[2k3] TS en VPN

[CAP-Team]

Wij hebben hier nu een paar maand een Win2003 server draaien (SBS). Nu willen wij het ook mogelijk maken om via remote in te loggen op de server, via Terminal Services.

Voor gebruikers die al in de Administrator group zitten is dit geen probleem, echter als ik "normale" gebruikers wil laten inloggen wordt dit geweigerd, ook al heb ik "Aanmelden bij Terminal Service" bij de betreffende gebruiker aanstaan (pad naar gebruikersprofiel is nog wel leeg).
Als een "normale" gebruiker probeert in te loggen krijgt hij een melding dat lokaal aanmelden volgens het RAS-beleid niet is toegestaan. Hoe zet ik dit uit?

Daarnaast willen we, omdat dat veiliger is, een VPN verbinding kunnen maken. Mijn vorige poging om dit voor elkaar te krijgen was niet echt succesvol te noemen. Dus mijn vraag is, kan ik een VPN verbinding maken als er slechts één netwerkkaart is geactiveerd?

[vso]

ja je kan met 1 netwerk kaartmeerdere connecties leggen. als je er 2 hebt zitten is het msischien handig om die eruit te halen en je internet verbinding naar een DSL/Cable router te verplaatsen ofzo.

Voor een TS inloggen is het ook goed om de gebruikers te authiriseren op de juiste lokaties. Mijn voorstel koop een boek of lees wat meer over het opzetten van TS-servers.


zoiezo vraag ik me wel af of je wel slim bezig bent, op een win2k3 (AD ) in te loggen waar alles op draait

misschien is het handig om wat meer van je serverpark te vertellen en eventueel met een plaatje erbij

[Verwijderd]

Voor zover ik weet is het wel nodig Terminal Service in de Application modus te zetten, standaard kunnen er inderdaad alleen maar gebruikers inloggen die in de administrators groep zitten. Standaard kunnen er ook maar 2 personen tegelijkertijd inloggen.

[alt-92]

vso schreef op 10 augustus 2004 @ 10:36:
misschien is het handig om wat meer van je serverpark te vertellen en eventueel met een plaatje erbij

Ik vermoed dat het de enige server is (SBS2003).
Kan op zich wel, alleen het vereist de nodige planning.

[CAP-Team]

Beide netwerkkaarten zitten op het moederbord geïntegreerd dus verwijderen zal moeilijk gaan

We hebben maar één server, met Exchange2003 erop, en AD. Remote inloggen zal voorbehouden zijn voor een aantal personen (goed dat ik nu weet dat er maar maximaal 2 tegelijkertijd in kunnen)

[vso]

CAP-Team schreef op 10 augustus 2004 @ 10:46:
Beide netwerkkaarten zitten op het moederbord geïntegreerd dus verwijderen zal moeilijk gaan

We hebben maar één server, met Exchange2003 erop, en AD. Remote inloggen zal voorbehouden zijn voor een aantal personen (goed dat ik nu weet dat er maar maximaal 2 tegelijkertijd in kunnen)

in de bios disabelen ?


hmmm ik zou bij jou eens kijken of de meuk te splitsen valt want dit wat jij doet is vragen om disaster

[Zwelgje]

sbs2003 kan niet in application mode draaien

je zal een 2000 of 2003 memberserver neer moeten zetten voor het TS gedeelte

[Verwijderd]

Je zult idd een 2e machine bij moeten plaatsen voor het TS gedeelte,
je moet dan ook in de groep remote desktop users de users zetten die je
gebruik wilt laten maken van de terminal server omgeving.

Ook in de lokale policies instellen dat deze gebruikers de server via het
netwerk mogen benaderen, via terminal services inloggen, en lokaal mogen
inloggen.

[CAP-Team]

Hmm wat ik wil kan dus niet of is niet slim om op deze manier aan te pakken

[Verwijderd]

Daarnaast willen we, omdat dat veiliger is, een VPN verbinding kunnen maken. Mijn vorige poging om dit voor elkaar te krijgen was niet echt succesvol te noemen. Dus mijn vraag is, kan ik een VPN verbinding maken als er slechts één netwerkkaart is geactiveerd?

waarom denk je dat dat veiliger is. Je introduceert dan een nieuwe pc op het netwerk die wel eens boordevol trojans of virussen kan zitten (je hebt geen controle over pc's bij gebruikers thuis neem ik aan). tevens is vpn (pptp) nog vulnerable voor een aantal dingen.
Zover ik weet is ms ts een van de veiligste services van ms en zijn er geen exploits. ts is natuurlijk ook gewoon encrypted; even de port veranderen en het is veiliger dan vpn imho.

[pistole]

CAP-Team schreef op 10 augustus 2004 @ 12:58:
Hmm wat ik wil kan dus niet of is niet slim om op deze manier aan te pakken

Het kan wel, maar waarschijnlijk heb je een Domain Controller Policy die "interactive logins" van ordinaire users niet toestaat.

En je kan hem best in administration mode hebben draaien - je kan dan echter niet meer dan 2 connecties hebben (+1 console connectie natuurlijk)