SMB aus anderem Subnetz nicht möglich bei AD Authentifikation

Hallo zusammen,

ich habe hier das Problem, dass ich per SMB nicht auf ein QNAP NAS zugreifen kann. Bevor ich mich hier angemeldet habe, hatte ich schon diverse Vorschläge woran das liegen könnte durch, das ist es aber alles nicht. Jegliche Überlegungen die dahin gehen, dass irgendetwas blockt (oder so), das ist nicht die Ursache. Kein Netzwerkproblem. Beobachtet hatte ich das irgendwann von zu Hause aus. Irgendwann war keine Verbindung mehr zum NAS möglich, obwohl ich mir keines Verbrechens bewusst war. Port offen (445), auch die Namenslauflösung ist sauber. Dachte erst an irgend etwas mit meinem IPSec VPN, aber ich komme sonst überall hin, wo ich hin will. Es scheint an der Authentifizierung zu haken, tritt aber nur auf, wenn ich nicht im gleichen Subnetz bin.

Also bspw. von zu Hause. Da könnte man ja noch sagen, liegt vielleicht am IPSec VPN? Aber es tritt auch auf, wenn ich von einem PC eines anderen Subnetz (hinter einem L3 Switch in der Firma) zugreifen will. Auch dort blockt rein gar nichts. Sobald ich \\nas eingebe, werde ich noch brav nach den Anmeldedaten gefragt, aber anstatt mir dann die Freigaben zu zeigen, kommt einfach immer wieder die Frage nach den Anmeldedaten, so als wenn diese nicht stimmen würden. Ist exakt das gleiche Bild, was ich von zu Hause kenne.

Das kann man bis zum St. Nimmerleinstag versuchen, so oft kann man sich gar nicht vertippen, wenn ich es aber dann 1 mal mit einem lokal direkt am NAS angelegten Benutzer (also keinem der in unserem AD kommt) probiere. Dann funktioniert es sofort. Es kann also kein Netzwerkproblem sein. Irgendwie lässt er mich aus anderen Subnetzen nur aufs NAS, mit dort lokal angelegten Benutzern. Sobald ich mich im gleichen Subnetz wie das NAS befinde (kann auch ein per WLAN gebridgtes sein) funktioniert es auch wieder mit meinen AD Anmeldedaten, wie gewünscht.

Nun habe ich die Hoffnung, dass vielleicht einer hier die Antwort kennt, wo hier das Problem sein soll und sich meiner erbarmt. Ach ja, ist ein TS-653D mit Firmware QTS 5.1.5.2679.

Schöne Grüße

Hmmm ... keiner eine Ahnung, was das sein könnte?
Erwähnenswert ist vielleicht noch, dass ich mit den identischen DomänenCredentials auf den Windows Server nebendran (auch im gleichen Subnetz wie das NAS) zugreifen kann. Also bis auf das QNAP NAS funktioniert das überall wie gewünscht. Ich hab auch schonmal in die WebGUI vom NAS geguckt, ob ich da irgendetwas sehe, was ins Fehlerbild passt, aber mir ist zum. nichts aufgefallen.

Hallo nochmal. So, jetzt ist quasi ein Jahr rum, das Problem ist aber noch genauso aktuell. Kenn vielleicht einer das sahnige Geheimnis von QNAP? Aktuell nervt mit das wieder mal ganz schön, dass das nicht geht und ich frage mich, ob ich am End nicht das NAS in die Tonne hauen muss, denn mit einer Freigabe von einem Windows Server, habe ich das Problem einfach nicht. Das ist nur mit diesem QNAP Ding so.

Andererseits wäre es schon toll, das weiter nutzen zu können. An sich, habe ich, solange ich mich nur im selben Subnetz befinde, ja auch kein Problem. Dummerweise müssen aber halt doch einige über VPN auf das Gerät zugreifen können und es nervt einfach wie die Sau, dass das nicht so geht ... halt so, wie es sonst, bei jedem Windows, überall geht.

Ich denke eher nicht. So müsste ich ja auch wissen, für welche externen Subnetzte das maskieren muss, so dass es dann immer so aussieht, als käme der daher. Das ist auch so ein, durch die Brust ins Auge Ding.
Eigentlich, so hätte ich vermutet, sollte das keine so eine Raketenwissenschaft sein, so wie es sich hier darstellt.

Eigentlich, will ich doch nur aus einem Subnetz, das nicht das LAN Subnetz ist, auf die SMB Freigabe zugreifen ... würde ich meinen wollen.

Klar, müssen dann alle Routen/Regeln etc. stimmen, da darf nix blocken oder so. Wie schon geschrieben kann ich mich auch prima per SMB auf Freigaben verbinden, die auf einem Windows Server (neben dem NAS - im gleichen Subnetz) liegen. Oder ich kann mich auch per SMB aufs NAS verbinden, wenn es sich um einen am QNAP angelegten Nutzer handelt. Aber einen, aus meinem AD, das geht nicht!

Aber gesetzt den Fall, dass da nichts blockt (Port 445 offen), warum sollte es dann, ausschließlich mit dem QNAP Ding, hier ein Problem geben. Ich mein, so dämlich sind die doch hoffentlich nicht, dass das per se nicht gehen kann, würde ich vermuten wollen. Ein NAS was kein Windows SMB (einfach so) kann ist ziemlich sinnfrei. Genau gesagt, kann es SMB schon. Wenn ich nämlich einen Nutzer am QNAP erstelle (und der nicht über meine AD Koppelung authentifiziert wird, gehts sofort. Aber ich will ja nicht jeden, den mein AD schon kennt, nochmal am QNAP anlegen ...

dolbyman Yepp, ist das gleiche.

