28 replies to this topic

[Loui (PD1LOI)]

I now have a new laptop with Windows 11.

Everything works, but when I want to access my box via network I get a message "No access to " Mutant HD51" So no root or other structure. How do I solve this?

[WanWizard]

Known issue with Windows 11, it not only enforces SMB packet signing, it has also disabled a fallback. So it can't connect to any device that doesn't have packet signing enforced.

 

It seems to be only an issue with new Windows 11 24H2 and newer installations, upgrades don't have this problem.

 

It is a bloody pain in the backside, and for the box we haven't found a setting that works in all cases. If we enforce this on the box too, everything else that wants tot connect to the box breaks...

[littlesat]

Windows closed the Windows to look outside into Linux....

I recommend to use winscp on that laptop instead.... 

Edited by littlesat, 12 May 2025 - 16:35.

[Jork]

40H3X, on 27 Feb 2025 - 19:21, said:

Let wel hier staat alles in het Engels!! De toegevoegde plaatje zijn ter verheldering!



De makkelijkste weg is klik op de verkenner en kies "Map network drive"



Vul hier

\\hetipadresvanjeontvanger\root

Zet een vinkje bij "Connect using different credentials" en voordat je de "Finish" klikt



Dan verschijnt er een inlog scherm en vul hier als login root in met het wachtwoord en vink "Remember my credentials" aan en klik OK

[WanWizard]

That doesn't fix the Windows 11 24H2 signed packet problem, that has no relation to credentials.

[ims]

Do you think some as "You can’t access this shared folder because your organization’s security policies block unauthenticated guest access. These policies help protect your PC from unsafe or malicious devices on the network." ?
I have 2 Win11 24H2 (W11 installed and upgraded 24h2) with this message, but i am using user/pass, so no problem connect shared hdd (in smb share.template: guest ok = no)
 

Note - allow guest account could help?
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
add DWORD32: AllowInsecureGuestAuth as 1

[Loui (PD1LOI)]

(in smb share.template: guest ok = no) where can I find this?

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters

add DWORD32: AllowInsecureGuestAuth as 1

I set this in regedit.

[ims]

 

(in smb share.template: guest ok = no) where can I find this?

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters

add DWORD32: AllowInsecureGuestAuth as 1

I set this in regedit.

 

guest ok = no is in /etc/samba/shares in file share.template

 

About regedit - it is not safe, imho.
 

[Loui (PD1LOI)]

Not working, seems like security has improved.

Attached Files

•  pexels-photo-1183.jpeg   59.31KB   0 downloads

[WanWizard]

What part of this wasn't clear?

 

That doesn't fix the Windows 11 24H2 signed packet problem, that has no relation to credentials.

 

This is a workaround, but obviously we prefer a solution on the box (but haven't found it): https://pureinfotech...nas-windows-11/

[Loui (PD1LOI)]

Dit was de oplossing  How to fix network error 0x80070035 on windows 11 24H2 home. - Microsoft Community En het werkt nu.

Edited by Loui (PD1LOI), 14 May 2025 - 14:18.

[littlesat]

Eigenlijk is dat niet de oplossing... omdat je hiermee meteen die laptop kwetsbaar maakt voor dingen die je ook niet handig zijn....

Edited by littlesat, 14 May 2025 - 15:39.

[WanWizard]

Het is de "RequireSecuritySignature" key. Het is niet de oplossing, het is de workaround, je hebt nu een security feature uitgezet.

 

En dat zouden we graag willen voorkomen,.alleen nog even geen idee hoe, zodra we RequireSecuritySignature op de box aan zetten, kan geen enkele client die dit niet aan kan er nog bij. Waaronder andere boxen.

 

Ik zal nog eens een poging wagen...

[WanWizard]

Probleem gevonden. Maar dat levert wel een uitdaging op. 

 

Standaard heeft een OpenPLi image geen wachtwoord voor user "root". In de samba configuratie staat dat als er een connectie binnen komt met een onbekende user, die user gemapt moet worden naar "root", ook bekend als "guest access".

 

Echter, SMB signing werkt op basis van de NTLM challenge/response, en daarvoor is authenticatie nodig. Ergo, SMB signing is "mutually exclusive" met Guest Access.

 

SMB signing afzetten is m.i. geen optie, dus dan moet Guest Access er uit. Maar dan moet de box wel een wachtwoord hebben, en moet er ook voor gebruikers een goede en makkelijke manier zijn om een password in te stellen of te wijzigen, EN die ook het smbpassword zetten (en niet elke plugin in de feed doet dat).

