Change password via web

Setelah kirim ke semua user tentang keharusan ganti password setiap 100 hari dan juga cara ganti password di Linux client maupun di Windows client (join domain), muncul beberapa komplain. Pengguna notebook yang umumnya menggunakan Windows tidak bisa melakukan pergantian password. Hal ini dikarenakan Windows OS tidak join di domain Samba.

Selain hal itu, pengguna notebook (karena tidak join domain) tidak akan mendapatkan menu pergantian password secara otomatis. Tapi mereka bisa menikmati reminder via email kalo passwordnya mau expired. Cek artikel gue sebelum ini.

Waktunya obok-obok internet. Akhirnya dapat solusi yang paling mudah. Yaitu pergantian  password via web. Dan gue bisa nemukan webldappasswd untuk keperluan ini. Program yang simple banget tuh. Dan emang mungil juga ukurannya.

Cukup install apache dan php5 di server tempat LDAP server berada. Extract file webldappasswd_20060329.tar.gz ke dalam directory /var/www. Selanjutnya edit file ldap.php dan rubah 2 parameternya:

$ldapPasswd    = '/usr/bin/ldappasswd';
$ldapFullUsername = "uid=$userLogin,ou=Users,dc=mydomain,dc=com";

Yang belon ada file "/usr/bin/ldappasswd", silakan install paket ldap-utils dari repo. Selanjutnya tinggal arahin browser ke alamat:

http://myldap.mydomain.com/webldappasswd

Sekarang semua client bisa ganti password dengan leluasa.

Password reminder

Gue mau menerapkan rutinitas ganti password. Dan ini penting di network gue. Karena sebelumnya dengan netware server, semua user diberi blank password. Dan bertahun-tahun nggak pernah diganti. Aneh kan? Tapi itulah yang terjadi. Dan itu kecurigaan gue kenapa mail server lama pernah di obok2 orang dari internet.

User akan langsung menikmati proses pergantian password. Setiap 100 hari, baek client Windows maupun Linux akan langsung disodorin proses ganti password. Dan ini nggak jadi masalah.

Problemnya user suka lupa saja. Setelah weekend atau beberapa libur dari kerja, ternyata accountnya udah nggak bisa dipake lagi. Alias sudah non aktif karena lupa ganti password. Dan seperti biasa mereka akan lapor ke MIS untuk bantu di resetin password.

Dari beberapa solusi bagus, akhirnya gue pilih password reminder. Sekitar 28 hari sebelum passwordnya expired, email peringatan akan langsung terkirim ke mailbox mereka. Dan ini lebih gampang ngeceknya. Karena kita sebagai admin juga dapat list user yang passwordnya bakal expire atau udah expire setiap minggunya.

Cukup gunakan software passwd_exp untuk melakukannya. Karena mail server udah tersambung ke LDAP server, akhirnya gue install di mail server. Tinggal compile dan install "Text-Tokenizer" dari website yang sama, lalu compile dan install "passwd_exp" juga.

tar zxvf Text-Tokenizer-0.4.2.tar.gz
cd Text-Tokenizer-0.4.2
perl Makefile.PL
make
make test
make install

tar zxvf passwd_exp-1.2.10.tar.gz
cd passwd_exp-1.2.10
./configure
make
make install

Software ini langsung menginstall scheduler di cron. Secara harian akan check password yang hampir expired (minimal 28 hari sebelumnya). Dan mingguan akan check semua user dan listnya dikirim ke administrator. Configure aja di passwd_exp.conf.

/usr/local/etc/passwd_exp/passwd_exp.conf:
module                = shadow.linux
module opt[getent]    = 1
module opt[host]      = myserver.mydomain.com
module opt[shell]     = 1
module opt[uid_min]   = 30000
module opt[uid_max]   = 40000

Untuk check manually di console, cukup lakukan perintah ini:

# passwd_exp -l

Generate otomatis Logon script di Samba

Sebenernya idenya udah dari tahun lalu pengen bikinnya. Tapi karena melihat keadaan user sini yang nggak terlalu komplek waktu itu, cukup bikin 1 departemen 1 macem logon script saja. Dan MIS udah terbiasa dengan hal ini. Maklum, mereka baru kenal Linux. Banyak nggak taunya kalo sebenernya server Linux bisa di customize untuk kebutuhan macem-macem. Dan kali ini loe akan liat hasilnya ;-)

Setelah baca artikel Vavai (link), baru inget lagi. Dan tepat juga dengan keluhan beberapa bos sini. Mereka pengen akses di banyak departemen folder. Maunya semuanya langsung muncul seperti Linux user. Well ... Ubuntu (Gnome) client di sini menikmati logon script juga loh :-D Sekali login ke Gnome, semua folder di server NFS langsung terbookmark otomatis. Baca deh artikel gue tentang ini (link).

Karena mulai banyak user yang maunya akses beberapa folder departemen laen, mau nggak mau harus cari solusi. Setelah baca-baca "samba-doc" muncul ide juga. Sayangnya contoh logon script yang di generate pake Python dan Perl. Dan gue nggak ngerti tuh ke 2 bahasa itu. OK, no problem deh. Pake scripting yang laen juga bisa di Linux. Karena dikit-dikit tahu tentang Bash, akhirnya gue pilih Bash script saja. Dan berhasil :-D

Kondisi sharing di server (Samba)

Setiap user disini, akan langsung menikmati folder-foldernya di server:

1. Personal (masing-masing username dapat folder sendiri)
   Default Samba pake nama [home], tapi sengaja gue ganti nama sharenya.
   
2. Department (semua user di departemen yang bisa akses)
   
3. Public (Semua user bisa baca, hanya perdepartemen yang bisa baca/tulis)
   
4. Software (software for Linux/Windows untuk kebutuhan MIS support ke client)
   
5. Temp (Temporary folder)

Untuk No.1,3,4,5 setiap user akan menikmati mapping folder ini. Kendala munculnya di no.2 di atas. Ada user yang maunya akses folder ke 3 departemen. Padahal logon scriptnya udah kita set ke default department. Mau nggak mau, MIS akan mount manual di Windows. Dan ini akan jadi masalah, saat user pake komputer laen departemen selain default nggak muncul lagi.

Pake logika yang sama seperti bikin script untuk Gnome, disini ada perbedaan cara kerja. Windows client memiliki fasilitas logon script saat udah join ke Windows/Samba server. Jadi tanpa perlu nambah apa-apa di client. Murni generate script dan deteksi group semuanya dilakukan di server Linux/Samba. Sama skali tanpa perlu nambah software di client.

