Установка сервера SAMBA DC

Предварительная настройка сервера
Обновление пакетов
Установка необходимых пакетов
Присваивание серверу доменного имени
Настройка сетевого интерфейса
Настройка сетевого интерфейса вручную
Настройка сетевого интерфейса с помощью утилиты nmtui
Создание нового домена под управлением контроллера домена Samba DC
Создание резервных копий файлов
Настройка конфигурации Kerberos
Первоначальное полуавтоматическое конфигурирование сервера с помощью утилиты samba-tool
Дополнительная настройка сервера
Запуск и проверка работоспособности службы samba

Окружение

• Версия ОС: 7.3
• Конфигурация ОС: Сервер графический, Сервер минимальный
• Редакция ОС: Стандартная
• Версия ПО: samba-4.19.9-4h, samba-dc-4.19.9-4h, krb5-server-1.20.1-4

Предварительная настройка сервера

Обновление пакетов

Перейдите в сеанс пользователя root:

su - 

и выполните обновление всех пакетов: 

dnf makecache && dnf upgrade

Все дальнейшие действия выполняются с правами пользователя root, если не указано иное.

Установка необходимых пакетов

Для установки необходимых пакетов выполните:

dnf install samba* krb5*

Присваивание серверу доменного имени

Сервер контроллера домена должен иметь собственное уникальное доменное имя и статический IP-адрес. Назначьте серверу полное доменное имя: например, если короткое имя сервера dc1, то для домена skynet.murom полное имя сервера имеет вид dc1.skynet.murom:

hostnamectl set-hostname dc1.skynet.murom

Настройка сетевого интерфейса

По умолчанию сетевой интерфейс настроен для получения IP-адреса по DHCP. Нужно установить серверу контроллера домена статический IP-адрес.

Настройку сетевого интерфейса можно выполнить несколькими способами, в данной статье рассматриваются два из них:

• вручную, путём редактирования файла настроек;
• с помощью графической консольной утилиты nmtui.

Настройка сетевого интерфейса вручную

Настройки хранятся в файле /etc/NetworkManager/system-connections/<имя_сетевого_интерфейса>.nmconnection. Именуются они, например, как enp0s3 или enp0s4.

В данном примере сетевой интерфейс имеет имя enp0s3.

Откройте конфигурационный файл в текстовом редакторе:

nano /etc/NetworkManager/system-connections/enp0s3.nmconnection

Внесите следующие изменения:

1) измените тип соединения на статический:

method=manual

2) установите значение для игнорирования DNS из DHCP:

ignore-auto-dns=true

3) укажите IP-адрес контроллера, маску подсети и IP-адрес шлюза:

address1=192.168.1.96/24,192.168.1.1

4) укажите в качестве DNS-сервера IP-адрес создаваемого контроллера домена:

dns=192.168.1.96;77.88.8.8

5) впишите домен поиска (в данном примере это skynet.murom):

dns-search=skynet.murom;

Итоговый файл настройки должен иметь вид:

[connection]
id=enp0s3 
uuid=97def639-603a-4167-9613-edd5bd902ef8
type=ethernet
interface-name=enp0s3 
timestamp=1704763284

[ethernet]

[ipv4]
address1=192.168.1.96/24,192.168.1.1 
dns=192.168.1.96;77.88.8.8;
dns-search=skynet.murom;
ignore-auto-dns=true
method=manual 

[ipv6]
addr-gen-mode=eui64
method=auto

[proxy]

Перезагрузите сетевой интерфейс для применения настроек:

systemctl restart NetworkManager

Для проверки настроек статической IP-адресации воспользуйтесь командой ifconfig или ip addr.

Настройка сетевого интерфейса с помощью утилиты nmtui

Запустите утилиту в консоли:

nmtui

В настройках сетевого интерфейса в конфигурации IPv4 укажите следующие значения:

• тип конфигурирования – «Вручную»;
• IP-адрес создаваемого сервера и маску подсети – 192.168.1.96/24;
• адрес шлюза – 192.168.1.1;
• IP-адрес первого DNS-сервера – IP-адрес создаваемого контроллера домена, 192.168.1.96;
• IP-адрес второго DNS-сервера – IP-адрес сервера с доступом к локальному репозиторию или интернету, например 77.88.8.8 (при добавлении контроллера домена РЕД АДМ в существующий домен указать IP-адрес контроллера домена существующего домена);
• домен поиска – skynet.murom.

