4
Automatische updates nur über bestimmte Netzwerkverbindung
Hallo Leute,
folgendes Anliegen: Ich hab für die Clientcomputer in der Domäne automatische Updates über Gruppenrichtlinien konfiguriert. Jetzt kommt es aber manchmal vor, dass Notebook-user sich z.B. über eine VPN-Verbindung mittels GPRS ins Firmennetz einloggen und dann über diese langsame und teure Verbindung erst mal die updates übergebraten bekommen. Aus Sicherheitsgründen möchte ich aber andererseits nicht gerne auf die erzwungenen updates (4. Autom. Herunterladen und installieren) verzichten.
Schön wäre es, wenn man irgendwo sagen könnte, die updates nur über eine bestimmte Netzwerkverbindung zu ziehen (also z.B. nur über LAN, nicht über VPN)???
Bisher behelfe ich mir so, dass ich die laptops in eine eigene OU packe und dort die Einstellungen weniger restriktiv gesetzt habe (2. vor Download und Installation benachrichtigen).
Gibts eventuell mit dem WSUS mehr Möglichkeiten???
Gruesse
folgendes Anliegen: Ich hab für die Clientcomputer in der Domäne automatische Updates über Gruppenrichtlinien konfiguriert. Jetzt kommt es aber manchmal vor, dass Notebook-user sich z.B. über eine VPN-Verbindung mittels GPRS ins Firmennetz einloggen und dann über diese langsame und teure Verbindung erst mal die updates übergebraten bekommen. Aus Sicherheitsgründen möchte ich aber andererseits nicht gerne auf die erzwungenen updates (4. Autom. Herunterladen und installieren) verzichten.
Schön wäre es, wenn man irgendwo sagen könnte, die updates nur über eine bestimmte Netzwerkverbindung zu ziehen (also z.B. nur über LAN, nicht über VPN)???
Bisher behelfe ich mir so, dass ich die laptops in eine eigene OU packe und dort die Einstellungen weniger restriktiv gesetzt habe (2. vor Download und Installation benachrichtigen).
Gibts eventuell mit dem WSUS mehr Möglichkeiten???
Gruesse
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 71782
Url: https://administrator.de/contentid/71782
Printed on: April 18, 2024 at 14:04 o'clock
4 Comments
Latest comment
Hallo Gordon Shumway,
du sagst euere Mitarbeiter bauen über GPRS / UMTS eine Verbindung ins Internet auf. Darüber wird dann eine VPN-Verbindung zum Firmennetz aufgebaut.
Am besten wäre es, wenn die Clients über das Firmenetz (VPN) ins Internet gehen. Somit kannst du schon mal Schädlinge über eueren Server filtern.
Die Frage ist nun, woeher zieht der Client die Updates? Von den M$-Servern oder von eurer WSUS-Umgebung?
Eure Netzwerkinfrastruktur spielt eine große Rolle! ein bisschen den Aufbau, wo laufen welche Dienste, Proxy im Einsatz (welche SW), etc...???
Grüße
Dani
du sagst euere Mitarbeiter bauen über GPRS / UMTS eine Verbindung ins Internet auf. Darüber wird dann eine VPN-Verbindung zum Firmennetz aufgebaut.
Am besten wäre es, wenn die Clients über das Firmenetz (VPN) ins Internet gehen. Somit kannst du schon mal Schädlinge über eueren Server filtern.
Die Frage ist nun, woeher zieht der Client die Updates? Von den M$-Servern oder von eurer WSUS-Umgebung?
Eure Netzwerkinfrastruktur spielt eine große Rolle! ein bisschen den Aufbau, wo laufen welche Dienste, Proxy im Einsatz (welche SW), etc...???
Grüße
Dani
Hallo Dani,
die Clients ziehen bisher noch die Updates direkt von den MS-Servern. Ich denke aber daran, einen WSUS einzurichten. Wir betreiben eine Domäne mit WinServ2003. Kein Proxy.
Es geht mir eigentlich nur um die Einstellungen für die automatischen Updates. Bei den Richtlinien zur XP-Firewall kann man über Gruppenrichtlinien einstellen, dass die Firewall deaktiviert wird, wenn der Client beim Hochfahren im Firmennetz hängt. So was stell ich mir auch für die Updates vor: Also Updates nur downloaden und installieren, wenn Rechner über LAN am Firmennetz hängt.
Grüsse
GS
die Clients ziehen bisher noch die Updates direkt von den MS-Servern. Ich denke aber daran, einen WSUS einzurichten. Wir betreiben eine Domäne mit WinServ2003. Kein Proxy.
Es geht mir eigentlich nur um die Einstellungen für die automatischen Updates. Bei den Richtlinien zur XP-Firewall kann man über Gruppenrichtlinien einstellen, dass die Firewall deaktiviert wird, wenn der Client beim Hochfahren im Firmennetz hängt. So was stell ich mir auch für die Updates vor: Also Updates nur downloaden und installieren, wenn Rechner über LAN am Firmennetz hängt.
Grüsse
GS
Hi,
Wir machen das z.B. so:
Die Clients bauen über UMTS eine VPN-Verbindung zu einem unsere VPN-Server auf. Danach erfolgt die Kommunikation mit dem Internet nur noch über den VPN-Tunnel. Unsere Server sind vom LAN her über eine FW gesichert. Sprich, wir haben einfach in den FW's gesagt:
Alle VPN-IP-Addressbereiche dürfen sich nicht auf Port 8530 mit den Servern xxx, yyy, zzz unterhalten. Somit werden auch keine Updates heruntergeladen.
In deinem FAll müsste es reichen, im Router einfach in der Firewall => Filter ausgehend die VPN-IP-Adressen zu hinterlegen und die Kommunikation mit der der Updateseite zu verweigern.
Grüße
Dani
Bei den Richtlinien zur XP-Firewall kann man über Gruppenrichtlinien einstellen, dass die
Firewall deaktiviert wird, wenn der Client beim Hochfahren im Firmennetz hängt.
Das geht mit den M$-Updates nicht.Firewall deaktiviert wird, wenn der Client beim Hochfahren im Firmennetz hängt.
Wir machen das z.B. so:
Die Clients bauen über UMTS eine VPN-Verbindung zu einem unsere VPN-Server auf. Danach erfolgt die Kommunikation mit dem Internet nur noch über den VPN-Tunnel. Unsere Server sind vom LAN her über eine FW gesichert. Sprich, wir haben einfach in den FW's gesagt:
Alle VPN-IP-Addressbereiche dürfen sich nicht auf Port 8530 mit den Servern xxx, yyy, zzz unterhalten. Somit werden auch keine Updates heruntergeladen.
In deinem FAll müsste es reichen, im Router einfach in der Firewall => Filter ausgehend die VPN-IP-Adressen zu hinterlegen und die Kommunikation mit der der Updateseite zu verweigern.
Grüße
Dani
Hi,
gute Idee, das über die Filterregeln der Firewall am Gateway zu regeln. Jetzt ist mir auch klar, warum Du nach dem Netzwerkaufbau gefragt hast. Werd das so umsetzen.
Besten Dank!
gute Idee, das über die Filterregeln der Firewall am Gateway zu regeln. Jetzt ist mir auch klar, warum Du nach dem Netzwerkaufbau gefragt hast. Werd das so umsetzen.
Besten Dank!
