As instruções presentes neste documento aplicam-se ao Debian 13 (Trixie).

Instalação e Configuração do Servidor

Instalação

No servidor, instale os pacotes samba e samba-doc:

# apt install samba
# apt install samba-doc

Ative o serviço Samba:

# systemctl start samba

Para desativar o serviço Samba:

# systemctl stop samba

Para reiniciar o serviço Samba:

# systemctl restart samba

Para verificar a versão instalada do Samba, utilize o seguinte comando:

# smbd -V

Cadastro de Usuários.

No servidor, crie os usuários que utilizarão os serviços Samba:

# adduser username

Para criar usuários que terão acesso aos compartilhamentos do serviço samba, mas sem diretório home e com login desativado no servidor, utilize o seguinte comando:

# adduser --disabled-login --no-create-home username

Essa opção cria um usuário fantasma, que existe e pode acessar arquivos do sistema de acordo com as permissões de acesso, mas que não pode fazer login, nem localmente, nem remotamente, nem possui diretório home. O acesso será possível somente via rede e estará restrito aos compartilhamentos do servidor Samba.

Cadastre os usuários no Samba:

# smbpasswd -a username

Para desativar temporariamente um usuário dos serviços Samba, use o comando:

# smbpasswd -d username

Para reativar o usuário dos serviços Samba, use o comando:

# smbpasswd -e username

Para excluir definitivamente um usuário dos serviços Samba, use o comando:

# smbpasswd -x username

Para excluir um usuário do sistema, use o comando:

# userdel -r username

ou:

# deluser -r username

Configuração dos Serviços

Edite o arquivo /etc/samba/samba.conf:

# mcedit /etc/samba/samba.conf

Seção Global

O arquivo é dividido em seções. A seção [global] contém as opções gerais do servidor.

[global]
      netbios name = ServerHostName      
      workgroup = DomainName
      server string = Debian 8.7 (Jessie)

Os principais parâmetros da seção [Global] são:

netbios name = ServerHostName

Informa o nome do servidor.

workgroup = DomainName

Informa o nome do servidor.

server string = Debian 8.7 (Jessie)

Define uma descrição do servidor que poderá ser visualizada pelas máquinas clientes.

Seção Compartilhamentos

Um compartilhamento é uma seção. Para criar um compartilhamento, use o seguinte exemplo:

[Compartilhamento]
      comment = Compartilhamento
      path = /srv/Compartilhamento
      writeable = yes
      guest ok = no
      valid users = @groupname
      forcegroup = groupname
      Hosts allow = 192.168.1.40
      Hosts deny = 192.168.1.48
      create mask = 0664
      force create mode = 0664
      directory mask =  0775
      force directory mode = 0775      
      veto files = /._*/DS_Store/.VolumeIcon*
      delete veto files = yes

Para desabilitar alguma opção, use “;” antes da linha em que esta se encontra, como no exemplo abaixo.

[Compartilhamento]
      comment = Compartilhamento
      path = /srv/Compartilhamento
      writeable = yes
      guest ok = no
;     valid users = @groupname
;     forcegroup = groupname
;     Hosts allow = 192.168.1.40
;     Hosts deny = 192.168.1.48
      create mask = 0664
      force create mode = 0664
      directory mask =  0775
      force directory mode = 0775      
;     veto files = /._*/DS_Store/.VolumeIcon*
;     delete veto files = yes

Os principais parâmetros de configuração de um compartilhamento são:

[Compartilhamento]

Inicia uma nova seção referente a um novo compartilhamento. Ex:
[Quantum]

comment = Compartilhamento

Especifica o nome do compartilhamento. Ex:
comment = Quantum

path = /srv/Compartilhamento

Especifica o caminho do diretório a ser compartilhado. Ex:
path = /srv/Quantum

writeable = yes

Habilita a escrita para os usuários que tenham acesso ao compartilhamento. Também aceita a opção no, de forma que ficaria:
writeable = no
O parâmetro writeable tem o efeito inverso do parâmetro read only, de modo que o parâmetro writeable = yes terá o mesmo efeito que read only = no. Invertendo-se, writeable = no terá o mesmo efeito que read only = yes.
O uso das opções writeable ou read only deve se dar de acordo com a conveniência.

