Transcript Chapter 16

第
三
篇
如果想要共用檔案，在 Linux 對 Linux 的環境下，最簡單的方法就是透過
NIS 這玩意兒了！至於 Windows 對 Windows 的環境下，最簡單的方法則
是『網路上的芳鄰』啊。那如果你的區網中有 Windows 也有 Linux 而且想
要共用檔案系統的話，那該怎辦？那就使用 Samba 伺服器吧！Samba 可
以讓 Linux 加入 Windows 的網芳支援，讓異質平台可以共用檔案系統！非
常好用的呦！
區
域
網
路
內
常
見
的
伺
服
器
架
設
什麼是 SAMBA
SAMBA 的發展歷史與名稱的由來
 讓檔案在兩部主機之間直接修改：NFS 與 CIFS
而除了可以讓 Unix Like 的機器互相分享檔案的 NFS 伺服器之外，
在微軟 (Microsoft) 作業系統上面也有類似的檔案系統，那就是
Common Internet File System, CIFS 這個咚咚啦！CIFS 最簡單的
想法就是目前常見的『網路上的芳鄰』咯！
P.16-2
請參閱書籍
 利用封包偵測逆向工程發展的 SMB Server
在 1991 年一個名叫 Andrew Tridgell 博士班研究生就有這樣的困擾，他
手上有三部機器，分別是跑 DOS 的個人電腦、DEC 公司的 Digital Unix
系統以及 Sun 的 Unix 系統。在當時，DEC 公司有發展出一套稱為
PATHWORKS 的軟體，這套軟體可以用來分享 DEC 的 Unix 與個人電腦
的 DOS 這兩個作業系統的檔案資料，可惜讓 Tridgell 覺得較困擾的是，
Sun 的 Unix 無法藉由這個軟體來達到資料分享的目的 (註 1)。
這個時候 Tridgell 就想說：『咦！既然這兩部系統可以相互溝通，沒道
理 Sun 就必需這麼苦命吧？可不可以將這兩部系統的運作原理找出來，
然後讓 Sun 這部機器也能夠分享檔案資料呢？』，為了解決這樣的的問
題，他老兄就自行寫了個 program 去偵測當 DOS 與 DEC 的 Unix 系統
在進行資料分享傳送時所使用到的通訊協定資訊，然後將這些重要的資
訊擷取下來，並且基於上述所找到的通訊協定而開發出 Server
Message Block (SMB) 這個檔案系統，而就是這套 SMB 軟體就能夠讓
Unix 與 DOS 互相的分享資料囉！
P.16-2~3
請參閱書籍
 取名 SAMBA 的主因 ^_^
既然寫成了軟體，想一想，總是需要註冊一下商標吧！因此
Tridgell 就去申請了 SMBServer (Server Message Block 的簡寫)
這個名字來做為他撰寫的這個軟體的商標，可惜的是，因為 SMB
是沒有意義的文字，因此沒有辦法達成註冊。既然如此的話，那
麼能不能在字典裡面找到相關的字詞可以做為商標來註冊呢？翻
了老半天，呵呵！這個 SAMBA 剛好含有 SMB ，又是熱情有勁的
拉丁舞蹈的名稱，不然就用這個名字來做為商標好了！這成為我
們今天所使用的 SAMBA 的名稱由來啦！^_^
P.16-3
請參閱書籍
SAMBA 常見的應用
 分享檔案與印表機服務；
 „
可以提供使用者登入 SAMBA 主機時的身份認證，以提供不
同身份者的個別資料；
 „
可以進行 Windows 網路上的主機名稱解析 (NetBIOS name)
 „
可以進行裝置的分享 (例如 Zip, CDROM...)
