Group Policies [Update - Nun Windows Update Problem]

[buegi 10]

Hallo!

Stehe hier vor einem echt miesen Problem. Einer meiner Kollegen hat auf einem Domain Controller im Ordner SYSVOL\DOMAIN\ den Policies Ordner übers Netzwerk gelöscht. Eigentlich wollte er den scripts Ordner löschen und dann einen neuen drauf spielen, so sah der Plan aus, da wir sämtliche Logon Scripts austauschen wollten/mussten. Nachdem ich diese vorbereitet hatte, sagte ich ihm er soll die mal schnell raufspielen und dabei isses dann passiert.

Dummerweise hab ich nun keine Sicherung dieses Ordners. Wäre alles in allem nicht so schlimm, wenn die Policies weg sind, könnte die ja recht schnell wieder erstellen, das Problem is aber, dass die Standard Policies nun auch fehlen, was mich ja auch am erstellen hindert.

Leider ist nun dieser Server auch der einzige Domain Controller in der Domäne, da das nur ein kleinerer Bereich unserer Firma ist (für eine Abteilung die mehr Rechte braucht und sich ständig alles kaputt machen ;-)), also kann ich den Ordner auch nicht einfach von einem anderen Domain Controller kopieren. Unerase Programme habe ich schon diverse probiert, leider ohne Erfolg.

Kann ich einfach von einem anderen Domain Controller (nicht aus dieser Domain, ist wie gesagt nur einer in dieser Domain) die Default Policies kopieren und den Ordner der Policy umbennen (siehe EventLog)? Wird wohl wahrscheinlich nicht funktionieren. Gibts sonst eine möglichkeit die beiden Policies wiederherzustellen (Default Domain Controller Policy und Default Domain Policy)?

Die anderen kann ich wie gesagt mit etwas arbeitsaufwand wiederherstellen, nur dazu brauch ich erst mal die Standards.

Danke für Hilfe, bin grad am verzweifeln....

 

Achja, es handelt sich um Windows Server 2003 Standard

[grizzly999 11]

Das Tool dcgpofix sollte helfen ;)

 

 

grizzly999

[buegi 10]

Das Tool dcgpofix sollte helfen ;)

 

 

grizzly999

Hört sich gut an und anscheinend isses gar ned so schwer, wie ich dachte.

Verbindlichsten Dank!Wußte gar ned, dass es das gibt und das is sogar bei der Installation dabei *schäm*

Naja, wenigstens habs ich nicht gelöscht *gg*

[lefg 276]

Hallo,

 

wie ist es mit dem Übertagen des Ordners aus der Datensicherung?

 

Gruß

 

Edgar

[grizzly999 11]

Zitat buegi:

Dummerweise hab ich nun keine Sicherung dieses Ordners

;)

 

 

grizzly999

[buegi 10]

So, hat toll geklappt, danke nochmal für die Hilfe, keine Fehlermeldungen mehr im Event Log.

Soweit so gut, ABER

ich kann die Windows Update Seite nicht mehr öffnen. Dachte zuerst, dass vielleicht irgendeine Firewall aufm Router oder sonst was blockiert ,aber das ist es definitiv nicht. Am Laptop funktionierts nämlich einwandfrei. Muss definitiv mit den GPOs zusammenhängen, da es auf allen Rechnern in dieser Domäne nun das Problem gibt. Ich bekomme immer angezeigt "Die Seite kann nicht angezeigt werden", wenn ich versuche die Windows Update Seite zu öffnen.

Irgendwas steht da in den Policies drin, was nicht drin stehen soll.

Kann mir vielleicht nochmal jemand weiter helfen? Mir wär auf den ersten Blick nichts Ungewöhnliches aufgefallen, kann auch sein, dass er die Policies auf die falschen Objekte anwendet...aber frag mich nicht, wo da das Problem liegt.

Danke gleich wieder mal im Voraus, bin überzeugt hier weiß jemand weiter!

