Passwortabfrage auf Samba Freigaben mit Server 2012

[Dopamin 10]

Hallo zusammen,

 

ich habe hier ein merkwürdiges Phänomen mit dem neuen Windows Server 2012. Und zwar habe ich einen der beiden Domaincontroller (2008 R2 mit Enterprise CA) demoted und durch einen neuen Server 2012 (Rücksicherung der Enterprise CA Rolle) durchgeführt. Der Server hat keine weiteren Rollen außer die für AD (ADDS und DNS) und AD CS benötigten Dienste am Laufen.

 

Wir haben zwei Linux Fileserver im Einsatz (einmal SLES 11 und einmal ein QNAP NAS mit Herstellerfirmware) welche sich normalerweise per \\servername\freigabe mounten lassen. Hierfür gibt es sowohl WINS als auch die GlobalNames Zone (Test wegen Fehler).

 

 

Jetzt zum Problem:

 

Seitdem der 2012 Server eingesetzt wird, bekommen alle AD-User bei der Verbindung auf \\servername\freigabe eine Benutzer/Passwort Abfrage, welche keine der angegeben Nutzerdaten akzeptiert. Nimmt man die WINS Rolle vom 2012er weg und lässt alles nur über den 2008 R2er laufen, dann funktioniert es anstandslos. Der Server 2012 kann selbst auch nicht auf besagte Freigaben zugreifen, der 2008 R2er schon.

 

Ist bei jemandem dieses Problem vielleicht auch schon aufgetaucht? Ein Ticket bei MS wurde schon eskaliert.

 

Beste Grüße

Olli

[OliverHu 19]

Hallo!

 

den Passwort-Promt bekommst du nur auf dem WS 2012? (Was ist mit den Clients?)

[Dopamin 10]

Auch auf den Windows Clients.

[OliverHu 19]

Was passiert wenn du versuchst über die IP des Sambas zu gehen (\\IP-Samba\Freigabe)?

[Dopamin 10]

Das ist derzeit der "Workaround". Sprich via IP geht es problemlos.

[OliverHu 19]

Ich kenne mich mit Samba jetzt nicht so gut aus, aber WS 2012 kommt mit SMB 3.0, eventuell liegts daran?

[Dopamin 10]

Wäre möglich das es daran liegt. Besteht die Option eine Kompatibilitätsmodus oder SMB 3.0 wieder auf 2 herunterzustellen?

[Necron 71]

Hi,

 

an SMB 3.0 wird es nicht liegen. Sollte das Gerät SMB 3.0 nicht unterstützen wird auf SMB 2.0 geschaltet. Ich habe zuhause auch ein QNAP im Einsatz. Ebenfalls auch Windows Server 2012 als DC inkl. DNS und WINS. Zugriff funktioniert problemlos.

[Dopamin 10]

Dann bin ich ja beruhigt, dass es mal wieder nur bei hakt :cool:. Ich schaue mal, was MS dazu sagt.

[Dopamin 10]

So, ich habe jetzt aus interesse einen weiteren Testserver 2012 aufgesetzt. Als nicht NICHT DC und NICHT Domain-Member kann er auf die Freigaben zugreifen. Sobald ich ihn Testweise als DC hochstufe und/oder ihn als Server der Domäne hinzufüge, besteht auch hier die gleiche Problematik.

bearbeitet 17. September 2012 von 0l2i
Ergänzung

[Necron 71]

Ich habe mal eben auf meinem QNAP nachgeschaut, dort habe ich unter Networking Services -> Microsoft Networking -> Advanced Options die folgenden Einstellungen gesetzt.

 

• "Use specified WINS server" -> dort die IP Adresse des Windows Server 2012 mit WINS angeben
  
• "Name Resolve Priority" -> Try DNS then WINS
  
• "Login style: DOMAIN\USERNAME instead of DOMAIN+USERNAME for FTP, AFP, & Web File Manager" -> enabled
  
• "Automatically register in DNS" -> enabled
  

 

Natürlich sollten auf dem QNAP auch die richtigen IP-Adressen der DNS-Server unter System Administration - > Network eingetragen sein. ;)

[OliverHu 19]

an SMB 3.0 wird es nicht liegen. Sollte das Gerät SMB 3.0 nicht unterstützen wird auf SMB 2.0 geschaltet.

Richtig. Es war auch nur eine Vermutung, da ich vor etlicher Zeit mal ein Problem mit der SMB Negotiation hatte.

[Dopamin 10]

problem solved.

 

Wir haben damals die AD-Gruppen für die SAMBA Freigaben nach dem AGDLP Prinzip "gebaut". Somit standen die Gruppen auf Domain-Local. Scheinbar ist das mit Server 2012 anders. Erst nachdem die Gruppen auf Global standen, konnte man auch wieder per Kurznamen \\servername\freigabe drauf zugreifen.

 

@Necron: Danke für den indirekten Wink mit der Zaunfirma. Ich habe mir auf dem QNAP nochmals die Ordner Berechtigungen angeschaut und mir ist aufgefallen (ein Share funktionierte ja), dass dort die Dom-Admins direkten Zugriff hatten und nicht irgendeiner Gruppe als Untergruppe angehörten. Als ich die Gruppe dann den anderen Freigaben hinzugefügt hatte, ging alles sofort (auch auf dem SLES System). Und der einzige Unterschied war halt die Gruppenart.

 

Was ich allerdings nicht verstehe, wieso das mit Server 2008R2 so anstandslos lief. Jemand ne Idee dazu?

 

Danke und Beste Grüße

Olli