Zentrales Backup, gemeinsam genutzte Dateien und Drucker – es gibt viele Argumente für einen Samba-Server im lokalen Netzwerk. Wie schnell und einfach Sie diesen aufsetzen, zeigt dieser Artikel.

Der weitaus überwiegende Teil der Desktop-PCs nutzt Microsoft Windows als Betriebssystem. In vielen Haushalten und kleinen Betrieben arbeiten die Arbeitsplatz-Computer miteinander vernetzt und teilen sich bereits ganz selbstverständlich einen gemeinsamen Internetzugang. Langsam setzt jetzt die Erkenntnis durch, dass mit dem zentralen Bereitstellen von Verzeichnissen und Druckern ebenfalls viele Vorteile verbunden sind.

Einerseits geschieht das Sichern wichtiger Daten an einer Stelle. Zum anderen benötigt nicht jeder Arbeitsplatz seinen eigenen Drucker. Darüber hinaus verwalten Sie die Zugriffsrechte zentral. Zu guter Letzt kommt noch hinzu, dass ein Server unabhängig von den Clients läuft, so dass Sie nicht immer erst einen bestimmten PC, auf dem eine bestimmte Freigabe liegt, extra einzuschalten brauchen. Dieser Artikel zeigt, wie Sie einen solchen Server für Windows-Clients unter Linux installieren und konfigurieren.

Tanze Samba mit mir

Linux wäre kein Allrounder, wenn es nicht auch für Windows-Netzwerke eine Lösung parat hätte: Diese lautet Samba [1]. Bei der Suche nach einem Namen für das Projekt hat der Autor übrigens nach etwas gesucht, das die Buchstaben S, M und B enthält (Windows nutzt das SMB-Protokoll zum Übertragen von Dateien). Da klang Samba am besten.

Samba arbeitet nach außen wie ein klassischer Windows-Server. Neben der Funktion als Datei- und Druckserver übernimmt die Software auf Wunsch auch die Funktion als Domänencontroller. Der Aufwand lohnt sich aber nicht in jedem Fall. Oft reicht es aus, Samba als so genannten Stand-Alone-Server einzurichten.

Im Gegensatz zu vielen anderen Serverdiensten gibt es unter Linux eigentlich keine Alternative zu Samba. Das Projekt arbeitet laufend an der Software und stellt zurzeit die Version 3 als stabile Version bereit. Aktuell laufen parallel die Arbeiten an Version 4 (siehe dazu Kasten “Samba 4”).

Der folgenden Workshop zeigt ein typisches Szenario in einem Home-Office mit zwei PCs (Linux und Windows), einem Linux-Server und vier Benutzern. Über den Linux-Server könnte Sie neben Samba weiteren Dienste bereitstellen. Ein Drucker ist direkt am Samba-Server angeschlossen. Der Server ermöglicht allen berechtigten Benutzern den Zugang zu diesem sowie zu allen für sie freigegebenen Verzeichnissen (Abbildung 1).

Abbildung 1: Das Szenario für diesen Workshop zeigt eine typische Home-Office-Situation mit einem zentralen Server und zwei Clients.

Benutzer, die sich an einem der Client-Computer anmelden, erhalten nach dem Login am Samba-Server sowohl Zugriff auf das eigene Home-Verzeichnis als auch auf bestimmte weitere Verzeichnisse. Darüber hinaus steht Ihnen der am Samba-Server angeschlossene Drucker ebenfalls bereit.

Samba installieren

Jede populäre Linux-Distribution enthält heute Samba-Pakete. Nutzen Sie einfach das distributionseigene Paketmanagement (zum Beispiel YaST2 bei OpenSuse oder Yum bei Fedora), um diese zu installieren. Der Vorteil liegt darin, dass Sie alle eventuell bestehenden Abhängigkeiten von anderen Paketen auflösen. Das zeigt zum Beispiel die Installation von Samba unter Fedora 8.

