статья ldap+samba+ddns+dhcp [бета-версия]

[f0s]

ну.. собсно DB_CONFIG я состряпал..slapindex тоже применил, однако ситуацию с тем, что сыпется в логи это не изменило...

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[f0s]

когда прописываю в конфиге slapd.conf

Код: Выделить всё

index objectClass,uid,uidNumber,gidNumber eq
index   cn eq

то после перезапуска не видитюзеров:

Код: Выделить всё

[f0s@mail] /var/log/> /usr/local/etc/rc.d/slapd restart
Stopping slapd.
Waiting for PIDS: 75794.
Starting slapd.
[f0s@mail] /var/log/> id ivanova
id: ivanova: no such user

как тока возвращаю взад (то есть убираю индекисрование uid и gid), все ок...

[bomich]

пропишите в make.conf

WANT_OPENLDAP ?= 24

вроде так...

короче доки почитайте

так openldap то 23 или 24 изначально ставить?
версия системы 6.2
прогнал по кругу до момента ввода самбы в домен и с опенлдапом 23 и с 24 и про мейкфайл не забыл и сивисапил - ошибки кажет одни и теже
лдападмин ругается - недопустимый синтаксис дн
винда при попытке регится в домене - не найдено имя пользователя
на серваке ругательная строка - nss_ldap: could not search LDAP server - Server is unavailible
при попытке вести самбу в домен ругается - creation of workstation account failed unable to join domain бла бла

походу у меня все ошибки из форума собрались - хоть примерно что где не так?

[kliffoth]

Под Debian с небольшой доводкой работает на УРА. Большое спасибо.

[kliffoth]

лдападмин ругается - недопустимый синтаксис дн

надо в поле где требуется имя админа вводить что-то типа cn=root,dc=test,dc=lan

[bomich]

спасибо попробую
Softerra LDAP Administrator 2008.1 без допужимок чётко сработал, дорогой тока

[bomich]

всё получилось после дотошного сравнения двух статей:
Samba (PDC+BDC)+ LDAP (Master+Slave replica) - http://www.lissyara.su/?id=1713;
и собсно
samba_pdc + ddns + dhcp - с хранением всех данных в LDAP - http://www.lissyara.su/?id=1487.
для редактирования Softerra LDAP Administrator.
Спасибо авторам.

P.S. ставил на 7.0

[bomich]

мои шаги:
первоначальная настройка FreeBSD - http://www.lissyara.su/?id=1013
Использование утилиты CVSup - http://www.lissyara.su/?id=1012
CVSUP и установка софта через Proxy. - http://www.lissyara.su/?id=1579
Сборка ядра и возможные проблемы при сборке. - http://www.lissyara.su/?id=1072
на всяк случай :
portupgrade - `обновлялка` установленных портов. - http://www.lissyara.su/?id=1153
Использованеи gmirror для создания программного зеркалирования дисков - http://www.lissyara.su/?id=1272
Samba (PDC+BDC)+ LDAP (Master+Slave replica) - http://www.lissyara.su/?id=1713
samba_pdc + ddns + dhcp - с хранением всех данных в LDAP - http://www.lissyara.su/?id=1487
не забываем про :
Защищаем FreeBSD (defender +1) - http://www.lissyara.su/?id=1450

и будет Вам счастье

[kapka]

После

Код: Выделить всё

# smbpasswd -a admin

Лезет такое:

Код: Выделить всё

failed to bind to server ldap://localhost with dn="cn=root,dn=licey,dn=local" Error: Invalid DN syntax
        invalid DN
Connection to LDAP server failed for the 1 try!
Connection to LDAP server failed for the 2 try!
Connection to LDAP server failed for the 3 try!
...

В чем может быть проблема?

