Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss

CIFS-Mount mit modernem Dialekt vom Samba-Server

6 views
Skip to first unread message

Marc Haber

unread,
Nov 29, 2023, 7:36:42 AM11/29/23
to
[auf de.*.samba gab es keine Antwort daher nochmal etwas allgemeinere
Gruppe]

Hallo,

gegeben sei ein Samba-Server mit Debian bookworm, Samba 4.17.12, und
ein Arbeitsplatzrechner mit Debian unstable und Kernel 6.6.2. Auf dem
Server ist ein Share eingerichtet, ein Systemuser ist angelegt, dessen
Samba-Passwort mit smbpasswd -a auf ein Trivialpasswort geändert
wurde. Eine Windows-Domain ist nicht in Verwendung, Workgroupname ist
KA51.

Login mit

| smbclient -U 'KA51\myuser' '\\mysambaserver.domain.example\gx4050'

gelingt, Betrachtung des --debuglevel=10 outputs legt nahe, dass man
sich auf SMB-Version 3.11 mit NTLMSSP einigt.

Nun ist die Aufgabe, diesen share auf dem Client zu mounten.

/etc/fstab:
| \\mysambaserver.domain.example\gx4050 /media/gx4050 cifs credentials=/etc/cifs-utils/myuser-mysambaserver.cred,vers=3.11,sec=ntlmssp,noauto 0 0

/etc/cifs-utils/mh-mysambaserver.cred gehört root:root, Mode 0600:
|username=myuser
|password=12345
|domain=KA51

sudo mount /media/gx4050 gibt:
|mount error(126): Required key not available
|Refer to the mount.cifs(8) manual page (e.g. man mount.cifs) and kernel log messages (dmesg)

dmesg:
|[29501.027422] CIFS: Attempting to mount //mysambaserver.domain.example/gx4050
|[29501.027439] CIFS: VFS: cifs_mount failed w/return code = -126

Wenn man nach der Fehlermeldung sucht, landet man auf vielen
Stackoverflow-Artikeln, die alle gemeinsam haben, dass mit sec=krb5
gearbeitet wird und dass der Maschinenaccount für die NT-Domain fehlt.
Das kann hier aber eher nicht sein, da hier keine NT-Domain im Einsatz
ist.

Wo ist mein Fehler? Warum kann smbmount den Share einhängen,
mount.cifs aber nicht? Kann/muss ich kerberos in meiner domainfreien
Umgebung explizit abschalten und wie geht das?

Grüße
Marc
--
-------------------------------------- !! No courtesy copies, please !! -----
Marc Haber | " Questions are the | Mailadresse im Header
Mannheim, Germany | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 621 72739834

Jan Novak

unread,
Nov 29, 2023, 9:50:05 AM11/29/23
to
Am 29.11.23 um 13:36 schrieb Marc Haber:
> gelingt, Betrachtung des --debuglevel=10 outputs legt nahe, dass man
> sich auf SMB-Version 3.11 mit NTLMSSP einigt.
>
> Nun ist die Aufgabe, diesen share auf dem Client zu mounten.
>
> /etc/fstab:
> | \\mysambaserver.domain.example\gx4050 /media/gx4050 cifs credentials=/etc/cifs-utils/myuser-mysambaserver.cred,vers=3.11,sec=ntlmssp,noauto 0 0
>

Nur so ein Schuss ins blaua:
Du schreibst von Version 3.11.
Hast du beim mount auch mal andere Versionen versucht. Ja, darf
eigentlich nicht sein, aber ich hatte mal etwas ähnliches und mit einer
anderen als der eigentlichen Version gings dann... warum auch immer.

