IThome

Der Sinn ist einfach, dass in einem Thema nicht mehrere Anfragen vermischt werden. Der TO fragt nach Berechtigungen bzw. Vererbungen für Computerobjekte im Active Directory, Du fragst nach NTFS-Berechtigungen, was ja etwas vollkommen Verschiedenes ist. Der nächste, der sowas sucht, wird wahrscheinlich eher fündig, wenn man es auseinander hält ... Im Übrigen hast Du die Regeln anerkannt, als Du hier einen Account erstellt hast. Diese Regeln sind ja nicht erstellt worden, um Euch zu ärgern ... Also beim nächsten Mal bitte gleich so ... :)

Sehe ich nicht so, er benötigt Policy Based Routing, damit man protokollbasiert die Wege definieren kann ...

Ein geeignetes Gateway kann mehrere externe Schnittstellen ansteuern. Mit solch einem Gateway kann man Filter definieren (z.B. SMTP) die ausgehend über eine der externen Schnittstellen Pakete versenden. Man kann also in der Policy definieren, welches Protokoll über welche externe Schnittstelle verschickt wird. Ebenso kann man natürlich auch Filter definieren, die festlegen, über welche Schnittstelle SMTP reingelassen wird. Wir machen sowas mit Watchguard-Produkten, andere können sowas aber auch. Wir haben beispielsweise einen Kunden, der SMTP über einen Provider abwickelt (feste IP) und HTTP/S über die billigere Internetleitung (dynamische IP) ...

Welches Problem hast Du ? GANZ WICHTIG !!! ---> Ist der SQL-Agent installiert ?

Sofern Du keine entsprechende Appliance hast, die Policy Based Routing unterstützt, wird es schwierig. Da Du sinnvoll nur ein Default Gateway auf dem Exchange eintragen kannst (auf den Clients natürlich auch), wird er Pakete für Ziele, die ihm nicht bekannt sind, über das konfigurierte Default Gateway versenden. Man kann natürlich konfigurieren, dass der SBS Provider 1 benutzt (für alles) und die Clients Provider 2, in dem unterschiedliche Gateways angegeben werden. Abhängig davon, ob die Mails per SMTP empfangen oder per POP3 abgeholt werden (mit welchem Programm ?), kann man, was das Routing angeht, schon noch was machen. Ob das aber wirklich sinnvoll ist, sei jetzt mal dahin gestellt ...

Genau dafür ist die Gruppenrichtlinienverwaltungskonsole gedacht. Also MMC als Administrator ausführen, Snapin Gruppenrichtlinienverwaltung zufügen und Attacke ...

Konfiguriere von einer Vista-Maschine aus. Dann hast Du auch den Vorteil, dass SYSVOL nicht so gross wird ...

Ja, das sollte klappen ...

In Deinem Beispiel würde nur der Benutzerteil greifen, da sich nur Benutzerobjekte in Reichweite der Richtlinie befinden. Es müssen sich die Objekte in Reichweite des GPOs befinden, die Du auch konfigurieren möchtest (Benutzer oder Computer, keine Gruppen mit Benutzern oder Computern als Mitglieder). Wo sich die Gruppen befinden ist vollkommen unerheblich, sie dienen nur zur Sicherheitsfilterung ...

Genau so ist es , Gruppenrichtlinien wirken NICHT auf Gruppen ...

Wo die Gruppen sind, ist unerheblich. Wichtig ist, dass sich die Objekte in Reichweite der Richtlinie befinden, also Benutzer (Benutzerkonfiguration) und Computer (Computerkonfiguration).

Schön, das ist wesentlich besser so ... :). Falls Du jetzt Probleme mit dem Aktualisierungen der bestehenden Registrierungen bekommst, entferne sie und lass den DHCP neu registrieren ...

Ja, FAST genauso. Erstelle einen neuen Thread, eventuell mit einem Verweis auf diesen ...

Via GPO nicht, aber eventuell mit einem Script, was per GPO (Computerkonfiguration) ausgeführt wird. Im Scriptcenter wirst Du eventuell fündig ... Microsoft Corporation

Es wäre schön, wenn Du einen eigenen Thread erstellen und keinen anderen übernehmen würdest, bei dem der letzte Post einen Monat zurück liegt ...