Sie benötigen in jedem Fall die Pakete samba und samba-common. Letzteres installiert das Paketmanagement als Abhängigkeit automatisch mit. Darüber hinaus ziehen Sie das Paket samba-client nach, das dazu dient, dass Linux als Windows-Client zu nutzen. Das Paket benötigen Sie natürlich auch auf dem Linux-Client. Über den Befehl yum install samba samba-common samba-client lösen Sie alle benötigten Abhängigkeiten selbständig auf (Abbildung 2).

Abbildung 2: Mittels Yum installieren Sie den Samba-Server mit alle Abhängigkeiten über ein Kommando.

Unter OpenSuse lauten die Paketnamen ganz ähnlich: Wählen Sie die Pakete samba und samba-client aus, löst YaST2 alle vorhandenen Abhängigkeiten automatisch auf. Bei Bedarf ziehen Sie das Paket samba-docs nach, um auf die Samba-Dokumentation zuzugreifen.

Samba starten und stoppen

Je nach Distribution startet Samba nach der Installation automatisch oder manuell über einen entsprechenden Befehl. Der Dienst setzt sich aus zwei Unterdiensten zusammen: SMBD und NMBD. Dabei übernimmt SMBD die Datenkommunikation über SMB, während NMBD für das Auflösen der NetBIOS-Namen sorgt (siehe Kasten “Windows-Services”).

Ob die Dienste laufen, finden Sie leicht über die Prozessliste heraus (Listing 1). Im Beispiel startet SMB-Daemon mit zwei Instanzen und der NMB-Daemon in einer Instanz. Das geschieht so in den meisten Fällen. Liefert Ihnen der angegebene Befehl kein Ergebnis, gilt es eventuell, die Dienste manuell starten. Das Vorgehen hängt jeweils von der verwendeten Distribution ab. Unter OpenSuse geben Sie hier rcsmb start beziehungsweise rcnmb start ein, unter Fedora starten Sie die Dienste mittels service smb start respektive service nmb start auf der Kommandozeile. Analog stoppen Sie die Dienste oder starten diese neu, indem Sie als Parameter jeweils stop beziehungsweise restart eingeben.

# ps ax | grep .*mbd
 3660 ?        Ss     0:00 smbd -D
 3662 ?        S      0:00 smbd -D
 3687 ?        Ss     0:00 nmbd -D

Standortbestimmung

Zunächst stellen Sie fest, unter welchem Namen sich der Samba-Server meldet. Dies geschieht über das Programm Nmblookup, das als Pendant zu Nslookup arbeitet. Dabei spielt es an dieser Stelle keine Rolle, ob Sie das Kommando vom Linux-Client oder auf dem Server selbst ausführen. Angenommen, der Server heißt sambaserver, dann würde das Ergebnis folgendermaßen aussehen:

# nmblookup sambaserver
querying sambaserver on 192.168.1.255
192.168.1.1 sambaserver<00>

Der Server meldet sich mit seinem Linux-Hostnamen, da dies der Default-Wert ist. Mit dem Programm Smbclient greifen Sie von Linux aus auf die Datei- und Druckerfreigaben des Samba-Servers zu. Welche der aktuell anbietet, finden Sie mit dem Befehl smbclient -N -L Servername oder IP-Adresse heraus. Die Option -N verhindert die Passwortabfrage, und mit -L legen Sie den Server fest, den Sie abfragen möchten.

Verzeichnisfreigaben

Sie konfigurieren Samba zentral über die Datei /etc/samba/smb.conf. Machen Sie hier als erstes Tabula Rasa: Legen Sie eine Sicherheitskopie an, und erstellen Sie das File neu als leere Datei:

# cd /etc/samba
# mv smb.conf smb.conf.old
# touch /etc/samba/smb.conf

Nun erstellen Sie die Konfiguration ganz von vorn. Bei Unklarheiten haben Sie zum Vergleich immer die Original-Datei zur Hand. Am besten fangen Sie mit einer einfachen Freigabe ohne Passwort an. Die Konfigurationsdatei ist in Abschnitte unterteilt. Die Namen der Abschnitte stehen in eckigen Klammern. Unter [global] stehen die Rahmenbedingungen beziehungsweise Direktiven für den Server definiert. Jede Freigabe erhält einen eigenen Abschnitt. Der Freigabename entspricht dabei dem Abschnittsnamen.