:edit: hab grade festgestellt, dass auch http://www.microsoft.com nicht funktioniert. D.h. ich kann keine Seite von Microsoft öffnen, weder Windows Update, noch irgendeine andere.

Komisch, ist aber genau seit dem Zeitpunkt der Fall, als ich die GPOs wiederhergestellt habe.

[grizzly999 11]

Sieht zunächst eher nach einem DNS-Problem aus.

Kannst du andere Seiten im Internet erreichen?

Steht was in der Ereignsianzeige (mach' eine Wette :wink2: )?

Geht der ping auf http://www.microsoft.com bzw. wird wenigstens der Name aufgelöst?

 

 

grizzly999

[buegi 10]

Sieht zunächst eher nach einem DNS-Problem aus.

Kannst du andere Seiten im Internet erreichen?

Steht was in der Ereignsianzeige (mach' eine Wette :wink2: )?

Geht der ping auf http://www.microsoft.com'>http://www.microsoft.com'>http://www.microsoft.com bzw. wird wenigstens der Name aufgelöst?

 

 

grizzly999

DNS Problem, das wär aber dann auf die Microsoft Seiten beschränkt. Hab grad getestet. http://www.microsoft.com und update.microsoft.com werden (nslookup) vom DNS aufgelöst, wobei dieser Server sein eigener DNS ist und keinen anderen zur Verfügung hat, bzw. es ist keiner eingetragen.

Ping auf http://www.microsoft.com funktioniert aber nicht, genausowenig wie auf update.microsoft.com. Diese beiden Seiten werden auch nicht geöffnet. Im IE wären sie aber sogar unter den vertrauenswürdigen Sites.

Alle anderen getesteten Seiten lassen sich aber absolut ohne Probleme öffnen (http://www.google.com, http://www.heise.de, http://www.mcseboard.de,...)

 

[edit] Hab mal auf einem der Clients noch 2 andere DNS Adressen eingetragen um zu sehen, obs was bringt. Keine änderung, sämtliche microsoft Seiten lassen sich nicht öffnen, alles andere funktioniert toll. Dachte vorher mal an einen Virus (solls ja geben, dass die Windows Update und Seiten von AV-Software herstellern sperren), ist aber auch auszuschließen, weil die aktuelle Pattern (Trend Micro) drauf ist, wird jede Std. aktualisiert, und ich habe durchgescannt, war aber nichts zu finden. Außerdem funktionieren auch Seiten wie http://www.trendmicro.com, http://www.norton.com,...

[grizzly999 11]

Das liegt aber nicht an den Default-GPOs, sogar ohne kommt man auf die Seiten, und mit Standard GPOs auch. Habe ich übrigens in der Testumgebeung geprüft (Löschen und Wiederherstellen mit GPOFix).

 

Wer kommt eigentlich nicht auf die Seiten, nur die Clients? Alle Clients? Der Server selber auch nicht?

Außerdem hat Microsoft den ping dicht gemacht, der kann nicht funktionieren

 

Microsoft hat natürlich mehrere IPs, aber versuche mal mit dem IE direkt auf die IPs zu gehen, die meine Namensauflösung ergeben hat:

 

http://www.microsoft.com -> 217.72.195.42

update.microsoft.com -> 64.4.23.221

 

Zur Not auch mal den DNS Cahce auf dem Server löschen mit dem Tool aus den Support-Tools, welche sich auf der Server-CD befinden:

dnscmd.exe /clearcache

 

Die Datei HOSTS im Ordner C:\windows\system32\drivers\etc kontrollieren, da sollte nur der localhostz mit 127.0.0.1 drinstehen. Es gibt allerdings auch Malware, die diese Datei nicht anfasst und dem Rechner eine andere Hosts über die registry unterjubelt, daher auch den/die Rechner mit Spybot S&D, und CWShredder untersuchen.

 

Dann auf dem Server und einem Client den DNS-Clientcache leeren mit:

ipconfig.exe /flushdns

 

Jetzt wieder versuchen.

 

Nochmal, das hat mit den Standard-GPOs nichts zu tun ....

