![专用服务器上的 Samba4 和 Kerberos 配置](https://linux22.com/image/658243/%E4%B8%93%E7%94%A8%E6%9C%8D%E5%8A%A1%E5%99%A8%E4%B8%8A%E7%9A%84%20Samba4%20%E5%92%8C%20Kerberos%20%E9%85%8D%E7%BD%AE.png)
我尝试在 kimsufi.com 的专用服务器上设置 Samba 4,但在配置 Kerberos 和 Samba4 时遇到了困难。
我对 Kerberos 和 Samba 中的 IP、领域、域、NetBIOS、DNS 等非常困惑。我在 Google 上找到的所有教程似乎都涉及 LAN 中的家庭服务器并显示 TEST.LOCAL 之类的域,但我在互联网上的机器的 IP 不同于 192.168...
我的问题是:在我的具体情况下配置如何?
我的服务器的详细信息(Debian 7.8):
主机名:ks12345xxx.kimsufi.com
IP:37.187.xx.xxx
/等/主机:
127.0.0.1 本地主机.本地域 本地主机
37.187.xx.xxx ks12345xxx.kimsufi.com ks12345xxx
/ect/主机名:
ks12345xxx.kimsufi.com
/etc/sesolve.conf:
名称服务器 127.0.0.1
名称服务器 213.186.33.99
搜索 ovh.net
期间凯尔伯罗斯安装我得到以下默认值:
Kerberos 版本 5 领域:KIMSUFI.COM
对吗?kimsufi.com 无法访问服务器,因为这是我的托管商的域名
您所在领域的 Kerberos 服务器:
默认为空。我应该输入什么?什么都不输入,还是我的主机名 ks12345xxx?
您的 Kerberos 领域的管理服务器:
默认为空。我应该输入什么?什么都不输入,还是我的主机名 ks12345xxx?
期间SAMBA4 配置通过“samba-tool domain provision”,我得到了这些默认值:
境界[KIMSUFI.COM]:
与 Kerberos 安装有同样的担忧:对吗,kimsufi.com 没有指向我的服务器
域名 [KIMSUFI]:
正确的?
服务器角色 (dc、成员、独立) [dc]:
DNS 后端[SAMBA_INTERNAL]:
这些都可以。
DNS转发器IP地址[127.0.0.1]:
那是对的吗?
最后我得到这个输出:
服务器角色: Active Directory 域控制器
主机名:ks12345xxx
NetBIOS 域:KIMSUFI
DNS 域名:kimsufi.com
以及/etc/samba/smb.conf
[全球的]
工作组 = KIMSUFI
领域 = KIMSUFI.COM
netbios 名称 = KS12345xxx
服务器角色 = Active Directory 域控制器
尽管 kimsufi.com 没有指向我的服务器,这种配置正确吗?
或者我需要购买一个额外的域名,比如 mysamba4server.net?
感谢任何清理建议或建议。
答案1
关于 Kerberos 配置
Samba 作为 AD/DC 附带并运行自己的 Kerberos 服务器 (KDC)。因此,无需单独安装和配置 kerberos 服务器。
此外,Samba 的配置工具 ( samba-tool domain provision
) 最后会生成一个示例krb5.conf
文件。您可以直接将其复制到/etc/krb5.conf
。
关于DNS配置
您选择使用 Samba 的内部 DNS 服务器,这是标准的安全选择。如果您的resolv.conf
文件已包含127.0.0.1
之前已包含名称服务器条目,那么您可能需要进行一些更改。假设您的服务器是不是resolv.conf
DNS 服务器,在运行 之前不应进行修改samba-tool domain provision
。然后会从您的DNS 转发器中samba-tool
提出建议,这将是正确的选择。这是 Samba 将所有不属于其自身域的请求转发到的 DNS 服务器。213.186.33.99
resolv.conf
Samba 的配置完成后,您应该将您的resolv.conf
列表更改为仅127.0.0.1
作为名称服务器。并且它应该包含kimsufi.com
域和搜索条目。但请参阅下文有关使用此域的评论。
关于使用域名 kimsufi.com
您的 Samba 服务器需要对您用作配置的域/域的 DNS 域具有权威性。这意味着您不应使用托管商的域或任何其他外部存在的域。
是否需要购买新域取决于您希望如何访问新的 Samba AD 域:
- 如果您想在隔离网络中使用它,那么您可以简单地创建一个域
mydomain.private
,让您的 AD 服务器拥有它并让您的 AD 客户端使用它。 - 如果您希望通过官方已知的互联网域名在互联网上访问您的 AD 服务器,那么您应该拥有这样的域名。这不需要完整的域名。原则上它也可以是现有域名的子域名,如,
myaddom.somedomain.com
但您需要控制它。话虽如此,在互联网上公开 AD 服务器并不是很明智,所以希望您使用第一种方法。
更多信息
看Samba AD DC 操作指南了解更多信息。