Samba TNG als PDC mit Win2K clients

[chregu2001]

hallo
ich bin mit meinem latein langsam am ende. hab mir samba TNG neuste version installiert (SuSE 7.0) und ungefähr einen tag lang an der konfiguration gewerkerl. I der domäne befinden sich 2 Windows 2000 clients. Benutzerprofile auf dem linuxserver und anmeldung läuft auch darüber.
Nun, mit dem einen Win-PC funktioniert alles wie geschmiert. Konnte ihn in die domäne einbinden und die anmeldung funktioniert auch. beim zweiten klappt es allerdings nicht. kann die kiste nicht in die domäne einbinden. ich bekomme irgendwine fehlermedlung, dass ich einen normalen benuter für die anmeldung benutzen soll.
das konto ist vorhanen in der smbpasswd. User sind auch registriert.

danke für eure hilfe!

[robert]

Hallo!

Ja, leider geht es mir mit einem W2K Client genau so.
Ich kann zwar die freigegebenen Verzeichnisse alle sehen, einschließlich home und netlogon, aber bei einer Domain Anmeldung kommt die gleiche Meldung.
Einen entsprechenden Machine-Account (für den Namen das Client Computers) habe ich auch angelegt.
Ich benutze Samba 2.2.3a selbst kompiliert.

Da ich gerne einen W2K PDC damit ersetzen würde, wäre es gut wenn hier jemand ist, der schon einen Samba PDC mit W2K Clients am Laufen hat.

Hier mal so ca. meine smb.cnf:



# Global parameters
[global]
workgroup = LOCALNET
netbios name = LINUXPDC
server string = Linux Samba %v on %h
# interfaces = 192.168.1.1/24
# bind interfaces only = Yes
# hosts deny = ALL
# hosts allow = 192.168.1.0/24

# protocol = NT1
os level = 65
wins support = true

security = user
encrypt passwords = yes
update encrypted = yes
guest account = nobody
local master = yes
preferred master = yes

domain logons = yes
domain master = yes
# domain groups = root,samba,users
domain admin group = root
# domain admin users = root,admin

logon home = \\%L\%U\profile
logon path = \\%L\%U
logon drive = z:
logon script = logon.bat

null passwords = yes

# username map = /usr/local/samba/users.map
add user script = /usr/sbin/useradd -d /home/%u -g 100 -s /bin/false -M %u
message command = /bin/mail -s 'message from %f on %m' root < %s; rm %s

# password server = %m
unix password sync = yes

max xmit = 8192
socket options = TCP_NODELAY
keepalive = 30

time server = yes
# This can break Administration installations of Office2k.
# in that case, don't veto the riched20.dll
veto files = /*.eml/*.nws/riched20.dll/

# max log size = 50
log file = /usr/local/samba/var/log.%m
# mangled names = yes
mangle case = no
case sensitive = no
default case = yes
short preserve case = yes
preserve case = yes
default = global

[homes]
comment = Home Directory
writable = yes
browseable = No
mangle case = no
create mask = 0750

[profiles]
comment = Profiles (Win9x/WinNT)
path = /opt/smb/profiles
read only = no
create mask = 0700
directory mask = 0770
browseable = yes

[netlogon]
comment = Netlogon Share (Read-Only)
path = /opt/smb/netlogon
# read only = yes
write list = root
browseable = yes

[Treiber]
comment = Treiber und Tools
path = /opt/smb/Treiber
write list = admin
; valid users = admin

[Dokumente]
comment = Public Documents
path = /opt/smb/Dokumente
read only = No
case sensitive = yes

[Projects]
comment = Development Projects
path = /opt/smb/Development
read only = no
case sensitive = yes

[Temp]
comment = Temp. Dateien
path = /opt/smb/Temp
writable = yes
create mode = 666
directory mode = 777
preserve case = yes
sync always = yes
wide links = no
public = yes


Vielleicht hat ja der eine oder andere doch noch einen Tip.
Übrigens mit Win98 Clients funktioniert es soweit.

