Извиняюсь, с мобилки писал )

имя-то какое?
с русскими буквами?

Интересная особенность. После logoff или перезагрузки любой 1 odf файл открывается нормально. Как только закрываешь его и пытаешься открыть вновь все открывается он только для чтения.

Идиотизм продолжается. Если пользователь на диске создает документ опенофис. Создал, поработал, сохранил. При попытке вновь открыть режим только для чтения.

Вот может поможет
fs:/data/ # getfacl TDN/
# file: TDN/
# owner: root
# group: TDN
# flags: -s-
user::rwx
group::rwx
group:TDN:rwx
mask::rwx
other::---
default:user::rwx
default:group::rwx
default:group:TDN:rwx
default:mask::rwx
default:other::---

Может кому пригодится.
В настройка самбы в разделе шары добавил
inherit acls = yes
inherit permissions = yes

доступы до файлов стали работать как надо.

По опенофису нашел решение только одно.
Отключил дополнительные компоненты - Расширение проводника Windows при обновление пакета. Файлы опенофис стали открываться на редактирование.

> # getent passwd 'testuser@sfh.local'

nscd перезапускали?

что выдают следующие команды:
# getent passwd
# getent passwd testuser@sfh.local

> [root@local ]# net rpc info
> Enter root's password:
> Could not connect to server SRV_DOMAIN
> Connection failed: NT_STATUS_ACCESS_DENIED

-d 5 добавьте в команде и запустите.

имя хоста или hosts не менялся на сервере?

В логах samba-сервера ничего нет - временно установил log level = 10 и снова обратился с serv-ex к server1 под пользователем Ermakova_AA
(smbclient //server1/6_NOAP_RI -U Ermakova_AA)
лог winbind - https://yadi.sk/i/ziQWeOALrkVEn.

Думаю проблема в NT_STATUS_NONE_MAPPED, но знающим людям виднее.

Оффтоп
Лично мое мнение:
для всех задач есть свое оптимальное решение.
И сдается мне что Вы зря затеяли скрещивать групповые политики AD с рабочими станциями на базе Linux...

Доброго всем здравия.
Появилась мысль о возможном конфликте между разными версиями Samba на двух КД.
Но тогда не понятно как проводить обноления.
У кого-нибудь есть опыт жизни с двумя КД разных версий?

Доброго всем здравия.
Разобрался.
Для КД с версией старше 4.2 это вполне штатная ситуация. :-(

Вот сейчас подключил к домену Samb-ы компьютер Win2012R2 (как клиента сети, standalone server, без ролей ad dns etc). Все норм. Но гложет червячок, что где-то остался архитектурный косячок, который потом таааак в ногу выстрелит, что мало не покажется. Это сейчас сеть тестовая, потом-то будет настоящая...

Не это ли случаем - https://bugzilla.samba.org/show_bug.cgi?id=11910 ?

> Всех с пятницей!
> Поставил samba 4.4.3, для простейшего AD DC, на виртуальную машину с CentOS
> 7.
> После успешного выполнения:
> samba-tool domain provision --use-rfc2307 --interactive
> есть непонятки с прохождением тестов, а именно:
> $ smbclient -L localhost -U%
> выводит
> Domain=[HOMEDOMAIN] OS=[Windows 6.1] Server=[Samba 4.4.3]
> tree connect failed: NT_STATUS_CONNECTION_DISCONNECTED

Доброго здравия.
Справились с проблемой?
Я сталкивался с этой проблемой и на одном из форумов нашёл решение.
В smb.conf в [global] нужно добавить 2 строчки:

    idmap_ldb:use rfc2307 = yes
    server signing = auto

После этого команда стала отрабатывать правильно.

Сделать можно.

Но - для остальных остальных разрешены только запись и чтение - чем вам поможет в таком случае запрет на удаление?

Может кто-нибудь скажет, как это сделать?

Ставь OwnCloud локально под это дело и не парься. Там и версионность, и авторизация.
Клиент на каждый комп и они даже не будут чувствовать что передают файлы.

