Samba : un serveur gratuit de type LAN Manager pour UNIX.

Samba est un ensemble de programmes qui permet d'offrir ou/et d'utiliser des ressources partagées via le jeu de commandes SMB (Server Message Block) issu de NetBIOS (Network Basic Input/Output System). En clair, Samba permet à une machine UNIX de parler Microsoft.
Samba sait offrir et accéder à tous les services offerts par NetBIOS, à savoir :

L'ensemble Samba est distribué sous la licence publique GNU (GPL). Une copie de cette licence est inclue dans l'archive de Samba. Vous êtes encouragé à distribuer des copies de la suite Samba, mais veuillez la conserver intacte.

Principe de fonctionnement

Techniquement, SMB (mis au point par Microsoft, Intel et IBM) est une implémentation de LAN Manager sur TCP/IP permettant de partager différentes ressources telles que de l'espace disques, des imprimantes, des ports séries, etc...
SMB fonctionne sur le principe d'échange client-serveur, c'est à dire que le client fait des demandes et le serveur envoie des réponses.
La seule exception à ce mode d'échange est lorsque le client a demandé des verrous opportunistes (oplocks) et que le serveur doit rompre un oplock accordé parce qu'un autre client a demandé l'ouverture d'un fichier dans un mode incompatible avec l'oplock. Dans ce cas, le serveur envoie un message non sollicité au client pour lui signaler la rupture d'oplock.

Les rôles de client et de serveur n'étant pas mutuellement exclusifs, une machine peut à la fois être client et serveur.

Les clients se relient aux serveurs en utilisant NetBIOS au dessus TCP/IP (selon les RFC 1001/1002). Une fois qu'ils ont établi une connexion, les clients peuvent alors envoyer des commandes SMB au serveur qui leur permettent d'accéder aux ressources partagées.

Comme l'indique le tableau suivant, LanManager est actuellement très répandu sous différentes formes et dont les fonctionnalités sont plus ou moins riches :

NetBIOS : Network Basic Input/Output System

Pour des raisons historiques, NetBIOS, est un protocole incontournable dans les réseaux d'entreprise, qui, malgré ses nombreuses imperfections, est simple à mettre en oeuvre. Introduit par IBM, utilisé par Microsoft, il a été le premiere protocole de réseau local utilisé pour le partage de fichiers entre les micro-ordinateur.

NetBIOS existe en natif sur des trames 802.2 (LLC type 2), ou encapsulé dans des trames de diffusions TCP/IP (cas de samba) ou IPX.
Ce prototole est associé à une interface logicielle sur micro-ordinateur qui détourne les appels système pour les rediriger vers le réseau.
Toute application peut ainsi utiliser de manière transparente de port série ou imprimante, qu'ils fonctionnent normalement ou qu'ils soient reroutés vers le réseau dans des message NetBIOS.

Le fonctionnement de ce protocole est atypique : chaque station est identifié par un nom et a la responsabilité de maintenir une table de corresspondance "nom/adresse MAC" des autres stations du réseau qui dialoguent avec elle. Il n'y a pas de couche réseau assurant un adressage de niveau 3, c'est à dire de bout en bout. La conséquence est que NetBIOS n'est pas un protocole routable : il faut donc soit passer par des ponts (ou activer la fonction pont des routeurs) si NetBIOS est utilisé en natif, soit activer la diffusion des broadcasts TCP/IP ou IPX dans le cas d'une encapsulation.

Notion de domaine

Un domaine LAN Manager est un ensemble de postes de travail (workstations), de serveurs situés sur un même réseau ou sur des sous-réseaux différents. Son but est de regrouper les utilisateurs d'un même service/département/laboratoire dans une entité logique et non physique, afin de faciliter la gestion de leurs ressources communes (répertoires, imprimantes, applications, etc...) et pour une meilleure sécurité. Tout domaine LAN Manager est désigné par un nom unique connu de toutes les machines de ce domaine.
Toutes les informations sur les utilisateurs de ce domaine sont répertoriées dans une base de données du serveur primaire et sont ensuite répliquées sur les autres serveurs du domaine appelés habituellement serveur backup.

Serveur Primaire (PDC)

Egalement appelé contrôleur primaire du domaine (Primary Domain Controller ou PDC), ce serveur assure la gestion de la base de données des utilisateurs que les autres membres du domaine consultent et mettent à jour.
Le serveur primaire est un serveur qui a remporté l'élection du local master browser.

