2 User und Internetsperre

[Partychr]

Hallo zusammen,
ich habe einen Rechner mit 2 Benutzerprofilen drauf.
Benutzer 1 ist der Administrator mit entsprechenden Admin-Rechten.
Benutzer 2 ist ein Benutzer mit eingeschränkten Gastrechten.
Nun möchte ich gerne folgendes realisieren:
Beide User sollen dauerhaft und immer über das Netzwerk miteinander kommuniziern und den Netzwerkdrucker nutzen können.
Hintergrund ist hier ein Programm welches für beide User benötigt wird und mit anderen Geräten über das Netzwerk entsprechend kommuniziert.
Benutzer 1 (Admin) soll auch ganz normal Internetzugriffhaben.
Für Benutzer 2 (Gast( soll allerdings der Internetzugang generell gesperrt sein. Das soll sowohl für Browser, als auch für Updates etc. erfolgen.
Wie kann ich das am besten bewerkstelligen ?
Geht das vielleicht irgendwie über MMC ?
Oder hat einer eine bessere Lösung ?
Ich denke über den Router kann ich es vermutlich eher nicht konfogurieren auf Grund der 2 verschiedenen Userprofilen...
Betriebssystem ist übrigens Windows 10

 

[SaxnPaule]

Beim Nutzerlogin per Script (Task Scheduler) den Default Gateway setzen bzw. entfernen.

Trigger ist der Logon des Basisnutzers, Ausführung des Tasks muss aber als Admin Nutzer erfolgen.
Und dann für den Basisnutzer

route delete 0.0.0.0

Und für den Admin (Gateway natürlich anpassen)

route add 0.0.0.0 MASK 0.0.0.0 192.168.0.1

Habs gerade bei mir getestet. Funktioniert.

 

[h00bi]

Beide User sollen dauerhaft und immer über das Netzwerk miteinander kommuniziern

Kannst du das näher ausführen?
Windows erlaubt üblicherweise nicht, dass mehrere User gleichzeitig an der gleichen Maschine angemeldet sind. Da wäre die Lösung eher ein Terminalserver.

Um Internetzugang abzuwürgen reicht es, wie bereits genannt das Standardgateway zu entfernen.

 

[Partychr]

@h00bi Es gibt 2 Benutzerprofile. Einen Gastuser und einen Administratoruser

Es ist entweder der eine oder der andere angemeldet

Ergänzung (Gestern um 14:58)

Beim Nutzerlogin per Script (Task Scheduler) den Gateway setzen bzw. entfernen.

Trigger ist der Logon des Basisnutzers, Ausführung des Tasks muss aber als Admin Nutzer erfolgen.
Und dann für den Basisnutzer

route delete 0.0.0.0

Und für den Admin

route add 0.0.0.0 MASK 255.255.255.0 192.168.0.1

OK..., wie mach ich das ? Bin bei Skripten leider nicht so im Thema...
Das Netzwerk anfür sich funktioniert dann bei beidenm trotzdem normal weiter ?

 

[SaxnPaule]

OK..., wie mach ich das ? Bin bei Skripten leider nicht so im Thema...

Du legst jeweils eine Batch Datei mit dem entsprechenden Befehl im Dateisystem (für den Gastnutzer unerreichbar) ab.
Anschließend erstellst du im Windows Task Scheduler einen Task der je nach Nutzerlogon jeweil die eine oder andere Batchdatei mit Adminrechten ausführt.

Das Netzwerk anfür sich funktioniert dann bei beidenm trotzdem normal weiter ?

Du weißt wie ein Netzwerk funktioniert und wofür IP-Adresse, Netzmaske, Gateway und DNS-Server notwendig sind?

 

[Fujiyama]

Möglicherweise hilft dir auch ChatGPT beim Skripten.

 

[SaxnPaule]

Für den Einzeiler den ich bereits in #2 gepostet habe?

 

[Fujiyama]

@SaxnPaule
Warum nicht? Ne Schritt für Schritt Anleitung schadet nicht. Da ist dann auch die passende Erklärung bei Bedarf mit dabei.

