**Tipp:** Sie können nun die Aufgezeichnete Wireshard-Datei separat öffnen um beide Aufzeichnungen miteinander zu vergleichen. Setzten Sie wieder den Filter **tftp** um nur die relevanten Datenpakete zu sehen.
**Frage:** Was hat sich verändert? Die Daten werden in vier Blöcken übertragen.  **Frage:** Was ist nun Ihre Schlussfolgerung daraus? Grosse Dateien werden von TFTP in mehrere Blöcke aufgeteilt und übertragen. **Frage:** Können Sie anhand der aufgezeichneten ableiten wie gross ein Block bei der Übertragung sein darf bevor er aufgeteilt wird? Tipp: Vergleichen Sie die vier Blöcke. Die Grösse der Datei ist so gewählt, dass die Grösse des letzten Blocks nicht ausgeschöpft wird und somit kleiner als möglich übertragen wird. Die Grösse beträgt 2048 Bytes. Dies wird ersichtlich wenn man in den Daten Packets den Wert **Length** vergleich. Dieser ist überall auf 2048 Bytes gesetzt nur beim letzten Block ist dieser kleiner. Zusatzinfo: Werden die Length aller 4 Datenpakete zusammengezählt, erhält man die Grösse der heruntergeladenen Datei. **Frage:** Untersuchen Sie den TFTP-Client dahingehend ob es eine Möglichkeit gibt, zu prüfen was für Dateien auf dem TFTP-Server sonst noch abgelegt sind. Nein. Es gibt keine weiteren Möglichkeiten. **Frage:** Was bedeutet dies für Sie als TFTP-Anwender? Es müssen alle Dateien vollständig bekannt sein, welche heruntergeladen werden möchten. # FTP Sie haben nun bisher das Protokoll TFTP mit einem TFTP-Server und TFTP-Client kennen gelernt. Als nächstes schauen wir uns nun das FTP-Protokoll (File Transfer Protocol) an. Dieses wurde im Jahr 1971 entwickelt und ist ein wesentlicher Bestandteil des Internets und der Computervernetzung. Sie werden feststellen, dass FTP einen wesentlich grösseren Funktionsumfang bietet als TFTP, dazugehörten beispielweise: - Benutzer-Authentifzierung - Verschlüsselung des Datenübertragung - Berechtigungen - Auflisten des Ordnerinhaltes Im Gegensatz zu TFTP verwendet FTP zwei Verbindungen, einerseits eine Verbindung für die Übermittlung der Kontroll-Befehle (Control-Plane) und andererseits eine Verbindung für die Datenübertragung (Data-Plane). TFTP hingegen verwendet nur eine Verbindung, die sowohl für die Kontrolle als auch für die Datenübertragung verwendet wird. [](https://shelf.iten.io/uploads/images/gallery/2022-12/of8ftp-control-and-dataplane.png) **Erklärung:** Der Verbindungs-Aufbau erfolgt über die Kontroll-Verbindung, welche in der Grafik orange dargestellt ist. Darüber läuft die Authentifizierung, die Auswahl des korrekten Arbeits-Verzeichnisses sowie der Austausch der Verbindungsinformationen für die Dateiübertragung. Auf dieser Verbindung kommunizieren der Client und der Server ausschliesslich über Text-Kommandos. Die eigentliche Datenübertragung erfolgt auf einem separatem Kanal, der sogenannten Daten-Verbindung. Dies bringt folgende Vorteile mit sich: - Es können mehrere Datenübertragungen parallel stattfinden, für jede Datenübertragung wird eine separate Daten-Verbindung geöffnet. Jede Datenverbindung hat einen eigenen Port. - Die Kommunikation mit dem Server wird nicht unterbrochen durch eine Datenübertragung. Dauert z. B. der Download einer Datei sehr lange, kann die Kommunikation über die Kontroll-Verbindung weiterhin vorgenommen werden. Würde nur eine Verbindung für die Kommunikation und die Datenübertragung verwendet werden, müsste gewartet werden, bis die Datei fertig übertragen wurde. ##### Aktive und passive FTP-Verbindung Es gibt zwei verschiedenen Varianten wie eine FTP-Verbindung aufgebaut werden kann. Schauen wir uns zu erste den aktiven Modus an, welcher ursprünglich als Standard-Variante vorgesehen war und vor dem passiven Modus existiert hat. **Aktives FTP** Aktives FTP wird so genannt, weil der FTP-Server hierbei die Datenverbindung aktiv zum Client aufbaut. Der Client wählt seine Ports für die Daten- und Kontrollverbindung zufällig, während der Server immer die bekannten Standard-Ports 21 für die Kontroll-Verbindung und 20 für die Datenverbindung zugewiesen hat. Schauen Sie sich nun den untenstehenden Ablauf an:  1. Der **FTP-CLIENT** baut eine Verbindung zum Server auf. Die IP-Adresse des Servers sowie dessen Port aud der Kontroll-Verbindung sind bekannt. (Port ist in der Regel der definierte Standard-Port 21). Es werden die mit dem AUTH Befehl die Informationen zur Authentifizierung übertragen. 