[FreeNAS] Gebruiker permissions

[egonolieux]

Beste tweakers,

Om mijn bestanden van op afstand te benaderen op mijn FreeNAS server, maak ik gebruik van STFP.
Er zijn 3 gebruikers op mijn FreeNAS server, waarvan elk een map heeft met zijn bepaalde documenten. Het is dus de bedoeling dat de ene gebruiker niet de toestemming heeft iemand anders zijn documenten te bekijken/aanpassen, etc...
Dit kan echter makkelijk gedaan worden door "chmod 0770", waardoor de groep "anderen" geen toegang meer heeft tot de betreffende map. Als Gebruiker X verbonden is met de server, kan deze dus niet in de map van de andere gebruikers kijken, namelijk gebruiker Y en Z.

Nu is het probleem dat ik de bestanden op mijn server in huis deel via Samba. Elke gebruiker in Windows wordt dus gezien als "anderen", aangezien de Windows gebruikers geen deel uit maken van FreeNAS. Omdat de permissies zijn ingesteld op "anderen", heb ik in Windows geen toegang meer tot de mappen van deze gebruikers.
Dit is dus totaal niet de bedoeling en ik vraag me af hoe ik dit kan omzeilen en/of er geen andere manier bestaat om hetzelfde te realiseren.

[CAPSLOCK2000]

egon088 schreef op woensdag 06 april 2011 @ 00:55:
Nu is het probleem dat ik de bestanden op mijn server in huis deel via Samba. Elke gebruiker in Windows wordt dus gezien als "anderen", aangezien de Windows gebruikers geen deel uit maken van FreeNAS. Omdat de permissies zijn ingesteld op "anderen", heb ik in Windows geen toegang meer tot de mappen van deze gebruikers.

Je geeft het antwoord eigenlijk zelf al. Je moet Samba zo configuren dat het met aparte gebruikers werkt, en niet iedereen op een hoopje gooit. Ik gok dat het "gebruikers" zal heten.

[Verwijderd]

Leuk om te zien dat het project voortgang heeft gevonden.
Heb net even terug gekeken en zag dat je nog wel wat hebt geschreven, leuke vakantie gehad?

Wat betreft samba, iedereen die je toegang wilt geven tot Samba,
creëer een account voor die gebruiker met zijn/haar map bv. /mnt/home/egon088 en /mnt/home/moeder.
Geef deze account als permissie 'guest' gebruik.
Als je de gebruiker admin rechten geeft kan hij/zij overal bij!!, kun je allemaal regelen met webpagina Freenas.
Regel wel inderdaad je rechten met de QuiXplorer!

Wat ook wel handig is, maak een account aan in Freenas die al standaard windows gebruiker is.
M.a.w. zelfde user zelfde password. (werkt hier prima)

p.s. DAAP nog goeed werkend aan de gang gekregen?

[egonolieux]

Ik heb reeds 3 gebruikers met elk hun eigen map; namelijk "Egon", "Johanna" en "Guest".
Egon en Johanna behoren beiden tot de groep "admin" en Guest behoort tot de groep "guest".
De mappen van deze gebruikers hebben permissie 0770.

Toch snap ik niet hoe ik dit correct moet configureren (het lukt nog steeds niet). Dit aangezien Windows buiten FreeNAS valt. Ik kan toch geen Windows gebruiker integreren in FreeNAS?

Daarbovenop blijken de gebruikersinstellingen zelf raar te doen. Als ik op toepassen van wijziging klik, dan krijg ik een foutmelding, namelijk "error core 1 ; kan wijzigingen niet doorvoeren".

PS: (Mijn vakantie was uitstekend, bedankt )
DAAP doet weer moeilijk, maar het verschilt van de andere keren. Als ik DAAP inschakel dan heeft FreeNAS bij het opstarten opstartproblemen, en vervolgens werkt het gewoon niet meer. Het probleem met de "onderliggende mappen" is echter wel verdwenen. Ik neem aan dat waarschijnlijk een bepaald bestand in mijn muziekmap voor deze problemen zorgt, aangezien ik een selectie van 15 albums wel perfect kan afspelen.