read only = yes

Especifica que os usuários com acesso ao compartilhamento terão permissão apenas para leitura. Também aceita a opção no, de forma que ficaria:
read only = no
O parâmetro read only tem o efeito inverso do parâmetro writeable, de modo que o parâmetro read only = yes terá o mesmo efeito que writeable = no. Invertendo-se, read only = no terá o mesmo efeito que writeable = yes.
O uso das opções read only ou writeable deve se dar de acordo com a conveniência.

guest ok = no

Habilita ou desabilita o acesso de convidados ao compartilhamento. Para habilitar o acesso de convidados, use:
guest ok = yes
Para desabilitar o acesso de convidados, use:
guest ok = no

valid users = @groupname

Restringe os usuários cadastrados no Samba que poderão acessar o compartilhamento. Basta especificar os nomes dos usuários separando-os por vírgula, por espaço ou pelos dois combinados. Exs:
valid users = username1 username2 username3
valid users = username1,username2,username3
valid users = username1, username2, username3
É possível restringir o acesso para um grupo específico utilizando os sinais “+” ou “@” antes do nome do grupo. Ex:
valid users = +groupname
valid users = @groupname
É possível combinar a restrição de acesso para grupos e usuários específicos. Ex:
valid users = +groupname1, @groupname2, username1, username2

invalid users = @groupname

Veta o acesso ao compartilhamento para usuários ou grupos específicos. Ex:
invalid users = username1, username2, username3
Da mesma forma que no parâmetro valid users, é possível vetar o acesso ao compartilhamento para usuários e grupos combinando-os. Ex:
invalid users = username1, username2, @groupname1, +groupname2
É possível utilizar o parâmetro invalid users para criar exceções às permissões concedidas a grupos por meio do parâmetro valid users. Ex:
valid users = @groupname
invalid users = username1, username2
Tal configuração restringe o acesso aos usuários pertencentes ao grupo groupname, mas bloqueia o acesso aos usuários username1 e username2 pertencentes ao grupo groupname.

write list = username, @groupname

Cria uma exceção ao parâmetro writeable = no, de modo que usuários específicos pertencentes a um grupo tenham permissão de escrita, enquanto os demais usuários do grupo terão permissão apenas para leitura. Ex:
[compartilhamento]
	path = /srv/compartilhamento
	writeable = no
	valid users = @groupname
	write list = username1, username2
Os usuários constantes na lista devem pertencer ao grupo, pois do contrário sequer terão acesso ao compartilhamento. Caso o usuário não pertença ao grupo, basta listá-lo no parâmetro valid users = usernames. Ex:
[compartilhamento]
	path = /srv/compartilhamento
	writeable = no
	valid users = @groupname, username1
	write list = username1

read list = username, @groupname

Cria uma exceção ao parâmetro writeable = yes, de modo que usuários específicos pertencentes a um grupo tenham permissão apenas de leitura, enquanto os demais usuários do grupo terão permissão de escrita. Ex:
[compartilhamento]
	path = /srv/compartilhamento
	writeable = yes
	valid users = @groupname
	read list = username1

force group = +groupname

Atribui um grupo UNIX/Linux como sendo o grupo primário de todos os usuários que acessarem o compartilhamento. Como benefício, faz com que todos os arquivos e diretórios criados dentro do compartilhamento sejam atribuídos a um grupo específico. Ex:
force group = groupname

hosts allow = 192.168.1.40

Restringe o acesso ao compartilhamento de modo que apenas a máquina 192.168.1.40 possa acessá-lo. É possível, também especificar o hostname da máquina. Ex:
hosts allow = hostname
hosts allow = hostname1, 192.168.1.32
Para restringir o acesso a uma faixa inteira de endereços IPs, omita o último octeto do endereço. Ex:
hosts allow = 192.168.1.
ou
hosts allow = 192.168.1.0/24
ou
hosts allow = 192.168.1.0/255.255.255.0
Restringe o acesso às máquinas da rede 192.168.1.x.
É possível definir exceções para bloquear o acesso ao compartilhamento quando proveniente de máquinas específicas, mesmo encontrando-se dentro da faixa de endereços IPs permitidos. Ex:
hosts allow = 192.168.1. EXCEPT 192.168.1.9, 192.168.1.27

