Zugriff auf Ordner ausserhalb der Domäne

[Saturn 10]

Hoi zusammen,

 

Für ein Programm (SalesLogic) muss ein bestimmter Ordner (slxlog$) freigegeben sein. Bei den Usern innerhalb der Domäne funktioniert es auch wunderbar. Nun gibt es aber User, welche das Programm auch haben, jedoch nicht in der Domäne sind. Nun möchte ich den Ordner für alle Freigeben.

In der Security habe ich Anonymous Logon hinzugefügt und die Berechtigungen erteilt. Auch unter der Lokalen Sicherheits Policy des Servers habe ich unter "Network acces - shares that can be accessed anonymously" den Ordner "slxlog$" hinzugefügt.

 

Wenn ich es nun von ausserhalb der Domäne teste, funktioniert es nicht. Wahrscheinlich habe ich irgend eine Einstellung übersehen....

 

Gruss im voraus

 

Christoph

[IThome 10]

Anonymous bringt da nichts, da die Anmeldungen der Benutzer ausserhalb der Domäne einfach nicht anonym erfolgen. Entweder legst Du in der Domäne die Benutzerkonten samt Kennwörter so an, wie sie sich auf den Workstations anmelden. Oder Du aktivierst das Gastkonto und gibst die Berechtigung der Gruppe Jeder oder Gäste oder Du gibst beim Verbinden mit der Freigabe die Benutzerdaten mit und zwar solche, die es in der Domäne gibt und die Zugriffsberechtigungen haben ...

[Saturn 10]

Danke für deine rasche Antwort,

 

Das Guest Konto ist aktiviert und auch die Gruppe Guest, in welcher er sich befindet.

In der Security habe ich den User hinzugefügt und die Berechtigungen erteilt, im Reiter Sharing habe ich die Zugriffe auf Jeder, Gast etc. gegeben. Jedoch frägt er mich ausserhalb der Domäne immer noch nach Username und Password

[IThome 10]

Du musst auch in den NTFS-Berechtigungen Jeder oder Gäste zufügen. Bei Gastauthentifizierung werden alle als Gast authentifiziert und nicht als individueller Benutzer (zumindest nicht, wenn es solch ein Konto nicht gibt) ...

Hat das Gastkonto ein Kennwort ?

[Saturn 10]

Habe ich hinzugefügt, jedoch nur auf lokaler Ebene und nicht übers AD, da ich dort keine Berechtigungen habe...

[IThome 10]

Ist das ein DC, auf dem die Dateien liegen oder ist es ein Memberserver ? Hat das Gastkonto auf diesem Server ein Kennwort ? Ist dieses Gastkonto aktiviert ? Was passiert, wenn Du \\<Servername> auf einem Nichtmember eingibst ? Bekommst Du eine Anmeldemaske, bekommst Du sofort ein Zugriff verweigert oder siehst Du die Freigaben und bekommst ein Zugriff verweigert, wenn Du auf eine Freigabe doppelklickst ?

[Saturn 10]

Es ist ein Memberserver, nicht domain controller. Das Gastkonto sollte kein Kennwort haben, laut Serverteam ist es auch im AD aktiviert. Auf dem einen Server kommt Zugriff verweigert, auf dem anderen kommt eine Anmeldemaske. Jedoch die Einstellungen sind auf beidem Server gleich.

[IThome 10]

Wenn ein Kennwort gefordert wird, dann ist entweder das Gastkonto nicht aktiv oder der Gast hat ein Kennwort. Wird schon beim Aufruf von \\<Servername> der Zugriff verweigert, kommt es drauf, was genau in der Fehlermeldung steht. Auf diesem Server müsste geprüft werden, ob dem Gastkonto der Zugriff über das Netzwerk erlaubt wird und/oder explizit verweigert wird ...

[Saturn 10]

Ich habe es nun mit dem Serverteam soweit hingekriegt, das ein PopUp kommt wo man irgendeinen Username zb xxxwerj eingeben kann, wo gar nicht im AD oder sonst wo existeriert, jedoch kein Passowrt dazu und man kriegt Zugriff auf den Ordner. Aber wie kriegt man nun das Anmeldefenster weg, so dass man direkt auf den Ordner gelangt?

[IThome 10]

Mal ganz ehrlich, als Serverteam würde ich auf keinen Fall einen Gastzugriff erlauben, dann kann sich ja jeder authentifizieren ...

