smb.conf: Explain that "ntlm auth" is a per-passdb setting
[sfrench/samba-autobuild/.git] / docs-xml / smbdotconf / security / ntlmauth.xml
1 <samba:parameter name="ntlm auth"
2                  context="G"
3                  type="enum"
4                  enumlist="enum_ntlm_auth"
5                  xmlns:samba="http://www.samba.org/samba/DTD/samba-doc">
6 <description>
7     <para>This parameter determines whether or not <citerefentry><refentrytitle>smbd</refentrytitle>
8     <manvolnum>8</manvolnum></citerefentry> will attempt to
9     authenticate users using the NTLM encrypted password response for
10     this local passdb (SAM or account database). </para>
11
12     <para>If disabled, both NTLM and LanMan authencication against the
13     local passdb is disabled.</para>
14
15     <para>Note that these settings apply only to local users,
16     authentication will still be forwarded to and NTLM authentication
17     accepted against any domain we are joined to, and any trusted
18     domain, even if disabled or if NTLMv2-only is enforced here.  To
19     control NTLM authentiation for domain users, this must option must
20     be configured on each DC.</para>
21
22     <para>By default with <command moreinfo="none">lanman
23     auth</command> set to <constant>no</constant> and
24     <command moreinfo="none">ntlm auth</command> set to
25     <constant>ntlmv2-only</constant> only NTLMv2 logins will be
26     permited.  Most clients support NTLMv2 by default, but some older
27     clients will require special configuration to use it.</para>
28
29     <para>The primary user of NTLMv1 is MSCHAPv2 for VPNs and 802.1x.</para>
30
31     <para>The available settings are:</para>
32
33     <itemizedlist>
34         <listitem>
35           <para><constant>ntlmv1-permitted</constant>
36           (alias <constant>yes</constant>) - Allow NTLMv1 and above for all clients.</para>
37
38         </listitem>
39
40         <listitem>
41           <para><constant>ntlmv2-only</constant>
42           (alias <constant>no</constant>) - Do not allow NTLMv1 to be used,
43           but permit NTLMv2.</para>
44         </listitem>
45
46         <listitem>
47             <para><constant>mschapv2-and-ntlmv2-only</constant> - Only
48             allow NTLMv1 when the client promises that it is providing
49             MSCHAPv2 authentication (such as the <command
50             moreinfo="none">ntlm_auth</command> tool).</para>
51         </listitem>
52
53         <listitem>
54           <para><constant>disabled</constant> - Do not accept NTLM (or
55           LanMan) authentication of any level, nor permit
56           NTLM password changes.</para>
57         </listitem>
58
59     </itemizedlist>
60
61     <para>The default changed from <constant>yes</constant> to
62     <constant>no</constant> with Samba 4.5.  The default chagned again
63     to <constant>ntlmv2-only</constant> with Samba 4.7, however the
64     behaviour is unchanged.</para>
65 </description>
66
67 <related>lanman auth</related>
68 <related>raw NTLMv2 auth</related>
69 <value type="default">ntlmv2-only</value>
70 </samba:parameter>