FreeNas als wirklich Windows-Client-fähige Datenablage in einer Mehr-Benutzer-Umgebung?

[Thorsten Brüning]

Hallo, ihr Wissenden!

Ich beabsichtige, zwei 8TB FreeNas-Systeme (oder größer) mit je 32GB/16GB ECC-RAM aufzusetzen.
Die Kombination ZFS - ECCRAM - USV verspricht ein "unkaputtbares" System.
System I soll den Windows-SBS-File-Server ersetzen; auf System II soll System I 15-minütig repliziert werden.

Nach grober Durchsicht dieses Forums bezweifle ich allerdings, dass es möglich ist, rein über die FreeNas-GUI eine adäquate und funktionierende Benutzer- und Rechteverwaltung erstellen zu können.

Es werden folgende Gruppen benötigt:
- Administratoren (dürfen alles, inkl. die Heimatverzeichnisse manipulieren)
- Mitarbeiter (haben streng private Heimatverzeichnisse, dürfen die Freigabe "Daten" benutzen)
- Buchhaltung (wie Mitarbeiter, Zugriff zusätzlich auf die Freigabe "Buchhaltung")

Weiterhin soll eine Freigabe "Public" für alle FreeNas-authentifizierten Benutzer existieren.
Gastzugang ist ausgeschlossen.

Nun meine einfache Frage:
"Ist das zu realisieren - ausschließlich über die GUI - und ebenso zu administrieren?"

Und falls ja, WIE?
Eine präzise Anleitung basierend auf der aktuellen FreeNas-Version wäre wünschenswert.

Danke

 

[InterCoolerTurbo]

Ja sollte über die GUI machbar sein.
Wie kann man nach grober Durchsicht eines Forums eine Behauptung aufstellen?? Setzt FreeNas in ner VM auf und probiers aus? oO

 

[Thorsten Brüning]

Fein: SOLLTE!

Ich erinnere an meinen Satz
"Eine präzise Anleitung basierend auf der aktuellen FreeNas-Version wäre wünschenswert."

"Grobe Durchsicht eines Forums" entspricht derzeit 3 Tage und Nächte lesen.
Ausprobiert habe ich die letzten 3 FreeNas-Versionen auf realen PCs.
Wundersamerweise verhielten sich alle 3 unterschiedlich.
Nicht nachvollziehbare Wechselwirkungen zwischen *nix- und Windows-"ACL"-Datasets
sowie mit und ohne SMB-Heimatverzeichnissen...

Also bitte nur detaillierte, funktionierende Beiträge, keine Konjunktive ;-)

 

[Thorsten Brüning]

Ergänzend hier beispielsweise eine mögliche Firmenstruktur:
- Fred (Chef) Gruppe Admins, Mitarbeiter, Buchhaltung
- Jeff (Chef) Gruppe Mitarbeiter, Buchhaltung
- Karl (Zeichner) Gruppe Mitarbeiter
- Kurt (Zeichner) Gruppe Mitarbeiter
- Klaus (Zeichner) Gruppe Mitarbeiter
- Gaby (Buchhalterin) Gruppe Mitarbeiter, Buchhaltung

Gruppen:
- Admins
- Buchhaltung
- Mitarbeiter

Hilfsweise die Verzeichnisstruktur:
/mnt/Raid6
--------- Public (DataSet)
--------- Daten (DataSet)
--------- Buchhaltung (DataSet)
--------- Benutzer (DataSet)
------------ Fred (Heimat-VZ)
------------ Jeff (Heimat-VZ)
------------ Karl (Heimat-VZ)
------------ Kurt (Heimat-VZ)
------------ Klaus (Heimat-VZ)
------------ Gaby (Heimat-VZ)

Kein Mitglied der Gruppe Mitarbeiter, kein Mitglied der Gruppe Buchhaltung darf die Heimatverzeichnisse
der anderen Benutzer einsehen dürfen, es sei denn, es ist gleichzeitig Mitglied der Gruppe Admins.

Firmenfremde, die sich als Benutzer "Gast" mit dem Passwort "gast" an FreeNas anmelden,
sowie alle, die angelegte Benutzer sind, dürfen innerhalb des Ordners "Public" alles.

