Gruppenrichtlinien abgestürzt...

[o_rakel 10]

Moin zusammen,

 

da war mal eine Woche Betriebsferien und in dann verknoten sich die GPOs:

 

- "Windows kann nicht auf die Liste der Gruppenrichtlinien zugreifen"

- bzw. "Windows kann nicht auf die gpt.ini für die GPO "..." zugreifen, diese müßte unter \\domain\sysvol\... liegen.

 

Ich habe Sie da aber nicht weggenommen = Im Prinzip ist alles so wie vorher, Sysvol ist ganz normal freigegeben, DNS läuft.

 

GPUPDATE tut auch nix..

 

Hat jemand eine Idee - ich habe schon im Netz gesucht und bislang nix gefunden....

 

Gruss Matthias

[Dirk_privat 10]

Servus,

 

ein paar detailliertere Angaben mit Einträgen vom logfile etc. wäre hilfreich für die Fehlersuche.

 

Gruß

Dirk

[o_rakel 10]

Servus,

 

ein paar detailliertere Angaben mit Einträgen vom logfile etc. wäre hilfreich für die Fehlersuche.

 

Gruß

Dirk

 

Kein Problem - kannst Du Spanisch? ;)

 

Ich habe hier Win 2003 auf Spanisch laufen....

 

Tipo de suceso: Error

Origen del suceso: Userenv

Categoría del suceso: Ninguno

Id. suceso: 1058

Fecha: 29/08/2007

Hora: 11:32:07

Usuario: NT AUTHORITY\SYSTEM

Equipo: SRV-DIGITAL-NET

Descripción:

Windows no puede obtener acceso al archivo gpt.ini para GPO cn={1C57314B-7873-437B-BF64-A9EE7402B99E},cn=policies,cn=system,DC=serragrup,DC=local. El archivo debe estar presente en la ubicación <\\serragrup.local\SysVol\serragrup.local\Policies\{1C57314B-7873-437B-BF64-A9EE7402B99E}\gpt.ini>. (Acceso denegado. ). Se ha anulado el proceso de Directiva de grupo.

 

Para obtener más información, vea el Centro de ayuda y soporte técnico en Events And Errors Message Center: Basic Search.

 

auf DEUTSCH: windows findet die gpt.ini im Ordner nicht und führt deswegen die Gruppenrichtlinie nicht aus.

 

 

Tipo de suceso: Error

Origen del suceso: Userenv

Categoría del suceso: Ninguno

Id. suceso: 1030

Fecha: 29/08/2007

Hora: 11:27:07

Usuario: NT AUTHORITY\SYSTEM

Equipo: SRV-DIGITAL-NET

Descripción:

Windows no puede hacer una consulta de la lista de objetos directiva de grupo. Compruebe el registro de eventos ante la posible existencia de mensajes previamente registrados por el motor de directiva que describe el motivo del suceso.

 

Para obtener más información, vea el Centro de ayuda y soporte técnico en Events And Errors Message Center: Basic Search.

 

 

auf Deutsch: Windows kann die Liste der Objekte der Gruppenrichtlinie nicht abfragen.

 

 

vorher gab es allerdings die Nachricht:

"Se ha aplicado satisfactoriamente la directiva de seguridad en los objetos de directiva de grupo."

D.H. im Prinzip alles in Ordnung

Soviel aus dem Eventlog...

 

cu Matthias

[Das Urmel 10]

Den 1058 hast du nicht gut übersetzt, was mir gleich spanisch vorkam :D

Dateifreigaben oder Gruppenrichtlinien-Snap-Ins können nicht geöffnet werden, wenn die SMB-Signatur für die Arbeitsstation oder Server-Dienst auf einem Domänencontroller deaktiviert ist

 

Sollte dir weiterhelfen (Klassiker)

[o_rakel 10]

Den 1058 hast du nicht gut übersetzt, was mir gleich spanisch vorkam :D

Dateifreigaben oder Gruppenrichtlinien-Snap-Ins können nicht geöffnet werden, wenn die SMB-Signatur für die Arbeitsstation oder Server-Dienst auf einem Domänencontroller deaktiviert ist

 

Sollte dir weiterhelfen (Klassiker)

 

Moin,

und danke...

