WHATSNEW.txt

   1 Release Announcements
   2 =====================
   3
   4 This is the second release candidate of Samba 4.5.  This is *not*
   5 intended for production environments and is designed for testing
   6 purposes only.  Please report any defects via the Samba bug reporting
   7 system at https://bugzilla.samba.org/.
   8
   9 Samba 4.5 will be the next version of the Samba suite.
  10
  11
  12 UPGRADING
  13 =========
  14
  15 NTLMv1 authentication disabled by default
  16 -----------------------------------------
  17
  18 In order to improve security we have changed
  19 the default value for the "ntlm auth" option from
  20 "yes" to "no". This may have impact on very old
  21 clients which doesn't support NTLMv2 yet.
  22
  23 The primary user of NTLMv1 is MSCHAPv2 for VPNs and 802.1x.
  24
  25 By default, Samba will only allow NTLMv2 via NTLMSSP now,
  26 as we have the following default "lanman auth = no",
  27 "ntlm auth = no" and "raw NTLMv2 auth = no".
  28
  29
  30 NEW FEATURES/CHANGES
  31 ====================
  32
  33 Support for LDAP_SERVER_NOTIFICATION_OID
  34 ----------------------------------------
  35
  36 The ldap server has support for the LDAP_SERVER_NOTIFICATION_OID
  37 control. This can be used to monitor the Active Directory database
  38 for changes.
  39
  40 KCC improvements for sparse network replication
  41 -----------------------------------------------
  42
  43 The Samba KCC will now be the default knowledge consistency checker in
  44 Samba AD. Instead of using full mesh replication between every DC, the
  45 KCC will set up connections to optimize replication latency and cost
  46 (using site links to calculate the routes). This change should allow
  47 larger domains to function significantly better in terms of replication
  48 traffic and the time spent performing DRS replication.
  49
  50 VLV - Virtual List View
  51 -----------------------
  52
  53 The VLV Control allows applications to page the LDAP directory in the
  54 way you might expect a live phone book application to operate, without
  55 first downloading the entire directory.
  56
  57 DRS Replication for the AD DC
  58 -----------------------------
  59
  60 DRS Replication in Samba 4.5 is now much more efficient in handling
  61 linked attributes, particularly in large domains with over 1000 group
  62 memberships or other links.
  63
  64 Replication is also much more reliable in the handling of tree
  65 renames, such as the rename of an organizational unit containing many
  66 users.  Extensive tests have been added to ensure this code remains
  67 reliable, particularly in the case of conflicts between objects added
  68 with the same name on different servers.
  69
  70 Schema updates are also handled much more reliably.
  71
  72 samba-tool drs replicate with new options
  73 -----------------------------------------
  74
  75 'samba-tool drs replicate' got two new options:
  76
  77 The option '--local-online' will do the DsReplicaSync() via IRPC
  78 to the local dreplsrv service.
  79
  80 The option '--async-op' will add DRSUAPI_DRS_ASYNC_OP to the
  81 DsReplicaSync(), which won't wait for the replication result.
  82
  83 replPropertyMetaData Changes
  84 ----------------------------
  85
  86 During the development of the DRS replication, tests showed that Samba
  87 stores the replPropertyMetaData object incorrectly.  To address this,
  88 be aware that 'dbcheck' will now detect and offer to fix all objects in
  89 the domain for this error.
  90
  91 Linked attributes on deleted objects
  92 ------------------------------------
  93
  94 In Active Directory, an object that has been tombstoned or recycled
  95 has no linked attributes.  However, Samba incorrectly maintained such
  96 links, slowing replication and run-time performance.  'dbcheck' now
  97 offers to remove such links, and they are no longer kept after the
  98 object is tombstoned or recycled.
  99
 100 Improved AD DC performance
 101 --------------------------
 102
 103 Many other improvements have been made to our LDAP database layer in
 104 the AD DC, to improve performance, both during 'samba-tool domain
 105 provision' and at runtime.