2. Der **FTP-SERVER** bestätigt die erfolgreiche Anmeldung mit der Meldung **user logged in**. 3. Der **FTP-CLIENT** teilt dem Server nun seinen Port für die Daten-Verbindung mit. Dazu sendet der FTP-CLIENT eine sogenannte PORT Nachricht in der die IP-Adresse und der Port in folgenden Format übermittelt wird. (192,168,1,72,25,130) Daraus kann der Server nun den Port berechnen. Hierzu mehr unter dem Abschnitt **Port-Berechnung**. Ab diesem Zeitpunkt weiss der **FTP-Serve**r nun, auf welchem Port der **FTP-CLIENT** die Datei empfangen kann. 4. Der **FTP-SERVER** bestätigt dem FTP-CLIENT, dass er den Port erhalten hat. 5. Bei einer angefragten Datenübertragung wird der **FTP-Server** nun die Datei an den **FTP-Client** senden. Dazu baut er von sich auf eine neue Verbindung auf den erhaltenen Port des Clients auf.Das obige Abschlauf-Schema ist nicht vollständig. In Wahrheit werden noch weitere Datenpakete ausgetauscht. z. B. für die Authentifizierung. Dieser Ablauf wurde auf die relevanten Datenpakete reduziert um die Funktionsweise einer aktiven oder passiven FTP-Verbindung zu darzulegen.
Die aktive FTP-Verbindung ist einfach und verständlich aufgebaut. Der FTP-Client teilt dem FTP-Server mit, auf welchem Port er eine Datei entgegen nimmt und der FTP-Server baut dann auf diesen Port eine Daten-Verbindung auf. Jedoch hat sich mit der Zeit in grosses Problem geäussert. Immer mehr Clients waren mit einer Firewall oder einem NAT ausgestattet. Wie in der nachfolgenden Grafik ersichtlich, blockieren Firewalls eingehende Verbindungen, welche nicht ursprünglich vom Client initiiert wurden. Die Datenpakete der Kontroll-Verbindung werden daher durch die Firewall des Clients gelassen, da diese vom Client selber gestartet wurden. Da aber der FTP-Server die Daten-Verbindung von sich aus startet, wird diese von der Firewall des FTP-Clients blockiert. [](https://shelf.iten.io/uploads/images/gallery/2022-12/fpt-active-firewall.png) Es braucht somit eine andere Lösung, welche dem Client erlaubt die Datenverbindung zu starten. Hierzu wurde passives FTP eingeführt. **Passives FTP** Im Gegensatz zum aktiven FTP, bei dem der Server die Daten-Verbindung aktiv aufbaut, wird beim passiven FTP der Client die Verbindung aufbauen. Der FTP-Server muss die Daten dann nur passiv auf dem kommunizierten Port bereithalten. Passives FTP ist üblich, da viele Firewalls die FTP-Verbindung verunmöglichen, da von aussen her keine Daten-Verbindung aufgebaut werden kann. Weiter ist es sicherer, weil nicht der Server die Daten-Verbindung aufbaut und somit der Client weniger offen für Angriffe ist. [](https://shelf.iten.io/uploads/images/gallery/2022-12/fpt-passive.png) 1. Wie beim aktiven FTP wird der **FTP-CLIENT** als erstes eine Authentifizierung vornehmen. 2. Der **FTP-SERVER** bestätigt diese. 3. Nun wird der **FTP-CLIENT** mit einer **PSVM**-Nachricht den passiven-Modus vom **FTP-SERVER** anfordern. 4. Der **FTP-SERVER** bestätigt den passiven Modus mit dem Status 227 und den Port-Informationen. Der **FTP-SERVER** hat dem **FTP-CLIENT** den Port 50001 und die IP 44.205.205.11 übermittelt. Der **FTP-SERVER** öffnet einen neuen Port 50001 auf dem er auf eingehende Verbindungen wartet. 5. Der **FTP-CLIENT** möchte nun die Datei xyz.txt abrufen. Dazu stellt der Client eine Verbindung zum **FTP-SERVER** über den Port 50001 mit. Der Port wurde vom **FTP-SERVER** in der letzten Nachricht mitgeteilt. Mit diesem Datenpaket erhält der FTP-Server automatisch auch den Port der Daten-Verbindung des **FTP-CLIENTS**. 