Fedora-Fr

CC · 2008-12-01T08:40:02+00:00

Bonjour à tous, Lorsque j'essaye de me connecter au domaine Active Directory j'ai le message d'erreur suivant : [root@Linux01 Stagiaire]# net ads join -U E...

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Erreur SAMBA: erreur à la connection au domaine Active Directory

CC

Oups dsl lol ben voila j'ai rajouté ce qui manquait.

pmarion

CC wrote:Oups dsl lol ben voila j'ai rajouté ce qui manquait.

Mais qu'est-ce qui manquait donc ?

CC

Ben le message d'erreur

pmarion

En cas d'erreur du genre droits, permissions :
Vérifier dans les logs de samba situés dans /var/log/samba
Vérifier le fonctionnement de SELinux
grep -i selinux /var/log/messages

CC

Dans var/log/samba il y en a un paquet, lesquels peuvent etre interessant ?

pmarion

Et bien, tous ceux qui sont modifiés au alentours du moment ou se produit l'erreur?
ls -lart
pour les avoir par ordre de dernière modification .

S'il y en a un paquet tu veux peut-être que je les examine à ta place ?
Seuls les récemment modifiés sont bien sur intéressant.
D'autre part leurs noms indique de quel log il s'agit.

De plus que donne :
grep -i selinux /var/log/messages
lancé juste après une tentative

CC

Je viens d'effectuer une tentative a 13h58 mais ds les fichiers log pas de modification à cet heure là.
De meme pour le grep -i selinux /var/log/messages.

Ce qui me semble bizarre c'est que parfois (je ne sais pas pourquoi d'ailleurs) jarrive a explorer mon poste Linux01, à l'interieur il y a 2 dossiers "essai" (mon login sur active directory) et "homes" mais je ne peux cependant pas les ouvrir. j'ai le message d'erreur "acces refusé"

pmarion

Si tu as le message «acces refuse» tu dois avoir un message dans le log de samba, si c'est samba qui n'a pas pu accéder au répertoire.

CC wrote:c'est que parfois (je ne sais pas pourquoi d'ailleurs)

Si tu ne sais pas pourquoi, je ne vois pas pourquoi je le saurais.

Je pense que tu devrais tout recommencer avec une configuration plus simple (un seuil partage, un workgroup, pas de winbind, partage avec security level = share, .....) puis essayer de la compléter au fur et à mesure de tes besoins.

Peux-tu faire du côte fedora :
testparm
puis
smbclient -L 127.0.0.1

Ce sont les test de base permettant de vois si en locale e Linux vers Linux tu peux accéder aux ressources samba.

Si tu ne peux pas faire un partage simple, tu ne pourras pas faire de partage complexe, cela ce fait petit à petit.

CC

Alors pour le testparm:

[root@Linux01 Stagiaire]# testparm
Load smb config files from /etc/samba/smb.conf
Processing section "[homes]"
Processing section "[printers]"
Loaded services file OK.
'winbind separator = +' might cause problems with group membership.
Server role: ROLE_DOMAIN_MEMBER
Press enter to see a dump of your service definitions

[global]
    workgroup = XXXXXXXXXXXX
    realm = XXXXXXXXXXXX.COM
    server string = Samba Server Version %v
    security = ADS
    password server = serveur.xxxxxxxxxxx.com
    log file = /var/log/samba/log.%m
    max log size = 50
    local master = No
    domain master = No
    idmap uid = 10000-20000
    idmap gid = 10000-20000
    template shell = /bin/bash
    winbind separator = +
    winbind enum users = Yes
    winbind enum groups = Yes
    winbind use default domain = Yes
    cups options = raw

[homes]
    comment = Home Directories
    path = /homes
    valid users = XXXXXXXXXXXX+essai
    read only = No

[printers]
    comment = All Printers
    path = /var/spool/samba
    printable = Yes
    browseable = No

Et pour le smbclient -L 127.0.0.1:

[root@Linux01 Stagiaire]# smbclient -L 127.0.0.1
Enter Stagiaire's password: 
session setup failed: NT_STATUS_LOGON_FAILURE

Apparemment ca ne fonctionne pas, le mot de passe qu'il me demande est bien celui pour l'ouverture de la session "Stagiaire" ?

