Einfach erklärt
- Eine Vertrauensstellung verbindet zwei Domänen. Benutzer der einen Domäne können dann Rechte in der anderen bekommen, ohne dort ein eigenes Konto zu haben.
- Typischer Fall: zwei Firmen oder Abteilungen mit eigener Domäne, die gemeinsam auf Freigaben zugreifen sollen.
- Eine Vertrauensstellung hat eine Richtung: Wer vertraut wem? Und einen Typ: nur diese eine Domäne (external) oder die ganze Gesamtstruktur (forest).
- Samba kann Vertrauensstellungen zu Windows-Domänen anlegen. Die Unterstützung hat Grenzen, deshalb gilt diese Seite als Vertiefung: im Lab testen, nicht ungeprüft übernehmen.
Das Wichtigste
- Voraussetzung ist DNS in beide Richtungen: sdc1 muss ad.it2XX.int auflösen, win-dc muss samba.it2XX.int auflösen.
- Die beiden Domänen brauchen verschiedene NetBIOS-Namen, hier AD und SAMBA.
- Die Uhren beider Domänen müssen stimmen, Kerberos geht über die Domänengrenze.
- Bekannte Einschränkungen: Gruppenrichtlinien von Windows-Clients in der Samba-Domäne können nach dem Anlegen einer Gesamtstruktur-Vertrauensstellung gestört sein. Danach immer gpresult auf einem Client prüfen.
DNS in beide Richtungen
- Auf win-dc eine bedingte Weiterleitung für die Samba-Domäne:
Add-DnsServerConditionalForwarderZone -Name "samba.it201.int" -MasterServers 10.201.1.21 -ReplicationScope Forest
Resolve-DnsName -Type SRV _ldap._tcp.samba.it201.int
- Der interne DNS von Samba kennt keine bedingten Weiterleitungen. Zwei Möglichkeiten:
- Der Forwarder von sdc1 ist für die Dauer der Übung win-dc: in /etc/samba/smb.conf dns forwarder = 10.201.1.11, win-dc leitet den Rest an die Firewall weiter.
- Oder die Firewall leitet ad.it2XX.int an win-dc und samba.it2XX.int an sdc1 weiter. Dann bleibt der Forwarder von sdc1 die Firewall.
- Auf sdc1 prüfen:
host -t SRV _ldap._tcp.ad.it201.int
host -t SRV _kerberos._tcp.ad.it201.int
Vertrauensstellung anlegen
- Auf sdc1, als root. -U ist das Konto der anderen Domäne:
samba-tool domain trust create ad.it201.int \
--type=forest --direction=both --create-location=both \
-U "AD\administrator"
| Option |
Bedeutung
|
| --type=forest |
Gesamtstruktur-Vertrauensstellung, transitiv. external wäre nur diese eine Domäne
|
| --direction=both |
beide Domänen vertrauen sich gegenseitig
|
| --create-location=both |
legt die Vertrauensstellung auf beiden Seiten an, nicht nur lokal
|
Prüfen
samba-tool domain trust list
samba-tool domain trust show ad.it201.int
samba-tool domain trust validate ad.it201.int -U "AD\administrator"
wbinfo --all-domains
wbinfo -u --domain=AD
Get-ADTrust -Filter * | Format-Table Name, Direction, TrustType, ForestTransitive
netdom trust samba.it201.int /domain:ad.it201.int /verify
Benutzen
- Auf einem Mitgliedsserver der Samba-Domäne einer Gruppe der AD-Domäne Rechte geben: im Explorer unter Sicherheit, Speicherort ad.it201.int wählen, Gruppe verwaltung hinzufügen.
- Anmelden als AD\max an win11, wenn win11 in der Samba-Domäne ist, und umgekehrt.
Entfernen
samba-tool domain trust delete ad.it201.int -U "AD\administrator"
Stolperfallen
- DNS nur in eine Richtung: trust create meldet, dass der DC der anderen Domäne nicht gefunden wird.
- Gleicher NetBIOS-Name in beiden Domänen: geht nicht.
- Zeitunterschied zwischen den Domänen: Kerberos über die Grenze scheitert.
- Firewall zwischen den Domänen: Für trusts braucht es mehr als Kerberos, auch LDAP, RPC und SMB.
- Nach der Ablösung gibt es win-dc nicht mehr. Die Übung gehört davor.
Übungen
Grundübungen
- Richten Sie die DNS-Auflösung in beide Richtungen ein und prüfen Sie die SRV-Einträge auf beiden Seiten.
- Legen Sie eine beidseitige Gesamtstruktur-Vertrauensstellung an.
- Prüfen Sie sie auf sdc1 mit validate und auf win-dc mit netdom.
- Lassen Sie sich auf sdc1 die Benutzer der Domäne AD anzeigen.
- Geben Sie der AD-Gruppe verwaltung Leserechte auf eine Freigabe in der Samba-Domäne.
Vertiefung
- Legen Sie statt der Gesamtstruktur- eine externe Vertrauensstellung an. Was ändert sich bei --quarantined?
- Prüfen Sie nach dem Anlegen mit gpresult /r auf einem Client der Samba-Domäne, ob die Gruppenrichtlinien noch angewendet werden.
- Mit einem zweiten Teilnehmer: Vertrauensstellung zwischen samba.it2XX.int und samba.it2YY.int über das geroutete Netz.
Fehlersuche
- 1. trust create meldet, dass kein DC für ad.it2XX.int gefunden wird
sdc1 kann die SRV-Einträge der AD-Domäne nicht auflösen. Der Forwarder von sdc1 zeigt auf einen Server, der ad.it2XX.int nicht kennt.
- 2. validate scheitert auf der Seite von win-dc
win-dc löst samba.it2XX.int nicht auf. Die bedingte Weiterleitung fehlt oder zeigt auf die falsche Adresse.
Vertiefung
Weiter