Samba kennt über 300 Konfigurationsparameter. Viele davon haben einen sinnvollen Default-Wert. Diese brauchen Sie nur einzutragen, wenn Sie den Wert anpassen möchten. Daher brauchen Sie also für eine Grundkonfiguration nur einige wenige Parameter zu definieren. Füllen Sie die leere Datei mit den folgenden Konfigurationsparametern aus Listing 2.

[global]
  workgroup = homeoffice
  security = share
[test]
  comment = Testfreigabe
  path = /sambatest
  read only = no
  guest ok = yes

Der Eintrag erstellt eine Arbeitsgruppe namens homeoffice. Die Art der Authentifikation regeln Sie über den Parameter security. Der Wert share bedeutet einen Zugriff auf Freigabe-Ebene, dass heißt die Freigaben sind de facto ungeschützt. Unter Windows ist es möglich ein Passwort zu vergeben. Wer dieses Passwort kennt, darf auf die Freigabe zugreifen. Haben Sie kein Passwort gesetzt, erscheint keine Passwort-Abfrage, und jeder hat Zugriff. Unter Samba funktioniert das ausschließlich ohne Passwort. Verwenden Sie aus Sicherheitsgründen diesen Wert nur zu Versuchszwecken.

Die erste Freigabe lautet test. Der Kommentar beschreibt die Freigabe. Geben Sie über path das freizugebende Verzeichnis an. Wichtig: Erstellen Sie dies zunächst durch Eingabe von mkdir /sambatest als User root. Der Parameter read only definiert, ob andere Rechner auf die Freigabe nur lesend oder auch schreibend zugreifen dürfen. Über guest ok legen Sie fest, dass auch nicht-authentifizierte Benutzer zugreifen dürfen. Haben Sie die Datei gespeichert, starten Sie den SMB- und den NMB-Daemon neu. Unter Linux zeigt nun das Programm Smbclient die neue Freigabe an (Abbildung 3).

Abbildung 3: Die Freigabe erscheint nach einem Neustart des Server.

Im Windows-Client öffnen Sie die Netzwerkumgebung und wählen hier die Arbeitsgruppe homeoffice aus. Darunter findet sich der Samba-Server. Klicken Sie auf den Server, zeigt der Dateibrowser die die Freigaben an (Abbildung 4).

Abbildung 4: In der Netzwerkumgebung unter Windows erscheint unter dem Server die neue Freigabe.

Versuchen Sie nun, in der Freigabe test eine Datei oder ein neues Verzeichnis zu erstellen, erhalten Sie jedoch wahrscheinlich die Fehlermeldung Zugriff verweigert. Das liegt an den lokalen Berechtigungen auf dem Server für den Zugriff auf das Verzeichnis. Im Moment greift ein anonymer Benutzer (guest) auf die Freigabe zu. Auf Freigabe-Ebene haben wir den Zugriff erlaubt, jedoch hat lokal nur der Besitzer des Verzeichnisses, also als root, Schreibrechte.

Passen Sie die Zugriffsrechte durch Eingabe von chmod 777 /sambatest an, um sowohl dem Besitzer als auch der Gruppe als auch allen anderen (Welt) Schreibrechte zu erteilen. Anschließend funktioniert der Schreibzugriff über die Freigabe.