P.16-3
請參閱書籍
SAMBA 使用的 daemons
1. 取得對方主機的 NetBIOS name 定位該主機所在
2. 利用對方給予權限存取可用資源
 nmbd：這個 daemon 是用來管理工作群組啦、NetBIOS
name 啦等等的解析。主要利用 UDP 協定開啟 port 137,
138 來負責名稱解析的任務；
 smbd：這個 daemon 的主要功能就是用來管理 SAMBA 主
機分享的目錄、檔案與印表機等等。主要利用可靠的 TCP 協
定來傳輸資料，開放的埠口為 139 及 445(不一定存在) 。
P.16-5~6
請參閱書籍
SAMBA 伺服器的基礎設定
Samba 所需軟體及其軟體結構
 samba：這個軟體主要提供了 SMB 伺服器所需的各項服務
程式 (smbd 及 nmbd)、 的文件檔、以及其他與 SAMBA 相
關的 logrotate 設定檔及開機預設選項檔案等；
 samba-client：這個軟體則提供了當 Linux 做為 SAMBA
Client 端時，所需要的工具指令，例如掛載 SAMBA 檔案格
式的 mount.cifs、 取得類似網芳相關樹狀圖的 smbtree 等
等；
 samba-common：這個軟體提供的則是伺服器與用戶端都
會使用到的資料，包括 SAMBA 的主要設定檔 (smb.conf)、
語法檢驗指令 (testparm) 等等；
P.16-9
請參閱書籍
 /etc/samba/smb.conf：這是 Samba 的主要設定檔，基本
上，咱們的 Samba 就僅有這個設定檔而已，且這個設定檔
本身就是很詳細的說明文件了，請用 vim 去查閱它吧！主
要的設定項目分為伺服器的相關設定 (global)，如工作群組、
NetBIOS 名稱與密碼等級等，以及分享的目錄等相關設定，
如實際目錄、分享資源名稱與權限等等兩大部分。
P.16-9
請參閱書籍
 /usr/sbin/{smbd,nmbd}：伺服器功能，就是最重要的權限
管理 (smbd) 以及 NetBIOS name 查詢 (nmbd) 兩個重要的
服務程式；
 /usr/bin/{tdbdump,tdbtool}：伺服器功能，在 Samba 3.0
以後的版本中，使用者的帳號與密碼參數已經轉為使用資料
庫了！Samba 使用的資料庫名稱為 TDB (Trivial
DataBase)。既然是使用資料庫，當然要使用資料庫的控制
指令來處理囉。tdbdump 可以察看資料庫的內容，tdbtool
則可以進入資料庫操作介面直接手動修改帳密參數。不過，
你得要安裝 tdb-tools 這個軟體才行；
 /usr/bin/smbstatus：伺服器功能，可以列出目前 Samba
的連線狀況，包括每一條 Samba 連線的 PID, 分享的資源，
使用的用戶來源等等，讓你輕鬆管理 Samba 啦；
續下頁
P.16-10
請參閱書籍
 /usr/bin/{smbpasswd,pdbedit}：伺服器功能，在管理 Samba 的
使用者帳號密碼時，早期是使用 smbpasswd 這個指令，不過因為
後來使用 TDB 資料庫了，因此建議使用新的 pdbedit 指令來管理
用戶資料；
 /usr/bin/testparm：伺服器功能，這個指令主要在檢驗設定檔
smb.conf 的語法正確與否，當你編輯過 smb.conf 時，請務必使
用這個指令來檢查一次，避免因為打字錯誤引起的困擾啊！
 /sbin/mount.cifs：用戶端功能，在 Windows 上面我們可以設定
『網路磁碟機』來連接到自己的主機上面。在 Linux 上面，我們則
是透過 mount (mount.cifs) 來將遠端主機分享的檔案與目錄掛載
到自己的 Linux 主機上面哪！
 /usr/bin/smbclient：用戶端功能，當你的 Linux 主機想要藉由
『網路上的芳鄰』的功能來查看別台電腦所分享出來的目錄與裝置
時，就可以使用 smbclient 來查看啦！這個指令也可以使用在自
己的 SAMBA 主機上面，用來查看是否設定成功哩！
P.16-10
請參閱書籍