[kapka]

Написал и сразу увидел ))
У меня

Код: Выделить всё

dn="cn=root,[b]dn[/b]=licey,[b]dn[/b]=local"

Надо

Код: Выделить всё

dn="cn=root,[b]dс[/b]=licey,[b]dс[/b]=local"

Но сразу другие проблемы:

Код: Выделить всё

# smbpasswd -a admin
fetch_ldap_pw: neither ldap secret retrieved!
ldap_connect_system: Failed to retrieve password from secrets.tdb
Connection to LDAP server failed for the 1 try!
fetch_ldap_pw: neither ldap secret retrieved!
ldap_connect_system: Failed to retrieve password from secrets.tdb
Connection to LDAP server failed for the 2 try!
fetch_ldap_pw: neither ldap secret retrieved!
ldap_connect_system: Failed to retrieve password from secrets.tdb

[kapka]

Че-то с паролем намутил... Помогло

Код: Выделить всё

smbpasswd -W

где указал заново пароль к LDAP

[2Casp]

Можно ли разным ou из LDAP`a, дать разные файлы *.pol? Если можно, как это реализовать?

[IPCOP]

Код: Выделить всё

Oct 28 04:13:23 IPCOP-Serv newsyslog[556]: logfile first created
Oct 28 04:13:23 IPCOP-Serv slapd[592]: @(#) $OpenLDAP: slapd 2.3.43 (Oct 28 2008 01:46:29) $    IPCOP@IPCOP-Serv:/usr/ports/net/openldap23-server/work/openld
ap-2.3.43/servers/slapd
Oct 28 04:13:24 IPCOP-Serv slapd[593]: WARNING: No dynamic config support for database ldbm.
Oct 28 04:13:24 IPCOP-Serv slapd[593]: slapd starting
Oct 28 04:14:25 IPCOP-Serv slapd[593]: conn=0 fd=10 ACCEPT from IP=127.0.0.1:52177 (IP=127.0.0.1:389)
Oct 28 04:14:25 IPCOP-Serv slapd[593]: conn=0 op=0 BIND dn="cn=root,dc=ipcop,dc=com" method=128
Oct 28 04:14:26 IPCOP-Serv slapd[593]: conn=0 op=0 RESULT tag=97 err=49 text=
Oct 28 04:14:26 IPCOP-Serv slapd[593]: conn=0 op=1 UNBIND
Oct 28 04:14:26 IPCOP-Serv slapd[593]: conn=0 fd=10 closed
Oct 28 04:14:27 IPCOP-Serv slapd[593]: conn=1 fd=10 ACCEPT from IP=127.0.0.1:59831 (IP=127.0.0.1:389)
Oct 28 04:14:27 IPCOP-Serv slapd[593]: conn=1 op=0 BIND dn="cn=root,dc=ipcop,dc=com" method=128
Oct 28 04:14:27 IPCOP-Serv slapd[593]: conn=1 op=0 RESULT tag=97 err=49 text=
Oct 28 04:14:27 IPCOP-Serv slapd[593]: conn=1 op=1 UNBIND
Oct 28 04:14:27 IPCOP-Serv slapd[593]: conn=1 fd=10 closed
Oct 28 04:14:28 IPCOP-Serv slapd[593]: conn=2 fd=10 ACCEPT from IP=127.0.0.1:63992 (IP=127.0.0.1:389)
Oct 28 04:14:28 IPCOP-Serv slapd[593]: conn=2 op=0 BIND dn="cn=root,dc=ipcop,dc=com" method=128
Oct 28 04:14:28 IPCOP-Serv slapd[593]: conn=2 op=0 RESULT tag=97 err=49 text=
Oct 28 04:14:28 IPCOP-Serv slapd[593]: conn=2 op=1 UNBIND
Oct 28 04:14:28 IPCOP-Serv slapd[593]: conn=2 fd=10 closed

Подскажите где накосячил...

