Terminaldienst -> Printserver berechtigung

[tirechan 10]

hallo!

 

habe ein problem und wäre froh um euere hilfe. habe einen terminalserver auf den einige clients zufreiffen.

 

nun sollen die clients die drucker von einem printserver benutzen können. nicht mehr und nicht weniger. der printserver ist nicht in der domäne.

 

terminaldienst server und clients auf w2k ads resp. win2k

printserver w2k

 

wie krieg ich das hin ohne dass die clients immer das passwort eingeben müssen um drucken zu können?

 

wäre sehr dankbar

[saracs 10]

hi!

 

wieso nimmst du den printserver nicht in die domäne auf? :suspect:

 

gruss saracs

[tirechan 10]

der darf aus sicherheitstechnischen gründen nicht in die domäne rein...

 

mich interessiert eigentlich nur wie es geht wenn er ausserhalb der domäne ist...innerhalb funktioniert alles...aber der printserver darf nicht in die domöne

[madbull 10]

dann musst du die freigaben für die drucker für die gruppe jeder vergeben

 

somit dürfen auf leute ausdrucken die der printerserver net kennt und er sollte normalerweise dann nicht mehr fragen

 

nur ist das dann ein anderes sicherheitsrisiko :D

[Operator 10]

Hi,

 

@tirechan: Wenn der Server so wichtig ist, daß er nicht in die Domäne soll, dann sorg dafür, daß ein anderer Server die Printdienste übernimmt. Alles andere macht den Server auch nicht sicherer. Egal ob in oder außerhalb der Domäne.

 

Gruß

Andre

[tirechan 10]

durch die gesamte konstellation mit vpn's und den gesonderten programm diensten ist es nicht anders möglich als den printserver ausserhalb der domäne zu lassen.

 

es wäre wohl einiges zu kompliziert hier die gesamte struktur aufzuzeigen aber ich denke es reicht wenn zyxel 3 monate gebraucht hat ein firmwareupdate zu entwickeln dass die fehler welche durch die vpn zusammenstzungen entstanden zu beheben...geschweige denn stundenlange telefonate mit den technikern der offiziellen vertretung...

 

nun dank dem dass der printserver ausserhalb der domäne ist und noch einigen anderen änderungen läuft das gesamte wunschgemäss...und nur wegen dem terminaldienst nochmals monate lang nach einer lösung suchen????...ich denke eher nein.

[Operator 10]

Naja, für mich wird es schwer eine Lösung zu finden, wenn die Struktur unklar ist. Mir ist nicht klar, was Dein Problem mit VPN zu tun hat... aber das wird dann schon seinen Grund haben.

 

Welche Probleme Router von Zyxel machen ist ja auch egal. Wenn so'n Teil nicht funzt, kommts halt in die Tonne und was ordentliches her :) Sorry, klingt zwar hart, ist aber im Endeffekt kosteneffektiver.

 

Auf jeden Fall wirst Du mit so halbgaren Sachen keine allzugroße Sicherheit erzielen.

Und mit "passt schon!" solltest Du dich eigentlich auch nicht zufrieden geben.

Ich meine das nicht böse sondern gebe es lediglich zu bedenken.

 

Und jetzt alle aufhören zu lesen und die Sonne genießen :)

 

Gruß

Andre

[saracs 10]

der darf aus sicherheitstechnischen gründen nicht in die domäne rein...

 

mich interessiert eigentlich nur wie es geht wenn er ausserhalb der domäne ist...innerhalb funktioniert alles...aber der printserver darf nicht in die domöne

 

welchen gefahren ist denn ein printserver in einer domäne bitte ausgesetzt? du weisst schon das das völliger ****sinn ist den du hier erzählst oder!?

 

steck das ding in die domäne wenn du dir wegen der sicherheit sorgen machst. alles andere ist grob fahrlässig (auch wenn es sich nur um einen printserver handelt) ! ;)

 

gruss saracs

[tirechan 10]

vielen dank für eure belehrungen welche mir sehr geholfen haben...

 

nur weil ihr nicht versteht warum der jetzt nicht in die domöne darf??? tztztz naja vielleicht bin ich wirklich unqualifiziert da bei mir im footer nicht steht welche qualifikationen ich hab...

 

sorry aber das problem steht immer noch...

[saracs 10]

vielen dank für eure belehrungen welche mir sehr geholfen haben...

 

:nene:

 

nur weil ihr nicht versteht warum der jetzt nicht in die domöne darf???

 

ich wüsste nicht was es da zu verstehen gibt. erklärt hast du es ja nicht wirklich ;)

 

 

tztztz naja vielleicht bin ich wirklich unqualifiziert da bei mir im footer nicht steht welche qualifikationen ich hab...

 

wen interessiert hier wer was in seiner sig für "ach so tolle" zertifikate stehen hat? ich wollte dir eigentlich nur zeigen das dein problem mit einer domäneneinbindung erledigt wäre! eine sache von 3 klicks also...

 

gruss saracs

[tirechan 10]

war auch nicht böse gemeint...das es so funktioniert weis ich auch.

 

ich wollte lediglich wissen ob hier schon jemand einmal über terminaldienst auf einen drucker der auf einen printserver ausserhalb der domäne läuft zugegriffen hat. ist dies nicht der fall dann werde ich noch ein wenig weiter testen...irgendwie wird es dann schon gehen...

 

danke nochmals...

 

ps:falls jemand doch ne lösung für mein problem hat und nicht für meine infrastruktur wär ich sehr dankbar.

[madbull 10]

Ach Jungs

 

jetz hört halt auf zu stänkern :wink2:

 

@ tirechan

 

hier will dich keiner belehren oder sonst irgendwas

me hat auch keine tollen sachen in meiner signatur

aber ohne eine genau erklärung was dein problem ist

kann sich doch keiner das problem aus der ferne vorstellen

 

wir hocken ja nicht wie du vor der kiste

 

also erklär doch mal kurz und knapp was der problem ist

thx

 

wir wollen dir doch nur helfen

[tirechan 10]

also folgendermassen:

 

einige aussenstandorte und home offices: die möchte von zuhause aus im geschäft oder in einer der filialen drucken. demzufolge eine vpn auf terminalserver.

 

der printserver steht in der dmz und die kommunikation zwischen dmz und lan ist blockiert (aus sicherheitsgründen) vom terminalserver darf auf den printserver resp. die drucker zugegriffen und gedruckt werden. der druckauftrag öffnet dann automatisch eine vpn auf den jewiligen drucker.

prinzipiell wird durch die vpn nur der terminaldienst durchgelassen. das problem wenn ich den printserver in die domäne nehme, geht der druckauftrag raus öffnet er so ziemlich viele ports. ist der printserver in der domäne kann mister x während dieser zeit wohl so ziemlich alles anstellen in meiner domäne...darum steht der printserver in der dmz...demzufolge kann mister x zwar alles auf meinem printserver anstellen, hat jedoch kein zugriff auf meine domäne.

 

ich hoffe das hilft ein wenig. das problem äussert sich eigentlich dass die benutzer kein zugriff auf die drucker haben, auch nicht wenn jeder gegeben ist (Das drucken funktioniert net....) ansonsten muss ich jeden benutzer einzeln auf dem printserver eröffnen...nun wenn aber nach 2 monaten der passwortwechsel der benutzer erfolg, müssen die auf dem printserver auch gewechselt werden weil es ansonsten wieder nicht funktioniert...

 

dies in etwa die problemstellung. nun weis jemand von euch wie man das lösen kann?

[madbull 10]

Okay nur mal kurz zum verständniss

 

kommunikation zwischen dmz und lan nicht möglich

wenn der terminalserver was drucken will , stellt er eine vpn zum printerserver her

über die automatisch aufgebauten vpn werden dann die druckaufträge an den printerserver übertragen

 

aber genau das funktioniert net

 

 

------------------------------------------------------

und nur mal so als querschläger von mir

 

du schreibst

geht der druckauftrag raus öffnet er so ziemlich viele ports. ist der printserver in der domäne kann mister x während dieser zeit wohl so ziemlich alles anstellen in meiner domäne...darum steht der printserver in der dmz..

 

also meiner meinung nach, sobald ein angreifer zugriff auf den printserver bekommt, kann er dann über die verbindug die automatisch über vpn aufgebaut wird genauso auf eure domäne zugreifen

aber wie gesagt das tut nix zur sache

[tirechan 10]

über die automatisch aufgebauten vpn werden dann die druckaufträge an den printerserver übertragen

 

aber genau das funktioniert net

 

die vpns werden geöffnet aber er druckt net...bringt ein fehler das einzige wie ichs bis jetzt hingekriegt hab ist wenn jeder vor dem drucken nochmals für den drucker pw angibt...aber das ist zu umständlich...genauso wie benutzer eröffnen....

 

 

hmm zu deinem querschläger...kann er eben nicht weil nur eine verbidnung (ausgehend) erlaubt ist...

im übrigen wurde die gesamte sicherheitsinfrastruktur von einer amerikanischen firma getestet welche dass vollberuflich macht...die einzige sicherheitslücke war vnc..welche aber seit alles aktiv ist abgeschaltet wurde...

 

aber ich denke du hast das problem begriffen...danke