Zugriff von DOS, 9x oder Linux auf einen Windows 2003 Server

Zugriff von DOS, 9x oder Linux auf einen Windows 2003 Server.

Wer mit einem nicht 2000/XP/2003 Client auf einen Windows 2003 Domänen Controller zugreifen will, wird auf folgenden Fehler laufen:
Zugriffsfehler 5: Zugriff verweigert (bei MS Systemen), bzw. „Access Denied“ bei *nix.

Grundsätzlich werden sich jetzt einige wundern, den die Konfiguration des Clients hat sich nicht geändert und bisher waren die Einstellungen auch immer richtig und haben bei jedem NT4 oder Windows 2000 Server wunderbar funktioniert. Der „Fehler“ liegt nicht am Client, sondern am Server ... manch einer wird mitbekommen haben, dass sich mit der Einführung des 2003 Servers, wie schon bei Windows XP, Microsoft verstärkt darum bemüht die Systeme in der Default Konfiguration (Einstellungen nach Setup) sicherer zu gestalten.

Microsoft geht mit dem Windows 2003 Server davon aus, das auch endlich die vorhandenen Clients aktualisiert wurden und die DOS/9x Systeme zur Vergangenheit gehören. Aus dieser Sichtweise heraus sind die bei einem 2003 DC getroffenen Einstellungen nur noch Windows 2000/XP/2003 konform. Mit dieser Grundeinstellungen hat es jetzt die alten System und auch leider die Linux Systeme aus dem Netzwerk „gekickt“.

Natürlich ist diese Default Konfiguration zu ändern und man kann das System wieder auf einen Stand bringen, der es erlaubt, dass die oben genannten Systeme auch weiterhin mit einem 2003 Server kommunizieren können.

Die Änderung erfolgt direkt in der Default Domain Controllers Policy, oder der zuletzt auf dem DC angewendeten. Einige der Einstellungen sollten bisher noch auf "Nicht konfiguriert" stehen. Bitte beachtet die grundsätzliche Problematik bei der Fehlkonfiguration des SMB Signings. (siehe HowTo Artikel)

Default Domain Controllers Policy\Sicherheitseinstellungen\Lokale Richtlinien\Sicherheitsoptionen
Microsoft-Netzwerk (Client): Kommunikation digital signieren (immer)	Aktiviert
Microsoft-Netzwerk (Client): Kommunikation digital signieren (wenn Server zustimmt)	Aktiviert
Microsoft-Netzwerk (Client): Unverschlüsseltes Kennwort an SMB-Server von Drittanbietern senden	Deaktiviert
Microsoft-Netzwerk (Server): Kommunikation digital signieren (immer)	Deaktiviert
Microsoft-Netzwerk (Server): Kommunikation digital signieren (wenn Client zustimmt)	Aktiviert
Netzwerksicherheit: Keine LAN Manager-Hashwerte für nächste Kennwortänderung speichern	Deaktiviert
Netzwerksicherheit: LAN Manager-Authentifizierungsebene	Nur NTLM Antworten senden
Microsoft-Netzwerk (Server): Clientverbindungen aufheben, wenn die Anmeldezeit überschritten wird	Aktiviert

Wichtiger Hinweis von Norbert Remmel:
Nachdem man die Einstellung "Netzwerksicherheit: Keine LAN Manager-Hashwerte für die nächste Kennwortänderung speichern" auf "Deaktiviert" gesetzt hat, muß bei allen bereits bestehenden Usern das Kennwort einmalig zurückgesetzt werden, damit die Hash-Werte neu erzeugt werden.
Entfällt dieser Schritt, ist mit den bereits bestehenden Benutzerkonten trotz der Änderung der Gruppenrichtlinie keine Anmeldung von DOS und W9x Clients aus möglich.

Letztlich scheitert die Anmeldung, bzw. der Zugriff auf den 2003 Server an der rot markierten Richtlinie. Der Server versucht grundsätzlich seine Kommunikation mit jedem Endgerät digital zu signieren, ihm also auch einen Zeitstempel etc. mitzugeben, die seine Pakete verifizieren und für „Echtheit“ garantieren. DOS/9x/Linux können damit nichts anfangen. Jedenfalls nicht, wenn man diese Systeme nicht weiter konfiguriert. NT4 kann ab dem Service Pack 4 mit digital signierten Paketen umgehen.

Wer seinen Server lieber unangetastet lassen möchte und den Aspekt der Sicheren Kommunikation in den Vordergrund stellt. Der sollte seine Clients auf einen entsprechenden Stand bringen, bzw. deren Konfiguration anpassen und ändern. Wobei hier gesagt werden muss, dass man einem DOS Rechner niemals dazu bringen wird mit SMB Signing umzugehen. Windows 98 stellt hier die minimalste Anforderung dar.

„How to enable Windows 98/ME/NT clients to logon to Windows 2003 based Domains“
http://support.microsoft.com/kb/555038/EN

Für die Linux Gemeinde:
http://us1.samba.org/samba/Linux_CIFS_client.html

Mehr zum Thema SMB Signing - Kommunikation digital signieren in diesem HowTo:
SMB Signing - Kommunikation digital signieren