Directory Server Mac in Aktiv Directory anmelde Maske

[DonApple]

Hallo zusammen.

Ich habe auf meinem Server Das AD installiert und auch soweit wie in den Videos von Synology konfiguriert.

Aber die Anmelde Maske kommt einfach nicht.

Ich benutze einen Mac

MacBook Pro 2012 mid Juni

Mit Open Core Legacy Pather bin ich bei macOS Sequoia.

Ich habe die Ports die benötigt werden

Auf meiner FRITZ!Box Freigeben

Vielen Dank für die Hilfe

 

[Synchrotron]

Popup-Fenster im Browser erlaubt ?

 

[DonApple]

Hä wieso Browser?

Ich hab mein Bad als Netzwerk Account hinterlegt.

Damit diese Klassische Anmelde Fenster mit User

Und. Andere Benutzer auftauchen sollte

Was ja leider nicht klappt.

 

[Synchrotron]

Du meinst also, dass sich jeder dieses Video angucken muss, damit man verstehen kann, was du tust ?

Vielleicht nimmt sich ja jemand anderes die Zeit …

 

[DonApple]

Das habe ich doch nicht gesagt

Ich meinte nur das ich es so eingerichtet habe.

Ich habe aber nie verlangt das irgend jemand

Sich das Video anschauen soll oder muss.

 

[w00dcu11er]

Bitte auch zw. die Zeilen lesen, was @Synchrotron gemeint hat. Intention: Mehr Infos zu deinen Konfigurationen und was die Fehlermeldung ist und welche Ports gemeint sind etc.

 

[DonApple]

Dann habe ich das falsch aufgenommen! Entschuldige ich mich dafür.

Also

Ich habe subdomain im Mac den Domain Namen eingeben.

Und bei dem Punkt DNS die Ip Adresse meines Server hinterlegt.


Und das sind die Ports die ich auf meinem Router Freigegeben habe.

Synology Directory Server:


135 (RPC Endpoint Mapper), 636 (LDAP SSL), 1024 (RPC), 3268 (LDAP GC), 3269 (LDAP GC SSL), 49152 (RPC)<a href="https://kb.synology.com/de-de/DSM/tutorial/What_network_ports_are_used_by_Synology_services#notes-07">7</a>, 49300-49320 (RPC)

Hab ich mal so auf Schnelle von Synology übernommen

Ich hoffe man kann es entziffern

 

[Kachelkaiser]

Ganz schön löchrig deine Router Firewall. Kann mir nicht vorstellen, dass das so sein soll. Brauchst du den Zugang nach draußen?

 

[DonApple]

Ja! Wäre wünschen wert

Ich wollte die genannten Ports auf 443 umleiten lassen

Ich habe die genannten Ports erst mal raus genommen

Weil ich das nicht hinbekam weil das umleiten als Reserve Proxy nicht so geklappt hat

Ich muss erst mal das intern zum laufen bekommen.

Und dann

Nach außen öffnen

So denke ich ist es am besten

 

[Adama]

Man sollte niemals ein AD im Internet veröffentlichen.

Über Reverse Proxy wird das sowieso nicht gehen, da der Zugriff aufs AD nicht auf HTTP basiert, sondern auf Protokollen, die ein Reverse Proxy nicht kennt.

Wen du auf AD-Ressourcen von extern zugreifen willst, kann die Lösung eigentlich nur VPN heißen und das könntest du recht einfach über deine FritzBox lösen.

 

[DonApple]

Ich habe mit Synology gesprochen die haben mir das hier vorgeschlagen.

C2 Identity

Damit wäre es ja möglich von außen zu zugreifen

Oder?

 

[Adama]

Das ist erst mal nur ein Cloudbasiertes ID-Management, das hat nicht zwingend was mit "von Außen" zu tun. Sein ID-Management öffentlich ins Internet zu stellen, ist mutig. Das machen wir auch nicht mit AzureAD bei uns. Das läuft, man glaubt es kaum, von außen über VPN.

Was willst du eigentlich erreichen? Mir scheint, du versuchst mit Kanonen auf Spatzen zu schießen.

