摘要
本文說明如何在Linux作業(yè)系統(tǒng)下，用Samba構(gòu)建一個沒有NT伺服器存在的NT域。(2002-11-15 09:37:46)
By
風(fēng)過留楓, 出處：轉(zhuǎn)載自賽迪網(wǎng) 作者：楊鵬
國內(nèi)用戶的中小型網(wǎng)路大量採用了Windows NT作爲(wèi)網(wǎng)路作業(yè)系統(tǒng)（NOS），提供諸如用戶管理、文件共用等基本網(wǎng)路服務(wù)。如果出於工作上的考慮，必須使用Windows NT域模型來管理網(wǎng)路，同時出於性能、經(jīng)濟(jì)或者其他方面的考慮，又想放棄NT那樣複雜的管理、昂貴的許可和不太高的效率，那麼就請進(jìn)入自由的Samba世界！Samba是一套自由的、開放源代碼的軟體。一位元傳說中的高手，依據(jù)Windows網(wǎng)路的基本協(xié)定——SMB（Server Message Block），編寫了一套將Unix系統(tǒng)與Windows網(wǎng)路完全融合的軟體。因爲(wèi)Samba剛好包含S、M、B三個字母，所以這一整套系統(tǒng)被命名爲(wèi)Samba。
Samba與Windows網(wǎng)路
Windows系列作業(yè)系統(tǒng)通過“網(wǎng)上鄰居”提供了便捷的網(wǎng)路資源訪問。這實(shí)際上是Windows瀏覽服務(wù)（請勿與Internet上的Web瀏覽混淆）提供的支援。Windows瀏覽服務(wù)基於NetBIOS（名字），每臺Windows主機(jī)都會向網(wǎng)路發(fā)送Windows瀏覽資訊，並保留一份網(wǎng)路主機(jī)名單。這樣，當(dāng)打開網(wǎng)上鄰居的時候，就可以看見所有機(jī)器的NetBIOS名字。由於這份名單定時更新，所以當(dāng)某些機(jī)器關(guān)機(jī)後，我們?nèi)匀荒軌蛟诰W(wǎng)上看見它。
在域模式出現(xiàn)以前Windows網(wǎng)路是基於工作組的，每臺主機(jī)都要負(fù)責(zé)維護(hù)自己的用戶名/密碼，以及共用資源認(rèn)證。這樣難於保證網(wǎng)路的安全和性能，而且訪問不同機(jī)器的不同資源都要提供相應(yīng)的密碼，非常繁瑣和低效。根據(jù)商業(yè)用戶對安全和工作效率的要求，Windows商業(yè)網(wǎng)絡(luò)提出了域的概念。在帶有域的Windows網(wǎng)路中，主網(wǎng)域控制器自動成爲(wèi)主瀏覽伺服器，負(fù)責(zé)提供並維護(hù)這份名單，其他Windows NT機(jī)器可以競選成爲(wèi)輔助瀏覽伺服器協(xié)助工作。域提供統(tǒng)一的安全措施，所有用戶的認(rèn)證和資源分享工作由主網(wǎng)域控制器進(jìn)行管理，可以實(shí)現(xiàn)整個域內(nèi)一次認(rèn)證、處處通行的目的。
Samba是一套自由的、開放源代碼的軟體，雖然無法公開得到應(yīng)有的技術(shù)資料（因爲(wèi)SMB協(xié)定是私有的），但它還是逐步發(fā)展起來?，F(xiàn)在，Samba已不是簡單的Unix/Linux與Windows間的橋梁，它可以讓Unix系統(tǒng)代替NT主網(wǎng)域控制器管理整個Windows網(wǎng)路。這樣，我們不需要真正的NT伺服器，也可以構(gòu)建真正的Windows 域網(wǎng)路。
Samba能夠模仿NT PDC向網(wǎng)路發(fā)送PDC競選消息，並允許Windows客戶機(jī)登錄，就像一臺NT PDC所做的那樣。它會在啓動時告訴其他Windows機(jī)器：我是主網(wǎng)域控制器，登錄認(rèn)證找我好了。此時域中就不能再有其他聲明爲(wèi)PDC的NT Server了，否則會導(dǎo)致PDC競選失敗，並且Samba必須提供域登錄，這樣Windows客戶才能在啓動時輸入用戶名、密碼和功能變數(shù)名稱登錄到域。需要注意的是，此時的安全級別必須是user，因爲(wèi)server和domain級別的認(rèn)證都需要其他伺服器配合，而PDC卻只有一個。這樣，實(shí)際上使用了本地密碼，最後出於安全的考慮必須使用加密密碼。
伺服器的配置
下面是Linux下作爲(wèi)PDC的Samba伺服器的基本配置：
[global]
…… 其他全局參數(shù) ……
workgroup = Samba.net
netbios name = PDC
securety = user
domain logons = true
encrypt passwords = true