[ralf - isi]

hallo

dein samba ab suse 7.0 cd installiert? dann ist es version 2.0.7
bitte sage mit welche samba-version es ist. (smbclient -L name zeigt es zb an)

generel gilt zu samba und pdc, die smb.conf richtig gesetzt vorausgesetzt:
- alle user in passwd eingetragen mit passwort wie unter win
- alle user in smbpasswd eingetragen mit passwort wie unter win
- in passwd maschinen-account eingetragen PCNAME$ (grossbuchstaben und $ am schluss) braucht keine shell und kein home
- in smbpasswd eintargen mit -a -m NAME ohne $, ohne passwort.

zum verbinden mit der domäne ab win-pc:
- mit einem user einlogen der keine netzverbindungen hat. zb Administrator.
- wechsel zur domäne (begrüssung von win abwarten)
dann als normal user einlogen. der aber eröffnet sein muss in win.

wenn probleme:
- machinen-account nochmals löschen + eröffnen.
- eine firewall auf dem win-pc kann auch für eine nachtlang-unterhaltung sorgen (aus erfahrung!)

gruss ralf

[ralf - isi]

an robert:
hallo

dir fehlt:
[netlogon]
und
[profiles]
wenn mich mein alzheimer nicht im stich lässt hast du das nicht in deiner smb.conf

gruss ralf

[robert]

Wenn du oben richtig liest, siehst du, daß es in meiner smb.conf drin steht! :)

Ich hab dem Machine Account noch mal neu angelegt (ohne Passwort) und enabled.

Wenn ich nun die Domain Anmeldung machen will, dann kommt erst die abfrage nach User Account, Passwort und Domain in Win2K.
Dann erzählt er mir, daß mein Computer nicht in der Domain angemeldet werden kann und ich muß noch mal die Domain mit Computer Namen angeben. Danach kommt nochmals die Frage nach User Account, Passwort und Domain, bei der ich das Gleiche wie am Anfang angebe.
Und dann folgende Fehlermeldung...



Der Computer konnte der Domäne nicht hinzugefugt werden, da der folgende Fehler aufetreten ist:
Die angegebenen Anmeldeinformationen stehen mit vorhandenen Anmeldeinformationen in Konflikt.


Langsam blick ich gar nix mehr. Und die Fehlermeldung schon gar nicht.
Zugriff auf sämtliche freigegebenen Verzeichnisse ist möglich. Selbst auf netlogon!


Ach ja... die Freigabe von [profiles] ist bei mir eigentlich auch unsinnig, da ich logon home = \\%L\%U\profile gesetzt habe und jeder User in seinem Home Verzeichnis das Verzeichnis profile für sein Profile hat.

[ralf - isi]

hallo robert
ich komme per pn
gruss ralf

[chregu2001]

danke erstmals für eure posts. hab es nun doch geschaffe, windoof in die domäne zu bringen.
wenn ich nur wüsste weshalb? nach mehrmaligem probieren hat er es plötzlich geschluckt.
ich benutze auf meinem suse 7.0 ein selbst kompliertes samba TNG 2.6.1 alpha.
so wies nun aussieht funktioniert alles wie es sollte mit meinen zwei windows 2000 clients.

hier mal meine smb.conf:
[global]
workgroup = CHREGU
netbiosname = SERVER
server string = Samba TNG %v (PDC)
domain user map = /usr/local/samba/private/domainuser.map
domain group map = /usr/local/samba/private/domaingroup.map
security = user
domain logons = yes
os level = 65
domain master = yes
encrypt passwords = yes
update encrypted = yes
password level = 4
max log size = 50
log file = /usr/local/samba/var/log.%m
debug level = 2
case sensitive = no
default case = lower
short preserve case = yes
preserve case = yes
socket options = TCP_NODELAY
oplocks = no
fake oplocks = yes
level2 oplocks = no
locking = no
dead time = 15
read raw = yes
write raw = yes
getwd cache = yes
browseable = no
writeable = no
public = no
logon script = %G.bat
logon drive = U:
logon home = \\SERVER\%U
logon path = \\SERVER\profile\%U
invalid users = werner
admin users = root

