Linux server probleempjes

[Verwijderd]

Voor een jongeren centrum heb ik een Linux server gemaakt.

Hierop draait Debian Sarge en zijn de volgende services geinstalleerd:

Linux 2.4.29
- mppe_mppc kernel patch,
- iptables 1.3.1 gecompileerd en netfilter patch-o-matic pptp-contrack en nat patch.
- Het bestand systeem is reiserfs versie 3 zonder extended attributes
Poptop 1.2.1
Samba 3.0.10
dnsmasq dns forwarder versie 2.20
Ssh
dhcpd 3
Cups voor de printers.

Het netwerk bestaat uit 3 kantoor pc's en vier internet pc's in een Internet Cafe. Alle client pc's draaien Windows XP. Er staat in het kantoor een HP 2300n netwerk printer die ik direct heb gedeelt via Cups.

De drie kantoor pc's hangen in het domein. De internet Cafe pc's zitten in een werkgroep en zijn volledig afgeschermd met de Internet Cafe software Sitekiosk. Alle pc's hebben via de Linux Server toegang tot het internet.

In het Jongeren Centrum werken 3 vaste medewerkers en een aantal stagiaires. Het netwerk en de computers worden vooral gebruikt om:

- Internet en e-mail
- Posters maken voor nieuwe activiteiten.
- Diverse zaken m.b.t. Jeugd problematiek registeren
- Foto's opslaan die gemaakt zijn tijdens activiteiten.
- De ontwikkeling van een komende website.

Het draait nu allemaal goed maar toch ben ik nog tegen een aantal problemen aangelopen de ik jullie graag wil voorleggen.

Eerste probleem met de dhcp server.

Dhcpd 3:

code:

# dhcpd.conf

ddns-update-style none;
ignore-client-updates;

default-lease-time 600;
max-lease-time 7200;
option subnet-mask 255.255.255.0;
option broadcast-address 192.168.51.255;
option routers 192.168.51.1;
option domain-name "jop.lan";
option domain-name-servers 192.168.51.1;
option netbios-name-servers 192.168.51.1;
option netbios-node-type 1;

authoritative;
subnet 192.168.51.0 netmask 255.255.255.0 {
    range 192.168.51.10 192.168.51.17;
}

host hp2300n {
hardware ethernet 00:30:6E:F7:E6:23;
fixed-address 192.168.51.10;
}

host hzmst0j {
hardware ethernet 00:0B:DB:51:4D:79;
fixed-address 192.168.51.11;
}

host jtmst0j {
hardware ethernet 00:0B:DB:51:62:53;
fixed-address 192.168.51.12;
}

host fzmst0j {
hardware ethernet 00:0B:DB:43:E7:8C;
fixed-address 192.168.51.13;
}

host internetpc1 {
hardware ethernet 00:0F:1F:5C:87:75;
fixed-address 192.168.51.14;
}

host internetpc2 {
hardware ethernet 00:0F:1F:5C:87:E0;
fixed-address 192.168.51.15;
}

host internetpc3 {
hardware ethernet 00:0F:1F:5C:82:91;
fixed-address 192.168.51.16;
}

host internetpc4 {
hardware ethernet 00:0F:1F:5C:87:AC;
fixed-address 192.168.51.17;
}

De ip adressen worden statisch toegewezen op basis van het Mac adres. De pc's en de printer heb ik ook toegevoegd aan /etc/hosts. Ik heb echter gemerkt dat vreemde pc's ook een ip adres krijgen toegewezen. Is het mogelijk om machines met een niet gedefineerd Mac geen ip adres toe te laten wijzen. Want nu krijgen ze een adres uit de pool en krijg je ip conflicten op het netwerk.

Ook krijg ik de volgende waarschuwingen in de logboeken:

code:

Dynamic and static leases present for 192.168.51.17.
Remove host declaration internetpc4 or remove 192.168.51.17
from the dynamic address pool for 192.168.51.0/24

Klopt het dat ik de statische ip's buiten mijn pool moet houden?

De samba configuratie ben ik begonnen met smbpasswd als password backend. Ik heb de machines met dit password backend aan het domain gehangen. Later heb ik met het commando:
pdbedit -i smbpasswd -e tdbsam de gebruikers database overgezet en ben ik tdbsam als primar password backend gaan gebruiken.

