[W2K server] Beginners vraag beveiliging

[Merijn70]

Ik ben een beetje aan het stoeien met een Windows 2000 server (Dual Xeon 3GHz) die uiteindelijk de oude Windows 2000 (PIII800) server moet gaan vervangen. Het blijft een 2000 server omdat we daar de licenties voor hebben.
Op zich gaat alles goed en heb ik een aantal prive shares gemaakt met rechten voor één betreffende gebruiker en een aantal shares waar meerdere gebruikers in mogen lezen en schrijven. Dit werkt allemaal goed zolang de gebruiker netjes inlogt op het domein.
Echter als ik met een machine NIET inlog op het domein maar gewoon door het netwerk blader kan ik in alle shares lezen en schrijven. Iemand een idee wat er fout staat? Ik weet nl. niet waar en wat ik moet zoeken.
Gebruikte client is overigens een laptop met Vista Ultimate.

[Hari-Bo]

Waarom zou je W2K nog willen gebruiken en niet overstappen naar W2K3 of zelfs W2K8?

Hier info over lifecycles;
Lifecycle Supported Service Packs

[ Voor 33% gewijzigd door Hari-Bo op 01-04-2008 09:51 ]

[BP_LOZ]

Merijn70 schreef op dinsdag 01 april 2008 @ 09:38:
Ik ben een beetje aan het stoeien met een Windows 2000 server (Dual Xeon 3GHz) die uiteindelijk de oude Windows 2000 (PIII800) server moet gaan vervangen. Het blijft een 2000 server omdat we daar de licenties voor hebben.
Op zich gaat alles goed en heb ik een aantal prive shares gemaakt met rechten voor één betreffende gebruiker en een aantal shares waar meerdere gebruikers in mogen lezen en schrijven. Dit werkt allemaal goed zolang de gebruiker netjes inlogt op het domein.
Echter als ik met een machine NIET inlog op het domein maar gewoon door het netwerk blader kan ik in alle shares lezen en schrijven. Iemand een idee wat er fout staat? Ik weet nl. niet waar en wat ik moet zoeken.
Gebruikte client is overigens een laptop met Vista Ultimate.

Hoe log je lokaal in, als administrator?

[Merijn70]

Ja lokaal log ik in als Administrator

[Merijn70]

Hari-Bo schreef op dinsdag 01 april 2008 @ 09:41:
Waarom zou je W2K nog willen gebruiken en niet overstappen naar W2K3 of zelfs W2K8?

Licentie verhaal... De MIS software die op de server gaat draaien heeft echt genoeg aan W2K en voor de rest is het een file server voor wat Excel en Word documenten. Geen strenge eisen aan interne beveiliging. We gebruiken hem NIET voor Exchange of als webserver of zo. Misschien gaan we later wel upgraden maar ik wil het beheer eerst op deze oude fiets leren

[Jimbolino]

Rechten kun je op 2 plaatsen instellen:
- Op de share zelf
- Op de map

Post eens screenshots van beide schermpjes, denk dat ergens "guest" of "everyone" tussen staat...

[sjunnie]

Hari-Bo schreef op dinsdag 01 april 2008 @ 09:41:
Waarom zou je W2K nog willen gebruiken en niet overstappen naar W2K3 of zelfs W2K8?

Dat staat er toch?

Het blijft een 2000 server omdat we daar de licenties voor hebben.

Ik vermoed dat je gebruikers uit je domein de toegang tot diverse shares expliciet ontzegt, en dat standaard iedereen toegang heeft.
Je zou eigenlijk moeten beginnen met je gebruikers toegang te verlenen ipv ontzeggen, en dat standaard dus niemand toegang heeft.

spuitelf...

[ Voor 1% gewijzigd door sjunnie op 01-04-2008 09:57 . Reden: spuitelf; posten met een telefoontje tussendoor is geen geweldig idee ]

[Merijn70]

Jimbolino schreef op dinsdag 01 april 2008 @ 09:55:
Rechten kun je op 2 plaatsen instellen:
- Op de share zelf
- Op de map

Post eens screenshots van beide schermpjes, denk dat ergens "guest" of "everyone" tussen staat...

Oeps, ik heb inderdaad op de map gewoon everyone staan! Hier moet ik dus op zelfde manier rechten geven?

Share:


Map:

Is wel een andere map maar zo staan ze dus allemaal ben ik bang

[ Voor 26% gewijzigd door Merijn70 op 01-04-2008 10:29 . Reden: Toevoeging screendumps ]

[alt-92]

Merijn70 schreef op dinsdag 01 april 2008 @ 09:38:
Echter als ik met een machine NIET inlog op het domein maar gewoon door het netwerk blader kan ik in alle shares lezen en schrijven. Iemand een idee wat er fout staat? Ik weet nl. niet waar en wat ik moet zoeken.

Er staat niks fout op zich, alleen Windows 2000 heeft standaard de EveryoneIncludesAnonymous + Guest permissies aan staan.
En aangezien je dan zonder domain account gebruik maakt van de Guest account van Vista kun je er dus bij.

Dan kan je inderdaad beter voor de share permissies specifiek Domain Users opgeven, of de groep in kwestie erbji zetten.

[Merijn70]

alt-92 schreef op dinsdag 01 april 2008 @ 11:32:
[...]


Er staat niks fout op zich, alleen Windows 2000 heeft standaard de EveryoneIncludesAnonymous + Guest permissies aan staan.
En aangezien je dan zonder domain account gebruik maakt van de Guest account van Vista kun je er dus bij.

Dan kan je inderdaad beter voor de share permissies specifiek Domain Users opgeven, of de groep in kwestie erbji zetten.

Het gekke is dat het op de oude server ook zo staat, ik zie geen verschil maar kan op de oude server niet zomaar als Vista Guest in mapjes komen.

[Jimbolino]

Merijn70 schreef op dinsdag 01 april 2008 @ 11:47:
[...]
Het gekke is dat het op de oude server ook zo staat, ik zie geen verschil maar kan op de oude server niet zomaar als Vista Guest in mapjes komen.

Ook niet als je handmatig guest of gast intypt als je verbinding maakt met de share?

[Merijn70]

alt-92 schreef op dinsdag 01 april 2008 @ 11:32:
[...]


Er staat niks fout op zich, alleen Windows 2000 heeft standaard de EveryoneIncludesAnonymous + Guest permissies aan staan.
En aangezien je dan zonder domain account gebruik maakt van de Guest account van Vista kun je er dus bij.

Dan kan je inderdaad beter voor de share permissies specifiek Domain Users opgeven, of de groep in kwestie erbji zetten.

Ben nog eens opnieuw begonnen mede omdat ik het domein anders wilde en loop toch weer tegen het zelfde probleem aan. Kan ik die "EveryoneIncludesAnonymous + Guest permissies" niet aanpassen zodat gast toegang echt uit staat? Ik vind het nogal raar dat als ik inlog op het domein met een account dat de beveiliging dan helemaal goed werkt en dat als ik niet op het domein inlog overal gewoon bij kan, en vooral dat dit dus blijkbaar standaard aan staat. Is dit bij 2003 of 2008 ook zo?

[alt-92]

Sinds 2003 is dat uitgezet.
Je kan het uitzetten met een Security Policy (en die uitrollen met een GPO).

PS: Die FTP share staat blijkbaar op een FAT32 partitie, want daar heb je helemaal geen NTFS security tab bij zitten?
Die zal dan inderdaad wagenwijd open staan ja