Win XP Firewall per GPO abschalten?

[Markus Butz 10]

Hmmm... tut mir leid, dass ich mich so **** anstelle...

 

Kannst Du mir noch ein paar Tips geben, wie ich ein neues GPO anlege? Geht das mit MMC etc.? Und wie wird das dann verknüpft und wie rufe ich das dann auf? Auch noch mit gpedit?

 

Wenn ichs einmal verstanden habe... :-)

 

Danke!

Markus

[Christoph35 10]

Hallo, Markus

 

Schau mal hier rein:

 

http://www.microsoft.com/technet/prodtechnol/windows2000serv/maintain/operate/04w2kada.mspx

 

Da ist das grundlegende schon mal erklärt. Falls Du weiterführende Fragen hast, bitte hier wieder posten :)

 

Nach dem du dann das neue GPO angelegt hast, musst du die ADMs in dieses GPO importieren und kannst dann die Richtlinie konfigurieren und diese Settings auf die OU oder gar die Domäne anwenden.

 

Christoph

[Das Urmel 10]

Markus,

einmal mit ner administrativen Xp-Sp2 die GPO öffnen, dann sind die auf dem DC.

Allerdings wirst du dort dann bei dem DC "Strings to long" bekommen, den entsprechenden Patch drauf und gut ist.

[Markus Butz 10]

Hallo Urmel,

 

habe mir das heute noch nicht weiter angeschaut... was meinst Du mit ner administrativen XP SP2? Einen XP-Client mit Admin-Rechten?

Wenn ja, habe ich das gemacht, danach war aber nichts auf dem DC.

Und welchen Patch meinst Du?

 

Oder was verstehe ich da falsch?

 

Danke...

Gruß

Markus

[Markus Butz 10]

So, habe mir das jetzt mal angeschaut... denke, es hat geklappt. Da ich aber gerade keinen Zugriff auf die Clients zum Testen habe, lest mal bitte, ob das so korrekt war:

 

1) Patch KB842933 eingespielt, damit ich nicht den Fehler mit den zu langen Strings bekomme.

2) Unter AD Standorte und Dienste... Standardname... Eigenschaften... Gruppenrichtlinie... neues GPO erzeugt und in dieses die heruntergeladenen ADMs für XP2 importiert. Nach Patch ohne Fehlermeldung.

3) Mit Hinzufügen noch die Default Domain Policy in die Liste geholt, an oberer Stelle (sollte ja aber keine Rolle spielen).

4) Dann per Doppelklick die neue Richtlinie mit den XP SP2 Erweiterungen entsprechend konfiguriert und fertig.

 

Reicht das so aus und wendet er das so auch an oder muss ich das noch irgendwie anders verknüpfen, damit er das anwendet?

 

Und: per gpedit.msc wird immer NUR die Default Domain Policy editiert? Kann ich auch per Kürzel irgendwie auf die Liste, wo die ganzen Richtlinien aufgeführt sind?

 

Und: Es macht also Sinn, für solche Sachen jeweils ein eigenes GPO anzulegen, um den Überblick zu behalten, wobei es THEORETISCH also auch möglich wäre, das alles in die Default... reinzubekommen, ja?

 

Vielen Dank nochmal für eine kurze Antwort!

 

Markus

[Christoph35 10]

Hab ich das jetzt so richtig verstanden, dass du die Default-Domain Policy noch einmal an den Standort gebunden hast? :suspect:

 

Das war nicht notwendig und erzeugt evtl. unnötigen Netzverkehr, denn die Default-Domain-Policy ist ja schon an die Domäne gebunden.

 

Grundsätzlich würde ich möglichst wenig GPOs an einen Standort binden, weil das ggf. auch für anderen Domains im gleichen Forest gelten könnte, wo das dann aber vielleicht nicht gewünscht ist.

 

Du solltest das neue GPO vom Standort entfernen, dabei darauf achten, dass du nur den Link aber nicht das GPO selbst löschst, und dann an die Domain binden.

 

Die Default Domain Policy sollte man nur im Bereich der Kontenrichtlinien (Passwortrichtlinie, Kontosperrung u.ä.) bearbeiten und ansonsten am besten jeweils neue GPOs erstellen und diese dann hinterher bearbeiten.

 

 

Christoph

[Markus Butz 10]

Ja, das kann dann wohl sein mit der Standortbindung.

 

Wie ich diese Bindung (nur den Link) lösche ist mir allerdings klar.

 

Wobei ich die neue GPO ja da bei den Standorten erstellt habe... gibts denn da einen sinnvolleren Ort zum Erstellen oder muss man das da machen und dann den Link dazu löschen und anders binden?

 

Dann hatte ich das irgendwie falsch gelesen / verstanden.

Bleibt also nur noch die Frage, wo und wie ich die neue GPO an die Domäne und nicht an den Standort binde?

 

Gruß

Markus

[Christoph35 10]

Ok, wenn du nur den Link gelöscht hast und nicht die / das (?) ganze GPO, dann öffne in der AD Benutzer & Computer-Konsole die Eigenschaften der Domäne. Da ist der Reiter Gruppenrichtlinien zu sehen. Dann auf Hinzufügen klicken, danach solltest du das von dir erstellte GPO finden. ;)

 

Sinnvoll? Naja, kommt auf den Einsatzzweck des GPO an, und ob das alle oder nur bestimmte User bzw. Computer anwenden sollen. Wenn das für alle User und Computer in der Domain gelten soll, dann an die Domain binden. Ansonsten eine OU erstellen, die User resp. Computerkonten darein verschieben und ein GPO an die OU binden.

 

Ich habe dir ja 2 Links gegeben, da solltest Du vielleicht mal intensiver reinschauen :)

Das Thema Gruppenrichtlinien kann nämlich ziemlich komplex werden.

 

Christoph

 

Noch ein Tipp: Da du ja eine XP Workstation hast, solltest Du mal bei MS die GPMC (Group Policy Management Console) downloaden und auf deiner Workstation installieren. Mit der Konsole können Windows 2000 und 2003 Domain-Richtlinien sehr komfortabel verwaltet werden:

 

http://www.microsoft.com/downloads/details.aspx?FamilyID=0a6d4c24-8cbd-4b35-9272-dd3cbfc81887&DisplayLang=en

[Markus Butz 10]

Hi!

 

OK, also habe ich letztendlich das ganze nur an der falschen Stelle gemacht... sehe ich das richtig? Bisher war ich in den Standorten und Diensten, JETZT habe ich es bei den Benutzern und Computer gemacht und da bezieht sich das ganze dann auf die Domain, richtig?

Dort ist entsprechend auch die Default Domain Policy gebunden... bei den Standorten war sie das entsprechend nicht.

 

Richtig?

 

Ich habe jetzt also zwei Bindungen auf die Domain (1x Default, 1x neu...) und KEINE Bindung bei den Standorten... so wie es vorher war!

 

Bitte gib nochmal kurz Feedback, ob das so stimmt! Leuchtete mir zumindest ein.... :-)

 

Vielen Dank für die bisherige Hilfe!

 

Markus

[Christoph35 10]

Jo, so ist das ok!

 

Freut mich, dass ich helfen konnte :)

 

Christoph

[Markus Butz 10]

Fein... freut mich auch, dass Du helfen konntest!

 

:-)

 

Und danke auch an die anderen Helfer...

 

Bye

Markus