Probleem met policies

[Masch]

Het netwerk binnen mijn bedrijf ziet er als volgt uit;

2 Windows NT 4 servers
54 workstations (waarvan 17 Winnt en de rest Win2K)

Ik zit met het volgende probleem;

Ongeveer een jaar geleden heb ik via de policy editor de rechten van de gewone user (de groep Domain Users) wat verscherpt. Dit is toendertijd helemaal goed verlopen. Echter, nu wil ik deze groep deze rechten weer teruggeven. En hier komt mijn probleem. Op de een of andere manier worden de Windows 2000 machines niet goed (helemaal niet) geupdated
Op de Microsoft site is heel veel documentatie te vinden, maar geen van Q artikelen kon mijn probleem verhelpen. Ik ben al zover dat ik denk dat het in de registry key HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Update zit. Ik heb de waarde van de update mode in 2 veranderd zoals beschreven in het artikel 168231, maar dit verhielp het probleem niet.

Ik kan me niet voorstellen dat ik de enige ben met dit probleem en ik hoop dat een van jullie mij hier meer over kan vertellen.

[Duinkonijn]

server al gereboot?

[Masch]

Tja, dat lijkt me niet erg handig. Dan zou iedereen moeten stoppen met werken . Dit is alleen een optie als het zeker werkt en als er geen andere optie is. Lijkt me trouwens ook niet echt nodig. De registry is nml. alleen gewijzigd bij de clients.

[Duinkonijn]

Masch schreef op 10 December 2002 @ 10:57:
Tja, dat lijkt me niet erg handig. Dan zou iedereen moeten stoppen met werken . Dit is alleen een optie als het zeker werkt en als er geen andere optie is. Lijkt me trouwens ook niet echt nodig. De registry is nml. alleen gewijzigd bij de clients.

nou op me werk hebben we dat probleem ook dat policy`s pas bij een reboot volledig actief worden

sommige dingen werken gelijk en sommige dingen niet

je hoeft alleen de pdc te reboten

en anders zet je ff tijdelijk een bdc er naast

[Masch]

Duinkonijn schreef op 10 december 2002 @ 11:04:
[...]
je hoeft alleen de pdc te reboten

lol. +- 100 man geen exchange, printers, e.d. dat doe je niet 'zomaar'

Ik ga het vanavond maar eens proberen... Weet niemand anders iets?? Is dit zeker de oplossing.

[ Voor 4% gewijzigd door Masch op 10-12-2002 12:47 ]

[Verwijderd]

Ben bang voor je, oud & nieuw om een uur of 11.59 een optie?

[ Voor 5% gewijzigd door Verwijderd op 10-12-2002 15:15 ]

[seq_uence]

Masch schreef op 10 december 2002 @ 12:46:
[...]


lol. +- 100 man geen exchange, printers, e.d. dat doe je niet 'zomaar'

Ik ga het vanavond maar eens proberen... Weet niemand anders iets?? Is dit zeker de oplossing.

Euhm, 54 workstations en 100 man geen exchange, printers e.d.
Mis ik iets of wat klopt er hier niet ?

Of werken jullie in ploegen ?

[wica]

Nee, het is een school en daar werken ze standaart met zijn tweeen achter 1 computer.

[Masch]

Foutje

100 werknemers -- 50 maal exchange.....

Kan gebeuren. 'k ga trouwens vanavond rebooten. Morgen zal ik de uitkomst posten.

[Duinkonijn]

exchange op een pdc...

mis ik wat?

lama



edit bakreboot.bat

net send /domain:blaaat email afsluiten server neer in 10 minuten
delay 300
net send /domain:blaaat email afsluiten server neer in 5 minuten
delay 120
net send /domain:blaaat email afsluiten server neer in 3 minuten
delay 120
net send /domain:blaaat email afsluiten server neer in 1 minuut
delay 60
shuwdown /l /r

[ Voor 100% gewijzigd door Duinkonijn op 10-12-2002 16:38 ]

[luc]

kun je niet gewoon met secedit die policy's refreshen ?

[Duinkonijn]

luc schreef op 10 December 2002 @ 19:49:
kun je niet gewoon met secedit die policy's refreshen ?

poledit.. nee

[elevator]

Misschien is het beter te controlleren ofdat je directory replicator service nog goed draait, en de ntconfig.pol wel juist gerepliceerd is, en daarna je clients(!) rebooten.

[Masch]

Een reboot heeft ook niet geholpen... heb ik voor niks zitten overwerken.

Er wordt wel goed gerepliceerd, want in de netlogon directory staat de goede ntconfig.pol. Dit kun je namelijk checken met de policy editor. Er worden gewoon geen wijzigingen op de clients aangebracht.
Als je de rechten verminderd, dan gaat het wel goed, zet je echter iets uit, dan gaat het niet goed. Het gaat dus alleen fout als je bepaalde rechten teerug geeft.

