NightFlight

hi bean,

aktiviere doch einfach mal den gast - account und dumme frage ... den drucker hast du freigegeben und die firewall ist deaktiviert?

mit nem netten gruß

nightflight

Hi Heckenbichler,

> Der Portforward auf den Server für den RemoteDesktop gefällt mir überhaupt nicht, da steht der Rechner wirklich komplett offen im Netz ...

hmm ... egal wie Du es machen möchtest, einen Portforward musst Du immer einrichten, sobald Du einen Dienst von außen (Internet) erreichbar machen willst. Die einzige Ausnahme wäre das Du den Server direkt, d.h. ohne Firewall oder ähnlichem mit dem Internet verknüpfelst ... über die Unsinnigkeit dieser Ausnahme brauche ich mich hoffentlich nicht auszulassen ... ;-)

mit nem netten Gruß

NightFlight

Hi Constral,

> Hm, aus deinem Post entnehme ich, das Du nicht der gleichen Meinung bist

hmm ... ja.

>Der größte Nachteil, ist dass keine Netztrennung beim Router vorhanden ist. Mit einem Portscan ist ein offenes Schlupfloch schnell gefunden.

>Erst ab der Möglichkeit der physikalischen Netztrennung lässt sich ein durchdachtes Sicherheitskonzept erstellen.

Dem kann ich nur zustimmen, aber nur dann wenn Du Dienste anbieten möchtest, die auch vom Internet aus erreichbar sein sollen. Denn was willst Du in einem Homenetwork mit einer DMZ?

Und was möchtest Du in dieser platzieren?

Für normale User reicht es wenn Sie ein Gerät haben, was alle Anfragen die von außen kommen abweist. Möglichst ein Standalone ... was bei einem Router ja der Fall ist.

Bezüglich einer Desktopfirewall habe ich so meine Bedenken ... denn ich halte Sie für Unsinn bzw. für ein Placebo.

Denn eine vernünftig konfigurierte Routerfirewall bringt auf jedenfall mehr und lässt sich auch nicht so einfach von Malware abschalten.

mit nem netten Gruß

NightFlight

Hi Heckenbichler,

wenn der Kunde keine Dienste zum Internet hin von diesem Rechner aus anbieten möchte, geht das imho schon. Aber als sicher möchte ich das nicht bezeichnen.

Im Router alle Ports sperren und nur bei dem Port den Du für Remote Desktop benötigst, richtest Du ein Forwarding ein.

Vielleicht bietet der Router auch eine DynDNS Unterstützung an, falls nicht gibt es eine Vielzahl an Tools für DynDNS.

Wichtig ist es das Du bei jedem Account auf dem Server ein langes und sicheres Passwort einrichtest und diese regelmäßig wechselst.

Was dann auch noch wichtig ist, beschränke die Anmeldezeiten des RRUsers auf die von Dir genutzen Zeiten. Außerdem solltest Du die RRErlaubnis auf einen einzigen User beschränken. Sinnvoll wäre es auch das dieser User nur die Rechte bekommt, die Du für die Fernwartung benötigst.

mit nem netten Gruß

NightFlight

Hi JJ,

welche Rechte hat dieser User denn mit denen Du dich anmelden willst?

Falls Du Remotedesktop verwendest ... den Account hat Du auf dem Server eingetragen?

mit nem netten Gruß

NightFlight

Hi Constral,

würdest Du mir bitte erklären, wieso eine gut konfigurierte Routerfirewall leicht zu überlisten ist?

mit nem netten Gruß

NightFlight

Hi Majestric,

schaue mal in diesen Tread rein ... da wird ähnliches besprochen.

http://www.mcseboard.de/showthread.php?threadid=35572

mit nem netten Gruß

NightFlight

Hi Daruma,

schaue am Di auch nach in welchem Profil die Verknüpfungen der einzelnen Programme sind und deren Rechte.

Am sinnvollsten aufgehoben, sind diese im all Users Profil, nur dann wenn Du bestimme Progs einschränken möchtest im Profil der einzelnen User.

mit nem netten Gruß

NightFlight

Hi Fritz,

den Ordner Xerox kannst Du im abgesicherten Modus löschen, bringt aber nicht viel, da Win bei einem Neustart diesen automatisch wieder neu anlegt.

mit nem netten Gruß

NightFlight

Hi Marco,

kommt auf Deine Version an ... bei der 2003 hast Du unter Extras - Optionen - Einstellungen - Junkmail die Option "nur sichere Absender". Damit kannst Du die von Dir gewünschte Whitelist funktion aktivieren.

Bei Outlook XP sollte dies imho ähnlich funktionieren, bin mir aber nicht sicher.

Aber am sinvollsten wäre es, sich einen E-Mail Provider zu suchen, der einen guten Spamfilter anbietet. In meinem Fall ist es GMX.

mit nem netten Gruß

NightFlight

Hi Mike,

Du kannst bei der Definition der GPO auch schon User hinzufügen für die diese gültig sein soll. Ist allerdings nicht zu empfehlen, da darunter die Übersichtlichkeit und Wartbarkeit extrem leidet.

Deshalb wird dieses imho kaum verwandt.

Hast Du nur die Gruppen oder auch die User in der OU?

