Linux - Samba Lab

Netzplan

[Bearbeiten]

Netze

Netz	Adressbereich	Gateway	Wofür
Schulungsnetzwerk	192.168.HS.0/24	–	Verbindung nach außen, Firewall mit .2XX
LAN	172.26.2XX.0/24	172.26.2XX.1	Clients, Adressen per DHCP-Relay
SERVER	10.2XX.1.0/24	10.2XX.1.1	Domänencontroller und Server, feste Adressen

• Die Firewall fw.it2XX.int wird per Skript ausgerollt. Sie routet zwischen den Netzen und leitet DHCP aus dem LAN an den DHCP-Server im SERVER-Netz weiter.

Rechner

Name	Netz	IP	System	Aufgabe
win-dc	SERVER	10.2XX.1.11	Windows Server 2022	erster DC von ad.it2XX.int, DNS, DHCP
dc1	SERVER	10.2XX.1.12	Debian 13	Samba-DC, tritt ad.it2XX.int bei und übernimmt die Domäne
sdc1	SERVER	10.2XX.1.21	Debian 13	erster DC von samba.it2XX.int
sdc2	SERVER	10.2XX.1.22	Debian 13	zweiter DC von samba.it2XX.int
fs	SERVER	10.2XX.1.31	Debian 13	Dateiserver, später Mitgliedsserver
www	SERVER	10.2XX.1.32	Debian 13	apache2 mit Kerberos
proxy	SERVER	10.2XX.1.33	Debian 13	squid mit Kerberos
win11	LAN	172.26.2XX.100	Windows 11	Client
lx	LAN	172.26.2XX.101	Debian 13	Linux-Client

Domänen

Domäne (Realm)	NetBIOS	DCs	Rolle
ad.it2XX.int	AD	win-dc, später dc1	die „Firmen-Domäne“: erst Windows, nach der Ablösung nur noch Samba
samba.it2XX.int	SAMBA	sdc1, sdc2	eine Samba-Domäne, von Grund auf aufgebaut

• Die Domänen heißen bewusst nicht wie die Lab-Zone it2XX.int. Ein DC übernimmt die DNS-Zone seines Realms komplett.
• Weil es zwei Domänen gibt, lässt sich eine Vertrauensstellung im eigenen Lab üben, solange win-dc noch läuft.
• Kerberos-Realms sind immer in Großbuchstaben: AD.IT2XX.INT, SAMBA.IT2XX.INT.

Deine Werte

• Einmal am Anfang ausfüllen, z.B. in ~/.lab, und in jeder Shell laden: source ~/.lab

XX=01
LAB=it2${XX}.int
SERVER=10.2${XX}.1
LAN=172.26.2${XX}

AD=ad.${LAB}
AD_REALM=AD.IT2${XX}.INT
SAMBA=samba.${LAB}
SAMBA_REALM=SAMBA.IT2${XX}.INT

• In den Anleitungen steht dann z.B. $SERVER.21 für die Adresse von sdc1.

VirtualBox

Vorlage

• Alle Debian-Rechner entstehen aus der Vorlage, siehe Debian Template.
• Immer als vollständigen Klon mit neuen MAC-Adressen anlegen.
• Danach Hostname und Adresse anpassen und /etc/machine-id neu erzeugen:

rm /etc/machine-id
systemd-machine-id-setup

• Gleiche machine-id auf zwei Rechnern führt zu gleichen DHCP-Adressen und doppelten Journal-Einträgen.

Netzwerk

• Jedes Netz ist in VirtualBox ein eigenes internes Netzwerk. Die Namen müssen zu denen im Firewall-Skript passen.
• Server bekommen eine Karte im SERVER-Netz, Clients eine im LAN.
• Nie eine Server-VM per Bridge ins Schulungsnetzwerk hängen. Ein DC mit DNS und DHCP stört dort alle anderen.

Zeit

• Kerberos verträgt höchstens 5 Minuten Zeitunterschied.
• Bei DCs die Zeit-Übernahme vom Host abschalten, die Zeit kommt per chrony:

VBoxManage setextradata "sdc1" "VBoxInternal/Devices/VMMDev/0/Config/GetHostTimeDisabled" 1

• Bei einer pausierten oder gespeicherten VM springt die Uhr. Nach dem Fortsetzen immer die Zeit prüfen: timedatectl

Speicher

• Pro Teilnehmer stehen 64 GB zur Verfügung. Alle Rechner können gleichzeitig laufen.

Rechner	RAM	CPU
win-dc	6 GB	2
win11	6 GB	2
dc1, sdc1, sdc2	je 4 GB	2
fs, www, proxy, lx	je 2 GB	1

Aufbau in Etappen

1. Firewall ausrollen, fs als Standalone-Server
2. win-dc als Windows-DC mit DNS und DHCP, win11 beitreten
3. fs und lx der Windows-Domäne beitreten, www und proxy mit Kerberos
4. dc1 als zweiten DC in ad.it2XX.int aufnehmen, Rollen übernehmen, win-dc herabstufen
5. sdc1 und sdc2 als neue Domäne samba.it2XX.int

Weiter

• Zurück zur Kursseite