содержание .. 9 10 11 12 ..

Альт Сервер 9.2. Руководство пользователя (2021 год) - часть 11

Глава

48. Samba

режиме

файлового

сервера

Samba

—

пакет

программ

которые

позволяют

обращаться

сетевым

дискам

принтерам

на

различных

операционных

системах

по

протоколу

SMB/CIFS.

Имеет

клиентскую

серверную

части

48.1.

Настройка

smb.conf

Пример

настройки

/etc/samba/smb.conf

для

работы

Samba

режиме

файлового

сервера

двумя

открытыми

для

общего

доступа

ресурсами

принтером

(

закомментированные

параметры

действуют

по

умолчанию

    workgroup = workgroup
    server string = Samba Server Version %v
    map to guest = Bad User
;   idmap config * : backend = tdb
    guest ok = yes
    cups options = raw
    security = user
;   encrypt passwords = yes
;   guest account = nobody

[printers]
    comment = All Printers
    path = /var/spool/samba
    browseable = no
;   guest ok = no
;   writable = No
    printable = yes

# A publicly accessible directory, but read only, except for people in
# the "staff" group
[public]
    comment = Public Stuff
    path = /home/samba
    public = yes
    writable = yes
;   printable = no
    write list = +staff
;   browseable = yes

[Free]
    path = /mnt/win/Free
    read only = no
;   browseable = yes
    guest ok = yes

48.2.

Монтирование

ресурса

Samba

через

/etc/fstab

Создать

файл

/etc/samba/sambacreds

(

например

командой

mcedit /etc/samba/

sambacreds

содержимым

username=

имя

пользователя

password=

пароль

Для

монтирования

ресурса

Samba

/etc/fstab

необходимо

прописать

//server/public /mnt/server_public cifs users,credentials=/etc/samba/
sambacreds 0 0

Для

защиты

информации

права

на

файл

/etc/samba/sambacreds

надо

установить

так

чтобы

файл

был

доступен

только

владельцу

chmod 600 /etc/samba/sambacreds

принадлежать

root:

chown root: /etc/samba/sambacreds

Глава

49. SOGo

SOGo

—

сервер

групповой

работы

аналогичный

Microsoft Exchange,

веб

интерфейсом

доступом

по

MAPI

для

Microsoft Outlook.

SOGo

обеспечивает

веб

интерфейс

на

основе

AJAX

поддерживает

различные

нативные

клиенты

помощью

стандартных

протоколов

Возможности

SOGo:

общие

почтовые

папки

календари

адресные

книги

;

веб

интерфейс

аналогичный

Outlook Web Access;

поддержка

протоколов

CalDAV, CardDAV, GroupDAV, Microsoft ActiveSync, IMAP

SMTP;

доступ

по

MAPI

для

Microsoft Outlook,

не

требующий

внешних

модулей

;

делегирование

уведомления

резервирование

поддержка

категорий

почтовых

фильтров

;

поддержка

нескольких

почтовых

ящиков

веб

интерфейсе

;

Single sign-on

помощью

CAS, WebAuth

или

Kerberos.

Предупреждение

MAPI over HTTPS

не

поддерживается

49.1.

Установка

Для

установки

стабильной

версии

SOGo

необходимо

выполнить

команду

(

драйвер

PostgreSQL

будет

установлен

автоматически

apt-get install task-sogo

49.2.

Подготовка

среды

Подготовить

запуску

настроить

службы

PostgreSQL:

создать

системные

базы

данных

/etc/init.d/postgresql initdb

запустить

службу

service postgresql start

создать

пользователя

sogo

базу

данных

sogo (

под

правами

root):

su - postgres -s /bin/sh -c 'createuser --no-superuser --no-createdb --

no-createrole sogo'

su - postgres -s /bin/sh -c 'createdb -O sogo sogo'

service postgresql restart

Настройка

Samba DC:

Пользователи

расположены

домене

Active Directory,

расположенном

на

контроллере

Samba DC.

