[2003] Software geblokkeerd met hash in AD GPO start alsnog

[.NCK]

Op al onze computer is voor de normale gebruikers de toegang tot Windows Live Messenger e.d. ontzegt, dit heb ik geblokkeerd met behulp van een hash van Windows Live Messenger.

Echter als een gebruiker nu inlogt wil er op sommige desktop machines nog gezellig een Windows Live Messenger schermpje openen.

Ik heb geprobeerd om nog een hash in te voeren, maar die hash bestond al.

Hoe los ik dit op?

[sanfranjake]

Zorgen dat het verkeer in een proxyserver oid verstoord wordt? Hebben de gebruikers local administrator-rechten ofzo?

Wat heb je verder al ondernomen?

[.NCK]

De gebruikers hebben geen local administrator rechten, een proxy instellen kan wel maar dan zit je alsnog met het opstartende programma wat niet zo handig is.

Het heeft wel gewoon gewerkt maar stopte opeens met werken.

[sh4d0wman]

Het heeft gewerkt zeg je, hoe werkt dat met die hash? Kan het zijn dat er een nieuwe Live versie is, welke dan een andere hash heeft?

[Verwijderd]

Standaard wacht de opstartende computer niet tot alle policies zijn verwerkt zijn voordat een gebruiker kan inloggen. Je kan echter in een GPO instellen dat de computer moet wachten totdat alle policies verwerkt zijn. Deze kan je vinden onder Computer Configuration\Administrative Templates\System\Logon\ Always wait for the network at computer startup and logon. Misschien helpt het om deze in te stellen.

Wat je ook kan doen is het programma blokken op path naast de hash en kijken of dat uitmaakt.

[.NCK]

Ik heb het nu anders opgelost, ik heb nu de directory geblokkeerd voor gebruikers d.m.v. GPO.
Ik kon het helaas niet testen, maar ik denk dat ik volgende week de eerste resultaten wel binnen krijg m.b.t. het opstarten van msn of niet.

[Brazza]

Ik zou dan ook maar webmessenger.msn.com blokkeren als ik jouw was Maar er zijn altijd wel andere oplossingen hiervoor

[mutsje]

Of een gebruiker nu local administrator is of niet een GPO zal ALTIJD de zaak blokkeren tenzij een gebruiker excluded is middels bv deny read/apply policy settings. Het maakt dus niets uit wat voor rechten een account heeft, indien een policy op applied wordt zal deze uitgevoerd worden. Dit is ook gelijk het gevaarlijke aan policies en verkeerd gebruik hiervan. Indien een gebruiker de machine in safe mode opstart zullen policies niet verwerkt worden!. Ga eens met gpresult etc kijken waarom de gebruiker ondanks de GPO toch toegang tot het programma krijgt.

[.NCK]

Enigste probleempje wat ik nu nog tegenkom is dat de computer niet zijn computer policy volledig overneemt. Ik heb alles al nagekeken, computers opnieuw in hun OU geplaatst, maar bijv het uitgeschakelde CRTL+ALT+DEL voor het inloggen, word nog steeds gevraagt.
En de gebruikersnaam van de laatste gebruiker blijft ook staan.

[DoleBole]

Een aantal zaken zijn in de default domain policy geregeld

(ik twijfel, maar denk dat de ctrl-alt-del verplicht is)

deinstallatie van msn achtige zaken kan ook een alternatief zijn, samen met het niet mogen installeren van software (maar ook dat is niet waterdicht)

proxy/firewall met content filtering is een betere methode om dit soort zaken in ieder geval niet naar buiten te krijgen ( of naar binnen...)

[sanfranjake]

Kijk dan eens in je eventlogs, want daar gaat dan waarschijnlijk wel relevante info staan.

[mutsje]

Als je asynchrone policies gebruikt kan het zijn dat een gebruiker meerdere keren moet inloggen. Dit is een bekende bug. Dus kijk ook even na of je dit aan hebt staan. Verder zoals SJF al zegt ga spitten in de eventviewer , gebruik RSOP etc om te gaan troubleshooten.

[ Voor 23% gewijzigd door mutsje op 24-06-2007 18:22 ]