Operator

also fakt ist, dass es schwer wird den auslösenden rechner aufzuspüren.. da man ja nur die mac adresse hat.

Hi,

also an meinen Cisco Switchen (oder jedem anderen managebaren Switch) kann ich die ARP-Tabelle auslesen und genau sehen an welchem Port der entsprechende PC hängt.

Layer2 Switch: show mac-address-table

Layer3 Switch/Router: show arp

Gruß

Andre

Hi,

sehe ich auch so. Ist wahrscheinlich auch die günstigste Variante.

Ein VBScript ließe sich aber auch als Dienst einrichten, wenn man SRVANY von Microsoft benutzt

und das Script mit wscript.exe startet.

Wenn ich mal Zeit habe, könnte ich sowas mal in Angriff nehmen ;)

Jemand Interesse?

Gruß

Andre

Hi ITHome,

ich habe bei mir 2 Multihomed DC's, die auf der jeweils anderen Seite (virtuell) jeweils mit einer iSeries verbunden sind. Der Haken alleine hat bei mir nicht funktioniert. Nach jedem Neustart des Server bzw. nur des NETLOGON Dienstes waren nicht nur die SRV Records wieder da, sondern auch die A-Records. Das ganze ist noch 2000 SP4. Vielleicht ist das bei 2003 geändert worden.

Andre

Hi,

Wenn der Server ansonsten mit allen Clients zurechtkommt, muss es ja am Notebook liegen.

Im Remotedesktop Client gibt es unter "Lokale Ressourcen" einen Haken für "Drucker". Ist der gesetzt?

Wenn es sich am Notebook um einen anderen Drucker handelt: Sind entsprechende Treiber bereits auf dem Terminalserver installiert? Nicht-Administratoren dürfen nämlich keine Treiber einfach so auf den Server kopieren bzw. installieren. Wenn die aber vorhanden sind, dürfen sie auch benutzt werden.

Noch eine Sache: Beim nächsten Mal bitte ins richtige Forum ;) Hier geht's um MCSE Prüfungen.

Gruß

Andre

Auf der anderen Karte deaktivierst Du die dynamische DNS-Registrierung ....

Das funktioniert leider nicht so ganz auf einem DC. Der Anmeldedienst sorgt trotzdem für die Eintragung der IP's. Und die Clients versuchen trotzdem sporadisch eine Anmeldung auf der IP.

Meine Lösungsvorschläge für dieses Teilproblem:

Registrierung der Adressen abschalten

- NETLOGON beenden

- Zu HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Netlogon\Parameters navigieren und DnsUpdateOnAllAdapters auf 1 setzen

- Einträge zu IP Adressen im DNS löschen, die jetzt nicht benötigt werden

- NETLOGON starten

DC als Router konfigurieren und am allgemeinen Router im Netzwerk der Clients hinterlegen

- Damit wird erreicht, daß die Clients die zweite Karte ebenfalls erreichen können. Ob das jetzt gewünscht ist (wegen des zweiten Servers am Crossoverkabel) ist dann noch die Frage.

Gruß

Andre

Hi,

wenn das alles Eure Standorte sind würde ich mir mal Gedanken machen zu einer DHCP Implementierung. Dann sparst Du Dir Tools und damit verbundene Frickeleien.

Und auch wenn Du die Sache nur für die Notebooks anlegst... ein Gewinn ist es allemal.

Kannst Du vor Ort keinen DHCP Server bereitstellen (lassen) bleibt Dir noch die Lösung von phoenixcp.

Gruß

Andre

klicken am Server auf irgendwas - um die Terminaldienste zu starten. Ich kann dann meine Fernwartung machen und stoppe diese hinterher wieder.

Hi,

na das klingt auch nicht gerade sicher, wenn User Dienste starten und beenden dürfen. Da kannst Du den Dienst besser gestartet lassen und deinen Usern die entsprechenden Rechte gar nicht erst geben. Das ist allemal sicherer.

