1 Тема от nemover (17.04.2013 12:00:36 отредактировано nemover)

  • nemover
  • Новичок
  • Неактивен
  • Зарегистрирован: 17.04.2013
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]

Доброго времени суток. Перейду сразу к проблеме. Сейчас в офисе стоит файл-сервер с PPTP на Debian - с конфигурацией проблем не было. В целях самообразования и "на будущее" решил сделать сервер на  CentOS 6.4.

Попытка 1:
1. Настроил сеть. Сервер пингуется.
2. Установил SAMBA. Сконфигурировал smb.conf. Установил разрешения в SELinux на расшаренные каталоги. Проверил. Все заработало отлично. Windows видит сервер, открывает папки и, в общем, работает так, как указано в конфигурации.
3. Установил PPP, PPTPD. Выполнил настройку, почитав полезные руководства. Проверил - VPN не подключается (ошибка 800).
4. Вновь проверил SAMBA - "отказано в доступе".
5. Сервер продолжает отлично пинговаться.

Попытка 2:
1. Настроил сеть. Сервер пингуется.
2. Установил SAMBA. Сконфигурировал smb.conf. Установил разрешения в SELinux на расшаренные каталоги. Проверил - "отказано в доступе".
3. Сервер пингуется.

Попытка 3:
1. Настроил сеть. Сервер пингуется.
2. Установил SAMBA. Сконфигурировал smb.conf. Отключил SELinux. Проверил - "отказано в доступе".
3. Сервер пингуется.

При проверке сети программой NetView (отображает все компьютеры сети и их IP-адреса), сервер в списке отсутствует.

+ smb.conf

[global]
    workgroup=WORKGROUP
    netbios name=Alkom
    server string=Storage
    disable spoolss=yes
    wins support=no
    dns proxy=no
    interfaces=eth0
    bind interfaces only=yes
    log file=/var/log/samba/log.%m
    max log size=1000
    unix charset=UTF-8
    dos charset=cp1251
    display charset=cp1251
    syslog=0
    security=user
    encrypt passwords=yes
    unix password sync=no
    socket options=TCP_NODELYA SO_RCVBUF=8192 SO_SNDBUF=8192 IPTOS_LOWDELAY
   
[Обменник]
    comment=Общий ресурс сети
    path=/home/shares
    read only=no
    create mask=0777
    directory mask=07777
    force user=nobody
    force group=nogroup
    veto files=/*.avi/*.mp3/*.mkv/*.mp4/*.wav/
    delete veto files=yes
   
[Soft]
    comment=Программы
    path=/home/soft
    read only=no
    create mask=0700
    directory mask=0700
    valid users=sysadmin
   
[Бухгалтерия]
    comment=Общий ресурс бухгалтерии
    path=/home/buh
    read only=no
    create mask=0770
    directory mask=0770
    force group=buh
    valid users=sysadmin @buh

Вопрос: что же не так? Может я чего-то не сделал, что касается конкретно CentOS или может есть какая-то ошибка? В общем, интересует ваши мнения и советы.

2 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]

iptables?

Сайт alexfinn

3 Ответ от nemover (17.04.2013 12:35:40 отредактировано nemover)

  • nemover
  • Новичок
  • Неактивен
  • Зарегистрирован: 17.04.2013
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]
alexfinn пишет:

iptables?

Забыл сказать, что в iptables я не добавлял разрешения но порты 137, 138, 139, 445 (AD нет).

Сейчас добавлю, проверю и отпишусь.

При первой попытке, если я верно помню, я не добавлял ничего в iptables, только при настройке PPTPD, после чего SAMBA остановилась. Да и, как не странно, в большинстве руководств не указывают об этом моменте.

4 Ответ от DarkDigger

  • DarkDigger
  • DarkDigger
  • Пользователь
  • Неактивен
  • Зарегистрирован: 02.11.2011
  • Сообщений: 452
  • Репутация : [ 6 | 0 ]

Так для теста отключи его и проверь. Сразу станет всё ясно..