Vanuit Samba krijg ik de volgende foutmeldingen bij alle users in de logs:

code:

rpc_server/srv_util.c:get_domain_user_groups(298)
get_domain_user_groups: primary gid of user [beheer] is not a Domain group !
get_domain_user_groups: You should fix it, NT doesn't like that
rpc_server/srv_util.c:get_alias_user_groups(206)
get_alias_user_groups: gid of user beheer doesn't exist. Check your /etc/passwd and /etc/group files

Als ik mijn groupmappings bekijk met net groupmap list:

code:

System Operators (S-1-5-32-549) -> -1
Replicators (S-1-5-32-552) -> -1
Guests (S-1-5-32-546) -> -1
Domain Users (S-1-5-21-286684831-4258621208-3655364988-513) -> users
Domain Admins (S-1-5-21-286684831-4258621208-3655364988-512) -> root
Power Users (S-1-5-32-547) -> -1
Domain Guests (S-1-5-21-286684831-4258621208-3655364988-514) -> nogroup
Print Operators (S-1-5-32-550) -> -1
Administrators (S-1-5-32-544) -> -1
Account Operators (S-1-5-32-548) -> -1
Backup Operators (S-1-5-32-551) -> -1
Users (S-1-5-32-545) -> -1

Waar komt deze error weg? En hoe moet ik dan wel op de juiste manier groepen mappen? Ik heb de Linux groep samba aangemaakt. Alle samba gebruikers zitten in de groep users en samba. Alle samba users hebben geen shell access op de server.

Verder heb ik de gebruiker administrator aan groep root toegevoegd. Als ik mij aanmeld met de gebruiker administrator heb ik op het werkstation domain admins rechten. Dus het lijkt wel goed te gaan. Het enige wat ik kan bedenken is dat ik groupmapping pas heb opgezet nadat ik de machines al aan het domein had toegevoegd.

Het laatste probleem is dat gebruikers hun password niet kunnen wijzigen als de parameter unix password sync is gezet. Als dez op False staat kan het wel. Hoe kan dit?

smb.conf:

code:

# Samba config file created using SWAT
# Date: 2005/02/07 16:02:45

# Global parameters
[global]
netbios name = debianrouter
server string = Server van 't spoor
workgroup = jop.lan
hosts allow = 192.168.51.
bind interfaces only = True
interfaces = eth0 lo 
remote announce = 192.168.51.
wins support = True
name resolve order = bcast,hosts,wins
dns proxy = False
time server = True

# Domein opties
os level = 64
preferred master = True
domain master = True
domain logons = True
local master = True
logon script = %U.bat
logon path = \\%L\profile\%U
logon home = \\%L\%U
logon drive = H:

# tuning options    
socket options = TCP_NODELAY SO_KEEPALIVE SO_RCVBUF=8192 SO_SNDBUF=8192 
keepalive = 6000
kernel oplocks = False
log level = 1
log file = /var/log/samba/log.%m
max log size = 500
read raw = True
write raw = True
getwd cache = True
dead time = 10

# Password and security options
unix password sync = False
passdb backend = tdbsam:/var/lib/samba/passdb.tdb, smbpasswd:/etc/samba/smbpasswd  
username map = /etc/samba/smbusers
encrypt passwords = True
smb passwd file = /etc/samba/smbpasswd
update encrypted = True
passwd program = /usr/bin/passwd %u
passwd chat = *password* %n\n *Re-enter* %n\n *changed*
client NTLMv2 auth = True
security = user
add machine script = /usr/sbin/useradd -d /dev/null -g machines -s /bin/false -M %u
add user script = /usr/sbin/useradd -m %u
delete user script = /usr/sbin/userdel -r %u
add group script = /usr/sbin/groupadd %g
delete group script = /usr/sbin/groupdel %g
add user to group script = /usr/sbin/usermod -G %g %u
idmap uid = 15000-20000
idmap gid = 15000-20000
    
# printer options
load printers = False


########################samba shares#############################

[profile]
comment = User profiles
path = /samba/profiles
admin users = administrator
profile acls = True
csc policy = disable
create mode = 0600
directory mode = 0700
writeable = yes
browseable = False

[netlogon]
path=/samba/netlogon
comment = Network logon service
admin users = administrator
writelist = administrator
browseable = False
create mask = 0740
force create mode = 0740
force directory mode = 0740
force group = samba
force user = administrator

[homes]
browseable =no
writeable = yes

[jongerenwerk]
path=/samba/jongerenwerk
comment = Gezamelijke netwerk map voor Jongerenwerk
admin users = administrator
public = no
writelist = administrator @samba
browseable = True
create mask = 0770
force create mode = 0770
force directory mode = 0770
force group = samba
force user = administrator

[Verwijderd]

Verwijderd schreef op zondag 20 maart 2005 @ 17:55:
De ip adressen worden statisch toegewezen op basis van het Mac adres. De pc's en de printer heb ik ook toegevoegd aan /etc/hosts. Ik heb echter gemerkt dat vreemde pc's ook een ip adres krijgen toegewezen. Is het mogelijk om machines met een niet gedefineerd Mac geen ip adres toe te laten wijzen. Want nu krijgen ze een adres uit de pool en krijg je ip conflicten op het netwerk.

