Authorisatie-probleem bij shares via VPN

[noot101]

Ik zit met een raar probleem waarbij een gebruiker dis via VPN is ingelogd geen gebruik kan maken van de gedeelde mappen op die server.
Ik zal proberen om het zo helder mogelijk uit te leggen:

Een gebruiker van Bedrijf A wil inloggen op de server van bedrijf B. Hiervoor heb ik op de server van bedrijf B een account aangemaakt voor de betreffende gebruiker en ingesteld dat deze op de server kan inbellen via VPN (MS ras-server).
Het inbellen via VPN (vanuit bedrijf A) lukt perfect en ook kan de gebruiker gebruik maken van zijn exchange mailbox die op de server van B is aangemaakt. Alleen als er een verbinding gemaakt moet worden met de shares op de server komt er een inlogscherm (logisch natuurlijk de 1e keer) hierbij worden de inloggegevens ingevuld, maar telkens verschijnt het inlogscherm weer.
Als ik hetzelfde doe op mijn eigen laptop (in het netwerk van bedrijf A) werkt het wel perfect (met dezelfde inloggegevens). Binnen bedijf A hebben we dit ook nog geprobeerd met andere PC's, ook als deze niet op het domein van A ingelogd zijn, en deze krijgen allemaal telkens het inlogscherm terug.
Op deze PC's staat geen virusscanner of firewall die iets tegen kan houden. En het lijkt me ook niet dat op de Server van B iets verkeerd staat, want anders zou ik met mijn laptop ook niet kunnen inloggen op deze server.

Zie ik nu iets over het hoofd of heeft iemand een idee wat er aan de hand kan zijn???

[Verwijderd]

hoe maak je verbinding met shares, via unc path of een mapping?

krijg je het inlogscherm direct terug (oftewel krijg je geen connectie) of krijg je verbinding maar bij de volgende klik moet je weer het ww opgeven?

als je net use intikt staan daar dan connecties naar de server B (met name ipc$)?

[ Voor 35% gewijzigd door Verwijderd op 26-08-2005 12:34 ]

[noot101]

Verwijderd schreef op vrijdag 26 augustus 2005 @ 12:32:
hoe maak je verbinding met shares, via unc path of een mapping?

krijg je het inlogscherm direct terug (oftewel krijg je geen connectie) of krijg je verbinding maar bij de volgende klik moet je weer het ww opgeven?

als je net use intikt staan daar dan connecties naar de server B (met name ipc$)?

Ik maak verbinding via een UNC path.
Loginscherm komt inderdaad meestal meteen terug, maar dan hoeft alleen het ww weer opgegeven te worden. Ik weet niet wat jij bedoelt met de connectie? Ik kan iig wel pingen naar de servernaam.
Bij net use staan nog geen connecties naar de server toe.

[Verwijderd]

Geef je usernames op met domeinnaam., dus "domeinbedrijfB\joesert" op die PCs?
Jouw laptop zal wellicht in domeinbedrijfB zitten, maar de andere PCs wonen in DomeinbedrijfA of uberhaupt niet in een domein. Die gaan dus ook niet proberen te authenticeren met die domeinnaam.

Wat ik hiermee ook een keer heb gezien is dat ik vergeten was op m'n laptop de opgeslagen usernames en passwords voor de betreffene servers weg te mikken, zodat ik aanmelde met het niet werkende account "domein\suffeboekhouder" en dat Windows vervolgens het idee krijgt om eens "domein\stoeremeneervandeIT" te proberen. Dan lijkt het perfect te werken na één keer je PW inkloppen, maar ging het dus feitelijk de soep in.

[noot101]

Verwijderd schreef op vrijdag 26 augustus 2005 @ 15:43:
Geef je usernames op met domeinnaam., dus "domeinbedrijfB\joesert" op die PCs?
Jouw laptop zal wellicht in domeinbedrijfB zitten, maar de andere PCs wonen in DomeinbedrijfA of uberhaupt niet in een domein. Die gaan dus ook niet proberen te authenticeren met die domeinnaam.

Helaas is dit het ook niet. Ik vul inderdaad in "DomeinB\username" maar dan pikt ie het nog niet.
Mijn laptop zit helemaal nergens in een domein, dus die heeft hier inderdaad geen last van. Daarom had ik ookal met een van de PC's van bedrijf A lokaal op de Pc ingelogd, zodat deze dus niks met het domein van A te maken had.

