86_64.rpm并進(jìn)行安裝即 可。2、服務(wù)組件Samba服務(wù)器提供smbd、nmbd兩個服務(wù)程序，分別完成不同的功能。其中，Smbd負(fù)責(zé) 為客戶機(jī)提供服務(wù)器中共享資源（目錄和文件等）的訪問；nmbd負(fù)責(zé)提供基于NetBIOS協(xié)議的 主機(jī)

4、名稱解析，以便為Windows網(wǎng)絡(luò)中的主機(jī)進(jìn)行查詢服務(wù)。安裝好samba軟件包以后，在RHEL6系統(tǒng)中會添加名為smb和nmb的標(biāo)準(zhǔn)系統(tǒng)服務(wù)， 管理員可以通過service工具來控制Samba服務(wù)的啟動與終止。rootlocalhost -#service smb start啟動SMB服務(wù)：確定rootlocalhost -#service nmb start啟動NMB服務(wù)：確定使用netstat命令可以驗證服務(wù)進(jìn)程狀態(tài)，其中smbd程序負(fù)責(zé)監(jiān)聽TCP協(xié)議的139端口 （SMB協(xié)議）、445端口95協(xié)議），而nmbd服務(wù)程序負(fù)責(zé)監(jiān)聽UDP協(xié)議的137-138端口 （NetBIOS 協(xié)議）。ro

5、otlocalhost # netstat -anptu I grepmbdtcp00:13:*LISTEN6306/smbdtcp00:44:*LISTEN6306/smbdtcp00:139:*LISTEN6306/smbdtcp00:445:*LISTEN6306/smbdudp0055:13:*6310/nmbdudp001:13:*6310/nmbdudp00:13:*6310/nmbdudp0055:13:*6310/nmbdudp001:13:*6310/nmbdudp00:13:*6310/nmbd二、配置主文件Samba服務(wù)的配置文件位于/etc/samba/目錄中，其中sm

6、b.conf是主配置文件。在smb.conf 文件中，以“ # ”號開始的行表示注釋性的文字.以“；”開始的行表示是配置樣例。在配置共 享文件夾時，用戶可以參考文件中提供的樣例行進(jìn)行設(shè)置。刪除注釋行、樣例行及空行以外的 內(nèi)容，才是Samba服務(wù)器的有效配置。例如，使用grep命令可以過濾出smb.conf文件中的有 效配置。rootlocalhost # grep -v #/etc/samba/smb.confI grep -v A; I grep -v A$globalworkgroup = MYGROUPserver string =Samba Server Version %v log

7、file = /var/log/samba/log.%m max log size=50security二 userpasswb backend =tdbsam load printers=yes cupsoptions=rawhomescomment= Home Directories browseable=nowritable=yesprinterscomment= All PrintersPath = /var/spool/samba browseable=noguest ok=no writable=no printable=yes從以上內(nèi)容可以看出，Smb.conf文件中的配置內(nèi)容默

8、認(rèn)包括以下三個部分。global全局設(shè)置：這部分配置項的內(nèi)容對整個Samba服務(wù)器都有效。homes宿主目錄共享設(shè)置：設(shè)置Linux用戶的默認(rèn)共享，對應(yīng)用戶的宿主目錄。當(dāng)用 戶訪問服務(wù)器中與自己用戶名同名的共享目錄時，通過驗證后將會自動映射到該用戶的宿 主文件夾中。printers打印機(jī)共享設(shè)置：如果需耍共享打印機(jī)設(shè)備，可以在這部分進(jìn)行配置。若需要在smb.conf文件中設(shè)置新的共享文件夾，只需要增加一段如“myshare”開始的 共享設(shè)置即可，其中“myshare”為用戶自定義的共享名。新的共享文件夾設(shè)置可以參考”homes 和printers 部分的內(nèi)容，具體配置方法將會講解。下面列出sm

9、b.conf文件中常見的一些配置項及其含義說明，如下表所示。 表10-1 Samba服務(wù)器的常見配置項及含義說明配置項說 明workgroup設(shè)置服務(wù)器所在的工作組名稱，如“亞0腿6改怔”51期0卬5主機(jī)默認(rèn)工作組名）server string設(shè)置服務(wù)器的說明文字，用于描述samba服務(wù)器security設(shè)置服務(wù)器的安全級別，可設(shè)為以下四個值中的一個：Share（可匿名訪問）、 user（需由本服務(wù)器驗證用戶名及密碼）、server（需指定另一臺服務(wù)器來驗證 用戶名及密碼）、domain Windows域控制器驗證用戶名及密碼）log file設(shè)置Samba服務(wù)器的日志文件，默認(rèn)設(shè)置為“/va

