返回文章列表
玄貓（BlackCat）

Linux Samba 伺服器安全配置與進階實踐

本文深入探討如何在 Linux 系統上部署與配置 Samba 服務，以建立一個安全且高效的檔案共享環境。內容涵蓋 Samba 套件的基礎安裝、服務啟動，以及核心設定檔 `smb.conf` 的詳細配置。文章重點闡述如何整合 Linux 系統使用者與 Samba 獨立密碼機制，並透過 `smbpasswd` 進行管理。此外，為強化系統安全，本文詳解如何配置 SELinux 安全策略與防火牆規則，確保檔案共享在多層次防護下運作，最終實現與 Windows 系統無縫接軌的個人化檔案存取服務。

系統管理 網路安全
Samba 檔案共享 Linux SELinux 防火牆 身分驗證

在混合作業系統的企業與個人環境中，建立穩定且安全的跨平台檔案共享機制是資訊架構的關鍵。Samba 作為 Linux 系統上實現 SMB/CIFS 協定的開源解決方案，不僅能與 Windows 網路無縫整合，更提供高度彈性的配置。然而，一個可靠的檔案共享服務，其建構成敗不僅在於功能實現，更取決於安全性。本文從基礎部署出發，深入探討如何透過精細的使用者權限管理、smb.conf 的進階設定，並結合 SELinux 安全增強模組與系統防火牆規則，構建一個兼具功能與多層次安全防護的個人化檔案共享服務。此過程體現了現代系統管理中，服務部署與資安策略緊密結合的核心理念。

構建安全的網路檔案共享環境

除了 FTP 之外，在現代作業系統中，SMB/CIFS (Server Message Block/Common Internet File System) 協定也是實現網路檔案共享的另一種重要途徑，尤其是在 Windows 環境中，它扮演著核心角色。本節將探討如何在 Linux 系統上配置 Samba 服務，以實現與 Windows 系統的無縫檔案共享。

Samba 服務的基礎部署

Samba 是一個開源軟體套件，它能夠在 Linux/Unix 系統上提供 SMB/CIFS 服務，使其能夠作為 Windows 網路芳鄰的一部分，提供檔案和印表機共享功能。

Samba 套件的安裝

在基於 Red Hat 的發行版（如 Fedora、CentOS、RHEL）上，可以使用 yum 或 dnf 套件管理器來安裝 Samba 相關套件。核心套件通常包括 samba (提供伺服器功能) 和 samba-client (提供用戶端工具，用於測試和管理)。執行 yum install samba samba-client 命令即可完成安裝。

啟動與啟用 Samba 服務

安裝完成後，需要啟動 Samba 相關的服務，並設定為開機自啟動。Samba 主要依賴兩個服務：smb (負責檔案和印表機共享) 和 nmb (負責 NetBIOS 名稱解析)。可以使用 systemctl 命令來管理這些服務。例如：systemctl enable smb.service 和 systemctl start smb.service，以及類似的命令來啟用和啟動 nmb 服務。對於較舊的系統，則可能使用 chkconfig 和 service 命令。

Samba 伺服器的核心配置

Samba 的行為由其主設定檔 /etc/samba/smb.conf 控制。透過編輯此檔案，可以自訂伺服器的名稱、工作群組以及共享資源的細節。

設定伺服器基本資訊

在 smb.conf 檔案中，可以設定幾個關鍵參數：

  • workgroup: 指定 Samba 伺服器所屬的工作群組名稱，這對於 Windows 網路芳鄰的發現至關重要。例如，設定為 TESTGROUP。
  • netbios name: 為 Samba 伺服器設定一個 NetBIOS 名稱，這是在舊版 Windows 網路中識別伺服器的名稱。例如，設定為 MYTEST。
  • server string: 提供一個描述性字串，用於在網路芳鄰中顯示伺服器的用途。例如，設定為 Samba Test System。
建立與管理使用者帳戶

Samba 使用獨立於 Linux 系統使用者帳戶之外的 Samba 密碼。若要讓特定 Linux 使用者能夠透過 Samba 存取資源，需要先在 Linux 系統中建立該使用者帳戶，並設定其 Linux 密碼。然後，再使用 smbpasswd 命令為該使用者設定 Samba 密碼。例如，若要為名為 phil 的 Linux 使用者設定 Samba 密碼，則執行 smbpasswd -a phil 並輸入密碼。

@startuml
!define DISABLE_LINK
!define PLANTUML_FORMAT svg
!theme _none_

skinparam dpi auto
skinparam shadowing false
skinparam linetype ortho
skinparam roundcorner 5
skinparam defaultFontName "Microsoft JhengHei UI"
skinparam defaultFontSize 16
skinparam minClassWidth 100

cloud "Network" {
  actor "User (Windows)" as User
  node "Windows Client" as WinClient
}

node "Linux Server" {
  component "Samba Server (smbd)" as Samba
  database "Samba Password DB" as PassDB
  database "Linux User Accounts" as LinuxUsers
  artifact "/etc/samba/smb.conf" as Config
}

