sécurité avec samba

Support Debian
#1

Bonjour,

j’ai encore une question un peu tordue !
j’ai un serveur debian avec samba 3.03, sur celui ci j’ai créé des répertoires partagés.
Dans les options de sécurité du répertoire partagé, j’autorise des hôtes en fonction de leur IP…
j’ai rajouté un sous réseau dans les hôtes autorisés, j’ai arrêté/relancé samba mais le PC concerné n’a toujours pas accès à ce répertoire partagé !
donc pour tester, j’ai autorisé tout le monde et non plus certaines IP, je sauvegarde, je quitte puis je reviens voir la config et là je m’aperçois que l’ancienne config s’est remise (donc sans mon sous réseau)
pourtant quand je sauvegarde, je vois bien l’IP dans le fichier /etc/samba/smb.conf

y’a une astuce ?

merci d’avance
Cédric

#2

Question con pour un petit up :wink:
tu as bien modifié le bon fichier de conf?
Tu peux donner plus d’infos?

#3

[quote=“cedric31”]Bonjour,

j’ai encore une question un peu tordue !
j’ai un serveur debian avec samba 3.03, sur celui ci j’ai créé des répertoires partagés.
Dans les options de sécurité du répertoire partagé, j’autorise des hôtes en fonction de leur IP…
j’ai rajouté un sous réseau dans les hôtes autorisés, j’ai arrêté/relancé samba mais le PC concerné n’a toujours pas accès à ce répertoire partagé !
donc pour tester, j’ai autorisé tout le monde et non plus certaines IP, je sauvegarde, je quitte puis je reviens voir la config et là je m’aperçois que l’ancienne config s’est remise (donc sans mon sous réseau)
pourtant quand je sauvegarde, je vois bien l’IP dans le fichier /etc/samba/smb.conf

y’a une astuce ?

merci d’avance
Cédric[/quote]

Salut,

Tu peux développer un peu plus ?

Tu à ajouté les users ? (smbpasswd -a + création du comptes sur la machine en local ?)
Tu sait ping ?
Avec un \ton_ip_serveur_samba ça donne quoi ?

Quand tu fait une recherche sur la racine ( find / -name smb.conf ) quel est le résultat ?
T’as iptables ou autre sur le serveur ?
Tu sauvegarde comment ? ( tu utilise vi ? emacs ? interface graphique ? )
Enfin hésite pas à nous gaver d’info, mieux vaut trop que trop peu ^^

#4

IOP,
+1 pour :
Tu à ajouté les users ? (smbpasswd -a + création du comptes sur la machine en local ?)
Tu sait ping ?
Avec un \ton_ip_serveur_samba ça donne quoi ?

fait voir ton smb.conf

T’a des VISTA??? paske moi ca bricolait au debu…

#5

Les logins et mots de passe sur le domaine ne suffisent pas ?

#6

oula ça en fait des questions ! :laughing:

- Les logins et mots de passe sur le domaine ne suffisent pas ?
non, je bloque en fonction du sous réseau, ça marche pour tous les autres sous réseaux, sauf celui que je viens de rajouter

- Tu à ajouté les users ? (smbpasswd -a + création du comptes sur la machine en local ?)
les users ou les machines ? parce que le user, il me le demande même pas encore…j’ai même pas accès au répertoire partagé !
le compte machine est bien créé

- Tu sait ping ?
ça marche, d’ailleurs j’ai la messagerie sur ce serveur et je peux y accèder

- Avec un \ton_ip_serveur_samba ça donne quoi ?
c’est justement ça qui marche pas, si je regarde sur le firewall interne, il me dit que le serveur a mis fin à la connexion…

- T’a des VISTA???
non, XP

- T’as iptables ou autre sur le serveur ?
j’en sais rien…

- Tu sauvegarde comment ? ( tu utilise vi ? emacs ? interface graphique ?
j’ai essayé d’aller dans le fichier smb.conf avec vi et aussi avec l’interface graphique webmin

- Quand tu fait une recherche sur la racine ( find / -name smb.conf ) quel est le résultat
/etc/samba

- tu as bien modifié le bon fichier de conf?
j’ai modifié celui que me propose webmin…

#7

IOP,
quand tu dit :
non, je bloque en fonction du sous réseau, ça marche pour tous les autres sous réseaux, sauf celui que je viens de rajouter

c’est que ton partage a deja marché?

si “non”, soi plus laxiste autorise tout lesmonde pour les test…

sinon ton smb.conf… post it…

les machine son a ajouter seulement en domaine (si tu transforme samba en DC) et faut pas oublier le “&” a la fin :stuck_out_tongue:

pour faire simple… t’a un user “toto” sur linux et ben tu lui cré un compte pour samba :
smbpasswd -a toto

ca donne quoi la commande “testparm” ?

et tes partage ils sont en “browsable”?