6. Der **FTP-SERVER** sendet nun die angeforderte Datei xyz.txt an den **FTP-CLIENT** über den Port 6530. Weil die Verbindung vom Client aus gestartet wurde (Die Firewall merkt sich beim Datenpaket die IP-Adresse und den Port des Servers) wird das eingehende Datenpaket akzeptiert. #### Port Berechnung Das aktive und passive FTP haben eine Gemeinsamkeit und zwar werden jeweils an einer Stelle Informationen ausgetauscht, auf welchem Port der FTP-Client oder der FTP-Server eine Verbindung geöffnet haben. Diese Information ist nach einem bestimmten Schema codiert. [](https://shelf.iten.io/uploads/images/gallery/2022-12/ftp-ports.png) Mit diesem Schema und den Informationen aus dem Kapitel über aktives und passives FTP sollten Sie nun die unten stehenden Aufgaben lösen können. **Auftrag 1:** Nachfolgende Datenpakete einer Kontroll-Verbindung wurde aufgefangen. Leiten Sie daraus ab, ob dieses Paket an einen FTP-Client oder einen FTP-Server übermittelt wurde, die codierte IP-Adresse, den codierten Port und ob es eine aktive oder passive FTP-Verbindung ist. **1.) PORT 192,168,1,72,209,255** Datenpaket wurde an einen \_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ versendet. Die IP-Adresse lautet: Die Port-Nummer lautet: Es handelt sich um eine \_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ FTP-Verbindung. Datenpaket wurde an einen FTP-Server versendet. Die IP-Adresse lautet: 192.168.1.72 Die Port-Nummer lautet: 53759 Es handelt sich um eine aktive FTP-Verbindung **2.) PORT 111,222,111,222,111,222** Datenpaket wurde an einen \_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ versendet. Die IP-Adresse lautet: Die Port-Nummer lautet: Es handelt sich um eine \_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ FTP-Verbindung. Datenpaket wurde an einen FTP-Server versendet. Die IP-Adresse lautet: 111.222.111.222 Die Port-Nummer lautet: 28638 Es handelt sich um eine aktive FTP-Verbindung **3.) 227 Entering Passive Mode (210,128,268,122,199,199)** Datenpaket wurde an einen \_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ versendet. Die IP-Adresse lautet: Die Port-Nummer lautet: Es handelt sich um eine \_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ FTP-Verbindung. Datenpaket wurde an einen FTP-Client versendet. Die IP-Adresse lautet: 210.128.268.122 Die Port-Nummer lautet: 51143 Es handelt sich um eine aktive FTP-Verbindung **4.) PORT 111,222,111,222,111,222** Datenpaket wurde an einen \_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ versendet. Die IP-Adresse lautet: Die Port-Nummer lautet: Es handelt sich um eine \_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_\_ FTP-Verbindung. Datenpaket wurde an einen FTP-Client versendet. Die IP-Adresse lautet: 210.128.268.122 Die Port-Nummer lautet: 28638 Es handelt sich um eine aktive FTP-Verbindung ### Praktische Übung #### Vorbereitung - Laden die die Software FileZilla Client herunter und installieren Sie diese auf Ihrem Gerät: [https://filezilla-project.org](https://filezilla-project.org) - Aktivieren Sie den Telnet-Client unter Windows: [https://www.heise.de/tipps-tricks/Windows-10-Telnet-Client-aktivieren-4569277.html](https://www.heise.de/tipps-tricks/Windows-10-Telnet-Client-aktivieren-4569277.html) - Wireshark sollte aus der vorhergehenden Aufgabe noch installiert sein. #### Anmeldung über FileZilla Starten Sie als erstes die Software Wireshark und setzen Sie einen Filter auf **ftp:** [](https://shelf.iten.io/uploads/images/gallery/2022-12/MR5image.png) Starten Sie nun die Software FileZilla Client und stellen Sie eine Verbindung mit folgenden Parametern her: - **Server:** 44.205.205.122 - **Benutzername:** user-read - **Passwort:** geheimespasswort - **Port:** 21  Sie werden die Meldung erhalten, dass dieser FTP-Server kein FTP über TLS bietet. Bestätigen Sie diese Meldung: [](https://shelf.iten.io/uploads/images/gallery/2022-12/gZgimage.png) Nun sollten die eine erfolgreiche Verbindung hergestellt haben. **Führen Sie zu diesem Zeitpunkt noch keinen Download aus.** Dies erleichtert Ihnen die Beantwortung der nachfolgenden Fragen.**Warnung:** In dieser Übung verwenden wir bewusst eine unverschlüsselte Verbindung, damit wir die übertragenen Daten nachvollziehen können. In der echten Welt sollte aber nie eine unverschlüsselte FTP-Verbindung aufgebaut werden, da jemand der den Datenverkehr mitliest, alle Informationen inkl. Passwörter im Klartext mitlesen kann.
