Linux网上邻居局域网络共享Samba及Smb协议,smbd,nmbd服务,smbpasswd,pdbedit命令,`/etc/samba/smb.conf

Linux网上邻居局域网络共享工具Samba及Smb协议,smbd,nmbd服务,smbpasswd,pdbedit命令,`/etc/samba/smb.conf`配置文件笔记250721

Linux Samba 局域网共享工具详解

Samba 是 Linux/Unix 与 Windows 系统间实现文件和打印机共享的核心工具，基于 SMB/CIFS 协议（Server Message Block / Common Internet File System）。

核心组件

smbd
- 提供文件/打印机共享服务，监听 TCP 445 端口。
- 命令：
```
sudo systemctl start|stop|restart|status smbd
```
nmbd
- 处理 NetBIOS 名称解析（类似 Windows 网络邻居），监听 UDP 137-138 端口。
- 命令：
```
sudo systemctl start|stop|restart|status nmbd
```

用户管理工具

smbpasswd

管理 Samba 用户密码（需先存在系统用户）：

sudo smbpasswd -a username  # 添加用户
sudo smbpasswd -d username  # 禁用用户
sudo smbpasswd -e username  # 启用用户

pdbedit

更强大的用户管理（支持批量操作）：

sudo pdbedit -L            # 列出所有 Samba 用户
sudo pdbedit -a -u username # 添加用户
sudo pdbedit -x -u username # 删除用户

配置文件 /etc/samba/smb.conf

vi /etc/samba/smb.conf

[global]
   workgroup = WORKGROUP       # 工作组名（与 Windows 一致）
   server string = Samba Server    #  服务器描述信息
   netbios name = hostname     #  默认显示主机名
   security = user             # 认证方式（user/share/domain）
   map to guest = Bad User     # 匿名访问（guest 映射）
   guest account = nobody      # 客户账户, 默认是Linux自带的:nobody ,
   log file = /var/log/samba/log.%m   

[public]                      # 共享名称（客户端可见）
   path = /srv/samba/public   # 共享目录路径
   available = yes            # 启用/禁用共享 , 默认yes
   browseable = yes           # 是否可见 , 默认yes
   comment = "注释"           #   共享的说明描述注释
   read only = no             # 是否只读.   `read only = no` 等效 `writable = yes`  ;    `read only = yes` 等效 `writable = no`    后者生效
   writable = yes             # 可写权限.   `read only = no` 等效 `writable = yes`  ;    `read only = yes` 等效 `writable = no`    后者生效
   public = yes               #  允许匿名访问         `public`是旧版写法, 完全等效 `guest ok`
   guest ok = yes             #  允许匿名访问        `public`是旧版写法, 完全等效 `guest ok`
   create mask = 0777         # 文件权限

[共享目录显示的共享名]                      # 共享名称（客户端可见）
   path = /folder/共享目录     # 共享目录路径
   available = yes            # 启用/禁用共享 , 默认yes
   browseable = yes           # 是否可见 , 默认yes
   comment = "注释"           #   共享的说明描述注释
   read only = no             # 是否只读.   `read only = no` 等效 `writable = yes`  ;    `read only = yes` 等效 `writable = no`    后者生效
   writable = yes             # 可写权限.   `read only = no` 等效 `writable = yes`  ;    `read only = yes` 等效 `writable = no`    后者生效
   public = yes               #  允许匿名访问         `public`是旧版写法, 完全等效 `guest ok`
   guest ok = yes             #  允许匿名访问        `public`是旧版写法, 完全等效 `guest ok`
   create mask = 0777         # 文件权限


[secured]
   path = /srv/samba/secured
   valid users = alice, @smbgroup  # 允许的用户/组
   writable = yes
   read only = no

配置流程

创建共享目录：

sudo mkdir -p /srv/samba/{public,secured}
sudo chmod 1777 /srv/samba/public  # 设置粘滞位（公共可写）

添加用户/组：

sudo useradd alice
sudo groupadd smbgroup
sudo usermod -aG smbgroup alice
sudo smbpasswd -a alice  # 设置 Samba 密码

检查配置：
```
testparm  # 验证配置文件语法
```
重启服务：
```
sudo systemctl restart smbd nmbd
```

防火墙放行：

sudo ufw allow samba  # 或手动放行端口 137-139,445

客户端访问

Windows：
文件资源管理器输入 \\Linux_IP\public IPv6将冒号换位横杆,再加上 .ipv6-literal.net 如: \\fc11--deba-1210-adad-c1.ipv6-literal.net\共享名

Linux：

smbclient //192.168.1.10/public -U alice  # 命令行访问
sudo mount -t cifs //192.168.1.10/secured /mnt -o username=alice  # 挂载

常见问题排查

权限拒绝：
- 检查目录权限：chmod 和 chown
- 确认 SELinux 状态：
```
sudo setsebool -P samba_export_all_rw on
```

服务未启动：

sudo systemctl status smbd nmbd
journalctl -xe -u smbd

名称解析失败：
- 检查 nmbd 是否运行
- 客户端尝试通过 IP 访问

提示：

使用 security = user 时，Windows 客户端需用 Samba 用户密码（非系统密码）。

匿名共享设置 guest ok = yes 并禁用 valid users。

更多参数参考 man smb.conf。

通过 Samba 可实现无缝的 Linux-Windows 文件共享，是混合网络环境的理想解决方案。

Linux Samba 局域网共享全攻略

一、Samba 核心组件 1. SMB/CIFS 协议

SMB (Server Message Block)：局域网文件/打印机共享协议
CIFS (Common Internet File System)：SMB 的增强版
工作端口：TCP 139/445, UDP 137/138

2. 核心服务

服务	功能	端口	管理命令
`smbd`	文件/打印共享	TCP 139, 445	`sudo systemctl restart smbd`
`nmbd`	NetBIOS 名称解析	UDP 137, 138	`sudo systemctl restart nmbd`

二、用户管理命令 1. smbpasswd

# 添加用户
sudo smbpasswd -a username

# 禁用用户
sudo smbpasswd -d username

# 脚本模式添加
echo -e "pass\npass" | sudo smbpasswd -s -a user

2. pdbedit (更强大)

# 列出所有用户
sudo pdbedit -L

# 添加用户并设置属性
sudo pdbedit -a -u user -f "User Fullname"

# 导出用户数据库
sudo pdbedit -e tdbsam:backup.tdb

三、配置文件 /etc/samba/smb.conf 1. 全局配置 [global]

[global]
  # 网络标识
  workgroup = WORKGROUP
  netbios name = LINUX-SERVER
  server string = Samba Server %v
  
  # 安全设置
  security = user
  map to guest = Bad User
  guest account = smbguest
  
  # 协议控制
  min protocol = SMB2
  smb encrypt = required

2. 共享定义 [共享名]

[共享目录显示的共享名]                      # 共享名称（客户端可见）
   path = /folder/共享目录     # 共享目录路径
   available = yes            # 启用/禁用共享 , 默认yes
   browseable = yes           # 是否可见 , 默认yes
   comment = "注释"           #   共享的说明描述注释
   read only = no             # 是否只读.   `read only = no` 等效 `writable = yes`  ;    `read only = yes` 等效 `writable = no`    后者生效
   writable = yes             # 可写权限.   `read only = no` 等效 `writable = yes`  ;    `read only = yes` 等效 `writable = no`    后者生效
   public = yes               #  允许匿名访问         `public`是旧版写法, 完全等效 `guest ok`
   guest ok = yes             #  允许匿名访问        `public`是旧版写法, 完全等效 `guest ok`
   create mask = 0777         #   所创建文件的权限
   directory mask = 0777      #   所创文件夹的权限


[公共共享]
  path = /srv/public
  comment = 公共文件区
  browseable = yes
  writable = yes
  guest ok = yes
  create mask = 0664

[安全共享]
  path = /srv/secure
  valid users = @group
  read only = yes
  write list = @admins
  veto files = /*.exe/*.bak/

3. 特殊共享

[homes]  ; 用户家目录
  browseable = no
  writable = yes
  valid users = %S

[printers]  ; 打印机共享
  printable = yes
  printing = cups

四、完整部署流程

安装 Samba
```
sudo apt install samba samba-common
```

创建共享目录

sudo mkdir -p /srv/{public,secure}
sudo chmod 1777 /srv/public  # 粘滞位

创建系统用户

sudo useradd -s /sbin/nologin smbguest
sudo smbpasswd -a normal_user

配置防火墙
```
sudo ufw allow samba
```

配置验证与重启

sudo testparm  # 验证配置
sudo systemctl restart smbd nmbd

五、客户端访问 Windows 客户端：

\\Linux_IP\公共共享

Linux 客户端：

# 命令行访问
smbclient //server/public -U user

# 挂载共享
sudo mount -t cifs //server/secure /mnt -o username=user

六、故障排查工具箱

问题类型	诊断命令
服务状态	`sudo systemctl status smbd`
端口监听	`sudo ss -tulnp \| grep smbd`
名称解析	`nmblookup -S WORKGROUP`
共享列表	`smbclient -L localhost -U%`
实时日志	`tail -f /var/log/samba/log.smbd`
配置验证	`testparm -s`

七、安全加固措施

协议安全
```
min protocol = SMB2
lanman auth = no
```

权限控制

create mask = 0660
directory mask = 2770
force group = +project

访客限制

sudo useradd -r -s /sbin/nologin smbguest

guest account = smbguest
map to guest = Bad User

文件过滤

veto files = /*.exe/*.dll/*.sh/
hide files = /.*/secret.*/

八、高级功能

回收站功能

vfs objects = recycle
recycle:repository = .recycle/%U
recycle:keeptree = yes

AD 域集成

security = ads
realm = AD.EXAMPLE.COM
idmap config * : backend = rid

性能优化

socket options = TCP_NODELAY
aio read size = 16384

最佳实践：

生产环境禁用 SMBv1 (min protocol = SMB2)

为访客创建专用系统账户

定期审计配置：sudo pdbedit -L -v

重要共享设置 browseable = no 隐藏

通过合理配置 Samba，可实现从简单家庭共享到企业级 AD 域文件服务器的全场景解决方案。

`smbd` 和 `nmbd` 服务详解

在 Samba 系统中，smbd 和 nmbd 是两个核心守护进程（daemon），分别承担不同的网络功能：

1. smbd 服务（Samba 守护进程）

核心功能：处理 文件/打印机共享 和 用户认证
协议支持：SMB/CIFS (TCP 445) 和 NetBIOS over TCP/IP (TCP 139)
工作流程：
1. 监听 TCP 445 端口（主端口）
2. 接收客户端连接请求
3. 验证用户凭据（比对 /etc/samba/smbpasswd 或 tdbsam 数据库）
4. 处理文件操作（读/写/删除）和打印机队列管理

关键特性：

[global]
# 控制 smbd 行为的重要参数
max log size = 5000                # 日志大小限制（KB）
max smbd processes = 1000          # 最大并发进程数
deadtime = 15                      # 空闲连接超时（分钟）
load printers = yes                # 自动加载打印机

操作命令：

sudo systemctl restart smbd   # 重启服务
sudo smbstatus                # 查看当前连接状态

日志位置：
/var/log/samba/log.smbd

2. nmbd 服务（NetBIOS 名称守护进程）

核心功能：实现 网络名称解析 和 浏览服务
协议支持：NetBIOS over UDP (UDP 137/138)
核心作用：
- 名称注册：将 Linux 主机注册为 NetBIOS 名称（类似 \\HOSTNAME）
- 名称解析：响应 Windows 网络邻居的浏览请求
- 主浏览器选举：参与局域网"网络邻居"主控浏览器竞选
- WINS 服务器：可充当 NetBIOS 名称服务器（需配置）

关键配置：

[global]
netbios name = LINUX-SERVER      # 自定义 NetBIOS 名称
wins support = yes               # 启用 WINS 服务器功能
local master = yes               # 参与主浏览器选举
os level = 33                    # 选举优先级（高于 Windows）

操作命令：

sudo nmblookup -A 127.0.0.1     # 查询本地 NetBIOS 名称
sudo systemctl reload nmbd      # 重载配置（不中断服务）

日志位置：
/var/log/samba/log.nmbd

双服务协作流程

graph LR
  A[Windows 客户端] -->|1. 名称查询| B(nmbd:137/UDP)
  B -->|2. 返回IP地址| A
  A -->|3. SMB连接请求| C(smbd:445/TCP)
  C -->|4. 认证用户| D[/密码数据库/]
  C -->|5. 文件操作| E[(共享目录)]

客户端通过 nmbd 解析服务器名称
smbd 处理实际文件传输
两者共享 /var/lib/samba 中的状态文件

端口详解

服务	端口	协议	功能
smbd	TCP 445	SMB	主文件共享端口（现代OS）
smbd	TCP 139	NBT	传统 NetBIOS 会话服务
nmbd	UDP 137	NBNS	NetBIOS 名称服务
nmbd	UDP 138	NBDS	NetBIOS 数据报服务