domain master = true
preferred master = true
local master = true
……
domain login表示Samba提供客戶機(jī)的域登錄；encrypt passwords表示使用加密的密碼；domain master表示Samba宣告自己是這個域的主網(wǎng)域控制器；preferred master則是附加的競選選項(xiàng)；local master讓Samba不但提供域?yàn)g覽，也提供本地瀏覽服務(wù)。
這樣配置以後，根據(jù)NT域管理還要添加域用戶。這個步驟很簡單：
首先創(chuàng)建一個本地Unix賬號：
useradd -r myaccount
這條命令創(chuàng)建了一個名爲(wèi)myaccount的普通Unix用戶。
然後根據(jù)它創(chuàng)建一個Samba用戶：
smbadduser myaccount:mysmbact
或者是：
smbpasswd -a myaccount
用戶端設(shè)置
普通的Windows 9X（95/ME）用戶端設(shè)置非常簡單，因爲(wèi)完全不需要設(shè)置就可以正常登錄到Samba.net域。它根本不知道網(wǎng)域控制器已經(jīng)由NT Server變成了Samba Server。它可以執(zhí)行登錄腳本，可以應(yīng)用系統(tǒng)策略和用戶配置文件，以及其他需要在NT Server上完成的所有事情。
如果用戶端是NT 4.0/2000就麻煩一點(diǎn)，因爲(wèi)NT的域認(rèn)證基於機(jī)器信任賬號來進(jìn)行。所以必須在Samba伺服器上先創(chuàng)建機(jī)器賬號。下面以一個名爲(wèi)w2000的電腦爲(wèi)例（由於這部分NT和2000差別不大，我們通稱爲(wèi)NT）：
useradd -d /dev/null -r w2000$ -s /bin/false
我們創(chuàng)建了一個Unix本地賬號，出於安全考慮不需要它登錄到Linux進(jìn)行任何操作，因此它的用戶目錄是/dev/null，Shell是/bin/false。
然後，我們就可以用smbpasswd創(chuàng)建相應(yīng)的Samba機(jī)器賬號：
smbpasswd -a -m w2000
其中，-a是添加，-m是機(jī)器信任賬號。這樣，依據(jù)w2000$的Unix賬號創(chuàng)建了一個NT域的機(jī)器信任賬號w2000。
如果在安裝NT時加入Samba域，可以直接選擇將機(jī)器加入到域中，但最好不要選擇在域中添加電腦賬號。因爲(wèi)這樣必須在Linux上設(shè)置相應(yīng)的執(zhí)行腳本，對初學(xué)者來說不但麻煩，而且極易出錯。
如果在已安裝的NT工作站上重新加入到域，會要求提供可在域中添加賬號的用戶名和密碼，比如普通NT Server上的Administrator，在Samba伺服器上可以用root組的成員來完成這一操作。如果不敢確定，我們可以創(chuàng)建一個root的Samba賬號：
smbadduser root:root
輸入兩遍口令。
這樣，Samba的工作就完成了，在NT用戶端上執(zhí)行更改用戶或網(wǎng)路ID（Win2000），輸入用戶名（Samba密碼文件中必須存在這個用戶）、域和密碼，就會加入到Samba域。如果要提供可以添加賬號的用戶名，使用前面的root即可。
結(jié)束語
通過Samba PDC，我們可以將Windows網(wǎng)路管理全部納入Linux之中，從而利用Linux配置、管理靈活的特點(diǎn)，可以方便地實(shí)現(xiàn)文件共用認(rèn)證、印表機(jī)共用和其他一些常用的功能。
由於SMB協(xié)定的性質(zhì)，Samba開發(fā)小組無法獲得協(xié)定細(xì)節(jié)。因此，目前的Samba PDC對較爲(wèi)複雜的域結(jié)構(gòu)支援尚不夠完善。
例如，它不支援其他Windows NT伺服器作爲(wèi)備份網(wǎng)域控制器（BDC）。也就是說，域中只能存在一個網(wǎng)域控制器。在大型網(wǎng)路中，大量的認(rèn)證會話可能會影響伺服器性能。
另外，它在用戶端對文件共用進(jìn)行管理時可能存在一些問題，而且不支援多主域結(jié)構(gòu)，無法建立兩個域之間的信任關(guān)係。我們相信這些問題都會被一一解決。
from:
http://linux.tnc.edu.tw/techdoc/collections/nont-withnt.html
