WHATSNEW.txt

   1 Release Announcements
   2 =====================
   3
   4 This is the first preview release of Samba 4.5.  This is *not*
   5 intended for production environments and is designed for testing
   6 purposes only.  Please report any defects via the Samba bug reporting
   7 system at https://bugzilla.samba.org/.
   8
   9 Samba 4.5 will be the next version of the Samba suite.
  10
  11
  12 UPGRADING
  13 =========
  14
  15 NTLMv1 authentication disabled by default
  16 -----------------------------------------
  17
  18 In order to improve security we have changed
  19 the default value for the "ntlm auth" option from
  20 "yes" to "no". This may have impact on very old
  21 client which doesn't support NTLMv2 yet.
  22
  23 The primary user of NTLMv1 is MSCHAPv2 for VPNs and 802.1x.
  24
  25 By default Samba will only allow NTLMv2 via NTLMSSP now,
  26 as we have the following default "lanman auth = no",
  27 "ntlm auth = no" and "raw NTLMv2 auth = no".
  28
  29
  30 NEW FEATURES/CHANGES
  31 ====================
  32
  33 Support for LDAP_SERVER_NOTIFICATION_OID
  34 ----------------------------------------
  35
  36 The ldap server has support for the LDAP_SERVER_NOTIFICATION_OID
  37 control. This can be used to monitor the active directory database
  38 for changes.
  39
  40 KCC improvements for sparse network replication
  41 -----------------------------------------------
  42
  43 The Samba KCC will now be the default knowledge consistency checker in
  44 Samba AD. Instead of using full mesh replication between every DC, the
  45 KCC will set up connections to optimize replication latency and cost
  46 (using site links to calculate the routes). This change should allow
  47 larger domains to function significantly better in terms of replication
  48 traffic and the time spent performing DRS replication.
  49
  50 VLV - Virtual List View
  51 -----------------------
  52
  53 The VLV Control allows applications to page the LDAP directory in the
  54 way you might expect a live phone book application to operate, without
  55 first downloading the entire directory.
  56
  57 DRS Replication for the AD DC
  58 -----------------------------
  59
  60 DRS Replication in Samba 4.5 is now much more efficient in handling
  61 linked attributes, particularly in large domains with over 1000 group
  62 memberships or other links.
  63
  64 Replication is also much more reliable in the handling of tree
  65 renames, such as the rename of an organizational unit containing many
  66 users.  Extensive tests have been added to ensure this code remains
  67 reliable, particularly in the case of conflicts between objects added
  68 with the same name on different servers.
  69
  70 Schema updates are also handled much more reliably.
  71
  72 replPropertyMetaData Changes
  73 ----------------------------
  74
  75 During the development of the DRS replication, tests showed that Samba
  76 stores the replPropertyMetaData object incorrectly.  To address this,
  77 be aware that dbcheck will now detect and offer to fix all objects in
  78 the domain for this error.
  79
  80 Linked attributes on deleted objects
  81 ------------------------------------
  82
  83 In Active Directory, an object that has been tombstoned or recycled
  84 has no linked attributes.  However, Samba incorrectly maintained such
  85 links, slowing replication and run-time performance.  dbcheck now
  86 offers to remove such links, and they are no longer kept after the
  87 object is tombstoned or recycled.
  88
  89 Improved AD DC performance
  90 --------------------------
  91
  92 Many other improvements have been made to our LDAP database layer in
  93 the AD DC, to improve performance, both during samba-tool domain
  94 provision and at runtime.
  95
  96 Other dbcheck improvements
  97 --------------------------
  98
  99  - samba-tool dbcheck can now find and fix a missing or corrupted
 100    'deleted objects' container.
 101  - BUG 11433: samba-dbcheck no longer offers to resort auxiliary class values
 102    in objectClass as these were then re-sorted at the next dbcheck indefinitely.