 

[Ericloewe]

Die Verwaltung der Rechte muss mit Windows gemacht werden, wenn alles reibungslos sein soll. Nur Ownership soll direkt in FreeNAS geändert werden. Sobald dies gesetzt ist, soll der jeweilige Owner in Windows (Properties des Shares oder des Folders -» Security).

So eine Anleitung ist momentan Work in Progress. Wann sie fertig ist, würden wir alle gerne wissen...

 

[Thorsten Brüning]

Danke, Ericloewe!

Nachdem diese "Billig-Anforderung" seit Jahren hier dauernd nachgefragt wird,
sollte es doch irgend jemanden geben, der das State-of-the-Art gelöst hat...

Jeder, der FreeNas auch nur im Privatbereich als Streaming-Dose einsetzt,
hat doch das Problem, dass

- Vati, Mutti, Sohn und Tochter im eigenen Heimatverzeichnis jeweils alles dürfen
- Vati sowieso alles darf
- Mutti, Sohn und Tochter fremde Heimatverzeichnisse nicht einsehen dürfen
- Mutti, Sohn und Tochter Bücher, Video und Audio lesen dürfen
- Sohn und Tochter das 18plus-Verzeichnis weder sehen noch betreten dürfen

Seit Windows-ME ist so etwas doch wohl nur eine 'PillePalle-Aufgabenstellung'!

Das müsste man doch mit der FreeNas-GUI 'mal eben' so zusammen klicken können...
Ich bitte um eine detaillierte Anleitung für diese u.a. Mini-Konfiguration!

Gruppen:
- Admins (Vati)
- Familie (Vati, Mutti, Sohn, Tochter)
- Erwachsene (Vati, Mutti)

Verzeichnisstruktur:

/mnt/Raid
----------- Benutzer
-------------- Vati (Heimat-VZ)
-------------- Mutti (Heimat-VZ)
-------------- Sohn (Heimat-VZ)
-------------- Tochter (Heimat-VZ)
----------- Media
-------------- Bücher
-------------- Audio
-------------- Video
------------------ XXX

Grüße
TB

 

[pylox1394]

Seit Windows-ME ist so etwas doch wohl nur eine 'PillePalle-Aufgabenstellung'!

Das müsste man doch mit der FreeNas-GUI 'mal eben' so zusammen klicken können...
Ich bitte um eine detaillierte Anleitung für diese u.a. Mini-Konfiguration!

Ist Ihnen in den Sinn gekommen, das die Postings etwas unverschämt klingen könnten.... Haben Sie ein kommerzielles Produkt erworben/Geld dafür bezahlt ?

 

[Thorsten Brüning]

Ehrlich gesagt: Nein!

FreeNas ist ein Produkt, das schon fast ewig in aller Munde ist.
"Das Internet" und insbesondere Youtube sind seit Jahren voll von Artikeln,
wie professionell und einfach das System FreeNas wohl sei.

Ich habe Dutzende von Youtube-Videos gesehen, die zeigen wollten,
wie einfach man CIFS-Freigaben erstellen kann.

Fein, jedoch haben alle diese Beiträge eine Schwachstelle:
die Autoren haben wohl noch nie etwas von unterschiedlichen Benutzerrechten
und Privatsphäre gehört.

Allein die Tatsache, dass IxSystems das Produkt "übernommen" hat,
dürfte auf kommerziellen und damit professionellen Hintergrund schließen lassen,
zumal diese Firma mit großem TamTam auch fertige Hardware anbietet.

Daher möchte ich davon ausgehen, dass mit FreeNas ein funktionierendes System
angeboten wird, und nicht nur "wieder mal so ein Open-Source-Projekt",
wo - so sagt im Allgemeinen der Volksmund - ein Haufen Leute planlos
herum gefrickelt haben, und nach Jahren lauthals veröffentlichter Arbeit
eine nicht wirklich funktionierende, instabile Eier-legende-Wollmilchsau entstanden ist.


>"Haben Sie ein kommerzielles Produkt erworben/Geld dafür bezahlt ?"

Dies übliche ~ und völlig sachfremde ~ Totschlag-Argument ;-)
Demnach wäre es also nicht schlimm, ein vergurktes Projekt massiv zu bewerben,
Hauptsache es ist kostenlos? Das halte ich ja für 'völlig daneben'!

