IThome

Hat er ein Netzwerklaufwerk verbunden (unter anderem Namen, mit NET USE ... /USER...) ? Er versucht sich mit dem Namen anzumelden, mit dem er an der lokalen Station angemeldet ist, um die Dateien zu synchronisieren. Wenn es ein VPN mit einem Windowsclient ist, kannst Du den Haken "Anmeldedomäne mit einbeziehen" setzen, dann verbindet er sich mit dem Benutzerkonto der VPN-Einwahl (das ist dann wahrscheinlich ein Domänenkonto, wenn der RRAS das VPN terminiert) ... Dann trenne das Laufwerk noch mal und verbinde es erneut (in FSMGMT.MSC auf dem Server kannst Du die Verbindung und das Benutzerkonto sehen)

"Netzwerkverbindungen" ist also gestartet ? Gibt es Dienste, die auf automaisch stehen, aber nicht gestartet sind ? Da muss doch was in den Ereignisanzeigen stehen ...

Konfiguriere eine Range und reserviere alle Adressen dieser Range. Hast Du 100 Rechner, konfiguriere eine Range mit 100 Adressen und reserviere jede einzelne ...

Machen Umlaute Probleme (ich habe noch nie eine Domäne mit einem Umlaut aufgesetzt) ? Aber wahrscheinlich ist der Domänenname (und vielleicht auch die Namen der OUs) geändert worden ...

Ich habe das gerade eben an einem Server als Administrator angemeldet ausprobiert: Gruppe "Test" in OU "Benutzer Firma" in der Domäne "TEST.LOCAL" DSGET GROUP "CN=TEST,OU=Benutzer Firma,DC=TEST,DC=LOCAL" - MEMBERS -EXPAND>GRUPPE.TXT und auch DSQUERY GROUP "CN=TEST,OU=Benutzer Firma,DC=TEST,DC=LOCAL"|DSGET GROUP -MEMBERS>GRUPPE1.TXT funktioniert hier beides auch ohne -EXPAND (es sind auch keine weiteren Gruppen Mitglied in dieser Gruppe)

Schau mal, ob der Dienst Netzverbindungen gestartet ist. Wenn ja, dann führe folgendes aus ... regsvr32 netman.dll regsvr32 netcfgx.dll regsvr32 netshell.dll danach neu starten und überprüfen, ob die Netzwerkverbindung wieder da ist ...

Berechtigungen, die ein Benutzer hat, werden seinem Benutzerkonto zugewiesen und nicht dem Rechner, von dem aus er zugreift ...

DSQUERY GROUP "cn=ExcelAnwender,ou=citrixbenutzer,ou=global,ou=sicherheitsgruppen,ou=standort,dc=testdomäne,dc=de"|DSGET GROUP -MEMBERS>GRUPPEN.TXT oder wie Daim schreibt (zu spät gelesen)

c't 13/2003, S. 212: Hotline Zitat: "Kompatibilitätsprobleme mit nicht ausdrücklich vom Mainboardhersteller validierten PCI-Karten sind aber bei Servern nicht selten."

Wenn ich ne VPN-Verbindung auf nem 2000 Server doppelklicke, kann ich die Userdaten verändern ... Was meinst Du ? Welche Authentifizierung benutzt Du ? Was für ein VPN baust Du auf ? Wie ist die VPN-Verbindung erstellt worden ?

Wie schon mal gesagt wurde, es ist ein Kann und kein Muss :D

Hast Du für alle Laufwerke die Schattenkopien deaktiviert ? Ist da irgendeine Snapshot-Software installiert ?

Er hat doch Ändern auf dem Profil-Rootfolder, die Berechtigungen setzt der Client sich normalerweise selbst ... Wo liegen die Ordnerumleitungen ?

