Share access denied!?

[blackice 10]

Hi Leute,

 

ich habe mal wieder eine kleine Frage, wir haben hier ein Referenzsystem von einem Kunden (Windows Server 2003 Enterprise), der Kunde hat uns auch ein Image mit einem localen Administrator zukommen lassen. Jetzt haben wir aber das Problem, dass es uns nicht möglich ist, von unseren PCs auf Freigaben auf dem System zugreiffen zu können (solange wir diesen localen admin account nutzen). Jetzt ist meine Frage, wo kann man einstellen, dass locale admins nicht, auf shares zugreifen können? Es muss ja eigentlich eine Local Policie sein?! Aber welche, wir haben jetzt schon angefangen mit einem anderen W2k3 System die Einstellungen zu vergleichen, jedoch ohne Erfolg :(

 

Vielen Dank schonmal für eure Hilfe

 

Gruß

Ice

 

P.S.: Wir haben schon ein neuen lokalen Admin erzeugt, mit dem selben Problem. Es tritt bei den Standardfreigaben als auch bei selbst erzeugten Freigaben auf (die rechte für die Freigabe gesetzt) und wir können uns auch mit dem Admin account via. Remotedesktop einloggen.

[cyrus the virus 10]

Hi blackice,

 

gibt das ne Fehlermeldung? Wenn Ja welche?

 

Gruß

Cyrus

[Gulp 226]

Hi Leute,

 

... snip

 

Jetzt ist meine Frage, wo kann man einstellen, dass locale admins nicht, auf shares zugreifen können?

 

... snip

 

 

In den Freigabeberechtigungen.

 

Grüsse

 

Gulp

[cyrus the virus 10]

In den Freigabeberechtigungen.

 

Grüsse

 

Gulp

 

Hi Gulp,

 

 

das ist so nicht ganz richtig,für normale Freigaben ja, aber nicht für die Adminfreigaben. Auf den Administrativen Freigaben können keine Brechtigungen über die "Freigabeberechtigungen" gesetz werden. Da kommt nämlich, wenn man´s versucht die Meldung:

"Diese freigabe ist für administrative Zwecke eingerichtet.Berechtigungen können nicht gesetz werden."

 

Gruß

Cyrus

[Gulp 226]

@cyrus:

 

stimmt schon ... aber wenn der verwendete Benutzer auf die Administrativen Freigaben nicht kommt, ist der Benutzer kein lokaler Admin im klassischen Sinne. (DC's haben ja eh keine lokalen Admins mehr, da die lokale Benutzerdatenbank dort nicht mehr zur Verfügung steht)

 

Ist der Benutzer nicht in der Gruppe der Administratoren, geht der Zugriff auf die Standardfreigaben (Administrativen Freigaben) nicht.

 

Sind für die "normalen" Freigaben diverse Gruppen eingetragen, jedoch nicht die Gruppe des verwendeten Benutzers (wenn man von "Jeder" absieht), oder ist dessen Gruppe explizit der Zugriff verweigert, funktioniert auch dort der Zugriff nicht.

 

Ursprünglich geht es ja um "Freigaben", der Verweis auf die Standardfreigabe erfolgt erst im PS.

 

Grüsse

 

Gulp

[blackice 10]

@cyrus the virus ich paste dir gearde mal die zwei meldungen rein:

1.

Logon attempt by: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0

Logon account: l-admin

Source Workstation: Client1

Error Code: 0xC0000064

---------------------------------------------------------------------------------

2.

Logon Failure:

Reason: Unknown user name or bad password

User Name: l-admin

Domain: chrpap02

Logon Type: 3

Logon Process: NtLmSsp

Authentication Package: NTLM

Workstation Name: Client1

Caller User Name: -

Caller Domain: -

Caller Logon ID: -

Caller Process ID: -

Transited Services: -

Source Network Address: x.x.x.x

Source Port: 0

---------------------------------------------------------------------------------------

 

Mal eine ****e frage, aber kann es sein das es irgendwas mit der windows firewall zu tun hat? Sie ist zwar deaktiviert, aber ich bekomme im moment die meldung im event log:

The Windows Firewall has detected an application listening for incoming traffic.

