Windows10共享CentOS文件系统（Samba的使用）

电脑上装了CentOS虚拟机，为了方便的拷贝文件，于是决定使用Samba来共享CentOS的文件系统，给Win10做个映射。

关于Samba的作用可以去自行了解，这里不再C&P了。

环境准备

确认Linux上安装了Samba，CentOS上都是以rpm包的形式安装的，所以先检查一下：

[root@nick ~]#  rpm -qa | grep samba
samba-client-libs-4.9.1-10.el7_7.x86_64
samba-common-4.9.1-10.el7_7.noarch
samba-common-libs-4.9.1-10.el7_7.x86_64
samba-common-tools-4.9.1-10.el7_7.x86_64
samba-4.9.1-10.el7_7.x86_64
samba-client-4.9.1-10.el7_7.x86_64
samba-libs-4.9.1-10.el7_7.x86_64

确保smb服务正确开启。因为是基于CentOS 7.5，所以使用Systemd来管理所有service：

[root@nick ~]# systemctl status smb
● smb.service - Samba SMB DaemonLoaded: loaded (/usr/lib/systemd/system/smb.service; enabled; vendor preset: disabled)Active: active (running) since 二 2020-05-19 08:07:10 PDT; 2 days agoDocs: man:smbd(8)man:samba(7)man:smb.conf(5)Main PID: 2994 (smbd)Status: "smbd: ready to serve connections..."Tasks: 6CGroup: /system.slice/smb.service├─ 2994 /usr/sbin/smbd --foreground --no-process-group├─ 2999 /usr/sbin/smbd --foreground --no-process-group├─ 3000 /usr/sbin/smbd --foreground --no-process-group├─ 3001 /usr/sbin/smbd --foreground --no-process-group├─38114 /usr/sbin/smbd --foreground --no-process-group└─38190 /usr/sbin/smbd --foreground --no-process-group5月 19 08:07:10 nick systemd[1]: Starting Samba SMB Daemon...
5月 19 08:07:10 nick smbd[2994]: [2020/05/19 08:07:10.236369,  0] ../lib/util/become_daemon.c:138(daemon_ready)
5月 19 08:07:10 nick smbd[2994]:   daemon_ready: STATUS=daemon 'smbd' finished starting up and ready to serve connections
5月 19 08:07:10 nick systemd[1]: Started Samba SMB Daemon.

为了保证以后每次虚拟机开启，可以设置让服务自动启动，通过上面的status信息可以看到“ Loaded: loaded (/usr/lib/systemd/system/smb.service; enabled; vendor preset: disabled)” 我已经enable了：

[root@nick ~]# systemctl disable smb
Removed symlink /etc/systemd/system/multi-user.target.wants/smb.service.
[root@nick ~]# systemctl enable smb
Created symlink from /etc/systemd/system/multi-user.target.wants/smb.service to /usr/lib/systemd/system/smb.service.

通过提示信息容易理解，所谓自动使能，其实就是给smb的service文件建立一个软链接到 /etc/systemd/system下，Systemd作为Linux 7.X的1号进程，会自动加载 \etc\systemd\system 中的文件。

为了方便寻找，我在根目录下创建了我的共享文件夹 \workspace 。
在 /etc/samba/smb.conf 中添加要共享的文件系统以及权限：

[workspace]comment = Share files between my win10 and centos path = /workspace/writable = yespublic = yesguest ok = yesbrowseable = yes