Необходимо

предварительно

развернуть

сервер

Samba AD DC (

см

Создать

домене

пользователя

sogo

паролем

Pa$$word (

при

запросе

дважды

ввести

пароль

samba-tool user create sogo

samba-tool user setexpiry --noexpiry sogo

Настройка

SOGo (

настраивается

на

домен

test.alt):

заполнить

файл

конфигурации

/etc/sogo/sogo.conf

{
  SOGoProfileURL = "postgresql://sogo@/sogo/sogo_user_profile";
  OCSFolderInfoURL = "postgresql://sogo@/sogo/sogo_folder_info";
  OCSSessionsFolderURL = "postgresql://sogo@/sogo/sogo_sessions_folder";
  OCSEMailAlarmsFolderURL = "postgresql://sogo@/sogo/sogo_alarms_folder";

  SOGoEnableEMailAlarms = YES;
  SOGoDraftsFolderName = Drafts;
  SOGoSentFolderName = Sent;
  SOGoTrashFolderName = Trash;
  SOGoIMAPServer = "imaps://localhost:993?
tlsVerifyMode=allowInsecureLocalhost";
  SOGoMailingMechanism = sendmail;
  SOGoForceExternalLoginWithEmail = NO;
  NGImap4ConnectionStringSeparator = "/";
  SOGoUserSources =  (
    {
        id = sambaLogin;
        displayName = "SambaLogin";
        canAuthenticate = YES;
        type = ldap;
        CNFieldName = cn;
        IDFieldName = cn;
        UIDFieldName = sAMAccountName;
        hostname = "ldaps://127.0.0.1";
        baseDN = "CN=Users,DC=test,DC=alt";
        bindDN = "CN=sogo,CN=Users,DC=test,DC=alt";
        bindPassword = "Pa$$word";
        bindFields = (sAMAccountName);
    },
    {
        id = sambaShared;
        displayName = "Shared Addressbook";
        canAuthenticate = NO;
        isAddressBook = YES;
        type = ldap;
        CNFieldName = cn;
        IDFieldName = mail;
        UIDFieldName = mail;
        hostname = "ldaps://127.0.0.1";
        baseDN = "CN=Users,DC=test,DC=alt";
        bindDN = "CN=sogo,CN=Users,DC=test,DC=alt";
        bindPassword = "Pa$$word";
        filter = "((NOT isCriticalSystemObject='TRUE') AND (mail='*') AND
(NOT objectClass=contact))";
    },
    {
        id = sambaContacts;
        displayName = "Shared Contacts";
        canAuthenticate = NO;
        isAddressBook = YES;
        type = ldap;
        CNFieldName = cn;
        IDFieldName = mail;
        UIDFieldName = mail;
        hostname = "ldaps://127.0.0.1";
        baseDN = "CN=Users,DC=test,DC=alt";
        bindDN = "CN=sogo,CN=Users,DC=test,DC=alt";
        bindPassword = "Pa$$word";
        filter = "((((objectClass=person) AND (objectClass=contact) AND
((uidNumber>=2000) OR (mail='*')))
                 AND (NOT isCriticalSystemObject='TRUE') AND (NOT
showInAdvancedViewOnly='TRUE') AND (NOT uid=Guest))
                 OR (((objectClass=group) AND (gidNumber>=2000)) AND (NOT
isCriticalSystemObject='TRUE') AND (NOT showInAdvancedViewOnly='TRUE')))";

        mapping = {
            displayname = ("cn");
        };
    }
  );
  SOGoSieveScriptsEnabled = YES;
  SOGoLanguage = Russian;
  SOGoTimeZone = Europe/Moscow;
  SOGoFirstDayOfWeek = 1;
}

включить

службы

по

умолчанию

перезапустить

их

for s in samba postgresql memcached sogo httpd2;do chkconfig $s

on;service $s restart;done

Возможные

ошибки

будут

записаны

файл

журнала

/var/log/sogo/sogo.log

49.3.

