Windows Update KB5028166 macht NT Domains kaputt

[dummzeuch]

Für den Fall, dass wir nicht die einzigen sind, die noch ein Samba mit einer NT-Domain verwenden: Das neueste Windows Update KB5028166 sorgt nach dem Reboot dafür, dass der Rechner keine Verbindung zur Domain mehr bekommt. Ameldung mit einem Domain-Konto schlägt fehl. Update deinstallieren behebt das Problem erstmal, ist aber natürlich keine dauerhafte Lösung.

Nachdem ich wusste, wonach ich suchen muss, habe ich eine Meldung auf Reddit dazu gefunden:

https://www.reddit.com/r/sysadmin/co...ba_and_windows

[himitsu]

Alle Samba, oder wieder nur bestimmte Versionen?
Die älteren Versionen, vor allem die 1, werden ja langsam überall ausgebaut/deaktiviert.

[dummzeuch]

Zitat:

Zitat von himitsu (Beitrag 1524491)

Alle Samba, oder wieder nur bestimmte Versionen?
Die älteren Versionen, vor allem die 1, werden ja langsam überall ausgebaut/deaktiviert.

Ich kann nur was zu der bei uns verwendeten Samba-Version sagen:
Samba version 4.3.11-Ubuntu
Andere kann ich nicht testen.

Und da ist es reproduzierbar, bisher bei 7 Installationen, 4 davon virtuelle Maschinen.

Ach so: Du meinst vermutlich die SMB-Protokoll-Version: Ja, das ist SMB v1, spätere Versionen können keine NT Domains mehr, nur noch Active Directory.

Und bevor jemand fragt, warum wir kein AD einsetzen: Es gibt Gründe, und zwar nicht nur den, dass bisher die Zeit fehlte, alles umzustellen.

[himitsu]

In der Synology wurde die v1 vor 'ner ganzen Weile deaktiviert, weil zu alt und unsicher. (aber kann man manuell wieder aktivieren, falls unbedingt nötig)

Vor 4 Jahren hatte Microsoft das im Windows 10 auch schon deaktiviert (und konnte/mußte man manuell wieder aktivieren).
Also so gesehn, wäre es schon verständlich, wenn sie es nun langsam ganz rauswerfen. :stupid:

[himitsu]

Heute gibt es schonwieder neues Update (was Neustart) erzwingt.

[Sherlock]

Der letzte Satz hier dürfte Dir vielleicht Hoffnung machen: https://www.thurrott.com/windows/265...-on-windows-11

Sherlock

[dummzeuch]

Das Problem gibt es nur, wenn man eine NT Domain betreibt, also u.a. eine zentrale Benutzerverwaltung (aber kein Active Directory). Stand-alone Samba Server (z.B. irgendwelche Netzwerkspeicher-Boxen) sind nicht betroffen.

[himitsu]

Doch schon, wenn sie bisher nur mit SMB1 angesprochen wurden und Neues nicht können.

z.B. gewisse alte Linux-TV-Boxen.

[dummzeuch]

Zitat:

Zitat von himitsu (Beitrag 1524528)

Doch schon, wenn sie bisher nur mit SMB1 angesprochen wurden und Neues nicht können.

z.B. gewisse alte Linux-TV-Boxen.

Microsoft hat ja SMB1 nicht abgeschaltet oder gar entfernt. Wenn es vorher eingeschaltet war, funktioniert es weiterhin.

Hier geht es, wenn ich die die Kommentare zum Samba Bugreport korrekt interpretiere, um eine nicht kompatible Änderung in einem bestimmten RPC-Auruf, die Microsoft auch nicht dokumentiert hat.

[himitsu]

Sie haben aber vor es "demnächst" zu deaktivieren/entfernen.

Bzw. sie hatten vor einer Weile standardmäßig mindestens v2 aktiviert (bzw. Synology hatte die v1 ganz deaktiviert), was dann knallte, wenn man versuchte Geräte zu kontaktieren die ausschließlich v1 können.

