[win2k server] domain problems

[Zym0tiC]

Vandaag maar eens begonnen om mijn servertje over te zetten naar win2k server met AD + domain ipv werkgroep.

Aan de hand van deze beschrijving: http://www.petri.co.il/howto_install_ad.htm ben ik begonnen aan het hele verhaal. Eerst een DNS server ingesteld + geconfigureerd daarna Active Directory aan de praat gekregen.
Alle instellingen gedubbelchecked.... vervolgs wil ik met mijn laptop inloggen op het domain en dan krijg ik de volgende error:

code:

Your computer could not be joined to the domain because the following error has occurred:

The network path was not found

De vraag is dus: en hoe verder

Gegevens:
Windows 2000 Server + Service Pack 4
Domain: shinebox
servernaan: server
laptopnaam: mobilion
domain waar op geconnect word: shinebox

[blackd]

Hoe staan de DNS instellingen op de client?
Tips bij [google=The network path was not found] gelezen?

[Zym0tiC]

blackd schreef op 02 September 2003 @ 02:32:
Hoe staan de DNS instellingen op de client?
Tips bij [google=The network path was not found] gelezen?

uch

i'm stupid, ik was vergeten bij de ip instellingen van de laptop de dns server van de server op te geven

[Zym0tiC]

humz een ander probleem.

Ik wil dus fijn meerdere pc's aansluiten op het domain.
Alles goed ingesteld dit keer ook dns op de workstations

het probleem is dus dat ik ook op mijn workstation wil connecten als Zym0tiC.
Alleen dan krijg ik de volgende error: "Your computer cold not be joined to the domain because the following error has occured: Acces denied."

Geef ik echter op dat ik als Administrator wil connecten dan krijg ik wel verbinding.
Zym0tiC heeft trouwens ook admin rechten.

Het vreemde is dat als ik via de server naar mijn pc's wil browsen via netwerkomgeving ik wel op de workstation kom (die dus is ingelogd als admin) maar niet op mijn laptop waarop ik ben ingelogd als Zym0tiC(admin).
Dan krijg ik dus deze melding: "Mobilion is not accesible. there are currently no logon servers available to service the logon request."

[Zym0tiC]

Niemand die een antwoord hier op weet ^^^^

[blackd]

Zym0tiC schreef op 02 September 2003 @ 20:11:
het probleem is dus dat ik ook op mijn workstation wil connecten als Zym0tiC.
Alleen dan krijg ik de volgende error: "Your computer cold not be joined to the domain because the following error has occured: Acces denied."

Bedoel je nu met ''connecten" dat je dat workstation in het domein joint, of is dat al gebeurt?
Indien dat inderdaad joinen in het domein is, kijk of de user Zym0tiC rechten heeft om een workstation in het domein te joinen (domain policy op de server).

Het vreemde is dat als ik via de server naar mijn pc's wil browsen via netwerkomgeving ik wel op de workstation kom (die dus is ingelogd als admin) maar niet op mijn laptop waarop ik ben ingelogd als Zym0tiC(admin).
Dan krijg ik dus deze melding: "Mobilion is not accesible. there are currently no logon servers available to service the logon request."

Hoe staan de DNS instellingen op de server? Staat die naar 127.0.0.1 ?
Misschien nog eventlogs beschikbaar over deze foutmelding?

[Eric]

Is de user Zym0tiC ook een Domain Admin?

[Zym0tiC]

blackd schreef op 03 September 2003 @ 00:15:
[...]
Bedoel je nu met ''connecten" dat je dat workstation in het domein joint, of is dat al gebeurt?
Indien dat inderdaad joinen in het domein is, kijk of de user Zym0tiC rechten heeft om een workstation in het domein te joinen (domain policy op de server).

Bij het joinen van een domein jip
* Zym0tiC puzzelt ff:

[...]

Hoe staan de DNS instellingen op de server? Staat die naar 127.0.0.1 ?
Misschien nog eventlogs beschikbaar over deze foutmelding?

[b]Die staan op 192.168.0.10 het ip van de dns server maar das gewoon het zelfde als 127.0.0.1

ok een vraagje dan over de beveiliging.
Ik heb nu de user Zym0tiC van domain user naar Administrator veranderd. Nu kan ik dus wel met 2 pc's onder dezelfde naam op mijn domain inloggen.
Maar wat is er nu precies aan mijn beveiliging veranderd. Is iedere gebruiker die onder Zym0tiC nu inlogd gelijk administrator en kan overal opkomen??

Niet dat dat erg voor me zelf is maar me broertjes die hoeven niet zo machtig te zijn
Is er dan nog een andere mogelijkheid om het zo in te stellen dat ze beperkte rechten hebben maar toch op meerdere pc's inloggen.....

Super_Freak schreef op 03 September 2003 @ 00:19:
Is de user Zym0tiC ook een Domain Admin?

excuses voor zoon n00b vraag maar wat is precies het verschil tussen een administrator en een domain admin?