 106
 107 Other dbcheck improvements
 108 --------------------------
 109
 110  - 'samba-tool dbcheck' can now find and fix a missing or corrupted
 111    'deleted objects' container.
 112  - BUG 11433: samba-dbcheck no longer offers to resort auxiliary class values
 113    in objectClass as these were then re-sorted at the next dbcheck indefinitely.
 114
 115 Tombstone Reanimation
 116 ---------------------
 117
 118 Samba now supports tombstone reanimation, a feature in the AD DC
 119 allowing tombstones, that is objects which have been deleted, to be
 120 restored with the original SID and GUID still in place.
 121
 122 Multiple DNS Forwarders on the AD DC
 123 ------------------------------------
 124
 125 Previously, the Samba internal DNS server supported only one DNS forwarder.
 126 The "dns forwarder" option has been enhanced and now supports a space-separated
 127 list of multiple DNS server IP addresses. As a result, Samba is now able to
 128 fall back to alternative DNS servers. In case that a DNS query to the first
 129 server timed out, it is sent to the next DNS server listed in the option.
 130
 131 Password quality plugin support in the AD DC
 132 --------------------------------------------
 133
 134 The check password script now operates correctly in the AD DC.
 135
 136 pwdLastSet is now correctly honoured
 137 ------------------------------------
 138
 139 BUG 9654: The pwdLastSet attribute is now correctly handled (this previously
 140 permitted passwords that expire next).
 141
 142 net ads dns unregister
 143 ----------------------
 144
 145 It is now possible to remove the DNS entries created with 'net ads register'
 146 with the matching 'net ads unregister' command.
 147
 148 samba-tool improvements
 149 ------------------------
 150
 151 Running 'samba-tool' on the command line should now be a lot snappier. The tool
 152 now only loads the code specific to the subcommand that you wish to run.
 153
 154 SMB 2.1 Leases enabled by default
 155 ---------------------------------
 156
 157 Leasing is an SMB 2.1 (and higher) feature which allows clients to
 158 aggressively cache files locally above and beyond the caching allowed
 159 by SMB 1 oplocks. This feature was disabled in previous releases, but
 160 the SMB2 leasing code is now considered mature and stable enough to be
 161 enabled by default.
 162
 163 Open File Description (OFD) Locks
 164 ---------------------------------
 165
 166 On systems that support them (currently only Linux), the fileserver now
 167 uses Open File Description (OFD) locks instead of POSIX locks to implement
 168 client byte range locks. As these locks are associated with a specific
 169 file descriptor on a file this allows more efficient use when multiple
 170 descriptors having file locks are opened onto the same file. An internal
 171 tunable "smbd:force process locks = true" may be used to turn off OFD
 172 locks if there appear to be problems with them.
 173
 174 Password sync as Active Directory domain controller
 175 ---------------------------------------------------
 176
 177 The new commands 'samba-tool user getpassword'
 178 and 'samba-tool user syncpasswords' provide
 179 access and syncing of various password fields.
 180
 181 If compiled with GPGME support (--with-gpgme) it's
 182 possible to store cleartext passwords in a PGP/OpenGPG
 183 encrypted form by configuring the new "password hash gpg key ids"
 184 option. This requires gpgme devel and python packages to be installed
 185 (e.g. libgpgme11-dev and python-gpgme on Debian/Ubuntu).
 186
 187 Python crypto requirements
 188 --------------------------
 189
 190 Some 'samba-tool' subcommands require python-crypto and/or
 191 python-m2crypto packages to be installed.
 192
 193 SmartCard/PKINIT improvements
 194 -----------------------------
 195
 196 'samba-tool user create' accepts "--smartcard-required"
 197 and 'samba-tool user setpassword' accepts "--smartcard-required"
 198 and "--clear-smartcard-required".