In Wireshark sollten Sie nun die FTP-Datenpakete sehen. Wireshark bietet ein praktisches Tool um die Datenverbindungen grafisch zu visualisieren. Öffnen Sie hierzu über den Punkt **Statistiken** den **Flow Graph**. [](https://shelf.iten.io/uploads/images/gallery/2022-12/d3wimage.png) Stellen Sie sicher, dass die Option **Auf Anzeigefilter einschränken** aktiviert ist. [](https://shelf.iten.io/uploads/images/gallery/2022-12/prKimage.png) Das allererste Datenpaket sollte nun ein Response sein. Der FTP-Client hat zwar die Verbindung zum Server aufgebaut, aber die initiale Verbindung ist eine generische TCP-Verbindung. Erst mit der ersten Bestätigung durch den FTP-Server werden FTP-Pakete ausgetauscht. Daher wird der initiale Verbindungsaufbau zum FTP-Server vom Filter **ftp** nicht abgedeckt. Somit ist unser erstes FTP-Datenpaket der **Response: 200 FTP Server ready.** was so viel heisst wie, Sie haben einen FTP-Server kontaktiert und ich habe Ihnen geantwortet. Ignorieren Sie nun die nachfolgenden 4 Datenpakete. Diese enthalten AUTH-Anforderungen, welcher aber aufgrund des fehlenden SSL/TLS Zertifikates nicht erfolgreich sind und dementsprechend mit einer Response: 500 AUTH not understood beantwortet werden. Der FTP-Client versucht zwei mal eine SSL-Verschlüsselung aufzubauen, bevor dieses Vorhaben aufgegeben wird. **Auftrag:** Identifizieren Sie nun die Datenpakete, welche in der Authentifizierung des Benutzers beteiligt sind bis zu dem Punkt, wo der Benutzer erfolgreich authentifiziert ist. Notieren Sie den jeweiligen Request und den Response. Client: USER user-read Server: 331 Passwor required for user-read Client: PASS geheimespasswort Server: 230 User user-read logged in Die nachfolgenden Requests sind dazu da, dass der FTP-Client und FTP-Server Informationen über Funktionen und Systemdetails austauschen können. Dies sind namentlich die Requests **SYST**, **FEAT** und **OPTS**. Diese können für dieses Modul mal ingoriert werden. Nun kommt aber ein spannender Request. Was für eine Information möchte der FTP-Client mit dem **PWD** Request anfragen? Tipp: Im Linux-Kapitel finden die diesen Befehl ebenfalls mit einer Erklärung. Was sagt uns der Response Der PWD-Befehl gibt das aktuelle Verzeichnis auf dem FTP-Server zurück. Wir befinden uns wohl im Root-Verzeichnis / des FTP-Benutzers user-read Prüfen Sie nun im nächstes ob mit einer aktiven oder passive FTP-Verbindung weitergefahren wird. Welche Datenpakete sind hierfür relevant: Client: PSAV Server: 227 Entering Passive Mode (44.205.205.122,xxx,yyy) Was für eine FTP-Verbindung wird gesetzt? Ein passive FTP-Verbindung Wer definiert die Art der FTP-Verbindung (Client oder Server) und mit welchem Datenpaket geschieht dies genau? Der FTP-Client mit dem PSAV Request. Berechnen Sie aus der Port-Angabe den Port und die IP für die Datenverbindung. Notieren Sie den Lösungsweg und notieren Sie den erhaltenen Port für später. (44,205,205,122,xxx,yyy) IP: 44.205.205.122 Port = xxx \* 256 + yyy Nun wird es spannend. Mit dem Request **MLSD** fragt der FTP-Client eine Datenübertragung an. Der FTP-Server antwortet, dass eine Datenverbindung (Binär) für MLSD geöffnet wurde. Somit existiert nun eine weiter Verbindung, die sogenannten Daten-Verbindung. Alle bisherigen Befehle, welche ausgetauscht wurden, liegen auf der Kontroll-Verbindung. Der WireShark Filter **ftp** deckt die FTP-Datenverbindung nicht ab, dafür gibt es aber einen separaten Filter, nämlich den **ftp-data**. Nutzen Sie diesen, es sollte nun genau ein Datenpaket ersichtlich sein: [](https://shelf.iten.io/uploads/images/gallery/2022-12/Wcyimage.png) Wählen Sie das betreffende Datenpaket aus und