sbs 2003 Absicherung durch w3ksrv Anleitung

[dippas 10]

Hi,

 

wollte das nur mal einwerfen, dass die Assistenten ihre Berechtigung haben und verwendet werden sollten:

 

hast ja nicht unrecht, aber nicht immer ist auf die Assistenten 100%-tig Verlass und manchmal muss man trotzdem nacharbeiten ;)

 

BTW: Hab gerade nen Failover-DC in ner VM Umgebung installiert... verlief problemlos komplett mit dem Assistenten ... ich hab Bilder des gesamten Installationsvorgangs gemacht... evtl. schreib ich noch ne Dokumentation...

 

LG Gadget

 

dürfen wir auf diese dann auch verweisen, wenn wir unseren Beitrag "in Form" gebracht haben?

 

grüße

 

dippas

[WarriorHell 10]

Hi H

Kohn,

 

problem bei mir war, dass es auf dem w3k mit dem Assistenten nicht ging, wollte den ber benutzen weil Bea das sagte, kam aber immer :

Smallbusiness netzwerkkonfigurations Assistent:Vergewissern sie sich das ein Netzwerkadapter aktiviert ist, der Adapter mit dem Small Business Server verbunden ist.

[Gadget 37]

@Dippas

 

Könnt ihr logisch... aber die empfohlene Vorgehensweise in ner SBS-Umgebung sind eben die Assistenten und die funktionieren nur nicht wenn von vornhinein was falsch konfiguriert wurde... und das werde ich immer dazuschreiben.

 

Außerdem kann es schonmal zu unvorhergesehenen Fehlern kommen wenn die Assitenten nicht verwendet werden:

 

http://msmvps.com/bradley/archive/2004/06/24/8898.aspx

 

SBS2k3 ist nicht gleich Windows Server 2003:

 

http://www.sbslinks.com/us_v_them.htm

 

LG Gadget

[Gadget 37]

Hi WarriorHell,

 

ist auf dem momentanen Memberserver bereits SP1 installiert?

 

LG Gadget

[dippas 10]

[quote name=GadgetSBS2k3 ist nicht gleich Windows Server 2003:

 

http://www.sbslinks.com/us_v_them.htm

 

na, das ist ja mal eine kurzweilige Zusammenfassung -> prima

 

so, muss mich jetzt mal ausklinken. morgen geht´s weiter ;)

[WarriorHell 10]

Hi WarriorHell,

 

ist auf dem momentanen Memberserver bereits SP1 installiert?

 

LG Gadget

ja kam so vorinstalliert von dell

[Gadget 37]

Ist die Firewall aktiviert?

 

LG Gadget

[WarriorHell 10]

nein auf beiden deaktiviert, hatte mich genau an Beas Anleitung gehalten

[WarriorHell 10]

Habe gerade folgendes event im Log gefunden: http://www.eventid.net/display.asp?eventid=53258&eventno=4493&source=MSDTC&phase=1

 

hier schreibt einer das er diesne durch einen Wins auf der 2. maschine wegbekommen hat.

 

http://mcseboard.de/newreply.php?do=newreply&p=377923

 

Ich befürchte schlimmes(weil wahrscheinlich schon tausendmal besprochen), aber spricht was für einen 2. wins?

[dippas 10]

Habe gerade folgendes event im Log gefunden: http://www.eventid.net/display.asp?eventid=53258&eventno=4493&source=MSDTC&phase=1

 

hier schreibt einer das er diesne durch einen Wins auf der 2. maschine wegbekommen hat.

 

http://mcseboard.de/newreply.php?do=newreply&p=377923

 

Ich befürchte schlimmes(weil wahrscheinlich schon tausendmal besprochen), aber spricht was für einen 2. wins?

 

Redundanz.

 

Guten Morgen erstmal an dieser Stelle.

 

Wie bereits im Vorfeld gepostet, kann man den WINS auch redundant ausführen. Sinnvollerweise gibt man dann aber jedem WINS-Server den jeweils anderen als Replikationspartner an.

