Pro - Einschränkungen Netzwerkzugriff (verglichen mit Server-OS)

[robotroonie 10]

Noch keine Zeit. Hatte ein anderes Problem zu lösen:

User-LW eines Users auf 1 PC werden nicht gemappt. Login-Script fragt nach PW, akzeptiert das vom User aber nicht. Habe festgestellt, dass (u.a.) das Script merkwürdigerweise unter anderem Kontext ausgeführt wurde (alter Admin-Account). Da dieser seit 10 Tagen deaktiviert ist, kam beim Verbinden die Fehlermeldung "Konto ist deaktiviert". Komischerweise ging es mit dem gleichen Nutzerkonto auf anderen Clients; andere User gingen auf dem betroffenen; Konten zurückgesetzt, Computer-Konto gelöscht+neu Dom beigetreten, lokales Userkonto gelöscht/neu erstellt; letzte Win-Updates zurückgerollt > alles erfolglos. Verbinden auf Name hat schließlich funktioniert / auf IP aber nicht (Pingen auf beides aber OK).

Zudem festgestellt, dass unter ihrem Konto kein Lesezugriff auf ihr Login-Script bestand (trotz Lesefreigabe für "Jeder"). Ihr Konto separat hinzugefügt > OK; funktioniert soweit alles wieder.

Der Verdacht liegt nahe, dass für bestimmte Aufgaben (wenn kein Zugriff/Ausführen möglich ist), automatisch Credentials eines zweiten Accounts (Admin alt), die lokal zwischnegspeichert wurden, verwendet werden - wo kann man diese einsehen/löschen? Mit dem lokal gespeicherten Profil des Admin-Accounts sollte es ja nichts zu tun haben?

Soweit funktioniert das jetzt wieder (auch nach Neustart; vorher wurden trotz Ab-/Anmelden wohl die Zweitaccount-Credentials genommen, da der Fehler dann nicht, aber nach dem Neustart auftrat).

[robotroonie 10]

Das Systemhaus weiß nicht wirklich Bescheid, da es auch erst seit Kurzem involviert ist

 

Selbst bin ich auch erst wenige Wochen für das Netz zuständig und die Dokumentation lässt an manchen Punkten zu wünschen übrig. So weiß ich z.B. fast nichts über die phys. Verkabelung (direkt am Server,...).

 

 

@lefg

Die Funkrouter sind als Router konfiguriert

 

Ist für den Direktzugriff (\\IP oder \\Name) definitiv WINS erforderlich, sobald das Subnet-übergreifend erfolgt? Der Zugriff auf die Server erfolgt dann auf andere Weise (da dies ja funktioniert)?

Wenn dem so ist, führt wohl kein Weg daran vorbei

- Wins-Server zu installieren und

- auf zahllosen Clients Netbios-Namen einzurichten

 

Gibt es vielleicht eine Möglichkeit zum Umgehen des Problems (ideal wäre es, wenn man auf den Servern eingerichtete Netz-Laufwerke (die auf die entsprechenden Clients weisen) freigeben könnte - mit Bordmitteln geht dies aber nicht.

[IThome 10]

Für \\IP ist WINS nicht notwendig , für \\Name nicht unbedingt (wenn es nur XP-Clients sind, benötigst Du keinen WINS-Server) , in jedem Fall muss DNS vernünftig laufen. WINS benötigst Du, wenn das subnetzübergreifende Browsing funktionieren soll (wenn das nicht funktioniert, heisst es nicht, dass man nicht zugreifen kann. Es heisst nur, dass man in der Netzwerkumgebung nicht alles sieht)

Normalerweise verbindet sich ein Client mit den Credentials, mit dennen er angemeldet ist. Wenn diese Verbindung fehlschlägt, bekommt er normalerweise ein Anmeldefenster geliefert, in dem er die richtigen Credentials eingeben muss ...

[lefg 276]

Gibt es vielleicht eine Möglichkeit zum Umgehen des Problems (ideal wäre es, wenn man auf den Servern eingerichtete Netz-Laufwerke (die auf die entsprechenden Clients weisen) freigeben könnte - mit Bordmitteln geht dies aber nicht.

