专用服务器上的Samba4和Kerberos配置

Question

我试图通过kimsufi.com在专用服务器上设置Samba 4，但在配置Kerberos和Samba4时遇到了困难。

我对Kerberos和Samba中的IP、王国、域、NetBIOS、DNS等感到非常困惑。所有的教程，我发现谷歌似乎是处理本地服务器在局域网和显示域，如TEST.LOCAL，但我的机器在互联网上的IP与192.168不同.

我的问题是:在我的具体情况下，配置如何？

我的服务器的详细信息(Debian7.8)：

主机名: ks12345xxx.kimsufi.com

IP: 37.187.xx.xxx

/ect/主机：

127.0.0.1 localhost.localdomain本地主机

37.187.xx.xxx ks12345xxx.kimsufi.com ks12345xxx

/ect/hostname:

ks12345xxx.kimsufi.com

/etc/sesolve.conf:

名称服务器127.0.0.1

名称服务器213.186.33.99

搜索ovh.net

在Kerberos安装期间，我得到以下默认值：

Kerberos版本5领域: KIMSUFI.COM

是那么回事吗？kimsufi.com无法访问服务器，因为这是我的主机域

用于您的领域的

Kerberos服务器：

默认情况下是空的。我该放些什么？什么都没有还是我的主机名ks12345xxx？

Kerberos领域的

管理服务器：

默认情况下是空的。我该放些什么？什么都没有还是我的主机名ks12345xxx？

在SAMBA4附带条件下，通过"samba-tool域提供“，我得到了以下缺省值：

领域KIMSUFI.COM:

与Kerberos安装一样:对吗，kimsufi.com没有指向我的服务器。

域金飞联:

对，是这样?

服务器角色(dc、成员、独立) 数据中心:

DNS后端桑巴_内部:

这些都没问题。

DNS转发器IP地址127.0.0.1:

对吗？

最后，我得到了这个输出：

服务器角色:活动目录域控制器

Hostname: ks12345xxx

NetBIOS域: KIMSUFI

DNS域: kimsufi.com

和in /etc/samba/smb.conf

全局

工作组= KIMSUFI

王国= KIMSUFI.COM

netbios name = KS12345xxx

服务器角色=活动目录域控制器

尽管kimsufi.com不会导致我的服务器，但这种配置是否正确呢？

或者我需要购买像mysamba4server.net这样的额外域名？

感谢您的任何意见或建议。

Answer 1

关于Kerberos配置的

Samba作为AD/DC提供并运行自己的Kerberos服务器(KDC)。因此，不应该需要单独安装和配置kerberos服务器。

另外，Samba的供应工具(samba-tool domain provision)在最后生成一个示例krb5.conf文件。您应该能够简单地将其复制到/etc/krb5.conf。

关于DNS配置的

您选择使用Samba的内部DNS服务器，这是标准的安全选择。如果您的resolv.conf文件之前已经将127.0.0.1作为名称服务器项包含，那么您可能需要进行一些更改。假设您的服务器以前不是DNS服务器，则在运行resolv.conf之前不应该修改samba-tool domain provision。然后，samba-tool将从您的resolv.conf中提出213.186.33.99作为DNS转发器，这将是正确的选择。这是DNS服务器，Samba将将不属于自己域的所有请求转发到该服务器。

在Samba的配置完成后，您应该将resolv.conf更改为仅将127.0.0.1列表为名称服务器。它应该包含kimsufi.com作为域和搜索条目。但有关使用此域的注释，请参阅下面。

与使用域

kimsufi.com

有关的

您的Samba服务器需要权威的DNS域，您正在使用的领域/域提供。这意味着您不应该使用hoster的域或外部存在的任何其他域。

是否需要购买新域取决于您希望如何访问新的Samba AD域：

1. 如果您想在一个孤立的网络中使用它，那么您可以简单地组成一个像mydomain.private这样的域，让您的AD服务器拥有它并让您的AD客户端使用它。
2. 相反，如果您希望您的AD服务器可以通过官方已知的internet域通过internet访问，那么您应该拥有这样一个域。这不需要完整的域。原则上，它也可以是现有域(如myaddom.somedomain.com )的子域，但您需要对它进行控制。尽管如此，在互联网上公开一个AD服务器并不是很明智，所以希望您使用的是第一种方法。

更多信息

有关详细信息，请参阅Samba AD DC。