B2-13 Partage de fichiers : SMB, NFS, DFS

1. Pourquoi un serveur de fichiers ?

Un serveur de fichiers centralise les documents de l'entreprise : chacun travaille sur la même version, les droits décident qui lit ou modifie quoi, et une seule sauvegarde protège tout le monde. Les postes y accèdent par le réseau grâce à un protocole de partage de fichiers.

2. SMB : le protocole des partages Windows

SMB existe depuis les années 1980 et a beaucoup évolué. Le client et le serveur négocient la version la plus récente qu'ils connaissent tous les deux.

• Partage classique\\SRV-01\Compta : visible dans le voisinage réseau et dans net view \\SRV-01.
• Partage masquéUn nom qui finit par $ (\\SRV-01\Paie$) n'apparaît pas dans la liste : il faut connaître son nom. Ce n'est pas une protection, seulement de la discrétion.
• Partages administratifsC$, ADMIN$, IPC$ : créés automatiquement, réservés aux administrateurs (déploiement, gestion à distance).

3. Créer un partage sur Windows Server

Sur SRV-01, le service Serveur de fichiers est présent par défaut. Pour bénéficier des quotas, du filtrage et de DFS, on ajoute dans le Gestionnaire de serveur les rôles Services de fichiers et de stockage → Serveur de fichiers, Gestionnaire de ressources du serveur de fichiers (FSRM) et Espaces de noms DFS.

1. Préparer un volume dédié aux données (D:) en production, distinct du système : une saturation des partages ne bloque pas Windows, et la sauvegarde est plus simple. Dans cette fiche comme dans le TP, la VM n'a qu'un disque : les partages sont rangés dans C:\Partages. Avec un second disque (ajouté dans Proxmox, puis initialisé et formaté en D:), on remplacerait C: par D: partout.
2. Créer l'arborescence : C:\Partages\Compta, C:\Partages\Direction, C:\Partages\Commun.
3. Partager : Gestionnaire de serveur → Services de fichiers et de stockage → Partages → Tâches → Nouveau partage, profil « Partage SMB – Rapide ». Ou, dans les propriétés du dossier : Partage → Partage avancé.
4. Activer l'énumération basée sur l'accès (ABE) : l'utilisateur ne voit que les dossiers qu'il a le droit d'ouvrir.
5. Régler les droits de partage puis NTFS (partie 4) et tester avec un compte de chaque service.

PowerShell est vu en détail dans la fiche B2-16 : ici, l'interface graphique suffit, la commande montre seulement que tout s'automatise.

4. Droits de partage et droits NTFS

Un fichier partagé sur Windows Server est protégé par deux couches de droits indépendantes. Comprendre leur combinaison est la compétence clé de cette fiche.

5. AGDLP : attribuer les droits à des groupes

Dans un domaine Active Directory, on ne met jamais un utilisateur directement dans l'onglet Sécurité. On applique la méthode AGDLP, vue en détail dans la fiche B2-17.

6. Partager sous Debian avec Samba

Samba implémente SMB sous Linux : un serveur Debian peut ainsi offrir des partages aux postes Windows, qui le voient comme un serveur Windows. Sur SRV-LINUX (172.16.50.11), on partage le dossier des bons de livraison de l'entrepôt.

[global]
   workgroup = BROCELIANDE
   # SMB 1 interdit (dans smb.conf, un commentaire occupe toujours sa propre ligne)
   server min protocol = SMB2

[entrepot]
   comment = Bons de livraison de l'entrepôt
   path = /srv/partages/entrepot
   valid users = @entrepot
   read only = no
   create mask = 0660
   directory mask = 2770

• [entrepot]Nom du partage tel que le voient les clients : \\172.16.50.11\entrepot.
• valid users = @entrepotSeuls les membres du groupe Linux entrepot peuvent se connecter (le @ désigne un groupe).
• read only = noÉcriture autorisée par Samba ; il faut aussi que les droits Linux du dossier le permettent : comme sous Windows, deux couches.
• create mask / directory maskDroits Linux donnés aux fichiers et dossiers créés par le réseau.

Dans un domaine Active Directory, on préfère joindre le serveur Debian au domaine pour utiliser directement les comptes et groupes AD (fiche B2-19) : plus besoin de smbpasswd.

7. NFS : partager entre serveurs Linux

NFS est le partage natif du monde Unix. Il est simple et très performant entre serveurs Linux ou pour fournir un stockage partagé à un hyperviseur (les ISO de Proxmox, par exemple). Avec NFS v3, le contrôle d'accès se fait par adresse IP du client ; NFS v4 peut ajouter une authentification Kerberos.

8. DFS : un seul chemin pour tous les partages

Quand l'entreprise grandit, les partages se répartissent sur plusieurs serveurs et sites. DFS (Distributed File System) offre deux services complémentaires sur Windows Server.

