SP1: NTP Zeitsync ohne Domaine

[photi 10]

Hallo zusammen,

 

folgendes Problem. Wir haben sehr viele Clients, welche sich alle in einer Arbeitsgruppe befinden. Alle diese Clients greifen zwecks Zeitsync auf einen Zentralen 2k3 SP1 Server zu um sich die aktuelle Zeit abzuholen.

Seit wir dort das SP1 nachinstalliert haben, können die Clients nicht mehr auf diesen Server zugreifen, ausser man lockt sich mit dem Admin Account des Servers auf dem Client ein... Die zeitsync Software arbeitet als Service unter dem System Account.

 

Help me :cry: :cry:

 

Tks Photi

[photi 10]

Ich möchte das Problem noch mal etwas genauer beschreiben...

 

Wir haben einen Zeit Server. Welcher nun von Win2k auf 2k3 portiert wurde.

Seit diesem Update können sich alle Clients nicht mehr Syncronisieren.

 

Sonst wurde nichts verändert.

 

Weitere infos:

- Clients: Win 95,98,NT,2000,XP,2k3

- Zeitsync über einen externes Tool (DCF77 Client) welches als Service auf den einzelnen Windows CLients läuft.

- Clients haben andere User und Passwörter als der Server

 

Ich weiss, dass man den Service auf einem gemeinsamen Admin Account starten könnte. Dann läufts. Aber ich kann diese Änderung nicht an hunderten Rechnern anpassen. Beim alten Server ging es auch. Gibt es eine Setting, welche ich in 2k3 anpassen kann, damit die Security etwas lockerer wird?

 

tks a lot...

[photi 10]

Noch mal anders gefragt, gibt es eine Möglichkeit von einem 2k3 Server die Zeit über NTP abzuholen (nur lesen) ohne Rechte auf diesem Server zu haben?????

[photi 10]

Noch mal anders...

 

Der Rechner autentifiziert sich am 2k3 Server wie folgt:

Netzwerklogon über NTLM NT AUTHORITY\ANONYMOS LOGON

 

wie kann ich einem solchen Logon unter 2k3 gewähren? Welche ****e Securtity Einstellung hat dies verbogen......

[photi 10]

ich habe gerade was interessantes entdeckt. allerdings werde ich nicht richtig schlau daraus...

 

Quelle: Microsoft Corporation

 

Service Compatibility

In Windows NT 4.0 and earlier server operating systems, services running in the context of the Local System account communicate with other services over the network by using null sessions (a session in which a user name or password is not provided). In Windows 2000 and later operating systems, services running in the context of the Local System account on the local computer use the local computer account to authenticate to other servers. By default, Active Directory does not accept null session queries.

 

Of all the services that run in the context of the Local System account, Remote Access Services (RAS) is the most prominent. You cannot use null sessions to access network resources by using NTLM authentication unless the remote computer allows access with null credentials.

 

.............

 

– Or –

 

Add the Everyone group and the Anonymous Logon group to the Pre-Windows 2000 Compatible Access built-in group by using Active Directory Users and Computers or the command line.

 

 

To add the Everyone group to the Pre-Windows 2000 Compatible Access Group by using the command line

• At the command line, type:

 

net localgroup "Pre-Windows 2000 Compatible Access" Everyone /add

 

 

 

To add the Anonymous Logon group to the Pre-Windows 2000 Compatible Access Group by using the command line

• At the command line, type:

 

net localgroup "Pre-Windows 2000 Compatible Access" “Anonymous Logon

 

/add

 

..........

 

------------------------------

 

Doch das Funktioniert bei mir leider nicht... Was ist hier mit "Pre-Windows 2000 Compatible Access" gemeint?

[photi 10]

OK das mit der Gruppe habe ich wohl kapiert. Auf einem 2k3 DC gibt es diese Gruppe standard mässig. Diese Gruppe hat lese Rechte auf alle User und Gruppen. Sowiet die Definition. Nun das keine Problem... Ich habe keinen DC! kann ich mir diese Gruppe irgendwie selber bauen??? Also nicht nur den gruppen Namen anlegen, sondern auch die Settings wie bei einem DC übernehmen... Wenn ich einen DC Hätte, könnte ich diese Dort das exportieren und auf den 2k3 Server ohne DC importieren?

 

Irgendwie antworte ich mir glaube ich meistens / immer selber, oder???

[photi 10]

Ich habe eine neue Information vom Systemhersteller erhalten...

 

Dieser benutzt für das Tool die Funktion netremotetod und nicht wie fälschlicher weise gedacht den ntp dienst. Über diese Windows Standard funktion greift er von einem beliegigen Rechner die Zeit ab. So wie es aussieht hat er aber bei einem Windows 2003 Server als Quelle, genau dabei Probleme...

Kennt jemand diese Funktion, hat jemand eine Idee?

tks. :ausschau:

 

:laola: