Über Anmeldeskript DNS-Server mit netsh ändern - Zugriff verweigert

[martins 11]

Ich würde gerne in unserer Domäne bei einigen Clients den DNS-Server ändern, da sich dieser geändert hat und wir kein DHCP einsetzen. Ich habe für die entsprechenden Clients, bzw. User ein Anmeldeskript erstellt, was so aussieht:

 

 

netsh interface ip set dns LAN-Verbindung static 192.168.1.1

netsh interface ip add dns LAN-Verbindung 192.168.1.2 index=2

 

Bei der Anmeldung eines Users wird das Script auch gezogen, leider erscheint aber die Fehlermeldung "Zugriff verweigert".

 

Führe ich das Script als Administrator aus, werden die DNS-Server entsprechend geändert.

 

Den "Testuser" habe ich der Gruppe "Netzwerkkonfigurations-Operatoren" hinzugefügt, was leider aber nicht geholfen hat.

 

 

Wo ist mein Fehler?

 

 

Gruß und Danke

Martin

 

 

P.S. Die Clients sind alle Windows XP Prof. (SP2), die Domäne ist Windows Server 2008 R2

[LukasB 10]

Richte das Script als Computerstartupscript ein. Bei der Gelegenheit könntest du auch auf DHCP umstellen.

[martins 11]

Danke für den Tipp, Lukas.

 

Gesagt, getan => Gruppenrichtlinie für die betreffenden PCs in der entsprechenden Organisationseinheit erstellt und mit der Batch-Datei gefüttert. Geändert wurde allerdings nichts. Das Ereignisprotokoll eines Clients spuckte dann das hier aus:

 

 

 

Ereignistyp: Fehler

Ereignisquelle: UserInit

Ereigniskategorie: Keine

Ereigniskennung: 1000

Datum: 13.09.2009

Zeit: 17:17:33

Benutzer: Nicht zutreffend

Computer: TEST01

Beschreibung:

"Folgendes Skript konnte nicht ausgeführt werden: \\domaene.lokal\SysVol\domaene.lokal\Policies\{C56486AF-1CA5-4A1B-A3CA-914D55A9BBBA}\Machine\Scripts\Startup\DNS_WINS.bat. Das System kann die angegebene Datei nicht finden.

 

Ich hab es dann auf einem der DCs in diesen Pfad verschoben: C:\Windows\SYSVOL\sysvol\domaene.lokal\scripts - seither gehts.

 

Danke! ;)

[Sunny61 812]

Gesagt, getan => Gruppenrichtlinie für die betreffenden PCs in der entsprechenden Organisationseinheit erstellt und mit der Batch-Datei gefüttert. Geändert wurde allerdings nichts. Das Ereignisprotokoll eines Clients spuckte dann das hier aus:

 

Ereignistyp: Fehler

Ereignisquelle: UserInit

Ereigniskategorie: Keine

Ereigniskennung: 1000

Datum: 13.09.2009

Zeit: 17:17:33

Benutzer: Nicht zutreffend

Computer: TEST01

Beschreibung:

"Folgendes Skript konnte nicht ausgeführt werden: \\domaene.lokal\SysVol\domaene.lokal\Policies\{C56486AF-1CA5-4A1B-A3CA-914D55A9BBBA}\Machine\Scripts\Startup\DNS_WINS.bat. Das System kann die angegebene Datei nicht finden.

 

GPO-FAQ No. 36, beide Einstellungen setzen und die Clients zweimal booten: FAQ-GPO

 

Ich hab es dann auf einem der DCs in diesen Pfad verschoben: C:\Windows\SYSVOL\sysvol\domaene.lokal\scripts - seither gehts.

 

Hmm, das würde mich schon sehr stutzig machen. Es muß bei beiden Pfaden funktionieren.

[martins 11]

GPO-FAQ No. 36, beide Einstellungen setzen und die Clients zweimal booten: FAQ-GPO

 

Danke für den informativen Link!

 

 

Hmm, das würde mich schon sehr stutzig machen. Es muß bei beiden Pfaden funktionieren.

 

Ich werde morgen testen, ob Nr. 36 hier zutrifft. Wozu werden überhaupt diese ...\{C56486AF-1CA5-4A1B-A3CA-914D55A9BBBA}\... Ordner generiert?

[NorbertFe 2.115]

Wozu werden überhaupt diese ...\{C56486AF-1CA5-4A1B-A3CA-914D55A9BBBA}\... Ordner generiert?

 

Das ist die GUID des dazugehörigen GPO.

 

Bye

Norbert

[martins 11]

Das ist die GUID des dazugehörigen GPO.

 

Danke Norbert.

 

 

Das Problem welches mittlerweile aufgetreten ist, ist dass die Clients sich die Richtlinie nicht abholen. In den Netzwerkeinstellungen der Clients ist noch ein „alter“ DC als 1.DNS angegeben, der am Wochenende durch einen Windows Server 2008 R2 ersetzt wurde. Der neue 2008er DC hat eine andere IP als der vorherige 2003er DC. Der alte DC wurde heruntergestuft und ist nur noch Memberserver. Leider werden die DNS-Anfragen nicht an den neuen 2008er DC weitergeleitet. Ich denke dass dies der Grund dafür ist, dass sich die Clients die Gruppenrichtlinie nicht ziehen können.

 

Was kann ich denn machen, dass die Clients automatisch auf dem 2008er nach dem DNS gucken? Auf dem alten 2003er DC ist dies in den Weiterleitungen konfiguriert: „Alle anderen DNS-Domänen“ im Bereich: (…) „Abfragen von Namen in folgenden DNS-Domänen weiterleiten.“

 

Wenn ich aus dem DNS des alten 2003er DC mich mit dem DNS-Server auf dem 2008er verbinden möchte: DNS => Mit DNS-Server verbinden, erscheint die Meldung: „Server ist nicht verfügbar. Soll er trotzdem hinzugefügt werden?“ Wenn ich dies bestätige, kann ich aber trotzdem nicht den DNS-Server auf den anderen Server (2008er) verwalten. :confused:

[martins 11]

Das Problem lag einfach daran, dass an dem alten 2003er DC und DNS in den Weiterleitungen nicht die IP-Adresse des neuen 2008er DCs angegeben wurde.

 

So wäre es richtig gewesen:

 

DNS-Server öffnen (hier der alte DC/DNS), In den Eigenschaften von "Weiterleitungen" (oder in den Eigenschaften des DNS-Servers das Register "Weiterleitungen") die IP-Adresse des neuen 2008er DC/DNS unter "Weiterleitungs-IP-Adressliste der gewählten Domänen" hinzufügen, Neustart der DNS-Dienste, Fertig.