Überprüfen der GPO

[Andreas Sturma]

Hallo,

beim Überprüfen der GPO eines Client mittel Gruppenrichtlinienergebnisse
unter (Gruppenrichtlinienverwaltung) bekomme ich immer den Fehler das der
rpc server nicht verfügbar ist.
Dies wird wohl die Einstellung am Client betreffen, also den
WMI - Dienst und
rpc Namen Dienst am Client
einmal aktiviert.
Selbes Spiel noch einmal - negativ.
Warum kann ich diese Abfrage nicht starten und bekomme immer wieder den selben
Fehler rpc-server nicht verfügbar und wmi-Dienst am Client soll aktiviert werden.

Irgendwie Rekursion - ich drehe mich im Kreis.
Es ist doch der Weg, um herauszufinden, wie die GPO am Client ankommt, etwa nicht?

[Andreas Sturma]

Hallo,

Post by Andreas Sturma
beim Überprüfen der GPO eines Client mittel Gruppenrichtlinienergebnisse
unter (Gruppenrichtlinienverwaltung) bekomme ich immer den Fehler das der
rpc server nicht verfügbar ist.
Dies wird wohl die Einstellung am Client betreffen, also den
WMI - Dienst und
rpc Namen Dienst am Client
einmal aktiviert.
Selbes Spiel noch einmal - negativ.
Warum kann ich diese Abfrage nicht starten und bekomme immer wieder den selben
Fehler rpc-server nicht verfügbar und wmi-Dienst am Client soll aktiviert werden.
Irgendwie Rekursion - ich drehe mich im Kreis.
Es ist doch der Weg, um herauszufinden, wie die GPO am Client ankommt, etwa nicht?

vielleicht noch etwas info zu dem Problem
Am Server bekomme ich das Ereignis

Ereignistyp: Fehler
Ereignisquelle: DCOM
Ereigniskategorie: Keine
Ereigniskennung: 10006
Datum: 10.04.2006
Zeit: 09:11:29
Benutzer: Nicht zutreffend
Computer: SBS1
Beschreibung:
DCOM hat den Fehler "Der RPC-Server ist nicht verfügbar. " vom Computer
"XXXX" erhalten, als versucht wurde, den folgenden Server zu aktivieren:
{8BC3F05E-D86B-11D0-A075-00C04FB68820}


Nachgesehen im eventid.net, sollte man folgendes versuchen. Ist es normal das dies eingestellt werden muss. Vorab will ich hier mal
die Finger davon lassen, ohne euren Kommentar dazu eingeholt zu haben.

The relevant part of the Default Domain Policy that caused this is shown in condensed form below:

Console Root
{Group Policy}
Computer Configuration
Software Settings
Windows Settings
Scripts (Startup/Shutdown)
Security Settings
Account Policies
Local Policies
Audit Policy
User Rights Assignment
Impersonate a client after authentication <MyGroup>.

Resolution: Change the above policy setting for Impersonate a client after authentication to: Administrators, <MyGroup>, SERVICE.

Restart the workstation twice (once to pick up the change in Group Policy and again to be affected by it at Windows startup).

[Tobias Redelberger (MVP - SBS)]

Hi Andreas,

das sind die "Ausläufer" der Sicherheitseinstellungen via GPO + Windows XP
SP2 respektive Windows Server 2003 SP1. Zu ändern unter:

-> Serververwaltungskonsole
-> Erweiterte Verwaltung
-> Gruppenrichtlinienverwaltung
-> Gesamtstruktur: <Domänen-Name>
-> Domänen
-> <Domänen-Name>
(-> Gruppenrichtlinienobjekte)
-> Small Business Server-Windows-Firewall
-> Rechts-Klick "Bearbeiten..."

Gruppenrichtlinie
-> Computerkonfiguration
-> Administrative Vorlagen
-> Netzwerk
-> Netzwerkverbindungen
-> Windows-Firewall
-> Domänenprofil
-> Windows-Firewall: Remoteverwaltungsausnahme zulassen

Erklärung:

Ermöglicht die Remoteverwaltung dieses Computers mit Verwaltungsprogrammen,
wie z. B. Microsoft Management Console (MMC) und
Windows-Verwaltungsinstrumentation (WMI). Windows-Firewall öffnet hierzu
TCP-Ports 135 und 445. Dienste verwendet normalerweise diese Ports für die
Kommunikation mit Remoteprozeduraufrufen (RPC) und DCOM (Distributed
Component Object Model). Diese Richtlinieneinstellung ermöglicht zusätzlich
SVCHOST.EXE und LSASS.EXE unerbetene eingehende Meldungen zu empfangen und
ermöglicht gehosteten Dienste, zusätzliche dynamisch zugewiesene Ports zu
öffnen, normalerweise im Bereich 1024 bis 1034.

