Достойный контроллер домена на Linux. (Подробный HowTo) (MDS, Ldap, Samba, Postfix, SQUID)

[Venegance]

Тогда действуй так, как советует сам slapd: вбивай в консоли

Код: Выделить всё

slapd -g openldap -u openldap -f /etc/ldap/slapd.conf

В ответ получишь номер строки в конфигурационном файле slapd'а, где присутствует ошибка и объяснение что за ошибка.

[kolotov]

Тогда действуй так, как советует сам slapd: вбивай в консоли

Код: Выделить всё

slapd -g openldap -u openldap -f /etc/ldap/slapd.conf

В ответ получишь номер строки в конфигурационном файле slapd'а, где присутствует ошибка и объяснение что за ошибка.

на эту команду никак не реагирует

[Venegance]

Попробуй посмотреть syslog или запусти slapd в режиме отладки

[kolotov]

Попробуй посмотреть syslog или запусти slapd в режиме отладки

запустил slapd -d 16383 , выдал много информации, как узнать где именно ошибка
syslog вообще не открывается

[Venegance]

Чтобы узнать где ошибка, необходимо проанализировать информацию, выдаваемую даемоном, а syslog не открывается, потому что у тебя не syslog, а rsyslog. Данная статья писалась для Debian Etch, а у тебя, скорее всего, Lenny.

[elderone]

bind9 lenny & ldap
вопрос решается тривиально
bind-ldap
я возможно еще не научился как следует пользоваться apt-get, поэтому сделал просто - выкачал нужные пакеты и установил их локально:

Код: Выделить всё

cd /webpkg
wget http://mds.mandriva.org/pub/mds/debian/pool-lenny/bind-ldap/bind9utils_9.5.1.dfsg.P1-2mdv_i386.deb
wget http://mds.mandriva.org/pub/mds/debian/pool-lenny/bind-ldap/liblwres40_9.5.1.dfsg.P1-2mdv_i386.deb
wget http://mds.mandriva.org/pub/mds/debian/pool-lenny/bind-ldap/libisccfg40_9.5.1.dfsg.P1-2mdv_i386.deb
wget http://mds.mandriva.org/pub/mds/debian/pool-lenny/bind-ldap/libisccc40_9.5.1.dfsg.P1-2mdv_i386.deb
wget http://mds.mandriva.org/pub/mds/debian/pool-lenny/bind-ldap/libisc45_9.5.1.dfsg.P1-2mdv_i386.deb
wget http://mds.mandriva.org/pub/mds/debian/pool-lenny/bind-ldap/libdns45_9.5.1.dfsg.P1-2mdv_i386.deb
wget http://mds.mandriva.org/pub/mds/debian/pool-lenny/bind-ldap/libbind9-40_9.5.1.dfsg.P1-2mdv_i386.deb
wget http://mds.mandriva.org/pub/mds/debian/pool-lenny/bind-ldap/bind9_9.5.1.dfsg.P1-2mdv_i386.deb
dpkg -i bind9utils_9.5.1.dfsg.P1-2mdv_i386.deb liblwres40_9.5.1.dfsg.P1-2mdv_i386.deb libisccfg40_9.5.1.dfsg.P1-2mdv_i386.deb libisccc40_9.5.1.dfsg.P1-2mdv_i386.deb libisc45_9.5.1.dfsg.P1-2mdv_i386.deb libdns45_9.5.1.dfsg.P1-2mdv_i386.deb libbind9-40_9.5.1.dfsg.P1-2mdv_i386.deb bind9_9.5.1.dfsg.P1-2mdv_i386.deb

версия будет постарше чем в 5.0.2 но вполне рабочая

[omni64]

Вопрос к автору статьи
в связи с выходом Lenny не планируется ли обновление статьи для актуального дистрибутива?
хотелось бы очень увидеть материал....