基礎的網芳分享流程與 smb.conf 的常用設定項目
立刻實作
假設你打開 Windows XP 的檔案總管，在 D:\VBird\Data 這個
目錄下，你按下右鍵選『共用與安全性』，之後，在出現的視
窗中，你選擇：『你瞭解這個安全風險，但仍不要執行精靈而
共用檔案，請按這裡』，然後勾選：『在網路上共用這個資料
夾』，最後共用的名稱你輸入了：『VBGame』，請問，假設
你的 IP 是 192.168.100.20 ，那麼你的用戶會看到什麼網址
列？
答：網芳的資源名稱通常的寫法是：『 \\IP\分享資源名稱』，
我們的分享資源名稱為 VBGame，因此最終這個分享的資源
名稱應該是：『 \\192.168.100.20\VBGame 』才對！很多朋
友都會寫成：『 \\192.168.100.20\VBird\Game 』那錯得很離
P.16-11~12
譜喔！
請參閱書籍
1. 伺服器整體設定方面：在 smb.conf 當中設定好工作群組、
NetBIOS 主機名、密碼使用狀態 (無密碼分享或本機密碼) 等等；
2. 規劃準備分享的目錄參數：在 smb.conf 內設定好預計要分享
的目錄或裝置以及可供使用的帳號資料；
3. 建立所需要的檔案系統：根據步驟 2 的設定，在 Linux 檔案系
統當中建立好分享出去的檔案或裝置，以及相關的權限參數；
4. 建立可用 Samba 的帳號：根據步驟 2 的設定，建立所需的
Linux 實體帳號，再以 pdbedit 建立使用 Samba 的密碼；
5. 啟動服務：啟動 Samba 的 smbd, nmbd 服務，開始運轉哩！
 在 smb.conf 當中，井字號與分號 (# 跟 ;) 都是註解符號；
 „在這個設定檔中，大小寫是沒關係的！因為 Windows 沒分
大小寫！
P.16-12
請參閱書籍
 workgroup = 工作群組的名稱：注意，主機群要相同；
 „
netbios name = 主機的 NetBIOS 名稱啊，每部主機均不
同；
 „
server string = 主機的簡易說明，這個隨便寫即可。
P.16-12~13
請參閱書籍
 display charset = 自己伺服器上面的顯示編碼，例如你在
終端機時所查閱的編碼資訊。一般來說，與底下的 unix
charset 會相同。
 „unix charset = 在 Linux 伺服器上面所使用的編碼，一般來
說就是 i18n 的編碼囉！所以你必須要參考
/etc/sysconfig/i18n 內的『預設』編碼。
 „
dos charset = 就是 Windows 用戶端的編碼了！一般來說
我們的繁體中文 Windows 使用的是 big5 編碼，這個編碼
在 Samba 內的格式被稱為『 cp950 』喔！
P.16-13
請參閱書籍
 security = share, user, domain：三選一，這三個設定值分
別代表：
 share：分享的資料不需要密碼，大家均可使用 (沒有安全性)；
 „user：使用 SAMBA 伺服器本身的密碼資料庫，密碼資料庫與
底下的 passdb backend 有關；
 „domain：使用外部伺服器的密碼，亦即 SAMBA 是用戶端之意，
如果設定這個項目，你還得要提供『password server = IP』的
設定值才行；
 encrypt passwords = Yes 代表密碼要加密，注意那個
passwords 要有 s 才對！
 passdb backend = 資料庫格式，如前所述，為了加快速度，
目前密碼檔已經轉為使用 資 料 庫 了 ！ 預 設 的 資 料 庫 格
式 微 tdbsam ， 而 預 設 的 檔 案 則 放 置 到
/var/lib/samba/private/passwd.tdb。
P.16-14
請參閱書籍
 分享資源的相關參數設定 [分享的名稱]
 [分享名稱]：這個分享名稱很重要，它是一個『代號』而已。記得






回去看看 16.2.2 裡面提到的那個範例；
comment：只是這個目錄的說明而已！
„path：這個分享名稱實際會進入的 Linux 檔案系統 (目錄)。也就是