[Verwijderd]

het is wel degelijk secedit en geen poledit waarmee je harde refresh op server kunt doen.. iets in de zin van 'secedit /refreshpolicy machine_policy /enforce' of zo krijg je dan bijvoorbeeld.

[avon]

probleem wat ik zelf heb ondervonden, subnet niet correct bij de w2k machines.
Heel vaag, inloggen werkte perfect, maar zo gauw je policy's ging edite veranderde
er helemaal niks. (en maar zoeken....)

[Masch]

Het subnet op de clients staat wel goed ingesteld. Dat is het dus ook niet.
Kan het iets te maken hebben met de rechten op de registry? Deze rechten hebben de users van de clients namelijk niet.

[Verwijderd]

wij hebben een soort gelijk probleem gehad alleen toen waren een paar client pc's met win98 die de updates niet opnamen, terwijl de rest win2k is... Misschien dat het toch eens tijd wordt voor een upgrade van NT naar win2k, vooral voor de servers...

[Masch]

Ja, absoluut. Vertel jij het aan het management??

Het staat in de planning, maar hier zijn, zoals bijna overal, de nieuwe investeringen ff uitgesteld.

Weet iemand anders nog een oplossing??

[Jaymz]

Masch schreef op 11 December 2002 @ 08:54:
Een reboot heeft ook niet geholpen... heb ik voor niks zitten overwerken.

Er wordt wel goed gerepliceerd, want in de netlogon directory staat de goede ntconfig.pol. Dit kun je namelijk checken met de policy editor. Er worden gewoon geen wijzigingen op de clients aangebracht.
Als je de rechten verminderd, dan gaat het wel goed, zet je echter iets uit, dan gaat het niet goed. Het gaat dus alleen fout als je bepaalde rechten teerug geeft.

Hoe heb je de boel @ poledit veranderd, het vinkje weggehaald zodat er een grijs vakje kwam te staan, of dat er een wit vakje kwam te staan ?

Okee, okee poledit basics maar ik heb genoeg mensen hier al mee op hun bek zien gaan

[Masch]

Inderdaad basics, maar iig bedankt voor je reply. Dit heeft er echter niks mee te maken. Ik heb een bepaalde groep, waarvoor eerder zwaardere policy's waren, helemaal verwijderd uit de ntconfig.pol. Op de NT stations haalt ie daarna de rechten wel weg, maar op de Win2K stations echter niet.

[Verwijderd]

Je hebt het over de HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Update register sleutel op de client; heb je ook geprobeerd in deze key ook de 'NetworkPath' value aan te maken met daarin '\\pdc-servernaam\netlogon\policys\w2ksystems.pol' ? (of de andere plek waar ie staat?)

Heb je een keer geprobeerd de policy file te maken onder Windows 2000 ?

Heb je de opties wel uitgezet; ipv de optie niet gedefineerd? Anders worden ze niet ongedaan gemaakt maar gebruiken ze de client default!

Succes!

[Masch]

Verwijderd schreef op 12 december 2002 @ 14:54:
Je hebt het over de HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Update register sleutel op de client; heb je ook geprobeerd in deze key ook de 'NetworkPath' value aan te maken met daarin '\\pdc-servernaam\netlogon\policys\w2ksystems.pol' ? (of de andere plek waar ie staat?)

Heb je een keer geprobeerd de policy file te maken onder Windows 2000 ?

Heb je de opties wel uitgezet; ipv de optie niet gedefineerd? Anders worden ze niet ongedaan gemaakt maar gebruiken ze de client default!

Succes!

Ja, dat heb ik ook aangepast. Dit verhielp het ook niet.

Nee... Dat kan toch in principe ook niet? Waarmee moet je deze *.adm? file dan activeren?

Ik heb een groep in de ntconfig.pol weggegooid en daarna opgeslagen. Ik moest dus geen vinkjes aan- en/of uitzetten.

Nog even de situatie van de ntconfig.pol vooraf en achteraf, misschien wordt het dan wat duidelijker;

Vooraf;
Administrator -- Alles mag
Default computer -- Kleine dingetjes ingesteld
Default User -- Kleine dingetjes ingesteld
Domain Admins-- Alles mag
Domain Users -- Rechten zijn ingesteld, deze groep had ik zelf toegevoegd.

Nu;
Administrator -- Alles mag
Default computer -- Kleine dingetjes ingesteld
Default User -- Kleine dingetjes ingesteld
Domain Admins-- Alles mag

Wat ik dus wil, is dat alle clients weer de rechten krijgen zoals ze staan ingesteld bij de default user. Bij de NT clients gebeurd dat ook, maar bij de Win2K clients blijven de rechten zoals eerder bij de domain users ingegeven actief.

