Internetoptionen für TLS Einstellungen werden ständig zurückgestellt.

[bavarianguy 0]

Hallo, ich finde keine Gruppenrichtlinie oder andere Konfiguration die erklären würde warum in der Domäne ständig TLS 1.0 aktiviert und 1.1 + 1.2 deaktiviert wird unter dem erweitert Reiter in den Internetoptionen.

1.3 bleibt wie vom User eingestellt. gpresult nach tls oder 1.2 durchsucht ergibt keine Ergebnisse.

 

Hat jemand ne Idee woher das kommen könnte?

In einer darübergelagerten read only Domäne für Adminuser passiert das nicht, wenn ich meinen Client Admin benutze um mich einzuloggen ist alles normal, 1.0 deaktiviert und 1.1 + 1.2 aktiviert.

[Nobbyaushb 1.473]

Moin und willkommen an Board,

 

schreib doch mal bitte noch näheres zu der Umgebung - wie groß ist die Umgebung, wie viele DC´s, Server, User etc...

 

Habt ihr Tiering? Oder was meinst du mit darübergelagerter Domain?

 

[NorbertFe 2.050]

Über welchen Browser redest du denn? Wirklich relevant ist das ja nur noch für den IE, und der ist ja mehr oder weniger tot. Wenns schon eine "ältere" Umgebung ist, könnten es die "Internet Explorer Wartung" sein, die man aber afaik in der GPMC usw. nicht mehr sieht.

 

https://blog.it-koehler.com/Archive/1037

https://learn.microsoft.com/en-us/previous-versions/windows/internet-explorer/ie-it-pro/internet-explorer-11/ie11-deploy-guide/missing-internet-explorer-maintenance-settings-for-ie11

 

Bye

Norbert

[daabm 1.357]

Kennt IEM schon TLS1.2? "gpresult durchsucht" - welche Art von Report und wie durchsucht? Und was passiert, wenn man das manuell ändert und gpupdate aufruft - dann auch wieder falsch?

[NorbertFe 2.050]

Weiß ich grad nicht, weils ja doch schon ne Weile her ist. Gabs das noch mit IE8? :)

[bavarianguy 0]

vor 21 Stunden schrieb Nobbyaushb:

Moin und willkommen an Board,

 

schreib doch mal bitte noch näheres zu der Umgebung - wie groß ist die Umgebung, wie viele DC´s, Server, User etc...

 

Habt ihr Tiering? Oder was meinst du mit darübergelagerter Domain?

 

Ja eine Tiering Domäne liegt über der eigentlichen, in dieser Domäne habe ich den Effekt nicht. 

Ca 1000 Clients und 2 DCs pro Domäne.

 

vor 21 Stunden schrieb NorbertFe:

Über welchen Browser redest du denn? Wirklich relevant ist das ja nur noch für den IE, und der ist ja mehr oder weniger tot. Wenns schon eine "ältere" Umgebung ist, könnten es die "Internet Explorer Wartung" sein, die man aber afaik in der GPMC usw. nicht mehr sieht.

 

Bye

Norbert

Nicht wirkklich Browser, bemerkbar macht es sich im Teams, hier kommt dann die Meldung dass ein Serverfehler besteht und keine Verbindung aufgebaut wird.

 

vor 20 Stunden schrieb daabm:

Kennt IEM schon TLS1.2? "gpresult durchsucht" - welche Art von Report und wie durchsucht? Und was passiert, wenn man das manuell ändert und gpupdate aufruft - dann auch wieder falsch?

Damit meinte ich dass ich gpresult schon mal durchforsted hab ob ich eine Richtline sehe, da ein gpupdate sofort zur Umstellung führt.

[NorbertFe 2.050]

vor 2 Stunden schrieb bavarianguy:

da ein gpupdate sofort zur Umstellung führt.

 

Im Zweifel Procmon anwerfen und suchen. Alternativ eine Policy erstellen die die gewünschten Settings beinhaltet und die dann per "Erzwungen" mal schauen obs hilft.

bearbeitet 25. April von NorbertFe

[bavarianguy 0]

vor 21 Minuten schrieb NorbertFe:

 

Im Zweifel Procmon anwerfen und suchen. Alternativ eine Policy erstellen die die gewünschten Settings beinhaltet und die dann per "Erzwungen" mal schauen obs hilft.

Pro min ist ein guter Tip, danke. Zum 2. Teil, wenn ich wüsste welche Policy hät ich keine Probleme denn meine Nachforschungen haben ergeben dass es hier keine direkte Policy geben dürfte um die einzelnen Punkte 1.1 1.2 1.3 einzeln ansteuern zu können . Aber morgen früh werd ich mal procmon anwerfen.

[testperson 1.682]

Hi,

 

alternativer Ansatz: Testclient und Testuser in TestOU(s) ohne Policies schieben und dann nach und nach die Policies verlinken.

 

HTH

Jan

[NorbertFe 2.050]

vor 11 Minuten schrieb bavarianguy:

es hier keine direkte Policy geben dürfte um die einzelnen Punkte 1.1 1.2 1.3

 

 

https://gpsearch.azurewebsites.net/Default.aspx?PolicyID=380

 

Das wäre per Policy aber dann wären vermutlich die anderen jeweils deaktiviert. Insofern vermute ich dann entweder einen Regimport oder Registry GPP.

Insofern ist doch egal, wenn du TLS 1.2 und TLS 1.3 aktivierst und erzwingst. Dann gilt deine Policy und der Rest "sollte" nicht mehr relevant sein. Finden sollte man es natürlich trotzdem

 

Bye

Norbert

 

bearbeitet 25. April von NorbertFe

[bavarianguy 0]

vor 21 Stunden schrieb NorbertFe:

 

 

https://gpsearch.azurewebsites.net/Default.aspx?PolicyID=380

 

Das wäre per Policy aber dann wären vermutlich die anderen jeweils deaktiviert. Insofern vermute ich dann entweder einen Regimport oder Registry GPP.

Insofern ist doch egal, wenn du TLS 1.2 und TLS 1.3 aktivierst und erzwingst. Dann gilt deine Policy und der Rest "sollte" nicht mehr relevant sein. Finden sollte man es natürlich trotzdem

 

Bye

Norbert

 

Danke, das hilft mir erstmal weiter bis die Domänenstruktur abgelöst wird, wir ziehen grad in eine saubere Domäne um von dem aktuellen Konstrukt.

Der Name "Kombination von sicheren Protokollen" hat meiner Suche nach TLS nicht geholfen, danke dafür. Mit erzwingen bleibt TLS 1.0 bis 1.2 aktiv und Teams kann sich anmelden.

[NorbertFe 2.050]

Ich würd ja alles bis auf TLS 1.2 und TLS 1.3 abschalten ;)

[bavarianguy 0]

Ich auch, aber es gibt hier Spezialanwendungen für uralt Gerätschaften... 

In der neuen Struktur werden diese Dinge hinter eine eigene interne Firewall verbannt und über Terminalserver drauf zugegriffen nicht mehr direkt vom User Client aus.