Tjah er is toch echt een heel deel over toegang in de documentatie aanwezig, maar goed: man dhcpd.conf zal je leren over de optie deny unknown-clients

Wat is het nut van die range declaratie uberhaupt als je toch alleen maar static entries gebruikt
Waarom staan de hosts buiten het subnet block terwijl ze wel tot dit subnet horen

Ook krijg ik de volgende waarschuwingen in de logboeken:

code:

Dynamic and static leases present for 192.168.51.17.
Remove host declaration internetpc4 or remove 192.168.51.17
from the dynamic address pool for 192.168.51.0/24

Zie bovenstaande

Klopt het dat ik de statische ip's buiten mijn pool moet houden?

Nee hoor, je kunt perfect pools met hosts door elkaar gebruiken binnen een subnet. Zolang je maar zorgt dat de hosts dus ook daadwerkelijk binnen het goede block gedefinieerd worden.

Vanuit Samba krijg ik de volgende foutmeldingen bij alle users in de logs:

code:

rpc_server/srv_util.c:get_domain_user_groups(298)
get_domain_user_groups: primary gid of user [beheer] is not a Domain group !
get_domain_user_groups: You should fix it, NT doesn't like that
rpc_server/srv_util.c:get_alias_user_groups(206)
get_alias_user_groups: gid of user beheer doesn't exist. Check your /etc/passwd and /etc/group files

Als ik mijn groupmappings bekijk met net groupmap list:

code:

System Operators (S-1-5-32-549) -> -1
Replicators (S-1-5-32-552) -> -1
Guests (S-1-5-32-546) -> -1
Domain Users (S-1-5-21-286684831-4258621208-3655364988-513) -> users
Domain Admins (S-1-5-21-286684831-4258621208-3655364988-512) -> root
Power Users (S-1-5-32-547) -> -1
Domain Guests (S-1-5-21-286684831-4258621208-3655364988-514) -> nogroup
Print Operators (S-1-5-32-550) -> -1
Administrators (S-1-5-32-544) -> -1
Account Operators (S-1-5-32-548) -> -1
Backup Operators (S-1-5-32-551) -> -1
Users (S-1-5-32-545) -> -1

Waar komt deze error weg? En hoe moet ik dan wel op de juiste manier groepen mappen? Ik heb de Linux groep samba aangemaakt. Alle samba gebruikers zitten in de groep users en samba. Alle samba users hebben geen shell access op de server.

De melding zegt eigenlijk precies wat er aan de hand is. Op zich is er niks mis met de groepen waar de samba gebruikers in zitten, alleen de primaire groep van de gebruikers is niet een built-in Windows groep maar iets anders. Als je id gebruikersnaam doet, zul je het user id samen met het (primaire) groep id van die gebruiker zien (en de additionele groepen). De primaire groep van samba gebruikers moet dus in jouw geval in de meeste gevallen hoogstwaarschijnlijk users zijn.

Het laatste deel van de foutmelding is ook vrij duidelijk. Schijnbaar heeft de gebruiker beheer een gid toegewezen gekregen dat gewoon simpelweg niet op het systeem bestaat.

Het laatste probleem is dat gebruikers hun password niet kunnen wijzigen als de parameter unix password sync is gezet. Als dez op False staat kan het wel. Hoe kan dit?

Zonder logfiles van zowel samba als lokale authenticatie logs is hier weinig zinnigs over te zeggen eerlijk gezegd.

---

Tot slot heb ik nog wel een kleine opmerking over dit geheel.
Gezien de eenvoud van de vragen, vraag ik mij sterk af of het verstandig is een dergelijke machine in te zetten in een omgeving waar er sprake is van een vertouwde zone en een minder vertrouwde zone. Daarnaast is het ronduit onverstandig om die machines ook nog eens in hetzelfde subnet onder te brengen. Ik neem aan dat je niet wil dat zomaar mensen bij gegevens kunnen komen? Gezien de aanpak en de vragen is dat gewoon wachten totdat dit gebeurt.

[ Voor 8% gewijzigd door Verwijderd op 20-03-2005 18:41 ]