Problème de connexion à un serveur Windows 2003

[Gollhy]

Voila, je crois que la reponse est la :

One note: If this is a domain controller, you will need to set it with the 'Domain Controller Security Policy' editor under the 'Administrative Tools' Menu. Otherwise it'll be reset nightly.You need to go to 'Security Settings', 'Local Policies', 'Security Options'. You then need to set the 'Microsoft network server: Digitally sign communications' to disabled. It is enabled by default.

 

[Lastrada]

Si le probleme subsiste et merci de le preciser,

Il subsiste, il subsiste.

je vais essayer de retrouver la configuration que j'ai du mettre en place pour eviter ce probleme que j'ai rencontre fin 2004. J'ai deja installe 5 serveur sous Windows 2003 avec 15 Mac OS X en acces. J'ai eu des problemes sur l'acces password [...]

Je suis toujours preneur, bien que j'ai déjà écumé ce site, qui renvoit à des problèmes de connexion avec tout un tas de versions antérieure à 10.4, mais pas à cette dernière.

Même si dans l'immédiat une solution impliquant une modification sur server 2003 peut m'interresser, il ne faut pas que celle-ci se traduise par une baisse de la sécurité sur W2k, car mon administrateur réseau sera contre.

En outre , idéalement je souhaiterai une solution n'impactant que mon mac et pas le serveur car ma problèmatique est la suivante. En bref, voici ce que je recherche :

1/ Priorité N°1 : l'accès au serveur de ma boite, où je peux négocier avec mon administrateur.

2/ Priorité N°2 : l'accès à n'importe quel server 2003 car je suis nomade, et je peux difficilement demander à mes clients de modifier leur configuration pour mes beaux yeux.

Voilà, voilà.

 

[Lastrada]

Voila, je crois que la reponse est la :

One note: If this is a domain controller, you will need to set it with the 'Domain Controller Security Policy' editor under the 'Administrative Tools' Menu. Otherwise it'll be reset nightly.You need to go to 'Security Settings', 'Local Policies', 'Security Options'. You then need to set the 'Microsoft network server: Digitally sign communications' to disabled. It is enabled by default.

Ben je veux bien, mais l'un de nos confrères plus haut indique que celà expose le serveur à une attaque Man in The middle.... Je suis quand même content d'apprendre qu'il y a un moyen d'empecher le retour en arrière de ce paramètre et donc d'imposer sa volonté à Windows.

Cependant, j'ai peur que mon administrateur interprête ça comme une baisse de la sécurité. Je vais l'attaquer demain, on verra bien



Merci pour cette précision.

Est-ce que cette modification est prise en compte dynamiquement, ou implique t'elle un redémarrage de la machine, à ta connaissance ?

 

[Lastrada]

Bon ça ne marche pas, mais le problème est bel et bien lié à Tiger, qui intègre des changements radicaux dans la gestion réseau, et les bugs qui vont avec. Tiger est un peu jeune. Je pense que je vais repasser sous Panther le temps que ça se décante.

 

[Lastrada]

Je suis repassé sur Panther pour le PWB qui me sert à bosser, je m'amuserai avec mon G5. La morale de l'histoire : Ne *jamais* installer un OS avant qu'il ait un peu de maturité sur une machine qui doit marcher coûte que coûte.

On apprend un peu plus chaque jour

 

[KaptainKavern]

Pas de solution donc pour connecter un PWB Tiger à un serveur Windows 2003 ?

C'est quoi cette connerie ? Je me coltine des tas de tests, tout marche nickel au niveau de l'accès réseau (il voit la passerelle et sort, etc...) par contre IMPOSSIBLE de le rentrer sur le Domaine !!!

C'est d'autnat plus hallucinant que je n'ai strictement aucun pb avec mon PC sous Linux avec un accès smb tout con dans Konqueror !

Là il semble que Tiger soit en avance sur les droits de Windows 2003 : quelle connerie, je peux pas bosser avec mon bô Powerbook !

