Dieser Beitrag ist schon älter. Bitte vergewissern Sie sich, dass die Rahmenbedingungen oder der enthaltene Lösungsvorschlag noch dem aktuellen Stand der Technik entspricht.

Probleme mit Gruppenrichtlinie und Router

Mitglied: emis80
Hallo,

ich habe diese Frage schon im IPCOP Forum gestellt, konnte mir aber niemand was wirklich nützliches zu sagen, deshalb hier nochmal:

Config:
IPCOP Router mit drei Netzwerkkarten, Rot, Grün, Blau
Win XP SP2 Clients in Blau
W2003 Server in Grün

folgendes Problem:

Gruppenrichtlinien werden nicht auf dem Client in Blau ausgeführt, sobald der Client in Grün ist wird die Gruppenrichtlinie ausgeführt.
Alles andere funktioniert, alle Ports geschaltet, Freigaben funktionieren, Firewall Log ist sauber bis auf ICMP vom Client zum Server.
Habe in beiden Netzen gesnifft, der einzige Unterschied bei der Anmeldung ist tatsächlich, das in Grün ein Ping vom Client nicht in der Firewall hängenbleibt, sondern vom Server beantwortet wird, woraufhin die Gruppenrichtlinie übertragen wird. In Blau klappt das mit dem Ping logischer weise nicht, aber kann das denn das Problem sein ???

folgende Config:
über DMZ Pinholes für die Clients (jede IP extra) geöffnete Ports von Blau nach Grün:

53 UDP/TCP
67 U
80 T
88 U
135 T
137 U
138 U
139 T
389 T
445 T

laut Microsoft Infoblättchen sind das alle Ports, die gebraucht werden für ADS und Domänen, und wie gesagt, das Firewall LOG ist bis auf ICMP sauber.

Jemand ne Idee ?


Dirk

Content-Key: 6086

Url: https://administrator.de/contentid/6086

Ausgedruckt am: 01.08.2021 um 23:08 Uhr

Mitglied: fritzo
fritzo 25.01.2005 um 23:09:44 Uhr
Goto Top
Hi,

Deine Vermutung ist korrekt. Vor der Übermittlung von Profile und Policies wird ein ping gesendet, um die Netzwerkgeschwindigkeit zwischen Client und Server zu bestimmen. Wenn dieser nicht durchgeht, hat sich's mit Gruppenrichtlinien und dem Rest. Laß ICMP 8 mal zu und prüf dann nochmal.

Wollt Ihr pings explizit blocken oder ist das jetzt Zufall? Wenn Ihr NetBT aufschaltet, könnt Ihr ping problemlos auch zulassen, das schadet nicht.

Grüße,
fritzo
Mitglied: emis80
emis80 26.01.2005 um 09:50:52 Uhr
Goto Top
Hallo Fritzo,

beim IPCOP handelt es sich um einen Linux Router mit Firewall, das Blaue Netz bedient von der Grundkonfig her ein WLan und ist deshalb gegenüber dem Grünen Netz, in dem sich das kabelgebundene Netz befindet, komplett abgeschottet, nur Internetzugriff (Rotes Netz) ist möglich. Deshalb muß ich für jeden Rechner alle Ports von Blau nach Grün explizit freischalten, auch ICMP ist standardmäßig gesperrt. Das kann man aber nicht so einfach freischalten, dafür muß man die firewall Konfiguration manuell editieren und ich wollte wissen, ob der Aufwand lohnt, ist aber dann wohl so.
Danke für die schnelle ANtwort,

Dirk
Mitglied: Plominski
Plominski 21.02.2005 um 10:16:52 Uhr
Goto Top
grüße

kleine OFF-Topic frage.

hat dein Blaues sowie Grünes LAN die selbe Netmask?

GREEN: "192.168.0.x/255.255.255.0"
BLUE: "192.168.0.x/255.255.255.0"

hatte erst vor kurzem mal einen Win2003 Server in die DMZ der IPCop gestellt und dabei auch verschiedene Netzklassen gewählt...

GREEN: "192.168.0.x/255.255.255.0"
DMZ: "10.0.0.x/255.0.0.0"

Microsofts Datenblätterchen meinten das ein Domänenbetritt erst garnicht in ein anderes (Klassen)Netzwerk funktioniert. z.b "C->A"

vielleicht lag es doch nur an der mangelden Ping Fähigkeit vom Server -> DMZ -> GREEN -> (zum) Client?

MFG Daniel
Mitglied: emis80
emis80 21.02.2005 um 10:26:59 Uhr
Goto Top
Hallo,

es lag daran, das kein ping von blau nach grün durchgelassen wurde.
zwei simple firewallregeln in der rc.local haben das problem beseitigt.

Dirk
Heiß diskutierte Beiträge
question
USB Adapter wie PoE? gelöst HournenharmaVor 1 TagFrageHardware4 Kommentare

Ich habe einen Kunden, der will in seinem Ford mit SYNC2 sein RazerPhone 2 nutzen. Das Problem ist, dass die USB-A Anschlüsse max. 5W geben, ...

question
Fritzbox 6591 - cable gigabit - Fax einrichten wie lösbar ? gelöst daswinimramVor 1 TagFrageRouter & Routing11 Kommentare

Hallo Community und Admins ! Folgende Hardware : FRITZBOX 6591 an Vodafone Gigabit Kabelanschluss. 1 Rufnummer (SIP) eingetragen, funktioniert seit Jahren. Hintergrundwissen : Bei YodasPhone ...

question
BIOS.UEFI verliert Datum und Uhrzeitc0d3.r3dVor 1 TagFrageCPU, RAM, Mainboards6 Kommentare

Mahlzeit, mein privat Rechen zuhause verliert in letzter Zeit regelmäßig nach einem Kaltstart das aktuelle Datum sowie die Uhrzeit. Alle anderen BIOS bzw. UEFI-Einstellungen bleiben ...

question
Einige AD-User bekommen bei Anmeldung ein TEMP-ProfilgoRainiVor 1 TagFrageWindows Netzwerk6 Kommentare

Wir haben eine Domäne inkl. servergespeicherten Profilen mit u.a. mehreren Citrix-Terminal-Servern, die jede Nacht neustarten. Auf einer der Citrix-Maschinen lief heute früh die Festplatte voll, ...

question
USB 3 beißt sich mit 2,4Ghz Funkperipherie gelöst O-Two06Vor 14 StundenFragePeripheriegeräte3 Kommentare

Hiho, ich habe nun schon einige Artikel über das leidige Thema gelesen, komme aber zu keiner Lösung. Ich habe Mini-PCs, bei denen nun leider mal ...

question
Wav to mp3 mit LameMPFGVor 1 TagFrageBatch & Shell3 Kommentare

Hallo, versuche gerade mehre tausend wav´s im mp3 umzuwandeln Alle liegen in einem Hauptordner mit vielen Unterordnern. Das ganze soll über Lame funktionieren. lame -b ...

question
Hyper-V - verwaiste Snapshots löschenbasdschoVor 7 StundenFrageHyper-V16 Kommentare

Hallo, mein Veeam machte bei einer installation Probleme und konnte plötzlich die Snapshots nicht mehr löschen. Kein Problem, Disks konsolidiert, alte Snapshot Dateien gelöscht. Nun ...

question
Cisco CAP702W - kein PXE-BootmaretzVor 1 TagFrageSwitche und Hubs

Moin, ggf. hat ja hier noch jemand ne Idee. Bei uns sind die o.g. APs mit nem Cisco WLC im Einsatz. Bisher ging das auch ...