und klappen Sie im Protokollstack den Teil **Line-based text data** auf. Erkennen Sie was für Informationen mit MLSD übertragen wurden? Vergleichen Sie die Informationen mit dem Inhalt im FTP-Client FileZilla. In welchem Format wird die Information übertragen? Es handelt sich um die Darstellung des aktuellen Verzeichnisses mit den Dateien und Unterverzeichnissen. Die Informationen werden als Plain-Text (reiner Text) übertragen. Wofür verwendet der FTP-Client diese Information FileZilla die Information aus der MLSD Datenübertragung? Für die Darstellung des Datei-Explorers des FTP-Servers. [](https://shelf.iten.io/uploads/images/gallery/2022-12/D2rimage.png) Klappen Sie nun den Teil **Transmission Control Protocol** auf und kontrollieren Sie, ob der Source Port mit dem von Ihnen berechneten Port übereinstimmt. Ja der Port sollte übereinstimmen. Falls nicht sollte die Berechnung des Ports nochmals geprüft werden. **Auftrag:** Wechseln Sie nun in den FTP-Client und laden Sie die **kleine-datei.txt** mit einem Doppelklick herunter. Es sollten nun neue Datenpakete aufgetaucht sein. Der Befehle MLSD wird benötigt um den Inhalt des Verzeichnisses aufzulisten. Welcher Befehl wird Verwendet um eine Datei abzurufen? RETR (retrive englisch für empfangen) Laden Sie nun die Datei grosse-datei.txt mit einem Doppelklick herunter. Was fällt Ihnen auf im Vergleich zur kleinen Datei? Warum ist das so? (Tipp. Bei TFTP haben Sie eine ähnliche Situation) Es wurde nicht nur ein RETR Datenpaket gesender sondern 4. Die Datei wurde auf vier Datenpakete aufgeteilt, weil diese zu Gross ist für ein Datenpaket. Woran können Sie erkennen, dass für die MLSD-Requests, den RETR für die Datei kleine-datei.txt und den RETR für die Datei grosse-datei.txt jeweils eigene Datenverbindungen verwendet wurden? Tipp schauen Sie im Transmission Control Protcol Teil nach. Der Destination und Source Port unterscheiden sich jeweils. Dies ist so, weil für jede Datenübertragung eine eigene Verbindung aufgebaut wurde. Wechseln Sie nun den WireShark Filter zu **ftp** und kontrollieren Sie, ob für die Kontroll-Verbindung ebenfalls separate Verbindungen aufgebaut wurden oder ob immer dieselbe Verbindung verwendet wurde insofern die Verbindung nicht manuell Unterbrochen wird oder zulange offen gelassen wurde. (Achtung, ein manueller Unterbruch oder Timeout erzeugt immer eine neue Verbindung) Es wird immer der selbe Port verwendet für die Verbindung, somit wird nur eine Verbindung verwendet. Ausnahme: Die Verbindung wurde Unterbrochen, dann gibt es eine neue Verbindung. # SMB / SAMBA SMB ist ein Netzwerkprotokoll, welches es Computern ermöglicht, Dateien und andere Ressourcen effizient über Netzwerke zu teilen. SAMBA verwendet das SMB-Netzwerkprotokoll, das auch als Server Message Block oder Common Internet File System bezeichnet wird. Dieses Protokoll ist um einiges komplexer als die bisher bekannten Protokolle wie TFTP und FTP. Es kann auf Linux, BSD und Microsoft Windows-Betriebssystemen verwendet werden und ist der Standard für Dateifreigabe in Windows-Netzwerken. Dabei ist SAMBA ist ein freies und quelloffenes Protokoll, das von einigen großen Unternehmen unterstützt wird. Es wird häufig in großen Unternehmensnetzwerken eingesetzt, um ein einheitliches Netzwerk-Dateisystem bereitzustellen. SAMBA kann auch als Netzwerk-Printserver verwendet werden, um Druckaufträge an Drucker im Netzwerk zu senden. Es bringt dabei eine Authentifizierung von Benutzern mit, um genau zu steuern wer auf die auf Netzwerkressourcen zugreifen darf. Dafür wird mit dem bereits bekannten Konzept von Benutzern und Gruppen gearbeitet. Die Funktionsweise von SMB wird in