Ah je viens également d'avoir une erreur dans log.comm01 (le nom de mon poste windows) :

[2008/12/02 14:24:32,  0] smbd/service.c:make_connection_snum(1152)
  '/homes' does not exist or permission denied when connecting to [essai] Error was Aucun fichier ou dossier de ce type

Mais également dans log.winbindd

[2008/12/02 14:32:06,  1] libads/ldap.c:ads_find_dc(379)
  ads_find_dc: failed to find a valid DC on our site (Premier-Site-par-defaut), trying to find another DC
[2008/12/02 14:32:06,  0] libsmb/nmblib.c:send_udp(839)
  Packet send failed to 192.168.17.1(137) ERRNO=Le réseau n'est pas accessible
[2008/12/02 14:36:47,  1] winbindd/winbindd_util.c:trustdom_recv(260)
  Could not receive trustdoms

Et dans log.__ffff_192.168.17.1 (IP du serveur AD)

[2008/12/02 14:39:58,  1] smbd/sesssetup.c:reply_spnego_kerberos(350)
  Failed to verify incoming ticket with error NT_STATUS_LOGON_FAILURE!

VOila si ca peut t'aider merci.

pmarion

Alors là, je ne sais plus quoi dire

path = /homes

Mais pourquoi /homes, à moins que tu aies créé un répertoire :homes, celui-ci n'existe pas ! ! !

session setup failed: NT_STATUS_LOGON_FAILURE
Même sans mot de passe il doit afficher quelque chose, mais c'est ton kerberos qui pose problème.

Reviens à un smb.conf plus simple et on verra après, (renomme ton smb.conf si tu veux, pour après).

[global]
   log file = /var/log/samba/log.%m
    local master = No
    domain master = No
   security = share

[public]
    comment = Public
    path = /tmp/public
    read only = No

Après modification du smb.conf
service smb restart

Crée un répertoire /tmp/public avec des droits rwxrwxrwx
mkdir /tmp/public
chmod 777 /tmp/public

/tmp/public n'est pas forcément une bonne idée, mais c'est pour faire un essai.

CC

Non c'est bon , j'ai trouvé ou etais mon probleme, c"etait le hosts qui etaient mal configuré. J'ai changé d'IP et oublié de le préciser.

Maintenant j'accede à mon poste LINUX01 sans soucis et il ne me demande pas de mot de passe.
Cependant toujours pas moyen d'acceder à mes répertoire partagés.

J'en ai crée un nommé Test mais il ne marche pas :

[Test]
    path = /home/Stagiaire/Documents
    writeable = yes
    browseable = yes
    guest ok = yes

Si tu peux m'aider, merci d'avance.

pmarion

Pourquoi ne marche-t-il-pas
ls -ld /home
ls -ld /home/Stagiaire
ls -ld /home/Stagiaire/Documents

Puis
grep -i selinux /var/log/messages

CC

ls -ld /home :

drwxrwxrwx 3 root root 4096 déc  2 15:53 /home

ls -ld /home/Stagiaire:

drwxrwxrwx 31 Stagiaire Stagiaire 4096 déc  2 15:56 /home/Stagiaire

ls -ld /home/Stagiaire/Documents:

drwxrwxrwx 2 Stagiaire Stagiaire 4096 déc  2 11:24 /home/Stagiaire/Documents

Pour grep -i selinux /var/log/messages pas de message à l'heure actuelle:
voici les 3 dernieres lignes:

Dec  2 15:56:19 Localhost kernel: SELinux:  Initializing.
Dec  2 15:56:19 Localhost kernel: selinux_register_security:  Registering secondary module capability
Dec  2 15:56:19 Localhost kernel: SELinux: policy loaded with handle_unknown=allow

pmarion

Que disent les derniers logs de samba après un essai de connexion ?

CC

Je ne vois que ca :

v[2008/12/02 16:51:05,  1] smbd/sesssetup.c:reply_spnego_kerberos(350)
  Failed to verify incoming ticket with error NT_STATUS_LOGON_FAILURE![2008/12/02 16:51:05,  1] smbd/sesssetup.c:reply_spnego_kerberos(350)

pmarion

Et bien supprime (ou mets en commentaire) momentanément tout ce qui concerne winbind, l'authentification et positionne :
security = share
C'est ce qu'il y a de plus simple.
On remettra test paramètres au fur et à mesure par la suite, ce qui permettra de voir ce qui plante.

CC

Bonjour à toi marion si tu es encore là aujourdui lol.