Natürlich bin ich bereit, eine Menge Geld für FreeNas samt Hardware
(64GB ECCRAM, 8TB ZFS Diskspace, etc, was wirklich Geld kostet),
mit Herstellergarantie und Vor-Ort-Wartung auszugeben,
nachdem ich mich davon überzeugen konnte, dass
a) die angepriesenen Fähigkeiten den Tatsachen entsprechen
b) jeder Windows-DAU das System intuitiv im von mir beschriebenen Rahmen bedienen kann

Daher stellte ich eine Anfrage im Forum des Herstellers, nach detaillierter Anleitung,
die ich nachträglich auch noch vereinfacht habe, für den Fall, eine grundlegende
Business-Anforderung würde das Fachwissen der Forengemeinschaft überfordern.

Bisher verbringe ich meine Energie hier allerdings völlig sinnlos,
da es bisher keine sachdienlichen Antworten gibt.

Ich hoffe trotzdem weiterhin auf Wissende, die sich die Mühe machen, mich
davon zu überzeugen, dass dieses alte, große und vielversprechende Projekt
keine Zeitverschwendung ist.

Grüße
TB

 

[emk2203]

So, wie die Anfrage rüberkommt, kann ich nur sagen:

Für Berater-übliche Stundensätze mach ich das mit links. Für lau: ;) netter Versuch. Vielleicht findet sich ja noch ein nützlicher Idiot, der dem Mini-Unternehmen die IT aufsetzt.

 

[Thorsten Brüning]

Danke, das wäre sehr nett.
Und ich bin dann der nützliche Idiot HIER,
der das alles schön aufbereitet, und meine angefragten Problemstellungen
noch etwas aufbohrt und endlich mal nachvollziehbar und verständlich hier veröffentlicht.

Aber, wie schon gesagt: es soll ausschließlich über (die) GUI konfiguriert werden!

Dann leg mal los!

 

[emk2203]

Aber, wie schon gesagt: es soll ausschließlich über die GUI konfiguriert werden!

Und hier liegt das eigentliche Problem. Du kaufst einen Sportwagen und willst ihn tunen lassen - gehst du dann in die Werkstatt und sagst zum Mechaniker: "Aber bitte NUR mit Bordwerkzeug!"? Wahrscheinlich wird der arme Mann dann erst einen Lachkrampf bekommen und dann mit dem Maulschlüssel nach dir werfen.

Die GUI ist der Startpunkt. Mehr nicht. Wie beim Bordwerkzeug, mit dem man auch in Notfällen einen Reifen wechselt, aber nicht komplizierte Arbeiten unter der Haube vornimmt. Den Rest der Konfiguration macht man zum Teil noch über die CLI bei der FreeNAS-Kiste, zum überwiegenden Teil aber mit den Gastsystem-üblichen Tools, weswegen man auch hier wenig bis garnichts darüber findet. Hier mal beispielhaft:

Mit Active Directory Services

1. Active Directory Services konfigurieren
2. Permissions des Datasets unter Storage/Active Volumes/(your volume)/Change permissions ändern. Owner (user) wird auf DOMAIN\Administrator gesetzt, Owner (group) auf DOMAIN\Domain Admins. ACL Type = Windows / Mac. Man kann gerne auch zur Sicherheit die Permissions rekursiv setzen, auch wenn noch keine Daten vorhanden sind.
3. CIFS share einrichten, der auf dieses Dataset zeigt, bei dem wir gerade die Permissions geändert haben. Alle anderen CIFS share Einstellungen sind default.
4. Wenn man jetzt diesen Share mit dem DOMAIN/Administrator account (also dem EIGENTÜMER) öffnet, kann man die ACLs für diesen Ordner bearbeiten. Ich hab das gerade von Windows aus mit PuTTY gemacht, SSH ginge natürlich auch. Zur Erinnerung: getfacl zum Ansehen und setfacl zum setzen der Permissions. Hier sollten Everyone, Administrator und Domain Admins gelistet sein. Jetzt kann man die Everyone-Permission vom obersten Level entfernen.
5. Jetzt öffnet man von der Windows-Kiste Computer Management (compmgmt.msc) und verbindet mit der FreeNAS-Kiste. System/Freigegebene Ordner/Freigaben aufklappen. Eigenschaften für den neugeschaffenen CIFS share öffnen und auf den Tab "Freigabeberechtigungen" wechseln. Die Gruppe Everyone entfernen, DOMAIN\Administrator und DOMAIN\Domain Admins hinzufügen. An diesem Punkt hat man die Freigabeberechtigungen und die ACLs synchron (Administrator und Domain Admins).
6. FreeNAS box rebooten. Nach dem Hochfahren compmgmt.msc erneut öffnen, wieder mit der FreeNAS box verbinden. Freigabeberechtigungen überprüfen, es sollte alles geblieben sein (bis zur 9.2.1 gabs da einen Bug). Die ACLs sollten auf jeden Fall erhalten geblieben sein.