Включение

веб

интерфейса

Для

включения

веб

интерфейса

необходимо

выполнить

команды

a2enmod proxy

a2enmod proxy_http

a2enmod authn_core

a2enmod authn_file

a2enmod auth_basic

a2enmod authz_user

a2enmod env

a2enmod dav

a2enmod headers

a2enmod rewrite

a2enmod version

a2enmod setenvif

a2ensite SOGo

service httpd2 restart

service sogo restart

Теперь

можно

войти

по

адресу

https://<

адрес

сервера

>/SOGo/

Примечание

Если

при

входе

веб

интерфейс

возникает

ошибка

Неправильный

логин

или

пароль

логах

/var/log/sogo/sogo.log

есть

ошибки

вида

Jul 06 16:14:51 sogod [12257]: [ERROR] <0x0x5578db070b40[LDAPSource]>
Could not bind to the LDAP server ldaps://127.0.0.1 (389) using the
bind DN: CN=sogo,CN=Users,DC=test,DC=alt

Следует

файл

/etc/openldap/ldap.conf

добавить

опцию

TLS_REQCERT allow

перезапустить

службы

samba

sogo:

service samba restart

service sogo restart

49.4.

Настройка

электронной

почты

Для

использования

электронной

почты

SOGo

необходимо

настроить

аутентификацию

Active

Directory

для

Postfix

Dovecot.

примере

используется

конфигурация

имя

домена

: test.alt;

размещение

почты

/var/mail/<

имя

домена

>/<

имя

пользователя

(

формат

maildir);

доступ

на

чтение

почты

: IMAP (

порт

993), SSL;

доступ

на

отправку

почты

: SMTP (

порт

465), SSL/STARTTLS;

данные

аутентификации

: email

доменом

(

например

, petrov@test.alt)

или

имя

пользователя

Предупреждение

Доступ

серверу

LDAP

осуществляется

по

протоколу

ldap

без

шифрования

Для

SambaDC

необходимо

отключить

ldaps

/etc/samba/smb.conf

секции

[global]:

ldap server require strong auth = no

Предварительно

необходимо

создать

пользователя

vmail (

пароль

Pa$$word)

не

истекающей

учётной

записью

samba-tool user create -W Users vmail

samba-tool user setexpiry vmail --noexpiry

49.4.1.

Настройка

Postfix

Установить

пакет

postfix-ldap:

apt-get install postfix-ldap

каталоге

/etc/postfix

изменить

файлы

для

домена

test.alt:

изменить

содержимое

файла

main.cf

# Global Postfix configuration file.  This file lists only a small subset
# of all parameters.  For the syntax, and for a complete parameter list,
# see the postconf(5) manual page.  For a commented and more complete
# version of this file see /etc/postfix/main.cf.dist
mailbox_command = /usr/libexec/dovecot/dovecot-lda -f "$SENDER" -a
"$RECIPIENT"
inet_protocols = ipv4

# Mappings
virtual_mailbox_base = /var/mail
virtual_mailbox_domains = test.alt
virtual_mailbox_maps = ldap:/etc/postfix/ad_local_recipients.cf
virtual_alias_maps = ldap:/etc/postfix/ad_mail_groups.cf
virtual_transport = dovecot
local_transport = virtual
local_recipient_maps = $virtual_mailbox_maps

# SSL/TLS
smtpd_use_tls = yes
smtpd_tls_security_level = encrypt
#smtpd_tls_security_level = may
smtpd_sasl_auth_enable = yes
smtpd_sasl_local_domain = test.alt
smtpd_sasl_path = private/auth
smtpd_sasl_type = dovecot
smtpd_sender_login_maps = ldap:/etc/postfix/ad_sender_login.cf
smtpd_tls_auth_only = yes
smtpd_tls_cert_file = /var/lib/ssl/certs/dovecot.cert
smtpd_tls_key_file = /var/lib/ssl/private/dovecot.key
smtpd_tls_CAfile = /var/lib/ssl/certs/dovecot.pem

smtpd_recipient_restrictions = permit_mynetworks,
reject_unauth_destination, per-mit_sasl_authenticated, reject
smtpd_sender_restrictions = reject_authenticated_sender_login_mismatch

