配置和使用 CUPS 打印服务器

流程

1. 安装 cups 软件包：

   # dnf install cups

2. 如果您将 CUPS 配置为打印服务器，请编辑 /etc/cups/cupsd.conf 文件，并进行以下更改：

   1. 如果要远程配置 CUPS 或将这个主机用作打印服务器，请配置服务侦听的 IP 地址和端口：

      Listen 192.0.2.1:631
      Listen [2001:db8:1::1]:631

      默认情况下，CUPS 仅侦听 localhost 接口(127.0.0.1 和 ::1)。在方括号中指定 IPv6 地址。

      重要

      不要将 CUPS 配置为侦听允许从不可信网络（如互联网）访问的接口。

   2. 通过在 <Location /> 指令中允许相应的 IP 范围来配置哪些 IP 范围可以访问该服务：

      <Location />
        Allow from 192.0.2.0/24
        Allow from [2001:db8:1::1]/32
        Order allow,deny
      </Location>

   3. 在 <Location /admin> 指令中，配置哪些 IP 地址和范围可以访问 CUPS 管理服务：

      <Location /admin>
        Allow from 192.0.2.15/32
        Allow from [2001:db8:1::22]/128
        Order allow,deny
      </Location>

      使用这些设置时，只有 IP 地址为 192.0.2.15 和 2001:db8:1::22 的主机才能访问管理服务。

   4. 可选：配置允许访问 web 界面中配置和日志文件的 IP 地址和范围：

      <Location /admin/conf>
        Allow from 192.0.2.15/32
        Allow from [2001:db8:1::22]/128
        ...
      </Location>
      
      <Location /admin/log>
        Allow from 192.0.2.15/32
        Allow from [2001:db8:1::22]/128
        ...
      </Location>

3. 如果您运行 firewalld 服务并希望配置对 CUPS 的远程访问，请在 firewalld 中打开 CUPS 端口：

   # firewall-cmd --permanent --add-port=631/tcp
   # firewall-cmd --reload

   如果您在有多个接口的主机上运行 CUPS，请考虑限制对所需网络的访问。

4. 启用并启动 cups 服务：

   # systemctl enable --now cups

流程

1. 编辑 /etc/cups/cups-files.conf 文件，并添加以下设置来禁用自签名证书的自动创建：

   CreateSelfSignedCerts no

2. 删除自签名证书和私钥：

   # rm /etc/cups/ssl/<hostname>.crt /etc/cups/ssl/<hostname>.key

3. 可选：显示服务器的 FQDN：

   # hostname -f
   server.example.com

4. 可选：显示证书的 CN 和 SAN 字段：

   # openssl x509 -text -in /etc/cups/ssl/server.example.com.crt
   Certificate:
     Data:
       ...
       Subject: CN = server.example.com
       ...
       X509v3 extensions:
         ...
         X509v3 Subject Alternative Name:
           DNS:server.example.com
     ...

5. 如果服务器证书中的 CN 或 SAN 字段包含与服务器的 FQDN 不同的别名，请将 ServerAlias 参数添加到 /etc/cups/cupsd.conf 文件中：

   ServerAlias alternative_name.example.com

   在这种情况下，使用替代名称而不是流程其余部分中的 FQDN。

6. 将私钥和服务器证书存储在 /etc/cups/ssl/ 目录中，例如：

   # mv /root/server.key /etc/cups/ssl/server.example.com.key
   # mv /root/server.crt /etc/cups/ssl/server.example.com.crt

   重要

   CUPS 要求您将私钥命名私钥 <fqdn>.key 和服务器证书文件 < fqdn>.crt。如果使用别名，则必须命名文件 <alias>.key 和 <alias>.crt。

7. 在私钥上设置安全权限，使只有 root 用户能够读取此文件：

   # chown root:root /etc/cups/ssl/server.example.com.key
   # chmod 600 /etc/cups/ssl/server.example.com.key

   因为证书是客户端和服务器之间在建立安全连接之前通信的一部分，所以，任何客户端都可以检索证书，而不需要身份验证。因此，您不需要对服务器证书文件设置严格的权限。

8. 恢复 SELinux 上下文：

   # restorecon -Rv /etc/cups/ssl/

9. 默认情况下，CUPS 仅在任务需要身份验证时才强制实施加密连接，例如在 web 界面中对 /admin 页面执行管理任务时。

   要为整个 CUPS 服务器强制实施加密，请将 Encryption Required 添加到 /etc/cups/cupsd.conf 文件中的所有 <Location> 指令中，例如：

