NTLM versus Kerberos V5

[wean 10]

huhu jungs,

 

na dann mal los: :D

 

unsere domäne läuft im einheitlichen modus. zwei unsrer benutzer stellen eine vpn verbindung zur firma her. diese zwei benutzer verwenden zu hause einen router, welcher selbständig bei bedarf den vpn-tunnel herstellt:

 

heimcomputer -> router -> "internet" -> vpn-server

 

die heimcomputer sind KEINE domänen-computer. ausserdem führen die heimcomputer w2k und wxp aus. die heim-router können sich erfolgreich über die vpn verbindung im netzwerk authentifizieren. will nun der heimcomputer (lauter blöde wörter, ich weiss) :p auf eine netzerkfreigabe zugreifen - bekommt er die fehlermeldung "zugriff verweigert" und kurz darauf ist das jeweilige benutzerkonto deaktiviert (ist so konfiguriert):

 

Ereignisanzeige auf dem DC:

Ereignistyp: Fehlerüberw.

Ereignisquelle: Security

Ereigniskategorie: Anmeldung/Abmeldung

Ereigniskennung: 529

Datum: 24.04.2003

Zeit: 19:01:04

Benutzer: NT-AUTORITÄT\SYSTEM

Computer: Domänencontrollername

Beschreibung:

Fehlgeschlagene Anmeldung:

Grund: Unbekannter Benutzername oder falsches Kennwort

Benutzername: Benutzername

Domäne: Heimcomputer

Anmeldetyp: 3

Anmeldevorgang: NtLmSsp

Authentifizierungspaket: NTLM

Name der Arbeitsstation: Heimcomputer

[/Quote]

 

 

Baut der Heimcomputer die VPN-Verbindung selbständig zum Firmennetzwerk her, kommt er auf die entsprechenden Freigaben. Meine Frage lautet nun:

 

Warum NTLM?? :mad:

 

Wäre die Domäne im gemischten Modus, würde es bestimmt klappen. Aber das will ich nicht (geht ja auch nicht mehr). Muss doch so irgendwie gehen - oder nicht?

 

Lässt sich da was machen? Oder habi versch**** :D

 

@Lian, Melzer und grizzly - Lasst mi ned hängen :D *bussi*

[grizzly999 11]

Könnte damit zusammenhängen, dass die Rechner nicht in der Domäne sind. ist auf dem Server Sp3 installiert und der Router das VPN macht?

http://support.microsoft.com/default.aspx?scid=kb;en-us;312827

 

Kannst du, falls das Sp3 drauf ist oder nach einer SP3 Installation das immer noch nicht funktionieren sollte, einen der Clients testweise in dieDomäne nehmen?

 

Übrigens, warum NTLM? Kerberos Authentifizierung gibt es nur zwischen W2k Client (+) und W2k-Server in einer Domäne. Nicht Domänenmitglieder oder niedrigere Clients authentintifizieren sich immer über NTLM an der Domäne.

 

grizzly999

[wean 10]

auf Dich ist halt Verlass :p

 

Einen der beiden Rechner habe ich bereits in der Domäne integriert. Grundsätzlich sieht es doch so aus:

 

In der Heimumgebung des Heimrechners (XP, SP1), welcher nicht in der Domäne integriert ist:

 

Der Router stellt lediglich die Netzwerkverbindung zur Firma her über ein gültiges AD-Anmeldekonto. Wenn jetzt der Benutzer auf eine Freigabe zugreifen will, müsste sich dieser doch manuell authentifizieren

 

Benutzername: DOMAIN\Username

Passwort: Passwort

[/Quote]

 

Aber er wird gar nicht erst nach einem Benutzernamen gefragt, sondern bekommt gleich eine Meldung: Anmeldung fehlgeschlagen, wenden Sie sich an Ihren Systemadminisrator. Und ich bekomme im Ereignisprotokoll angezeigt, dass dieser der Domäne unbekannte Heimcomputer$ ein ungültiges Diensteticket hat...

 

 

....mhmmm und in der Heimumgebung wo der Rechner jetzt in der Domäne integriert ist sieht es schon besser aus. Dort dauert nur der Anmelde-Vorgang ewig lange (bis zu drei Stunden) :-) Obwohl er im Firmennetzwerk alles pingen etc kann. Steht dieser Laptop physikalisch in der Firma, funzt der Anmeldevorgang. Also scheint irgendwas mit seinem Routing zu sein... Das soll aber nicht mein Problem sein :-)

 

Nicht Domänenmitglieder oder niedrigere Clients authentintifizieren sich immer über NTLM an der Domäne.

[/Quote]

 

Fast richtig - oder? Wenn ich die VPN-Verbindung von einem Nicht-Domänenmitglied manuell iniitiere, dann brauch ich doch auch kein extra Benutzernamen und Passwort. Bin ich dann nicht über die MS-Chapv2 Authentifizierung der VPN Verbindung im Netzwerk authentifiziert?

 

Oder benutzt mein Rechner einfach nur den Login von der VPN-Verbindung zur nachträglichen NTLM-Authentifizierung?

 

Danke schonmal im Voraus :-)

 

gruss andy