 199
 200 Specifying "--smartcard-required" results in the UF_SMARTCARD_REQUIRED
 201 flags being set in the userAccountControl attribute.
 202 At the same time, the account password is reset to a random
 203 NTHASH value.
 204
 205 Interactive password logons are rejected, if the UF_SMARTCARD_REQUIRED
 206 bit is set in the userAccountControl attribute of a user.
 207
 208 When doing a PKINIT based Kerberos logon the KDC adds the
 209 required PAC_CREDENTIAL_INFO element to the authorization data.
 210 That means the NTHASH is shared between the PKINIT based client and
 211 the domain controller, which allows the client to do NTLM based
 212 authentication on behalf of the user. It also allows an offline
 213 logon using a smartcard to work on Windows clients.
 214
 215 CTDB changes
 216 ------------
 217
 218 * New improved 'ctdb tool'
 219
 220   'ctdb tool' has been completely rewritten using new client API.
 221   Usage messages are much improved.
 222
 223 * Sample CTDB configuration file is installed as ctdbd.conf.
 224
 225 * The use of real-time scheduling when taking locks has been narrowed
 226   to limit potential performance impacts on nodes.
 227
 228 * CTDB_RECOVERY_LOCK now supports specification of an external helper
 229   to take and hold the recovery lock.
 230
 231   See the RECOVERY LOCK section in ctdb(7) for details.  Documentation
 232   for writing helpers is provided in doc/cluster_mutex_helper.txt.
 233
 234 * "ctdb natgwlist" has been replaced by a top level "ctdb natgw"
 235   command that has "master", "list" and "status" subcommands.
 236
 237 * The 'onnode' command no longer supports the "recmaster", "lvs" and
 238   "natgw" node specifications.
 239
 240 * Faster resetting of TCP connections to public IP addresses during
 241   failover.
 242
 243 * Tunables MaxRedirectCount, ReclockPingPeriod,
 244   DeferredRebalanceOnNodeAdd are now obsolete/ignored.
 245
 246 * "ctdb listvars" now lists all variables, including the first one.
 247
 248 * "ctdb xpnn", "ctdb rebalanceip" and "ctdb rebalancenode" have been
 249   removed.
 250
 251   These are not needed because "ctdb reloadips" should do the correct
 252   rebalancing.
 253
 254 * Output for the following commands has been simplified:
 255
 256     ctdb getdbseqnum
 257     ctdb getdebug
 258     ctdb getmonmode
 259     ctdb getpid
 260     ctdb getreclock
 261     ctdb getpid
 262     ctdb pnn
 263
 264   These now simply print the requested output with no preamble.  This
 265   means that scripts no longer need to strip part of the output.
 266
 267   "ctdb getreclock" now prints nothing when the recovery lock is not
 268   set.
 269
 270 * Output for the following commands has been improved:
 271
 272   ctdb setdebug
 273   ctdb uptime
 274
 275 * 'ctdb process-exists' has been updated to only take a PID argument.
 276
 277   The PNN can be specified with -n <PNN>.  Output also cleaned up.
 278
 279 * LVS support has been reworked - related commands and configuration
 280   variables have changed.
 281
 282   'ctdb lvsmaster' and 'ctdb lvs' have been replaced by a top level
 283   'ctdb lvs' command that has 'master', 'list' and 'status'
 284   subcommands.
 285
 286   See the LVS sections in ctdb(7) and ctdbd.conf(5) for details,
 287   including configuration changes.
 288
 289 * Improved sample NFS Ganesha call-out.
 290
 291 New shadow_copy2 options
 292 ------------------------
 293
 294 * shadow:snapprefix
 295
 296   With growing number of snapshots file-systems need some mechanism to
 297   differentiate one set of snapshots from other, e.g. monthly, weekly, manual,
 298   special events, etc. Therefore, these file-systems provide different ways to tag
 299   snapshots, e.g. provide a configurable way to name snapshots, which is not just
 300   based on time.  With only shadow:format it is very difficult to filter these
 301   snapshots. With this optional parameter, one can specify a variable prefix
 302   component for names of the snapshot directories in the file-system. If this
 303   parameter is set, together with the shadow:format and shadow:delimiter
 304   parameters it determines the possible names of snapshot directories in the
 305   file-system. The option only supports Basic Regular Expression (BRE).