Achja ... manchmal sollte man auch gpupdate ausführen.

mit nem netten Gruß

NightFlight

Hi Dave,

um evtl. DNS Fehler ausschließen zu können, trage doch mal DC1 bei DC2 in die Hosts und LMHosts und umgekehrt ein.

Sicherheitshalber die Frage: Du hast auf DC1 keine Firewall und auch Routing und RAS nicht aktiv?

mit nem netten Gruß

NightFlight

Hi Stroti,

kontrolliere mal Deine Gateways bzw. Dein Routingtable.

mit nem netten Gruß

NightFlight

Hi Tobi,

bei Download nein, CD ja.

Falls Du von CD installierst, auf jedenfall die Updates von AVM downloaden. Dort findest Du dann auch ein Update der CAPI.

Ein Tool was Du ebenfalls installieren solltest ist ISDN-Watch, außer Du hast die Ferkelnummern bei der Telekom oder so sperren lassen.

Ach noch etwas ... wenn Du die CAPI installieren willst, bietet Dir das Installprog. 1001 verschiedene Modems an ... installiere nur die wirklich von Dir gebrauchten ...

mit nem netten Gruß

NightFlight

Hi Milla,

installieren???

Ne Quatsch, installiere die virtuellen Modems der CAPI von AVM und bei der Faxconsole richtest Du dann das Faxmodem ein.

mit nem netten Gruß

NightFlight

Hi Dave,

hast Du dieses Problem erst nach den Patches für die LSA oder schon vorher gehabt?

mit nem netten Gruß

NightFligt

Hi Gr@mlin,

> also afaik hat guenther recht, sbs2k3 unterstützt kein ics. zugang zum internet funktioniert über rras.

wenn dem wirklich so ist, wieder was dazu gelernt ... werde das mal in den nächsten Tagen verifizieren ... oder Patric nimmt mir die Arbeit ab.

mit nem netten Gruß

NightFlight

Hallo Bueschel,

richte doch auf dem zweiten DC ebenfalls den globalen Katalog ein.

Es ist zwar keine Lösung für das genannte Problem (LSA usw.) aber dürfte Abhilfe schaffen.

mit nem netten Gruß

NightFlight

Hi Ben,

für diesen Fall kann ich Dir TweakUI empfehlen ... bekommst Du ggf. bei Microsoft.

Ih hoffe nur das Du noch nicht zu viele User angelegt hast ... ;-)

mit nem netten Gruß

NightFlight

Hi Günter,

> Patric hat einen SBS 2003, da gibt es keines ICS.

Hmm ... soweit mir bekannt ist, basiert dieser auf Win 2003. Win 2003 bringt beide Funktionen mit.

Wenn man den Zugang limitieren möchte ist R&R sinnvoll, obwohl dann der ISA noch viel mehr, aber für einen simplen I-Net Zugang reicht ICS. Aber warum einfach, wenn es auch umständlich geht ... ;-)

mit nem netten Gruß

NightFlight

Hallo Peter,

auf ein virenverseuchtes System einen Scanner zu installieren und hoffen das dieser die Viren beseitigt ist ungefähr genauso sinnvoll wie mit einem Sieb Wasser schöpfen zu wollen.

Besorge Dir einen vernünftigen Virenscanner (für diesen Test reicht auch eine Desktopversion) der eine bootfähige CD mitbringt, AVK 2004 von GData kann ich da nur empfehlen, trenne das System vom Netz, boote von dieser CD, prüfe und desinfiziere Dein System, installiere die Patches und installiere dann einen Virenscanner für Server und auf die Clients einen von einem anderen Hersteller.

mit nem netten Gruß

NightFlight

Hi Frapos,

ein netter Link zu dem Thema Firewall:

http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html

Damit dürfte sich auch Deine Frage erledigt haben ...

mit nem netten Gruß

NightFlight

Hi od3m,

> Es geht nur um FTP Anfragen an POrt 33888 per IP. DNS unwichtig das von DynDns.org ne Static DNS auf die IP verweist.

Schade ... denn dann wäre es extrem simpel gewesen ... einfach einen Alias für Server 2 zu Server 1 setzen lassen und das Problem wäre gelöst.

> Evtl könnten wir uns da auf nem andere Weg, per email, icq etc austauschen.

kein Thema ... meine UIN findest Du im Profil.

> Nochwas zur Config. Ich habe 2 Cable Leitungen von ISH mit fester IP

ein glücklicher ... ich wohne genau 2 Hausnummern zu weit weg ...

mit nem netten Gruß

NightFlight

Hi od3m,

> Deswegen habe ich die 2. Leitung direkt an den 2. Win2kServer angeklemmt.

Ich persönlich würde es nicht so machen ... aber egal.

Geht es nur um FTP Anfragen? Wie werden die Anfragen gestellt ... mit IP oder DNS Name?

mit nem netten Gruß

NightFlight

Hi Patric,

in der Antwort auf eine MCSE Prüfungsfrage würde die Richtige Antwort lauten: den automatischen Dialog aktivieren.

Gehe in deine DFÜ Verbindung und entferne das Häckchen an:

Name, Kennwort usw. abfragen

Rufnummer abfragen

Dann aktiviere die ICS und dort setze das Häckchen an:

Eine DFÜ Verbindung aufbauen ... blabla ...

mit nem netten Gruß

NightFlight