Не удается подключиться к Samba Active Directory с Windows 11.

У меня есть сеть с компьютерами на Windows 11 и Active Directory на Windows Server 2003. Мой план заключается в том, чтобы заменить Windows Server 2003 на Fedora Linux Server Edition – Fedora 40.

Старое пространство имен – SONCANALS. Новое пространство имен – SCNG.

Я следовал руководству Fedora Magazine.

Конфигурации

• IP-адрес сервера – 10.216.1.16, а домен – scng.educaib

• Имя хоста сервера – l1.scng.educaib

• samba.conf:

  cat /etc/samba/smb.conf
  # Глобальные параметры
  [global]
          dns forwarder = 1.1.1.1
          netbios name = L1
          realm = SCNG.EDUCAIB
          server role = active directory domain controller
          workgroup = SCNG
          idmap_ldb:use rfc2307 = yes
          ldap server require strong auth = no 
  
  [sysvol]
          path = /var/lib/samba/sysvol
          read only = No
  
  [netlogon]
          path = /var/lib/samba/sysvol/scng/scripts
          read only = No
  

• Конфигурация Kerberos:

  # cat /etc/krb5.conf.d/samba-dc 
  [libdefaults]
          default_realm = SCNG.EDUCAIB
          dns_lookup_realm = false
          dns_lookup_kdc = true
  
  [realms]
  SCNG.EDUCAIB = {
          default_domain = SCNG
  }
  
  [domain_realm]
          l1.scng.educaib = SCNG.EDUCAIB
  

• /etc/systemd/resolved.conf.d/custom.conf:

  [Resolve]
  DNSStubListener=no
  Domains=scng.educaib
  DNS=10.216.1.16

У меня есть одна машина с Fedora 40, которую я использую для тестирования Samba. Когда я тестирую, все в порядке (раздел “Тестирование” в учебном руководстве). Когда я запускаю realm discover, я получаю только старое пространство имен, а не новое:

realm discover -v
 * Разрешение: _ldap._tcp.soncanals
 * Выполнение поиска LDAP DSE на: 10.216.1.2
 * Выполнение поиска LDAP DSE на: 10.216.1.10
 * Выполнение поиска LDAP DSE на: 10.216.1.4
 * Успешно обнаружено: soncanals
soncanals
  тип: kerberos
  имя-реалма: SONCANALS
  имя-домена: soncanals
  настроено: нет
  программное обеспечение сервера: active-directory
  программное обеспечение клиента: sssd
  требуемый пакет: sssd-common
  требуемый пакет: oddjob
  требуемый пакет: oddjob-mkhomedir
  требуемый пакет: sssd-ad
  требуемый пакет: adcli
  требуемый пакет: samba-common-tools

В Windows, когда я пытаюсь подключиться к SCNG, мне предлагают ввести учетные данные администратора, но когда я ввожу данные, это занимает слишком много времени, и диалог закрывается.

Как я могу диагностировать проблему? Например, какие логи я могу посмотреть (у меня много в /var/log/samba/). Моя версия Samba – 4.20.5.

Мой приоритет – присоединиться к новому домену и войти в Windows как обычный пользователь в этом домене. На данный момент я отказываюсь от совместного использования каталогов.

Редактировать (2024-11-11): Тесты в руководстве Fedora Magazine завершились успешно:

Тестирование

Тест подключения

$ smbclient -L localhost -N
Анонимный вход успешен

        Имя общего ресурса   Тип      Комментарий
        ---------           ----      -------
        sysvol              Диск      
        netlogon            Диск      
        IPC$                IPC       IPC Service (Samba 4.21.1)
SMB1 отключен -- рабочая группа не доступна

$ smbclient //localhost/netlogon -UAdministrator -c 'ls'
Пароль для [SCNG\Administrator]:
  .                                   D        0  Чт Окт 31 10:17:05 2024
  ..                                  D        0  Чт Окт 31 10:17:05 2024

                15663104 блоков размером 1024. 12979380 блоков доступны

DNS Тест

$ host -t SRV _ldap._tcp.scng.educaib.
_ldap._tcp.scng.educaib имеет SRV запись 0 100 389 l1.scng.educaib.
$ host -t SRV _kerberos._udp.scng.educaib.
_kerberos._udp.scng.educaib имеет SRV запись 0 100 88 l1.scng.educaib.
$ host -t A l1.scng.educaib.
l1.scng.educaib имеет адрес 10.216.1.16

Тест Kerberos

$  kinit administrator
Пароль для [email protected]: 
ladmin@l1:~$ klist
Кэш билетов: KCM:1000
Основной принципал: [email protected]

Срок действия, начиная с     Срок действия            Принципал службы
11/11/24 10:15:10  11/11/24 20:15:10  krbtgt/[email protected]
        обновить до 18/11/24 10:15:06

Вам почти определенно необходимо добавить DNS-записи для вашего нового домена. В журнале Fedora есть подзаголовки “Тест DNS”, которые показывают, как узнать, сделали ли вы это правильно.