samba服务

原理－－－》 安装 －－－》 配置  －－》 启动服务加测试 －－》 补充

==================================================================

samba        --文件服务器
    smb   (service message block 服务消息块)

smb与ftp对比:
smb不好跨公网，可能要借助vpn这种方式。smb对权限控制比ftp好，特别适用于在同一个目录里多个用户拥有不同权限的场合。smb和ftp都能跨平台。smb除了做文件服务器还可以做windows域有关的应用（比如把一个linux加到windows域里).


smb与nfs对比:
nfs:   linux to linux
samba:  linux to windows


smb与http对比

smb使用的netbios通讯协定

netbios   (network basic input/output system) --最早由IBM发展出来的目的为让局域网内少数电脑进行网络连结的协议，初期的设定并不是针对大型网络，并且他是无法横跨不同路由的；    微软就使用了它进行局域网内的通讯    

现在有所谓的netbios over tcp/ip  可以横跨不同路由
netbeui   (netbios extened user interface)  为IBM在netbios基础上发展而来的改良版本


用samba登入某部windows主机，要加入此windows主机的群组（workgroup)，并且也要设定一下netbios name （要求唯一），然后就可以视权限进行资源的访问了


samba通过两个守护进程来控制

        nmbd    用来管理workgroup,netbios name的解析等          用udp 的137，138端口

        smbd    用来管理samba主机分享的目录，档案        用tcp的139和445  （TCP的可靠性）


--rhel6,rhel7下监听端口主要只有TCP的139,445    监听端口

cifs            common  interface file system 

mount -t cifs -o username=administrator //ip/共享名 /mnt

--windows防火墙关闭
--guest用户打开

==================================================================

准备一台全新centos7平台的虚拟机模拟samba服务器

安装samba相关软件包
[root@server ~]# yum install samba\*

=================================================================


配置文件简单说明
cat /etc/xinetd.conf |grep -v ^# |grep -v ^$
[root@server ~]# cat /etc/samba/smb.conf
[global]        --定义全局的参数
    workgroup = SAMBA    --定义工作组
    security = user        --定义工作模式：share,user,server

    passdb backend = tdbsam

    printing = cups
    printcap name = cups
    load printers = yes
    cups options = raw

[homes]            --加入到samba的用户，默认会共享自己的家目录
    comment = Home Directories
    valid users = %S, %D%w%S
    browseable = No
    read only = No
    inherit acls = Yes

[printers]
    comment = All Printers
    path = /var/tmp
    printable = Yes
    create mask = 0600
    browseable = No

[print$]
    comment = Printer Drivers
    path = /var/lib/samba/drivers
    write list = root
    create mask = 0664
    directory mask = 0775


[root@server ~]# systemctl restart smb    --配置文件没有做任何修改，直接启动


[root@server ~]# netstat -ntlup |grep bd    --查看端口是否启动
tcp        0      0 0.0.0.0:139             0.0.0.0:*               LISTEN      2399/smbd           
tcp        0      0 0.0.0.0:445             0.0.0.0:*               LISTEN      2399/smbd           
tcp6       0      0 :::139                  :::*                    LISTEN      2399/smbd           
tcp6       0      0 :::445                  :::*                    LISTEN      2399/smbd 


例一：smb客户端的访问
1,再准备一台linux模拟客户端
[root@client ~]# yum install samba-client      --先确认安装客户端命令的软件包

smbclient - ftp-like client to access SMB/CIFS resources on servers

[root@client ~]# smbclient -L //10.1.1.2        --接服务器的ip
Enter root's password:             --不要真的去输10.1.1.2服务器的root密码，如果输root密码，会报下面一行的错误
session setup failed: NT_STATUS_LOGON_FAILURE


[root@client ~]# smbclient -L //10.1.1.2
Enter root's password:         --直接回车，表示以匿名用户登录，但没有看到共享资源，只有服务器的基本信息


2,从上面看到客户端现在没法访问服务器，所以我们要用本地用户来登录（注意此本地用户是需要服务器上存在的用户)
下面就在服务器端执行下面的命令
[root@server ~]# useradd  a     在服务端创建一个a的普通用户
[root@server ~]# echo 123 | passwd --stdin a  给a用户一个密码