der praktischen Aufgabe "Auftrag 0003" genauer erläutert. # Auftrag 0003 # Der Auftrag Das Unternehmen **Star Entwicklung AG** möchte die derzeitige Datei-Verwaltung durch eine zentralisierte Server-Lösung ablösen. Die Lösung soll folgende Möglichkeiten bieten. - Die Lösung soll direkt Betriebssystem integriert werden. - Die Mitarbeiter verwenden Windows und Mac Geräte. Diese sollen unterstützt werden. Diese Funktionen können mit einem SMB-File-Server abgedeckt werden. - Jeder Benutzer soll ein persönliches Laufwerk für seine Dateien erhalten. - Es existieren weitere Verzeichnisse, auf jene die Benutzer anhand bestimmter Berechtigungen Zugriff erhalten sollen. Die Geschäftsleitung stellt hierzu weiter unten eine Übersicht bereit. Der Auftrag erfolgt in drei Schritten: 1. **Konzeptionelles** Erstellen Sie ein Namenskonzept für die Benutzer inkl. eigens definierten Passwörtern und erstellen Sie eine Berechtigungsmatrix für den Dateizugriff. 2. **Installation und Bereitstellung:** Sie installieren die Lösung auf einer AWS-EC2-Instanz, damit diese verwendet werden kann. 3. Erstellung **technische Dokumentation**. #### Mitarbeiter und Abteilungen Nachfolgend finden Sie alle Mitarbeiter im Unternehmen und die Abteilungen, in denen diese arbeiten: - Dieter Schwartz, Geschäftsleitung - Stefanie Barth, Geschäftsleitung - Matthias Köhler, Administration - Tim Baer, Entwicklung - Christina Naumann, Entwicklung - Daniela Hahn, Grafik - Daniele Hauser, Kundenbetreuung Es obliegt Ihnen als Unternehmen ein gutes Namens-Konzept auszuarbeiten. #### Berechtigungen Die Geschäftsleitung hat Ihnen wie folgt beschrieben, wie die Berechtigung der einzelnen Benutzer auf die Dateien genau aussehen soll: - Jeder Benutzer soll die Lese- und Schreibeberechtigung auf sein persönliches Verzeichnis haben. Darin sollen die Benutzer die persönlichen Dateien ablegen können. Die Geschäftsleitung hat keinen Zugriff auf die persönlichen Daten der Mitarbeitenden. - Jede Abteilung hat ein eigenes Verzeichnis in dem die relevanten Daten der Abteilungen liegen. Jede Abteilung soll vollen Zugriff in das eigenen Verzeichnis erhalten. Die Geschäftsleitung hat Lese- und Schreibeberechtigung auf alle Abteilungs-Verzeichnisse. - Die Abteilungen Entwicklung und Grafik haben ein zusätzliches Verzeichnis "projekt\_webseite", indem gemeinsam benötigte Dateien abgelegt werden können. Administration und Kundenbetreuung haben auf dieses Verzeichnis keinen Zugriff. Die Geschäftsleitung hat Lese und Schreibezugriff auf diese Freigabe. - Es existiert das Verzeichnis "info", in de die Geschäftsleitung regelmässig Informationen für die Mitarbeitenden ablegt. Die Mitarbeitenden sollen diese Informationen nur lesen können. Die Geschäftsleitung benötigt natürlich Schreibeberechtigung. - Im Verzeichnis "share" haben alle Benutzer Zugriff vollen Zugriff. #### Erwartete Abgaben - Ein fertig installierter und getesteter SMB-Server. - Technische Dokumentation gem. Vorlage als Word oder PDF: - [Vorlage\_technische\_Dokumentation\_m123.docx](https://shelf.iten.io/attachments/2) - [Anleitung zum Testen von Systemen und Objekten für Berufsschulen.docx](https://shelf.iten.io/attachments/3) - In der Dokumentation muss das Namenskonzept als Tabelle / Liste der Benutzer, deren Gruppen inkl. Passwörter enthalten sein. - In der Dokumentation muss die Berechtigungsmatrix enthalten sein. #### Organisatorisches Bevor Sie mit der Konfiguration des SMB-Servers beginnen, zeigen Sie der Lehrperson Ihr Namenskonzept und die Berechtigungs-Matrix. Lohn: 8000 #### Bonus Falls Sie alle Aufträge umgesetzt haben können Sie folgende Bonus-Aufgabe in Angriff nehmen. - Das Verzeichnis Share soll automatisch alle 10 Minuten geleert werden. (Tipp cronjob / rm) # SAMBA Installieren unter Linux #### Vorbereitung Sie benötigen eine neue AWS EC2 Instanz. 1. Erstellen Sie vorgängig eine Sicherheitsgruppe für den SMB-Dienst. [Sicherheitsgruppe erstellen](https://shelf.iten.io/books/einstieg-in-aws-academy/page/sicherheitsgruppe-erstellen "Sicherheitsgruppe erstellen") Folgende Einstellungen müssen gesetzt werden:| **Typ** | **Portbereich** | **Quelle** |