Bandingkan dengan Ubuntu/Gnome client di artkel sebelumnya (link). Script emang ada di NFS server. Tapi setiap user login via GDM, script di server tersebut harus di load. Jadi autostart programnya akan bermanfaat disini. Cukup buat 1 shortcut yang sangat simple dan copy ke semua client Ubuntu. Siapapun yang login ke Ubuntu client, shortcut itu akan meload script di NFS server dan langsung folder di NFS akan terbookmarks di File Browser (Nautilus). Solusi beres. Baca artikel di link atas selengkapnya.

Konfigurasi Samba

Ini konfigurasi di Samba server. Terutama bagian yang berkaitan dengan netlogon saja yah:

[global]
logon script = %U.bat

[netlogon]
path = /samba/netlogon
writeable = no
guest ok = no
root preexec = /usr/local/bin/genlogonscript.sh %U
root postexec = rm -f /samba/netlogon/%U.bat

Dan ini adalah script bash untuk mengenerate logon scriptnya. Yang harus di simpan ke /usr/local/bin/genlogonscript.sh dan buat jadi executable. Kalo ragu copy paste, bisa ambil salinan script ini di dropbox gue (link).

#!/bin/bash
# Logon script generator using Bash
# created by Lutfi <lutfi.arab@gmail.com> @2009
#
# Requirement software:
# - tofrodos
#
# Limitation:
# - ldap group have to same with department folder
# - mapping drive from drive L until drive Y
#
# define your server here

servername=SAMBASVR
logonscriptdir=/samba/netlogon
logonscript=$logonscriptdir/$1.bat
user=$1

# starting to generate logon script
# set time on client
echo "NET TIME \\\\$servername /SET /YES" > $logonscript

# delete old mapping
drive=( J K L M N O P Q R S T U V W X Y )
for (( i=0; i<${#drive[@]}; i++ )); do
echo "NET USE /DEL ${drive[$i]}:" >> $logonscript
done

# map personal folder
# default samba using \\<samba-server>\<username>
echo "NET USE J: \\\\$servername\\PERSONAL" >> $logonscript

# map public folder
echo "NET USE K: \\\\$servername\\PUBLIC" >> $logonscript

# map department folder
drive=( L M N O P Q R S T U V W )
let driveno=-1

for i in `/usr/bin/groups $user` ;
do
for j in `/bin/ls /samba/department/` ;
do
if [ $i == $j ] ; then
let driveno++ ;
echo "NET USE ${drive[$driveno]}: \\\\$servername\\$i" >> $logonscript ;
fi ;
done ;
done

# map software folder
echo "NET USE X: \\\\$servername\\SOFTWARE" >> $logonscript

# map temp folder
echo "NET USE Y: \\\\$servername\\TEMP" >> $logonscript

# add space here
echo >> $logonscript

# convert text to dos format
cd $logonscriptdir
/usr/bin/unix2dos $logonscript
/bin/chmod 644 $logonscript

#finishing
exit

Contoh hasil generate

Misal generate logon script untuk gue, bisa di cek dulu gue masuk groups apa nih? Oya, gue pake sambldap-tools. Jadi groups udah ada di LDAP dan udah terintegrasi dengan sistem. Tapi kalopun nggak pake LDAP server (murni samba), script ini tetep bisa. Karena deteksi groups gunakan sistem Linux. Misal nih gue masuk groups apa aja:

root@sambasvr:~# su lutfi
lutfi@sambasvr:/root$ groups
Domain Users Domain Admins Administrators mis management

Jadi gue masuk di groups (department): "mis" dan "management". Dan ke dua groups ini punya folder di /samba/department. Group yang laen (Domain Users, Domain Admins dan Administrators) adalah default groups dari Samba. Yang mana nggak ada foldernya. Jadi ini akan diabaikan. Jadi untuk yang ini, jangan punya folder department bernama: Domain, Admins, Administrators dan Users. Inget yah!

Berikut contoh hasil script yang di generate:

root@sambasvr:/samba/netlogon# cat lutfi.bat
NET TIME \\SAMBASVR /SET /YES
NET USE /DEL J:
NET USE /DEL K:
NET USE /DEL L:
NET USE /DEL M:
NET USE /DEL N:
NET USE /DEL O:
NET USE /DEL P:
NET USE /DEL Q:
NET USE /DEL R:
NET USE /DEL S:
NET USE /DEL T:
NET USE /DEL U:
NET USE /DEL V:
NET USE /DEL W:
NET USE /DEL X:
NET USE /DEL Y:
NET USE J: \\SAMBASVR\PERSONAL
NET USE K: \\SAMBASVR\PUBLIC
NET USE L: \\SAMBASVR\mis
NET USE M: \\SAMBASVR\management
NET USE X: \\SAMBASVR\SOFTWARE
NET USE Y: \\SAMBASVR\TEMP

Laen-laen

Script ini akan gunakan drive mapping mulai drive J sampe drive Y. Jadi kalo butuh manually mount, sebaiknya jangan gunakan drive itu. Karena setiap login akan di diskonek dan di bikin drive mapping baru.

See pren, dengan Linux semua jadi bisa kan;-)

Sharing folder/printer client Linux untuk client Windows

Kali ini gue bahasa gemana cara paling mudah untuk sharing folder atau sharing printer client Linux untuk client Windows. Sorry, ini bacaan untuk MIS/IT di perusahaan. Bukan untuk user biasa yah. Karena memang ini cocok diterapkan di jaringan komputer dalam perusahaan. Terutama yang ada client Linux atau client Windowsnya.

Semua client Linux (Ubuntu) disini menggunakan NFS+LDAP. Sedangkan client Windows menggunakan Samba+LDAP. Keduanya sudah tersambung ke LDAP dengan baek. Sekarang gemana sharing printer dan folder di client Linux untuk client Windows? Itu akan gue bahas disini.

Sharing printer

Semua client Linux sharing printernya menggunakan CUPS. Sama sekali nggak pake Samba. Ngapain sharing printer pake Samba? CUPS jauh lebih mudah dari teknologi Windows. Check link ini yah untuk tahu detailnya.

