Richtlinie lässt sich nicht starten

[Thomas Raasch]

Hallo,

Haben nen Windows2000 Server (AD)
Auf Grund von Problemen mit XP-Clients habe ich in den
"Sicherheitsrichtlinien für Domänen" sowie
"Sicherheitsrichtlinien für Domänencontroller"
einige Einstellungen verändert.


Wie sich herausstellte habe ich unnötigerweise bei
"Clientkommunikation" und "Serverkommunikation"
die digitale Signierung deaktiviert...
Sinn war es mal zu testen ob ein Fehler im Netz seine Ursache im SMB hat.
Dies ist nicht der Fall...

Nachdem nun aber dieses "digitale signieren" deaktiviert ist komme ich nicht
mehr an die Richtlinien ran um es wieder zu aktivieren.
Ansich kein Problem. Die XP-Clients kommen alle ins Netz. Aber ich habe hier
noch einen NT4 Server in einer anderen Domäne. Diese beiden Domänen haben
sich vertraut. Das tun sie nicht mehr und ich kann diese Vertrauenstellung
auch nicht wiederherstellen!!!

Hierbei kommt ein Fehler. Beim Versuch die Richtlinie zu öffnen kommt selber
Fehler. Unter AD Benutzer und Computer --> Domain Controllers -->
Eigenschaften --> Gruppenrichtlinien kommt ebenfalls der Fehler. Unter
Verwaltung --> Lizenzierung kommt auch der Fehler.

Weitere Bereiche habe ich noch nicht entdecken können.
Nun der Fehler:
Dies und das kann nicht getan werden weil: "Mit diesem Konto kann man sich
nicht von diesem Computer aus anmelden"


Das Ereignisprotokoll:
Bei jedem Versuch irgendetwas zu starten wo ich ja nun nicht mehr
hineinkomme erscheint im Protokoll folgender Fehler:

Quelle: Userenv
ID: 1000
Auf die Registrierungsinformationen bei
\\AjT.local\sysvol\AjT.local\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}
\Machine\registry.pol mit (1240) kann nicht zugegriffen werden.

gefolgt von

Quelle: SceCli
ID: 1001
Die Sicherheitsrichtlinie kann nicht übermittelt werden. Auf die Vorlage
kann nicht zugegriffen werden. Fehlercode = 3.

\\AjT.local\sysvol\AjT.local\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}
\Machine\Microsoft\Windows NT\SecEdit\GptTmpl.inf.

gefolgt von

Quelle: Userenv
ID: 1000
Die clientseitige Erweiterung "Security" der Gruppenrichtlinie empfing Flags
(17) und hat einen Fehlerstatuscode (3) zurückgegeben.




Da mein "Versuch" hier etwas positiv zu ändern das überhaupt erste mal war,
dass ich Einstellungen vorgenommen habe, würde es mir reichen wenn ich die
standard Richtlinien wiederherstellen könnte.

Also wie komme ich an die Richtlinien wieder ran?
Oder wie kann ich die "gesperrte" löschen und die standard
Windows-Frisch-Install-Richtlinie einspielen?


Wobei sich das Problem darauf begrenzt, dass ich beim Versuch eine
Vertrauensstellung zu erstellen eben die oben beschriebene Fehlermeldung
erhalte: "Mit diesem Konto kann man sich nicht von diesem Computer aus
anmelden".

Mit einer funktionierenden Vertrauensstellung würde ja alles laufen.