Ohne Active Directory Services

1. Permissions des Datasets unter Storage/Active Volumes/(your volume)/Change permissions ändern. Owner (user) wird auf Vati gesetzt, Owner (group) auf Administratoren. ACL Type = Windows / Mac. Man kann gerne auch zur Sicherheit die Permissions rekursiv setzen, auch wenn noch keine Daten vorhanden sind.
2. CIFS share einrichten, der auf dieses Dataset zeigt, bei dem wir gerade die Permissions geändert haben. Alle anderen CIFS share settings sind default.
3. Wenn man jetzt diesen Share mit dem Vati account (also dem EIGENTÜMER) öffnet, kann man die ACLs für diesen Ordner bearbeiten. Zur Erinnerung: PuTTY (Windows) oder SSH (andere). getfacl zum Ansehen und setfacl zum setzen der Permissions. Everyone-Permission vom obersten Level entfernen. Ich bin oldskool und würde den ganzen Rest mit dem setfacl / getfacl - Pärchen machen. Für die GUI-Nutzer:
4. Jetzt öffnet man von der Windows-Kiste Computer Management (compmgmt.msc) und verbindet mit der FreeNAS box . System/Freigegebene Ordner/Freigaben aufklappen. Eigenschaften für den neugeschaffenen CIFS share öffnen und auf den Tab "Freigabeberechtigungen" wechseln. Die Gruppe Everyone entfernen, Administratoren hinzufügen. An diesem Punkt hat man die Freigabeberechtigungen und die ACLs synchron (Administratoren).
5. Jetzt mit compmgmt.msc die Freigabeberechtigungen wie gewünscht bearbeiten. Benutzer hinzufügen und Rechte entziehen / verteilen. Wir sind ja als Eigentümer der Freigabe eingeloggt.

Nun kann man die Berechtigungen beliebig granuliert verteilen, so daß Papa heimlich seine Pornos gucken kann, aber nicht bei Mama Rechnungsarchiv spiggeln, was letzten Monat wieder alles an Bestellungen bei Amazon rausging. Oder halt Cheffe / Buchhaltung / Unterlinge einrichten.

Wenn man im letzten Absatz Schritt 3 ausläßt, hat man übrigens technisch alles über das GUI erledigt - wenn auch mit FreeNAS- und Windows-GUI. Würde sagen, Aufgabe gelöst.

 

[Thorsten Brüning]

Ich danke Dir, emk2203 !
Ich freue mich darauf, dies alles heute Nacht nachzuvollziehen.
Bis später!

 

[Thorsten Brüning]

@emk2203

/mnt
----Raid
--------Daten
------------Media
--------Benutzer
...

Permissions des "Volumes" namens Raid:
Owner: Thorsten
Group: Admins

Egal was ich einstelle (Unix/Windows), es bleibt bei:



Objekt R W X
Owner X X X
Group X X X
Other X - X


Über den Explorer sehe ich natürlich nur "Daten", "Media" und "Benutzer"
(natürlich mit Unterverzeichnissen).


- Zugriffsversuch über Client-PC (User Thorsten)
---- Versuch der Rechteänderung

Änderungsversuch über den Explorer:
Was machen wir jetzt hiermit?

Dies wollen wir ja wohl nicht.

Diese Meldung erscheint bei JEDEM Dataset.