注意：现代 Windows 默认优先使用 445 端口，139 端口用于兼容旧系统

故障排查技巧

smbd 问题：

# 测试共享目录访问
smbclient -L //localhost -U%

# 检查端口监听状态
sudo ss -tlnp | grep 'smbd\|nmbd'

nmbd 问题：

# 检查名称注册
sudo nmblookup -S WORKGROUP

# 强制刷新浏览列表
sudo nmbd -F --no-process-group

服务依赖：

# 查看服务关系
systemctl list-dependencies smbd nmbd

# 典型依赖链
smbd.service → samba-ad-dc.service?  # 仅域控制器模式
           └─ network.target        # 网络就绪后启动

高级部署场景

域控制器模式：
启动 samba-ad-dc 服务替代 smbd/nmbd，使用 AD 域认证
集群部署：
共享 CTDB 数据库实现高可用（需配置集群文件系统）
多播 DNS 集成：
配合 avahi-daemon 实现零配置发现（Bonjour 协议）

通过合理配置 smbd 和 nmbd，Samba 可完美融入 Windows 网络环境，实现跨平台文件共享的无缝协作。

常用命令详解

Samba 提供了一套完整的命令行工具集，涵盖服务管理、用户配置、网络诊断等功能。以下是关键命令的分类总结：

1. 服务管理命令

命令	功能	示例
`systemctl`	管理 smbd/nmbd 服务	`sudo systemctl restart smbd nmbd`
`smbd`	直接启动 smbd 守护进程	`sudo smbd -D --debug-stdout` (调试模式)
`nmbd`	直接启动 nmbd 守护进程	`sudo nmbd -D -d 3` (日志级别3)

2. 用户管理命令

命令	功能	示例
`smbpasswd`	Samba 用户密码管理	`sudo smbpasswd -a user1` (添加用户)
`pdbedit`	高级用户账户管理	`sudo pdbedit -L -v` (查看用户详情)
`net`	域/用户组管理	`sudo net groupmap list` (查看组映射)

3. 配置测试命令

命令	功能	示例
`testparm`	验证 smb.conf 语法	`testparm -s /etc/samba/smb.conf`
`smbcontrol`	运行时配置重载	`sudo smbcontrol smbd reload-config`

4. 客户端访问命令

命令	功能	示例
`smbclient`	FTP式访问共享	`smbclient //192.168.1.10/share -U user`
`mount.cifs`	挂载SMB共享	`sudo mount -t cifs //server/share /mnt -o user=alice`

5. 状态诊断命令

命令	功能	示例
`smbstatus`	查看活动连接	`sudo smbstatus -p` (显示进程)
`nmblookup`	NetBIOS名称解析	`nmblookup -S WORKGROUP`
`tdbdump`	查看Samba数据库	`sudo tdbdump /var/lib/samba/registry.tdb`

6. 高级管理命令

命令	功能	示例
`samba-tool`	域控制器管理	`sudo samba-tool domain provision`
`profiles`	用户配置文件管理	`sudo profiles -a -U user`

核心命令详解

1. smbclient - 命令行客户端

# 匿名访问共享列表
smbclient -L //192.168.1.10 -N

# 交互式访问共享
smbclient //192.168.1.10/public -U alice%password

# 单命令执行
smbclient //server/share -U user -c "ls; put local.txt"

常用交互命令：

ls：列出文件
get file：下载文件
put file：上传文件
mkdir dir：创建目录
tar c：创建压缩包

2. pdbedit - 高级用户管理

# 创建Samba用户（自动关联系统用户）
sudo pdbedit -a -u user2

# 设置账户属性
sudo pdbedit --account-desc="财务部" -u user2

# 导出/导入用户数据库
sudo pdbedit -e smbpasswd:/backup/samba.bak  # 导出
sudo pdbedit -i smbpasswd:/backup/samba.bak  # 导入

3. net - 域和组管理

# 加入Windows域
sudo net ads join -U administrator

# 管理用户组
sudo net groupmap add ntgroup="财务组" unixgroup=finance

# 信任关系管理
sudo net rpc trustdom list

4. samba-tool - 域控制器专用

# 创建新AD域
sudo samba-tool domain provision --use-rfc2307

# 管理DNS记录
sudo samba-tool dns add 192.168.1.10 example.com www A 192.168.1.100

# 密码策略设置
sudo samba-tool domain passwordsettings set --min-pwd-age=1

实用命令组合示例

1. 批量创建用户

for user in alice bob charlie; do
  sudo useradd $user
  echo "$user:Pass123" | sudo pdbedit -a -u $user -t
done

2. 监控实时访问

watch -n 5 "sudo smbstatus -b | grep -v '---'"

3. 共享目录权限修复

sudo setfacl -R -m g:sambashare:rwx /shared
sudo chcon -t samba_share_t /shared  # SELinux修复

排错命令指南

# 检查端口监听
sudo ss -tulpn | grep 'smbd\|nmbd'

# 实时日志监控
sudo tail -f /var/log/samba/log.{smbd,nmbd}

# 名称解析测试
nmblookup -S -U 192.168.1.10 WORKGROUP

# 空会话测试
rpcclient -U "" -N //192.168.1.10

提示：使用 -d <级别> 参数可开启调试模式（如 smbd -d 10），调试级别范围 1-10，数值越大输出越详细。

这些命令覆盖了 Samba 日常管理 90% 的场景，熟练掌握后可高效管理 Linux-Windows 混合网络环境。

`smbpasswd` 命令详解

smbpasswd 是 Samba 套件中用于管理用户密码的核心工具，主要负责 Samba 用户的添加、删除、密码修改和账户状态管理。以下是详细说明：

基本语法

smbpasswd [选项] [用户名]

核心功能选项

选项	功能	示例
`-a`	添加用户	`sudo smbpasswd -a alice`
`-x`	删除用户	`sudo smbpasswd -x bob`
`-d`	禁用用户	`sudo smbpasswd -d charlie`
`-e`	启用用户	`sudo smbpasswd -e david`
`-n`	设置空密码	`sudo smbpasswd -n guest`
`-s`	静默模式（脚本使用）	`echo "pass" \| smbpasswd -s -a user`
`-r`	指定远程服务器	`smbpasswd -r 192.168.1.10 -U alice`
`-m`	设置机器账户密码	`sudo smbpasswd -m SERVER$`

关键操作详解

添加用户

sudo smbpasswd -a username

用户必须已存在于 /etc/passwd
首次添加时会创建 Samba 密码条目

示例输出：

New SMB password: ******
Retype new SMB password: ******
Added user username.

修改密码

sudo smbpasswd username  # 管理员修改
smbpasswd               # 普通用户修改自己的密码

批量操作（脚本使用）

echo -e "new_pass\nnew_pass" | sudo smbpasswd -s -a username

远程密码修改
```
smbpasswd -r samba-server -U username
```

密码存储机制

存储位置：/var/lib/samba/private/passdb.tdb (tdbsam 后端)
密码格式：
- LAN Manager (LM) Hash - 弱加密（默认禁用）
- NT Hash (NTLMv2) - 较安全

加密控制（在 /etc/samba/smb.conf 中设置）：

[global]
encrypt passwords = yes      # 强制加密传输
lanman auth = no             # 禁用不安全的 LM 认证
ntlm auth = yes              # 启用 NTML 认证

账户状态管理

禁用用户后，账户标志会添加 D（Disabled）：

sudo pdbedit -L -v | grep alice
# 输出：Account Flags: [D          ]

启用后标志变为 [U ]（User）

安全实践

强制强密码策略：

[global]
min password length = 8
password complexity = on

定期更换密码：

# 设置密码有效期（天）
sudo pdbedit -P "max password age" -C 90 -u username

审计密码哈希：

sudo pdbedit -L -w  # 查看带密码哈希的用户列表

故障排除

用户添加失败：

# 检查系统用户是否存在
getent passwd username

# 查看 Samba 日志
tail -f /var/log/samba/log.*

密码不匹配：

# 重置密码数据库
sudo smbpasswd -a username -n  # 设空密码
sudo smbpasswd username        # 重新设置

账户锁定：

# 解锁账户
sudo smbpasswd -e username

# 查看锁定状态
sudo pdbedit -L -v | grep "Account Flags"

与 pdbedit 的对比

功能	smbpasswd	pdbedit
添加用户	✅ `-a`	✅ `-a`
删除用户	✅ `-x`	✅ `-x`
密码修改	✅	❌ (需用 `-W` 输入密码)
账户禁用/启用	✅	❌
批量操作	⚠️ 有限	✅ 强大
属性修改	❌	✅ (描述、有效期等)

提示：复杂用户管理建议使用 pdbedit，日常密码操作使用 smbpasswd

使用场景示例

场景 1：创建共享目录用户

# 创建系统用户（无登录权限）
sudo useradd -s /sbin/nologin share_user

# 添加 Samba 密码
sudo smbpasswd -a share_user

场景 2：重置遗忘密码

sudo smbpasswd share_user  # 管理员直接重置

场景 3：临时禁用离职员工账户

sudo smbpasswd -d former_employee

通过 smbpasswd 可快速完成 Samba 用户的密码生命周期管理，是维护 Samba 共享安全的关键工具。

`pdbedit` 命令详解

pdbedit 是 Samba 的高级用户数据库管理工具，提供了比 smbpasswd 更强大的功能，允许管理员进行精细化的用户账户管理。它直接操作 Samba 的用户数据库（passdb.tdb），支持批量操作和丰富的属性配置。

基本语法

pdbedit [选项] [用户名]

核心功能选项

选项	功能	示例
`-L` 或 `--list`	列出所有用户	`sudo pdbedit -L`
`-v` 或 `--verbose`	详细模式（显示完整属性）	`sudo pdbedit -L -v`
`-a` 或 `--create`	添加用户	`sudo pdbedit -a -u alice`
`-x` 或 `--delete`	删除用户	`sudo pdbedit -x -u bob`
`-r` 或 `--modify`	修改用户属性	`sudo pdbedit -r -u alice`
`-i` 或 `--import`	从文件导入用户	`sudo pdbedit -i smbpasswd:backup.txt`
`-e` 或 `--export`	导出用户到文件	`sudo pdbedit -e tdbsam:export.tdb`
`-c` 或 `--account-control`	设置账户控制标志	`sudo pdbedit -c "[D]" -u alice`
`-f` 或 `--fullname`	设置用户全名	`sudo pdbedit -f "Alice Smith" -u alice`
`-h` 或 `--homedir`	设置主目录路径	`sudo pdbedit -h "\\\\server\\alice" -u alice`
`-p` 或 `--profile`	设置配置文件路径	`sudo pdbedit -p "\\\\server\\profiles" -u alice`
`-s` 或 `--script`	设置登录脚本	`sudo pdbedit -s "logon.bat" -u alice`
`-D` 或 `--drive`	设置主驱动器	`sudo pdbedit -D "H:" -u alice`
`-P` 或 `--account-policy`	设置账户策略	`sudo pdbedit -P "max password age" -C 90`
`-w` 或 `--smbpasswd-style`	以 smbpasswd 格式输出	`sudo pdbedit -L -w`

关键操作详解

列出用户信息

# 基本列表
sudo pdbedit -L
# 输出：alice:1000:Alice Smith

# 详细模式（含账户标志）
sudo pdbedit -L -v

详细输出示例：

Unix username:        alice
NT username:          
Account Flags:        [U          ]
User SID:             S-1-5-21-123456789-1234567890-123456789-1000
Primary Group SID:    S-1-5-21-123456789-1234567890-123456789-513
Full Name:            Alice Smith
Home Directory:       \\server\alice
HomeDir Drive:        H:
Logon Script:         logon.bat
Profile Path:         \\server\profiles\alice
...