保存后需要重启smb.service：

[root@nick ~]# systemctl restart smb.service

之后需要开启用户验证的方式，需要给samba创建一个用户，用户名需要在系统上已经存在：

[root@nick ~]# useradd nick
[root@nick ~]# pdbedit -h
[root@nick ~]# pdbedit -a -u
Username not specified! (use -u option)
[root@nick ~]# pdbedit -a -u nick
new password:
retype new password:
Unix username:        nick
NT username:
Account Flags:        [U          ]
User SID:             S-1-5-21-3939207639-918327093-2640217915-1000
Primary Group SID:    S-1-5-21-3939207639-918327093-2640217915-513
Full Name:
Home Directory:       \\nick\nick
HomeDir Drive:
Logon Script:
Profile Path:         \\nick\nick\profile
Domain:               NICK
Account desc:
Workstations:
Munged dial:
Logon time:           0
Logoff time:          三, 06 2月 2036 07:06:39 PST
Kickoff time:         三, 06 2月 2036 07:06:39 PST
Password last set:    五, 22 5月 2020 07:39:36 PDT
Password can change:  五, 22 5月 2020 07:39:36 PDT
Password must change: never
Last bad password   : 0
Bad password count  : 0
Logon hours         : FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF
[root@nick ~]# ls
ad.log  anaconda-ks.cfg  date.sh  dockers  go_workspace  ifcfg-ens33  ifcfg-ens33-bak  mongorpm  mytar  original-ks.cfg  python_workspace  yumrepo
[root@nick ~]#
[root@nick ~]# pdbedit -L
nick:1001:

之后可以用samba自带的一些命令检验配置，非常方便：

[root@nick ~]# smb
smbcacls    smbclient   smbcontrol  smbcquotas  smbd        smbget      smbpasswd   smbprint    smbspool    smbstatus   smbtar      smbtree
[root@nick ~]# smbstatusSamba version 4.9.1
PID     Username     Group        Machine                                   Protocol Version  Encryption           Signing
----------------------------------------------------------------------------------------------------------------------------------------
38190   nick         nick         192.168.172.1 (ipv4:192.168.172.1:57237)  SMB3_11           -                    partial(AES-128-CMAC)
38114   nick         nick         192.168.1.1 (ipv4:192.168.1.1:57182)      SMB3_11           -                    partial(AES-128-CMAC)Service      pid     Machine       Connected at                     Encryption   Signing
---------------------------------------------------------------------------------------------
workspace    38190   192.168.172.1 五 5月 22 06时47分27秒 2020 PDT -            -
workspace    38114   192.168.1.1   五 5月 22 06时46分56秒 2020 PDT -            -Locked files:
Pid          Uid        DenyMode   Access      R/W        Oplock           SharePath   Name   Time
--------------------------------------------------------------------------------------------------
38114        1001       DENY_NONE  0x100081    RDONLY     NONE             /workspace   .   Fri May 22 06:46:55 2020
38190        1001       DENY_NONE  0x100081    RDONLY     NONE             /workspace   .   Fri May 22 06:47:26 2020
38190        1001       DENY_NONE  0x100081    RDONLY     NONE             /workspace   .   Fri May 22 06:47:26 2020
38190        1001       DENY_NONE  0x100081    RDONLY     NONE             /workspace   .   Fri May 22 06:48:19 2020[root@nick ~]# smbtree
WORKGROUP
SAMBA\\NICK                          Samba 4.9.1\\NICK\IPC$             IPC Service (Samba 4.9.1)\\NICK\workspace        Share files between my win10 and centos\\NICK\print$           Printer Drivers

可以看到Samba默认给所有IP都开启了监听服务，两个网关的机器都可以访问，使用 \NICK\workspace ， \192.168.1.131\workspace 或 \192.168.172.128\workspace 都可以访问。

踩坑进行时

在“此电脑”上右键“映射网络驱动器”或者“Windows徽标键+R”直接输入**\NICK\workspace** ，提示“您可能没有权限访问网络资源”。
需要关闭Linux的防火墙，Linux上使用firewalld代替iptables，所以把firewalld给stop掉就可以。我没有设置成自动启动，因为smb服务开启的端口如果放在网络中还是不安全的，之前的勒索病毒就是通过扫描系统的这几个端口入侵主机的。我就每次需要传递文件时关闭一下防火墙，不麻烦。
之后还是报相同的错误，查了查是发现SELinux的访问控制策略阻止了网络连接。

[root@nick ~]# getenforce
Enforcing
[root@nick ~]# setenforce Permissive
[root@nick ~]# getenforce
Permissive

目前是仅仅能访问了，为了自己方便还需要加上写权限，可以把共享的目录的属组和属主都改成前面创建的用户。同时把权限改成只允许同组的有写权限。

chmod 774 -R /workspace/
chown -R nick:nick /workspace/

总的来说Samba服务还是很好用的，不过因为开启的端口容易被攻击，所以还是需要加强安全策略的，不应该直接把防火墙给整个关掉。