Samba-Dateiserver einrichten: smb.conf, testparm und Deaktivierung von SMB1

Ziel

Eine Samba-Freigabe unter Linux bereitstellen, die Konfiguration vor dem Neuladen validieren und für die Authentifizierung zwischen einer lokalen Passwortdatenbank und einer Active-Directory-Mitgliedschaft wählen.

Voraussetzungen

Das Paket samba ist installiert; ein Verzeichnis zum Freigeben ist vorhanden; ausserdem entweder lokale Linux-Konten (für smbpasswd) oder eine Active-Directory-Domäne, der beigetreten werden kann (für security = ads).

Schritte

1. /etc/samba/smb.conf bearbeiten. Der Abschnitt [global] enthält die serverweiten Einstellungen (Workgroup, Sicherheitsmodus, Protokollbeschränkungen); jede Freigabe erhält einen eigenen Abschnitt [sharename] mit mindestens path und read only.
2. Authentifizierung wählen. Bei einem eigenständigen Server mit lokalen Konten security auf dem Standardwert belassen (auto, das sich auf einem eigenständigen Server wie user verhält) und als root mit smbpasswd -a <user> SMB-Passwörter für vorhandene Linux-Benutzer anlegen. Samba speichert diese in einer eigenen Passwortdatenbank (standardmässig im Backend tdbsam), getrennt von /etc/shadow. Für ein Domänenmitglied in [global] security = ads sowie realm und workgroup setzen, dazu idmap config-Bereiche für winbind. Samba agiert dann als Domänenmitglied in einem ADS-Realm. Das setzt voraus: Kerberos ist installiert und konfiguriert, DNS verweist auf die Domänencontroller, die Zeit ist synchronisiert, und der Beitritt erfolgt mit net ads join -U <admin>.
3. Vor dem Neuladen validieren: testparm -s ausführen (ohne -s wartet das Programm auf die Eingabetaste, bevor es die Definitionen ausgibt). Es ist ein sehr einfaches Testprogramm, das eine smbd-Konfigurationsdatei auf interne Korrektheit prüft und unbekannte oder ungültige Parameter meldet. Ein fehlerfreier Durchlauf garantiert nicht, dass sich die Freigaben korrekt verhalten, sondern nur, dass smbd die Datei laden wird.
4. Änderung ohne Neustart des Daemons übernehmen: Als root zwingt smbcontrol all reload-config den Daemon, die Konfigurationsdatei smb.conf neu zu laden; all sendet die Nachricht an alle laufenden smbd-, nmbd- und winbindd-Prozesse.
5. Sicherstellen, dass SMB1 deaktiviert bleibt: Seit Samba 4.11 ist server min protocol = SMB2_02 bereits der Standard. Mit testparm -sv | grep 'server min protocol' prüfen, dass der Wert nicht gesenkt wurde (zum Beispiel auf NT1); nur bei älteren Versionen explizit setzen. Diese Einstellung legt die minimale Protokollversion fest, die der Server dem Client erlaubt.

Erwartetes Ergebnis

testparm gibt keine Fehler aus und zeigt die geparste Freigabeliste. Ein Client-Mount oder smbclient -L localhost -U <user> bestätigt, dass die Freigabe erreichbar ist. smbstatus (als root) listet die verbundenen Sitzungen mit ihrer Protokollversion auf, keine davon NT1.

Grenzen und Prüfbasis

Ein erfolgreicher testparm-Lauf garantiert nicht, dass sich eine Freigabe wie beabsichtigt verhält, sondern nur, dass die Datei geparst werden kann; zusätzlich ist ein tatsächlicher Mount zu testen. Die Umstellung eines bestehenden eigenständigen Servers auf security = ads erfordert eine Neueinrichtung der Identitätszuordnung und greift erheblich in den laufenden Betrieb ein; ein Migrationsfenster einplanen und zuvor smb.conf und die smbpasswd-Datei sichern. Das Neuladen mit smbcontrol startet die lauschenden Sockets nicht neu, daher erfordert die Änderung von Bind-Adresse oder Port weiterhin einen vollständigen Neustart.