添加用户
```
sudo pdbedit -a -u alice
```
- 会提示设置密码
- 自动关联同名的系统用户

批量导入/导出

# 导出为 smbpasswd 格式
sudo pdbedit -e smbpasswd:backup.txt

# 从文件导入
sudo pdbedit -i smbpasswd:backup.txt

# 导出整个数据库
sudo pdbedit -e tdbsam:/backup/passdb.bak

账户控制标志

# 禁用账户
sudo pdbedit -c "[D]" -u alice

# 密码永不过期
sudo pdbedit -c "[N ]" -u admin

# 下次登录需改密码
sudo pdbedit -c "[X]" -u newuser

常用标志：

[U]：用户账户（正常）
[D]：禁用账户
[N]：密码永不过期
[X]：密码已过期
[W]：工作站信任账户

账户策略管理

# 设置密码最长使用期（天）
sudo pdbedit -P "max password age" -C 90

# 设置密码最短使用期
sudo pdbedit -P "min password age" -C 1

# 设置密码长度最小值
sudo pdbedit -P "min password length" -C 8

高级属性配置

设置登录脚本
```
sudo pdbedit -s "login.bat" -u alice
```

配置漫游配置文件

sudo pdbedit -p "\\\\server\\profiles\\%U" -u alice

映射主驱动器
```
sudo pdbedit -D "H:" -u alice
```

修改用户 SID

sudo pdbedit --modify --user-sid=S-1-5-21-... -u alice

账户标志详解

标志	十六进制值	描述
`ACB_DISABLED`	0x0001	账户禁用
`ACB_HOMDIRREQ`	0x0002	需要主目录
`ACB_PWNOTREQ`	0x0004	无需密码
`ACB_TEMPDUP`	0x0008	临时重复账户
`ACB_NORMAL`	0x0010	普通账户
`ACB_MNS`	0x0020	MNS 登录账户
`ACB_DOMTRUST`	0x0040	域间信任账户
`ACB_WSTRUST`	0x0080	工作站信任
`ACB_SVRTRUST`	0x0100	服务器信任
`ACB_PWNOEXP`	0x0200	密码永不过期
`ACB_AUTOLOCK`	0x0400	自动锁定
`ACB_PW_EXPIRED`	0x0800	密码已过期

使用示例

场景 1：批量创建用户

for user in sales1 sales2 sales3; do
  sudo useradd -m $user
  echo -e "Pass123\nPass123" | sudo pdbedit -a -t -u $user
  sudo pdbedit -c "[X]" -u $user  # 首次登录需改密码
done

场景 2：迁移 Samba 服务器

# 旧服务器
sudo pdbedit -e tdbsam:passdb-export.tdb

# 新服务器
sudo pdbedit -i tdbsam:passdb-export.tdb
sudo systemctl restart smbd

场景 3：审计账户设置

# 列出所有密码永不过期的账户
sudo pdbedit -L -v | grep "Password must change" -B 8

故障排除

用户属性未生效：

# 强制刷新数据库
sudo pdbedit -r -u username
sudo smbcontrol all reload-config

查看原始数据库：

sudo tdbdump /var/lib/samba/private/passdb.tdb

重置损坏的数据库：

sudo mv /var/lib/samba/private/passdb.tdb{,.bak}
sudo systemctl restart smbd  # 自动创建新数据库

与 smbpasswd 对比

功能	pdbedit	smbpasswd
添加用户	✅	✅
删除用户	✅	✅
修改密码	✅	✅
账户标志管理	✅	❌
密码策略设置	✅	❌
属性修改（全名/主目录等）	✅	❌
批量导入/导出	✅	❌
SID 操作	✅	❌
交互式操作	❌	✅

提示：日常密码管理用 smbpasswd，高级账户配置用 pdbedit

通过 pdbedit 可以实现企业级 Samba 用户管理，特别适合需要精细控制账户属性、密码策略和批量操作的场景。

`smbpasswd -a username` vs `pdbedit -a username` vs `pdbedit -a -u username` 对比详解

这三个命令都用于在 Samba 中添加用户，但存在关键差异：

1. smbpasswd -a username

sudo smbpasswd -a alice

核心功能：
- 添加用户到 Samba 数据库
- 强制要求设置密码（交互式提示）
前提条件：
- 系统用户必须已存在（/etc/passwd）

输出示例：

New SMB password: ******
Retype new SMB password: ******
Added user alice.

特点：
- 仅管理密码相关属性
- 无法设置用户全名、主目录等元数据
- 自动继承系统用户的 UID/GID
适用场景：快速添加用户并设置密码

2. pdbedit -a username

sudo pdbedit -a alice

实际行为：
- 等同于 pdbedit -a -u alice（-u 可省略）
- 添加用户并强制设置密码（交互式提示）

输出示例：

new password: ******
retype new password: ******
Unix username:        alice
NT username:          
Account Flags:        [U          ]
...（显示完整用户属性）

关键差异：
- 添加后会立即显示完整用户属性
- 允许后续通过 pdbedit -r 修改更多属性
注意：某些旧版本可能要求必须使用 -u

3. pdbedit -a -u username

sudo pdbedit -a -u alice

功能说明：
- 显式指定用户名（-u 参数）
- 行为完全等同于 pdbedit -a alice
推荐使用场景：
- 脚本中明确指定用户名
- 避免用户名与选项冲突（如包含特殊字符时）

示例：

# 特殊用户名场景
sudo pdbedit -a -u "user@domain"

核心对比总结

特性	`smbpasswd -a`	`pdbedit -a`	`pdbedit -a -u`
密码设置	强制交互设置	强制交互设置	强制交互设置
用户属性	仅密码	完整属性	完整属性
系统用户依赖	必须存在	必须存在	必须存在
输出信息	简洁状态	完整属性列表	完整属性列表
脚本友好度	支持 `-s` 静默模式	无静默模式	无静默模式
属性修改	仅密码	支持全属性	支持全属性
UID/GID来源	系统用户	系统用户	系统用户
典型用例	快速添加用户	添加并查看用户	脚本/特殊字符用户名

功能差异详解

1. 属性管理能力

# smbpasswd 无法设置的属性
sudo pdbedit -r -u alice \
  -f "Alice Smith" \          # 设置全名
  -h "\\\\server\\homes" \    # 设置主目录
  -s "login.bat"              # 设置登录脚本

✅ pdbedit 支持 20+ 种属性配置
❌ smbpasswd 仅管理密码

2. 密码设置灵活性

# smbpasswd 支持脚本批量操作
echo -e "Pass123\nPass123" | sudo smbpasswd -a -s alice

# pdbedit 需要手动交互（除非使用其他工具辅助）

3. 用户信息展示

$ sudo smbpasswd -a alice  # 只显示"Added user"
$ sudo pdbedit -a alice    # 显示完整账户信息：

Unix username:        alice
Account Flags:        [U          ]
User SID:             S-1-5-21-...
Full Name:            
Home Directory:       \\server\alice
...

最佳实践建议

何时使用 smbpasswd

# 场景：快速添加用户（尤其脚本中）
echo -e "Password123\nPassword123" | sudo smbpasswd -a -s alice

# 场景：重置密码
sudo smbpasswd alice

何时使用 pdbedit

# 场景：需要设置额外属性
sudo pdbedit -a -u alice  # 先创建
sudo pdbedit -r -u alice -f "Alice CEO" -p "\\server\profiles"

# 场景：查看用户详情
sudo pdbedit -L -v | grep alice

# 场景：批量导入用户
sudo pdbedit -i smbpasswd:userlist.txt

特殊注意事项

用户名规范：
- 包含空格或@符号时必须用 -u：
```
sudo pdbedit -a -u "alice smith"
```
密码策略冲突：
- 若配置了强密码策略，两个命令都会拒绝弱密码：
```
Password too short - must be at least 8 characters
```

用户存在性检查：

# 避免重复添加
if ! sudo pdbedit -L | grep -q "^alice:"; then
  sudo pdbedit -a -u alice
fi

技术原理图

graph TB
  A[系统用户 /etc/passwd] --> B[smbpasswd]
  A --> C[pdbedit]
  B --> D[仅写入密码到 passdb.tdb]
  C --> E[写入完整属性到 passdb.tdb]
  D --> F[Samba 认证]
  E --> F

提示：在大多数现代 Samba 部署中，pdbedit 是更强大的选择，但 smbpasswd 在简单场景中更快捷。两者操作的是同一个用户数据库（passdb.tdb），最终效果一致。

配置文件 `/etc/samba/smb.conf` 详解

smb.conf 是 Samba 的核心配置文件，采用类 INI 格式，分为全局设置（[global]）和共享定义两部分。以下是全面解析：

配置文件结构

[global]          # 全局配置节（影响整个Samba服务）
   key = value    # 全局参数

[share1]          # 共享定义1
   key = value    # 共享参数

[printers]        # 打印机共享
   key = value

一、全局配置节 `[global]`

基础网络设置

参数	说明	示例
`workgroup`	工作组名（与Windows相同）	`WORKGROUP`
`netbios name`	服务器NetBIOS名称	`FILE-SERVER`
`server string`	服务器描述文本	`Corporate File Server`
`interfaces`	监听网卡	`lo eth0 192.168.1.0/24`
`bind interfaces only`	仅监听指定网卡	`yes`

安全认证设置

参数	说明	示例
`security`	认证模式	`user` (推荐)
`passdb backend`	密码数据库类型	`tdbsam` (默认)
`encrypt passwords`	密码加密传输	`yes` (必须开启)
`map to guest`	访客映射规则	`Bad User` (非法用户转访客)
`guest account`	访客对应系统账户	`nobody`

域控制器设置（AD集成）

security = ads
realm = EXAMPLE.COM
password server = dc1.example.com
idmap config * : backend = rid
idmap config * : range = 10000-20000

日志与性能

参数	说明	示例
`log file`	日志路径	`/var/log/samba/log.%m`
`max log size`	日志大小限制(KB)	`5000`
`socket options`	网络优化	`TCP_NODELAY SO_RCVBUF=8192`
`deadtime`	空闲连接超时(分钟)	`15`

高级功能

dns proxy = no                   # 禁用DNS代理
winbind enum groups = yes        # 枚举域组
winbind use default domain = yes # 使用默认域
load printers = yes              # 加载打印机
printing = cups                  # 打印系统类型

二、共享定义节 `[自定义共享名]`

通用共享参数

参数	说明	示例
`path`	共享目录路径	`/srv/files`
`available`	启用/禁用	`yes`
`browseable`	是否可见	`yes`
`comment`	注释	`这个共享是干什么的`
`writable`	是否可写	`yes`
`read only`	是否只读	`no` (与`writable`互斥)
`guest ok`	允许访客访问	`yes`
`valid users`	允许访问的用户	`alice, @staff`

权限控制

create mask = 0644     # 文件创建权限
directory mask = 0755  # 目录创建权限
force create mode = 0664 # 强制文件权限
force directory mode = 0775 # 强制目录权限
inherit permissions = yes  # 继承父目录权限

访问控制列表

acl allow execute always = yes  # 允许执行权限
acl group control = yes         # 启用组ACL
nt acl support = yes           # NT ACL支持

特殊共享示例

公共匿名共享

[public]
   path = /srv/public
   browseable = yes
   writable = yes
   guest ok = yes
   force user = smbuser  # 强制文件属主

用户家目录共享

[homes]
   comment = Home Directories
   browseable = no     # 不显示[homes]标签
   writable = yes
   valid users = %S     # 仅允许当前用户

打印机共享

[printers]
   comment = All Printers
   path = /var/spool/samba
   printable = yes
   guest ok = yes
   printing = cups

安全组共享

[finance]
   path = /srv/finance
   valid users = @finance-team
   writable = yes
   read list = @auditors   # 只读用户组
   write list = @finance-admins  # 可写用户组

三、变量与宏

变量	说明
`%S`	当前共享名
`%U`	当前用户名
`%G`	当前用户主组
`%H`	当前用户家目录
`%L`	服务器NetBIOS名
`%m`	客户端NetBIOS名
`%I`	客户端IP地址

使用示例：

[project]
   path = /projects/%U   # 每个用户独立目录
   comment = %U's Project Folder

四、安全增强配置

防暴力破解

[global]
  smb encrypt = required      # 强制SMB加密
  min protocol = SMB3         # 禁用老旧协议
  restrict anonymous = 2      # 限制匿名访问
  logon failure log = yes     # 记录登录失败

审计与监控

[global]
  full audit:prefix = %u|%I|%m  # 审计日志格式
  full audit:success = mkdir rmdir write  # 记录操作
  full audit:failure = connect  # 记录失败连接

五、配置检查与调试

语法检查
```
testparm -s  # 检查配置语法
```

加载顺序

include = /etc/samba/smb.conf.%m  # 按客户端加载配置
config file = /etc/samba/smb.conf.custom  # 自定义配置

调试模式

log level = 3 passdb:5 auth:10  # 详细调试日志

六、完整配置示例

[global]
  workgroup = WORKGROUP
  netbios name = LINUX-SERVER
  server string = %h server (Samba, Ubuntu)
  security = user
  encrypt passwords = yes
  map to guest = Bad User
  guest account = nobody
  log file = /var/log/samba/log.%m
  max log size = 5000

[public]
  path = /srv/public
  available = yes
  browseable = yes
  comment = comment
  read only = no
  writable = yes
  public = yes
  guest ok = yes
  force user = smbuser
  create mask = 0777
  directory mask = 0777

[自定义共享名]
  path = /directory/被共享的文件夹
  available = yes
  browseable = yes
  comment = comment
  read only = no
  writable = yes
  public = yes
  guest ok = yes
  create mask = 0777
  directory mask = 0777

[homes]
  browseable = no
  writable = yes
  valid users = %S

[finance]
  path = /srv/finance
  valid users = @finance
  writable = yes
  read list = @audit
  directory mask = 0770

七、最佳实践

最小权限原则：

[secure]
  writable = no
  write list = admin1, admin2  # 明确指定可写用户

资源隔离：

[dept]
  path = /data/%G   # 按组分配目录

备份配置：

testparm -s > smb.conf.validated  # 生成已验证配置

SELinux集成：

chcon -t samba_share_t /srv/shared  # 设置上下文

访问控制：

hosts allow = 192.168.1. 192.168.2.  # IP白名单
hosts deny = 10.0.0.0/8               # IP黑名单