Wenn sich Benutzerkonten in der OU befinden, Du in der Benutzerkonfiguration des GPOs konfigurierst und dieses GPO dann sicherheitsfilterst, dann sollte es klappen. Die Richtlinie wird auf die Benutzer angewendet, die Mitglied der Sicherheitsgruppe sind, die Du dem GPO zugefügt hast UND die sich in Reichweite der Richtlinie befinden ...

Viel bleibt da nicht mehr, wenn wir überhaupt nicht von PCs sprechen :D . Switches und Router fallen mir auf Schlag noch ein ...

Ich sag´ ja, in der Regel wie in der Signatur, bei Servern aber nicht (bei Firewalls übrigens auch nicht) ... ;)

Das würde ich auch mal probieren, allerdings nur beim virtuellen Adapter (sonst registriert der DHCP-Server nichts mehr). Dann registriert sich nur die LAN-Verbindung, die vom Microsoft Server die Adresse bekommt, die virtuelle Karte aber nicht ...

Die dynamische Registrierung für die LAN-Karte kannst Du auf den Clients nicht abschalten, da der DHCP-Server dann für die Clients auch nichts mehr registrieren würde, wenn sie sich im Standort befinden. Man müsste jetzt wissen, wie das VPN auf der Clientseite funktioniert. Ich nehme an, dass ein virtueller Adapter erzeugt wird und diesem Adapter von der Firewall eine Adresse zugewiesen wird, die dann vom Client registriert wird (ich kenne das SSL-VPN von Watchguard, wo ein Tap-Driver installiert wird) ?

Hach, die gab es wohl noch nicht, als ich das probiert habe (Firmware-Update wurde durchgeführt). Naja, mit den Drayteks gab es solche Probleme noch nie ... :D Aber Du schreibst, dass da jetzt etwas anderes steht und dieser Client immer noch keine Verbindung aufbauen kann, weder mit dem alten Gerät, noch mit dem neuen ? Und ein anderer Rechner kann über beide Geräte die Verbindung herstellen ?

Wie getauscht, Speedport 700V gegen Speedport 700V ? Wir haben den Speedport 700V gegen einen Router eines anderen Herstellers getauscht (Draytek). Was hast Du denn vor ? Sollen hinter einem Speedport 700V zwei verschiedene Rechner gleichzeitig eine VPN-Verbindung womöglich noch zum gleichen Ziel aufbauen ? Oder befindet sich hinter dem Speedport nur ein Rechner, der ein VPN aufbauen soll und die Verbindung von einem zweiten Rechner aus ist nur zu Testzwecken hergestellt worden ?

Ich wiederhole noch mal, um sicher zu gehen, dass ich alles richtig verstanden habe :D ... Es existiert ein Microsoft DHCP-Server, der für die standortgebundenen Clients die DNS-Registrierung vornimmt und zwar die A- und PTR-Einträge. Für diese Registrierung benutzt er ein Administratoren-Konto (sollte er nicht, es sollte ein Domänenbenutzerkonto sein). Die VPN-Clients sind auch Mitglied der Domäne und registrieren ihre Adressen, die sie von der Firewall bekommen, selbst beim DNS-Server. Diese Notebooks melden sich aber nicht ausschliesslich per VPN an, sondern auch in den Standorten, wo sie dann eine Adresse vom Microsoft DHCP-Server bekommen (der dann auch für sie registriert). Soweit richtig ?

Ich verhalte mich in der Regel so, wie es auch in meiner Signatur beschrieben ist, bei Servern (Compaq) allerdings wird schon regelmässig auf den neuesten Stand gebracht ...

Ja, kenne ich, war nur durch Tausch des Speedports gegen einen Router anderen Fabrikats zu beheben. Bei mir klappte allerdings überhaupt keine IPSec VPN Verbindung. Bei einem anderen Kunden habe ich testweise UDP 500 und UDP 4500 vom Speedport zum Client geleitet und konnte dort die Verbindung aufbauen (meistens). Eigentlich muss man das nicht tun, da die Verbindung von innen initiiert wird, aber der Speedport ist eben anders und sollte meiner Meinung nach gegen einen "richtigen" Router ausgetauscht werden ...