Перезагрузите сетевой интерфейс для применения настроек:

systemctl restart NetworkManager

Проверьте доступные серверы имен, просмотрев файл resolv.conf:

cat /etc/resolv.conf

Вывод команды должен иметь примерно следующий вид:

# Generated by NetworkManager
search skynet.murom 
nameserver 192.168.1.96 
nameserver 77.88.8.8

Создание нового домена под управлением контроллера домена Samba DC

Создание резервных копий файлов

Переименуйте файл /etc/smb.conf, он будет создан позднее в процессе выполнения команды samba-tool. Наличие данного файла на момент запуска полуавтоматической конфигурации может вызвать ошибку.

mv /etc/samba/smb.conf /etc/samba/smb.conf.bak

Создайте резервную копию используемого по умолчанию конфигурационного файла kerberos:

cp /etc/krb5.conf /etc/krb5.conf.bak

Настройка конфигурации Kerberos

Откройте файл /etc/krb5.conf:

nano /etc/krb5.conf

В секции [libdefaults] установите имя домена, используемое по умолчанию:

default_realm = SKYNET.MUROM

В ту же секцию добавьте время жизни тикета керберос:

dns_lookup_kdc = true
ticket_lifetime = 24h
forwardable = true

Пример листинга конфигурации krb5.conf:

[libdefaults]
    dns_lookup_realm = false 
    dns_lookup_kdc = true 
    ticket_lifetime = 24h 
    renew_lifetime = 7d
    forwardable = true    rdns = false
    pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
    spake_preauth_groups = edwards25519
    dns_canonicalize_hostname = fallback
    qualify_shortname = ""
    default_realm = SKYNET.MUROM 
    default_ccache_name = KEYRING:persistent:%{uid}

[realms]
 SKYNET.MUROM = {
     kdc = dc1.skynet.murom 
     admin_server = dc1.skynet.murom    
 }

[domain_realm]
 .skynet.murom = SKYNET.MUROM 
 skynet.murom = SKYNET.MUROM 

Откройте файл /etc/krb5.conf.d/crypto-policies:

nano /etc/krb5.conf.d/crypto-policies

и приведите его содержание к следующему виду:

[libdefaults]
default_tgs_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 RC4-HMAC DES-CBC-CRC DES3-CBC-SHA1 DES-CBC-MD5
default_tkt_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 RC4-HMAC DES-CBC-CRC DES3-CBC-SHA1 DES-CBC-MD5
preferred_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 RC4-HMAC DES-CBC-CRC DES3-CBC-SHA1 DES-CBC-MD5

Первоначальное полуавтоматическое конфигурирование сервера с помощью утилиты samba-tool

Конфигурирование в интерактивном режиме выполняется командой:

samba-tool domain provision --use-rfc2307 --interactive

Описание некоторых опций (параметров) этой команды:

• use-rfc2307 – параметр добавляет POSIX атрибуты (UID / GID) на схеме AD. Он понадобится при аутентификации клиентов Linux, BSD, или OS X (в том числе, на локальной машине), в дополнение к Microsoft Windows;

• interactive – запуск в интерактивном режиме;

• realm – указывает на полное DNS-имя домена, которое настроено в /etc/hosts, в верхнем регистре (в рассматриваемом примере это SKYNET.MUROM);

• Domain – краткое имя домена NetBIOS (в примере – SKYNET);

• Server Rules – роль сервера (например, DC – domain controller);

• DNS backend – DNS-сервер. Возможные значения – SAMBA_INTERNAL (внутренний DNS сервера), BIND9_FLATFILE, BIND9_DLZ, NONE;

• DNS forwarder IP address – данный параметр позволяет указать IP-адрес DNS-сервера, на который будут перенаправлены DNS-запросы, в том случае, когда сервер не сможет их разрешить.

Более подробная информация доступна в Wiki-справке проекта Samba по адресу https://wiki.samba.org, на странице “Setting up Samba as an Active Directory Domain Controller”.