通过合理配置 smb.conf，可实现从简单文件共享到企业级AD域控制器的完整解决方案。修改后需重启服务：sudo systemctl restart smbd nmbd

`[global]`部分的可配置项

/etc/samba/smb.conf 的 [global] 部分可配置项详解

[global] 部分是 Samba 配置的核心，控制整个服务器的行为。以下是分类整理的关键配置项：

一、基础网络设置

参数	说明	默认值	示例
`workgroup`	工作组/域名	WORKGROUP	`workgroup = MYDOMAIN`
`netbios name`	NetBIOS 主机名	系统主机名	`netbios name = FILESERVER`
`server string`	服务器描述	Samba Server	`server string = File Server v4.0`
`interfaces`	监听接口	所有接口	`interfaces = eth0 192.168.1.0/24`
`bind interfaces only`	仅绑定指定接口	no	`bind interfaces only = yes`
`socket address`	监听IP地址	0.0.0.0	`socket address = 192.168.1.10`

二、安全认证配置

参数	说明	选项	示例
`security`	认证模式	user/ads/domain	`security = ads`
`encrypt passwords`	密码加密	yes	`encrypt passwords = yes`
`passdb backend`	密码后端	tdbsam	`passdb backend = ldapsam`
`realm`	Kerberos 领域	-	`realm = EXAMPLE.COM`
`map to guest`	访客映射	Never	`map to guest = Bad User`
`guest account`	访客账户	nobody	`guest account = smbguest`
`obey pam restrictions`	遵循PAM规则	no	`obey pam restrictions = yes`

三、域控制器集成 (Active Directory)

# AD域加入配置
security = ads
realm = EXAMPLE.COM
password server = dc1.example.com
workgroup = EXAMPLE
idmap config * : backend = rid
idmap config * : range = 10000-20000
winbind enum users = yes
winbind enum groups = yes
winbind use default domain = yes

四、协议与加密控制

参数	说明	选项	示例
`min protocol`	最低协议版本	NT1/SMB2/SMB3	`min protocol = SMB2`
`max protocol`	最高协议版本	NT1/SMB3	`max protocol = SMB3`
`server min protocol`	服务器最低协议	-	`server min protocol = SMB2_10`
`smb encrypt`	加密要求	auto/desired/required	`smb encrypt = required`
`client ipc min protocol`	IPC最低协议	-	`client ipc min protocol = SMB3_11`

五、名称解析与浏览

参数	说明	默认值	示例
`name resolve order`	名称解析顺序	lmhosts host wins bcast	`name resolve order = wins bcast`
`wins support`	作为WINS服务器	no	`wins support = yes`
`wins server`	WINS服务器地址	-	`wins server = 192.168.1.100`
`local master`	参与主浏览器选举	yes	`local master = no`
`os level`	选举优先级	20	`os level = 65`
`domain master`	域主浏览器	auto	`domain master = yes`

六、日志与调试

参数	说明	示例
`log file`	日志文件路径	`/var/log/samba/log.%m`
`max log size`	日志大小(KB)	`max log size = 5000`
`log level`	日志级别	`log level = 3 auth:5`
`debug timestamp`	日志时间戳	`debug timestamp = yes`
`syslog`	Syslog级别	`syslog = 1`
`syslog only`	仅用Syslog	`syslog only = no`

七、性能优化

参数	说明	示例
`socket options`	网络优化	`TCP_NODELAY SO_RCVBUF=8192`
`read raw`	大块读取	`read raw = yes`
`write raw`	大块写入	`write raw = yes`
`aio read size`	异步读取阈值	`aio read size = 4096`
`aio write size`	异步写入阈值	`aio write size = 4096`
`deadtime`	空闲超时(分)	`deadtime = 15`
`getwd cache`	路径缓存	`getwd cache = yes`

八、打印机集成

load printers = yes
printing = cups
printcap name = cups
cups options = raw
print command = lpr -r -P%p %s

九、高级功能

参数	说明	示例
`include`	包含配置文件	`include = /etc/samba/smb.conf.%m`
`config file`	动态配置文件	`config file = /etc/samba/smb.conf.%U`
`panic action`	崩溃处理	`/usr/share/samba/panic-action %d`
`dns proxy`	DNS代理	`dns proxy = no`
`kernel change notify`	内核通知	`kernel change notify = yes`
`use mmap`	内存映射	`use mmap = yes`

十、用户与组映射

# Unix用户→Windows用户
username map = /etc/samba/smbusers

# 组映射
idmap config * : backend = tdb
idmap config * : range = 10000-20000
idmap config DOMAIN : backend = rid
idmap config DOMAIN : range = 50000-1000000

十一、审计与监控

# 完整操作审计
full audit:prefix = %u|%I|%m
full audit:success = connect opendir mkdir rmdir open unlink rename
full audit:failure = connect

# 实时监控
change notify = yes
notify:inotify = yes

十二、全局访问控制

# IP访问限制
hosts allow = 192.168.1. 192.168.2. EXCEPT 192.168.1.100
hosts deny = 10.0.0.0/8

# 服务限制
disable netbios = no
smb ports = 445

关键配置示例组合

安全强化配置

[global]
  min protocol = SMB2
  server min protocol = SMB2
  smb encrypt = required
  restrict anonymous = 2
  lanman auth = no
  ntlm auth = no
  logon failure log = yes

高性能文件服务器

[global]
  socket options = TCP_NODELAY IPTOS_LOWDELAY
  aio read size = 16384
  aio write size = 16384
  use mmap = yes
  strict locking = no
  getwd cache = yes
  read raw = yes
  write raw = yes

AD域成员服务器

[global]
  security = ads
  realm = CORP.EXAMPLE.COM
  workgroup = CORP
  password server = dc1.corp.example.com
  winbind enum users = yes
  winbind enum groups = yes
  winbind use default domain = yes
  template homedir = /home/%U
  template shell = /bin/bash

配置验证命令

# 语法检查
testparm -s

# 查看生效配置
testparm -v | less

# 用户权限测试
smbclient -L localhost -U%

最佳实践：

修改前备份配置 cp /etc/samba/smb.conf{,.bak}

使用 testparm 验证语法

增量修改：每次只改少量配置并测试

重要变更前创建快照 testparm -s > smb.conf.validated

通过合理配置 [global] 部分，可构建从简单文件共享到企业级域控制器的完整解决方案。

`[global]`部分的 `workgroup` , `netbios name` , `server string` , 详解

[global] 部分关键参数详解：workgroup, netbios name, server string

这三个参数是 Samba 配置中最基础且重要的标识设置，决定了服务器在网络中的显示和行为：

1. workgroup - 工作组/域名

作用：定义服务器所属的 Windows 工作组或 Active Directory 域名
默认值：WORKGROUP
格式：大写字符串（15字符内）

示例：

workgroup = MYCORP      # 工作组模式
workgroup = AD_DOMAIN   # AD域模式

详细说明：
- 在 Windows 网络邻居中，计算机会按工作组分组显示
- 工作组模式：用于对等网络（无域控制器）
```
workgroup = OFFICE    # 所有共享计算机使用相同工作组名
security = user       # 使用本地认证
```
- 域模式：加入 Active Directory 域
```
workgroup = AD_DOMAIN  # 必须与AD域名一致
security = ads         # 使用AD认证
realm = AD_DOMAIN.LOCAL
```
- 跨子网浏览要求所有服务器使用相同工作组名
- 使用 net ads join 加域时需要此参数匹配

诊断命令：

smbclient -L localhost -U%  # 查看工作组信息
nmblookup -S WORKGROUP      # 查询工作组中的计算机

2. netbios name - NetBIOS 名称

作用：设置服务器在 Windows 网络中的显示名称
默认值：系统主机名（大写）
格式：15字符内（NetBIOS限制），建议字母/数字
示例：
```
netbios name = FILESRV01
```
详细说明：
- 网络邻居和 \\server 访问时使用的名称
- 名称冲突会导致网络浏览问题（需唯一）
- 当主机名包含非法字符（如 .）时应显式设置
```
# 主机名为 server01.domain.com
netbios name = SERVER01   # 显式设置合法名称
```
- 影响 nmbd 服务的名称注册
- 在 DNS 环境中，建议匹配主机名（非强制）

名称解析流程：

graph LR
  A[客户端] -->|1. 查询 SERVER01| B(nmbd)
  B -->|2. 返回IP| A
  A -->|3. 连接 smbd| C(smbd)

诊断命令：

nmblookup -A 192.168.1.10  # 查看注册的NetBIOS名称
smbstatus -b               # 显示当前连接的客户端

3. server string - 服务器描述

作用：设置服务器在网络邻居中的描述文本
默认值：Samba Server
格式：任意字符串（支持变量）

示例：

server string = File Server %v (Location: NYC)

详细说明：
- 纯描述性文本，不影响功能
- 支持变量：
  - %v：Samba 版本
  - %h：主机名
  - %L：服务器 NetBIOS 名
  - %I：客户端 IP
  - %m：客户端 NetBIOS 名
- 典型应用：
```
server string = Production File Server v%v
server string = %h (Samba %v) - IT Department
```
- 在 Windows 中显示位置：
```
网络 > 工作组 > [计算机图标]
名称：FILESRV01
描述：Production File Server v4.15.2
```
对比示例：

参数网络邻居显示
netbios name = SRV01 计算机名: SRV01
server string = Backup Server 描述: Backup Server

参数	网络邻居显示
`netbios name = SRV01`	计算机名: SRV01
`server string = Backup Server`	描述: Backup Server

三参数协同配置示例

场景 1：基本工作组环境

[global]
  workgroup = MYOFFICE       # 工作组名称
  netbios name = FILESERVER  # 网络显示名
  server string = Main File Server v%v

场景 2：Active Directory 域环境

[global]
  workgroup = AD_DOMAIN      # 必须匹配AD域名
  netbios name = SRV-LINUX01 # AD中的计算机名
  server string = Linux File Server (Managed by IT)
  security = ads
  realm = AD_DOMAIN.LOCAL

关键注意事项

命名冲突：
```
# 检测NetBIOS名称冲突
nmblookup SRV_TEST
```
- 若返回多个IP，需修改 netbios name
名称长度限制：
- workgroup 和 netbios name 建议 ≤15 字符
- 超长名称会被截断（可能引发问题）

变更生效：

sudo systemctl restart nmbd smbd  # 重启服务生效
sudo nmbd -F                     # 强制刷新浏览列表

多网卡环境：

interfaces = eth0 192.168.1.0/24
bind interfaces only = yes       # 限制名称注册范围

浏览问题排查：

smbclient -L //localhost -U%    # 本地浏览测试
findsmb                         # 列出网络中的SMB设备

最佳实践：

生产环境始终显式设置 netbios name

AD域中确保 workgroup 与域名完全匹配

使用 %v 在 server string 中显示版本便于维护

避免在名称中使用特殊字符 @, \, /, :, *

通过合理配置这三个参数，可确保 Samba 服务器在网络中正确标识并被客户端顺利访问。

`[global]`部分的 `security` , `map to guest` , `guest account` 详解

[global] 部分安全参数详解：security, map to guest, guest account

这三个参数共同决定了 Samba 的认证机制和访客访问策略，是安全配置的核心：

1. security - 安全认证模式 作用：定义用户认证方式
默认值：user
选项：

选项	描述	适用场景
`user`	本地用户认证（默认）	独立服务器
`ads`	Active Directory 域认证	AD域成员
`domain`	NT4 域认证	旧版Windows域
`auto`	自动选择（已废弃）	-
`server`	委托其他服务器认证（不安全）	不推荐

详细说明：

; 本地用户认证（最常见）
security = user
passdb backend = tdbsam  ; 使用本地数据库

; Active Directory 域认证
security = ads
realm = AD.EXAMPLE.COM   ; Kerberos领域
workgroup = AD           ; 域名

认证流程差异：

graph LR
  A[客户端] --> B{security模式}
  B -->|user| C[本地密码数据库]
  B -->|ads| D[AD域控制器]
  B -->|domain| E[NT4域控制器]
  C/D/E --> F[认证结果]

最佳实践：

单机服务器使用 security = user
企业环境使用 security = ads 集成AD
避免使用 server 模式（已过时且不安全）

2. map to guest - 访客映射策略 作用：处理认证失败的用户
默认值：Never
选项：

选项	描述	安全等级
`Never`	拒绝访问（最严格）	★★★★★
`Bad User`	无效用户名→访客	★★★☆☆
`Bad Password`	密码错误→访客（危险！）	★☆☆☆☆

详细说明：

; 拒绝所有认证失败的用户（默认）
map to guest = Never

; 仅当用户名不存在时转为访客（推荐）
map to guest = Bad User

; 密码错误也转为访客（极不安全！）
; map to guest = Bad Password  # 禁止在生产环境使用

工作流程：

graph TD
  A[认证请求] --> B{用户存在？}
  B -->|是| C{密码正确？}
  B -->|否| D[映射策略]
  C -->|是| E[认证通过]
  C -->|否| D
  D -->|Never| F[拒绝访问]
  D -->|Bad User| G[转为访客]
  D -->|Bad Password| G

