Zugriff auf Freigabe funktioniert nicht wenn Alias verwendet wird

[Alith Anar 40]

Hallo,

 

ich habe hier einen Windows Server 2019 (Server01).

Zusätzlich gibt es einen Alias filesrv (nur IPv4)

Darauf ist eine versteckte Freigabe eingerichtet (freigabe$)

 

Greife ich auf diese Freigabe per \\server01\freigabe$ zu, wird der Pfad sofort geöffnet

Greife ich auf diese Freigabe per \\filesrv\freigabe$ zu, kommt ein Anmeldefenster. Das erscheint immer wieder, auch wenn ich mich mit korrektem Benutzernamen anmelde.

 

Ping sich server01 an, wird IPV6 aufgelöst, pinge ich filesrv erfolgt die Auflösung korrekt gegen IPv4.

Die Frage ist nun simple: warum kann ich nicht per filesrv\freigabe$ zugreifen?

Bin für Ideen offen :)

Danke

Alith

[NorbertFe 2.045]

vor 4 Minuten schrieb Alith Anar:

Die Frage ist nun simple: warum kann ich nicht per filesrv\freigabe$ zugreifen?

https://www.tech-faq.net/windows-server-2012-alias-erstellen/

 

Ich kann mir gar nicht vorstellen, dass du noch nie davon gehört hast. Zusätzlich noch den SPN hinterlegen, sonst gibts nur ekliges NTLM anstatt Kerberos. ;)

 

bearbeitet 14. Juli 2023 von NorbertFe

[Alith Anar 40]

Wenn das schon so lange Thema ist ... 
Ich arbeite zu selten mit Aliasnamen ... ;)

Und wenn, war es bisher noch nie Thema, da das Problem nur auftritt, wenn ich vom Server01 auf den filesrv zugreifen wollte. Von anderen PCs innerhalb der Domain überhaupt kein Problem.

Danke und wieder was gelernt in dieser Woche.
Schönes Wochenende.

bearbeitet 14. Juli 2023 von Alith Anar

[daabm 1.356]

Wenns von allen anderen funktioniert hat: NTLM-Fallback? (Dann hast Du irgendein Problem mit Kerberos...)

[phatair 39]

Hallo zusammen, 

Ich hoffe es ist ok, wenn ich mich hier mal einklinke.

 

Wir haben tatsächlich auch ein paar file shares auf die über einen dns alias zugegriffen wird. 

 

Auch wir haben weder einen spn angepasst noch netdom bzw die regkeys eingetragen. 

 

Es handelt sich hier um server 2019.

 

Fragen:

- Kann man prüfen warum bei uns die Zugriff trotzdem sauber funktionieren? Sehe ich ob es ein ntlm fallback gibt? 

- registriert man den spn mit dem setspn?

- führt man den Befehl auf dem betroffenen Server oder dem dc aus?

 

Danke euch und mal wieder das Grundwissen aufgefrischt😇

[cj_berlin 1.323]

vor 2 Stunden schrieb phatair:

Fragen:

- Kann man prüfen warum bei uns die Zugriff trotzdem sauber funktionieren? Sehe ich ob es ein ntlm fallback gibt? 

- registriert man den spn mit dem setspn?

- führt man den Befehl auf dem betroffenen Server oder dem dc aus?

Ja, kann man. NTLM Audit Logging einschalten.

Ja.

Auf jedem Domänen-Member oder halt auch DC, solange man setspn mit einem Account startet, das Enterprise Admin-Berechtigungen hat (SPNs sind forestweit).

bearbeitet 17. Juli 2023 von cj_berlin

[phatair 39]

vor 8 Stunden schrieb cj_berlin:

Ja, kann man. NTLM Audit Logging einschalten

Wäre das der richtige Weg oder gibt es andere Stellen wo man das Auditing aktivieren sollte?

 

Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options

 

Network Security: Restrict NTLM: Audit NTLM authentication in this domain

 

Vielen Dank für deine Hilfe. 

[daabm 1.356]

Das ist die richtige Stelle. Muß auf allen DCs aktiv sein.

[phatair 39]

Danke Martin.

Dann werde ich mich mal an die Arbeit machen und die DNS Share Aliase überarbeiten.

[phatair 39]

Am 14.7.2023 um 12:25 schrieb NorbertFe:

https://www.tech-faq.net/windows-server-2012-alias-erstellen/

 

Ich kann mir gar nicht vorstellen, dass du noch nie davon gehört hast. Zusätzlich noch den SPN hinterlegen, sonst gibts nur ekliges NTLM anstatt Kerberos. ;)

 

 

Ich hätte dazu noch mal eine Frage und hole den Beitrag noch mal hoch.

 

Ich habe jetzt mit netdom den Alias erstellt

netdom computername <computer> /add:<alias>

 

Danach habe ich mit

setspn -l <computername>

 

die SPNs geprüft und der neue Alias war schon als SPN eingetragen.

 

Damit muss ich doch gar nicht separat den SPN erstellten, es reicht doch der netdom Befehl, oder sehe ich das falsch?

Früher musste man ja noch die RegKeys eintragen, damit der Alias funktioniert. Da war dann wohl der manuelle setspn notwendig.