[ Voor 15% gewijzigd door Zym0tiC op 03-09-2003 00:40 ]

[WiNlUx]

Kijk eens even of alle "gewone" accounts lid zijn van de Ordinary User groep en je admin users lid zij van Domain admins - Administrators (nouja, alle groepen waar admin in staat ). Dan zou het goed moeten zijn. Je kunt ook even kijken of er niets raars staat in je policy's zoals het alleen mogen inloggen van admins op je pc. Zat je trouwens op je client of op je server in te loggen?

[Zym0tiC]

Ik hoop dat je bedoelt active directory computers and users:

daar staat Zym0tiC van het type user
member of administrator

* Zym0tiC is er sterk over aan het denken om maar eens naar de bibliotheek te gaan om een boek te lenen

edit:

O ja ik heb wel nog dat als ik via de server naar de shares op mijn laptop wil gaan dat ik de volgende error krijg:
[code]Dan krijg ik dus deze melding: "Mobilion is not accesible. there are currently no logon servers available to service the logon request."[/code]
maar dit krijg ik weer niet als ik via de server naar mijn workstation ga.
Allebei zijn ze ingelogd als Zym0tiC

[ Voor 47% gewijzigd door Zym0tiC op 03-09-2003 00:58 ]

[blackd]

Zym0tiC schreef op 03 September 2003 @ 00:39:
Niet dat dat erg voor me zelf is maar me broertjes die hoeven niet zo machtig te zijn
Is er dan nog een andere mogelijkheid om het zo in te stellen dat ze beperkte rechten hebben maar toch op meerdere pc's inloggen.....

Voor je broertjes maak je toch een apart account neem ik aan?

Zym0tiC schreef op 03 september 2003 @ 00:39:
excuses voor zoon n00b vraag maar wat is precies het verschil tussen een administrator en een domain admin?

De domain admin is admin over het gehele domein, dus ook local admin op de clients, de administrator is alleen admin op de server, niet op de clients, daar is hij gewone user.

[ Voor 34% gewijzigd door blackd op 03-09-2003 00:59 ]

[Zym0tiC]

blackd schreef op 03 september 2003 @ 00:57:
[...]

Voor je broertjes maak je toch een apart account neem ik aan?

hum ik was eerst aan het denken om mijn 2 broertjes 1 user account te geven maar het is idd handiger om ieder zijn eigen te geven. Dus dat probleem lost zich zelf op

Ik heb me zelf dan maar gelijk domain admin rechten gegeven....aangezien de pc's toch allemaal van mij zijn

[ Voor 15% gewijzigd door Zym0tiC op 03-09-2003 01:04 ]

[blackd]

Zym0tiC schreef op 03 September 2003 @ 00:53:
O ja ik heb wel nog dat als ik via de server naar de shares op mijn laptop wil gaan dat ik de volgende error krijg:
Dan krijg ik dus deze melding: "Mobilion is not accesible. there are currently no logon servers available to service the logon request."
maar dit krijg ik weer niet als ik via de server naar mijn workstation ga.
Allebei zijn ze ingelogd als Zym0tiC

User account heeft er weinig mee te maken. Probleem zit hem echt in DNS of netwerkconnectivity. Kijk maar eens op [google=there are currently no logon servers available to service the logon request].

Spit je eventlogs eens door, kijk eens wat daar voor relevants in staat. Kijk dan mbv www.eventid.net of je het kan oplossen.

Zym0tiC schreef op 03 September 2003 @ 01:00:
hum ik was eerst aan het denken om mijn 2 broertjes 1 user account te geven maar het is idd handiger om ieder zijn eigen te geven. Dus dat probleem lost zich zelf op

Tja, daar is een domein nou juist voor. Kun je gelijk mbv group policies de PC's dichttimmeren etc.

Zym0tiC schreef op 03 September 2003 @ 01:00:
Ik heb me zelf dan maar gelijk domain admin rechten gegeven....aangezien de pc's toch allemaal van mij zijn

Mjah, ik ben zelf niet zo'n voorstander van 'smijten met rechten'. Je kunt in nare situaties komen als je bijv een network aware virus hebt dat zichzelf via de hidden shares (die voor administrators volledig toegankelijk zijn) verspreidt.

Pas je ook op met IIS?

[ Voor 27% gewijzigd door blackd op 03-09-2003 01:09 ]

[Zym0tiC]

blackd schreef op 03 September 2003 @ 01:04:

Mjah, ik ben zelf niet zo'n voorstander van 'smijten met rechten'. Je kunt in nare situaties komen als je bijv een network aware virus hebt dat zichzelf via de hidden shares (die voor administrators volledig toegankelijk zijn) verspreidt.

daar zit idd wel wat in. Ik kwam op dat idee omdat het me gewoon makkelijk leek voor in een thuisnetwerk. Natuurlijk is dat niet erg slim voor in een bedrijfssituatie.

