Configurando um servidor de arquivos Samba: smb.conf, testparm e desativação do SMB1

Objetivo

Colocar um compartilhamento Samba em funcionamento no Linux, validar a configuração antes de recarregá-la e escolher entre um banco de senhas local e a participação em um Active Directory para a autenticação.

Pré-requisitos

O pacote samba instalado; um diretório a compartilhar; contas Linux locais (para o smbpasswd) ou um domínio Active Directory ao qual ingressar (para security = ads).

Passos

1. Edite /etc/samba/smb.conf. A seção [global] contém as configurações do servidor como um todo (workgroup, modo de segurança, limites de protocolo); cada compartilhamento tem a sua própria seção [sharename], com pelo menos path e read only.
2. Escolha a autenticação. Em um servidor autônomo com contas locais, mantenha security no valor padrão (auto, que num servidor autônomo se comporta como user) e, como root, crie senhas SMB para usuários Linux existentes com smbpasswd -a <user>; o Samba guarda essas senhas em seu próprio banco (por padrão, o backend tdbsam), separado de /etc/shadow. Para um membro de domínio, defina security = ads junto com realm e workgroup em [global], além de faixas idmap config para o winbind: o Samba passa então a atuar como membro de domínio em um realm ADS, o que exige Kerberos instalado e configurado, DNS apontando para os controladores de domínio, horário sincronizado e o ingresso no domínio com net ads join -U <admin>.
3. Valide antes de recarregar: execute testparm -s (sem -s, ele espera um Enter antes de exibir as definições). É um programa de teste muito simples que verifica a consistência interna de um arquivo de configuração do smbd e relata parâmetros desconhecidos ou inválidos. Uma execução sem erros não garante que os compartilhamentos se comportem corretamente, apenas que o smbd conseguirá carregar o arquivo.
4. Aplique a mudança sem reiniciar o daemon: como root, smbcontrol all reload-config força o daemon a recarregar o arquivo de configuração smb.conf, e all envia a mensagem a todos os smbd, nmbd e winbindd em execução.
5. Confirme que o SMB1 continua desativado: desde o Samba 4.11 o padrão já é server min protocol = SMB2_02; portanto, verifique com testparm -sv | grep 'server min protocol' que ninguém o reduziu (por exemplo, para NT1) e defina-o explicitamente apenas em versões mais antigas. Essa opção controla a versão mínima do protocolo que o servidor permite que o cliente use.

Resultado esperado

O testparm não mostra erros e exibe a lista de compartilhamentos interpretada; uma montagem a partir de um cliente ou smbclient -L localhost -U <user> confirma que o compartilhamento está acessível; smbstatus (como root) lista as sessões conectadas com a versão do protocolo de cada uma, e nenhuma delas usa NT1.

Limites e base de verificação

O sucesso do testparm não garante que um compartilhamento se comporte como o esperado, apenas que o arquivo é interpretado sem erros; teste também uma montagem real. Migrar um servidor autônomo existente para security = ads exige reprovisionar o mapeamento de identidades e causa interrupções; planeje uma janela de migração e faça antes um backup do smb.conf e do arquivo do smbpasswd. O reload do smbcontrol não reinicia os sockets de escuta, de modo que uma mudança de endereço de bind ou de porta ainda exige um reinício completo.