[Wiki] [HOWTO] Samba4 в качестве DC на Ubuntu Server 14.04

[satch]

apparmor оставьте. он не мешает.

[Stabilo1838]

apparmor оставьте. он не мешает.

тогда проблема на этапе тестирования в этом
host -t SRV _ldap._tcp.pm.loc. приводит к
Host _ldap._tcp.pm.loc not found: 3(NXDOMAIN)
Пользователь решил продолжить мысль 26 Мая 2014, 10:38:37:

bind точно из под sudo перезапускаете?
да, из-под sudo

(Нажмите, чтобы показать/скрыть)

sudo service apparmor restart
sudo service bind9 restart

UPD:
sudo rndc reload
и сразу же
sudo tail -n 30 /var/log/sysylog сюда под кат

(Нажмите, чтобы показать/скрыть)

May 26 10:37:26 owl named[8506]: reloading configuration succeeded
May 26 10:37:26 owl named[8506]: samba_dlz: shutting down
May 26 10:37:26 owl named[8506]: reloading zones succeeded
May 26 10:37:26 owl named[8506]: all zones loaded
May 26 10:37:26 owl named[8506]: running
May 26 10:37:43 owl named[8506]: received control channel command 'reload'
May 26 10:37:43 owl named[8506]: loading configuration from '/etc/bind/named.conf'
May 26 10:37:43 owl named[8506]: reading built-in trusted keys from file '/etc/bind/bind.keys'
May 26 10:37:43 owl named[8506]: using default UDP/IPv4 port range: [1024, 65535]
May 26 10:37:43 owl named[8506]: using default UDP/IPv6 port range: [1024, 65535]
May 26 10:37:43 owl named[8506]: sizing zone task pool based on 5 zones
May 26 10:37:43 owl named[8506]: zone 'localhost' allows updates by IP address, which is insecure
May 26 10:37:43 owl named[8506]: zone '127.in-addr.arpa' allows updates by IP address, which is insecure
May 26 10:37:43 owl named[8506]: zone '0.in-addr.arpa' allows updates by IP address, which is insecure
May 26 10:37:43 owl named[8506]: zone '255.in-addr.arpa' allows updates by IP address, which is insecure
May 26 10:37:43 owl named[8506]: Loading 'AD DNS Zone' using driver dlopen
May 26 10:37:43 owl named[8506]: samba_dlz: starting configure
May 26 10:37:43 owl named[8506]: samba_dlz: configured writeable zone 'pm.loc'
May 26 10:37:43 owl named[8506]: samba_dlz: configured writeable zone '_msdcs.pm.loc'
May 26 10:37:43 owl named[8506]: zone 'version.bind' allows updates by IP address, which is insecure
May 26 10:37:43 owl named[8506]: zone 'hostname.bind' allows updates by IP address, which is insecure
May 26 10:37:43 owl named[8506]: zone 'authors.bind' allows updates by IP address, which is insecure
May 26 10:37:43 owl named[8506]: zone 'id.server' allows updates by IP address, which is insecure
May 26 10:37:43 owl named[8506]: zone pm.loc/NONE: (other) removed
May 26 10:37:43 owl named[8506]: zone _msdcs.pm.loc/NONE: (other) removed
May 26 10:37:43 owl named[8506]: reloading configuration succeeded
May 26 10:37:43 owl named[8506]: samba_dlz: shutting down
May 26 10:37:43 owl named[8506]: reloading zones succeeded
May 26 10:37:43 owl named[8506]: all zones loaded
May 26 10:37:43 owl named[8506]: running

Пользователь решил продолжить мысль 26 Мая 2014, 13:43:32:Такое ощущение, что я что-то упускаю. Пните в верном направлении плз!