 

[Lastrada]

Pas de solution... pour le moment. Le site d'admitmac n'envisage pas de nouvelle version avant Aout 2005, ils attendraient la correction d'un bug de Tiger, sans préciser lequel, pour sortir une version compatible Tiger.

Sous Panther, ça marche nickel.

[Et de 100 ouééééééé]

 

[KaptainKavern]

On peut pas faire un feedback direct à Apple ?

Moi ça me fait crever de rire cette histoire.

J'ai un micro avec le meilleur OS du monde, et je peux pas bosser sur un serveur windows ??????????

Je vais en buter un !

 

[Lastrada]

On peut pas faire un feedback direct à Apple ?

Moi ça me fait crever de rire cette histoire.

J'ai un micro avec le meilleur OS du monde, et je peux pas bosser sur un serveur windows ??????????

Je vais en buter un !

Fais que ce ne soit pas moi.


Pour discuter, faut être deux. Donc si Le serveur a des exigences que le client ne remplis pas, ben ça donne ça.

Personnellement, ça m'agace considérablement aussi.

On peut pas faire un feedback direct à Apple ?

Rien ne nous en empêche effectivement. Je ne l'ai pas fait jusqu'à présent. L'existence même d'Admitmac, prouve bien qu'Apple est déjà au courant, et qu'ils ne sont pas pressés d'y remédier, c'est ce qui m'a découragé de le faire.

 

[KaptainKavern]

J'ai une bonne nouvelle, en faisant la manip dans les stratégies de sécurité, et en modifiant la base des registres de W2003, ça marche nickel. J'ai eu la confirmation par un post sur le forum technique d'Apple (directement sur Apple.com).

En fait il semble que W2003 crypte tous les flux. En supprimant ce cryptage, il n'y a plus aucun souci ! Vu que mon serveur est derrière une très bonne soluce de sécurité, je suis tranquille. Me reste plus qu'à paramétrer le VPN et la Connexion Bureau Distant et j'ai mon Mac comme engin de TOUS LES JOURS AU BUREAU.

Si ça c'est pas une bonne nouvelle !

:love:

 

[supermoquette]

ouais mais ça me laisse patois ce truc de décryptage quand même...

 

[KaptainKavern]

Ce qui est marrant c'est que Linux passe au milieu sans problème, mais pas OSX...

 

[Lastrada]

J'ai une bonne nouvelle, en faisant la manip dans les stratégies de sécurité, et en modifiant la base des registres de W2003, ça marche nickel. J'ai eu la confirmation par un post sur le forum technique d'Apple (directement sur Apple.com).

En fait il semble que W2003 crypte tous les flux. En supprimant ce cryptage, il n'y a plus aucun souci ! Vu que mon serveur est derrière une très bonne soluce de sécurité, je suis tranquille. Me reste plus qu'à paramétrer le VPN et la Connexion Bureau Distant et j'ai mon Mac comme engin de TOUS LES JOURS AU BUREAU.

Si ça c'est pas une bonne nouvelle !

:love:

Naon c'est pas une bonne nouvelle, le problème demeure pour moi.
Est-ce que tu pourrais me donner le lien décrivant précisément la manip que tu as faite a moins que ce ne doit exactement la même chose que ce qui est décrit plus haut dans ce thread ?

 

[Lastrada]

ouais mais ça me laisse patois ce truc de décryptage quand même...

Pour autant que je sache, l'explication exacte serait qu'un paramètre de sécurité de SRV2003 exige que tous les paquets qui transitent entre lui et une machine cliente soient signés. Ceci afin d'éviter une attaque "man in the middle". Cet attaque consiste en une machine qui se glisse entre deux autres et faire croire au deux qu'elle est l'une d'entre elles. (Je ne sais pas si je suis très clair).

En résumé, il faut diminuer le niveau de sécurité et autant que je sache d'une façon particulière (en mode administrateur via l'interface) sinon si on se contente de modifier la base des registre, un robot remet les paramètres de la registrery à leurs valeurs initiales (toutes les heures je crois).