Jan

Marc Haber

unread,
Nov 29, 2023, 11:46:35 AM11/29/23
to
Jan Novak <rep...@gmail.com> wrote:
>Am 29.11.23 um 13:36 schrieb Marc Haber:
>> gelingt, Betrachtung des --debuglevel=10 outputs legt nahe, dass man
>> sich auf SMB-Version 3.11 mit NTLMSSP einigt.
>>
>> Nun ist die Aufgabe, diesen share auf dem Client zu mounten.
>>
>> /etc/fstab:
>> | \\mysambaserver.domain.example\gx4050 /media/gx4050 cifs credentials=/etc/cifs-utils/myuser-mysambaserver.cred,vers=3.11,sec=ntlmssp,noauto 0 0
>>
>
>Nur so ein Schuss ins blaua:
>Du schreibst von Version 3.11.
>Hast du beim mount auch mal andere Versionen versucht.

Habe ich noch nicht, weil ich davon keinen Gut-Fall habe. Wenn ich das
richtig verstanden habe, kann man mit smbclient nur SMB 1, 2 oder 3
wählen.

Kay Martinen

unread,
Nov 29, 2023, 2:20:02 PM11/29/23
to
Am 29.11.23 um 17:46 schrieb Marc Haber:
> Jan Novak <rep...@gmail.com> wrote:
>> Am 29.11.23 um 13:36 schrieb Marc Haber:
>>> gelingt, Betrachtung des --debuglevel=10 outputs legt nahe, dass man
>>> sich auf SMB-Version 3.11 mit NTLMSSP einigt.
>>>
>>> Nun ist die Aufgabe, diesen share auf dem Client zu mounten.
>>>
>>> /etc/fstab:
>>> | \\mysambaserver.domain.example\gx4050 /media/gx4050 cifs credentials=/etc/cifs-utils/myuser-mysambaserver.cred,vers=3.11,sec=ntlmssp,noauto 0 0
>>>
>>
>> Nur so ein Schuss ins blaua:
>> Du schreibst von Version 3.11.

Ist das nicht krass-neu? :)

>> Hast du beim mount auch mal andere Versionen versucht.
>
> Habe ich noch nicht, weil ich davon keinen Gut-Fall habe. Wenn ich das
> richtig verstanden habe, kann man mit smbclient nur SMB 1, 2 oder 3
> wählen.
Möglich. So weit ich erinnere ist aber bei v2 verschlüsselung immer noch
optional, bei 3 aber pflicht. Ich weiß nicht ob das mit Kerberos zu tun
hat, hielte es aber für möglich.

Und da du oben servernamen statt IP verwendest: Hast du mal geprüft ob
myserver.domain-example denn auch von beiden aufgelöst werden kann.

Wäre doch möglich das das der mount nur deshalb nicht gelingt weil
host=IP nicht oder falsch umgesetzt wird.

Die ganze "Wins jetzt per dns" sache halte ich eh für ein großes
Fragezeichen. Hier funktioniert es mal, mal nicht und nebenbei gelingt
es eher komplett automagisch via avahi aber dann scheint server.local
irgendwie user und kennwort nicht zu wollen. Anonym geht's dann.
Verstehe ich auch noch nicht...

Da hab ich mit der v1, H-Nodes und einem WINS der WINS noch nachprüfbar
machte weniger Probleme. Aber da hatte ich auch noch passende
Windows-Geriatrie im Einsatz - mit Linux dazu. Zumindest deren
Netzwerk-Umgebung füllte sich selbst. ;-)


Bye/
/Kay

--
"Kann ein Wurstbrot die Welt retten?" :-)

Marc Haber

unread,
Nov 30, 2023, 7:01:53 AM11/30/23
to
Kay Martinen <use...@martinen.de> wrote:
>Am 29.11.23 um 17:46 schrieb Marc Haber:
>> Jan Novak <rep...@gmail.com> wrote:
>>> Am 29.11.23 um 13:36 schrieb Marc Haber:
>>>> gelingt, Betrachtung des --debuglevel=10 outputs legt nahe, dass man
>>>> sich auf SMB-Version 3.11 mit NTLMSSP einigt.
>>>>
>>>> Nun ist die Aufgabe, diesen share auf dem Client zu mounten.
>>>>
>>>> /etc/fstab:
>>>> | \\mysambaserver.domain.example\gx4050 /media/gx4050 cifs credentials=/etc/cifs-utils/myuser-mysambaserver.cred,vers=3.11,sec=ntlmssp,noauto 0 0
>>>>
>>>
>>> Nur so ein Schuss ins blaua:
>>> Du schreibst von Version 3.11.
>
>Ist das nicht krass-neu? :)

Das ist krass neu und kam mit Windows 11, also vor gut zwei Jahren.
Hier redet allerdings eine Open-Source-Komponente, nämlich ein
aktuelles Samba, mit einer anderen Open-Source-Komponente, nämlich
einem aktuellen Linux-Kernel.

Ich hätte wirklich gerne, dass wenigstens _das_ funktioniert.

>Möglich. So weit ich erinnere ist aber bei v2 verschlüsselung immer noch
>optional, bei 3 aber pflicht. Ich weiß nicht ob das mit Kerberos zu tun
>hat, hielte es aber für möglich.

Mein Verständnis von Windows sagt, dass dort, wo Kerberos ist, auch
ein Domaincontroller sein muss, sowas habe ich hier aber nicht.

>Und da du oben servernamen statt IP verwendest: Hast du mal geprüft ob
>myserver.domain-example denn auch von beiden aufgelöst werden kann.

DNS ist eine meiner Kernkompetenzen, das funktioniert hier im Hause,
und ein tcpdump zeigt, dass die beiden Systeme auch brav miteinander
reden.

>Die ganze "Wins jetzt per dns" sache halte ich eh für ein großes
>Fragezeichen. Hier funktioniert es mal, mal nicht und nebenbei gelingt
>es eher komplett automagisch via avahi aber dann scheint server.local
>irgendwie user und kennwort nicht zu wollen. Anonym geht's dann.
>Verstehe ich auch noch nicht...

DNS kam vor 23 Jahren mit Windows 2000 in der Windows-Welt an; ich
gehe davon aus dass das inzwischen funktioniert.

Tim Ritberg

unread,
Nov 30, 2023, 7:32:48 AM11/30/23
to
Am 29.11.23 um 13:36 schrieb Marc Haber:

> Wenn man nach der Fehlermeldung sucht, landet man auf vielen
> Stackoverflow-Artikeln, die alle gemeinsam haben, dass mit sec=krb5
> gearbeitet wird und dass der Maschinenaccount für die NT-Domain fehlt.
> Das kann hier aber eher nicht sein, da hier keine NT-Domain im Einsatz
> ist.
>
> Wo ist mein Fehler? Warum kann smbmount den Share einhängen,
> mount.cifs aber nicht? Kann/muss ich kerberos in meiner domainfreien
> Umgebung explizit abschalten und wie geht das?
>

Wie hast du denn die Option security gesetzt?

Tim


Marc Haber

unread,
Dec 4, 2023, 8:52:23 AM12/4/23
to
Auf dem Server, gar nicht, das defaultet dann wohl zu "user", auch
wenn man smb.conf da im selben Absatz widersprüchliche Angaben gibt.
server role ist auch nicht gesetzt, das heißt dass sich der Server
verhält wie ein "simple file server that is nto conneted to any
domain".

Wie sollte ich das denn setzen? Wenn mein Setting verkehrt ist, warum
geht es dann mit smbclient?

sec auf dem Client ist wie im Originalposting im fstab-Auszug sichtbar
auf ntlmssp gesetzt.

Marc Haber

unread,
Dec 14, 2023, 7:32:31 AM12/14/23
to
Marc Haber <mh+usene...@zugschl.us> wrote:
>Wo ist mein Fehler? Warum kann smbmount den Share einhängen,
>mount.cifs aber nicht? Kann/muss ich kerberos in meiner domainfreien
>Umgebung explizit abschalten und wie geht das?

Ich habe das wohl nicht lange genug abhängen lassen, nach zwei Wochen
ohne Änderung funktioniert es einfach.