Sollen die User denn für Server gezielt Support bekommen? Oder für deren Workstations? Bei letzteren kann eh nur ein Benutzer angemeldet sein (und auch nur ein Benutzer sieht das aktuelle Bild), so daß Fernwartung zwar möglich ist, Support aber nicht praktikabel geleistet werden kann.

Wie greifst Du denn auf die Server zu? Ich vermute mal, daß die in verschiedenen Standorten stehen?

Ich hoffe doch mal, daß die Verbindungen via VPN realisiert sind und von Haus aus schon etwas sicherer sind. (Es gibt ja immer noch Leute, die in Firmen den Port 3389 nach Außen freigeben und dann DynDNS bemühen).

Mein Vorschlag wäre den Zugriff auf die Terminaldienste nur von bestimmten IP-Adressen zuzulassen.

Das lässt sich entweder über IP-Filter auf Port 3389 realisieren (am Server oder davorgeschalteter Firewall) oder alternativ (und vielleicht auch transparenter zu konfigurieren) über Zusatztools wie SecureRDP http://www.2x.com/securerdp/

das ich noch nicht getestet habe, aber sehr vielversprechend aussieht.

Zumal es free-to-have ist.

Gruß

Andre

Also wenn ich deinen Befehl bei mir ausführe (XP Pro SP2) klappt der Aufruf einwandfrei.

C:\>schtasks /create /tn "copyi" /tr D:\programm\copyi.cmd /sc täglich /st 5:00:00 /ru Benutzer /rp Passwort

ERFOLGREICH: Der geplante Task "copyi" wurde erfolgreich erstellt.

Schau Dir vielleicht noch mal schtasks /create /? genauer an. Irgendwas an den Optionen muss ja ungültig sind.

Gruß

Andre

Hi,

wie siehts denn mit AVM aus? Vielleicht gab es bei Produktrelease das SP2 noch nicht und die Installation kann mit der Versionsnummer nichts anfangen?! Denkbar wäre, daß AVM eine Liste prüft auf welchen System es installiert werden darf.

Frag mal den Support bzw. prüfe ob's Updates gibt.

Gruß

Andre

Hi :)

Versuchs mal damit. Hatte damals keine Probleme.

http://support.microsoft.com/?kbid=328874

Gruß

Andre

Hi,

sehe ich auch so.

Treiber müssen irgendwo vorhanden sein und der rest geht automagisch.

Ich verbinde die Drucker dazu immer (weil ich sowieso nen Druckserver habe, der alle Treiber bereitstellen kann) und bei 70 Druckern ist das die einfachste Lösung. Kurz verbinden und wieder löschen. Die Treiber bleiben dabei im System.

Du mutest Windows nicht zuviel zu. Es kann von sich aus den Treiber vom Client nehmen und installieren. Nur bedarf es dazu Administratorrechte, die die User normalerweise nicht haben und ehrlich gesagt willst Du das auch nicht. Viele Treiber sind eben nicht terminalservertauglich und vor allem mit alten Treibern kann es dann schon mal zu Bluescreens STOP 0x50, 0x1E kommen.

Das ist dann immer sehr lästig für Benutzer und natürlich auch für den Admin (Wie kann denn sowas passieren????).

Gruß Andre

Hi,

ist ja schön, daß auch User auf administrator.de auf meine Lösungsvorschläge verlinken ;)

Die beiden fettgedruckten stellen wahrscheinlich die USB Host Adapter dar, was erklären würde, warum deine USB Ports mit weg wahren.

Vendor (VEN) 8086 ist zumindest INTEL, aber das ist bei IBM Notebooks nichts ungewöhnliches.

Die alte 802.11b WLAN Karte (PRO/Wireless 2011B 802.11b Adapter) hat als DEV die Nr. 1111.

Ansonsten gehen mir spontan aber auch die Ideen aus.

Andre

Hi,

ich behandele jeden neuen Server erst mal individuell und erstelle dafür keine Checklisten. Dafür muss meine Erfahrung ausreichen. Nur bei Servern, die wir häufiger mal konfigurieren (z.b. Terminalserver einer Citrix Farm), schreibe ich mir alle Sachen stichpunktartig auf, so daß ich weiß, was ich tun muss und nichts vergesse. Aber all das basiert auf Erfahrungen und "vergessenen" Einstellungen.

Bei neuen Servern dokumentiere ich nur kurz und knapp die wesentlichen Einstellungen und Besonderheiten.

Wenn ich eine neue Checkliste anlegen würde, würde ich das Layout der alten übernehmen ;)

Der Rest lohnt meist nicht die Bohne bei einem neuen Server.

Wie ich nen Server in die Domäne einfüge oder via RIS installiere, wie ich einen DNS Server aufsetze oder einen DC setze ich dabei immer als gegeben voraus. Ich will ja kein Handbuch für Neulinge schreiben, sondern nur meine Arbeit mit Qualität erledigen.

Hoffe das hilft Dir :)

Andre

Enthält das (servergespeicherte-) Profil der User denn den "Desktop" Ordner?

Wenn das ein Profil ist, daß alle Benutzer laden (Mandatory Profile, Flex Profile etc.), dann leg den Ordner im Profil an und der Zauber sollte vorbei sein.

Wenn in der Richtung nichts gemacht wurde und die User das Standardprofil des Terminalservers laden, dann müsste es unter c:\dokumente und einstellungen\default user einen desktop ordner geben. Das Standardprofil ist standardmäßig im Explorer versteckt, falls Du's nicht findest.

Gruß

Andre

Das Windows-eigene Quota zeigt meiner Meinung nach den für den User verbleibenden Speicher an.

Allerdings ist das ausgehebelt, wenn ein Benutzer Administrator auf dem entsprechenden Server ist.

Vielleicht klappt es deshalb bei Dir nicht??

Gruß

Andre

Ich bin bezüglich deiner Wortwahl ein wenig irritiert.

Der Ort eines Benutzers im AD (also die zugehörige OU) hat normalerweise nichts zu tun mit effektiven NTFS Berechtigungen auf einem Fileserver. Dazu gibts es Sicherheitsgruppen. Höchstwahrscheinlich hast Du die Gruppierung der Benutzer in OU's und Sicherheitsgruppen gleichlautend erledigt.

Hast Du Deinen Usern Ordnern auf einem Fileserver Vollzugriff gewährt oder Vollzugriff auf OU's deines AD?

Am Fileserver reicht die Berechtigung Ändern statt Vollzugriff.

Ändern impliziert: Lesen, Schreiben, Dateien ändern, Neue Dateien erstellen, Dateien löschen

Also eigentlich alles, was ein Benutzer braucht, um seine tägliche Arbeit zu verrichten.

Im AD haben Benutzer generell nichts verloren (außer lesend).

Gruß

Andre

Hi,

Das hört sich nach einer selbsterstellten Konsole an. Ich kenn mich mit dem SBS aber auch nicht so gut aus (hab nur Standard im Einsatz).

Ist die Verknüpfung zur MSC Datei vielleicht gepflastert mit Pfaden, die Leerzeichen enthalten und der Pfad ist nicht in Anführungszeichen gesetzt?

Beispiel: "C:\Programme\SBS Konsole\itprosbsconsole.msc"

Ansonsten bastel Dir einfach eine neue Konsole.

- Start / Ausführen / mmc.exe

- Datei / Snap-in hinzufügen

Und dann die einzelnen Punkte (AD Verwaltung, Computerverwaltung, DHCP, DNS) hinzufügen

Oder kann es vielleicht sein, daß die Konsole Snap-Ins enthält, die auf dem PC noch gar nicht installiert sind? Installier mal auf Verdacht das Adminpak des Servers. Normalerweise auf dem Server zu finden unter c:\windows\adminpak.msi oder c:\windows\system32\adminpak.msi.

Den genauen Pfad hab ich jetzt auch nicht auswendig parat.

Gruß

Andre

Hi,

das lässt sich leider nicht pauschalisieren... sonst hätten viele hier wohl nicht ihren Job.

Wozu Du den Server letztendlich einsetzt, ob noch was zu testen ist (weil z.B. nicht MS zertifizierte Treiber / Anwendungen) genutzt werden muss jeder für sich entscheiden.

