Volvotrucker

Schonmal probiert den User komplett neu anzulegen im AD?

Oder auch erstmal nur nen Testuser mit den gleichen Rechten wie die anderen, bei denen es nicht geht.

Evtl. auch mal den Rechner raus aus der Domäne und neu rein.

Heiko

Hi.

 

Die Frage hat ja kommen müssen :D

ei freilich ;)

- bei allen SBS ohne SP1 läuft die Fritz PCI

kann ich bestätigen. Bei den von uns betreuten auch nach SP1. Allerdings wurden die alle ohne SP1 installiert und SP1 dann später upgedatet ( oder heißt das geupdatet? )

- bei allen neuen Installationen also mit SP1 oder R2 verwende ich aktuell nur Analog Modem (Devolo Mikrolink seriell).

OK, aber viele der KMUs haben nur nen ISDN-Anschluß. Extra für das Modem dann nen a/b-Wandler anschaffen?

Es bleibt mir also jetzt selbst nichts anderes übrig als zu testen, und da habe ich mir aktuell nachfolgende Modelle bestellt:

 

- Diva Pro PCI (lt. Eicon Seite gibt es da dezidierte Treiber f. W2003)

- Diva Diva Server 2FX (hat einen Preis, der einem SBS Besitzer zuzumuten ist)

 

Ich werde euch sicher von meinen Tests berichten, wenn nicht hier, dann auf SBSPraxis.de

 

LG Günther

bin schon gespannt darauf

Heiko

Hm, mal bescheidene Frage an den Meister des SBS (GuentherH):

welche ISDN-Karte würdest du denn empfehlen? Wenn ich in der HCL nach ISDN-Modem kucke, finde ich nur Diva Server Software Suite?

Windows Server Catalog of Tested Products

Was setzt du denn so für Karten ein?

Heiko

ob man da jetzt andere einsetzt sieht ja keiner, man sollte halt bei der Garantiereparatur alle Partonen rausnehmen! *ggg*)).

Das würd ich mal dementieren wollen. Ein Kunde von uns hat auch bei seinen Brother-Druckern Toner von Drittherstellern verwendet. Bevor das Teil von einem Techniker abgeholt wurde (immer wieder Papierstau) hat er wieder Orginaltoner reingemacht. Brother konnte trotzdem sehn, dass kein Orginaltoner verwendet wurde. Die Zusammensetzung ist halt anderst.

Heiko

in den erweiterten Eigenschaften von TCP/IP auf dem Reiter Netzwerk der VPN-Verbindung gibts den Punkt "Standardgateway für Remotenetzwerk verwenden".

Mach den mal raus, ob es dann geht.

Prinzipiell ist es immer von Vorteil, wenn da unterschiedliche Netzadressen sind. Dann stört auch der Haken nicht ;)

Mal ne ganz ****e Frage:

Wurde denn an den Kisten was geändert, bevor das auftrat? Irgendein Update eingespielt, egal von welchem Programm? Neue Software, oder alte deinstalliert? Windowsupdate?

Heiko

Hi Uwe,

schonmal die Datenausführungsverhinderung abgeschaltet, obs dann geht?

Windows XP Service Pack 2 (Teil 7): Schutz vor Pufferüberläufen

Heiko

Ich hab hier nen Belkin 4-Port rumstehn.

Bei dem geht das mit 2xScrollLock und dann die Nummer des Rechners.

Heiko

Hi Uwe,

gibt denn das Ereignisprotokoll was dazu her?

Gruß

Heiko

kuck dir mal auf .:. www.SBSPraxis.de, die MCSEBoard Hilfe Seite für den Microsoft SBS Server 2003 .:. den Artikel zu den Email-aktivierten öffentlichen Ordnern an, evtl wäre das was für dich. Und dazu gehörig dann auch senden als Verteiler.

