Vedetta \u00e8 la seconda macchina realizzata ed \u00e8 l’AD-DC della mini LAN.
\nPoich\u00e9 far\u00e0 solo da AD-DC non necessita di particolari spazi, il disco da 20 GB \u00e8 stato cos\u00ec partizionato
\n2 gb swap<\/p>\n
16 gb \/<\/p>\n
2 gb \/samba
\nCi sono diverse considerazioni da fare sulla scelta di avere una macchina che contrariamente a quanto si faceva un tempo provvede solo all’autenticazione degli utenti e alla gestione delle policy globali, con l’avvento della virtualizzazione \u00e8 diventato facile avere tante macchine piccole che fanno ognuna una cosa, questo vuol dire sostanzialmente macchine semplici da fare e gestire, di contro se prima si avevano due macchine per esempio che coprivano interamente le necessit\u00e0 aziendali oggi si corre il rischio di averne una ventina, per\u00f2 e torniamo al discorso della semplicit\u00e0 una macchina che fa solo ed esclusivamente una cosa (o due-tre) e’ meno facile che si “inchiodi” ed \u00e8 infinitamente pi\u00f9 semplice fare troubleshooting, inoltre anche ipotizzando che non ne vieni fuori tirare in piedi una macchina sostitutiva non \u00e8 un grosso lavoro, nello specifico parlando di samba ipotizzando che per un motivo qualsiasi la macchina AD-DC vada offline per un periodo di tempo lungo il DC di supporto provvede all’autenticazione e il samba share che sostanzialmente fa solo quello continua a lavorare senza neanche accorgersi, se invece ho nello stesso cesto sia i dati che la parte di autenticazione e qualcosa va storto sono fermo, inoltre chiudendo il discorso una macchina virtuale pu\u00f2 essere dumpata facilmente, un conto \u00e8 fare restore di\u00a0 10 gb un altro di magari 1 tb.
\nLa prima cosa da fare sulla macchina che sar\u00e0 il cuore del dominio \u00e8 sistemare il resolv.conf che dovr\u00e0 diventare una cosa del genere:<\/p>\n
search MYFIRM.LAN oceano.lan
\nnameserver 192.168.2.205 #se stessa
\nnameserver 192.168.2.203 #il DNS vero e proprio in questo caso alghero<\/p>\n
Si passa a generare l’AD vero e proprio<\/p>\n
# samba-tool domain provision –use-rfc2307 –interactive
\nRealm [OCEANO.LAN]: MYFIRM.LAN
\nDomain [MYFIRM]:
\nServer Role (dc, member, standalone) [dc]: dc
\nDNS backend (SAMBA_INTERNAL, BIND9_FLATFILE, BIND9_DLZ, NONE) [SAMBA_INTERNAL]: SAMBA_INTERNAL
\nDNS forwarder IP address (write ‘none’ to disable forwarding) [192.168.200.203]: 192.168.200.203
\nAdministrator password:
\nRetype password:
\nLooking up IPv4 addresses
\nLooking up IPv6 addresses
\nNo IPv6 address will be assigned
\nSetting up secrets.ldb
\nSetting up the registry
\nSetting up the privileges database
\nSetting up idmap db
\nSetting up SAM db
\nSetting up sam.ldb partitions and settings
\nSetting up sam.ldb rootDSE
\nPre-loading the Samba 4 and AD schema
\nUnable to determine the DomainSID, can not enforce uniqueness constraint on local domainSIDs<\/p>\n
Adding DomainDN: DC=myfirm,DC=lan
\nAdding configuration container
\nSetting up sam.ldb schema
\nSetting up sam.ldb configuration data
\nSetting up display specifiers
\nModifying display specifiers and extended rights
\nAdding users container
\nModifying users container
\nAdding computers container
\nModifying computers container
\nSetting up sam.ldb data
\nSetting up well known security principals
\nSetting up sam.ldb users and groups
\nSetting up self join
\nAdding DNS accounts
\nCreating CN=MicrosoftDNS,CN=System,DC=myfirm,DC=lan
\nCreating DomainDnsZones and ForestDnsZones partitions
\nPopulating DomainDnsZones and ForestDnsZones partitions
\nSetting up sam.ldb rootDSE marking as synchronized
\nFixing provision GUIDs
\nA Kerberos configuration suitable for Samba AD has been generated at \/usr\/local\/samba\/private\/krb5.conf
\nMerge the contents of this file with your system krb5.conf or replace it with this one. Do not create a symlink!