 

Eigentlich wollte M$ ja den WINS mit W2k "abschaffen", aber die Erfahrung zeigt, dass man doch an manchen Stellen darauf angewiesen ist.

 

Die WINS-Einstellungen werden dann via DHCP weitergereicht und dann mit folgenden Einstellungen (sbs-server ist der produktive DHCP-Server und WINS-Server)

 

Bereichsoptionen im DHCP:

Option Nr. 044 WINS/NBNS-Server = 192.168.123.1 (für den sbs-server) und 192.168.123.2 (für den w2k3-server)

Option Nr. 046 WINS/NBT-Knotentyp = 0x8 H-Knoten (Hybridknoten)

 

Q: Warum Hybridknoten?

A: Mit dieser Angabe wird der Client angewiesen erst beim WINS-Server die Namensauflösung zu versuchen und dann einen Broadcast zu machen.

 

grüße

 

dippas

[domi974 10]

hallo @all,

 

ich habe mit grossem interesse den thread hier gelesen, weil ich genau die gleiche konstellation hier habe und noch am aufbau der sbs-domäne bin.

 

ich habe 2 fragen:

 

1. homeverzeichnisse

habe ich die möglichkeit die homeverzeichnisse auf einen anderen pfad zu biegen? wenn ich den benutzer-assistenten ausführe, erstellt er automatisch ein verzeichnis unter laufwerk:\users\%username%. ich möchte aber das verzeichnis laufwerk:\home\%username%$ benutzen, weil 1. meine scripte für meine anderen domänen bereits so ausgerichtet sind und 2. (was wichtiger ist) ich nicht will, das die user das verzeichnis \\sbs\users sehen. das h:\ laufwerk soll direkt auf \\sbs\%username%$ verweisen. gibt es eine möglichkeit das homeverzeichnis vielleicht komplett auf den w2k3 server zu legen? das wollte ich anfangs machen.

 

2. automatische clientinstallation

ich habe nirgends eine art anleitung gefunden, wie die clients automatisch installiert und in die sbs domäne eingebunden werden können. auch hier habe ich für meine anderen domänen ein konzept erstellt, das folgendermaßen aussieht:

 

client wird per ris neu aufgesetzt (kein riprep! <-- "frische installation"). danach logt sich automatisch ein lokaler admin (scriptgesteuert) ein und installiert bzw. konfiguriert verschiedene dinge, wie z.b. das startmenü, software die nicht per msi (stichwort softwareverteilung gpo) installiert werden, etc. zum schluss wird der rechner in eine andere ou verschoben (vbs-script) und wird durchgebootet. nach dem durchbooten wird die restlichen software über gpo installiert und der rechner ist komplett fertig. das ganze dauert ca. 40 minuten und der admin hat keinen finger gerührt ;)

 

nun habe ich im sbs die clientanwendungen, die von meinen usern auch nicht ausgeführt werden können, weil ihnen admin-rechte fehlen (was ich auch nicht vorhabe zu ändern). was soll man nehmen? die clientanwendungen kann ich nicht automatisieren, oder doch? werden software gpos in einer sbs umgebung überhaupt eingesetzt?

wie kann ich in einer sbs domäne mit boardmitteln / asisstenten die clients automatisch installieren? ist das überhaupt möglich?

 

könnte man ja vielleicht auch noch hier reinpacken :)

[dippas 10]

Hallo Domi,

 

die Userverzeichnisse umzubiegen ... Sehr guter Hinweis.

 

Werd ich mich morgen mal zu äußern ;) Bin gerade erst reingekommen und es ist schon etwas zu spät um konzentriert nachzudenken und zu schreiben (jedenfalls nach meinem Tag ;) )

 

Aber was ich auch sehr interessant fände ist, wenn es Dir möglich ist, die von Dir erwähnten Scripte mal zu sehen. Diese können wirklich ein sehr wertfoller Beitrag sein, denn wenn wir den SBS unter der Anforderung "Einfachheit" betrachten, dann ist soetwas eine wirklich hilfreiche Sache :D

 

bis morgen.

