2K3 TerminalServer Zugriff für externen Benutzer?

[thork 10]

Hallo,

 

 

ich bekomme die fehlermeldung: "sie müssen über die berechtigung "anmelden über terminaldienste zulassen" ...

 

ich habe mich hier schon umgeschaut. mehrere scheinen das problem zu haben, dass ein client benutzer nicht auf den terminal zugreifen kann.

 

die tipps das der benutzer remote-desktopbenutzer rechte braucht habe ich schon angewand. ich habe eine neue policy mit den rechten "am terminalserver anmelden" eingerichtet und den benutzer eingerichtet. der benutzer hat ein kennwort. der server ist ein dc.

 

aber wo stelle ich den ts server auf anwendungsserver?

 

der ts ist aktiviert, lizensiert und 5 cals sind installiert.

 

auf dem server soll ein office laufen, auf dem 5 user zugreifen dürfen. einige sollen von zu hause aus zugreifen dürfen. sind also nicht lokal an der domäne angeschlossen.

 

wäre für nen tipp dankbar

 

gruß thork

[IThome 10]

Die User müssen in die Gruppe Remote-Desktopbenutzer und zusätzlich musst Du das Benutzerrecht in einem GPO in der Domain Controllers OU gewähren . Um den Server in den Anwendungsmodus zu bringen, müssen die Terminaldienste installiert werden (über Windows-Komponenten hinzufügen). Ebenso ist ein Terminalserver-Lizenzserver nötig ...

[Gadget 37]

Mahlzeit Thork,

 

du willst mir nicht erzählen dass du die Terminaldienste im Anwendungsserver-Modus auf nem DC laufen lässt. :shock:

 

Absolut noway Konfiguration!!!!!

 

Geht wirklich in keinem Fall absolut ned... wenn kein Geld da ist für nen weiteren Server, entweder keine Terminaldienste ober wenn es absolut sein muss dann Virtual Server 2k5 R2 auf den DC u. ein Terminalserver als Gastsystem laufen lassen.

 

U. dass du ned reinkommst ist auch klar, dir pfuscht hier die default domain controllers policy dazwischen u. du musst imho den Usern das "Lokale Anmeldung" Recht gewähren damit sie sich mittels RDP auf nen DC connecten können.

 

LG Gadget

[IThome 10]

Lokale Anmeldung war auf nem 2000 Server, beim 2003er ist das die "Anmelden über Terminaldienste" ... :)

Die Konfiguration ist auch meiner Meinung nach überhaupt nicht zu empfehlen ...

[Gadget 37]

Lokale Anmeldung war auf nem 2000 Server, beim 2003er ist das die "Anmelden über Terminaldienste" ... :)

 

I know, I know... dachte aber das funzt ned auf nem DC ... u. ne Lokale Gruppe "Remotedesktop-Benutzer" kanns auf nem DC ja auch ned geben, da es keine Lokalen Gruppen u. Benutzer gibt... ;)

[IThome 10]

Sicher gibt es diese Gruppe (domänenlokale Sicherheitsgruppe) ... ;)

[thork 10]

hoppla... hab ich da etwa in ein wespennest gestochen?!

 

so viele antworten in dieser kurzen zeit.

 

ok, ich kann einige erst mal beruhigen... es ist ein testsystem um kundenspeziefische software & das office zu testen. obwohl ich mir nicht sicher bin, dass der kunde 2 server kaufen möchte.

 

was genau wäre es für ein sicherheitsrisiko wenn ich einen anwendungsserver auf nem dc laufen lasse?

 

danke erst mal für die tipps. ich werde es sofort probieren.

 

 

ps:

Um den Server in den Anwendungsmodus zu bringen, müssen die Terminaldienste installiert werden (über Windows-Komponenten hinzufügen). Ebenso ist ein Terminalserver-Lizenzserver nötig ...

 

ok, das habe ich gemacht

[Gadget 37]

ei ei ... alles klar schau ich mir gleich an...

 

EDIT: So nochmal nachgeschaut laut TS2k3 FAQ u. Susan Bradley muss auf nem DC auch bei 2k3 das Log on locally right gewährt werden damit sich User connecten können...

 

http://www.microsoft.com/windowsserver2003/community/centers/terminal/terminal_faq.mspx

 

A. Microsoft does not recommend this practice, as it compromises security on the domain controller. However, you can find information in Domain Controllers Require the "Log on Locally" Group Policy Object for Terminal Services Client Connections (Q247989) in the Microsoft Knowledge Base.

 

Kann das aber erst heute abend testen, da ich hier keine Test-Domäne zur Verfügung habe.

 

was genau wäre es für ein sicherheitsrisiko wenn ich einen anwendungsserver auf nem dc laufen lasse?

 

das hat Susan Bradley im Bezug auf den SBS ganz gut erklärt... ob SBS o. nicht spielt hier aber keine Rolle... es geht um die Rolle DC + Terminalserver:

 

http://www.sbslinks.com/ts.htm

 

 

LG Gadget

[thork 10]

danke

 

aber was da steht habe ich gemacht...

 

in der policy steht der user unter "local anmelden" und unter "an terminalserverdienste anmelden erlauben"

 

aber es geht trotzdem net

 

 

aber kann mich mal einer aufklären was so fatal an der konfiguration ts anwendungsserver & dc auf einem pc ist?!

 

 

[EDIT...]

wie wäre denn der richtige weg. ich installieren einen dc und darauf einen virtualserver 2005 rc2. und installiere einen neuen server als terminal server, richte diesen in der domäne ein (wegen benutzerrechten und so) und bin etwas sicherer beim arbeiten?!

 

dann brauche ich mir keine gedanken mehr über die anbindung der terminalbenutzer am dc zu machen

[IThome 10]

http://www.microsoft.com/windowsserver2003/community/centers/terminal/terminal_faq.mspx

Der Artikel bezieht sich auf einen 2000er, wo man dieses Recht gewähren musste ...

Obwohl ich mir eigentlich sicher war, hab ich´s trotzdem getestet. Logon Locally ist nicht erforderlich ... :) .

User in die Remotedesktopbenutzer, den Administratoren und Remotedesktopbenutzern das Recht "Anmelden über Terminaldienste erlauben" gewähren ...

[thork 10]

moin

 

ich noch mal...

 

wie würde es aussehen, wenn ich den server nur als standalone rechner laufen lasse? also ohne ad. da die meisten eh übern den terminal arbeiten wäre es doch egal, oder?

 

gruß thork

[IThome 10]

Kann man auch machen, allerdings wird es dann schwierig, die Benutzer via Gruppenrichtlinien sinnvoll einzuschränken ...

[thork 10]

moin moin...

 

ich habe meinen fehler gefunden. ich habe die falsche policy bearbeitet.

 

so funktioniert alles wunderbar

 

danke nochmals

 

 

gruß thork