Das Samba-Paket erlaubt eine gewaltige Anzahl von Einstellungen und Optionen. Mit dem Frontend SWAT schlagen Sie eine Bresche in das Dickicht der Konfiguration und sorgen für eine bequeme Verwaltung des Servers.

Beginnen wir unseren Ausflug in den Dschungel mit dem Samba Web Administration Tool (SWAT) und erläutern gleich einige seiner Vor- und Nachteile. Das Web-Frontend richtet sich vor allem an die Anwender, die sich auf der Kommandozeile noch nicht so sicher fühlen und daher lieber auf grafische Frontends verlassen.

SWAT ist ein web-basiertes Interface, mit dem sich die zentrale Samba-Konfiguration in smb.conf editieren lässt. Diese Datei liegt bei vielen Distributionen direkt im verzeichnis /etc. Manche Distributionen, wie zum Beispiel SuSE und Debian, gehen hier einen anderen Weg und legen alle Konfigurationsdateien von Samba in einem eigenem Unterverzeichnis /etc/samba ab. Sollten Sie unsicher sein, wo sich die Datei auf Ihrem System befindet, dann geben Sie einfach locate smb.confgrep /etc ein.

Die Eingabemaske des Tools ist via Browser von jedem Punkt eines Netzwerkes aus zu erreichen. Auf diese Weise können Sie Fernwartungen durchführen, den Server-Status prüfen, Manpages einsehen, Passwörter ändern und allerlei mehr. Die Vorteile des Hilfsprogramms machen es jedoch auch zu einem Wackelkandidaten in Ihrer Systemsicherheit, was wir nicht unter den Teppich kehren wollen.

Als Sicherheitsleck kann sich hauptsächlich die Eingabe Ihres Root-Passworts erweisen, das Sie benötigen, um mit dem Web-Tool zu arbeiten: Ihre Zugangsdaten werden nämlich bei der Anmeldung am externen Samba-Rechner im Klartext durchs Netzwerk geschickt.

Das bedeutet: Jeder Packet-Sniffer ist in der Lage, Ihre Daten auszulesen. Ebenfalls mehr Klartext, als Ihnen lieb sein kann, spricht der Passwort-Manager eines Browsers. Durch ein versehentlich gesetztes Häkchen können die empfindlichen Daten in seinem Register landen. Und zuletzt ist SWAT ein zusätzlicher Dienst, der einen Port offen hält.

Doch genug der Schwarzmalerei, machen wir uns daran, den Boden für den Einsatz des Interface zu bereiten.

Vorbereitung

In vielen Distributionen ist swat bereits im Samba-Paket enthalten, dann erfordert es keine zusätzliche Installation. Bei Debian befindet es sich in einem Extrapaket mit dem Namen swat.

Um die Software zu installieren und zu starten, ist nur wenig Handarbeit nötig. Den ersten Schritt erledigt die Paketverwaltung der eingesetzten Distribution. Der zweite Schritt besteht darin, das Administrationstool in die Konfigurationsdatei des Superdaemon inetd aufzunehmen. Dazu öffnen Sie die Konfigurationsdatei /etc/inetd.conf und tragen die folgenden Zeilen ein:

# Samba Web Administration Tool
swat stream tcp nowait.400 root /usr/sbin/swat swat

Der genaue Aufbau dieser Zeile, inbesondere der Pfad /usr/sbin/swat, kann je nach Distribution im Detail variieren und muss nicht unserem Beispiel entsprechen. Eventuell ist diese Zeile sogar bereits vorhanden. Wenn Sie statt inetd den neueren Superdaemon xinetd einsetzen, entspricht die Anweisung dem folgenden Muster:

# Samba Web Administration Tool
service swat
{
socket_type = stream
protocol = tcp
wait = no
user = root
server = /usr/sbin/swat
}

Nun überprüfen Sie, ob Sie in Ihrer Datei /etc/services eine swat-Zeile finden und entfernen das Kommentarzeichen # vor dem Wort “swat”, falls sich dort eines befindet:

# Samba Web Adminstration Tool
swat    901/tcp

All diese Einstellungen nehmen Sie natürlich als root vor. Jetzt veranlassen Sie einen Neustart des inetd, damit er seine Konfiguration erneut einliest. Bei der Distribution SuSE genügt dazu das Kommando rcinetd restart in der Shell. Unter Debian heißt der Befehl /etc/init.d/inetd restart.

Damit sind die Vorbereitungen auch schon abgeschlossen, und Sie können sich nun das Frontend aus der Nähe anschauen. Öffnen Sie in einem Web-Browser die Adresse:

http://Server-Name:901

In den eckigen Klammern steht in Ihrem konkreten Fall der Name des Rechner, auf dem Samba und SWAT laufen.

