[XP] Gedeeltelijk shares beveiligen

[Scyth]

Voordat iedereen begint met blaten over "heh bah, weer zo'n share-topic in XP", leest eer u blaat:

Ergens in 't huis staat een server, met IP 192.168.1.205, en zit in de workgroup die over 't hele huis hetzelfde is. Deze server heeft bepaalde mappen standaard gedeeld voor "Everyone" met alleen read rechten; dit omdat de rest van mijn huisgenoten (lees: zusje/zwager/pap/mam) wel eens wel of niet perongeluk iets kunnen deleten. Deze mappen worden namelijk op alle PC's gemount.
Nu wou ik mijn PC (zelfde workgroup, zelfde subnet, ander IP) wél de rechten geven om dingen kunnen te veranderen.

De server heeft het standaard administrator useraccount en een los admin account voor dagelijks login gebruik, beide wachtwoordbeveiligd, en mijn computer ditto.

Ik heb simple file sharing uitgezet; en ben gaan klooien met rechten op FS-niveau en shareniveau. Snel kwam ik er achter dat sharen op FS-niveau alleen betrekking heeft op lokale gebruikers, dus ben mij gaan oriënteren op shareniveau. Ik heb even snel geprobeerd om "Everyone" full access te geven; en dat werkt: ik kan dingen veranderen.

Echter, als ik een andere gebruiker toevoeg aan deze lijst (na ook een lokaal account onder dezelfde naam aangemaakt te hebben) en ik probeer onder deze credentials in te loggen op deze share, blijft Windows om een wachtwoord vragen; ook als ik 100% zeker weet het correcte wachtwoord te hebben ingevuld. Ook heb ik het op een of andere manier ook al voor elkaar gehad dat ik kon mappen met elke credential combinatie die ik invulde .

Mijn vraag is nu simpel: Kan ik in Windows XP Professional (staat op zowel server als mijn workstation) een share als drive mappen onder andere credentials als de rest van 't huis; en zo ja; wat zie ik over 't hoofd?

_{Disclaimer: Ja, ik heb de FAQ al doorgelezen, verschillende GoT topics doorgebladerd over dit onderwerp waaronder deze: clique en heb op de Microsoft KB gezocht, en dit en dit gevonden, maar geen van allen lostte mijn probleem op.}

[leuk_he]

Ik weet wel dat als je eenmaal aangemeld bent op een bepaalde server (workstation) dat je niet nogmaals met een andere user nogmaals kunt aanloggen op een share. hij onthoud namelijk de eerste aanlog.

Dus de server rebooten voor je verder vogelt helpt!

Wat ook helpt is de auditing op logon-logoff aanzetten zodat je kunt zien hoe er wordt geprobeerd aan te loggen. Dan is het beter te volgen.

Helaas heb ik geen kant en klaar stappenplan voor je. Maar als je eenmaal hebt geregeld dat er met de goede user wordt aangelogd op de server dan kkun je het op Share EN filesysteem nivo regelen.

[The End]

Het probleem is dat je wel dezelfde username hebt staan en dat hij in de security instellingen lijkt te staan. Echter werkt Windows intern met SIDs (bijna elk account heeft een uniek nummer genaamd: Security IDentifier), daarom lijken de accounts hetzelfde, maar zijn ze het niet. (Op het moment dat jij naar de rechten van een folder kijkt, dan worden de namen bij de SIDs opgezocht en getoond in de user interface)

In sommige gevallen kan je een 'trucje' gebruiken, door op beide machines een account aan te maken met dezelfde naam en beide hetzelfde wachtwoord.

En soms kan je ook inloggen door de computer naam voor het account te zetten ('\\computernaam\accountnaam').

[ Voor 14% gewijzigd door The End op 11-11-2005 16:17 ]

[kroegtijger]

The End schreef op vrijdag 11 november 2005 @ 16:16:
Het probleem is dat je wel dezelfde username hebt staan en dat hij in de security instellingen lijkt te staan. Echter werkt Windows intern met SIDs (bijna elk account heeft een uniek nummer genaamd: Security IDentifier), daarom lijken de accounts hetzelfde, maar zijn ze het niet. (Op het moment dat jij naar de rechten van een folder kijkt, dan worden de namen bij de SIDs opgezocht en getoond in de user interface)

In sommige gevallen kan je een 'trucje' gebruiken, door op beide machines een account aan te maken met dezelfde naam en beide hetzelfde wachtwoord.

En soms kan je ook inloggen door de computer naam voor het account te zetten ('\\computernaam\accountnaam').

inderdaad...alleen mag je de 2 eerste \\ weglaten

zet het op share-niveau volledig open (kan in principe met alles. Maak er desnoods hidden shares van) en zet je rechten via NTFS. Dit werkt veel makkelijker dan via share-rechten. 2 dezelfde usernamen is over het algemeen niet handig (dit in verband met de SID's) en werkt meer verwarrend dan praktisch.
Wat mij het makkelijkst lijkt is om op je server alle users aan te maken en als je gaat connecten vanaf een client naar een server-map (via de explorer naar tools>>map network drive) even aangeven "connect as a different user". Daar geef je bij username dan "servernaam\usernaam" en bij wachtwoord het wachtwoord dat je ze op de server had meegegeven. Vervolgens vink je nog even "reconnect at logon" aan en zou je klaar moeten zijn. Doe dit op al je clients en je probleem is uit de wereld

[Scyth]

leuk_he schreef op vrijdag 11 november 2005 @ 16:10:
Ik weet wel dat als je eenmaal aangemeld bent op een bepaalde server (workstation) dat je niet nogmaals met een andere user nogmaals kunt aanloggen op een share. hij onthoud namelijk de eerste aanlog.

