訪問控制
Samba的訪問控制通過hosts allow（配置允許訪問的客戶端）、hosts deny（配置拒絕訪問的客戶端）兩個參數實現。
在Samba中使用hosts allow、hosts deny參數時，該參數可以出現在全局配置部分，用於允許或拒絕可連接到Samba服務器的客戶端，也可以出現在具體的共享資源配置中用於允許或拒絕可訪問該資源的客戶端。如果在全局配置部分的hosts allow、hosts deny優先級與具體共享資源的配置發生沖突時會怎么樣呢？通過Samba的工作過程不難看出Samba客戶端首先要可以連接到Samba服務器，才能訪問其共享資源，所有全局配置部分的hosts allow、hosts deny優先級與具體共享資源的配置發生沖突時使用以下規則。
（1）全局配置中hosts deny指定客戶端，此時無法訪問Samba服務器任何共享資源。
（2）全局配置中hosts allow指定客戶端，分以下幾種情況。
①：如具體共享資源中只指定了hosts deny且與全局配置不沖突時，客戶端可以訪問具體共享資源。
②：如具體共享資源中只指定了hosts allow且是全局配置的子集時，只有具體共享資源中指定的客戶端可以訪問。
③：如具體共享資源中既指定了hosts allow又指定了hosts deny時，首先根據hosts allow與hosts deny生效規則得出具體共享資源允許或拒絕的客戶端，再根據上面兩條規則得出最終的結果。
1.使用IP地址控制
在hosts allow及hosts deny時，可通過使用IP地址精確允許或拒絕特定客戶端訪問Samba服務器，下面看幾個例子。
（1）不允許IP地址為192.168.0.20的客戶端訪問Samba服務器上的smbtest目錄。
[smbtest]
path = /test
hosts deny = 192.168.0.20
（2）只允許IP地址為192.168.0.25的客戶端訪問Samba服務器上的smbtest目錄。
[smbtest]
path = /test
hosts allow = 192.168.0.25
（3）下面的例子中，IP地址為192.168.0.99的客戶端可以訪問Samba服務器上的smbtest目錄嗎？當然是允許訪問，為什么呢？因為在Samba中hosts allow比hosts deny優先級要高。
[smbtest]
path = /test
hosts allow = 192.168.0.99
hosts deny = 192.168.0.99
2.使用網段控制
在hosts allow及hosts deny時，可通過使用子網允許或拒絕特定客戶端訪問Samba服務器，在表示子網時可以使用192.168.0.0/24、192.168.0.或192.168.0.0/255.255.255.0表示192.168.0.0子網掩碼24位子網。下面看幾個例子。
（1）不允許192.168.0.0/24所有客戶端訪問Samba服務器上的smbtest目錄。
[smbtest]
path = /test
hosts deny = 192.168.0.
（2）只允許192.168.0.0/24所有客戶端訪問Samba服務器上的smbtest目錄。
[smbtest]
path = /test
hosts allow = 192.168.0.
（3）不允許192.168.0.0/24但不包括192.168.0.99的客戶端訪問Samba服務器上的smbtest目錄。
[smbtest]
path = /test
hosts deny = 192.168.0.
hosts allow = 192.168.0.99
（4）只允許192.168.0.0/24但不包括192.168.0.99的客戶端訪問Samba服務器上的smbtest目錄。
[smbtest]
path = /test
hosts allow = 192.168.0. EXCEPT 192.168.0.99
3.使用域名控制
在hosts allow及hosts deny時，可通過使用域名允許或拒絕特定客戶端訪問Samba服務器器，在表示域名時可以使用FQDN表示某個具體的客戶端或用域名表示某個域的所有客戶端。下面看幾個例子。
（1）不允許FQDN為client1.example.com的客戶端訪問Samba服務器上的smbtest目錄。
[smbtest]
path = /test
hosts deny = client1.example.com.
（2）只允許example.com域的所有客戶端訪問Samba服務器上的smbtest目錄。
[smbtest]
path = /test
hosts allow = .example.com
（3）不允許example.com區域但不包括192.168.0.99的客戶端訪問Samba服務器上的smbtest目錄。
[smbtest]
path = /test
hosts deny = .example.com
hosts allow = 192.168.0.99
（4）只允許example.com但不包括IP地址為192.168.0.99的客戶端訪問Samba服務器上的smbtest目錄。
[smbtest]
path = /test
hosts allow = .example.com EXCEPT 192.168.0.99
4.使用通配符控制
在hosts allow及hosts deny時，可通過使用通配符代表特定客戶端集。可以使用的通配符主要有：ALL表示所有客戶端，*表示任意個字符，?表示一個字符，LOCAL表示本地計算機。下面看幾個例子。
（1）拒絕除了192.168.0.99及192.168.0.100以外的所有客戶端訪問Samba服務器上的smbtest目錄。
[smbtest]
path = /test
hosts deny = ALL
#多個匹配條件需用空格分隔。
hosts allow = 192.168.0.99 192.168.0.100
（2）除了192.168.0.0/24網段的客戶端（不包括192.168.0.99）以外拒絕所有客戶端訪問Samba服務器上的smbtest目錄。
[smbtest]
path = /test
hosts deny = ALL
hosts allow = 192.168.0 EXCEPT 192.168.0.99
對於使用hosts allow及hosts deny的各種形式，看一個綜合例子：只允許192.168.0.0/24、192.168.1.0/24及192.168.2.0/24連接到Samba服務器，只允許.example.com域，但不包括192.168.0.99的客戶端訪問名為smbtest的共享目錄，只允許192.168.1.0/24的客戶端訪問名為smbtest1的共享。
（1）在[global]標簽下加入如下參數。
[global]
hosts allow = lo 192.168.0. 192.168.1. 192.168.2.
（2）在具體共享資源中加入如下參數。
[smbtest]
path = /test
hosts allow = .example.com EXCEPT 192.168.0.99
[smbtest1]
path = /test1
hosts allow = 192.168.1.
轉載：http://blog.sina.com.cn/s/blog_63c8c46401014umd.html