Wozu muss denn überhaupt auf Clientrechner zugegriffen werden? Bei uns gibt es das für Benutzer überhaupt nicht. Die Benutzer haben auch nichts auf den Clients zu speichern. Wir haben sowas 1993 mit Einführung eines server-Clientnetzwerkes (Netware 3.11) abgestellt. Auch in reinen MS-Netzwerken ist das seit LANMangerServer eigentlich so üblich. Ich habe natürlich auch vielfach anders erlebt.

[lefg 276]

Die Funkrouter sind als Router konfiguriert.

Ich stelle manchmal bewusst dumm erscheinende Fragen.

 

Welche Aufgabe erfüllen die Router? Routen sie ins Internet? Womit sind die WAN-Anschlüsse verbunden?

 

Wie ist der Server ans Netz geschlossen, mit den Routern und den Clients verbunden?

[robotroonie 10]

Für \\IP ist WINS nicht notwendig , für \\Name nicht unbedingt (wenn es nur XP-Clients sind, benötigst Du keinen WINS-Server) , in jedem Fall muss DNS vernünftig laufen. WINS benötigst Du, wenn das subnetzübergreifende Browsing funktionieren soll (wenn das nicht funktioniert, heisst es nicht, dass man nicht zugreifen kann. Es heisst nur, dass man in der Netzwerkumgebung nicht alles sieht)

Normalerweise verbindet sich ein Client mit den Credentials, mit dennen er angemeldet ist. Wenn diese Verbindung fehlschlägt, bekommt er normalerweise ein Anmeldefenster geliefert, in dem er die richtigen Credentials eingeben muss ...

 

Das deckt sich soweit mit meinem Wissen. Trotzdem schien das heute mit den Credentials auf dem einen Client anders zu sein.

[robotroonie 10]

Wozu muss denn überhaupt auf Clientrechner zugegriffen werden? Bei uns gibt es das für Benutzer überhaupt nicht. Die Benutzer haben auch nichts auf den Clients zu speichern. Wir haben sowas 1993 mit Einführung eines server-Clientnetzwerkes (Netware 3.11) abgestellt. Auch in reinen MS-Netzwerken ist das seit LANMangerServer eigentlich so üblich. Ich habe natürlich auch vielfach anders erlebt.

 

Es gibt 2 dedizierte Clients, auf denen Daten gespeichert sind, die von überall aus zugänglich sein sollen (Archiv alter Projekte und IT-Archiv mit SW). Die vorhandenen Server bieten leider nicht genug Kapazität. Da diese Daten nicht SO wichtig sind, ist es auch nicht so kritisch, dass sie nicht gesichert werden (zumal alte Projekte auf CD-R/DVD gesichert werden). Diese Clients fungieren nicht als Workstations / an diesen arbeiten keine User.

Seit heute ist eine Archiv-HD im gleichen PC wie das SW-Archiv (da der Archiv-PC Netz W Probleme machte; dieser hatte noch NT Server laufen; Archiv ohne Sicherung). Somit also nur noch 2 Clients mit Freigaben für alle. Dauerzustand ist das Ganze nicht, aber mindestens 6 Wochen sollte es noch so funktionieren (es kommen neue Server; der erste ist bereits fertig und der 2. wird ca 09/06 getauscht; diese enthalten dann auch das kpl. SW-Archiv). Zudem ist genaugenommen kein Zugriff Netz W auf Clients Netz K erforderlich, sondern nur umgedreht (für Projektarchiv reicht Subnet-interner/standortinterner Zugriff; nur das SW-Archiv muss auch vom anderen Subnet erreichbar sein).

Die normalen Clients sind nicht als Datenablage bestimmt und werden auch nicht dafür verwendet.

Was aber so auch wegfällt, aber gebraucht wird: Remotedesktop-Zugriff auf Clients im anderen Subnet (sollte von jedem zu jedem möglich sein).