#share all home directories
[homes]
browseable = yes
writable = yes
comment = Heimatverzeichnis

#set up netlogon share for system policies and login scripts
[netlogon]
path = /usr/local/samba/netlogon
writable = yes
browseable = yes
guest ok = yes
comment = PDC netlogon share

#the profiles share
#to create automatic subdirs for the different users
#chmod 1777 /usr/local/samba/profile
[profile]
path = /usr/local/samba/profile
writeable = yes
browseable = yes

[programme]
path = /programme/programme
writeable = yes
browseable = yes
guest ok = yes
comment = Diverse Programme

[robert]

Dann bist du weiter als ich.
Mit der Standard Samba 2.2.3a will der bei mir absolut nicht den Machine Account fressen.


Nachtrag:
Nach langem hin und her probieren habe ich eine/die Lösung gefunden.

Erst habe ich es damit versucht, daß ich die ID für den admin (Administrator) Account in Samba auf 0 gesetzt habe.
Logischerweise konnte das nicht richtig funktionieren, da der Account im Linux/Unix System eben auch nicht die ID 0 hat.

Dann habe ich versucht den Account admin mit user map auf root zu mappen. Das klappte auch nicht. Irgend wie wollte er den Account dann gar nicht mehr fressen und mich nicht rein lassen. Auch die Verzeichnisfreigabe funktionierte dann nicht mehr.

Als letztes habe ich die logische Konsequez gezogen und direkt den root Account auf Samba angelegt (mit smbpasswd) und mich damit in der Domain angemeldet.

Und siehe da! Es funktioniert!
Jetzt müßte wahrscheinlich auch das User Mapping von admin auf root funktionieren. Hab ich aber noch nicht ausprobiert.

Also die einfache Lösung ist wohl, mit smbpasswd direkt den root Account anlegen und sich damit in der Domain anmelden. Dann wird es gefressen.

Ich will aber noch wissen, ob es nur damit zu tun hat, werde das ganze also noch mal durchprobieren...


Und noch was...
So, noch was kurz als Hinweis.
Mir ist gerade aufgefallen, dadurch das ich mich mit root angemeldet habe und das username map ausgeschaltet habe, war der admin (Administrator) auf dem Samba natürlich keiner mehr. Soll heißen, die Adminrechte waren weg.
Also den root Account auf Samba anlegen und mit username map admin (bzw. Administrator) auf root mappen.
Dann sollte es funktionieren, auch mit Anmeldung als admin (Administrator).

[robert]

Und noch ein Tip!

Aus Erfahrung wird man schlau...

Wenn man so schlau war wie ich und das reale Home Verzeichnis (auch von root) für die Samba User benutzt, sollte man vorsichtig sein.
Ich weiß nicht ob es Samab ist, aber wohl eher das hoch intelligente W2K.
Beim Login wird das HOME Verzeichnis komplett gelöscht und neu angelegt.
Und somit sind wirklich ALLE Daten darin weg. Auch die Hiden Files.

Wenn man natürlich wiederum schlau ist, dann hat man alle 24 h automisch ein BackUp des Home Verzeichnises laufen unter Linux.
Außer natürlich für das root Verzeichnis... :(

Na ja..

Aus Schaden wird man schlau...

[chregu2001]

wie hast du denn das geschafft, dass die home-dirs geleert werden? dieses problem hatte ich nicht. vielleicht liegts auch daran, dass ich samba tng benutze, das ja bekanntlich als PDC besser ist (vor allem für win2k).

