IMPORTANTE: Sugeri que no momento da compilação do samba fosse utilizada a opção --enable-debug para ajudar no rastreamento de possíveis falhas, contudo a saída dos comandos serão muito mais informativas (verbosas). Depois de todos os testes executados com sucesso, recompile-o sem esta opção, afim de eliminar mensagens desnecessárias.

A figura abaixo exibe algumas informações sobre o servidor win2003, como tabela de mapeamentos WINS, ambiente de rede, registros DNS, resolução de nomes em linha de comando e computadores registrados no domínio:

Até o presente momento nossa estação Slack não é membro do domínio MICROSOFT.COM (conforme pudemos ver na imagem).

Vamos então integrá-la ao domínio. Para isto é necessário informar as credenciais de um usuário membro do grupo Domain Admins (Administradores do domínio):

# net ads join -U Administrator
Administrator's password: *******

Using short domain name -- MICROSOFT
Joined 'SLACK' to realm 'MICROSOFT.COM'

A partir deste momento o computador Slack deve ser exibido na lista de computadores pertencentes ao domínio MICROSOFT.COM.

Agora que estamos aptos a comunicar através da rede, utilizando o protocolo SMB, vamos tentar descobrir alguns recursos da rede. A partir de sua estação Linux execute:

# smbclient -L 169.213.64.1

Deixe o campo Password em branco e pressione ENTER para que seja feita uma tentativa de logon anônimo. O resultado, no ambiente dado foi:

Anonymous login successful
Domain=[MICROSOFT] OS=[Windows Server 2003 3790 Service Pack 1] Server=[Windows Server 2003 5.2]

        Sharename       Type      Comment
        ---------       ----      -------
Error returning browse list: NT_STATUS_ACCESS_DENIED
session request to 169.213.64.1 failed (Called name not present)
session request to 169 failed (Called name not present)
Anonymous login successful
Domain=[MICROSOFT] OS=[Windows Server 2003 3790 Service Pack 1] Server=[Windows Server 2003 5.2]

        Server               Comment
        ---------            -------
        SLACK                Samba 3.0.21a e Active Directory (by KL3B3R)
        WIN2003              Microsoft Windows 2003 Enterprise SP1
        WIN2K                Microsoft Windows 2000 Professional SP4
        WIN98                Microsoft Windows 98 SE
        WINXP                Microsoft Windows XP Professional SP2

        Workgroup            Master
        ---------            -------
        MICROSOFT            WIN2003

Observe que próximo ao final do resultado foram listadas as cinco máquinas (com suas respectivas descrições) que compõem a rede. Um pouco acima teríamos os compartilhamentos disponíveis no servidor, entretanto não informamos um usuário e senha válidas para acessar tal máquina, o que não permitiu que os compartilhamentos fossem listados, vide NT_STATUS_ACCESS_DENIED.

IMPORTANTE: O comando DEVE funcionar mesmo substituindo o endereço ip do servidor pelo seu nome na rede. O resultado deverá ser exatamente o mesmo quando se digitar:

# smbclient -L win2003

Criamos alguns compartilhamentos na estação Win98, conforme exibido na figura abaixo:

Vamos então tentar utilizar o mesmo comando para efetuar logon anônimo nesta estação. Observe o resultado:

# smbclient -L win98
Password:

        Sharename       Type      Comment
        ---------       ----      -------
        CORREIO         Disk      Recipiente para correios eletrônicos
        PUBLIC          Disk      Pasta de domínio público
        JOGOS           Disk      Console para Atari 2600
        IPC$            IPC       Comunicação remota entre processos

        Server               Comment
        ---------            -------

        Workgroup            Master
        ---------            -------

Ao contrário do que acontece com os sistemas baseados em Windows NT, o Microsoft Windows 98 (bem como 95 e ME) não forçam a necessidade de autenticação. Podemos então montar estes compartilhamentos na nossa estação Linux, veja:

# mkdir -p /mnt/games
# mount -t smbf //win98/jogos /mnt/games
# ls -l /mnt/games
total 322K
drwxr-xr-x 1 root root 4.0K 2006-01-15 16:55 Duke3D/
-rwxr-xr-x 1 root root 29K 1999-05-05 21:22 FREECELL.EXE*
-rwxr-xr-x 1 root root 120K 1999-05-05 21:22 MSHEARTS.EXE*
-rwxr-xr-x 1 root root 168K 1999-05-05 21:22 SOL.EXE*
-rwxr-xr-x 1 root root 576 2006-01-15 16:59 scores.txt*

