erro ao tentar adicionar W2K em Dominio SAMBA com LDAP

Pessoal, configurei o SAMBA para trabalahao com o OpenLDAP.. e aparentemente os serviços estao todos ok..

porem.. quando tento adicionar uma estacao w2k no dominio.. nao consigo.. me gerando esse erros no /var/log/messages

--------------------------------------------------------------------
[2004/08/22 20:51:49, 0] lib/util_sock.c:get_peer_addr(978)
Aug 22 20:51:49 pdcsrv smbd[6832]: getpeername failed. Error was Transport endpoint is not connected
Aug 22 20:51:49 pdcsrv smbd[6832]: [2004/08/22 20:51:49, 0] lib/util_sock.c:read_socket_data(367)
Aug 22 20:51:49 pdcsrv smbd[6832]: read_socket_data: recv failure for 4. Error = Connection reset by peer
-----------------------------------------------------------------------

alguma ideia do que pode ser.. aparentemente o LDAP esta ok.. consigo fazer consultas pelo users normalmente no LDAP..

--------------------------------------------------------------------
[2004/08/22 20:51:49, 0] lib/util_sock.c:get_peer_addr(978)
Aug 22 20:51:49 pdcsrv smbd[6832]: getpeername failed. Error was Transport endpoint is not connected
Aug 22 20:51:49 pdcsrv smbd[6832]: [2004/08/22 20:51:49, 0] lib/util_sock.c:read_socket_data(367)
Aug 22 20:51:49 pdcsrv smbd[6832]: read_socket_data: recv failure for 4. Error = Connection reset by peer
-----------------------------------------------------------------------

Como esta suas opções security e domain logons?
get_peer_addr foi uma tentativa de resolução de nomes, sua resolução netbios esta OK?

security = user
domain logon = yes

do linux PDC eu pingo normalmente a estaco via DNS.

esta dando esse ero aqui se eu tento mapear um share do PDC.. sem logar no dominio..

[2004/08/22 21:10:29, 0] auth/auth_sam.c:check_sam_security(260)
Aug 22 21:10:29 pdcsrv smbd[7073]: check_sam_security: make_server_info_sam() failed with 'NT_STATUS_NO_SUCH_USER'

Execute

smbclient -L netbiosname.server -U user

onde
netbiosname.server = nome netbios do seu servidor
user = usuário cadastrado no servidor, quando pedir senha, coloque a senha correta.

Qual o resultado?

Outra coisa, seria possível eu ver seu smb.conf, apenas o [global], ou vc mesmo pode me informar se esta usando a opção
passdb backend = ldapsam:ldap://localhost
conforme a documentação
http://us1.samba.org/samba/docs/man/...html#id2509174
do tópico
Example 2.9. LDAP backend smb.conf for PDC.

Já ocorreu problemas de pessoas confundirem a autenticação do linux com a configuração do samba.

Tipo, autenticação do linux
/etc/nsswitch, pam

sim.. o backend é exatamente como essa linha ae que vc postou..

quando eu executo o comando que vc passou.. aparece isso aqui..

[root@pdcsrv openldap]# smbclient -L pdcsrv -U danilo
Password:
session setup failed: NT_STATUS_LOGON_FAILURE

e no /var/log/messahes.. isso aqui..

[2004/08/22 22:54:17, 0] auth/auth_sam.c:check_sam_security(260)
Aug 22 22:54:17 pdcsrv smbd[7828]: check_sam_security: make_server_info_sam() failed with 'NT_STATUS_NO_SUCH_USER'

o meu /etc/nsswitch.conf esta assim..

passwd: files ldap
shadow: files ldap
group: files ldap

Citação:

---

Postado originalmente por Anonymous

sim.. o backend é exatamente como essa linha ae que vc postou..

quando eu executo o comando que vc passou.. aparece isso aqui..

[root@pdcsrv openldap]# smbclient -L pdcsrv -U danilo
Password:
session setup failed: NT_STATUS_LOGON_FAILURE

e no /var/log/messahes.. isso aqui..