Wenn Sie ohnehin im Rechner eingeloggt sind, auf dem der Samba-Editor läuft, greifen als Server-Namen ebenfalls die Adressen localhost und 127.0.0.1. Als Browser eignen sich neben grafischen Programmen wie Opera und Mozilla die Text-Browser w3m und Lynx, wenn Sie es gerne etwas weniger bunt haben. In der Funktionalität sind Sie durch einen textbasierten Browser nicht eingeschränkt. Auf diese Weise können sogar via SSH Rechner administriert werden.

Abbildung 1: Der Login-Dialog des Browsers

Login und Menüs

Nachdem Sie Ihren Browser auf den genannten Pfad gesetzt haben, erscheint eine Aufforderung zur Authentifizierung (Abbildung 1).

Wenn Sie sich lediglich als User mit Ihrem gewohnten Benutzernamen und dem Passwort anmelden, bleiben Ihnen einige Optionen verborgen. Um jedoch als root in der neuen Web-Umgebung nicht Gefahr zu laufen, die Samba-Konfiguration zu zerschießen, legen Sie zuvor besser ein Backup der Datei smb.conf an:

[root]# cp /etc/smb.conf /etc/smb.conf-BACKUP

Home

Das Adminstrationsprogramm zeigt Ihnen nach dem Login den Bereich Home (Abbildung 2). Dieses Menü ist ein Einstiegspunkt in die Online-Hilfe. Alle nötigen HOWTOs und Manpages landen per Klick in einem neuen Browser-Fenster und können von Ihnen gelesen werden. Sie finden Tipps und Hinweise zu Diagnoseprogrammen und Daemons. Sogar ein komplettes Buch ist im Gepäck: “Using Samba” von Robert Eckstein, David Collier-Brown und Peter Kelly aus dem O’Reilly-Verlag.

Auch die Samba-Dokumentation kann in einem separaten Paket enthalten sein, das alle Texte zusammenfasst – das hängt von der Distribution ab.

Abbildung 2: Die Einstiegsseite im Browser w3m

Am oberen Bildschirmrand wählen Sie zwischen weiteren Instanzen des Programms, die je eine Aufgabe erfüllen. Die einzelnen Menüpunkte lauten Home (dort befinden wir uns gerade), Globals, Shares, Printers, Status, View Config sowie Password Management. Führen wir unsere Entdeckungsreise mit dem Link Globals fort.

Globals

Hier definieren Sie, der Name lässt es erahnen, die Sektion [global] der Datei smb.conf. Herausragend ist nicht nur an dieser Stelle die Einbindung der Hilfe. Der Link Help ruft geradewegs die benötigte Stelle der Samba-Manualseite auf. So landen Sie durch die Hilfe zur Zeile server string direkt und übersichtlich im entsprechenden Abschnitt von man samba.

Unterhalb des Menüs befinden sich zu Beginn die drei Buttons Commit Changes, Reset Values und Advanced View. Beginnen wir mit dem letzten Knopf. Advanced View listet restlos alle Parameter auf, die in smb.conf eintragbar sind. Dabei wechselt der Knopf den Namen und heißt nun Basic View, womit Sie in die übersichtlichere Voreinstellung zurück gelangen. Um dem Server Änderungen zu übergeben, drücken Sie den Knopf Commit Changes. Reset Values setzt die Angaben zurück. Den Abschluss jeder Zeile bildet der Button Set Default. Er verhilft Ihnen zu den voreingestellten Werten.

Machen wir uns mit einer Auswahl der wichtigsten Einträge in Globals vertraut. Workgroup definiert die Arbeitsgruppe des Rechners, und netbios name bestimmt den Namen des Samba-Servers innerhalb des Netzwerks. Die Voreinstellung von security steht auf USER.

Wenn Sie lediglich Windows-95/98-Rechner verwenden und der Samba-Server der einzige seiner Art im Netzwerk ist, können Sie mit der Default-Vorgabe gut leben. Etwas komplizierter wird die Sache mit Windows-NT-Rechnern. Damit wir nicht zu sehr in die Tiefe gehen, seien Sie hier an die Hilfe zu security verwiesen.

Die Option keepalive reguliert die Sekunden zwischen den Kontrollpaketen, die der Server an den Client verschickt. So kann der Samba-Rechner ermitteln, ob das Client-Programm noch vorhanden ist und antwortet.

Beinahe selbstredend ist die Zeile guest account. Sie legt den Benutzernamen für Gastzugriffe auf den Rechner fest. Wie Sie sehen, ist nobody voreingestellt. Ob Sie Gastzugriffe ohne Passwort gestatten, hängt vom Parameter guest ok ab. Während Yes jedem den Zugriff auf die freigegebenen Ressourcen erlaubt, blockiert No die Anmeldung.

