kein Zugriff WIN XP SP1 und SP2 auf W2K3

[edv-support 10]

Hallo zusammen,

 

ich durchsuche nun schon seit letztem Wochenende das Board, habe viel nützliches gefunden, aber leider keine Lösung für mein Problem. Deshalb versuche ich es hier.

 

Ich kann mit einem WIN XP SP1 oder SP2 Client nicht auf die Dateifreigaben auf einem W2K3 Server zugreifen. Clients mit W2K oder WIN XP ohne SP könen zugreifen.

 

Infos am Rande:

 

- 2DC W2K und W2K3

- Zugriff auf DC mit W2K klappt einwand frei

- W2K3 ist als zweiter DC hinzugefügt worden, die Replikation des AD klappt hervorragend

- Beide DC's sind auch im AD hinterlegt.

- Ping auf den W2K3 klappt auch

- Zugriff vom W2k3 auf alle Clients funktioniert einwandfrei.

- Bei Zugriffsversuch erscheint immer ein Logon Fenster, doch kein User erlangt Zugriff, auch nicht Admin

- Freigaben und Sicherheitseinstellungen sind richtig gesetzt (Sonst könnte ich ja vom WIN XP ohne SP nicht zugreifen)

- WINS, DHCP sind installiert und laufen auch.

- keine diesbezüglichen Fehlermeldungen in der Ereignisanzeige.

 

Kennt jemand von Euch das Problem und kann mir vielleicht helfen? Ich hatte früher ein ähnliches Problem mit WIN XP SP1 und dem Speicherzugriff auf W2K SP3. Das Problem konnte über Änderungen der lokalen Sicherheitseinstellungen an den Clients gelöst werden.

 

Für Eure Hilfe bin ich dankbar.

 

Gruß Stephan

[Gadget 37]

Hi EDV-Support und willkommen an Board,

 

könnt vielleicht ein Problem mit dem SMB-Signing sein wie sind denn folgende Einstellungen bei dir konfiguriert?

 

Default Domain Policy: Computer:

Microsoft-Netzwerk (Client): Kommunikation digital signieren (immer)
Microsoft-Netzwerk (Client): Kommunikation digital signieren (wenn Server zustimmt) 
Microsoft-Netzwerk (Server): Kommunikation digital signieren (immer) 	
Microsoft-Netzwerk (Server): Kommunikation digital signieren (wenn Client zustimmt) 

 

Default Domain Controllers Policy: Domänen Controller:

Microsoft-Netzwerk (Client): Kommunikation digital signieren (immer)
Microsoft-Netzwerk (Client): Kommunikation digital signieren (wenn Server zustimmt) 	
Microsoft-Netzwerk (Server): Kommunikation digital signieren (immer)
Microsoft-Netzwerk (Server): Kommunikation digital signieren (wenn Client zustimmt)

 

Erhalten die XP SP1 bzw. SP2 Clients andere Gruppenrichtlinien?

=> Vergleich mit der Gruppenrichtlinienverwaltungskonsole o. RSOP.msc (Richtlinienergebnissatz)

 

Sind bei den SP1 bzw. SP2 Clients die Internetverbindungs-Firewall bzw. bei SP2 die Windows-Firewall aktiv?

 

Hast du einen Portscan von einem Client gemacht der Probleme hat?

=> Z.B. mit Portqryui (http://www.windowsecurity.com/articles/Mastering-PortQryexe-Part2.html)

Wichtige Ports: SMB: TCP 445, NetBIOS-Datagrammdienst: UDP 138, NetBIOS-Sitzungsdienst: TCP 139

 

Weitere Info => http://support.microsoft.com/?id=832017

 

LG Gadget

[edv-support 10]

Hallo Kohn,

 

vielen Dank für Deine Hilfe. Das mit den SMB-Singing werde ich morgen mal testen. Ich mußte damals beim SP 1 auf den Clients in den lokalen Sicherheitsrichtlinien an diesen Punkten etwas ändern. Müssen denn die Einstellungen auf Client und DC gleich sein?

 

Die Firewalls dürften ausscheiden, da ich von den Clientrechnern pingen kann und dies dürfte mit aktivierter Firewall nicht gehen, glaube ich zumindest. Ich kann ja auch vom DC auf die Clients zugreifen nur umgekehrt nicht (Dateifreigaben). Vom 2. DC funbktioniert der Zugriff auf den W2K3 ja auch.

 

Meine Clients bekommen keine speziellen Gruppenrichtlinien. Dieses STeuere ich über die User. Ist aber für alle Clients und User gleich.

 

Wie bereits erwähnt. Ich bion morgen wieder in der Firma und werde das mit dem SMB Singing nachschauen.

 

Vielen Dank.

 

Gruß Stephan

[Gadget 37]

Hi Stephan,

 

Müssen denn die Einstellungen auf Client und DC gleich sein?

 

JA sie müssen gleich sei. Das ist ein ganz wichtiger Punkt!

 

Da sonst, unter umständen die SMB - Kommunikation unterbrochen werden kann

 

Hier gibts mehr Info dazu:

 

http://www.grurili.de/HowTo/SMB_Signing.htm

 

LG Gadget

[edv-support 10]

Hallo Kohn,

 

vielen Dank für Deinen Tipp. Es lag wirklich an den lokalen Sicherheitseinstellungen. Ich habe sie jetzt via Gruppenrichtlinie für alle Computer und Server in der Domäne konfiguriert und schon funktioniert es. Zusätzlich zu den 4 von Dir genannten Richtlinien mußte ich auch noch drei Richtlinien bezpogen auf "Domäncontroller" "digitale Signierung" auf aktiviert setzen.

 

Gruß Stephan