   <Location />
     ...
     Encryption Required
   </Location>

10. 重启 CUPS：

    # systemctl restart cups

验证

1. 使用浏览器并访问 https://<hostname>:631/admin/。如果连接成功，您可以在 CUPS 中正确配置 TLS 加密。
2. 如果需要为整个服务器配置该加密，请访问 http://<hostname>:631/。本例中，CUPS 返回一个 Upgrade Required 错误。

流程

1. 为 CUPS 管理员创建一个组：

   # groupadd cups-admins

2. 将应在 web 界面中管理服务的用户添加到 cups-admins 组：

   # usermod -a -G cups-admins <username>

3. 更新 /etc/cups/cups-files.conf 文件中 SystemGroup 参数的值，并附加 cups-admin 组：

   SystemGroup sys root wheel cups-admins

   如果只有 cups-admin 组应该具有管理访问权限，请从参数中删除其他组名称。

4. 重启 CUPS：

   # systemctl restart cups

验证

1. 使用浏览器并访问 https://<hostname_or_ip_address>:631/admin/。

   注意

   只有在使用 HTTPS 协议时，才能访问 Web UI 中的管理区域。

2. 开始执行管理任务。例如，单击 Add printer。

3. Web 界面会提示输入用户名和密码。要继续操作，请使用 cups-admins 组成员的用户的凭证进行身份验证。

   如果身份验证成功，此用户可以执行管理任务。

流程

1. 使用浏览器并访问 https://<hostname>:631/admin/。

   您必须使用 HTTPS 协议连接到 Web 界面。否则，因为安全的原因，CUPS 会防止您在以后的步骤中进行身份验证。

2. 单击 Add printer。
3. 如果您还没有验证，CUPS 会提示输入管理用户的凭证。输入授权用户的用户名和密码。
4. 如果您决定不使用无驱动程序打印，并且要添加的打印机被自动检测到，请选择它，然后单击 Continue。

5. 如果没有检测到打印机：

   1. 选择打印机支持的协议。

      

      如果您的打印机支持无驱动程序打印，且您想要使用此功能，请选择 ipp 或 ipps 协议。

   2. 点 Continue。

   3. 输入打印机的 URL 或远程打印服务器上的队列。

      
   4. 点 Continue。

6. 输入名称，描述和位置是可选的。如果您使用 CUPS 作为打印服务器，而其他客户端应该能够通过这个打印机上的 CUPS 打印，请选择" Share this printer 。

   

7. 在 Make 列表中选择打印机制造商。如果打印机制造商不在列表中，请选择 Generic 或为打印机上传一个 PPD 文件。

   
8. 点 Continue。

9. 选择打印机型号：

   • 如果打印机支持无驱动程序打印，请选择 IPP Everywhere。请注意，如果您之前在本地安装了特定于打印机的驱动程序，则列表可能还包含 <printer_name> - IPP Everywhere 等条目。
   • 如果打印机不支持无驱动程序打印，请选择型号或为打印机上传 PPD 文件。
   
10. 点 Add Printer

11. Set printer options 页面上的设置和标签页取决于驱动程序以及打印机支持的功能。使用此页面设置默认选项，比如用于纸张大小。

    
12. 点 Set default options。

验证

1. 在 Web 界面中打开 Printers 选项卡。
2. 单击打印机的名称。

3. 在 Maintenance 列表中，选择 Print test page。

   

验证

1. 显示可用的打印机：

   # lpstat -p
   printer Demo-printer is idle. enabled since Fri 23 Jun 2023 09:36:40 AM CEST

2. 打印测试页：

   # lp -d Demo-printer /usr/share/cups/data/default-testpage.pdf

流程

1. 使用浏览器并访问 https://<hostname>:631/printers/。

   您必须使用 HTTPS 协议连接到 Web 界面。否则，因为安全的原因，CUPS 会防止您在以后的步骤中进行身份验证。

2. 点击您要配置的打印机的名称。

3. 根据您要执行维护还是管理任务，从对应的列表中选择所需的操作：

   
4. 如果您还没有验证，CUPS 会提示输入管理用户的凭证。输入授权用户的用户名和密码。
5. 执行任务。

流程

1. 安装 samba-krb5-printing、samba-client 和 krb5-workstation 软件包：

   # dnf install samba-krb5-printing samba-client krb5-workstation

2. 可选： 作为域管理员授权并显示 Windows 打印服务器上共享的打印机列表：

   # smbclient -L win_print_srv.ad.example.com -U administrator@AD_KERBEROS_REALM --use-kerberos=required
   
   	Sharename       Type      Comment
   	---------       ----      -------
   	...
   	Example         Printer   Example
   	...

