Zugriff auf anderen Windows XP-Client außerhalb von Domäne

[Gast Dave999]

Hallo zusammen,

 

ich habe eine recht schwierige Frage wie ich denke, aber vielleicht hat ja der ein oder andere trotzdem einen Tipp:

 

Wir haben ein Netzwerk mit einer Domäne (sowohl Windows 2000 als auch Windows 2003-Server). Sämtliche Clients sind XP Professional-Rechner mit SP1 (SP2 ist nicht installiert!), auf den Clients befindet sich auch keine Firewall.

 

Nun zu dem eigentlichen Problem:

 

Erstelle ich, während beide Rechner sich im Netzwerk der Domäne befinden, eine Freigabe auf Gerät A mit Sicherheitseinstellungen JEDER VOLLZUGRIFF, kann ich ohne ein Kennwort eingeben zu müssen von anderen Clients auf dieses Share zugreifen.

 

Befinden sich die Clients nicht in der Domäne wird beim Zugriff auf den freigegebenen Ordner ein Benutzername und ein Kennwort verlangt und ebendies darf nicht sein!

 

Folgende Schritte habe ich bereits durchgeführt, diese haben jedoch nicht geholfen:

- In den lokalen Sicherheitsrichtlinien:

Bearbeitung der Einträge "Lokale Anmeldung verweigern (Gast entfernen)" sowie "Zugriff vom Netzwerk auf diesen Computer verweigern (ebenfalls Gast entfernt)"

 

- Einstellung in den lokalen Sicherheitsrichtlinen:

"Netzwerkzugriff: Modell für gemeinsame Nutzung und Sicherheitsmodell für lokale Konten": Sowohl Test mit der Einstellung "Nur Gast/lokale Benutzer authentifizieren sich als Gast" als auch die Einstellung "Klassisch/lokale Benutzer authentifizieren sich als sie selbst"

 

- Hinweis: Diese Einstellungen werden nicht durch Domänenrichtlinien wieder überschrieben, das habe ich extra nachgeschaut!

 

- Aktivierung des Gast-Accounts

 

Das kuriose ist auch, das wir bis vor wenigen Wochen keine Probleme hatten. Leider ist jedoch nicht klar, was seitdem grundsätzlich geändert wurde (was mir noch einfällt ist, dass die Komplexitätsregeln sowie ein Ablaufdatum für Kennwörter aktiviert wurde).

 

Ich weiß wirklich nicht weiter, hat vielleicht irgend jemand noch einen Tipp?? Vielleicht hängt es ja auch irgendwie noch mit Kerberos zusammen aber wie gesagt, ich weiß wirklich nicht weiter...

 

Vielen Dank!!!!!!!!!!!!!!!!!!!!!!

 

Gruß,

David

[riddick 10]

hallo david.

 

 

da der rechner nicht in der domäne ist kann er auch nicht in den benutzereigenschaften umgestellt werden . wg. PW und anderer sachen.

 

du musst nen lokalen benutzer an den rechnern anlegen auf die du zugreifen möchtest

z.b. netadmin oder irgendsowas in der richtung.

 

das problem mit dem pw bleibt aber das einzige was du machen kannst ist das das netzlaufwerk automatisch verbindest und eine logon datei schreibst das er sich am netzwerk anmeldet sich aber nicht ins netzwerk miteinbindet. oder du machst ein zweites netzwerk auf..

also eine weiteres segment und bindest die rechner dort ein ...

 

aber sonst wüsste ich jetzt nichts auf die schnelle.

[saracs 10]

hallo david.

 

 

da der rechner nicht in der domäne ist kann er auch nicht in den benutzereigenschaften umgestellt werden . wg. PW und anderer sachen.

 

du musst nen lokalen benutzer an den rechnern anlegen auf die du zugreifen möchtest

z.b. netadmin oder irgendsowas in der richtung.