Tentemos então novamente conectar (listar os compartilhamentos) do servidor win2003, mas desta vez informando credenciais autenticáveis. Repetirei o comando exibido um pouco acima, mas desta vez tentando logar com o usuário William Henry Gates (billgates@microsoft.com) e senha "bluescreen". Execute o seguinte comando, e perceba o resultado:

# smbclient -L win2003 -U billgates%bluescreen

Domain=[MICROSOFT] OS=[Windows Server 2003 3790 Service Pack 1] Server=[Windows Server 2003 5.2]

        Sharename       Type      Comment
        ---------       ----      -------
        C$              Disk      Default share
        Filmes          Disk      Últimos lançamentos do cinema
        IPC$            IPC       Remote IPC
        ADMIN$          Disk      Remote Admin
        Processos       Disk      Documentos privativos
        SYSVOL          Disk      Logon server share
        Clipes          Disk      Somente artistas renomados
        NETLOGON        Disk      Logon server share
        Imagens         Disk      Damas com e sem pudor
Domain=[MICROSOFT] OS=[Windows Server 2003 3790 Service Pack 1] 
Server=[Windows Server 2003 5.2]

        Server          Comment
        ---------       -------
        SLACK           Samba 3.0.21a e Active Directory (by KL3B3R)
        WIN2003         Microsoft Windows 2003 Enterprise SP1
        WIN2K           Microsoft Windows 2000 Professional SP4
        WIN98           Microsoft Windows 98 SE
        WINXP           Microsoft Windows XP Professional SP2

        Workgroup       Master
        ---------       -------
        MICROSOFT       WIN2003

Excelente: realmente estamos conseguindo autenticar os usuários do Active Directory. Tente o mesmo comando, informando uma senha inválida e observe o resultado:

# smbclient -L win2003 -U billgates%PieInTheFace

session setup failed: NT_STATUS_LOGON_FAILURE

Vamos agora montar uma pasta compartilhada no win2003. Execute:

# mkdir -p /mnt/movies
# mount -t sbmfs -o username=billgates,password=bluescreen //win2003/filmes /mnt/movies

O triste resultado deve ser:

cli_negprot: SMB signing is mandatory and we have disabled it.
1704: protocol negotiation failed

Surpresa? Não se preocupe, isto já era esperado. Este problema acontece porque recentemente a Microsoft alterou seu protocolo e incluiu nele algumas melhorias no que diz respeito a segurança. A versão atualizada é chamada CIFS, que suporta algumas características não suportadas pelo SMBFS. Devido a conhecidos problemas de segurança muitos servidores Windows 2003 são configurados para recusar acesso à clientes usando SMBFS. Portanto, devemos efetuar a montagem utilizando o tipo CIFS, e no meu caso, só funcionou informando (na linha de comando) nome do usuário, senha, e o endereço ip (e não o nome) do win2003. Eis:

# mount -t cifs -o username=billgates,password=bluescreen //169.213.64.1/filmes /mnt/movies

Há uma maneira de desativar esta opção no Windows 2003, mas não sei até que ponto isto poderia ser interessante. Acesse "Administrative Tools" -> "Domain Controller Security Settings" -> "Local Policies" -> "Security Options". Localize a entrada "Microsoft network server: Digitally sign communications (always)", desative-a e execute o gpupdate. Apesar de (com essa alteração) já conseguirmos montar os compartilhamentos especificando SMBFS como tipo de sistema de arquivos, problemas de "Acesso Negado" ocorreram no meu ambiente quando na tentativa de utilizar um usuário sem privilégios administrativos. Nem entrarei no mérito da questão pois não recomendo desabilitar opções que são implementados para incrementar segurança dos sistemas. Sugiro que utilize "-t cifs" quando da necessidade de se conectar à compartilhamentos localizados em controladores de domínio Windows 2003 e "-t smbfs" para as demais situações.