 

Name: -

Path: D:\Program_Files\BDP\bin\scu.exe

Process identifier: 1728

User account: SYSTEM

User domain: NT AUTHORITY

Service: Yes

RPC server: No

IP version: IPv4

IP protocol: UDP

Port number: 2658

Allowed: No

User notified: No

------------------------------------------------------------------------------------------------------

[Gulp 226]

Jetzt lass mich raten ...

 

Der Server mit den Freigaben heisst NICHT Client1, sondern der Rechner mit dem der Zugriff auf die Freigabe versucht wird.

 

Versuche den Zugriff mit Servername\Benutzername in der Anmeldemaske (Zeile Benutzer) ....

 

Grüsse

 

Gulp

[cyrus the virus 10]

Hi blackice,

 

ok, nur nochmal das wir alle info´s haben. Ist das ein DC?

 

Gruß

Cyrus

[blackice 10]

Nein der server mit den freigaben heisst nicht Client1 sondern das ist der rechner mit dem ich drauf zugreifen will und ich habe natürlich die ganze zeit versucht mich mit rechnername\username anzumelden... Und dieser User ist mitglied der administratoren gruppen (lokal)

 

Die Server um die es geht, sind alle samt keine DCs

 

und wie gesagt wir haben auch schon ein neuen user angelegt und diesen dann in die lokale admin gruppe gesteckt, mit dem selben ergebniss.

[cyrus the virus 10]

Hi,

 

schau mal bitte unter:

 

Computerconfig\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Zuweisen von Benutzerrechten\Zugriff vom Netzwerk auf diesen Computzer verweigern\

 

Welche Gruppen stehen da drin?

 

Gruß

Cyrus

[blackice 10]

Verweigert wird es 3 usern: 2x HP ITO und L-SrvAdmin (hier ist keine gruppe eingetragen)

 

Zugriff vom Netzwerk auf diesen Computzer: Authenticated Users, Administratos und Backup Operators (alles 3 Gruppen), wir hatten hier auch schon den User L-Admin expleziet angegeben, hat jedoch nichts geändert.

[cyrus the virus 10]

Hi blackice,

 

wieso steht der L-SrvAdmin bei Zugriff verweigern? Ist das der user der sich anmelden soll?

 

Gruß

Cyrus

[IThome 10]

Hat der Account ein Kennwort ?

[blackice 10]

wieso der L-srvadmin kein zugriff hat kann ich dir nicht sagen, wie gesagt das ist ein image direkt vom kunden, aber nein das ist nicht der user mit dem ich mich verbinden willl. ich nutze den L-admin

und ja dieser user hat ein Passwort :) wie gesagt login via. remote desktop und lokal klappt ohne probleme!

[IThome 10]

Überprüfe bitte mal in den Sicherheitsoptionen der lokalen Richtlinie, was bei "Netzwerkzugriff: Modell für gemeinsame Nutzung und Sicherheitsmodell für lpkale Konten" steht. Ich vermute, dass dort klassisch eingestellt ist und das Gastkonto auf diesem Server aktiviert ist. Ist es so, dass Du mit \\<Servername> noch die Freigaben sehen kannst, aber dann nicht mehr darauf zugreifen kannst (mit sofortiger Verweigerung) ?

edit: der Zugriff auf die Adminshares funktioniert aber trotzdem (auch wenn es so eingestellt ist wie oben beschrieben), habe ich gerade probiert.

Welche Fehlermeldung bekommst Du, wenn Du auf den Adminshare zugreifst und welche Fehlermeldung, wenn Du auf irgendeine andere Freigabe zugreifst ?