 

das problem mit dem pw bleibt aber das einzige was du machen kannst ist das das netzlaufwerk automatisch verbindest und eine logon datei schreibst das er sich am netzwerk anmeldet sich aber nicht ins netzwerk miteinbindet. oder du machst ein zweites netzwerk auf..

also eine weiteres segment und bindest die rechner dort ein ...

 

aber sonst wüsste ich jetzt nichts auf die schnelle.

 

:o

 

auf die schnelle?

 

schnell wäre die freigabe mit der lokalen gruppe JEDER zu erstellen ;) bedenke aber das dann auch wirklich JEDER an die freigabe kommt!

 

gruss saracs

[Gast Dave999]

Hm, aber es muss doch eine elegantere Lösung geben als auf jedem Client einen zusätzlichen lokalen Benutzer anzulegen, der nur zur Authentifizierung benötigt wird. Mir ist auch nicht wirklich klar, warum es aus technischer Sicht nicht funktioniert eine Freigabe zu erstellen, auf die wirklich JEDER ohne Eingabe eines Kennwortes zugreifen kann.

[7-Club 10]

Hallo Dave999,

 

das Gastkonto ist ein sehr stark eingeschränktes Konto, welches Hauptsächlich für

den Zugriff auf Freigaben über das Netzwerk gedacht ist, damit z.B. andere,

die nicht in der gleichen Arbeitsgruppe/Domäne sind, darauf zugreifen können.

 

Dazu trägt man in der Freigabe den Gast mit Lesezugriff ein (unter Freigabe -->

Berechtigungen). Jeder Netzwerkbenutzer, der lokal unbekannt ist, wird dann als

Gast angemeldet.

 

Grüße

 

7-Club

[Gast Dave999]

Hallo,

 

wie gesagt, da ja unter Freigabe -> Berechtigungen JEDER mit VOLLZUGRIFF eingetragen ist beinhaltet dies ja auch den User GAST. Ich habe diesen aber gerade noch einmal explizit hinzugefügt, hat auch nicht geholfen... Die Kennwortabfrage erscheint immer noch...

[saracs 10]

:nene:

 

welchen JEDER hast du hinzugefügt!?

 

beantworte doch auch mal alle fragen!

 

gruss saracs

[Gast Dave999]

Sorry, wenn das nicht ausführlich genug war. Ich meinte mit JEDER den Standardbenutzer JEDER, der hinzugefügt werden kann. Mir ist jetzt kein spezieller bekannt, daher weiß ich nicht ganz, was du jetzt mit der Frage meinst.

[saracs 10]

hi!

 

benutz du die vereinfachte dateifreigabe? wenn ja deaktivier sie!

 

gruss saracs

[lefg 276]

: Ich meinte mit JEDER den Standardbenutzer JEDER, der hinzugefügt werden kann.

Jeder ist kein Benutzer sondern eine Gruppe. Dieser Gruppe gehören alle Benutzer einer Domäne an.

 

Woran wird da gebaut? An einem Kinderzimmer- Spiel- Schulsystem oder einer produktiven Umgebung? Entschuldige bitte meine Neugierde!

Ich sage es mal so: Eine Domäne ist eine Domäne ist eine Domäne ist ein Sicherheitssystem ist ein Sicherheitssystem ist ein Sicherheitssystem!

 

So einfach ist das.

 

Gruß

 

Edgar

[holgi_man 10]

Hallo erstmal

 

Ich glaub da liegt noch ein verständnis Problem vor ... ;)

 

1. in der Domäne wird in der Regel über Sitzungs Tickets per Kerberos Authentifiziert. Dies geschieht fast unsichtbar im Hintergrund.

 

aber

 

2. Diejenigen die nicht in der Domäne sind warum auch immer haben auch eine Authentifizierung und die Heißt Lan Manager siehe Hilfetext unten

 

Netzwerksicherheit: LAN Manager-AuthentifizierungsebeneComputerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Sicherheitsoptionen

 

Beschreibung

Legt fest, welches Anfrage/Antwort-Authentifizierungsprotokoll für Netzwerkanmeldungen verwendet wird. Die Wahl des Protokolls hat auf die Ebene des von Clients verwendeten Authentifizierungsprotokolls, auf die Ebene der ausgehandelten Sitzungssicherheit und auf die Ebene der vom Server akzeptierten Authentifizierung folgende Auswirkungen:

 

LM- und NTLM-Antworten senden: Clients verwenden die LM- und NTLM-Authentifizierung, niemals die NTLMv2-Sitzungssicherheit; Domänencontroller akzeptieren die LM-, NTLM- und NTLMv2-Authentifizierung.

LM- und NTLM-Antworten senden (NTLMv2-Sitzungssicherheit verwenden, wenn ausgehandelt): Clients verwenden die LM- und NTLM-Authentifizierung bzw. die NTLMv2-Sitzungssicherheit, wenn dies vom Server unterstützt wird; Domänencontroller akzeptieren die LM-, NTLM- und NTLMv2-Authentifizierung.

Nur NTLM-Antworten senden: Clients verwenden nur die NTLM-Authentifizierung bzw. die NTLMv2-Sitzungssicherheit, wenn dies vom Server unterstützt wird; Domänencontroller akzeptieren die LM-, NTLM- und NTLMv2-Authentifizierung.

Nur NTLMv2-Antworten senden: Clients verwenden nur die NTLMv2-Authentifizierung bzw. die NTLMv2-Sitzungssicherheit, wenn dies vom Server unterstützt wird; Domänencontroller akzeptieren die LM-, NTLM- und NTLMv2-Authentifizierung.

Nur NTLMv2-Antworten senden\LM verweigern: Clients verwenden nur die NTLMv2-Authentifizierung und verwenden die NTLMv2-Sitzungssicherheit, wenn dies vom Server unterstützt wird; Domänencontroller verweigern die LM-Authentifizierung (nur die NTLM- und NTLMv2-Authentifizierung wird akzeptiert).

Nur NTLMv2-Antworten senden\LM & NTLM verweigern: Clients verwenden nur die NTLMv2-Authentifizierung und verwenden die NTLMv2-Sitzungssicherheit, wenn dies vom Server unterstützt wird; Domänencontroller verweigern die LM- und NTLM-Authentifizierung (nur die NTLMv2-Authentifizierung

 

Das heißt die jeweilige Methode muß stimmen und ein authentifizierter Benutzer muß vorhanden sein ...

 

mit den freundlichsten

 

holgi :)

[lefg 276]

Befinden sich die Clients nicht in der Domäne wird beim Zugriff auf den freigegebenen Ordner ein Benutzername und ein Kennwort verlangt und ebendies darf nicht sein!

Was bedeutet hier "nicht in der Domäne!? Sie sind keine Domänenmitglieder, sie verfügen über keine Computerkonten in der Domäne? Oder ist gemeint, sie haben keine Verbindung zum DC, z.B. zwei Laptops auf der Reise, deren Benutzer unterwegs abends im Hotel miteinander spielen oder auf der Baustelle Daten austauschen möchten?

[Gast Dave999]

Nicht in der Domäne bedeutet, dass diese sich nur temporär außerhalb des Netzwerkes befinden, sprich dass der jeweilige Mitarbeiter kurzfristig mit seinem Notebook außerhalb der Niederlassung arbeitet und sich dazu mit Kollegen vernetzt um gemeinsame Datenbestände zu nutzen.

[lefg 276]

Ich hab das selbst noch nicht gemacht.

 

Zum gegenseitigen reibungslosen Zugriff würde ich wohl auf beiden Rechnern identische Konten einrichten und die Berechtigungen auf Freigaben und NTFS-Ressorcen konfigurieren.

 

Hast Du das schon gemacht und getestet?