Vamos então conectar-nos a um compartilhamento de cada uma das máquinas da nossa rede, para testar de uma só vez os compartilhamentos das versões mais comuns do Microsoft Windows. Podemos começar criando os pontos de montagem:

# cd /mnt
# mkdir win98 win2k winxp win2003
# mount -t smbfs -o username=billgates,password=bluescreen //win98/jogos /mnt/win98
# mount -t smbfs -o username=billgates,password=bluescreen //win2k/softwares /mnt/win2k
# mount -t smbfs -o username=billgates,password=bluescreen //winxp/bd /mnt/winxp
# mount -t cifs -o username=billgates,password=bluescreen //169.213.64.1/netlogon /mnt/win2003

Agora sim, conseguimos acessar qualquer compartilhamento de qualquer computador da rede, desde que o usuário informado tenha acesso aos mesmos. Mas... e o inverso? Queremos agora que todos as outras máquinas consigam se conectar aos diretórios compartilhados no nosso slack. Let's try, baby? ;)

Podemos tentar dia e noite, noite e dia que não conseguiremos acessar os compartilhamentos da nossa estação slack. Se o fizermos a partir do win98, o mesmo irá solicitar uma senha para se conectar em IPC$ conforme mostra a figura abaixo:

Se tentarmos de qualquer outro sistema baseado em Windows NT, a famosa janelinha de logon aparecerá, informando que o login atual não tem permissão para se conectar em slack. E não adianta... qualquer usuário do domínio que você tentar autenticar no Linux irá falhar. Perceba nas imagens:

Confesso que na minha instalação original (anterior a esse ambiente virtual), neste ponto o stress tomava conta de meu ser. Recorri a muitas documentações na Internet e absolutamente nenhuma informação a respeito solucionava o problema. Mas como eu sou brasileiro e não desisto nunca... depois de 3 dias de labuta com o tal sistema que não autenticava, fui pra casa, abri outra Skol, sentei em frente ao meu PC e comecei a jogar Quake 4. Durante o jogo eu mentalizava que cada monstro inimigo era um membro do grupo de desenvolvimento do SambaTeam, e aí eu "pregava bala" com gosto. Fazia questão de estraçalhar, um a um, todos aqueles malditos. Matei pelo menos umas sete ou oito gerações de cada um dos desenvolvedores - malfeitores que não forneciam documentação suficiente para solucionar nossos problemas. Foi quando de repente me veio à cabeça: "Hã? Mas com relação a este problema, a documentação oficial foi o único lugar onde ainda não recorri". E fui então pesquisar a respeito nas manpages e FAQs do site oficial. E não é de ver que a solução estava descrita lá? Os papéis se inverteram: eu é que era o monstro sem coração que de forma injusta agredia verbalmente pessoas tão idôneas e sensatas. Até hoje peço perdão por tamanha "cretinice" de minha parte. Mas tudo bem, eu também sou quase um mortal e por isso tenho o direito de quase pecar. Voltando à solução, ela baseia-se na utilização de uma biblioteca fornecida junto com o código fonte do samba. Bastou acessar o diretório onde havia descompactado o Samba e:

# cp source/nsswitch/libnss_winbind.so /lib
# ln -s /lib/libnss_winbind.so /lib/libnss_winbind.so.2

Agora sim podemos nos conectar à nossa estação Linux de qualquer máquina da rede, autenticando usuários do Active Directory, conforme mostra a figura abaixo:

IMPORTANTE: Esteja sempre atento ao sincronismo dos relógios das máquinas pois caso a diferença ultrapasse o limite estabelecido pelas configurações do Kerberos os usuários não serão autenticados, conseqüentemente o acesso não será permitido.

E por falar em autenticação de usuários, que tal incrementarmos nosso smb.conf? Podemos definir políticas de acesso por usuários ou grupos de usuários do domínio. Antes disso, utilize o CUPS (http://localhost:631) para instalar suas impressoras. Feito isso, edite o smb.conf, mantendo intacta a seção [global], deixando as demais sessões assim:

IMPORTANTE: Obviamente os diretórios informados no PATH de cada uma das seções devem existir ou ser criados. Lembre-se que após qualquer alteração feita no arquivo de configuração do Samba, os seus daemons deve sem reinicializados.

Ótimo, agora o nosso ambiente está completo. À partir de uma das estações (win2k), me conectei à alguns recursos disponíveis na estação Slack. Observe que ao se tentar acessar o compartilhamento "Install", uma janela se abre para que seja informada uma conta pertencente ao grupo "Domain Admins", pois este é o único grupo que tem acesso ao recurso. Veja na figura a seguir:

Excelente, agora temos nossa estação Linux absolutamente integrada ao Active Directory. Com estes procedimentos você pode utilizar sua estação Linux de forma transparente no seu ambiente de rede. Melhor que isso, você pode criar um servidor de arquivos para seu domínio, com todo o conforto e segurança da utilização de autenticação do Active Directory.