Das ist das, was mir dazu so spontan einfällt ;)

Heiko

Teil 2

BENUTZEREINSTELLUNGEN
----
   CN=Heiko Frank,OU=SBSUsers,OU=Users,OU=MyBusiness,DC=frank,DC=local
   Zeit der letzten Gruppenrichtlinienanwendung: 06.11.2006 at 21:08:41
   Gruppenrichtlinie wurde angewendet von: server.frank.local
   Gruppenrichtlinienschwellenwert fr langsame Verbindung:   500 kbps

   Angewendete Gruppenrichtlinienobjekte
   ----
       Default Domain Policy

   Die folgenden Gruppenrichtlinie werden nicht angewendet, da sie herausgefiltert wurden.
   ----
       Small Business Server-Remoteunterstützungsrichtlinie
           Filterung:  Deaktiviert (Gruppenrichtlinienobjekt)

       Small Business Server-Domnenkennwortrichtlinie
           Filterung:  Nicht angewendet (Leer)

       Small Business Server-Kontosperrungsrichtlinie
           Filterung:  Deaktiviert (Gruppenrichtlinienobjekt)

       Small Business Server-Clientcomputer
           Filterung:  Nicht angewendet (Leer)

       Small Business Server-Windows-Firewall
           Filterung:  Nicht angewendet (Leer)

       Small Business Server-Internetverbindungsfirewall
           Filterung:  Verweigert (WMI-Filter)
           WMI-Filter: PreSP2

       Richtlinien der lokalen Gruppe
           Filterung:  Nicht angewendet (Leer)

       Richtlinie für allgemeine Einstellungen für Small Business Server-Aktualisierungsdienste
           Filterung:  Nicht angewendet (Leer)

   Der Benutzer ist Mitglied der folgenden Sicherheitsgruppen:
   -----
       Domänen-Benutzer
       Jeder
       Administratoren
       Benutzer
       INTERAKTIV
       Authentifizierte Benutzer
       LOKAL
       SBS Mobile Users
       Web Workplace Users
       SBS Folder Operators
       SBS Remote Operators
       Domain Power Users
       SBS SP Admins
       SBS Mail Operators
       SBS Fax Operators
       STS_WPG
       IIS_WPG

Warum allerdings die Clientrichtlinie rausgefiltert wird kann ich mir so net wirklich erklären. Es liegt keine Sicherheitsfilterung oder WMI-Filter drauf. Und in Delegierung sind die Domänencomputer drin.

So, hier jetzt mal ein gpresult vom Client. Irgendwie scheint die Clientrichlinie des WSUS doch net an zu kommen:

RSOP-Ergebnisse fr FRANK\hf auf SYNTAX : Protokollierungsmodus
-----
Betriebssystemtyp:                     Microsoft Windows XP Professional
Betriebssystemkonfiguration:            Mitglied der Domäne/Arbeitsgruppe
Betriebssystemversion:                  5.1.2600
Dom„nenname:                 FRANK
Dom„nentyp:                 Windows 2000
Standortname:                   Standardname-des-ersten-Standorts
Zwischengespeichertes Profil:             
Lokales Profil:               C:\Dokumente und Einstellungen\Heiko
Langsame Verbindung? Nein

COMPUTEREINSTELLUNGEN
----
   CN=syntax,OU=SBSComputers,OU=Computers,OU=MyBusiness,DC=frank,DC=local
   Zeit der letzten Gruppenrichtlinienanwendung: 06.11.2006 at 21:00:24
   Gruppenrichtlinie wurde angewendet von: server.frank.local
   Gruppenrichtlinienschwellenwert für langsame Verbindung:   500 kbps

   Angewendete Gruppenrichtlinienobjekte
   ----
       Small Business Server-Windows-Firewall
       Small Business Server-Clientcomputer
       Small Business Server-Remoteuntersttzungsrichtlinie
       Small Business Server-Kontosperrungsrichtlinie
       Small Business Server-Domänenkennwortrichtlinie
       Default Domain Policy
       Richtlinie fr allgemeine Einstellungen für Small Business Server-Aktualisierungsdienste

   Die folgenden Gruppenrichtlinie werden nicht angewendet, da sie herausgefiltert wurden.
   ----
       Small Business Server-Internetverbindungsfirewall
           Filterung:  Verweigert (WMI-Filter)
           WMI-Filter: PreSP2

       Richtlinien der lokalen Gruppe
           Filterung:  Nicht angewendet (Leer)

       Clientcomputerrichtlinie für Small Business Server-Aktualisierungsdienste
           Filterung:  Verweigert (Sicherheit)

   Der Computer ist Mitglied der folgenden Sicherheitsgruppen:
   ----
       Administratoren
       Jeder
       Benutzer
       NETZWERK
       Authentifizierte Benutzer
       syntax$
       Domänencomputer

gpupdate auf dem Client anwenden, den Erfiolg mit gpresult oder rsop.msc überprüfen!

Mach ich nach jeder Änderung an meinem Testsystem, sonst könnt ich das ja nicht nachvollziehen ;)

war da nicht mal was mit SET? so auf die Art etwa:

ECHO Seriennummer?

