[2003] mstsc /console disablen?

[Rataplan_]

Hiephoi,

op een aantal van onze servers wordt een ServiceDesk pakket gehost (Peregrine) en die kan er niet tegen als iemand via RDP op console inlogd. Het betreft hier dus een Windows Server 2003 standaard installatie. Is het mogelijk het overnemen van de console via RDP uit te zetten? Technet, google en MS site in general kon me niet verder helpen... Is hier een regkey voor ofzo? Ook in de local polocies / Terminal Services configuration vond ik niks terug hierover.

/edit
als update op de reactie hieronder: ik wil dus inderdaad ENKEL de optie om console over te nemen disablen. RDP zelf moet wel actief blijven om beheer te kunnen doen. Moesten we echt console nodig hebben, kunnen we altijd via Dameware, de IP KVM switches of de DRAC interfaces te zaak benaderen.

[ Voor 24% gewijzigd door Rataplan_ op 15-12-2006 09:50 ]

[SierdW]

/edit Oeps, zie nu pas dat het om console gaat, excuses...

[ Voor 82% gewijzigd door SierdW op 14-12-2006 16:50 . Reden: Foutje ]

[Rataplan_]

*bump*

probleem nog niet opgelost, nog steeds niemand een idee?

[djluc]

Draait je servicedesk programma niet als service met dat interactive vinkje aan? Misschien kun je daarmee het probleem oplossen?

[Rataplan_]

Interactive staat netjes uit. Verder is dat de applicatie van een klant, aan de coniguratie DAARvan ga ik niks wijzigen.

[BFS]

Ik weet niet om hoeveel gebruikers het gaat die MSTSC gebruiken maar je kan de exe ook aanpassen en waarschijnlijk kun je daarmee de optie /console ook wel uitschakelen?

[GH45T]

Als ik me niet vergis is dit in je lokale group policy in te stellen.

gpedit.msc en onder administrative templates / windows of iets dergelijks staat ergens een mapje terminal services. daar kun je dit soort dingen regelen. Ik kan het even niet nakijken maar het is zeker de moeite waard om even te zoeken.

[Spectre75]

Nope geen optie om de /console te disablen

[Rataplan_]

die optie is er niet nee. Het 'patchen' of weghalen van mstsc.exe is natuurlijk geen optie, dat is niet het probleem oplossen maar ervoor zorgen dat je er niet meer tegenaanloopt, dat is een wezenlijk verschil.

ik heb het ook nog steeds niet voor elkaar gekregen. De beheerders in onze club doen eigenlijk veelal standaard /console, daar je een aantal zaken dan toch iets beter in de hand hebt. Naja, dat moeten we dan maar laten. Ik ga en wil niet teveel prusten aan die systemen, er zijn duizenden gebruikers daarop.

[sanfranjake]

Mag er helemaal niemand aangelogd zijn op de console? Anders zou je nog de optie: deny logoff administrator from console-session kunnen gebruiken, en dan altijd een gebruiker van wie niemand het wachtwoord weet ingelogd laten. Dan went men er wel snel genoeg aan denk ik

[Rataplan_]

hmmm, dat is wel een idee. Nou is het probleem dat juist bij het INloggen van een console sessie het misgaat, maar als ik een user automatisch laat inloggen, de service laat herstarten en ervoor zorg dat die sessie inderdaad niet gekilled/uitgelogd kan worden, ben ik er wellicht ook. Bedankt voor de tip!

[Poltergeist]

Foutje...

[ Voor 112% gewijzigd door Poltergeist op 05-01-2007 11:50 ]

[Sundead]

Ik weet niet zeker of deze gaat werken, maar zou je met de "deny logon locally" in de security settings van een GPO niet het 1 en ander kunnen uitsluiten (en dus misschien verkapt de console login disablen?) [/suggestie]

edit:
Helemaal gelijk hier beneden *rent naar koffiemasjientje* Hoog tijd voor weekend

[ Voor 18% gewijzigd door Sundead op 05-01-2007 16:43 ]

[Verwijderd]

Sundead schreef op vrijdag 05 januari 2007 @ 14:36:
Ik weet niet zeker of deze gaat werken, maar zou je met de "deny logon locally" in de security settings van een GPO niet het 1 en ander kunnen uitsluiten (en dus misschien verkapt de console login disablen?) [/suggestie]

werkt je gewone rdp ook niet meer...