Пример сокращённого листинга настройки для тестового домена skynet.murom:

Realm [SKYNET.MUROM]:
Domain [SKYNET]:
Server Role (dc, member, standalone) [dc]: dc 
DNS backend (SAMBA_INTERNAL, BIND9_FLATFILE, BIND9_DLZ, NONE) [SAMBA_INTERNAL]:
DNS forwarder IP address (write 'none' to disable forwarding) [192.168.1.96]: 192.168.1.96 
Administrator password:
Retype password:
Looking up IPv4 addresses
Looking up IPv6 addresses
No IPv6 address will be assigned
Setting up share.ldb
Setting up secrets.ldb
Setting up the registry
Setting up the privileges database
Setting up idmap db
Setting up SAM db
Setting up sam.ldb partitions and settings
Setting up sam.ldb rootDSE
Pre-loading the Samba 4 and AD schema
Unable to determine the DomainSID, can not enforce uniqueness constraint on local domainSIDs
Adding DomainDN: DC=skynet,DC=muromAdding configuration container
Setting up sam.ldb schema
Setting up sam.ldb configuration data
Setting up display specifiers
Modifying display specifiers and extended rights
Adding users container
Modifying users container
Adding computers container
Modifying computers container
Setting up sam.ldb data
Setting up well known security principals
Setting up sam.ldb users and groups
Setting up self join
Adding DNS accounts
Creating CN=MicrosoftDNS,CN=System,DC=skynet,DC=muromCreating DomainDnsZones and ForestDnsZones partitions
Populating DomainDnsZones and ForestDnsZones partitions
Setting up sam.ldb rootDSE marking as synchronized
Fixing provision GUIDs
The Kerberos KDC configuration for Samba AD is located at /var/lib/samba/private/kdc.conf
A Kerberos configuration suitable for Samba AD has been generated at /var/lib/samba/private/krb5.conf
Merge the contents of this file with your system krb5.conf or replace it with this one. Do not create a symlink!
Setting up fake yp server settings
Once the above files are installed, your Samba AD server will be ready to use
Server Role: active directory domain controller
Hostname:dc1
NetBIOS Domain:SKYNET
DNS Domain: skynet.murom
DOMAIN SID:S-1-5-21-4010603892-1310842104-1159347701

После запуска автоматической настройки файлы конфигурации будут созданы автоматически.

Дополнительная настройка сервера

Настройки сервера находятся в файле /etc/samba/smb.conf. Конфигурирование сервера выполняется путём внесения изменений в этот файл:

nano /etc/samba/smb.conf

Начиная с версии 3.3.0 в Samba есть модуль acl_xattr, который позволяет Samba корректно обрабатывать Windows ACL (Access Control List) и обеспечивает полноценную поддержку прав доступа к файлам.

Для подключения этого модуля добавьте в файл /etc/samba/smb.conf в секцию [global] следующие строки (либо отредактируйте существующие):

vfs objects = dfs_samba4 acl_xattr
map acl inherit = yes
store dos attributes = yes

В секцию [global] добавьте поддержку расширений схемы Samba AD (Active Directory):

dsdb:schema update allowed = true 

Пример содержания файла /etc/samba/smb.conf с внесёнными дополнительными изменениями:

cat /etc/samba/smb.conf

# Global parameters
[global]
        dns forwarder = 192.168.1.96 
        netbios name = DC1 
        realm = SKYNET.MUROM 
        server role = active directory domain controller
        workgroup = SKYNET 
        idmap_ldb:use rfc2307 = yes
        vfs objects = dfs_samba4 acl_xattr 
        map acl inherit = yes 
        store dos attributes = yes 
        dsdb:schema update allowed = true 

[sysvol]
        path = /var/lib/samba/sysvol
        read only = No

[netlogon]
        path = /var/lib/samba/sysvol/skynet.murom/scripts
        read only = No

После внесения изменений в файл /etc/samba/smb.conf выполните проверку:

testparm

Пример вывода команды:

Load smb config files from /etc/samba/smb.conf
Loaded services file OK.
Weak crypto is allowed by GnuTLS (e.g. NTLM as a compatibility fallback)

Server role: ROLE_ACTIVE_DIRECTORY_DC

Press enter to see a dump of your service definitions

Запуск и проверка работоспособности службы samba

Запустите и добавьте в автозагрузку службу samba:

systemctl enable samba --now

Проверьте статус служб:

systemctl status samba

Проверьте работу динамического обновления DNS:

samba_dnsupdate --verbose --all-names

Для более быстрой проверки рекомендуется отключить IPv6. Сделать это можно с помощью утилиты nmtui.

Дата последнего изменения: 04.12.2025

Если вы нашли ошибку, пожалуйста, выделите текст и нажмите Ctrl+Enter.