Set /P VARIABLE=

.

.

.

Heiko

Der Client ist in der OU MyBusiness/Computers/SBSComputers, wo er beim Anlegen über die Serververwaltungsconsole ja automatisch landet.

Die Richtlinien hat der WSUS beim Installieren auf Domäneneben verknüpft. Die Clients sollten die also schon zu fassen kriegen.

Hi GüntherH,

ja, der User ist in der lokalen Admingruppe. Rechner wurde mittels ConnectComputer angebunden, da macht er das meines Wissens ja automatisch.

Wenn ich mir das mit rsop ankucke, wird die Clientrichtlinie überhaupt nicht übernommen oder von der allg. Richtlinie überschrieben. zumindest finden sich da nur Einträge aus der allgemeinen

Heiko

Der Tip mit der anderen Richtlinie war goldrichtig.

Der WSUS erstellt ja beim installieren automatisch (zumindest beim SBS2003 R2) 3 GPOs.

1 für Clientcomputer, 1 für Server und eine "Richtlinie für allg. Einstellungen...."

In der Richtlinie für allg. Einstellungen steht autom. Updates auf 2, ich hatte nur die für Clients und die für Server geändert.

Die GPO für die allg. Einstellungen steht dabei in der Rangfolge unter den beiden anderen und es wurden alle 3 auf Domänenebene verknüpft.

Deaktiviere ich die allg. Richtlinie, so wird der Wert aus der GPO Clientkonfig übernommen, aber ich kann ihn ändern. Aktiviere ich die wieder, steht wieder 2 anstatt 3 drin und ich kann nix ändern

Ich mach das immer mit dem Onlinescan von Ewido:

ewido - anti-spyware and anti-malware solutions

Der Client ist ein XP SP2

Gruppenrichtlinie:

WSUS_GPO.JPG

Heiko

Hallo NG,

ich hab mir mal auf meinem TestSBS 2K3 R2 den WSUS installiert, GPOs angepasst, Updates freigegeben.

Die GPO wird auch von dem Client übernommen. Nur 1 Einstellung bereitet mir Sorgen:

Bei Automatische Updates hab ich in den GPO auf 4 eingestellt, also automatisch installieren.

Bei dem Client kommt aber die 2 an, also vor dem DL benachrichtigen. Auch wenn ich in den GPO auf 3 umstell passiert am Client nix, bleibt auf 2.

Stell ich den Eintrag in der Registry manuell um bleibt das auch so.

Im Ereignisprotokoll ist nix zu finden.

Heiko

Hab inzw. auch recherchiert, dass sich grundsätzlich an der dyndns Adr. gerne auch Hacker und solche, die es gerne wären, versuchen. Was dann ja gegen den Service sprechen würde. Gibt´s dazu hier Erfahrungen, was da dran ist?

 

Wäre dann ne feste IP sicherer??

Kann ich so nicht behaupten, da alle Rechner, die ich so in den Fingern hab, per Dyndns Adresse angesteuert werden UND hinter ner Firewall sitzen (und wenn es nur die vom DSL-Router ist). So nen Fall wie hier hat ich bis jetzt noch net.

Und mein Laienverständnis sagt mir, wenn eh die Ports durchgesnifft werden, wo ist der Vorteil, wenn der Dienst einen benutzerspez. exotischen Port bekommt?

Man kann dann schonmal zumindest nimmer anhand des Ports auf die Anwendung dahinter schließen.

Der Server wurde Ende April installiert, da hat ich die aktuelle genommen.

Capi ist ja eh klar, dann noch den Tapi von der Adresse die ich weiter oben schon gepostet hab.

Mit einem Scanner lässt sich erstmal feststellen, hinter welcher Adressse im Netz ein Host zu erreichen ist. Die meisten liefern auch gleich die offenen Ports dazu. Und die Standardports kennt derjenige dann auch. Evtl auch die Schwachstellen des Dienstes der dahinter läuft. Und je nach dem wieviel Zeit derjenige hat und wie komplex dein PW ist, lässt sich das dann auch knacken, falls er nicht durch eine andere Schwachstelle reinkommt.

Ich würd aber zuerst mal ausschließen, dass das nicht aus Versehen der User von der Kiste installiert hat, sprich mit dem mal ein paar Takte reden und kucken dass der nicht zu viel Rechte hat.

Bei einem Kunden von uns läuft auch David 8, auch hier ist die Tapi installiert.