Sharing folder

Hal laen yaitu sharing folder client Linux agar bisa diakses client Windows. Gue pernah singgung artikel beberapa bulan yang lalu tentang nautilus-share di link ini yah. Nah ini yang gue pake. Sorry, gue nggak mau ribet ajarin setting Samba secara lengkap panjang lebar ke MIS. Karena mereka masih baru. Dan terus terang itu nggak simple kan? Jadi solusi dengan nautilus-share akan simple untuk mereka.

Walau hampir semua user menyimpan data di server, solusi seperti harus gue sediakan. Karena dengan user sekitar 400 orang, pasti nggak semuanya ngikutin aturan. Dan itu ternyata ada. Tapi sudah kita tegasin, resiko hilang data di client, kita nggak bisa restore. Kalau data di server hilang, kita bisa restore dari backupnya.

Nautilus-Share

Karena setiap client Ubuntu Linux menggunakan NFS+LDAP, ini contoh saja. Home folder gue sendiri. Fokuskan di permission dan ownershipnya.

root@lutfi:~# ls -l /home/lutfi/
total 1740
-rw-rw-r--  1 lutfi Domain Users   8781 2008-11-28 07:39 todo.txt
-rw-rw-r--  1 lutfi Domain Users   3229 2008-10-29 13:27 avahi.txt
drwxrwxrwx  3 lutfi Domain Users   4096 2009-03-11 16:31 Desktop
drwxrwxr-x 24 lutfi Domain Users   4096 2009-03-09 09:59 Documents
drwxrwxr-x 18 lutfi Domain Users   4096 2009-02-23 08:09 Downloads

Jelas dari hasil di atas, group ownership adalah "Domain Users". Ini karena gue buat LDAP server pake smbldap-tools. Yang hasilnya LDAP server bisa digunakan untuk otentikasi terpusat. Dipake untuk Samba dan semua client Ubuntu. Semua client Ubuntu akan masuk dalam group "Domain Users".

Dan masing-masing home folder, ini listnya:

root@lutfi:~# ls -l /home/
total 16
drwxr-xr-x 120 lutfi    Domain Users 12288 2009-03-11 16:17 lutfi
drwxr-xr-x  32 sysadmin sysadmin      4096 2009-02-23 09:19 sysadmin

User "sysadmin" itu di create waktu install Ubuntu. Levelnya root (administrator) tentunya. Jadi bisa gunakan sudo dengan user ini. Sedangkan user "lutfi" hanya sebagai user saja. Tidak bisa gunakan sudo. Jadi tidak bisa melakukan fungsi-fungsi root.

Jadi jelas disini, untuk melakukan perubahan sistem, harus gunakan user "sysadmin". Termasuk untuk melakukan share dengan nautilus-share, gunakan login "sysadmin". Karena login user masing-masing tidak akan diijinkan.

Untuk install nautilus-share, lakukan ini:

sudo apt-get install nautilus-share samba libpam-smbpass

Setting nautilus-share sebenernya nggak beda sama Samba. Cuman udah dibuat sesimple mungkin. Ini contoh settingnya default dari Ubuntu Linux 8.04 LTS:

root@lutfi:~# cat /usr/share/doc/nautilus-share/examples/smb.conf

[global]
workgroup = HOME
security = share

usershare path = /var/lib/samba/usershare
usershare max shares = 100
usershare allow guests = yes
usershare owner only = yes
wins support = no

Dengan memperhatikan permission dan ownership tadi, sekarang kita akan rubah setting defaultnya seperti ini dan simpen ke /etc/samba/smb.conf.

root@lutfi:~# cat /etc/samba/smb.conf

[global]
workgroup = DOMAINKU
security = share

usershare path = /var/lib/samba/usershares
usershare max shares = 100
usershare allow guests = yes
usershare owner only = yes
wins support = no
force group = "Domain Users"
force create mode = 0664
force directory mode = 0775

Oya, ada sedikit bug di sini. Pada bagian "usershare path" defaultnya adalah "/var/lib/samba/usershare". Ganti menjadi "/var/lib/samba/usershares" (hanya menambah satu hurus S saja).

OK. Restart aja service Samba. Dan ready untuk digunakan. Ingat, harus login dengan "sysadmin" dan silakan share folder. GUI untuk sharenya sesimple Windows. Klik kanan foldernya, lalu klik "Sharing options".

Umask penting juga

Client Linux sangat berkaitan dengan umask dalam melakukan penulisan/perubahan baek file dan directory di system. Secara default umask=022. Dan nilai itu akan menjadi masalah kalau menginginkan sharing folder dengan user laen. Baik user Linux laen (dengan NFS) ataupun dengan user Windows. Gue nggak mau jelasin panjang lebar hal ini, tapi ada baeknya dirubah menjadi umask=0002. Silakan rubah di file /etc/profile tentunya root/admistration yang bisa merubah ini.

Spread to all client

Ubah umasknya, copy /etc/samba/smb.conf filenya, install paketnya. Ready deh. Semua client bisa sharing dengan mudah. Tentunya, hanya untuk MIS/IT deh.

Goodluck pren

Pengganti Logon Script di Ubuntu Linux (Gnome)

Satu fasilitas yang sangat memudahkan user Windows mengakses file di server Windows adalah logon script. Biasanya diletakkan di server Windows. Dan setiap client Windows yang sudah join domain, ketika login ke domain tersebut akan menjalankan logon script ini. Semua folder yang diberikan akan langsung muncul di My Computer sebagai map folder.

Fasilitas seperti ini akan sangat memudahkan user Windows mengakses data di server. Sayangnya ini teknologi Windows. Hanya bisa digunakan untuk client Windows dengan server Windows (atau server Linux dengan Samba). Gemana client Linux (terutama Gnome) dengan server Linux (menggunakan NFS)?

Di Linux ada namanya automount (paket autofs). Tapi ini jelas beda. Autofs di mount sebelum user login. Sedangkan logon script di Windows akan dijalan setiap user login. Beda user bisa aja beda logon script. Jadi mapping foldernya akan beda lagi.

Karena NFS udah dimount di salah satu folder. Semuanya biasanya akan jawab, nggak terlalu perlu fasilitas seperti itu. Bener juga. Sayangnya gue nemukan kendala di Linux dengan knowledge user. User yang masih baru. Dan hanya tau menggunakan OpenOffice.org saja. Setelah pegang Linux, gue nggak yakin mereka tau menggunakan File-Browser (Nautilus) dengan baek. Apalagi struktur directory Linux yang jelas beda sama Windows.