[2004/08/22 22:54:17, 0] auth/auth_sam.c:check_sam_security(260)
Aug 22 22:54:17 pdcsrv smbd[7828]: check_sam_security: make_server_info_sam() failed with 'NT_STATUS_NO_SUCH_USER'

---

Então suponho que o servidor de ldap é a própria máquina do samba,certo?
(Se vc estiver usando ssl, acho que tenha que usar o nome fqdn da máquina nesta opção backend)

Vamos verificar a configuração do ldap.
Um documento que pode ajudar é este:
http://www.conectiva.com/doc/livros/...ENTICACAO.LDAP

Na seção: Testando a configuração

Onde vc encontra
ldapsearch uid=usuario -x
Para verificar se os usuários estão incluídos

sim.. o LDAP esta no servidor SAMBA... nao estou usando SSL..

os comandos foram executados sem problemas.. no ldapsearch

sera que nao tem nada a ver com autenticacao PAM?

mais pelo o que eu li.. o PAM precisa autenticar o usuario no /etc/passwd certo? mais se eu uso LDAP.. vou ter que ficar cadastrando os usuarios nos dois? tanto no LDAP como no /etc/passwd?? fica meio inviavel..

quando eu tento logar no Linux por SSH (por exemplo) usuando um usuario e senha cadastrados apenas no LDAP.. nao consigo logar..

mesmo estando cadastrado no /etc/nsswitch.conf para pesquisar no LDAP.

Seguinte, o nsswitch altera onde a libc obtem informações, experimenta

getent passwd

vc terá uma lista de usuários que incluem as do /etc/passwd (passwd:files ldap, no /etc/nsswitch) e do ldap (passwd:files ldap, no /etc/nssswitch) (se ele estiver funcionando)

se não funcionar, execute
find /lib -name libnss\*

na listagem, olhe se aparece uma biblioteca para o ldap

Já o pam, depende do programa estar compilado com suporte a ele, e estaria em uma "camada" mais acima do nsswitch.
(O backend do samba obtem mais informações que somente autenticação)

Alem dos arquivos de configuraçào do PAM, exite tambem bibliotecas, como acima.
tente executar
ls /lib/security/
e localizar algo do ldap

feito isto, tente o smbcliente novamente, enquanto ele não funcionar, nosso samba não estará autenticando no ldap...

Citação:

---

Postado originalmente por Anonymous

sim.. o LDAP esta no servidor SAMBA... nao estou usando SSL..

os comandos foram executados sem problemas.. no ldapsearch

sera que nao tem nada a ver com autenticacao PAM?

mais pelo o que eu li.. o PAM precisa autenticar o usuario no /etc/passwd certo? mais se eu uso LDAP.. vou ter que ficar cadastrando os usuarios nos dois? tanto no LDAP como no /etc/passwd?? fica meio inviavel..

---

A biblioteca de pam para ldap usaria diretamente o ldap.

caro gmlinux,

executei o: getent passwd e so listou usuarios do /etc/passwd

executei o: find /lib -name libnss\* e listou as seguintes bibliotecas do ldap:

/lib/libnss_ldap.so.2
/lib/libnss_ldap-2.3.1.so

ao executar o: ls /lib/security me aparece isso aqui em relacao ao ldap..

/lib/security/pam_ldap.so

se eu digito no redhat: authconfig e configuro o mesmo para usar autenticacao LDAP, coloco o ip do servidor LDAP e o BASE DN ae ninguem mais consegue logar na maquina... se eu desabilito isso la no authconfig.. volta ao normal..

o mais estranho é que eu consigo fazer qualquer consulta no ldapsearch .. mais nao consigo logar nengum usuario..

no /messages aparece:

Aug 25 23:53:08 pdcsrv vsftpd[2457]: pam_ldap: error trying to bind (Invalid credentials)
Aug 25 23:53:13 pdcsrv vsftpd: warning: can't get client address: Bad file descriptor
Aug 25 23:53:19 pdcsrv vsftpd: pam_ldap: error trying to bind (Invalid credentials)
Aug 25 23:53:54 pdcsrv vsftpd: warning: can't get client address: Bad file descriptor
Aug 25 23:53:57 pdcsrv vsftpd(pam_unix)[2480]: check pass; user unknown
Aug 25 23:53:57 pdcsrv vsftpd(pam_unix)[2480]: authentication failure; logname= uid=0 euid=0 tty= ruser= rhost=192.168.0.10


nao sei mais o que pode ser...

