hubivo

Und als Domänen-Admin solltest du auch lokal Kennwörter zurücksetzen können, außer du bist dort auf dem PC kein Admin. Hast du das geprüft (nachschauen in der loaklen Adminstratorengruppe, ob die Domänen-Admins da noch Mitglied sind).grizzly999

Das ist es. Der Domänen-Admin ist nicht in der lokalen Administratorengruppe.

Wie das mit dem Passwort für den lokalen Admin passiert ist, weiss ich allerdings nicht. Da ist eigentlich niemand, der das Passwort wissen könnte. Aber man weiss ja halt doch nie....

Vielen Dank !

Hat dieses Board eigentlich schonmal einen Preis bekommen ? Ich würd ihm einen verleihen :D : "Preis für Schnelligkeit und Kompetenz".

Grüsse

hubivo

Ich muss es leider nochmal hochschieben, da das Problem sehr beim arbeiten behindert.

Kurzzeitig funktioniert das browsen in der Netzwerkumgebung (Explorer -> Netwerkumgebung -> Gesamtes Netzwerk -> Microsoft Windows-Netzwerk -> ....), und dann wieder lange Zeit nicht.

Manchmal geht es kurz wieder, wenn ich die LAN-Verbindung deaktiviere und wieder aktiviere. Nach einem kompletten Neustart des PC`s ging`s auch mal wieder für eine Zeit.

Da wir mit Dameware arbeiten und dieses Tool ebenso wie der "Netzwerk-Browser" auf die Netzwerkumgebung zugreift, ist das wahnsinnig behindernd.

W2K3-Domäne im Ethernet, mit TCP-IP, DNS, DHCP, AD...

Danke im Voraus

hubivo

Werden die Dokumente auf einem Netzlaufwerk gespeichert, dass vll. aus irgendwelchen Gründen gerade nicht zur Verfügung steht ?

Nur eine Idee.

Grüsse

hubivo

Das Passwort ist dokumentiert und richtig eingegeben (Gross/Kleinschreibung, Einstellungen Tastatur -NumLock usw.). Die Anmeldung hatte damals auch funktioniert.

Ich kann mich über Remote oder direkt am PC mit dem Domainadmin anmelden, er hat aber kein Recht, das Passwort des lokalen Administrators zu ändern .

Grüsse

hubivo

Schönen guten Morgen,

wir haben vor ca. einem halben Jahr in einem Teil der Firma ein paar neue PC`s aufgestellt. Alle haben den gleichen lokalen Benutzer als Administratorenkonto und auch das gleiche Passwort.

Seit dem wurden keine lokalen Anmeldungen mehr vorgenommen. Jetzt sollen ein paar lokale Einstellungen verändert werden, aber dummerweise funktioniert das vergebene Admin-Passwort auf einigen der PC`s nicht mehr. Kann den Windows Passwörter "vergessen" ? Hat das wer auch schon erlebt ?

Und das nächste: Wenn ich mich mit einem Domain-Administrator an den Kisten anmelde, sollte ich doch eigentlich das Passwort des lokalen Admins ändern können -> geht aber nicht "Zugriff verweigert". Ist das so richtig, oder hat ein Domain-Admin von Haus aus keine Rechte dafür ?

thx in advance

hubivo

Ihr arbeitet doch sicher mit Rechtevergaben in den einzelnen Netzlaufwerken ? Sprich, Ordner sind nur für bestimmte User für Lesen oder Lesen/Schreiben freigeschalten...

Schreibe doch eine *.bat, in der alle vorhandenen Laufwerke verbunden werden. Zugriff hat der User dann doch eh nur auf die für ihn berechtigten Ordner. Und diese Batch-Datei ist dann für alle User gültig.

regards

hubivo

Hier ist auch noch eine Seite, bei der das beschrieben wird: Gruppenrichtlinien.de

best regards

hubivo

Manchmal kann der Computer die NIC`s auch nach einer bestimmten Zeit, wenn die Verbindungen nicht genutzt werden, in einen Energiesparmodus fahren.