 103
 104 Tombstone Reanimation
 105 ---------------------
 106
 107 Samba now supports tombstone reanimation, a feature in the AD DC
 108 allowing tombstones, that is objects which have been deleted, to be
 109 restored with the original SID and GUID still in place.
 110
 111 Multiple DNS Forwarders on the AD DC
 112 ------------------------------------
 113
 114 Multiple DNS forwarders are now supported on the AD DC, allowing
 115 samba to fall back between two different DNS servers for forwarded queries.
 116
 117 Password quality plugin support in the AD DC
 118 --------------------------------------------
 119
 120 The check password script now operates correctly in the AD DC (this
 121 was silently ignored in past releases)
 122
 123 pwdLastSet is now correctly honoured
 124 ------------------------------------
 125
 126 BUG 9654: the pwdLastSet attribute is now correctly handled (this previously
 127 permitted passwords that next expire).
 128
 129 net ads dns unregister
 130 ----------------------
 131
 132 It is now possible to remove the DNS entries created with 'net ads register'
 133 with the matching 'net ads unregister' command.
 134
 135 Samba-tool improvements
 136 ------------------------
 137
 138 Running samba-tool on the command line should now be a lot snappier. The tool
 139 now only loads the code specific to the subcommand that you wish to run.
 140
 141 SMB 2.1 Leases enabled by default
 142 ---------------------------------
 143
 144 Leasing is an SMB 2.1 (and higher) feature which allows clients to
 145 aggressively cache files locally above and beyond the caching allowed
 146 by SMB 1 oplocks. This feature was disabled in previous releases, but
 147 the SMB2 leasing code is now considered mature and stable enough to be
 148 enabled by default.
 149
 150 Open File Description (OFD) Locks
 151 ---------------------------------
 152
 153 On systems that support them (currently only Linux), the fileserver now
 154 uses Open File Description (OFD) locks instead of POSIX locks to implement
 155 client byte range locks. As these locks are associated with a specific
 156 file descriptor on a file this allows more efficient use when multiple
 157 descriptors having file locks are opened onto the same file. An internal
 158 tunable "smbd:force process locks = true" may be used to turn off OFD
 159 locks if there appear to be problems with them.
 160
 161 Password sync as active directory domain controller
 162 ---------------------------------------------------
 163
 164 The new commands 'samba-tool user getpassword'
 165 and 'samba-tool user syncpasswords' provide
 166 access and syncing of various password fields.
 167
 168 If compiled with GPGME support (--with-gpgme) it's
 169 possible to store cleartext passwords in a PGP/OpenGPG
 170 encrypted form by configuring the new "password hash gpg key ids"
 171 option. This requires gpgme devel and python packages to be installed
 172 (e.g. libgpgme11-dev and python-gpgme on debian/ubuntu).
 173
 174 Python crypto requirements
 175 --------------------------
 176
 177 Some samba-tool subcommands require python-crypto and/or
 178 python-m2crypto packages to be installed.
 179
 180 SmartCard/PKINIT improvements
 181 -----------------------------
 182
 183 "samba-tool user create" accepts --smartcard-required
 184 and "samba-tool user setpassword" accepts --smartcard-required
 185 and --clear-smartcard-required.
 186
 187 Specifying --smartcard-required results in the UF_SMARTCARD_REQUIRED
 188 flags being set in the userAccountControl attribute.
 189 At the same time the account password is reset to a random
 190 NTHASH value.
 191
 192 Interactive password logons are rejected, if the UF_SMARTCARD_REQUIRED
 193 bit is set in the userAccountControl attribute of a user.
 194
 195 When doing a PKINIT based kerberos logon the KDC adds the
 196 required PAC_CREDENTIAL_INFO element to the authorization data.
 197 That means the NTHASH is shared between the PKINIT based client and
 198 the domain controller, which allows the client to do NTLM based
 199 authentication on behalf of the user. It also allows on offline
 200 logon using a smartcard to work on Windows clients.
 201
 202 CTDB changes
 203 ------------
 204
 205 * New improved ctdb tool
 206
 207   ctdb tool has been completely rewritten using new client API.
