[WIN2003] Group Policies + WSUS Server

[Soepstengel]

Ik ben voor school bezig met een project waar wij een server in moeten richten voor een klein bedrijf. Hiervoor moeten wij een aantal servers opzetten waaronder de WSUS server echter wil dit hellemaal niet lukken. Voor het posten van dit topic heb ik al gezocht op mogelijk antwoorden maar blijkbaar is dit niet een al te veel voorkomend onderwerp, de howto die ook op GOT staat heb ik ook doorgelezen en hellemaal gevolg maar nog steeds werk het niet. Het probleem is dat ik geen computers in mijn WSUS server kan krijgen.

Op de server zijn nu de volgende services aanwezig:
- DHCP Server
- Domain Controller
- DNS Server
- Aplication Server

Volgens de howto en MS help moet ik eerst een group policy aanmaken die mijn client pc verteld dat hij gebruik moet maken van de WSUS server. In mijn domain controller heb ik een OU aangemaakt en daarin heb ik de client geplaatst die geupdate moeten worden, de OU heeft de naam "Test Omgeving" (hetzelfde als in de howto staat beschreven). De group policy staat ook volledig ingesteld zoals in de howto beschreven staat. Waneer ik met mijn client in log (op het domain of local) en daar "gpupdate /force" gevolg door "gpresult" doe zie ik mijn zelf aangemaakt policy niet in de lijst voorkomen en de registratie codes worden dus niet aangepast of aangemaakt (in regedit bestaan ze niet eens). Ik heb het idee dat er iets niet goed is met de policy omdat andere zelf aangemaakt policies wel verschijnen maar er dan vaak uitgefilterd wordt.

Heeft iemand een idee wat het probleem kan zijn?

[Zwelgje]

dns staat wel goed

sjf: errors 'regenen' niet in je eventlog. deze 'verschijnen'

maar goed, toevallig veel userenv meldingen

[ Voor 82% gewijzigd door Zwelgje op 24-04-2007 21:25 ]

[sanfranjake]

Regent het toevallig ook errors in je eventlogs?

[Soepstengel]

Zo ver ik weet wel. Mijn client PC kan gewoon connectie maken met de server, is lid van het domein en krijgt gewoon een IP adress van mijn DHCP server. De event viewer geeft ook geen errors.

Ik heb trouwens de ClientDiag tool uitevoerd en die zegt dat "UseWuServer is disabled". Gelijk ge-googled en dus kwam ik erachter dat er inderdaad iets niet goed is met mijn policy. Maar nog steeds vreemd want de policy is in principe nooit ingevoerd bij de client.

edit:
Wow, toch nog ergens verstopt een error gevinden, en inderdaad iets met de DNS.

[ Voor 9% gewijzigd door Soepstengel op 24-04-2007 21:29 ]

[Zwelgje]

policy op computerniveau ingesteld op de OU waarin ook de computer zich bevindt

[sanfranjake]

Soepstengel schreef op dinsdag 24 april 2007 @ 21:26:

edit:
Wow, toch nog ergens verstopt een error gevinden, en inderdaad iets met de DNS.

Goed, tijd voor een ipconfig /all van de server en de client

[Soepstengel]

Powershell schreef op dinsdag 24 april 2007 @ 21:29:
policy op computerniveau ingesteld op de OU waarin ook de computer zich bevindt

Jep, nog speciaal naar gekeken omdat dat een veelvorkomend probleem is

[Soepstengel]

sanfranjake schreef op dinsdag 24 april 2007 @ 21:36:
[...]

Goed, tijd voor een ipconfig /all van de server en de client

Nagekeken en alles klopt gewoon. Maar als er een probleem is met de DNS waarom is het dan wel mogelijk dat ik op het domein in kan loggen?

[sanfranjake]

Nou geef maar gewoon eerst een ipconfig /all . Policies zijn meer afhankelijk van dns dan inloggen Een kerberos/windows security boek kan verhelderend werken.

[sanderdam]

Probeer eens op je client de commando: wuauclt.exe /detectnow.

Houdt er rekening mee dat het even kan duren voordat je computer verschijnt in de WSUS website.

