Frage an die Windows Server 2003 Cracks...

[MarcBesken]

Hallo Leute,

wie kann ich bei Windows Server 2003 die Anmeldung für Benutzer sperren oder deaktivieren, so daß ich über Remotedesktop zwar noch drankomme, aber von außen keine Dateien mehr von Anwendern verändert oder neu angelegt werden können.

Ich suche das Pendant zu 'disable login' unter Novell NetWare!

Wer kann mir die passende Antwort geben?

Gruß
Marc

 

[Rego]

System --> Remote --> Haken bei "Remotedesktop auf diesem Computer aktivieren" setzen
Remotebenutzer auswählen --> dort die Benutzer/Gruppen eintragen, die per RDP drauf sollen

 

[erazzed]

Wenn die User sich per Terminal Services anmelden kannst du dies einfach per Konsole tun. Gib in der Konsole einfach mal change logon ein.

 

[MarcBesken]

Hallo Leute,

zunächst vielen Dank für Eure Beiträge, aber vielleicht muß ich mich nochmal Deutlicher ausdrücken. Es geht mir nicht um Remotedesktop-Sitzungen und es handelt sich auch nicht um einen Terminal Server, sondern ich will verhindern, daß ab einem gewissen Zeitpunkt Anwender Zugriff über Ihre Laufwerkszuweisungen auf einem Windows Server 2003 haben.

Nehmen wir an, eine große Zahl von Anwendern meldet sich für gewöhnlich morgens an und bekommt über ein Skript Netzwerklaufwerksbuchstaben bereitgestellt. Diese Zugriffe über Laufwerksbuchstaben und neue Anmeldungen an einem gewöhnlichen FileServer möchte ich für einen bestimmten Zeitraum unterbinden und bestehende Verbindungen trennen.

Unter Novell NetWare mußte man dafür alle Connections raußschmeißen mit einem System Console Kommando und über 'disable login' konnte man darüberhinaus auch die Anmeldung sperren!

Wie kann man das unter Windows Server 2003 machen?

Gruß
Marc

 

[fatal_error]

Den Benutzern einfach die Sicherheitsberechtigung auf die Freigaben wegnehmen.

 

[MarcBesken]

Sicherheitsberechtigungen auf Freigaben wegnehmen ist wirklich die schlimmste Alternative. Alles schon durchgekaut.

Andere Vorschläge, wie z.B. Netlogon Dienst abschalten?

Gibt's noch einen eleganteren Schalter um die Anmeldung an einem FileServer zu unterbinden?

Gruß
Marc

 

[fatal_error]

Mit GPO Anmeldung verbieten.

Ergänzung (27. Januar 2012)

Also ich habs mir nochmal angeschaut und muss dir sagen dass es über GPO oder Anmeldedienst abschallten nicht gehen wird. Damit kannst du eine Anmeldung am der Domaine verhindern aber nicht den Dateizugriff.

 

[MarcBesken]

Hallo fatal_error,

danke für Dein Feedback! Mit GPO Anmeldung verbieten? Kannst Du das ein bißchen ausführen? Würd mich interessieren

Gruß
Marc

 

[M-X]

Mir ist auch kein einfacher Button bekannt mit dem das möglich wäre.

Vll hilft dir das weiter:

man kann mit rmtshare.exe die Sharesettings in ein Textfile exportieren, entfernen und bei Bedarf aus dem Textfile importieren

Quelle

 

[fatal_error]

In den Gruppenrichtlinien:

Computerkonfiguration
- Richtlinien
- Windows-Einstellungen
- Sicherheitseinstellungen
- Lokale Richtlinien/Zuweisen von Benutzerrechten
- Richtlinie
Anmelden über Terminaldienste verweigern
Lokal anmelden verweigern

Aber damit wird nicht der Zugriff auf Dateifreigaben eingeschränkt.