\nSetting up fake yp server settings
\nOnce the above files are installed, your Samba AD server will be ready to use
\nServer Role: active directory domain controller
\nHostname: vedetta
\nNetBIOS Domain: myfirm
\nDNS Domain: myfirm.lan
\nDOMAIN SID: S-1-5-21-3633762817-3401141303-3063552358
\nArrivati a questo punto cancellare il file \/etc\/krb5.conf esistente e copiare il il file che si trova in \/usr\/local\/samba\/private sotto \/etc
\nfacciamo due test per vedere se tutto \u00e8 andato come doveva:
\n# smbclient -L localhost -U%<\/p>\n
Sharename Type Comment
\n——— —- ——-
\nnetlogon Disk
\nsysvol Disk
\nIPC$ IPC IPC Service (Samba 4.9.4)
\nReconnecting with SMB1 for workgroup listing.<\/p>\n
Server Comment
\n——— ——-<\/p>\n
Workgroup Master
\ne con questo abbiamo listato le share che mette a disposizione l’AD-DC proviamo adesso l’autenticazione con:<\/p>\n
# smbclient \/\/localhost\/netlogon -UAdministrator -c 'ls'<\/pre>\nEnter MYFIRM\\Administrator’s password:
\n. D 0 Fri Mar 8 09:55:01 2019
\n.. D 0 Thu Mar 14 11:38:16 2019
\n1865076 blocks of size 1024. 1319992 blocks available
\ne anche qui ci siamo proviamo a fare qualche query al DNS per vedere se tutto \u00e8 a posto
\n# host -t A vedetta.myfirm.lan.
\nvedetta.myfirm.lan has address 192.168.2.205
\n# host -t SRV _ldap._tcp.MYFIRM.LAN.
\n_ldap._tcp.MYFIRM.LAN has SRV record 0 100 389 vedetta.myfirm.lan.
\n# host -t SRV _kerberos._udp.MYFIRM.LAN.
\n_kerberos._udp.MYFIRM.LAN has SRV record 0 100 88 vedetta.myfirm.lan
\ne anche qui ci siamo. ultimo test sul kerberos e possiamo considerare pronta la macchina
\n# kinit administrator
\nPassword for administrator@MYFIRM.LAN:
\n# klist
\nTicket cache: FILE:\/tmp\/krb5cc_0
\nDefault principal: administrator@MYFIRM.LAN<\/p>\nValid starting Expires Service principal
\n21\/03\/2019 11:10:22 21\/03\/2019 21:10:22 krbtgt\/MYFIRM.LAN@MYFIRM.LAN
\nrenew until 22\/03\/2019 11:10:13
\nUn ultimissima cosa che regolarmente mi scordo, il samba deve partire quando si accende la macchina quindi serve un init script, senza reinventare l’acqua calda l’ho preso da qui:
\nsamba-ad-dc<\/a><\/p>\nUn altra cosa molto importante in ambiente AD \u00e8 la sincronizzazione oraria, tutte le macchine devono avere lo stesso orario o al massimo uno scarto di 5 minuti, in un dominio AD i singoli client non possono scegliersi il server ntp che preferiscono, \u00e8 il server AD stesso che fa da time server, quindi i singoli client quando si collegano al dominio prendono in automatico l’ora sincronizzandosi.
\nQui<\/a> la configurazione di ntp per un server AD-DC<\/p>\n","protected":false},"excerpt":{"rendered":"Vedetta \u00e8 la seconda macchina realizzata ed \u00e8 l’AD-DC della mini LAN. Poich\u00e9 far\u00e0 solo da AD-DC non necessita di particolari spazi, il disco da 20 GB \u00e8 stato cos\u00ec partizionato 2 gb swap 16 gb \/ 2 gb \/samba Ci sono diverse considerazioni da fare sulla scelta di avere una macchina che contrariamente a […]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[8,11,7,6],"tags":[147,149,116],"class_list":["post-1566","post","type-post","status-publish","format-standard","hentry","category-linux","category-samba","category-sistemi-operativi","category-work","tag-ad-dc","tag-samba","tag-sorgenti"],"_links":{"self":[{"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/posts\/1566","targetHints":{"allow":["GET"]}}],"collection":[{"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1566"}],"version-history":[{"count":6,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/posts\/1566\/revisions"}],"predecessor-version":[{"id":1587,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/posts\/1566\/revisions\/1587"}],"wp:attachment":[{"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1566"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1566"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1566"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}