 

ich habe nur ein kleines Problem MS richtig zu verstehen:

"Ursache:

Dieses Verhalten tritt auf, wenn sich die Einstellungen der SMB-Signatur für den Arbeitsstationsdienst und den Server-Dienst widersprechen. Wenn Sie den Domänencontroller in dieser Art konfigurieren, kann der Arbeitsstationsdienst auf dem Domänencontroller keine Verbindung zur SYSVOL-Freigabe aufnehmen. Deshalb können Sie keine Gruppenrichtlinien-Snap-Ins starten. Zusätzlich betrifft dieses Problem alle Domänencontroller im Netzwerk, wenn die SMB-Signatur-Richtlinien durch die standardmäßige Sicherheitsrichtlinie des Domänencontrollers festgelegt werden. Daher schlägt die Replikation der Gruppenrichtlinie für den Active Directory-Verzeichnisdienst fehl, und Sie werden die Gruppenrichtlinie nicht editieren können, um diese Einstellungen rückgängig zu machen."

 

Was meinen die damit, dass sich die Einstellungen für die SMB - Signaturen wiedersprechen?

 

und wenn ich die richtig verstehe, muss ich meine beiden DC editieren?

 

Saludos

Matthias

[IThome 10]

Naja, die Servereinstellung erfordert zwingend die Signierung und auf dem Client ist die Signierung deaktiviert, oder umgedreht z.B. Wobei Servereinstellung nicht aussagt, dass das ein 2000 oder 2003 Server ist, sondern das Gerät, auf das via SMB zugeriffen wird (das kann auch eine XP-Maschine sein). Das Gleiche gilt für die Clienteinstellung, die natürlich auch für einen 2000/2003 Server gilt, wenn er auf eine SMB-Freigabe zugreift ...

In dem folgenden Artikel steht, welche Kombination zulässig ist und welche nicht ...

Server Message Block communication between a client-side SMB component and a server-side SMB component is not completed if the SMB signing settings are mismatched in Group Policy or in the registry

Du kannst die Richtlinie in der Default Domain Controllers Policy anpassen (wenn sie dort nicht mehr auf Standard steht) oder ein neues GPO erstellen, einstellen und mit höherer Priorität als die Default Richtlinie in die Domain Controllers OU linken ...

[o_rakel 10]

Theorie vs. Praxis....

 

Ich habe die Anleitung von MS fein säuberlich befolgt, aber leider tauchen die Fehlermeldungen 1030 und 1058 immer noch im Lob des einen DC auf.

- Ich kann als Admin lokal Sysvol öffnen und auch als User von meinem Arbeitsplatz aus

- Die Registry ist angepaßt

- Die Lokalen Richtlinien auch.

 

???? Ratlos....???

 

Ach ja:

Wenn ich rsop.msc aufrufe, wie in der MS Anleitung erwähnt, steht neben den Maschinen Richtlinien häßlichens rotes-weißes Kreuz... was will mir das sagen?

Fehler in den Gruppenrichtlinien?

 

Nach etwas Logfile lesen scheint es momentan so zu sein, dass es nur 2 von 8 Richtlinien sind, die nicht gefunden werden und die Fehlermeldung auslösen... - neu aufsetzen? Eine davon scheint Windows Update bzw. WSUS zu betreffen, da ich als User wieder auf Windowsupdate.microsoft.com zugreifen kann, was eigentlich verboten ist und früher auch funktioniert hat.

[IThome 10]

Die Netzwerkeinstellungen, speziell DNS und auch der DNS-Server bzw. dessen Konfiguration ist okay ? Eventuell mal IPCONFIG /ALL des Servers ?