10、r/log/samba/log.%m”， 表示將日志文件保存到/var/log/samba/目錄中，按每個客戶機(jī)建立 個日志 文件，其中“m”變量表示客戶端主機(jī)名或IP地址passwd backend設(shè)置共享賬戶文件的類型，默認(rèn)使用tdbsam（TDB數(shù)據(jù)庫文件）若網(wǎng)絡(luò)內(nèi) 擁有LDAP目錄認(rèn)證，這里可以改用ldapsam數(shù)據(jù)庫文件；另外，若要兼 容舊版的Samba密碼文件，也可以將類型設(shè)為smbpasswdcomment設(shè)置對應(yīng)共享目錄的注釋、說明信息path設(shè)置對應(yīng)共享目錄在服務(wù)器中的文件夾路徑browseable設(shè)置該共享目錄在“網(wǎng)上鄰居”中是否可見，設(shè)置為no時相當(dāng)于隱藏共 享目錄gue

11、st ok設(shè)置是否所有人都可以訪問共享目錄，與“public”配置項的作用相同writable設(shè)置該共享目錄是否可寫，與“read only”配置項的作用相反Samba服務(wù)器提供了一個配置文件檢查工具一一testparm程序，使用testparm工具可以對smb.conf配置文件的正確性進(jìn)行檢查，如果發(fā)現(xiàn)有錯誤將會進(jìn)行提醒。rootlocalhost -#testparmLoad smb config files from /etc/samba/smb.conf省略部分內(nèi)容Press enter to see a dump of your service definitions/按 Enter

12、 鍵輸出當(dāng)前的配置清單globalworkgroup = MYGROUP省略部分內(nèi)容注：關(guān)于Smb.conf文件中的更多配置項，可以執(zhí)行man smb.conf命令查閱幫助。三、構(gòu)建文件共享服務(wù)器根據(jù)Samba服務(wù)的基本知識，并熟知主配置smb.conf文件中常用的一些配置項。接下來 將設(shè)置文件夾共享，包括匿名訪問和用戶驗證的共享設(shè)置，以及賬戶映射和客戶機(jī)訪問控制等 常見配置。1、可匿名訪問的共享可匿名訪問的共享適用于公開的資源分享，一般只建議提供只讀訪問。由于匿名共享不需 要驗證用戶名和密碼（或允許提供任意用戶名、密碼）就可以訪問，在安全性要求不高的情況下， 可以非常方便、快捷地與其他主機(jī)共

13、享資源。設(shè)置匿名共享文件夾時，在主配置文件smb.conf中主要調(diào)整兩個地方即可：其一，可以 將默認(rèn)的安全級別修改為$卜2代；其二，添加一段共享目錄配置。其他配置項根據(jù)實際需要進(jìn) 行更改。例如，若要將本地掛載的光盤目錄/media/cdromZ發(fā)布為共享文件夾，共享名為rhel6, 可以參照以下步驟進(jìn)行設(shè)置。rootlocalhost -#mount /dev/cdrom /media/cdrom/ /掛載 RHEL6.5 的 DVD 光盤mount: block device /dev/sro is write-protected, mounting read-onlyrootlocalho

14、st -#vi /etc/samba/smb.confglobalworkgroup=WORKGROUP /使用 Windows主機(jī)的默認(rèn)工作組 security二share/默認(rèn)允許匿名訪問省略部分內(nèi)容rhel6comment二RHEL6.5DVD directory.path = /media/cdrom public=yes read only=yesrootlocalhost -#service smb reload重新載入smb.conf文件：確定配置完畢后，就可以從Windows客戶機(jī)或Linux客戶機(jī)中測覽并匿名訪問此共享了。關(guān) 于在Linux主機(jī)中訪問共享文件夾的方法，將放在后

15、面進(jìn)行介紹。2、需要用戶驗證的共享匿名共享雖然用起來非常方便，但困為任何人都可以訪問到共享的文件數(shù)據(jù)，在某些時候 可能會導(dǎo)致信息的泄露。例如，當(dāng)銷售部員工Tom將商品報價數(shù)據(jù)匿名共享給銷售經(jīng)理Kylin 時，另一個部門的同事Jerry可能無意中正好看到了這些共享的數(shù)據(jù)，而Tom仍然毫無察覺。設(shè)置用戶驗證的共享文件夾時，在主配置文件smb.conf中同樣需要調(diào)整兩個地方，其一， 將默認(rèn)的安全級別修改為$卜2代；其二，添加共享目錄配置，指定用戶權(quán)限。在此之前，還需 要先創(chuàng)建授權(quán)的共享賬戶。.建立Samba用戶數(shù)據(jù)庫為了區(qū)別于Linux主機(jī)中的系統(tǒng)用戶，通常將用于訪問Samba共享資源的用戶稱為共享

