配置和使用 CUPS 打印服务器

流程

1. 安装 cups 软件包：

   # dnf install cups

2. 如果您将 CUPS 配置为打印服务器，请编辑 /etc/cups/cupsd.conf 文件，并进行以下更改：

   1. 如果要远程配置 CUPS 或将这个主机用作打印服务器，请配置服务侦听哪个 IP 地址和端口：

      Listen 192.0.2.1:631
      Listen [2001:db8:1::1]:631

      默认情况下，CUPS 仅侦听 localhost 接口(127.0.0.1 和 ::1)。在方括号中指定 IPv6 地址。

      重要

      不要将 CUPS 配置为侦听允许从不可信网络（如互联网）访问的接口。

   2. 通过允许 <Location /> 指令中的 IP 范围来配置哪些 IP 范围可以访问服务：

      <Location />
        Allow from 192.0.2.0/24
        Allow from [2001:db8:1::1]/32
        Order allow,deny
      </Location>

   3. 在<Location /admin> 指令中，配置哪些 IP 地址和范围可以访问 CUPS 管理服务：

      <Location /admin>
        Allow from 192.0.2.15/32
        Allow from [2001:db8:1::22]/128
        Order allow,deny
      </Location>

      使用这些设置时，只有 IP 地址为 192.0.2.15 和 2001:db8:1::22 的主机才能访问管理服务。

   4. 可选：配置允许访问 web 界面中的配置和日志文件的 IP 地址和范围：

      <Location /admin/conf>
        Allow from 192.0.2.15/32
        Allow from [2001:db8:1::22]/128
        ...
      </Location>
      
      <Location /admin/log>
        Allow from 192.0.2.15/32
        Allow from [2001:db8:1::22]/128
        ...
      </Location>

3. 如果您运行 firewalld 服务，并希望配置对 CUPS 的远程访问，请在 firewalld 中打开 CUPS 端口：

   # firewall-cmd --permanent --add-port=631/tcp
   # firewall-cmd --reload

   如果您在有多个接口的主机上运行 CUPS，请考虑限制对所需网络的访问。

4. 启用并启动 cups 服务：

   # systemctl enable --now cups

流程

1. 编辑 /etc/cups/cups-files.conf 文件，并添加以下设置来禁用自动创建自签名证书：

   CreateSelfSignedCerts no

2. 删除自签名证书和私钥：

   # rm /etc/cups/ssl/<hostname>.crt /etc/cups/ssl/<hostname>.key

3. 可选：显示服务器的 FQDN：

   # hostname -f
   server.example.com

4. 将私钥和服务器证书存储在 /etc/cups/ssl/ 目录中，例如：

   # mv /root/server.key /etc/cups/ssl/server.example.com.key
   # mv /root/server.crt /etc/cups/ssl/server.example.com.crt

   重要

   CUPS 要求您将私钥命名为 <fqdn>.key ，将服务器证书文件命名为 <fqdn>.crt。如果使用别名，则必须将文件命名为 <alias>.key 和 <alias>.crt。

5. 对私钥设置安全权限，以使只有 root 用户可以读取此文件：

   # chown root:root /etc/cups/ssl/server.example.com.key
   # chmod 600 /etc/cups/ssl/server.example.com.key

   因为在客户端和服务器建立安全连接之前，证书是它们之间通信的一部分，所以任何客户端都可以检索证书，而无需身份验证。因此，您不需要对服务器证书文件设置严格的权限。

6. 恢复 SELinux 上下文：

   # restorecon -Rv /etc/cups/ssl/

7. 可选：显示证书的 CN 和 SAN 字段：

   # openssl x509 -text -in /etc/cups/ssl/server.example.com.crt
   Certificate:
     Data:
       ...
       Subject: CN = server.example.com
       ...
       X509v3 extensions:
         ...
         X509v3 Subject Alternative Name:
           DNS:server.example.com
     ...

8. 如果服务器证书中的 CN 或 SAN 字段包含与服务器的 FQDN 不同的别名，请将 ServerAlias 参数添加到 /etc/cups/cupsd.conf 文件中：

   ServerAlias alternative_name.example.com

   在这种情况下，使用替代名称而不是流程剩余部分中的 FQDN。

9. 默认情况下，CUPS 仅在任务需要身份验证时才强制实施加密的连接，例如在 web 界面中的 /admin 页面中执行管理任务时。

   要为整个 CUPS 服务器强制实施加密，请将 Encryption Required 添加到 /etc/cups/cupsd.conf 文件中的所有 <Location> 指令中，例如：

   <Location />
     ...
     Encryption Required
   </Location>

10. 重启 CUPS：

    # systemctl restart cups

验证

1. 使用浏览器并访问 https://<hostname>:631/admin/。这要求您的浏览器信任 CA 证书。如果连接成功，则您正确地在 CUPS 中配置了 TLS 加密。
2. 如果您为整个服务器所需的该加密，请访问 http://<hostname>:631/。本例中，CUPS 返回一个 Upgrade Required 错误。

流程

1. 为 CUPS 管理员创建一个组：

   # groupadd cups-admins

2. 将应在 web 界面中管理服务的用户添加到 cups-admins 组中：

   # usermod -a -G cups-admins <username>

3. 更新 /etc/cups/cups-files.conf 文件中 SystemGroup 参数的值，并附加 cups-admin 组：

   SystemGroup sys root wheel cups-admins

   如果只有 cups-admin 组应该具有管理访问权限，请从参数中删除其他组名称。

4. 重启 CUPS：

   # systemctl restart cups

验证

1. 使用浏览器并访问 https://<hostname_or_ip_address>:631/admin/。

   注意

   只有在使用 HTTPS 协议时，才能访问 Web UI 中的管理区域。

2. 开始执行一个管理任务。例如，单击 Add printer。

3. Web 界面会提示输入用户名和密码。要继续操作，请使用其是 cups-admins 组成员的用户凭证进行身份验证。

   如果身份验证成功，此用户可以执行管理任务。

流程

1. 使用浏览器并访问 https://<hostname>:631/admin/。

   您必须使用 HTTPS 协议连接到 Web 界面。否则，CUPS 会因为安全原因在以后的步骤中阻止身份验证。

2. 单击 Add printer。
3. 如果您还没有验证，CUPS 会提示输入管理用户的凭证。输入授权用户的用户名和密码。
4. 如果您决定不使用无驱动程序打印，并且您要添加的打印机可被自动检测到，请选择它，然后单击 Continue。

5. 如果没有检测到打印机：

   1. 选择打印机支持的协议。

      

      如果您的打印机支持无驱动程序打印，且您想要使用此功能，请选择 ipp 或 ipps 协议。

   2. 点 Continue。

   3. 输入到打印机或到远程打印服务器上队列的 URL。

      
   4. 点 Continue。

6. 输入名称，可选输入描述和位置。如果您使用 CUPS 作为打印服务器，而其他客户端应该能够通过这个打印机上的 CUPS 打印，请选择" Share this printer "。

   
7. 在 Make 列表中选择打印机制造商。如果打印机制造商不在列表中，请选择 Generic 或上传一个打印机的 PPD 文件。
8. 点 Continue。

9. 选择打印机型号：

   • 如果打印机支持无驱动程序打印，请选择 IPP Everywhere。请注意，如果您之前在本地安装了特定于打印机的驱动程序，则列表可能还包含诸如 <printer_name> - IPP Everywhere 的条目。
   • 如果打印机不支持无驱动程序打印，请选择型号或上传打印机的 PPD 文件。
   
10. 点 Add Printer

11. Set printer options 页面上的设置和标签页取决于驱动程序以及打印机支持的功能。使用此页面设置默认选项，比如为纸张大小。

    
12. 点 Set default options。

验证

1. 打开 Web 界面中的 打印机 选项卡。
2. 点打印机的名称。
3. 在 Maintenance 列表中，选择 Print test page。

验证

1. 显示可用的打印机：

   # lpstat -p
   printer Demo-printer is idle. enabled since Fri 23 Jun 2023 09:36:40 AM CEST

2. 打印测试页：

   # lp -d Demo-printer /usr/share/cups/data/default-testpage.pdf

流程

1. 使用浏览器并访问 https://<hostname>:631/printers/。

   您必须使用 HTTPS 协议连接到 Web 界面。否则，CUPS 会因为安全原因在以后的步骤中阻止身份验证。

2. 点您要配置的打印机的名称。
3. 根据您是否要执行维护或管理任务，从列表中选择所需的操作。
4. 如果您还没有验证，CUPS 会提示输入管理用户的凭证。输入授权用户的用户名和密码。
5. 执行任务。

流程

1. 安装 samba-krb5-printing、samba-client 和 krb5-workstation 软件包：

   # dnf install samba-krb5-printing samba-client krb5-workstation

2. 可选： 作为域管理员授权并显示 Windows 打印服务器上共享的打印机列表：

   # smbclient -L <windows_print_server> -U administrator@<AD_KERBEROS_REALM> --use-kerberos=required
   
   	Sharename       Type      Comment
   	---------       ----      -------
   	...
   	Example         Printer   Example
   	...

3. 可选：显示 CUPS 模型列表以识别打印机的 PPD 名称：

   lpinfo -m
   ...
   samsung.ppd Samsung M267x 287x Series PXL
   ...