[littlesat]

En je wilt ook eigenlijk geen wachtwoord (default) hebben om het ssh achterdeurtje dicht te houden… als dat nog niet geconfigureerd staat met ‘key’…
Hier moet echt goed over nagedacht worden…. Misschien iets slims met wizard doen…?

Edited by littlesat, 14 May 2025 - 22:18.

[WanWizard]

Nee, een default wachtwoord moet er zeker niet komen.

 

Ik heb nog niet getest hoe de nieuwe samba config zich gedraagd als root geen wachtwoord heeft. Als dat werkt, dan hoeft er verder niks te gebeuren, anders dan de aangepaste werkwijze documenteren (je zult dan in moeten loggen met "root" en een blanco password).

 

Maar ik vrees dat dat niet gaat werken, en dan moet er inderdaad een password op. Dat betekent dat E2 een menu optie moet krijgen om het password van root aan te passen (op de correcte wijze), en dat er in de wizard een vraag moet komen om een password te kiezen.

 

En dan moeten we ook documenteren dat mensen die een backup terug zetten, eerst een password moeten zetten alvorens ze via CIFS bij de box kunnen...

[littlesat]

Dat betekent dat E2 een menu optie moet krijgen om het password van root aan te passen (op de correcte wijze)...

 

->

 

Dan stel ik zo wie zo voor een config toe te voegen waar je een wachtwoord kan kiezen of eentje genereren door de code zelf... maar deze kunnen we uit veiligheid niet opslaan in de config zelf.... Die zal voor enigma2 in een 'zwart gat' moeten verdwijnen.... Dus bij wijzigen en het wachtwoord niet meer weten wordt day pech? 

 

er is al zover ik weet via backup geregeld dat dit wachtwoord met backup terug komt... in de correcte wijze (zonder dat het wachtwoord ergens plain er op staat). Tenminste hier komt het altijd terug dat root wachtwoord....

Edited by littlesat, 15 May 2025 - 15:57.

[WanWizard]

Als je een wachtwoord hebt ingesteld gaat dat mee in de backup ja, maar de meeste mensen hebben er geen wachtwoord op. En dus ook een backup waar geen wachtwoord in zit.

 

Bij ATV zit volgens mij de vraag voor een wachtwoord in de wizard, wat ik wel een goed idee vind, dan verplicht je mensen om een wachtwoord te kiezen bij installatie.

 

Met "correcte wijze" bedoel ik via de PAM libraries, zoals passwd dat op de commandline doet (ik heb daarvoor tijden geleden de boel gepatched).

 

Er zijn namelijk plugins, ook in onze feed, die rechtstreeks de hash in /etc/passwd aanpassen. Daarbij passeren ze /etc/shadow password security, maar ook de update van de samba tdb, waarin het samba password staat. Die zouden eigenlijk uit de feed moeten dan.

 

Maar goed, eerst even verder testen, zodat we precies weten waar we aan toe zijn.

 

Een alternatief, maar veel meer werk, is een configuratie scherm maken voor CIFS (en dan gelijk ook voor NFS denk ik), zodat gebruikers zelf in kunnen stellen welke samba config ze willen hebben.
Ik heb hier bijvoorbeeld helemaal geen Windows, en dus ook niet het signing probleem, dus theoretisch ook geen nood aan het er uit slopen van guest access.

 

Zou wel mooi passen in het herwerken van de hele netwerk code...

[littlesat]

Kunnen dat twee verschillende wachtwoorden zijn (root en voor smb)?
Zover ik in openatv kan zien en plug-ins staat blijkbaar ergens het wachtwoord plain… en dat heeft nooit mijn voorkeur… dat gebeurt zo wie zo al als een cliënt box naar een server box of nas wilt gaan… dat is ook al heel fout. Wachtwoord staat plain in /etc/enigma2/settings of zo…

Edited by littlesat, 15 May 2025 - 17:18.

[WanWizard]

Technisch gezien, ja, absoluut. Linux passwords staan in /etc/passwd (of beter, /etc/shadow). SMB passwords staan in een samba storage file, bij ons /etc/samba/private/secrets.tdb.

 

Mijn patch zorgt er voor dat als je via de standaard linux API (zoals het passwd commando gebruikt) het password zet of aanpast, ook het samba password wordt aangepast.

 

Je kunt het samba password apart instellen via het smbpasswd commando.