 208   Usage messages are much improved.
 209
 210 * Sample CTDB configuration file is installed as ctdbd.conf.
 211
 212 * The use of real-time scheduling when taking locks has been narrowed
 213   to limit potential performance impacts on nodes
 214
 215 * CTDB_RECOVERY_LOCK now supports specification of an external helper
 216   to take and hold the recovery lock
 217
 218   See the RECOVERY LOCK section in ctdb(7) for details.  Documentation
 219   for writing helpers is provided in doc/cluster_mutex_helper.txt.
 220
 221 * "ctdb natgwlist" has been replaced by a top level "ctdb natgw"
 222   command that has "master", "list" and "status" subcommands
 223
 224 * The onnode command no longer supports the "recmaster", "lvs" and
 225   "natgw" node specifications
 226
 227 * Faster resetting of TCP connections to public IP addresses during
 228   failover
 229
 230 * Tunables MaxRedirectCount, ReclockPingPeriod,
 231   DeferredRebalanceOnNodeAdd are now obsolete/ignored
 232
 233 * "ctdb listvars" now lists all variables, including the first one
 234
 235 * "ctdb xpnn", "ctdb rebalanceip" and "ctdb rebalancenode" have been
 236   removed
 237
 238   These are not needed because "ctdb reloadips" should do the correct
 239   rebalancing.
 240
 241 * Output for the following commands has been simplified:
 242
 243     ctdb getdbseqnum
 244     ctdb getdebug
 245     ctdb getmonmode
 246     ctdb getpid
 247     ctdb getreclock
 248     ctdb getpid
 249     ctdb pnn
 250
 251   These now simply print the requested output with no preamble.  This
 252   means that scripts no longer need to strip part of the output.
 253
 254   "ctdb getreclock" now prints nothing when the recovery lock is not
 255   set.
 256
 257 * Output for the following commands has been improved:
 258
 259   ctdb setdebug
 260   ctdb uptime
 261
 262 * "ctdb process-exists" has been updated to only take a PID argument
 263
 264   The PNN can be specified with -n <PNN>.  Output also cleaned up.
 265
 266 * LVS support has been reworked - related commands and configuration
 267   variables have changed
 268
 269   "ctdb lvsmaster" and "ctdb lvs" have been replaced by a top level
 270   "ctdb lvs" command that has "master", "list" and "status"
 271   subcommands.
 272
 273   See the LVS sections in ctdb(7) and ctdbd.conf(5) for details,
 274   including configuration changes.
 275
 276 * Improved sample NFS Ganesha call-out
 277
 278
 279
 280 REMOVED FEATURES
 281 ================
 282
 283 only user and username parameters
 284 ---------------------------------
 285 These two parameters have long been deprecated and superseded by
 286 "valid users" and "invalid users".
 287
 288
 289 smb.conf changes
 290 ================
 291
 292   Parameter Name                Description             Default
 293   --------------                -----------             -------
 294   kccsrv:samba_kcc              Changed default         yes
 295   ntlm auth                     Changed default         no
 296   only user                     Removed
 297   password hash gpg key ids     New
 298   smb2 leases                   Changed default         yes
 299   username                      Removed
 300
 301
 302 KNOWN ISSUES
 303 ============
 304
 305 Currently none.
 306
 307 #######################################
 308 Reporting bugs & Development Discussion
 309 #######################################
 310
 311 Please discuss this release on the samba-technical mailing list or by
 312 joining the #samba-technical IRC channel on irc.freenode.net.
 313
 314 If you do report problems then please try to send high quality
 315 feedback. If you don't provide vital information to help us track down
 316 the problem then you will probably be ignored.  All bug reports should
 317 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 318 database (https://bugzilla.samba.org/).
 319
 320
 321 ======================================================================
 322 == Our Code, Our Bugs, Our Responsibility.
 323 == The Samba Team
 324 ======================================================================
 325