Professional Documents
Culture Documents
Alumnos:
Héctor Oswaldo Marroquín Argueta
Ricardo Enrique Martínez Monterrosa
Yassir Miguel Alfredo Tejada Gutierrez
Catedrático:
Juan Carlos Peña
[ MANUAL DE SISTEMA DE
CONTROL DE DOMINIO ]
Implementación de un sistema de control de dominio, con autenticacíon LDAP
Contenido
Introducción ........................................................................................................................................ 1
Datos Generales de Configuración ...................................................................................................... 1
Requerimientos de Software .............................................................................................................. 2
Instalación y configuración de servidor DNS....................................................................................... 3
Instalación y configuración del servidor LDAP .................................................................................... 5
Configuración inicial del servicio slapd ........................................................................................... 7
Agregando los esquemas (schemas) necesarios ............................................................................. 8
Configurando las Listas de Control de Acceso (ACLs) ................................................................... 10
Configurando los índices de atributos más usados ....................................................................... 11
Revisión de permisos en archivos y directorios de Configuración ................................................ 11
Ejecutando una revisión sintáctica del archivo de configuración slapd.conf ............................... 12
Iniciando el servidor slapd y haciendo pruebas preliminares ....................................................... 13
Configuración del Cliente LDAP..................................................................................................... 14
Configuración de Samba y las herramientas smbldap-tools ............................................................. 15
Instalación y configuración del servidor Samba............................................................................ 15
Instalando el servidor y cliente Samba ......................................................................................... 15
Configuraciones de Samba para Controlador de Dominio............................................................ 16
Parámetros Globales del servidor Samba ..................................................................................... 16
El recurso compartido especial [homes] ....................................................................................... 19
El recurso compartido especial [netlogon] ................................................................................... 19
El recurso compartido especial [profiles]...................................................................................... 20
Especificando la contraseña del ldap admin dn ............................................................................ 22
Instalación y Configuración de las smbldap-tools ......................................................................... 23
Llenando el Directorio LDAP con smbldap-populate .................................................................... 27
Configuración de la resolución de Identidades con NSS_LDAP ........................................................ 29
Configuración de la Autenticación con PAM_LDAP .......................................................................... 33
Introducción a los Módulos de Autenticación PAM ...................................................................... 33
Respaldando la configuración de PAM ......................................................................................... 34
Configurando los módulos de autenticación de PAM ................................................................... 34
Instalando el modulo Cracklib de PAM ..................................................................................... 35
Configurando Archivo de configuración libpam-ldap.conf ........................................................... 35
Migración de usuarios y grupos Unix/Posix al directorio LDAP ........................................................ 36
Migración de Usuarios (/etc/passwd y /etc/shadow) ................................................................... 36
Migración de Grupos (/etc/group) ................................................................................................ 38
Integrando Clientes Windows al Dominio Samba ............................................................................. 39
Requerimientos del Sistema ......................................................................................................... 39
Configuración de los parámetros de red en el equipo Windows.................................................. 39
Información necesaria para configurar los parámetros de red ................................................ 39
Configurando correctamente los parámetros de red ............................................................... 40
Verificación de los Parámetros de Red ..................................................................................... 43
Configuración del nombre de equipo Windows ........................................................................... 43
Uniendo el equipo Windows al Dominio Samba........................................................................... 45
Como Iniciar Sesión el Dominio Samba ......................................................................................... 54
Integración de clientes Linux al dominio........................................................................................... 56
Autenticación De Usuarios Y Grupos De Dominio Samba En Clientes Linux ................................ 57
Configurando un Controlador de Dominio de Respaldo (BDC) ......................................................... 60
Servidor de archivos OpenFiler ......................................................................................................... 62
Instalación del servidor OpenFiler ................................................................................................ 62
Configuración de servidor de archivos OpenFiler ......................................................................... 63
Integrando servidor de archivos OpenFiler con los controladores de dominio................................ 71
Introducción
Éste, permitirá el logueo de clientes desde sistemas Windows y Linux al mismo, usando la
autenticación de usuarios propia de dichos sistemas, con la variante que los usuarios no
estarán en las computadoras que posean los mismos, sino que se encontrarán dentro una base
de datos montada en un servidor LDAP, contra el cual deberán autenticarse.
Además, los clientes que dispongan de los servicios del dominio, tendrán sus archivos y
configuraciones en un servidor de red de área de almacenamiento (Servidor SAN por sus
siglas en inglés), de manera que dichos archivos y configuraciones estarán disponibles para
ellos en cualquier computadora que se encuentre “pegada” al dominio y siempre y cuando se
logueen con su usuario.
La idea de esto, es crear una red donde los recursos de cada usuario estén disponibles solo
para él en cualquier parte donde haya una computadora que pueda unirse al dominio creado
para el proyecto, con lo que se logra una mayor disponibilidad de la información para los
usuarios en cualquier parte del área física de acción de la red, a la vez que se mantiene
centralizada la información de los mismos.
1
Requerimientos de Software
Samba 2:3.4.8
Samba es la implementación libre de los protocolos SMB/CIFS el cual funcionará como
servidor Controlador de Dominio usando como base de información un directorio LDAP,
además servirá como servidor de impresoras y archivos.
smbldap-tools 0.9.5-1
Herramientas para administrar cuentas Unix/Posix y Samba almacenadas en un servidor
OpenLDAP
libnss-ldap 1.3.04-4
NSS son las bibliotecas de resolución de entidades, servirán para resolver nombres de
usuarios a UID y viceversa, así como nombres de grupos a GID y viceversa usando como
fuente de información el directorio LDAP.
libpam-ldap 1.1.1-3
PAM son los módulos de autenticación/autorización para otorgar permisos de acceso a
diferentes servicios locales usando como fuente de información el servidor LDAP.
klamav 0.46-3
Antivirus para sistemas UNIX utilizado para la protección de los archivos del dominio.
libpam-cracklib 1.1.1-3
Librería que incluye un modelo para comprobar la seguridad de los passwords usados en el
dominio por los usuarios para que no sean demasiado débiles.
ssh 1:5.5
Servidor de archivos basado en CentOS que utiliza la tecnología SAN (Storage Area Network)
bind9 1:9.7.0.dfsg.P1-1
2
Instalación y configuración de servidor DNS
Como primer paso y para iniciar con la implementación del proyecto, configuraremos un
servidor DNS que permita el acceso a un dominio que será el que controlaremos para
proveer los servicios desados a los clientes. Utilizaremos el servidor “Bind”, el cual es un
servidor DNS para sistemas Linux.
