Jean-Benoit Paux's blog

Un des problèmes récurrent sur les forums, les newsgroups est un problème d’accès aux ressources réseaux à partir de Vista (ou supérieur) ou la connexion à Vista à partir de clients sous XP par exemple.

Je vais essayer d’en apporter sur ce post une explication ainsi qu’un moyen de résoudre (au moins en partie les problèmes).

L’authentification réseau sous Windows est assez complexe et les liens en fin d’articles vous aideront à en comprendre le fonctionnement si vous y tenez vraiment. Il s’agit pour simplifier d’un échange avec challenge.

L’authentification se base sur deux paramètres : SMB signing et LMCompatibility. Chacun a plusieurs niveaux de sécurité. SMB signing permet de garantir l’expéditeur d’un message et LMComptatibility de connaître le niveau de sécurité NTLM (Lan Manager) à utiliser pour l’échange.

Ces paramètres peuvent être modifiés pour permettre l’accès mais il faut savoir que ces modifications affectent la sécurité de votre plateforme.

Le paramètre LMComptatibility a augmenté de niveau avec Vista ce qui peut poser ce problème d’accès.

Vous pouvez diagnostiquer ce problème comme tel si :

• Le problème se pose uniquement sur vos clients sous Vista
• Aucun paramètre de LMComptatibility a été défini par GPO
• Une trace réseau révèle ce genre de message :

Vous pouvez redéfinir le niveau de sécurité en passant soit par le registre (par la clé HKLM\System\CurrentControlSet\Control\Lsa\LMComptatibility) soit par la console de sécurité locale secpol.msc dans Stratégies locales\Options de sécurité\Sécurité réseau : niveau d’authentification LAN Manager.

Les différents choix sont les suivants :

1. Envoyer les réponses LM et NTLM
2. Envoyer LM et NTLM – utiliser NTLMv2 si négocié
3. Envoyer uniquement les réponses NTLM
4. Envoyer uniquement les réponses NTLM v2 (par défaut)
5. Envoyer uniquement les réponses NTLM v2, refuser LM
6. Envoyer uniquement une réponse NTLM v2 ; refuser LM et NTLM

Vous pouvez essayer de réduire le niveau à 2 voir à 1 pour résoudre le problème.

Le mieux est d’uniformiser les différents niveaux de sécurité de vos machines.

Explication du fonctionnement de l’authentification : http://www.microsoft.com/technet/technetmag/issues/2006/08/SecurityWatch/?related=/technet/technetmag/issues/2006/08/SecurityWatch

Post a Comment