файл

/etc/postfix/mydestination

должен

быть

пустым

;

файл

master.cf

необходимо

добавить

строки

dovecot   unix  -       n       n       -       -       pipe
  flags=DRhu user=mail:mail argv=/usr/libexec/dovecot/deliver -d $
{recipient}
smtps     inet  n       -       n       -       -       smtpd
  -o smtpd_tls_wrappermode=yes
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject

создать

файл

ad_local_recipients.cf

version = 3
server_host = test.alt:389
search_base = dc=test,dc=alt
scope = sub
query_filter = (&(|(mail=%s)(otherMailbox=%u@%d))
(sAMAccountType=805306368))
result_filter = %s
result_attribute = mail
special_result_attribute = member

bind = yes
bind_dn = cn=vmail,cn=users,dc=test,dc=alt
bind_pw = Pa$$word

создать

файл

ad_mail_groups.cf

version = 3
server_host = test.alt:389
search_base = dc=test,dc=alt
timeout = 3
scope = sub
query_filter = (&(mail=%s)(sAMAccountType=268435456))
result_filter = %s
result_attribute = mail
special_result_attribute = member

bind = yes
bind_dn = cn=vmail,cn=users,dc=test,dc=alt
bind_pw = Pa$$word

создать

файл

ad_sender_login.cf

version = 3
server_host = test.alt:389
search_base = dc=test,dc=alt
scope = sub
query_filter = (&(objectClass=user)(|(sAMAccountName=%s)(mail=%s)))
result_attribute = mail

bind = yes
bind_dn = cn=vmail,cn=users,dc=test,dc=alt
bind_pw = Pa$$word

перезапустить

службу

postfix:

service postfix restart

Проверка

конфигурации

Postfix (

выводе

не

должно

быть

никаких

сообщений

postconf >/dev/null

Проверка

пользователя

почты

petrov:

postmap -q petrov@test.alt ldap:/etc/postfix/ad_local_recipients.cf

petrov@test.alt

Проверка

входа

postmap -q petrov@test.alt ldap:/etc/postfix/ad_sender_login.cf

petrov@test.alt

Проверка

общего

адреса

e-mail:

samba-tool group add --mail-address=sales@test.alt Sales

Added group Sales
#

samba-tool group addmembers Sales ivanov,petrov

Added members to group Sales
#

postmap -q sales@test.alt ldap:/etc/postfix/ad_mail_groups.cf

sales@test.alt,ivanov@test.alt,petrov@test.alt

49.4.2.

Настройка

Dovecot

Установить

Dovecot:

apt-get install dovecot

Изменить

файлы

для

домена

test.alt:

создать

файл

/etc/dovecot/dovecot-ldap.conf.ext

hosts            = test.alt:3268
ldap_version     = 3
auth_bind        = yes
dn               = cn=vmail,cn=Users,dc=test,dc=alt
dnpass           = Pa$$word
base             = cn=Users,dc=test,dc=alt
scope            = subtree
deref            = never

user_filter = (&(objectClass=user)(|(mail=%Lu)(sAMAccountName=%Lu)))
user_attrs = =uid=8,gid=12,mail=user
pass_filter = (&(objectClass=user)(|(mail=%Lu)(sAMAccountName=%Lu)))
pass_attrs = mail=user