Serveur Backup (BDC)

Dans un domaine, il peut y avoir des serveurs backup (Backup Domain Controller ou BDC). Le rôle d'un tel serveur est de maintenir une copie de la base de données maintenue par le serveur primaire. En cas de panne du serveur primaire, le serveru backup prendra en charge les fonctions de ce dernier et deviendra donc le nouveau serveur primaire.
Les serveurs backup sont des serveurs qui ont participés à l'élection du local master browser mais qui ne l'ont pas remportée.

Serveur membre

Un serveur membre est un serveur partageant des ressources mais ne participant pas à l'élection du local master browser. Cependant, au même titre que les autres serveurs, il consulte et enrichi la liste des utilisateurs maintenue par le serveur primaire.

Ressource IPC partagées

En permettant l'interprocess communication à distance LAN Manager peut être le support d'applications réparties. La ressources partagée IPC$ (le $ indique que la ressource partagée est cachée et donc non visible par les utilisateurs) est nécessaire pour la communication entre les processus du serveur et les applications du client. La connexion à la ressource IPC$ est automatique.

Nom de partage (sharename)

Chaque ressource partagée sur un serveur LAN Manager possède un nom unique permettant de l'identifier sans ambiguïté sur ce serveur. Cependant, ce nom n'est pas forcément unique à travers le réseau local (ex : IPC$). Attention, aux limitations de certains clients quand à la longueur du nom de partage (Microsoft Windows For Workgroup est limité à 8 caractéres).

Nom Réseau

Pour se connecter à une ressource partagée sur un serveur déterminée du réseau, l'utilisateur d'un poste de travail doit indiquer le nom du serveur suivi de celui de la ressource partagée selon une syntaxe appropriée. La combinaison de ces deux noms constitue le nom réseau de la ressource partagée, c'est une sorte d'adresse réseau permettant d'identifier de façon unique la ressource.
Ex (sous DOS) : Net use d: \\serveur\ressource

Compilation de samba

Note : la description suivante pour la compilation de samba n'est valide que depuis la version 2.0.0 (utilisation de configure)

Conditions nécessaires :

• Avoir le root sur le système UNIX où vous souhaitez installer Samba
• Avoir un compilateur Ansi (GCC recommandé)
• Avoir la dernière archive de samba (que vous pouvez récupérer ici)

• Passez en root (su root)
• Créez le répertoire /usr/local/samba (mkdir /usr/local/samba)
• Copiez l'archive de samba dans ce répertoire(cp samba-x.x.x.tar.gz /usr/local/samba)
• Placez-vous dans le répertoire /usr/local/samba (cd /usr/local/samba)
• Décompactez l'archive de samba dans ce répertoire (gzip -d samba-x.x.x.tar.gz), vous obtiendrez un fichier samba-x.x.x.tar.
• Décompactez ce fichier (tar -xvf samba-x.x.x.tar). Ceci va vous créer un répertoire nommé samba-x.x.x (contenant les fichiers sources et de docummentation de samba) dont les droits sont affecté à l'utilisateur 1002 appartenant au groupe 1002
• Changez les droits (chown -R root /usr/local/samba et chgrp -R sys /usr/local/samba)
• Vous pouvez supprimer le fichier samba-x.x.x.tar. (rm samba-x.x.x.tar)

• Placez-vous dans le répertoire /usr/local/samba/samba-x.x.x/source (cd /usr/local/samba/samba-x.x.x/source)
• Lancez ./configure, qui va normalement préparer les fichiers de configuration pour la compilation de samba sur votre système.
• Ensuite, vous pouvez lancez la compilation proprement dit, en tapant make
• Une fois, la compilation terminée, vous pouvez procédez à l'installation complète de samba (binaires et documentation) en tapant make install. Si vous ne souhaitez installer que les binaires, tapez make installbin.

La configuration de Samba est contrôlée par un seul fichier, smb.conf, se trouvant dans /usr/local/samba/lib. Ce fichier indique quelles ressources systèmes vous désirez partager avec le monde extérieur et quelles restrictions vous voulez mettre dessus.

Ce fichier est constitué de différentes rubriques appelés sections contenant chacune une liste de paramètres (principe identique aux fichiers .ini de MS-Windows 3.x). Une telle organisation simplifie à la fois la lisibilité du fichier et son exploitation.