NFS diretory

Semua kebutuhan user sebenernya ada di directory /server. Jadi di setiap komputer udah termount NFS ke directory itu melalui file /etc/fstab.

server.mydomain.com:/ /server nfs4 rsize=8192,wsize=8192,timeo=14,intr 0 0

Ada 5 folder dalam directory /server. Dengan struktur seperti ini:

/server/
+ personal/[username]/
+ division/[departement_name]/
+ netlogon/
+ pubic/[department_name]/
+ software/
+ temp/

Untuk memudahkan mereka, beberapa map folder yang selalu mereka dapatkan waktu masih pake Windows, akan digantikan dengan bookmark (gtk-boormarks yang ada dalam File-Browser/Nautilus). Tentu saja, dulunya kita lakukan secara manual waktu install Ubuntu Linux. Berikut beberapa folder dari NFS yang kita bookmark:

• Folder personal (base on username)
• Folder departemen (base on departemen name)
• Folder public (semua user bisa read, tapi read/write hanya pada folder departemennya)
• Folder software (semua user bisa read, hanya MIS bisa read/write)
• Folder temp (semua user bisa read/write)

Kendala muncul dengan bookmark ini. Karena banyak komputer yang dipake lebih dari satu user. Bahkan user laen bisa saja pinjem komputer Linux di dekatkan untuk akses datanya di server. Dan karena bookmark manually hanya user tertentu, user baru yang login ke Ubuntu Linux nggak akan nemukan bookmarks tentunya. Mau nggak mau mereka akan kontak MIS. Dan tanya dimana yang di server? Kenapa nggak muncul di bookmarks seperti user laen?

Resiko ini yang pengen kita kurangin. Gemana caranya user bisa login ke Ubuntu Linux, dan bookmark akan langsung muncul secara otomatis. Seperti client Windows lah. Login apa saja usernamenya, map folder dari logon script akan langsung muncul di My Computer. Ini jelas-jelas akan menghemat banyak waktu untuk mereka. Apalagi bookmarks ini akan slalu muncul di hampir semua aplikasi Gnome (Ubuntu). Terutama pada OpenOffice.org yang selalu mereka gunakan tiap hari.

Autostart untuk system

Umumnya user akan menambahkan autostart di menu System - Preferences - Sessions. Tapi penambahan disini hanya untuk user yang aktif. Agar scriptnya bisa diload di semua login user, bisa ditempatkan di /etc/xdg/autostart. Misal dengan nama file "makebookmarks.desktop".

$cat /etc/xdg/autostart/makebookmarks.desktop

[Desktop Entry]
Type=Application
Encoding=UTF-8
Version=1.0
Name=Make Bookmarks Script
Name[en_US]=makebookmarks
Exec=/server/netlogon/makebookmarks
X-GNOME-Autostart-enabled=true
OnlyShowIn=GNOME;

Dengan file makebookmarks.desktop ini, script /server/netlogon/makebookmarks akan diload setiap kali user login. Kalau bookmarks ada yang hapus, akan digenerate lagi.

The script

Kalo diliat dari file .desktop tadi, scriptnya di /server/netlogon/makebookmarks. Jangan lupa set permission 755 agar script bisa dijalankan. Dan file ini ada di server yah. Jadi cukup 1 files aja. Perubahan file ini akan efek ke semua user. Itu yang perlu diingat.

Adapun bookmarks di Gnome (Ubuntu) biasanya disimpan di $HOME/.gtk-bookmarks. File ini akan digenerate otomatis saat pertama kali create/add user. Tentu saja jika belum ada file .gtk-bookmarks di home folder. Dan default bookmarksnya untuk Ubuntu 8.04 LTS (Hardy Heron) adalah:

• Documents
• Pictures
• Music
• Videos

Tapi kalo udah ada file .gtk-bookmarks, Gnome tidak akan generate lagi. Jadi karena kita pengen generate sendiri, sebaiknya ke 4 bookmarks default di atas disertakan kalo emang perlu. Berikutnya baru generate bookmarks untuk folder-folder di NFS.

Hal laen, semua client Ubuntu disini tersambung ke LDAP. Jadi semua usernamenya dari LDAP. Kecuali satu username "sysadmin" yang local (bukan dari LDAP). Yang biasanya ditanyakan waktu installasi. Login dengan username sysadmin, tentunya akan langsung menjalan script ini juga. Karena sysadmin hanya untuk MIS configure client (bukan untuk akses server), script ini akan menghentikan operasinya. Dan Gnome akan mengenerate bookmarks default saja.

Yang butuh scriptnya, silakan download disini. Di dropbox gue nih (link).

Hasilnya di File Browser (Nautilus):



Dan open dialog OpenOffice.org



Goodluck pren

Migrasi data dari server Netware ke server Linux

Salah satu bagian yang butuh banyak waktu disini adalah mengganti Netware server 5.1 ke Ubuntu server (Linux). Kalau sebelumnya dengan Netware server, semua client menggunakan Windows. Sekarang sejak menggunakan Linux server, client ada 2 jenis OS (Windows dan Ubuntu Linux). Dalam artikel sebelumnya juga udah gue bahas gemana server Linux bisa menangani ke 2 jenis client dengan gunakan Samba+LDAP dan NFS+LDAP. Jadi disini gue akan jelasin cara yang kita untuk pindahin data dari Netware server ke Linux server.

Persiapan pemindahan data

Setiap departemen kita harus tahu list email addressnya. Ini penting karena semua tersambung LDAP. Patokannya pake email address saja. Jadi tentu semua username harus sama seperti email address. Ini berarti semua komputer punya mailbox? Betul skali.

Management nggak mau awalnya. Tapi gue jelasin, justru penting semua komputer ada mailbox. Karena udah ada networking masih juga pada pake USB flashdisk. Ini sangat beresiko. Karena USB flashdisk sumber virus saat ini. Dengan adanya mailbox, mereka bisa saling kirim dokumen ke user laen. Dan MIS nggak perlu ribet lagi. Karena adanya virus yang di bawa dari rumah. Tapi harus diinget satu hal, hampir semua mailbox itu hanya local saja. Alias tidak bisa kirim/terima di internet. Kecuali mailbox yang email tetep dibuka untuk kirim/terima dari internet.