Para instalarlo, escribiremos como root el siguiente comando (las líneas de comandos que
empiecen con “#” deben ser ejecutadas autenticados como usuarios “root” del sistema):
Luego de ello, configuraremos los archivos de zona necesarios para definir las
configuraciones del dominio que deseamos que nuestro servidor DNS resuelva. Crearemos
una carpeta en /var bajo el nombre de “bind” donde guardaremos los archivos de zona para
nuestro dominio. Para crear nuestra carpeta escribimos en consola el siguiente comando:
Luego, en dicha carpeta crearemos los archivos de zona con la siguiente información:
Archivo db.cevirtual
$TTL 604800
@ IN SOA cevirtual. admin.cevirtual. (
1 ; Serial
1200 ; Refresh
86400 ; Retry
2419200 ; Expire
604800 ) ; Negative Cache TTL
;
@ IN NS ns.cevirtual.
@ IN A 192.168.0.2
ns IN A 192.168.0.2
Archivo db.0.168.192
$TTL 604800
@ IN SOA cevirtual. admin.cevirtual. (
1 ; Serial
1200 ; Refresh
86400 ; Retry
2419200 ; Expire
604800 ) ; Negative Cache TTL
;
@ IN NS ns.cevirtual.
2 IN PTR ns.cevirtual.
3
Ahora, configuraremos el servidor bind para que agregue estas zonas y provea el servicio
dns para nuestro dominio “cevirtual”
zone "cevirtual" {
type master;
file "/var/bind/db.cevirtual";
};
zone "0.168.192.in-addr.arpa" {
type master;
file "/var/bind/db.0.168.192";
};
#/etc/init.d/bind9 restart
Y ya nuestro servidor bind debería proveer el servicio de dns para dicho dominio.
Para agregar a nuestro servidor DNS a las máquinas que usaran nuestro dominio, solo debe
agregarse la siguiente línea al archivo /etc/resolv.conf:
nameserver 192.168.0.2
4
Instalación y configuración del servidor LDAP
Para empezar, instalaremos y configuraremos el servidor LDAP junto con las herramientas
de administración y cliente. Para ello ejecutaremos el siguiente comando:
Cuando se instala el paquete slapd al final nos lanzará un asistente de configuración del
servicio slapd, nos pedirá que ingresemos la contraseña para el usuario administrador de
LDAP.
Aunque después vamos a reconfigurar el servidor slapd, ingresaremos una contraseña para
el usuario administrador del servidor LDAP:
# dpkg-reconfigure slapd
Al reconfigurar el paquete slapd se lanzará el mismo asistente que vimos atrás, pero en este
caso será reconfigurado desde cero.
La primer pantalla nos pregunta si queremos omitir la configuración inicial del servidor
slapd, contestaremos: NO
Después, nos pregunta el nombre de dominio con el que queremos configurar nuestro árbol
de directorio, este nombre de dominio será configurado con la base de nuestro directorio
(Base DN).
5
Distinguished Name (DN por sus siglas en Inglés) de la cuenta será:
cn=admin,dc=cevirtual, usaremos la contraseña: admin
En este paso seleccionaremos el tipo de base de datos (data store) en el que almacenaremos
la información de nuestro directorio, utilizaremos el tipo HDB por ser un tipo de base mas
nuevo y que proporciona mejores prestaciones que BDB.
En el siguiente paso nos pregunta si deseamos eliminar la base de datos del directorio
cuando purguemos el paquete slapd, contestaremos: No
Importante
Si por alguna razón ya existía una base de datos de una instalación anterior el asistente nos
pregunta si deseamos mover la base de datos vieja a un directorio de respaldo
(/var/backups/), elegimos la opción Yes.
Y por ultimo nos pregunta si deseamos permitir conexiones al servidor LDAP usando la
versión obsoleta del protocolo LDAP 2, por defecto esta desactivado, se recomienda no
activarlo ya que las todas aplicaciones que usaremos usan la versión 3 del protocolo LDAP,
así que contestaremos: No
6
Configuración inicial del servicio slapd
Como vemos nos creo el usaurio openldap, con el ID de Usuario (UID): 105, su grupo
primario es el grupo de ID 108 (openldap), su directorio $HOME es /var/lib/ldap, y esta
cuenta no tiene un shell válido: /bin/false.
También verificaremos que los permisos del directorio /var/lib/ldap sean los correctos y
nos aseguraremos que el usuario openldap tenga permiso de lectura, escritura y acceso al
directorio:
# ls -ld /var/lib/ldap
drwx------ 2 openldap openldap 4096 2010-06-24 16:20 /var/lib/ldap
Verificaremos que el demonio slapd sea ejecutado con el usaurio y grupo openldap, esto
está definido en el archivo /etc/default/slapd, y por defecto está así:
# nano /etc/default/slapd
SLAPD_USER="openldap"
SLAPD_GROUP="openldap"
SLAPD_PIDFILE=
# /etc/init.d/slapd stop
Stopping OpenLDAP: slapd.
7
Agregando los esquemas (schemas) necesarios
Los esquemas de LDAP (schemas) definen el tipo de objetos (objectClass) que podemos
manejar en nuestro árbol de directorio, además definen el tipo de atributos que podemos
usar así como las reglas de sintaxis para cada uno de estos atributos.
Los esquemas que vienen por defecto en la configuración de slapd son los necesarios para
poder almacenar información de cuentas Unix/POSIX, almacenar información para crear
por ejemplo un tipo de Directorio Amarillo, o una agenda de contactos. Estos esquemas
predeterminados no nos permiten almacenar atributos para cuentas de usuario y dominios
Samba/Windows, sin embargo, OpenLDAP permite la carga de esquemas externos para
almacenar diferente tipo de información, el esquema LDAP Samba permite almacenar la
siguiente información:
El esquema samba define más atributos, pero los principales son estos que se mencionaron
arriba, para conocer los demás atributos ver el archivo:
/etc/ldap/schemas/samba.schema.
# ls -l /etc/ldap/schema/samba.schema
8
-rw-r--r-- 1 root root 19424 2010-06-24 16:21
/etc/ldap/schema/samba.schema
Ahora que ya tenemos el archivo del esquema de samba instalado necesitamos decirle al
servidor slapd que lo utilice, para hacer esto modificaremos el archivo:
/etc/ldap/slapd.conf.
# cp /etc/ldap/slapd.conf{,.orig}
# nano /etc/ldap/slapd.conf
include /etc/ldap/schema/samba.schema
9
Configurando las Listas de Control de Acceso (ACLs)
El archivo /etc/ldap/slapd.conf ya viene pre configurado con algunas reglas de acceso, entre
ellas una donde permite cambiar la contraseña a los usuarios Unix debidamente
autenticados. Ya que nuestro directorio también almacenará información de cuentas Samba,
debemos permitir que los usuarios Samba plenamente autenticados puedan cambiar su
contraseña desde el mismo cliente Windows. Las contraseñas de cuentas Samba están
almacenadas en los atributos sambaLMPassword y SambaNTPassword, por lo tanto
permitiremos a los usuarios autenticados poder cambiar su contraseña.
