Thomas.will: Neue Seite (Kurs Linux - Samba)

2026-10-18T16:51:26Z

Neue Seite (Kurs Linux - Samba)

Neue Seite

[[Kategorie:Samba]]

{| class="wikitable"
! Kurs !! Lab !! Rechner !! Domäne
|-
| [[Linux - Samba]] || [[Linux - Samba Lab]] || sdc2 · 10.2XX.1.22 || samba.it2XX.int
|}

=Einfach erklärt=
*Eine Domäne mit nur einem DC fällt komplett aus, wenn dieser DC ausfällt. Deshalb gibt es immer mindestens '''zwei'''.
*Ein zweiter DC tritt der Domäne mit '''samba-tool domain join''' bei. Danach gleichen sich beide DCs ständig ab.
*Beide können Anmeldungen annehmen und Änderungen entgegennehmen. Es gibt keinen Haupt- und Neben-DC, nur einige Sonderrollen (FSMO).
*Zwei Dinge gleicht Samba '''nicht''' von selbst ab: '''sysvol''' und die '''idmap''' der eingebauten Konten.

=Vorbereitung=
*Wie bei sdc1, siehe [[Samba-Domäne von Grund auf#Vorbereitung|Vorbereitung]]:
*/etc/hosts: 10.201.1.22 sdc2.samba.it201.int sdc2
*/etc/resolv.conf: '''nameserver 10.201.1.21''' (sdc1), search samba.it201.int
*Pakete installieren, Einzeldienste abschalten, smb.conf zur Seite legen.
*/etc/krb5.conf mit default_realm = SAMBA.IT201.INT und dns_lookup_kdc = true
*Zeit von sdc1: in /etc/chrony/conf.d/samba.conf '''server 10.201.1.21 iburst'''
*kinit administrator

=Beitreten=
<pre>
samba-tool domain join samba.it201.int DC -k yes \
--option="dns forwarder = 10.201.1.1" \
--option="idmap_ldb:use rfc2307 = yes"
</pre>
*'''idmap_ldb:use rfc2307''', weil sdc1 mit --use-rfc2307 angelegt wurde.
<pre>
cp /var/lib/samba/private/krb5.conf /etc/krb5.conf
systemctl unmask samba-ad-dc
systemctl enable --now samba-ad-dc
</pre>
*/etc/resolv.conf: jetzt sich selbst zuerst, sdc1 als zweiten
<pre>
nameserver 10.201.1.22
nameserver 10.201.1.21
search samba.it201.int
</pre>

=idmap abgleichen=
*Eingebaute Konten wie Administrator haben auf jedem DC eine eigene ID. Damit Dateirechte in sysvol überall gleich sind, die idmap von dem DC mit der Rolle PDC-Emulator übernehmen.
*Auf sdc1:
<pre>
tdbbackup -s .bak /var/lib/samba/private/idmap.ldb
scp /var/lib/samba/private/idmap.ldb.bak root@sdc2:/var/lib/samba/private/idmap.ldb
</pre>
*Auf sdc2:
<pre>
systemctl restart samba-ad-dc
net cache flush
</pre>

=sysvol abgleichen=
*Gruppenrichtlinien nur auf '''einem''' DC bearbeiten, am besten auf dem PDC-Emulator sdc1. Von dort regelmäßig auf sdc2 kopieren.
*Auf sdc1, mit ssh-Schlüssel zu sdc2:
<pre>
rsync -XAavz --delete-after /var/lib/samba/sysvol/ root@sdc2:/var/lib/samba/sysvol/
</pre>
*Auf sdc2 danach einmal: '''samba-tool ntacl sysvolreset'''
*Regelmäßig per Timer, siehe [[Systemd Baustein Timer]].

=Prüfen=
<pre>
samba-tool drs showrepl
samba-tool fsmo show
host -t SRV _ldap._tcp.samba.it201.int
host -t A samba.it201.int
samba-tool user list
</pre>
*'''host -t A samba.it201.int''' liefert jetzt zwei Adressen.
*Gegenprobe: Auf sdc2 einen Benutzer anlegen, auf sdc1 suchen.
*Clients: zweiten DNS-Server eintragen, im DHCP-Bereich und bei festen Adressen.

=Ausfall testen=
*sdc1 ausschalten. Dann auf win11 und lx:
<pre>
nltest /dsgetdc:samba.it201.int
kinit max
</pre>
*Anmeldungen müssen weiter funktionieren, nltest nennt jetzt sdc2.

=Stolperfallen=
*'''provision auf sdc2''': erzeugt eine zweite, fremde Domäne mit gleichem Namen. Nur join.
*'''idmap nicht abgeglichen''': Dateirechte in sysvol stimmen auf sdc2 nicht, sysvolcheck meldet Fehler.
*'''GPOs an beiden DCs bearbeitet''': rsync überschreibt die Änderungen eines DCs.
*'''Clients kennen nur einen DNS-Server''': Fällt dieser DC aus, finden sie auch den zweiten nicht.

=Übungen=
==Grundübungen==
#Bereiten Sie sdc2 vor und treten Sie der Domäne samba.it2XX.int als DC bei.
#Prüfen Sie die Replikation mit drs showrepl und einem Testbenutzer in beide Richtungen.
#Übernehmen Sie die idmap von sdc1.
#Gleichen Sie sysvol mit rsync ab und prüfen Sie mit sysvolcheck.
#Schalten Sie sdc1 aus und prüfen Sie, ob Anmeldungen weiter gehen.
==Vertiefung==
#Lassen Sie den sysvol-Abgleich alle 10 Minuten per systemd-Timer laufen.
#Übertragen Sie die Rolle PDC-Emulator auf sdc2 und zurück.
#Was zeigt samba-tool drs showrepl, während sdc1 aus ist?
#Entfernen Sie einen DC sauber: samba-tool domain demote auf dem DC selbst.
==Fehlersuche==
;1. Ein auf sdc1 angelegter Benutzer erscheint nicht auf sdc2
<div class="mw-collapsible mw-collapsed">
Die Replikation läuft nicht. drs showrepl zeigt den Fehler, häufig DNS (sdc2 findet sdc1 nicht über seinen Namen) oder Zeit.
</div>
;2. samba-tool ntacl sysvolcheck meldet auf sdc2 falsche Rechte
<div class="mw-collapsible mw-collapsed">
Die idmap.ldb wurde nicht von sdc1 übernommen. Die eingebauten Konten haben auf beiden DCs verschiedene IDs.
</div>
;3. Nach dem Abschalten von sdc1 können sich Clients nicht mehr anmelden
<div class="mw-collapsible mw-collapsed">
Die Clients haben nur sdc1 als DNS-Server. Ohne DNS finden sie sdc2 nicht. Zweiten DNS-Server im DHCP und bei festen Adressen eintragen.
</div>

=Vertiefung=
*[[2 DCs mit Replikation]] · [[Samba-tool drs]] · [[Samba-tool fsmo]]
*https://wiki.samba.org/index.php/Joining_a_Samba_DC_to_an_Existing_Active_Directory

=Weiter=
*[[Vertrauensstellung Windows und Samba]]
*[[Linux - Samba|Zurück zur Kursseite]]

Zweiter Samba-DC - Versionsgeschichte

Thomas.will: Neue Seite (Kurs Linux - Samba)