Configurar un servidor de archivos Samba: smb.conf, testparm y desactivación de SMB1

Objetivo

Poner en marcha un recurso compartido de Samba en Linux, validar la configuración antes de recargarla y elegir entre una base de datos local de contraseñas y la pertenencia a Active Directory para la autenticación.

Requisitos previos

El paquete samba instalado; un directorio que compartir; y, según el caso, cuentas locales de Linux (para smbpasswd) o un dominio de Active Directory al que unirse (para security = ads).

Pasos

1. Edita /etc/samba/smb.conf. La sección [global] contiene los ajustes que afectan a todo el servidor (workgroup, modo de seguridad, límites de protocolo); cada recurso compartido tiene su propia sección [sharename] con al menos path y read only.
2. Elige la autenticación. En un servidor independiente con cuentas locales, deja security en su valor predeterminado (auto, que en un servidor independiente se comporta como user) y, como root, crea contraseñas SMB para los usuarios de Linux existentes con smbpasswd -a <user>; Samba las guarda en su propia base de datos de contraseñas (por defecto el backend tdbsam), separada de /etc/shadow. Para un miembro de dominio, define en [global] security = ads junto con realm y workgroup, además de los rangos idmap config para winbind: Samba actúa entonces como miembro de dominio en un realm ADS, lo que exige tener Kerberos instalado y configurado, el DNS apuntando a los controladores de dominio, la hora sincronizada y una unión al dominio con net ads join -U <admin>.
3. Valida antes de recargar: ejecuta testparm -s (sin -s espera a que pulses Enter antes de volcar las definiciones). Es un programa de prueba muy sencillo que comprueba la corrección interna de un archivo de configuración de smbd e informa de parámetros desconocidos o no válidos. Que se ejecute sin errores no garantiza que los recursos compartidos se comporten correctamente, solo que smbd cargará el archivo.
4. Aplica el cambio sin reiniciar el demonio: como root, smbcontrol all reload-config obliga al demonio a recargar el archivo de configuración smb.conf, y all envía el mensaje a todos los smbd, nmbd y winbindd en ejecución.
5. Confirma que SMB1 sigue desactivado: desde Samba 4.11 el valor predeterminado ya es server min protocol = SMB2_02, así que comprueba con testparm -sv | grep 'server min protocol' que nadie lo haya bajado (por ejemplo, a NT1); en versiones anteriores, defínelo de forma explícita. Este ajuste controla la versión mínima del protocolo que el servidor permitirá usar al cliente.

Resultado esperado

testparm no muestra errores y presenta la lista de recursos compartidos ya interpretada; un montaje desde un cliente o smbclient -L localhost -U <user> confirma que el recurso es accesible; smbstatus (como root) lista las sesiones conectadas con su versión de protocolo, ninguna de ellas NT1.

Límites y base de verificación

Que testparm termine con éxito no garantiza que un recurso compartido se comporte como se espera, solo que el archivo se interpreta correctamente: prueba también un montaje real. Cambiar un servidor independiente existente a security = ads obliga a volver a aprovisionar el mapeo de identidades y resulta disruptivo; planifica una ventana de migración y haz antes una copia de seguridad de smb.conf y del archivo de smbpasswd. La recarga de smbcontrol no reinicia los sockets de escucha, por lo que un cambio de dirección de enlace o de puerto sigue requiriendo un reinicio completo.