Sorry, hatte ich vergessen, den Link hab ich ausprobiert, hat aber keine Änderung gebracht.
Zum LDAP-Browser (akt. 4.5), da kann man zumindest SSL anhäkeln, da geh ich mal von aus, dass er das dann auch macht. Hab 2 Verbindungen angelegt, eine normal über 389 und eine wie die Astaro über SSL und 636 mit einfacher Anmeldung. Alles
ok.
Hab noch das im Astaro-Forum gefunden:
Windows Server 2008, Windows Server 2003, Windows XP, and Windows 2000: If you configure the LMCompatibilityLevel value to be 0 or 1 and then configure the NoLMHash value to be 1, applications and components may be denied access through NTLM. This
issue occurs because the computer is configured to enable LM but not to use LM-stored passwords.
If you configure the NoLMHash value to be 1, you must configure the LMCompatibilityLevel value to be 2 or higher.
11. Network security: LDAP client signing requirements
a. Background
The Network security: LDAP client signing requirements setting determines the level of data signing that is requested on behalf of clients that issue Lightweight Directory Access Protocol (LDAP) BIND requests as follows: " None: The LDAP BIND request is issued
with the caller-specified options.
" Negotiate signing: If the Secure Sockets Layer/Transport Layer Security (SSL/TLS) has not been started, the LDAP BIND request is initiated with the LDAP data signing option set in addition to the caller-specified options. If SSL/TLS has been started, the
LDAP BIND request is initiated with the caller-specified options.
" Require signing: This is the same as Negotiate signing. However, if the LDAP server's intermediate saslBindInProgress response does not indicate that LDAP traffic signing is required, the caller is told that the LDAP BIND command request failed.
b. Risky configuration
Enabling the Network security: LDAP client signing requirements setting is a risky configuration. If you set the server to require LDAP signatures, you must also configure LDAP signing on the client. Not configuring the client to use LDAP signatures will prevent
communication with the server; this will cause user authentication, Group Policy settings, logon scripts, and other features to fail.
c. Reasons to Modify This Setting
Unsigned network traffic is susceptible to man-in-the-middle attacks where an intruder captures packets between the client and the servers, modifies them, and then forwards them to the server. When this occurs on an LDAP server, an attacker could cause a server
to respond based on false queries from the LDAP client. You can lower this risk in a corporate network by implementing strong physical security measures to help protect the network infrastructure. Additionally, all kinds of man-in-the-middle attacks can be
made extremely difficult by requiring digital signatures on all network packets by means of IPSec authentication headers.
d. Symbolic Name:
LDAPClientIntegrity
e. Registry Path:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LDAP\LDAPClientIntegrity
Stammt von MS, ich werd aber nicht so richtig schlau draus.
Bei mir gibt es nur den Schlüssel LDAPClientIntegrity
mit Wert 1. An welcher Stelle der GPO wird das eingestellt?
René
Nachtrag:
Wenn ich LDP starte kann ich über 389 und 636 eine Verbindung zum AD herstellen. Versuche ich aber eine Anmeldung (Remotedesktopverbindung > Gebunden) kommt beim Versuch über "Einfache Anmeldung" die Meldung:
res = ldap_simple_bind_s(ld, 'hubert', <unavailable>); // v.3
Authenticated as: 'NT-AUTORITÄT\ANONYMOUS-ANMELDUNG'.
Ich vermute, dass Astaro das verwendet. Daher die EventID 1219. Wie kann ich die "Einfache Bindung" wieder einschalten?
Nachtrag2:
Bevor die Frage kommt, ob es am Astaro liegen könnte:
- Wir haben das neu aufgesetzt.
- Wir
haben 2 Domänen in einer Gesamtstruktur. Benutzer der anderen Domain können sich von außen einloggen (über ihren DC).
- Ich
habe die Logprotokolle von Astaro gestern Abend zurückverfolgt: Das erste Auftreten des Fehlers liegt ca. 2 Monate zurück und fällt zeitlich mit dem Auftauchen des Fehlers 1219 zusammen. Wir haben das nur nicht bemerkt, da wir 2 DCs zur Authentifizierung
eingetragen hatte. Nachdem die Anmeldung am ersten DC nicht mehr ging, hat er den 2. benutzt. Der 2. DC wurde in den letzten Tagen 2 mal neu gestartet.
Hoffe, das hilft?
René