User -> WinClient : 存取共享資源
WinClient -> Samba : 發起 SMB/CIFS 請求
Samba -> Config : 讀取共享設定
Samba -> LinuxUsers : 驗證 Linux 使用者帳號
LinuxUsers --> Samba : 帳號資訊
Samba -> PassDB : 驗證 Samba 密碼
PassDB --> Samba : 密碼驗證結果

alt 密碼驗證成功
  Samba --> WinClient : 授權存取共享資源
else 密碼驗證失敗
  Samba --> WinClient : 拒絕存取
end

Samba --> User : 顯示存取結果
@enduml

看圖說話：

此圖示闡述了 Samba 伺服器在 Linux 系統上處理網路檔案共享請求的運作流程。當 Windows 用戶端發起 SMB/CIFS 請求時，Samba 伺服器會首先讀取其設定檔 (/etc/samba/smb.conf) 以了解共享資源的配置。接著，Samba 會與 Linux 使用者帳號資料庫互動，驗證請求者是否為系統上的有效使用者。若使用者帳號存在，Samba 會進一步查詢其 Samba 密碼資料庫，以驗證使用者提供的密碼。若密碼驗證成功，Samba 便會授權該用戶端存取共享資源；反之，則會拒絕存取。這個流程確保了 Samba 伺服器在提供檔案共享服務時，能夠進行有效的身份驗證與授權管理。

!theme none !define DISABLE_LINK !define PLANTUML_FORMAT svg

部署個人化檔案共享服務的進階策略

在現代數位環境中，建立安全且彈性的檔案共享機制，對於個人協作或組織內部資訊流通至關重要。本篇旨在闡述如何透過整合 Samba 服務，建構一個專屬的個人檔案儲存空間，並探討其在安全設定、存取控制及網路協定上的實務考量。

建立專屬使用者帳戶與權限配置

為確保檔案共享的安全性與獨立性，首先需為目標使用者（例如，在此情境下的 phil）創建一個獨立的系統帳戶。這不僅是 Samba 服務的基礎，也是 Linux 系統權限管理的關鍵步驟。

sudo useradd phil
sudo passwd phil

上述指令分別用於建立新使用者帳戶 phil，並設定其系統登入密碼。緊接著，需要將此使用者整合至 Samba 的使用者列表中，並設定其 Samba 專用密碼。

sudo smbpasswd -a phil

此步驟確保 phil 能夠透過 Samba 協議進行身份驗證。

設定共享目錄的存取規則

Samba 的核心在於其共享目錄的配置。對於個人化的「家目錄」共享（[homes]），其設定檔 /etc/samba/smb.conf 的調整至關重要。

[homes]
comment = Home Directories
browseable = Yes
read only = No
valid users = phil

此設定檔段落明確定義：

  • comment: 提供共享目錄的描述性文字。
  • browseable = Yes: 使此共享目錄在網路瀏覽時可見。
  • read only = No: 允許使用者對共享目錄進行讀寫操作。
  • valid users = phil: 嚴格限制只有使用者 phil 能夠存取此家目錄共享。

此類細緻的權限劃分，是實現最小權限原則的體現，有效防止未授權的存取。

強化系統安全：SELinux 與防火牆協同

為了進一步提升安全性，必須妥善配置 Linux 系統的安全機制。SELinux（Security-Enhanced Linux）和系統防火牆是兩道關鍵防線。

SELinux 策略調整

SELinux 透過設定布林值（Booleans）來控制服務的存取權限。為了讓 Samba 服務能夠存取使用者的家目錄，需要啟用相關的 SELinux 布林值。

sudo setsebool -P samba_enable_home_dirs on

-P 選項確保此設定在系統重啟後依然生效。隨後，重新啟動 Samba 相關服務以載入新的安全策略。

sudo systemctl restart smb
sudo systemctl restart nmb

防火牆規則配置

防火牆負責控制網路流量的進出。若系統使用 firewalld，可透過圖形介面或指令啟用 Samba 相關服務。若採用傳統的 iptables，則需手動修改規則。

# 假設使用 iptables，以下為新增規則範例
# ... (原有 iptables 規則) ...
-A INPUT -m state --state NEW -m udp -p udp --dport 137 -j ACCEPT
-A INPUT -m state --state NEW -m udp -p udp --dport 138 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 139 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 445 -j ACCEPT
# ... (原有 iptables 規則) ...

