IPv6 in Grub deaktivieren¶

Da dieses HowTo den AD DC ausschließlich mit IPv4 einrichten wird und zudem davon ausgegangen wird, dass der AD-Server ausschließlich im LAN genutzt werden soll, deaktviert man noch IPv6. Dieser Schritt ist nicht zwingend notwendig, aber für diesen Fall zweckmäßig.

IPv6 kann man mittels GRUB-Kernel-Option oder unter der Verwendung von sysctl 🇬🇧 dauerhaft deaktivieren. Die Methoden sind in ihrer Wirkung nicht exakt identisch. Genaures erfährt man diesbezüglich unter Linux disable IPv6 properly 🇬🇧.

Im vorliegenden Fall wird Grub zur Deaktivierung verwendet, was dazu führt, dass das IPv6-Modul erst gar nicht geladen wird^[1][2][3]:

sudo nano /etc/default/grub.d/disable-ipv6.cfg 

GRUB_CMDLINE_LINUX_DEFAULT="${GRUB_CMDLINE_LINUX_DEFAULT} ipv6.disable=1"

Möchte man außerdem den Splash-Screen deaktivieren und beim Booten des Servers alle Systemmeldungen anzeigen lassen, so kann man ${GRUB_CMDLINE_LINUX_DEFAULT} auch weglassen und den Eintrag dann einfach so anlegen:

GRUB_CMDLINE_LINUX_DEFAULT="ipv6.disable=1"

Damit die Änderungen bei einem Neustart auch wirksam werden, führt man noch

sudo update-grub 

aus.

Vergabe einer statischen IP-Adresse¶

Bei einem Server ist die feste statische Vergabe einer IP-Adresse stets empfehlenswert. Bei einem Samba-AD-Server gilt dies noch mehr, weil hier eine nachträgliche Änderung der IP-Adresse nicht so einfach und zudem risikoreich ist.

Unter Ubuntu 20.04 Server erfolgt die Konfiguration einer statische IP-Adresse standardmäßig mittels Netplan. Dazu wird eine neue .yaml Datei mit dem folgenden Inhalt erstellt, die dann die auf dem Ubuntu Server schon original vorhandene .yaml überschreibt.^[4] Auf diese Weise kann man bei Bedarf jederzeit wieder zu der original Konfiguration zurückkehren:

sudo nano /etc/netplan/99-enp1s0-static-10.10.20.220.yaml 

network:
  version: 2
  renderer: networkd
  ethernets:
    enp1s0:
      addresses:
        - 10.10.20.220/24
      dhcp4: no
      routes:
        - to: default
          via: 10.10.20.1
      nameservers:
        search: [heim.lan]
        addresses: [10.10.20.1]

Stub Listener von systemd-resolved deaktivieren¶

Da der Samba-AD-Server einen eigenen DNS-Server einrichten wird, muss der dazu notwendige Netzwerk-Port 53 zunächst frei gemacht werden, weil dieser unter Ubuntu standardmäßig von systemd-resolved bzw. dessen sog. Stub Listener 🇬🇧 belegt wird^[5]:

Zunächst legt man ein Verzeichnis für die Konfigurationsänderung an:

sudo mkdir /etc/systemd/resolved.conf.d/ 

Anschließend erstellt man eine neue Konfigurationsdatei, deren Name beliebig sein darf, aber mit der Erweiterung .conf enden muss:

sudo nano /etc/systemd/resolved.conf.d/disable-stub-listener.conf 

Der Stub Listener wird mit folgendem Eintrag deaktiviert:

[Resolve]
DNSStubListener=no

Nun muss noch der symbolische Link auf den Stub Listener entfernt

sudo rm /etc/resolv.conf 

und dafür ein neuer auf /run/systemd/resolve/resolv.conf gesetzt werden:

sudo ln -sf /run/systemd/resolve/resolv.conf /etc/resolv.conf 

Nun teilt man die Konfigurationsänderung systemd^[6] mit:

sudo systemctl daemon-reload 

Abschließend kann man systemd-resolved neu starten:

sudo systemctl restart systemd-resolved 

Hostnamen festlegen¶

Schließlich legt man in der Datei /etc/hosts noch den Namen und den FQDN fest:

sudo nano /etc/hosts 

127.0.0.1		localhost
10.10.20.220	adc01.heim.lan	adc01

System neu starten¶

Damit sind die Vorbereitungengen soweit abgeschlossen. Damit alle Änderungen übernommen werden startet man den Rechner noch neu:

sudo reboot 

Hostnamen, IP und belegte Ports überprüfen¶

hostname && hostname -f && hostname -d 

Korrekte Rückmeldung:

adc01
adc01.heim.lan
heim.lan

Prüfen der IP-Adresse:

ip a 

Die Rückmeldung sollte der folgenden sehr ähnlich sein. Auf jeden Fall müssen die IP- und die Broadcast-Adresse so aussehen, wie hier angegeben. Außerdem dürfen keine inet6 Zeilen aufgelistet sein:

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 12:34:56:78:ab:cd brd ff:ff:ff:ff:ff:ff
    inet 10.10.20.220/24 brd 10.10.20.255 scope global dynamic enp1s0
       valid_lft 2610sec preferred_lft 2610sec

Dann vergewissert man sich noch, dass die DNS-Server-Angaben aus der Netplan-Konfiguration auch in der /etc/resolv.conf ankommen:

cat /etc/resolv.conf 

Korrekte Rückmeldung:

# This file is managed by man:systemd-resolved(8). Do not edit.
#
# This is a dynamic resolv.conf file for connecting local clients directly to
# all known uplink DNS servers. This file lists all configured search domains.
#
# Third party programs must not access this file directly, but only through the
# symlink at /etc/resolv.conf. To manage man:resolv.conf(5) in a different way,
# replace this symlink by a static file or a different symlink.
#
# See man:systemd-resolved.service(8) for details about the supported modes of
# operation for /etc/resolv.conf.

nameserver 10.10.20.1
search heim.lan

Schließlich überprüft man noch, dass der Port 53 nun nicht mehr belegt ist:

sudo ss -tulpen '( dport = :53 or sport = :53 )' 

Es sollte nun kein auf Port 53 lauschender Dienst mehr zurückgegeben werden:

Netid        State          Recv-Q         Send-Q                 Local Address:Port                 Peer Address:Port        Process

Samba-Datei-Server-Dienste deaktivieren¶

Mit den folgenden drei Befehlszeilen werden die bei der Installation gestarteten Samba-Dienste gestoppt, deren automatischer Start bei einem Neustart des Servers wird deaktiviert und die entsprechenden Dienste werden auch noch maskiert, so dass sie nicht versehentlich einfach gestartet werden können:

sudo systemctl stop smbd nmbd winbind
sudo systemctl disable smbd nmbd winbind
sudo systemctl mask smbd nmbd winbind 

Etwaige Datenbank-Dateien entfernen¶

Anschließend löscht man alle Samba-Datenbank-Dateien, um etwaige Konflikte beim Provisionieren des Samba Active Directory Servers erst gar nicht aufkommen zu lassen:

sudo rm -f /run/samba/*.tdb
sudo rm -f /var/lib/samba/*.tdb
sudo rm -f /var/cache/samba/*.tdb
sudo rm -f /var/lib/samba/private/*.tdb 

Prozesse auflisten¶

ps ax | grep samba 

Korrekte Rückmeldung:

  14445 ?        Ss     0:00 samba: root process
  14467 ?        S      0:00 samba: tfork waiter process(14468)
  14468 ?        S      0:00 samba: task[s3fs] pre-fork master
  14469 ?        S      0:00 samba: tfork waiter process(14470)
  14470 ?        S      0:00 samba: task[rpc] pre-fork master
  14471 ?        S      0:00 samba: tfork waiter process(14473)
  14472 ?        S      0:00 samba: tfork waiter process(14474)
  14474 ?        S      0:00 samba: task[nbt] pre-fork master
  14475 ?        S      0:00 samba: tfork waiter process(14476)
  14476 ?        S      0:00 samba: task[wrepl] pre-fork master
  14477 ?        S      0:00 samba: tfork waiter process(14479)
  14478 ?        S      0:00 samba: tfork waiter process(14480)
  14479 ?        S      0:00 samba: task[rpc] pre-forked worker(0)
  14480 ?        S      0:00 samba: task[ldap] pre-fork master
  14481 ?        S      0:00 samba: tfork waiter process(14485)
  14482 ?        S      0:00 samba: tfork waiter process(14483)
  14483 ?        S      0:00 samba: task[cldap] pre-fork master
  14484 ?        S      0:00 samba: tfork waiter process(14487)
  14485 ?        S      0:00 samba: task[rpc] pre-forked worker(1)
  14486 ?        S      0:00 samba: tfork waiter process(14489)
  14487 ?        S      0:00 samba: task[kdc] pre-fork master
  14488 ?        S      0:00 samba: tfork waiter process(14491)
  14489 ?        S      0:00 samba: task[rpc] pre-forked worker(2)
  14490 ?        S      0:00 samba: tfork waiter process(14492)
  14491 ?        S      0:02 samba: task[drepl] pre-fork master
  14492 ?        S      0:00 samba: task[rpc] pre-forked worker(3)
  14493 ?        S      0:00 samba: tfork waiter process(14495)
  14494 ?        S      0:00 samba: tfork waiter process(14497)
  14495 ?        S      0:00 samba: task[winbindd] pre-fork master
  14496 ?        S      0:00 samba: tfork waiter process(14500)
  14497 ?        S      0:00 samba: task[kdc] pre-forked worker(0)
  14498 ?        S      0:00 samba: tfork waiter process(14499)
  14499 ?        S      0:00 samba: task[kdc] pre-forked worker(1)
  14500 ?        S      0:00 samba: task[ntp_signd] pre-fork master
  14501 ?        S      0:00 samba: tfork waiter process(14506)
  14502 ?        S      0:00 samba: tfork waiter process(14504)
  14503 ?        S      0:00 samba: tfork waiter process(14508)
  14504 ?        S      0:00 samba: task[kcc] pre-fork master
  14505 ?        S      0:00 samba: tfork waiter process(14509)
  14506 ?        S      0:00 samba: task[kdc] pre-forked worker(2)
  14507 ?        S      0:00 samba: tfork waiter process(14512)
  14509 ?        S      0:00 samba: task[dnsupdate] pre-fork master
  14510 ?        S      0:00 samba: tfork waiter process(14511)
  14511 ?        S      0:00 samba: task[dns] pre-fork master
  14512 ?        S      0:00 samba: task[kdc] pre-forked worker(3)
  14560 ?        S      0:00 samba: tfork waiter process(14561)
  14561 ?        S      0:00 samba: task[ldap] pre-forked worker(0)
  14562 ?        S      0:00 samba: tfork waiter process(14563)
  14563 ?        S      0:00 samba: task[ldap] pre-forked worker(1)
  14564 ?        S      0:00 samba: tfork waiter process(14565)
  14565 ?        S      0:00 samba: task[ldap] pre-forked worker(2)
  14566 ?        S      0:00 samba: tfork waiter process(14567)
  14567 ?        S      0:00 samba: task[ldap] pre-forked worker(3)
  29029 pts/0    R+     0:00 grep --color=auto samba

AD-Server-Ports¶

sudo ss -tulpen 

Korrekte Rückmeldung:

Netid          State           Recv-Q          Send-Q                       Local Address:Port                      Peer Address:Port          Process                                                                                                                                        
udp            UNCONN          0               0                             10.10.10.220:53                             0.0.0.0:*              users:(("dns[master]",pid=686,fd=50)) ino:24407 sk:1 <->                                                                                      
udp            UNCONN          0               0                                127.0.0.1:53                             0.0.0.0:*              users:(("dns[master]",pid=686,fd=48)) ino:24405 sk:2 <->                                                                                      
udp            UNCONN          0               0                             10.10.10.220:88                             0.0.0.0:*              users:(("kdc(3",pid=685,fd=40),("kdc(2",pid=681,fd=40),("kdc(1",pid=676,fd=40),("kdc(0",pid=671,fd=40),("kdc[master]",pid=663,fd=40)) ino:23949 sk:3 <->
udp            UNCONN          0               0                                127.0.0.1:88                             0.0.0.0:*              users:(("kdc(3",pid=685,fd=36),("kdc(2",pid=681,fd=36),("kdc(1",pid=676,fd=36),("kdc(0",pid=671,fd=36),("kdc[master]",pid=663,fd=36)) ino:23945 sk:4 <->
udp            UNCONN          0               0                             10.10.10.220:123                            0.0.0.0:*              users:(("ntpd",pid=521,fd=18)) ino:21725 sk:5 <->                                                                                             
udp            UNCONN          0               0                                127.0.0.1:123                            0.0.0.0:*              users:(("ntpd",pid=521,fd=17)) ino:21723 sk:6 <->                                                                                             
udp            UNCONN          0               0                                  0.0.0.0:123                            0.0.0.0:*              users:(("ntpd",pid=521,fd=16)) ino:21719 sk:7 <->                                                                                             
udp            UNCONN          0               0                             10.10.10.220:137                            0.0.0.0:*              users:(("nbt[master]",pid=648,fd=31)) ino:23865 sk:8 <->                                                                                      
udp            UNCONN          0               0                             10.10.10.255:137                            0.0.0.0:*              users:(("nbt[master]",pid=648,fd=30)) ino:23864 sk:9 <->                                                                                      
udp            UNCONN          0               0                                127.0.0.1:137                            0.0.0.0:*              users:(("nbt[master]",pid=648,fd=26)) ino:23861 sk:a <->                                                                                      
udp            UNCONN          0               0                          127.255.255.255:137                            0.0.0.0:*              users:(("nbt[master]",pid=648,fd=22)) ino:23860 sk:b <->                                                                                      
udp            UNCONN          0               0                             10.10.10.220:138                            0.0.0.0:*              users:(("nbt[master]",pid=648,fd=33)) ino:23867 sk:c <->                                                                                      
udp            UNCONN          0               0                             10.10.10.255:138                            0.0.0.0:*              users:(("nbt[master]",pid=648,fd=32)) ino:23866 sk:d <->                                                                                      
udp            UNCONN          0               0                                127.0.0.1:138                            0.0.0.0:*              users:(("nbt[master]",pid=648,fd=29)) ino:23863 sk:e <->                                                                                      
udp            UNCONN          0               0                          127.255.255.255:138                            0.0.0.0:*              users:(("nbt[master]",pid=648,fd=28)) ino:23862 sk:f <->                                                                                      
udp            UNCONN          0               0                             10.10.10.220:389                            0.0.0.0:*              users:(("cldap[master]",pid=659,fd=32)) ino:23928 sk:10 <->                                                                                   
udp            UNCONN          0               0                                127.0.0.1:389                            0.0.0.0:*              users:(("cldap[master]",pid=659,fd=22)) ino:23927 sk:11 <->                                                                                   
udp            UNCONN          0               0                             10.10.10.220:464                            0.0.0.0:*              users:(("kdc(3",pid=685,fd=42),("kdc(2",pid=681,fd=42),("kdc(1",pid=676,fd=42),("kdc(0",pid=671,fd=42),("kdc[master]",pid=663,fd=42)) ino:23951 sk:12 <->
udp            UNCONN          0               0                                127.0.0.1:464                            0.0.0.0:*              users:(("kdc(3",pid=685,fd=38),("kdc(2",pid=681,fd=38),("kdc(1",pid=676,fd=38),("kdc(0",pid=671,fd=38),("kdc[master]",pid=663,fd=38)) ino:23947 sk:13 <->
tcp            LISTEN          0               10                            10.10.10.220:53                             0.0.0.0:*              users:(("dns[master]",pid=686,fd=49)) ino:24406 sk:14 <->                                                                                     
tcp            LISTEN          0               10                               127.0.0.1:53                             0.0.0.0:*              users:(("dns[master]",pid=686,fd=46)) ino:24404 sk:15 <->                                                                                     
tcp            LISTEN          0               128                           10.10.10.220:22                             0.0.0.0:*              users:(("sshd",pid=420,fd=3)) ino:19546 sk:16 <->                                                                                             
tcp            LISTEN          0               10                            10.10.10.220:88                             0.0.0.0:*              users:(("kdc(3",pid=685,fd=39),("kdc(2",pid=681,fd=39),("kdc(1",pid=676,fd=39),("kdc(0",pid=671,fd=39),("kdc[master]",pid=663,fd=39)) ino:23948 sk:17 <->