[fisinaa]

Вопрос к автору статьи
в связи с выходом Lenny не планируется ли обновление статьи для актуального дистрибутива?
хотелось бы очень увидеть материал....

Все норм ставится на Lenny, будут вопросы - спрашивай

[fisinaa]

Да за мануал огромное спасибо!!! автор молодец посторался! хотел поинтересоваться, а када будет мануал про Squid ? или есть уже?

[kolotov]

при конфигурировании конфига samba в Lenny порядок и кол-во строк в конфиге отличаются. Надо делать все как в эталонном конфиге в мануале или же можно оставить и подправить свой?

[fisinaa]

при конфигурировании конфига samba в Lenny порядок и кол-во строк в конфиге отличаются. Надо делать все как в эталонном конфиге в мануале или же можно оставить и подправить свой?

Просто добавляй нехватающие строки...я так делал. работает.

[Denikin]

Всем привет. Респект автору.
Настраиваю под lenny.
По ходу возникали проблемы, может кому поможет:
1) по умолчанию создается hdb база данных
чтобы создать bdb надо запустить dpkg-reconfigure slapd (в инструкции про это не сказано)
2)/etc/init.d/slapd restart
ругается на "Schemacheck on" - неопознанная директива
решение - закоментить
3) Starting domain name service...: bind9 failed!
bind9rndc: connect failed: 127.0.0.1#953: connection refused
решение - помогла только переустановка bind9

Вот ну а теперь собственно мои вопросы, которые остались не решеными.
1)файл resolv.conf

#Мой DNS
nameserver 127.0.0.1
#Мой локальный DNS.
nameserver 192.168.0.2

Здесь мне непонятно что подразумевается под "Мой локальный DNS." ?
Чей адрес там указывать?

2)Окончательно стопарнулся на установке виртуальных хостов апачи:
/etc/init.d/apache2 restart
Restarting web server: apache2(98)Address already in use: make_sock: could not bind to address [::]:443
Что с этим делать ума не приложу, может кто сталкивался с такой проблемой?
гуглил в инете но не помогло. типа там какая то прога может занимать 80 порт
порт проверил - свободный, 443 тоже

p/s проблема решена. дело в том, что не надо было добавлять директиву "listen 443" в файл ports.conf тк она там уже есть (в другой секции). Те не работало из-за того что эта директива два раза была забита.

[Venegance]

Вот ну а теперь собственно мои вопросы, которые остались не решеными.
1)файл resolv.conf
#Мой DNS
nameserver 127.0.0.1
#Мой локальный DNS.
nameserver 192.168.0.2
Здесь мне непонятно что подразумевается под "Мой локальный DNS." ?
Чей адрес там указывать?

nameserver 127.0.0.1 - сервер имен, который будет обслуживать DNS-зону, созданную на локальном сервере(adsl.com в данной статье)

nameserver 192.168.0.2 - сервер пересылки DNS-запросов, полномочный для разрешения имен всех других доменов, не относящихся к данному серверу

[mmc]

Гуру, помогите
Конфигурация:

• openSUSE 11.1 (Apache, PHP5 и т.д)
• маршрутеризатор D-Link
• DNS серверы предоставлены регистратором
• IP - один (общий) на два доменных имени, предоставлен провайдером

зарегил у регистратора два доменных имени: site1.ru и site2.ru. Оба сайта находятся на одном компе.
Site1.ru - настроил без проблем, всё работает (в маршрутеризаторе поставил виртуальный HTTP с адресом 192.168.0.100)
Вопрос: как прописать Site2.ru.

Усё, сам разобрался:
прописал в файле yast2_vhosts.conf:

Код: Выделить всё

<VirtualHost *:80>
ServerAdmin admin@site1.ru
DocumentRoot /srv/www/site1
ServerName www.site1.ru
ServerAlias site1.ru
Directory /srv/www/site1
</VirtualHost>

<VirtualHost *:80>
ServerAdmin admin@site2.ru
DocumentRoot /srv/www/site2
ServerName www.site2.ru
ServerAlias site2.ru
Directory /srv/www/site2
</VirtualHost>

[Alloran]

Ув. HidX, спс вам за мануал..

