Thomas.will: Neue Seite (Kurs Linux - Samba)

2026-10-18T16:51:26Z

Neue Seite (Kurs Linux - Samba)

Neue Seite

[[Kategorie:Samba]]

{| class="wikitable"
! Kurs !! Lab !! Rechner !! Domänen
|-
| [[Linux - Samba]] || [[Linux - Samba Lab]] || sdc1, win-dc || samba.it2XX.int und ad.it2XX.int
|}

=Einfach erklärt=
*Eine '''Vertrauensstellung''' verbindet zwei Domänen. Benutzer der einen Domäne können dann Rechte in der anderen bekommen, ohne dort ein eigenes Konto zu haben.
*Typischer Fall: zwei Firmen oder Abteilungen mit eigener Domäne, die gemeinsam auf Freigaben zugreifen sollen.
*Eine Vertrauensstellung hat eine '''Richtung''': Wer vertraut wem? Und einen '''Typ''': nur diese eine Domäne (external) oder die ganze Gesamtstruktur (forest).
*Samba kann Vertrauensstellungen zu Windows-Domänen anlegen. Die Unterstützung hat Grenzen, deshalb gilt diese Seite als '''Vertiefung''': im Lab testen, nicht ungeprüft übernehmen.

=Das Wichtigste=
*Voraussetzung ist DNS in '''beide''' Richtungen: sdc1 muss ad.it2XX.int auflösen, win-dc muss samba.it2XX.int auflösen.
*Die beiden Domänen brauchen verschiedene NetBIOS-Namen, hier AD und SAMBA.
*Die Uhren beider Domänen müssen stimmen, Kerberos geht über die Domänengrenze.
*Bekannte Einschränkungen: Gruppenrichtlinien von Windows-Clients in der Samba-Domäne können nach dem Anlegen einer Gesamtstruktur-Vertrauensstellung gestört sein. Danach immer gpresult auf einem Client prüfen.

=DNS in beide Richtungen=
*Auf '''win-dc''' eine bedingte Weiterleitung für die Samba-Domäne:
<pre>
Add-DnsServerConditionalForwarderZone -Name "samba.it201.int" -MasterServers 10.201.1.21 -ReplicationScope Forest
Resolve-DnsName -Type SRV _ldap._tcp.samba.it201.int
</pre>
*Der interne DNS von Samba kennt keine bedingten Weiterleitungen. Zwei Möglichkeiten:
**Der Forwarder von sdc1 ist für die Dauer der Übung '''win-dc''': in /etc/samba/smb.conf '''dns forwarder = 10.201.1.11''', win-dc leitet den Rest an die Firewall weiter.
**Oder die Firewall leitet ad.it2XX.int an win-dc und samba.it2XX.int an sdc1 weiter. Dann bleibt der Forwarder von sdc1 die Firewall.
*Auf sdc1 prüfen:
<pre>
host -t SRV _ldap._tcp.ad.it201.int
host -t SRV _kerberos._tcp.ad.it201.int
</pre>

=Vertrauensstellung anlegen=
*Auf sdc1, als root. -U ist das Konto der '''anderen''' Domäne:
<pre>
samba-tool domain trust create ad.it201.int \
--type=forest --direction=both --create-location=both \
-U "AD\administrator"
</pre>
{| class="wikitable"
! Option !! Bedeutung
|-
| --type=forest || Gesamtstruktur-Vertrauensstellung, transitiv. external wäre nur diese eine Domäne
|-
| --direction=both || beide Domänen vertrauen sich gegenseitig
|-
| --create-location=both || legt die Vertrauensstellung auf beiden Seiten an, nicht nur lokal
|}

=Prüfen=
*Auf sdc1:
<pre>
samba-tool domain trust list
samba-tool domain trust show ad.it201.int
samba-tool domain trust validate ad.it201.int -U "AD\administrator"
wbinfo --all-domains
wbinfo -u --domain=AD
</pre>
*Auf win-dc:
<pre>
Get-ADTrust -Filter * | Format-Table Name, Direction, TrustType, ForestTransitive
netdom trust samba.it201.int /domain:ad.it201.int /verify
</pre>

=Benutzen=
*Auf einem Mitgliedsserver der Samba-Domäne einer Gruppe der AD-Domäne Rechte geben: im Explorer unter Sicherheit, Speicherort '''ad.it201.int''' wählen, Gruppe verwaltung hinzufügen.
*Anmelden als '''AD\max''' an win11, wenn win11 in der Samba-Domäne ist, und umgekehrt.

=Entfernen=
<pre>
samba-tool domain trust delete ad.it201.int -U "AD\administrator"
</pre>

=Stolperfallen=
*'''DNS nur in eine Richtung''': trust create meldet, dass der DC der anderen Domäne nicht gefunden wird.
*'''Gleicher NetBIOS-Name''' in beiden Domänen: geht nicht.
*'''Zeitunterschied''' zwischen den Domänen: Kerberos über die Grenze scheitert.
*'''Firewall''' zwischen den Domänen: Für trusts braucht es mehr als Kerberos, auch LDAP, RPC und SMB.
*'''Nach der Ablösung''' gibt es win-dc nicht mehr. Die Übung gehört davor.

=Übungen=
==Grundübungen==
#Richten Sie die DNS-Auflösung in beide Richtungen ein und prüfen Sie die SRV-Einträge auf beiden Seiten.
#Legen Sie eine beidseitige Gesamtstruktur-Vertrauensstellung an.
#Prüfen Sie sie auf sdc1 mit validate und auf win-dc mit netdom.
#Lassen Sie sich auf sdc1 die Benutzer der Domäne AD anzeigen.
#Geben Sie der AD-Gruppe verwaltung Leserechte auf eine Freigabe in der Samba-Domäne.
==Vertiefung==
#Legen Sie statt der Gesamtstruktur- eine externe Vertrauensstellung an. Was ändert sich bei --quarantined?
#Prüfen Sie nach dem Anlegen mit gpresult /r auf einem Client der Samba-Domäne, ob die Gruppenrichtlinien noch angewendet werden.
#Mit einem zweiten Teilnehmer: Vertrauensstellung zwischen samba.it2XX.int und samba.it2YY.int über das geroutete Netz.
==Fehlersuche==
;1. trust create meldet, dass kein DC für ad.it2XX.int gefunden wird
<div class="mw-collapsible mw-collapsed">
sdc1 kann die SRV-Einträge der AD-Domäne nicht auflösen. Der Forwarder von sdc1 zeigt auf einen Server, der ad.it2XX.int nicht kennt.
</div>
;2. validate scheitert auf der Seite von win-dc
<div class="mw-collapsible mw-collapsed">
win-dc löst samba.it2XX.int nicht auf. Die bedingte Weiterleitung fehlt oder zeigt auf die falsche Adresse.
</div>

=Vertiefung=
*https://www.samba.org/samba/docs/current/man-html/samba-tool.8.html

=Weiter=
*[[Anwendungen an die Domäne anbinden]]
*[[Linux - Samba|Zurück zur Kursseite]]

Vertrauensstellung Windows und Samba - Versionsgeschichte

Thomas.will: Neue Seite (Kurs Linux - Samba)