[ Voor 2% gewijzigd door Masch op 12-12-2002 16:31 . Reden: typo ]

[Dopestar]

Heb je op de machines waar het niet goed gaat de lokaal opgeslagen profielen al weggegooid. Dus in de map Document en settings. En dan de gebruikers mappen van de gebruikers waar de policy van veranderd moet worden.

Windows 2000 haalt dan weer het profiel van de server af en laadt alle instellingen opnieuw.
Duurt wel wat langer de eerste keer opstarten omdat het profiel weer op c: gezet wordt.

Bij ons in het bedrijf heeft het wel eens geholpen tenminste bij instellingen die niet door gevoerd werden.

[Verwijderd]

Masch schreef op 12 december 2002 @ 16:30:
[...]


Nog even de situatie van de ntconfig.pol vooraf en achteraf, misschien wordt het dan wat duidelijker;

Vooraf;
Administrator -- Alles mag
Default computer -- Kleine dingetjes ingesteld
Default User -- Kleine dingetjes ingesteld
Domain Admins-- Alles mag
Domain Users -- Rechten zijn ingesteld, deze groep had ik zelf toegevoegd.

Nu;
Administrator -- Alles mag
Default computer -- Kleine dingetjes ingesteld
Default User -- Kleine dingetjes ingesteld
Domain Admins-- Alles mag

Wat ik dus wil, is dat alle clients weer de rechten krijgen zoals ze staan ingesteld bij de default user. Bij de NT clients gebeurd dat ook, maar bij de Win2K clients blijven de rechten zoals eerder bij de domain users ingegeven actief.

Je moet dus de 'vooraf' policy file aanpassen voor domain users; alles wat gekozen is; uitzetten, niet op 'grijs'/niet gedefineerd
niet de groep verwijderen!!!! Dan zou het moeten werken

Nog even over de adm files op W2k, je kan er gewoon naar browsen of deze naar c:\winnt\inf kopieren.

[Snoekieboe]

Masch schreef op 10 december 2002 @ 12:46:
[...]


lol. +- 100 man geen exchange, printers, e.d. dat doe je niet 'zomaar'

Ik ga het vanavond maar eens proberen... Weet niemand anders iets?? Is dit zeker de oplossing.

Sorry, maar in een bedrijf is het heel normaal dat aanpassingen op bedrijfskritische software/hardware 's avonds of in het weekend worden doorgevoerd.

Ik ben zelf beheerder van een netwerk met 1300 users en ik werk praktisch iedere dag na kantooruren en vaak ook in het weekend.


Maar om terug te komen op je probleem:

Nt4 servers staan er om bekend dat policy wijzigingen pas succesvol worden doorgevoerd na een reboot.

[Duinkonijn]

Snoekieboe schreef op 12 december 2002 @ 20:08:
[...]


Sorry, maar in een bedrijf is het heel normaal dat aanpassingen op bedrijfskritische software/hardware 's avonds of in het weekend worden doorgevoerd.

Ik ben zelf beheerder van een netwerk met 1300 users en ik werk praktisch iedere dag na kantooruren en vaak ook in het weekend.


Maar om terug te komen op je probleem:

Nt4 servers staan er om bekend dat policy wijzigingen pas succesvol worden doorgevoerd na een reboot.

je heb baas boven baas
* Duinkonijn beheerd 1800 users
en doet het gewoon lekker remote

enige nadeel als hij blijft hangen. dan moeten we ff naar kantoor

[ Voor 7% gewijzigd door Duinkonijn op 12-12-2002 20:28 ]

[NiGeLaToR]

Snoekieboe schreef op 12 December 2002 @ 20:08:
[...]


Sorry, maar in een bedrijf is het heel normaal dat aanpassingen op bedrijfskritische software/hardware 's avonds of in het weekend worden doorgevoerd.

Ik ben zelf beheerder van een netwerk met 1300 users en ik werk praktisch iedere dag na kantooruren en vaak ook in het weekend.


Maar om terug te komen op je probleem:

Nt4 servers staan er om bekend dat policy wijzigingen pas succesvol worden doorgevoerd na een reboot.

Voor win2k server kun je in het command promptje met een commando de policy's doorvoeren. Ik kan het alleen niet vinden nu

Magoed, denk dat je policy's niet doorgevoerd zijn, normaliter verhelp je dat dus door even dat commando te runnen - ideaal.. geen reboot required

[MrCyber]

offtopic:
[quote]Duinkonijn schreef op 12 december 2002 @ 20:27:

je heb baas boven baas
* Duinkonijn beheerd 1800 users
en doet HET gewoon lekker remote
[/quote]

Kon het niet laten. Hoe doe jij HET remote dan ?

[ Voor 4% gewijzigd door MrCyber op 12-12-2002 20:33 ]

[Masch]

Verwijderd schreef op 12 december 2002 @ 18:55:
[...]