16、 用戶。Samba服務(wù)器使用獨立的共享賬號數(shù)據(jù)庫文件，其中的賬號名稱必須有與它同名的系統(tǒng)用戶相對應(yīng)，以便主機(jī)對共享訪問的讀寫權(quán)限進(jìn)行控制，但共享用戶的密碼是額外設(shè)置的，可 以與系統(tǒng)用戶的密碼不一樣。Samba共享用戶的賬號數(shù)據(jù)庫文件默認(rèn)位于/var/lib/samba/private/passdb.tdb，是一個經(jīng)過 加密的文件，其中保存了 Samba用戶的賬號名稱、登錄密碼、賬號可用狀態(tài)等信息。使用pdbedit 工具可以對共享用戶進(jìn)行管理。例如，執(zhí)行“pdbedit -a -u vina”命令可以添加一個名為vina 的Samba共享用戶，其中的“-a”選項表示添加，“-u”選項用于指定用

17、戶名稱（也可以省略“-u”先添加系統(tǒng)用戶vina再添加共享用戶vina先添加系統(tǒng)用戶vina再添加共享用戶vina/設(shè)置共享用戶vina的密碼/重復(fù)輸入密碼進(jìn)行確認(rèn)rootlocalhost -#useradd vinarootlocalhost -#pdbedit -a -u vinanew password:retype new password:Unix username:vinaNT username:User SID:Account Flags:UUser SID:s-1-5-21-1335442607-132733983-2423133945-1000Primary Group S

18、ID: s-1-5-21-1335442607-132733983-2423133945-513/省略部分內(nèi)容執(zhí)行“pdbedit -L”命令可以列出所有的Samba共享用戶，若只想查看某一個用戶的信息， 可以指定用戶名稱作為參數(shù)，結(jié)合“-v”選項可以輸出更詳細(xì)的內(nèi)容。rootlocalhost # pdbedit -L列出所有 Samba 用戶vina:500:rootlocalhost #pdbedit -vL vina只列出 vina 用戶，輸出詳細(xì)信息Unix username:vinaNT username: Account Flags:UUser SID:s-1-5-21-1335

19、442607-132733983-2423133945-1000Primary Group SID:s-1-5-21-1335442607-132733983-2423133945-513Full Name:Home Directory: HomeDir Drive: Logon Script: Profile Path: Dmain:localhostvinalocalhostvinaprofileHome Directory: HomeDir Drive: Logon Script: Profile Path: Dmain:localhostvinalocalhostvinaprofile

20、LOCALHOST/省略部分內(nèi)容當(dāng)指定的Samba用戶不再需要使用時，可以通過pdbedit工具進(jìn)行刪除，只要結(jié)合“-x” 選項并指定Samba用戶的名稱即可。例如，執(zhí)行“pdbedit-x -u vina”命令可以刪除名為vina 的Samba賬號。確認(rèn)vina用戶已刪除rootlocalhost # 確認(rèn)vina用戶已刪除.設(shè)置用戶訪問授權(quán)若要使用用戶驗證的Samba共享，應(yīng)將security安全級別提升為“user”。共享目錄的用戶 授權(quán)設(shè)置主要由“valid user、“write list”配置項指定。當(dāng)需要授權(quán)多個共享用戶時，以逗號 或空格進(jìn)行分隔。如果需要授權(quán)一個用戶組，可以使用

21、“組名”的形式，但需要為組內(nèi)的每 個系統(tǒng)用戶都創(chuàng)建對應(yīng)的Samba共享用戶。例如，若要將本地目錄/印的卯0015/發(fā)布為共享文件夾，共享名為tools，要求只有共享用 戶vanko、hunter能夠訪問，其中hunter用戶具有寫入權(quán)限，可以參照以下步驟操作。/創(chuàng)建系統(tǒng)用戶/創(chuàng)建samba共享用戶/新建本地測試目錄創(chuàng)建共享用戶vanko、hunter，/創(chuàng)建系統(tǒng)用戶/創(chuàng)建samba共享用戶/新建本地測試目錄修改smb.conf配置文件，添加名為tools的共享目錄配置段。rootlocalhost # vi /etc/samba/smb.confglobalsecurity二user/提升默認(rèn)