Thomas

[Mark Heitbrink [MVP]]

Hi,

Post by Thomas Raasch
Da mein "Versuch" hier etwas positiv zu ändern das überhaupt erste mal war,
dass ich Einstellungen vorgenommen habe, würde es mir reichen wenn ich die
standard Richtlinien wiederherstellen könnte.

www.gruppenrichtlinien.de => Grundlagen => Erste Fragen ... weiter unten.

und www.eventid.net/search.asp für alle userenv/scecli Meldungen

Tschö
Mark

[Thomas Raasch]

Post by Mark Heitbrink [MVP]
Hi,

Post by Thomas Raasch
Da mein "Versuch" hier etwas positiv zu ändern das überhaupt erste mal war,
dass ich Einstellungen vorgenommen habe, würde es mir reichen wenn ich die
standard Richtlinien wiederherstellen könnte.

www.gruppenrichtlinien.de => Grundlagen => Erste Fragen ... weiter unten.
und www.eventid.net/search.asp für alle userenv/scecli Meldungen
Tschö
Mark

uiuiui...

Immer schlimmer wirds!
Habe nun also wie bei MS beschrieben die Standard Group Policies
eingestellt. Dann per Befehlszeile deren Anwendung erzwungen... mitlerweile
auch schon den Rechner neu gestartet.

Nun folgendes:
die Fehler sind nach wie vor die selben mit 3. Unterschieden
1) der Fehler kommt nun alle 5 Minuten
2) die Abmeldung dauert länger
3) der DNS-Server wirft nen Haufen Fehler beim Start wie diesen hier:

Quelle: DNS
ID: 4011
"Die Aktualisierung oder das Hinzufügen der Domänennamen _ldap in Zone
ajt.local im Verzeichnis konnte nicht durchgeführt werden. Stellen Sie
sicher, dass das Active Directory ordnungsgemäß funktioniert und fügen Sie
diese Domäne hinzu bzw. aktualisieren Sie sie unter Verwendung der
DNS-Konsole. Die Ereignisdaten enthalten den Fehlercode."

4) zudem steht im Systemprotokoll bei Anmeldung
Quelle: Netlogon
ID: 5781

"Die dynamische Registrierung oder die Aufhebung der Registrierung eines
oder mehrerer DNS-Einträge ist fehlgeschlagen, da keine DNS-Server verfügbar
sind."



Der DNS muss aber noch funktionieren! nslookup bringt korrekt den Server und
die Anmeldung von den XP-Clients aus funzt auch wunderbar...
Ins WAN geht ich auch über diesen DNS (einfache Weiterleitung) und das
klappt auch nach wie vor.

Hab auch schon auf www.gruppenrichtlinien.de gesucht und gefunden... aber
alle Einträge in des MS-KB und bei EventID stimmen vom Erscheinungsbild nich
wirklich mit meinem hier überein. Z.B. andere Fehlercodes.

Quelle: Userenv
ID: 1000
"Auf die Registrierungsinformationen bei
\\AjT.local\sysvol\AjT.local\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}
\Machine\registry.pol mit (1240) kann nicht zugegriffen werden."

Quelle: SceCli
ID: 1001
"Die Sicherheitsrichtlinie kann nicht übermittelt werden. Auf die Vorlage
kann nicht zugegriffen werden. Fehlercode = 3.

\\AjT.local\sysvol\AjT.local\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}
\Machine\Microsoft\Windows NT\SecEdit\GptTmpl.inf. "

Quelle: Userenv
ID: 1000
"Die clientseitige Erweiterung "Security" der Gruppenrichtlinie empfing
Flags (17) und hat einen Fehlerstatuscode (3) zurückgegeben. "

^^^^ diese 3 folgen immer aufeinander.
Ab und zu fällt dann der Fehler von SceCli weg und dafür erscheint dieser:

Quelle: SclgNtfy
ID: 1002
"Das Standardgruppenrichtlinienobjekt konnte nicht erstellt werden. Der
Fehler 800704d8 ist beim Öffnen das Gruppenrichtlinienobjekts
EFS-Wiederherstellungsrichtlinie der Domäne in der Domäne
LDAP://DC=AjT,DC=local aufgetreten. "



So nun vermute ich erstmal Fehler im DNS (obwohl auf den Clients alles
wunderbar funktioniert) und solange das nicht behoben ist braucht man wohl
nicht zu versuchen andere Fehler zu beheben...
Aber wie kann man diese Fehler entdecken/wegbekommen?

Thomas