#8

[quote=“RedX42”]IOP,
quand tu dit :
non, je bloque en fonction du sous réseau, ça marche pour tous les autres sous réseaux, sauf celui que je viens de rajouter

c’est que ton partage a deja marché?[/quote]

oui exact il marche très bien pour tous les autres…

[quote=“RedX42”]
si “non”, soi plus laxiste autorise tout lesmonde pour les test…[/quote]

c’est ce que j’ai essayé de faire mais il revient tout seul à la config de départ :frowning:

[quote=“RedX42”]
les machine son a ajouter seulement en domaine (si tu transforme samba en DC) et faut pas oublier le “&” a la fin :stuck_out_tongue:

pour faire simple… t’a un user “toto” sur linux et ben tu lui cré un compte pour samba :
smbpasswd -a toto[/quote]

oui c’est fait ça aussi, ça marche pour mes 300 utilisateurs sauf celui ci qui est sur ce sous réseau et qui se connecte sur mon serveur en VPN (et ce PC n’est pas sur le domaine)
l’accès jusqu’au serveur se fait bien, on voit la requête arriver mais elle est bloqué par le serveur, par contre la messagerie passe bien ( sur le même serveur)

[quote=“RedX42”]
ca donne quoi la commande “testparm” ?[/quote]

ça donne ça :

[DOCS COMMUNS]
comment = Temporary file space
path = /home/DOCS COMMUNS
read only = No
create mask = 0766
directory mask = 0777
guest ok = Yes
hosts allow = 192.168.3., 192.168.8., 10.254.1., 10.0.2., 10.0.3., 10.0.4., 192.168.100., 194.250.183., 192.168.244., 172.16.1., 127.

mon réseau en question c’est le 10.254.1
par exemple le réseau 10.0.4. est aussi en VPN et fonctionne bien !
pour info, j’ai essayé aussi avec un répertoire dans lequel il n’y a pas d’espace et c’est pareil :wink:

[quote=“RedX42”]
et tes partage ils sont en “browsable”?[/quote]

oui

ci joint mon smb.conf :
[color=#408040]
#======================= Global Settings =======================

[global]
name resolve order = wins host bcast
passwd chat = Enter\snew\sUNIX\spassword: %n\n Retype\snew\sUNIX\spassword: %n\n
obey pam restrictions = yes
admin users = root

domain admin users = root, cedric.c

domain admin group = @wheel 

show add printer wizard = yes
time server = yes
veto files = /.AppleDouble/.AppleDesktop/Network Trash Folder/TheVolumeSettingsFolder/Desktop/.bash_logout/.bash_profile/.bashrc/.screenrc/.emacs/TheFindByContentFolder/.nautilus-metafile.xml/Maildir/.AppleDB/.kde/
passwd program = /usr/bin/passwd %u
allow hosts = 192.168.3. 192.168.8. 10.0.2. 10.0.3. 10.0.4. 192.168.100. 194.250.183. 192.168.244. 172.16.1. 127.
use client driver = yes
dns proxy = no
netbios name = monserveur
printing = cups
logon script = global.bat
min passwd length = 4
remote announce = 192.168.244.252 172.16.1.253 10.254.1.
local master = yes
workgroup = mondomaine
os level = 70
printcap name = cups
security = user
max log size = 1000
log level = 2
log file = /var/log/samba/log.%m
mangled names = no
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
logon drive = H:
domain master = yes
username map = /etc/samba/smbusers
encrypt passwords = yes
logon home = \\monserveur\%u
printer admin = @ntadmin
wins support = true
server string = monserveur
password server = monserveur
unix password sync = yes
logon path = \\monserveur\Profiles\%U
syslog = 0
panic action = /usr/share/samba/panic-action %d
domain logons = yes

[homes]
comment = Home Directories
browseable = no
writeable = yes
create mode = 766
allow hosts = 192.168.3. 192.168.8. 10.0.2. 10.0.3. 10.0.4. 192.168.100. 194.250.183. 192.168.244. 172.16.1. 127. 10.254.1.
directory mode = 777

By default, the home directories are exported read-only. Change next

parameter to ‘yes’ if you want to be able to write to them.

File creation mask is set to 0700 for security reasons. If you want to

create files with group=rw permissions, set next parameter to 0775.

create mask = 0700

Directory creation mask is set to 0700 for security reasons. If you want to

create dirs. with group=rw permissions, set next parameter to 0775.

directory mask = 700

Un-comment the following and create the netlogon directory for Domain Logons

(you need to configure Samba to act as a domain controller too.)