新增的規則允許 Samba 服務所需的 UDP 和 TCP 連接埠（137, 138, 139, 445）進行通信。修改後，重新載入防火牆規則。

sudo service iptables restart

此舉確保 Samba 服務能夠在網路層面被正確訪問。

驗證與存取測試

在完成上述配置後，進行一系列的驗證測試是必不可少的環節。

服務可用性檢查

使用 smbclient 命令可以列出伺服器上可用的共享資源，確認 [homes] 共享是否已正確建立並可見。

smbclient -L localhost

若配置無誤，應能看到 homes 共享的列表。

本地檔案管理器存取

透過檔案管理器（如 Nautilus）進行測試，模擬使用者 phil 的存取行為。

  1. 打開檔案管理器，選擇「其他位置」。
  2. 在伺服器位址欄輸入 smb://localhost/phil/。
  3. 選擇「註冊使用者」，輸入使用者名稱 phil、網域（若有設定，例如 TESTGROUP）及密碼。

此步驟旨在驗證使用者能否成功連接到其家目錄共享，並進行檔案的拖放操作，確保讀寫功能正常。

跨網路存取驗證

為了模擬真實的網路環境，需從另一台客戶端設備（Windows 或 Linux）測試存取。

  1. 重複上述檔案管理器連接步驟，但將伺服器位址改為 Samba 伺服器的網路 IP 位址。
  2. 若存取失敗，可暫時停用防火牆與 SELinux (setenforce 0 和 service iptables stop)，以排除這兩項安全機制是否為問題根源。
  3. 成功存取後，務必重新啟用 SELinux (setenforce 1) 並重啟防火牆服務，然後針對性地調試被禁用的安全服務。

此類除錯過程，對於定位和解決複雜的網路服務問題至關重要。

@startuml
!define DISABLE_LINK
!define PLANTUML_FORMAT svg
!theme _none_

skinparam dpi auto
skinparam shadowing false
skinparam linetype ortho
skinparam roundcorner 5
skinparam defaultFontName "Microsoft JhengHei UI"
skinparam defaultFontSize 16
skinparam minClassWidth 100

actor User as "phil"
boundary "Samba Client" as Client
control "Samba Server (smbd/nmbd)" as Server
database "User Home Directory" as HomeDir
component "SELinux Policy" as SELinux
node "Firewall" as Firewall

User -- Client : 啟動連線請求
Client -> Firewall : 封包送達 (TCP/UDP 137-139, 445)
Firewall --> Client : 允許封包 (若規則匹配)
Client -> Server : 建立 SMB 連線 (包含身份驗證)
Server -> SELinux : 請求存取家目錄權限
SELinux --> Server : 授權 (若 samba_enable_home_dirs on)
Server -> HomeDir : 存取使用者家目錄
HomeDir --> Server : 提供/寫入檔案資料
Server --> Client : 回傳檔案資料/確認操作
Client --> User : 顯示檔案/操作結果

note left of Server : 配置 /etc/samba/smb.conf\nvalid users = phil\nread only = No

note right of Firewall : 允許 Samba 連接埠\n(UDP 137, 138; TCP 139, 445)

note right of SELinux : 啟用 samba_enable_home_dirs

@enduml

看圖說話：

此圖示描繪了使用者 phil 如何透過 Samba 客戶端，在伺服器端安全地存取其個人家目錄的完整流程。首先，使用者在客戶端發起連線請求，封包首先經過防火牆的檢查，若 Samba 服務所需的特定連接埠（UDP 137, 138；TCP 139, 445）被允許通過，則封包得以進入 Samba 伺服器。伺服器上的 Samba 服務（smbd/nmbd）接著處理連線請求，並進行身份驗證。在驗證通過後，Samba 伺服器會與 SELinux 安全策略進行互動，確認是否有權限存取使用者的家目錄。若 SELinux 的 samba_enable_home_dirs 設定為啟用狀態，則授權會被授予。隨後，Samba 伺服器便能存取實際的家目錄儲存空間，進行檔案的讀取或寫入操作，並將結果回傳給客戶端，最終呈現在使用者介面上。此流程突顯了多層次安全機制的協同作用，確保了資料傳輸的安全性與使用者權限的有效管理。

結論

透過多維度自我提升指標的分析，部署個人化檔案共享服務的過程，已不僅是單純的技術操作，更是對個人知識管理與數位資產主權的策略性投資。相較於依賴公有雲服務的便利性，此自建路徑雖增加了初期部署的複雜性——例如需整合 SELinux 與防火牆等多層次安全機制——但換來的是無可取代的數據自主權與高度客製化的存取規則。從設定檔的精細權限（valid users）到使用者帳戶的獨立驗證（smbpasswd），整個流程實質上是將抽象的管理原則，轉化為具體的系統紀律，這不僅是技術的實踐，更是對個人工作流程進行深度反思與最佳化的過程。

未來，隨著個人品牌與數位足跡的重要性日益凸顯，能夠自主建構並管理個人數位基礎設施，將成為高階管理者展現系統思考與風險控管能力的關鍵指標。

玄貓認為，對於追求極致效率與數據安全的管理者而言，投入時間掌握此類個人化服務的建構，不僅是提升生產力，更是建立一個可信賴、可擴展的個人數位中樞，其長期效益遠超過初期的學習成本。