[satch]

дайте вывод
ls -l /var/lib/samba/private/

[Stabilo1838]

дайте вывод
ls -l /var/lib/samba/private/

(Нажмите, чтобы показать/скрыть)

итого 11228
drwxrwx--- 3 root bind    4096 мая   23 09:40 dns
-rw-r----- 1 root bind     642 мая   23 09:40 dns.keytab
-rw-r--r-- 1 root root    2270 мая   23 09:40 dns_update_list
-rw------- 1 root root 1286144 мая   23 09:39 hklm.ldb
-rw------- 1 root root 1609728 мая   23 11:25 idmap.ldb
-rw-r--r-- 1 root root      87 мая   23 09:40 krb5.conf
srwxrwxrwx 1 root root       0 мая   23 15:07 ldapi
drwxr-x--- 2 root root    4096 мая   23 15:07 ldap_priv
-rw-r--r-- 1 root root     219 мая   23 14:11 named.conf
-r--r--r-- 1 root root     204 мая   23 11:17 named.conf.update
-rw-r--r-- 1 root root    2204 мая   23 09:40 named.txt
-rw------- 1 root root 1286144 мая   23 09:39 privilege.ldb
-rw------- 1 root root     696 мая   23 11:17 randseed.tdb
-rw------- 1 root root 4251648 мая   23 09:40 sam.ldb
drwxr-x--- 2 root bind    4096 мая   23 09:40 sam.ldb.d
-rw------- 1 root root     696 мая   23 15:07 schannel_store.tdb
-rw------- 1 root root     942 мая   23 09:40 secrets.keytab
-rw------- 1 root root 1286144 мая   23 09:40 secrets.ldb
-rw------- 1 root root  430080 мая   27 08:55 secrets.tdb
-rw------- 1 root root 1286144 мая   23 09:39 share.ldb
drwxr-xr-x 3 root root    4096 мая   23 11:17 smbd.tmp
-rw-r--r-- 1 root root     955 мая   23 09:40 spn_update_list
drwx------ 2 root root    4096 мая   23 11:17 tls

[satch]

думал что у бинда нет прав на чтение. очевидно, при создании домена, самба не все записи создала. попробуйте с помощью samba-tool создать записи днс.

[Stabilo1838]

попробуйте с помощью samba-tool создать записи днс.

подскажите, где почитать, как это сделать?

[satch]

у samba-tool есть своя справка. простейшая реализация:

(Нажмите, чтобы показать/скрыть)

samba-tool
Usage: samba-tool <subcommand>

Main samba administration tool.


Options:
  -h, --help       show this help message and exit

  Version Options:
    -V, --version  Display version number


Available subcommands:
  dbcheck     - Check local AD database for errors.
  delegation  - Delegation management.
  dns         - Domain Name Service (DNS) management.
  domain      - Domain management.
  drs         - Directory Replication Services (DRS) management.
  dsacl       - DS ACLs manipulation.
  fsmo        - Flexible Single Master Operations (FSMO) roles management.
  gpo         - Group Policy Object (GPO) management.
  group       - Group management.
  ldapcmp     - Compare two ldap databases.
  ntacl       - NT ACLs manipulation.
  processes   - List processes (to aid debugging on systems without setproctitle).
  rodc        - Read-Only Domain Controller (RODC) management.
  sites       - Sites management.
  spn         - Service Principal Name (SPN) management.
  testparm    - Syntax check the configuration file.
  time        - Retrieve the time on a server.
  user        - User management.
  vampire     - Join and synchronise a remote AD domain to the local server.
For more help on a specific subcommand, please type: samba-tool <subcommand> (-h|--help)

samba-tool dns
Usage: samba-tool dns <subcommand>

Domain Name Service (DNS) management.


Options:
  -h, --help  show this help message and exit


Available subcommands:
  add         - Add a DNS record
  delete      - Delete a DNS record
  query       - Query a name.
  roothints   - Query root hints.
  serverinfo  - Query for Server information.
  update      - Update a DNS record
  zonecreate  - Create a zone.
  zonedelete  - Delete a zone.
  zoneinfo    - Query for zone information.
  zonelist    - Query for zones.
For more help on a specific subcommand, please type: samba-tool dns <subcommand> (-h|--help)

и т.д.

