Netlogon Skripte oder GPO?

[mmarz 0]

Hallo zusammen,

 

würde gerne wissen was heutzutage mehr sinn macht bzw. sicherer und auch von den alten IT-Hasen empfohlen wird.

Netlogon via Batch oder doch lieber Gpo?

 

DC: Win 2008 R2                Client: Win 7 und 10

 

Zurzeit mache ich es im Betrieb mir Netlogon. Kenne da zb den großen Nachteil:

 

Wenn ein Netzlaufwerk mal gemappt werden muss, dass auf einem Server außerhalb der Domäne liegt, das Kennwort temporär mit im Skript liegen muss via CMDkey.

 

Hoffe auf eine gute Aufklärung. 

 

Danke :)

[gaijin 20]

Hallo,

 

ich persönlich verwende soweit möglich immer die GPP. 

Warum ? Weil die klassischen Loginscripte ab Windows 8 einfach teilweise mehr und mehr Probleme machen.

 

Ist aber wie gesagt meine persönliche Ansicht.

bearbeitet 16. November 2016 von gaijin

[Dunkelmann 96]

Moin,

 

ich bevorzuge Mapping per GPP. Es ist für mich übersichtlicher und mit der Zielgruppenadressierung lassen sich recht einfach brauchbare Filter erstellen.

 

Den beschriebenen Nachteil gibt es auch bei GPP. Hier ist es kein Skript sondern eine xml in der das Kennwort steht.

Ich würde eher hinterfragen, ob es nicht andere Lösungen für Zugriffe außerhalb der eigenen Domäne gibt. Z.Bsp. den Server in die Domäne holen oder eine Vertrauenstellung zwischen den Domänen einrichten.

[mmarz 0]

Moin,

 

ich bevorzuge Mapping per GPP. Es ist für mich übersichtlicher und mit der Zielgruppenadressierung lassen sich recht einfach brauchbare Filter erstellen.

 

Den beschriebenen Nachteil gibt es auch bei GPP. Hier ist es kein Skript sondern eine xml in der das Kennwort steht.

Ich würde eher hinterfragen, ob es nicht andere Lösungen für Zugriffe außerhalb der eigenen Domäne gibt. Z.Bsp. den Server in die Domäne holen oder eine Vertrauenstellung zwischen den Domänen einrichten.

 

Danke Leute,

 

in welcher XML stecken diese infos den?

 

ist es wenn man gpresult /h ausführt?

 

lg

[lefg 276]

Ein Netzlaufwerk, solch eine Verbindung mit Benutzername und Kennwort über die Grenze hinaus, machte ich weder per Skript noch GPP, ich ließe sie denm Benutzer machen mit dem Explorer, Eigenschaften auf Netzwerk.

bearbeitet 16. November 2016 von lefg

[Dunkelmann 96]

in welcher XML stecken diese infos den?

Die xml liegt unter Sysvol\Domain\Policies\GUID\User\Preferences\Drives

 

Das Passwort ist mit AES-32 "geschützt", und zwar mit diesem Schlüssel:

 

2.2.1.1.4 Password Encryption

All passwords are encrypted using a derived Advanced Encryption Standard (AES) key.<3>

The 32-byte AES key is as follows:

 4e 99 06 e8  fc b6 6c c9  fa f4 93 10  62 0f fe e8

 f4 96 e8 06  cc 05 79 90  20 9b 09 a4  33 b6 6c 1b

https://msdn.microsoft.com/en-us/library/cc232587.aspx

[mmarz 0]

Die xml liegt unter Sysvol\Domain\Policies\GUID\User\Preferences\Drives

 

Das Passwort ist mit AES-32 "geschützt", und zwar mit diesem Schlüssel:

https://msdn.microsoft.com/en-us/library/cc232587.aspx

 

Ich habe das mal auf meinem DC 2008R2 geprüft. \\dc\sysvol\domain\policies\users gibt es noch aber keine preferences.

Ich habe das mal auf meinem DC 2008R2 geprüft. \\dc\sysvol\domain\policies\users gibt es noch aber keine preferences.

Habe die eine xml in der Internetsettings GUID gefunden worüber ich den Proxyverteile.

[NorbertFe 1.799]

Moin,

 

ich bevorzuge Mapping per GPP. Es ist für mich übersichtlicher und mit der Zielgruppenadressierung lassen sich recht einfach brauchbare Filter erstellen.

 

Den beschriebenen Nachteil gibt es auch bei GPP. Hier ist es kein Skript sondern eine xml in der das Kennwort steht.

Ich würde eher hinterfragen, ob es nicht andere Lösungen für Zugriffe außerhalb der eigenen Domäne gibt. Z.Bsp. den Server in die Domäne holen oder eine Vertrauenstellung zwischen den Domänen einrichten.

Nur, dass man dort kein Kennwort aus genau diesem Grund mehr eintragen kann. Falls doch, sollte man sich Gedanken über sein patchmanagement machen. ;)

[magheinz 100]

Ein Netzlaufwerk, solch eine Verbindung mit Benutzername und Kennwort über die Grenze hinaus, machte ich weder per Skript noch GPP, ich ließe sie denm Benutzer machen mit dem Explorer, Eigenschaften auf Netzwerk.

Meine IT-Kollegen denken das unsere User davon überfordert sind...