Rechner verliert GPOs

[autowolf 12]

Hi,

habe seit eingen Wochen das Problem, dass manchmal die GPOs bei den Windows 10 Clients nicht beim starten geladen werden und somit der Rechner am WSUS vorbei sich die Updates aus dem Netz zieht. Nach einem gpupdate /force sind die Einstellungen wieder da.

Dieses passiert auch bei unserem Fileserver (2012 R2 DC) nach eingen Tagen Online sein, auch ein Neustart hilft hier nicht, nur gpupdate /force. Die anderen Server (25 Stück) haben keine Probleme.

Die Server laufen alle auf ESXi Server. Hier haben wir keine geschwindigkeits Probleme. Auch das Netz zu den ca. 70 Clients läuft mit 10Gbit sehr schnell.

Domain Controller sind (noch) Windows 2012 R2 DC. Die zwei Controller kümmern sich nur im die Domain, DNS und DHCP.

Kennt ihr das Problem?

bearbeitet 15. Dezember 2020 von autowolf

[djmaker 95]

Was sagt die Ereignisanzeige der DCs und der Clients? Wie schauen die DNS-Einträge aus?

[Sunny61 806]

vor einer Stunde schrieb autowolf:

habe seit eingen Wochen das Problem, dass manchmal die GPOs bei den Windows 10 Clients nicht beim starten geladen werden und somit der Rechner am WSUS vorbei sich die Updates aus dem Netz zieht.

Ich denke Du hast DualScan nicht deaktiviert. Zeig doch mal alle Einstellungen aus dem GPO für den WSUS.

vor einer Stunde schrieb autowolf:

Nach einem gpupdate /force sind die Einstellungen wieder da.

Vorher ist ganz sicher nichts mehr an der Stelle in der Registry?

BTW: /force ist flüssiger als Wasser.

bearbeitet 15. Dezember 2020 von Sunny61

[daabm 1.348]

@Sunny61 In dem Fall braucht er /force tatsächlich, weil Administrative Vorlagen per default nicht neu angewendet werden ohne Änderung. Aber das geht an der eigentlichen Ursache weit vorbei, da braucht's forensische Analyse

 

Per Default @autowolf ist es nämlich so: Der Rechner merkt sich, welche Werte aus Administrative Vorlagen er beim letzten GPUPdate verarbeitet hat. Beim nächsten regulären Update - wenn erforderlich - werden diese Werte alle erst gelöscht und dann neu geschrieben. Kann man im gpsvc.log auch prima nachvollziehen. Wenn keine Domänenverbindung vorhanden ist oder sonstwas die GPO-Verarbeitung stört, passiert nix - die bereits vorhandenen Werte bleiben erhalten.

 

So gesehen kann das, was Du beobachtest, kein alleiniges Problem von GPOs sein, da spuckt noch was anderes mit rein. Was? Weiß ich nicht... gpresult wäre so ein erster Diagnose-Ansatz.