说明:本人也是从网上东拼西凑找来的教程,自己一遍遍测试过,得出的结论,让大家可以避免很多坑,还要感谢那些原创的大神们。


一.公司网络环境介绍:

1. H3C MSR路由器通过G0/2口连接外网,固定公网IP地址:111.198.18.XX

2. PDC域服务器(也是DNS服务器)10.1.0.1

BDC备份域服务器10.1.0.5

3. PPTPD 虚拟专用网络服务器,通过vSphere Esxi服务器创建虚拟机:

Centos 7.7 1908,内网地址10.1.0.24

4. 验证客户端Windows7。



二.通过Samba+Winbind服务将Centos加入到AD域:

1. 基础环境准备:

⑴ 修改网卡信息,添加DNS地址,就是域地址:

#vim /etc/sysconfig/network-scripts/ifcfg-ens192

clip_image001

⑵ 修改selinux:#vim /etc/sysconfig/selinux

clip_image002

立刻生效:#setenforce 0

⑶ 防火墙暂时关闭,后续需要开启:

#systemctl stop firewalld && systemctl disable firewalld


2. Yum安装Samba所需软件(预先配置好阿里yum源,此处略过):

#yum -y install pam_krb5* krb5-libs* krb5-workstation* krb5-devel*  samba samba-winbind* samba-client* samba-swat* ntpdate*

安装完成后,开启相关服务:

#systemctl restart smb nmb ; systemctl restart winbind


3. 与AD域时间同步:

#ntpdate 10.1.0.5


4. 相关配置:

⑴ 修改smb.conf,只修改、添加全局设置;

#vim /etc/samba/smb.conf

[global]
        workgroup = TEST
        realm = TEST.COM
        security = ads
        idmap config * : range = 16777216-33554431
        template shell = /bin/bash
        template homedir = /home/%D/%U
        winbind enum users = yes
        winbind enum groups =yes
        winbind use default domain = true
        winbind offline logon = true
        server string = pptpd server
        log file =/var/log/samba/log.%m
        max log size = 50
        passdb backend = tdbsam
        encrypt passwords = yes
        printing = cups
        printcap name = cups
        load printers = yes

⑵ 修改nsswitch.conf;

#vim /etc/nsswitch.conf

clip_image003

⑶ 修改krb5.conf;

#vim /etc/krb5.conf

includedir /etc/krb5.conf.d/

[logging]

default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log
[libdefaults]
dns_lookup_realm = false
dns_lookup_kdc = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
rdns = false
pkinit_anchors = /etc/pki/tls/certs/ca-bundle.crt
default_realm = TEST.COM
default_ccache_name = KEYRING:persistent:%{uid}
[realms]
  TEST.COM = {
   kdc = 10.1.0.1
   admin_server = 10.1.0.1
  }
[domain_realm]
.example.com = TEST.COM
  example.com = TEST.COM


5. 加入AD域:

#net ad join -Uadministrator

加入后,重启以下服务(此处需要注意,服务最好不要一起重启,单个重启,否则可能会报错):

#systemctl restart smb

#systemctl restart winbind


6. 测试winbind服务:

#wbinfo -t //测试通信成功与否,信任关系是否建立

#wbinfo -u //测试域用户账号是否同步

#wbinfo -g //测试域组信息是否同步


7. 测试kerberos服务:

#kinit ***test1 //测试用户

clip_image004


8. 如果加入域有报错,可以尝试以下命令:

⑴ 先清理缓存:

# rm -rf /var/lib/samba/private/secrets.tdb

# rm -rf /var/lib/samba/gencache.tdb

⑵ samba退出域:

#net ads leave -Uadministrator


9. 防火墙配置命令:

#systemctl restart firewalld ; systemctl enable firewall

#firewall-cmd --permanent --add-service=samba //添加samba服务

#firewall-cmd –reload


10. 常用命令:

⑴ 重载smbd、nmbd、winbindd的配置,请将reload-config消息类型发送到all目标:

#smbcontrol all reload-config

⑵ 测试samba配置参数:

#testparm /etc/samba/smb.conf

⑶ 加入AD域命令:

#net ads join -U "DOMAIN\administrator"



三.通过PPTPD搭建服务器:

1. PPTPD服务端安装:

⑴ 检查服务器端系统版本:

#cat /etc/redhat-release

clip_image005

⑵ 检查IP地址信息:

#ip addr

⑶ 检查PPP是否开启:

#cat /dev/ppp

#modprobe ppp-compress-18 && echo ok

clip_image006

⑷ 安装PPP:

#yum install -y ppp

⑸ 安装PPTPD:

① 安装wget:

#yum install -y wget

② 添加EPEL源:

#wget http://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpm

③ 安装EPEL源:

#rpm -ivh epel-release-latest-7.noarch.rpm

④ 检查源:

#yum repolist

⑤ 更新源列表:

#yum -y update

⑹ 设置虚拟专用网络内网IP地址段:

#vim /etc/pptpd.conf

将以下两行前面的#号删掉,配置虚拟专用网络内网的IP段,也可自行设置

localip 10.1.0.24 //虚拟专用网络服务器内网IP地址

remoteip 10.1.2.100-150 //虚拟专用网络连接IP地址段

clip_image007

⑺ 配置opptions.pptpd:

#vi /etc/ppp/options.pptpd

① 修改DNS(阿里DNS):

ms-dns 233.5.5.5

ms-dns 233.6.6.6

clip_image008

② 修改日志存放位置:

nologfd

logfile /var/log/pptpd.log

clip_image009

③ 加载AD验证模块,此处用于AD域账号认证,非常重要,复制到相应位置:

plugin winbind.so

ntlm_auth-helper "/usr/bin/ntlm_auth --helper-protocol=ntlm-server-1"

clip_image011

⑻ 设置虚拟专用网络本地账号(适合没有AD域环境的网友,因为我们用AD域账号登录虚拟专用网络,此处不用设置):

# vim /etc/ppp/chap-secrets

用户  协议  密码  IP规则

***user1 pptpd 123 * //*代表任意IP连接虚拟专用网络都可以

clip_image012

⑼ 添加转发策略:

在最下面添加:net.ipv4.ip_forward=1

#vim /etc/sysctl.conf

net.ipv4.ip_forward=1

clip_image013

#sysctl -p //输入命令,使其生效

⑽ 修改防火墙规则:

创建规则文件,并添加如下规则:

#touch /usr/lib/firewalld/services/pptpd.xml

#vim /usr/lib/firewalld/services/pptpd.xml

<?xml version="1.0" encoding="utf-8"?>

<service>

<short>pptpd</short>

<description>PPTP</description>

<port protocol="tcp" port="1723"/>

</service>

clip_image014

#systemctl  restart firewalld //重启防火墙

① 添加服务:

#firewall-cmd --permanent --zone=public --add-service=pptpd

② 允许防火墙伪装IP:

#firewall-cmd --add-masquerade

③ 开启 47和1723端口:

#firewall-cmd --permanent --zone=public --add-port=47/tcp

#firewall-cmd --permanent --zone=public --add-port=1723/tcp

④ 允许grep协议:

#firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -p gre -j ACCEPT

#firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 -p gre -j ACCEPT

⑤ 设置规则允许数据包由eth0 和ppp+接口中进出(此处注意自己网卡名称):

#firewall-cmd --permanent --direct --add-rule ipv4 filter  FORWARD 0 -i ppp+ -o eth0 -j ACCEPT

#firewall-cmd --permanent --direct --add-rule ipv4 filter FORWARD 0 -i eth0 -o ppp+ -j ACCEPT

⑥ 设置转发规则,从源地址发出的所有包进行伪装,改变地址,由eth0发出:

#firewall-cmd --permanent --direct --passthrough ipv4 -t nat -I POSTROUTING -o eth0 -j MASQUERADE -s 10.1.2.0/24

⑾ 开启转发规则:

转发规则有两种,在此我使用的是OpenVZ架构,在命令终端输入第二条命令:

① XEN架构:

#iptables -t nat -A POSTROUTING -s 10.1.2.0/24 -o eth0 -j MASQUERADE

② OpenVZ架构:

#iptables -t nat -A POSTROUTING -s 10.1.2.0/24 -j SNAT --to-source 111.198.18.XX   

//虚拟专用网络公网IP 要换成你服务器的IP 比如 111.198.18.XX

⑿ 编辑rc.local文件,添加转发规则:

① 给rc.local执行权限:

#chmod +x /etc/rc.d/rc.local

② 编辑rc.local文件:

在此使用的OpenVZ架构:

#vim /etc/rc.d/rc.local

iptables -t nat -A POSTROUTING -s 10.1.2.0/24 -j SNAT --to-source 111.198.18.XX

#systemctl restart rc-local

⒀ 重启服务,并设置开机启动:

#systemctl restart pptpd ; systemctl enable pptpd

#firewall-cmd –reload

⒁ 查看PPTPD服务:

#ps -aux |grep pptpd

clip_image018


2. H3C MSR36-20路由器设置NAT端口映射(其他品牌自行百度):

[H3C]sys

[H3C]interface GigabitEthernet 0/2

[H3C]nat server protocol tcp global 111.198.18.XX 1723 inside 10.1.0.24 1723

[H3C]exit

[H3C]save f

[H3C]dis nat all //查看所有nat

clip_image021



四. 客户端虚拟专用网络连接测试(此处略过配置过程,上一些测试图片):

通过虚拟专用网络连接,可以连接网盘,PING通DC主机。

1

360截图20191128124643644

360截图20191128124748680