Vertrauensstellung Windows und Samba

Kurs	Lab	Rechner	Domänen
Linux - Samba	Linux - Samba Lab	sdc1, win-dc	samba.it2XX.int und ad.it2XX.int

Einfach erklärt

• Eine Vertrauensstellung verbindet zwei Domänen. Benutzer der einen Domäne können dann Rechte in der anderen bekommen, ohne dort ein eigenes Konto zu haben.
• Typischer Fall: zwei Firmen oder Abteilungen mit eigener Domäne, die gemeinsam auf Freigaben zugreifen sollen.
• Eine Vertrauensstellung hat eine Richtung: Wer vertraut wem? Und einen Typ: nur diese eine Domäne (external) oder die ganze Gesamtstruktur (forest).
• Samba kann Vertrauensstellungen zu Windows-Domänen anlegen. Die Unterstützung hat Grenzen, deshalb gilt diese Seite als Vertiefung: im Lab testen, nicht ungeprüft übernehmen.

Das Wichtigste

• Voraussetzung ist DNS in beide Richtungen: sdc1 muss ad.it2XX.int auflösen, win-dc muss samba.it2XX.int auflösen.
• Die beiden Domänen brauchen verschiedene NetBIOS-Namen, hier AD und SAMBA.
• Die Uhren beider Domänen müssen stimmen, Kerberos geht über die Domänengrenze.
• Bekannte Einschränkungen: Gruppenrichtlinien von Windows-Clients in der Samba-Domäne können nach dem Anlegen einer Gesamtstruktur-Vertrauensstellung gestört sein. Danach immer gpresult auf einem Client prüfen.

DNS in beide Richtungen

• Auf win-dc eine bedingte Weiterleitung für die Samba-Domäne:

Add-DnsServerConditionalForwarderZone -Name "samba.it201.int" -MasterServers 10.201.1.21 -ReplicationScope Forest
Resolve-DnsName -Type SRV _ldap._tcp.samba.it201.int

• Der interne DNS von Samba kennt keine bedingten Weiterleitungen. Zwei Möglichkeiten:
  • Der Forwarder von sdc1 ist für die Dauer der Übung win-dc: in /etc/samba/smb.conf dns forwarder = 10.201.1.11, win-dc leitet den Rest an die Firewall weiter.
  • Oder die Firewall leitet ad.it2XX.int an win-dc und samba.it2XX.int an sdc1 weiter. Dann bleibt der Forwarder von sdc1 die Firewall.
• Auf sdc1 prüfen:

host -t SRV _ldap._tcp.ad.it201.int
host -t SRV _kerberos._tcp.ad.it201.int

Vertrauensstellung anlegen

• Auf sdc1, als root. -U ist das Konto der anderen Domäne:

samba-tool domain trust create ad.it201.int \
  --type=forest --direction=both --create-location=both \
  -U "AD\administrator"

Option	Bedeutung
--type=forest	Gesamtstruktur-Vertrauensstellung, transitiv. external wäre nur diese eine Domäne
--direction=both	beide Domänen vertrauen sich gegenseitig
--create-location=both	legt die Vertrauensstellung auf beiden Seiten an, nicht nur lokal

Prüfen

• Auf sdc1:

samba-tool domain trust list
samba-tool domain trust show ad.it201.int
samba-tool domain trust validate ad.it201.int -U "AD\administrator"
wbinfo --all-domains
wbinfo -u --domain=AD

• Auf win-dc:

Get-ADTrust -Filter * | Format-Table Name, Direction, TrustType, ForestTransitive
netdom trust samba.it201.int /domain:ad.it201.int /verify

Benutzen

• Auf einem Mitgliedsserver der Samba-Domäne einer Gruppe der AD-Domäne Rechte geben: im Explorer unter Sicherheit, Speicherort ad.it201.int wählen, Gruppe verwaltung hinzufügen.
• Anmelden als AD\max an win11, wenn win11 in der Samba-Domäne ist, und umgekehrt.

Entfernen

samba-tool domain trust delete ad.it201.int -U "AD\administrator"

Stolperfallen

• DNS nur in eine Richtung: trust create meldet, dass der DC der anderen Domäne nicht gefunden wird.
• Gleicher NetBIOS-Name in beiden Domänen: geht nicht.
• Zeitunterschied zwischen den Domänen: Kerberos über die Grenze scheitert.
• Firewall zwischen den Domänen: Für trusts braucht es mehr als Kerberos, auch LDAP, RPC und SMB.
• Nach der Ablösung gibt es win-dc nicht mehr. Die Übung gehört davor.

Übungen

Grundübungen

1. Richten Sie die DNS-Auflösung in beide Richtungen ein und prüfen Sie die SRV-Einträge auf beiden Seiten.
2. Legen Sie eine beidseitige Gesamtstruktur-Vertrauensstellung an.
3. Prüfen Sie sie auf sdc1 mit validate und auf win-dc mit netdom.
4. Lassen Sie sich auf sdc1 die Benutzer der Domäne AD anzeigen.
5. Geben Sie der AD-Gruppe verwaltung Leserechte auf eine Freigabe in der Samba-Domäne.

Vertiefung

1. Legen Sie statt der Gesamtstruktur- eine externe Vertrauensstellung an. Was ändert sich bei --quarantined?
2. Prüfen Sie nach dem Anlegen mit gpresult /r auf einem Client der Samba-Domäne, ob die Gruppenrichtlinien noch angewendet werden.
3. Mit einem zweiten Teilnehmer: Vertrauensstellung zwischen samba.it2XX.int und samba.it2YY.int über das geroutete Netz.

Fehlersuche

1. trust create meldet, dass kein DC für ad.it2XX.int gefunden wird

sdc1 kann die SRV-Einträge der AD-Domäne nicht auflösen. Der Forwarder von sdc1 zeigt auf einen Server, der ad.it2XX.int nicht kennt.

2. validate scheitert auf der Seite von win-dc

win-dc löst samba.it2XX.int nicht auf. Die bedingte Weiterleitung fehlt oder zeigt auf die falsche Adresse.

Vertiefung

• https://www.samba.org/samba/docs/current/man-html/samba-tool.8.html

Weiter

• Anwendungen an die Domäne anbinden
• Zurück zur Kursseite