[urusha]

Здравствуйте. А не известно ли кому-нибудь, каким образом можно отказаться от хранения папок "мои документы" и "рабочий стол" вместе с профилем на сервере или как переместить эти папки в другое место на клиенте, ну или хотябы как запретить запись на "рабочий стол", а то больно тяжелые профили получаются.
История.
В статье с архива взял програмку poledit, там загрузил шаблон allinone_win2k3, собственно там есть пункт system-users profiles-exclude directories in roaming profile, кажется то что надо, поставил туда по правилам "Рабочий стол", значение в реестре ни фига не поменялось (кстати другие пункты менял - все отлично работает), подумал в русском дело, решил попробывать впихнуть туда "SendTo" - ни фига. Подумал, решил поумничать: попробывал переместить эти папки в другое место, открыл файл шаблона там накатал:

Код: Выделить всё

POLICY "Desktop path"
KEYNAME "Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders"
PART "Change desktop path:" EDITTEXT
VALUENAME "Desktop"
MAXLEN 150
END PART 
END POLICY ; Desktop path

собственно вписал туда для пробы C:\desktop . Ни хрена.
Решил пойти еще кривее, создать батник который бы вносил из .reg файла данные в реестр. Создал, но опять них не заработало. Кстати, просто так запуская рег, тоже результата не добился, жаль.
Как бе хочется знать, получилось ли вообще у кого-нибудь заставить работать такой механизм?

[urusha]

хехе, все понял, политики задавал в группе domain users, а политики для групп походу не пашут, нужно извращятся:
http://www.linuxfocus.org/Russian/March ... e177.shtml

[linux-su]

Почти все настроил, о под конец столкнулся с такими граблями: named после запуска ругается

Код: Выделить всё

 
Nov 13 13:38:37 ldap named[2190]: starting BIND 9.4.2-P1 -c /etc/namedb/named.conf -t /var/named -u bind
Nov 13 13:38:37 ldap named[2190]: command channel listening on 127.0.0.1#953
Nov 13 13:38:37 ldap named[2190]: zone 0.0.127.IN-ADDR.ARPA/IN: could not find NS and/or SOA records
Nov 13 13:38:37 ldap named[2190]: zone 0.0.127.IN-ADDR.ARPA/IN: has 0 SOA records
Nov 13 13:38:37 ldap named[2190]: zone 0.0.127.IN-ADDR.ARPA/IN: has no NS records
Nov 13 13:38:37 ldap named[2190]: zone 4.168.192.IN-ADDR.ARPA/IN: could not find NS and/or SOA records
Nov 13 13:38:37 ldap named[2190]: zone 4.168.192.IN-ADDR.ARPA/IN: has 0 SOA records
Nov 13 13:38:37 ldap named[2190]: zone 4.168.192.IN-ADDR.ARPA/IN: has no NS records
Nov 13 13:38:37 ldap named[2190]: zone office.uss.ru/IN: could not find NS and/or SOA records
Nov 13 13:38:37 ldap named[2190]: zone office.uss.ru/IN: has 0 SOA records
Nov 13 13:38:37 ldap named[2190]: zone office.uss.ru/IN: has no NS records
Nov 13 13:38:37 ldap named[2190]: running

соответственно не одна из записей не резолвятся....

Код: Выделить всё

14:08 /var/log/>dig @127.0.0.1 office.uss.ru

; <<>> DiG 9.4.2-P1 <<>> @127.0.0.1 office.uss.ru
; (1 server found)
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 49659
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;office.uss.ru.                 IN      A

;; Query time: 0 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Thu Nov 13 14:09:04 2008
;; MSG SIZE  rcvd: 31

14:09 /var/log/>

dns.ldif:

Код: Выделить всё

cat dns.ldif
dn: ou=dns,dc=office,dc=uss,dc=ru
objectClass: top
objectClass: organizationalUnit
ou: dns
description: Domain Zones

# zone office.uss.ru
dn: zoneName=office.uss.ru,ou=dns,dc=office,dc=uss,dc=ru
objectClass: top
objectClass: dNSZone
zoneName: office.uss.ru
relativeDomainName: office.uss.ru

# SOA
dn: relativeDomainName=@,zoneName=office.uss.ru,ou=dns,dc=office,dc=uss,dc=ru
objectClass: top
objectClass: dNSZone
zoneName: office.uss.ru
relativeDomainName: @
nSRecord: mail.office.uss.ru.
sOARecord: mail.office.uss.ru. root.mail.office.uss.ru. 1 8H 2H 1W 1D