[root@server ~]# smbpasswd -a a        --服务器端的本地用户还需要使用smbpasswd -a加入到samba用户，才能在客户端使用此加入的用户登录
New SMB password:
Retype new SMB password:
Added user a.

smbpasswd的相关操作
    -a    添加smb用户
    -d    禁用smb用户
    -x    删除smb用户
    -e    启用被禁用的smb用户


3,回到客户端再次登录

[root@client ~]# smbclient -L //10.1.1.2 -U a        --使用a用户登录查看服务器共享的信息
Enter a's password: 
Domain=[SAMBA] OS=[Windows 6.1] Server=[Samba 4.4.4]

    Sharename       Type      Comment
    ---------       ----      -------
    print$          Disk      Printer Drivers
    IPC$            IPC       IPC Service (Samba 4.4.4)
    a               Disk      Home Directories        --这里可以看到一个叫a名字的共享（其实就是服务器把a用户的家目录给共享了)
Domain=[SAMBA] OS=[Windows 6.1] Server=[Samba 4.4.4]

    Server               Comment
    ---------            -------

    Workgroup            Master
    ---------            -------

[root@client ~]# smbclient //10.1.1.2/a -U a        --以a用户身份登录到服务器叫a的共享
smb: \> pwd        --查看当前登录的目录
Current directory is \\10.1.1.2\a\
smb: \> ?        --帮助
smb: \> help get    --查看get命令的帮助    
smb: \> ls        --列表
smb: \> put install.log    --上传
putting file install.log as \install.log (966.9 kb/s) (average 966.9 kb/s)
smb: \> get vvv        --下载
getting file \vvv of size 0 as vvv (0.0 kb/s) (average 0.0 kb/s)
smb: \> rm vvv        --删除
smb: \> rename install.log install    --重命名

--上面可以看到用户登录samba的默认家目录，有上传，下载，删除，重命令的功能
==================================================================
4,windows客户端登录方法：
windows客户端登录

方法一：
在cmd下输入   \\10.1.1.2\a   



    然后会弹出一个登录界面，输入用户名和smbpasswd -a定义的密码


方法二:
直接做映射：点我的电脑－－－－映射网络驱动器－－在文件夹那栏填上\\10.1.1.2\a－－再点使用其它凭据连接－－写上a用户和他的密码（把记住我的凭据打勾）－－就完成了映射了



==================================================================
例2.自定义增加一个samba共享，并用客户查看和登录

服务端的操作
# vim /etc/samba/smb.conf     --直接加上下面一段新的配置

      需求[test]        --新定义了一个共享的资源，共享名为test
    comment = public for everyone
    path = /test    --实际共享的资源目录名
    guest ok = yes    --表示可以匿名登录(与smbpasswd -a加的普通用户无关）;guest ok参数换成public也是一样的
    browseable = yes    --客户端使用-L参数查看能看得到

# mkdir /test   创建需要共享的目录
# systemctl restart smb   7系统重启服务
#service smb restart 6系统重启服务

客户端的操作：
# smbclient -L //10.1.1.2/    --匿名查看服务器的共享

# smbclient -L //10.1.1.2/ －U a     --a用户查看服务器的共享

# smbclient //10.1.1.2/test    --匿名登录叫test的共享

# smbclient //10.1.1.2/test -U a    --用a用户登录叫test的共享
==============================================================


例三，匿名用户(nobody用户)对这个自定义共享的权限讨论

匿名用户可读（下载）:
nobody用户对目录有rx权限，对要下载的文件有r权限，则就可以下载

匿名用户可写（上传）:
nobody用户对目录有写权限，还要在配置文件里加一个参数 writable = yes;
# vim /etc/samba/smb.conf
[test]
    comment = public for everyone
    path = /test
    public = yes
    browseable = yes
    writable = yes

总结:
1,无论是什么服务，客户端访问一定会以一个用户身份来访问(与客户端用哪个用户操作无关），这个身份是由服务器决定的

匿名用户也会以一个用户身份，几个常用服务的匿名用户:
nfs匿名用户为nfsnobody
ftp匿名用户为ftp,anonymous
samba匿名用户为nobody

