16.5 服務器簡單維護與管理 · 鳥哥的Linux私房菜：服務器架設篇第三版

## 16.5 服務器簡單維護與管理除了上述的正規作法之外，其實還有一些稍微重要的事情要跟大家分享的！ * * * ### 16.5.1 服務器相關問題克服通常我們在設定 SAMBA 的時候，如果是以單一主機的工作組 (Workgroup) 的方式來進行 smb.conf 的設定時，幾乎很容易就可以設定成功了！并沒有什么很困難的步驟。不過，萬一還是無法成功的設定起來，請務必察看登錄檔，也就是在 /var/log/samba/ 里面的數據！在這里面的資料當中，你會發現：咦！怎么這么多檔案啊！因為我們在 smb.conf 里面設定了： * log file = /var/log/samba/log.%m 那個 %m 是指客戶端計算機的 NetBIOS Name 的意思，所以，當有個 vbirdwinxp 的主機來登入我們的 vbirdserver 主機時，那么登入的信息就會被紀錄在 /var/log/samba/log.vbirdwinxp 檔案喔！而如果萬一來源 IP 并沒有 Netbios name 的時候，那么很可能是一些錯誤訊息，這些錯誤訊息就會被紀錄到 log.smbd, log.nmbd 里面去了！所以，如果你要察看某部計算機連上你的 SAMBA 主機發生了什么問題時，特別要留意這個登錄檔的形式喔！另外，如果你的 SAMBA 明明已經啟動完成了，卻偏偏老是無法成功，又無法查出問題時，建議先關閉 Samba 一陣子，再重新啟動： * /etc/init.d/smb stop 在鳥哥過去的案例當中，確實有幾次是因為 PID 與 NetBIOS 的問題，導致整個 SAMBA 怪怪的～所以完整的關閉之后，經過一陣子的短暫時間，再重新啟動，應該就可以恢復正常了！還有，萬一你在進行寫入的動作時，老是發現『你沒有相關寫入的權限！』，不要懷疑，幾乎可以確定是 Permission 的問題，也就是 Linux 的權限與 SAMBA 開放的權限并不相符合，或者是 SELinux 在搞鬼！無論如何，你必須要了解能不能寫入 Linux 磁盤，看的是 PID 的權限與 Linxu 文件系統是否吻合，而那個 smb.conf 里面設定的相關權限只是在 SAMBA 運作過程當中『預計』要給使用者的權限而已，并不能取代真正的 Linux 權限喔！所以，萬一真的發現該問題存在，請登入 Linux 系統，查驗一下該對應的目錄的 permission 吧！^_^ 另外，通常造成明明已經查到分享 (smbclient -L 的結果)，卻老是無法順利掛載的情況，主要有底下幾個可能的原因： * 雖然 smb.conf 設定正確，但是設定值『 path 』所指定的目錄卻忘記建立了 (最常見的呆樣！)； * 雖然 smb.conf 設定為可擦寫，但是目錄針對該用戶的權限卻是只讀或者是無權限； * 雖然權限全部都正確，但是 SELinux 的類型卻錯誤了！ * 雖然全部的數據都是正確的，但是 SELinux 的規則 (getsebool -a) 卻沒有順利啟動。上述都是一些常見的問題，更多問題的解決方案，請參考最正確的登錄文件信息吧！ ^_^ * * * ### 16.5.2 讓使用者修改 samba 密碼同時同步更新 /etc/shadow 密碼有個問題是，我們知道使用者可以透過 passwd 修改 /etc/shadow 內的密碼，而且用戶也能夠自行以 smbpasswd 修改 Samba 的密碼。如果用戶是類似 PDC 的用戶，那么這些用戶理論上就很少使用 Linux 啦！那么想一想，能否讓用戶在修改 Windows 密碼 (就是 Samba) 時，同步更新 Linux 上面的 /etc/shadow 密碼呢？答案是可行的啦！而且動作并不困難～因為 smb.conf 里頭已經提供了相對應的參數設定值！你可以參考底下的網站數據： * [http://moto.debian.org.tw/viewtopic.php?t=7732&](http://moto.debian.org.tw/viewtopic.php?t=7732&) * [http://de.samba.org/samba/docs/using_samba/ch09.html](http://de.samba.org/samba/docs/using_samba/ch09.html) 鳥哥做個總結，基本上你需要的是 smb.conf 里面 [global] 的幾個設定值： ``` [root@www ~]# vim /etc/samba/smb.conf [global] # 保留前面的各項設定值，并新增底下三行即可： unix password sync = yes <==讓 Samba 與 Linux 密碼同步 passwd program = /usr/bin/passwd %u <==以 root 呼叫修改密碼的指令 pam password change = yes <==并且支持 pam 模塊！ [root@www ~]# testparm [root@www ~]# /etc/init.d/smb restart ``` 接下來，當你以一般用戶 (例如 dmtsai) 修改 samba 的密碼時，就會像這樣： ``` [dmtsai@www ~]$ smbpasswd Old SMB password: <==得先輸入舊密碼，才能輸入新密碼 New SMB password: Retype new SMB password: Password changed for user dmtsai <==這就是成功的字樣！ # 若出現底下的字樣，應該就是你的密碼輸入被限制了！例如輸入的密碼字符少于 6 個！ machine 127.0.0.1 rejected the password change: Error was : Password restriction. Failed to change password for dmtsai ``` * * * ### 16.5.3 利用 ACL 配合單一使用者時的控管想象一個案例，如果你是學校的網管人員，有個兼任老師向你申請賬號，主要是要在很多班級內取得同學的專題資料。因為該老師是兼任的，你或許擔心一不小心該教師就將同學的辛苦資料給銷毀，倒不是教師們故意的，而是很多時候...不熟嘛！這個時候如果你將該老師加入同學的群組，然后偏偏同學們所在的目錄是群組可寫入的話，那么該教師就能夠擁有可擦寫的權限了，也就容易造成一些莫名的災難～那該怎么辦？其實可以透過 ACL 來管理某個目錄的單一用戶權力啦！所以說，權限的管理不必透過 smb.conf 的設定，只要透過 ACL 來管理就能夠達到你所需要的目的了。關于 ACL 的說明我們在[基礎學習篇第三版第十四章](http://linux.vbird.org/linux_basic/0410accountmanager.php#acl_talk)已經提過了，這里不再啰唆，請自行前往查閱吶！ ^_^ * * *