Kann man einstellen bei Eigenschaften der LAN-Verbindung -> oben bei der Netzwerkkarte -> Konfigurieren -> Energieverwaltung -> Häkchen raus bei "Computer kann Gerät ausschalten, um Energie zu sparen".

Auch als Idee...

regards

hubivo

Ich denke, es ist PPPoE gemeint.

Schau doch mal hier: Parents Friend

Da kann man Zeitkonten einstellen. Setzt ein Arbeitskollegin erfolgreich ein und kostet nix.

regards

hubivo

Dann hält sie etwa einen Tag und ist dann wieder weg.

Macht der ISP eine Zwangstrennung nach 24 h ?

Ich habe einen Router mit integriertem DSL-Modem, da kann ich für diesen Fall einstellen, dass die Verbindung immer aktiv sein soll. Heisst, wenn die Verbindung getrennt wird, wählt das Modem gleich wieder an.

regards

hubivo

Hallo Leute,

seit ein paar Tagen habe ich Probleme über die Netzwerkumgebung zu browsen. Es werden nur abundzu alle Rechner im Netz gezeigt, war bis vor kurzem jederzeit ohne Probleme möglich und alle Rechner des Netzes waren vorhanden. Da wir die meisten administrativen Sachen an den Clients über Dameware machen, ist das natürlich schlecht, wenn das nicht geht.

Mögliche Ursache:

Ich habe in den letzten Tagen auf dem DC (der auch Masterbrowser ist) den RAS-Dienst installiert, um Einwahlen über VPN zu ermöglichen ---> hätt ich mir da lieber einen anderen Server nehmen sollen ? Kann das überhaupt etwas damit zu tun haben ? Seit der Installation hat sich der Server auch ein dritte IP "genommen" (ist die erste IP, die ich im DHCP für die VPN-Clients reserviert habe und bei deren Einwahl per DHCP verpasse, ansonsten hat der DC selbst eine IP und ein darauf laufender Dominoserver hat auch noch eine extra IP).

Hier der Link auf den Thread hier im Forum über die Einrichtung des RAS -> klick mich

DNS läuft sauber.

Ich denke, ich hab hier wohl tief in das braune, riechende Zeugs gegriffen...

thx in advance

hubivo

Jawohl, die MTU war`s.

Ich habe mit Dr.TCP die MTU auf 1000 heruntergesetzt und seit dem läuft es ganz prima.

Sobald ich wieder etwas Zeit habe, versuche ich die Authentifikation mit EAP und Zertifikaten einzurichten. Hab schon zwei Versuche gemacht, funzte bis jetzt aber noch nicht.

Ich meld mit Sicherheit wieder :D .

Vielen Dank an alle Unterstützenden nochmal !!!!

best regards

hubivo

So, hab das gestern mal über einen DSL-Router der NAT macht probiert (Draytek Vigor 2500WE).

Ich kann mich am RAS-Server anmelden, die Verbindung steht, das DNS funzt auch. Ich kann mir Laufwerke aus dem Firmennetz mappen. Aber ich kann bspw. nichts kopieren, der Vorgang bricht nach einigen Sekunden ab mit der Meldung, dass das Laufwerk nichtmehr erreichbar wäre (es ist aber noch da). Anfänglich lässt sich auch einwandfrei in dem gemappten Laufwerk browsen, was beim zweiten mal dann ewig dauert, bis etwas angezeigt wird.

VNC -> ich hab versucht per VNC auf meinen Arbeits-PC in der Firma zuzugreifen, er fragt das Passwort ab und verbindet, aber der Bildschirm bleibt schwarz ?! (die aktuellste Version von RealVNC 4.1.1).

Remote-Desktop -> Beim Verbindungsversuch über mstsc kommt erst garkeine Verbindung zustande, es bleibt einfach stehen, bis ich es dann abbreche.

Ich kann aber die ganze Zeit munter im Firmennetz umherpingen, sprich die Verbindung steht eigentlich.

Wo könnte ich etwas vergessen haben ?