# mail IN A 192.168.4.1
dn: relativeDomainName=mail,zoneName=office.uss.ru,ou=dns,dc=office,dc=uss,dc=ru
objectClass: top
objectClass: dNSZone
zoneName: office.uss.ru
relativeDomainName: mail
dNSClass: IN
aRecord: 192.168.4.1

# router IN A 192.168.4.254
dn: relativeDomainName=router,zoneName=office.uss.ru,ou=dns,dc=office,dc=uss,dc=ru
objectClass: top
objectClass: dNSZone
zoneName: office.uss.ru
relativeDomainName: router
dNSClass: IN
aRecord: 192.168.4.254

# addr-arpa
dn: zoneName=4.168.192.in-addr.arpa,ou=dns,dc=office,dc=uss,dc=ru
objectClass: top
objectClass: dNSZone
zoneName: 4.168.192.in-addr.arpa
relativeDomainName: 4.168.192.in-addr.arpa

# SOA for addr-arpa
dn: relativeDomainName=@,zoneName=4.168.192.in-addr.arpa,ou=dns,dc=office,dc=uss,dc=ru
objectClass: top
objectClass: dNSZone
zoneName: 4.168.192.in-addr.arpa
relativeDomainName: @
nSRecord: mail.office.uss.ru.
sOARecord: mail.office.uss.ru. root.mail.office.uss.ru. 1 8H 2H 1W 1D

# PTR for .8
dn: relativeDomainName=1,zoneName=4.168.192.in-addr.arpa,ou=dns,dc=office,dc=uss,dc=ru
objectClass: top
objectClass: dNSZone
zoneName: 4.168.192.in-addr.arpa
relativeDomainName: 1
pTRRecord: mail.office.uss.ru.

# PTR for .7
dn: relativeDomainName=254,zoneName=4.168.192.in-addr.arpa,ou=dns,dc=office,dc=uss,dc=ru
objectClass: top
objectClass: dNSZone
zoneName: 4.168.192.in-addr.arpa
relativeDomainName: 254
pTRRecord: router.office.uss.ru.

dn: relativeDomainName=localhost,zoneName=office.uss.ru,ou=dns,dc=office,dc=uss,dc=ru
objectClass: top
objectClass: dNSZone
zoneName: office.uss.ru
relativeDomainName: localhost
dNSClass: IN
aRecord: 127.0.0.1

dn: zoneName=0.0.127.in-addr.arpa,ou=dns,dc=office,dc=uss,dc=ru
objectClass: top
objectClass: dNSZone
relativeDomainName: 0.0.127.in-addr.arpa
zoneName: 0.0.127.in-addr.arpa

dn: relativeDomainName=@,zoneName=0.0.127.in-addr.arpa,ou=dns,dc=office,dc=uss,dc=ru
objectClass: top
objectClass: dNSZone
relativeDomainName: @
zoneName: 0.0.127.in-addr.arpa
nSRecord: mail.office.uss.ru.
sOARecord: mail.office.uss.ru. root.mail.office.us.ru. 1 3H 1H 12W 1H

dn: relativeDomainName=1,zoneName=0.0.127.in-addr.arpa,ou=dns,dc=office,dc=uss,dc=ru
objectClass: top
objectClass: dNSZone
relativeDomainName: 1
pTRRecord: localhost.office.uss.ru.
zoneName: 0.0.127.in-addr.arpa

named.conf:

Код: Выделить всё

acl lan { 192.168.4.0/24; };
acl transfers { 127.0.0.1; };
acl trusted { 192.168.4.0/24; };

key "rndc-key" {
       algorithm hmac-md5;
       secret "NEzR1M2bz8dESGoYhwhT5A==";
};

controls {
    inet 127.0.0.1 port 953 allow { 127.0.0.1; } keys { "rndc-key"; };
};

options {
    directory "/etc/namedb";
    pid-file "/var/run/named/pid";
    dump-file "/var/dump/named_dump.db";
    statistics-file "/var/stats/named.stats";
    listen-on { 127.0.0.1; 192.168.4.1; };
    #forward only;
    forwarders { 192.168.1.2; };
    allow-query { lan; trusted; };
    allow-recursion { trusted; lan; };
};

