Das Notes Forum
Sonstiges => Infrastruktur => Thema gestartet von: pd am 13.10.03 - 12:13:48
-
Hallo Freunde der 102+X Tasten,
suche eine Möglichkeit einem Hauptbenutzer LAN per PCMCIA Karte zu verwehren, DFÜ aber zuzulassen.
Ist ein XP-Notebook, und die Treiber an sich sollten enthalten bleiben, da ja die Admins noch damit ins Netz kommen sollten.
Weiter Info: Wir haben einen DHCP Server im Netz.
Gruß, Patrick
-
...ganz easy ist es vermutlich nicht. So aus dem Bauch heraus gehts vermutlich über GPOs... - was ich jetzt nicht ausprobiert habe ist wenn man im Gerätemanager Geräte deaktiviert (re. Maustaste) oder die auch Normalbenutzer wieder aktivieren können...
-
hmm, gibt's nicht vielleicht einen Dienst, den man da deaktivieren könnte?
Die Dienste würde ich zumindest mal durchschauen und wenn was passendes dabei ist mal testen.....
TMC
-
Dienste kann man halt auch nicht Userabhängig steuern... -
Ein Trick der allerdings nicht sehr sicher ist wenn man das ganze über HW-Profile steuert (hier kann man sehr elegant Dienste einbinden und auch Gerätetreiber im Gerätemanager) und die Wartezeit für die verschiedenen Profile beim Booten auf 1sec setzt...
Muss halt der Admin beim Booten immer drandenken und schnell sein...
-
@MartinG:
Userabhängig nicht, aber wenn der Admin mal schnell was machen will, würde es afaik unter W2K / XP doch reichen diesen Dienst dann nach dem Booten zu aktivieren. Sollte W2K/XP ohne Neustart schlucken.
Ich kenne nicht die Auswirkungen des Dienstes, aber z.B. unter RAS-Verbindungsverwaltung steht "Stellt eine Netzwerkverbindung her".
Ob danach DFÜ (Modem/ISDN) noch geht, weiß ich aber nicht.
TMC
-
...klar das geht auch ohne Neustart - dann könnte PD allerdings auch die Lösung mit einem einfachen Deaktivieren der Netzwerkkarte im Gerätemanager lösen. Da braucht er beim Aktivieren auch nicht neu zu booten...
-
Martin, oder so :)
TMC
-
Also, RAS ist Remote Access Service, sprich das Herzstück von DFÜ (bzw. der englische Name dafür). Nimmt man den weg, ist nix mehr mit einwählen. Sprich, das Deaktivieren der Netzkarte im GMan ist wohl die Lösung hier. Oder man nimmt der Netzwerkkarte die Bindung an den TCPIP-Stack weg (damit wird sie in der Praxis auch "unbrauchbar"). In beiden Fällen muss der Admin im gegebenen Fall entweder das Gerät oder die Bindung wieder herstellen. Keine Ahnung, ob das bei der Protokollbindung ohne Reboot geht, sollte theoretisch (aber ist ja schliesslich MS, da weiss man nie, nicht einmal mit Probieren, hab auch schon den W2K nach deinem Reboot fragen sehen in Situationen, wo ers sonst ohne kann, und ein Deaktivieren und Reaktivieren hat geholfen ohne Reboot !! ).
-
Ja hossa,
was ist denn das für eine nächtliche Diskussion ;-)
Tolle Antworten, vielen Dank an alle. Mit dem Deaktivieren der Netzwerkkarte ist es dummerweise so, dass ich nach Ausgabe des Notebooks keine Kontrolle mehr habe, d.h. ich geh mal davon aus, dass wenn zB der Kollege irgende ne Ethernet Karte reinsteckt sagt XP Hallooo! und installiert das Ding, DHCP weist ne IP zu und er wäre im Netz. Lieg ich da richtig?
Die Dienste sind find ich auch ein guter Ansatz, konnte aber leider noch nicht herausfinden, ob man LAN separat ausschalten kann.
Ich suche mal weiter, freue mich über weiteres Diskutieren.