Cambiar:
access to attrs=userPassword,shadowLastChange
by dn="cn=admin,dc=cevirtual" write
by anonymous auth
by self write
by * none
Por:
access to
attrs=userPassword,shadowLastChange,sambaLMPassword,sambaNTPassword
by dn="cn=admin,cevirtual" write
by anonymous auth
by self write
by * none
10
Configurando los índices de atributos más usados
Es importante que los atributos más consultados por los clientes y aplicaciones LDAP estén
debidamente indexados en la base de datos del directorio LDAP, de no ser así podríamos
sufrir de penalizaciones en el rendimiento del directorio, en especial en el tiempo de
respuesta en las consultas, para optimizar el rendimiento del directorio agregaremos una
lista de atributos a la lista de atributos a indexar.
Cambiar:
Por:
Antes de reiniciar nuestro servidor para que nuestros cambios tomen efecto, verificaremos
que los permisos sean los adecuados:
Verificando que los permisos del archivo /etc/ldap/slapd.conf estén como se muestra
aquí:
# ls -l /etc/ldap/slapd.conf
-rw-r----- 1 root openldap 5079 2010-06-24 16:35 /etc/ldap/slapd.conf
11
Ejecutando una revisión sintáctica del archivo de configuración slapd.conf
Antes de reiniciar nuestro servidor slapd realizaremos una comprobación de que nuestras
configuraciones estén correctas, el comando slaptest nos hará una revisión sintáctica de
nuestro archivo de configuración /etc/ldap/slapd.conf.
# slaptest -v -u
config file testing succeeded
Con la opción -v habilitamos el modo verbose, esto es para que muestre detalles sobre
posibles errores encontrados en la configuración.
La opción -u permite que solo se ejecuta la revisión sintáctica aun cuando no se puedan
abrir los archivos de bases de datos del directorio (/var/lib/ldap/).
Si el comando slaptest nos muestra algún error, posiblemente nos dirá en que parte del
archivo se encuentra el error.
# slapd -d 16383
12
Iniciando el servidor slapd y haciendo pruebas preliminares
Ahora que ya tenemos nuestro servidor correctamente configurado y todos los permisos
están correctos podremos iniciar nuestro servidor de forma ordinaria usando el script de
inicio, para iniciar el servidor slapd usamos el comando:
# /etc/init.d/slapd start
Starting OpenLDAP: slapd.
Ahora haremos una consulta al servidor LDAP para ver si responde con lo más básico.
Usaremos el comando ldapsearch para buscar el namingContexts del DIT.
#
dn:
namingContexts: dc=cevirtual
# search result
search: 2
result: 0 Success
# numResponses: 2
# numEntries: 1
Si el comando ldapsearch nos muestra algo similar a lo que se muestra arriba significa que
nuestro servidor LDAP está funcionando correctamente.
Ahora haremos una búsqueda en el directorio LDAP autenticado como el usuario admin
del LDAP y haremos la búsqueda usando como base dc=cevirtual, esto es para comprobar
que la autenticación y nuestras ACLs funcionen correctamente, además, de comprobar que
el directorio se haya inicializado con la estructura básica.
Este comando nos debe retornar una salida similar a la anterior solo que con los datos del
usuario admin.
13
Configuración del Cliente LDAP
Las herramientas cliente LDAP como: ldapsearch, ldapmodify, ldapadd y otras usan los
parametros de configuración definidos en el archivo /etc/ldap/ldap.conf, básicamente
en este archivo se pueden definir los siguientes parámetros:
Por ahora solo configuraremos los primeros dos parametros, editemos el archivo de
configuración del cliente LDAP /etc/ldap/ldap.conf:
# nano /etc/ldap/ldap.conf
BASE dc=cevirtual
URI ldap://127.0.0.1
14
Configuración de Samba y las herramientas smbldap-tools
Ahora vamos a ver como configurar el servidor Samba y las herramientas smbldap-tools
para configurar Samba como Controlador de Dominio usando un directorio OpenLDAP
como fuente de información centralizada para cuentas Unix y Samba.
El paquete de instalación del servidor samba es pre configurado con algunos parámetros y
también importan los usuarios en /etc/passwd, en nuestro caso esta configuración no nos
sirve por lo que eliminaremos la configuración creada y los archivos de configuración que
se inicializaron, detenemos los servicios samba para iniciar con la configuración en limpio.
# /etc/init.d/samba stop
* Stopping Samba daemons [ OK ]
Nota
15
Configuraciones de Samba para Controlador de Dominio
# cp /etc/samba/smb.conf{,.orig}
En la siguiente sección podemos continuar con los parámetros que nos interesan.
Soporte para habilitar privilegios de Grupos de Dominio Samba: enable privileges = yes,
este parámetro es útil por ejemplo para dar privilegios a los usuarios miembros del grupo
Domain Admins para unir equpos Windows a un Dominio NT.
Hay muchos parámetros que se configuran en éste archivo, pero no detallaremos para que
sirve cada uno, para más información, puedes dirigirte al manual oficial de smb.conf en el
siguiente url: http://www.samba.org/samba/docs/man/manpages-3/smb.conf.5.html
[global]
workgroup = CEVIRTUAL
netbios name = cevirtual
dns proxy = no
16
name resolve order = wins hosts lmhost bcast
El parámetro map to guest = Bad User define que cuando un usuario no existente (en el
dominio) se conecte al servidor, el servidor smbd mapeará esa conexión al usuario
anónimo, pero las conexiones de usuarios que se autentiquen con una contraseña invalida
serán rechazadas.
syslog = 0
log level = 0
max log size = 50
log file = /var/log/samba/%m.log
####networking
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
interfaces = eth0 lo
hosts allow = 127.0.0.1, 192.168.0.0/24
hosts deny = 0.0.0.0
smb ports = 139 445
bind interfaces only = Yes
name resolve order = wins hosts lmhosts bcast
os level = 65
17
logon path =
logon home =
logon drive =
logon script =
Ahora definiremos los parámetros necesarios para que samba utilice el directorio LDAP.
###SAMBA-LDAP declarations
passdb backend = ldapsam:ldap://127.0.0.1/
ldap admin dn = cn=admin,dc=cevirtual
ldap suffix = dc= cevirtual
ldap group suffix = ou=groups
ldap user suffix = ou=users
ldap machine suffix = ou=machines
ldap idmap suffix = ou=idmap
idmap backend = ldap:ldap://127.0.0.1
idmap uid = 10000-20000
idmap gid = 10000-20000
winbind trusted domains only = Yes
#ldap ssl = start_tls
Configuraciónes de codificación
18
El recurso compartido especial [homes]
La línea valid users = %U indica que este recurso compartido solo está disponible para
los usuarios Samba autenticados.
En este recurso compartido no se especifica un path ya que podrá variar dependiendo del
usuario que haga login.
Nota
Este es otro recurso compartido especial, el recurso [netlogon] solo es utilizado cuando
Samba actúa como un Controlador de Dominio, el propósito de este recurso compartido es
almacenar los scripts de inicio (logon scripts), estos scripts son ejecutados cada vez que un
usuario inicia sesión en el dominio.
