WHATSNEW.txt

   1 Release Announcements
   2 =====================
   3
   4 This is the first preview release of Samba 4.5.  This is *not*
   5 intended for production environments and is designed for testing
   6 purposes only.  Please report any defects via the Samba bug reporting
   7 system at https://bugzilla.samba.org/.
   8
   9 Samba 4.5 will be the next version of the Samba suite.
  10
  11
  12 UPGRADING
  13 =========
  14
  15 NTLMv1 authentication disabled by default
  16 -----------------------------------------
  17
  18 In order to improve security we have changed
  19 the default value for the "ntlm auth" option from
  20 "yes" to "no". This may have impact on very old
  21 client which doesn't support NTLMv2 yet.
  22
  23 The primary user of NTLMv1 is MSCHAPv2 for VPNs and 802.1x.
  24
  25 By default Samba will only allow NTLMv2 via NTLMSSP now,
  26 as we have the following default "lanman auth = no",
  27 "ntlm auth = no" and "raw NTLMv2 auth = no".
  28
  29
  30 NEW FEATURES/CHANGES
  31 ====================
  32
  33 Support for LDAP_SERVER_NOTIFICATION_OID
  34 ----------------------------------------
  35
  36 The ldap server has support for the LDAP_SERVER_NOTIFICATION_OID
  37 control. This can be used to monitor the active directory database
  38 for changes.
  39
  40 KCC improvements for sparse network replication
  41 -----------------------------------------------
  42
  43 The Samba KCC will now be the default knowledge consistency checker in
  44 Samba AD. Instead of using full mesh replication between every DC, the
  45 KCC will set up connections to optimize replication latency and cost
  46 (using site links to calculate the routes). This change should allow
  47 larger domains to function significantly better in terms of replication
  48 traffic and the time spent performing DRS replication.
  49
  50 VLV - Virtual List View
  51 -----------------------
  52
  53 The VLV Control allows applications to page the LDAP directory in the
  54 way you might expect a live phone book application to operate, without
  55 first downloading the entire directory.
  56
  57 DRS Replication for the AD DC
  58 -----------------------------
  59
  60 DRS Replication in Samba 4.5 is now much more efficient in handling
  61 linked attributes, particularly in large domains with over 1000 group
  62 memberships or other links.
  63
  64 Replication is also much more reliable in the handling of tree
  65 renames, such as the rename of an organizational unit containing many
  66 users.  Extensive tests have been added to ensure this code remains
  67 reliable, particularly in the case of conflicts between objects added
  68 with the same name on different servers.
  69
  70 Schema updates are also handled much more reliably.
  71
  72 replPropertyMetaData Changes
  73 ----------------------------
  74
  75 During the development of the DRS replication, tests showed that Samba
  76 stores the replPropertyMetaData object incorrectly.  To address this,
  77 be aware that dbcheck will now detect and offer to fix all objects in
  78 the domain for this error.
  79
  80 Linked attributes on deleted objects
  81 ------------------------------------
  82
  83 In Active Directory, an object that has been tombstoned or recycled
  84 has no linked attributes.  However, Samba incorrectly maintained such
  85 links, slowing replication and run-time performance.  dbcheck now
  86 offers to remove such links, and they are no longer kept after the
  87 object is tombstoned or recycled.
  88
  89 Improved AD DC performance
  90 --------------------------
  91
  92 Many other improvements have been made to our LDAP database layer in
  93 the AD DC, to improve performance, both during samba-tool domain
  94 provision and at runtime.
  95
  96 Other dbcheck improvements
  97 --------------------------
  98
  99  - samba-tool dbcheck can now find and fix a missing or corrupted
 100    'deleted objects' container.
 101  - BUG 11433: samba-dbcheck no longer offers to resort auxiliary class values
 102    in objectClass as these were then re-sorted at the next dbcheck indefinitely.
 103
 104 Tombstone Reanimation
 105 ---------------------
 106
 107 Samba now supports tombstone reanimation, a feature in the AD DC
 108 allowing tombstones, that is objects which have been deleted, to be
 109 restored with the original SID and GUID still in place.
 110
 111 Multiple DNS Forwarders on the AD DC
 112 ------------------------------------
 113
 114 Multiple DNS forwarders are now supported on the AD DC, allowing
 115 samba to fall back between two different DNS servers for forwarded queries.
 116
 117 Password quality plugin support in the AD DC
 118 --------------------------------------------
 119
 120 The check password script now operates correctly in the AD DC (this
 121 was silently ignored in past releases)
 122
 123 pwdLastSet is now correctly honoured
 124 ------------------------------------
 125
 126 BUG 9654: the pwdLastSet attribute is now correctly handled (this previously
 127 permitted passwords that next expire).
 128
 129 net ads dns unregister
 130 ----------------------
 131
 132 It is now possible to remove the DNS entries created with 'net ads register'
 133 with the matching 'net ads unregister' command.
 134
 135 Samba-tool improvements
 136 ------------------------
 137
 138 Running samba-tool on the command line should now be a lot snappier. The tool
 139 now only loads the code specific to the subcommand that you wish to run.
 140
 141 SMB 2.1 Leases enabled by default
 142 ---------------------------------
 143
 144 Leasing is an SMB 2.1 (and higher) feature which allows clients to
 145 aggressively cache files locally above and beyond the caching allowed
 146 by SMB 1 oplocks. This feature was disabled in previous releases, but
 147 the SMB2 leasing code is now considered mature and stable enough to be
 148 enabled by default.
 149
 150 Open File Description (OFD) Locks
 151 ---------------------------------
 152
 153 On systems that support them (currently only Linux), the fileserver now
 154 uses Open File Description (OFD) locks instead of POSIX locks to implement
 155 client byte range locks. As these locks are associated with a specific
 156 file descriptor on a file this allows more efficient use when multiple
 157 descriptors having file locks are opened onto the same file. An internal
 158 tunable "smbd:force process locks = true" may be used to turn off OFD
 159 locks if there appear to be problems with them.