tcp            LISTEN          0               10                               127.0.0.1:88                             0.0.0.0:*              users:(("kdc(3",pid=685,fd=34),("kdc(2",pid=681,fd=34),("kdc(1",pid=676,fd=34),("kdc(0",pid=671,fd=34),("kdc[master]",pid=663,fd=34)) ino:23944 sk:18 <->
tcp            LISTEN          0               10                            10.10.10.220:636                            0.0.0.0:*              users:(("ldap(3",pid=707,fd=36),("ldap(2",pid=705,fd=36),("ldap(1",pid=703,fd=36),("ldap(0",pid=701,fd=36),("ldap[master]",pid=653,fd=36)) ino:25144 sk:19 <->
tcp            LISTEN          0               10                               127.0.0.1:636                            0.0.0.0:*              users:(("ldap(3",pid=707,fd=32),("ldap(2",pid=705,fd=32),("ldap(1",pid=703,fd=32),("ldap(0",pid=701,fd=32),("ldap[master]",pid=653,fd=32)) ino:25140 sk:1a <->
tcp            LISTEN          0               50                               127.0.0.1:445                            0.0.0.0:*              users:(("smbd",pid=646,fd=49)) ino:25095 sk:1b <->                                                                                            
tcp            LISTEN          0               50                            10.10.10.220:445                            0.0.0.0:*              users:(("smbd",pid=646,fd=47)) ino:25093 sk:1c <->                                                                                            
tcp            LISTEN          0               10                            10.10.10.220:49152                          0.0.0.0:*              users:(("rpc(3",pid=664,fd=26),("rpc(2",pid=661,fd=26),("rpc(1",pid=657,fd=26),("rpc(0",pid=655,fd=26),("rpc[master]",pid=645,fd=26)) ino:23488 sk:1d <->
tcp            LISTEN          0               10                               127.0.0.1:49152                          0.0.0.0:*              users:(("rpc(3",pid=664,fd=24),("rpc(2",pid=661,fd=24),("rpc(1",pid=657,fd=24),("rpc(0",pid=655,fd=24),("rpc[master]",pid=645,fd=24)) ino:23487 sk:1e <->
tcp            LISTEN          0               10                            10.10.10.220:49153                          0.0.0.0:*              users:(("rpc(0",pid=655,fd=15)) ino:24734 sk:1f <->                                                                                           
tcp            LISTEN          0               10                               127.0.0.1:49153                          0.0.0.0:*              users:(("rpc(0",pid=655,fd=14)) ino:24733 sk:20 <->                                                                                           
tcp            LISTEN          0               10                            10.10.10.220:49154                          0.0.0.0:*              users:(("rpc(0",pid=655,fd=31)) ino:24748 sk:21 <->                                                                                           
tcp            LISTEN          0               10                               127.0.0.1:49154                          0.0.0.0:*              users:(("rpc(0",pid=655,fd=30)) ino:24747 sk:22 <->                                                                                           
tcp            LISTEN          0               10                            10.10.10.220:3268                           0.0.0.0:*              users:(("ldap(3",pid=707,fd=37),("ldap(2",pid=705,fd=37),("ldap(1",pid=703,fd=37),("ldap(0",pid=701,fd=37),("ldap[master]",pid=653,fd=37)) ino:25145 sk:23 <->
tcp            LISTEN          0               10                               127.0.0.1:3268                           0.0.0.0:*              users:(("ldap(3",pid=707,fd=33),("ldap(2",pid=705,fd=33),("ldap(1",pid=703,fd=33),("ldap(0",pid=701,fd=33),("ldap[master]",pid=653,fd=33)) ino:25141 sk:24 <->
tcp            LISTEN          0               10                            10.10.10.220:3269                           0.0.0.0:*              users:(("ldap(3",pid=707,fd=38),("ldap(2",pid=705,fd=38),("ldap(1",pid=703,fd=38),("ldap(0",pid=701,fd=38),("ldap[master]",pid=653,fd=38)) ino:25146 sk:25 <->
tcp            LISTEN          0               10                            10.10.10.220:389                            0.0.0.0:*              users:(("ldap(3",pid=707,fd=35),("ldap(2",pid=705,fd=35),("ldap(1",pid=703,fd=35),("ldap(0",pid=701,fd=35),("ldap[master]",pid=653,fd=35)) ino:25143 sk:26 <->
tcp            LISTEN          0               10                               127.0.0.1:3269                           0.0.0.0:*              users:(("ldap(3",pid=707,fd=34),("ldap(2",pid=705,fd=34),("ldap(1",pid=703,fd=34),("ldap(0",pid=701,fd=34),("ldap[master]",pid=653,fd=34)) ino:25142 sk:27 <->
tcp            LISTEN          0               10                               127.0.0.1:389                            0.0.0.0:*              users:(("ldap(3",pid=707,fd=30),("ldap(2",pid=705,fd=30),("ldap(1",pid=703,fd=30),("ldap(0",pid=701,fd=30),("ldap[master]",pid=653,fd=30)) ino:25139 sk:28 <->
tcp            LISTEN          0               10                            10.10.10.220:135                            0.0.0.0:*              users:(("rpc(0",pid=655,fd=35)) ino:24759 sk:29 <->                                                                                           
tcp            LISTEN          0               10                               127.0.0.1:135                            0.0.0.0:*              users:(("rpc(0",pid=655,fd=34)) ino:24758 sk:2a <->                                                                                           
tcp            LISTEN          0               50                               127.0.0.1:139                            0.0.0.0:*              users:(("smbd",pid=646,fd=50)) ino:25096 sk:2b <->                                                                                            
tcp            LISTEN          0               50                            10.10.10.220:139                            0.0.0.0:*              users:(("smbd",pid=646,fd=48)) ino:25094 sk:2c <->                                                                                            
tcp            LISTEN          0               10                            10.10.10.220:464                            0.0.0.0:*              users:(("kdc(3",pid=685,fd=41),("kdc(2",pid=681,fd=41),("kdc(1",pid=676,fd=41),("kdc(0",pid=671,fd=41),("kdc[master]",pid=663,fd=41)) ino:23950 sk:2d <->
tcp            LISTEN          0               10                               127.0.0.1:464                            0.0.0.0:*              users:(("kdc(3",pid=685,fd=37),("kdc(2",pid=681,fd=37),("kdc(1",pid=676,fd=37),("kdc(0",pid=671,fd=37),("kdc[master]",pid=663,fd=37)) ino:23946 sk:2e <->

