Cant Join AD

Gave those a shot but no go.

SMB and NTLM are set correctly
Added the computer manualy to AD and that did not work
Changed Packet filter rules to allow ALL to AD Server.
Set A record in DNS for firewall

Do you sucessfully have this working in an WAN Enviroment where the firewall is not in the same broadcast domain as the server with all the fsmo roles?

The full version of my process is in this note ... also every server joinerd I have done is on the same local subnet ...

INTRODUCTION:

The first evidence of a problem with Active Directory "Non Windows" connections was with a “non” Windows PC system joining via the standard DOMAIN join process was that of a Novell NetWare 6 Server using the Common Internet File System (CIFS)
The” service” was not able to complete pass-through authentication with servers that were running Microsoft Windows 2000 or Microsoft Windows Server 2003. 
This issue occurs because Novell Server and of course also Astaro "pass through" Authentication uses NTLM authentication and does not support server message block (SMB) signing. 
This is able to be resolved by turning on the NTLM authentication feature and lowering the SMB signing requirements on your Windows server. 

SYMPTOMS:

The Astaro "pass through" Authentication, required for HTTP proxy user tracking and pass through in “Authentication mode”; may not be able to successfully perform pass-through authentication with a Windows 2000-based or a Windows Server 2003-based server if the server requires SMB signing or NTLMv2 authentication.
 
CAUSE:

This issue occurs because Astaro "pass through" Authentication uses NTLM authentication and does not support SMB signing. 
By default, Windows Server 2003-based servers require SMB signing. 
For example, if a NetWare 6-based server has a share that is configured as a Windows Distributed File System (DFS) link target, a domain client that tries to connect to the NetWare share receives an "access denied" error message from the Windows server. Therefore, the NetWare-based server denies the client access to the server's share. 
Also attempting to JOIN and ASTARO system will fail also.
 
RESOLUTION:

To resolve this issue, the requirement is to enable NTLM authentication and lower SMB signing requirements to permit successful connections between the Astaro "pass through" Authentication and a Windows 2000-based or Windows Server 2003-based server.  The assumption is the ASTARO system will be called astaro1 

To do so, follow these steps:
Configure the Windows domain controller policies as indicated in the "Windows 2000 Server and Windows Server 2003 policy settings" “MORE INFORMATION” section if required.
 
On the Windows-based domain controller, create a DNS "A" record for the Astaro. i.e astaro1 has the IP address allocated to the management (eth0) interface.

Create a pre-Windows 2000 computer account for the Astaro. 

To create a pre-Windows 2000 computer account for the Astaro, follow these steps: 

In Active Directory Users and Computers, right-click Computers, and then click New. 

In the Computer name box, type the NetBIOS name.  (astaro1)

In the Computer name {pre-Windows 2000} box, type the NetBIOS name. (astaro1)

Click to select the Assign this computer account as a “pre-Windows 2000 computer” check box, and then click Next. 

Make sure that the “This is a managed computer” check box is not selected, click Next, and then click Finish. 

Install WINS on the Windows Server 2003-based server. 

On the Windows-based domain controller, verify that the Astaro has registered its NetBIOS names with WINS. 

For example, confirm that WINS contains a registration record that is similar to the following registration record: 
Name Number (h) Type Usage
--------------------------------------------------------------------------
astaro1  00 U Workstation Service
astaro1  03 U Messenger Service
astaro1  20 U File Server Service

MORE INFORMATION:

Windows 2000 and Windows Server 2003 policy settings.

The following list contains the applicable policies for a default Windows Server 2003 installation (depending on inheritance blocking and on the "no override" settings). You must restart the domain controller for these settings to take effect because they are enforced during service start up:. 
Local Security Policy (domain controller)
Default Domain Policy 
Default Domain Controllers Policy 

The following relevant policy settings may vary depending on your specific installation requirements and configuration. To access the appropriate settings in Group Policy Management, follow these steps: 
Click Start, click Run, type gpedit.msc, and then click OK. 

Expand Computer Configuration, 
Expand Windows Settings, 
Expand Security Settings, 
Expand Local Policies, and then click Security Options. 

Configure the security settings of the following policies:-
Windows 2000 - Double-click digitally sign server communications (always), and then click Disabled. 
Double-click LAN Manager authentication level, and then click one of the following options:. Send LM & NTLM responses 
Send LM & NTLM - use NTLMc2 session security if negotiated 
Send NTLM response only 

Windows Server 2003.  - Double-click Microsoft network server: 
Digitally sign communications (always), and then click Disabled. 
Double-click Network security: LAN Manager Authentication level, and then click one of the following options: 
Send LM & NTLM responses 
Send LM & NTLM - use NTLMc2 session security if negotiated 
Send NTLM response only 

For additional information about NetBIOS names, click the following article number to view the article in the Microsoft Knowledge Base: 
163409 (http://support.microsoft.com/kb/163409/) NetBIOS suffixes (16th character of the NetBIOS name.

Hi,

Everything is setup correctly as you mentioned.  I know my policies work as the firewall at my main office can join AD with no problem with the same domain controller security policies.  Howerver I did double check the server and verified that it was set correctly.

The only diffrence is my firewall is not populated in my wins server.  To do so I would need to specifiy a wins server in my firewall and there is no option to do so.  Where do I tell astaro the IP Address of my wins server?

WINS is not necessary.

Is this still accurate with v7.100?

Thanks,
RR

Is this still accurate with v7.100?

Thanks,
RR

Nope, in 7.100, no policy changes are needed; it supports native AD, so it can use Kerberos or NTLM v2.