 160
 161 Password sync as active directory domain controller
 162 ---------------------------------------------------
 163
 164 The new commands 'samba-tool user getpassword'
 165 and 'samba-tool user syncpasswords' provide
 166 access and syncing of various password fields.
 167
 168 If compiled with GPGME support (--with-gpgme) it's
 169 possible to store cleartext passwords in a PGP/OpenGPG
 170 encrypted form by configuring the new "password hash gpg key ids"
 171 option. This requires gpgme devel and python packages to be installed
 172 (e.g. libgpgme11-dev and python-gpgme on debian/ubuntu).
 173
 174 Python crypto requirements
 175 --------------------------
 176
 177 Some samba-tool subcommands require python-crypto and/or
 178 python-m2crypto packages to be installed.
 179
 180 SmartCard/PKINIT improvements
 181 -----------------------------
 182
 183 "samba-tool user create" accepts --smartcard-required
 184 and "samba-tool user setpassword" accepts --smartcard-required
 185 and --clear-smartcard-required.
 186
 187 Specifying --smartcard-required results in the UF_SMARTCARD_REQUIRED
 188 flags being set in the userAccountControl attribute.
 189 At the same time the account password is reset to a random
 190 NTHASH value.
 191
 192 Interactive password logons are rejected, if the UF_SMARTCARD_REQUIRED
 193 bit is set in the userAccountControl attribute of a user.
 194
 195 When doing a PKINIT based kerberos logon the KDC adds the
 196 required PAC_CREDENTIAL_INFO element to the authorization data.
 197 That means the NTHASH is shared between the PKINIT based client and
 198 the domain controller, which allows the client to do NTLM based
 199 authentication on behalf of the user. It also allows on offline
 200 logon using a smartcard to work on Windows clients.
 201
 202 CTDB changes
 203 ------------
 204
 205 * The use of real-time scheduling when taking locks has been narrowed
 206   to limit potential performance impacts on nodes
 207
 208 * CTDB_RECOVERY_LOCK now supports specification of an external helper
 209   to take and hold the recovery lock
 210
 211   See the RECOVERY LOCK section in ctdb(7) for details.  Documentation
 212   for writing helpers is provided in doc/cluster_mutex_helper.txt.
 213
 214 * "ctdb natgwlist" has been replaced by a top level "ctdb natgw"
 215   command that has "master", "list" and "status" subcommands
 216
 217 * The onnode command no longer supports the "recmaster", "lvs" and
 218   "natgw" node specifications
 219
 220 * Faster resetting of TCP connections to public IP addresses during
 221   failover
 222
 223 * Tunables MaxRedirectCount, ReclockPingPeriod,
 224   DeferredRebalanceOnNodeAdd are now obsolete/ignored
 225
 226 * "ctdb listvars" now lists all variables, including the first one
 227
 228 * "ctdb xpnn", "ctdb rebalanceip" and "ctdb rebalancenode" have been
 229   removed
 230
 231   These are not needed because "ctdb reloadips" should do the correct
 232   rebalancing.
 233
 234 * Output for the following commands has been simplified:
 235
 236     ctdb getdbseqnum
 237     ctdb getdebug
 238     ctdb getmonmode
 239     ctdb getpid
 240     ctdb getreclock
 241     ctdb getpid
 242     ctdb pnn
 243
 244   These now simply print the requested output with no preamble.  This
 245   means that scripts no longer need to strip part of the output.
 246
 247   "ctdb getreclock" now prints nothing when the recovery lock is not
 248   set.
 249
 250 * Output for the following commands has been improved:
 251
 252   ctdb setdebug
 253   ctdb uptime
 254
 255 * "ctdb process-exists" has been updated to only take a PID argument
 256
 257   The PNN can be specified with -n <PNN>.  Output also cleaned up.
 258
 259 * LVS support has been reworked - related commands and configuration
 260   variables have changed
 261
 262   "ctdb lvsmaster" and "ctdb lvs" have been replaced by a top level
 263   "ctdb lvs" command that has "master", "list" and "status"
 264   subcommands.
 265
 266   See the LVS sections in ctdb(7) and ctdbd.conf(5) for details,
 267   including configuration changes.
 268
 269 * Improved sample NFS Ganesha call-out
 270
 271
 272
 273 REMOVED FEATURES
 274 ================
 275
 276 only user and username parameters
 277 ---------------------------------
 278 These two parameters have long been deprecated and superseded by
 279 "valid users" and "invalid users".
 280
 281
 282 smb.conf changes
 283 ================
 284
 285   Parameter Name                Description             Default
 286   --------------                -----------             -------
 287   kccsrv:samba_kcc              Changed default         yes
 288   ntlm auth                     Changed default         no
 289   only user                     Removed
 290   password hash gpg key ids     New
 291   smb2 leases                   Changed default         yes
 292   username                      Removed
 293
 294
 295 KNOWN ISSUES
 296 ============
 297
 298 Currently none.
 299
 300 #######################################
 301 Reporting bugs & Development Discussion
 302 #######################################
 303
 304 Please discuss this release on the samba-technical mailing list or by
 305 joining the #samba-technical IRC channel on irc.freenode.net.
 306
 307 If you do report problems then please try to send high quality
 308 feedback. If you don't provide vital information to help us track down
 309 the problem then you will probably be ignored.  All bug reports should
 310 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 311 database (https://bugzilla.samba.org/).
 312
 313
 314 ======================================================================
 315 == Our Code, Our Bugs, Our Responsibility.
 316 == The Samba Team
 317 ======================================================================
 318