==> Chaque fois qu'on voudra se connecter sur un poste avec cet OS, il faudra être super copain avec l'admin pour qu'il daigne abaisser le niveau de sécurité de son serveur.

NB : je ne comprends toujours pas ce qui empêcherait une machine mal intentionnée sous Windows, de faire de fausses signatures, m'enfin.

[ Attention, c'est pas du bronze, c'est seulement ce que je crois avoir compris].

 

[KaptainKavern]

Atténuation de ma joie ce matin : le serveur a été redémarré, faut que je recommence (et accessoirement que je recherche la manip...).

Bon il faut aller dans les stratégies de sécurité et mettre les paramètres de sécurité pour les "membres du domaine" à "non défini" : ces paramètres restent APRES redémarrage.

Ensuite il faut exécuter un regedit et aller dans HKLM/system/currentcontrolset/services/lanmanserver/parameters/requiresecuritysignature et passer la valeur du paramètre de 1 à Zéro.
Attention à ne pas larguer la manip car à chaque redémarrage du serveur (apparemment), ce paramètre repasse à 1...

 

[Lastrada]

Atténuation de ma joie

J'ai déjà vécu ça quelque part...

Courage : je te supporte dans ton entreprise. Tiens nous au courant.

 

[KaptainKavern]

Bon les news !

Je confirme que c'est OK pour la manip de base de registre ; par contre, je n'arrive pas à rentrer dans le DNS par l'utilitaire de gestion du format de répertoire.

Franchement je dois créer un nouveau DNS en remplacement de celui ci, ben c'est très clair ce sera Linux sous LDAP... Une pizza à 1000 ¤ et basta.

La Connexion Bureau Distant c'est parfait pour les PC sous XP, en revanche il me faut la licence TSE pour le serveur (pas d'accès possible sans).

En tout cas le Mac se remarque : tout le monde trouve ça "beau" !

Sauf les geeks qui voient pas pourquoi j'ai fait ça !

 

[supermoquette]

Pour autant que je sache, l'explication exacte serait qu'un paramètre de sécurité de SRV2003 exige que tous les paquets qui transitent entre lui et une machine cliente soient signés. Ceci afin d'éviter une attaque "man in the middle". Cet attaque consiste en une machine qui se glisse entre deux autres et faire croire au deux qu'elle est l'une d'entre elles. (Je ne sais pas si je suis très clair).

En résumé, il faut diminuer le niveau de sécurité et autant que je sache d'une façon particulière (en mode administrateur via l'interface) sinon si on se contente de modifier la base des registre, un robot remet les paramètres de la registrery à leurs valeurs initiales (toutes les heures je crois).

==> Chaque fois qu'on voudra se connecter sur un poste avec cet OS, il faudra être super copain avec l'admin pour qu'il daigne abaisser le niveau de sécurité de son serveur.

NB : je ne comprends toujours pas ce qui empêcherait une machine mal intentionnée sous Windows, de faire de fausses signatures, m'enfin.

[ Attention, c'est pas du bronze, c'est seulement ce que je crois avoir compris].

ça j'avais compris, ce que je pige pas c'est pourquoi le samba d'osx exige ce truc !

 

[Lastrada]

Cette brève vient de tomber, sur la prochaine 10.4.2, j'adore ce passage :

[...]Au programme des améliorations :
le partage de fichiers via les services de fichiers AFP et SMB/CIFS ;
l?authentification « Single sign-on » et la fiabilité d?accès aux serveurs Active Directory [...]

Qui est-ce qui s'y colle pour tester ? :hein: :hein: ?

Perso, j'ai déjà fait Panther-Tiger-Panther. Perché.

 

[Lastrada]

ça j'avais compris,

Pardon, frère moquette.

ce que je pige pas c'est pourquoi le samba d'osx exige ce truc

Ben comment dire : je décroche là.

Le samba d'OS X n'exige rien. C'est Wind.. qui.

C'est du second degré ?