hosts deny = 192.168.1.48

Bloqueia o acesso ao compartilhamento a apenas a máquina 192.168.1.48. É possível, também especificar o hostname da máquina. Ex:
hosts deny = hostname
hosts deny = hostname1, 192.168.1.32
Para negar o acesso a uma faixa inteira de endereços IPs, omita o último octeto do endereço. Ex:
hosts deny = 192.168.1.
nega o acesso às máquinas da rede 192.168.1.x.
É possível definir exceções para permitir o acesso ao compartilhamento quando proveniente de máquinas específicas, mesmo encontrando-se dentro da faixa de endereços IPs bloqueados. Ex:
hosts deny = 192.168.1. EXCEPT 192.168.1.9, 192.168.1.27

available = no

Desativa temporariamente o compartilhamento. Também há a opção yes, para reativar o compartilhamento. Ex:
available = no
available = yes

browseable = no

Oculta o compartilhamento do ambiente de redes, tornando-o um compartilhamento oculto. O compartilhamento ainda poderá ser acessado normalmente desde que mapeado no host cliente. Ex:
browseable = no
browseable = yes

create mask = 0664

Define um padrão de permissões de leitura, escrita e execução para todos os arquivos criados no compartilhamento. Ex:
creat mask = 0664 
Define permissão de leitura e escrita para o usuário dono do arquivo e para o grupo ao qual o arquivo pertence. Os demais terão permissão apenas de leitura. Corresponde a rw-rw-r--.
Alguns parâmetros possíveis são:
0000	---------

0100	--x------
0110	--x--x---
0111	--x--x--x

0400	r--------
0440	r--r-----
0444	r--r--r--

0500	r-x------
0550	r-xr-x---
0555	r-xr-xr-x

0600	rw-------
0620	rw--w----
0640	rw-r-----
0644	rw-r--r--
0645	rw-r--r-x
0646	rw-r--rw-
0650	rw-r-x---
0660	rw-rw----
0661	rw-rw---x
0662	rw-rw--w-
0663	rw-rw--wx
0664	rw-rw-r--
0666	rw-rw-rw-

0700	rwx------
0750	rwxr-x---
0755	rwxr-xr-x
0777	rwxrwxrwx
Os parâmetros mais recomendados são:
0400	r--------
0440	r--r-----
0444	r--r--r--

0500	r-x------
0550	r-xr-x---
0555	r-xr-xr-x

0600	rw-------
0644	rw-r--r--
0660	rw-rw----
0666	rw-rw-rw-
0660	rw-rw----
0664	rw-rw-r--
0666	rw-rw-rw-

0100	--x------
0110	--x--x---
0111	--x--x--x

force create mode = 0664

Reforça os parâmetros de creat mode = 0664. Ex:
force creat mask = 0664

directory mask =  0775

Define um padrão de permissões de acesso, leitura e escrita para todos os diretórios criados no compartilhamento. Ex:
directory mask = 0775
Define permissão de acesso, leitura e escrita para o usuário dono do diretório e para o grupo ao qual o diretório pertence. Os demais terão permissão apenas de acesso e leitura. Corresponde a rwxrwxr-x.
Alguns parâmetros possíveis são:
0000	---------

0100	--x------
0110	--x--x---
0111	--x--x--x

0400	r--------
0440	r--r-----
0444	r--r--r--

0500	r-x------
0550	r-xr-x---
0555	r-xr-xr-x

0600	rw-------
0620	rw--w----
0640	rw-r-----
0644	rw-r--r--
0645	rw-r--r-x
0646	rw-r--rw-
0650	rw-r-x---
0660	rw-rw----
0661	rw-rw---x
0662	rw-rw--w-
0663	rw-rw--wx
0664	rw-rw-r--
0666	rw-rw-rw-

0700	rwx------
0750	rwxr-x---
0755	rwxr-xr-x
0777	rwxrwxrwx
Os parâmetros mais recomendados são:
0700	rwx------
0750	rwxr-x---
0755	rwxr-xr-x
0777	rwxrwxrwx