 

grüße

 

dippas

[BoardNeuling 10]

wenn ich auch was beisteuern darf - zu Userverzeichnissen:

 

Userverzeichnisse direkt auf den w2k3 zu legen wäre eine Abkehr von der "Redundanz", außer wir kopieren sie dann zurück auf den w2k3sbs, aber warum überhaupt?

 

Egal wie, man kann die Userverzeichnisse folgendermaßen auf direkte Freigaben umbiegen (kann aber sein, dass es auch einfacher geht :-) ):

z.B. AD Benutzer+Computer/Alle User auswählen/Eigenschaften/Profil/Basisordner, dann den Server angeben (Freigabe "home" muss bereits existieren): \\server\home\%username%.

Jetzt sind die Verzeichnisse erstellt incl. den Berechtigungen.

Jetzt gibt man (per Hand) jedes Userverzeichnis frei + hebt die Freigabe "home" wieder auf.

 

Zurück in AD B+C nun nur noch alle User auswählen und den Pfad zum Homelaufwerk ändern in \\server\%username%.

 

Im Falle eines Ausfalls z.B. des SBS, muß man diesen Eintrag nur noch ändern in \\server2\%username%, wenn man die Ordner dort rübergesichert hat.

 

haut mich nicht gleich, wenn das jetzt zu umständlich war :)

 

viele Grüße vom Neuling.

[domi974 10]

moin, moin :)

 

@dippas:

die scripte kann ich gerne zur verfügung stellen, mach ich allerdings erst nach meinem urlaub der morgen ab ca. 14:00 uhr beginnt und am 4. september endet :D werd mich dann in ruhe hinsetzen und das ganze konzept mal aufschreiben :)

 

@boardneuling:

Jetzt sind die Verzeichnisse erstellt incl. den Berechtigungen.

bist du sicher, dass die verzeichnisse erstellt werden? das hat bei mir noch nie funktioniert

 

ich mach das immer folgendermaßen:

ich erstelle einen user und geb ihm das homeverzeichnis gleich mit \\server\%username%$. daraufhin erhalte ich (logischerweise) eine fehlermeldung, dass das verzeichnis noch nicht existiert. dann führe ich ein script das unter \\server\home liegt aus, welches mir das userverzeichnis inkl. freigabe, berechtigungen und unterordnern vergibt bzw. erstellt.

hm... vielleicht könnte man ein weiteres script schreiben, was ERST die userverzeichnisse erstellt, dann per hand den user anlegen und als letztes ein 2. script ausführen, was alle o.g. arbeiten erledigt, ausser das userverzeichnis zu erstellen.... *grübel müsste doch so auch funktionieren? gut das wir drüber gesprochen haben, hast mich da auf eine idee gebracht :)

 

die ganze vorgehensweise ändert aber nix an der tatsache, das beim anlegen eines benutzers über den assistenten, ein userverzeichnis im vordefinierten pfad \\server\users\%username% erstellt wird. soll man dann einfach dieses verzeichnis ignorieren, die freigabe entfernen, oder was damit anstellen?

 

gestern sind mir noch ein paar weitere sachen eingefallen, die man hier mit reinbringen könnte, hab ich aber jetzt vergessen... na mal sehen, vielleicht fällts mir wieder ein :)

[alexganser 10]

andere möglichkeit für die userverzeichnisse.

 

auf jeweiligen server eine Verzeichnis für die Homeverzeichnisse anlegen und freigeben

Bsp: d:\home \\server\home$

 

NTFS fürs Homeverzeichnis:

- Vererbung aus

- Gruppe Administratoren VOLLZUGRIFF

 

Freigabeberechitigungen:

- Gruppe Jeder VOLLZUGRIFF

 

Nun im AD Users auf jeweiligen/jeweilige User:

- Basisordner U: \\server\home$\%username%

 

Vorteile:

Der User bekommt beim Versuch \\server\home$ zu öffnen eine Fehlermeldung.

Er kann die Ordner der anderen Benutzer nicht sehen.

Man benötigt keine weiteren Einstellungen an Verzeichnissen bzw. muss keine Freigaben mehr anlegen.

 

Gruß

Alex