Blz, já sabemos que as bibliotecas estão instaladas, com ldapsearch o ldap funciona, então ainda falta o /etc/openldap/ldap.conf
Ele esta com as opções BASE e URI, corretas?
Lembre-se que no ldapsearch, vc passa o "caminho" base da pesquisa, aqui é onde vc passa para os clientes ldap não interativos esta informação.

O teste é usar o getent como antes(no /etc/nsswitch.conf a palavra ldap deve existir nas linhas passwd,group e shadow)

meu ldap.conf esta assim:

------------------------------------------------
BASE dc=empresa,dc=org
URI ldap://127.0.0.1
------------------------------------------------

É, realmente nunca me deparei com esta situação, se toda a configuração esta correta (daria uma nova geral, seguindo o howto), pode ser problema de pacote, tipo, vc esta usando pacotes compilados ou da distro?

O funcionamento seria este, uma aplicação faria uma requisição por autenticação, a glibc usa o nsswitch para coletar esta informação, assim a libnss_ldap consulta o servidor ldap (fizemos isto com getent), assim é como se tivessemos uma arquivo passwd "aumentado".
Pode ser que sua configuração de PAM não esteja permitindo ele usar o /etc/passwd (que o nss estenderia), mais isto é apenas uma hipótese, nunca me deparei com tal situação.

Sinto não poder ajudar mais. :(

Depois de acompanhar toda a thread do seu problema, eu venho perguntar duas coisas..

Qual a versão do seu samba??
Qual a versão do openldap??

Pergunto isso pq o samba 3.0.5 tá com problema em relação a LDAP.... tente atualizar pra versão 3.0.6 e veja no que dá???

Digo isso pq também tenho brigado com isso, mas tenho uma vantagem, minha rede é de poucos usuários e eu não tenho nada montado ainda..

Parei um pouco, pra botar o serviço samba redondinho, e depois vou atacar com ldap...

mostre o [global] do seu smb.conf

e um search no DC , mostrando so o primeiro level. nao quero um full search, so o q tem na raiz, e no maximo seria interessante um search em cada elemento. quero ver os atributos


e outra, coloque o loglevel do seu ldap para 256 para voce ver quais searches ele esta fazendo. isso me ajudaria bastante.

Respondendo a todos:

Versao do SAMBA: 3.0.5
Versao do LDAP: 2.1.22


meu SMB.conf - GLOBAL Sector

-------------------------------------------------------------------
[global]

workgroup = MYGROUP
server string = Samba PDC-Ldap Server
passdb backend = ldapsam:ldap://127.0.0.1/
ldap admin dn = cn=Manager,dc=mydomain,dc=org
ldap suffix = dc=mydomain,dc=org
ldap group suffix = ou=Groups
ldap user suffix = ou=Users
ldap machine suffix = ou=Computers
add machine script = /usr/local/sbin/smbldap-useradd -w "%u"
add user script = /usr/local/sbin/smbldap-useradd -m "%u"
ldap delete dn = Yes
ldap passwd sync = yes
ldap ssl = off
username map = /etc/samba/smbusers
delete user script = /usr/local/sbin/smbldap-userdel "%u"
add machine script = /usr/local/sbin/smbldap-useradd -w "%u"
add group script = /usr/local/sbin/smbldap-groupadd -p "%g"
delete group script = /usr/local/sbin/smbldap-groupdel "%g"
add user to group script = /usr/local/sbin/smbldap-groupmod -m "%u" "%g"
delete user from group script = /usr/local/sbin/smbldap-groupmod -x "%u" "%g"
set primary group script = /usr/local/sbin/smbldap-usermod -g "%g" "%u"
printcap name = /etc/printcap
load printers = yes
log file = /var/log/samba/%m.log
max log size = 50
security = user
encrypt passwords = yes
passwd program =/usr/local/sbin/smbldap-passwd %u
passwd chat = *new*password* %n\n *new*password:* %n\ *successfully*
username map = /etc/samba/smbusers
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
os level = 35
domain master = yes
preferred master = yes
domain logons = yes
local master = yes
logon script = %U.bat
logon path = \\%L\Profiles\%U
wins support = yes
dns proxy = no
----------------------------------------------------------------------------------

