Domänenbenutzer können Freigaben nicht öffnen

MasterBlaster_ · 19. Oktober 2014

Hallo Leute,

ich habe zuhause einen Server mit Win Server 2012, auf dem ich ein Active Directory samt Domäne und DNS-Server eingerichtet habe. Desweiteren habe ich dort einen Domänen-Admin (mich), mehrere Domänenbenutzer und ein paar Freigaben.
Ich möchte nun, dass Domänenbenutzer meine Freigaben lesen, aber die Inhalte nicht bearbeiten können. Der Domänen-Admin (ich) soll Vollzugriff auf die Freigabeninhalte haben. Die Freigabenkonfiguration wird an folgendem Bild beispielhaft aufgezeigt:

Soweit es den DomAdmin angeht, klappt das auch. Meine DomUser können die Freigaben zwar sehen, kommen aber nicht rein. (Dafür können sie SYSVOL und NETLOGON lesen, was ich eigentlich verstecken wollte. Das aber nur nebenbei.)
DomUser unterscheiden sich bei den Gruppenmitgliedschaften von den DomAdmins darin, dass die Admins zur Builtin-Gruppe Administratoren gehören, die User zur Builtin-Gruppe Benutzer. Adde ich die DomUser noch zu den Administratoren, können die DomUser die Freigaben lesen. Leider können sie dann auch Inhalte bearbeiten, was ausdrücklich nicht erwünscht ist.

Die Clients sind korrekt zur Domäne hinzugefügt, sonst könnten sie die Freigaben gar nicht sehen.
Wenn ich auf dem Server "net share Musikvideos" aufrufe (die Freigabe aus obigem Screenshot), bekomme ich Folgendes:

"Bassmachine" ist der DomAdmin.

Wo liegt der Fehler? Wisst ihr mehr als ich? Danke im Voraus für eure Hilfe.

BoB DeR BaeR · 19. Oktober 2014

Du zeigst nur die Freigabeeigenschaften. Wie sehen denn die Berechtigungen auf dem Ordner selbst aus? Auf dem zweiten Screenshot sieht es so aus als hätte Jeder Vollzugriff?

MasterBlaster_ · 19. Oktober 2014

Stimmt, die hatte ich vergessen.
Die Berechtigungen im Dialog "Erweiterte Sicherheitseinstellungen":

Und die Freigaben:

Wenn man sich den effektiven Zugriff anschaut, sieht man, dass das eigentlich gehen sollte (Lana ist einer der DomUser):

Trotzdem kann eben jene Lana nicht zugreifen. Die Gruppenmitgliedschaften von Lana:

MasterBlaster_ · 20. Oktober 2014

Ist der Fehler so offensichtlich? Falls ja, sagt es mir bitte trotzdem, ich seh ihn nicht

Miuwa · 23. Oktober 2014

Ich seh den Fehler zwar auch nicht, aber hast du schon mal versucht den Ordner als Netzlaufwerk zu verbinden?
Bist du dir sicher, dass du dich am Client mit einem Domänenkonto angemeldet hast und nicht mit einem lokalen Konto, das den gleichen Namen hat?

MasterBlaster_ · 23. Oktober 2014

Hi,

ich kann mich leider weder als DomUser noch als DomAdmin an den lokalen Rechnern anmelden (Fehlermeldung: momentan kein Anmeldeserver verfügbar), nur als die lokalen Admins. Woran das liegt, weiß ich auch noch nicht. Das Hinzufügen der Rechner zur Domäne hatte jedoch geklappt.
Wenn ich dann das erste Mal auf den Serverrechner zugreifen will, werde ich nach Zugangsdaten gefragt. Ich gebe dann die Zugangsdaten der DomUser / des DomAdmin ein und komme in die Freigabenübersicht rein. Der DomAdmin kann die Freigaben öffnen, die DomUser nicht.
Es funktioniert wie gesagt auch für DomUser, wenn sie zur Gruppe 'Administratoren' gehören. Warum, ist mir ein Rätsel.

Miuwa · 23. Oktober 2014

Schon mal geschaut, was passiert, wenn du den Ordner auch explizit für die DomUser Gruppe bzw. die einzelnen user freigibst?

MasterBlaster_ · 23. Oktober 2014

Ich meine, das schon mal geprüft zu haben. Ich probier es aber heute Abend nach der Arbeit nochmal aus...

