Servidores de Ficheros e Impresión

Para configurar Samba usando una interfaz gráfica use una de las interfaces gráficas de Samba disponibles. Se puede encontrar una lista de GUIs en https://www.samba.org/samba/GUI/.

Samba usa /etc/samba/smb.conf como su fichero de configuración. Si usted desea cambiar el ficheros de configuración los cambios no tendrán efecto hasta que reinicie el demonio Samba con el siguiente comando como root:

Para especificar el grupo de trabajo Windows y una breve descripción del servidor Samba server, edite las siguientes líneas en su fichero /etc/samba/smb.conf:

Reemplace NOMBRE GRUPO DE TRABAJO con el nombre del grupo de trabajo Windows al que debería pertenecer esta máquina. El BRECE COMENTARIO SOBRE EL SERVIDOR es opcional y se usa como el comentario Windows sobre el sistema Samba.

Para crear un directorio de recursos compartido Samba sobre su sistema Linux, añada la siguiente sección en su fichero /etc/samba/smb.conf (después modifiquelo para reflejar sus necesidades y su sistema):

El ejemplo de arriba permite a los usuarios tfox y carole leer y escribir en el directorio /home/share/, sobre el servidor Samba desde un cliente Samba.

Las contraseñas encriptadas están habilitadas por defecto puesto que es mas seguro usarlas. Para crear un usuario con una contraseña encriptada use la utilidad `smbpasswd:

Un servidor independiente puede ser un servidor de un grupo de trabajo o un miembro de un entorno de grupo de trabajo. Un servidor independiente no es un controlador de dominio y no participa en un dominio de ningún modo. Los siguientes ejemplo incluyen diversas configuraciones de seguridad a nivel de usuario. Para mas información sobre los modos de seguridad vea Modos de Seguridad Samba.

El siguiente fichero /etc/samba/smb.conf muestra un ejemplo de la configuración necesaria para implementar un recursos compartido de ficheros de solo lectura anónimo. Se usan dos directivas para configurar el acceso anónimo – map to guest = Bad user y guest account = nobody.

El siguiente fichero /etc/samba/smb.conf muestra una configuración ejemplo necesaria para implementar una compartición de archivos lectura/escritura anónimo. Para habilitar la compartición de archivo lectura/escritura anónimo fije la directiva read only a no. Las directivas force user y force group se añaden también para forzar la propiedad de cualquiera de los ficheros nuevos especificados en el recurso compartido.

El siguiente fichero /etc/samba/smb.conf muestra un ejemplo de la configuración necesaria para implementas un servidor de impresión anónimo. Ajustando browseable a no como se muestra no lista la impresora en el Entorno de Red de Windows. Aunque se oculte para la navegación, la configuración de la impresora explícitamente es posible. Conectando a DOCS_SRV usando NetBIOS, el cliente puede tener acceso a la impresota si el cliente es también parte del grupo de trabajo DOCS. Se asume también que el cliente tiene instalado el controlador correcto de la impresora local puesto que la directiva use client driver se ha fijado a yes. En este caso, el servidor Samba no tiene la responsabilidad de compartir los controladores de impresora con el cliente.

El siguiente fichero /etc/samba/smb.conf muestra un ejemplo de la configuración necesaria para implementar un servidor seguro de ficheros de lectura/escritura e impresión. Al fijar la directiva security a user fuerza a Samba a autenticar las conexiones del cliente. Dese cuenta que el recurso compartido [homes] no tiene directiva force user or`force group` como hace el recurso compartido [public]. El recurso compartido [homes] utiliza los detalles del usuario autenticado para cualquiera de los ficheros creados al contrario que force user y force group en [public].

Un miembro de dominio, aunque es similar a un servidor independiente, esta conectado a un controlador de dominio (bien Windows o Samba) y está sujeto a las reglas de seguridad del dominio. Un ejemplo de un servidor miembro de dominio sería un servidor departamental ejecutando Samba que tiene una cuenta de máquina en el Controlador Principal de Dominio (PDC). Todos los clientes del departamento están autenticados con el PDC y los perfiles de los ordenadores y todos los ficheros de política de red están incluidos. La diferencia está en que el servidor departamental tiene la capacidad de controlar las impresoras y los recursos compartidos en la red.

