Benutzerkennwort geändert - Anmeldung schlägt fehl

[PeterB 10]

Hallo zusammen,

 

ich habe hier einen Windows 2003 Server PE installiert. Alles hat wunderbar geklappt bzw. funktioniert. Ich habe auf dem Server 15 User eingerichtet. Als ich die User angelegt habe, habe ich ihnen ein von mir ausgedachtes Passwort vergeben.

Damit haben sich die Clients auch an der Domäne angemeldet und konnten fehlerfrei arbeiten.

Nun wollte ich die Passwörter der User ändern. Das habe ich gestern abend getan. Als diese sich heute aber anmelden wollten, bestand bei 6 von ihnen das Problem, dass sie sich mit ihrem neuen Passwort nicht an der Domäne anmelden konnten.

 

Ich habe zuerst auf Tippfehler meinerseits getippt, das war es aber nicht. Ich musste doch sehr staunen, als ich das alte Passwort eines Users geändert habe, sich dieser kurz darauf ohne Probleme anmelden konnte. Andere aber wiederrum nicht.

 

Ich war mir nicht sicher, ob der Server die neuen Passwörter übernommen hat und habe zum Testen einen Login über OutlookWebAccess auf das ExchangeKonto eines Users, dessen Login vom Client nicht klappt, mit dem neuen Kennwort gemacht. Das hat problemlos funktioniert. Also übernimmt der Server meine geänderten Passwörter.

 

Warum aber kann ich mich nicht mit dem Client an der Domäne anmelden? Wenn ich wiederrum hingehe und das neue Passwort eines Users gegen das alte auf dem Server austausche, funktioniert der Login vom Client wieder.

 

Seit Stunden suche ich mir einen Wolf nach der Lösung des Problems, werde aber nicht schlauer.

Hat einer von Euch vielleicht eine Idee?

Hoffe, ich konnte die Problematik einigermaßen beschreiben.

 

Vielen Dank für Eure Mühe im Voraus.

 

Gruß Peter

[edv-olaf 10]

Hallo,

 

hast du eine andere Tastaturbelegung und statt "z" vielleicht "y"? Oder Zahlen des 10-er Blocks verwendet, ohne dass dieser eingeschaltet ist?

 

Grüße

Olaf

 

BTW: Klär mich auf, was ist das PE in "2003 Server PE"? Private Edition? :shock:

[Konfus 10]

Hm,

 

was sagen die Security Logs des Servers (eventuell das Auditing höher einstellen).

Ist der Server ein DC?

Werden die Accounts gelocked oder funktioniert es nach einem Wechsel auf das alte Passwort sofort?

Welche Fehlermeldung bekommt der Client?

 

gruß

 

Konfus

[PeterB 10]

Hallo,

 

 

@Konfus

also der Server ist ein Domänen Controller.

 

nach einem Wechsel auf das alte Passwort, funktioniert der Login sofort,

 

der Client bekommt die Fehlermeldung, dass er überprüfen soll, ob die Hochstelltaste aktiviert ist usw. also genau die, wenn man das Passwort verkehrt eingibt,

 

 

@edv-olaf

das habe ich gleich zu Beginn überprüft, ist NICHT der fall

 

 

dass das passwort richtig eingegeben wird, bin ich mir 100%ig sicher, weil ich es testweise in das benutzernamenfeld geschrieben habe, um sicherzugehen, dass die tastatur richtig eingestellt ist.

 

weitere ideen?

 

Gruß Peter

[Konfus 10]

Ich kenn wohl das Problem mit Account Lockouts nach einem Passwortwechsel (Shares oder Dienste laufen noch mit den alten Anmeldeinformationen und treiben den BadPwdCount nach oben) oder aber fehlerhaftes Login aufgrund von Replikationsproblemen.

 

Aber wenn OWA Access mit den neuen Credentials funzt. Änder das Passwort eines Users und versuche mit "run as" eine Applikation in dem Benutzerkontext zu starten.

Also als Domain Admin angemeldet und einfach Word Pad auf dem DC mit den Credentials des Users versuchen zu starten.

 

ciao KOnfus

[PeterB 10]

Hallo,

 

also Word Pad auf dem DC mit den Credentials des Users zu starten funktioniert Problemlos. Ich kann mich ebenfalls mit den neuen Daten am Server lokal anmelden. Nur die paar Win2k Clients mucken rum. Ich habe jetzt alles mögliche ausprobiert, kriege es aber nicht hin. Immer wieder die Meldung, dass ich das Paswort angeblich nicht richtig eingegeben habe, bzw. die Hochstelltaste aktiviert sein könnte. :mad:

 

Gibt es noch weitere Ideen? Habe bei MS gesucht und nichts dazu gefunden.

 

Vielen Dank im Voraus.

 

Gruß Peter.

 

 

Edit: Ich habe mal den Datenverkehr zwischen Client und Server gemessen. Ich bin mir zu 99% sicher, dass vom Client das falsch Passwort gesendet wird. Das bedeutet, die Passworteingabe ist richtig, es wird aber falsch versendet. Ich versuche gerade das gesendete Passwort zu entschlüsseln, um dahinter zu steigen. Das kann aber noch eine ganze Weile dauern.

Wird das Client Passwort evtl. sowohl lokal auf dem Client als auch auf dem Server gespeichert? Weil wenn ich ausserhalb meines Netzes bin, kann ich dem Client sagen, er soll sich an der Domäne anmelden. Diese findet er zwar nicht und meldet sich lokal an, aber trotzdem muss er doch irgendwo das Passwort dafür haben. ODer sehe ich das falsch?

[Konfus 10]

Hm,

 

setze mal auf einem Client den folgenden DWORD:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]

DisableDomainCreds => 0x1

 

gruß

 

konfus

[PeterB 10]

Hallo,

 

nach langer Suche und viel Geduld habe ich es gefunden.

 

Unter dem Win2k Client unter den Lokalen Sicherheitseinstellungen

 

Lokale Richtlinien -- Sicherheitsoptionen -- Anzahl zwischenzuspeichernder vorheriger Anmeldungen (für den Fall, dass der Domänencontroller nicht verfügbar ist) -- von 10 Anmeldungen auf 0 setzen, Client mit neuem Passwort anmelden. Fertig.

 

Der Wert sollte nach erfolgreichen Wechsel aber wieder eingestellt werden, da im Falle eines Ausfalls von DC ein anmelden diesbezüglich nicht möglich ist. Ist bei mir zumindest wichtig, da viele Clients Notebooks sind.

 

Vielen Dank für Eure Hilfe. Vielleicht kann die Lösung dieses Problems anderen helfen.

 

Gruß Peter ;)