DNS-Tests¶

Das Funktionieren der Namens-Auflösung innerhalb einer Active Directory Domäne ist für deren Betrieb essentiell. Rechner, die der Domäne beitreten wollen oder die bereits Mitglied der Domäne sind kommunizieren mit den einzelnen Diensten des Active-Directory-Servers ausschließlich über den DNS-Namen der jeweiligen Dienste. Daher ist es zweckmäßig, die korrekte Namens-Auflösung der Acitve-Directory-Dienste vorab zu überprüfen:

Namensauflösung des Active-Directory-Servers:

host adc01 

Korrekte Rückmeldung:

adc01.heim.lan has address 10.10.20.220

Namensauflösung des FQDN des Active-Directory-Servers:

host -t A adc01.heim.lan 

Korrekte Rückmeldung:

adc01.heim.lan has address 10.10.20.220

Namensauflösung des LDAP-Dienstes:

host -t SRV _ldap._tcp.heim.lan 

Korrekte Rückmeldung:

_ldap._tcp.heim.lan has SRV record 0 100 389 adc01.heim.lan.

Namensauflösung des Kerberos-Dienstes über UDP:

host -t SRV _kerberos._udp.heim.lan 

Korrekte Rückmeldung:

_kerberos._udp.heim.lan has SRV record 0 100 88 adc01.heim.lan.

Namensauflösung des Kerberos-Dienstes über TCP:

host -t SRV _kerberos._tcp.heim.lan 

Korrekte Rückmeldung:

_kerberos._tcp.heim.lan has SRV record 0 100 88 adc01.heim.lan.

Namensauflösung des Global-Catalog-Dienstes

host -t SRV _gc._tcp.heim.lan 

Korrekte Rückmeldung:

_gc._tcp.heim.lan has SRV record 0 100 3268 adc01.heim.lan.

Verfügbarkeit der Samba-AD-Server Standardfreigaben¶

smbclient -L adc01 -Uadministrator 

Korrekte Rückmeldung:

	Sharename       Type      Comment
	---------       ----      -------
	sysvol          Disk      
	netlogon        Disk      
	IPC$            IPC       IPC Service (Samba 4.13.14-Ubuntu)
SMB1 disabled -- no workgroup available

Die beiden Freigaben sysvol und netlogon sind die zwei wesentlichen Standardfreigaben auf einem Active Directory Server, denen wesentliche Verwaltungsfunktion zukommt. Sie sollten auf gar keinen Fall als normale Daten-Dateifreigaben genutzt werden!

