11. september 2004 - 16:48Der er
12 kommentarer og 1 løsning
Sharing vs. Security
Hej,
det er sikkert meget simpelt - men jeg har alligevel svært ved at fatte det!
Jeg har installeret en Windows 2003 Server. Nu vil jeg lave nogle fil-shares. Derpå opretter jeg en mappe. Jeg vælger fanen "Sharing", og vælger i "Permissions" at "Everyone" skal have "Full Control". I denne mappe opretter jeg yderligere mapper, men i disse definerer jeg kun "Security" - nærmere bestemt de bruger jeg ønsker der skal have adgang til de forskellige mapper.
Når man logger ind med en klient op mod domænet, virker det tilsyneladene fint. Det er kun de brugere jeg har valgt der har adgang til de mapper de skal have adgang til.
Hvis jeg derimod tager en maskine der ikke er på domænet, men bare i LAN med serveren, så er det muligt for mig at tilgå alle mapper!
Hvad gør jeg galt? En kort definition af "Sharing" vs. "Security" ville heller ikke være dårligt ;)
Share permissions er på netværks niveau "Security" eller NTFS permissions er på filsystem niveau
Dvs at når du som bruger logger på domænet og tilgår en share med permissions "full control", så er rettighederne til filer/mapper det samme over netværket som hvis du sad logget ind med dit domænelogin på den lokale computer. Prøv selv ad..
Computeren udenfor domænet kender ikke til Active Directory. Så den kan ikke hente oplysninger om gruppe medlemskab eller om dit brugernavn fra en DC. I stedet kigger den i sin lokale sikkerhedsbase, på de brugere og grupper der er oprettet lokalt på maskinen. Typisk vil man fra et domæne skulle identificere sig med et password til sådan en maskine for at få adgang.
Det var en god definition - men jeg er stadig i tvivl om hvordan mine sikkerhedsindstillinger skal være. Jeg ønsker at det KUN er folk der er logget på domænet der skal have adgang - dvs. det skal ikke være muligt for en maskine der "bare" er tilsluttet LAN, at tilgå mapperne. Hvordan går jeg? Det er vel mine permissions der skal laves om i? Føler bare jeg har prøvet det hele - lige lidt hjælper det!
Microsoft anbefaler at man sætter share permissions til 'full control' til 'everybody', og dernæst lader NTFS håndtere adgangskontrol.
Hvis NTFS ikke fungerer som det skal på din maskine udenfor domænet skal du spørge dig selv: Er det overhovedet NTFS? FAT32 har ikke sikkerhed indbygget i filsystemet, og i så fald er du tvunget til at bruge share permissions. Hvordan er brugerne opsat på maskinen? De skal ikke have blanke passwords feks. Er din guest account enabled? Det skal den helst ikke være. Hvis det er en WinXP maskine så skal du nok slå simple filesharing fra for at få lov at sætte adgangskontrol.
Min klient er fat32 - men det burde vel være underordnet. Det kan vel ikke betyde noget at en klient er fat32 - ellers kan enhver med fat32 omgå de sikkerhedsindstillinger der findes for NTFS?
Brugeren på min klient har blanke passwords - men igen - derfor burde det stadig ikke være muligt at se alle mapper på serveren?
Guest accounten er slået fra på serveren, der i øvrigt kører Windows server 2003.
Håber du kan hjælpe - jeg er ved at få grå hår i hovedet af det her!
Ja det er om der er NTFS eller FAT på den filserver du forsøger at benytte der tæller. Gå nu til en folder i din share på serveren. Højre klik og vælg properties og gå til security fanebladet. Der står hvem der har adgang til folderen. Hvis 'everybody' har adgang så skal du fjerne everybody gruppen. Du skal _ikke_ sætte everybody til deny. - Så lukker den for al adgang. Samtidig skal du udelukke at din klient ikke tælles som medlem af nogle af de grupper der står til at have adgang til folderen (som feks everybody gruppen).
rettelse: Samtidig skal du udelukke at din klient tælles som medlem af nogle af de grupper der står til at have adgang til folderen (som feks everybody gruppen).
ja, den var jeg godt klar ;) - jeg mente om mht. til medlem - jeg ser nemlig at computernavnet også gemmes i AD.
Jeg tror faktisk jeg har fundet fejlen. Jeg havde oprettet en bruger i AD - men password og det hele. Brugernavnet var "XXX". På klienten jeg skulle teste med, var brugernavnet magen til - dog uden password. Alligevel lykkedes det mig at logge ind os se mapperne :-/.. hvordan kan det lade sig gøre? Der er sat password på..
Det burde heller ikke kunne lade sig gøre, men når jeg nu tænker nærmere...
Hvis din filserver ikke er en domain controller, så har den både en domæne base over brugernavne den kan trække på, samt en lokal base. hvis du bruger forefindes begge steder og har blankt password i serverens lokale base, så bliver den lukket lige igennem.
HAR FUNDET FEJLEN.. jeg kører Exchange server. Når jeg logger ind på den - uden at have gemt password, spørger den om det skal gemmes. Det siger jeg ja til - og da brugernavnet som før nævnt tilfældigvis er det samme som i AD, har den nu også passwordet, og derfor var der adgang til mapperne.. den havde jeg ikke gennemskuet! Jeg havde helt glemt at mailen spillede ind.. pinligt. Tak for hjælpen!
oi ok.. vidste ikke lige at der var en exchange server indblandet også. =) Men du fandt problemet. Det er da det vigtigste.
Synes godt om
Ny brugerNybegynder
Din løsning...
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.