典型配置：

; 允许匿名访问公共区域
security = user
map to guest = Bad User  ; 无效用户转访客
guest account = nobody   ; 访客身份

[public]
  path = /srv/public
  guest ok = yes         ; 允许访客访问

3. guest account - 访客系统账户 作用：指定访客访问时使用的Linux系统账户
默认值：nobody
要求：账户必须存在于 /etc/passwd

详细说明：

; 使用默认nobody账户
guest account = nobody

; 创建专用访客账户更安全
sudo useradd -r -s /sbin/nologin smbguest
guest account = smbguest

权限控制：

# 设置目录权限（访客只读）
sudo chown -R smbguest:smbguest /srv/public
sudo chmod 755 /srv/public

账户要求：

必须存在：getent passwd smbguest
建议锁定：sudo passwd -l smbguest
权限最小化：不给shell访问权限

三参数协同配置示例

场景1：严格安全（无访客）

[global]
  security = user
  map to guest = Never       ; 禁用访客
  ; guest account 无需设置

[secured]
  path = /srv/secure
  valid users = @staff       ; 仅允许认证用户

场景2：公共文件共享

[global]
  security = user
  map to guest = Bad User    ; 无效用户转访客
  guest account = smbguest   ; 专用访客账户

[public]
  path = /srv/public
  guest ok = yes             ; 允许访客访问
  force user = smbguest      ; 强制文件属主

场景3：AD域环境访客

[global]
  security = ads
  realm = AD.EXAMPLE.COM
  map to guest = Bad User
  guest account = ad-guest   ; 域访客账户

[public]
  path = /srv/public
  guest ok = yes

安全实践指南

最小权限原则：

sudo useradd -r -s /bin/false smbguest
sudo chown smbguest:smbguest /srv/public
sudo chmod 755 /srv/public

避免密码策略漏洞：

; 禁止危险配置
map to guest = Bad Password  ; 永远不要使用！
lanman auth = yes            ; 禁用老旧认证

访客账户加固：

# 锁定账户
sudo usermod -L smbguest
sudo chsh -s /sbin/nologin smbguest

# 限制文件系统访问
sudo setfacl -m u:smbguest:--x /  # 仅允许访问必要目录

审计配置：

# 检查生效配置
testparm -v | grep -E 'security|map to guest|guest account'

# 测试访客访问
smbclient //server/public -N

故障排除

问题：访客访问被拒绝
排查步骤：

检查账户存在性：getent passwd smbguest
验证目录权限：ls -ld /srv/public

检查SELinux上下文：

sudo semanage fcontext -a -t samba_share_t "/srv/public(/.*)?"
sudo restorecon -Rv /srv/public

问题：Bad User 策略不生效
调试方法：

log level = 3 auth:5  # 启用详细认证日志

检查日志：

/var/log/samba/log.smbd
  [2023-01-01] auth: check_sam_security: Bad User → guest

关键原则：

生产环境优先使用 map to guest = Never

必须开放访客访问时使用 map to guest = Bad User

始终创建专用 guest account 代替默认 nobody

通过合理配置这三个参数，可在安全性和便利性之间取得平衡，实现灵活的资源访问控制。

`guest account = nobody` 与 `guest account = root` 的效果

guest ok、map to guest 和 guest account 关系详解

这三个参数共同控制 Samba 的访客访问机制，形成一个完整的访客访问流程链：

graph LR
  A[客户端请求] --> B{map to guest 策略}
  B -->|Bad User/Password| C[启用访客会话]
  B -->|Never| D[拒绝访问]
  C --> E{共享设置 guest ok}
  E -->|yes| F[使用 guest account]
  E -->|no| G[拒绝访问]
  F --> H[文件系统操作]

1. map to guest (全局参数) 作用：决定是否将认证失败的客户端转为访客
位置：[global] 部分
选项：

Never：永不转为访客（严格模式）
Bad User：用户名不存在时转为访客（推荐）
Bad Password：密码错误时转为访客（危险！）

工作时机：
在客户端认证阶段触发

sequenceDiagram
  客户端->>Samba： 连接请求（无效用户/密码）
  Samba-->>全局策略： 检查 map to guest
  alt Bad User/Bad Password
    Samba-->>客户端： 转为访客会话
  else Never
    Samba-->>客户端： 拒绝访问（错误 1326）
  end

2. guest ok (共享级参数) 作用：控制特定共享是否允许访客访问
位置：每个共享定义中（如 [public]）
选项：

yes：允许访客访问该共享
no：禁止访客访问（默认）

关键特性：

仅当 map to guest 已创建访客会话时才生效
每个共享独立配置
别名：public（功能相同）

3. guest account (全局参数) 作用：定义访客使用的Linux系统账户
位置：[global] 部分
功能：

指定文件系统操作的身份
决定文件权限（属主/组）
控制SELinux上下文

要求：

账户必须存在于 /etc/passwd
建议使用低权限账户（如 nobody）

三参数协同工作流程

场景 1：公共匿名共享

[global]
  map to guest = Bad User   ; 无效用户转访客
  guest account = nobody    ; 使用nobody账户

[public]
  path = /srv/public
  guest ok = yes            ; 允许访客访问

访问流程：

客户端访问 \\server\public（不提供凭据）
Samba 检测到无效用户 → 触发 map to guest = Bad User
检查 [public] 的 guest ok = yes → 允许访问
所有文件操作以 nobody 身份执行

场景 2：混合认证共享

[global]
  map to guest = Bad User
  guest account = smbguest

[secured]
  path = /srv/secure
  guest ok = no             ; 禁止访客
  valid users = @staff      ; 仅允许认证用户

访问结果：

认证用户：正常访问
无效用户：
1. 触发 map to guest = Bad User → 转为访客
2. 检查 guest ok = no → 拒绝访问

场景 3：严格安全环境

[global]
  map to guest = Never      ; 禁用访客转换
  ; guest account 未设置（因为不需要）

[data]
  path = /srv/data
  guest ok = no             ; 冗余设置
  valid users = admin

访问结果：

所有认证失败直接拒绝（包括无效用户）
guest ok = yes 在此配置下无效

参数依赖关系表

参数	生效条件	可独立配置	依赖项
`map to guest`	全局生效	✓	无
`guest ok`	需先满足 `map to guest` 创建访客会话	✗	依赖全局访客机制
`guest account`	当 `guest ok=yes` 时生效	✗	需配合访客访问

安全配置建议

1. 安全匿名共享配置

[global]
  map to guest = Bad User
  guest account = smbguest  ; 专用低权限账户

[public]
  path = /srv/public
  guest ok = yes
  force user = smbguest     ; 强制文件属主
  create mask = 0644        ; 限制权限

2. 加固措施

# 创建专用访客账户
sudo useradd -r -s /usr/sbin/nologin -d /nonexistent smbguest

# 设置目录权限
sudo chown smbguest:smbguest /srv/public
sudo chmod 2775 /srv/public  # SGID保持组权限

3. 危险配置示例（避免使用）

[global]
  map to guest = Bad Password  ; 密码错误转访客 → 安全漏洞
  guest account = root         ; 访客获得root权限 → 致命风险

[unsafe]
  path = /
  guest ok = yes              ; 开放整个文件系统

调试命令

# 检查生效的访客账户
testparm -v | grep "guest account"

# 测试访客访问
smbclient //server/public -N  # -N = 无密码

# 查看会话身份
sudo smbstatus -v | grep "Guest"
# 输出：Guest: smbguest (uid=1001, gid=1001)

黄金法则：

始终使用 map to guest = Bad User 而非 Bad Password

永远不要设置 guest account = root

仅在必要共享启用 guest ok = yes

为访客创建专用低权限系统账户

通过合理配置这三个参数的协作关系，可实现既灵活又安全的匿名访问机制。

`[共享名]`部分的可配置项目

[共享名] 部分的可配置项目详解

共享定义部分是 Samba 配置的核心，决定了每个共享资源的行为和权限。以下是分类整理的关键配置项，包含详细说明和示例：

一、基础设置

参数	描述	默认值	示例	说明
`path`	共享目录绝对路径	必需	`/srv/files`	必须存在且可访问
`comment`	共享描述（客户端可见）	无	`财务部共享文件夹`	支持中文
`browseable`	是否在网络中可见	`yes`	`browseable = no`	隐藏但可访问
`available`	是否启用共享	`yes`	`available = no`	临时禁用共享

二、访问控制

参数	描述	选项	示例	说明
`guest ok`	允许访客访问	yes/no	`guest ok = yes`	别名：`public`
`valid users`	允许访问的用户	列表	`alice, @finance`	`@`=用户组
`invalid users`	禁止访问的用户	列表	`bob, @interns`	优先级最高
`read list`	只读用户	列表	`@auditors`	覆盖写权限
`write list`	可写用户	列表	`@managers`	覆盖只读限制
`hosts allow`	IP白名单	CIDR	`192.168.1. 10.0.0.`	共享级覆盖全局
`hosts deny`	IP黑名单	CIDR	`192.168.1.100`	优先级高于allow

三、权限管理

参数	描述	默认值	示例	说明
`read only`	是否只读	`yes`	`read only = no`	别名：`writable = yes`
`create mask`	文件创建权限	`0744`	`create mask = 0644`	八进制格式
`directory mask`	目录创建权限	`0755`	`directory mask = 2770`	设置SGID位
`force create mode`	强制文件权限	`0000`	`0664`	覆盖create mask
`force directory mode`	强制目录权限	`0000`	`2775`	设置SGID
`inherit permissions`	继承父目录权限	`no`	`inherit permissions = yes`	忽略mask设置
`force user`	强制文件属主	无	`force user = smbuser`	统一操作身份
`force group`	强制文件属组	无	`force group = smbgroup`	统一组权限

四、文件系统行为

参数	描述	默认值	示例	说明
`hide dot files`	隐藏点文件	`yes`	`hide dot files = no`	显示隐藏文件
`hide files`	隐藏特定文件	无	`/.tmp/.log/`	斜杠分隔列表
`veto files`	禁止访问文件	无	`/.bak/.conf/`	彻底屏蔽
`follow symlinks`	跟踪符号链接	`yes`	`follow symlinks = no`	安全加固
`wide links`	允许跨设备链接	`yes`	`wide links = no`	与follow协同
`case sensitive`	文件名大小写敏感	auto	`case sensitive = yes`	跨平台兼容
`preserve case`	保留文件名大小写	`yes`	`preserve case = no`	DOS风格命名

五、高级功能

参数	描述	默认值	示例	说明
`shadow:format`	影子副本格式	-	`-%Y.%m.%d-%H.%M`	Windows卷影复制
`shadow:snapdir`	快照目录	.snapshots	`/srv/snapshots`	ZFS/Btrfs集成
`vfs objects`	VFS插件	无	`vfs objects = recycle`	回收站功能
`recycle:repository`	回收站路径	.recycle	`recycle/%U`	按用户隔离
`aio read size`	异步读阈值(KB)	`0`	`1024`	性能优化
`aio write size`	异步写阈值(KB)	`0`	`1024`	提升并发性

配置示例组合

1. 安全组共享

[财务部]
  path = /srv/finance
  comment = 财务数据 (仅授权访问)
  valid users = @finance
  browseable = yes
  read only = no
  write list = @finance-managers
  create mask = 0660
  directory mask = 2770  # SGID保持组权限
  veto files = /*.xlsx/*.bak/  # 禁止特定文件

2. 公共上传区

[公共上传]
  path = /srv/public
  guest ok = yes
  force user = uploader
  create mask = 0664
  directory mask = 0775
  inherit permissions = yes
  vfs objects = recycle  # 启用回收站
  recycle:repository = /srv/recycle-bin
  recycle:keeptree = yes  # 保留目录结构

3. 家目录共享

[homes]
  comment = 用户家目录
  browseable = no  # 不显示[homes]，显示用户名共享
  read only = no
  valid users = %S  # 仅允许当前用户
  create mask = 0700
  directory mask = 0700
  follow symlinks = no  # 安全加固

权限计算逻辑

文件创建权限流程：

graph TD
  A[客户端请求创建文件] --> B{是否启用 inherit?}
  B -->|是| C[继承父目录权限]
  B -->|否| D[应用 create mask]
  D --> E[叠加 force create mode]
  E --> F[最终权限]

访问控制优先级：

graph LR
  A[hosts deny] --> B[hosts allow]
  B --> C[invalid users]
  C --> D[valid users]
  D --> E[write list/read list]

最佳实践指南

权限最小化原则

create mask = 0660  # 禁止其他用户访问
directory mask = 2770 # SGID保持组权限
force group = +project  # +表示主组+附加组

安全加固配置

follow symlinks = no
wide links = no
veto files = /*.exe/*.dll/*.sh/  # 禁止可执行文件
hide files = /.*/secret.*/  # 隐藏敏感文件