 306
 307 * shadow:delimiter
 308
 309   This optional parameter is used as a delimiter between "shadow:snapprefix" and
 310   "shadow:format". This parameter is used only when "shadow:snapprefix" is set.
 311
 312   Default: shadow:delimiter = "_GMT"
 313
 314
 315 REMOVED FEATURES
 316 ================
 317
 318 "only user" and "username" parameters
 319 -------------------------------------
 320
 321 These two parameters have long been deprecated and superseded by
 322 "valid users" and "invalid users".
 323
 324
 325 smb.conf changes
 326 ================
 327
 328   Parameter Name                Description             Default
 329   --------------                -----------             -------
 330   kccsrv:samba_kcc              Changed default         yes
 331   ntlm auth                     Changed default         no
 332   only user                     Removed
 333   password hash gpg key ids     New
 334   shadow:snapprefix             New
 335   shadow:delimiter              New                     _GMT
 336   smb2 leases                   Changed default         yes
 337   username                      Removed
 338
 339
 340 KNOWN ISSUES
 341 ============
 342
 343 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.5#All_bugs
 344
 345
 346 CHANGES SINCE 4.5.0rc1
 347 ======================
 348
 349 o   Ralph Boehme <slow@samba.org>
 350     * BUG 12005: parse_share_modes() chokes on ctdb tombstone record from ltdb.
 351     * BUG 12105: smbclient connection to not reachable IP eats 100% CPU.
 352
 353 o   Ira Cooper <ira@samba.org>
 354     * BUG 12133: source3/wscript: Add support for disabling vfs_cephfs.
 355
 356 o   Amitay Isaacs <amitay@gmail.com>
 357     * BUG 12121: ctdb-tools: Fix numerous Coverity IDs and other issues.
 358     * BUG 12122: If a transaction fails, it should be canceled and transaction
 359       handle should be freed.
 360     * BUG 12134: dbwrap: Fix structure initialization.
 361
 362 o   Marc Muehlfeld <mmuehlfeld@samba.org>
 363     * BUG 12023: man: Fix wrong option for parameter "ldap ssl" in smb.conf
 364       man page.
 365
 366 o   Andreas Schneider <asn@samba.org>
 367     * BUG 12104: ctdb-waf: Move ctdb tests to libexec directory.
 368
 369 o   Martin Schwenke <martin@meltin.net>
 370     * BUG 12104: ctdb-packaging: Move ctdb tests to libexec directory.
 371     * BUG 12109: Fixes several CTDB tests.
 372     * BUG 12110: Fix numerous Coverity IDs.
 373     * BUG 12113: ctdb-mutex: Avoid corner case where helper is already
 374       reparented to init.
 375     * BUG 12123: Fix ctdb tickle command and update documentation.
 376     * BUG 12125: CTDB overwrites working configuration due to packaging
 377       change.
 378     * BUG 12126: Fix broken CTDB log messages.
 379
 380
 381 #######################################
 382 Reporting bugs & Development Discussion
 383 #######################################
 384
 385 Please discuss this release on the samba-technical mailing list or by
 386 joining the #samba-technical IRC channel on irc.freenode.net.
 387
 388 If you do report problems then please try to send high quality
 389 feedback. If you don't provide vital information to help us track down
 390 the problem then you will probably be ignored.  All bug reports should
 391 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 392 database (https://bugzilla.samba.org/).
 393
 394
 395 ======================================================================
 396 == Our Code, Our Bugs, Our Responsibility.
 397 == The Samba Team
 398 ======================================================================
 399