или сюда

[tsts79]

на виртуалке с ip 192.... все завелось, сейчас пробую на железе таже ошибка не грузятся зоны. делаю samba-tool dns add 10.206.110.2 gibdd.nfu.xmuvd.ru pdc A 10.206.110.2 или я что то не так понял из мана samba-tool??
Пользователь решил продолжить мысль 28 Мая 2014, 21:14:39:при вводе пароля вот такая ерунда

(Нажмите, чтобы показать/скрыть)

Failed to bind to uuid 50abc2a4-574d-40b3-9d66-ee4fd5fba076 for 50abc2a4-574d-40b3-9d66-ee4fd5fba076@ncacn_ip_tcp:10.206.110.2[1024,sign] NT_STATUS_LOGON_FAILURE
ERROR(runtime): uncaught exception - (-1073741715, 'Logon failure')
  File "/usr/lib/python2.7/dist-packages/samba/netcmd/__init__.py", line 175, in _run
    return self.run(*args, **kwargs)
  File "/usr/lib/python2.7/dist-packages/samba/netcmd/dns.py", line 1056, in run
    dns_conn = dns_connect(server, self.lp, self.creds)
  File "/usr/lib/python2.7/dist-packages/samba/netcmd/dns.py", line 37, in dns_connect
    dns_conn = dnsserver.dnsserver(binding_str, lp, creds)

[Stabilo1838]

у samba-tool есть своя справка. простейшая реализация:

думал что у бинда нет прав на чтение. очевидно, при создании домена, самба не все записи создала. попробуйте с помощью samba-tool создать записи днс.

Какие именно записи надо создать? и главное где, распишите пожалуйста более подробно, что мне необходимо сделать.

[tsts79]

немного поковыряв /usr/sbin/samba_dnsupdate --verbose --all-names
получил

(Нажмите, чтобы показать/скрыть)

dns_tkey_negotiategss: TKEY is unacceptable
Failed nsupdate: 1
Calling nsupdate for SRV _ldap._tcp.pdc._msdcs.gibdd.nfu.xmuvd.ru pdc.gibdd.nfu.xmuvd.ru 389
Outgoing update query:
;; ->>HEADER<<- opcode: UPDATE, status: NOERROR, id:      0
;; flags:; ZONE: 0, PREREQ: 0, UPDATE: 0, ADDITIONAL: 0
;; UPDATE SECTION:
_ldap._tcp.pdc._msdcs.gibdd.nfu.xmuvd.ru. 900 IN SRV 0 100 389 pdc.gibdd.nfu.xmuvd.ru.

dns_tkey_negotiategss: TKEY is unacceptable
Failed nsupdate: 1
Calling nsupdate for SRV _ldap._tcp.default-first-site-name._sites.gibdd.nfu.xmuvd.ru pdc.gibdd.nfu.xmuvd.ru 389
Outgoing update query:
;; ->>HEADER<<- opcode: UPDATE, status: NOERROR, id:      0
;; flags:; ZONE: 0, PREREQ: 0, UPDATE: 0, ADDITIONAL: 0
;; UPDATE SECTION:
_ldap._tcp.default-first-site-name._sites.gibdd.nfu.xmuvd.ru. 900 IN SRV 0 100 389 pdc.gibdd.nfu.xmuvd.ru.

dns_tkey_negotiategss: TKEY is unacceptable
Failed nsupdate: 1
Calling nsupdate for SRV _ldap._tcp.default-first-site-name._sites.dc._msdcs.gibdd.nfu.xmuvd.ru pdc.gibdd.nfu.xmuvd.ru 389
Outgoing update query:
;; ->>HEADER<<- opcode: UPDATE, status: NOERROR, id:      0
;; flags:; ZONE: 0, PREREQ: 0, UPDATE: 0, ADDITIONAL: 0
;; UPDATE SECTION:
_ldap._tcp.default-first-site-name._sites.dc._msdcs.gibdd.nfu.xmuvd.ru. 900 IN SRV 0 100 389 pdc.gibdd.nfu.xmuvd.ru.

