unix网络配置技巧

smaba的使用和介绍

下载

第7章 Samba认证 “有视觉和听觉能力的人可能都认为没有一个凡人能保守秘密。即使他不说话，他也可以通过指尖进行交谈，各种各样的地方都可以泄漏他的秘密。” Sigmund Freud计算机和网络安全也是如此。你的服务器能保守机密而不泄露吗？是通过网络传送未加密的文本口令吗？本章我们将讨论不同的 S a m b a认证和访问控制机制。我们将讨论如何用 S a m b a集成和同步 U N I X和Wi n d o w s帐号信息，同各种认证服务交互以及减少未加密文本口令在网络上的使用。

7.1认证机制 S a m b a提供了四种认证网络客户对某个共享资源访问权的机制。首先， S a m b a根据客户机的I P地址接受或拒绝连接请求。这种机制的安全级别比较低。任何在有合法 I P地址的客户机上拥有帐号的用户都可以访问共享资源。第二种方法是， S a m b a可以根据 U N I X认证资源，如/etc/passwd、NIS和Kerberos检查用户提供的未加密的用户名和/或口令。在用认证资源检验未加密口令的正确性之前， S a m b a用有关的 U N I X密码对它加密。第三， S a m b a和客户机协商进行N T L M式加密，并用一个独立的/ u s r/ l o c a l/ s a m b a/ p r i v a t e/ s m b p a s s w d文件检验口令的合法性。这一方法需要维护服务器的 UNIX passwd数据库和smbpasswd数据库，并使二者保持一致。最后一种方法是， S a m b a将用户的身份说明发送给第三方认证服务器进行认证。远程认证服务器可以是另一个 S a m b a服务器或 N T域控制器。一旦远程服务器认为客户身份有效，客户就可以获得对远程资源的访问权。 7.1.1通过IP地址认证在第6章“安全和访问控制”小节中，我们讨论了使用 hosts allow和hosts deny参数通过客户机IP地址限制访问权限的方法。这种方法用 NetBIOS域名、IP地址和子网掩码指定可以进行访问的客户机和被禁止访问的客户机。可以用 except关键字连接子网掩码和 IP地址以包括或排除组中的特定计算机(见样例 7-1)。 样例7-1用主机名或IP地址限制主机访问权限

7.1.2认证级别可以通过设置一个全局的 s e c u r i t y参数来指定采用何种方法进行用户级别的认证。尽管 security参数可以有四个预定义的值： share、user、server和domain,在实际的 Samba应用中只支持两种级别的用户认证， s h a r e和u s e r。服务器和域选项是用户级认证的有效扩展。这些设