So, noch mal von vorne ... :) Normalfall: Konfigurierst Du in der Benutzerkonfiguration, müssen sich Benutzer in Reichweite der Richtlinie befinden. Konfigurierst Du in der Computerkonfiguration, müssen sich Computerkonten in Reichweite der Richtlinie befinden. Spezialfall Loopback: Möchtest Du, dass Benutzerrichtlinien nur auf bestimmten Computern wirken (z.B. nur dann, wenn sich jemand dort anmeldet. Diese Richtlinien sollen nicht gelten, wenn sich der Client an einem anderen Rechner anmeldet), dann konfigurierst Du Loopbackverarbeitung. Das entsprechende Computerkonto wird in den Loopbackmodus versetzt (den man auf Ersetzen und Zusammenführen konfigurieren kann), was bedeutet, dass alle Benutzerrichtlinien!, in dessen Reichweite sich dieses Computerkonto befindet, angewendet werden, wenn sich ein User dort anmeldet (bei Default Sicherheitsfilterung). Hier mal ein kleines Beispiel http://www.mcseboard.de/post8-631731.html Ist die Loopbackrichtlinie auf Ersetzen gestellt, werden die üblicherweise angewendeten Benutzerrichtlinien durch die ersetzt, die im Loopbackmodus gültig sind. Wenn also User A in OU A ist und dort eine Benutzerrichtlinie gilt und Computer B in OU B ist, Loopbackverarbeitung auf Ersetzen steht und in dieser OU auch Benutzerrichtlinien gelten, dann bekommt User A bei Anmeldung an Computer B die Richtlinien, die in OU B gültig sind (und nur die). Meldet er sich an einem anderen Rechner als Computer B an, gelten die Richtlinien aus OU A (oder auch andere, in dessen Reichweite sich das Benutzerobjekt befindet) Wen Du in die Sicherheitsfilterung konfigurierst, bleibt ganz Dir überlassen. Du musst nur wissen, in welchem Bereich Du konfigurieren willst (Benutzer- oder Computerkonfiguration) und wer die Richtlinie übernehmen soll. Vielleicht ein Beispiel: Du hast alle Computer und Benutzer in den Standardcontainern, in die Du keine Richtlinien linken kannst. Jetzt möchtest Du gewissen Computern und gewissen Benutzern Richtlinien aufs Auge drücken. Also konfigurierst Du zwei GPOs, eins mit Computereinstellungen und eins mit Benutzereinstellungen. Authentifizierte Benutzer ohne weitere Filterung kannst Du nicht nehmen, da dort alle enthalten sind. Also legst Du eine Gruppe für die einzuschränkenden Computerkonten an und eine für die Benutzer. Aus beiden Richtlinien nimmst Du die Authentifizierten Benutzer heraus und fügst entweder die Computer- oder Benutzergruppe ein (je nachdem, ob Du in der Computer- oder Benutzerkonfiguration konfguriert hast) und gibst beiden Gruppenrichtlinie übernehmen - Zulassen und Lesen - Zulassen (dann brauchst Du auch nichts verweigern). Du kannst natürlich auch die Authentifizierten Benutzer in der Filterung lassen und Gruppen erstellen, denen Du Gruppenrichtlinie übernehmen - Verweigern konfigurierst (Verweigern kommt vor Erlauben). Wenn in einer Gruppenrichtlinie etwas nicht definiert wird, wirkt es auch nicht. Wenn also lokal etwas definiert ist und der gleiche Punkt in einer Richtlinie höherer Priorität nicht definiert ist, gilt die Einstellung der lokalen Richtlinie ... Wenn Du also möchtest, dass alle Benutzer ausser den Admins z.B. eine gewisse Richtlinie bekommen, egal wo sie sich anmelden, dann konfiguriere eine Richtlinie auf hoher Ebene (Domäne z.B.), lege die Einstellungen in der Benutzerkonfiguration fest und verweigere den Admins Gruppenrichtlinie übernehmen (ohne Loopbackeinstellung). Die Authentifizierten Benutzer kannst Du stehen lassen, da sowieso nur in der Benutzerkonfiguration definiert wurde, was ein Computerobjekt nicht interessiert. Wenn diese Einstellung auf jeden Fall durchgesetzt werden muss, unabhängig von Einstellungen höherwertiger GPOs (auf OU-Ebene), dann konfiguriere Erzwungen bzw. Kein Vorrang (aber sparsam) ...