> Здравствуйте.
> Скажите, пожалуйста, возможно ли сделать следующее:
>  - для каждого IP своя папка с полным доступом
>  - для остальных остальных разрешены только запись и чтение, удаление запрещено.
>  - разрешение на запись только определенных форматов файлов (doc, docx, txt)
>  - квота на папку ( < 50 Mb )
> Например
> я зашел в папку по имени Ivanov и скинул туда документ, но
> удалить его я уже не смогу. а он (к кому привязана
> данная папка) в свою очередь, может удалить этот файл.

Это головоломка. Так не надо.

> Можно ли сделать что то подобное используя самбу или другие средства?
> Заранее благодарю

Блин опять всем писать никому не удалять и подобное.
Для Samba:
1! Чем ближе ты держишься к дефолтной конфигурации тем меньше тебя обматерит следующий админ.
2! В дефолте обычно делают домашние папки доступные только владельцам (секция [homes]) и сколько то общих папок.
3! Максимум то можно выжать не кривя мозг из общей папки - все пишут, удалять может только тот кто создал - это через +t бит на папку.
4! Исследуй сначала дефолтный smb.conf потом давай свои вопросы.

>[оверквотинг удален]
>  - для каждого IP своя папка с полным доступом
>  - для остальных остальных разрешены только запись и чтение, удаление запрещено.
>  - разрешение на запись только определенных форматов файлов (doc, docx, txt)
>  - квота на папку ( < 50 Mb )
> Например
> я зашел в папку по имени Ivanov и скинул туда документ, но
> удалить его я уже не смогу. а он (к кому привязана
> данная папка) в свою очередь, может удалить этот файл.
> Можно ли сделать что то подобное используя самбу или другие средства?
> Заранее благодарю

А не поменять ли вам технологию?
Никаких шар на Запись, только на Чтение.
Создаете на сервере или где вам надо папки для юзеров и расшариваете их на Чтение. Кладете туда файл, юзер забирает к себе. Всё -  никаких вирусов не пролезет.
Периодически чистите эти шары от хлама.
Также можно поступить с шарами между компами юзеров, если это требуется. Но лучше юзерам не давать права создавать шары. Иначе откроют на Запись.

> Доброго времени суток!
> 1)Интересует вопрос об аналоге Active Directory для централизованного управления рабочими
> станциями для unix систем.
> Что нужно: данное решение требует наличие файлового сервера и служить для синхронизации
> пользователей.
> Puppet - есть ли у него недостатки и какие? Прочие варианты?
> 2) Какой основной софта требуется для администрирования и мониторинга сети в офисе?

samba4 ?

> получиться?

Приходи на пересдачу грамматики.

max connection отвечает за максимальное количество сессий, если оно превышено то другим вход запрещен

могу посоветовать изобрести свой хак с max connection=2 и через root preexec= /opt/myscript.sh где в файле вы будете дергать smbstatus дергать количество подключенных и находить PID первой сессии и через smbcontrol $PID close-share * рубить сессию

На компах в подсети 192.168.10.0/24 прописать WINS, в качестве адреса указать адрес КД (там где запущена сама самба) из подсети 192.168.0.0/24. Убедиться, что на КД в smb.conf есть строка

wins support = yes

> Соединить эти 2 сети через ipsec site-to-site не проблема.
> Если вручную прописать им доступ к соответствующим папкам на сервере через
> \\ip-адрес_сервера\<папка>, то доступ, наверное будет?

вроде ipsec site-to-site не пропускает броадкаст, который нужен для работы smb протокола, но могу и ошибаться

P.S.
мб пригодится - http://sys-adm.org.ua/net/samba-pdc-ldap

Версия самбы какая?