企业级审计

full audit:prefix = %u|%I|%m
full audit:success = mkdir rmdir write rename
full audit:failure = connect

回收站配置

vfs objects = recycle
recycle:repository = .recycle/%U  # 按用户隔离
recycle:maxsize = 1000000  # 1GB限制
recycle:versions = yes     # 保留版本

调试与验证

配置验证

testparm -s  # 检查语法
testparm -v --section-name="共享名"  # 查看特定共享生效参数

权限测试

# 模拟用户访问
smbclient //server/share -U user
# 测试写权限
smbclient //server/share -U user -c "put local.txt"

实时监控

# 查看文件操作
inotifywait -m -r /srv/shared
# 监控Samba日志
tail -f /var/log/samba/log.smbd

关键提示：

修改后需重启服务：sudo systemctl restart smbd

使用 force user 解决权限问题，但需评估安全风险

生产环境避免 browseable = yes + guest ok = yes 组合

通过合理配置这些参数，可实现从简单文件共享到企业级安全存储的各类解决方案。

`[共享名]`部分的 `path` 和 `volume`

[共享名] 部分的 path 与 volume 参数详解

这两个参数共同定义了共享的物理和逻辑特性，在 Samba 配置中扮演不同但互补的角色：

path 参数：物理路径定义

特性	说明
作用	定义共享目录在服务器文件系统中的物理位置
必要性	必需参数 (共享定义的核心)
格式	绝对路径 (以 `/` 开头)
默认值	无
示例	`path = /srv/files`
动态支持	支持变量：`%U`(用户), `%G`(组), `%I`(IP) 等
客户端可见性	不可见 (底层实现细节)

关键功能：

指定文件系统上的实际目录位置
决定 Samba 访问哪些物理文件
必须存在且 Samba 进程有访问权限
支持变量实现动态路径 (如用户目录)

[用户目录]
  path = /home/%U  # 动态路径：用户A → /home/userA

volume 参数：逻辑卷标

特性	说明
作用	设置客户端看到的卷标名称
必要性	可选参数 (增强用户体验)
格式	任意字符串
默认值	共享名称
示例	`volume = 财务数据存储`
动态支持	不支持变量
客户端可见性	在文件资源管理器中显示

关键功能：

定义客户端挂载时显示的卷标名称
纯描述性文本，不影响功能
增强用户友好性
在 Windows 的"计算机"中显示

[finance]
  path = /srv/finance_data
  volume = 财务部共享驱动器  # 客户端显示此名称

对比分析表

特性	`path`	`volume`
配置目的	物理存储位置	逻辑显示名称
必要性	必需	可选
值类型	绝对路径	任意字符串
变量支持	支持 (`%U`, `%G`等)	不支持
客户端可见	隐藏	显示为卷标
影响功能	直接决定文件访问	仅影响显示
默认值	无	共享名称
示例值	`/srv/shared`	`部门共享`

客户端视角对比 Windows 资源管理器显示：

网络位置 > SERVER
  ├── 📁 finance
  └── 驱动器 F: (财务部共享驱动器)  # volume 显示在此
      ├── 报表.xlsx  # 实际来自 /srv/finance_data
      └── 预算.doc

Linux 挂载点：

$ smbclient -L //server -U user
Sharename       Type      Comment
---------       ----      -------
finance         Disk      财务部共享驱动器  # volume 作为注释显示

协同配置示例

场景 1：基础共享

[公共文件]
  path = /srv/public_files
  volume = 公司公共资源库  # 覆盖默认共享名显示
  guest ok = yes

效果：

物理路径：/srv/public_files
客户端显示卷标："公司公共资源库"

场景 2：动态用户目录

[个人存储]
  path = /home/%U/Documents  # 动态路径
  volume = %U的私人空间  # 错误！变量无效
  valid users = %U

修正方案：

[个人存储]
  path = /home/%U/Documents
  volume = 我的文档空间  # 静态名称，所有用户相同显示
  # 或完全省略 volume，默认显示共享名"个人存储"

场景 3：企业级配置

[工程数据]
  path = /cluster/gluster/projectX  # 分布式存储路径
  volume = 项目X设计资料 (只读)
  read only = yes
  valid users = @engineers
  vfs objects = glusterfs

最佳实践指南

path 安全准则：

# 创建专用目录
sudo mkdir -p /srv/shares/finance

# 设置权限
sudo chmod 2770 /srv/shares/finance  # SGID保持组权限
sudo chown :sambashare /srv/shares/finance

# SELinux上下文
sudo semanage fcontext -a -t samba_share_t "/srv/shares/finance(/.*)?"
sudo restorecon -Rv /srv/shares/finance

volume 命名规范：
- 使用清晰的功能描述（如"财务审计资料"）
- 包含状态信息（如"(归档)"、"(只读)"）
- 长度 ≤ 32字符（兼容Windows限制）
- 避免特殊字符 \ / : * ? " < > |

动态路径技巧：

[临时空间]
path = /srv/temp/%I_%m  # IP+客户端名组合
root preexec = mkdir -p /srv/temp/%I_%m && chmod 1777 /srv/temp/%I_%m
root postexec = rm -rf /srv/temp/%I_%m  # 会话结束清理

企业级方案：

[客户数据]
path = /mnt/secure/%(USERDOMAIN)/%(USERNAME)  # AD环境变量
volume = %(USERDOMAIN)域-私人存储
hide files = /.*/  # 隐藏点文件
vfs objects = audit  # 启用审计

故障排除

path 常见错误：

路径不存在：

# 客户端报错：NT_STATUS_BAD_NETWORK_NAME
sudo mkdir -p /srv/shared

权限不足：

# 客户端报错：NT_STATUS_ACCESS_DENIED
sudo setfacl -m g:sambashare:rwx /srv/shared

SELinux 阻止：

# 检查日志：grep AVC /var/log/audit/audit.log
sudo ausearch -c 'smbd' --raw | audit2allow -M mypolicy
sudo semodule -i mypolicy.pp

volume 显示问题：

Windows 缓存：断开重连 net use * /del /y
字符编码：使用 UTF-8 配置 dos charset = UTF8
长度截断：保持名称简洁

关键总结

path：
物理核心 - 定义服务器上的真实目录位置，必须存在且可访问
volume：
逻辑装饰 - 仅改变客户端显示名称，不影响实际功能

黄金法则：

始终优先确保 path 正确配置

volume 是可选的用户体验增强项

生产环境避免在 path 中使用高风险变量

使用专用目录而非 /home 或根目录

通过合理配置这两个参数，可实现既满足技术需求又提升用户体验的专业级共享服务。

`[共享名]`部分的 `available` , `browseable` , `comment`

available、browseable、comment 参数详解

这三个参数是 Samba 共享配置的基础控制项，分别管理共享的可用性、可见性和描述信息：

graph TD
  A[available] -->|启用/禁用| B[共享功能]
  C[browseable] -->|显示/隐藏| D[网络可见性]
  E[comment] -->|描述文本| F[客户端显示]

1. available - 共享可用性控制 作用：临时启用或禁用共享
默认值：yes（启用）
选项：

yes：共享可用
no：共享禁用（客户端无法访问）

使用场景：

[临时共享]
  path = /srv/temp
  available = no  # 维护期间禁用
  comment = 维护中，预计18:00恢复

特点：

动态开关：无需重启服务
客户端表现：访问时提示 "BAD_NETWORK_NAME"
与 browseable 关系：当 available = no 时，无论 browseable 如何设置都不可见

生效验证：

smbclient -L //server -U% | grep "临时共享"  # 无输出

2. browseable - 网络可见性控制 作用：控制共享是否在网络中显示
默认值：yes（可见）
选项：

yes：在"网络邻居"中显示
no：隐藏共享（需直接访问）

使用场景：

[敏感数据]
  path = /srv/confidential
  browseable = no  # 隐藏共享
  comment = 仅通过直接路径访问
  valid users = @managers

特点：

隐藏≠不可访问：知道路径仍可访问（\\server\敏感数据）
客户端影响：
- Windows：不显示在网络位置
- Linux：smbclient -L 不显示
与 available 关系：
- available=no：强制不可见
- available=yes + browseable=no：隐藏但可访问

访问隐藏共享：

smbclient //server/敏感数据 -U manager

3. comment - 共享描述信息 作用：设置共享的友好描述文本
默认值：无
格式：任意字符串（支持中文和变量）

使用场景：

[公共资源]
  path = /srv/public
  comment = 公司公共文件 (最后更新: %d)  # %d=当前日期
  guest ok = yes

特点：

客户端可见位置：
- Windows：共享属性 > 描述
- Linux：smbclient -L 输出
支持变量：
- %u：当前用户名
- %h：服务器主机名
- %d：当前日期
- %v：Samba 版本

描述示例：

comment = 研发文档库 - 负责人: %u  # 显示当前配置用户
comment = 服务器: %h (Samba %v)   # 显示服务器信息

三参数协同配置示例

场景 1：临时维护中的共享

[项目文档]
  path = /srv/project-docs
  available = no          # 禁用访问
  browseable = yes        # 显示但不可访问
  comment = [维护中] 数据库迁移，预计2023-12-01恢复

场景 2：隐藏的管理共享

[管理员]
  path = /srv/admin
  browseable = no         # 不在网络中显示
  comment = 系统管理区域 (仅限IT部门)
  valid users = @it-team
  writable = yes

场景 3：多语言描述共享

[公共下载]
  path = /srv/downloads
  comment = Public Downloads / 公共下载区 / 公開ダウンロード
  guest ok = yes
  browseable = yes

参数对比表

特性	`available`	`browseable`	`comment`
功能	启用/禁用访问	控制可见性	设置描述文本
默认值	`yes`	`yes`	无
客户端影响	禁止访问	隐藏入口	显示描述
动态修改	支持（即时生效）	支持（即时生效）	支持
依赖关系	可独立设置	依赖 `available=yes`	无依赖
典型用途	维护模式	敏感共享隐藏	用户指引

最佳实践指南

1. 生产环境推荐配置

[部门共享]
  path = /srv/sales
  available = yes         # 显式启用
  browseable = yes        # 正常可见
  comment = 销售部共享 - 负责人: 张三 (更新频率: 每日)
  valid users = @sales

2. 安全加固建议

# 敏感共享配置
[薪资数据]
  path = /srv/payroll
  browseable = no        # 隐藏共享
  comment = 人力资源专用 - 禁止外传!
  valid users = @hr
  hosts allow = 10.10.1.0/24  # 限制IP段

3. 维护模式配置

# 维护通告
[系统升级]
  path = /srv/upgrade
  available = no
  browseable = yes       # 显示维护信息
  comment = [维护中] 系统升级进行中，预计恢复时间: 2023-12-05 18:00

调试与验证命令

1. 查看共享状态

# 显示所有可用共享（含描述）
smbclient -L //localhost -U%

# 输出示例：
Sharename       Type      Comment
---------       ----      -------
公共下载         Disk      Public Downloads / 公共下载区
管理员           Disk      系统管理区域 (仅限IT部门)

2. 检查隐藏共享

# 直接访问隐藏共享
smbclient //server/管理员 -U it-user

# 验证 available=no
smbclient //server/项目文档  # 提示 NT_STATUS_BAD_NETWORK_NAME

3. 实时配置检查

# 查看生效参数
testparm -v --section-name="共享名" | grep -E 'available|browseable|comment'

# 输出示例：
available = Yes
browseable = No
comment = 敏感数据 - 直接访问

常见问题解答

Q：available=no 和 browseable=no 有何区别？
A：本质区别：

available=no：完全禁用（无法访问）
browseable=no：隐藏但可访问（知道路径即可）

Q：注释中变量何时解析？
A：变量在客户端访问时动态解析：

%d → 当前日期
%u → 访问用户名
%v → Samba 版本

Q：如何批量禁用周末共享？

[周末备份]
  path = /srv/weekend-backup
  available = %a  # %a=星期几 (0=周日,6=周六)
  comment = 仅周末可用 (当前状态: %a)

说明：%a 值：0=周日,1=周一...6=周六

Q：隐藏共享是否绝对安全？
A：不是！安全建议：

配合 valid users 限制用户
设置 hosts allow IP白名单
定期审计访问日志

通过合理配置这三个基础参数，可实现灵活的共享管理策略，平衡可用性与安全性需求。

`[共享名]`部分的 `read only` , `writable` , `read list` , `write list`

[共享名] 部分的读写权限控制参数详解 read only, writable, read list, write list 这四个参数共同构成 Samba 共享的读写权限体系，实现精细化的访问控制：

权限控制层级关系

graph TD
    A[全局权限] --> B[共享级读写设置]
    B --> C[用户级白名单]
    C --> D[最终权限]
    
    B -->|read only/writable| C
    C -->|read list| D[只读权限]
    C -->|write list| D[可写权限]

1. 基础权限参数

read only

特性	说明
作用	设置共享的默认读写状态
别名	`writable` 的反向参数
默认值	`yes` (只读)
取值	`yes`/`no`
优先级	被 `write list` 覆盖
示例	`read only = no`

writable

特性	说明
作用	设置共享的默认写权限
别名	`read only` 的反向参数
默认值	`no` (不可写)
取值	`yes`/`no`
优先级	被 `read list` 覆盖
示例	`writable = yes`