[hellbringer]

Volgens mij is dit een nieuwe "feature" in een patch of in SP2 van XP, ben dit probleem ook tegen gekomen, maar heb tot op heden geen oplossing kunnen vinden.

Je zou een workaround kunnen proberen:

use x: \\server\share /user:gebruikersnaam@domein wachtwoord

Maar dat is niet echt een veilige oplossing zoals je zelf wel ziet...

[noot101]

hellbringer schreef op zondag 28 augustus 2005 @ 23:45:
use x: \\server\share /user:gebruikersnaam@domein wachtwoord

Maar dat is niet echt een veilige oplossing zoals je zelf wel ziet...

Helaas werkt zelfs dit niet......
Ik snap er niks meer van wat het dan wel kan zijn.

[_Arthur]

Kan je op de server van bedrijf B een account aan (laten) maken die kwa naam en password hetzelfde is als bij bedrijf A?

Dus dat persoon A bij bedrijf A & B zowel username 'jantje' en password 'blaat' heeft?

[alt-92]

Niet zonder een trust tussen de 2.
Dat werkt alleen in werkgroep-mode omdat er dan geen DomainSID aan de account hangt, maar een eenvoudiger methode.

Wat je eventueel nog zou kunnen proberen (maar dan moet iets als net use x: \\serverindomainA\share /user:gebruikersnaam@domeinA wachtwoord wel werken) is met de optie Network passwords:




Dat werkt ook als je de fqdn opgeeft , dus *.domainA.tld en de bijbehorende useraccount in dat domain.

[ Voor 13% gewijzigd door alt-92 op 30-08-2005 21:42 ]

[noot101]

Helaas werken geen van bovenstaande opties....

[sanfranjake]

Wellicht eens op ip proberen dus 10.0.0.1\username en \\10.0.0.1\blaat ?

[hanhoo]

Check de eventlogs van het werkstation en de server!

Zorg dat je XP Pro gebruikt.

Kun je met je laptop wel rechtstreeks als je fysiek op locatie ben?

[noot101]

sanfranjake schreef op dinsdag 13 september 2005 @ 20:28:
Wellicht eens op ip proberen dus 10.0.0.1\username en \\10.0.0.1\blaat ?

Op ip heb ik al geprobeerd en dit geeft hetzelfde resultaat.

hanhoo schreef op woensdag 14 september 2005 @ 11:37:
Check de eventlogs van het werkstation en de server!

Zorg dat je XP Pro gebruikt.

Kun je met je laptop wel rechtstreeks als je fysiek op locatie ben?

In de system eventlog op de server zie ik het volgende als er een VPN-connectie gemaakt wordt:
The user DOMEIN\Gebruiker has connected and has been successfully authenticated on port VPN5-4. Data sent and received over this link is strongly encrypted.

Meteen hierna komt de melding:
The user DOMEIN\Gebruiker connected on port VPN5-4 has been assigned address 192.168.2.17

Het maken van de VPN gaat dus inderdaad goed.

In de securty eventlog zie ik een paar seconden later (als de gebruiker inlogt):
Authentication Ticket Request:
User Name: Gebruiker
Supplied Realm Name: DOMEIN
User ID: DOMEIN\Gebruiker
Service Name: krbtgt
Service ID: DOMEIN\krbtgt
Ticket Options: 0x40810010
Result Code: -
Ticket Encryption Type: 0x17
Pre-Authentication Type: 2
Client Address: 127.0.0.1
Certificate Issuer Name:
Certificate Serial Number:
Certificate Thumbprint:

En meteen hierna de melding:
Service Ticket Request:
User Name: [e-mail]
User Domain: DOMEIN.NL
Service Name: SERVERNAAM$
Service ID: DOMEIN\SERVERNAAM$
Ticket Options: 0x40810000
Ticket Encryption Type: 0x17
Client Address: 127.0.0.1
Failure Code: -
Logon GUID: {e34b4915-3117-c180-0566-5719af9367cb}
Transited Services: -

Op het werkstation kan ik nu helaas de eventlog niet bekijken, omdat ik niet op locatie ben.

Het is idd XP Pro en als ik er met mijn eigen laptop op locatie ben werkt het wel goed. Het lijkt dus echt iets op de betreffende werkstations zelf te zijn.

[ Voor 56% gewijzigd door noot101 op 14-09-2005 14:19 ]