   在下一步中添加打印机时，需要 PPD 文件的名称。

4. 在 CUPS 中添加打印机：

   # lpadmin -p "<printer_name>" -v smb://<windows_print_server>/<printer_share_name> -m samsung.ppd -o auth-info-required=negotiate -E

   该命令使用以下选项：

   • -p <printer_name> 在 CUPS 中设置打印机的名称。
   • -v <URI_to_Windows_printer> 将 URI 设置为 Windows 打印机。使用以下格式：smb://<host_name>/<printer_share_name>。
   • -m <PPD_file> 设置打印机使用的 PPD 文件。
   • -o auth-info-required=negotiate 将 CUPS 配置为在将打印作业转发到远程服务器时使用 Kerberos 身份验证。
   • -e 启用打印机，CUPS 接受打印机的作业。

验证

1. 以 AD 域用户身份登录到 RHEL 主机。

2. 以 AD 域用户身份进行身份验证：

   # kinit <domain_user_name>@<AD_KERBEROS_REALM>

3. 将文件输出到您添加到本地 CUPS 打印服务器的打印机：

   # lp -d <printer_name> <file>

流程

1. 编辑 /etc/cups/cups-browsed.conf 文件，并进行以下更改：

   1. 为您要轮询的每个远程 CUPS 服务器添加 BrowsePoll 参数：

      BrowsePoll remote_cups_server.example.com
      BrowsePoll 192.0.2.100:1631

      如果远程 CUPS 服务器侦听与 631 不同的端口，请将 :_<port>_ 附加到主机名或 IP 地址。

   2. 可选：配置过滤器来限制哪些打印机在本地 CUPS 服务中显示。例如，要过滤名称包含 sales_ 的队列，请添加：

      BrowseFilter name sales_

      您可以根据不同的字段名称、对筛选取反，匹配确切的值来过滤。详情请查看您系统上 cups-browsed.conf (5) 手册页中的参数描述和示例。

   3. 可选：更改轮询间隔和超时来限制浏览周期的数量：

      BrowseInterval 1200
      BrowseTimeout 6000

      按相同比例增加 BrowseInterval 和 BrowseTimeout，以避免打印机从浏览列表中消失的情况。这意味着，将 BrowseInterval 的值乘以 5 或更大的整数，并将这个结果值用于 BrowseTimeout。

      默认情况下，cups-browsed 每 60 秒轮询一次远程服务器，超时为 300 秒。但是，在有许多队列的打印服务器上，这些默认值可能会消耗很多资源。

2. 启用并启动 cups-browsed 服务：

   # systemctl enable --now cups-browsed

流程

1. 编辑 /etc/cups/cups-files.conf 文件，并将 AccessLog、ErrorLog 和 PageLog 参数设置为您要存储这些日志文件的路径：

   AccessLog /var/log/cups/access_log
   ErrorLog /var/log/cups/error_log
   PageLog /var/log/cups/page_log

2. 如果您将 CUPS 配置为将日志存储在 /var/log/cups/ 以外的目录中，请在该目录上设置 cupsd_log_t SELinux 上下文，例如：

   # semanage fcontext -a -t cupsd_log_t "/var/log/printing(/.*)?"
   # restorecon -Rv /var/log/printing/

3. 重启 cups 服务：

   # systemctl restart cups

验证

1. 显示日志文件：

   # cat /var/log/cups/access_log
   # cat /var/log/cups/error_log
   # cat /var/log/cups/page_log

2. 如果您将 CUPS 配置为将日志存储在 /var/log/cups/ 以外的目录中，请验证日志目录上的 SELinux 上下文是否为 cupsd_log_t:

   # ls -ldZ /var/log/printing/
   drwxr-xr-x. 2 lp sys unconfined_u:object_r:cupsd_log_t:s0 6 Jun 20 15:55 /var/log/printing/

流程

1. 在两个或多个服务器上设置 CUPS：

   1. 安装和配置 CUPS。
   2. 启用 TLS 加密。

   3. 使用 lpadmin 工具 或 Web 界面 将打印队列添加到所有 CUPS 实例中。如果使用 Web 界面，请确保在添加打印机时选择 Share this printer 选项。lpadmin 工具默认启用此设置。

      重要

      对于高可用性场景，一个打印服务器上的每个队列都需要一个在其他服务器上具有完全相同的队列名称的队列。您可以使用 lpstat -e 命令显示每个服务器上的队列名称。

      可选：您可以在每台服务器上配置队列，来引用不同的打印机。

2. 在打印客户端上：

   1. 编辑 /etc/cups/cups-browsed.conf 文件，并为每个 CUPS 打印服务器添加 BrowsePoll 指令：

      BrowsePoll print_server_1.example.com:631
      BrowsePoll print_server_2.example.com:631

   2. 启用并启动 cups 和 cups-browsed 服务：

      # systemctl enable --now cups cups-browsed

流程

1. 使用浏览器，并访问 http://<hostname_or_ip_address>:631/help/。
2. 展开 Online Help Documents 中的条目，然后选择您要阅读的文档。