изменить

файл

/etc/dovecot/conf.d/10-auth.conf

#auth_username_format = %Lu
#auth_gssapi_hostname = "$ALL"
#auth_krb5_keytab = /etc/dovecot/dovecot.keytab
#auth_use_winbind = no
#auth_winbind_helper_path = /usr/bin/ntlm_auth
#auth_failure_delay = 2 secs
auth_mechanisms = plain
!include auth-ldap.conf.ext

изменить

файл

/etc/dovecot/conf.d/10-mail.conf

mail_location = maildir:/var/mail/%d/%n:UTF-8:INBOX=/var/mail/%d/%n/Inbox
mail_uid = mail
mail_gid = mail
first_valid_uid = 5
first_valid_gid = 5

изменить

файл

/etc/dovecot/conf.d/10-master.conf

service imap-login {
  inet_listener imap {
    port = 0
  }
  inet_listener imaps {
  }
}
service pop3-login {
  inet_listener pop3 {
    port = 0
  }
  inet_listener pop3s {
    port = 0
  }
}
service lmtp {
  unix_listener lmtp {
  }
}
service imap {
}
service pop3 {
}
service auth {
  unix_listener auth-userdb {
  }
  unix_listener /var/spool/postfix/private/auth {
    mode = 0600
    user = postfix
    group = postfix
  }
}
service auth-worker {
}
service dict {
  unix_listener dict {
  }
}

изменить

файл

/etc/dovecot/conf.d/15-lda.conf

protocol lda {
hostname = test.alt
postmaster_address = administrator@test.alt
}

изменить

файл

/etc/dovecot/conf.d/15-mailboxes.conf

namespace inbox {
  inbox = yes
  mailbox Drafts {
    auto = subscribe
    special_use = \Drafts
  }
  mailbox Junk {
    auto = subscribe
    special_use = \Junk
  }
  mailbox Trash {
    auto = subscribe
    special_use = \Trash
  }
  mailbox Sent {
    auto = subscribe
    special_use = \Sent
  }
  mailbox "Sent Messages" {
    special_use = \Sent
  }
}

перезапустить

службу

dovecot:

service dovecot restart

Проверка

конфигурации

Dovecot (

выводе

не

должно

быть

никаких

сообщений

doveconf >/dev/null

49.4.3.

Безопасность

Так

как

конфигурационные

файлы

содержат

пароль

пользователя

LDAP,

их

необходимо

сделать

недоступным

для

чтения

прочим

пользовате

chown dovecot:root /etc/dovecot/dovecot-ldap.conf.ext

chmod 0640 /etc/dovecot/dovecot-ldap.conf.ext

chown root:postfix /etc/postfix/ad_local_recipients.cf /etc/postfix/

ad_mail_groups.cf /etc/postfix/ad_sender_login.cf

chmod 0640 /etc/postfix/ad_local_recipients.cf /etc/postfix/

ad_mail_groups.cf /etc/postfix/ad_sender_login.cf

Перезапустить

службы

service dovecot restart

service postfix restart

49.4.4.

Проверка

конфигурации

Проверка

SMTP:

date | mail -s test petrov@test.alt

mailq

Mail queue is empty

Проверка

IMAP (

выход

по

Ctrl

openssl s_client -crlf -connect test.alt:993

...
tag login petrov@test.alt Pa$$word
tag OK [CAPABILITY IMAP4rev1 LITERAL+ SASL-IR LOGIN-REFERRALS ID ENABLE
IDLE SORT SORT=DISPLAY THREAD=REFERENCES THREAD=REFS THREAD=ORDEREDSUBJECT
MULTIAPPEND URL-PARTIAL CATENATE UNSELECT CHILDREN NAMESPACE UIDPLUS
LIST-EXTENDED I18NLEVEL=1 CONDSTORE QRESYNC ESEARCH ESORT SEARCHRES
WITHIN CONTEXT=SEARCH LIST-STATUS BINARY MOVE] Logged in

Глава

50. FreeIPA

FreeIPA

—

это

комплексное

решение

по

управлению

безопасностью

Linux-

систем

, 389 Directory

Server, MIT Kerberos, NTP, DNS, Dogtag,

состоит

из

веб

интерфейса

командной

строки

FreeIPA

является

интегрированной

системой

проверки

подлинности

авторизации

сетевой

среде

Linux, FreeIPA

сервер

обеспечивает

централизованную

проверку

подлинности

авторизацию

контроль

за

аккаунтами

пользователей

сохраняя

сведения

пользователе

группах

узлах

других

объектах

необходимых

для

обеспечения

сетевой

безопасности

50.1.