Para implementar un servidor miembro de dominio Active Directory, siga el procedimiento de abajo:

El siguiente fichero /etc/samba/smb.conf muestra un ejemplo de la configuración necesaria para implementar un servidor miembro de dominio basado en Windows NT4. Llegar a ser un servidor miembro de un dominio basado en NT4 es similar a conectar a un Active Directory. La principal diferencia es que los dominios basados en NT4 no usan Kerberos en su método de autenticación, haciendo el fichero /etc/samba/smb.conf más simple. En este caso,el servidor miembro Samba funciona como un paso a través del servidor de dominio basado en NT4.

Tener Samba como un servidor miembro de dominio puede ser útil en muchas situaciones. Hay veces donde el servidor Samba puede tener otros usos más allá de compartir ficheros e impresoras. Puede ser beneficioso hacer un servidor miembro de dominio Samba en sitios donde se requieren aplicaciones solo Linux para usar en el entorno del dominio. Los administradores aprecian mantener rastro de todas las máquinas en el dominio aunque no sean basadas en Windows. En el caso de que el hardware del servidor basado en Windows quede obsoleto, es bastante fácil modificar el fichero /etc/samba/smb.conf para convertir el servidor a un PDC basado en Samba. Si los servidores basados en Windows NT son actualizados a Windows 2000/2003/2008 el fichero /etc/samba/smb.conf es fácilmente modificable para incorporar el cambio de infraestructura a Active Directory si es necesario.

Advierta que la opción -S,que especifica el nombre de host del servidor de dominio, no es necesario que sea indicada en el comando net rpc join. Samba usa el nombre de host especificado por la directiva workgroup en el fichero `/etc/samba/smb.conf`en lugar de que se indique explícitamente.

Un controlador de dominio en Windows NT es funcionalmente similar a un servidor de Servicio de Información de Red (NIS) en un entorno Linux. Los controladores de dominio y los servidores NIS alojan bases de datos de información de usuario y grupo así como servicios relacionados. Los controladores de dominio se usan principalmente para seguridad, incluyendo la autenticación de los usuarios que acceden a los recursos del dominio. El servicio que mantiene la integridad de las bases de datos de usuario y grupo se llama Administrador de Seguridad de Cuenta (SAM). La base de datos SAM se almacena de forma distinta en sistemas basados en Windows y en Linux Samba, por lo tanto la replicación SAM no se puede alcanzar y las plataformas no se pueden mezclar en un entorno PDC/BDC.

En un entorno Samba solo puede haber un PDC y cero o más BDCs.

La más común y sencilla implementación de Samba PDC utiliza, por defecto, el nuevo programa soporte de la base de datos de contraseñas tdbsam. Reemplazando al envejecido smbpasswd, tdbsam tiene numerosas mejoras que son explicadas en más detalle en Bases de Datos de Información de Cuenta Samba. La directiva passdb backend controla que programa de soporte será usado por el PDC.

El siguiente fichero /etc/samba/smb.conf enseña una configuración de muestra necesaria para implementar ek programa de soporte de base de datos de contraseñas tdbsam.

To provide a functional PDC system which uses tdbsam follow these steps:

Keep in mind that Windows systems prefer to have a primary group which is mapped to a domain group such as Domain Users.

Windows groups and users use the same namespace thus not allowing the existence of a group and a user with the same name like in UNIX.

Although it is possible for Samba to be a member of an Active Directory, it is not possible for Samba to operate as an Active Directory domain controller.

User-level security is the default and recommended setting for Samba. Even if the security = user directive is not listed in the /etc/samba/smb.conf file, it is used by Samba. If the server accepts the client’s user name and password, the client can then mount multiple shares without specifying a password for each instance. Samba can also accept session-based user name and password requests. The client maintains multiple authentication contexts by using a unique UID for each logon.

In the /etc/samba/smb.conf file, the security = user directive that sets user-level security is:

As mentioned above, share-level security mode is deprecated. To configure a Samba guest share without using the security = share parameter, follow the procedure below:

The following sections describe other implementations of user-level security.

In domain security mode, the Samba server has a machine account (domain security trust account) and causes all authentication requests to be passed through to the domain controllers. The Samba server is made into a domain member server by using the following directives in the /etc/samba/smb.conf file:

If you have an Active Directory environment, it is possible to join the domain as a native Active Directory member. Even if a security policy restricts the use of NT-compatible authentication protocols, the Samba server can join an ADS using Kerberos. Samba in Active Directory member mode can accept Kerberos tickets.