Wat de ts beter kan doen is rdp helemaal uitschakelen voor deze server en op die manier dwingen dat er altijd met een 3rd party tool geconnect wordt.

[sanfranjake]

Tja dan pak je ook _altijd_ de console open, als er dan al iets fout gaat bij het inloggen van die console dan heb je nooit de garantie dat alle andere bewerkingen wel zomaar geaccepteerd worden.

Zou het misschien een idee zijn om die server niet meer allemaal tegelijk te benaderen? Is het misschien niet iets wat in de opstarten-lijst staat voor alle gebruikers waardoor het programma niet wil werken? Met andere woorden is wat je doet wel een oplossing voor het probleem of is het (nofi) een vorm van symptoombestrijding? Ik zou het een beetje slordig programmeerwerk vinden als het pakket daadwerkelijk de functionaliteit van je besturingssysteem dat toch ook minimaal zo'n 700 euro kost zou verminderen. Maarja ik ken dit specifieke pakket niet.

Allow logon locally wijzigen is imho over het algemeen een slecht plan, zoals iis5_rulez zegt.

[ Voor 8% gewijzigd door sanfranjake op 05-01-2007 18:34 ]

[Rataplan_]

alternatief voor RDP? Like? We gebruiken wel Dameware, maar ook die gebruikt console. Zelfde voor VNC, wat een aantal klanten nog gebruiken.

Ik probeer maandag wat tijd te steken in dit probleem. Wellicht kan ik met policies inderdaad wat bereiken. Deny logon locally gaat niet werken, ten eerste kan ik dan in geval van calamiteiten / onderhoud daadwerkelijk ook lokaal niet meer inloggen via de fysieke console (danwel via onze IP-KVM switches danwel via de Remote Access Interface). Deny logon trough Terminal Services heft ook de 'normale' RDP sessies op. Wat ik wil testen is of 'Deny logon locally' ook de 'lokale' (lees console) sessie dichtzet voor Terminal Services. If so, is het in dit geval toch het overwegen waard. Ik kan in dat geval een lokale user aanmaken die als enige nog lokaal console kan inloggen.

Ik zal in de loop van de week update posten hier. Meer suggesties zijn natuurlijk altijd welkom!

[sanfranjake]

Maak eerst even een goede backup, want de kans dat dit misgaat is natuurlijk wel erg groot

[Brahiewahiewa]

Denk dat je het probleem het beste bij de oorzaak kunt aanpakken: Peregrine.
Als dat pakket er niet tegen kan dat er /console sessies worden gebruikt, moet je het dus niet op die server(s) draaien. Is 't misschien een oplossing om Virtual Server (gratis) op die server(s) te installeren en een VM te maken, specifiek voor Peregrine?

[Rataplan_]

Nee, we draaien hier in een datacenter met tegen de 400 servers, redelijk grote omgeving dus. Als datacenter kan je zulke 'ducktape' oplossingen niet aan de klant uitleveren. Ik ben het er volledig mee eens dat de applicatie het probleem is, en het daar aangepakt moet worden, dit is ook aangekaart maar de uitgever doet er vooralsnog niks aan. Daarnaast beheren wij als datacenter die applicatie niet, enkel het OS en alle facaliteiten daaromheen.

[FaceDown]

Misschien kun je RDP downgraden naar 5.0? Of anders het OS naar Windows 2000 server downgraden

[sanfranjake]

Nee dat is een goede oplossing met 400 servers

Hoe kan een leverancier van een pakket voor grote datacenta het zich permitteren dan om zo'n brakke app te leveren vraag ik me dan af.... heb je dit al eens bij Peregrine neergelegd?