Gruß, Patrick
-
Bei den Diensten kannst Dus vergessen, wenn Du DFÜ verwenden willst. DFÜ sieht von der Diensteseite nur so aus, wie eine zusätzliche Netzwerkkarte, sprich, wenn Du bei den Diensten etwas deaktivierst, deaktivierst Du jeden Zugang zum Netz, egal woher er kommt, ob Netzkarte oder DFÜ.
Denke - weiss es aber nicht sicher - wenn der User ein normaler User ist, sollte er eigentlich keine neue Hardware installieren können. Das braucht "Maschinenbesitzer" oder Admin-Rechte
-
Yoo,
ich denke, über die Hardware/Dienste usw. läßt sich da nicht so viel machen.
Mein Ansatz wäre hier über eine Personal-Firewall alle IP-Adressen
nach RFC1918 zu sperren. Heißt ganz einfach, auch wenn eine Netwerkkarte eingestöpselt würde, wäre sie unbrauchbar, da nichts erreicht werden kann ;D
Nachtrag: ... oder Du sperrst über die FW alle Interfaces, bis auf das Modem oder welches Gerät Du auch immer erlaubst.
Gruss ...
Hoshee
-
äh, nur um sicher zu gehen... was heitß FW? :-\
Hab jetzt auch mal alle Dienste durchgecheckt und nichts gescheites gefunden. Auch die Sicherheitsrichtlinien...
Habs oben noch gar nicht genannt, aber wünschenswert wärs auch noch wenn die User Software installieren können, aber keine Admins sind...
Ich glaube, so langsam wirds utopisch ;D
Als Benutzer kann er glaub ich das DFÜ-Netzwerk nicht bearbeiten, was auch zwingend erforderlich ist.
Gruß und Danke
Patrick
-
FW = Firewall...
SW installieren für normale User geht problemlos zu aktivieren über GPOs. Musst Du halt den Punkt suchen - wenn Du ihn nich findest dann melde Dich nochmals...
DFÜ-Netzwerk braucht ein normaler User nicht bearbeiten zu können bis auf vielleicht die Telefonnummer und die kann er auf jeden Fall ändern...
-
*andiestirnpatsch* ich doddel! ;-)
ok, nachdem ich jetzt vom Schlauch wieder runter bin...
der Kollege führt Zahlungsverkehrssoftware bei Kunden vor, deshalb ist das DFÜ-Netzwerk und die Bearbeitung selbigens in diesem Ausnahmefall wichtig. Am besten ist, wenn er es frei administrieren kann, zwingend ist eigentlich nur die Änderung der Telefonnummer und das setzen von Wählregeln, sowie Eintragen von Zugangsdaten.
Ich hab den Punkt tatsächlich nicht gefunden, aber ich forsche nochmals.
Gruß und Danke
Patrick
-
Jetzt läufts fast *freu*
Hab den DHCP-Client deaktiviert, dadurch kann er zwar jetzt installieren was er will, er bekommt aber keine IP, und als Hauptbenutzer kann er auch keine manuell eintragen (hat zumindest bei Versuchen nicht funktioniert)
Jetzt nur noch das mir der Software installieren...
Bis demnächst
Patrick
-
Verdammt ich find den Punkt nid...
Martin, könntest du bitte?
Gruß und Danke
Patrick
-
... , sprich, wenn Du bei den Diensten etwas deaktivierst, deaktivierst Du jeden Zugang zum Netz, egal woher er kommt, ob Netzkarte oder DFÜ.
Das seh ich nicht so eng - ich habe spaßeshalber den Arbeitsstationsdienst deaktiviert (und damit vier andere Dienste: Computerbrowser, Warndienst und 2 andere) und komme über meinen DSL-Router ins Internet (Beweis - dieser Beitrag) kann zwar noch die Netzwerkumgebung öffnen - aber dann ist Schluß.
Ob's PD weiterhilft, kann ich leider nicht testen - kein Modem im Haus und Test unter W2K durchgeführt).
Grüße
Wolfgang
-
Ja, logisch, mit der sog. Workstation schaltest Du alle MS-Net-Dienste ab, aber nicht das zugrunde liegende Protokoll. Um hier reinzukommen brauchst Du "nur" TCPIP und HTTTP. TCPIP liegt unterhalb von der Workstation und HTTP ist "sort of" parallel zur Worksation, also hast Du beides nicht berührt. Du wirst Dich aber nicht mehr an einen MS-Server (egal welcher) anmelden können. Notes würde so übrigens auch noch funktionieren, das braucht nur TCPIP. Vielleicht würdest Du Dirs mal überlegen, worüber Du redest .......