[netlogon]
path = /home/samba/netlogon/
browseable = No
read only = yes
19
La opción browseable = No especifica que este recurso compartido no será visible en la
lista de shares disponibles en el servidor, más sin embargo, si podrá ser accesado para los
usuarios que hacen login en el dominio, el acceso será de solo lectura.
Ahora crearemos un logon script bastante simple que hará las siguientes operaciones
# nano /home/samba/netlogon/logon.bat
Nota
20
[profiles]
comment = Users profiles
path = /home/samba/profiles
guest ok = yes
browseable = no
create mask = 0600
directory mask = 0700
read only = no
profile acls = yes
csc policy = disable
valid users = %U @"Domain Admins"
La ruta de este recurso compartido será usado con el atributo ProfilePath para indicar la
ruta en donde está almacenado el Perfil del Usuario, por ejemplo, la entrada en la SAM del
dominio para el usuario alguien especifica: ProfilePath=\\cevirtual\profiles\alguien, lo
cual indica que el perfil del usuario alguien estará en el directorio local
/home/samba/profiles/alguien.
# testparm
Load smb config files from /etc/samba/smb.conf
Processing section "[homes]"
Processing section "[netlogon]"
Processing section "[profiles]"
Loaded services file OK.
Server role: ROLE_DOMAIN_PDC
Press enter to see a dump of your service definitions
Si le aparece el mensaje "ERROR: the 'unix password sync' parameter is set and the
'passwd program' (/usr/sbin/smbldap-passwd) cannot be executed (error was No such file or
directory)." ignórelo, en la siguiente sección instalaremos el paquete smbldap-tools.
Si hubiera algún error en la sintaxis el comando testparm no lo reportará y nos dirá en que
línea se encuentra el error y alguna descripción corta sobre el error.
21
Especificando la contraseña del ldap admin dn
# smbpasswd -W
Setting stored password for "cn=admin,dc=cevirtual" in secrets.tdb
New SMB password:admin
Retype new SMB password:admin
# ls -l /var/lib/samba/secrets.tdb
-rw------- 1 root root 8192 2010-06-25 20:29 /var/lib/samba/secrets.tdb
# /etc/init.d/samba start
* Starting Samba daemons [ OK ]
22
Instalación y Configuración de las smbldap-tools
# cp /usr/share/doc/smbldap-tools/examples/smbldap_bind.conf
/etc/smbldap-tools/
Antes de empezar a configurar estas herramientas cambiaremos los permisos de acceso para
estos archivos. Entramos al directorio /etc/smbldap-tools:
# cd /etc/smbldap-tools
Cambiamos el usuario y grupo propietarios para los archivos, el usuario dueño debe de ser
root y el grupo dueño debe de ser openldap.
Nadie más a excepción del usuario root tendrá permiso de lectura y escritura sobre los
archivos, el grupo openldap solo tendrá permisos de lectura.
# nano smbldap_bind.conf
23
Cambiar:
slaveDN="cn=Manager,dc=company,dc=com"
slavePw="secret"
masterDN="cn=Manager,dc=company,dc=com"
masterPw="secret"
Por:
slaveDN="cn=admin,dc=cevirtual"
slavePw="admin"
masterDN="cn=admin,dc=cevirtual"
masterPw="admin"
Nota
En el archivo smbldap.conf se debe de especificar el SID del dominio Samba con el que
estaremos trabajando, para obtener el SID de nuestro servidor utilizaremos el comando net.
# net getlocalsid
SID for domain cevirtual is: S-1-5-21-2850906233-539131870-2269658519
Como mínimo debemos de configurar los parámetros que están marcados en negritas.
# nano /etc/smbldap-tools/smbldap.conf
# Put your own SID. To obtain this number do: "net getlocalsid".
# If not defined, parameter is taking from "net getlocalsid" return
SID="S-1-5-21-2850906233-539131870-2269658519"
24
# If not defined, parameter is set to "127.0.0.1"
slaveLDAP="127.0.0.1"
Conifguraciones de TLS/SSL:
# LDAP Suffix
# Ex: suffix=dc=IDEALX,dc=ORG
suffix="dc=cevirtual"
# Where to store next uidNumber and gidNumber available for new users and
groups
# If not defined, entries are stored in sambaDomainName object.
# Ex: sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"
# Ex: sambaUnixIdPooldn="cn=NextFreeUnixId,${suffix}"
sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"
Además, debemos configurar las rutas donde se almacenaran los directorios home de los
usuarios Unix, como también otros parámetros que se usaran como valores por defecto, en
este caso definimos la home como “/home/samba/homes/%U” pues ya habíamos definido
25
antes que ahí estarían las carpetas de los usuario (“%U” indica el nombre del usuario, que
será el nombre de la carpeta del mismo):
# Login defs
# Default Login Shell
# Ex: userLoginShell="/bin/bash"
userLoginShell="/bin/bash"
# Home directory
# Ex: userHome="/home/%U"
userHome="/home/samba/homes/%U"
# Gecos
userGecos="System User"
# Skel dir
skeletonDir="/etc/skel"
# Default password validation time (time in days) Comment the next line
if
# you don't want password to be enable for defaultMaxPasswordAge days (be
# careful to the sambaPwdMustChange attribute's value)
defaultMaxPasswordAge="99999"
Lo mismo debemos hacer con las cuentas de para los usuarios Windows solo que usando un
formato algo diferente, similar al usado en la definición del script de logueo:
26
# The default user netlogon script name (%U username substitution)
# if not used, will be automatically username.cmd
# make sure script file is edited under dos
# Ex: userScript="startup.cmd" # make sure script file is edited under
dos
userScript="\\cevirtual\netlogon\logon.bat"
Ahora que ya hemos editado los archivos de configuración de las herramientas smbldap-
tools, inicializaremos nuestro directorio LDAP con la información para el dominio NT:
CEVIRTUAL.
En el contenedor para los Usuarios, se crearán por defecto los usuarios: root y
nobody los cuales serán mapeados al usuarios Administrador y Guest Samba
respectivamente.
Para inicializar nuestro directorio LDAP con la información de arriba usaremos el comando
smbldap-populate de la siguiente manera:
# smbldap-populate
Al final se nos solicita que asignemos una contraseña para el usuario root del dominio,
utilizaremos la contraseña: admin
27
Las herramientas smbldap-populate crean 5 grupos locales (built-in): Account Operators,
Administrators, Backup Operators, Print Operators, Replicators. A estos grupos les
agrega el atributo sambaGroupType con el valor 5, el tipo de grupo samba 5 es usado para
grupos de dominio y no para grupos locales, para los grupos samba locales debe usar el tipo
4, más información sobre el bug ver el bug 5551 de samba y el bug td18119198 de
smbldap-tools.