• Espace de noms DFS (DFS-N)Un chemin unique et stable, par exemple \\broceliande.lan\Partages\Compta, qui pointe vers le vrai partage. Si le partage change de serveur, on modifie la cible : les utilisateurs ne voient aucune différence.
• Réplication DFS (DFS-R)Copie automatique d'un dossier entre deux serveurs (le siège et Rennes, par exemple) : seules les modifications circulent. Chaque site lit sa copie locale ; si un serveur tombe, l'autre prend le relais.

9. Quotas et filtrage de fichiers

Le Gestionnaire de ressources du serveur de fichiers (FSRM) protège la place disque et le contenu des partages.

10. Connecter les lecteurs réseau

Un lecteur réseau (« mappé ») associe une lettre à un partage : Z: = \\broceliande.lan\Partages\Compta. Trois façons de le créer, de la plus manuelle à la plus industrielle :

1. À la main : Explorateur → Ce PC → Connecter un lecteur réseau. Bien pour un dépannage ponctuel.
2. En ligne de commande : net use dans un script de connexion, simple mais vieillissant.
3. Par stratégie de groupe : Configuration utilisateur → Préférences → Paramètres Windows → Mappages de lecteurs, avec un ciblage par groupe (GG_Compta reçoit Z:). C'est la méthode d'entreprise (fiche B2-18).

11. Vérifier et dépanner

11.1 Les commandes de vérification

Pour connaître le droit effectif d'un utilisateur, Windows calcule les deux couches pour toi : Propriétés du dossier → Sécurité → Avancé → onglet Accès effectif, puis choisis l'utilisateur.

11.2 Entraîne-toi : les tickets du support

Tu es de permanence au support de Brocéliande Logistique, la semaine qui suit la mise en service des partages. Six tickets arrivent : lis le message, observe le relevé, puis choisis la cause.

PS> Get-ADPrincipalGroupMembership karim.roux | Select Name
Name
----
Utilisateurs du domaine
GG_Direction

PS> Get-SmbShare Compta | Select Name, FolderEnumerationMode
Name   FolderEnumerationMode
----   ---------------------
Compta Unrestricted

PS> Get-SmbServerConfiguration | Select EnableSMB1Protocol
EnableSMB1Protocol : False
Événement 3000 : Un client a tenté d'accéder au serveur
avec SMB1. Adresse du client : 172.16.30.40

$ grep -A5 '\[entrepot\]' /etc/samba/smb.conf
[entrepot]
   path = /srv/partages/entrepot
   valid users = @entrepot
   read only = no
$ ls -ld /srv/partages/entrepot
drwxr-xr-x 2 root root 4096 oct. 14 /srv/partages/entrepot

$ sudo mount -t nfs 172.16.50.11:/srv/nfs/iso /mnt/iso
mount.nfs: access denied by server while mounting
$ showmount -e 172.16.50.11
/srv/nfs/iso 172.16.50.0/24

C:\> gpresult /r /scope user
  Objets Stratégie de groupe appliqués
      GPO-Lecteurs-Commun
  Les GPO suivants n'ont pas été appliqués car ils ont été filtrés
      GPO-Lecteur-Compta
          Filtrage :  Refusé (Sécurité)

12. À l'examen et en entreprise

13. L'essentiel

1. Un serveur de fichiers centralise les documents : droits contrôlés, sauvegarde unique, plus de clés USB ni de pièces jointes.
2. SMB (TCP 445) est le protocole de partage Windows ; on utilise SMB 3.x (chiffrement possible) et on désactive SMB1.
3. Un partage se crée dans le Gestionnaire de serveur ou avec New-SmbShare ; un nom finissant par $ est masqué.
4. Deux couches : droits de partage (accès réseau) et droits NTFS (tous les accès, avec héritage).
5. Dans une couche, les droits se cumulent ; entre les deux couches, le plus restrictif l'emporte ; un refus explicite prime.
6. Méthode : partage Utilisateurs authentifiés : Modifier, finesse en NTFS, droits donnés à des groupes selon AGDLP.
7. Samba offre des partages SMB depuis Linux : section dans smb.conf, valid users, smbpasswd -a, testparm ; les droits Linux comptent aussi.
8. NFS (TCP 2049) partage entre systèmes Linux : /etc/exports, exportfs -ra, mount -t nfs ; en v3, l'accès se contrôle par adresse IP.
9. DFS : un espace de noms donne un chemin unique (\\broceliande.lan\Partages), la réplication copie les dossiers entre serveurs.
10. FSRM pose quotas et filtres de fichiers ; les lecteurs réseau se distribuent par GPO (préférences, ciblage par groupe).

Les commandes clés

Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.

14. Quiz noté

15. Exercices : à toi de répondre

Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige.

16. Au labo : partages Windows et Samba