[netlogon]
create mask = 0644
directory mask = 0755
comment = Network Logon Service
browsable = no
write list = @ntadmin
path = /home/netlogon
allow hosts = 192.168.3. 192.168.8. 10.0.2. 10.0.3. 10.0.4. 192.168.100. 194.250.183. 192.168.244. 172.16.1. 127. 10.254.1.
; guest ok = yes
; writable = no
; share modes = no
; admin users = root, cedric.c

[Profiles]
profile acls = yes
browseable = no
writeable = yes
path = /home/profiles
write list = cedric.c
create mask = 0600
directory mask = 0700
allow hosts = 192.168.3. 192.168.8. 10.0.2. 10.0.3. 10.0.4. 192.168.100. 194.250.183. 192.168.244. 172.16.1. 127. 10.254.1.

[printers]
comment = All Printers
path = /var/spool/samba
printable = yes
write list = @mondomaine

Windows clients look for this share name as a source of downloadable

printer drivers

[print$]
path = /var/spool/printers
public = yes

; comment = Printer Drivers
; path = /var/lib/samba/printers
; browseable = yes
; read only = yes
; guest ok = no

Uncomment to allow remote administration of Windows print drivers.

Replace ‘ntadmin’ with the name of the group your admin users are

members of.

write list = root, @ntadmin

A sample share for sharing your CD-ROM with others.

;[cdrom]
; comment = Samba server’s CD-ROM
; writable = no
; locking = no
; path = /cdrom
; public = yes

The next two parameters show how to auto-mount a CD-ROM when the

cdrom share is accesed. For this to work /etc/fstab must contain

an entry like this:

/dev/scd0 /cdrom iso9660 defaults,noauto,ro,user 0 0

The CD-ROM gets unmounted automatically after the connection to the

If you don’t want to use auto-mounting/unmounting make sure the CD

is mounted on /cdrom

; preexec = /bin/mount /cdrom
; postexec = /bin/umount /cdrom

[DOCS COMMUNS]
create mask = 766
comment = Temporary file space
directory mask = 0777
writeable = yes
public = yes
path = /home/DOCS COMMUNS
allow hosts = 192.168.3. 192.168.8. 10.254.1. 10.0.2. 10.0.3. 10.0.4. 192.168.100. 194.250.183. 192.168.244. 172.16.1. 127.

[PARTAGE]
create mode = 766
path = /home/PARTAGE
write list = thierry.b
directory mode = 0777
allow hosts = 192.168.3. 192.168.8. 10.0.2. 10.0.3. 10.0.4. 192.168.100. 194.250.183. 192.168.244. 172.16.1. 127. 10.254.1.

[OCS]
writeable = yes
create mode = 0766
path = /home/OCS
allow hosts = 192.168.3. 192.168.8. 10.0.2. 10.0.3. 10.0.4. 192.168.100. 194.250.183. 192.168.244. 172.16.1. 127. 10.254.1.
directory mode = 0777

[EGEE]
writeable = yes
path = /home/EGEE
force directory mode = 777
force create mode = 777
comment = Mise a jour client egee
public = yes
create mode = 777
allow hosts = 192.168.3. 192.168.8. 10.0.2. 10.0.3. 10.0.4. 192.168.100. 194.250.183. 192.168.244. 172.16.1. 127. 10.254.1.
directory mode = 777

[home]
valid users = cedric.c
writeable = yes
path = /home
allow hosts = 194.250.183.217 194.250.183.228 10.254.1.1

[ghost]
writeable = yes
public = yes
path = /home2/GHOST
allow hosts = 192.168.3. 192.168.8. 10.0.2. 10.0.3. 10.0.4. 192.168.100. 194.250.183. 192.168.244. 172.16.1. 127. 10.254.1.

[MARCO]
force create mode = 777
writeable = yes
create mode = 777
public = yes
path = /home/marco
force directory mode = 777
directory mode = 777

[FTP]
writeable = yes
path = /home/DOCS COMMUNS/Dossier Partage/ftp
force directory mode = 777
force create mode = 777
public = yes
create mode = 777
allow hosts = 192.168.3. 192.168.8. 10.0.2. 10.0.3. 10.0.4. 192.168.100. 194.250.183. 192.168.244. 172.16.1. 127. 10.0.0.63 10.254.1
directory mode = 777[/color]

#9

Tu peu nous faire un pti shema vite fai du reseau??? (je vai pas te pirater lol), et les partage windobe il passe d’un LAN a l’autre? (test entre 2 windobe)

et le 172.X.X.X… il y accede?

#10

un schema ?
le serveur debian est le serveur principal de fichiers c’est lui qui gère le domaine, les comptes et les partages, tous les autres réseaux sans exception peuvent y accéder vu que c’est le serveur de fichier !

je viens de refaire un test, avec webmin, je vais dans les propriétés du partage, onglet et contrôle d’accés (cf lien)
je sauvegarde, je reviens dans la config et c’est “autoriser seulement” qui est de nouveau coché (même si je vide le champ) !