Use el comando ldapmodify para cambiar los atributos en los dn de los grupos, cree el
archivo /tmp/samba-builtin-changetype.ldif con el siguiente contenido:
dn: cn=Administrators,ou=groups,dc=cevirtual
changetype: modify
replace: sambaGroupType
sambaGroupType: 4
# /etc/init.d/samba restart
* Stopping Samba daemons [ OK ]
* Starting Samba daemons [ OK ]
28
Configuración de la resolución de Identidades con NSS_LDAP
En los sistemas Unix las cuentas de usuario y grupo son mapeadas a un identificador
numérico llamado UID (User ID) y GID (Group ID) respectivamente, esta resolución es
llevada a cabo por la biblioteca del sistema NSS (Name Service Switch), la cual es invocada
cada vez que algún comando o aplicación tratan con alguna cuestión de permisos o
autenticación.
Por default la biblioteca de sistema NSS realiza la consulta de usuarios, grupos y shadow
usando archivos locales, es decir, /etc/passwd, /etc/group y /etc/shadow, ya que nuestro
sistema usará un directorio LDAP para almacenar la información de los usuarios y grupos
será necesario indicarle a la biblioteca NSS que debe usar un directorio LDAP para obtener
información sobre dichas identidades, es aquí donde entra el paquete nss_ldap, el paquete
nss_ldap es un plugin para la biblioteca del sistema NSS para poder realizar la resolución
de identidades usando como fuente de origen un directorio LDAP.
# cp /etc/ldap.conf{,.orig}
29
Importante
# nano /etc/ldap.conf
uri ldap://127.0.0.1/
ldap_version 3
base dc=cevirtual
pam_filter objectclass=posixAccount
pam_login_attribute uid
pam_member_attribute memberuid
pam_password exop
nss_base_passwd ou=users,dc=cevirtual
nss_base_passwd ou=machines,dc=cevirtual
nss_base_shadow ou=users,dc=cevirtual
nss_base_group ou=groups,dc=cevirtual
bind_policy soft
nss_initgroups_ignoreusers
backup,bin,daemon,dhcp,games,gnats,irc,klog,libuuid,list,lp,mail,man,news
,openldap,proxy,sshd,sync,sys,syslog,uucp,www-data
Los permisos del archivo /etc/ldap.conf deben de ser 644, como se muestra a
continuación:
# ls -l /etc/ldap.conf
-rw-r--r-- 1 root root 467 2008-06-18 23:37 /etc/ldap.conf
Para que el servicio de resolución de entidades en realidad pueda obtener la información del
directorio LDAP, deberemos de modificar el archivo /etc/nsswitch.conf y modificar las
entradas para las entidades: passwd, group y shadow.
# cp /etc/nsswitch.conf{,.FILES}
Ahora editamos el archivo para decirle que para obtener la información de usuarios, grupos
también consulte el directorio LDAP especificado en el archivo /etc/ldap.conf.
30
# nano /etc/nsswitch.conf
Cambiar:
passwd: compat
group: compat
shadow: compat
Por:
Nota
Después de guardar los cambios haremos unas pruebas con el comando getent para
verificar que si este haciendo las consultas al directorio LDAP.
En la salida del comando anterior deberemos de ver dos resultados para root, una fue
obtenida del archivo /etc/passwd y otra del directorio LDAP.
Ahora haremos una prueba para que podamos obtener la lista de grupos tanto del archivo
/etc/group como del directorio LDAP.
En la salida del comando anterior la entrada para el grupo root fue obtenida del archivo
/etc/group y las entradas de los grupos Domain XXXX fueron obtenidas del directorio
LDAP.
Podemos utilizar el comando id para verificar que la resolución de entidades muestre a que
grupos pertenece el usuario root.
31
Inicie una nueva sesión como root en el equipo ya sea por ssh o localmente en una TTY, y
despues ejecute lo siguiente:
# id root
uid=0(root) gid=0(root) groups=0(root),512(Domain Admins)
En este caso, el usuario root pertenece al grupo 512 (Domain Admins) que está en el
directorio LDAP.
Nota
32
Configuración de la Autenticación con PAM_LDAP
Que es PAM?
PAM son las siglas de Plugable Authentication Modules que básicamente es un mecanismo
flexible para autenticar usuarios.
Cada línea de los archivos de configuración de PAM contiene tres columnas más
argumentos opcionales, a continuación se muestra un ejemplo:
password
requisite
La segunda columna (Control Flag) sirve para indicarle a PAM como es que debe
de actuar d
pam_unix.so
33
Respaldando la configuración de PAM
Nuestro respaldo tendrá el sufijo .FILES para indicar que son las configuraciones que usan
los archivos /etc/passwd, /etc/group y /etc/shadow.
# nano /etc/pam.d/common-auth
auth sufficient pam_unix.so likeauth nullok
auth sufficient pam_ldap.so use_first_pass
auth required pam_deny.so
# nano /etc/pam.d/common-account
account required pam_unix.so
account sufficient pam_ldap.so
# nano /etc/pam.d/common-session
session required pam_unix.so
session optional pam_ldap.so
# nano /etc/pam.d/common-password
password required pam_cracklib.so difok=2 minlen=8
dcredit=2 ocredit=2 retry=3
password sufficient pam_unix.so nullok use_authtok md5 shadow
password sufficient pam_ldap.so use_authtok
password required pam_deny.so
34
Instalando el modulo Cracklib de PAM
Sencillo, este archivo se configura exactamente igual que el archivo libnss-ldap, son
prácticamente idénticos. Referirse a la sección de configuración de dicho archivo para
configurar este último. La ruta del mismo es “/etc/libpam-ldap.conf”.
Nota
35
Migración de usuarios y grupos Unix/Posix al directorio LDAP
Aca explicaremos como migrar las cuentas locales de sistema (/etc/passwd) y los grupos
locales (/etc/group) a nuestro directorio LDAP.
En Debian no se incluyen las herramientas necesarias para migrar cuentas Unix a LDAP,
sin embargo, estas herramientas estan como ejemplos en el directorio
/usr/share/doc/smbldap-tools/examples/migration_scripts/, necesitaremos
copiar estas herramientas a /usr/sbin/, lo haremos así:
# zcat /usr/share/doc/smbldap-tools/examples/migration_scripts/smbldap-
migrate-unix-accounts.gz > \
/usr/sbin/smbldap-migrate-unix-accounts
# zcat /usr/share/doc/smbldap-tools/examples/migration_scripts/smbldap-
migrate-unix-groups.gz > \
/usr/sbin/smbldap-migrate-unix-groups
Ahora le configuraremos los permisos a estos dos scripts para que puedan ser ejecutados sin
problemas:
# ls -l /usr/sbin/smbldap-migrate-unix-*
-rwxr-xr-x 1 root root 11640 2008-07-18 00:49 /usr/sbin/smbldap-migrate-
unix-accounts
-rwxr-xr-x 1 root root 5533 2008-07-18 00:50 /usr/sbin/smbldap-migrate-
unix-groups
Ahora que ya tenemos los scripts para migrar cuentas locales al directorio LDAP
seguiremos con las secciones para migrar cuentas y grupos.