Kay Martinen

unread,
Dec 25, 2023, 5:50:02 PM12/25/23
to
Am 14.12.23 um 13:32 schrieb Marc Haber:
> Marc Haber <mh+usene...@zugschl.us> wrote:
>> Wo ist mein Fehler? Warum kann smbmount den Share einhängen,
>> mount.cifs aber nicht? Kann/muss ich kerberos in meiner domainfreien
>> Umgebung explizit abschalten und wie geht das?
>
> Ich habe das wohl nicht lange genug abhängen lassen, nach zwei Wochen
> ohne Änderung funktioniert es einfach.

Wenn das nur hier auch so wäre.

Warum willst du eigentlich den modernsten Dialekt nutzen, wenn eh kein
Modernes Windows im Spiel ist? Oder hab ich das falsch verstanden.

Kay Martinen

unread,
Dec 26, 2023, 7:30:03 AM12/26/23
to
Die 'Ingrid' sagt.

Am 25.12.23 um 23:40 schrieb Kay Martinen:
Hätte den anderen Post nehmen sollen. Bei nochmaligem Lesen erkenne ich
das dein "Wiederpart" auf Netzwerkseite doch ein Windows ist. $Hier nicht.

Sorry.

N.B. Ich war gestern extrem gefrustet weil mein Fileserver (auch Samba)
nicht so tut wie ich erwarte. Da ist aber das Erste Problem die Hardware
die offenbar grad eine "Ich zeig dir nix mehr" Seuche hat. Sowohl die
Onboard VGA als auch die im Slot des als Ersatz gedachten.

Und im Blindflug erkennen ob da überhaupt was startet ist extrem uncool.
Dabei hat alles nur mit Fehlern auf der Bootplatte angefangen...

Marc Haber

unread,
Dec 26, 2023, 9:42:28 AM12/26/23
to
Ich gehe davon aus, dass ich bei der Arbeit, wenn ich das überhaupt
irgendwann mal vorgesetzt bekomme, aktuelle Umgebungen vorfinden
werde. Und wenn ich schon solches Knowhow aufbauen muss, dann sollte
es wenigstens aktuelles Knowhow sein, das veraltet eh schon schnell
genug.

Außerdem werde ich hier über kurz oder lang nicht um einen SMB-Server
für die Handvoll Windows-Kisten und die Dreambox herumkommen, und ich
kann mir schon vorstellen, wie in den diversen Communities die erste
Hilfestellung lauten wird, wenn ich nicht den aktuellsten Dialekt
benutze.

Also kann ich gleich mit dem Heißen Scheiß anfangen, das erspart mit
mittelfristig Arbeit.

Ich bin Nerd, kein Archäologe.

Marc Haber

unread,
Dec 26, 2023, 9:56:00 AM12/26/23
to
Kay Martinen <use...@martinen.de> wrote:
>Hätte den anderen Post nehmen sollen. Bei nochmaligem Lesen erkenne ich
>das dein "Wiederpart" auf Netzwerkseite doch ein Windows ist. $Hier nicht.

Im konkreten Fall ging es wirklich um einen aktuellen Linux-Client an
einem Samba Server auf Debian stale. Vorher schreibt dann ein Scanner
mit zweifelhafter Software (von seiten des Herstellers aktuell,
vermutlich dennoch gut abgehangen) auf diesen Samba-Server.

Und in Perspektive werden Windows 10, Windows 11 und eine Dreambox auf
diesen Server zugreifen, das soll der Hausserver werden.

Marco Moock

unread,
Dec 26, 2023, 10:04:12 AM12/26/23
to
Am 26.12.2023 um 15:55:57 Uhr schrieb Marc Haber:

> Im konkreten Fall ging es wirklich um einen aktuellen Linux-Client an
> einem Samba Server auf Debian stale.
^^^^^

Debian stable ist ja auch stale. :-)

Marc Haber

unread,
Dec 26, 2023, 12:13:46 PM12/26/23
to
Debian gibt es in stale, rusting und broken.