2,客户端要在服务器做一个事件（比如上传或下载），需要注意下面的一个过程:

客户端程序 －－> iptables（防火墙） -->pam (控制客户是否可以登录)--> selinux (程序的域是否能访问文件或目录的类型) --> 服务参数是否允许 －－》系统权限rwx-->服务程序
==================================================================
例四，samba普通用户对这个自定义共享的权限讨论

和匿名用户一样，只是用户身份不一样而已（客户端用什么用户登录，就是什么身份）
==========================================================================
例五.关于用户互相能删除文件的解决

1,
服务器再加一个b用户  server端
客户端使用a用户登录/test共享资源，上传两个文件123和456
#useradd b
#smbpasswd -a b  添加到smb组里面
客户端使用b用户登录/test共享资源，也上传两个文件678和789

查看一下用户上传的文件属性
[root@server ~]# ls /test/ -l
total 0
-rwxr--r-- 1 a a 0 Dec 18 15:07 123
-rwxr--r-- 1 a a 0 Dec 18 15:07 456
-rwxr--r-- 1 b b 0 Dec 18 15:07 678
-rwxr--r-- 1 b b 0 Dec 18 15:07 789

2,客户端测试发现a用户可以删除b上传的文件，反之也一样
[root@client ~]# smbclient //10.1.1.2/test  -U a
smb: \> rm 678

[root@client ~]# smbclient //10.1.1.2/test  -U b
smb: \> rm 123


3,在服务器端把剩下的两个文件权限改为577，客户端测试会发现都删除不了(测试过程省略)
[root@server ~]# ls /test -l
total 0
-r-xrwxrwx 1 a a 0 Dec 18 15:07 456
-r-xrwxrwx 1 b b 0 Dec 18 15:07 789

4,在服务器端把剩下的两个文件权限再改为200，客户端测试会发现可以随便删除（a用户可以删除自己上传和b用户上传的)(测试过程省略)
# ls /test -l
total 0
--w------- 1 a a 0 Dec 18 15:07 456
--w------- 1 b b 0 Dec 18 15:07 789

   分析总结：  只要文件的拥有者对这个文件有可写的权限，那么别人（包括自己)就可以删除它 （200权限例子）
         文件的拥有者对这个文件没有可写的权限，别人就不能删除它，连自己都不能删除  （577权限的例子）


要实现只能自己删除自己的文件，别人不能删除，则解决方法：
        chmod  o+t /test
        同时文件的owner对这个文件要有写权限，对上级目录也要有写权限
==================================================================
例六： create mask 和 directory mask 直接定义上传后的文件或者目录的权限

[root@server ~]# vim /etc/samba/smb.conf

[test]
    comment = public for everyone
    path = /test
    browseable = yes
    read only = yes
    writeable = yes
    create mask = 0444        --表示创建的或者上传的文件权限为444(原来默认值为744)
    directory mask = 0666    --表示创建的或者上传的目录权限为666(原来默认值为755)
    
[root@server ~]# systemctl restart smb   重启服务

==================================================================

例七：对test共享资源实现a用户可以上传下载，b用户只能下载，拒绝匿名用户和其它samba用户(也用smbpasswd -a加入的用户)访问
      valid users  = a,b,@group   --只允许a,b用户和group组（只要属于这个组就可以，不一定要gid为这个组)访问
      write list  = a，@group         --允许写的用户列表

[test]
    comment = public for everyone
    path = /test
    guest ok = no    --拒绝匿名用户，或者使用public = no
    valid users = a,b
    write list = a    --写列表只允许a用户写，表示只允许a用户上传
==================================================================
扩展
read list(不要理解错了，read list不是控制哪些人只能读，也是控制哪些人只能写，只不过和write list相反而已 )

下面这两句参数合起来，表示所有人可写，但除了a
    writable = yes
    read list = a
==================================================================
练习：对test共享资源实现a用户能上传(不能下载自己上传的文件)，b用户只能下载，拒绝匿名用户和其它用户访问

在例六的答案基础上再加一个参数create mask = 0344 就可以
===========================================================================