In the /etc/samba/smb.conf file, the following directives make Samba an Active Directory member server:

With share-level security, the server accepts only a password without an explicit user name from the client. The server expects a password for each share, independent of the user name. There have been recent reports that Microsoft Windows clients have compatibility issues with share-level security servers. This mode is deprecated and has been removed from Samba. Configurations containing security = share should be updated to use user-level security. Follow the steps in Configuring Samba Guest Shares to avoid using the security = share directive.

By default, a Windows server PDC for a domain is also the domain master browser for that domain. A Samba server must not be set up as a domain master server in this type of situation.

For subnets that do not include the Windows server PDC, a Samba server can be implemented as a local master browser. Configuring the /etc/samba/smb.conf file for a local master browser (or no browsing at all) in a domain controller environment is the same as workgroup configuration (see Configuring a Samba Server).

Either a Samba server or a Windows NT server can function as a WINS server. When a WINS server is used with NetBIOS enabled, UDP unicasts can be routed which allows name resolution across networks. Without a WINS server, the UDP broadcast is limited to the local subnet and therefore cannot be routed to other subnets, workgroups, or domains. If WINS replication is necessary, do not use Samba as your primary WINS server, as Samba does not currently support WINS replication.

In a mixed NT/2000/2003/2008 server and Samba environment, it is recommended that you use the Microsoft WINS capabilities. In a Samba-only environment, it is recommended that you use only one Samba server for WINS.

The following is an example of the /etc/samba/smb.conf file in which the Samba server is serving as a WINS server:

The following example shows a very basic /etc/samba/smb.conf configuration for CUPS support:

Other printing configurations are also possible. To add additional security and privacy for printing confidential documents, users can have their own print spooler not located in a public path. If a job fails, other users would not have access to the file.

The print$ directive contains printer drivers for clients to access if not available locally. The print$ directive is optional and may not be required depending on the organization.

Setting browseable to yes enables the printer to be viewed in the Windows Network Neighborhood, provided the Samba server is set up correctly in the domain or workgroup.

A diferencia de la mayoría de protocolos que se emplean en Internet, FTP requiere la utilización de varios puertos de red para funcionar adecuadamente. Cuando una aplicación cliente de FTP inicia una conexión a un servidor FTP, abre el puerto 21 en este, el conocido como puerto de comandos. Este puerto sirve para emitir todas los comandos que van hacia el servidor. Cualquier dato solicitado desde el servidor se devuelve al cliente a través de un puerto de datos. El número de puerto para las conexiones de datos, así como la manera en que se inician las conexiones de datos, varían en función del modo en que el cliente solicita los datos: activa o pasivamente.

A continuación se definen estos modos:

El Demonio FTP Muy Seguro (vsftpd) esta diseñado desde cero para ser rápido, estable y, lo más importante, seguro. vsftpd es el único servidor FTP independiente distribuido con Fedora, debido a su capacidad para manejar un gran número de conexiones de manera eficiente y segura.

El modelo de seguridad usado por vsftpd tiene tres aspecto principales:

El uso de esta prácticas de seguridad tienen el siguiente efecto sobre como vsftpd trata con las peticiones:

De forma predeterminada, firewalld bloquea las conexiones FTP entrantes. Para permitir conexiones FTP, teclee como root:

El cambio será aplicado inmediatamente, pero se perderá la próxima vez que se recargue firewalld o que se reinicie el sistema. Para hacerlo permanente, teclee:

Para más información sobre la configuración de firewalld, vea la Guía de Seguridad de Red Hat Enterprise Linux 7.

Algunas veces un ordenador se utiliza para servir múltiples dominios FTP. Esta es una técnica llamada multiacogimiento. Una manera de hacerlo usando vsftpd es corriendo múltiples copias del demonio, cada una con su propio archivo de configuración.

Para hacer esto, primero asigne todas las direcciones IP relevantes a dispositivos de red o alias de dispositivo de red en el sistema. Para más información sobre la configuración de los dispositivos de red, los alias de dispositivos e información adicional sobre los scripts de configuración de red vea la Guía de Red Fedora.

A continuación, se debe configurar el servidor DNS para los dominios FTP para referirlos a la maquina correcta. Para información sobre BIND y sus archivos de configuración vea la [citetitle]_Guía de Red Fedora.

