[samba+w2k] Shares wil wel, maar domain logon niet?!

[Verwijderd]

Goedenavond iedereen,

Ik ben nu al een maand aan het prutsen, om een w2k machine in een samba netwerk te krijgen, zodat ie domain logons doet. Dus w2k moet inloggen op de samba-server, en wel d.m.v. PAM. De machine krijg ik in het domein (Windows geeft vrolijk de melding "Welcome to the MYDOMAIN domain"), maar vervolgens mislukt elke login-poging (gebruikersnaam/wachtwoord onjuist).

Het gekke is, dat de shares wel gewoon werken met PAM (dus als ik lokaal op de w2k-machine inlog en dan samba benader). En nog vreemder: w2k wil wel inloggen op het domein als de gebruikte user in de smbpasswd-file staat.

Het lijkt er dus op dat Windows/Samba PAM wel wil gebruiken met shares, maar niet met domain logons?!

Ik heb de encrypted passwords uitstaan, en ik ben al drie keer vanaf scratch begonnen met m'n smb.conf (telkens van een andere howto), maar het mocht niet baten. Zelfs w2k is al opnieuw geinstalleerd, helpt ook niet. Andere w2k machine doet het er ook niet mee, en een Samba-upgrade heeft ook niet geholpen.

Met andere woorden: ik raak er depressief van! Het moet gewoon kunnen...

[Robthebest]

misschien een domme vraag maar heeft de gebruiker waarmee je wil inloggen wel het recht om op het domein in te loggen?

[AcidBurn]

"win2k wil wel inloggen als de gebruikte user in het smbpasswd file staat"
dat is dus ook de bedoeling... als een gebruiker op een win2k bak daar _niet_ in staat, zal ie ook nooit in kunnen loggen
da's de rotgein van win2k en xp...

ten eerste moet je de betreffende computernamen als zijnde computernaam$ (ja, die dollarteken hoort daar) als user aanmaken (gelieve in groep "smbusers" oid), die moet uiteraard ook in de smbpasswd file staan ("smbpasswd -a -m <machine-naam>" deze keer ZONDER de dollarteken! )

daarna moet je de gebruiker waarmee je vanaf de win2k bak in wilt loggen op het domein, ook aanmaken op de samba server (en dus ook in de smbpasswd file zetten)

bij het aanmelden op het domein kan enkel "root" de toegang verschaffen, en vervolgens geef je aan welke user je aan wilt melden om mee in te loggen
(voor die user moet je dus al een account hebben aangemaakt op de samba server)

ik heb hier zelf ook een weekje mee gekloot, maar heb het uiteindelijk wel aan de praat gekregen.

lees net pas dat je encrypted passwords uit heb staan... dan hoop ik dat je ook de benodigde aanpassingen hebt gedaan aan de win2k settings, gezien dat anders niet goed gaat komen, voor zover ik de howto's begrepen heb.
als ik jou was, zou ik encrypted passwords mooi aan laten staan.

[ Voor 22% gewijzigd door AcidBurn op 29-10-2003 01:02 ]

[Verwijderd]

Robthebest schreef op 28 October 2003 @ 22:22:
misschien een domme vraag maar heeft de gebruiker waarmee je wil inloggen wel het recht om op het domein in te loggen?

Ik heb nooit geweten dat je dat recht moet toekennen?! Hoe doe je dat dan?

En AcidBurn: het gaat er juist om dat de usernames en passwords geverifieerd worden via PAM. De hele smbpasswd moet ongebruikt blijven. Dit omdat er op de server waar Samba draait al een stuk of 1000 linux-gebruikers draaien. En deze gebruikers wil ik met dezelfde gebruikersnaam/wachtwoord in kunnen laten loggen op de w2k machine.

En de Encrypted Passwords staan uit, zodat het voor Samba mogelijk is om de passwords die w2k stuurt te controleren in PAM. In de config van Samba staat dat goed, en ik heb aanpassingen gemaakt in het registry van w2k. Die encrypted passwords, daar ligt het niet aan, denk ik. Ik kan immers wel de shares benaderen die password-protected zijn!

[igmar]

Verwijderd schreef op 29 October 2003 @ 13:27:
En AcidBurn: het gaat er juist om dat de usernames en passwords geverifieerd worden via PAM. De hele smbpasswd moet ongebruikt blijven. Dit omdat er op de server waar Samba draait al een stuk of 1000 linux-gebruikers draaien. En deze gebruikers wil ik met dezelfde gebruikersnaam/wachtwoord in kunnen laten loggen op de w2k machine.

Ik denk niet dat dat werkt, domain logons kun je zover ik weet niet unencrypted doen. Je kan eventueel de debugging van PAM aanzetten om te kijken waar het misgaat.

Wil je unencrypted password gebruiken vanuit win2k zul je ook een registrypatch moeten gebruiken, die zit in de distrib van samba zelf.

[ Voor 24% gewijzigd door igmar op 29-10-2003 13:33 ]

[FendtVario]

Verwijderd schreef op 28 October 2003 @ 22:16:
Het gekke is, dat de shares wel gewoon werken met PAM (dus als ik lokaal op de w2k-machine inlog en dan samba benader). En nog vreemder: w2k wil wel inloggen op het domein als de gebruikte user in de smbpasswd-file staat.

Dit probeer ik dus ook al een tijdje, ik krijg het alleen voor elkaar om toegang te krijgen als de gebruiker in smbpasswd staat. Kun je een linkje plaatsen of een stukje van de smb.conf hoe dit mogelijk is? Alvast dank...

[nwagenaar]

Als je een Windows 2000 Pro machine en/of een Windows XP Pro machine wil laten inloggen op een Samba Domain server moet je in ieder geval het volgende gebruiken :

1) Encrypted password moet aan staan in smb.conf (unencrypted kan wel maar dan moet je de Security Policy aanpassen op je machine);
2) De gebruiker die gaat inloggen moet in smbpasswd staan;
3) De machine ID moet ook staan in de smbpasswd file;

Voor meer informatie, check anders even de IBM tutorial met Samba via deze link.

In geval van Windows XP moet je ook een aantal Security Policies aanpassen anders krijg je problemen tijdens het inloggen. Check hiervoor de Samba Tutorial van IBM.

[qless]

Het met hetzelfde wachtwoord laten werken onder linux en samba kan heel simpel:

code:

        passwd program = /usr/bin/passwd %u
        add user script = /usr/sbin/useradd -d /dev/null -g Machines -s /bin/false -M %u
        unix password sync = yes

dit zorgt voor password synchronisatie...

[Verwijderd]

Dus als ik het goed begrijp is een domain-logon via PAM onmogelijk? En het synchroniseren van die wachtwoorden is ook geen optie, want dan moet ik aan al die 1000 mensen gaan vragen of ze hun wachtwoord even in willen toetsen voor de smbpasswd.

Ik vind het nog al vreemd dat PAM wel werkt voor de shares, maar niet voor domain logons? Weten jullie dat echt zeker?

[Verwijderd]

Sorry voor de schop, maar ik wil graag zeker weten of Domain logons met PAM onmogelijk zijn. Dan stop ik namelijk met proberen/prutsen!