[ Voor 12% gewijzigd door egonolieux op 07-04-2011 00:36 ]

[Verwijderd]

Mooi, kun je met frisse moed weer aan de gang.
Je hebt 3 gebruikers, hebben die alle 3 de status admin nodig dan? (oké, 2 zie ik)
Als ik hier inlog met de gebruiker ziet deze de andere dir wel maar krijgt geen toegang.
Die permissies zijn wel oké.

Natuurlijk kun je wel je Windows gebruikers integreren in Freenas, maakt het gebruik van de server ook een stuk eenvoudiger!
Waar die "error core1" vandaan komt weet ik niet die heb ik zelf nog nooit gezien.
Waarschijnlijk houdt dit verband met verkeerde instellingen die niet kunnen worden doorgevoerd,
aangezien ze niet stroken met de huidige instellingen!
Je kunt niet eerst A zeggen en dan B doen makkelijk gezegd.

De instellingen met DAAP weet ik zeker dat die te tackelen zijn, maar dat is nu van later zorg denk ik

[egonolieux]

Ondertussen heb ik het probleem met "error code 1" kunnen oplossen. Het pad naar de inhoud van mijn webserver bestond namelijk niet meer doordat ik de naam van een map veranderd had. Raar genoeg zorgde dit ervoor dat de wijzigingen niet konden doorgevoerd worden.

Wat Windows gebruikers in FreeNAS betreft heb ik geen flauw idee hoe dit te doen? Moet ik in Windows zelf via eigenschappen de betreffende map aanpassen? Dezelfde gebruikersnaam in Windows gebruiken werkt in ieder geval al niet.

[ Voor 8% gewijzigd door egonolieux op 07-04-2011 22:48 ]

[Verwijderd]

Je hebt in Windows gebruikers, en die hebben een password!
Maak deze zelfde gebruikers aan in de de Freenas, daar waar je users en groups kunt regelen.
Gebruik ook dezelfde passwords en wat dat betreft ben je klaar

Maak nu een home directory aan voor de user op Freenas, als ik mij niet vergis is dit ook te regelen daar waar je de user-accounts regelt.
Nu heeft iedere gebruiker zijn eigen home dir die te bereiken is via de verkenner, my network places.
Misschien moet je 1 keer inloggen, en daarna nooit meer omdat je dezelfde user en password gebruikt.
En U bent klaar

Samba wil ook dat je bestaande users voor de Unix account gebruikt, dus er moet een Windows gebruiker zijn die dezelfde is als de de Samba user.

[ Voor 11% gewijzigd door Verwijderd op 08-04-2011 00:27 . Reden: samba ]

[egonolieux]

De gebruiker op Windows (Egon) is admin maar ik wens eigenlijk liever geen paswoord te hebben aangezien ik deze steeds moet ingeven bij het inloggen van Windows.
Anderzijds heb ik het eens uitgetest maar toch wil het niet werken. Beide gebruikers waren gelijknamig (Egon) en de 2 paswoorden waren gelijk...

Elke gebruiker had reeds zijn home directory, namelijk:

mnt/storage/Gebruikers/Egon
mnt/storage/Gebruikers/Johanna
mnt/storage/Gebruikers/Guest

[ Voor 19% gewijzigd door egonolieux op 08-04-2011 00:51 ]

[Verwijderd]

Je kunt toch instellen in Windows in te loggen zonder password in te geven!
Maak voor de andere user een ander password aan en doe daarvoor hetzelfde.

Ah ik zie nu dat je dat hebt geprobeerd, maar wat gaat er dan verkeerd?
Is de workgroup ook de zelfde?

Jij kunt wel geen password willen, maar Samba wil dit eenvoudigweg wel.
Ja, het kan wel anoniem, maar niet zoals jij je setup hebben wilt.

[ Voor 21% gewijzigd door Verwijderd op 08-04-2011 01:01 ]

[egonolieux]

Mijn gebruikersnaam op FreeNAS en in windows is hetzelfde, ook het paswoord is compleet gelijk. Toch slaag ik er niet in gemachtigd te zijn. Al mijn werkgroepen zijn zowizo standaard "WORKGROUP".

Maar omdat ik binnen 6 uur naar Italie op reis vertrek (ik weet het, ik heb een druk schema ) zal ik het voor volgende week houden.

