HOWTO: Windows 2000/XP File Sharing & NTFS Permissies

Inleiding

Als je dit leest vraag je je misschien wel af of ik seniel ben geworden, wie schrijft er nou howto's over iets simpels als filesharing? Nee, ik ben niet seniel, filesharing is een handig iets, maar kan vreselijk irritant zijn als je bijvoorbeeld meerdere shares hebt en naar een LAN gaat waar je niet wil dat men je documenten kan uitlezen. Je wilt dus permissies kunnen instellen, en daar is deze howto wel voor :)

Nodig:

• Een PC met Windows 2000 of XP Pro
  
• Wat user accountjes
  
• Een test-pc om te verbinden met de pc waarop je shared om je permissies uit te testen

File Sharing instellen
NTFS Permissies instellen
Bekende fouten

File Sharing Instellen

Voor de XP gebruikers: schakel eerst Simple File Sharing uit (dwz, het klik en deel maar raak principe), door in explorer bij Extra > Mapopties > Weergave 'Eenvoudig delen van bestanden' uit te vinken.

Goed, we gaan gebruikers maken, anders heb je ook weinig aan rechten. Open het gebruikersaccounts scherm, voor XP krijg je nu die mooie GUI en in 2000 zal je een klassiek venster krijgen. Als je XP hebt maar liever het klassieke venster hebt (waar voor de eenduidigheid in deze howto gebruik van word gemaakt), kan je die ook oproepen door 'control userpasswords2' uit te voeren. (met Start > Uitvoeren dus)

Fig. 1:

druk op toevoegen (de naam staat uiteraard vrij):

Fig. 2:

en doe dit enkele keren (drie is zeker wel handig, puur omdat je straks dan kan experimenteren). Een password is uiteraar niet vereist, maar wel handig. Geef de nieuwe user gewoon user-rechten ('gebruikers' dus), een netwerkuser hoeft geen PowerUser of Administrator rechten te hebben.

Je userlijst kan er nu bijvoorbeeld zo uitzien:

Fig. 3:

Verder kan je ook in Configuratiescherm > Systeembeheer > Computerbeheer het volgende scherm oproepen:

Fig. 4:

Als je wilt dat users zonder password via het netwerk kunnen inloggen, moet je een policy aanpassen: Configuratiescherm > Systeembeheer > Lokaal Beveiligingsbeleid, en de hier geselecteerde uitschakelen.

Fig. 5:

Het is handig om de netwerkusers in een groep te zetten, maak hiervoor een nieuwe groep aan in Computerbeheer:

Fig. 6:

LET WEL: klik op toevoegen, en vink alleen gebruikers aan bij de objecttypen. Tik vervolgens de usernames van de gemaakte netwerkgebruikers en druk controleren. Je kunt ze ook makkelijk vinden door even op geavanceerd te drukken. Het scherm ziet er nu bijvoorbeeld zo uit:

Fig. 7:

Je zult nu in de groepenlijst netjes je groep zien. Het grote voordeel hiervan is dat je instellingen kan maken voor alle netwerkusers tegelijk bij een share, dus ook als je achteraf gaat toevoegen

En nu begint het eigenlijke delen. Rechts klikken op de map die je wilt delen > eigenschappen > Delen. Voer een deelnaam in, het maximum aantal gebruikers kan je prima ongeroerd laten (het is overigens gelimiteerd tot 10, XP laat er gewoon niet meer toe).

Fig. 8:

Alleen, wat heb ik nu aan al die users? Dit werkt toch gewoon precies hetzelfde als simple file sharing? Ja, dat klopt, maar druk eens op de Machtigingen (of Permissions) knop:

Fig. 9:

En hier kan je wel wat dingen instellen. Zoals je ziet is mijn groep al toegevoegd, dit werkt gewoon hetzelfde als gebruikers toevoegen aan een groep: druk op toevoegen, tik de naam van de groep of de gebruiker en druk controleren, je kunt ze ook via Geavanceerd opzoeken. Zorg wel dat bij objecttypen alleen 'Gebruikers' en 'Groepen' staat.

Je kunt bijvoorbeeld alleen netwerkuser2 en netwerkuser3 (twee namen uit het voorbeeld) laten lezen door ze allebei in een nieuwe groep te plaatsen (onhandig, omslachtig, en je creert veel te veel groepen waardoor het geheel zn doel voorbij schiet), of door ze individueel toe te voegen. 'Netwerkuser' kan hem nu dus niet lezen. Je kunt nu ook lezen en schrijven per user en per groep instellen. Als je de groep op 'lezen' zet, maar een user uit die groep individueel op 'schrijven' overrulen de user settings voor zover ik weet.
Let op: verwijder wel de 'Iedereen' of 'Everyone' groep, anders heb je nog niets aan permissies

Wat op blijkt te vallen is dat als je iedereen verwijdert en er een user inzet, die user toch niet kan lezen. Je kunt dan 'Administrator' er tussen zetten als workaround volgens Necrobic.