36
2. Eliminar de ambos archivos todas las cuentas que no quieras importar en el
directorio LDAP
3. # for user in root nobody bin daemon
4. do
5. export user
6. perl -i –pe's@^$ENV{user}:(.*)\n@@' /tmp/passwd
7. perl -i -pe's@^$ENV{user}:(.*)\n@@' /tmp/shadow
done
Nota
37
Migración de Grupos (/etc/group)
Ahora migraremos los grupos del archivo /etc/group. El proceso de Migración deberá de
hacerse como sigue:
# cp /etc/group /tmp/
2. Elimina todos los grupos que no quieres que se importen al directorio LDAP
3. # for group in root bin daemon
4. do
5. export group
6. perl -i -pe's@^$ENV{group}:(.*)\n@@' /tmp/group
done
# smbldap-migrate-groups -a -G /tmp/group
Nota
Podemos usar el comando getent para verificar que los usuarios y grupos migrados esten en
el directorio LDAP.
38
Integrando Clientes Windows al Dominio Samba
Para que un equipo con el sistema operativo Windows pueda participar en un dominio de
red, sea Samba o NT, el equipo debe de unirse al dominio, el proceso para unir un equipo
Windows a un Dominio Samba/NT se detalla en los siguientes pasos:
Para que un equipo Windows pueda ser unido al dominio es necesario que cumpla con los
siguientes requerimientos
En esta sección se describe como verificar que los parámetros de red en nuestro equipo
Windows estén correctamente configurados.
Antes de unir un equipo Windows al dominio, verificaremos que los parámetros de red
estén correctamente configurados.
39
Soporte NetBIOS sobre TCP/IP: El equipo deberá de tener el soporte de NetBIOS sobre
TCP/IP Activado.
Dar click derecho al icono de Conexión de área local, seleccionar el elemento Protocolo
Internet (TCP/IP) y dar click en el botón Propiedades
Dentro del cuadro de dialogo Propiedades de Protocolo Internet (TCP/IP) dar click en el
botón de Opciones Avanzadas
40
En esta pestaña vamos a agregar la dirección IP de nuestro servidor WINS (NetBIOS Name
Server ó NBNS), para agregar el servidor WINS damos click en el botón Agregar como se
muestra en la imagen de abajo.
41
Después de agregar la dirección IP del servidor WINS damos click en el botón Agregar y
el servidor WINS aparecerá en la lista.
Nota
Podemos agregar más de un servidor WINS, el sistema los evaluará en el orden en que
aparecen.
Para terminar nuestras configuraciones damos click en el botón Aceptar para regresarnos al
cuadro de dialogo de configuraciones avanzadas, estando en el cuadro de dialogo de
Propiedades de Protocolo Internet (TCP/IP) General damos click en el botón Aceptar y
por ultimo damos click en el botón Cerrar para que nuestros cambios tomen efecto.
42
Verificación de los Parámetros de Red
Solo para confirmar que la configuración si hay tomado efecto damos doble click sobre el
icono de Conexión de área local.
Ahí nos muestra una parte de la configuración de red. Damos click en el botón Detalles...
para ver la información completa de la configuración de red.
Si después de verificar los detalles de los parámetros de red todo esta bien, entonces
podemos continuar con el paso de configuración del nombre de equipo.
43
Para verificar el nombre de nuestro equipo vamos al Panel de Control=>Rendimiento y
mantenimiento=>Sistema
Si se desea cambiar el nombre del equipo (recordar que este nombre será como nos verán
en la red), podemos dar click en el botón Cambiar... y nos aparecerá una ventana como la
siguiente.
44
Se cambia el nombre donde dice Nombre de equipo: y se da click en Aceptar.
Para unir el equipo al dominio podemos usar el Asistente para identificación de red el
cual nos llevará paso a paso en el proceso para que el equipo sea un miembro del dominio
de red Samba/NT.
45
La primera pantalla nos da la bienvenida al asistente para conectar el equipo a una red.
46
El siguiente paso nos pregunta qué tipo de equipo tenemos, en nuestro caso seleccionamos
la opción que dice: El equipo forma parte de una red organizativa y lo utilizo para
conectarme a otros equipos en el trabajo y damos en el botón Siguiente > para
continuar.
47
En el siguiente paso del asistente nos da un da un resumen de la información de red que
necesitamos para unir este equipo al dominio
Además necesitaremos la contraseña del usuario root del dominio, esta cuenta será
necesaria para poder unir la maquina al dominio y crear la cuenta de computadora
correspondiente a virtualxp. Configuramos esta información como se muestra en la
siguiente imagen:
48
Después de ingresar la información damos click en el botón Siguiente >.
Al dar click en Siguiente el asistente tratará de encontrar una cuenta de equipo de nombre
virtualxp en el dominio CEVIRTUAL, si no la encuentra nos mostrará un cuadro como el
siguiente, donde nos avisa que no encontró la cuenta de equipo en el dominio, nos pide
escribir nuevamente el nombre de equipo y el dominio.
49
Damos click en el botón Siguiente >, ya que la cuenta de equipo no se encontró en el
dominio CEVIRTUAL, necesitaremos usar una cuenta con privilegios administrativos de
dominio y su contraseña para que por medio del asistente de identificación de red se cree la
cuenta de equipo virtualxp en el dominio CEVIRTUAL.
50
Si las credenciales que presentamos fueron correctas, en la siguiente ventana, nos dirá que
podemos agregar un usuario al equipo, cuando se agrega un usuario a este equipo se le
concede acceso a todos los recursos del equipo y a todos los recursos compartidos en la red.
En la siguiente ventana nos solicita asignar un nivel de acceso que el usuario alguien tendrá
sobre el equipo VIRTUALXP, por defecto esta seleccionado el nivel de acceso: Usuario
estándar.
51
El nivel de acceso Usuario estándar permite que los usuarios puedan cambiar muchas
configuraciones del sistema e instalar programas que no afecten a los archivos del sistema
de Windows. Digamos que este es el nivel intermedio.
El nivel de acceso Usuario restringido permite que los usuarios pueden utilizar el equipo y
guardar documentos, pero no pueden instalar programas o cambiar la configuración del
sistema.
En Otros: podemos elegir otros niveles de acceso, por ejemplo, podemos dar acceso de
Administrador al usuario, esto quiere decir que el usuario alguien tendrá todos los
privilegios sobre el equipo VIRTUALXP, lo cual significa que puede cambiar
configuraciones, puede instalar y desinstalar programas que afecten el sistema, es decir,
puede hacer lo que le dé la gana sobre el equipo, incluso formatear :D.
