Partage de fichiers et d'impression : SMB, NFS, SFTP

Les services de fichiers permettent à plusieurs machines d'utiliser les mêmes dossiers à travers le réseau : SMB est le protocole des partages Windows (et de Samba sous Linux), NFS celui des systèmes Unix et Linux, des hyperviseurs et des NAS. Les services d'impression partagent les imprimantes et leurs pilotes depuis un serveur. Ce chapitre compare SMB et NFS, montre un partage Samba et un export NFS sous Debian 13, décrit le serveur d'impression Windows et ses règles de sécurité depuis PrintNightmare, et termine par le transfert de fichiers avec SFTP, qui remplace FTP.

SMB : le partage de fichiers de Windows

SMB (Server Message Block) est le protocole avec lequel un poste Windows ouvre \\srv-fichiers\Comptabilite ou connecte un lecteur réseau S:. Il fonctionne en TCP sur le port 445. L'ancien port 139 (SMB sur NetBIOS) ne sert plus qu'à de très vieux appareils.

Les réglages par défaut se sont durcis. Windows 11 24H2 et Windows Server 2025 exigent la signature SMB des connexions sortantes : chaque message est signé, ce qui empêche un attaquant placé au milieu de les modifier ou de relayer une authentification. Ils refusent aussi l'accès invité (sans compte). Conséquence pratique : un vieux NAS ou une imprimante multifonction qui ne sait pas signer ne peut plus recevoir de numérisations dans un partage, et il faut mettre l'appareil à jour plutôt qu'affaiblir les postes.

Windows Server 2025 propose aussi SMB sur QUIC dans ses éditions Standard et Datacenter : le partage est joignable en UDP 443, chiffré par TLS 1.3, sans VPN. C'est une fonction désactivée par défaut, à réserver aux accès distants maîtrisés.

Les partages Windows chez Sorbier

Le serveur de fichiers de Sorbier est srv-fichiers (192.168.10.178), un Windows Server 2025 membre du domaine. Les droits d'accès combinent deux couches, à calculer à chaque fois :

• les autorisations du partage, vérifiées quand on passe par le réseau ;
• les autorisations NTFS du dossier, vérifiées dans tous les cas.

Le droit effectif est le plus restrictif des deux. La méthode AGDLP, le calcul des droits effectifs, les espaces de noms DFS (\\ad.sorbier.example\partages), les quotas FSRM et les clichés instantanés sont détaillés dans le cours Windows Server. Le stockage sous-jacent (disques, volumes, NAS) relève du cours Stockage et NAS avec TrueNAS, qui montre aussi le partage NFS et le partage SMB intégré à l'AD côté NAS.

# Côté serveur : créer un partage, accès complet au groupe concerné (NTFS fera le tri)
New-SmbShare -Name "Comptabilite" -Path "D:\Partages\Comptabilite" `
    -FullAccess "SORBIER\DL_Compta_RW" -FolderEnumerationMode AccessBased -EncryptData $true

# Les partages et les sessions ouvertes
Get-SmbShare
Get-SmbSession | Select-Object ClientComputerName, ClientUserName, Dialect

# Côté poste : connecter un lecteur, voir la version négociée
New-PSDrive -Name S -PSProvider FileSystem -Root "\\srv-fichiers\Comptabilite" -Persist
Get-SmbConnection | Select-Object ServerName, ShareName, Dialect, Signed, Encrypted

-FolderEnumerationMode AccessBased (l'énumération basée sur l'accès) cache aux utilisateurs les dossiers qu'ils n'ont pas le droit d'ouvrir. -EncryptData $true chiffre les échanges de ce partage, même sur le réseau interne. Dialect affiche la version de SMB négociée : 3.1.1 attendu.

Samba : SMB sous Linux

Samba (version 4.22 dans Debian 13) implémente SMB sous Linux : un serveur Debian peut ainsi offrir des partages aux postes Windows, rejoindre un domaine Active Directory, ou même en être le contrôleur. Un partage simple, en serveur autonome :

# /etc/samba/smb.conf (extrait)
[global]
   workgroup = SORBIER
   server role = standalone server
   server min protocol = SMB3
   server signing = mandatory
   map to guest = never

[logistique]
   path = /srv/partages/logistique
   valid users = @logistique
   read only = no
   create mask = 0660
   directory mask = 0770

sudo apt install samba
sudo groupadd logistique && sudo usermod -aG logistique moussa
sudo smbpasswd -a moussa                    # mot de passe SMB de l'utilisateur
sudo mkdir -p /srv/partages/logistique
sudo chgrp logistique /srv/partages/logistique && sudo chmod 2770 /srv/partages/logistique
testparm                                    # vérifier smb.conf
sudo systemctl restart smbd
smbclient -L //localhost -U moussa           # lister les partages

server min protocol = SMB3 refuse SMB 1 et 2, server signing = mandatory impose la signature. Pour que les utilisateurs du domaine se connectent avec leur compte AD, Samba rejoint le domaine (server role = member server, security = ADS, service winbind) : c'est la configuration d'un serveur de fichiers Linux en entreprise.