 

grizzly999

[buegi 10]

Das liegt aber nicht an den Default-GPOs, sogar ohne kommt man auf die Seiten, und mit Standard GPOs auch. Habe ich übrigens in der Testumgebeung geprüft (Löschen und Wiederherstellen mit GPOFix).

 

Wer kommt eigentlich nicht auf die Seiten, nur die Clients? Alle Clients? Der Server selber auch nicht?

Außerdem hat Microsoft den ping dicht gemacht, der kann nicht funktionieren

 

Microsoft hat natürlich mehrere IPs, aber versuche mal mit dem IE direkt auf die IPs zu gehen, die meine Namensauflösung ergeben hat:

 

http://www.microsoft.com'>http://www.microsoft.com -> 217.72.195.42

update.microsoft.com -> 64.4.23.221

 

Zur Not auch mal den DNS Cahce auf dem Server löschen mit dem Tool aus den Support-Tools, welche sich auf der Server-CD befinden:

dnscmd.exe /clearcache

 

Die Datei HOSTS im Ordner C:\windows\system32\drivers\etc kontrollieren, da sollte nur der localhostz mit 127.0.0.1 drinstehen. Es gibt allerdings auch Malware, die diese Datei nicht anfasst und dem Rechner eine andere Hosts über die registry unterjubelt, daher auch den/die Rechner mit Spybot S&D, und CWShredder untersuchen.

 

Dann auf dem Server und einem Client den DNS-Clientcache leeren mit:

ipconfig.exe /flushdns

 

Jetzt wieder versuchen.

 

Nochmal, das hat mit den Standard-GPOs nichts zu tun ....

 

grizzly999

Hast wohl recht, nun hab ich schonmal eine interessante Entdeckung gemacht. Wenn ich http://www.microsoft.com eingebe, wird mir mitgeteilt, dass die Seite nicht angezeigt werden kann. Wenn ich deine IP Adresse eingebe, komme ich auf http://www.web.de

Am Laptop komm ich mit deiner IP aber auf die microsoft Seite. Hat sich wohl was anderes "eingenistet" Warum davon aber gleich alle Clients betroffen sind, ist mir ein Rätsel!

[buegi 10]

So, hab alles gemacht, was du gesagt hast, keine Chance, immer noch dasselbe Problem. Hosts Datei ist in Ordnung, Spybot meldet alles in Ordnung. Hätt mich ja auch gewundert.

Von dem Server wird ja weder gesurft, noch sonst was gemacht. Virendefinitionen von TrendMicro sind auch wie immer up-to-date. Is aber doch komisch, dass ich die GPOs auf Standard zurück gestellt habe und danch hats nicht mehr funktioniert.

Wenn nicht die Windows Updates von der Seite kommen würden, wär mir das echt egal, aber die muss ich ja wohl oder übel installieren und ich habs nunmal gern, wenn die bereits heruntergeladen wurden und ich nur auf "Jetzt installieren" gehn muss. Ich hab aber wirklich keine Idee mehr, woran das liegen könnte.

Achja und es kommen weder der Server noch die Clients auf Seiten von Microsoft.

Das alles seit der Geschichte mit den GPOs, was aber nicht zwangsweise damit zu tun haben muss.

[grizzly999 11]

Hmmmmm

Nochmal eins zum anderen:

 

Wenn alle Cachs gelöscht sind, auch die Temporären Dateien im IE, was passiert (Welche Fehlermedlung genau, oder Erfolg?) wenn man auf dem Server im IE:

- http://www.microsoft.com'>http://www.microsoft.com eingibt

- die IP 217.72.195.42 eingibt

 

Was exakt passiert auf dem Client, wenn alle Cachs gelöscht sind, wenn man

- http://www.microsoft.com eingibt

- die IP 217.72.195.42 eingibt

 

Wenn auf Server und Client alle Cachs gelöscht sind, welche IP-Adresse liefert ein ping auf http://www.microsoft.com?

 

Und dann hilft da zunächst nur der Netzwerkmonitor oder ein anderer Sniffer, um genau zu sehen, was da im Netzwerk geht.