Por ahora seleccionamos el nivel de acceso Usuario estándar y damos click en el botón
Siguiente > para finalizar.
52
El último paso nos dice que ya hemos completado con éxito el asistente para identificación
de red, y nos solicita re iniciar el equipo para que los cambios tengan efecto. Damos click
en el botón Finalizar.
53
Para que los cambios que hicimos en el asistente de identificación de red tenga efecto es
necesario re iniciar el equipo, damos click en el botón Aceptar para terminar y re iniciar.
Si queremos ver en qué equipo o dominio queremos iniciar sesión podemos dar click en el
botón "Opciones" y nos mostrará algo así:
54
Nota
Si queremos conectarnos al equipo local, damos click en el menú desplegable de
Conectarse a: y elegimos: VIRTUALXP (este equipo).
55
Integración de clientes Linux al dominio
host 192.168.0.2
base dc=cevirtual
uri ldap://192.168.0.2/
ldap_version 3
rootbinddn cn=admin,dc=cevirtual
pam_password exop
nss_base_passwd ou=users,dc=cevirtual
nss_base_shadow ou=users,dc=cevirtual
nss_base_group ou=groups,dc=cevirtual
host 192.168.0.2
base dc=cevirtual
uri ldap://192.168.0.2/
rootbinddn cn=admin,dc=cevirtual
pam_password exop
nss_base_passwd ou=users,dc=cevirtual
56
nss_base_shadow ou=users,dc=cevirtual
nss_base_group ou=groups,dc=cevirtual
Para corregir cualquier error que puede llegar a suceder entre diferentes distros se crean
links de los siguientes archivos, renombrando los archivos linkeados con sus similares de la
distro ubuntu, tal como está a continuación:
#
# Archivo de configuración para desktop miembro de dominio
#
[global]
workgroup = CEVIRTUAL
netbios name = debian
server string = debian de CEVIRTUAL
security = DOMAIN
username map = /etc/samba/smbusers
log level = 1
syslog = 0
log file = /var/log/samba/%m.log
max log size = 50
57
utmp = Yes
# smbpasswd -W
Setting stored password for "cn=admin,dc=cevirtual" in secrets.tdb
New SMB password:admin
Retype new SMB password:admin
# /etc/init.d/samba restart
* Stopping Samba daemons [ OK ]
* Starting Samba daemons [ OK ]
# pdbedit -L
root:0:root
nobody:65534:nobody
virtualxp$:1003:VIRTUALXP$
Podemos utilizar el mismo comando net para obtener información del dominio al que nos
unimos:
58
Domain Name: CEVIRTUAL
Domain SID: S-1-5-21-2911508632-2405292923-4115677068
Sequence number: 1232322213
Num users: 6
Num domain groups: 7
Num local groups: 0
59
Configurando un Controlador de Dominio de Respaldo (BDC)
Las configuraciones para un servidor de control de dominio de respaldo (bdc) son similares
a las del servidor maestro (PDC), asi que no mostraremos los configuraciones completas,
solo los cambios que se deben hacer para que se comporte como respaldo, para montar el
servidor BDC en sí, sigue los pasos que se describieron anteriormente.
Para empezar, debemos recalcar que solo es necesario instalar y configurar el servidor
“Samba” y sus complemento “smbldap-tools”, “libnss-ldap” y “libpam-ldap”. La parte del
servidor LDAP, servidor DNS (Bind9) y demás no son necesarias.
os level = 60
El cual indica el nivel de presentación de samba en la red, por ello el servidor
maestro debe tener un número mayor que el servidor de respaldo, debes verificar
este número en ambos.
domain master = no
Ésta opción es algo obvia, pero debe colocarse en “no” para que nuestro servidor
sea reconocido como BDC
60
En estos 3 archivos, lo único que debemos configurar es que cada ip ya no apuntará al
servidor local (127.0.0.1) sino a nuestro servidor maestro que está para nuestro caso en
192.168.0.2.
Y listo, ya tenemos configurado nuestro servidor BDC. Para comprobarlo podemos usar el
comando “testparm” en cada uno de nuestros servidores y veremos el rol de cada uno y que
nuestras configuraciones sean correctas. Nos tendrían que dar unas salidas como éstas
(poner atención a la línea que dice “Server role”:
En el PDC:
Y en el BDC:
61
Servidor de archivos OpenFiler
Bueno, como se dijo al inicio de éste manual, en la implementación del mismo se utilizará
un servidor de archivos llamado OpenFiler, éste servidor será utilizado para almacenar de
manera centralizada los archivos de todos los usuarios del sistema.
Pero, ¿Qué es OpenFiler? Es un sistema Linux basado en una distribución llamada CentOS,
el cual provee muchos servicios para montar un servidor de archivos con diferentes
tecnologías, así como también otros servicios que ayuden al funcionamiento o a dar
mayores prestaciones a nuestro servidor de archivos. Para más información visita su página
oficial: http://www.openfiler.com/
Ya con esto tenemos instalado nuestro servidor de archivos, si deseas ver información mas
detallada sobre la instalación del mismo, visita su manual oficial (en inglés):
http://www.openfiler.com/learn/how-to/graphical-installation
62
Configuración de servidor de archivos OpenFiler
Una vez tenemos instalado OpenFiler, puedes acceder al mismo via su panel de control
basado en web, el cual te permite configurar todas las opciones disponibles en el mismo.
Para hacer esto, debemos escribir en un navegador (de una computadora que este en el
mismo dominio que el servidor) la dirección ip del OpenFiler seguida por dos puntos y el
numero 446 que es el puerto que utiliza OpenFiler, además, deberas utilizar http seguro
para poder acceder al mismo, así: https://IP de OpenFiler:446/
Configurando la red
Lo primero que debemos hacer, es configurar los host, la red o las redes que podrán tener
acceso a nuestro servidor. Para ello, seleccionamos la opción “System” del menú principal
y luego la sección “Network Access Configuration” hasta el fondo de la página, ahí
agregamos la ip del/los hosts que podrán accesar a la red, en nuestro caso, configuramos
una red completa que pueda acceder al servidor, la 192.168.0.0 con la máscara (“Netmask”)
255.255.255.0, además, debemos seleccionar en el campo “Type” la opción “Share”, para
que el servidor esté disponible para esa red.
Nota
63
Información importante sobre volúmenes
Antes de continuar con las configuraciones, aclararemos unos conceptos importantes como
lo son los volúmenes en OpenFiler, ya que los utilizaremos para configurar la parte del
almacenamiento de archivos en el servidor:
Con estos conceptos presentes, pasaremos a configurar los volúmenes para nuestro
servidor.
64
Creación de un Nuevo volumen físico
¿Recuerdan que dejamos un espacio sin particionar en el disco del servidor? Bueno, aca
configuraremos ese espacio como volumen físico para que este disponible para ser usado
por OpenFiler.