Ergänzung (23. Oktober 2014)

Hab beides getestet, jeweils ohne Erfolg

unisolblade · 24. Oktober 2014

MasterBlaster_ schrieb:
Hi,

ich kann mich leider weder als DomUser noch als DomAdmin an den lokalen Rechnern anmelden (Fehlermeldung: momentan kein Anmeldeserver verfügbar), nur als die lokalen Admins. Woran das liegt, weiß ich auch noch nicht. Das Hinzufügen der Rechner zur Domäne hatte jedoch geklappt.
Wenn ich dann das erste Mal auf den Serverrechner zugreifen will, werde ich nach Zugangsdaten gefragt. Ich gebe dann die Zugangsdaten der DomUser / des DomAdmin ein und komme in die Freigabenübersicht rein. Der DomAdmin kann die Freigaben öffnen, die DomUser nicht.
Es funktioniert wie gesagt auch für DomUser, wenn sie zur Gruppe 'Administratoren' gehören. Warum, ist mir ein Rätsel.

Irgendwas stimmt mit deinem AD nicht oder DNS. Du müsstest dich ohne Probleme als Domain User an dem Client anmelden können. Wie gibst du Benutzername an bei der PW abfrage. In deinem Fall muss das DOMAIN\user als Benutzer sein.

Tom_123 · 24. Oktober 2014

Hi,

kannst du auf die Freigabe von einem "nicht domänengejointen" PC über die IP des Dateiservers zugreifen?
Ich tippe auch auf Probleme mit deinem DNS, da die Meldung "Fehlermeldung: momentan kein Anmeldeserver verfügbar" bei einem korrekt funktionierenden DC/DNS nicht auftauchen sollte.

MasterBlaster_ · 25. Oktober 2014

Bei einem nicht gejointen ist der Rechner des Domain-Servers nicht sichtbar.
Ich habe bei der Einrichtung meines Servers diese Anleitung hier befolgt: http://mntechblog.de/artikelserie-a...s-server-2012-installieren-und-konfigurieren/
Gibts da ne bessere, einfachere oder ist bei der hier sogar ein Fehler drin? Ich habe die Artikel 1-4 durchgearbeitet.
Bei der Einrichtung verhielt sich alles erwartungsgemäß, nur bei der Weiterleitung im DNS-Server auf den Router konnte er die Adresse nicht auflösen.

crashbandicot · 25. Oktober 2014

Führe auf einem Client mal "cmd -> gpresult /R" aus. Du solltest ziemlich weit oben einen Eintrag haben, "Last time Group Policy was applied" mit einem aktuellen Datum. Wenn das nicht geht, ist was mit deiner AD.

MasterBlaster_ · 25. Oktober 2014

Oh Mist, ich glaub, ich hab tatsächlich ein Problem...

Seltsamerweise hatte ich den Eindruck, oben erwähnte Einrichtung der AD korrekt vorgenommen zu haben.
Auch das Adden zur Domäne klappte...

Habt ihr zufällig eine idiotensichere Anleitung für die Einrichtung parat? Oder kann man das Problem beheben, ohne alles nochmal machen zu müssen?

crashbandicot · 25. Oktober 2014

Wieso steht beim gpresult "Domänename: PROBERAUM", obwohl deine Domäne DOMAIN.LOCAL heißt? Warst du auch mit einem Domänenbenutzer angemeldet, als du gpresult ausgeführt hast? Wurde für deinen Computer ein Computerobjekt in der AD angelegt?

Miuwa · 25. Oktober 2014

Was ich in solchen Situationen meistens mache, ist erstmal sicher stellen, dass auf Netzwerkebene alles passt:
Wie sehen denn die IP-Einstellungen von deinem Client, dem Router, dem Server und dem DHCP server aus? Welches firewall Profil ist bei den Rechnern aktiv? Tauchen die Rechnernamen im DNS auf dem server auf. Hast du den DHCP-server im router deaktiviert? Können sich die einzelnen rechner gegenseitig via Ip Adresse, FQDN und Rechnername anpingen (ip4 und ip6)? Können alle Rechner ins Internet?
Wenn das alles passt, und du keine Lösung für deine Probleme findest KANN es am Anfang manchmal einfacher sein einfach alles neu zu installieren (DC komplett formatieren und neu aufsetzen, neuen Domänennamen nutzen). Bevor du das machst würde ich aber noch versuchen die Clients wieder aus der Domäne zu entfernen.