Perbedaan account di Netware dan di Linux server jelas beda. Karena Netware tidak bisa menggunakan titik (dot). Jadi username di Netware jelas beda dengan email address yang kebanyakan disini menggunakan titik (dot). Oya, mereka sudah memiliki email address di Linux server. Jadi semua user punya 2 username:

• username dari Netware untuk login ke Netware client
• username dari mail server untuk download email

Karena tujuan kita menggunakan 1 username dan 1 password untuk semua service, maka patokan email address yang akan kita gunakan. Jadi di server LDAP, pembuatan account baru harus menggunakan email address yang udah ada. Dan MIS udah membuat semua account di LDAP. Samba/NFS juga udah tersambung ke LDAP server ini.

Sekarang untuk pemindahan 1 departemen, salah satu MIS akan cek planning migration untuk departemen itu. Akan cek skali lagi dari plan yang udah kita bikin sebelumnya.

• Update database komputer (sapa tau ada perubahan)
  
• List semua username dan email juga netware accountnya
  
• Komputer mana yang bakal pake Windows (termasuk juga alasan kenapa tetep pake Windows) dan mana yang bakal pake Linux
  
• Send email ke departemen itu (semua user dan manajernya) memberi tahukan esok hari after lunch akan ada proses pemindahan data ke server baru
  

Pemindahan data dari Netware ke Linux server

Pemindahan disini dalam arti di salin yah. Gue nggak mau data di Netware dihapus. Untuk jaga-jaga, data di Netware harus tetep ada. Walau nggak di akses oleh user lagi. Mungkin setelah 3 bulan nggak ada yg pake, bisa deh di shutdown untuk selamanya.

Dari hasil pengecekan ke departemen yang mau kita threat, salah satu MIS yang dapat jatah pegang Linux server akan melakukan cek beberapa hal di Netware server :

• Cek semua usename
  
• Cek folder masing-masing username
  
• Cek folder departemen
  
• Cek beberapa folder public milik departemen
  

Ini hanya untuk mastikan list itu udah bener adanya. Selanjutnya akan lanjut pengecekan di Linux server:

• Cek semua usename
  
• Cek folder masing-masing username
  
• Cek folder departemen
  
• Cek beberapa folder public milik departemen
  
• Pembuatan share folder di smb.conf
• Pembuatan login script
• Penambahan printer departemen itu ke CUPS server
  

Proses selanjutnya adalah menyalin data menggunakan rsync. Karena MIS baru beberapa bulan kenal Linux, gue usahakan untuk mengurangi faktor kesalahan dengan menggunakan script. Tentunya setelah proses pengecekan diatas.

Novel Netware termounting ke directory /netware. Agar permanen, masukkan ke /etc/rc.local seperti ini:

/usr/bin/ncpmount -S tree -A servername.domain -U admin.domain -p cp874 -y utf8 -P password -V VOL_A /netware -o ro

Oya. Server Netware sini banyak menyimpan Thai character di namafile dan foldernya. Jadi konversi dari encoding TIS620 (-p cp874) ke UTF8 (-y utf8) sangat penting. Juga gue mounting gunakan adminnya Netware. Biar bisa akses semua files. Walau hanya ro (read only) saja. Demi keamanan agar datanya jangan sampai terhapus. Murni cuman untuk salin data saja.

Sedangkan script Bash untuk rsync yang udah gue sediakan. Yang butuh silakan salin dari public folder dropbox gue.

Setiap departemen punya banyak user, dengan satu departemen/divisi folder dan beberapa public folder. Dan ini tercover dalam script diatas. MIS cukup lengkapin bagian atas script, lalu jalankan di sore hari. Biasanya running bisa 3-6 jam. Lama boo. Karena emang datanya banyak. Jadi tengah malem udah tersalin semua data departemen itu.

Esok siangnya, after lunch MIS akan lakukan hal berikut:

• Disable akses Netware dari departemen yang akan di threat
  
• Jalankan script itu sekali lagi untuk dapatkan update data (yang mungkin berubah dipagi-siang hari). Dan kali ini cuman butuh waktu 5-10 menit saja.
  
• Selanjutnya beberapa MIS akan menuju ke departemen itu dan mulai threat client

Joining client Windows ke server Linux

Client Windows bisa langsung join ke Samba server dan remove Netware client software. Semua mapping yang disediakan Samba server, sama seperti mapping di Netware client
software. Jadi Windows XP client akan nemukan semua mapping drive beserta datanya sebelumnya. No lost ...

Yang paling menyebalkan disini, proses ganti domain di XP. Adalah utility "Files and Settings Transfer Wizard" bawaan Windows XP bener-bener lelet. Bayangkan kalau email user sampe 20-30GB. Waktu backupnya akan berjam-jam. Dari pengalaman di minggu pertama, akhirnya ketemu cara yang lebih simple mindahin profiles Windows. Tapi tetep aja menyebalnya. Karena di Linux mindahin profiles sangat sangat sangattttt simple :-D

Dan juga dengan join client XP ke Samba, semua username kita usahakan tidak gunakan level Administartor lagi. Hampir semua user yang dulu bebas install apa aja, sekarang udah nggak berkutik lagi. Sayangnya, rata-rata software Windows nggak bisa ngikutin kebiasaan ini. Sehingga beberapa software nggak bisa jalan karena butuh level Adminstrator. Sialan banget deh. Dan sialnya software-software yang nggak ngikutin adat security ini, banyak banget. Sama seperti tradisi M$ yang nggak mau ikut standart. Seperti itulah :-D

Migrasi client dari Windows ke Linux

Migrasi client dari Windows ke Linux juga perdepartemen. Hampir
semua departemen sudah ada jatah lisensi XP+MS.Office. Sisa dari jatah
itu, yang udah kita planning untuk menggunakan Ubuntu Linux, langsung
di kerjakan. Simple aja:

1. Masih dengan Windowsnya, migrate email ke Thunderbird for Windows
2. Backup Thunderbird profile dan Document folder ke external harddisk
3. Clone Ubuntu Linux dari server ke local harddisk (5-10 menit only)
4. Login gunakan username milik user (via LDAP)
5. Restore Thunderbird profiles dan Documents folder
6. Lanjut beberapa setting tambahan
7. Ready di kirim ke client

Itulah proses yang kita kerjakan sampe saat ini. Dan masih belon kelar juga. Karena emang sedang berjalan sampe detik ini. Tapi yakin deh. Kerja keras itu pasti ada hasil.

Backup LDAP server daily

Melihat kondisi MIS sini yang awalnya emang nggak terlalu tau Linux, gue berusaha cari ide. Gemana jika mereka operate server, akan tetep aman-aman saja resikonya. Coba bayangin nih. Mereka terbiasa bertahun-tahun pake Windows server dan Netware. Emang sih pake mail server redhat, tapi hanya untuk add user saja. Tanpa pernah delete user loh :-D Ya sejauh itu kemampuan mereka. Karena yang bikin server itu dah lama resign.

