27 replies to this topic

[KingOtto]

Hi all,

 

Na het lezen van heel veel informatie om eindelijk met SMB2 vanaf mijn Windows 10 Pro (fully updated) PC een WIndows explorer browse folder sessie te kunnen hebben, was het enige waarmee ik succes had (zonder gebruik van het onveilige SMB1 te maken) de oplossing die hier besproken wordt: https://support.micr...and-windows-ser

.

Maar Microsoft raadt dit niet aan, wegens mogelijke man-in-the-middle vulnerabilities. Het voelt voor mij dus ook niet echt veilig. 

 

Vragen: 

1. Wat kan ik nu doen om een authorised user connectie te krijgen die het me wel mogelijk maakt met de DM8000 en OpenPli 6.2 in Windows Explorer te kunnen browsen?

2. Waarom lukt dit wel vanaf een Windows 10 Home edition?

3. Wat moet ik precies in Windows 10 Pro instellen en wat op de Dream om het wel werkend te krijgen?

 

Thanks,

 

King Otto

[40H3X]

Ik neem aan dat je toegang wilt tot je box/receiver vanuit het LAN dan misschien even dit lezen https://wiki.openpli...ernet.29browser

 

Succes

[KingOtto]

Hi 40H3X,

 

Dat had ik natuurlijk al lang geprobeerd. Zonder Guest Acces in Windows vrij te geven (via Groepsbeleid instellingen) krijg ik dan deze melding:

 

"Geen toegang tot \\dm800" of ik nu op IP of op naam server ingeef. Foutcode 0x80070035 (kan netwerk pad niet vinden).

 

Wil ik hem als Windows share aanwijzen, dan krijg ik de volgende foutmelding:

 

"Kan geen netwerkverbinding maken omdat de volgende fout is opgetreden: U kunt geen toegang krijgen tot deze gedeelde map omdat het beveiligingsbeleid van uw organisatie de toegang voor niet-geverifieerde gasten blokkeert. Dit beleid zorgt ervoor dat uw PC beter is beschermd tegen onveilige of schadelijke apparaten in het netwerk."

 

Met geen mogelijkheid kom ik er dan bij. Ben dus op zoek naar hoe ik mijn root account op de DB8000 een trusted gebruiker in Windows kan laten zijn (als dat kan....)… 

Maar weet niet of ik wellicht in OpenPli iets moet instellen waardoor het wel gaat werken..... ???

 

thanks,

 

King Otto

[40H3X]

Je kunt je box pingen vanaf de windows machine?

[KingOtto]

Ja, zonder problemen. Webif en FTP werken overigens ook... Kom er alleen met gewoon browsen (Windows Explorer) niet in. Kan met aanmaken share geen root (+ password) ingeven, krijg dan de hierboven genoemde foutmeldingen. 

SMB1 staat uit in Windows. Met SMB1 "aan" lukt het overigens ook wel, maar dat wil ik dus juist voorkomen en ik wil dus met SMB2 of 3 werken. 

 

En wanneer ik Unaithorised Guest logon instel via Groepsbeheer lukt het ook (pad hier is Computerconfiguratie > Beheersjablonen > Netwerk > Lanman-werkstation > Onveilige gastaanmeldingen inschakelen). Ik weet alleen niet, mijn gevoel is "WEL", dat ik dan op Internet kwetsbaar ben wanneer ik naar een site ga die mogelijk onderhands een guest logon veroorzaakt waar ik geen weet van heb,...…

 

Greetz,

 

KingOtto

[40H3X]

Get-SmbServerConfiguration

Dit geeft SMB1 false en SMB2 True?

[40H3X]

Ik denk dat dit je probleem is https://support.micr...and-windows-ser

[KingOtto]

Get-SmbServerConfiguration

Dit geeft SMB1 false en SMB2 True?

 

Correct.. 

[KingOtto]

Ik denk dat dit je probleem is (link door mij niet toegestaan te quoten)

 

Hihi.... dat is precies de link die ik ook had.... Echter, Microsoft geeft dus aan dat dit niet veilig is, omdat je dan kennelijk zonder het te weten een connect met een server kunt hebben, waardoor een intruder mogelijk bij je gegevens kan. Ik wil dus proberen zonder deze oplossing een soort van trusted account te kunnen gebruiken dat voor WIndows acceptabel is (lees veilig).Maar dat lukt me niet.

[40H3X]

Een MiTM attack zie ik alleen als je Labtop meeneemt naar elders, voor een desktop niet. SMB die op OpenPLi draait is een uitgeklede versie.

 

Inloggen met een user+password lukt niet, check de link hieronder maar, dus voorlopig is het kiezen denk ik.

 

https://forums.openp...ba-password-ko/

[WanWizard]

Ik vind de informatie op die Microsoft pagina overigens wel overdreven dreigend.

 

Het kunnen inloggen als "guest" op een ander device levert helemaal geen direct risico op voor de client. Het levert een risico op als je niet weet op wat je inlogt, en als je niet weet wat je vervolgens daarvan opstart of opent. En zolang Windows onder water dat niet automatisch doet bij elk device wat hij vind is er niks aan de hand.

[40H3X]

Ik vind de informatie op die Microsoft pagina overigens wel overdreven dreigend.

 

Het kunnen inloggen als "guest" op een ander device levert helemaal geen direct risico op voor de client. Het levert een risico op als je niet weet op wat je inlogt, en als je niet weet wat je vervolgens daarvan opstart of opent. En zolang Windows onder water dat niet automatisch doet bij elk device wat hij vind is er niks aan de hand.

Precies, vandaar mij reactie m.b.t MiTM

 

Ik zag deze voorbij komen...https://security.sta...tes-mitm-attack

[WanWizard]

Ik denk overigens dat het ook op te lossen is door in de smb.conf de guest login op no te zetten, en (samba) te herstarten. Dan kun je inloggen met root + password.

[KingOtto]

mm.... dus basically zeggen jullie dat het geen kwaad kan om het internet op te gaan terwijl allow unauthorised guest account aan staat? Als ik dan per ongeluk op een of andere weird dark porn pagina bijvoorbeeld kom, kan een mitm situatie niet ontstaan zonder dat ik dat door heb? Dan laat ik het protocol op mijn desktop PC gewoon op enabled staan en hoef ik me dus niet druk te maken, right?

 

Mijn [global] gedeelte van mijn smb.conf ziet er nu overigens zo uit. Zien jullie nog iets raars of iets wat niet kan in 6.2? En staat mijn guest login hiermee niet al op No?

 

[global]
workgroup = WORKGROUP
deadtime = 15
max smbd processes = 6
max log size = 5
guest account = root
load printers = no
show add printer wizard = no
printcap name = /dev/null
disable spoolss = yes
map to guest = Bad Password
security = user
server role = standalone server
unix password sync = yes
min protocol = SMB2
server max protocol = SMB3
client max protocol = SMB3
disable netbios = yes
domain master = yes
preferred master = yes
local master = yes
 

Edited by KingOtto, 14 October 2018 - 15:09.

[WanWizard]

Je zet daarmee toch niks open op je EIGEN machine? Je staat alleen maar toe dat je connectie kunnen maken met een ANDERE machine via het guest account.

 

Of heb ik het niet helemaal goed begrepen (ben nog niet zo lang wakker )?

[40H3X]

....en lees de link van een MiTM maar eens reply #12, vandaar mijn opm  m.b.t. je Labtop.

 

Je vraag; "staat mijn guest login hiermee niet al op No" kan ik niet zien in de smb.conf die je hebt ge-upload. Dezeoptie staat nl. iets verder onder je shares in de smb.conf dus onder root, Media en Harddisk.

[KingOtto]

Dat is nu juist wat ik even zeker wil weten :-)  Als ik dus nooit een connectie met een server "kan" maken zonder dat ik het zelf door heb is er mijns inziens geen probleem en laat ik het gewoon open staan. Beter volgens mij dan met SMB v1 te blijven werken, toch?

In ieder geval heb ik dan een werkende oplossing thuis om vanuit de Windows explorer lekker door mijn movies te browsen en deze meteen bijvoorbeeld met VLC te kunnen bekijken, zonder ze eerst te moeten downloaden met ftp...!

 

Dank in ieder geval jullie vast voor jullie hulp en meedenken, super! Ik heb er dagen over gedaan om er achter te komen hoe ik nu zonder SMBv1 toch de DB kon benaderen met Windows Explorer.

 

Cheers,

 

KingOtto

[KingOtto]

ha, sorry, rest van de smb.conf nu guest account op no gezet volgens mij (zie hieronder):

Geprobeerd met de setting voor unauthorised guest weer disabled in Windows kom ik er dan weer niet op, ook niet met ingeven root en password box. Dus alleen aanpassen smb.conf werkt (in ieder geval bij mij) niet!!!

 

en tot slot,, hoe kan het nu dat het met een laptop op Windows 10 Home wel gewoon lukt.... (dus ook met SMB v1 disabled). Daar kan ik gewoon de share aanmaken met root en password box ???? Dit zonder verdere instellingen aan te hoeven passen.

 

[root]
path = /
read only = no
guest ok = no
browseable = yes
create mask = 0777
directory mask = 0777

[Media]
path = /media
read only = no
guest ok = no
browseable = yes
public = yes
writable = yes
available = yes
create mask = 0777
directory mask = 0777

[Harddisk]
path = /media/hdd
read only = no
guest ok = no
browseable = yes
public = yes
writable = yes
available = yes
create mask = 0777
directory mask = 0777

Edited by KingOtto, 14 October 2018 - 16:28.

[40H3X]

https://support.micr...and-windows-ser

 

..omdat zoals je hier kon lezen het niet voor de home versie is doorgevoerd (guest logon)

[KingOtto]

aha... dus de Home versie is minder veilig en staat (nog) meer toe, biedt daarmee dus anderzijds meer functionaliteit.. :-) Jammer dat je dan als Windows 10 pro gebruiker je duizend nieuwsgroepen af moet voordat je eindelijk weer kunt wat je wilt (en voorheen kon in het tijdperk van SMB1)... 

 

Thanks all! Ik laat het nu dus maar open staan en kan in ieder geval weer lekker browsen vanuit Windows Explorer op mijn DM8000.

 

Ik was naar OpenPLI overgestapt omdat het vanuit NewNigma2 helemaal niet meer lukte. Tot nog toe verder heel tevreden daarmee!

 

Cheers,

KingOtto