练习：对test共享资源实现a用户可以上传下载，b用户只能下载（但不能下载a上传的文件），拒绝匿名用户和其它用户访问

在例六的答案基础上再加一个参数create mask = 0740 就可以
=============================================================================

例八:对test共享资源实现a用户可以上传下载，b用户只能下载，属于smb组的用户可以登录和上传下载，别的普通用户和匿名用户都拒绝

[root@server ~]# vim /etc/samba/smb.conf

[test]
    comment = public for everyone
    path = /test
    public = no
    browseable = yes
    valid users = a,b,@smb
    write list = a,@smb

[root@server ~]# systemctl restart smb

[root@server ~]# groupadd smb
[root@server ~]# useradd smb1 -g smb
[root@server ~]# useradd smb2 -g smb
[root@server ~]# smbpasswd -a smb1
[root@server ~]# smbpasswd -a smb2
[root@server ~]# id smb1
uid=521(smb1) gid=521(smb) groups=521(smb)
[root@li ~]# id smb2
uid=522(smb2) gid=521(smb) groups=521(smb)
==================================================================
例九:对test共享资源实现：
boss用户可以上传下载(下载所有人),还能删除自己上传的文件
secretary用户只能下载(下载所有人)
属于it组的用户(使用it1和it2两个用户来实验就可以)可以登录并且可以上传，下载和删除自己上传的文件，用户互相之间不能删除，互相之间不能下载别人的文件，但可以下载boss上传的文件
别的普通用户和匿名用户都拒绝



useradd boss
useradd secretary
groupadd it
useradd -g it it1
useradd -g it it2

smbpasswd -a boss
smbpasswd -a secretary
smbpasswd -a it1
smbpasswd -a it2

==================================================================
例十： 对test共享资源实现:
a上传下载（可以下载所有人上传的）
b只能下载(可以下载所有人上传的)
c可以上传但只能下载自己上传的
都可以删除自己的文件，互相不能删除它人文件，其他用户和匿名用户登录拒绝

方法一:
-rwxr-----  a   a    file1
-rwxr-----  c   c    file2
b加到a和c组,a加到c组

[test]
    comment = public for everyone
    path = /test
    public = no
    valid users = a,b,c
    write list = a,c
    create mask = 0740

# mkdir /test
# chmod o+w,o+t /test
==================================================================
例十一： 对test共享资源实现:
a上传下载（可以下载所有人上传的）
b只能下载(可以下载所有人上传的)
c可以上传但只能下载a上传的,自己上传的也不能下
都可以删除自己的文件，互相不能删除它人文件，其他用户和匿名用户登录拒绝


分析：
实现a上传的为默认的0744,c上传的为0344就可以实现
rwxr--r--       a       a       file
-wxr--r--       c       c       file

如果实现不同用户上传的权限不一样呢?这里就要用到samba的用户子配置文件

# useradd a
# useradd b
# useradd c
# smbpasswd -a a
# smbpasswd -a b
# smbpasswd -a c
# mkdir /test
# chmod 757 /test
# chmod o+t /test    

# vim /etc/samba/smb.conf

config file = /etc/samba/smb.conf.%U    --手动加上这一句，表示针对每个用户都可以单独写一个配置文件,加在上面的全局［global]里

[test]
    comment = public for everyone
    path = /test
    public = no
    browseable = yes
    valid users = a,b,c
    write list = a
    create mask = 0744

# vim /etc/samba/smb.conf.c

[test]
    comment = public for everyone
    path = /test
    public = no
    browseable = yes
    writable = yes
    create mask = 0344

==================================================================

例十四：访问控制

注意写到全局参数[global]下

1,拒绝10.1.1网段
hosts deny ＝ 10.1.1.

1,拒绝10.1.1网段，但是允许10.1.1.35
hosts deny ＝ 10.1.1.
hosts allow = 10.1.1.35 

2，拒绝所有，但允许10.1.1网段，但又不允许10.1.1.45
hosts deny = all
hosts allow = 10.1.1.  EXCEPT 10.1.1.45


也可以写到单独的共享资源下，只针对此共享资源来进行访问控制