Wat nu lullig is, is dat het delen van een 'My Documents' map lastig gaat, omdat die niet gelezen mogen worden door andere users, vanwege standaard leesrechten lokaal op de server (let wel: wel door alle administrators). Als je die gaat delen kan dat dus gewoon niet, omdat de permissies fout staan. Dit kan je oplossen door de permissies te veranderen, lees even door.

NTFS Permissies instellen

Je zult misschien denken: NTFS permissies? Ja, NTFS permissies. Kort gezegd, de leesrechten tot een bestand of directory per user, vergelijkbaar met hetgeen wat je doet als je een chmod commando uitvoert (nee, dat kan dus niet in Windows ).

Wat je vast ooit wel gezien zult hebben zijn de simpele 'archief' of 'alleen-lezen' vinkjes bij een map als je zijn eigenschappen bekijkt. Dit kan echter veel uitgebreider ingesteld worden. Ga maar eens naar het tabblad 'Beveiliging' in het eigenschappen venster. Je zult dit zien:

Fig. 10:

Drukken we echter nog nog op geavanceerd, krijgen we een echt uitgebreid venster, onder andere met een optie om de perms van de bovenliggende map mee te nemen (standaard aan):

Fig. 11:

Met name de tab 'Effectieve Machtigen' is nuttig, aangezien je dan kunt zien wat de permissies doen (selecteer een gebruiker, en er zullen vinkjes komen). Als we dit venster sluiten en weer teruggaan naar het vorige, kan je hier instellen:

Fig. 12:

Dit venster wijst zich verder vanzelf. Als je op geavanceerd drukt kan je dus zien wat je effectief hebt gedaan. Let er wel op dat de als de root van een directory (bij C:\test\test is dat dus C:\test) permissies heeft, die standaard worden meegenomen. Als je C:\test\test dus op read-only zet, maar c:\test staat op read-write, dan zullen gebruikers toch nog kunnen schrijven. Vink uit dat je permissies wilt overnemen ('geavanceerd') of pas de permissies van C:\test aan.

LET OP: rechten zijn cumulatief! Als een user dus in twee groepen staat en de ene groep heeft alleen lees en de ander alleen schrijf rechten krijgt de user dus lees en schrijf rechten. Let op²: Deny overruled allow. Als een user dus in een allow en een denied groep zit, mag kan hij het gedeniede dus niet.

Met dit soort dingen kan je dus ook je 'Mijn Documenten' map sharen (deze mogen gebruikers in principe niet lezen). Veel succes ermee!

Bekende foutmeldingen

De gebruiker krijg een $IPC venster met verzoek tot wachtwoord

De machine met de shares erop vind het password niet goed, en vraagt om het password. Er zijn vaak 2 mogelijke oorzaken:

• De user op de client bestaat niet op de server, schakel dus het Gast/Guest account in
  
• De user op de client bestaat ook op de server, maar met een ander wachtwoord. Tik het wachtwoord in zoals het op de server staat, of verander het password op de client naar dat op de server

Error 31 als je verbind

Je bent vergeten om inloggen met blanco wachtwoorden toe te staan. Als je wilt dat users zonder password via het netwerk kunnen inloggen, moet je een policy aanpassen: Systeembeheer > Lokaal Beveiligingsbeleid

Fig. 13:

LET OP: de user aangemaakt op de computer waar de shares op staan moet aan aanwezig zijn op de client, of je moet inloggen als die user, of het gast account aandoen. Ook moet je natuurlijk zelf usernames en groepen maken, en niet de voorbeelden letterlijk kopieren als je andere namen hebt.

Veel succes met de shares!

Thanks to

Deze howto is geschreven door G33rt.
Op- of aanmerkingen, en suggesties kunnen worden doorgegeven aan de WOS moderators.

Lijst met figuren

• Figuur 1: Control Panel Gebruikers Accounts
• Figuur 2: Toevoegen gebruiker account
• Figuur 3: User scherm met de nieuwe users erbij
• Figuur 4: Gebruikers overzicht in de management console
• Figuur 5: Policy instellen
• Figuur 6: Aanmaken gebruikersgroep
• Figuur 7: Gebruikers toevoegen aan de groep
• Figuur 8: Sharen van een map
• Figuur 9: Permissies instellen op de share
• Figuur 10: NTFS Permissions scherm
• Figuur 11: Advanced NTFS permissions
• Figuur 12: Instellen NTFS permissions
• Figuur 13: Aanmelden met leeg wachtwoord toestaan

Inhoudsopgave

• 1: Inleiding
• 2: File Sharing Instellen
• 3: NTFS Permissies instellen
• 4: Bekende foutmeldingen

  1. De gebruiker krijg een $IPC venster met verzoek tot wachtwoord

  2. Error 31 als je verbind

• 5: Thanks to
• 6: Lijst met figuren
• 7: Inhoudsopgave