[Win7] LmCompatibilityLevel

[Thomas Wildgruber]

Hi Group,

ich hab mich gerade eine halbe Stunde lang mit einem Laptop abgeärgert,
welches sich partout nicht mit einem unserer File-Server verbinden wollte.
Es kam jedes mal die Fehlermeldung dass das eingegebene Netzwerkennwort
falsch sei, was aber definitiv nicht stimmt... Es ist das richtige
Kennwort.

Jetzt habe ich einen Workaround gefunden, der sogar funktioniert. Man lege
im Registry Schlüssel HKLM\SYSTEM\CurrentControlSet\Control\Lsa\ ein
REG_DWORD LMCompatibilityLevel[1] mit dem Wert 1 an ... prima und geht.

Was ich aber nicht verstanden habe ist, warum ich das jetzt auf einmal
machen muss? Ich verbinde ständig irgendwelche Windows 7 Rechner mit
Freigaben unserer W2K3 Fileservern (Active Directory) ohne diesen Hack
durchführen zu müssen.

Was der Workaround macht, ist mir klar aber warum Windows das nicht von
alleine weiß eben noch nicht. Das einzige was ich mir vorstellen kann, wäre
die Windows 7 Version des Clients, welche hier Home Premium war und
normalerweise Professional wäre. Kann es daran liegen oder woher kommt der
plötzliche Umweg über die Registry?

[1] http://technet.microsoft.com/de-de/library/cc960646.aspx

THx & Bye Tom

[Stefan Kanthak]

Post by Thomas Wildgruber
Hi Group,
ich hab mich gerade eine halbe Stunde lang mit einem Laptop abgeärgert,
welches sich partout nicht mit einem unserer File-Server verbinden wollte.
Es kam jedes mal die Fehlermeldung dass das eingegebene Netzwerkennwort
falsch sei, was aber definitiv nicht stimmt... Es ist das richtige
Kennwort.
Jetzt habe ich einen Workaround gefunden, der sogar funktioniert. Man lege
im Registry Schlüssel HKLM\SYSTEM\CurrentControlSet\Control\Lsa\ ein
REG_DWORD LMCompatibilityLevel[1] mit dem Wert 1 an ... prima und geht.

AUTSCH!
In Windows 7 ist dieser Wert MIT GANZ GROSSER ABSICHT auf 3 gesetzt:
LanManager- und NTLM-Authentifikation ist UNSICHER!

Stell alle Deine Server und Clients auf 3 (oder besser 5) um.
Alles andere ist purer Leichtsinn!

Wenn Anmeldung mit LM-Kennwort, aber nicht dem NTLM-Kennwort geht, dann
sind beide unterschiedlich. Aendere einmal das Kennwort des betroffenen
Kontos, oder besser: setze

[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA]
"NoLMHash"=dword:01

und aendere dann das Kennwort.

Siehe <https://support.microsoft.com/kb/299656>
und <https://support.microsoft.com/kb/885409>

Post by Thomas Wildgruber
[1] http://technet.microsoft.com/de-de/library/cc960646.aspx

Sieh Dir besser folgende MSKB-Artikel an:
<https://support.microsoft.com/kb/982734> aber vergiss diesen wieder!
<https://support.microsoft.com/kb/147706>
<https://support.microsoft.com/kb/239869>
<https://support.microsoft.com/kb/823659>
<https://support.microsoft.com/kb/954387>
<https://support.microsoft.com/kb/960859>
<https://support.microsoft.com/kb/968389>

Stefan
[

[Thomas Wildgruber]

Post by Stefan Kanthak
Stell alle Deine Server und Clients auf 3 (oder besser 5) um.
Alles andere ist purer Leichtsinn!

Mag sein aber wenn Microsoft das bei einer Windows Domäne nicht
selbstständig macht, sehe ich keinen Handlungsbedarf. Wir sind keine Bank
und im lokalen Netz habe ich wenig bis gar nichts zu befürchten.

Ich vermute dass das eher etwas mit der Home Premium Version zu tun hat.
Windows 7 Pro Clients verbinden sich ja problemlos und ohne irgendeinen
Hack.

Ich kremple hier jetzt nicht das ganze Netzwerk um, bloß weil eine Home
Edition von Windows 7 rumzickt ... und ich sogar noch einen Workaround
dafür habe.

Thx & Bye Tom

[Stefan Kanthak]

Post by Thomas Wildgruber

Post by Stefan Kanthak
Stell alle Deine Server und Clients auf 3 (oder besser 5) um.
Alles andere ist purer Leichtsinn!

Mag sein aber wenn Microsoft das bei einer Windows Domäne nicht
selbstständig macht, sehe ich keinen Handlungsbedarf.

AUTSCH!

Post by Thomas Wildgruber
Wir sind keine Bank und im lokalen Netz habe ich wenig bis gar
nichts zu befürchten.

Du hast also noch nie etwas von NTLM-Authentifizierung ueber HTTP
gehoert?!

Post by Thomas Wildgruber
Ich vermute dass das eher etwas mit der Home Premium Version zu tun hat.

Nur indirekt.
Was hat ein "Home Premium" in einer AD-Domaene zu suchen?
Du weisst, was das alles NICHT kann?
Immerhin deckt es ein Problem in der SAM des bewussten Servers auf!

Post by Thomas Wildgruber
Windows 7 Pro Clients verbinden sich ja problemlos und ohne irgendeinen
Hack.

Weil sie Domaenenmitglieder sind.

Post by Thomas Wildgruber
Ich kremple hier jetzt nicht das ganze Netzwerk um, bloß weil eine Home
Edition von Windows 7 rumzickt ... und ich sogar noch einen Workaround
dafür habe.

Das ist kein Workaround, sondern absichtliches Entfernen einer
"Sicherung"!
Und: s.o.
Wirf das Home-Zeux weg, WEIT WEG!

Stefan
[

[Thomas Wildgruber]

Post by Stefan Kanthak
Nur indirekt.
Was hat ein "Home Premium" in einer AD-Domaene zu suchen?
Du weisst, was das alles NICHT kann?
Wirf das Home-Zeux weg, WEIT WEG!

Mann Mann, dass man mal ein Laptop eines Bekannten neu aufsetzt und von
einem Server hier die Servicepacks etc. ziehen möchte, auf die Idee kommst
du gar nicht. Natürlich sind hier keine Home Versionen am Start.

Post by Stefan Kanthak

Post by Thomas Wildgruber
Windows 7 Pro Clients verbinden sich ja problemlos und ohne irgendeinen
Hack.

Weil sie Domaenenmitglieder sind.

Negativ, nicht Jeder Rechner hier ist Domänenmitglied. Ich habe mindestens
5 Windows 7 Pro die nicht in der Domäne sind aber Daten auf dem selben
Rechner wie oben ablegen. Das funktioniert alles ohne den Hack in der
Registry.

Ich schau mir das bei Zeiten mal an aber für mich ist das ein Problem mit
der Home Edition.

Bye Tom