-
schwerpunktmäßig wollte ich nur der Aussage "deaktivierst Du jeden Zugang zum Netz" widersprechen. Und der/ein Router gehört ja wohl zum Netz.
Um hier reinzukommen brauchst Du "nur" TCPIP und HTTTP.
hier = Router
logo - hier lag mein Denkfehler.
Du wirst Dich aber nicht mehr an einen MS-Server (egal welcher) anmelden können. Notes würde so übrigens auch noch funktionieren
hab ich nicht behauptet bzw. das mit Lotus bezweifelt.
@ PD - danke für den Thread ;) ich hab' jetzt die Lösung für was :D
Wolfgang
-
Sorry, aber Dein Kommentar ist unsinnig, da er mit der Fragestellung nicht sehr viel zu tun hat und in der Form Spizfindigkeiten aufgreift.
-
Na sowas, wieder nächtliche Diskussionen ;-)
Vielleicht nicht so freundlich wie letzte Nacht :-\
@woh. Gut dass du auch noch ne Lösung gewonnen hast (um die Uhrzeit ;-)
Jetzt nur noch auf Martin warten :D
Gruß an alle und die Hälfte der Woche ist bald geschafft
Patrick
-
...sorry - war ein wenig im Stress und ganz aus dem Ärmel schütteln kann ich das auch nicht. Ich würde den User zum Hauptbenutzer machen dann kann er einfache Gerätetreiber wie z.B. lokale Drucker installieren. Des weiteren würde ich per GPO folgendes setzen. Falls Ihr keine Win2k ADS habt halt notfalls lokal über GPEDIT.MSC. Lokale Verwaltungen sind halt immer sch...
In der GPO auf: Computerkonfiguration - Administrative Vorlagen - Windows Komponenten - Windows Installer - Benutzersteuerung Installation zulassen
Ich denke dieser Punkt sollte schon reichen - zumindest bei MSI Packeten. Bei SETUP Programmen die explizit abfragen ob der User Mitglieder der lokalen Admins ist funktioniert das ganze allerdings nicht...
-
Nur nid Huddle, habe keine prompte Antwort erwartet. Da jeder hier nur nebenbei und kostenlos arbeitet, wäre eine Erwartungshaltung fehl am Platz. Bin nur auf dein Angebot eingegangen ;-)
Also vielen herzlichen Dank für deine Ausführungen, ich probiers aus und meld mich dann wieder.
Gruß und Danke an alle
Patrick
-
Verdammt :-X. Ich habe eben solche Progs, die abfragen, ob der Anwender Adminrechte hat. Es ist zum Heulen - jetzt würde doch alles passen! >:(
Jetzt brauch ich quasi einen Admin der kein Admin ist ?! So was blödes! ???
Vielen Dank an alle
Gebs noch nicht auf - such mir jetzt aber erstmal nen gußeisernen 386er Tower zum Abreagieren
Schnaub, Patrick
-
Wie wärs, wenn man der Admin-Gruppe die Admin Rechte entzieht und dafür eine neue Admin2 mit Admin-Rechten macht und dort dann alle wirklichen Admins zusätzlich zur Admin-Gruppe reinstellen würde? Keine Ahnung, ob das funktioniert, aber seit ein MS-Mitarbeiter sich selbst mal bei einem NT-Server die Admin - Rechte entziehen konnte ohne gemahnt zu werden, halte ich eigentlich alles Unsinnige für möglich :-)
-
...an den vordefinierten Gruppen kannst Du nichts drehen. Du kannst Sie zwar umbennen - die behalten aber die gleiche SID...
-
Genau das habe ich befürchtet -- aber trotzdem mal laut nachgedacht.
-
Aber um den Gedanken mal weiterzuverfolgen könnte ich einer Gruppe Adminrechte geben, und dann wieder per Richtlinie Rechte wegnehmen. Bleibt dann nur die Frage, ob die sich die Rechte (hier Dienste starten/stoppen und IP Konfigurieren) wieder selber geben können.