Siehe zu sysvol und netlogon auch: Active Directory: SYSVOL and NETLOGON 🇬🇧

Kerberos testen¶

Kerberos-Ticket für das Domänen-Administrator-Konto anfordern:

kinit administrator 

administrator@HEIM.LAN's Password:

Informationen zum angeforderten Ticket anzeigen:

klist 

Credentials cache: FILE:/tmp/krb5cc_1000
        Principal: administrator@HEIM.LAN

  Issued                Expires               Principal
Feb 24 22:44:56 2022  Feb 25 08:44:56 2022  krbtgt/HEIM.LAN@HEIM.LAN

Das Ticket für die Authentifizierung zur Nutzung des Befehls smbclient nutzen:

smbclient -L adc01 -k 

	Sharename       Type      Comment
	---------       ----      -------
	sysvol          Disk      
	netlogon        Disk      
	IPC$            IPC       IPC Service (Samba 4.13.14-Ubuntu)
SMB1 disabled -- no workgroup available

Test des LDAP-Servers¶

Schließlich testest man noch die Erreichbarkeit des LDAP-Servers:

ldbsearch -H ldap://adc01 "cn=administrator" -Uadministrator 

Korrekte Rückmeldung:

Password for [HEIM\administrator]:
# record 1
dn: CN=Administrator,CN=Users,DC=heim,DC=lan
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: user
cn: Administrator
description: Built-in account for administering the computer/domain
instanceType: 4
whenCreated: 20211201175915.0Z
uSNCreated: 3853
name: Administrator
objectGUID: 5e10a051-8704-476a-8522-e6ff197a0902
userAccountControl: 512
badPwdCount: 0
codePage: 0
countryCode: 0
badPasswordTime: 0
lastLogoff: 0
primaryGroupID: 513
objectSid: S-1-5-21-681911137-2821365138-900175501-500
adminCount: 1
accountExpires: 9223372036854775807
sAMAccountName: Administrator
sAMAccountType: 805306368
objectCategory: CN=Person,CN=Schema,CN=Configuration,DC=heim,DC=lan
isCriticalSystemObject: TRUE
memberOf: CN=Domain Admins,CN=Users,DC=heim,DC=lan
memberOf: CN=Schema Admins,CN=Users,DC=heim,DC=lan
memberOf: CN=Enterprise Admins,CN=Users,DC=heim,DC=lan
memberOf: CN=Group Policy Creator Owners,CN=Users,DC=heim,DC=lan
memberOf: CN=Administrators,CN=Builtin,DC=heim,DC=lan
lastLogonTimestamp: 132902126740292890
pwdLastSet: 132902126888430960
whenChanged: 20220224214448.0Z
uSNChanged: 4078
lastLogon: 132903607575747530
logonCount: 28
distinguishedName: CN=Administrator,CN=Users,DC=heim,DC=lan

# Referral
ref: ldap://heim.lan/CN=Configuration,DC=heim,DC=lan

# Referral
ref: ldap://heim.lan/DC=DomainDnsZones,DC=heim,DC=lan

# Referral
ref: ldap://heim.lan/DC=ForestDnsZones,DC=heim,DC=lan

# returned 4 records
# 1 entries
# 3 referrals

DNS-Server-Verteilung¶

Wie weiter oben bereits geschildert, ist im Active Directory die korrekte Namensauflösung grundlegend für die korrekte Funktion des Active Directory. Damit Rechner oder Server in die Active Directory Domäne aufgenommen werden bzw. mit dieser in Kontakt treten können, muss ihnen stets der Samba-Active-Directory-Server als DNS-Server mitgeteilt werden. Im vorliegenden Fall haben wir den Internet-Router sowohl als Gateway, als auch als DNS-Forward-Server eingetragen. Standardmäßig ist bei Internet-Routern heute auch ein DHCP-Server aktiv. Dieser muss fortan den Samba-Server als primären DNS-Server verteilen. Wie dies genau erfolgt, kann in der Dokumentation des jeweiligen Internet-Routers nachgeschlagen werden.