Necesitamos crear un volumen físico que luego será presentado a través de un grupo de
volumen. Para hacer esto, seleccionamos “Block Devices” del menú “Volumes Section”:
Seleccionamos la opción „Edit Disk‟ en el disco que queramos crear el volumen físico.
Seleccionamos el espacio que queremos darle al volumen con las cajas de texto para los
cilindros, en la opción “Partition Type” seleccionamos el tipo “Physical Volume” y
presionamos el botón “Create” para crear nuestro nuevo volumen:
Luego, nos aparecerá una pantalla resumen donde estaran los diferentes volúmenes que
tenemos disponibles en nuestro servidor (si es que creamos mas de uno)
65
Creando el nuevo Grupo de volumen
Lo siguiente que vamos a crear es el “Volume Group” para el “Physical Volume” que
creamos anteriormente. Damos click en la ficha “Volumes” y luego seleecionamos
“Volume Groups” de la sección de “Volume” en el menú que esta al lado derecho.
Ahora aparecerá una pantalla que muestre el nuevo grupo de volumen que acabamos de
crear:
66
Creando el volumen
Para nuestro caso en particular, crearemos un volumen que ocupe todo el espacio del grupo
de volumen que esta unido al volumen físico que creamos antes. Escribimos un nombre
para el volumen, nosotros lo llamamos “cevirtual_volume”. Tambien debemos seleccionar
el tamaño que ocupara moviendo el indicador lo mas a la derecha o según te convenga o
desees. Luego, para el sistema de archivos (Filesystem/Volume type) seleccionamos
“iSCSI”, muy importante el escoger este tipo de volumen.
67
Luego de verificar las configuraciones, podemos presionar el botón “Create” para crear
nuestro nuevo volumen.
Una vez tenemos creado nuestro volumen, veremos una pantalla donde aparece un gran
circulo verde que indica el la cantidad o el espacio usado del grupo de volumen que nuestro
nuevo volumen consume:
68
Bueno, ya tenemos completamente creado y configurado nuestro volumen para los datos.
Ahora debemos habilitar el lado de la conectividad para que se pueda acceder a este nuevo
recurso que hemos habilitado.
69
Mapeando el volumen lógico o LUN
Establecemos la regla de acceso para la red o hosts que podrán acceder a los datos. Para
ello, seleccionamos en “Access” la opción “Allow” para permitir a quienes queramos el
acceso.
Hasta aquí con la configuración del servidor. Ya lo tenemos listo para ser utilizado en la red
o hosts que configuramos que podrían tener acceso al mismo.
70
Integrando servidor de archivos OpenFiler con los controladores de
dominio
Instalación de open-iscsi
Lo primero que vamos a hacer es instalar el software iniciador. En Linux contamos con
varios iniciadores iSCSI, sin embargo el más usado es open-iscsi, además está dentro de la
paquetería de Debian. Lo instalamos
Esto nos instalará un script de inicio que carga los módulos y lanza un programa que
controla el iniciador (iscsid), y un programa para configurar nuestro iniciador
(iscsiadm).
# /etc/init.d/open-iscsi start
Configuración de open-iscsi
En primer lugar tenemos que indicarle a iscsiadm que detecte nuestro target iSCSI y lo
agregue a su base de datos. Hay que aclarar que iscsiadm tiene tres formas de operación
node: En este modo se administran los targets ya descubiertos y se pueden visualizar datos
acerca de estos nodos, así como conectarse a ellos.
session: En este modo se administran los targets a los que se está conectados (en los que
se ha hecho login).
71
Para descubrir nuestro target usamos obviamente “discovery“
# iscsiadm -m discovery -t sendtargets -p 192.168.0.4
192.168.0.4,1 iqn.2005-02.au.com.empresa:san.200G.samba
Con lo que le indicamos a iscsiadm que descubra los targets que le ofrece el portal
ubicado en 192.168.0.4. El método que usa para descubrirlo es “sendtargets“, que es el
método soportado más estable a la fecha (existen otros métodos, como por ejemplo uno que
resuelve nombre de targets).
# iscsiadm -m discovery
192.168.0.4:3260 via sendtargets
Vemos que la información del servidor iSCSI target descubierto quedó almacenada en la
base de datos de iscsiadm
72
Login en el dispositivo
Ahora que la información del target ya está configurada, podemos empezar a usarlo. Para
ello debemos hacer login o autenticarnos en el target.
La opción “-l” indica que queremos hacer login en el target. Esto significa que el disco
iSCSI estará disponible como un dispositivo de hardware más en nuestro servidor. Para
comprobar si el disco iSCSI se detecto y se “conectó” al equipo, basta con ver la salida de
dmesg
#dmesg
SCSI device sda: 390620475 512-byte hdwr sectors (199998 MB)
sda: Write Protect is off
sda: Mode Sense: 77 00 00 08
SCSI device sda: drive cache: write through
SCSI device sda: 390620475 512-byte hdwr sectors (199998 MB)
sda: Write Protect is off
sda: Mode Sense: 77 00 00 08
SCSI device sda: drive cache: write through
sda: sda1
sd 1:0:0:0: Attached scsi disk sda
En el ejemplo el disco iSCSI se detectó y se “conectó” al equipo como un disco SCSI más.
También notamos que para el sistema nuestro disco iSCSI no se diferencia de un dsico
SCSI conectado físicamente.
Aunque el disco iSCSI ya está conectado, no es usable hasta que definamos particiones en
él y las formateemos en un sistema que el kernel maneje. Para ello podemos usar fdisk o
alguna otra herramienta en Linux que pueda servir para formatear la partición ya montada.
Como dato extra, la partición en nuestros controladores de dominio se mostrará bajo el
nombre de sdb1 o hdb1 (dependiendo del tipo de disco que se tenga).
Se recomienda que la partición sea formateada con el sistema de archivos ext3 por
cuestiones de compatibilidad con sistemas Linux.
Como último punto relacionado con la configuración del iniciador, deberíamos definir que
se haga login al target y se conecte el disco automáticamente cada vez que se inicie el
servicio open-iscsi, de manera que no tengamos que hacerlo a mano luego de que nuestro
sistema inicie. Volvemos a utilizar iscsiadm para modificar el parámetro que maneja esta
opción:
73
# iscsiadm -m node -targetname iqn.2005-02.au.com.empresa:san.200G.samba
-p 192.168.1.110 -o update -n node.conn[0].startup -v automatic
# /etc/init.d/open-iscsi restart
Con esto, ya tenemos montada nuestra partición del servidor OpenFiler en ambos PDC y
BDC, solo falta crear las carpetas y archivos con sus respectivos permisos que estaban en
esa carpeta para que ya pueda usarse para guardar de manera centralizada la información de
los clientes del dominio. Referirse a la sección de configuración de samba en los temas “El
recurso compartido especial [netlogon]”, El recurso compartido especial [homes] y “El
recurso compartido especial [profiles]”
74