Voila j'ai refait un smb.conf depuis un fichier vierge pour essayer de trouver ce qui n'allait pas.

Voici le nouveau smb.conf:

[global]

    workgroup = XXXXXXXXXXX
    netbios name = Linux01
    idmap uid = 10000-20000
    idmap gid = 10000-20000
    winbind enum users = yes
    winbind enum users = yes
    winbind separator = +
    template homedir = /home/%D/%U
    template shell = /bin/bash
    security = ads
    encrypt passwords = yes
    realm = XXXXXXXXXXXX.COM
    password server = *
    winbind use default domain = yes

[share]

    path = /home/Stagiaire/Documents
    comments = share directories
    valid users = XXXXXXXXXXXX+essai
    read only = no
    browseable = yes    
    writeable = yes

Mon kerberos marche , j'obtiens bien le ticket. Ensuite je me joint bien au domaine active directory et je n'ai plus le message d'erreur a propos du DNS, jusque ici tout va bien.

Malheuresement mon partage ne marche toujours pas, je vois bien mon poste dans AD, je peux l'explorer, j'ai bien mon dossier share mais toujours impossible de l'ouvrir : Acces refusé.

Mon maitre de stage me dit qu'il y a peut etre un probleme avec les fichiers PAM, qu'en penses tu ?

VOila si tu pouvais encore m'aider aujourdui ce serait tres sympa de ta part. Merci.

pmarion

pourrais tu nous dire ce qui a été réalisé pour que kerberos, ..... fonctionne .
Si un client samba arrive à voir le serveur samba, mais ne peut pas accéder les dossiers partagés, il s'agit vraisemblablement d'un problème de droits.
Firewall
Droits sur les répertoires partagés
Contexte SELinux des répertoires partagés

Que donne sous root
cd /var/log/samba
ls -lrt
et
tail -n20 le_nom_du_dernier_log_affiche_par_le_ls_lrt

la commande «ls -lrt» affiche les fichiers par ordre de dernière modification.

P.S.: Si tu suis un stage je ne sais pas si je dois continuer à te répondre, car cela interfère sur la suite de ton stage.

CC

En fait lorsque je faisais la commande kinit j'oubliais de mettre le nom de domaine en majuscule.

Pour le tail -n20 log.smbd:

[root@Linux01 samba]# tail -n20 log.smbd
[2008/12/03 09:26:17,  0] smbd/server.c:main(1209)
  smbd version 3.2.4-0.21.fc9 started.
  Copyright Andrew Tridgell and the Samba Team 1992-2008
[2008/12/03 09:26:17,  1] param/loadparm.c:map_parameter(6086)
  Unknown parameter encountered: "comments"
[2008/12/03 09:26:17,  0] param/loadparm.c:lp_do_parameter(7172)
  Ignoring unknown parameter "comments"
[2008/12/03 09:26:57,  1] smbd/service.c:make_connection_snum(1190)
  __ffff_192.168.17.39 (::ffff:192.168.17.39) connect to service share initially as user XXXXXXXXXXX+essai (uid=10049, gid=10006) (pid 2546)
[2008/12/03 09:27:48,  1] smbd/service.c:close_cnum(1401)
  __ffff_192.168.17.39 (::ffff:192.168.17.39) closed connection to service share
[2008/12/03 09:30:33,  1] smbd/service.c:make_connection_snum(1190)
  __ffff_192.168.17.39 (::ffff:192.168.17.39) connect to service share initially as user XXXXXXXXXXX+essai (uid=10049, gid=10006) (pid 2572)
[2008/12/03 09:40:56,  1] smbd/service.c:close_cnum(1401)
  __ffff_192.168.17.39 (::ffff:192.168.17.39) closed connection to service share
[2008/12/03 09:40:56,  0] smbd/server.c:main(1209)
  smbd version 3.2.4-0.21.fc9 started.
  Copyright Andrew Tridgell and the Samba Team 1992-2008
[2008/12/03 09:42:51,  1] smbd/service.c:make_connection_snum(1190)
  __ffff_192.168.17.39 (::ffff:192.168.17.39) connect to service share initially as user XXXXXXXXXXX+essai (uid=10049, gid=10006) (pid 2695)

pmarion

Y-a-t-il un log «log.nom_machine» ou «log.adresse_ip» pour le client samba qui a réalisé un essai infructueux.

« Page précédente Page suivante »