[ Voor 4% gewijzigd door egonolieux op 10-04-2011 00:26 ]

[Verwijderd]

Wat ik denk dat verstandig is in jouw situatie is even de complete situatie nabouwen in Vbox.
Aangezien je in Vbox 10 x Freenas in 1 middag kunt opzetten, je wordt er dan ook handig in.
Er gaat genoeg verkeerd dat ik denk dat het goed is even te oefenen met de setup.
Ben er 99% zeker van dat het niet aan Freenas ligt!, maar aan hoe je je instellingen invult.

En, ben onderhand ook eigenlijk wel eens benieuwd waar jij je info weghaalt.
Maar goed eind van het liedje, we komen er wel uit hoor

Tjonge al weer vakantie, er zijn altijd mensen die het beter hebben hè


En, heb je nog enige vooruitgang weten te boeken?

[ Voor 4% gewijzigd door Verwijderd op 19-04-2011 17:25 ]

[egonolieux]

Juist terug van Italië .

Na al die vakantie wordt het weer eens tijd om de handen uit de mouwen te steken.
Ik heb sinds gisteren nog eens alle posts in dit topic overlezen en mijn instellingen op FreeNAS bekeken, maar toch kan ik daar niets uit afleiden. Naar mijn mening is alles correct ingesteld.

Ik zal eens mijn volledige configuratie hier uitschrijven (met eventuele screenshots):

Ik heb dus 3 mounts (mnt) die gedeeld zijn met Samba:

- mnt/Storage (opslag van alle bestanden) 2x 2TB
- mnt/Multimedia ( voor streamen van films/muziek/torrents downloaden...) 1x 500GB
- mnt/System (systeeminstellingen, tevens ook de schijf waar FreeNAS op geinstalleerd is) 1x 500GB

Alle instellingen zijn default (van alle 3), buiten het inschakelen van een prullenbak dan.

Ik heb 3 gebruikers, waarvan de eerste 2 met admin rechten en de laatste guest.

- Egon, met persoonlijke map "mnt/storage/Gebruikers/Egon"
- Johanna, met persoonlijke map "mnt/storage/Gebruikers/Johanna"
- Guest, met persoonlijke map "mnt/storage/Gebruikers/Guest"

Deze 3 gebruikers zijn elk voorzien van hun eigen wachtwoord, waarbij het wachtwoord van account "Egon" overeenkomt met dat van Windows. Dus de gebruikersnaam en wachtwoord zijn identiek in FreeNAS en Windows voor deze gebruiker.

De instellingen voor mijn account ( en ook voor de anderen buiten de groepen, wachtwoord en naam dan):

- Naam: Egon
- Volledige naam: Egon Olieux (misschien gaat het fout omdat ik hier mijn achternaam bij zet? UPDATE: maakt geen verschil...)
- Wachtwoord: xxxxxxx
- Gebruikers ID: 1001
- Shell: spconly (voor SFTP)
- Primaire Groep: admin
- Extra Groep: guest & squid (squid is mijn proxy server, die ik ook maar niet naar behoren krijg )
- Persoonlijke Map: mnt/storage/Gebruikers/Egon/
- Toegang tot gebruikersportaal: JA

De algemene instellingen van Samba zijn:

- Verificatie: anoniem
- NetBios naam: HOMESERVER
- Werkgroep: WORKGROUP
- (alle andere instellingen zijn default)

onverstandig idee weggecensureerd - CAPSLOCK2000

[ Voor 4% gewijzigd door CAPSLOCK2000 op 20-04-2011 16:33 ]

[CAPSLOCK2000]

egon088 schreef op woensdag 20 april 2011 @ 14:02:

- Verificatie: anoniem

onverstandig idee weggecensureerd - CAPSLOCK2000

En daar zit je probleem. Je past geen toegangs-controle toe, dus worden alle gebruikers als "anoniem" aangemeld. Verdiep je eens in het verschil tussen linux-rechten en toegang tot samba.

(Als je me kan vertellen wat de permissies op die gebruikersmappen zijn dan weet je genoeg).

[Verwijderd]

Second that CAPSLOCK2000 ; )

Zei het al een paar posts terug, je moet in jouw geval met die setup afzonderlijke gebruikers en passwords gebruiken.

