Samba konfiguráció Fedora Workstation alatt (gyakorlati példa)

A sorozat eddigi részei

Ebben a részben egy Fedora Workstation rendszeren használt teljes Samba konfiguráció gyakorlati példáját mutatom be, beleértve a SELinux és a tűzfal beállításának minimálisan szükséges lépéseit is.

Olvasási idő: ~9 perc
Nehézségi szint: középhaladó
Platform: Fedora Workstation 43
Fókusz: teljes működő konfiguráció

Fontos megjegyezni, hogy Fedora alatt a Samba konfiguráció gyakran rövidebb, mint más disztribúcióknál, mert több biztonsági paraméter már disztribúció szinten megfelelő default értékkel rendelkezik.

A Samba konfiguráció szerkesztése

A konfigurációs fájl megnyitása:

sudo nano /etc/samba/smb.conf

Az aktuális konfiguráció ellenőrzése:

cat /etc/samba/smb.conf

Példa konfiguráció:

# /etc/samba/smb.conf

[global]
################################################################

# Protocol and security

################################################################

server min protocol = SMB2
server max protocol = SMB3
security = user

ntlm auth = ntlmv2-only

map to guest = never
restrict anonymous = 2

name resolve order = host
wins support = no

server signing = mandatory

################################################################

# Performance optimizations

################################################################

server multi channel support = yes

aio read size = 1
aio write size = 1

use sendfile = yes
min receivefile size = 16384

getwd cache = yes

kernel oplocks = yes
oplocks = yes

deadtime = 15

################################################################

# Linux / Fedora specific optimizations

################################################################

ea support = yes
vfs objects = acl_xattr
map acl inherit = yes
store dos attributes = yes

usershare allow guests = no

####################################################################

# Main writable share

####################################################################

[IstvanShare]
comment = István Share
path = /home/istvan/Share
browseable = yes
read only = no

force user = istvan
force group = istvan
valid users = istvan

create mask = 0775
directory mask = 0775
force create mode = 0775
force directory mode = 0775

####################################################################

# Read-only media share

####################################################################

[KonvertaltKepek]
comment = Fényképek és videók
path = /home/istvan/Képek/Fényképek és videók
browseable = yes
read only = yes

force user = istvan
force group = istvan
valid users = istvan

####################################################################

# Cloud share

####################################################################

[IstvanCloud]
comment = István Cloud
path = /home/istvan/Cloud
browseable = yes
read only = no

force user = istvan
force group = istvan
valid users = istvan

create mask = 0775
directory mask = 0775
force create mode = 0775
force directory mode = 0775

####################################################################

# KeePassXC share (special locking configuration)

####################################################################

[IstvanKeePassXC]
comment = István KeePassXC
path = /home/istvan/Dokumentumok/Informatika/KeePassXC/Adatbázisok
browseable = yes
read only = no

force user = istvan
force group = istvan
valid users = istvan

create mask = 0775
directory mask = 0775

kernel oplocks = no
oplocks = no
level2 oplocks = no

strict locking = yes
posix locking = yes

Gyors hibakeresés: SELinux ideiglenes kikapcsolása teszteléshez

Ha a Samba nem tud írni a könyvtárba annak ellenére, hogy a Linux jogosultságok helyesek, akkor gyakran SELinux blokkolás áll a háttérben.

Teszteléshez ideiglenesen permissive módba állítható:

sudo setenforce 0

Állapot ellenőrzése:

getenforce

Ha így működni kezd a megosztás, akkor biztosan SELinux szabályozási probléma volt.

A teszt után vissza kell kapcsolni:

sudo setenforce 1

Fontos:

A SELinux kikapcsolása csak diagnosztikai lépés, nem végleges megoldás.

A helyes megközelítés a megfelelő SELinux policy beállítása.

SELinux helyes konfigurálása Samba használatához

Fedora alatt a Samba működésének egyik kulcseleme a SELinux integráció.

Ha home könyvtárakat osztunk meg:

sudo setsebool -P samba_enable_home_dirs on

Ha általános írható megosztás szükséges:

sudo setsebool -P samba_export_all_rw on

Precízebb megoldás könyvtár kontextus beállítása:

sudo semanage fcontext -a -t samba_share_t "/home/istvan/Share(/.*)?"
sudo restorecon -Rv /home/istvan/Share

Ez általában a legjobb megoldás, mert csak a szükséges könyvtárakat érinti.

Tűzfal beállítása Fedora alatt

Fedora Workstation alapból firewalld rendszert használ.

Grafikus megoldás:

firewall-applet

Ez az alap rendszer része és lehetővé teszi a Samba engedélyezését például a home zónában.

Samba engedélyezése parancssorból

sudo firewall-cmd --permanent --zone=home --add-service=samba

Újratöltés:

sudo firewall-cmd --reload

Ellenőrzés:

sudo firewall-cmd --zone=home --list-services

Samba szolgáltatás indítása

sudo systemctl enable --now smb

Állapot:

systemctl status smb

Gyakorlati megosztási struktúra logikája

A megosztások szerepe és a struktúra kialakításának oka a sorozat korábbi részeiben már részletesen bemutatásra került.

Miért külön megosztás a KeePassXC?

Az adatbázis fájlok speciális locking igénye és a cache problémák elkerülése szintén a korábbi részekben lett részletesen tárgyalva.

Miért kevesebb a paraméter Fedora alatt?

Fedora esetében több Samba biztonsági és kompatibilitási beállítás már megfelelő alapértékkel rendelkezik, ezért nem szükséges minden opciót külön konfigurálni.

A cél itt:

minimalista, de tudatos konfiguráció.

Összegzés

Ez a konfiguráció egy stabil Fedora Workstation Samba beállítást mutat be, amely:

modern biztonsági alapokra épül
SELinux kompatibilis
firewalld kompatibilis
csak szükséges paramétereket tartalmaz
több célra külön megosztásokat használ

A lényeg itt nem a hosszú konfiguráció, hanem a tudatosan kiválasztott paraméterek.

Következő rész a sorozatban

A következő részben bemutatásra kerül:

NetBird mint WireGuard alternatíva

Témák:

interneten keresztüli biztonságos Samba elérés
WireGuard helyett egyszerűbb megoldás
mesh VPN megközelítés
rugalmasabb eszközkezelés
egyszerűbb konfiguráció

Ez egy modernebb megközelítést mutat majd be azoknak, akik nem szeretnének manuális WireGuard konfigurációt kezelni.