Druckerumleitung zum Terminalserver abhängig vom Client-PC

[iTob 10]

Hallo,

 

wir betreiben einen Terminalserver innerhalb des Lokalen Netzwerkes. Die Drucker werden nach GPO vom Printserver zugewiesen. Deshalb ist die Druckerumleitung verboten.

 

Nun planen wir den Zugriff von aussen per SSH-Tunnel auf den RDP-Port. Nun wäre es sinnvoll die Druckerumleitung für die externen Computer zu erlauben .

 

Kann ich das mit GPO's realisieren?

 

Die Sicherheitsfilterung nützt mir nichts, weil sich die gleichen Benutzer am gleichen Termnalserver anmelden.

Bekomme ich das vielleicht mit der WMI-Filterung irgendwie hin?

 

VG, Tobias

[Daniel -MSFT- 129]

Hi Tobias,

 

wenn Du die Druckerumleitung für den Terminal Server per GPO deaktivierst, kannst Du das nicht nach zugreifenden Clients machen. Ein naheliegender Ausweg wäre, den Clients vorkonfigurierte RDP-Dateien zur Verfügung zu stellen. Mit Druckerumleitung für die externen und ohne für die internen. Allerdings traue ich Anwendern immer alles zu, daher wird das sehr wahrscheinlich nicht auf Dauer gut gehen.

 

Was Du stattdessen machen könntest, wäre dem Terminal Server eine zweite Netzwerkkarte zu verpassen. Eine für die interne Nutzung und eine für die externen Zugriffe.  Du nimmst die Deaktivierung der Druckerumleitung aus der GPO raus. Jetzt aktivierst Du im RDP-Listener auf der Karte für die Externen die Druckerumleitung und deaktivierst sie auf der Karte für die Internen. Auf die Karte für die Internen zeigt der DNS-Eintrag.

 

Für den Zugriff der Externen würde ich solche Handstände wie einen SSH-Tunnel nicht veranstalten. Warum nimmst Du nicht RD Gateway und tunnelst RDP in HTTPS? Dann kannst Du über das RD Gateway den Terminal Server über die Netzwerkkarte für Externe veröffentlichen und die Druckerumleitung von extern funktioniert.

 

Alternativ sollte auch funktionieren (hab ich noch nciht getestet), wenn Du interne und externe Zugriffe über RD Gateway laufen lässt und abhängig vom Zugriff die Druckerumleitung in der Remotedesktop-Verbindungsautorisierungsrichtlinie (RD-CAP) erlaubst oder verbietest: http://technet.microsoft.com/de-de/library/cc753324.aspx

 

Parallel dazu würde ich mir TS Easy Print ansehen: Siehe http://blogs.msdn.com/b/rds/archive/2009/09/28/using-remote-desktop-easy-print-in-windows-7-and-windows-server-2008-r2.aspx und  http://www.virtualizationadmin.com/articles-tutorials/vdi-articles/microsoft-hyper-v/how-configure-microsoft-rds-universal-printing.html. Du kannst damit die Stabilität des Terminal Servers deutlich erhöhen, da auf dem Server nur noch ein Druckertreiber benötigt wird und die Clients die Druckausgabe durch den lokalen Spooler und Renderer erledigen. Eventuell wäre das auch besser für die internen Nutzer.

 

Have fun!
Daniel