 

[DonApple]

wenn ich die Ports von Synology in der fritbox nicht Freigebe bekomme ich beim neu einbinden eine Fehler Meldung das der das der autoverfiezierungs server nicht erreichbar ist:

Es konnte keine Verbindung zum Authentifizierungsserver hergestellt werden.

 

[Adama]

Im internen Netz musst du keine Ports freigeben. Wenn du Ports in der FB freigibst, gilt das immer für außen. Intern wird nichts geblockt.

Wobei ich keine Erfahrung mit Apple MACs im AD hab. Ich kann mir aber nicht vorstellen, dass die sich beim joinen großartig anders verhalten, als Windows-PCs.

Aber noch mal die Frage: Was willst du erreichen? Was macht es nötig, dafür ein AD aufzusetzen?

 

[DonApple]

ich will es einfach nur lernen wie es für mich persönlich einrichten kann.

Aber die Fehlermeldung hier stört mich jetzt irgendwie

Es konnte keine Verbindung zum Authentifizierungsserver hergestellt werden.

beim versuch zu Joinen

 

[Adama]

Ok, das ist ja legitim. Es ging mir nur darum, ob es einfachere Lösungen für dich gibt.

Hmmm, der Directory Server ist ja - eigentlich - ein Samba-AD, wenn auch verschlimmbessert von Synology. Deswegen kann einiges vom folgenden eventuell anders reagieren.

Wenn du mit nslookup deine Domäne abfragst, bekommst du dann die IP von deiner Syno zurück?

Gehe mal mit SSH auf deine Syno und und gib mal folgende Befehle ein:

"kinit <ADuser>": Du solltest nach dem Passwort des Users gefragt werden und nach Eingabe die Laufzeit des Passwortes gemeldet bekommen.
Wenn du dann klist eingibst, müsstest du das Kerberos-Ticket angezeigt bekommen.

"wbinfo --ping-dc": Dann solltest du sowas wie "checking the NETLOGON for domain[MYDOMAIN] dc connection to "MyDC.ad.mydomain.de" succeeded" zurückbekommen, natürlich mit dem Namen deiner Domäne und deines DCs.

Dann müsste grundsätzlich dein DC richtig arbeiten. Ich hoffe jedenfalls, dass der Synology DC sich da nicht anders verhält als meine Samba-DCs.

 

[DonApple]

ich bin jetzt mal deine befehle durch.

nslookup sagt es das hier:

nslookup


Server:


Address:





** server can't find nslookup: NXDOMAIN




und das sind die anderen texte.


init <ADuser>


Server: 127.0.0.1


Address: 127.0.0.1#53





** server can't find kinit: NXDOMAIN


>

 

[Adama]

Hmmm, bei einem Windows-Client würde das bedeuten, dass der gar nicht den DNS-Server der Domäne verwendet und das wäre Pflicht, sonst kann der nicht joinen und die Domänen-Resourcen auflösen.

Und die anderen Befehle: Hast du die wirklich auf der SSH-Konsole der Syno eingegeben?

Deine Antwort deutet nämlich nicht darauf hin.

Hast du dich eigentlich schon mal Active Directory vertraut gemacht? Wie die funktioniert und was dabei wichtig ist?

 

[DonApple]

Ja ich war gestern mit ssh an meinem Server eingeloggt

Ich habe mit Absicht die Punkte wo die ip zu sehen war nicht mit reingeschrieben.

Ich denke per Pn ist es besser zu reden.

Oder nicht?

Ich weis das man darüber User Gruppen und Berechtigungen verwalten kann so das die User nicht zwingend an einen Localen Pc gebunden sind sie können sich an jeden pc der in der domaine ist mit Zugangs Daten anmelden

 

[Adama]

Wenn du über SSH sowas wie kinit eingibst, dann sollte nichts mit NXDOMAIN zurückkommen:

** server can't find kinit: NXDOMAIN

kinit ist ein Kommando auf der Syno.

Ich weis das man darüber User Gruppen und Berechtigungen verwalten kann so das die User nicht zwingend an einen Localen Pc gebunden sind sie können sich an jeden pc der in der domaine ist mit Zugangs Daten anmelden

Damit weißt du, was AD macht, aber nicht wie es funktioniert und was die Grundlagen sind. Aber wenn du damit bisher keine Erfahrung hast, dann solltest du dich vielleicht da erst mal einlesen.