[dummzeuch]

Es gibt inzwischen sogar schon einen Patch für das Problem!

Danke an Stefan Metzmacher !

[harfes]

Bei uns ist eine Domain-Anmeldung die von einer Synolgy-NAS verwaltet wird betroffen (Betriebssystem des NAS ist auf dem aktuellsten Stand) - das dürfte wohl auch andere wie QNAP etc betreffen. Aktuell habe ich das Update auf den Win10-Maschinen deinstalliert und vorübergehend geblockt.
Das Patch kann ich m.W. nicht einfach so auf dem NAS installieren. Jetzt heisst es warten und auf ein Update von Synology warten...ich habe dem Kunden bereits empfohlen, die Verwaltung der User doch dem im Netzwerkvorhanden WinSrv2019 zu überlassen, dann gibt's so ein Problem nicht mehr (warum der ehemalige IT-ler das mal so eingerichtet hat, konnte mir keiner beantworten...).

Hartmut

[himitsu]

Die Syno sollte doch aber auch AD können?

[Matthias]

Synology stellt hier einen Patch zur Lösung des Problems für ihre NAS-Boxen bereit. Hat bei mir geholfen.

[harfes]

@himitsu: das mag ja sein, aber wenn sowieso ein Windows Server im Netzwerk werkelt, warum denn eine Synology/QNAP als Domain-Verwalter einsetzen???

@Matthias: danke für den Link! Das werde ich nachher gleich mal installieren...scheint aber genau das Problem zu betreffen.

Hartmut

[dummzeuch]

Es gibt inzwischen auch schon Debian-Packages mit dem Bugfix. Von Ubuntu habe ich noch nichts gehört, da gibt es bisher nur einen Bugreport.

[rapante]

Unsere AD läuft mit einer angepassten SAMBA-Version von sernet auf Ubuntu. Die lässt sich leider nicht ganz so einfach updaten, aber glücklicherweise klappt die Authentifizierung noch.

Ich habe allerdings das Problem, dass die Funktion LogonUser aus der WinApi seit dem Update nicht mehr funktioniert und False zurückgibt.
Kennt jemand eine andere Funktion/Package die dieselbe Funktionalität bereitstellt?

[dummzeuch]

Zitat:

Zitat von rapante (Beitrag 1524652)

Unsere AD läuft mit einer angepassten SAMBA-Version von sernet auf Ubuntu. Die lässt sich leider nicht ganz so einfach updaten, aber glücklicherweise klappt die Authentifizierung noch.

Ich habe allerdings das Problem, dass die Funktion LogonUser aus der WinApi seit dem Update nicht mehr funktioniert und False zurückgibt.
Kennt jemand eine andere Funktion/Package die dieselbe Funktionalität bereitstellt?

Es gibt doch schon ein Update von Sernet:

Zitat:

The SerNet Samba team was able to work out an update for SAMBA+ 4.18.4, which has already been released. Packages for various SUSE and Red Hat platforms as well as Debian GNU/Linux and Ubuntu are now available.

Bzgl. Sernet: Habe ich das richtig verstanden: Dieses "Samba+" gibt es nur für zahlende Kunden? Oder gibt es auch eine Open Source version?

[himitsu]

Zitat:

Zitat von dummzeuch (Beitrag 1524656)

Bzgl. Sernet: Habe ich das richtig verstanden: Dieses "Samba+" gibt es nur für zahlende Kunden? Oder gibt es auch eine Open Source version?

Joar, klingt so.

Kostet auch nur ~450€.

Aber SAMBA+ ist ja nur der Marktführer ... gibt also auch Andere, aber k.A. ob die schon einen Fix haben.

[rapante]

[QUOTE=dummzeuch;1524656]
Es gibt doch schon ein Update von Sernet:
[quote]

Das hatte ich schon gesehen, aber einerseits haben wir keine aktive Subscription mehr und andererseits ist unser IT-Guy der davon Ahnung hat für mehrere Wochen im Urlaub :oops:

Ich habe LogonUser nun erestzt und löse das über VCL-ActiveDirectory4Delphi