>[оверквотинг удален]
> Вопрос у меня, как быть с пользователями и их авторизацией на этом
> самом контроллере домена. Если вручную прописать им доступ к соответствующим папкам
> на сервере через \\ip-адрес_сервера\<папка>, то доступ, наверное будет?, т.к. их учетные
> записи пока удалять не планировалось (пускай через запрос их логина/пароля).
> Вопрос, как быть с непосредственной аутентификацией на контроллере домена при входе в
> виндюки, ну и с возможностью дальнейшего подключения к домену новых компьютеров?
> Можно ли как-то добиться того, чтобы пользователи при входе в виндюки проходили
> аутентификацию на контроллере домена через этот самый vpn (и подключение нового
> компьютера к домену можно было через него же сделать), с учетом
> того, что сети то будут разные.

Про аутентификацию при входе в вин - рабочие станции должны быть настроены на использование DNS  сервера который знает записи служб контроллера домена. Этот DNS  сервер или сам контроллер домена, или форвардер на него.

> не верно
> правельно.

Похоже, убунта под "хозяина" подстраивается:)

[...]
> и каталоги на файлопомойке, к примеру если свободно около 7 гб,
> Ubuntu показывает 13, причем общий объем диска и объем занятых данных
> в каталоге отображается правельно. Проверялось nautilusом и thunarом. В Windows все
> отображается нормально.

Посмотри:

sudo dumpe2fs -h /dev/sdXX | grep "Reserved block count"

подставив правильное имя вместо XX.

> хай!

oplocks = No
Должен работать.

Может еще
locking = yes

Хотя, странно.

> хай!

unix extensions = No

винды не умеют в live
а всякие бартпе грузятся именно в виде исо образа.

Поэтому да, из вопроса не понятно, что нужно.

ЗЫ. на носу 2016 год, прекращайте насиловать труп.
ЗЫ2. Пользователи шиндошс должны страдать.

> все привет!
> подскажите как правильно настроить PXELinux, что бы можно было по сети грузить
> не ISO образ WinXP Live, а именно файлы из этого образа?

Еще такой вариант:
Бездисковая загрузка Windows 2008 по PXE - http://xgu.ru/wiki/pxe/win2008

> так что бы на компе на который происходит загрузка появлялась нормальная "винда"

Вам на MSDN, че на Опеннет забыли?

1. Windows Termial Server
2. HP Neoware Image Manager
3. Windows XP Embedded
4. WinPE
5. http://reboot.pro/topic/2798-network-booting-xp/
6. Тоже весело http://labalec.fr/erwan/?cat=10

> все привет!
> подскажите как правильно настроить PXELinux, что бы можно было по сети грузить
> не ISO образ WinXP Live, а именно файлы из этого образа?
> так что бы на компе на который происходит загрузка появлялась нормальная "винда"
> с которой можно было бы работать
> P.S. если не понятно объяснил, то спрашивайте уточню

ipxe -> iscsi lun

Разве что iscsi приюзать
но:
ХЗ работает ли хрюша over iscsi (7ка прекрасно работает)
XЗ как на фряхе поднять iscsi "сервак" (dhcp/tftp/*pxe не вопрос)

эх молодёжь ...
гуи, бть, с кнопочками ...

осиль консоль,

выхлоп в студию:

ip link sh
ip addr sh
ip ro sh

сначала без телефона
потом с воткнутым телефоном

> Мысле куда копать нет.

[global]
socket options = SO_RCVBUF=65535 SO_SNDBUF=65535

...

mount.cifs //192.168.1.2/shara /mnt/shara -o rsize=16364,wsize=16384

rsize/wsize желательно кратные PAGE_SIZE (4096)

А  в самом /usr/local/samba/etc/smb.conf, есть строчка:
nsupdate command =  /usr/bin/nsupdate -g -d
или
nsupdate command =  /usr/local/samba/sbin/samba_dnsupdate -d 3

?