說，在網芳當中看到的是 [分享] 的名稱，而實際操作的檔案系統
則是在 path 裡頭所設定的。
„browseable：是否讓所有的使用者看到這個項目？
„writable：是否可以寫入？這裡需要注意一下喔！那個 read only
與 writable 不是兩個蠻相似的設定值嗎？如果 writable 在這裡設
定為 yes ，亦即可以寫入，如果 read only 同時設定為 yes ，那
不就互相抵觸了！那個才是正確的設定？答案是：最後出現的那個
設定值為主要的設定！
create mode 與 directory mode 都與權限有關的咯！
writelist = 使用者, @群組，這個項目可以指定能夠進入到此資源
的特定使用者。如果是 @group 的格式，則加入該群組的使用者
均可取得使用的權限，設定上會比較簡單！
P.16-14~15
請參閱書籍
需帳號密碼才可登入的分享 (security = user)
比較重要的是 Samba 使用者帳號必須要存在於 Linux 系統當中
(/etc/passwd)，但是 Samba 的密碼與 Unix 的密碼檔案並不相同
(這是因為 Linux 與網芳的密碼驗證方式及編碼格式不同所致)。這
就比較有點小麻煩～沒關係，就讓我們依樣畫葫蘆來處理一下這
個部分的設定吧！
P.16-21
請參閱書籍
 0. 假設條件
 „
使用者認證層級設定 (security) 為：user
 „
使用者密碼檔案使用 TDB 資料庫格式，預設檔案在
/var/lib/samba/private/ 內；
 „
密碼必須要加密；
 „
每個可使用 samba 的使用者均擁有自己的家目錄；
 設定三個用戶，名稱為 smb1, smb2, smb3 ，且均加入
users 為次要群組。此三個用戶 Linux 密碼為 1234，
Samba 密碼則為 4321；
 „
分享 /home/project 這個目錄，且資源名稱取名為：
project；
 „
加入 users 這個群組的使用者可以使用 //IP/project 資源，
且在該目錄下 users 這個群組的使用者具有寫入的權限。
P.16-21~22
請參閱書籍
 1. 設定 smb.conf 設定檔與目錄權限相關之設定
P.16-22
請參閱書籍
P.16-22~23
請參閱書籍
立刻實作
我們預計要分享 /home/project 目錄，這個目錄的權限該如何
設定？
答：因為是要開放給 users 群組，而共享群組的權限通常是
『 2770 』這個含有 SGID 的特殊旗標功能。因此這個目錄應
該如此設定才好：
P.16-23
請參閱書籍
 2. 設定可使用 Samba 的用戶帳號與密碼
 在 Linux 這個系統下，任何程序都需要取得 UID 與 GID
(User ID 與 Group ID) 的身份之後，才能夠擁有該身份的權
限，也才能夠適當的進行存取檔案等動作！
 關於 Linux 這個系統的 UID 與 GID 與帳號的相對關係，一
般記錄在 /etc/passwd 當中，當然也能透過 NIS, ldap 等方
式來取對應；
 SAMBA 僅只是 Linux 底下的一套軟體，使用 SAMBA 來進
行 Linux 檔案系統時，還是需要以 Linux 系統下的 UID 與
GID 為準則！
P.16-24
請參閱書籍
P.16-24~25
請參閱書籍
P.16-25~26
請參閱書籍
 3. 重新啟動 Samba 並進行自我測試
P.16-26~27
請參閱書籍
P.16-27
請參閱書籍
安全性的議題與管理
 SELinux 的相關議題：
P.16-40~41
請參閱書籍
 防火牆議題：利用 iptables 來管理
P.16-41~42
請參閱書籍
 防火牆議題：透過內建的 Samba 設定 (smb.conf)
P.16-42
請參閱書籍
Linux 系統的使用
 smbclient：查詢網芳分享的資源，以及使用類似 FTP 的方式
上傳/下載網芳
P.16-50
請參閱書籍
 mount.cifs：直接掛載網芳成為網路磁碟機
P.16-51
請參閱書籍