Wat voor handleiding gebruik je?
Anders heb ik hier van ('BSDCan') een mooie pdf voor je die mij bijna alle geheimen van Freenas heeft 'ontsluierd'
Misschien kun je zelf een nieuwere vinden maar denk dat het toereikend is.

Blijf bij mijn mening dat oefenen in Vbox geen slecht idee is, totdat je jouw setup volledig beheerst.
Dat gaat je alleen voordeel leveren, tenzij je snel wilt, met alle gevolgen van dien dus...

[egonolieux]

Eerder in het begin had ik reeds mijn verificatie op anoniem gezet omdat mij dat logisch leek, maar toen verdween plots mijn server uit het netwerk (en kon ik hem dus ook niet meer detecteren in Windows).

Gisteren heb ik het echter eens opnieuw geprobeerd en nu werkt het wel naar behoren .
Nu blijft er echter wel 1 probleem over. Ik heb nu wel mijn /mnt/ chmod -R 770 gedaan, maar de systeembestanden van FreeNAS zelf zijn wel nog verkenbaar. De oplossing zou zijn deze ook naar 770 te zetten, maar daar durf ik eerder gezegd niets aan veranderen omdat sommige zaken dan wel eens niet meer zouden werken.

[CAPSLOCK2000]

Waarom zou je die bestanden willen verbergen? Er is toch niks geheims aan? Iedereen die wil kan zelf FreeNAS downloaden en die bestanden bekijken.

[Verwijderd]

CAPSLOCK2000 schreef op vrijdag 22 april 2011 @ 12:35:
Waarom zou je die bestanden willen verbergen? Er is toch niks geheims aan? Iedereen die wil kan zelf FreeNAS downloaden en die bestanden bekijken.

Hier is niets geheims aan inderdaad, echter waar heb je de mogelijkheid die files te browsen?
In de quixplorer of in de file editor van de beheer pagina, of in explorer van Windows?

Daar zit toch wel verschil in hoor !!
Namelijk als je jouw gebruiker een vaste dir in /mnt hebt gegeven, mag niet de hele dir tree benaderbaar zijn in windows, en ook niet in de quixplorer trouwens!

Via de file editor ingelogd via de beheer! pagina is geen probleem uiteraard.

[CAPSLOCK2000]

Verwijderd schreef op vrijdag 22 april 2011 @ 13:08:
[...]

Hier is niets geheims aan inderdaad, echter waar heb je de mogelijkheid die files te browsen?

Bijvoorbeeld op de website van freenas: http://freenas.svn.sourceforge.net/viewvc/freenas/
Anders kun je ook zelf de ISO downloaden en die openen en bekijken.

In de quixplorer of in de file editor van de beheer pagina, of in explorer van Windows?
Daar zit toch wel verschil in hoor !!

Namelijk als je jouw gebruiker een vaste dir in /mnt hebt gegeven, mag niet de hele dir tree benaderbaar zijn in windows, en ook niet in de quixplorer trouwens!

Via de file editor ingelogd via de beheer! pagina is geen probleem uiteraard.

Ik snap het verschil niet. Waarom mag de gebruiker de rest van die tree niet zien? Wat is het verschil tussen de beheerpagina of explorer?

Uiteraard wil je niet dat gebruikers de wachtwoordbestanden mogen lezen of bestanden van anderen overschrijven, maar dat kun je met permissies instellen (en die rechten staan al goed). De bestanden helemaal verbergen is nergens voor nodig (cosmetische overwegingen daargelaten).

[egonolieux]

Ik had mij misschien beter moeten verwoorden; ik bedoel namelijk dat de anderen mijn systeembestanden van FreeNAS kunnen aanpassen verwijderen.
Maar dat doet er nu niet meer toe aangezien jullie toch zeggen dat die standaard niet aangepast of verwijderd kunnen worden door iemand anders.

[Verwijderd]

CAPSLOCK2000 schreef op vrijdag 22 april 2011 @ 15:36:
[...]


Bijvoorbeeld op de website van freenas: http://freenas.svn.sourceforge.net/viewvc/freenas/
Anders kun je ook zelf de ISO downloaden en die openen en bekijken.

Ja, oké we hebben het natuurlijk over de geïnstalleerde uitvoering

Ik snap het verschil niet. Waarom mag de gebruiker de rest van die tree niet zien? Wat is het verschil tussen de beheerpagina of explorer?