[robert]

Wie ich schon schrieb, ich habe für logon path dummerweise die Home Verzeichnisse angegeben.
W2K scheint alles darin zu löschen, wenn es die User Daten anlegt, bei einem ersten Login.

Soweit ich das mit TNG bis jetzt mitbekommen habe, scheint die Entwicklung ja nicht weiter zu gehen. Zumindest habe ich da zuletzt was vom letzten Jahr gelesen.
Ich halte mich da lieber an die Standard Samba Version.

[darkstar1]

Hai miteinander,

probierts mal mit einem regeintrag für w2k/xp

windoof sendet keine palin text passworte - hier die regeintraege:
--------------------------
REGEDIT4
;
;Subject: enable plain text passwords in Windows 2000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\LanmanWorkStation\Parameters]
"EnablePlainTextPassword"=dword:00000001

--------------------------

REGEDIT4
;
;Subject: enable plain text passwords in Windows XP

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\netlogon\parameters]
"RequiereSignOrSeal"=dword:00000000

--------------------------

danach kann sich auchger groesste legal vertiebene virus bei samba anmelden.

Make my day :ugly: darkstar

[robert]

Der erste Registry Eintrag ist nur für W2K sinnvoll, wenn man eine Samba Version vor 2.2.x (??) benutzt, die aktuelle(n) Versionen können die Passwortverschlüsselung wie sie W2K erwartet.

Der zweite Eintrag ist nur unter WinXP sinnvoll.

Gruß

Robert

[robert]

Trotzdem noch problematisch...

Also langsam zweifel ich an Samba als PDC. Zumindest in Verbindung mit W2K.

Nachdem alles gut und schön lief, mußte ich heute den Samba/Linux Server noch mal neu starten, weil zusätzliche Hardware rein kam.
Schön und gut. Vorher lief alles einwandfrei.
Jetzt kann ich mich nicht mehr mit admin anmelden. Sobald ich das versuche, bekomme ich die Meldung die Domain ist nicht vorhanden.
Mit root einlogen geht zwar, aber er bringt gleich einen Fehler, daß irgend wie die Einstellungen nicht geladen werden können.

Aber...
Das Verrückte ist ja, mit einem normalen User kann ich mich ohne Probleme weiter einlogen.

Soll mir mal einer erklären, was Samba oder W2K da macht. *kopfschüttel*


Hat jemand noch eine Idee?

[robert]

So, mir reicht es...

Samba ist in der jetzigen Form als PDC im W2K Netzwerk absolut ungeeignet.
Ich hab keine Zeit alle 5 Min. in einem laufendem System den ganzen Kram neu zu checken, nur weil Samba wohl mal wieder meint seine Einstellungen zu vergessen.

Account der da ist wird nicht gefressen.
Domain plötzlich nicht mehr gefunden.
Etc. pp.

File und Print Server ok, aber mehr ist damit nicht...

Also doch wieder W2K als PDC benutzen.

[chregu2001]

du solltest es mal mit samba tng versuchen. nicht gleich aufgeben. samba hat nun mal seine tücken!

[robert]

Nö, so schnell geb ich eh nicht auf. Sonst würde ich einen schlechten Job machen. Aber ich mußte eine Nervenpause einlegen... :)

Jetzt läuft es wieder und diesmal ohne Probleme.
Weiß der Teufel, warum das nicht mehr funktionierte.
Aber nachdem ich ein paar mal den Machine Account und die User neu angelegt habe, ging es wieder. Nu läuft es...

[-caretaker-]

ein problem hab ich nach wie vor:

Beim W2k-Login möchte ich mich nicht lokal sondern an der Domäne anmelden. Dann kommt s-o-f-o-r-t die Fehlermeldung dass das Computerkonto nicht gefunden werden konnte....

Alles andere (bis auf Login-Scripts) funktioniert...
apropos... aus welchem share zieht sich W2k die Login-Scripts??

netlogon? profiles??


grüsse