Frage zum grünen MS-Press Buch 70-293

[strikernet 10]

Hallo

 

Ich bin grad beim Teill II Kapitel 18 (Planen und Aufrechterhalten der Netzwerksicherheit) und auf folgende Frage gestossen:

 

Welche der folgenden Informationen werden im Snap-In IP-Sicherheitsmonitor nicht angezeigt ?

 

A. Die derzeit auf dem Computer aktive IPSec-Richtlinie

B. Das Volumen des vom betreffenden Computer gesendeten und empfangenen IPSec-Datenverkehrs im Tunnelmodus

C. Die Anzahl der IPSec-Übertragungsfehler auf dem Computer

D. Das Gruppenrichtlinienobjekt, von dem der Computer die derzeit gültige IPSec-Richtlinie erhalten hat

 

 

Das Buch sagt D.

 

 

Hier mal ein Auszug aus dem IP-Sicherheitsmonitor:

 

Elemente Beschreibung

Richtlinienname Server (Request Security)

Richtlinienbeschreibung For all IP traffic, always request security using Kerberos trust. Allow unsecured communication with clients that do not respond to request.

Richtlinie zuletzt geändert 08.09.2006 16:26:47

Richtlinienspeicher Domänenspeicher

Richtlinienpfad LDAP://CN=ipsecPolicy{72385230-70FA-11D1-864C-14A300000000},CN=IP Security,CN=System,DC=contoso,DC=com

Organisationseinheit LDAP://DC=contoso,DC=com

Gruppenrichtlinienobjekt-Name IPSec Richtlinie (TEST)

 

 

Das fettgedruckte würde mich dann mal interressieren.

 

Hier noch ein Bild dazu

http://www.strikernet.de/IPSec.jpg

[xcode-tobi 10]

...von dem der Computer die derzeit gültige IPSec-Richtlinie erhalten hat

ich denke, das sagt schon alles... ?! (Ich konnte mir leider die Grafik nicht anzeigen lassen...)

[strikernet 10]

Gruppenrichtlinienobjekt-Name IPSec Richtlinie (TEST) <-- so steht das im IP-SIcherheitmonitor. wo ist denn da jetzt der Unterschied ?

 

Das Bild ist ein ganz normales JPG das ich mit dem Paint Programm von MS erstellt habe. Sollte eigentlich gehen.

[Jian 10]

Hast du dich auch auf einem Client angemeldet und dort den Sicherheitsmonitor geöffnet?

 

Servus

 

Jian

[strikernet 10]

Natürlich nicht ... hab das alles unter dem VPC Image gemacht :D

 

Aber Danke für den Tip. Werd ich gleich mal machen.

[strikernet 10]

hab mir nun ein 2.tes image erstellt und den rechner in die domäne integriert.

 

ich hab den ip-sicherheitsmonitor gestartet und die richtlinie steht immer noch da.

 

liegt das jetzt daran das es ein mitgliedsserver ist ? laut ms soll es ja nicht da stehen von welcher gpo das kommt aber es steht da.

[Jian 10]

Wenn ich bei meinem Client (XP) den IP-Sicherheitsmonitor öffne, finde ich nur den Haupt-und Schnellmodus.

[weg5st0 10]

Heisst dein Client Server01?

siehe dein Image...

[strikernet 10]

Server01 ist der DC von dem auch die GPO kommt.

Ich habe mir jetzt ein 2tes Image erstellt mit dem Namen Server02. Server02 ist ein Mitgliedsserver.

 

Im IP-Sicherheitsmonitor von Server02 steht das gleiche drinn:

 

Elemente Beschreibung

Richtlinienname Server (Request Security)

Richtlinienbeschreibung For all IP traffic, always request security using Kerberos trust. Allow unsecured communication with clients that do not respond to request.

Richtlinie zuletzt geändert 08.09.2006 16:26:47

Richtlinienspeicher Domänenspeicher

Richtlinienpfad LDAP://CN=ipsecPolicy{72385230-70FA-11D1-864C-14A300000000},CN=IP Security,CN=System,DC=contoso,DC=com

Organisationseinheit LDAP://DC=contoso,DC=com

Gruppenrichtlinienobjekt-Name IPSec Richtlinie (TEST) <-- das dürfte laut MS-Press Buch garnicht da sein

[weg5st0 10]

Hast du den Server02 neu installiert oder ein Image von Server01 genommen?

 

Warum versuchst du das ganze nicht mit einem XP Client?

[strikernet 10]

Ich hab ein Image von Server01 genommen. Den Namen, IP, SID und MAC-Adresse geändert, den Rechner zu einer Arbeitsgruppe hinzugefügt.

Dann hab ich Server01 gestartet, dann hab ich Server02 zu einem Mitgliedsserver gemacht.

 

XP hab ich grad nicht zur Hand :D

[weg5st0 10]

Dann verwendest du also auch keine Domäne (sonst hätte das mit der Arbeitsgruppe nicht funktioniert).

 

Vielleicht bezieht sich die Frage ja auf AD-Domänen Clients....

[strikernet 10]

Also Server01 ist DC mit eine gpo für IPSec

Server02 ist ein Mitgliedserver

 

Wie kommst du jetzt darauf das ich keine Domäne habe ?

[weg5st0 10]

Ich hab ein Image von Server01 genommen. Den Namen, IP, SID und MAC-Adresse geändert, den Rechner zu einer Arbeitsgruppe hinzugefügt.

 

Du kannst einen dc nicht zu einer Arbeitsgruppe hinzufügen, ohne vorher zu demoten.

[strikernet 10]

ich hab das schon über dcpromo gemacht. wollte nicht nicht ins detail gehen wie man aus einem DC eine Arbeitsstation macht.