Dank Dir recht herzlich, leider war's das nicht!

Mod: Nicht deklariertes Zitat ohne Quellenangabe ... korrigiert! Forenregeln beachten und Die Zitat Funktion des Forums richtig nutzen

Zitat von Anthracite

Enthalten Benutzername oder Passwort Umlaute oder irgendwelche "seltsamen" Sonderzeichen?

Um Gottes Willen, Nein. Natürlich nicht. Ich denke es wäre auch töricht schon 2025 erwarten zu wollen, dass man auch nicht ASCII Zeichen (oder gar chinesische Zeichen) nehmen könnte, wo kommen wir denn da hin?!

Mod: Nicht deklariertes Zitat ohne Quellenangabe ... korrigiert! Forenregeln beachten und Die Zitat Funktion des Forums richtig nutzen

Zitat von Anthracite

Systemsteuerung ⇒ System ⇒ Sicherheit prüfen: Ist die "Liste Zulassen/Verweigern" leer?

Selbstverständlich - Steht auf "Alle Verbindungen zulassen"

Mod: Nicht deklariertes Zitat ohne Quellenangabe ... korrigiert! Forenregeln beachten und Die Zitat Funktion des Forums richtig nutzen

Zitat von Anthracite

Gleich nebenan Punkt "IP-Zugriffsschutz" prüfen, was da für SMB steht (und ist "interne Adressen ausschließen" angekreuzt?)

Hier ist SMB aktiviert, sperren nach 5 Anmeldeversuchen konfiguriert und bei "Interne IP Adressen ausschließen" ist NICHTS angekreuzt

Mod: Nicht deklariertes Zitat ohne Quellenangabe ... korrigiert! Forenregeln beachten und Die Zitat Funktion des Forums richtig nutzen

Zitat von Anthracite

Noch ein Punkt nebenan"Kontozugriffsschutz" für SMB prüfen

Hier ist nichts angehakt.

Mod: Nicht deklariertes Zitat ohne Quellenangabe ... korrigiert! Forenregeln beachten und Die Zitat Funktion des Forums richtig nutzen

Zitat von Anthracite

Dann Systemsteuerung ⇒ Netzwerk und Dateidienste ⇒ Win/Mac/NFS ⇒ Microsoft Networking: Stimmt die Arbeitsgruppe, ist dort AD-Domänenmitglied gewählt?

Domänename stimmt (als auch NetBIOS Name), beide DNS Server sind korrekt hinterlegt.

Die AD Authentifizierung funktioniert ja auch überall. Bei jedem Client der im LAN sitzt ... nur nicht aus einem anderen Subnetz heraus! Das andere Subnetz ist dann natürlich auch bei allen anderen über VPN Verbundenen Clients. Ich habe aber schon gesehen, dass es auch nicht geht, wenn ich nur an einem anderen Subnetz über den Switch angeschlossen bin. Hat also nix mit dem VPN oder irgendwelchen Firewall Regeln zu tun. Solche Überlegungen, die darauf abzielen, sind reine Zeitverschwendung.

Mod: Nicht deklariertes Zitat ohne Quellenangabe ... korrigiert! Forenregeln beachten und Die Zitat Funktion des Forums richtig nutzen

Zitat von Anthracite

Systemsteuerung ⇒ Berechtigung ⇒ Domänensicherheit prüfen. Müsste "AD-Domänensicherheit" sein.

Da habe ich nochmals die schon bestehende Verbindung eingerichtet (wurde erfolgreich ... bla bla bla). Sieht alles prima aus.

Wird mir auch mit grün angezeigt, dass das NAS erfolgreich in die Domain eingebunden wurde, nur dass ich nun nicht mal mehr als Nuzter im LAN mich nun verbinden kann.

pasted-from-clipboard.png

Arghhhhhh ... was ist das nur für ein elendiger Dreck ... sorry, musste sein! Erstmal reboot ...

Wollte das Thema nach so langer Zeit aufwärmen, ob es mittlerweile hierzu eine Lösung gibt. Mittlerweile habe ich mehrere solche Aspiranten die über VPN mit dem QNAS arbeiten wollen/müssen. Ich will aber nicht jeden am NAS doppelt anlegen müssen. Der zuletzt gemachte Vorschlag, geht am Problem vorbei:

> Du hast das NAS in die Domäne eingebunden. Berechtigungen sind dann aber nicht automatisch gesetzt. D.h. der Domänenuser darf noch nix.

Wie ist es dann zu erklären, dass der Benutzer, wenn er sich aus dem selben Subnetz anmeldet, es sofort (augenblicklich funktioniert ohne dass sich sonst nichts geändert hat)? Das ist Kokolores. Einziger Unterschied ist das Subnetz. Ist es gleich, geht die Anmeldung mit Domänenaccounts, ist es anders, geht es nicht. Windows Server verhalten sich nicht so, dort kann ich mich auf jedem, ausnahmslos, anmelden (egal ob aus gleichem Subnetz oder nicht).

Vielleicht gibt es ja mittlerweile einen, der das Problem nicht nur kennt, sondern auch weiß, wie man es abstellen kann. Sonst frage ich halt jährlich wieder nach, bis ich das QNAP dann rausschmeiße oder ich in Rente bin, je nachdem was eher ist.

Hi, war in Urlaub, 10 Jahre darf ich nun wohl noch. Ich fang schon mal die Tage an zu zählen, leider bleibt mir der ganze NIS2 Kack und die BSI Spästeleien wohl nicht ganz erspart. Wie dem auch sei ... jeder Tag ist einer weniger.