Als jij een user toevoegt, krijgt deze een home dir bv. /mnt/user en rechten, als het een gewone user betreft, kan deze alleen zijn/haar home dir benaderen via de explorerer van Windows of in de quixplorer van Freenas!
Als je de beheerder bent kun je in de web interface gebruik maken van de file explorer die wel toegang geeft tot de files van het gehele OS.

Uiteraard wil je niet dat gebruikers de wachtwoordbestanden mogen lezen of bestanden van anderen overschrijven, maar dat kun je met permissies instellen (en die rechten staan al goed). De bestanden helemaal verbergen is nergens voor nodig (cosmetische overwegingen daargelaten).

Het is misschien niet nodig alles te verbergen, maar als je de user de correcte permissies geeft kan dat per definitie ook gewoon niet

egon088 schreef op vrijdag 22 april 2011 @ 17:02:
Ik had mij misschien beter moeten verwoorden; ik bedoel namelijk dat de anderen mijn systeembestanden van FreeNAS kunnen aanpassen verwijderen.
Maar dat doet er nu niet meer toe aangezien jullie toch zeggen dat die standaard niet aangepast of verwijderd kunnen worden door iemand anders.

Dan nog steeds rest de vraag, waar zien andere gebruikers die bestanden?
Als het gewone users betreft hoort dat niet zo, dan heb je in mijn beleving de home dir niet correct ingesteld, of de rechten kloppen niet. Dus check wat je wel en niet mag met die account.

[ Voor 20% gewijzigd door Verwijderd op 22-04-2011 17:17 ]

[egonolieux]

Dat is nu juist mijn probleem e vraag; als ik de permissies van de home directory aanpas, is het dan niet mogelijk dat sommige functies van FreeNAS stoppen met werken? Dit aangezien ze geen toestemming meer hebben?

[Verwijderd]

In principe zou je niet de permissies van de home dir moeten aanpassen, maar die van de gebruiker!!
Tenzij jij vindt dat de standaard Freenas rechten van een dir strakker/losser moeten. Maar ik zeg geef een user niet meer rechten dan hij/zij nodig heeft.

Maar nu heb je nog steeds mijn vraag niet beantwoord

[egonolieux]

Ik snap niet wat je bedoelt met de permissies van de gebruikers aanpassen. Ik kan toch alleen maar de bestanden of directories aanpassen en kiezen tussen owner, group en others? het enige wat ik kan veranderen aan de gebruikers zijn de groepen waartoe ze behoren. Maar dan nog, dat maakt niets uit als de permissies van de mappen op "others" staan.

Antwoord op jouw vraag: als iemand op de guest account inlogt, dan kan deze helemaal terugkeren naar de homedirectory, hij kan gewoonweg alles doorbladeren.

[ Voor 20% gewijzigd door egonolieux op 22-04-2011 21:10 ]

[Verwijderd]

egon088 schreef op vrijdag 22 april 2011 @ 21:09:
Ik snap niet wat je bedoelt met de permissies van de gebruikers aanpassen. Ik kan toch alleen maar de bestanden of directories aanpassen en kiezen tussen owner, group en others? het enige wat ik kan veranderen aan de gebruikers zijn de groepen waartoe ze behoren. Maar dan nog, dat maakt niets uit als de permissies van de mappen op "others" staan.

Als je een user aanmaakt kun je kiezen:

• wel of geen shell login , bv inloggen met putty is wel of niet mogelijk
• de primary group , bv admin user staff www etc.
• the additional group , als bovenstaande maar dan de extra groepen tot welke de user toegang heeft
• de home dir , bv /mnt/home/egon of /mnt/home/machje
• wel of geen toegang tot de portaal

Dit samen bepaald wat de user wel of niet mag
Ik heb geen toegang tot jouw dir en jij niet tot de mijne, simpel.
Als dus een gebruiker guest is en toegang krijgt tot bash en sshd, mag deze met putty of een andere client inloggen op de server.
Dan kun je inderdaad wel door de dir tree browsen, maar je mag niets aanpassen, alleen in je eigen home dir!

Antwoord op jouw vraag: als iemand op de guest account inlogt, dan kan deze helemaal terugkeren naar de homedirectory, hij kan gewoonweg alles doorbladeren.