Kay Martinen

unread,
Jan 4, 2024, 9:10:03 PM1/4/24
to
Am 26.12.23 um 18:13 schrieb Marc Haber:
> Marco Moock <mm+s...@dorfdsl.de> wrote:
>> Am 26.12.2023 um 15:55:57 Uhr schrieb Marc Haber:
>>> Im konkreten Fall ging es wirklich um einen aktuellen Linux-Client an
>>> einem Samba Server auf Debian stale.
>> ^^^^^
>>
>> Debian stable ist ja auch stale. :-)
>
> Debian gibt es in stale, rusting und broken.

Und ich dachte immer das hört auf bei Old-Oldstable...

Unfreundliche Umdeutung übrigens. Da fällt die Wahl echt schwer. Hat das
Gründe?

Kay Martinen

unread,
Jan 4, 2024, 9:20:03 PM1/4/24
to
Am 26.12.23 um 15:42 schrieb Marc Haber:
> Kay Martinen <use...@martinen.de> wrote:
>> Am 14.12.23 um 13:32 schrieb Marc Haber:
>>> Marc Haber <mh+usene...@zugschl.us> wrote:
>>>> Wo ist mein Fehler? Warum kann smbmount den Share einhängen,
>>>> mount.cifs aber nicht? Kann/muss ich kerberos in meiner domainfreien
>>>> Umgebung explizit abschalten und wie geht das?
>>>
>>> Ich habe das wohl nicht lange genug abhängen lassen, nach zwei Wochen
>>> ohne Änderung funktioniert es einfach.
>>
>> Wenn das nur hier auch so wäre.
>>
>> Warum willst du eigentlich den modernsten Dialekt nutzen, wenn eh kein
>> Modernes Windows im Spiel ist? Oder hab ich das falsch verstanden.
>
> Ich gehe davon aus, dass ich bei der Arbeit, wenn ich das überhaupt
> irgendwann mal vorgesetzt bekomme, aktuelle Umgebungen vorfinden
> werde. Und wenn ich schon solches Knowhow aufbauen muss, dann sollte
> es wenigstens aktuelles Knowhow sein, das veraltet eh schon schnell
> genug.

Wenn das die Brötchen verdient, Okay.

> Außerdem werde ich hier über kurz oder lang nicht um einen SMB-Server
> für die Handvoll Windows-Kisten und die Dreambox herumkommen, und ich
> kann mir schon vorstellen, wie in den diversen Communities die erste
> Hilfestellung lauten wird, wenn ich nicht den aktuellsten Dialekt
> benutze.

RTFM? Oder "AUWEIA!"? ;)

Bezugnehmend auf einen anderen Thread die Frage: Warum nicht gleich das
Original nehmen. Das einzige was 100% Kompatibel zu Windows ist, ist...
eben Windows oder? ;-)

> Also kann ich gleich mit dem Heißen Scheiß anfangen, das erspart mit
> mittelfristig Arbeit.

Und immer schön dem Trend ähh der nächsten Sau hinterher Hecheln - wenn
sie durch's Dorf getrieben wird. Anstrengend.

> Ich bin Nerd, kein Archäologe.
Für ersteres hielt ich mich auch mal, letzteres hat sich ergeben. U.a.
aus dem "Früher war mehr Lametta" Eindruck des Heißen Scheiß heute.

Aber ich leiste mir auch nur ein mal die Woche Brötchen. ;-)

Marc Haber

unread,
Jan 5, 2024, 1:28:17 AM1/5/24
to
Kay Martinen <use...@martinen.de> wrote:
>Am 26.12.23 um 18:13 schrieb Marc Haber:
>> Marco Moock <mm+s...@dorfdsl.de> wrote:
>>> Am 26.12.2023 um 15:55:57 Uhr schrieb Marc Haber:
>>>> Im konkreten Fall ging es wirklich um einen aktuellen Linux-Client an
>>>> einem Samba Server auf Debian stale.
>>> ^^^^^
>>>
>>> Debian stable ist ja auch stale. :-)
>>
>> Debian gibt es in stale, rusting und broken.
>
>Und ich dachte immer das hört auf bei Old-Oldstable...

oldoldstable ist ja sogar offizielle Lingo.