Sekarang hampir semua server dah berganti ke Ubuntu Linux 8.04 LTS. Dan gak cuman add user. Lebih komplex dari itu. Alias full kemampuan Linux kita pake. Kalo gue dah bertahun-tahun pake Linux tau resikonya jika salah jalanin perintan. Gemana dengan mereka yang masih baru? Pernah nggak bayangin jalanin perintah tapi salah tulis? And apa tuh efeknya ke sistem? :-D

Semua Ubuntu disini tersambung ke LDAP server. Juga Samba/NFS yang provide sharing folder yang sama. Akhirnya setelah cari ide, ternyata simple aja untuk kondisi ini. Gue harus slalu backup. Mereka slalu gue arahin ke penggunaan console. Jadi resiko salah perintah itu kadang-kadang terjadi. Tapi karena ada backup LDAP, kesalahan itu bisa gue atasin dengan restore aja. Juga sharing folder Samba/NFS, backup data akan penting disini.

Jadi kali ini gue akan bahas backup LDAP server. Dan next artikel gue bahas backup Samba/NFS dengan rsync. Simple banget. Tapi akan sangat berguna kalo ada hal buruk terjadi. Well... mereka itu manusia. Jadi kadang salah itu normal. Gue aja juga pernah salah tulis perintah. Apalagi yang masih baru :-D

How to backup

Semua account berada di LDAP server. Sekitar 500 user and group. Semuanya di kerjakan via console. Dan untuk membackupnya cukup simple. Oya, Ubuntu/Debian kasih utility untuk backup LDAP server. Coba aja check file /usr/share/doc/slapd/examples/slapd.backup. Cuman gue kurang cocok aja. Karena backup slalu disimpan ke directory /var/backups/slapd. Tanpa ada historynya.

Jadi gue bikin script sendiri untuk di cron tiap malem. Dan backupnya ada historynya:

/<path>/<tahun>/<bulan>/<tanggal>/<backup-filename>

Misal untuk backup LDAP tanggal 31 Desember 2008 akan disimpan disini:

/svr/backup/slapd/2008/12/31/slapd.tar.gz

Utilty untuk ngebackupnya cukup pake "slapcat" aja. Coba aja command ini di server yang running primary slapd service:

sudo slapcat

Semua outputnya adalah isi dari LDAP server. Simple kan? Sekarang giliran scriptnya:

#!/bin/bash
# Definition of backup directory and backup filename
backupdir="/svr/backup/slapd/"
filename="slapd.tar.gz"
# backup process
backupdir2="$backupdir`date +%Y`/`date +%m`/`date +%d`/"
/bin/mkdir -p $backupdir2
cd $backupdir2
/usr/sbin/slapcat -l domain.com.ldif
/bin/tar zcvf $filename domain.com.ldif
/bin/rm -f domain.com.ldif
echo "Backup SLAPD save on $backupdir2$filename"

Simpan saja ke /etc/cron.daily agar dijalankan tiap hari. Jangan lupa, permission di set ke 755.

How to restore

Untuk restorenya simple juga. Pake utility "slapadd". Nih contohnya:

sudo /etc/init.d/slapd stop
rm -f /var/lib/ldap/*
tar zxvf /svr/backup/slapd/2008/12/28/slapd.tar.gz
sudo slapadd -l domain.com.ldif
sudo /etc/init.d/slapd start

Ready deh. Ok kan?

Mirroring LDAP server

Mirroring LDAP. Itu yang gue pake. Jadi setiap kali nambah account/group di LDAP server pertama, LDAP server ke 2 akan dapat juga updatenya. Ini penting banget. Karena gue butuh 2 LDAP server yang harus slalu online. Dan kedua samba PDC dan BDC mengarah ke 2 ldap server ini. Perhatiin LDAP backend di smb.conf yang gue pake:

passdb backend = ldapsam:"ldap://ldap.domain.com/ ldap://ldap2.domain.com/"

Ke dua LDAP server configurasinya sebaiknya sama. Terutama schema yang diincludekan dan juga index. Tambahkan module di kedua LDAP server:

moduleload syncprov

Bedanya hanya bagian untuk mirroring saja. Ini akan gue tuliskan bagian untuk mirroring aja. Di kedua configurasi LDAP server. Taruh aja bagian paling bawah (setelah access control).


LDAP Server pertama (masternya)

overlay syncprov
syncprov-checkpoint 100 10
syncprov-sessionlog 100


LDAP Server ke dua (mirrornya)

syncrepl rid=001
    provider=ldap://ldap.domain.com:389
    bindmethod=simple
    binddn="cn=admin,dc=domain,dc=com"
    credentials=<password>
    searchbase="dc=domain,dc=com"
    schemachecking=off
    type=refreshAndPersist
    retry="60 +"

mirrormode on


Jangan lupa, penambahan/perubahan account slalu masternya. Yang ke dua cuman mirrornya. Jadi "smbldap-tools" harus terinstall di masternya.

Goodluck

Ubuntu client dengan LDAP otentikasi

Di artikel sebelum ini, udah gue jelasin kalo gue gunakan LDAP server sebagai backend account untuk samba (dan tentu saja bisa sebagai backend account Linuxnya). Dokumentasi yang sangat bagus di paket "smbldap-tools" sangat memudahkan untuk membuatnya. Berikut ini gemana mensetting client Ubuntu untuk gunakan otentikasi dari LDAP.

Salah satu kemajuan di Ubuntu adalah mudahnya setting client untuk gunakan otentikasi LDAP. Ini akan gue jelasin dari terminal aja yah. Jadi loe yang mau setting Ubuntu server pun bisa juga.

Settingnya sebenernya ada 3 hal:

1. Configurasi /etc/ldap.conf dan /etc/ldap.secret agar Ubuntu tau LDAP server mana yang dipake
   
2. Configurasi PAM di /etc/pam.d agar username di LDAP bisa dipake login
   
3. Serta setting /etc/nsswitch.conf agar semua username & group di LDAP bisa terintegrasi di sistem

So... itu semuanya dulu paling ribet settingnya :-D Tapi meta paket "ldap-auth-client" disediakan untuk keperluan ini. Dan sekarang jadi lebih mudah saja.