Voer de commando's gpupdate /force en wuauclt.exe /detectnow een paar keer uit en laat de client ingelogd voor een tijdje.

[Zwelgje]

Soepstengel schreef op dinsdag 24 april 2007 @ 21:39:
[...]


Nagekeken en alles klopt gewoon. Maar als er een probleem is met de DNS waarom is het dan wel mogelijk dat ik op het domein in kan loggen?

tja hoe defineer je 'klopt gewoon' mischien denk jij dat het goed staat maar staat het fout

je client verwijst als dns server naar je file/domain server en niet naar je provider dns....

sanderdam: de hele wsus policy komt niet eens door op de client (blijkbaar) dan hebben die commands nog niet veel zin lijkt me

[ Voor 12% gewijzigd door Zwelgje op 24-04-2007 21:43 ]

[Soepstengel]

Dit project doen wij met Virtual PC dus alles gaat vrij traaf op het moment

Server:

Windows IP Configuration

Host Name . . . . . . . . . . . . : server01
Primary Dns Suffix . . . . . . . : RKO.com
Node Type . . . . . . . . . . . . : Hybrid
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No
DNS Suffix Search List. . . . . . : RKO.com

home

Ethernet adapter Local Area Connection:

Connection-specific DNS Suffix . : home
Description . . . . . . . . . . . : Intel 21140-Based PCI Fast Ethernet Adapter (Generic)
Physical Address. . . . . . . . . : 00-03-FF-FE-FF-FF
DHCP Enabled. . . . . . . . . . . : Yes
Autoconfiguration Enabled . . . . : Yes
IP Address. . . . . . . . . . . . : 192.168.131.65
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 192.168.131.254
DHCP Server . . . . . . . . . . . : 192.168.131.254
DNS Servers . . . . . . . . . . . : 172.16.0.10
Lease Obtained. . . . . . . . . . : Tuesday, April 24, 2007 9:45:16 PM
Lease Expires . . . . . . . . . . : Sunday, April 28, 2024 4:33:47 PM

Ethernet adapter Local Area Connection 2:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Intel 21140-Based PCI Fast Ethernet Adapter (Generic) #2
Physical Address. . . . . . . . . : 00-03-FF-A3-1C-1C
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 10.0.0.138
Subnet Mask . . . . . . . . . . . : 255.255.0.0 [255.0.0.0 geworden]
Default Gateway . . . . . . . . . :
DNS Servers . . . . . . . . . . . : 127.0.0.1

Client:

Windows IP Configuration

Host Name . . . . . . . . . . . . : CLIENT02
Primary Dns Suffix . . . . . . . : RKO.com
Node Type . . . . . . . . . . . . : Hybrid
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No
DNS Suffix Search List. . . . . . : RKO.com

Ethernet adapter Local Area Connection:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Intel 21140-Based PCI Fast Ethernet Adapter (Generic)
Physical Address. . . . . . . . . : 00-03-FF-A2-1C-1C
Dhcp Enabled. . . . . . . . . . . : Yes
Autoconfiguration Enabled . . . . : Yes
IP Address. . . . . . . . . . . . : 10.0.0.2
Subnet Mask . . . . . . . . . . . : 255.255.0.0 [255.0.0.0 geworden]
Default Gateway . . . . . . . . . :
DHCP Server . . . . . . . . . . . : 10.0.0.138
DNS Servers . . . . . . . . . . . : 10.0.0.138
Lease Obtained. . . . . . . . . . : Tuesday, April 24, 2007 9:20:00 PM
Lease Expires . . . . . . . . . . : Wednesday, May 02, 2007 9:20:00 PM

/edit Heb zojuist de Subnet's naar klasse A gezet

[sanfranjake]

Is 172.16.0.10 ook een ip op die server zelf
Registreert de server zichzelf misschien op beide nics in dns?

[ Voor 40% gewijzigd door sanfranjake op 24-04-2007 21:51 ]

[Soepstengel]

sanfranjake schreef op dinsdag 24 april 2007 @ 21:50:
Is 172.16.0.10 ook een ip op die server zelf
Registreert de server zichzelf misschien op beide nics in dns?