3. 可选：显示 CUPS 模型列表以识别打印机的 PPD 名称：

   lpinfo -m
   ...
   samsung.ppd Samsung M267x 287x Series PXL
   ...

   在下一步中添加打印机时，需要 PPD 文件的名称。

4. 在 CUPS 中添加打印机：

   # lpadmin -p "example_printer" -v smb://win_print_srv.ad.example.com/Example -m samsung.ppd -o auth-info-required=negotiate -E

   该命令使用以下选项：

   • -p printer_name 在 CUPS 中设置打印机的名称。
   • -v URI_to_Windows_printer 将 URI 设置为 Windows 打印机。使用以下格式：smb://host_name/printer_share_name.
   • -m PPD_file 设置打印机使用的 PPD 文件。
   • -o auth-info-required=negotiate 配置 CUPS ，以在将打印作业转发到远程服务器时使用 Kerberos 身份验证。
   • -e 启用打印机，CUPS 接受打印机的作业。

验证

1. 以 AD 域用户身份登录到 RHEL 主机。

2. 以 AD 域用户身份进行身份验证：

   # kinit domain_user_name@AD_KERBEROS_REALM

3. 将文件输出到您添加到本地 CUPS 打印服务器的打印机：

   # lp -d example_printer file

流程

1. 编辑 /etc/cups/cups-browsed.conf 文件并进行以下更改：

   1. 为您要轮询的每个远程 CUPS 服务器添加 BrowsePoll 参数：

      BrowsePoll remote_cups_server.example.com
      BrowsePoll 192.0.2.100:1631

      如果远程 CUPS 服务器侦听与 631 不同的端口，请将 :<port> 附加到主机名或 IP 地址。

   2. 可选：配置过滤器来限制本地 CUPS 服务中显示的打印机。例如，要过滤名称包含 sales_ 的队列，请添加：

      BrowseFilter name sales_

      您可以根据不同的字段名称进行过滤，对过滤取反，并匹配确切的值。详情请查看 cups-browsed.conf (5) 手册页中的参数描述和示例。

   3. 可选：更改轮询间隔和超时来限制浏览周期数：

      BrowseInterval 1200
      BrowseTimeout 6000

      以相同的比例增加 BrowseInterval 和 BrowseTimeout，以避免打印机从浏览列表中消失的情况。这意味着，将 BrowseInterval 的值乘以 5 或更高的整数，并将这个结果值用于 BrowseTimeout。

      默认情况下，cups-browsed 每 60 秒轮询远程服务器，超时为 300 秒。但是，在有多个队列的打印服务器上，这些默认值可能会花费很多资源。

2. 启用并启动 cups-browsed 服务：

   # systemctl enable --now cups-browsed

流程

1. 编辑 /etc/cups/cups-files.conf 文件，并将 AccessLog、ErrorLog 和 PageLog 参数设置为您要存储这些日志文件的路径：

   AccessLog /var/log/cups/access_log
   ErrorLog /var/log/cups/error_log
   PageLog /var/log/cups/page_log

2. 如果您将 CUPS 配置为将日志存储在 /var/log/cups/ 以外的目录中，请在该目录上设置 cupsd_log_t SELinux 上下文，例如：

   # semanage fcontext -a -t cupsd_log_t "/var/log/printing(/.*)?"
   # restorecon -Rv /var/log/printing/

3. 重启 cups 服务：

   # systemctl restart cups

验证

1. 显示日志文件：

   # cat /var/log/cups/access_log
   # cat /var/log/cups/error_log
   # cat /var/log/cups/page_log

2. 如果您将 CUPS 配置为将日志存储在 /var/log/cups/ 以外的目录中，请验证日志目录中的 SELinux 上下文是否为 cupsd_log_t:

   # ls -ldZ /var/log/printing/
   drwxr-xr-x. 2 lp sys unconfined_u:object_r:cupsd_log_t:s0 6 Jun 20 15:55 /var/log/printing/

流程

1. 使用浏览器并访问 http://<hostname_or_ip_address>:631/help/:

   
2. 展开 Online Help Documents 中的条目，然后选择您要阅读的文档。