Hm, weiss jetzt nicht, was Du meinst ...

Hast Du mal RSOP.MSC durchgeführt ?

Öhm, Systemwiederherstellung auf einem Small Business Server ? Beim Backup werden auch Dateien in System Volume Ínformation angelegt (VSS)

Nein, so war das nicht gemeint. Ohne Loopbackverarbeitung ist das so ... :)

Wenn Du die Richtlinie auf Benutzer anwenden willst, müssen Benutzerkonten in die OU. Das würde dann für jedes dieser Benutzerkonten egal auf welchem Rechner gelten. In der Sicherheitsfilterung des GPOs kannst Du aber die Administratoren ausgrenzen. Wenn Du die Loopbackverarbeitung einschaltest (auf Ersetzen oder Zusammenführen) und zusätzlich Benutzerkonfigurationen in diesem GPO einstellst, dann gilt es für die Benutzer, denen in der Sicherheitsfilterung Lesen und Gruppenrichtlinie übernehmen zugelassen wird und nur auf den Rechnern, die sich in der OU befinden. Melden diese User sich an anderen Rechnern an, gilt diese Richtlinie nicht. Bei der Loopbackverarbeitung werden Gruppenrichtlinien für Benutzer auch angewendet, wenn sich kein Benutzerkonto in der Reichweite der Richtlinie befindet. Es gilt also für die Benutzer, die sich an diesem Rechner anmelden. Du musst in der Sicherheitsfilterung aber auch die Computerkonten berücksichtigen, da sie den Computerkonfigurationsteil lesen müssen. Dafür könntest Du die Authentifizierten Benutzer nehmen (dort sind alle Benutzer und Computer enthalten). Wer diese Richtlinie nicht anwenden soll, kannst Du mit Gruppenrichlinie übernehmen - Verweigern regeln). Ich weiss jetzt nicht genau, was Du vor hast und was noch an Richtlinien eingesetzt wird, kann also nicht sagen, ob Du lieber dieses oder jenes tun solltest ...

Gibt es Zeitunterschiede zwischen den Clients und dem Server ? Werden die zwischengespeicherten Profile nach dem Abmelden gelöscht (Richtlinie) ? Wird die Propagierung von Änderungen verhindert (Richtlinie) ?

Was meinst Du mit Clients ? Computerkonten ? Wenn dort tatsächlich Computerkonten in der OU sind und Du in der Benutzerkonfiguration konfigurierst, wundert es mich nicht, dass nichts angewendet wird. Beim Terminalserver klappt es, weil sehr wahrscheinlich Loopbackverarbeitung konfiguriert wurde ...

Schau mal in das Hilfe und Supportcenter, dort sind alle Topologien beschrieben ;)

Es ist nicht der gleiche Effekt ... Wenn die Richtlinie definiert ist, aber niemand dort drin steht, kann es keiner, der sich im Anwendungsbereich der Richtlinie befindet. Ist die Richtlinie "Nicht definiert", greifen u.U. andere Richtlinien, z.B. die lokalen Richtlinien ...

Dateien auf dem Bildschirm kann man ja auch via Console verändern, in dem man direkt in das Profilverzeichnis wechselt ...

Die Firewall brauchst Du nicht abschalten, Du musst den Bereich bei den Ausnahmen korrekt angeben (Datei- und Druckerfreigabe). Bei der geringen Anzahl an Hosts würde ich mit der HOSTS-Datei arbeiten. Subnetzübergreifendes Browsing wird eigentlich nur in Domänenumgebungen unterstützt ...