Install aja paket "ldap-auth-client". Di dalamnya udah disertakan libnss-ldap juga beberapa paket laennya.

sudo apt-get install ldap-auth-client

Sehabis install paket itu, debconf langsung menanyakan beberapa hal berkaitan dengan libnss-ldap. Coba jawab aja seperti ini:

1. Should debconf manage LDAP configuration?
   Yes
2. LDAP server Uniform Resource Identifier:
   ldap://ldap.domain.com/ ldap://ldap2.domain.com/
3. Distinguished name of the search base:
   dc=domain,dc=com
4. LDAP version to use:
   3
5. Make local root Database admin:
   Yes
6. Does the LDAP database require login?
   No
7. LDAP account for root:
   cn=admin,dc=domain,dc=com
8. LDAP root account password:
   <your-ldap-password>
9. Local crypt to use when changing passwords:
   md5

Oya, gue di atas pake 2 LDAP server. Jaga-jaga aja. Kalo LDAP server pertama error, yang ke 2 bisa langsung gantikan. Laen kale gue bahas deh termasuk sinkronisasi ke 2 LDAP server itu. Sedangkan kalo abis setting merasa ada yang salah tulis or hal laen, coba ulang aja dengan command ini:

sudo dpkg-reconfigure ldap-auth-config

Pertanyaan itu semuanya hanya untuk generate /etc/ldap.conf (config LDAP client) dan /etc/ldap.secret (password LDAP). Selanjutnya config PAM dan NSSWITCH nggak perlu lakukan setting manual. Udah terinstall utilities "auth-client-config" yang menyertakan file sample configurasi.

Coba check ke dalam folder /etc/auth-client-config/profile.d/

ls -ls /etc/auth-client-config/profile.d/
total 16
4 -rw-r--r-- 1 root root  326 2008-04-10 05:27 acc-cracklib
4 -rw-r--r-- 1 root root 2202 2008-04-10 05:27 acc-default
4 -rw-r--r-- 1 root root  948 2007-09-21 02:13 ldap-auth-config
4 -rw-r--r-- 1 root root  610 2008-09-12 15:54 ldap-domain.com

cat /etc/auth-client-config/profile.d/ldap-auth-config
#
# Clients should be able to authenticate with this profile if following
# Network Authentication in the Ubuntu Server guide.  Please note that
# these settings are not suitable for sometimes disconnected (eg laptop)
# systems.  The example is taken from LDAPClientAuthentication at:
# https://help.ubuntu.com/community/LDAPClientAuthentication
#
[lac_ldap]
nss_passwd=passwd: files ldap
nss_group=group: files ldap
nss_shadow=shadow: files ldap
pam_auth=auth       sufficient   pam_ldap.so
    auth       required     pam_unix.so nullok_secure use_first_pass
pam_account=account    sufficient   pam_ldap.so
    account    required     pam_unix.so
pam_password=password   sufficient   pam_ldap.so
    password   required     pam_unix.so nullok obscure min=4 max=8 md5
pam_session=session    required     pam_unix.so
    session    required     pam_mkhomedir.so skel=/etc/skel/
    session    optional     pam_ldap.so
    session    optional     pam_foreground.so

Loe bisa pake file itu untuk configure PAM dan NSSWITCH-nya. Cara seperti ini:

sudo auth-client-config -a -p lac_ldap

Setelah restart, loe langsung bisa pake username dari LDAP server. Dan juga fasilitas auto create home foldernya.

Laen waktu pengen meresetnya (disjoint dari LDAP server), pake seperti ini:

sudo auth-client-config -a -r -p lac_ldap

Utility laen yang perlu loe pertimbangakan untuk mengurangi query ke LDAP server, loe bisa install pake "nscd" di client. Ini digunakan untuk mencache passwd, group dan hosts. Terutama untuk yang koneksi ke LDAP servernya pelan.

Goodluck pren

Service Samba dan NFS kerja bareng

Nggak terasa sudah 1 bulan proses migrate client. Dan udah mencapai 30 client using Ubuntu Linux 8.04 LTS Edition. Tentunya lumayan juga nih. Komplain yang masuk nggak terlalu berarti. Kebanyakan hal-hal simple yang udah gue tulis di blog ini. Dan karena udah gue coba di MIS selama 1 bulan sebelumnya, nggak ada perubahan berarti dari cloning image Ubuntu yang gue bikin.

Sekarang gue mo jelasin gemana 1 buah server dengan Ubuntu-Server 8.04 LTS edition gue gunakan untuk layanin semua user Windows and Linux. Dimana service ini sangat berarti dan saling berkaitan. Oya, pake Linux laen sama aja lah. Karena konsepnya emang sama.

Server Otentikasi

Pake paket "slapd" (openldap server). Tapi generate accountnnya gunakan "smbldap-tools". Sebenernya gampang banget. Coba baca file "/usr/share/doc/smbldap-tools/README.Debian.gz". Loe akan tau bikin LDAP server di linux itu gampang. Kalo butuh dokumentasi PDF nya, folder /usr/share/doc/smbldap-tools adalah tempatnya.

Dan ini penting karena semua server and client akan gunakan 1 username and 1 password aja. Baek itu client Linux dan client Windows. Simple aja untuk user. Tapi untuk administrator and programmer, well... kemudahan di user, terpusatnya security, itulah profesionalisme kita kan ;-)

Server Samba

Server ini akan layanin Windows client. Tentunya sambanya harus tersambung ke openldap server di atas. Sekali lagi, dokumetasi di file "/usr/share/doc/smbldap-tools/README.Debian.gz" akan sangat membantu.

Server NFS

Server ini akan layanin Ubuntu Linux client. Tau kan namanya NFS, paling simple banget settingnya. Nggak seperti setting Samba yang ribet dan acakaduk. Tapi urusan account/permission, NFS nggak mau tanggung jawab. Itu akan dihandle system.

Karena account di client and server harus sama. Itu artinya, loe harus pake NIS, NIS Plus atau LDAP. Dan openldap-server adalah pilihan gue. Server LDAP ini akan dipake semua server, client dan hampir semua service. Seperti otentikasi mail server, jabber server, web server, otentikasi CUPS, dan laennya.

