Windows XP Firewall nach Umstellung von NT4 auf AD

[HugoB29 10]

Hallo,

 

hier gab es noch eine sehr alte NT4 Domäne, die vor kurzem auf AD umgestellt wurde (ja, es gibt noch ein paar ganz alte Systeme :-)).

 

Jetzt ist mir aufgefallen, daß die Ausnahmeliste der Windows XP Firewall auf den Clients nur noch eine paar wenige Einträge enthält. Nach etwas Suchen habe ich herausgefunden, daß die XP Clients jetzt melden "Die Firewall verwendet Domäneneinstellungen". Unter der NT4 Domäne sind wohl offensichtlich die Einträge alle im Standardprofile gelandet (in der Registry sind sie dort auch noch alle zu finden), da es dort kein Domänenprofile gab.

 

Gibt es eine Möglichkeit, wie ich die ganzen Einträge die sich über die Jahre im Standardprofile der XP Clients angesammelt haben, in das Domänenprofile rüber bekomme? Oder vielleicht geht es auch per GPO einzustellen, daß die Workstations weiterhin die FW Ausnahmen aus dem Standardprofile nehmen?

 

Global die FW Einträge zentral vorzugeben setzen wäre keine Option, da die ca. 50 betroffenen Clients mit sehr unterschiedlicher Software und damit auch unterschiedlichen FW Einträgen ausgestattet sind.

 

Viele Grüße,

Hugo

[nawas 32]

Ich würde dir raten dies in die GPO zu nehmen, da spätestens bei einer Neuinstallation oder sobald ein neuer PC angeschafft wird ja dann schon wieder so ein herumgebastle/Workaround an dem PC gemacht werden muss.

Des Weiteren kannst du ja dann wenn z.B. der PC andere Software bekommt einfach in eine andere OU/Gruppe legen und dieser zieht sich dann die passende vorbereitete Richtlinie/n.

[HugoB29 10]

Danke für die Rückmeldung.

 

Die meisten der PCs in der jetzt umgestellten Domäne sind alles Spezialmaschinen (deswegen auch die sehr späte umstellung auf AD), die zum größten Teil sehr unterschiedliche Ausnahmen in der FW Liste haben. Wenn ich das über einzelne OUs abdecke, hätte ich bei den ca. 50 Clients bestimmt mind. 25 OUs.

 

Bei einer Neuinstallation wäre es ohnehin kein Problem: Die PCs müßten ohnehin alle von Hand installiert werden, weil fast keiner gleich ist. Da wäre es in diesem Fall kein Problem, beim ersten Programmstart die Anwendungen einfach zu erlauben. Aber die meisten PCs sind ohnehin bereits 5-8 Jahre alte und noch nie neu installiert worden (wg. Spezialsoftware).

 

Nur jetzt an ca. 50 PC gehen und überall alle Anwendungen nochmal in die Ausnahmeliste der Domäne umzutragen, wäre viel Aufwand.

 

Wenn es keine Möglichkeit gibt, per GPO zu sagen, daß er auf den Workstations immer das Standardprofile nehmen soll; spricht dann etwas dagegen ein kleinen Script zu schreiben, daß die Regkeys vom Standardprofile in das Domänenprofile umkopiert?

[Stefan W 14]

Hi,

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\

Parameters\FirewallPolicy\StandardProfile

 

hast du hier schon reingesehen?

damit könntest du es zumindest exportieren, und im domprofile importieren

[HugoB29 10]

Ja. Dort habe ich noch die ganzen alten Einträge. Das wäre dann eben meine Idee gewesen, etwas zu schreiben, daß mir alle Einträge von dort ins Domänenprofile umkopiert.

[Stefan W 14]

Eventuell per script exportieren - mit einer schleife alle "standardprofile" durch "domänenprofil, (name prüfen)" ersetzen, und per neuem Script wieder ausführen lassen.

 

ansonsten exportieren, und gleich in die Gruppenrichtlinie hinein nehmen, und somit für "neuaufsetzen" vorbereitet sein.

 

lg

[Sunny61 804]

Ein wenig Handarbeit wird wohl nötig sein:

Tipparchiv - XP SP2 Firewall-Einstellungen sichern - WinTotal.de

Einstellungen der Windows-Firewall sichern und auf andere PC's übertragen

[HugoB29 10]

Ich habe mir heute eine funktionierende Lösung über ein Batchfile gebastet:

- Export via reg export

- Umschreiben des Strings StandardProfile auf DomainProfile in der reg Datei via sed für win32

- Import via reg import

 

Das Script habe ich per Deployment durch die Domäne geschickt und schon waren alle FW Einträge auf jedem PC vom Standard ins Domänenprofile umkopiert.

 

 

Danke für die Hilfe.

[Stefan W 14]

freut mich dass wir dir helfen konnten, und danke für die Rückmeldung.

lg