Werd mal noch bei den MSlern in München nachfragen, obs da ein Bug/Feature gibt, dass man in der Richtung ausnutzen kann.
Gruß und Danke, Patrick
-
Vermutlich war meine Idee sowieso Unsinn. Ueber die WinAPI lässt sich feststellen, ob man Administratorrechte hat, egal, wie die Admin-Gruppe heisst, welche SID sie hat (die ja sowieso auf jedem System anders ist) wohl auch unabhängig von irgendwelchen Richtlinien oder so. Und die betreffenden Programme werden wohl per API simpel und einfach feststellen, ob sie im Moment mit Admin-Rechten ausgestattet sind oder nicht, da führt dann aber wirklich kein Weg dran vorbei.
-
Hab jetzt mit einem von MS gesprochen (0190er Nummer, 1,86 EUR/min) war aber ein Griff ins Klo.
Hat vorgeschlagen, dem User Adminrechte zu geben und quasi alle Systemprogramme, die er nicht nutzen soll, umzubenennen. Hab mich dann bedankt und aufgelegt, die Lösung find ich ned so doll.
Jetzt bin ich grad auf dem Trip, einen Adminuser zu schaffen, der sich nicht anmelden kann, sondern nur dann, wenn der Installer nachfragt, unter welchem User installiert werden soll. Da es sich hierbei aber um das gleiche Logon handelt dürfte, wird das auch ein Fehlschlag werden. Vielleicht kann ich ja per Registry einen User ausschließen...mal kucken.
Hab auch noch von ner Möglichkeit gehört, bestimmte Programme freizugeben, d.h. die Ausführung der Installation ist quasi vom Admin genehmigt. Dazu muss ich aber noch forschen.
Grüßle, Patrick
-
Frage: Warum heisst die Support-Line Support-Line?
Antwort: Weil man Support geben muss, wenn man anruft.
-
...jetzt wirds aber kompliziert und spätestens jetzt wäre das für mich mehr eine Organisations- als Technikfrage.
Was genau soll denn der User dürfen und was nicht? Ich würde Ihm das ganze per Arbeitsanweisung die er unterschreibt verbieten als hier eine lange komplizierte technische Lösung zu basteln. Das ganze steht m.E. nicht im Verhältnis Nutzen zu Kosten. Wenn Du dem User nur die LAN-Verbindung kappen willst dann deaktiviere diese doch im BIOS (mit Passwortschutz)...
-
Da bin ich aber vollständig mit Martin einverstanden. Haben wir sowas nicht schon früher mal in dem Thread gesagt oder wenigstens was ähnliches??
-
Ne, habt ihr nicht, ätschbätsch ;-)
So langsam tendiere ich auch in die Richtung. Wollte mich nur nicht auf mein spärliches XP Wissen verlassen...
Das mit dem BIOS haut wegen Ethernetkarten im PCMCIA ned hin.
Ich bleib noch ein bisserl dran
Nochmals danke an alle fürs Mitgrübeln
Patrick
-
Hast recht, war nur in meinem Kopf, geschrieben hab ichs nicht, war aber in letzter Zeit öfter der Fall, dass wir das mal feststellen mussten ...
-
Was? Das mit dem technischen Ende von XP oder dem überanstrengten Kurzzeitgedächtnis? ;-)
Gruß, Patrick
Übrigens bestand da noch das Angebot von MS da was individuelles zu programmieren. Hab ich doch glatt abgelehnt ;-)
-
Das mit der Frage nach der Organisation .......
Was? MS und Individual-Anpassung? Hast Du mit "Absender" im Stile von Daimler-Chrysler angerufen?? ...... oder vielleicht eher BMW ...... auf die sind sie im Moment besonders gut zu sprechen .......
-
Hi@all,
irgendwo wart ihr in dem Thread doch schon mal bei den Hardwareprofilen, oder? Wurde das getestet?
Ich halte das eigentlich für die praktikabelste Lösung - zumindest für die Verweigerung des LAN-Zugriffs. LAN-Karte deaktiviert - nur ADMIN kommt ran, wenn er schnell genug ist...
Gruß Henning
-
Henning, danke für die Frage, das interessiert mich nämlich auch, habs schon gar nicht mehr aufzuwerfen gewagt nach dem vielne Hin- und Her.