 

 

grizzly999

[buegi 10]

Also...

 

Wenn alle Caches gelöscht sind (betrifft Server und alle Clients dieser Domäne) und ich gebe http://www.microsoft.com,'>http://www.microsoft.com, oder update.microsoft.com ein, dann meldet der Browser, "Die gewünschte Seite kann nicht angezeigt werden", normalerweise käme da ja die MSN Such-Seite, aber in diesem Fall nicht.

Wenn ich Deine IP Adresse eingebe, dann kommt die Seite http://www.web.de, am Server und auf den Clients dieser Domäne. nslookup löst aber http://www.microsoft.com und update.microsoft.com korrekt auf (Zumindest ist Deine IP Adresse dabei).

Wie gesagt und Spybot S&D hab ich auch drüberlaufen lassen, genauso wie Microsoft AntiSpy und CA PestPatrol. Alle Programme lieferten keine Probleme. Trend Micro is auch auf dem neusten Stand und mit dem hab ich auch durchgescannt, der erkennt ja normalerweise auch Spy- und Grayware.

Netzwerksniffermäßig hab ich noch nichts versucht. Hast du da irgendein besonderes Programm im Auge? Welches würdest empfehlen!

[buegi 10]

Werd dann bei Gelegenheit auch mal einen alternativ-browser testen, ob dieser die Seiten öffnet. Würd mich interessieren. Irgendwie muss das Problem vom Server auf die Clients übertragen worden sein, ich kann mir sonst nicht erklären, warum plötzlich alle Clients, wohl gemerkt nur die aus der einen Domain, davon betroffen sind. Alle Rechner, die aber physisch im gleichen Netz (gleicher IP Pool,...) hängen, aber einer anderen Domain angehören, sind davon nicht beroffen! Unter anderem ist mein Notebook auch nicht betroffen, mit dem ich aber ständig hier in der ganzen Firma rumwerkle.

[buegi 10]

So, hab das jetzt getestet. Browser sind alle davon betroffen, d.h. es muss eine globale Einstellung sein.

HiJackThis habe ich ausgeführt und poste hier gleich mal das Log:

 

Logfile of HijackThis v1.99.1

Scan saved at 18:41:26, on 28.11.2005

Platform: Windows 2003 SP1 (WinNT 5.02.3790)

MSIE: Internet Explorer v6.00 SP1 (6.00.3790.1830)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\VERITAS\Backup Exec\NT\beremote.exe

C:\WINDOWS\system32\certsrv.exe

C:\WINDOWS\system32\Dfssvc.exe

C:\WINDOWS\System32\dns.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\inetsrv\inetinfo.exe

C:\WINDOWS\System32\ismserv.exe

C:\Programme\Microsoft SQL Server\MSSQL$BKUPEXEC\Binn\sqlservr.exe

C:\WINDOWS\system32\ntfrs.exe

C:\Programme\Trend Micro\OfficeScan Client\ntrtscan.exe

C:\Programme\Trend Micro\OfficeScan Client\OfcPfwSvc.exe

C:\Programme\Trend Micro\OfficeScan\PCCSRV\web\service\ofcservice.exe

C:\WINDOWS\system32\r_server.exe

C:\WINDOWS\TEMP\SP53AB.EXE

C:\Programme\Trend Micro\OfficeScan\PCCSRV\Web\Service\DbServer.exe

C:\Programme\Trend Micro\OfficeScan Client\tmlisten.exe

C:\WINDOWS\system32\tcpsvcs.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\DaemonTools\daemon.exe

C:\Programme\Dimension4\D4.exe

C:\Programme\VERITAS\VxUpdate\VxTaskbarMgr.exe

C:\Programme\Trend Micro\OfficeScan Client\pccntmon.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe

C:\Programme\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe

C:\Programme\Spybot - Search & Destroy\TeaTimer.exe

c:\windows\system32\inetsrv\w3wp.exe

D:\Programme\HiJackThis 1.99\HijackThis.exe

 

[...]