Aber mal ganz davon ab, wenn auf den Fileservern, die keine DCs sind, die lokalen Gastkonten aktiv sind und kein Kennwort haben, dann sollte man sich mit \\<Servername> verbinden können und die Freigaben sehen (Defaulteinstellung des Memberservers, auf einem DC geht das nicht). Ob man nun auf die Freigaben zugreifen kann oder nicht hängt von den Freigabe- und NTFS-Berechtigungen ab ...

[Saturn 10]

Es ist ja nur auf diesen einen Ordner freigeschaltet, wenn der Kunde das will und sich der Konsequenzen bewusst ist, ist es nicht unser Problem...

Aber wenn man nun eben \\servername\share$ eingibt kommt nun dieses Anmeldefenster, wo man irgend etwas eingeben kann.

Wo stellt man nun es ein, dass das Anmeldefenster nicht mehr kommt und man sofort auf den Share zugreifen kann?

[Saturn 10]

Das Anmeldefenster sollte jedoch nur bei diesem einen Folder nicht mehr erscheinen und nicht bei allen anderen auch nicht :-)

[IThome 10]

Man kann nicht pro Folder eine Anmeldemaske erscheinen lassen oder nicht. Anmeldemasken erscheinen, wenn dem System der gelieferte Benutzername nicht bekannt ist. Wenn man einen geforderten Benutzernamen eingibt, wird man entweder als gültiger Benutzer authentifiziert oder als Gast. Ist man autorisiert, auf einen Ordner zuzugreifen, kann man das dann tun und zwar auf jeden Ordner, auf den man zugreifen darf und das ohne sich erneut authentifizieren zu lassen (ausser wenn die Sitzung abgelaufen ist). Irgendwie irritiert mich das mit dem "irgendwas eingeben" . Ist der Gast aktiv und der Standalone-PC, der dem Server unbekannte Credentials liefert, verbindet sich mit \\server\freigabe$, dann wird die freigabe eigentlich ohne Anmeldefenster angezeigt (wenn Jeder oder Gäste Berechtigungen haben) oder es wird sofort verweigert (wenn sie es nicht haben). Ist das Gastkonto nicht aktiv oder hat ein Kennwort, wird gleich nach Benutzername und Kennwort gefragt, aber da kann man auch nicht irgendwas eingeben, sondern muss ein gültiges Benutzerkonto eingeben.

Um das aufzuklären und eventuell eine Lösung zu finden: frage die Serverleute mal, was genau konfiguriert wurde, dass die Leute nach dem Eingeben von "irgendwas" zugreifen können. Kannst Du mit \\Server zugreifen (mit oder ohne Anmeldemaske) ? Wenn Du Freigaben siehst, kannst Du auch auf sie zugreifen ?

edit: Wenn Du ohne Anmeldemaske auf diesen Ordner zugreifen möchtest und das mit dem Gastaccount tun möchtest, dann kann man das folgendermassen machen ...

1. Auf dem Server den Gastaccount aktivieren und dem Gast kein Kennwort geben

2. Auf dem Server unter HKLM/SYSTEM/CURRENTCONTROLSET/CONTROL/LSA den Wert RestrictAnonymous auf 1 setzen und Server neu starten (Gäste können die verfügbaren Freigaben nicht auflisten, können aber direkt in eine reinspringen). Ist dieser Wert auf 0, können die Freigaben angezeigt werden. Das lässt sich auch mit der Gruppenrichtlinie "Netzwerkzugriff: Anonyme Auflistung von SAM-Konten und Freigaben nicht erlauben" erreichen.

3. Der zu erreichende Ordner hat in der Freigabe- sowie in der NTFS-Berechtigung die Gruppe Jeder oder Gäste mit dem Level, den die Leute brauchen.

Der Gast kann auf jede Freigabe zugreifen, die Jeder oder Gäste in der Freigabe- UND NTFS-Berechtigung stehen hat und bei RestrictAnonymous auf 1 nur auf die, die er mit Namen direkt anspringt. Sicherer wäre es aber auf jeden Fall, wenn man für diese User im Active Directory Benutzer anlegt und die Freigabe dann mit z.B. NET USE ... /USER ... verbindet, ohne den Gastaccount zu aktivieren. Dann kannst Du auch auf die Gruppen Jeder und Gäste verzichten ...