0500	r-x------
0550	r-xr-x---
0555	r-xr-xr-x

0100	--x------
0110	--x--x---
0111	--x--x--x

force directory mode = 0775

Reforça os parâmetros de directory mode = 0775. Ex:
Force directory mode = 0775

veto files = /._*/DS_Store/.VolumeIcon*

Impede a criação de quaisquer arquivos ou diretórios cujos nomes se iniciem com os caracteres vetados. A barra (/) deve vir antes da expressão que será vetada. Qualquer arquivo cujo nome corresponda a essa expressão exata informada será vetado. Todas as expressões bloqueadas devem ser separadas somente pela barra que as antecede, não necessitando de vírgulas ou espaços.
Quando se deseja impedir a criação de quaisquer arquivos nos quais parte do nome contenha uma expressão específica, deve-se usar o asterisco (*) antes ou após a expressão que será vetada. Exemplos:
veto files = /._diretorio*
Impede a criação de quaisquer arquivos com nomes que se iniciem com os caracteres “._diretorio”, independentemente de quais sejam os caracteres que complementam o final do do nome do arquivo. Com esse exemplo, as máquinas clientes ficam impedidas, de criarem arquivos com os nomes ._diretorio2, ._diretorio_publico, ._diretorio_de_backup, etc.
veto files = /*publico
Impede a criação de quaisquer arquivos com nomes que se encerrem com os caracteres “._publico”, independentemente de quais sejam os caracteres que complementam o início do do nome do arquivo. Com esse exemplo, as máquinas clientes ficam impedidas, de criarem arquivos com os nomes .publico, diretorio_publico, compartilhamento_publico, ._backup_publico, etc.
veto files = /._*/DS_Store/.VolumeIcon*
Veta as máquina clientes de criarem arquivos que se iniciem com os caracteres "._", "DS-Store", e ".VolumeIcon", comumente gerados pelos sistemas MacOS dos computadores Apple.

delete veto files = yes

Permite a exclusão de arquivos vetados quando o usuário cliente tenta excluir um diretório. Por padrão, vem desabilitado, mas é preferível habilitar para que, ao excluir um diretório, todos os arquivos vetados sejam também excluídos.
Na prática, funciona como um reforço do parâmetro veto files = /expressao_vetada*.

Desabilitar a criação de arquivos “.DS_Store” e outros arquivos de serviços de rede gerados por máquinas clientes Macintosh.

No cliente Mac execute o seguinte comando:

# defaults write com.apple.desktopservices DSDontWriteNetworkStores true

Para reabilitar a escrita dos diretórios “.DS_Store” e outros arquivos de serviços de rede, execute o seguinte comando:

# defaults delete com.apple.desktopservices DSDontWriteNetworkStores

Bloquear a criação de arquivos .DS_Store, e .VolumeIcon.icns por máquinas clientes Macintosh (MacOS)

No compartilhamento Samba, adicione os parâmetros “veto files” e “delete veto files”:

[Compartilhamento]
         veto files = /._*/DS_Store/.VolumeIcon*
         delete veto files = yes

A barra (/) deve vir antes da expressão que será vetada. Qualquer arquivo cujo nome corresponda a essa expressão exata informada será vetado. Todas as expressões bloqueadas devem ser separadas somente pela barra que as antecede, não necessitando de vírgulas ou espaços.
Quando se deseja impedir a criação de quaisquer arquivos nos quais parte do nome contenha uma expressão específica, deve-se usar o asterisco (*) antes ou após a expressão que será vetada. Exemplos:
veto files = /._diretorio*
Impede a criação de quaisquer arquivos com nomes que se iniciem com os caracteres “._diretorio”, independentemente de quais sejam os caracteres que complementam o final do do nome do arquivo. Com esse exemplo, as máquinas clientes ficam impedidas, de criarem arquivos com os nomes ._diretorio2, ._diretorio_publico, ._diretorio_de_backup, etc.
veto files = /*publico
Impede a criação de quaisquer arquivos com nomes que se encerrem com os caracteres “._publico”, independentemente de quais sejam os caracteres que complementam o início do do nome do arquivo. Com esse exemplo, as máquinas clientes ficam impedidas, de criarem arquivos com os nomes .publico, diretorio_publico, compartilhamento_publico, ._backup_publico, etc.