Dat zaten wij ons dus ook af te vragen.

Er zitten twee nics in omdat we een lokaal netwerk nodig hebben maar ook internet om software te kunnen downloaden en later zelfs de clients van internet te kunnen voorzien. Echter weet ik niet hoe ik de server kan vertellen dat hij bepaalde server alleen maar op bepaalde nics kan doen, volgens mij kan dat ook niet.

Maar die andere nic uitzetten verhelpt dit probleem toch tijdelijk? Aangezien ik altijd die andere nic uit heb staan. (in principe vanwege een andere probleem dat wij elkaars domein kunnen zien via het school netwerk).

[Zwelgje]

dns kan je binden op 1 nic, dhcp ook.

en je dns configureer je dusdanig dat je met forwarders gaat werken. eigenlijk vrij simpel in het boekje

ow en>>binding volgorde van je nics

[Verwijderd]

Tevens is het de vraag of de client wel een IP adres van de server krijgt want als ik zo de stats van de netwerkkaart bekijk lijkt het wel of deze een IP krijgt van een ADSL modem en niet van je DHCP Server, dus ik zou eerst eens kijken of je de ADSL modem los van je testomgeving kunt koppelen om vervolgens een nieuw IP aan te vragen en dan te kijken of je dan wel een ip van de server krijgt. Want een DHCP en DNS van 10.0.0.138 lijkt verdacht veel op een Speedtouch ADSL Modem. Dus dat kan ook een opstakel in je test omgeving zijn.

[Zwelgje]

Verwijderd schreef op woensdag 25 april 2007 @ 09:06:
Tevens is het de vraag of de client wel een IP adres van de server krijgt want als ik zo de stats van de netwerkkaart bekijk lijkt het wel of deze een IP krijgt van een ADSL modem en niet van je DHCP Server, dus ik zou eerst eens kijken of je de ADSL modem los van je testomgeving kunt koppelen om vervolgens een nieuw IP aan te vragen en dan te kijken of je dan wel een ip van de server krijgt. Want een DHCP en DNS van 10.0.0.138 lijkt verdacht veel op een Speedtouch ADSL Modem. Dus dat kan ook een opstakel in je test omgeving zijn.

ga dan nog maar eens rustig het topic doorlezen (en dan specifiek het dedeelte mbt ipconfig van de server/client)

tip: niet elke 10.0.0.138 is een speedtouch

[Soepstengel]

Die 10.0.0.138 hebben wij aan de server gegeven en is idd van een modem afkomstig, er is dus geen modem/router! Alleen een server en een client (dit gaat allemaal via VPC en we kunnen geen routers/switches/modem's installeren.

De DNS server heb ik nog eens nagekeken en gerepareerd, als ik nu pring vanuit de server naar CLIENT01 geeft deze netjes het ip adress van de client weer, alleen de pings doen het nooit maar hij weet wel dat CLIENT01 een ip adress van 10.0.0.1 heeft. De client krijgt ook gewoon een ip adress van de DHCP server zoals ik al eerder had aangegeven. De DNS server lijkt dus gewoon in orde te zijn, er zijn nu ook geen errors meer te vinden in de event viewer.

Echter komen mijn policies nog steeds niet bij de client aan. De client heb ik in de active directory in de map Test Omgeving geplaatst waarop de group policy WSUS Test Omgeving staat waarin ik de aanpassingen heb gemaakt volgens de howto, in de policy staat alles goed. Als ik gpupdate /force doe wordt alles geupdate volgens de console, als ik gpresult doe krijg ik het onderstaande waar dus niet mijn policy tussen staat, de reg van de client is dus niet aangepast. Waarom komt mijn policy niet door?

code:

Microsoft (R) Windows (R) XP Operating System Group Policy Result tool v2.0
Copyright (C) Microsoft Corp. 1981-2001

Created On 4/26/2007 at 10:30:13 AM


RSOP results for RKO\NickdeKleijn on CLIENT01 : Logging Mode
-------------------------------------------------------------