 

[Partychr]

Du weißt wie ein Netzwerk funktioniert und wofür IP-Adresse, Netzmaske, Gateway und DNS-Server notwendig sind?

Das weiss ich ja..., nur halt bei Skripten steh ich vollkommen auf dem Schlauch...

 

[SaxnPaule]

Ne Schritt für Schritt Anleitung schadet nicht

Du meinst für
Rechtsklick -> Neue Datei anlegen -> Zeile einfügen -> Als meinskript.bat abspeichern

Sollte er eine KI befragen?

nur halt bei Skripten steh ich vollkommen auf dem Schlauch

Da ist nichts zu Scripten. Es ist genau eine einzige Zeile die du in eine Textdatei mit der Dateinamenerweiterung .bat (statt .txt) einfügst.

Leg dir die beiden Dateien an und teste sie jeweils aus (Doppelklick / als Admin ausführen)
Einmal sollte das Internet funkltionieren, einmal nicht.

Anschließend legst du im Task Scheduler / Aufgabenplaner die beiden Tasks zu den Dateien an wie eingangs beschrieben.

 

[Partychr]

Beim Nutzerlogin per Script (Task Scheduler) den Default Gateway setzen bzw. entfernen.

Trigger ist der Logon des Basisnutzers, Ausführung des Tasks muss aber als Admin Nutzer erfolgen.
Und dann für den Basisnutzer

route delete 0.0.0.0

Und für den Admin (Gateway natürlich anpassen)

route add 0.0.0.0 MASK 0.0.0.0 192.168.0.1

Habs gerade bei mir getestet. Funktioniert.

Bedeutet ich müsste immer erst den Admin Nutzer laden lassen damit der Skript aktiv wird (wegen Ausführung des Tasks muss aber als Admin Nutzer erfolgen...)?

Da der Rechner im Normalbetrieb nur vom Gast genutzt wird hab ich den so eingestellt dass er beim hochfahren automatisch das Gast-Profil ohne Passwort lädt.

Will ich mich dann zu Administrativen Zwecken anmelden muss ich das Admin Profil mit Passwort, was nur ich habe zusätzlich starten...

 

[SaxnPaule]

Bedeutet ich müsste immer erst den Admin Nutzer laden lassen damit der Skript aktiv wird

Nein

Du kannst beim Anlegen des Tasks doch aussuchen als welcher Nutzer der Task ausgeführt wird. Damit hast du dann auch Zugriff auf die Datei, obwohl sie in einem Verzeichnis liegt, an das der Gastnutzer nicht kommt, z.B. C:\Windows

Als Trigger Nutzerlogon

Und als Action das Script

 

[Keylan]

Bedeutet ich müsste immer erst den Admin Nutzer laden lassen damit der Skript aktiv wird

Nein, dir fehlt das grundlegende Verständnis wie Benutzer im System agieren. Prozesse können unter verschiedenen Nutzern laufen ohne das diese eine Desktop Sitzung haben.

Ein Großteil der Prozesse läuft immer unter dem Nutzer "System" welcher sehr viele Rechte hat, aber nicht in einer aktiven Sitzung angemeldet werden kann.

 

[Partychr]

Prima, vielen lieben Dank bis hierhin, das werde ich ausprobieren..., eine Verständnisfrage habe ich aber noch:

Über die Gruppenrichtlinien des Gast-Users im Konsolenstamm / Benutzerkonfiguration kann mann nicht zufällig auch irgendwo einstellen dass der Internetzugriff gesperrt ist, der Netzwerkzugriff aber frei bleibt, oder ?

 

[VDC]

Will ich mich dann zu Administrativen Zwecken anmelden muss ich das Admin Profil mit Passwort, was nur ich habe zusätzlich starten...

Dann kannste dir auch eben 2 Skripte auf den Admin-Desktop legen, die dann eben kurz das Gateway setzen bzw. entfernen. Das schränkt dann auch nicht den Zugriff auf lokale Ressourcen ein, nur alles hinter dem Router ist nicht erreichbar.