| SSH | 0.0.0.0/0 | |
| TCP | 139 | 0.0.0.0/0 |
| SMB | 0.0.0.0/0 |
**Sicherheitshinweis:** SMB ist ein Protokoll, dass es nun schon sehr lange gibt und in den letzten Jahren starke Veränderungen erfahren hat. Ab der SMB Version 3 wurde Verschlüsselung eingeführt. Zuvor war es nicht möglich, den SMB Datenverkehr ausreichend sicher zu verschlüsseln. Eine Nutzung im LAN ist hierbei noch zu vertreten, aber in diesem Setup richten Sie eine SMB-Verbindung über das Internet ein. Dieses Setup darf nicht mit einer SMB Version kleiner als SMBv3.1.1 vorgenommen werden. **SMB1 und SMB2 sind nicht sicher und für den Betrieb über das Internet nicht ausgelegt.** Die Version SMB3 ist ausreichend sicher und wird auch von Microsoft in der Azure Cloud in dieser Form bereitgestellt. **In diesem Setup wird daher die SMB1 und SMB2 Unterstützung des SAMBA Server deaktiviert. Wird dies vergessen, gehen Sie ein grosses Risiko ein, was entsprechend in der Bewertung der Arbeit sich niederschlagen wird!**
#### Grundkonfiguration Sie finden die Konfigurations-Datei unter folgendem Pfad: /etc/samba/smb.conf Die Direktive der SAMBA-Konfiguration sind wie beim BIND Dienst in einzelne Sektionen unterteilt. Diese sind jedoch nicht mit geschweiften Klammern umschlossen. Stattdessen beginne jede Sektion mit einem Titel in eckigen Klammern z. B. die **global**-Sektion: ``` [global] workgroup = SAMBA security = user passdb backend = tdbsam printing = cups printcap name = cups load printers = yes cups options = raw ``` ##### Sektion \[global\] In der globalen Sektion werden die allgemeinen Einstellungen und Sicherheitsoptionen festgelegt. Sie beginnt, wie der Namen vermuten lässt, mit der Bezeichnung **global**. Diese Bezeichnung ist reserviert und darf nur für die gloable Konfiguration verwendet werden. (Es kann keine Freigabe mit diesem Namen erstellt werden). Üblicherweise müssen nur wenige Werte in dieser Sektion angepasst werden. In der Standard-Konfiguration der **global**-Sektion fehlen ein paar wichtige Punkte, welche zwingend gesetzt werden sollten:protocol = SMB3 | Setzt die Protokoll-Version auf SMB Version 3. Damit können sich zwar ältere Clients nicht mehr verbinden, aber die Verbindung kann dafür sauber verschlüsselt werden. SMB Version 3 wird ab Windows 8 unterstützt. SMT Version 3 wird ab dem Linux Kernel 3.12 unterstützt. |
lanman auth = no | Deaktiviert eine unsichere Authentifizierungsmethode |
smb encrypt = required | Die Verschlüsselung des SMB Traffics wird erzwungen. |
encrypt passwords = yes | Stellt sicher, dass die Passwörter verschlüsselt übertragen werden. |
access based share enum = yes | Dadurch werden Freigaben ausgeblendet, wenn keine Berechtigung auf diesen Freigaben existieren. Diese Option ist standardmässig deaktiviert. Somit werden standardmässig dem Benutzer alle Freigaben auf dem SMB-Server angezeigt, auf wenn der Benutzer auf gewisse keinen Zugriff hat. Der Benutzer kann dann diese Freigaben öffnen, erhält aber einen "Zugriff verweigert" Fehler. |
| workgroup = SAMBA | Wenn der SMB-Server in einer Arbeitsgruppe verwendet wird, müsste hier die korrekte Arbeitsgruppe definiert werden. Dies ist in unserem Fall nicht nötig. |