Ein Hinweis, bevor Sie Ihren Rechner versehentlich zum offenen Haus erklären: Das globale Datennetz wird ständig gezielt nach unsicheren Diensten durchforstet, um “Warez” und ähnlich zweifelhafte Freundlichkeiten zu verteilen. Überlegen Sie deshalb genau, was Sie wo und wie für wen freigeben – gerade wenn Ihr Rechner nur hin und wieder mit dem Internet verbunden ist.

Abbildung 3: Abteilung “Globals”

Shares

Schauen wir uns mit dem Link Shares die nächste Seite an. Viel zu sehen gibt es hier nicht – noch nicht. Dies ist der Ort, an dem Verzeichnisse freigegeben werden. Das erreichen Sie mit dem Button Create Share. Sobald Sie dort den Namen einer Freigabe eingetragen und durch den Button bestätigt haben, erweitert sich die Seite um eine Reihe von Optionen.

So bestimmt path den Pfad zum Verzeichnis, und comment setzt einen Kommentar. Der Eintrag read only besagt, dass die Daten zwar gelesen aber nicht verändert werden dürfen. Um zwischen den unterschiedlichen Freigaben auszuwählen, klicken Sie auf das mit einem Pfeil gekennzeichnete Listenfeld und drücken Choose Share.

Im Listenfeld treffen Sie auf den Eintrag homes. Das ist ein besonderes Share, das jeden Anwender, der auf dem Linux-Server einen Account hat, über Samba auf sein eigenes Home-Verzeichnis zugreifen lässt.

Neben den bereits erwähnten Optionen können Sie mit create mask Dateirechte festlegen und anpassen. Diese Möglichkeiten werden über den Button Advanced View noch reichhaltiger.

Möchten Sie ein neues Share anlegen, geben Sie in der Zeile darunter den Namen ein. Dieser darf keine Zeichen enthalten, die als Trenner für Pfadnamen verwendet werden. Auch deutsche Sonderzeichen vermeiden Sie besser. Ist der Name eingeben, drücken Sie auf Create Share und erhalten so die üblichen Auswahl- und Eingabefelder für die neue Ressource.

Printers

Ähnlich gestaltet wie Shares ist die Seite Printers. Auch sie ist beinahe leer, bis Sie im Dropdown-Menü einen Drucker markieren und mit Choose Printer herauspicken. Alle eingerichteten Drucker des Systems sind hier aufgelistet. Als Administrator regulieren Sie mit der Option browseable, ob einzelne Drucker tatsächlich beim Client in der Liste der verfügbaren Freigaben erscheinen oder nicht.

Status

Die Kommandozentrale (Abb. 3) verbirgt sich hinter dem Link Status. Neben der Statusanzeige der Daemons smbd und nmbd können Sie die beiden Dienste starten, stoppen oder einen Neustart veranlassen. Ein solcher Neustart wird spätestens fällig, wenn Sie die Konfiguration in smb.conf mit Commit Changes verändert haben.

Ins Auge springt der Button Auto Refresh mit dem Eingabefeld Refresh Interval im Kopf der Web-Seite. Das Refresh Interval verrät dem Interface, in welchen Abständen Auto Refresh die Statusanzeige auffrischt, um Sie auf dem neuesten Stand zu halten.

Einen Großteil der Seite nehmen die Abteilungen Active Connections, Active Shares und Open Files ein. Sie verraten Ihnen die Aktivität der am Server angemeldeten User. Die Taste Kill in Active Connections wirft einen Anwender raus, wenn er es zu bunt treibt. Springen wir von Status gleich zur nächsten Anzeige des Web-Tools, dem Punkt View Config.

Abbildung 4: In der Statusanzeige

View Config

Unter View Config kann die Konfigurationsdatei smb.conf betrachtet werden. Beim ersten Aufruf der Seite befindet Sie sich im Normal View, in dem die Datei smb.conf einfach angezeigt wird.

Ein Klick auf den Normal View macht aus ihm den Full View. Jetzt liefert Ihnen das Programm zusätzlich alle Voreinstellungen, die nicht explizit in der Konfigurationsdatei vermerkt sind.

Password Management

Den letzten Punkt unserer Reise durch das Samba-Web-Tool bilden die Menüpunkte im Password Management. Wenn Sie User anlegen oder löschen möchten, die bereits in der Passwort-Datei /etc/passwd stehen, ist dies der richtige Platz. Zudem steht es Ihnen frei, server- oder client-seitig Passwörter zu wechseln.

Mit SWAT ersparen Sie sich sowohl das Brüten über undurchsichtige Einstellungen als auch das Wühlen in Man-Pages, und es ist überall verfügbar, wo es einen Browser gibt. Sollten Sie später einmal Lust bekommen, die Konfigurationsdatei doch von Hand zu editieren, ist das kein Problem, denn SWAT versteht Ihre manuellen Anpassungen und zeigt diese auch korrekt an.