Ich hoffe, ich nerv euch nicht mit dem ganzen gefrage....

Ja RealVNC wäre am einfachsten. Musst nur an den Routern, wenn die denn NAT machen und das tun wohl die meisten, den TCP-Port 5900 an die IP des PC`s, der dahinter hängt, weiterleiten.

Du muss allerdings die jeweils vom ISP vergebene IP wissen, die die Router bei der Einwahl in`s Internet bekommen, um dich auf diese verbinden zu können (Tip: dyndns.org, vereinfacht das sehr).

Grüsse

hubivo

Eigenschaften der VPN-Verbindung -> Netzwerk -> Internetprotokoll (TCP/IP) -> Eigenschaften -> Erweitert -> Allgemein -> hier das Häkchen bei "Standartgateway für das Remotenetzwerk verwenden" rausnehmen

Grüsse

hubivo

Ich muss es jetzt erstmal bei der aktuell funktionierenden Konfiguration mit L2TP, MSChap-V2 und einem Preshared Key für IPSec (alles komplett ohne Zertifikate) belassen. Hatte schon probiert, den Preshared Key wegzulassen, aber dann braucht er ein Zertifikat. Mir fehlt gerade die Zeit etwas...leider. Alles sehr interessant und herausfordernd.

Nur noch eine kurze Frage: Die externen VPN-Clients hängen meist hinter einem DSL-Router, der NAT macht. Müssen da auch noch die Ports UDP 500, 4500 und IP-Protokoll 50 an die Computer-IP`s weitergeleitet werden ? Hatte bisher nur über eine ISDN-Verbindung testen können.

Und nochmal ein DICKES Dankeschön für die bisherige Hilfe !

Im Moment funktioniert es mit L2TP, MSChap-V2 und einem Preshared Key für IPSec.

Jetzt möchte ich die Authentifizierung mit Zertifikaten machen. Ok Benutzer-Zertifikate, das ist bestimmt schon der Wink mit dem Zaunspfahl :) .

Ja mit MSChap-V2 und einem Preshared Key geht es ja schon :D .

Wenn ich am RAS-Server bei den RAS-Richtlinien die Authentifizierungsmethode auf EAP ändere und dann Smartcard oder anders Zertifikat auswähle, kommt die gleiche Fehlermeldung: "Es konnte kein Zertifikat gefunden werden, das mit dem Extensible Authentication-Protokoll verwendet werden kann."

Der Zertifikatsserver läuft auf dem selben Server. Wo bekomme ich ein EAP-fähiges Zertifikat nun her ?

Was hast Du jetzt noch alles verändern müssen ?

Es hatte noch die Weiterleitung auf die Server-IP von den Ports UDP 4500 und IP-Protokoll 50 gefehlt.

Also aktuell durchgeleitet an der Firewall ist für L2TP und IPsec jetzt:

UDP Port 500 für Internet Key Exchange (IKE)

UDP Port 4500 für IPsec NAT-T

IP-Protokoll 50 Encapsulating Security Payload (ESP)

Damit funktioniert der Verbindungsaufbau über L2TP.

*g* Allerdings häng ich schonwieder.... bei den Zertifikaten. Hab die Installation genauso durchgeführt, wie auf grizzly999`s Webpage beschrieben. Dennoch bringt er mir jetzt die Fehlermeldung: "Fehler 798: Es konnte kein Zertifikat gefunden werden, das mit dem Extensible Authentication-Protokoll verwendet werden kann."

Das Stammzertifikat liegt unter Zertifikate (Lokaler Computer) -> Vertrauenswürdige Stammzertifizierungsstellen und unter Eigene Zertifikate (auch lokaler Computer) liegt auch das von der Stammzertifizierungsstelle ausgestellte Eigene Zertifikat. Aber scheinbar will er`s nicht ?!