Configurando o Samba nas máquinas clientes

Instalação

Nas máquinas clientes, instale o pacote smbclient:

# apt install smbclient

Montando compartilhamentos samba via linha de comando

Instale o pacote cifs-utils:

# apt install cifs-utils

Para montar o compartilhamento Samba, use o seguinte comando:

# mount -t cifs //192.168.1.7/compartilhamento /mnt/compartilhamento -o username=username1

O servidor irá pedir pela senha do usuário username.
//192.168.1.7/compartilhamento indica o endereço IP do servidor mais o nome do compartilhamento. username1 indica o nome do usuário credenciado no servidor Samba.

Também é possível montar o compartilhamento utilizando o Hostname do servidor:

# mount -t cifs //ServerName/compartilhamento /mnt/compartilhamento -o username=username

Exemplo:

# mount -t cifs //Quantum/Neutron /mnt/Neutron -o username=joao

É possível também especificar a senha diretamente no comando, o que permite usar o comando em scripts:

# mount -t cifs //ServerName/compartilhamento /mnt/compartilhamento -o username=username1,password=xxxxx

Montagem automática de compartilhamento pelo arquivo /etc/fstab

Para montar o compartilhamento automaticamente, adicione os seguintes parâmetros ao arquivo /etc/fstab:

//192.168.1.7/compartilhamento /mnt/compartilhamento cifs noauto,users,username=username1,uid=username1,gid=username1 0 0

ou:

//ServerHostname/compartilhamento /mnt/compartilhamento cifs noauto,users,username=username1,uid=username1,gid=username1 0 0

Os parâmetros do arquivo /etc/fstab estão distribuídos em 6 colunas e são interpretados do seguinte modo para compartilhamentos Samba:

1ª Coluna	2ª Coluna	3ª Coluna	4ª Coluna	5ª Coluna	6ª Coluna
Servidor e nome do compartilhamento	Ponto de montagem do dispositivo	Sistema de arquivo	Opções de montagem do dispositivo	Dump do dispositivo: backup automático em outro dispositivo ou partição	Pass do dispositivo: verificação e reparo do dispositivo
//ServerHostname:/compartilhamento	/mnt/compartilhamento	cifs	noauto,users,username=username1,uid=username1,gid=username1	0	0

Eis o significado de cada parâmetro:

1º parâmetro (servidor e compartilhamento)

//ServerHostname/compartilhamento

Indica o servidor ServerHostname e o compartilhamento chamado compartilhamento.

2º parâmetro (ponto de montagem do compartilhamento)

/mnt/compartilhamento

Indica que o compartilhamento deve ser montado no diretório /mnt/compartilhamento.

3º parâmetro (sistema de arquivos)

cifs

Indica que o compartilhamento deve ser montado utilizando-se o sistema de arquivos cifs.

4º parâmetro (opções)

noauto,users,username=username1,uid=username1,gid=username1

Indica as opções de montagem do compartilhamento. As opções são separadas por vírgulas. As opções são:
noauto
Impede que o compartilhamento seja montado automaticamente durante o boot do sistema. Para ativar a montagem automática durante o boot basta substituir o parâmetro noauto por auto:
users
Permite que o compartilhamento seja montado pelos usuários do sistema.
username=username1
Indica o nome de usuário credenciado no servidor.
uid=username1
Indica que o id do usuário credenciado deve ser o mesmo do usuário username1 do servidor.
gid=username1
Indica qual deve ser o grupo do usuário credenciado quando o compartilhamento for montado.

5º parâmetro (dump do dispositivo)

Indica que não haverá backup automático do dispositivo. O oposto seria 1.

6º parâmetro (pass do dispositivo)

Indica que não haverá verificação e reparo do dispositivo durante a montagem. O oposto seria 1.

===================================
Documento em desenvolvimento
Inserir Conteúdo marcado para revisão
===================================