Wenn Sie diese Richtlinieneinstellung aktivieren, gestattet Windows-Firewall
dem Computer, unerbetene eingehende Meldungen, die mit der Remoteverwaltung
assoziiert sind, zu empfangen. Sie müssen die IP-Adressen oder Subnetze
angeben, für die diese eingehenden Meldungen zugelassen sind.

Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren,
öffnet Windows-Firewall TCP-Port 135 oder 445 nicht. Außerdem verhindert
Windows-Firewall, dass SVCHOST.EXE und LSASS.EXE unerbetene eingehende
Meldungen empfangen und verhindert, dass gehostete Dienste zusätzliche
dynamisch zugewiesene Ports öffnen. Da das Deaktivieren dieser Richtlinie
TCP-Port 445 nicht blockiert, steht sie mit der Richtlinieneinstellung
"Windows-Firewall: Ausnahme für Datei- und Druckerfreigabe zulassen" nicht
in Konflikt.

Hinweis: Benutzer mit bösartigen Absichten versuchen häufig Netzwerk und
Computer mit RPC und DCOM anzugreifen. Es wird empfohlen, dass Sie sich an
den Hersteller der wichtigen Programme wenden, um zu erfahren, ob sie von
SVCHOST.exe oder LSASS.exe gehostet werden, oder ob sie RPC und DCOM zum
Kommunizieren voraussetzen. Falls nicht, aktivieren Sie diese Richtlinie
nicht.

Hinweis: Falls eine Richtlinieneinstellung TCP-Port 445 öffnet, lässt
Windows-Firewall eingehende ICMP-Echoanforderungen (eine vom
Ping-Hilfsprogramm gesendete Meldung) zu, sogar dann, wenn die
Richtlinieneinstellung "Windows-Firewall: ICMP-Ausnahmen zulassen" sie
blockieren würde. Richtlinieneinstellungen, die TCP-Port 445 öffnen können,
sind die Richtlinieneinstellungen "Windows-Firewall: Ausnahme für Datei- und
Druckerfreigabe zulassen", "Windows-Firewall: Remoteverwaltungsausnahme
zulassen" und "Windows-Firewall: Portausnahmen festlegen".

Evtl. zusätzlich für den Microsoft Basic Security Analyzer (MBSA) + Remote
Assistance folgende "Portausnahmen festlegen" bzw. überprüfen:

135:TCP:<IP-Adress-Space>:Enabled:Offer Remote Assistance - Port
137:UDP:<IP-Adress-Space>:Enabled:For MBSA Analyzing
138:UDP:<IP-Adress-Space>:Enabled:For MBSA Analyzing
139:TCP:<IP-Adress-Space>:Enabled:For MBSA Analyzing
--
Tobias Redelberger

StarNET Services (HomeOffice)
Schoenbornstr. 57
D-97440 Werneck

Tel: [phone]
Mobil: [phone]
Email: ***@starnet-services.net

[Andreas Sturma]

Hi Tobias,

Post by Tobias Redelberger (MVP - SBS)
das sind die "Ausläufer" der Sicherheitseinstellungen via GPO + Windows XP

kurz um, wie überprüft ihr ob eine gpo-Einstellung beim Client ankommt.
Habt ihr diese Einstellung gesetzt oder gibt es einen besseren Weg um das heraus zu finden.

[Tobias Redelberger (MVP - SBS)]

Hi Andreas,

Einstellung gesetzt, wie soll es denn "noch" einfacher gehen als zentral
mittels Gruppenrichtlinienergebnis-Assistent?
--
Tobias Redelberger

StarNET Services (HomeOffice)
Schoenbornstr. 57
D-97440 Werneck

Tel: [phone]
Mobil: [phone]
Email: ***@starnet-services.net

[Andreas Sturma]

Hallo,

Post by Tobias Redelberger (MVP - SBS)
Einstellung gesetzt, wie soll es denn "noch" einfacher gehen als zentral
mittels Gruppenrichtlinienergebnis-Assistent?

ich formuliere anders.
In deinen Ausführungen war eben der Unterton der offenen Ports, die eben geschlossen sind, wenn man
2003sp1 und xpsp2 einspielt zu hören.
Frage: Ihr macht die Einstellungen bei euren Systemen auch auf, um eben an die Auswertungen zu kommen
(ist eigentlich logisch wenn es nicht "noch" einfacher geht).
Vielleicht habe ich jetzt den Kern meiner Gedanke getroffen.

--
Andreas Sturma

[Tobias Redelberger (MVP - SBS)]

Hi Andreas,

Post by Andreas Sturma
Frage: Ihr macht die Einstellungen bei euren Systemen auch auf, um eben an

die Auswertungen zu kommen

Post by Andreas Sturma
(ist eigentlich logisch wenn es nicht "noch" einfacher geht).

Darüber sollen sich andere auslassen, mein Tipp kennst Du ja ... ;)
--
Tobias Redelberger

StarNET Services (HomeOffice)
Schoenbornstr. 57
D-97440 Werneck

Tel: [phone]
Mobil: [phone]
Email: ***@starnet-services.net