等价关系：
read only = no ⇔ writable = yes
read only = yes ⇔ writable = no

2. 精细控制参数

read list

特性	说明
作用	强制指定只读用户
优先级	最高 (覆盖所有写权限)
格式	用户/组列表
示例	`read list = alice, @auditors`
特殊场景	即使共享可写，列表内用户仍只读

write list

特性	说明
作用	强制授予写权限用户
优先级	高于 `read only`
格式	用户/组列表
示例	`write list = bob, @admins`
特殊场景	即使共享只读，列表内用户仍可写

权限优先级总则

graph LR
    A[最高] --> B[write list]
    B --> C[read list]
    C --> D[writable/read only]
    D --> E[最低：全局权限]

write list - 强制可写 (最高优先级)
read list - 强制只读
writable/read only - 共享默认权限
全局用户权限 (最低)

配置组合场景分析

场景 1：默认可写 + 审计组只读

[财务数据]
  path = /srv/finance
  writable = yes           # 默认可写
  read list = @auditors    # 审计组强制只读
  valid users = @finance, @auditors

权限效果：

财务组成员：可读写
审计组成员：仅查看

场景 2：默认只读 + 管理员可写

[公共文档]
  path = /srv/docs
  read only = yes          # 默认只读
  write list = @doc-admins # 管理员强制可写
  guest ok = yes

权限效果：

普通用户/访客：只读
文档管理员：可修改

场景 3：混合控制

[项目空间]
  path = /srv/projects
  writable = yes                 # 默认可写
  read list = @interns           # 实习生只读
  write list = @project-managers # 经理可写
  valid users = @staff

权限效果：

普通员工：可读写
实习生：只读
项目经理：可写 (覆盖实习生限制)

场景 4：冲突配置 (write list 优先)

[技术资料]
  path = /srv/tech
  read only = yes          # 默认只读
  read list = alice        # Alice只读
  write list = alice       # Alice可写 → 冲突!

实际效果：
write list 优先级更高 → Alice 获得写权限

最佳实践指南

1. 权限最小化原则

# 默认只读 + 精确写权限控制
read only = yes
write list = @approvers
create mask = 0664  # 限制文件权限

2. 组权限管理

# 使用组而非单个用户
write list = @department-leads
read list = @contractors

3. 安全隔离

# 读写目录分离
[原始数据]
  path = /srv/raw
  read only = yes

[处理结果]
  path = /srv/processed
  writable = yes
  valid users = @operators

4. 企业级审计

# 记录写操作
vfs objects = full_audit
full_audit:success = write rename unlink
full_audit:prefix = %u|%S|%I

调试命令

# 1. 查看生效权限
sudo smbstatus -S | grep -A 3 "共享名"

# 2. 测试用户权限
smbclient //server/share -U user -c "put test.txt"

# 3. 验证列表成员
wbinfo -r @groupname  # AD域组
getent group sambagroup  # 本地组

# 4. 实时权限监控
sudo auditctl -w /srv/shared -p war -k samba_write

黄金法则：

生产环境始终设置 read only = yes 作为默认

使用 write list 而非全局 writable = yes

避免用户同时出现在 read list 和 write list

定期审计：sudo pdbedit -L -v | grep "Account Flags"

通过合理配置这四个参数，可实现从基础只读共享到企业级精细权限控制的完整解决方案，在保障安全性的同时满足业务需求。

`[共享名]`部分的 `create mask` , `directory mask` , `force create mode` , `force directory mode` , `inherit permissions`

Samba 共享权限控制参数深度解析 create mask, directory mask, force create mode, force directory mode, inherit permissions 这五个参数构成 Samba 的权限控制体系，决定了文件和目录的创建权限行为：

权限控制全景图

graph TD
    A[客户端请求] --> B{inherit permissions?}
    B -->|yes| C[继承父目录权限]
    B -->|no| D[应用基础掩码]
    D --> E[create/directory mask]
    E --> F[应用强制模式]
    F --> G[force create/directory mode]
    G --> H[最终权限]

核心参数详解

1. create mask (文件权限掩码)

作用：定义新建文件的最大允许权限
默认值：0744 (rwxr--r--)
权限计算：最终权限 = (请求权限 AND create mask) OR force create mode

示例：

create mask = 0640  # 效果：rw-r-----

2. directory mask (目录权限掩码)

作用：定义新建目录的最大允许权限
默认值：0755 (rwxr-xr-x)
特殊位：支持 SETGID(2000)/STICKY(1000)

示例：

directory mask = 2770  # SETGID效果：drwxrws---

3. force create mode (文件强制权限)

作用：在掩码基础上添加额外权限位
默认值：0000
典型用途：确保组可写权限

示例：

create mask = 0644  # rw-r--r--
force create mode = 0020  # 添加组写 → rw-rw-r-- (0664)

4. force directory mode (目录强制权限)

作用：强制添加目录特殊权限
默认值：0000

最佳实践：强制启用 SETGID

directory mask = 0750  # rwxr-x---
force directory mode = 2000  # 添加SETGID → rwxr-s--- (2750)

5. inherit permissions (权限继承)

作用：忽略所有掩码设置，直接继承父目录权限
默认值：no
优先级：最高 (启用时忽略其他四个参数)

示例：

inherit permissions = yes  # 完全继承父目录权限

权限位对照表

权限	八进制	符号	说明
读	4	r--	查看内容
写	2	-w-	修改内容
执行	1	--x	运行/进入目录
SETUID	4000	s	执行时切换属主
SETGID	2000	s	继承父目录组
STICKY	1000	t	仅属主可删除文件

安全提示：避免使用 SETUID (安全风险)，优先使用 SETGID

权限计算公式 当 inherit permissions = no 时：

文件权限 = (客户端请求权限 AND create mask) OR force create mode
目录权限 = (客户端请求权限 AND directory mask) OR force directory mode

当 inherit permissions = yes 时：

文件/目录权限 = 父目录权限 (忽略所有掩码设置)

典型配置场景

场景 1：标准安全配置

[安全文档]
  create mask = 0640      # 用户读写，组只读
  directory mask = 2750   # SETGID+组可执行
  force create mode = 0    # 不强制
  force directory mode = 0
  inherit permissions = no

效果：

文件：-rw-r-----
目录：drwxr-s---

场景 2：团队协作空间

[团队项目]
  create mask = 0640      
  force create mode = 0020 # 添加组写 → 0660
  directory mask = 0750    
  force directory mode = 2000 # 添加SETGID → 2750
  inherit permissions = no

效果：

文件：-rw-rw---- (组可写)
目录：drwxr-s--- (继承组)

场景 3：权限继承模式

[归档库]
  inherit permissions = yes  # 忽略所有掩码
  path = /srv/archive        # 父目录权限 2775

效果：

所有新建文件/目录继承 /srv/archive 的权限
如父目录为 drwxrwsr-x，则新目录相同

场景 4：公共上传区

[上传区]
  create mask = 0666      # 所有用户可读写
  directory mask = 0777   
  force create mode = 0
  force user = uploader   # 统一属主
  inherit permissions = no

效果：

文件：-rw-rw-rw-
目录：drwxrwxrwx

特殊权限位配置技巧

启用 SETGID 的三种方式：

直接包含：

directory mask = 2770  # 最简洁方式

强制添加：

directory mask = 0750
force directory mode = 2000  # 添加SETGID

继承获得：

chmod g+s /srv/shared  # 设置父目录SETGID

inherit permissions = yes  # 继承父目录权限

权限冲突解决：

# 错误配置：mask 移除写权限 + force 添加写权限
create mask = 0644  # 移除组写 (644 = rw-r--r--)
force create mode = 0020  # 添加组写 → 最终 rw-rw-r-- (664)

# 正确方案：保持逻辑一致
create mask = 0664
force create mode = 0

最佳实践指南

1. 安全基线配置

# 文件权限
create mask = 0640
force create mode = 0

# 目录权限
directory mask = 2750  # SETGID+安全权限
force directory mode = 0

# 禁用继承
inherit permissions = no

2. 协作空间配置

create mask = 0660
force create mode = 0660  # 双保险确保组可写
directory mask = 2770     # SETGID+组可写
force directory mode = 2770

3. 权限继承场景

inherit permissions = yes
# 父目录需预先设置：
#   sudo chmod 2770 /srv/shared
#   sudo chgrp project /srv/shared

4. 调试与验证

# 1. 查看生效配置
testparm -v --section-name="共享名" | grep -E 'mask|mode|inherit'

# 2. 权限测试
smbclient //server/share -U user -c "put test.txt; mkdir testdir"

# 3. 实际权限检查
namei -l /srv/share/test.txt
ls -ld /srv/share/testdir

# 4. SETGID 验证
ls -ld /srv/share  # 查看父目录权限

企业级应用示例

财务系统共享

[财务数据]
  path = /srv/finance
  create mask = 0640
  directory mask = 2770
  force group = +finance  # 强制财务组
  valid users = @finance
  veto files = /*.xlsx/  # 禁止Excel文件
  vfs objects = audit
  full_audit:success = write rename

研发代码库

[代码仓库]
  inherit permissions = yes  # 继承Git仓库权限
  path = /git/repos
  read only = yes            # 只读访问
  force user = git           # 统一属主
  hide files = /.git/        # 隐藏.git目录

故障排除速查

问题 1：组用户无法修改文件 解决方案：

create mask = 0660
# 或
force create mode = 0020  # 添加组写权限

问题 2：新建文件组所有权错误 解决方案：

directory mask = 2770      # 启用SETGID
force group = +project     # 强制附加组

问题 3：权限不继承 解决方案：

# 设置父目录权限
sudo chmod 2775 /srv/shared
sudo chgrp project /srv/shared

inherit permissions = yes

问题 4：目录不可访问 解决方案：

directory mask = 0750  # 确保有执行位

黄金法则：

始终启用 SETGID (2750或2770)

生产环境避免 create mask = 0666

优先使用 inherit permissions 简化权限管理

定期审计：find /srv -type f ! -perm 640

通过合理配置这五个参数，可实现从基础权限控制到企业级权限继承的完整解决方案。

`[共享名]`部分的 `force user` , `force group`

[共享名] 部分的 force user 与 force group 参数详解 这两个参数是解决 Samba 权限问题的"终极武器"，通过强制覆盖客户端身份实现权限统一管理：

核心功能对比

参数	作用	默认值	语法	典型场景
`force user`	强制文件属主	无	`force user = 用户名`	统一文件所有权
`force group`	强制文件属组	无	`force group = 组名` `force group = +附加组名`	组协作共享

1. force user - 强制用户身份 工作方式

所有客户端操作以指定用户身份执行
忽略客户端实际登录用户
文件属主始终为设定用户

配置示例

[公共上传]
  path = /srv/upload
  force user = uploader  # 强制用户
  guest ok = yes
  create mask = 0666

效果：
无论谁上传文件，属主都是 uploader：

$ ls -l /srv/upload
-rw-rw-rw- 1 uploader users 1024 Jan 1 12:00 file.txt

安全实践

# 创建专用系统用户
sudo useradd -r -s /sbin/nologin uploader
sudo chown uploader: /srv/upload

2. force group - 强制组身份 两种模式

语法	效果	推荐度
`force group = groupname`	完全覆盖客户端组	★★☆☆☆
`force group = +groupname`	添加附加组	★★★★★

配置示例

[项目空间]
  path = /srv/projectX
  force group = +project-x  # 添加附加组
  create mask = 0660
  directory mask = 2770     # SETGID保持组权限

效果：

用户 alice (主组 users) 创建文件：

-rw-rw---- 1 alice project-x  # 组为 project-x

目录自动继承组权限：

drwxrws--- 2 alice project-x  # SETGID生效

协同工作模式 文件创建流程

sequenceDiagram
  客户端->>Samba： 创建文件请求 (用户bob)
  Samba->>权限系统： 应用 force user=uploader
  Samba->>权限系统： 应用 force group=+project
  权限系统->>文件系统： 创建文件 (属主=uploader, 属组=project)

关键应用场景

场景 1：公共匿名上传

[匿名上传]
  path = /srv/upload
  force user = uploader  # 统一属主
  force group = uploads  # 统一属组
  guest ok = yes
  create mask = 0666

场景 2：跨部门协作

[跨部门共享]
  path = /srv/cross-dept
  force group = +collab-group  # 添加协作组
  directory mask = 2770        # SETGID保持组
  create mask = 0660
  valid users = @deptA, @deptB

场景 3：严格权限控制

[审计日志]
  path = /srv/audit-logs
  force user = logger
  force group = auditors
  read only = yes         # 只读
  create mask = 0640
  veto files = /*.tmp/    # 禁止临时文件

