☰

专用服务器上的 Samba4 和 Kerberos 配置

tag-icon • tag-icon kerberos dedicated-server samba4
专用服务器上的 Samba4 和 Kerberos 配置

我尝试在 kimsufi.com 的专用服务器上设置 Samba 4，但在配置 Kerberos 和 Samba4 时遇到了困难。

我对 Kerberos 和 Samba 中的 IP、领域、域、NetBIOS、DNS 等非常困惑。我在 Google 上找到的所有教程似乎都涉及 LAN 中的家庭服务器并显示 TEST.LOCAL 之类的域，但我在互联网上的机器的 IP 不同于 192.168...

我的问题是：在我的具体情况下配置如何？

我的服务器的详细信息（Debian 7.8）：

主机名：ks12345xxx.kimsufi.com

IP：37.187.xx.xxx

/等/主机：

127.0.0.1 本地主机.本地域 本地主机

37.187.xx.xxx ks12345xxx.kimsufi.com ks12345xxx

/ect/主机名：

ks12345xxx.kimsufi.com

/etc/sesolve.conf：

名称服务器 127.0.0.1

名称服务器 213.186.33.99

搜索 ovh.net

期间凯尔伯罗斯安装我得到以下默认值：

Kerberos 版本 5 领域：KIMSUFI.COM

对吗？kimsufi.com 无法访问服务器，因为这是我的托管商的域名

您所在领域的 Kerberos 服务器：

默认为空。我应该输入什么？什么都不输入，还是我的主机名 ks12345xxx？

您的 Kerberos 领域的管理服务器：

默认为空。我应该输入什么？什么都不输入，还是我的主机名 ks12345xxx？

期间SAMBA4 配置通过“samba-tool domain provision”，我得到了这些默认值：

境界[KIMSUFI.COM]：

与 Kerberos 安装有同样的担忧：对吗，kimsufi.com 没有指向我的服务器

域名 [KIMSUFI]：

正确的？

服务器角色 (dc、成员、独立) [dc]:

DNS 后端[SAMBA_INTERNAL]：

这些都可以。

DNS转发器IP地址[127.0.0.1]：

那是对的吗？

最后我得到这个输出：

服务器角色： Active Directory 域控制器

主机名：ks12345xxx

NetBIOS 域：KIMSUFI

DNS 域名：kimsufi.com

以及/etc/samba/smb.conf

[全球的]

工作组 = KIMSUFI

领域 = KIMSUFI.COM

netbios 名称 = KS12345xxx

服务器角色 = Active Directory 域控制器

尽管 kimsufi.com 没有指向我的服务器，这种配置正确吗？

或者我需要购买一个额外的域名，比如 mysamba4server.net？

感谢任何清理建议或建议。

答案1

关于 Kerberos 配置

Samba 作为 AD/DC 附带并运行自己的 Kerberos 服务器 (KDC)。因此，无需单独安装和配置 kerberos 服务器。

此外，Samba 的配置工具 ( samba-tool domain provision) 最后会生成一个示例krb5.conf文件。您可以直接将其复制到/etc/krb5.conf。

关于DNS配置

您选择使用 Samba 的内部 DNS 服务器，这是标准的安全选择。如果您的resolv.conf文件已包含127.0.0.1之前已包含名称服务器条目，那么您可能需要进行一些更改。假设您的服务器是不是resolv.confDNS 服务器，在运行 之前不应进行修改samba-tool domain provision。然后会从您的DNS 转发器中samba-tool提出建议，这将是正确的选择。这是 Samba 将所有不属于其自身域的请求转发到的 DNS 服务器。213.186.33.99resolv.conf

Samba 的配置完成后，您应该将您的resolv.conf 列表更改为仅127.0.0.1作为名称服务器。并且它应该包含kimsufi.com域和搜索条目。但请参阅下文有关使用此域的评论。

关于使用域名 kimsufi.com

您的 Samba 服务器需要对您用作配置的域/域的 DNS 域具有权威性。这意味着您不应使用托管商的域或任何其他外部存在的域。

是否需要购买新域取决于您希望如何访问新的 Samba AD 域：

  1. 如果您想在隔离网络中使用它，那么您可以简单地创建一个域mydomain.private，让您的 AD 服务器拥有它并让您的 AD 客户端使用它。
  2. 如果您希望通过官方已知的互联网域名在互联网上访问您的 AD 服务器，那么您应该拥有这样的域名。这不需要完整的域名。原则上它也可以是现有域名的子域名，如，myaddom.somedomain.com但您需要控制它。话虽如此，在互联网上公开 AD 服务器并不是很明智，所以希望您使用第一种方法。

更多信息

看Samba AD DC 操作指南了解更多信息。

相关内容