NFS : le partage de fichiers d'Unix

NFS (Network File System) est le partage de fichiers natif de Linux et d'Unix. On le rencontre surtout entre serveurs : un hyperviseur Proxmox VE qui range ses images ISO et ses sauvegardes sur un NAS TrueNAS, des serveurs web qui partagent un dossier de fichiers téléversés.

Un export sous Debian 13 (paquet nfs-kernel-server), sur srv-journaux (192.168.10.180), qui garde les sauvegardes des configurations :

# /etc/exports
/srv/nfs/iso     192.168.10.176/28(ro,sync,no_subtree_check)
/srv/nfs/exports 192.168.21.10(rw,sync,no_subtree_check,root_squash)

sudo exportfs -ra            # appliquer /etc/exports
sudo exportfs -v             # les exports actifs et leurs options
# Côté client
sudo mount -t nfs4 srv-journaux.ad.sorbier.example:/srv/nfs/iso /mnt/iso

Sur TrueNAS Community Edition, la même chose se fait depuis l'interface web, partage par partage, et Proxmox VE déclare le stockage NFS dans Datacenter > Storage > Add > NFS (cours Virtualisation).

SMB ou NFS ?

Le serveur d'impression

Un serveur d'impression partage les files d'attente des imprimantes et leurs pilotes : les postes impriment vers \\srv-fichiers\IMP-COMPTA, le serveur gère les travaux, distribue les pilotes et tient les journaux. Sous Windows Server, c'est le rôle Services d'impression et de numérisation de documents, administré avec la console Gestion de l'impression. Le déploiement des imprimantes sur les postes par GPO est traité dans le cours Windows Server.

Sous Linux, l'impression passe par CUPS (version 2.4 dans Debian 13), qui parle IPP sur le port 631 et sait partager ses imprimantes.

Imprimer en sécurité depuis PrintNightmare

En 2021, la série de failles PrintNightmare du service Spouleur d'impression de Windows a permis à des attaquants de prendre le contrôle de serveurs, contrôleurs de domaine compris, par le mécanisme d'installation automatique des pilotes (Point and Print). Ce qui a changé depuis :

• L'installation d'un pilote exige les droits d'administrateur par défaut (mise à jour d'août 2021). Les pilotes se déploient donc à l'avance, par le serveur d'impression et par GPO, et non à la demande des utilisateurs.
• Le service Spouleur d'impression doit être arrêté et désactivé sur toute machine qui n'imprime pas et ne partage pas d'imprimante, à commencer par les contrôleurs de domaine : Stop-Service Spooler; Set-Service Spooler -StartupType Disabled.
• Windows 11 24H2 propose le mode impression protégée Windows (Windows protected print) : le poste n'utilise plus que le pilote IPP générique de Microsoft et n'accepte plus aucun pilote tiers. Il ne fonctionne qu'avec des imprimantes certifiées Mopria, et s'active par la stratégie Configurer l'impression protégée Windows (Configuration ordinateur > Modèles d'administration > Imprimantes). C'est la direction que prend Windows : vérifie la compatibilité du parc avant de l'imposer.

Transférer des fichiers : SFTP plutôt que FTP

Pour échanger des fichiers avec l'extérieur (un transporteur partenaire qui dépose ses bordereaux, un prestataire qui récupère des exports), le protocole historique est FTP. Il ne doit plus être utilisé tel quel.

SFTP n'a de commun avec FTP que le nom : c'est un sous-système de SSH. Un serveur OpenSSH (Debian, ou Windows Server avec la fonctionnalité Serveur OpenSSH) le fournit sans rien installer d'autre. Pour un partenaire, on l'enferme dans son dossier, sans accès à un terminal (fichier /etc/ssh/sshd_config sous Debian) :

Match Group sftp-partenaires
    ChrootDirectory /srv/sftp/%u
    ForceCommand internal-sftp
    AllowTcpForwarding no
    X11Forwarding no

sudo groupadd sftp-partenaires
sudo useradd -g sftp-partenaires -s /usr/sbin/nologin transporteur
sudo mkdir -p /srv/sftp/transporteur/depot
sudo chown root:root /srv/sftp/transporteur                  # le dossier racine du chroot appartient à root
sudo chown transporteur:sftp-partenaires /srv/sftp/transporteur/depot
sudo sshd -t && sudo systemctl reload ssh
# Côté partenaire
sftp transporteur@sftp.sorbier.example

ChrootDirectory enferme l'utilisateur dans son dossier : il ne voit rien d'autre du serveur. OpenSSH exige que ce dossier appartienne à root et ne soit modifiable par personne d'autre ; l'utilisateur écrit dans le sous-dossier depot. Le détail de SSH (clés, durcissement) est dans le cours Services Linux.

Exercices

/srv/partage  *(rw,no_root_squash,async)