Windows-Client anpassen

Der Sinn von Arbeitsgruppen besteht darin, dass alle vom Standpunkt der Zugriffsrechte ähnlichen Computer zusammenzufassen. Folglich gilt es nun, den Windows-Client in die Arbeitsgruppe homeoffice zu integrieren. Nutzen Sie Windows XP, klicken Sie rechts auf das Symbol Arbeitsplatz und wählen Eigenschaften aus. Hier klicken Sie auf Computername und auf Ändern…. Nun geben Sie den neuen Arbeitsgruppen-Namen ein. Dies gilt für Windows XP; die Vorgehensweise bei anderen Windows-Versionen ist ähnlich.

Windows erfordert für das Ändern der Arbeitsgruppe einen Neustart. Anschließend tauchen sowohl der Samba-Server als auch der Windows-Client in der neuen Arbeitsgruppe in der Netzwerkumgebung auf (Abbildung 5).

Abbildung 5: Der Windows-Client erhält eine neue Arbeitsgruppe.

Das Heimnetzwerk

Das folgende Beispiel geht davon aus, dass Sie einen Familienserver aufbauen möchten. Ihre Familie besteht aus vier Mitgliedern: Der Tochter Anna (anna), dem Sohn Paul (paul), der Mutter (mama) und dem Vater (papa). Jeder hat seinen eigenen Windows-PC. Geplant ist eine Freigabe für die Kinder, eine für die Eltern und eine für die ganze Familie zum Speichern und für den Austausch gemeinsamer Daten. Außerdem erhält jeder Benutzer ein eigenes Home-Verzeichnis, auf das nur er Zugriff hat. Zusätzlich möchten Sie den vorhandenen Drucker als Freigabe bereit stellen. Hierzu sind auf dem Samba-Server einige Vorarbeiten notwendig.

Zunächst erstellen Sie drei Gruppen: kinder, eltern und familie. Dies geschieht mit dem Befehl groupadd Gruppenname. Anschließend benötigen wir die vier Benutzer. Anna und Paul ordnen Sie der Hauptgruppe kinder zu, Mama und Papa der Hauptgruppe eltern. Alle Benutzer gehören außerdem zur Nebengruppe familie. Dies geschieht über den folgenden Befehl: useradd -g Hauptgruppe -G Nebengruppe -m Benutzer>. Für Anna lautet der Befehl also:

useradd -g kinder -G familie -m anna

Anschließend setzen Sie über den Befehl passwd Benutzer die Passwörter für die vier neuen Benutzer. Zu Testzwecken sollten diese möglichst einfach wählen. In nächsten Schritt passen Sie die Rechte der Home-Verzeichnisse an, damit niemand außer dem Benutzer selbst darauf Leserechte hat. Dies geschieht mit chmod 700 Home-Verzeichnis auf der Kommandozeile.

Anschließend legen Sie weitere Verzeichnisse an, da sowohl die Kinder als auch die Erwachsenen untereinander vertrauliche Daten austauschen wollen. Da natürlich auch die ganze Familie Daten austauschen möchte, benötigen wir auch ein Familienverzeichnis. Erstellen Sie zunächst mit mkdir /home/shares ein gemeinsames Verzeichnis für alle. Darin erstellen Sie kinder, eltern und familie als Unterverzeichnisse. Passen Sie Eigentümer und Gruppe entsprechend Listing 3, Zeile 1 bis 2 an; die Berechtigungen setzen Sie entsprechend Listing 3, Zeile 4 bis 6.

# chown root.kinder /home/shares/kinder
# chown root.eltern /home/shares/eltern
# chown root.familie /home/shares/familie
# chmod 770 /home/shares/kinder
# chmod 770 /home/shares/eltern
# chmod 2770 /home/shares/famlie

Die Rechte 770 legen fest, dass Benutzer und Gruppe Vollzugriff, andere dagegen keine Berechtigungen haben. Die 2 vorweg setzt das Spezialrecht SGID und sorgt dafür, dass alle neu erstellten Dateien und Unterverzeichnisse die Gruppe des Verzeichnisses erhalten (also familie) und nicht die Hauptgruppe des Benutzers, der die Datei oder das Verzeichnis erstellt. Sonst hätte die jeweils andere Mitglieder der Gruppe keinen Zugriff.