Dus de server rebooten voor je verder vogelt helpt!

Wat ook helpt is de auditing op logon-logoff aanzetten zodat je kunt zien hoe er wordt geprobeerd aan te loggen. Dan is het beter te volgen.

Waar vind ik die auditing setting?

The End schreef op vrijdag 11 november 2005 @ 16:16:
In sommige gevallen kan je een 'trucje' gebruiken, door op beide machines een account aan te maken met dezelfde naam en beide hetzelfde wachtwoord.
En soms kan je ook inloggen door de computer naam voor het account te zetten ('\\computernaam\accountnaam').

Deze twee dingen werken dus niet. De laatste (servernaam ervoor) doet hij trouwens wel automatisch.

kroegtijger schreef op vrijdag 11 november 2005 @ 16:25:
inderdaad...alleen mag je de 2 eerste \\ weglaten

zet het op share-niveau volledig open (kan in principe met alles. Maak er desnoods hidden shares van) en zet je rechten via NTFS. Dit werkt veel makkelijker dan via share-rechten. 2 dezelfde usernamen is over het algemeen niet handig (dit in verband met de SID's) en werkt meer verwarrend dan praktisch.
Wat mij het makkelijkst lijkt is om op je server alle users aan te maken en als je gaat connecten vanaf een client naar een server-map (via de explorer naar tools>>map network drive) even aangeven "connect as a different user". Daar geef je bij username dan "servernaam\usernaam" en bij wachtwoord het wachtwoord dat je ze op de server had meegegeven. Vervolgens vink je nog even "reconnect at logon" aan en zou je klaar moeten zijn. Doe dit op al je clients en je probleem is uit de wereld

Ik héb dus op de server ook al geprobeerd om een gebruiker aan te maken die NetScyth heet, met een wachtwoord. Als ik dan map network drive doe; en doe precies zoals jij zegt; blijft hij om 't wachtwoord vragen, terwijl ik toch goed tik

[ Voor 38% gewijzigd door Scyth op 11-11-2005 16:33 ]

[leuk_he]

file -run -> "secpol.msc /s"

local policies -> audit policy

resultaten zie je in de event log (file -> run -> eventvwr )

[ Voor 43% gewijzigd door leuk_he op 11-11-2005 16:37 ]

[kroegtijger]

Scyth schreef op vrijdag 11 november 2005 @ 16:28:

Ik héb dus op de server ook al geprobeerd om een gebruiker aan te maken die NetScyth heet, met een wachtwoord. Als ik dan map network drive doe; en doe precies zoals jij zegt; blijft hij om 't wachtwoord vragen, terwijl ik toch goed tik

ook als je "servernaam\NetScyth" als user opgeeft??
Reset het wachtwoord anders eens voor de zekerheid...want dit hoort het dus gewoon wel te doen. Je hebt jezelf wel de juiste rechten er ook op gegeven? Controleer het even door proberen te mappen met als username "servernaam\administrator" met daarbij natuurlijk het local admin ww. Als dat wel werkt, lijkt het mij t meest waarschijnlijk dat je de rechten toch nog niet helemaal goed hebt staan

[The End]

Heb je die rechten instellingen wel op de folder gemaakt? Je moet de share op everyone, full access zetten en daarna de rechten op de folder aanpassen.

[Verwijderd]

De server draait ook Windows XP??

In dat geval zou ik gewoon op de server een nieuwe lokale user aanmaken met de juiste rechten op de share en daarmee, via je eigen computer, inloggen op de share.

Wanneer de server Windows 2000 server of Windows Server 2003 draait moet je niet vergeten dat je zowel op share-niveau als op Folder-niveau (NTFS) de juiste rechten moet configureren.

Everyone full op share niveau en dan op NTFS niveau alles dicht timmeren.

Succes

[edit] Ok, iets beter lezen de volgende keer [/edit]

[ Voor 9% gewijzigd door Verwijderd op 11-11-2005 16:49 ]

[Scyth]

Nou; heb 't voor elkaar. Na wat reboots en nieuwe gebruikers maken is het gelukt.
Mijn stappen:

1: Nieuwe gebruiker maken op server
1b: Voor de netheid deze gebruiker ook in een nieuwe groep NetAdmins gegooid
2: Op shareniveau alles open zetten
3: Op NTFS niveau weer dichttimmeren
4: Gebruiker cq. groep op NTFS niveau rechten geven
5: inloggen met serv\gebruikersnaam

Dank voor iedereen die geholpen heeft!

[The End]

Verwijderd schreef op vrijdag 11 november 2005 @ 16:48:
De server draait ook Windows XP??

In dat geval zou ik gewoon op de server een nieuwe lokale user aanmaken met de juiste rechten op de share en daarmee, via je eigen computer, inloggen op de share.

Wanneer de server Windows 2000 server of Windows Server 2003 draait moet je niet vergeten dat je zowel op share-niveau als op Folder-niveau (NTFS) de juiste rechten moet configureren.

Everyone full op share niveau en dan op NTFS niveau alles dicht timmeren.

Succes

[edit] Ok, iets beter lezen de volgende keer [/edit]

Uhm, NTFS en share rechten werken identiek op Windows 2000,2003 en XP hoor.

[Verwijderd]

The End schreef op vrijdag 11 november 2005 @ 16:50:
[...]


Uhm, NTFS en share rechten werken identiek op Windows 2000,2003 en XP hoor.

Ja, maar als de server Windows XP zou draaien dan heb je geen domein en zul je alles met lokale gebruikers moeten doen.