Evil E-Lex · 25. Oktober 2014

Führ mal bitte auf dem DC diese beiden Befehle aus und poste die Ausgabe hier:
dcdiag /c /v /f:dcdiag-log.txt
dcdiag /test

NS /v /f:dcdiag-dns.txt

Die beiden Textdateien landen in dem Verzeichnis, wo du die Befehle ausgeführt hast.

crashbandicot · 25. Oktober 2014

Ich würde den Fehler gar nicht im AD suchen (da kann man ja nicht viel falsch einrichten), der Client scheint einfach nicht richtig eingebunden zu sein.

MasterBlaster_ · 26. Oktober 2014

crashbandicot schrieb:
Wieso steht beim gpresult "Domänename: PROBERAUM", obwohl deine Domäne DOMAIN.LOCAL heißt? Warst du auch mit einem Domänenbenutzer angemeldet, als du gpresult ausgeführt hast? Wurde für deinen Computer ein Computerobjekt in der AD angelegt?

Ich kann mich an den Clients nicht mit den DomUsern anmelden, da dann eine Fehlermeldung kommt "...kein Anmeldeserver vorhanden...". Für den Bürorechner ist ein Computerobjekt angelegt (trotz nicht möglicher Anmeldung als DomUser), für den Proberaum nicht. Proberaum ist mein persönlicher Rechner.

Miuwa schrieb:
Was ich in solchen Situationen meistens mache, ist erstmal sicher stellen, dass auf Netzwerkebene alles passt:
Wie sehen denn die IP-Einstellungen von deinem Client, dem Router, dem Server und dem DHCP server aus? Welches firewall Profil ist bei den Rechnern aktiv? Tauchen die Rechnernamen im DNS auf dem server auf. Hast du den DHCP-server im router deaktiviert? Können sich die einzelnen rechner gegenseitig via Ip Adresse, FQDN und Rechnername anpingen (ip4 und ip6)? Können alle Rechner ins Internet?
Wenn das alles passt, und du keine Lösung für deine Probleme findest KANN es am Anfang manchmal einfacher sein einfach alles neu zu installieren (DC komplett formatieren und neu aufsetzen, neuen Domänennamen nutzen). Bevor du das machst würde ich aber noch versuchen die Clients wieder aus der Domäne zu entfernen.

Die Clients bekommen ihre IP und DNS-Server automatisch, der DHCP des Routers ist noch aktiviert, hab mich nicht getraut, den abzustellen. Ist eine FritzBox. Dafür gibts auf dem Server einen DHCP-Server mit einem Bereich 192.168.178.0 für IPv4. IPv6 ist vollständig deaktiviert. Die Rechner können sich gegenseitig anpingen und sehen sich auch im Netzwerk. Jeder hat Internetzugriff.

Evil E-Lex schrieb:
Führ mal bitte auf dem DC diese beiden Befehle aus und poste die Ausgabe hier:
dcdiag /c /v /f:dcdiag-log.txt
dcdiag /testNS /v /f:dcdiag-dns.txt

Die beiden Textdateien landen in dem Verzeichnis, wo du die Befehle ausgeführt hast.

Die Ausgaben siehe Anhang.

Vielen Dank für eure Hilfe

crashbandicot · 26. Oktober 2014

Ich sag ja weiterhin dass es kein Problem mit der AD ist. Hast du den Client mal aus der AD genommen und bist dann wieder beigetreten? Welchen Domänennamen hast du verwendet? Hat dein Client den DNS Server eingetragen oder die FRITZ!Box?

unisolblade · 26. Oktober 2014

Mach mal bitte nslookup domain.local und schau nach ob da sicher die IP deines DCs ausgegeben wird.

Domänenbenutzer können Freigaben nicht öffnen

Lt. Junior Grade

Lt. Junior Grade

Lt. Junior Grade

Lt. Junior Grade

Commodore

Lt. Junior Grade

Commodore

Lt. Junior Grade

unisolblade

Gast

Commander

Lt. Junior Grade

Commander

Lt. Junior Grade

Commander

Commodore

Commander

Commander

Lt. Junior Grade

Anhänge

Commander

unisolblade

Gast

Ähnliche Themen