Passwortverifizierung bei Verwendung von SMB am Domaincontroler schlaegt fehl

[Greenhorn86]

Hey @ all,

ich stehe Hier gerade vor nem riesen Problem. Ich habe Hier einen Mac OS Server 10.6.8 laufen. Dieser Server ist unser Fileserver. Sharings stellen wir via SMB und AFP bereit. Zusaetzlich ist dieser Server als Domaenmitglied eingebunden (PDC: Win2k8RS2). Fuer die Nutzerverwaltung verwenden wir sowohl die LDAP DB des Mac Servers als auch unser Active Directory. In der Nutzerverwaltung werden alle AD User ordnungsgemaß angezeigt und koennen auch den gewuenschten Shares zu gewiesen werden. Das Problem ist nun nur, dass so bald ein User mit seinem Kennwort ueber das AD verifiziert werden soll, das Kennwort jedesmal als falsch verifiziert wird (Lokaler LDAP funktioniert problemlos). Das komische an der ganzen Geschichte jedoch ist, dass sobald man versucht sich via AFP mit einem Share zu verbinden, die Identifizierung problemlos funktioniert. Nur bei der Verwendung von SMB schlaegt sie fehl. Nun habe ich schon eine ganze Weile nach Loesungsansaetzen gesucht und auch welche gefunden. Nur leider hat nichts die Situation geaendert. Wie zum Beispiel:

Am PDC: Default Doamin Policy-> "Netzwerksicherheit: LAN Manager Authentifizierungsbene: nur NTLMv2 Antworten setzen" (nach dem das nichts geaendert hatte, habe ich auch alle anderen Optionen in Verbindung mit den verschiedenen "Authentication" Optionen am Mac Server, ausprobiert)

Am PDC: Default Doamin Policy-> "Mit Windows NT 4.0 kombatible Kryptografiealgorithmen zulassen" aktiviert.

Am Macserver: Wie eben schon erwaehnt, die verschiedenen "Authentication" Methoden (NTLMv2 & Kerberos, NTLM, Lanmager) jeweils aktiviert oder auch deaktiviert in Kombination zu den Default Doamin Policy's.

Hier mal die Logeintraege welche ich vom Macserver bekomme:

Ohne "Mit Windows NT 4.0 kombatible Kryptografiealgorithmen zulassen" bekam ich immer schlichtweg

check_ntlm_password: Authentification for user [username] -> [username] FAILED with error NT_STATUS_WRONG_PASSWORD

Nach dem ich die NT 4.0 Kompatibilitaet aktiviert hatte bekam ich immer hin schon mehr Log Eintraege:

[2012/05/04 10:04:01, 2, pid=69133] /SourceCache/samba/samba-235.7/samba/source/smbd/sesssetup.c:setup_new_vc_session(1273)
  setup_new_vc_session: New VC == 0, if NT4.x compatible we would close all old resources.
[2012/05/04 10:04:01, 2, pid=69133] /SourceCache/samba/samba-235.7/samba/source/lib/module.c:do_smb_load_module(64)
  Module '/usr/lib/samba/auth/odsam.dylib' loaded
[2012/05/04 10:04:01, 2, pid=69133] /SourceCache/samba/samba-235.7/samba/source/smbd/sesssetup.c:setup_new_vc_session(1273)
  setup_new_vc_session: New VC == 0, if NT4.x compatible we would close all old resources.
[2012/05/04 10:04:01, 0, pid=69133] /SourceCache/samba/samba-235.7/samba/source/auth/auth_odsam.c:opendirectory_ntlmv2_auth_user(334)
  dsDoNodeAuth gave -14090 [eDSAuthFailed]
[2012/05/04 10:04:01, 0, pid=69133] /SourceCache/samba/samba-235.7/samba/source/auth/auth_odsam.c:opendirectory_smb_pwd_check_ntlmv2(450)
  opendirectory_ntlmv2_auth_user gave -14090 [eDSAuthFailed]
[2012/05/04 10:04:01, 0, pid=69133] /SourceCache/samba/samba-235.7/samba/source/auth/auth_odsam.c:opendirectory_opendirectory_ntlm_password_check(526)
  opendirectory_smb_pwd_check_ntlmv2 gave -14090 [eDSAuthFailed]
[2012/05/04 10:04:01, 0, pid=69133] /SourceCache/samba/samba-235.7/samba/source/auth/auth_odsam.c:opendirectory_ntlmv2_auth_user(334)
  dsDoNodeAuth gave -14090 [eDSAuthFailed]
[2012/05/04 10:04:01, 0, pid=69133] /SourceCache/samba/samba-235.7/samba/source/auth/auth_odsam.c:opendirectory_smb_pwd_check_ntlmv2(450)
  opendirectory_ntlmv2_auth_user gave -14090 [eDSAuthFailed]
[2012/05/04 10:04:01, 0, pid=69133] /SourceCache/samba/samba-235.7/samba/source/auth/auth_odsam.c:opendirectory_opendirectory_ntlm_password_check(557)
  opendirectory_smb_pwd_check_ntlmv2 gave -14090 [eDSAuthFailed]
[2012/05/04 10:04:01, 0, pid=69133] /SourceCache/samba/samba-235.7/samba/source/auth/auth_odsam.c:opendirectory_ntlmv2_auth_user(334)
  dsDoNodeAuth gave -14090 [eDSAuthFailed]
[2012/05/04 10:04:01, 0, pid=69133] /SourceCache/samba/samba-235.7/samba/source/auth/auth_odsam.c:opendirectory_smb_pwd_check_ntlmv2(450)
  opendirectory_ntlmv2_auth_user gave -14090 [eDSAuthFailed]
[2012/05/04 10:04:01, 0, pid=69133] /SourceCache/samba/samba-235.7/samba/source/auth/auth_odsam.c:opendirectory_opendirectory_ntlm_password_check(572)
  opendirectory_smb_pwd_check_ntlmv2 gave -14090 [eDSAuthFailed]
[2012/05/04 10:04:01, 2, pid=69133] /SourceCache/samba/samba-235.7/samba/source/auth/auth.c:check_ntlm_password(319)
  check_ntlm_password:  Authentication for user [username] -> [username] FAILED with error NT_STATUS_WRONG_PASSWORD

Die Clients von welchen aus ich versuche mich mit den Shares zu verbinden sind auch jeweils alle Domaenenmitglieder und Windows 7 Rechner. Da die Anmeldung an den Clients Problemlos funktioniert und bei testweisen Versuchen sich via AFP zu verbinden auch alles klappt, sind Nutzernamen und Passwoerter also auch hundertprozentig richtig.

Ich bin mit meinem Latein langsamm am Ende. Ich wuerde mich echt freuen, wenn sich jemand der Sache Hier mal widmen und vielleicht nachvollziehen und helfen koennte. Wenn noch Fragen offen sind, einfach los schiesen.

Vielen Dank, MfG Greenhorn.

 

[signalgrau]

Ich schieße jetzt einfach mal ins Blaue. Sind die Systemuhrzeiten zwischen dem Mac-Server und dem Win2k8RS2-Server weiter als 5 Minuten auseinander?

 

[Greenhorn86]

Ja die Vermutung hatte ich auch schon mal aber das isses leider auch nicht.

 

[signalgrau]

Hat das denn schon mal korrekt funktioniert? Sind die Clients korrekt an die Domäne angebunden?
Schätze, das da irgendwas mit Kerberos nicht richtig läuft.

 

[Greenhorn86]

Kann ich nicht genau sagen, aber ich denke nicht. Da wir gerade anfangen wollten step by step die User vom lokalen LDAP in die AD umzuziehen, wird es mir jetzt erst aufgefallen sein, dass es eigentlich gar nicht geht. Aber wie schon gesagt, via afp funktioniert das ganze reibungslos. Nur SMB macht halt Probleme. Die Clients jedenfalls haengen korrekt drinn und setzen auch die Domain Policies korrkt um. Das denke ich passt so weit alles. Ich vermute auch Kerberos als Problem, die Frage ist halt nur an welcher Stelle.