OS Type:                     Microsoft Windows XP Professional
OS Configuration:            Member Workstation
OS Version:                  5.1.2600
Domain Name:                 RKO
Domain Type:                 Windows 2000
Site Name:                   Default-First-Site
Roaming Profile:             
Local Profile:               C:\Documents and Settings\NickdeKleijn
Connected over a slow link?: Yes


COMPUTER SETTINGS
------------------
    CN=CLIENT01,OU=Test Omgeving,DC=rko,DC=local
    Last time Group Policy was applied: 4/26/2007 at 10:29:49 AM
    Group Policy was applied from:      server01.rko.local
    Group Policy slow link threshold:   500 kbps

    Applied Group Policy Objects
    -----------------------------
        N/A

    The following GPOs were not applied because they were filtered out
    -------------------------------------------------------------------
        Local Group Policy
            Filtering:  Not Applied (Empty)

    The computer is a part of the following security groups:
    --------------------------------------------------------
        BUILTIN\Administrators
        Everyone
        NT AUTHORITY\Authenticated Users
        

USER SETTINGS
--------------
    CN=Nick de Kleijn,OU=Gebruikers,DC=rko,DC=local
    Last time Group Policy was applied: 4/26/2007 at 10:29:49 AM
    Group Policy was applied from:      server01.rko.local
    Group Policy slow link threshold:   500 kbps

    Applied Group Policy Objects
    -----------------------------
        Default Domain Policy

    The following GPOs were not applied because they were filtered out
    -------------------------------------------------------------------
        WSUS Test Omgeving
            Filtering:  Not Applied (Empty)

        Local Group Policy
            Filtering:  Not Applied (Empty)

    The user is a part of the following security groups:
    ----------------------------------------------------
        Domain Users
        Everyone
        BUILTIN\Users
        NT AUTHORITY\INTERACTIVE
        NT AUTHORITY\Authenticated Users
        LOCAL

[alt-92]

code:

Connected over a slow link?: Yes

Lijkt me al een goede hint.

Ook het feit dat je niet een normale ping reply terug krijgt doet mij vermoeden dat er nog het één en ander aan je netwerkconfiguratie schort.

Oh, enne:

code:

-------------------------------------------------------------------
        WSUS Test Omgeving
            Filtering:  Not Applied (Empty)

Er moet natuurlijk wel wat in staan

[ Voor 32% gewijzigd door alt-92 op 26-04-2007 22:00 ]

[Soepstengel]

alt-92 schreef op donderdag 26 april 2007 @ 21:58:

code:

Connected over a slow link?: Yes

Lijkt me al een goede hint.

Ook het feit dat je niet een normale ping reply terug krijgt doet mij vermoeden dat er nog het één en ander aan je netwerkconfiguratie schort.

Oh, enne:

code:

-------------------------------------------------------------------
        WSUS Test Omgeving
            Filtering:  Not Applied (Empty)

Er moet natuurlijk wel wat in staan

Sorry voor de erg late reply maar ik ben een weekje op vakantie geweest en ben heel dom vergeten om dat ook even te vermelden in mijn reply

Anyway

code:

-------------------------------------------------------------------
        WSUS Test Omgeving
            Filtering:  Not Applied (Empty)

er staat wel degelijk wat in de policy alleen er staat niks in de policy dat voor users geld (de policy is ook niet aan users gekoppeld). Het vreemde is (zoals ik in mijn eerdere reply ook gezegd heb) dat er geprobeerd wordt om de policy via een user te activeren terwijl de policy op een OA staat waar alleen computers in staan (de client dus).

code:

Connected over a slow link?: Yes

Daar heb ik over heen gekeken, maar heeft dit wat te maken met het niet goed overkomen van de policy's? Het lijkt mij dan dat er in het ergste geval en tijdje gewacht moet worden voordat de policy aankomt (dat heb ik ook al geporbeerd )

[alt-92]

Soepstengel schreef op zondag 06 mei 2007 @ 19:56:

code:

Connected over a slow link?: Yes

Daar heb ik over heen gekeken, maar heeft dit wat te maken met het niet goed overkomen van de policy's? Het lijkt mij dan dat er in het ergste geval en tijdje gewacht moet worden voordat de policy aankomt (dat heb ik ook al geprobeerd )

De bepaling of er een slow link ( <500kb/s) aanwezig is wordt gedaan door een ICMP pakket te sturen.
Als je je PC ook niet kan pingen dan kan je erop wachten dat machine GPOs ook niet worden opgepakt toch?

