7. Sicherheit - eine schlechte und eine gute Nachricht

Die schlechte Nachricht: Auch SAMBA ist hin und wieder gut für Überraschungen.

Daher ist es notwendig, sich über die Sicherheit seiner Konfiguration Gedanken zu machen. In so mancher kleinen Firma werkelt ein SAMBA gleichzeitig mit anderen Diensten auf einem Gateway zum Internet, und nicht nur in kleinen, wie ich aus eigener Erfahrung weiß.

Daß das nicht optimal ist, liegt auf der Hand. Andererseits will man nicht immer Geld und Arbeit in 2 Systeme stecken. Kurz und gut: kann ja mal passieren.

Die gute Nachricht: auch sowas kann man weitestgehend sicher bekommen.

Erste Maßnahme sollte sein:

interfaces = eth0 192.168.1.1/24 lo
bind interfaces only = yes

Der nmbd lauscht allerdings weiter auf Broadcasts, verwirft jedoch Pakete mit fremder SRC. Um ganz sicher zu gehen, kann man mit iptables nachhelfen:

iptables -A INPUT -i ippp0 -p TCP --dport 137:139 -j --reject-with tcp-reset
iptables -A INPUT -i ippp0 -p UDP --dport 137:139 -j --reject-with icmp-port-unreachable

7.1 Und wer SMB via Internet anbieten will?

Der sollte sich das nocheinmal überlegen. Eine einfache Alternative wäre SSH/SCP, eine umfangreichere Variante wäre ein VPN.