и можно пароль вот от сюда в личку или на alloran at yandex.ru

[Venegance]

Есть проблема: как только выполняю этот шаг

Код: Выделить всё

cp /usr/share/doc/python-mmc-base/contrib/ldap/nsswitch.conf /etc/nsswitch.conf

то при загрузке машины появляются сообщения об ошибке подключения к LDAP серверу. При попытке выполнить следующее

Код: Выделить всё

net -U Administrator rpc rights grant 'ADSL\Domain Admins' SeMachineAccountPrivilege

из консоли получаю следующее сообщение

Код: Выделить всё

[2009/07/10 12:55:29,  0] libsmb/clientgen.c:cli_receive_smb(165)
  Receiving SMB: Server stopped responding
Could not connect to server 127.0.0.1
Connection failed: NT_STATUS_IO_TIMEOUT

В чем может быть проблема? Заранее благодарен.

[Alloran]

сообщения об ошибке подключения к LDAP серверу

это нормально. если не хочешь их видеть - то

Код: Выделить всё

apt-get remove libnss-ldap && apt-get install libnss-ldapd && apt-get remove nscd

параметры конфигурации libnss-ldapd такие же, как и у libnss-ldap

Receiving SMB: Server stopped responding

Самба вообще жива?

что выводят

Код: Выделить всё

cat /var/log/syslog | grep smbd
cat /var/log/syslog | grep nmbd

[Venegance]

Спасибо, что откликнулся, но я разобрался сам. Дело в том, что при выполнении некоторых команд, описанных в мануале, кроме необходимого результата вылетали еще кое-какие левые сообщения, неописанные в мануале. Я решил что дело в версии самбы. Как оказалось, при установке пакетов я добавил squeeze репозитории, так как у меня дебиан ругался, что не может найти некоторые необходимые пакеты. Естественно, самбу он так же взял из squeeze репозитория. Поэтому настоятельно рекомендую при реализации данного howto использовать только репозитории текущего стабильного выпуска(lenny). Следующих для установки будет достаточно:

Код: Выделить всё

deb http://security.debian.org/ lenny/updates main contrib
deb-src http://security.debian.org/ lenny/updates main contrib
deb http://ftp.de.debian.org/debian lenny main
deb http://mds.mandriva.org/pub/mds/debian lenny main

пакет libsasl2 заменить на libsasl2-2

[yosemity]

Я, как и многие столкнулся с проблемой (не смотря на предварительную настройу PAM)

chown -R :"Domain Users" /home/samba/
chown: `:Domain Users': неверная группа

net -U Administrator rpc rights grant 'ADSL\Domain Admins' SeMachineAccountPrivilege
Password:
Could not connect to server 127.0.0.1
The username or password was not correct.
Connection failed: NT_STATUS_LOGON_FAILURE

Покурил логи и понял, что не могу подключиться к OpenLDAP. В итоге, мое решиение - в файле ibnss-ldap.conf раскоментировать строку
uri ldap://127.0.0.1

[mashsvob]

Спасибо за описание уважаемый HidX.
Сам хотел давно заняться данным вопросом, т.к. сеть росла очень быстрыми темпами и заниматься данным вопросом небыло времени.
Сейчас в сети более 500 ПЭВМ. 18 серверов. Трафик рулется через прокси сервер SQUID и уже на протяжении 2 лет контролируется программой SAMS (http://sams.perm.ru/).
Почта, DNS, DHCP работает в openldap, но компьютеры пользователей работают как попало, вот и встал вопрос о внедрении PDC.
Было решено моему коллеге поднять PDC на Windows 2003 Server, а мне на Linux.
После чего будет приниматься решение о внедрении.
Сам я не приемлю переход на ОС Windows, т.к. уже не первый год работаю на linux.
Сейчас заказал Blade корзину HP. Вот на ней и хочу реализовать данный проект, а также ряд других с помошью VMWare ESX +VMWare VMotion (VMWare vSphere)
Единственное страшно не подведёт ли проект в самый ответственный момент, выдержит ли сеть такую нагрузку, все таки 500 ПЭВМ, это не мало, и проблему потом разрулить будет уже не так просто.
Неплохо было бы добавить Linbox Rescue Server.
Спасибо !!!