5 Ответ от nemover (17.04.2013 13:43:49 отредактировано nemover)

  • nemover
  • Новичок
  • Неактивен
  • Зарегистрирован: 17.04.2013
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]

Поле добавления разрешений в iptables SAMBA заработала. В данный момент SELinux отключен. Попробую включить и разрешить шары.

6 Ответ от AlfaStriker

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

А зачем коннектится к серверу по PPTP ?
Если все в одной локалке смысла какой при этом  bk .

Сайт AlfaStriker

7 Ответ от nemover

  • nemover
  • Новичок
  • Неактивен
  • Зарегистрирован: 17.04.2013
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]
AlfaStriker пишет:

А зачем коннектится к серверу по PPTP ?
Если все в одной локалке смысла какой при этом  bk .

Сервер будет раздавать интернет по VPN. Squid пока не рассматривается.

8 Ответ от nemover

  • nemover
  • Новичок
  • Неактивен
  • Зарегистрирован: 17.04.2013
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]

В общем, все отлично. SELinux включен, разрешения выданы, SAMBA работает. Сейчас буду ставить PPTPD. При первой попытке после его настройки SAMBA отвалилась. Посмотрим как будет сейчас.

9 Ответ от AlfaStriker

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

И самый главный вопрос:
Как тебе CentOS после Debian, сложно ли осваиватся в нем и какие впечатления ?

Сайт AlfaStriker

10 Ответ от nemover (17.04.2013 15:25:49 отредактировано nemover)

  • nemover
  • Новичок
  • Неактивен
  • Зарегистрирован: 17.04.2013
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]
AlfaStriker пишет:

И самый главный вопрос:
Как тебе CentOS после Debian, сложно ли осваиватся в нем и какие впечатления ?

В CentOS  я не так давно, как в Debian, но могу сказать, они очень похожи. Если не считать разницу в файловом размещении, в разных названиях (options-pptpd <=> pptpd.options) и какие-то еще не встретившиеся мне отличия, то это одинаковые системы. Правда, что касается Debian, то в частности с самбой там проблем не было, SELinux там не такой жестокий. Там я вообще не вводил никаких разрешений. Хотя считаю это плюсом для CentOS. PPTP тоже отлично встал и заработал. Тут все немного сложнее в этом плане (защиты). Думаю, что всему виной файрвор, но он нужен, как воздух, поэтому отказываться от него не буду ни в коем случае. У меня еще в планах почтовый сервер, терминальный сервер, VoIP и, возможно, еще пару мелких плюшек. Посмотрим еще, как CentOS себя покажет. Но пока мне нравится.
У меня сейчас переход на СПО проходит в компании, вот и выбор на CentOS выпал в качестве сервера и рабочей станции, не зря же это корпоративная операционная система сообщества (КорпОСС). Хотя до сих пор считаю Debian лучшей.

11 Ответ от nemover

  • nemover
  • Новичок
  • Неактивен
  • Зарегистрирован: 17.04.2013
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]

Как и ожидалось, после установки pptpd и его настройки, samba перестала работать. Ума не приложу что не так. Сервер пингуется.
Вот мой iptables:

+ iptables

# Generated by iptables-save v1.4.7 on Wed Apr 17 15:05:31 2013
*nat
:PREROUTING ACCEPT [77:4131]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [8:852]
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Wed Apr 17 15:05:31 2013
# Generated by iptables-save v1.4.7 on Wed Apr 17 15:05:31 2013
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [24:2560]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 200.0.0.0/24 -p udp -m state --state NEW -m udp --dport 137 -j ACCEPT
-A INPUT -s 200.0.0.0/24 -p udp -m state --state NEW -m udp --dport 138 -j ACCEPT
-A INPUT -s 200.0.0.0/24 -p tcp -m state --state NEW -m tcp --dport 139 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A INPUT -i eth0 -p tcp -m tcp --dport 1723 -j ACCEPT
-A INPUT -i eth0 -p gre -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Wed Apr 17 15:05:31 2013

Даже не знаю в какую сторону посмотреть. Есть у кого-нибудь идеи?

12 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]

Что значит "перестала работать"?