Server konfigurieren

Im Abschnitt [global] ersetzen Sie den Parameter security = share durch security = user, um die Benutzerauthentifikation zu aktivieren. Zusätzlich ergänzen Sie die Zeile encrypt passwords = yes darunter. Da Windows und Linux unterschiedliche Verschlüsselungsalgorithmen für die Passwörter benutzen, muss der Samba-Server die Passwörter unabhängig vom Linux-System kennen. Dies geschieht über das Programm Smbpasswd. Mit smbpasswd -a Benutzer erstellen Sie ein Samba-Passwort für den jeweiligen Benutzer.

Nun benötigen Sie die Freigaben. Diese richten Sie über separate Abschnitte ein. Gehen Sie wie in Listing 4, Zeile 1 bis 4, auch bei den anderen Freigaben für die Gruppen vor. Danach geben Sie noch die Home-Verzeichnisse frei. Hierzu bietet Samba einen speziellen Abschnitt [homes] an, die automatisch das jeweilige Home-Verzeichnis für einen Benutzer bereitstellt, wenn dieser sich am Samba-Server anmeldet (siehe Listing 4, Zeile 6 bis 10).

[kinder]
  comment = Freigabe für die Kinder
  path = /home/shares/kinder
  read only = no
[homes]
  comment = Home-Verzeichnisse
  read only = no
  create mask = 0700
  browseable = no

Der Parameter create mask definiert die Rechte, die Samba einem neu erstellten Objekt zuweist – im Beispiel hat nur der Benutzer vollen Zugriff, sonst niemand. Mit browseable = no legen Sie fest, dass die Home-Verzeichnisse nicht in der allgemeinen Netzwerkumgebung auftauchen. Sein eigenes Home-Verzeichnis sieht der Benutzer natürlich.

Angenommen, Sie haben mittels Cups (Common Unix Printing System) einen oder mehrere Drucker auf dem gleichen Rechner installiert, auf dem der Samba-Server läuft, so bietet Samba die Möglichkeit, diese ebenfalls als Druckerfreigabe für Windows-Clients bereitzustellen. Dazu ergänzen Sie den Abschnitt [global] um zwei Zeilen (Listing 5, Zeile 3 und 4) und erstellen die eine passende Freigabe (Listing 5, Zeile 6 bis 11).

[global]
  …
  printing = cups
  printcap name = cups
[printers]
  comment = Alle Drucker
  printable = yes
  path = /var/tmp
  create mask = 0600
  browsable = no

Die beiden Zeilen printing und printcap name definieren Cups als das zu nutzende Drucksystem und kommen in den Abschnitt [global] der Konfigurationsdatei. Der Abschnitt [printers] definiert die Druckerfreigaben. Charakteristisch ist hier die Zeile printable = yes. Der Pfad hinter path zeigt auf das gewünschte Spool-Verzeichnis, in dem die Druckaufträge landen. Die letzte Zeile enthält übrigens keinen Schreibfehler – Samba erkennt den Parameter sowohl in der Schreibweise browsable als auch browseable an.

Speichern Sie die Konfiguration ab und starten Sie die beiden Daemons erneut. Anschließend greifen Sie über die Netzwerkumgebung des Windows-Clients auf den Sambaserver zu, der nun ein Anmelden erfordert. Melden Sie sich mit einen der neu erstellten Benutzerkonten an, um das Ergebnis zu kontrollieren. Abbildung 6 zeigt, wie das Ergebnis ungefähr aussieht.

Abbildung 6: Meldet sich der Benutzer anna an, sieht er neben den anderen Freigaben auch sein Home-Verzeichnis und die Druckerfreigaben.