[wilp]

Спасибо HidX!

Ставлю на debian lenny
при запуске dovecot

Код: Выделить всё

/etc/init.d/dovecot

в логах ругается на неизвестный параметр
/var/log/dovecot.log

Код: Выделить всё

dovecot: Sep 03 17:31:39 Info: dovecot v1.1.13 starting up (core dumps disabled)
dovecot: Sep 03 17:31:39 Error: auth(default): Error in configuration file /etc/dovecot/dovecot-ldap.conf line 11: Unknown setting: user_global_gid
dovecot: Sep 03 17:31:39 Error: child 7702 (auth) returned error 89 (Fatal failure)
dovecot: Sep 03 17:31:39 Fatal: Auth process died too early - shutting down

dovecot --version
1.1.13

Смотрю оригинальный конфиг. файл
/etc/dovecot/dovecot.conf.bak
там нет упоминания про параметр
user_global_gid

Как быть?

[Kagazahn]

Сначала - спасибо автору за труд.

Теперь о грустном.
Попытался настроить по этой инструкции.

ОС - Ubuntu Server 9.04 (2.6.28-15-server #49-Ubuntu SMP Tue Aug 18 19:30:06 UTC 2009)
Slapd - @(#) $OpenLDAP: slapd 2.4.15 (Mar 19 2009 10:08:25) $
buildd@palmer:/build/buildd/openldap-2.4.15/debian/build/servers/slapd

Оказалось, что:

1. В новых версиях openldap изменена система хранения конфигурационной информации. Вместо slapd.conf теперь структура /slapd.d
2. Несмотря на 1. использование slapd.conf возможно, однако авторский пример на 1-й странице теперь не проходит slaptest, файл целиком скопипастил с первой страницы и назвал test.conf:

Код: Выделить всё

sudo slaptest -f /etc/ldap/test.conf
/etc/ldap/test.conf: line 19: unknown directive <schemacheck> outside backend info and database definitions.
slaptest: bad configuration file!

убрал schemacheck:

Код: Выделить всё

sudo slaptest -f /etc/ldap/test.conf
/etc/ldap/test.conf: line 47: unknown directive <checkpoint> outside backend info and database definitions.
slaptest: bad configuration file!

убрал checkpoint:

Код: Выделить всё

sudo slaptest -f /etc/ldap/test.conf
/etc/ldap/test.conf: line 106: warning: no by clause(s) specified in access line.
<access clause> ::= access to <what> [ by <who> [ <access> ] [ <control> ] ]+
<what> ::= * | dn[.<dnstyle>=<DN>] [filter=<filter>] [attrs=<attrspec>]
<attrspec> ::= <attrname> [val[/<matchingRule>][.<attrstyle>]=<value>] | <attrlist>
<attrlist> ::= <attr> [ , <attrlist> ]
<attr> ::= <attrname> | @<objectClass> | !<objectClass> | entry | children
<who> ::= [ * | anonymous | users | self | dn[.<dnstyle>]=<DN> ]
    [ realanonymous | realusers | realself | realdn[.<dnstyle>]=<DN> ]
    [dnattr=<attrname>]
    [realdnattr=<attrname>]
    [group[/<objectclass>[/<attrname>]][.<style>]=<group>]
    [peername[.<peernamestyle>]=<peer>] [sockname[.<style>]=<name>]
    [domain[.<domainstyle>]=<domain>] [sockurl[.<style>]=<url>]
    [dynacl/<name>[/<options>][.<dynstyle>][=<pattern>]]
    [ssf=<n>] [transport_ssf=<n>] [tls_ssf=<n>] [sasl_ssf=<n>]
<style> ::= exact | regex | base(Object)
<dnstyle> ::= base(Object) | one(level) | sub(tree) | children | exact | regex
<attrstyle> ::= exact | regex | base(Object) | one(level) | sub(tree) | children
<peernamestyle> ::= exact | regex | ip | ipv6 | path
<domainstyle> ::= exact | regex | base(Object) | sub(tree)
<access> ::= [[real]self]{<level>|<priv>}
<level> ::= none|disclose|auth|compare|search|read|{write|add|delete}|manage
<priv> ::= {=|+|-}{0|d|x|c|s|r|{w|a|z}|m}+
<control> ::= [ stop | continue | break ]
dynacl:
    <name>=ACI    <pattern>=<attrname>