zone "office.uss.ru" {
    type master;
    database "ldap ldap://127.0.0.1/zoneName=office.uss.ru,ou=dns,dc=office,dc=uss,dc=ru 178600";
    allow-query { lan; trusted; };
    allow-transfer { transfers; };
};

zone "4.168.192.IN-ADDR.ARPA" {
    type master;
    database "ldap ldap://127.0.0.1/zoneName=4.168.192.in-addr.arpa,ou=dns,dc=office,dc=uss,dc=ru 178600";
    allow-query { lan; trusted; };
    allow-transfer { transfers; };
};

zone "0.0.127.IN-ADDR.ARPA" {
    type master;
    database "ldap ldap://127.0.0.1/zoneName=0.0.127.in-addr.arpa,ou=dns,dc=office,dc=uss,dc=ru 178600";
    allow-query { lan; trusted; };
    allow-transfer { transfers; };
};

может кто знает, в чем могут быть грабли? а то я уже 2 дня убил на эту хрень и сломал весь моск...

[f0s]

покажи /etc/rc.conf

у меня такое было, когда named не мог подцепится к лдапу

ну и заодно покажи:

Код: Выделить всё

sockstat | grep 389

[linux-su]

rc.conf

Код: Выделить всё

font8x14="cp866-8x14"
font8x16="cp866-8x16"
font8x8="cp866-8x8"
scrnmap="koi8-r2cp866"

hostname="ldap.uss.ru"
defaultrouter="192.168.1.2"

ifconfig_lo0_name="lo0"
ifconfig_lo0="inet 127.0.0.1 netmask 255.255.255.254"
ifconfig_le0_name="eth0"
ifconfig_eth0="inet 192.168.1.246 netmask 255.255.255.0 broadcast 192.158.1.255"
ifconfig_le1_name="eth1"
ifconfig_eth1="inet 192.168.4.1 netmask 255.255.255.0 broadcast 192.168.4.255"

sshd_enable="Yes"

ntpdate_enable="Yes"
ntpdate_flags="-b europe.pool.ntp.org europe.pool.ntp.org europe.pool.ntp.org"
ntpd_enable="Yes"
ntpd_flags="--c /etc/ntp.conf"

slapd_enable="Yes"
slapd_flags='-h "ldapi://%2fvar%2frun%2fopenldap%2fldapi/ ldap://192.168.4.1/ ldap://192.168.1.246/ ldap://127.0.0.1/"'
slapd_sockets="/var/run/openldap/ldapi"

samba_enable="Yes"

dhcpd_enable="Yes"
dhcpd_ifaces="eth1"

named_enable="Yes"
named_flags="-c /etc/namedb/named.conf"
named_program="/usr/local/sbin/named"  8:40 /root/>

Код: Выделить всё

8:42 /root/>sockstat | grep 389
ldap     slapd      888   7  tcp4   192.168.4.1:389       *:*
ldap     slapd      888   8  tcp4   192.168.1.246:389     *:*
ldap     slapd      888   9  tcp4   127.0.0.1:389         *:*
ldap     slapd      888   13 tcp4   127.0.0.1:389         127.0.0.1:49573
dhcpd    dhcpd      651   0  tcp4   127.0.0.1:49573       127.0.0.1:389
root     smbd       650   9  tcp4   127.0.0.1:*           127.0.0.1:389
root     smbd       631   9  tcp4   127.0.0.1:*           127.0.0.1:389
bind     named      560   5  tcp4   127.0.0.1:*           127.0.0.1:389
bind     named      560   10 tcp4   127.0.0.1:*           127.0.0.1:389
8:42 /root/>                                        

[f0s]

фигня какая-то.. а в лдапе он находит это?