-
Hardwareprofile sind prinzipiell eine sehr elegante Lösung die ich sehr häufig anwende - nur kann man diese IMHO nicht per Berechtigung steuern...
...sehr sicher ist das ganze halt nicht wenn man 1sec beim Booten Zeit hat das auszuwählen, aber vielleicht noch das geringste Übel.
-
Ok, da bleibt die Frage unbeantwortet, wie das mit dem Deaktivieren des Gerätetreibers für die Lan-Karte steht. Wenn man dann auch gleich noch den PC-Card-Treiber deaktiviert, dürfte es nicht mehr möglich sein, dass ein normaler User einfach eine Karte einschiebt und isntalliert.
-
wegen dem Angebot von MS: Ich glaube dass kam eher aus der Not heraus, weil er einfach nicht mehr weiter wusste.
Wegen Hardwareprofilen:
Ich weis nicht wie ich es schaffe nur PCMCIA Ethernetkarten auszuschließen, da er ja die PCMCIA ISDN-Karte braucht.
Die Lösung die bisher bestand war das Deaktivieren des DHCP-Clients, sodass jede Ethernetkarte (LAN onboard per BIOS deaktiviert -Tipp von euch, danke) die IP 0.0.0.0 bekam, das war soweit gut.
Jetzt darf der Kollege natürlich keine Adminrechte bekommen, da er ja sonst an die Dienste kommt.
Trotzdem muss er Software installieren können.
Mittels GPOs konnte ich ihm das nicht zugestehen. Die Kiste ist aber noch Mitglied einer Domäne. Da nehm ich sie mal raus, mal schauen ob das was ausmacht.
Vielleicht gibts auch irgendwo so ne Art Positivliste, die der Admin erstellt, was der Hauptbenutzer so installieren darf.
Schöne Woche sowie Gruß und Danke, Patrick
-
Frag doch mal den Notebook-Hersteller, ob es abschließbare PCMCIA-"Leerkarten" gibt. Falls ja: Externes Modem kaufen.
Grüße
Wolfgang
PS: Bei Conrad hab ich im Internet nix gesehen.
-
So, hab die Kiste jetzt aus der Domäne entfernt und versucht als Hauptbenutzer Software zu installieren. Jetzt erhalte ich die Fehlermeldung dass der UnInstallShield aktiviert ist, ich möchte ihn doch bitte deaktivieren. Ob danach noch die Beschwerde kommt, dass der Hauptbenutzer kein Admin ist kann ich nicht sagen, da ich diesen blöden Shield nicht finde. Ich denke mal, dass ich beim Basteln in den GPOs irgendwas aktiviert habe, was nicht sein sollte. Werd jetzt mal alles deaktivieren und kucken.
Grüßle, Patrick
-
Bei der Meldung das Uninstallshield aktiviert ist hast Du nichts verbogen sondern ist die ganz normale Fehlermeldung das der User kein Administrator ist und Du deshalb keine Rechte fürs installieren hast...
Ich muss jetzt mal blöd fragen: bist Du eigentlich als Admin angestellt oder noch Azubi, BA-Student o.ä.? Wenn Du ersteres bist: kannst Du den Zeitaufwand den Du hier betreibst eigentlich rechtfertigen?
Ansonsten würde ich das Problem besser in einer Microsoft Newsgroup posten - da bekommst Du wahrscheinlich deutlich schnellere Hilfe msnews.microsoft.com und da die german Gruppen auswählen...
-
Hilfe, ein Controller... ;-)
Ne, bin kein Student und auch kein Azubi, bin stinknormaler Admin.
Verbrauche aber nicht soviel Zeit wie es den Anschein hat, es dreht sich mehr um Mittagspausenbasteleien, oder neben dem Telefonieren.
Wenn ich seit Einstellen dieses Threads nur an der Sache gebastelt hätte, dann müsste ich mich allerdings fragen, ob die Sache den Aufwand wert ist ;-)
Die MS Newsgroup werd ich mal anschauen.
Gruß und Danke, Patrick
PS: Mangels Lehrgängen nutze ich so Basteleien auch ein bisschen zum Lernen und Üben, bin also doch irgendwo Azubi ;-)