slaptest: bad configuration file!

пришлось убрать ВСЕ директивы access

Код: Выделить всё

sudo slaptest -f /etc/ldap/test.conf
config file testing succeeded

В-общем, надо разбираться.

До кучи попытался перенести рабочий конфиг /slapd.d с установленной MES5 (та, что раздается на их сайте для теста), однако тоже ошибка:

Код: Выделить всё

bi_db_open failed (-1)

Правда openldap на MES5 имеет более навороченную конфигурацию, чем описана тут и на самом сайте Мандривы. В частности, используется файл mandriva-dit-access.conf, было бы интересно услышать мнения гуру, насколько он важен в конфигурации контроллера домена.
Могу привести здесь его листинг, если интересно.

[Kagazahn]

bi_db_open failed (-1)
вылезала из-за того, что при установке пакета slapd была создана база по дефолтной схеме.
Грохнул базу, конфиг slapd.conf и файлы схемы перенес с MES5.

Затем конверт в новый формат
sudo slaptest -f /etc/ldap/slapd.mes5 -F /etc/ldap/slapd.d
/etc/init.d/slapd start

По крайней мере все запустилось и слушает по tcp389.

Что касается синтаксиса slapd.conf, то директивы access теперь вынесены в отдельный файл - slapd.access.conf
Времени разбираться с ним пока нет

[Kagazahn]

У меня не получается создать юзера с русскими именем-фамилией через mmc-интерфейс.

Кто как работает с кириллицей?

[Alloran]

У меня не получается создать юзера с русскими именем-фамилией через mmc-интерфейс.

Кто как работает с кириллицей?

1. Правим /usr/share/python-support/python-mmc-base/mmc/plugins/base/__init__.py

Код: Выделить всё

--- __init__.py.orig    2008-12-15 00:00:00.000000000 +0600
+++ __init__.py 2009-08-06 17:28:52.000000000 +0600
@@ -858,9 +858,7 @@
         if not lastN: lastN = uid

         # For the gecos LDAP field, make a full ASCII string
-        gecosFirstN=str(delete_diacritics((firstN.encode("UTF-8"))))
-        gecosLastN=str(delete_diacritics((lastN.encode("UTF-8"))))
-        gecos = gecosFirstN + ' ' + gecosLastN
+        gecos = firstN + ' ' + lastN

         # Build a UTF-8 representation of the unicode strings
         lastN = str(lastN.encode("utf-8"))

2. правим /etc/ldap/schema/nis.schema

Код: Выделить всё

--- nis.schema.orig     2009-02-23 14:37:35.000000000 +0600
+++ nis.schema  2009-08-06 14:38:57.000000000 +0600
@@ -48,9 +48,9 @@

 attributetype ( 1.3.6.1.1.1.1.2 NAME 'gecos'
        DESC 'The GECOS field; the common name'
-       EQUALITY caseIgnoreIA5Match
-       SUBSTR caseIgnoreIA5SubstringsMatch
-       SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 SINGLE-VALUE )
+       EQUALITY caseIgnoreMatch
+       SUBSTR caseIgnoreSubstringsMatch
+       SYNTAX 1.3.6.1.4.1.1466.115.121.1.15 SINGLE-VALUE )

 attributetype ( 1.3.6.1.1.1.1.3 NAME 'homeDirectory'
        DESC 'The absolute path to the home directory'