Lässt sich im Internet-Router der lokal zu nutzende DNS-Server nicht konfigurieren, so kann man den Samba-AD-Server entweder manuell in der DNS-Konfiguration der Clients festlegen. Siehe dazu z.B.:

• Ubuntu Desktops: DNS-Server manuell unter Ubuntu-Desktop festlegen (Bebilderte Anleitung) 🇬🇧

• Windows 10 Clients: Windows 10: So ändert ihr den DNS-Server für eure Internetverbindung (Bebilderte Anleitung) 🇩🇪

Alternativ kann man einen eigenen DHCP-Server einrichten und darüber den DNS-Server verteilen. Speziell für Samba siehe dazu auch:

• Configure DHCP to update DNS records 🇬🇧

Weitere administrative Aufgabenstellungen¶

Die administrativen Tätigkeiten, die mit dem Betriebe eines Active Directory Servers einhergehen sind vielseitig und können einen erheblichen Komplexitäts-Grad erreichen. Daher sollte man sich insbesondere mit den folgenden Themen auseinandersetzen:

• Planung einer auf das Anwendungsszenario zugeschnittenen Domänen-Struktur

  • Entwerfen der logischen Struktur 🇩🇪

• Administrations-Werkzeuge:

  • samba-tool 🇬🇧

  • Windows Remote Server Administration Tools 🇩🇪

• Administration von Bentuzern, Gruppen

  • Administer Unix Attributes in AD using samba-tool and ldb-tools 🇬🇧

  • Maintaining Unix Attributes in AD using ADUC 🇬🇧

• Hinzufügen von Client-Computern und Servern

  • Setting up Samba as a Domain Member 🇬🇧

  • Join Ubuntu 20.10 Desktop in Active Directory Domain during Setup 🇬🇧

    • Beachte dazu aber unbedingt:

    • BUG 1934997 auf Launchpad 🇬🇧

    • https://bugzilla.redhat.com/show_bug.cgi?id=1839805 🇬🇧

    • Ubuntu User können sich nicht am Ubuntu samba AD-DC anmelden 🇩🇪

  • Joining a Windows Client or Server to a Domain 🇬🇧

• Vertrautmachen mit dem Rechtesystem in einer Windows-Domäne

  • Setting up a Share Using Windows ACLs 🇬🇧

• Administration des DNS-Servers

  • DNS Administration

• Einrichtung einer Sicherung für den Active Directory Server

  • Back up and Restoring a Samba AD DC 🇬🇧

• Erörterung sicherheitsrelevanter Aspekte

  • BSI-Kompendium Active Directory 🇩🇪

• Vertrautmachen mit dem Protokollierungssystem

  • Configuring Logging on a Samba Server 🇬🇧

  • Setting up Audit Logging 🇬🇧

Quellen extern¶

• Samba-Wiki 🇬🇧 - Das original Samba-Wiki

  • Samba Release Planning 🇬🇧 - Über den Zyklus der Veröffentlichung und die Unterstützung von Samba-Versionen

  • Setting up Samba as an Active Directory Domain Controller 🇬🇧 - Anleitung zur Installation eines Active Directory Domain Controllers im Samba-Wiki

  • Active Directory Naming FAQ 🇬🇧 - Häufige Fragen und Antworten zur Namensgebung im Active Directory

  • Setting up RFC2307 in AD 🇬🇧 - RFC2307 im Active Directory nutzen

  • Samba Internal DNS Back End 🇬🇧 - Der Samba-interne DNS-Server

  • Time Synchronisation 🇬🇧 - Zeitsynchronisierung

  • Samba AD DC Port Usage 🇬🇧 - Übersicht über die von einem AD-Server genutzen Ports

  • Testing the DNS Name Resolution 🇬🇧 - Ordnungsgemäße Funktion des DNS-Servers prüfen

  • AD Schema Version Support 🇬🇧 - Die von Samba unterstüzten Active Directory Schemata

  • Samba AD DC Troubleshooting 🇬🇧 - Samba Active Directory Domain Controller - Problemlösungen

• Passwords must meet complexity requirements 🇬🇧 - MS Technet - Standard Passwort-Komplexitäts-Richtlinie im Active Direcoty

Weiterführende Informationen¶

• BSI-Kompendium Active Directory 🇩🇪 - Grundschutz-Kompendium des BSI zum Active Directory (Stand: 2021)

• DNS Administration 🇬🇧 - Administration des DNS-Servers

• Configure DHCP to update DNS records 🇬🇧 - DNS-Einträge mittels DHCP-Server aktuallisieren

• Generating Keytabs 🇬🇧 - Erstellen einer Kerberos Keytab-Datei

• Samba-AD-Server_unter_Ubuntu_20.04/Tipps - Ergänzungen zu diesem Howto

• Howto-Liste - Übersicht aller Howto-Artikel