>Unfreundliche Umdeutung übrigens. Da fällt die Wahl echt schwer. Hat das
>Gründe?

Ich glaube mir kann man kaum unterstellen, gegen Debian zu sein.

Urheber dieser wirklich lustigen Verballhornung, die mir auch ein
Jahrzehnt nach ihrer Schöpfung immer noch ein Grinsen abnötigt, ist
frank paulsen. Man liest von ihm inzwischen leider nichts mehr hier,
dafür aber bei Mastodon.

Marco Moock

unread,
Jan 5, 2024, 4:30:11 AM1/5/24
to
Am 05.01.2024 um 03:00:37 Uhr schrieb Kay Martinen:

> Unfreundliche Umdeutung übrigens. Da fällt die Wahl echt schwer. Hat
> das Gründe?

Debian hängt bei vielem halt hinterher und das hat oft Bugs und
Sicherheitsprobleme zu Folge, weil lange nicht bei jedem Paket
Änderungen rückportiert werden.

Marc Haber

unread,
Jan 5, 2024, 6:49:00 AM1/5/24
to
Lall. Das hat vielleicht gestimmt als Dein Zeugnis noch auf "rechner
zügig im Bereich bis 100" lautete.

--
----------------------------------------------------------------------------
Marc Haber | " Questions are the | Mailadresse im Header
Rhein-Neckar, DE | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402

Arno Welzel

unread,
Jan 5, 2024, 9:09:27 AM1/5/24
to
Marco Moock, 2024-01-05 10:30:
Dafür hast Du sicher konkrete Beispiele.

--
Arno Welzel
https://arnowelzel.de

Jens Schüßler

unread,
Jan 5, 2024, 10:20:04 AM1/5/24
to
* Marco Moock <mm+s...@dorfdsl.de> [05-01-24 09:30]:
FUD hoch 10

Marco Moock

unread,
Jan 5, 2024, 10:27:31 AM1/5/24
to
Am 05.01.2024 um 12:48:59 Uhr schrieb Marc Haber:

> Marco Moock <mm+s...@dorfdsl.de> wrote:
> >Am 05.01.2024 um 03:00:37 Uhr schrieb Kay Martinen:
> >> Unfreundliche Umdeutung übrigens. Da fällt die Wahl echt schwer.
> >> Hat das Gründe?
> >
> >Debian hängt bei vielem halt hinterher und das hat oft Bugs und
> >Sicherheitsprobleme zu Folge, weil lange nicht bei jedem Paket
> >Änderungen rückportiert werden.
>
> Lall. Das hat vielleicht gestimmt als Dein Zeugnis noch auf "rechner
> zügig im Bereich bis 100" lautete.

https://tracker.debian.org/pkg/claws-mail

Wäre so ein Kandidat. Die älteren Versionen haben einige Bugs, mir wäre
neu, dass da eine Rückportierung stattfand.

Mich jedenfalls stört sowas, sodass ich auf dem Desktop sid einsetze.
Auf Servern aktuell stable, aber wirklich gefallen ist was anderes.

Da sind Ubuntu und Fedora etwas flotter, wobei ersteres bei universe
eine Katastrophe ist.
Da gilt dann auch "bloß keine neue Hauptversion, krachende Fehler sind
uns egal" (testet mal cyradm unter jammy).

Roland Sommer

unread,
Jan 6, 2024, 8:50:13 AM1/6/24
to
* Marco Moock wrote:

> Am 05.01.2024 um 12:48:59 Uhr schrieb Marc Haber:
>> Lall. Das hat vielleicht gestimmt als Dein Zeugnis noch auf "rechner
>> zügig im Bereich bis 100" lautete.
>
> https://tracker.debian.org/pkg/claws-mail
>
> Wäre so ein Kandidat.

https://tracker.debian.org/pkg/salt

Ist ein Kandidat.

Marco Moock

unread,
Jan 6, 2024, 10:58:59 AM1/6/24
to
https://tracker.debian.org/pkg/sendmail
Ist auch einer, was oldstable und oldoldstable betrifft.

0 new messages