22、的安全級別/省略部分內(nèi)容toolscomment二You Can get Software tools from here.path = /opt/mytools/public=noread only=yesvalid users二Vanko, hunter write list=hunter重新加載smb.conf文件中的配置，或重啟smb服務(wù)。rootlocalhost # service smb reload重新載入smb.conf文件：確認(rèn).確定目錄訪問授權(quán)通過Samba服務(wù)器共享本地的文件夾時，用戶最終是否擁有讀取、寫入權(quán)限，除了需要 設(shè)置用戶授權(quán)以外.還要滿足一個前提條件一一在服務(wù)

23、器本機(jī)中，與共享用戶同名的系統(tǒng)用戶 對發(fā)布為共享的本地文件夾(如/opt/mytools/)必須有相應(yīng)的讀取、寫入權(quán)限。因此，在上一步驟的例子中，還需要調(diào)整/opt/mytools目錄的權(quán)限，使vanko用戶能夠讀 取、hunter用戶能夠?qū)懭搿＠纾瑸榱撕啽闫鹨姡梢詫?opt/mytools/文件夾的權(quán)限設(shè)置為777rootlocalhost #chmod 777 /opt/mytools另外，當(dāng)通過共享目錄上傳文檔時，對于共享用戶所上傳的文件，創(chuàng)建子目錄的默認(rèn)權(quán)限， 可以分別使用配置項“directory mask、“create mask”進(jìn)行指定。例如，若要使用戶訪問tools 共享

24、時，所上傳的目錄的默認(rèn)權(quán)限為755,文件的默認(rèn)權(quán)限為644,可以參考以下步驟在tools 配置段添加相關(guān)內(nèi)容。rootlocalhost # vi /etc/samba/smb.conftools/省略部分內(nèi)容directory mask =0755create mask=0644rootlocalhost # service smb reload重新載入smb.conf文件：確認(rèn)3、用戶映射及訪問地址限腳為了進(jìn)一步提高Samba共享服務(wù)的安全性，除了可以對指定的共享目錄設(shè)置用戶授權(quán)以 外，還可以采取用戶映射、訪問地址限制等措施0.共享賬號映射（別名）在使用Samba共享賬號時，通常情況下，-

25、個共享用戶賬號都有一個同名的系統(tǒng)用戶賬號。 一些別有用心的攻擊者可能會使用網(wǎng)絡(luò)中泄露的共享用戶賬號，將其作為Samba服務(wù)器的系 統(tǒng)用戶嘗試遠(yuǎn)程登錄，給Linux主機(jī)帶來極大的安全隱患。鑒于此，Samba服務(wù)器為我們提供了 “用戶名稱映射（Username Map）機(jī)制，可以將一 個共享用戶映射為多個不同的名稱（別名）。這樣一來，只需要通過共享用戶的別名和密碼就可 以訪問授權(quán)的資源了，而不需要知道真實的共享用戶（系統(tǒng)用戶）名稱oSamba共享賬號的映射文件默認(rèn)位于/etc/samba/smbusers,文件中的配置記錄使用“共享 用戶名二別名1別名2別名3”，的格式。在該文件中默認(rèn)已經(jīng)添加了兩

26、條兼容Windows客戶 機(jī)的別名映射。rootlocalhost # cat /etc/samba/smbusers# Unix_name = SMB_name1 SMB_name2 root=administrator adminnobody =guest pcguest smbguest當(dāng)客戶機(jī)以用戶administrator或admin訪問共享時，Samba服務(wù)器將其視為本機(jī)的共享 用戶root,同樣地，用戶guest、pcguest等被映射為共享用戶nobody。若要添加新的映射賬號， 只需在文件/etc/samba/smbusers的未尾追加相關(guān)記錄即可。例如，若希望為現(xiàn)有的Sam

27、ba共享 用戶vanko指定兩個別名sunboy、player,可以執(zhí)行以下操作。rootlocalhost # vi /etc/samba/smbusers/省略部分內(nèi)容vanko = sunboy player這樣一來，對于授權(quán)給共享用戶vanko訪問的共享文件夾，只要使用共享用戶sunboy或 player也都可以訪問（密碼仍然使用共享用戶vanko的）。而共享用戶vanko的賬號名稱可以不 告訴使用者，從而提高了系統(tǒng)用戶vanko的安全性。設(shè)置好共享用戶的別名記錄以后，若要正常啟用賬號映射功能，需要修改主配置文件 /etc/samba/smb.conf,添力口全局配置項 usernam