search no ldap para o uid de um usuario:

---------------------------------------------------------------

# extended LDIF
#
# LDAPv3
# base <dc=mydomain,dc=org> with scope sub
# filter: uid=danilo
# requesting: ALL
#

# danilo, Users, mydomain.org
dn: uid=danilo,ou=Users,dc=mydomain,dc=org
objectClass: top
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
objectClass: sambaSAMAccount
cn: Danilo Montagna
sn: danilo
uid: danilo
uidNumber: 1001
gidNumber: 513
homeDirectory: /home/danilo
loginShell: /bin/bash
gecos: Danilo Montagna
description: Danilo Montagna
sambaLogonTime: 0
sambaLogoffTime: 2147483647
sambaKickoffTime: 2147483647
displayName: Danilo Montagna
sambaSID: S-1-5-21-476519084-1075918099-3570581004-3002
sambaPrimaryGroupSID: S-1-5-21-476519084-1075918099-3570581004-513
sambaProfilePath: \\PDCSRV\profiles\danilo
sambaHomePath: \\PDCSRV\home\danilo
sambaHomeDrive: H:
sambaPwdCanChange: 1093226803
sambaAcctFlags: [U]
sambaPwdLastSet: 1093486704
sambaPwdMustChange: 1097374704

# search result
search: 2
result: 0 Success

# numResponses: 2
# numEntries: 1
--------------------------------------------------------------------


alguma ideia.. ainda acho que o problema é so a autenticacao.. pois se eu vou no authconfig do redhat e seto para "USE LDAP Authentication" ninguem mais consegue logar na maquina.. inclusive o root.

só para efeito de conhecimento..

acabei de atualizar para o samba 3.0.6 e continua tudo na mesma..

alguem aqui que tenha isso funcionando (SAMBA + LDAP) .. tem como me passar o how to que usou ?

Citação:

---

Postado originalmente por Anonymous

sim.. o backend é exatamente como essa linha ae que vc postou..

quando eu executo o comando que vc passou.. aparece isso aqui..

[root@pdcsrv openldap]# smbclient -L pdcsrv -U danilo
Password:
session setup failed: NT_STATUS_LOGON_FAILURE

e no /var/log/messahes.. isso aqui..

[2004/08/22 22:54:17, 0] auth/auth_sam.c:check_sam_security(260)
Aug 22 22:54:17 pdcsrv smbd[7828]: check_sam_security: make_server_info_sam() failed with 'NT_STATUS_NO_SUCH_USER'

---

Citação:

---

Postado originalmente por Anonymous

sim.. o backend éfdhdffdhdhf exatamente como essa linha ae que vc postou..

quando eu executo o comando que vc passou.. aparece isso aqui..

[root@pdcsrv openldap]# smbclient -L pdcsrv -U danilo
Password:
session setup failed: NT_STATUS_LOGON_FAILURE

e no /var/log/messahes.. isso aqui..

[2004/08/22 22:54:17, 0] auth/auth_sam.c:check_sam_security(260)
Aug 22 22:54:17 pdcsrv smbd[7828]: check_sam_security: make_server_info_sam() failed with 'NT_STATUS_NO_SUCH_USER'

---