Сайт alexfinn

13 Ответ от nemover

  • nemover
  • Новичок
  • Неактивен
  • Зарегистрирован: 17.04.2013
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]

Извиняюсь, после ребута самба завелась. А вот попытка подключиться по vpn провалилась - ошибка 800. Что не так?

14 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]

Смотрите логи pptpd

Сайт alexfinn

15 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]

И проверяйте корректность настроек на клиенте

Сайт alexfinn

16 Ответ от nemover (17.04.2013 16:31:29 отредактировано nemover)

  • nemover
  • Новичок
  • Неактивен
  • Зарегистрирован: 17.04.2013
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]
+ Лог

Apr 17 15:30:49 alkom-server pptpd[1526]: MGR: connections limit (50) reached, extra IP addresses ignored
Apr 17 15:30:49 alkom-server pptpd[1527]: MGR: Manager process started
Apr 17 15:30:49 alkom-server pptpd[1527]: MGR: Maximum of 50 connections available

Вот и весь лог.

17 Ответ от nemover (17.04.2013 16:57:26 отредактировано nemover)

  • nemover
  • Новичок
  • Неактивен
  • Зарегистрирован: 17.04.2013
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]

Я больше, чем уверен, что это работа SELinux. В нем есть параметр pptp_disable_trans и pppd_disable_trans, однако в моей системе этот параметр отсутствует. Может кто сталкивался?

18 Ответ от AlfaStriker

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

А почему нельзя отлючить всю защиту (iptables, selinux), настроить Samba+PPTP, и потом уже тестировать попутно включая защитные функции сервера.
По моему это правильный подход.

Сайт AlfaStriker

19 Ответ от nemover

  • nemover
  • Новичок
  • Неактивен
  • Зарегистрирован: 17.04.2013
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]

AlfaStriker
iptables не отключал, а вот selinux отключал и ничего не изменилось. Самба работает, не работает pptp, и, если я отключу iptables, то как он тогда будет работать, маскарад же прописан в iptables.

20 Ответ от AlfaStriker

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

Не вижу препятствий для отключения маскарада (он нужен для доступа в Инет не так ли).
Ты же вроде пока все в локалке тестируешь, а потом уже правилом Маскарада всех пустишь в Интернет.

Сайт AlfaStriker

21 Ответ от nemover

  • nemover
  • Новичок
  • Неактивен
  • Зарегистрирован: 17.04.2013
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]

AlfaStriker, думаю, ты прав. Сейчас протестирую.

22 Ответ от nemover (18.04.2013 13:46:09 отредактировано nemover)

  • nemover
  • Новичок
  • Неактивен
  • Зарегистрирован: 17.04.2013
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]

Да, проблема в iptables. При отключении iptables пользователи отлично подключаются.

+ iptables

# Generated by iptables-save v1.4.7 on Wed Apr 17 15:05:31 2013
*nat
:PREROUTING ACCEPT [77:4131]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [8:852]
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Wed Apr 17 15:05:31 2013
# Generated by iptables-save v1.4.7 on Wed Apr 17 15:05:31 2013
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [24:2560]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 200.0.0.0/24 -p udp -m state --state NEW -m udp --dport 137 -j ACCEPT ##SAMBA
-A INPUT -s 200.0.0.0/24 -p udp -m state --state NEW -m udp --dport 138 -j ACCEPT  ## SAMBA
-A INPUT -s 200.0.0.0/24 -p tcp -m state --state NEW -m tcp --dport 139 -j ACCEPT ## SAMBA
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A INPUT -i eth0 -p tcp -m tcp --dport 1723 -j ACCEPT ## PPTP
-A INPUT -i eth0 -p gre -j ACCEPT ## PPTP
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Wed Apr 17 15:05:31 2013

Что не так?

23 Ответ от nemover

  • nemover
  • Новичок
  • Неактивен
  • Зарегистрирован: 17.04.2013
  • Сообщений: 19
  • Репутация : [ 0 | 0 ]

Проблема решена.

iptables-restore

Добавил разрешения. Все заработало из Windows. Сейчас буду тестировать на робочей станции CentOS.