[o_rakel 10]

DNS läuft fehlerfrei - nicht ein Eintrag im Log :)

DNS: Die beiden DC Server sind gegenseitig eingetragen und dann habe ich drei Weiterleitungen eingerichtet und das läuft auch gut und richtig...

[carsten.m 10]

Ich habe seit 2 stunden dasselbe problem,

 

habe an diversen lösungsmöglichkeiten per eventid oder MS oder hier herumgedoktort. Jedoch ohne Erfolg.

 

DC1: Win2k3 SBS SP2

DC2: Win2k3 Std. SP2

 

Bei beiden treten die Fehler 1058 und 1030 auf, ich weis nicht mehr weiter :(

 

nun habe ich mich dazu entschlossen per dcgpofix /ignoreschema das ganze wieder in seinen Ursprung zu versetzen allerdings bekomme ich auch da eine fehlermeldung:

 

WARNUNG: ALLE ÄNDERUNGEN AN GRUPPENRICHTLINIENOBJEKTEN GEHEN VERLOREN.
DIESES PROGRAMM IST NUR FÜR DEN ZWECK DER NOTFALL-WIEDERHERSTELLUNG GEDACHT.

Die Standarddomänenrichtlinie und die Standarddomänencontrollerrichtlinie
für die folgende Domäne wird wiederhergestellt.
Tecmata-GmbH.local
Möchten Sie den Vorgang fortsetzen: <J/N>? j
WARNUNG: Dieser Vorgang ersetzt alle "Benutzerrechtezuordnungen" im
ausgewählten Gruppenrichtlinienobjekt. Dadurch schlagen evtl. einige
Serveranwendungen fehl. Möchten Sie den Vorgang fortsetzen: <J/N>? j
[color="Red"]Warnung: Die EFS-Zertifikate im Gruppenrichtlinienobjekt
Default Domain Policy konnten nicht neu erstellt werden.[/color]
Die Wiederherstellung ist fehlgeschlagen. Weitere Informationen finden Sie
in den vorherigen Meldungen.

 

Die Default Domain Controllers Policy kann nicht gefunden werden. Zugriff auf SYSVOL geht problemlos

[o_rakel 10]

Hallo,

 

bei mir schaut es nach Fixen mit MS Anleitung, GPUPDATE und Client Neustart so aus, dass von 8 aktiven GPOs anfänglich 2 und nur noch eine Fehlermeldungen im Log produziert.

Gibt es irgendeine Möglichkeit den kryptischen Code "6ABC-1234-..." der Regel und ihrem Namen zuzuordnen?

[carsten.m 10]

Hallo,

 

bei mir schaut es nach Fixen mit MS Anleitung, GPUPDATE und Client Neustart so aus, dass von 8 aktiven GPOs anfänglich 2 und nur noch eine Fehlermeldungen im Log produziert.

Gibt es irgendeine Möglichkeit den kryptischen Code "6ABC-1234-..." der Regel und ihrem Namen zuzuordnen?

 

Ich gehe von Win2003 aus.. Dann musst du im GPO Editor die entsprechende GPO Markieren und dann im rechten Bereich auf den Reiter "Details" gehen, dort findest du die eindeutige Kennung.

[o_rakel 10]

ok, danke

ja es ist w2003 r2

 

und nun weiß ich, dass es die Default Domain Policy ist, die Stress macht... nun bleibt noch zu klären wieso und warum sie es nicht tut...

[o_rakel 10]

hallo zusammen,

 

nach den änderungen einmal clients neustarten und einmal server (DCs) neustarten und die Fehler verschwinden... - nun kann ich mich ja um die nächsten bugs kümmern :D

[o_rakel 10]

Scheint eine Sache zu sein, die immer mal wieder auftreten kann...

habe gestern die DCs leider parallel neugestartet und das haben die GPOs wohl nicht verkraftet....

 

Bei allen vorherigen Abschaltungen und Neustarts, hat es problemlos funktioniert....

 

Schaun wir mal....

 

Hat jemand eine Idee, woher das kommt?

 

CU