 

[Frightener]

@fatal_error
Aber das ist das, was er möchte

Wenn Du den Netlogon Dient stoppst, kann der Server keinen Secure Channel mit dem Domain Controller herstellen. Du kannst den Serverdienst stoppen, aber das beendet ebenfalls den Netlogon Dienst.

 

[.mojo]

fragen wird och einfach mal warum du das tun möchtest?
Vielleicht gibt es ja eine elegantere Möglichkeit dein Ziel zu erreichen.

 

[MarcBesken]

Es geht darum den Stand von Dateien einzufrieren und zu verhindern, daß neue oder geänderte Dateien abgelegt werden für einen gewissen Zeitraum. Bisher habe ich dafür einfach Netlogon gesperrt, aber ich glaube der Serverdienst ist dafür Geeigneter und die Hauptfreigabe wurde einfach umbenannt, so daß Skripte ins Leere laufen!

Gruß
Marc

 

[Frightener]

Du mußt ausprobieren, was während der gestoppten Dienste noch alles nicht funktioniert. Wie gesagt - wenn der Serverdienst beendet wird, stoppt auch der Netlogon Dienst.

Ich würde per Skript die Freigabeberechtigung (nicht NTFS Rechte) ändern.

 

[.mojo]

da du nicht recht damit rausrückst... meine Idee ging in Richtung Schattenkopie.
Wenn du den Stand aller Daten zu einem definierten Zeitpunkt suchst wären Schattenkopien im Grunde ideal.
Das ist quasi ein Snapshot des Filesystems und ermöglicht dir im Extremfall auch zb den Stand eines Volumes von vor x Wochen nochmal hervorzuholen.
Wenns allerdings tatsächlich darum geht das dateien nicht geändert werden ist das natürlich nicht brauchbar.

Ansonsten würd ich auch sagen, wie FBrenner: Die Berechtigungn auf die Freigabe ändern.

schau dir mal rmtshare aus dem Windows Ressource Kit an.
http://ss64.com/nt/rmtshare.html
schön als batch sollte das dir das gewünschte ermöglichen.

 

[MarcBesken]

Es reicht aus den Freigabenamen abzuändern, da alle Laufwerke in Unterverzeichnissen ROOT-gemapt sind, allerdings hätte es mir besser gefallen, wenn ich dafür einfach einen Dienst stoppe. Ich werde diesbezüglich aber noch Tests fahren!

Das gute alte 'disable login' unter Novell NetWare vermisse ich sträflich!

Gruß
Marc

 

[Frightener]

Novell ist nunmal tot. Dem nachzutrauern hilft nicht.

Versuche mal, ob das folgende funktioniert. Ich weiß nicht, ob es diese Schalter bei 2003 schon gab.
net share ShareName=PathtoShare /GRANT:domain\Usergruppe,READ

Damit änderst Du die Shareberechtigungen auf dem Share für die Gruppe 'Usergruppe' auf lesen. Somit kann diese Gruppe nichts mehr schreiben. Umgekehrt ersetzt Du READ durch MODIFY.

Hier ist noch ein Tool:
ftp://ftp.microsoft.com/bussys/winnt/winnt-public/reskit/nt40/i386/RMTSHAR.EXE

 

[MarcBesken]

NetWare is still alive, auch wenn Novell es nicht mehr weiter entwickelt.

Sorry, aber die bisherigen Lösungen finde ich allesamt nicht zufriedenstellende. Da ist die Umbenennung der Haupt-Freigabe immer noch mit dem geringsten Zeitaufwand verbunden!

Ich werd dazu noch was Testen müssen, vermute ich, damit ich ein zufriedenstellendes Ergebnis habe!

Gruß
Marc

 

[Frightener]

Die Freigabe umzubenennen ist keine gute Lösung. Dann können die User immernoch darauf zugreifen, wenn die über \\server danach suchen. Sinnvoller ist die Freigabeberechtigung auf dieser Freigabe zu ändern.

 

[.mojo]

vielleicht ist

net stop server

was für dich.
Weiß aber nicht was das noch alles beeinflusst.