Welke rechten zou jij dan aanbevelen? Zodat het configureren toch goed te doen is. FF voor de zekerheid: we hebben het toch over de user Zym0tiC die op de werkstations inlogd, Administrator is de enigste local user op de server...

anyway: thnx for your help mensen tot zo ver * Zym0tiC heeft weer wat bijgeleerd.

offtopic:
En nu ga ik snurken

[blackd]

Zym0tiC schreef op 03 September 2003 @ 01:13:
Welke rechten zou jij dan aanbevelen? Zodat het configureren toch goed te doen is. FF voor de zekerheid: we hebben het toch over de user Zym0tiC die op de werkstations inlogd, Administrator is de enigste local user op de server...

Ik geef users altijd de rechten die ze nodig hebben, en niet meer. Voor gewoon gebruik, that is.

Voor de administratieve handelingen kun je heel vaak 'run as' gebruiken (voor een paar dingen helaas niet), en een programma / configuratiescherm uitvoeren als administrator. Zo gebruik je het administrator account alleen wanneer je hem nodig hebt, en is de kans veel kleiner dat er door een bug / worm / virus in de software allerlei dingen gebeuren die voorkomen hadden kunnen worden door een kleine inperking van de rechten. Bijv. het virusvoorbeeld wat ik net noemde.

Wanneer je remote beheer wilt doen, is een domain user niet voldoende. Ik heb me daar niet echt in verdiept, ik werk meestal met een TS sessie in remote admin mode. Je kunt er ook voor kiezen om adminpak.msi te installeren op een van je clients, en dan in AD Users & Computers bepaalde zaken te delegeren en rechten uit te delen. Echter daar heb ik weinig ervaring mee.

Zeker in het begin kun je denk ik nog wel even administrator blijven, terwijl je alles configureert. Daarna, als alles oke is, kun je naar mijn mening beter de rechten inperken tot de rechten die je echt nodig hebt voor dagelijks gebruik.

Maar het lijkt me sowieso handig om je in te gaan lezen in de beveiliging van 2000, hoe dat precies werkt, hoe je 2000 nog veiliger kan krijgen (google: hardening Windows 2000) en eventueel IIS dichttimmeren indien je dat draait.
En draai de MBSA ook even.

Succes .

offtopic:
En ik ga zo ook

[Zym0tiC]

blackd schreef op 03 September 2003 @ 01:26:
[...]

Ik geef users altijd de rechten die ze nodig hebben, en niet meer. Voor gewoon gebruik, that is.

Voor de administratieve handelingen kun je heel vaak 'run as' gebruiken (voor een paar dingen helaas niet), en een programma / configuratiescherm uitvoeren als administrator. Zo gebruik je het administrator account alleen wanneer je hem nodig hebt, en is de kans veel kleiner dat er door een bug / worm / virus in de software allerlei dingen gebeuren die voorkomen hadden kunnen worden door een kleine inperking van de rechten. Bijv. het virusvoorbeeld wat ik net noemde.

Wanneer je remote beheer wilt doen, is een domain user niet voldoende. Ik heb me daar niet echt in verdiept, ik werk meestal met een TS sessie in remote admin mode. Je kunt er ook voor kiezen om adminpak.msi te installeren op een van je clients, en dan in AD Users & Computers bepaalde zaken te delegeren en rechten uit te delen. Echter daar heb ik weinig ervaring mee.

Zeker in het begin kun je denk ik nog wel even administrator blijven, terwijl je alles configureert. Daarna, als alles oke is, kun je naar mijn mening beter de rechten inperken tot de rechten die je echt nodig hebt voor dagelijks gebruik.

Maar het lijkt me sowieso handig om je in te gaan lezen in de beveiliging van 2000, hoe dat precies werkt, hoe je 2000 nog veiliger kan krijgen (google: hardening Windows 2000) en eventueel IIS dichttimmeren indien je dat draait.
En draai de MBSA ook even.

Succes .

offtopic:
En ik ga zo ook

ok thnx bedankt voor alle info.... nog 1 laatste vraagje:

bij het joinen van een domain vraagt hij de eerste keer met welke user je wilt connecten. Welke kun je daar het beste voor het gebruiken...administrator of een lokale user die vaker op die pc zit?

[blackd]

Zym0tiC schreef op 03 September 2003 @ 22:51:
bij het joinen van een domain vraagt hij de eerste keer met welke user je wilt connecten. Welke kun je daar het beste voor het gebruiken...administrator of een lokale user die vaker op die pc zit?

Hij vraagt niet met welke user je wilt connecten, hij vraagt welke user er rechten heeft om de computer in het domein te joinen. Bij 'connecten' denk ik namelijk eerder aan het maken van een drivemapping, het aanloggen op de server, of het zoeken van een share.

Bij het joinen in het domein heeft een lokale user weinig zin, immers, die users hebben helemaal geen rechten in het domein. Je hebt dus sowieso een domein user nodig, en die moet het recht 'Add workstation to domain' hebben op het domein.