#11

une idée ? :confused:

#12

Oui, prend ton courage à deux mains et évite webmin, utilise vi et de la doc mais un bon fichier de config fait main rien de tel pour comprendre et apprendre.
Au début ça parait rébarbatif et après on se demande comment on à pu trouver ça illisible :stuck_out_tongue:

#13

Oui, prend ton courage à deux mains et évite webmin, utilise vi et de la doc mais un bon fichier de config fait main rien de tel pour comprendre et apprendre.
Au début ça parait rébarbatif et après on se demande comment on à pu trouver ça illisible :p[/quote]

c’est ce que j’ai fait, je suis allé dans le fichier smb.conf directement, mais c’est toujours pareil…
je vais refaire un test !
en tout cas si vous avez une idée, je prends ! :laughing:

#14

IOP,
+1 pour bidouiller directement les fichier de conf :smiley: (moi j’tilise nano)

et pour ma question :
Les partage windobe il passe d’un LAN a l’autre? (test entre 2 windobe).

Ca peu etre un probleme de timing trop long… c’est koi tes connexion?
(d’ou le schema que je demandai…)

#15

[quote=“RedX42”]
et pour ma question :
Les partage windobe il passe d’un LAN a l’autre? (test entre 2 windobe).[/quote]

je comprends même pas la question ! :laughing: :laughing:
je peux accèder avec un PC XP d’un LAN 172.16. vers ce serveur 192.168. si c’est ça la question (via un VPN sur une liaison hertzienne pas terrible ! )

[quote=“RedX42”]
Ca peu etre un probleme de timing trop long… c’est koi tes connexion?
(d’ou le schema que je demandai…)[/quote]

le serveur est en 192.168. et le PC en 10.0
donc pas le même LAN mais physiquement ils sont juste à côté et sont séparés que par un routeur et un firewall
c’est tout, le serveur est en Go et le PC en 100Mo
j’ai des PC bien plus loin physiquement, qui passent par d’autres éléments réseaux et pour qui ça fonctionne très bien…via des VPN ADSL 1024 !

si je regarde sur le firewall, ça me dit que le serveur a mit fin à la demande du PC…

#16

[quote=“cedric31”][quote=“RedX42”]
et pour ma question :
Les partage windobe il passe d’un LAN a l’autre? (test entre 2 windobe).[/quote]

je comprends même pas la question ! :laughing: :laughing:
je peux accèder avec un PC XP d’un LAN 172.16. vers ce serveur 192.168. si c’est ça la question (via un VPN sur une liaison hertzienne pas terrible ! )

[quote=“RedX42”]
Ca peu etre un probleme de timing trop long… c’est koi tes connexion?
(d’ou le schema que je demandai…)[/quote]

le serveur est en 192.168. et le PC en 10.0
donc pas le même LAN mais physiquement ils sont juste à côté et sont séparés que par un routeur et un firewall
c’est tout, le serveur est en Go et le PC en 100Mo
j’ai des PC bien plus loin physiquement, qui passent par d’autres éléments réseaux et pour qui ça fonctionne très bien…via des VPN ADSL 1024 !

si je regarde sur le firewall, ça me dit que le serveur a mit fin à la demande du PC…[/quote]

du LAN en 10.X.X.X t’accede en partage windows au LAN 192.X.X.X? sans ton serveur, just entre 2 windobe???
d’ou l’interet du scheam… on aurai vu le firewal… c’est koi? il laisse passer koi?

#17

[quote=“RedX42”]
du LAN en 10.X.X.X t’accede en partage windows au LAN 192.X.X.X? sans ton serveur, just entre 2 windobe???[/quote]

ok j’ai compris :laughing:
la réponse est oui !
avec mon PC (ip 192.168) j’accède sans problème à un partage PC du 10.x

[quote=“RedX42”]
d’ou l’interet du scheam… on aurai vu le firewal… c’est koi? il laisse passer koi?[/quote]

j’ai pas de schema clair sous la main…
le firewall c’est un linux géré par un prestataire donc j’y ai pas accès…mais je les ai eu au tel, il se sont connectés pendant que j’essaye d’accèder au partage et c’est la qu’ils m’ont dit que le serveur linux qui a le partage mettait fin à la connexion…
et comme c’est eux qui m’ont ouvert tous les autres LAN, je vois pas pourquoi ils ne pourraient pas ouvrir celui ci…

mais je suis très sceptique avec les paramètres samba !
je ne peux pas autoriser tout le monde, il revient tout seul aux paramètres par défaut… donc quand je rajoute mon LAN, je ne sais même pas s’il est pris en compte par samba !
:confused: