Windows FW deaktivieren nicht möglich > durch GPO verwaltet

[andrew 15]

hello together

 

Frage:

Hat Jemand eine Idee, wie ich in meiner Testumgebung auf dem Hyper-V Host die zurzeit aktivierte Windows Firewall wieder deaktivieren kann?

 

Diese ist anscheinend noch GPO gesteuert und lässt sich darum manuell nicht abschalten, da bei gpupdate /force ausgeführt, Meldung erscheint, der Domänencontroller könne wegen fehlender Konnektivität nicht kontaktiert werden!

 

 

Wie kam es dazu?

Mein Ziel war ursprünglich, in meiner Testdomäne auf den

=> Windows 7/ Windows 8 Clients

=> und in einem weiteren Schritt, auf den Mitgliedservern

=> und ggf. auch noch auf dem DC

 

die Windows Firewall mit erweiterten Einstellungen zu aktivieren. Ziel dabei war, nicht nur die standardmässige Kommunikation eingehend per Default einfach mal zu sperren, nein, ich wollte noch einen Schritt weiter gehen und auch gleich per Default alles von innen gegen aussen sperren und nur explizit die Ports öffnen, welche auch wirklich nötig sind

 

Dabei habe ich interessante Kenntnisse gesammelt, habe aber zurzeit aus mangelnder Zeit (welche mir zurzeit in meiner Freizeit für solche Tests zur Verfügung steht) "nur" auf den Clients (Windows 7/ 8) sowohl eingehend wie auch ausgehend per Default die Kommunikation verboten und nur explizit die wirklich benötigten Ports geöffnet.

 

Nun, ich vermute, dass wohl auf den Mitgliedsservern immer noch GPOs greifen, zumindest auf dem Hyper-V Server (habe ich auch in die Domain integriert) und diese manuell nicht mit gpupdate /force deaktivieren kann, da ja die Meldung erscheint, er könne den Domänencontroller mangelnder Netzwerkkonnektivität nicht erreiche könne, ergo ist der Hyper-V Server auch nicht nicht in der Lage, das von mir soeben konfigurierte Gruppenrichtlinienobjekt (keine Firewall aktiv) zu lesen und anzuwenden

 

Frage: Es kann doch nicht sein, dass man beispielsweises durch eine "falsch konfigurierte Firewall via GPOs" sich dann wortwörtlich selber "aussperrt" ??

 

Zurzeit ist das Öffentliche Firewall Profil aktiv, warum ist mir aber ein Rätsel?! Sollte er doch merken, dass er in einer Domäne ist und darum auch, wenn schon, das Domänen Windows Firewall Profil anwenden, wenn schon?! ...

 

Auch nützte ein Server Neustart nichts, blöde Situation, was es nicht alles für Situationen geben kann oder man als Amdin so erlebt, Wahnsinn :-)

 

Aber spannend, bin nun sehr gespannt, was Ihr mir da für eine Notfalllösung hoffentlich anbieten, raten könnt

Kann nämlich aus diesem Grund vom Hyper-V Server aus auch keine Maschinen pingen, kann intern nichts pingen ,da die Meldung kommt, Fehler

 

nslookup löst den DC Hostnamen nicht mehr auf, kein Wunder, kann er Ihn ja nicht erreichen ..naja ...verflixte Situation

 

 

[tesso 360]

Stoppe doch einfach mal den Firewalldienst und versuche dann ein gpupdate.

[andrew 15]

hey, Du hast ja völlig recht. Warum komme ich nicht selber auf diese goldene Idee?

Habe wieder einmal viel zu weit gesucht, obwohl so naheliegend ..naja ...manchmal ..  

 

Super, das war natürlich die Lösung, danke für den Denkanstoss :-)

[tesso 360]

Als Aussenstehdener sieht man manchmal eher eine Lösüng.

Danke für die Rückmeldung.