Chaque section commence par le nom de la section entre crochets. La section se poursuit jusqu'à ce que la section suivante apparaisse ou que le fichier se termine. Le nom de la section est le nom du service et les paramètres de cette section définissent les attributs de ce service. Chaque ligne contenue dans une section attribue la valeur d'un paramètre, avec la syntaxe suivante : Paramètre = valeur. Les lignes de commentaires commencent par un point virgule (;) ou par un dièse (#).

Il existe 3 sections particulières :

A chaque fois que vous modifiez le fichier smb.conf, utilisez l'utilitaire testparm (programme faisant partie de Samba) qui permet de vérifier votre fichier (tapez testparm smb.conf).
Testparm est un programe qui vérifie la cohérence syntaxique d'un fichier de configuration pour smbd. S'il indique qu'il n'y a pas d'erreur, vous pouvez alors utiliser le fichier de configuration. Veuillez noter que ceci n'est pas une garantie que les services spécifiés dans le fichier de configuration seront disponibles ou fonctionneront comme prévu.

Le fichier de configuration et tous les fichiers qu'il inclut, sont automatiquement rechargés chaque minute, s'ils changent. Vous pouvez forcer une relecture de ces fichiers en envoyant un signal SIGHUP au serveur (kill -HUP). La relecture du fichier de configuration n'affectera pas les connexions déjà établis.

Avant de déclarer un répertoire partageable, l'adminitrateur doit prendre un certain nombre de précautions : le dit répertoire doit exister sous Unix, appartenir à un système de fichier monté et ne doit pas contenir des fichiers confidentiels ou sensibles (ainsi les répertoires /etc, /dev, /bin, /sbin, /usr/bin, /usr/sbin, /var, etc… ne devraient pas être partagés).

Partage d'imprimantes

La mise à disposition d'imprimantes partagée sur le serveur, accessible par différents poste de travail, se fait de la même manière et avec les mêmes outils que dans le cas de répertoires partagés.
Il faut noter que le partage d'imprimantes est celui qui pose le plus de problèmes à mettre en place dans la pratique. Ceci est dû à la diversité des types d'imprimantes, de spoolers sous Unix et des filtres utilisés. Mais cela reste quand même à la porté de tout administrateur.

Lancement de Samba

Les deux démons suivants sont nécessaires pour Samba :

Le fichier /etc/services doit contenir les lignes suivantes:

#
# NETBIOS port - LM Server
#
nb-name       137/tcp     # Netbios Name Port
nb-name       137/udp     # Netbios Name Port
nb-dgram      138/tcp     # Netbios Datagram Port
nb-dgram      138/udp     # Netbios Datagram Port
nb-session    139/tcp     # Netbios Session Port
nb-session    139/udp     # Netbios Session Port

Attention, certains systèmes unix ont déjà une entrée netbios_ns ( _ et non - ) dans /etc/services. Dans ce cas là, il faudra mettre en accord les fichiers /etc/services et /etc/inetd.conf (le nom en lui-même n'a pas une réelle importance, il faut juste qu'il soit le même entre ces deux fichiers

1. manuellement ou au boot, par un script de démarrage. Ils tourneront alors en permanence (démons).
2. par le super-démon inetd à chaque requête (plus économique pour la mémoire)

Première solution : Lancer samba en tant que démon

Deuxième solution : Lancement de Samba sur requête

Configuration d'une machine Windows

Pour le moment, Samba ne permet d'accéder à la machine Windows que si elle offre un support TCP/IP. En attendant la prochaine version qui devrait offrir un service direct avec NetBIOS. Il faut que la machine Windows possède une couche NetBIOS, mais aussi une couche TCP/IP pour votre carte ethernet.
Les stations Windows 95 et NT4 disposent des fonctionnalités réseau nécessaires leur permettant d'accéder à un serveur LAN Manager.
Pour une station Windows pour Workgroups (3.11), il faut mettre à jour le système (télécharger le fichier wfwfiles.exe) et installer la couche TCP/IP (télécharger la pile IP à partir de ftp.microsoft.com/bussys/Clients/WFW/ ).
Ceci étant fait, après quelques reboot vous devriez voir apparaître dans votre Voisinage Réseau votre nouveau serveur Samba. Vous allez alors pouvoir accéder aux différents partages (que vous avez définis dans le fichier smb.conf), de votre serveur SAMBA, disponibles pour l'utilisateur courant.