Si hay mas archivos de configuración presentes en el directorio /etc/vsftpd, llamando a systemctl start vsftpd.service consigue que el initscript de /etc/rc.d/init.d/vsftpd inicie el mismo número de procesos que archivos de configuración. Cada archivo de configuración debe tener un nombre único en el directorio /etc/vsftpd/ y debe ser de escritura y de lectura solo para root.

Lo siguiente es una lista de directivas que controlan el comportamiento total del demonio vsftpd.

The following is a list of directives which control the login behavior and access control mechanisms.

The following lists directives which control anonymous user access to the server. To use these options, the anonymous_enable directive must be set to YES.

The following lists directives which characterize the way local users access the server. To use these options, the local_enable directive must be set to YES.

The following lists directives which affect directories.

The following lists directives which affect directories.

The following lists directives which affect vsftpd's logging behavior.

A continuación se enumeran las directivas que afectan la manera en que vsftpd interactúa con la red.

To change printer driver configuration, double-click the corresponding name in the Printer list and click the Settings label on the left to display the Settings page.

You can modify printer settings such as make and model, print a test page, change the device location (URI), and more.

Click the Policies button on the left to change settings in printer state and print output.

You can select the printer states, configure the Error Policy of the printer (you can decide to abort the print job, retry, or stop it if an error occurs).

You can also create a banner page (a page that describes aspects of the print job such as the originating printer, the user name from the which the job originated, and the security status of the document being printed): click the Starting Banner or Ending Banner drop-down menu and choose the option that best describes the nature of the print jobs (for example, confidential).

On the Policies page, you can mark a printer as shared: if a printer is shared, users published on the network can use it. To allow the sharing function for printers, go to Server  Settings and select Publish shared printers connected to this system.

Make sure that the firewall allows incoming TCP connections to port 631, the port for the Network Printing Server (IPP) protocol. To allow IPP traffic through the firewall on Fedora 30, make use of firewalld's IPP service. To do so, proceed as follows:

Alternatively, to start the graphical firewall configuration tool using the command line, enter the following command as root user:

The Firewall Configuration window opens.

Look for the word "Connected" in the lower left corner. This indicates that the firewall-config tool is connected to the user space daemon, firewalld.

To immediately change the current firewall settings, ensure the drop-down selection menu labeled Configuration is set to Runtime. Alternatively, to edit the settings to be applied at the next system start, or firewall reload, select Permanent from the drop-down list.

You can change user-level access to the configured printer on the Access Control page. Click the Access Control label on the left to display the page. Select either Allow printing for everyone except these users or Deny printing for everyone except these users and define the user set below: enter the user name in the text box and click the Add button to add the user to the user set.

The Printer Options page contains various configuration options for the printer media and output, and its content may vary from printer to printer. It contains general printing, paper, quality, and printing size settings.

On the Job Options page, you can detail the printer job options. Click the Job Options label on the left to display the page. Edit the default settings to apply custom job options, such as number of copies, orientation, pages per side, scaling (increase or decrease the size of the printable area, which can be used to fit an oversize print area onto a smaller physical sheet of print medium), detailed text options, and custom job options.

The Ink/Toner Levels page contains details on toner status if available and printer status messages. Click the Ink/Toner Levels label on the left to display the page.

When you send a print job to the printer daemon, such as printing a text file from Emacs or printing an image from GIMP, the print job is added to the print spool queue. The print spool queue is a list of print jobs that have been sent to the printer and information about each print request, such as the status of the request, the job number, and more.

During the printing process, messages informing about the process appear in the notification area.

To cancel, hold, release, reprint or authenticate a print job, select the job in the GNOME Print Status and on the Job menu, click the respective command.

To view the list of print jobs in the print spool from a shell prompt, type the command lpstat -o. The last few lines look similar to the following:

If you want to cancel a print job, find the job number of the request with the command lpstat -o and then use the command cancel job number. For example, cancel 60 would cancel the print job in Example of lpstat -o output. You cannot cancel print jobs that were started by other users with the cancel command. However, you can enforce deletion of such job by issuing the cancel -U root job_number command. To prevent such canceling, change the printer operation policy to Authenticated to force root authentication.

You can also print a file directly from a shell prompt. For example, the command lp sample.txt prints the text file sample.txt. The print filter determines what type of file it is and converts it into a format the printer can understand.