> Пока что подсказали следующее решение (но это костыли для решения проблеммы):
> - путь ограничения по IP адресам (службы -> CIFS/SMB -> общие ресурсы...
> запрещенные хосты)(не нравится - очень уж криво, но зато задачу решить
> можно).
> - путь использовать ACL (включить ZFC ACL) - до конца не проработан
> вопрос - такое впечатление что тоже нельзя решить данным способом.

В smb.conf:

[obmen]
   path = /home/bar
   valid users = @obmen_group
   read only=yes
   write list=@writers
   force group=obmen_group
   force create mode=660
   force directory mode=770

Кому положено туда лазить - суёшь в obmen_group. Тех, кто ещё и писать может - суёшь в writers.

> Очень интересен вопрос чисто академический - можно ли решить данную задачу с
> данным набором прав на папку (rwxrwx--- или rwxrwxr-x). Может вложенными папками

Чисто - нельзя, затем ACL и придумали.

> Подсеть 192.168.1.0/24, комп с WIN8 192.168.1.45, но до компа c базой 192.168.1.52
> он должен ходить через шлюз 192.168.1.1, т.к. эти компы в разных
> VLAN. Однако добавить машрут в Win8 не получается она пишет -ОК,
> но в таблице этот маршрут не пояляется. Как выйти из положения?

1. ограничить подсеть рамками vlan
2. уволить админа который нагородил такое
3. поменять место работы чтоб не возникало таких извращенных желаний

>[оверквотинг удален]
> denied rodc password replication group
> cert publishers
> schema admins
> enterprise admins
> group policy creator owners
> domain users
> domain computers
> dnsadmins
> dnsupdateproxy
> dhcp users

А что показывает wbinfo -u, wbinfo -t ?
У вас конфиг от самбы 3.Х, в 4-ке немного другой...

> Как определить sid по логину и наоборот?
> В windows есть sid2name - набор из sid2user и user2sid утилит, также
> можно через vbs скрипт в легкую определять.
> А в Linux - интересует ubuntu есть ли такая возможность также как
> у sid2name?
> Знаю что есть rpcclient, по которому можно определять sid и обратно, но
> в отличии от user2name он требует аутентификации rpc соединения.

Команда например
Id #1000
не то что нужно?

А показать

# testparm -sv

4)
https://www.samba.org/samba/docs/man/manpages-3/smb.conf.5.h...
https://www.samba.org/samba/docs/man/manpages-3/smb.conf.5.h...

>[оверквотинг удален]
> The configuration changes do not take effect until the following has occurred:
> The changes have replicated to the domain controllers that the servers running
> Hyper-V are logged into.
> A new kerboros ticket has been issued.
> Чего судя по всему не происходит.
> При попытке выполнить команду "samba-tool domain exportkeytab /tmp/hyper.keytab --principal='Hyper-V
> Replica Service/HYPER.domain.loc" получаю ошибку "Key table entry not found"
> Как жить дальше?
> PS:Предыдущая тема была удалена без объяснения причин и к моему сожалению без
> ответов.

А пакет цербер какая реализация?

> В результате долгих экспериментов нашелся "костыль": если при помощи WireShark на Wi-Fi
> интерфейсе (который подключается к нам) включить Promiscuous mode - данные передаются.

"который подключается к нам" это какой? с вашей стороны или клиента?

> Есть ноутбук с Win-7 (сборка, если не ошибаюсь, UralSoft).

Пиратская винда неизвестного происхождения.

> Через USB Wi-Fi адаптер ноут подключается к провайдеру (т.е. к нам). При
> подключении выдается "белый" IP адрес. Жалоб на интернет подключение у клиента
> нет.

Хорошо.

> К этому же ноуту по LAN подключен некий "модем", который осуществляет передачу
> данных (через интернет) от кассового аппарата куда-то "наверх" (модель модема и
> кассового аппарата несущественны).

Вот тут непонятно. Ноутбук с выходом в интернет через "USB Wi-Fi адаптер" используется как роутер для неких рабочих станций в локальной сети, на которых установлен некий специальный софт ?