Quelques renseignements sur les clients Windows :

• Pour éviter des suppressions inattendues sur votre poste client Windows 95, il est recommandé d'appliquer le patch Vrdrupd.exe . Voir l'article Q140558 de la base de connaissance (Knowledge Base) de Microsoft.

• Vous n'arrivez pas à copier un fichier avec l'attribut lecture seule sur votre serveur SMB à partir de votre client Windows 95, lisez l'article Q136834.

• Vous copiez un fichier plus gros que l'espace disque disponible sur votre serveur SMB, et Windows 95 n'indique aucune erreur et semble avoir effectué une copie correcte, lisez l'article Q161100.

• Si vous rencontrez des problèmes d'authentification à partir d'un Windows 95 ou Windows NT, il est fort possible que le cryptage des mots de passe soit activé sur votre client windows. Ceci est le cas pour un Windows 95 OSR2.x, un Windows 95 patché avec Vrdupd.exe (Patch recommandé, voir l'article Q140558) , ou un NT4 patché avec le Service Pack 3 (article Q166730). Dans ce cas, il y a deux solutions : soit vous activez le cryptage des mots de passe sous Samba, soit vous désactivez le cryptage des mots de passe sur vos postes clients.
  
  • Clé de la base de registe de Windows 95 pour désactiver le cryptage des mots de passe :
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\VNETSUP\EnablePlainTextPassword=dword:00000001
    
  • Clé de la base de registe de NT4 pour désactiver le cryptage des mots de passe :
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Rdr\Parameters\EnablePlainTextPassword=dword:00000001

• Par défaut les clients windows effectuent un cache local des mots de passe utilisés. Ce cache se trouve sous la forme d'un fichier "login_utilisateur.pwl" encrypté stocké sous \windows. Il est donc conseillé de désactiver le cache local des mots de passe. En effet, les fichiers contenant les mots de passe peuvent être récupérés par n'importe qui et ensuite tranquillement décryptés. Si les mots de passe utilisés pour se connecter au serveur SAMBA sont les mêmes que les mots de passe des login, cela signifie que la sécurité de votre système Unix est gravement compromise.
  
  • Clé de la base de registre de Windows 95 pour désactiver le cache local des mots de passe :
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Network\DisablePwdCaching=dword:00000001
    
  • Pour les client Windows For Workgroups, ajouter PasswordCaching=no dans la section [network] du fichier \windows\system.ini

• Comme sur une machine Unix, il est nécessaire de fermer sa session lorsque l'on a fini de travailler avec le PC; sinon n'importe qui peut accéder à vos fichiers se trouvant sur le serveur Unix. Sous Windows 95/NT4, ceci se fait en choisissant l'option Arrêter... dans le menu Démarrer.

D'une manière générale, il est conseillé de consulter régulièrement la base de connaissance (knowledge base) de Microsoft. L'excellent site Windows 95 system updates vous permettra d'être informé des patchs existants et de leur utilité.

WINS : Windows Internet Name Service

WINS est une base de données dynamique jouant le rôle d'un serveur de Noms NetBIOS et qui permet ainsi de faire la correspondance (mapping) d'un nom NetBIOS avec une adresse IP.

En effet, par soucis de convivialité, le nom NetBIOS des machines peuvent être différents de leur nom DNS.
Il parait évidement que l'on préfèrera se connecter à 'angelus' (nom NetBIOS) plutôt qu'à 'adm-le-tanou' (Nom DNS)...

En fait, il convient de signaler que WINS n'apporte pas grand chose sur ce point, puisque que l'on peut également donner des alias dans le D.N.S. Le principal intéret réside dans l'amélioration de la visibilité du voisinage réseau (browsing).
En effet, la présence d'un serveur WINS permet de minimiser le système de recherche et d'annonce par diffusion (broadcast), du fait que les machines configurées pour utiliser le serveur WINS adressent directement leurs requêtes à ce serveur. Ce qui accélére le processus de recherche et diminue notablement le traffic réseau. De plus, dans le cas de réseaux composés de sous-réseaux, le serveur WINS permet une visiblité accrue du réseau en jouant un rôle de passerelle entre les différents réseaux puisque les requêtes au serveur WINS sont routables contrairement aux annonces par diffusion qui sont le plus souvent bloqués (fort heureusement) par les routeurs.