Diese Konfiguration setzt voraus, dass sich die Benutzer manuell anmelden, um Zugriff auf den Samba-Server zu erlangen. Eleganter wäre es, wenn der Benutzer sich nur bei Windows anmelden müsste und dadurch automatisch Zugriff auf die Ressourcen auf dem Server erhalten würde. Verwenden Sie für jeden Benutzer auf dem Windows-Client die gleiche Kombination aus Benutzername und Passwort, wie auf dem Samba-Server. Fordert dann beim Windows-Client eine Authentifikation an, so schickt er zunächst die Anmeldedaten des gegenwärtig angemeldeten Benutzers. Stimmen die überein, gelingt der Zugriff auf die Samba-Shares ohne erneutes Anmelden.

Jeder Windows-Client darf nun auf die Druckerfreigaben zugreifen und über den Druckerinstallationsassistent einen neuen Netzwerkdrucker einrichten. Allerdings bleibt Ihnen die lokale Installation des Druckertreibers nicht erspart. Das erfordert vom Administrator also noch ein wenig Handarbeit auf dem Client. Oft klappt die Installation aber problemlos, da Windows einen passenden Treiber bereitstellt, den Sie einfach während der Installation auswählen.

Die Freigaben eltern, kinder und familie binden Sie bei Bedarf über den Assistenten Netzlaufwerk verbinden ein, den Sie vom Arbeitsplatz oder dem Windows-Explorer aus aufrufen. Über die Option Verbindung bei Anmeldung wiederherstellen bleibt das Netzlaufwerk auch bei einem Neustart erhalten.

Swat

Das Samba-Paket enthält die Software Swat, das Samba Web Administration Tool. Dieses starten Sie normalerweise über den Superdaemon Inetd beziehungsweise Xinetd. Für letzteren erstellt die Software während der Installation von Samba eine Datei /etc/xinetd.d/swat, in der Sie den Parameter disable auf yes setzen. Möchten Sie von anderen Rechnern außer dem Samba-Server auf Swat zugreifen, passen Sie den Eintrag only from = 127.0.0.1 anpassen.

Statt 127.0.0.1 tragen Sie die IP eines anderen PCs oder die Subnetz-Adresse ein. Anschließend starten Sie den Xinetd neu. Unter OpenSuse existiert ein entsprechendes Init-Skript, so dass Sie über /etc/init.d/xinetd restart ans Ziel gelangen. Danach erreichen Sie Swat über den Browser auf Port 901 erreichen. Hierzu geben Sie http://localhost:901 ein. Greifen Sie von einem anderen Computer aus zu, ersetzen Sie localhost durch die IP-Adresse des Samba-Servers.

Über Swat erledigen Sie zahlreiche Konfigurationsarbeiten (Abbildung 7). So finden Sie dort beispielsweise die Samba-Dokumentation und zu allen Konfigurationsparametern Hyperlinks, die zu den jeweiligen Erläuterungen des Parameters in der Samba-Dokumentation führen.

Abbildung 7: Mit Swat steht Ihnen eine komfortable webbasierte Konfigurationsoberfläche für Samba zur Verfügung.

Fazit

Samba bietet Windows-Serverfunktionalität für Datei- und Druckerfreigaben. Home-Verzeichnisse geben Sie problemlos frei. Mit einer Kombination aus Benutzern, Gruppen und lokalen Rechten regeln Sie Zugriffe auf Freigaben recht detailliert. Das oben gezeigte Beispiel eignet sich zum Beispiel auch für eine kleine Firma, in der Sie Projektordner und ähnliche gemeinsame Ressourcen für einen bestimmten Benutzerkreis bereitstellen.

Möchten Sie einen Schritt weitergehen, setzen Sie den Samba-Server als Domänencontroller ein. Dieser übernimmt dann die zentrale Benutzer- und Computeridentifikation, so dass Sie diese Daten ebenfalls nur zentral pflegen, statt auf jedem einzelnen Kommunikationspartner.