Ja, nu begrijp ik je. Als dus de rechten van de user goed zijn, mag hij/zij niets, alleen in zijn/haar home dir.
Neem voor het gemak maar aan dat je bedoelt via SSH of FTP, want via SAMBA zie ik de share wel maar mag niet verkennen!!

@CAPSLOCK2000
Ja, je hebt wel gelijk je kunt inderdaad de bestanden zien ja maar als je de rechten goed hebt staan mag de gast niets. was iets te snel met m'n conclusie
Blijft natuurlijk wel staan dat de ene user niet de dir van een ander mag verkennen!

[ Voor 7% gewijzigd door Verwijderd op 22-04-2011 22:15 ]

[egonolieux]

Verwijderd schreef op vrijdag 22 april 2011 @ 22:01:
[...]

Als je een user aanmaakt kun je kiezen:

• wel of geen shell login , bv inloggen met putty is wel of niet mogelijk
• de primary group , bv admin user staff www etc.
• the additional group , als bovenstaande maar dan de extra groepen tot welke de user toegang heeft
• de home dir , bv /mnt/home/egon of /mnt/home/machje
• wel of geen toegang tot de portaal

Dit samen bepaald wat de user wel of niet mag
Ik heb geen toegang tot jouw dir en jij niet tot de mijne, simpel.
Als dus een gebruiker guest is en toegang krijgt tot bash en sshd, mag deze met putty of een andere client inloggen op de server.
Dan kun je inderdaad wel door de dir tree browsen, maar je mag niets aanpassen, alleen in je eigen home dir!

[...]

Ja, nu begrijp ik je. Als dus de rechten van de user goed zijn, mag hij/zij niets, alleen in zijn/haar home dir.
Neem voor het gemak maar aan dat je bedoelt via SSH of FTP, want via SAMBA zie ik de share wel maar mag niet verkennen!!

@CAPSLOCK2000
Ja, je hebt wel gelijk je kunt inderdaad de bestanden zien ja maar als je de rechten goed hebt staan mag de gast niets. was iets te snel met m'n conclusie
Blijft natuurlijk wel staan dat de ene user niet de dir van een ander mag verkennen!

Ik snap het volledig , alles is nu perfect ingesteld. Toch vind ik het vervelend dat de guest bijvoorbeeld nog altijd kan bladeren door de "tree", ook al heeft hij geen toestemming tot de mappen. Bestaat daar echt geen middel voor?

Nu dit ook aan de kant geschoven kan worden, moeten we nog zien af te rekenen met onze beruchte vriend, itunes DAAP .

[Verwijderd]

Voor zover ik weet niet, je kunt ook alleen de dir tree zien en geen bestanden lezen.
Je zou eens naar de conf files kunnen kijken of de absolute paden voor de user van SSH of FTP zijn aan te passen, ik heb me hierin echter niet verdiept en weet ook niet of het mogelijk is!
Zoals CAPSLOCK2000 ook al zei, hier is verder niets 'geheims' aan, als je de code download kun je dit ook inzien.

Wat betreft DAAP, open je oude draadje, hou je het ook mooi bij elkaar ook voor een ander!

[egonolieux]

Het gaat hem niet zozeer over het inkijken van mijn FreeNAS systeembestanden. Ik weet dat enkele mappen en bestanden in het FreeNAS systeembestand toegangkelijk zijn voor "Guest", maar ik durf de permissies van de systeembestanden niet aanpassen. het zou misschien kunnen leiden tot het niet meer functioneren van mijn systeem omdat sommige delen dan geen toestemming meer hebben om uitgevoerd te worden...

Wat DAAP betreft, was ik dat ook van plan; ik vermelde het hier gewoon even ter informatie .

[Verwijderd]

Heb je geprobeerd aanpassingen te doen met de guest user aan systeem bestanden?
Daar heb je de permissies niet voor! Als je het dan echt zo problematisch vindt, geef de guest dan geen bash en sshd rechten. Via FTP heb je sowieso alleen toegang tot je home dir.
Je kunt wel het 1 en ander proberen door je config te backuppen op een memory stick, daarna rechten van mappen veranderen, gaat het niet goed kun je een backup terug zetten

Aha (wbt DAAP)