[linux-su]

вот что дает выхлоп slapd:

Код: Выделить всё

Nov 14 11:54:58 ldap slapd[3201]: conn=105 fd=25 ACCEPT from IP=127.0.0.1:51332 (IP=127.0.0.1:389)
Nov 14 11:54:58 ldap slapd[3201]: conn=105 op=0 BIND dn="" method=128
Nov 14 11:54:58 ldap slapd[3201]: conn=105 op=0 RESULT tag=97 err=0 text=
Nov 14 11:54:58 ldap slapd[3201]: conn=105 op=1 SRCH base="zoneName=0.0.127.in-addr.arpa,ou=dns,dc=office,dc=uss,dc=ru" scope=2 deref=0 filter="(&(zoneName=0.0.127.in-addr.arpa)(relativeDomainName=@))"
Nov 14 11:54:58 ldap slapd[3201]: conn=105 op=1 SEARCH RESULT tag=101 err=0 nentries=0 text=
Nov 14 11:54:58 ldap slapd[3201]: conn=105 op=2 SRCH base="zoneName=4.168.192.in-addr.arpa,ou=dns,dc=office,dc=uss,dc=ru" scope=2 deref=0 filter="(&(zoneName=4.168.192.in-addr.arpa)(relativeDomainName=@))"
Nov 14 11:54:58 ldap slapd[3201]: conn=105 op=2 SEARCH RESULT tag=101 err=0 nentries=0 text=
Nov 14 11:54:58 ldap slapd[3201]: conn=106 fd=28 ACCEPT from IP=127.0.0.1:51500 (IP=127.0.0.1:389)
Nov 14 11:54:58 ldap slapd[3201]: conn=106 op=0 BIND dn="" method=128
Nov 14 11:54:58 ldap slapd[3201]: conn=106 op=0 RESULT tag=97 err=0 text=
Nov 14 11:54:58 ldap slapd[3201]: conn=106 op=1 SRCH base="zoneName=office.uss.ru,ou=dns,dc=office,dc=uss,dc=ru" scope=2 deref=0 filter="(&(zoneName=office.uss.ru)(relativeDomainName=@))"
Nov 14 11:54:58 ldap slapd[3201]: conn=106 op=1 SEARCH RESULT tag=101 err=0 nentries=0 text=
Nov 14 11:54:58 ldap slapd[3201]: conn=104 fd=19 closed (connection lost)

вроде как находит...

[f0s]

а зачем ты написал IN-ADDR.ARPA с больших букв? (просто интересно)

и дай вывод:

Код: Выделить всё

ldapsearch -x -LLL -b 'dc=office,dc=uss,dc=ru' '*'

[linux-su]

пробовал разный регистр..... току никакого...

а по повооду

Код: Выделить всё

14:40 /var/log/>ldapsearch -x -LLL -b 'dc=office,dc=uss,dc=ru' '*'
ldap_bind: Can't contact LDAP server (-1)

[f0s]

пробовал разный регистр..... току никакого...

а по повооду

Код: Выделить всё

14:40 /var/log/>ldapsearch -x -LLL -b 'dc=office,dc=uss,dc=ru' '*'
ldap_bind: Can't contact LDAP server (-1)

вот это уже лучше! а так:

Код: Выделить всё

ldapsearch -x -LLL -b 'dc=office,dc=uss,dc=ru' '*' -H localhost

Код: Выделить всё

ldapsearch -x -LLL -b 'dc=office,dc=uss,dc=ru' '*' -H 192.168.4.1

Код: Выделить всё

ldapsearch -x -LLL -b 'dc=office,dc=uss,dc=ru' '*' -H 192.168.1.246

[linux-su]

вот что получил:

Код: Выделить всё

/root/>ldapsearch -x -LLL -b 'dc=office,dc=uss,dc=ru' '*' -H localhost
ldap_bind: Can't contact LDAP server (-1)
/root/>ldapsearch -x -LLL -b 'dc=office,dc=uss,dc=ru' '*' -H 192.168.4.1
ldap_bind: Can't contact LDAP server (-1)
/root/>ldapsearch -x -LLL -b 'dc=office,dc=uss,dc=ru' '*' -H 192.168.1.246
ldap_bind: Can't contact LDAP server (-1)
/root/>

интересное кино получается.....
самое прикольное, что все остальное работает.....

[f0s]

значит проблема в лдапе.. он почему-то не работает...