security = user | Definiert, dass die Authentifizierung des SMB-Server gegenüber (vom Client) mittels Benutzername und Passwort erfolgt. Es gibt hier weitere mögliche Optionen: - **share:** Es wird kein Benutzername benötigt, aber ein Passwort pro Share. - **domain:** Die Authentifizierung wird über einen Domänencontroller abgewickelt. Der Benutzer muss dann keine Anmeldung vornehmen. - **ADS:** Die Authentifizierung wird über einen Active Directory Server vorgenommen. |
passdb backend = tdbsam | Diese Direktive steuert wo Samba die Passwörter und Benutzerdaten speichert. Diese speucher Samba standardmässig in einer " TDB " (Trivial Database). Die Verwendung dieses Backends erfordert keine zusätzliche Konfiguration. Dieses Backend wird für neue Installationen empfohlen, die kein LDAP benötigen. Wird die Option ldapsam verwendet, dann werden die Benutzerdaten in einem ldap Verzeichnis gespeichert. |
comment = Home Directories | Dies ist ein Kommentar der dieser Freigabe mitgegeben wird. |
valid users = %S | Definiert, welche Benutzer auf Ihre Heim-Verzeichnisse zugreifen können. Der Parameter %S wird bei einer Anmeldung automatisch mit dem Benutzername ersetzt. Alternativ kann auch die folgende Option gesetzt werden: %S, %D%w%S D: Name der Domäne oder Arbeitsgruppe des aktuellen Benutzers. w: Winbind Separator. S: Benutzername Dies wird benötigt, wenn die Anmeldung mit dem vollen Domänen-Namen erfolgen soll. In unserem Fall ist dies aber nicht relevant. |
browseable = No | Diese Direktive verhindert nicht, wie angenommen werden könnte, dass der Benutzer in seiner Freigabe browsen kann, sondern, dass die Freigabe doppelt sichtbar ist. Einmal unter /homes und einmal unter /benutzername |
read only = No | Der SMB-Benutzer erhält Schreiberechte auf diese Freigabe **Achtung:** alternativ kann auch die Variante writeable = yes verwendet werden. |
inherit acls = Yes | Sie kann verwendet werden, um sicherzustellen, dass, wenn Standard-Zugriffsrechte auf übergeordneten Verzeichnissen existieren, diese immer beachtet werden, wenn eine neue Datei oder ein Unterverzeichnis in diesen übergeordneten Verzeichnissen angelegt wird. |
| Freigabe | Beschreibung | chmod-Befehl |
| Share (Alle haben Zugriff) | Alle Berechtigungen (rwx) werden für den Besitzer, Gruppe und die Anderen gesetzt. | chmod u=rwx,g=rwx,o=rwx verzeichnis |
| Gruppen-Freigabe | Der Besitzer und die Gruppen erhalten die volle Berechtigung (rwx). Die anderen erhalten keine Berechtigung (---). | chmod u=rwx,g=rwx,o= verzeichnis |
| Persönliche Freigabe | Nur der Besitzer erhält die volle Berechtigung (rwx). Die Gruppe und die Anderen erhalten keine Berechtigung (---) | chmod u=rwx,g=,o= verzeichnis |
**Hinweis:** Definieren sie immer eine Hauptgruppe, welche Sie dem Verzeichnis zuweisen. Die restlichen Gruppen werden anschliessend über die ACL hinzugefügt.
**Beispiel:** Das Unterverzeichnis gehört der Gruppe **testgruppe**. Diese wurde mit chgrp hinzugefügt. ``` # ls -la drwxrwxrwx 2 smueller testgruppe 19 Jan 18 22:55 Unterverzeichnis ``` Es benötigt nun aber noch eine zweite Gruppe mit dem Namen **video** Zugriff auf das Unterverzeichnis. Diese wird nun mit dem Befehl setfacl hinzugefügt: ``` setfacl -m g:video:rwx Unterverzeichnis ``` Erklärung des vollen Befehls:| setfacl | |
| -m | **m**odify = verändern , damit möchten wir die ACL eines Verzeichnisses verändern. |
| g:video:rwx | **g =** group (Wir möchten eine Gruppe hinzufügen) **video** = Name der Gruppe die hinzufugefügt werden soll **rwx** = Berechtigung die gesetzt werden soll (Lesen, Schreiben, Ausführen) |
| Unterverzeichnis | Name des Verzeichnisses, welches wir verändern wollen. |