Перезапускаем slapd и mmc-agent

[Kagazahn]

Супер, спасибо!
Оказывается этот код есть в source на mds.mandriva.org А я искал по выдаваемой ошибке - ничего не нашлось

[dispatcher]

Спасибо автору за статью
всё настроил на lenny
есть одна проблема
/etc/init.d/mmc-agent restar
вылезают ошибки

/var/lib/python-support/python2.5/mmc/support/mmctools.py:353: PotentialZombieWarning: spawnProcess called, but the SIGCHLD handler is not installed. This probably means you have not yet called reactor.run, or called reactor.run(installSignalHandler=0). You will probably never see this process finish, and it may become a zombie process.
reactor.spawnProcess(shProcess, "/bin/sh", ['/bin/sh','-c',cmd],env=os.environ)
Looks like NSCD is installed on your system. You should not run NSCD on a SAMBA server.

p.s. Alloran спасибо за aptitude install libnss-ldapd && aptitude remove nscd
осталось победить /etc/init.d/mmc-agent restar
/var/lib/python-support/python2.5/mmc/support/mmctools.py:353: PotentialZombieWarning:

pp.s новый BIND9 .P3-1mdv1 lenny repo

[wilp]

Добрый день!

Установил на Lenny.

Хочу прикрутить ntlm аторизацию к squid
Устанавливаю winbind

Код: Выделить всё

aptitude install winbind

Код: Выделить всё

pdc:~# wbinfo -u
nobody
test

Код: Выделить всё

pdc:~# wbinfo -g
BUILTIN\users
domain admins
domain users
domain guests
domain computers

А вот эта команда не проходит, ошибку пришет:

Код: Выделить всё

pdc:~# wbinfo -t
checking the trust secret via RPC calls failed
error code was NT_STATUS_CANT_ACCESS_DOMAIN_INFO (0xc00000da)
Could not check secret

При таком раскладе, если конфиг сквида отредактирую на ntlm авторизацию, работать будет?

[wilp]

Через web-интерфейс MDS создал группу: aaa
Можно ли через web-интерфейс MDS включить в группу "aaa" группу "Domain Users"?
Я видел, что можно только пользователей вносить в группы.

И еще, можно вводить машину PDC в свой же домен?

Код: Выделить всё

net rpc join -U Administrator

У меня только после этого стала отрабатывать команда

Код: Выделить всё

wbinfo -t

Winbind установил для настройки ntlm авторизации в squid.

[danb2]

Помогите, люди добрые..

Настроил PDC на lenny по данному руководству. За ненадобностью не стал прикручивать почту, прокси, антивирусник, dns, dhcp и cups. Создал первого пользователя, попробовал зайти в домен с winxpsp3, выскакивает окошко, ввожу имя-пароль, выскакивает ошибка:
"При присоединении к домену "domain.tst" произошла следующая ошибка:
Не найдено имя пользователя"

Подумал может не хватает днс, прикрутил, сделал ответвенным за зону domain.tst и соответствующую обратуню. То же самое .
Попробовал из консоли, там та же беда:
dmn-pdc:~# net rpc join -U user5
Enter user5's password:
[2009/09/21 12:30:05, 0] utils/net_rpc_join.c:net_rpc_join_newstyle(349)
error setting trust account password: NT_STATUS_ACCESS_DENIED
Unable to join domain DOMAIN.TST.

Можно подумать что накосячил в каком нибудь конфиге, но это уже третье howto по которому пробую настроить и везде в конце одна и та же ошибка. У кого какие будут идеи?