最佳实践指南

1. 安全配置原则

# 优先使用附加组模式
force group = +sambagroup

# 避免裸组名（覆盖主组）
# force group = sambagroup  # 不推荐！

# 专用系统账户
force user = samba-service

2. 文件系统配套设置

# 创建共享目录
sudo mkdir /srv/shared

# 设置所有权
sudo chown samba-service:sambagroup /srv/shared

# 启用SETGID
sudo chmod 2770 /srv/shared

# 验证
ls -ld /srv/shared
# drwxrws--- samba-service sambagroup

3. 企业级方案

[安全存储]
  path = /srv/secure
  force user = svc_samba
  force group = +secure_rw
  create mask = 0640
  directory mask = 2750
  vfs objects = audit recycle
  full_audit:success = write
  recycle:repository = .recycle

4. 身份验证集成

# AD域环境
force group = +"DOMAIN\Department Group"  # AD组
force user = "DOMAIN\SVC_Samba"           # AD服务账户

常见问题解决方案

问题 1：权限被拒绝

# 错误：NT_STATUS_ACCESS_DENIED
# 解决：
sudo setfacl -m u:samba-service:rwx /srv/shared

问题 2：组权限不生效

# 错误配置
force group = project-group  # 裸组名

# 修复方案：
force group = +project-group  # 附加组模式
directory mask = 2770         # 启用SETGID

问题 3：SELinux 阻止

# 检查日志
grep AVC /var/log/audit/audit.log | grep smbd

# 解决方案
sudo semanage fcontext -a -t samba_share_t "/srv/shared(/.*)?"
sudo restorecon -Rv /srv/shared

高级技巧

1. 动态组分配

[智能存储]
  force group = +%G  # 使用用户主组
  path = /srv/data/%U

2. 临时身份切换

[上传转换]
  force user = converter
  root preexec = /opt/convert_script.sh %U %I

3. 审计跟踪

vfs objects = full_audit
full_audit:prefix = %u->%S[force:%U]  # 记录强制用户
full_audit:success = write

企业级配置示例

金融行业文档库

[财务文档]
  path = /srv/finance-docs
  force user = fin-svc
  force group = +fin-rw
  create mask = 0640
  directory mask = 2770
  valid users = @finance
  read list = @auditors
  vfs objects = virusfilter recycle
  virusfilter:scanner = clamd
  recycle:versions = yes

研发代码共享

[代码仓库]
  path = /git/repos
  force user = git
  force group = +developers
  create mask = 0660
  directory mask = 2770
  read only = yes  # 只读访问
  veto files = /.git/  # 隐藏.git目录

安全警告

永远不要使用特权用户：

# 危险配置！
force user = root
force group = root

避免过度授权：

# 禁止配置
force user = admin
create mask = 0777

定期审计：

# 检查force用户使用
grep "force user" /etc/samba/smb.conf
# 审计文件所有权
find /srv -user samba-service -ls

黄金法则：

优先使用 force group = +group 附加组模式

始终创建专用系统账户用于 force user

结合 directory mask = 2770 启用 SETGID

生产环境避免 force user = root

通过合理配置这两个参数，可彻底解决 Samba 共享中的权限混乱问题，实现既安全又高效的跨平台文件共享。

samba匿名共享

Samba 匿名共享配置指南

允许无需认证的公共访问是 Samba 的常见需求，以下是完整的安全配置方案：

核心配置 (/etc/samba/smb.conf)

[global]
    # 基础设置
    workgroup = WORKGROUP
    server string = Public File Server
    netbios name = PUBLIC-SERVER
    
    # 安全认证设置
    security = user
    map to guest = Bad User  # 无效用户映射为访客
    guest account = smbguest  # 专用访客账户
    guest ok = yes  # 全局允许访客访问
    
    # 协议安全加固
    min protocol = SMB2  # 禁用不安全的 SMBv1
    smb encrypt = required  # 强制加密连接
    lanman auth = no  # 禁用不安全认证
    ntlm auth = no
    
    # 日志设置
    log file = /var/log/samba/log.%m
    max log size = 5000

[Public]
    # 共享定义
    path = /srv/samba/public
    comment = Public Anonymous Share
    browseable = yes
    read only = no  # 允许写入
    
    # 权限控制
    force user = smbguest
    force group = sambashare
    create mask = 0664
    directory mask = 2775
    
    # 安全限制
    veto files = /*.exe/*.bat/*.dll/  # 禁止可执行文件
    delete veto files = no  # 禁止删除被阻止文件
    hide files = /.*/secret.*/  # 隐藏敏感文件
    
    # 回收站功能
    vfs objects = recycle
    recycle:repository = .recycle_bin
    recycle:keeptree = yes

系统配置步骤

1. 创建专用访客账户

sudo useradd -r -s /sbin/nologin -d /nonexistent smbguest
sudo passwd -l smbguest  # 锁定账户

2. 准备共享目录

# 创建目录
sudo mkdir -p /srv/samba/public
sudo mkdir -p /srv/samba/public/.recycle_bin  # 回收站

# 设置所有权
sudo groupadd sambashare
sudo chown -R smbguest:sambashare /srv/samba/public
sudo chmod -R 2775 /srv/samba/public  # SGID保持组权限

3. SELinux 配置 (如启用)

sudo semanage fcontext -a -t samba_share_t "/srv/samba/public(/.*)?"
sudo restorecon -Rv /srv/samba/public
sudo setsebool -P samba_export_all_rw=1

4. 防火墙设置

sudo ufw allow proto tcp to any port 445  # SMB主端口
sudo ufw allow proto tcp to any port 139  # NetBIOS会话
sudo ufw reload

5. 应用配置

sudo testparm  # 验证配置
sudo systemctl restart smbd nmbd

客户端访问测试

Linux 客户端

# 匿名访问测试
smbclient //server/Public -N -c "ls"

# 上传文件
echo "Test" > test.txt
smbclient //server/Public -N -c "put test.txt"

# 挂载共享
sudo mount -t cifs //server/Public /mnt -o guest,vers=3.0

Windows 客户端

文件资源管理器地址栏输入：\\server\Public
无需输入凭据直接访问

安全加固措施

IP 访问限制

[Public]
   hosts allow = 192.168.1.0/24  # 仅允许内网访问
   hosts deny = 0.0.0.0/0        # 拒绝其他所有

内容过滤扩展

veto files = /*.exe/*.msi/*.dll/*.vbs/*.ps1/*.sh/
hide files = /.*/passwd.*/secret.*/confidential/

写入限制

# 限制文件大小 (10MB)
max upload size = 10240
 
# 禁止修改现有文件
store dos attributes = no

审计监控

[global]
   full audit:prefix = %u|%I|%m
   full audit:success = mkdir rmdir write rename
   full audit:failure = connect

企业级匿名共享方案

[Public-Upload]
   path = /srv/samba/upload
   comment = Anonymous Upload Area
   guest ok = yes
   browseable = yes
   writable = yes
   force user = uploader
   create mask = 0666
   directory mask = 0777
   
   # 高级安全设置
   acl allow execute always = no  # 禁止执行
   hide dot files = yes           # 隐藏点文件
   wide links = no                # 禁止符号链接
   follow symlinks = no
   
   # 病毒扫描集成
   vfs objects = virusfilter
   virusfilter:scanner = clamd
   virusfilter:scan on open = yes

故障排除

访问被拒绝

# 检查目录权限
namei -l /srv/samba/public

# 查看SELinux日志
sealert -a /var/log/audit/audit.log

# 测试Samba访问
sudo -u smbguest touch /srv/samba/public/test.tmp

写入失败

# 检查磁盘空间
df -h /srv

# 查看文件系统权限
ls -ld /srv/samba/public

# 测试强制用户权限
sudo -u smbguest touch /srv/samba/public/testfile

连接问题

# 检查服务状态
sudo smbstatus

# 端口检测
sudo ss -tulpn | grep smbd

# 客户端测试
smbclient -L //localhost -U%

安全警告：

仅对非敏感数据启用匿名共享

定期审计：find /srv/samba/public -mtime -1 -ls

启用回收站防止意外删除

生产环境避免使用根目录共享

此配置平衡了便利性与安全性，适用于公共文件交换、下载区等场景，但重要数据应始终使用认证保护。

Linux网上邻居局域网络共享Samba及Smb协议,smbd,nmbd服务,smbpasswd,pdbedit命令,`/etc/samba/smb.conf

Linux网上邻居局域网络共享工具Samba及Smb协议,smbd,nmbd服务,smbpasswd,pdbedit命令,`/etc/samba/smb.conf`配置文件笔记250721

`smbd` 和 `nmbd` 服务详解

常用命令详解

`smbpasswd` 命令详解

`pdbedit` 命令详解

`smbpasswd -a username` vs `pdbedit -a username` vs `pdbedit -a -u username` 对比详解

配置文件 `/etc/samba/smb.conf` 详解

一、全局配置节 `[global]`

二、共享定义节 `[自定义共享名]`

六、完整配置示例

`[global]`部分的可配置项

`[global]`部分的 `workgroup` , `netbios name` , `server string` , 详解

`[global]`部分的 `security` , `map to guest` , `guest account` 详解

`guest account = nobody` 与 `guest account = root` 的效果

`[共享名]`部分的可配置项目

`[共享名]`部分的 `path` 和 `volume`

`[共享名]`部分的 `available` , `browseable` , `comment`

`[共享名]`部分的 `read only` , `writable` , `read list` , `write list`

`[共享名]`部分的 `create mask` , `directory mask` , `force create mode` , `force directory mode` , `inherit permissions`

`[共享名]`部分的 `force user` , `force group`

samba匿名共享

`/etc/samba/smb.conf`笔记250720

`/etc/samba/smb.conf`笔记250721

`/etc/samba/smb.conf` 的 `public` 和`guest ok` 笔记250720

`/etc/samba/smb.conf` 的 `guest ok` 和 `map to guest` 和 `guest account` 和 `usershare allow guests`

Linux网上邻居局域网络共享工具Samba及Smb协议,smbd,nmbd服务,smbpasswd,pdbedit命令,笔记250720

Linux网上邻居局域网络共享Samba及Smb协议,smbd,nmbd服务,smbpasswd,pdbedit命令,`/etc/samba/smb.conf

Linux网上邻居局域网络共享工具Samba及Smb协议,smbd,nmbd服务,smbpasswd,pdbedit命令,/etc/samba/smb.conf配置文件 笔记250721

smbd 和 nmbd 服务详解

常用命令详解

smbpasswd 命令详解

pdbedit 命令详解

smbpasswd -a username vs pdbedit -a username vs pdbedit -a -u username 对比详解

配置文件 /etc/samba/smb.conf 详解

一、全局配置节 [global]

二、共享定义节 [自定义共享名]

六、完整配置示例

[global]部分的可配置项

[global]部分的 workgroup , netbios name , server string , 详解

[global]部分的 security , map to guest , guest account 详解

guest account = nobody 与 guest account = root 的效果

[共享名]部分的可配置项目

[共享名]部分的 path 和 volume

[共享名]部分的 available , browseable , comment

[共享名]部分的 read only , writable , read list , write list

[共享名]部分的 create mask , directory mask , force create mode , force directory mode , inherit permissions

[共享名]部分的 force user , force group

samba匿名共享

/etc/samba/smb.conf笔记250720

/etc/samba/smb.conf笔记250721

/etc/samba/smb.conf 的 public 和guest ok 笔记250720

/etc/samba/smb.conf 的 guest ok 和 map to guest 和 guest account 和 usershare allow guests

Linux网上邻居局域网络共享工具Samba及Smb协议,smbd,nmbd服务,smbpasswd,pdbedit命令,笔记250720

Linux网上邻居局域网络共享工具Samba及Smb协议,smbd,nmbd服务,smbpasswd,pdbedit命令,`/etc/samba/smb.conf`配置文件笔记250721

`smbd` 和 `nmbd` 服务详解

`smbpasswd` 命令详解

`pdbedit` 命令详解

`smbpasswd -a username` vs `pdbedit -a username` vs `pdbedit -a -u username` 对比详解

配置文件 `/etc/samba/smb.conf` 详解

一、全局配置节 `[global]`

二、共享定义节 `[自定义共享名]`

`[global]`部分的可配置项

`[global]`部分的 `workgroup` , `netbios name` , `server string` , 详解

`[global]`部分的 `security` , `map to guest` , `guest account` 详解

`guest account = nobody` 与 `guest account = root` 的效果

`[共享名]`部分的可配置项目

`[共享名]`部分的 `path` 和 `volume`

`[共享名]`部分的 `available` , `browseable` , `comment`

`[共享名]`部分的 `read only` , `writable` , `read list` , `write list`

`[共享名]`部分的 `create mask` , `directory mask` , `force create mode` , `force directory mode` , `inherit permissions`

`[共享名]`部分的 `force user` , `force group`

`/etc/samba/smb.conf`笔记250720

`/etc/samba/smb.conf`笔记250721

`/etc/samba/smb.conf` 的 `public` 和`guest ok` 笔记250720

`/etc/samba/smb.conf` 的 `guest ok` 和 `map to guest` 和 `guest account` 和 `usershare allow guests`