Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- kb [2016/08/13 11:02]
flacco [Mailversand - SMTP-Auth mit Dovecot-SASL]
+++ kb [2017/01/05 10:41]
flacco [Active Directory und Firewall]
@@ Zeile 25: / Zeile 25: @@
 Mit Einführung von Samba 4.0 brachte Samba eine eigene Implementation von Microsofts Active Directory mit. Dies ermöglichte uns den Umstieg von openLDAP auf Active Directory. Um alle Informationen die der invis Classic im LDAP speicherte auch im AD speichern zu können mussten wir eigene Schemaerweiterungen einspielen und darüber hinaus auch den von uns verwendeten DHCP-Server des ISC (Internet Systems Consortium) patchen.
-Als DNS-Server verwenden wir nicht den "Samba Internal DNS", sondern weiterhin "bind" (ebenfalls vom ISC). Dies wird allerdings von Samba direkt unterstützt. Die Anbindung erfolgt hier über einen DLZ-Treiber ([[http://bind-dlz.sourceforge.net/|Dynamic Loadable Zone]]) den Samba selbst mitbringt. Nebenbei bemerkt ist es auch in Microsoft AD-Umgebungen den DNS-Dienst auszulagern, ich habe das mit "ISC bind" bereits erfolgreich getestet.
+Als DNS-Server verwenden wir nicht den "Samba Internal DNS", sondern weiterhin "bind" (ebenfalls vom ISC). Dies wird allerdings von Samba direkt unterstützt. Die Anbindung erfolgt hier über einen DLZ-Treiber ([[http://bind-dlz.sourceforge.net/|Dynamic Loadable Zone]]) den Samba selbst mitbringt. Nebenbei bemerkt ist es auch in Microsoft AD-Umgebungen möglich den DNS-Dienst auszulagern, ich habe das mit "ISC bind" bereits erfolgreich getestet.
 Für die Benutzerverwaltung haben sich die Vorzeichen umgekehrt. Beim invis Classic wurden im LDAP prinzipiell POSIX-kompatible Benutzerkonten angelegt, die um Windows- respektive Samba-Attribute ergänzt wurden. Mit Active Directory bilden jetzt Windows-Benutzerkonten die Basis, die um POSIX-Attribute erweitert werden. Da Microsoft dies selbst unter Verwendung der eigenen Erweiterung "Services for UNIX" (SFU) anbietet, bricht es nicht die Kompatibilität zur MS-Welt. Unter Samba wird diese Ergänzung "RFC 2307 Erweiterung" genannt.
@@ Zeile 42: / Zeile 42: @@
 ^Protokoll  ^Transportprotokoll  ^Port  ^Bemerkung  ^
-|Kerberos  |  TCP & UDP  |  88  |    |
+|Kerberos  |  TCP & UDP  |  88  |  Benutzerauthentifizierung  |
-|LDAP  |  TCP & UDP  |  389  |    |
+|LDAP  |  TCP & UDP  |  389  |  Daten-Backend, Benutzerveraltung, DNS, DHCP und invis-Portal  |
-|LDAPs  |  TCP  |  636  |    |
+|LDAPs  |  TCP  |  636  |  s.o.  |
-|DNS  |  TCP & UDP  |  53  |    |
+|DNS  |  TCP & UDP  |  53  |  Namensauflösung und Service-Location  |
+|    |  TCP  | 1024  |  Zugriff auf DNS-Daten mittels RSAT  |
 |GC  |  TCP  |  3268  |  Global Catalog  |
+|GC  |  TCP  |  3269  |  Global Catalog SSL  |
 |SMB/CIFS  |  TCP & UDP  |  445  |  Zugriff auf sysvol Freigabe  |
 |RPC  |  TCP  |  135  |Früheres Microsoft Messaging Protokoll, wird genutzt für die Replikation der sysvol Freigabe. Dies wird von Samba noch nicht unterstützt.  |
+|    |  TCP & UDP  |  464  |  Replication, User and Computer Authentication, Trusts  |
 ==== ISC DHCP mit ActiveDirectory ====
@@ Zeile 817: / Zeile 820: @@
 Auch im Fehlerfall sollte zwischen den Neustarts eine Pause liegen, da der Docker-Container ggf. nicht so schnell agiert, wie //**systemd**// das erwartet. "RestartSec=10" setzt diese Pause auf 10 Sekunden.
-Da ich im Beispiel dem Container mit "--name=" einen reproduzierbaren Namen gebe, scheitern zu schnelle Neustarts oft daran, dass bereits ein Container mit diesem Namen existiert (...auch wenn dieser nicht funktioniert). Mit "ExecStopPost=" wird nach einem Stoppen des Containers dieser auch entfernt.
+Da ich im Beispiel dem Container mit "--name=" einen reproduzierbaren Namen gebe, scheitern zu schnelle Neustarts oft daran, dass bereits ein Container mit diesem Namen existiert (...auch wenn dieser nicht funktioniert). Mit "ExecStopPost=" wird nach einem Stoppen des Containers dieser auch entfernt. Damit steht er einem Neustart unter gleichem Namen nicht im Weg.
+Gespeichert werden die Container-Service-Unit Dateien unter: <file>/etc/systemd/system</file>
+Eine Veränderung dieser Dateien muss mit
+<code>
+linux:~ # systemctl daemon-reload
+</code>
+übernommen werden.