-schnipp-

- Zugriffsversuch über WinSCP (User Thorsten)
---- Versuch der Rechteänderung (egal wo)

"Permission denied"

-schnipp-

- Zugriffsversuch über WinSCP (User root)
---- Versuch der Rechteänderung (egal wo).

"Permission denied"

-schnipp-

Ich habe mir - da ich nicht mit der (Power-) Shell arbeiten will - dies installiert:

SetACL Studio "sieht" aber nur die Benutzer und Gruppen meines Clients,
aber nicht die des FreeNas. Also unbrauchbar für meine Absichten.

Was nun?

-schnipp-

Warum sieht - als "Thorsten" eingeloggt - die
"compmgmt.msc" nicht alle von mir auf dem FreeNas angelegten Gruppen ?


Fragen über Fragen...

 

[Thorsten Brüning]

Copy-ACL für MS Powershell

Offenbar "gibt" es nur die Shell-Befehle getfacl und setfacl.
Bei Anlage eines neuen Verzeichnisses wäre copyfacl sehr nützlich.

Eben dies hat Jeffrey Snover vom Microsoft Powershell Team zur Verfügung gestellt.
Link: http://blogs.msdn.com/b/powershell/archive/2009/05/11/copy-acl.aspx

Für die Schreiblinge unter euch hoffentlich hilfreich.
Ich bin ein Mausling. Ich erwarte den Button "Format übertragen" wie in Excel oder Word, etc.

 

[Thorsten Brüning]

Ohne Active Directory Services

1. Permissions des Datasets unter Storage/Active Volumes/(your volume)/Change permissions ändern. Owner (user) wird auf Vati gesetzt, Owner (group) auf Administratoren. ACL Type = Windows / Mac. Man kann gerne auch zur Sicherheit die Permissions rekursiv setzen, auch wenn noch keine Daten vorhanden sind.

So,
- mit VmWare ein FreeNas als test.tb.local aufgesetzt und grundlegend konfiguriert
(VmWare 6.0.3 build-1895310, FreeNAS-9.2.1.8-RELEASE-x86.iso)
- Gruppen und Benutzer angelegt und zugewiesen:
---- Admins (Vati)
---- Familie (Vati, Mutti, Sohn, Tochter)
---- Erwachsene (Vati, Mutti)
- CIFS nicht angerührt
- ZFS-Volume namens "Raid" angelegt
- Versuch, die Rechte für /mnt/Raid zu setzen

So soll es sein!

Ergebnis der Kontrolle:

Unfassbar!

Das ist so, als hätte man einen nagelneuen Füllfederhalter bekommen, die Patrone vorschriftsmäßig eingesetzt, und das Ding schreibt nicht!
- Stundenlang im Internet gesucht, nachher 720MB Anleitung gefunden und gelesen
- Alles gelesene stimmt einfach nicht / funktioniert so nicht
- Im Forum nachgefragt
- Antwort: "Müsste aber..."
- Neue Anleitung bekommen. Geht auch nicht.

Vielleicht sollte ich meinen Windows-Client neu starten?
Vielleicht sollte ich der Virtuellen Maschine unter "Add Hardware" einen Lüfter hinzufügen?

Mir fehlen die Worte...

 

[Thorsten Brüning]

Da machen wir doch mal flugs den Test, ob die Benutzerverwaltung funktioniert,
und definieren, dass Niemand(!) in Vatis Heimatverzeichnis schauen darf.
SMB/CIFS kann ja, wie wir seit 20 Jahren wissen, jedem authentifizierten Benutzer automatisch ein Heimatverzeichnis bereitstellen.

So soll es sein:

Ergebnis:
- Heimatverzeichnispfad /mnt/Raid wurde korrekt in /mnt/Raid/Vati geändert
- Keine Änderung der Rechte des Heimatverzeichnisses

Pah!

Nochmaliges Ändern der Rechte hat keine Auswirkungen.

Fazit:
Selbst grundlegende Dinge wie
- Benutzerverwaltung
- Rechte setzen auf einem ZFS-Volumen
funktionieren nicht wie es zu erwarten wäre.

WARUM?