Установка

сервера

FreeIPA

качестве

примера

показана

установка

сервера

FreeIPA

со

встроенным

DNS

сервером

доменом

EXAMPLE.TEST

локальной

сети

192.168.0.0/24.

Во

избежание

конфликтов

разворачиваемым

tomcat

необходимо

отключить

ahttpd,

работающий

на

порту

8080,

также

отключить

HTTPS

Apache2:

service ahttpd stop

a2dissite 000-default_https

a2disport https

service httpd2 condreload

Установить

необходимые

пакеты

(

если

во

время

установки

сервера

не

был

выбран

пункт

сервер

FreeIPA):

apt-get install freeipa-server freeipa-server-dns

Задать

имя

сервера

hostnamectl set-hostname ipa.example.test

Запустить

скрипт

настройки

сервера

пакетном

режиме

ipa-server-install -U --hostname=$(hostname) -r EXAMPLE.TEST -n

example.test -p 12345678 -a 12345678 --setup-dns --no-forwarders --no-reverse

Предупреждение

Если

дальнейшем

на

данной

машине

будет

настраиваться

Fleet Commander Admin

необходимо

устанавливать

настраивать

FreeIPA

сервер

созданием

домашнего

каталога

(

опция

--mkhomedir

ipa-server-install -U --hostname=$(hostname) -r EXAMPLE.TEST -n

example.test -p 12345678 -a 12345678 --setup-dns --no-forwarders --no-
reverse --mkhomedir

Или

интерактивно

ipa-server-install

Предупреждение

Пароли

должны

быть

не

менее

символов

Обратите

внимание

на

ответ

на

вопрос

не

совпадающий

предложенным

Do you want to configure integrated DNS (BIND)? [no]: yes

остальные

вопросы

необходимо

выбрать

по

умолчанию

(

можно

просто

нажать

Enter

Так

же

при

установке

необходимо

ввести

пароль

администратора

системы

пароль

администратора

каталогов

Для

возможности

управлять

FreeIPA

сервером

из

командной

строки

необходимо

получить

билет

Kerberos:

kinit admin

Добавить

DNS

запись

сервере

времени

ipa dnsrecord-add example.test _ntp._udp --srv-priority=0 --srv-weight=100

--srv-port=123 --srv-target=ipa.example.test.

Проверить

работу

ntp

сервера

можно

командой

ntpdate -q localhost

server 127.0.0.1, stratum 3, offset 0.000018, delay 0.02568
27 Nov 10:27:00 ntpdate[29854]: adjust time server 127.0.0.1 offset 0.000018
sec

Веб

интерфейс

доступен

по

адресу

https://ipa.example.test/ipa/ui/

50.2.

Добавление

новых

пользователей

домена

Для

добавления

новых

пользователей

можно

воспользоваться

веб

интерфейсом

FreeIPA.

Для

этого

необходимо

открыть

веб

браузере

адрес

https://ipa.example.test/ipa/ui/

ввести

данные

администратора

для

входа

систему

После

успешной

авторизации

можно

создать

нового

пользователя

домена

Для

этого

окне

Пользователи

домена

необходимо

нажать

кнопку

Добавить

открывшемся

окне

необходимо

ввести

данные

пользователя

нажать

кнопку

Добавить

Созданный

пользователь

появится

списке

пользователей

содержание .. 9 10 11 12 ..