Server DNS/DHCP

DNS lokal akan sangat bermanfaat. Karena gue butuh hostname semua client slalu terupdate DNS lokal. Ini karena gue nggak suka cara MIS hadalin ip address. Busyet... gue yang paling merana. Gue paling benci apalin angka :-D Kalo puluhan masih mending. Ini dah dekatin 400 ip address. Emangnya otak gue terbuat dari Intel core duo :-p

Jadi sekarang, DHCP auto update ke DNS udah berfungsi. Kalo ip gantipun, di DNS lokal slalu terupdate. Ganti hostnamepun akan sama terupdate. Efeknya sharing folder and sharing printer, cukup pake hostname. Dan ini lebih gampang and logis untuk diapalin. Juga hal-hal laen disini menggunakan hostname (from DNS). Bukan IP address.

Struktur directory dan ownership/permission

Ini struktur directory di server. Terutama folder /svr yang semua foldernya di share. Terdiri dari :

• Netlogon folder
  Hanya untuk Windows Client
• Personal folder
  Masing-masing username dapat 1 folder. Username berbeda nggak bisa akses
• Division folder
  Masing-masing division dapat 1 folder. Member dalam 1 departemen bisa saling read/write. User dari departemen laen nggak bisa akses
• Public folder
  Masing-masing division dapat 1 folder. Member dalam 1 departemen bisa saling read/write. User dari departemen laen hanya bisa read only
  

Dan ini details ownership/permissionnya:

drwxrwxr-x root root netlogon
-rwxr-xr-x root root dep1.bat
-rwxr-xr-x root root dep2.bat

drwxr-xr-x root root personal
drwx------ user1 Domain\ Users user1
drwx------ user2 Domain\ Users user2

drwxrwxr-x root root division
drwxrwx--- root dep1 dep1
drwxrwx--- root dep2 dep2

drwxrwxr-x root root public
drwxrwsr-x root dep1 dep1
drwxrwsr-x root dep1 dep2

Ati-ati untuk folder public/dep1 tuh. Pake chmod 2775. Supaya semua file didalamnya dan subfoldernya juga dimilikin group dep1.

Samba Setting

Settingnya gue sensor yah. Karena emang sama aja sih. Cuman bagian ini akan penting deh.

[global]
...
create mask = 0664
directory mask = 0775
force create mode = 0664
force directory mode = 0775

[personal]
comment = Home Directories of %u
path = /svr/personal/%u
browseable = no
writeable = yes

[dep1]
comment = Dep1 Folders
path = /svr/division/mis
writeable = yes
guest ok = no
force group = "Domain Users"
valid users = @dep1
write list = @dep1

[public]
comment = Public Folders
path = /svr/public
writeable = no
guest ok = yes
write list = "@Domain Users"

NFS export files

File /etc/exports untuk sharing folder /svr detailnya berikut. Gue pake NFS4 nih.

/svr 172.16.0.0/16(rw,async,no_subtree_check,fsid=0,crossmnt)
/svr/personal 172.16.0.0/16(rw,async,no_subtree_check)
/svr/division 172.16.0.0/16(rw,async,no_subtree_check)
/svr/public 172.16.0.0/16(rw,async,no_subtree_check)

Create account LDAP

Setiap username di LDAP server, udah di set login scriptnya. Jadi 1 departmen 1 login script saja. Ini contohnya:

#smbldap-useradd -a -m -E dep1.bat -M user1@domain.fqdn -N Namadepan -S Namakluarga user1
#smbldap-passwd user1
#smbldap-groupadd -a dep1
#smbldap-groupmod -m user1 dep1

Additional features

Antivirus sangat sangat bagus deh. Coba pake aja dazuko+clamav. Bisa layanin ke 2 OS di client. Sayangnya harus gue harus disable karena servernya kurang gegas aja. Kalo server-server generasi baru yg multi processor, harddisk SCSI, dah memori gede sebaiknya aktifkan aja. Karena virus dari USB Flashdrive musimnya nih.


Fokus client

Karena ada 2 jenis OS (Windows and Linux), gue bagis fokusnya ke 2 OS itu deh. Walau ada 1 user kadang bawa notebook Mac-nya. Tapi no problem. Karena Mac bisa pake protocol SMB:// seperti di Linux.

Windows client

Cukup dengan join ke domain. Ini akan mendapatkan kemudahan map folder dari server ke My Computer. Mereka akan mudah mengaksesnya folder:

Drive P: \\server.fqdn\personal\<username>
Drive Q: \\server.fqdn\division\<department_name>
Drive R: \\server.fqdn\public\<department_name>

Linux client

Juga harus join domain (istilah M$ :-p). Sebenernya nggak sih. Cukup join ke LDAP server. Sehingga semua account di LDAP server bisa login ke Ubuntu tanpa perlu create masing-masing account di semua Ubuntu client lah. Dan NFS akan sangat terbantu dengan samanya account di client dan di server.

Install aja paket "ldap-auth-client" di semua Ubuntu client. Sehabis restart, Ubuntu client dah tersambung dengan LDAP server. Solusi Ubuntu yang simple and asyik deh. Kalo pake Fedora, system-config-auth kurang lebih sama deh.

Hal laen yang penting adalah default umask di Ubuntu. Defaultnya 022 di baris terakhir file /etc/profile. Gue ganti jadi 002. Ini supaya di folder "<division>" dan "public/<division>", user dalam 1 departemen bisa saling edit file.

File /etc/fstab di user:

server.fqdn:/personal /server/personal nfs4 rsize=8192,wsize=8192,timeo=14,intr 0 0
server.fqdn:/division /server/division nfs4 rsize=8192,wsize=8192,timeo=14,intr 0 0
server.fqdn:/public /server/public nfs4 rsize=8192,wsize=8192,timeo=14,intr 0 0

Untuk memudahkan user, di File-Browser (Nautilus) udah kita bookmarks folders masing:

personal -> /server/personal/<username>
division -> /server/division/<departemen_name>
public -> /server/public/<departemen_name>

Jadi user cukup klik menu Places -> Home, semua folder lokal dan folder di server udah ready.

Kendala

1. Fresh install Ubuntu, ada kendala dengan Nautilus nggak bisa support umask 002. Selalu saja nyimpan file dengan umask 022. Versi updatenya dah nggak ada problem lagi.
2. Change password dari Ubuntu client, password Windows nggak terupdate. Di LDAP server, setiap account punya 2 password (posix and LM). Gue sepertinya masih harus belajar penggunaan libpam-smbpass. Kalo dari Windows client, nggak masalah. Ke dua password terupdate dengan baek.
   
3. Permission file dari USB flashdrive gak ngikutin umask. Hal yang nggak terlalu penting sih. Tapi kadang bikin ribet kalo harus jelasin ke client cara rubah permission.