[robotroonie 10]

Ich stelle manchmal bewusst dumm erscheinende Fragen.

 

Welche Aufgabe erfüllen die Router? Routen sie ins Internet? Womit sind die WAN-Anschlüsse verbunden?

 

Wie ist der Server ans Netz geschlossen, mit den Routern und den Clients verbunden?

 

Die Funkrouter routen nur ins andere Subnet; für Internet gibts jeweils einen anderen (DSL-)Router. Dieser ist jeweils Standard-Gateway und hat entspr. Routen eingetragen (bereits oben geschildert). Netz ist jeweils DSL6000-Flat.

Anbindung Server kA (Verbindung ist vorhanden - aber in welcher Form? - ich nehme an, nur über einen Switch).

[robotroonie 10]

Ich stelle manchmal bewusst dumm erscheinende Fragen.

 

Dumm erscheint mir die Frage nicht; waren die Router doch noch vor 15 Tagen (vor der Trennnung in 2 Subnets) im Bridging mode konfiguriert.

[lefg 276]

Dumm erscheint mir die Frage nicht; waren die Router doch noch vor 15 Tagen (vor der Trennnung in 2 Subnets) im Bridging mode konfiguriert.

 

Diese Geschichte erscheint mir vollkommen undurchsichtig.

 

Es gibt also einen Server und zwei Teilnetze.

 

Ist jedes Teilnetz direkt mit dem Server verbunden, ist der multihomed? Besitzt der für jedes Teilnetz ein Interface?

 

Ist dieser Server nur Fileserver oder ist er auch Domänencontroller? Um was für eine Domäne handelt es sich denn?

 

Sind die Clients Mitglieder Domäne?

[robotroonie 10]

Es gibt momentan 3 Server (in Kürze 4). 2 im Netz W und 1 im Netz K. Alle sind DCs und DNS-Server (AD-integrierte Zonen). Server hat nur ein Interface ins jeweilige Subnet (Zugriff aufs andere Subnet via Funk-Router). 1 Server im Netz W agiert als Exchange-Server; die anderen 2 primär als Fileserver. Alle relevanten Clients sind Domänenmitglieder. Clients XP Pro SP2; Server W2k

[lefg 276]

Die DCs replizieren miteinander? Es gibt keine Fehlermeldungen in den Ereignisanzeigen?

[robotroonie 10]

Korrekt. Keine kritischen Fehler; Replikation funktioniert.

 

Eventuell kritisch wäre höchstens Fehler 5504, wie hier geschildert:

http://www.mcseboard.de/windows-forum-ms-backoffice-31/dns-weiterleitungsfehler-96309.html

 

Sollte aber iV mit dieser Problemstellung nicht relevant sein.

[lefg 276]

Es ist in jedem Teilnetz also ein Client, der die Rolle eines Hilfsservers wahrnimmt.

 

Auf den Clients sind jeweils Ressourceb freigeben?

 

Auf diese Ressource soll zufreifbar sein von den Clients des eigenen und des gegenüberliegenden Teilnetz?

 

Der Zugriff soll mit dem Explorer geschehen?

 

Ist der Zugriff aus dem eigenen Teilnetz möglich?

 

Ist die Ressource auf einer NTFS-Partition, ist die einfache Dateifreigabe deaktiviert?

 

Ist für die Freigabe und die NTFS-Ressource die notwendige Berechtigung vergeben für Gruppen(Jeder) und oder benutzer?

 

Ist auf den Clients eine Firewall aktiv?

[robotroonie 10]

richtig; Zugriff für normale User über gemappte Laufwerke (Explorer)

Zugriff aus eigenem Teilnetz funktioniert uneingeschränkt

Es handelt sich um NTFS-Partitionen mit detaillierter Rechtevergabe (Freigaberechte: Jeder-alles; NTFS-Rechte genau konfiguriert).

Firewall s.o. (aktiv über default domain policy; momentan nicht abstellbar; Möglichkeit mit Umgehen der dd-policy wird als nächstes getestet.)