Les bases de données WINS sont régulièrement mises à jour pour assurer une bonne concordance entre les noms NetBIOS et les adresses IP des machines. En régle générale, chaque serveur WINS renouvelle ses entrées tous les 4 jours et les clients WINS s'enregistrement tous les 2 jours dans la base.

Accéder depuis Unix à une ressource partagée sur un serveur SMB : smbclient

Un client SMB pour un hôte Unix est inclus dans la distribution de Samba. Il fournit une interface semblable au ftp, en ligne de commande. Vous pouvez utilisez cet utilitaire pour transférer des fichiers ou accéder à une imprimante sur un serveur SMB distant.
Smbclient permet donc de tester, de répertorier et d'accéder aux ressources offertes par des serveurs SMB. Tout d'abord, il est possible de vérifier si le serveur SMB est bien disponible, et de lister les différentes ressources qu'il partage grâce à la commande :

Monter une ressource partagée sur Linux : smbmount

Les utilisateurs Linux peuvent également monter des ressources SMB en tant que filesytem distant. Pour cela il faut compiler le noyau avec le support du filesystem SMB (dans le noyau ou bien par module smbfs.o). Il faut également récupérer les utilitaires smbmount et smbumount. Ces utilitaires font partie du package smbfs disponible sur :

• nom_serveur : unknown host
  Cette erreur survient lorsque le nom NetBios du serveur n'est pas le même que son hostname, vous devez alors préciser par l'option -I le hostname ou l'adresse IP associé au nom NetBios.
  Par exemple, la station Windows qui a pour nom NetBios 'lemmus', mais pour hostname 'adm-jerome.linuxfr.org' avec l'adresse IP '192.168.0.72' partage un share nommé temp.
  On est donc obligé de préciser son hostname ou son adresse IP par l'option -I :
  
  • smbmount //lemmus/temp /mnt/temp -I 192.168.0.72
  • smbmount //lemmus/temp /mnt/temp -I adm-jerome.linuxfr.org
  
  
• my hostname name too long as a netbios name
  Cette erreur survient lorsque le nom NetBios du client dépasse les 15 caractères maximales que, vous devez alors préciser par l'option -I le hostname ou l'adresse IP associé au nom NetBios.
  Par exemple, la station linux a pour hostname 'angelus.ujf-grenoble.fr' et utilise ce hostname comme nom NetBios
  Ce nom Netbios comprenant 23 caractères, on est donc obligé de préciser un nom NetBios raccourci avec l'option -c :
  
  • smbmount //lemmus/temp /mnt/temp -c angelus
  
  
• mount error: Invalid argument
  Lorsque cette erreur survient, il convient dans un premier temp de vérifier les paramètres fournis à smbclient.
  Si aucune erreur n'est "visible", il se peut que vous ayez un problème de login et/ou de mot de passe.
  Si vous voulez accéder à un partage qui ne nécessite pas de mot de passe, vous aurez peut être besoin de spécifier l'option -n
  • smbmount //lemmus/temp /mnt/temp -n
  Si vous voulez accéder à un partage avec un login différent du login courant, vous devez spécifier votre login par l'option -U
  • smbmount //lemmus/temp /mnt/temp -U login

Samba fonctionne sur les systèmes suivants (juin 1998) :

A/UX 3.0
AIX
Altos Series 386/1000
Amiga
Apollo Domain/OS sr10.3
BSDI
B.O.S. (Bull Operating System)
Cray, Unicos 8.0
Convex
DGUX.
DNIX.
FreeBSD
HP-UX
Intergraph.
Linux with/without shadow passwords and quota
LYNX 2.3.0
MachTen (a unix like system for Macintoshes)
Motorola 88xxx/9xx range of machines
NetBSD
Release 2.X, 3.0 and greater (including OPENSTEP for Mach).
OS/2 using EMX 0.9b
OSF1
QNX 4.22
RiscIX.
RISCOs 5.0B
SEQUENT.
SCO (including: 3.2v2, European dist., OpenServer 5)
SGI.
SMP_DC.OSx v1.1-94c079 on Pyramid S series
SONY NEWS, NEWS-OS (4.2.x and 6.1.x)
SUNOS 4
SUNOS 5.2, 5.3, and 5.4 (Solaris 2.2, 2.3, and '2.4 and later')
Sunsoft ISC SVR3V4
SVR4
System V with some berkely extensions (Motorola 88k R32V3.2).
ULTRIX.
UNIXWARE
UXP/DS