DHCP-Anmeldeinformationen für dynamisches DNS

[websurfer83 0]

Hallo zusammen,

 

ich habe eine Frage oder ein kleineres Problem:

Bei den Eigenschaften des IPv4-DHCP-Servers kann man die Option aktivieren, dass der DHCP-Server die registrierten Clients beim DNS dynamisch anmeldet.

 

Leider funktioniert dies aber nur bei Windows-Clients zuverlässig. Linux-Clients tauchen nicht in der DNS-Tabelle auf.

 

Deshalb habe ich ein wenig herum experimentiert und habe bei den Anmeldeinformationen die Benutzerdaten eines Domänen-Admins eingetragen. Das hat jedoch nichts daran verändert.

Gerne möchte ich die Änderung daher wieder rückgängig machen.

 

Bei einem anderen Server habe ich mir das angesehen, dort steht standardmäßig kein Benutzername und keine Domäne drin, doch es ist ein Passwort mit mehreren * hinterlegt (siehe Screenshot).

 

Welches Passwort ist dort eingetragen? Oder was muss ich tun, um diesen standardmäßigen Zustand wieder hin zu bekommen?

Hat jemand einen Tipp?

 

Wie bekomme ich es außerdem hin, dass auch die Linux-Clients dynamisch im DNS eingetragen werden? Im DHCP melden sie sich übrigens mit ihrem vollen FQDN an, nur wird der nicht ans DNS "durchgereicht"...

 

Viele Grüße und vielen Dank

websurfer83.

[NilsK 2.957]

Moin,

 

Unabhängig vom Kennwort stehen dort immer Sternchen. Kein Konto = kein Kennwort.

 

Siehe dazu auch:

http://www.faq-o-matic.net/2015/04/08/die-ad-dns-zone-sicher-konfigurieren/

 

Gruß, Nils

bearbeitet 1. Dezember 2015 von NilsK

[websurfer83 0]

Moin,

 

Unabhängig vom Kennwort stehen dort immer Sternchen. Kein Konto = kein Kennwort.

 

Siehe dazu auch:

 

 

Gruß, Nils

Hallo Nils,

 

danke für die Antwort. Bei "Siehe dazu auch" ist leider kein Link zu sehen.

 

Verstehe ich es richtig, dass ich einfach das eingetragene Konto lösche, nichts eintrage, auf "OK" klicke und wieder den Auslieferungszustand habe?

 

Dann werde die DNS-Registrierungen als "SYSTEM" durchgeführt, oder sehe ich das falsch?

 

Viele Grüße und danke

websurfer83.

[NilsK 2.957]

Moin,

 

hm, komisch. Dann funktioniert der Editor vom Smartphone aus wohl nicht so besonders. Gemeint war dies:

 

[Die AD-DNS-Zone sicher konfigurieren | faq-o-matic.net]
http://www.faq-o-matic.net/2015/04/08/die-ad-dns-zone-sicher-konfigurieren/

 

Ja, wenn du das Konto dort entfernst, sollte der "Normalzustand" wiederhergestellt sein. Besser ist es aber, dort ein Domänenkonto einzutragen, das extra für den Zweck gedacht ist. Normales Konto, keine Adminrechte, komplexes Kennwort.

 

Gruß, Nils

EDIT: Ich kann in meiner Antwort von vorhin den Link sehen, und er funktioniert auch. Vielleicht hattest du zu früh nachgesehen, ich habe ihn eine Minute später nachgetragen, weil das Telefon nicht so wollte wie ich.

bearbeitet 1. Dezember 2015 von NilsK

[websurfer83 0]

Hallo Nils,

 

ja, danke, ich habe den Link dann auch noch gesehen.

 

Meine Frage zum separaten User:

In welchen Gruppen muss der Mitglied sein? Nur "Domänen-Benutzer", sonst nichts? Keine Netzwerk-Operatoren etc.?

 

Viele Grüße und danke

websurfer83.

[NilsK 2.957]

Moin,

 

korrekt. Keine Spezialberechtigungen. Man kann auch die lokale Anmeldung überall verweigern, um das Konto abzusichern.

 

Gruß, Nils

[websurfer83 0]

Moin,

 

korrekt. Keine Spezialberechtigungen. Man kann auch die lokale Anmeldung überall verweigern, um das Konto abzusichern.

 

Gruß, Nils

 

Danke, Wo kann ich festlegen, dass ein bestimmtes Konto sich an keinem Rechner anmelden darf?

[NilsK 2.957]

Moin,

 

am einfachsten per Gruppenrichtlinie: Lokal anmelden verweigern.

 

Gruß, Nils

[websurfer83 0]

Moin,

 

am einfachsten per Gruppenrichtlinie: Lokal anmelden verweigern.

 

Gruß, Nils

Hallo Nils,

 

die gilt dann aber für alle Konten, oder sehe ich das falsch?

 

Gruß und vielen Dank

websurfer83.

[NilsK 2.957]

Moin,

 

nein. Wie wäre es, wenn du dir das mal ansiehst?

 

Gruß, Nils

[websurfer83 0]

Moin,

 

nein. Wie wäre es, wenn du dir das mal ansiehst?

 

Gruß, Nils

 

Ja, das ist eine gute Idee. Der Kniff scheint wohl das Anlegen einer zusätzlichen Gruppe zu sein. So steht es zumindest in diesem, zugegeben etwas veralteten, Artikel:

http://www.andysblog.de/windows-lokale-benutzeranmeldung-verhindern

 

Ich hoffe, dass das bei W2k12 R2 noch genauso funktioniert.

 

Vielen Dank Nils für deine Hilfe!

Gruß

websurfer83.

[daabm 1.366]

Das funktioniert noch genauso... AD-Gruppe "Service-Accounts", die kriegt "Anmelden als Dienst" und "lokal anmelden verweigern".

 

Oder noch besser: Per GPP eine lokale Gruppe "seDenyInteractiveLogonRight" und eine Gruppe "seServiceLogonRight" erstellen. Die beiden Gruppen per GPO in die Benutzerrechte eintragen. Und dann den Account in diese lokalen Gruppen schieben. Klingt kompliziert? Ist es aber nicht: http://evilgpo.blogspot.de/2015/04/wer-bin-ich-und-was-darf-ich.html

 

:)

[websurfer83 0]

Danke, es hat geklappt.

 

Doch nun noch einmal die Frage vom Anfang:

Warum werden Clients, die nicht Mitglied in der Domäne sind, nicht im DNS registriert? Beim DHCP melden sie sich ordnungsgemäß mit ihrem FQDN an, doch im DNS erscheinen sie nicht. Kann diesbezüglich jemand weiterhelfen?

 

Vielen Dank und viele Grüße

websurfer83.

[NilsK 2.957]

Moin,

 

oh, das ist eine lange Geschichte ...

 

[Die AD-DNS-Zone sicher konfigurieren | faq-o-matic.net]
http://www.faq-o-matic.net/2015/04/08/die-ad-dns-zone-sicher-konfigurieren/

 

Gruß, Nils

[Sunny61 807]

Warum werden Clients, die nicht Mitglied in der Domäne sind, nicht im DNS registriert? Beim DHCP melden sie sich ordnungsgemäß mit ihrem FQDN an, doch im DNS erscheinen sie nicht. Kann diesbezüglich jemand weiterhelfen?

Wie ist denn die DNS-Zone eingestellt? Sichere und/oder unsichere Clients zulassen?