28、e map = /etc/samba/smbusers”，然后重新加載配 置即可生效。rootlocalhost # vi /etc/samba/smb.confglobalusername map= /etc/samba/smbusers/省略部分內(nèi)容rootlocalhost # service smb reload重新載入smb.conf文件：確認(rèn).訪問地址限制針對訪問Samba服務(wù)器的客戶機(jī)，可以通過“hosts allow、“hosts deny”配置項進(jìn)行訪問 限制，前者用于指定僅允許訪問共享的客戶機(jī)地址，后者用于指定僅拒絕訪問共享的客戶機(jī)地 址，兩種方式任選其一即可。訪問地址限制

29、一般應(yīng)用于global全局配置部分，也可以應(yīng)用于某個具體的共享配置段部 分。限制的對象可以是主機(jī)名、IP地址或者網(wǎng)絡(luò)段地址（省去主機(jī)部分），多個地址之問以逗 號或空格進(jìn)行分隔。例如，若希望僅允許來自/24、/16網(wǎng)段的客戶機(jī)訪 問Samba服務(wù)器，可以參考以下操作調(diào)整配置。rootlocalhost # vi /etc/samba/smb.confglobalhosts allow= 73.17./省略部分內(nèi)容rootlocalhost # service smb reload重新載入smb.conf文件：確認(rèn)四、訪問共享文件夾在Linux主機(jī)中如何訪問共享資源，其中的部分操作將上面的文章中構(gòu)

30、建好的Samba服 務(wù)器（lP地址為1）為例，包括共享文件夾rhel6、tools,共享用戶vanko、hunter。1、使用smbclient訪問共享文件夾在RHEL 6.5系統(tǒng)中，samba-client軟件包提供的smbclient工具可以用于查詢、訪問共享 資源。下面分別介紹其常見的幾種用法。.查詢目標(biāo)主機(jī)的共享資源列表使用smbclient命令查詢共享資源時，需要添加“-L”選項，并指定目標(biāo)主機(jī)的IP地址或 主機(jī)名。在工作組環(huán)境中查詢共享資源時，一般不需要用戶驗證，提示輸入密碼時直接按Enter 鍵即可。例如，執(zhí)行以下操作可以匿名查詢samba服務(wù)器1中提供的共享資源列表。rootl

31、ocalhost #smbclient-L 1 -U hunterEnter hunters password:Domain=MYGROUP OS=Unix Server=Samba3.6.9-164.el6SharenameTypeCormentIPC$IPCIPC Service (Samba Server Version3.6.9-164.e16)toolsDiskYou cant get software tools from here./省略部分內(nèi)容.登錄并訪問共享文件夾使用smbclient命令訪問共享文件夾時，需要通過“/主機(jī)地址/共享名”的形式指定共享、 文件夾指定位置。對于允

32、許匿名訪問的共享文件夾，提示輸入密碼時直接按Enter鍵即可。例 如，執(zhí)行以下操作可以連接到Samba服務(wù)器1中名為rhe16的匿名共享目錄。rootlocalhost # smbclient /1/rhel6Enter roots password:Anonymous login successfulDomain=MYGROUP OS=Unix Server=Samba3.6.9-164.el6 smb: 若訪問的是需要用戶驗證的共享文件夾，則必須結(jié)合“-U”選項指定經(jīng)過授權(quán)的共享用戶 名稱（或映射的別名），并輸入正確的密碼進(jìn)行驗證。例如，對于上文中的tools共享，使用共 享用戶vanko

33、（或別名sunboy、player）、hunter都可以進(jìn)行訪問。rootlocalhost # smbclient -U sunboy /1/tools -U hunterEnter hunters password:Domain=MYGROUP OS=Unix Server=Samba 3.6.9-164.el6 smb: 通過smbclient工具成功登錄Samba服務(wù)器以后，會出現(xiàn)“smb:”提示符，提供了一個 類似于ftp命令程序的環(huán)境。在“smb:”環(huán)境中，使用特定的命令可以對共享目錄進(jìn)行列表、 上傳、下載等操作。例如，使用ls用于列表目錄，pwd查看當(dāng)前路徑，get和mget用于下 載文件，put和mput用于上傳文件，使用“？ ”或“help”命令可以查看各種交互命令的在線 幫助信息。下列操作過程展示了其中的部分操作命令。Smb: pwd/