> Теперь, собственно, сама проблема. На "старом" ноуте (какая там была ОС, я
> не в курсе) с этим же "свистком" всё работало. "Старый" ноут
> сдох, его заменили, после чего "модем" перестал передавать данные. Настройки "модема"
> не менялись. Если вместо "свистка", который подключается к нам, воткнуть "свисток"
> любого мобильного оператора - данные передаются.

Что-то с маршрутизацией и адресным пространством? Сравните таблицу роутинга на ноутбуке после подключения к вам и к мобильным операторам. Сравните какие адреса линка выдаете вы и провайдеры.

Замените "шлюз" - используйте другой ноутбук (благо свисток можно в любой воткнуть) с заведомо нормальной виндой.

Настройте все "начисто".

> В результате долгих экспериментов нашелся "костыль": если при помощи WireShark на Wi-Fi
> интерфейсе (который подключается к нам) включить Promiscuous mode - данные передаются.
> На Wi-Fi интерфейсе Общий доступ открыт. Файрвола на компе нет.

в винде файрвол встроенный и оторвать его нельзя. можно только выключить.
вы его выключили или под "Файрвола на компе нет" понимается что вы дополнительные файрволы не ставили?

> Кто-нибудь сталкивался с чем-нибудь подобным?

Это системная проблема. Вы что-то делаете "не так".

а если попробовать сделать chmod 777 /usr/home/sbr на сервере?

но сначала сделайте ls -la /usr/home/sbr и покажите вывод

Для начала запустите команду smbpasswd -j NTDomain -r PDC если все прошло успешно то появитсясообщение Joined domain NTDomain. В результате в каталоге Samba создается файл с суфиксом . mac. Для узла нужно сделать еще определенные установки, но он уже и без того виден в среде Network, и ресурсы на этом узле уже доступны для совместного использования.

>[оверквотинг удален]
> smb encrypt = disabled
> mangled names = yes
> admin users =
> admin only =
> Пытался подкинуть в глобал:
> vfs objects = acl_xattr
> map acl inherit = yes
> store dos attributes = yes
> Также пытался повышать макс. версию smb до 3.0 включительно - тоже никакой
> реакции.

не знаю как в QNAP но можно попробовать:
nt acl support = yes в глобал
vfs objects = acl_xattr не помешало бы в секцию [TEST] добавить

в [TEST] добавить:

inherit owner           = yes
inherit acls            = yes
inherit permissions     = yes
map acl inherit         = yes

далее перемонтировать папку /share/ с поддержкой acls:
#umount /share
#tunefs -a enable /share
#mount /share
#mount (смотрим для папки /share в скобках acls)
#getfacl /share (или другая вложенная папка или файл для просмотра разрешений)

> Прошивка на устройстве последняя (4.1.4), на борту достаточно древняя самба версии 4.0.25

Чего это она древняя?

Долго боролся с самой 3.6 с такой же фигней, помогло только изменение directory mask
Ну и раздел должен быть примонтирован с опцией acl

при отправки письма с локальной сети (домен - @test.ru)
от: priv@test.ru
кому: group@mail.ru

в контроллере AD есть почтовая группа с именем group и ящиком присовенного ему в свойствах group@test.ru

письмо это приходи всем кто состоит в группе group

еще раз пример приведу, попонятнее в чем проблема.

xtightvncviewer  я цеплялся к UltraVNC на виндовых машинах. Но там для авторизации были встроеные средства UltraVNC. Пройдет ли с вашим вариантом незнаю.

я использую RealVNC клиент через wine, уже 5 лет полет нормальный)

Нашел! ssvnc умеет все методы авторизации! Но хоть и страшненький, но работает! Не нашел такого, чего он не умеет!

SSVNC очень помог в данном деле - теперь на всех ПК авторизация идет через домен в т.ч. и VNC для удаленного решения проблем.
Теперь задумка стала круче - пересадить на linux клиентские машины. Никто не видел VNC-сервер, умеющий авторизацию через PAM примерно как UltraVNC?