[:edit:]

Ich sehe gerade, dass wenn ich auf die Eigenen Zertifikate gehen und mir die Details des eigenen Zertifikates anschaue, dass da nicht steht: "IP-Sicherheits-IKE, dazwischenliegend" sondern "Microsoft Vertrauenslistensignatur... Verschlüsseltes Dateisystem... Sichere E-Mail und Clientauthentifizierung". Da hab ich irgendwas versaut, hab`s nur noch nicht gefunden.

[:edit2:]

Hab`s nochmal vom Zertifizierungsserver exportiert und neu eingebunden. Jetzt steht das mit dem "IP-Sicherheits-IKE, dazwischenliegend" drinn. Die Fehlermeldung 798 kommt aber immernoch, hmm.....

Da das Ganze von Extern über NAT geht, der Client ist entsprechend gepatcht? Für XPSP1 und 2000 einen extra Patch einspielen:

http://support.microsoft.com/kb/818043/en-us

Das war`s noch, hatte noch gefehlt. Jetzt geht`s.

Also erstmal: Ein ganz dickes Dankeschön an euch !!! Ich rammel da seit Tagen...... also an der Konfiguration herum *g*.

Desweiteren möchte ich die Authentifikation über Zertifikate machen und was sehe ich da bei grizzly auf der HP ??? Eine komplette Anleitung !! Warum hast du das nicht schon früher gepostet *lol*.

Also nochmal vielen Dank an Euch !

So, erstmal vielen Dank für die Hinweise.

Um zu testen, ob es mit nur einer Netzwerkkarte am Server geht und ich von aussen überhaupt an den Server komme, hab ich mal die PTPP-Ports freischalten lassen (TCP 1723 und Protokoll 47) und darüber einen Verbindungsaufbau probiert. Siehe da, es geht.

Aber das Ziel ist ja L2TP und IPsec. Da hatten die Weiterleitungen von Port UDP 4500 und IP-Protokoll 50 (ESP) gefehlt. Die sind jetzt auch auf die Server-IP weitergeleitet.

Leider kann ich aber immernoch keine von extern kommende L2TP-Verbindung aufbauen. Ich habe von intern aus dem Netzt eine Verbindung über L2TP auf den Server aufbauen können. Wenn ich das über extern versuche, kommt eine Fehlermeldung: "Fehler 791: Der L2TP-Verbindungsversuch ist fehlgeschlagen, da keine Sicherheitsrichtlinie für die Verbindung gefunden wurde." Für diese Fehler habe ich bis jetzt nichts aussagekräftiges im Netz finden können, vll. wisst ihr, was ich da noch vergessen habe. Höchstwahrscheinlich eine Lokale Sicherheitsrichtlinie an dem Computer, der die externe Verbindung aufbauen soll ??!

Hallo Leute,

ich möchte an unserem DC die VPN-Einwahl über L2TP und IPsec einrichten und probiere auch schon einige Zeit lang, allerdings ohne positives Ergebnis...bekomme einfach keine Verbindung zustande.

Ich habe mich bisher an die Anleitung von gruppenrichtlinien.de gehalten, komme aber nicht weiter.

Da es bei Gruppenrichtlinien so erklärt wird, dass man nur eine Netzwerkkarte benötigt, hab ich das auch so probiert.

Es handelt sich um einen Win 2k3-Server, der als DC und Notes-Server läuft. Er hat nur eine Netzwerkkarte und auf dieser laufen 2 IP`s, eine für den DC und eine extra für den Notes-Server.

Ich habe an der Firewall die Ports für L2TP (UDP 1701 und UDP 500) auf die interne IP des DC weiterleiten lassen (kann ich nicht selbst konfigurieren, gehört der Telekom).

Bei Microsoft steht allerdings hier , dass man 2 Netzwerkkarten braucht.

Jetzt grundsätzlich: Reicht die eine Netzwerkkarte aus, oder brauch ich definitiv eine zweite ?

Bin schon langsam am verzweifeln

Danke für eure Tipps, werde mit Sicherheit noch eine Menge Fragen haben

Na Holla die Waldfee :) Das sind ja schon ein paar Möglichkeiten. Vielen Dank an euch. Ich such mir etwas aus *g*.

Mfg

hubivo