dns_tkey_negotiategss: TKEY is unacceptable
Failed nsupdate: 1
Calling nsupdate for SRV _ldap._tcp.default-first-site-name._sites.gc._msdcs.gibdd.nfu.xmuvd.ru pdc.gibdd.nfu.xmuvd.ru 3268
Outgoing update query:
;; ->>HEADER<<- opcode: UPDATE, status: NOERROR, id:      0
;; flags:; ZONE: 0, PREREQ: 0, UPDATE: 0, ADDITIONAL: 0
;; UPDATE SECTION:
_ldap._tcp.default-first-site-name._sites.gc._msdcs.gibdd.nfu.xmuvd.ru. 900 IN SRV 0 100 3268 pdc.gibdd.nfu.xmuvd.ru.

dns_tkey_negotiategss: TKEY is unacceptable
Failed nsupdate: 1
Calling nsupdate for SRV _ldap._tcp.c4b47bac-9001-4ae5-9f5b-1454a4eaa0b2.domains._msdcs.gibdd.nfu.xmuvd.ru pdc.gibdd.nfu.xmuvd.ru 389
Outgoing update query:
;; ->>HEADER<<- opcode: UPDATE, status: NOERROR, id:      0
;; flags:; ZONE: 0, PREREQ: 0, UPDATE: 0, ADDITIONAL: 0
;; UPDATE SECTION:
_ldap._tcp.c4b47bac-9001-4ae5-9f5b-1454a4eaa0b2.domains._msdcs.gibdd.nfu.xmuvd.ru. 900 IN SRV 0 100 389 pdc.gibdd.nfu.xmuvd.ru.

dns_tkey_negotiategss: TKEY is unacceptable
Failed nsupdate: 1
Calling nsupdate for SRV _gc._tcp.gibdd.nfu.xmuvd.ru pdc.gibdd.nfu.xmuvd.ru 3268
Outgoing update query:
;; ->>HEADER<<- opcode: UPDATE, status: NOERROR, id:      0
;; flags:; ZONE: 0, PREREQ: 0, UPDATE: 0, ADDITIONAL: 0
;; UPDATE SECTION:
_gc._tcp.gibdd.nfu.xmuvd.ru. 900 IN     SRV     0 100 3268 pdc.gibdd.nfu.xmuvd.ru.

dns_tkey_negotiategss: TKEY is unacceptable
Failed nsupdate: 1
Calling nsupdate for SRV _gc._tcp.default-first-site-name._sites.gibdd.nfu.xmuvd.ru pdc.gibdd.nfu.xmuvd.ru 3268
Outgoing update query:
;; ->>HEADER<<- opcode: UPDATE, status: NOERROR, id:      0
;; flags:; ZONE: 0, PREREQ: 0, UPDATE: 0, ADDITIONAL: 0
;; UPDATE SECTION:
_gc._tcp.default-first-site-name._sites.gibdd.nfu.xmuvd.ru. 900 IN SRV 0 100 3268 pdc.gibdd.nfu.xmuvd.ru.

dns_tkey_negotiategss: TKEY is unacceptable
Failed nsupdate: 1
Failed update of 21 entries

[satch]

немного поковыряв /usr/sbin/samba_dnsupdate --verbose --all-names

хм... дайте вывод
sudo grep tkey -r /etc/bind/
sudo grep tkey -r /var/lib/samba/

[tsts79]

как то так
grep tkey -r /etc/bind/
/etc/bind/named.conf.options:   tkey-gssapi-keytab "/usr/local/samba/private/dns.keytab";
/etc/bind/named.conf:#tkey-gssapi-keytab "/usr/local/samba/private/dns.keytab";
grep tkey -r /var/lib/samba/
/var/lib/samba/private/named.txt:tkey-gssapi-keytab "/var/lib/samba/private/dns.keytab";

все таки я хренова знаю линукс, ни фига не понял, что это все значит   

[satch]

зачем вы добавили 

Код: [Выделить]

tkey-gssapi-keytab "/usr/local/samba/private/dns.keytab";
в /etc/bind/named.conf.options ?
в инструкции есть эта запись?

[tsts79]

зачем вы добавили 

Код: [Выделить]

tkey-gssapi-keytab "/usr/local/samba/private/dns.keytab";
в /etc/bind/named.conf.options ?
в инструкции есть эта запись?

да это я вчера по дурасти не туда вставил, вечерком удалю проверю

[satch]

вы по моей статье устанавливали? только честно.