 

[ObiTobi]

Hallo,

die Antwort nach dem "WARUM?" ist relativ einfach wenn man sich "etwas" Zeit nimmt und überlegt was ein NAS System "wirklich" sein soll.
versucht man nicht mit aller Gewalt aus dem FreeNAS Projekt eine "Eier-liegende-Vollmilch-Sau" zu machen, kommt schnell das Erkenntnis, dass ein NAS erst Mal Fesplattenplatz zur Verfügung stellt. Eine Administration, was schon jemand Dir ganz am Anfang geschrieben hat erfolgt NICHT auf dem System selbst, sondern auf einem z.B Windows Rechner.
Dabei kommt natürlich "das Problem", dass irgendwo die Benutzerverwaltung stattfinden muss. Also nächstes Dilemma - hat man im Netz AD oder soll zwingend die Samba Installation auf der Box einen DC spielen.

Es sind also vorab einige Arbeiten zu klären und erledigen, bevor man sich mit den einfachen Dingern wie Rechtevergabe beschäftigt. Anderenfalls - viel Spaß noch mit der GUI :)

 

[Thorsten Brüning]

Danke.

Ich hege ja gar nicht den Wunsch nach einer "Eier-legenden-Wollmilch-Sau"!


Mir ist völlig klar, wozu "mein" NAS-System da sein soll:
wie der Name schon verheißt, ein "am Netzwerk angeschlossener Datenspeicher".
Mehr nicht. Ich brauche keine Plaque-Ins für's Runterladen, Kino, Musikbox,
WC-Brillen-Gewichtssensor-gesteuerte Lautstärkeregelung, etc.

Also ist die minimale Anforderung, Benutzer "zu besorgen" (selbst anlegen oder importieren,
ggfls. über AD), rudimentäre Gruppen zu bilden, eine Freigabe einzurichten, und dieser
ein paar grundlegende Zugriffsrechte zu verpassen.

Wenn, wie im Beispiel von Mittwoch, die vergebenen Rechte offensichtlich weder bei der Freigabe
noch bei den Benutzern abgespeichert werden, dann zweifle ich doch zuallererst an meinem Verstand,
nach ausgiebigen Tests aber auch an dem der Entwickler. Probieren die das denn nie aus?

Ich habe mich ja genau an die Anleitung von emk2203 gehalten.

Ohne Active Directory Services

1. Permissions des Datasets unter Storage/Active Volumes/(your volume)/Change permissions ändern. Owner (user) wird auf Vati gesetzt, Owner (group) auf Administratoren. ACL Type = Windows / Mac. Man kann gerne auch zur Sicherheit die Permissions rekursiv setzen, auch wenn noch keine Daten vorhanden sind.

Schon hier - und das auf einer frisch installierten, noch nicht von mir vergurkten VM - speicherte
FreeNas die angelegte Gruppe (Admins) und den Besitzer des einzigen Datasets (Vati) nicht ab.

Es scheint also Unterschiede zu geben, ob ich mit einer von x1.5 oder x1.7 geupdateten
oder einer frischen, nicht geupdateten x1.8er FreeNas Version mit der Rechteverwaltung starte.
*übelst*

 

[Thorsten Brüning]

Specken wir mein Beispiel also noch weiter ab, und nutzen nur das, was FreeNas von Haus aus bietet:
Benutzer, Gruppen, Samba-Freigabe und Heimatverzeichnisse.
"Minimaler" kann die Anforderung an ein NAS nicht sein!

Vier Benutzer (Vati, Mutti, Sohn, Tochter) sollen private (!) Heimatverzeichnisse haben.
Die Linux- sowie die Windows-Definitionen von "Heimatverzeichnis" sind ja wohlbekannt.

/mnt/Raid
---------- Vati
---------- Mutti
---------- Sohn
---------- Tochter

Mal sehen...

 

[ObiTobi]

Also Du drehst Dich im Kreis.

Es geht ja gar nicht wie minimalistisch Du es darstellen versuchst - ich mag natürlich die GUI nicht ausreichend zu kennen, behaupte aber mit der GUI kommst Du nicht weit.
Als kleiner Tipp - die Freigaben sind ja "Schnuppe", solche Sachen regelt man nur über ACL und nicht über Freigaben. Hier wurde Dir ggf. ein Buch o.ä zu Administration von Windows Netzwerken helfen.