Ich bastel mir für einige Server eigene Checklisten, damit ich nichts vergesse. Aber auf keinen Fall kann man solche Sachen auf andere Server übertragen. Dazu ist die Sache einfach zu speziell.

Also: Wie Sachen wann und am Besten installiert werden hängt vom persönlichen Geschmack ab und natürlich auch von Erfahrung. Aber die muss jeder selbst machen. So leid es mir tut :)

Viel Erfolg!

Gruß

Andre

Hi,

Ein paar Ideen:

- Sollte der Benutzer, der sich am TS anmeldet, kein Administrator sein, darf dieser keine Druckertreiber installieren. Du müsstest also dafür sorgen, daß entsprechende Treiber bereits auf dem Server installiert sind (bspw. den Drucker einmal als Administrator im Netzwerk verbinden).

- Sollte es daran nicht liegen schau doch bitte mal ins Ereignisprotokoll, ob Du dort Hinweise findest.

- Gibt es eine Richtlinie, die das Verbinden von Clientdruckern untersagt? Vielleicht mal mit rsop.msc prüfen.

- Und wenn das nicht hilft protokollier die Anmeldung mal genauer mit.

Suche dazu im Board/Google mal nach UserEnvDebugLevel. Vielleicht ergibt sich dann dort ein Hinweis.

Gruß

Andre

Technisch fittere Leute hindert man damit aber auch nicht am Netzwerk teilzunehmen.

Wenn ich merke, daß ein Port nicht funktioniert sobald ich mein Notebook etc. einstöpsel, dann schau ich mir die MAC Adresse meines Rechners an und setze genau die auch auf dem Notebook.

Einen Großteil der Leute hält man damit vom Netzwerk fern, aber sicher ist es nicht. Nur damit Du informiert bist und Deinem Chef nicht was von Sicherheit erzählst, was vielleicht gar nicht so sicher ist.

Wie wärs denn noch mit passiven Monitoring Servern, die neue MAC Adressen bzw. wechselnde MAC Adressen melden?

Oder fest auf Netzwerkkarten gelötete Netzwerkanschlüsse ;-)

Und daß es keine 100%-ige Sicherheit gibt müssen wir ja sowieso nicht ausdiskutieren ;-)

Gruß

Andre

... je mehr Leute den Patch anfordern, desto mehr Gewichtung wird MS dem Problem auch zuwenden. Wovor hast Du also Angst?

In der Regel habe ich so einen Patch in ca. 30-60 Minuten. Also trau Dich :)

Andre

Wenn Du einen managebaren Switch hast schau doch mal, ob auf dem Port CRC Fehler generiert werden. Dann kannst Du davon ausgehen, daß die Netzwerkkarte ne Macke hat.

Vielleicht entdeckst Du auch (Late-) Collisions, dann solltest Du die Geschwindigkeit und Duplex auf Switch und PC mal fest auf 100-Full setzen, weil die sich gerade höchstwahrscheinlich unterscheiden (bzw. falsch autosensed wurden).

Gruß

Andre

Mach dich zusätzlich nochmal über 802.1x schlau.

Dabei schaltet der Switch erst nach Authentifizierung deinen kompletten Netzwerkverkehr frei (vorher nur zum Auth-Server, z.b. RADIUS mit AD-Domäne).

Nur jeden Port wirst Du damit auch nicht absichern können, da z.B. nicht alle Printserver (die in den Druckern, nicht der Windows Server) 802.1x sprechen und ein User immer noch so einen Port benutzen könnte.

Aber dabei könntest Du dann auf port security zurückgreifen.

Ich glaub sicherer gehts dann auch nicht.

Gruß

Andre

Enthält dein Icon vielleicht nur die große Ausführung des Symbols? War da nicht mal was mit 32x32, 16x16 ICO's?

Was passiert denn, wenn Du Dein ICO weglässt und das Original der exe nimmst? Spricht da was gegen?

Andre

Das ist ja das was ich meinte... Batch Dateien kannst Du ja via cmd.exe als Dienst registrieren.

Und das ist ja keine Batchdatei.

Gruß

Andre