Je moet dus de 'vooraf' policy file aanpassen voor domain users; alles wat gekozen is; uitzetten, niet op 'grijs'/niet gedefineerd
niet de groep verwijderen!!!! Dan zou het moeten werken

Nog even over de adm files op W2k, je kan er gewoon naar browsen of deze naar c:\winnt\inf kopieren.

Dat verwijderen was dus de fout?? Ik zal het uit proberen op maandag. Kijken of het werkt. Het is op zich wel vreemd dat het op de NT stations wel goed gaat toch?
Ik zal het laten weten als het werkt.

[seq_uence]

Duinkonijn schreef op 12 december 2002 @ 20:27:
[...]


je heb baas boven baas
* Duinkonijn beheerd 1800 users
en doet het gewoon lekker remote

enige nadeel als hij blijft hangen. dan moeten we ff naar kantoor

Je bedoeld dat je op de helpdesk zit ?

Als je beweerd dat je de gehele infrastructuur en software van 1800 users beheerd in je eentje droom dan maar lekker verder.

edit:

Hetzelfde geldt natuurlijk voor snoekieboe...

[ Voor 9% gewijzigd door seq_uence op 13-12-2002 12:35 ]

[Masch]

Ik doe ook het beheer van onze 55 users niet geheel alleen. Samen met een stagiaire heb ik genoeg werk te doen. Dus.. eeh.. 1800 users in je eentje... denk het niet.

Dit is trouwens niet lullig bedoeld ofzo..

[seq_uence]

Masch schreef op 13 december 2002 @ 13:06:
Ik doe ook het beheer van onze 55 users niet geheel alleen. Samen met een stagiaire heb ik genoeg werk te doen. Dus.. eeh.. 1800 users in je eentje... denk het niet.

Dit is trouwens niet lullig bedoeld ofzo..

Van mij ook niet natuurlijk, maar ik weet ook wel wat er voor nodig is. Ben zelf systeem- netwerkbeheerder in een organisatie met 130 medewerkers die op twee locaties zitten.

Daarom werken we met Citrix en is het redelijk te doen hoewel ik het wel af en toe erg druk heb, maar dat hoort erbij denk ik.

edit:

Ik heb 1 collega maar die neemt alleen waar voor de helpdesk als ik er niet ben, verder houdt hij zich alleen bezig met de cijfertjes e.d.

[ Voor 12% gewijzigd door seq_uence op 13-12-2002 14:52 ]

[Zwelgje]

Snoekieboe schreef op 12 december 2002 @ 20:08:
[...]

Nt4 servers staan er om bekend dat policy wijzigingen pas succesvol worden doorgevoerd na een reboot.

pardon? die server hoef je niet te rebooten, de clients lezen de config.pol of ntconfig.pol uit en parsen deze in hun register,

de server hoeft niet gereboot te worden omdat deze niks met de policy's doet (behalve dan het aanbieden via de netlogon share)

[seq_uence]

Heb je helemaal gelijk in zwelgje !

Maarja als je 1300 werkplekken in je eentje beheerd zoals snoekieboe dan vergeet je wel eens wat.

[Duinkonijn]

MrCyber schreef op 12 December 2002 @ 20:32:

offtopic:
[quote]Duinkonijn schreef op 12 december 2002 @ 20:27:

je heb baas boven baas
* Duinkonijn beheerd 1800 users
en doet HET gewoon lekker remote
[/quote]

Kon het niet laten. Hoe doe jij HET remote dan ?

ras

[Duinkonijn]

seq_uence schreef op 13 December 2002 @ 12:32:
[...]


Je bedoeld dat je op de helpdesk zit ?

Als je beweerd dat je de gehele infrastructuur en software van 1800 users beheerd in je eentje droom dan maar lekker verder.

edit:

Hetzelfde geldt natuurlijk voor snoekieboe...

ik zei niet dat ik het in me eentje deed
3 man sterk

oja 300 maximaal tegelijk... we hebben maar 300 pc`s

[ Voor 8% gewijzigd door Duinkonijn op 13-12-2002 20:58 ]

[seq_uence]

Duinkonijn schreef op 13 December 2002 @ 20:57:
[...]

ik zei niet dat ik het in me eentje deed
3 man sterk

oja 300 maximaal tegelijk... we hebben maar 300 pc`s

Dat is toch even een ander verhaal nietwaar ?

[Duinkonijn]

seq_uence schreef op 14 December 2002 @ 10:06:
[...]


Dat is toch even een ander verhaal nietwaar ?

ligt er aan het zijn er nogsteeds 1800

[elevator]

Doen jullie met z'n 3en alles (dus connecties van de vestigingen onderling, server beheer, helpdesk), of zijn er nog meer?