Vandaar dat ik aangaf dat je misschien toch even je netwerkconfig goed moet nakijken.

[Zwelgje]

alt-92 schreef op zondag 06 mei 2007 @ 21:45:
[...]


De bepaling of er een slow link ( <500kb/s) aanwezig is wordt gedaan door een ICMP pakket te sturen.
Als je je PC ook niet kan pingen dan kan je erop wachten dat machine GPOs ook niet worden opgepakt toch?

Vandaar dat ik aangaf dat je misschien toch even je netwerkconfig goed moet nakijken.

ging slow link detection niet doordat windows een compressed .jpg ging versturen naar de andere kant (kan ook een .bmp zijn geweest) juist omdat icmp nie altijd doorkomt

of vergis ik me in een ander mechanisme

edit: nee dit is het http://technet2.microsoft...4ed-d8313a697b201033.mspx

[ Voor 11% gewijzigd door Zwelgje op 06-05-2007 23:10 ]

[Soepstengel]

Aha, ik ben eens wezen zoeken en er stond inderdaad iets niet goed qua netwerk instellingen. De DHCP server stond niet zo ingesteld dat de Default Gateway en co niet ingesteld stonden, deze heb ik nu dus goed gezet en de ik heb nu geen "Slow Link" meer. Ik had echter gehoopt dat ik vanaf mijn server dan nu eindelijk mijn client kon pingen maar dat werkt nog steeds niet en ook de group policy wil nog steeds niet aan komen.

[Soepstengel]

Ping probleem heb ik inmiddels ook weten op te lossen, blijkbaar houd de Windows Firewall de pings tegen...

[Soepstengel]

*schopje* Iemand een idee?

[alt-92]

GPMC modelling gebruiken, en dat naast je GPresult leggen.
Alleen al het punt dat je machine policies compleet leeg blijven is al duidelijk genoeg toch?

[Soepstengel]

alt-92 schreef op dinsdag 08 mei 2007 @ 10:33:
GPMC modelling gebruiken, en dat naast je GPresult leggen.
Alleen al het punt dat je machine policies compleet leeg blijven is al duidelijk genoeg toch?

Duidelijk dat er inderdaad iets niet goed in de policies zit. Heb het zelfs al meerdere malen aan een leraar gevraagd en die weet het niet eens... (zeggen ze dat de kwaliteit van leerlingen zo naar beneden gaat )

Maar ik ga dit in ieder geval proberen, er gaat een heel nieuw boek voor mij open nu ik GPMC modelling in heb gevult op google

[ Voor 12% gewijzigd door Soepstengel op 08-05-2007 15:05 ]

[Soepstengel]

Ik heb GPMC gedownload en geïnstalleerd, ik ben er ook mee bezig geweest en heb ook een simulatie uitgevoerd. Resultaat daarvan was dat de simulatie zegt dat de GPO's gewoon aplied worden zonder problemen ook met een slow link. Echter wanneer ik het vergelijk met de xp client zie ik dat mijn client niet lid is van de groep Domain Computers in de gpresult, ik heb echter wel in mijn active directory gezet dat de computer lid is van de security groep Domain Computers. Is dit een bekent probleem en is hier een oplossing voor?

[paella]

Op de clients staat in de windows dir een WindowsUpdate.log. Kijk eens daar of er errors komen?

[Soepstengel]

Oke, als laatste middel heb ik de Windows XP client opnieuw geïnstalleerd en alles werkt nu opeens. Ik kwam er achter dat er iets niet goed in de Windows XP Client toen ik de server met een andere client verbond in VMware, daar werkte het wel namelijk. Helaas ben ik er niet achter gekomen wat er niet goed zat in de oudere Windows XP client maar het werkt wel in ieder geval!