none
GPO Update durch den Client RRS feed

  • Frage

  • Ich habe mal eine grundlegende Frage zur Mechanik der GPO .

    Wie erkennt der CLient das eine neue Gruppenrichtlinie vorliegt und wie kann man ihn zwingen danach zu suchen ?

    Wir hatten gestern folgendes Problem

    Ausfall eines alten Servers der per GPO die "Eigenen Dateien "umgeleitet hatte.

    Änderung auf einem neuen Server 2008 der GPO und Anpassung an einen neuen Pfad.

    per GPUPDATE / force auch auf dem neuen Server durchgesettzt .

    Alle Clients haben per DNS nur noch den neuen Server bekommen .

    Trotzdem übernehmen die CLients die neue GPO nicht nach dem 1. Anmelden sondern sehr sproradisch .

    Ich habe selbst vorhin einen XP Client ca. 4 x neu gestartet , immer war in den Eigenschaften der "Eigenen Dateien" der Eintrag auf den

    alten Server gesetzt . Dann 1 x an dem gleichen PC als Administrator angemeldet, der hatte dann die neue Umleitung sofort aktiv .

    Dann wieder als User angemeldet und voila .. nach der 5 . Anmeldung war die GPO übernommen .

    Es scheint so als ob auf einem laufenden PC einfach nicht bei jeder Anmeldung nach neue oder geänderten GPO´s gesucht wird

    und die auch übernommen werden .

    Weiß jemand von Euch wie diese Mechanik läuft und vor allem wie man das beeinflussen kann.

     Christian

     

     

     


    Freitag, 10. Juni 2011 08:39

Antworten

  •  
    Ein RSOP sagt Dir, von welchem DC die GPOs kamen und welche Version die
    GPOs jeweils hatten, als sie angewendet (oder auch nicht) wurden.
     Und möglicherweise fehlt Dir noch das hier:
     
     
    mfg Martin
     

    Kein MVP, kein MCSE. Nur ein wenig Erfahrung.
    Freitag, 10. Juni 2011 09:12
    Beantworter
  • Am 10.06.2011 10:39, schrieb eblok:

    Wie erkennt der CLient das eine neue Gruppenrichtlinie vorliegt

    indem er die Version der im AD gefundenen Richtlinie mit seiner lokal
    in der History gespeicherten vergleicht.

    und wie kann man ihn zwingen danach zu suchen ?

    gpupdate.exe

    Trotzdem übernehmen die CLients die neue GPO nicht nach dem 1. Anmelden sondern sehr sproradisch .

    DAnn sind sie offline gestartet mit cached credentials. FAQ 36.

    Es scheint so als ob auf einem laufenden PC einfach nicht bei jeder Anmeldung nach neue oder geänderten GPO´s gesucht wird und die auch
    übernommen werden .

    Er kann nur "kucken" wenn er Netzwerk Kontakt hat. Wenn er keinen hat,
    kann er nur im Hintergrund Interval (nach ca. 90 Minuten) nachschauen.
    Einige Komponenten (Client Side Extensions) können aber nicht in einem
    Hintergrund Prozess übernommen werden, sondern nur im Vordergrund, beim
    initialisieren der Sitzung, nicht wenn die läuft im HIntergrund.

    Ordnerumleitung kann im Hintergrund angewendet werden, dafür muss sie
    das aber auch wissen, also Netzwerk Kontakt haben und "schauen".

    Tschö
    Mark


    Mark Heitbrink - MVP Windows Server - Group Policy

    Homepage:       www.gruppenrichtlinien.de - deutsch
    GPO Tool:       www.reg2xml.com - Registry Export File Converter
    NetworkTrayTool www.gruppenrichtlinien.de/tools/Networktraytool.htm

    Freitag, 10. Juni 2011 21:14

Alle Antworten

  •  
    Ein RSOP sagt Dir, von welchem DC die GPOs kamen und welche Version die
    GPOs jeweils hatten, als sie angewendet (oder auch nicht) wurden.
     Und möglicherweise fehlt Dir noch das hier:
     
     
    mfg Martin
     

    Kein MVP, kein MCSE. Nur ein wenig Erfahrung.
    Freitag, 10. Juni 2011 09:12
    Beantworter
  • Am 10.06.2011 10:39, schrieb eblok:

    Wie erkennt der CLient das eine neue Gruppenrichtlinie vorliegt

    indem er die Version der im AD gefundenen Richtlinie mit seiner lokal
    in der History gespeicherten vergleicht.

    und wie kann man ihn zwingen danach zu suchen ?

    gpupdate.exe

    Trotzdem übernehmen die CLients die neue GPO nicht nach dem 1. Anmelden sondern sehr sproradisch .

    DAnn sind sie offline gestartet mit cached credentials. FAQ 36.

    Es scheint so als ob auf einem laufenden PC einfach nicht bei jeder Anmeldung nach neue oder geänderten GPO´s gesucht wird und die auch
    übernommen werden .

    Er kann nur "kucken" wenn er Netzwerk Kontakt hat. Wenn er keinen hat,
    kann er nur im Hintergrund Interval (nach ca. 90 Minuten) nachschauen.
    Einige Komponenten (Client Side Extensions) können aber nicht in einem
    Hintergrund Prozess übernommen werden, sondern nur im Vordergrund, beim
    initialisieren der Sitzung, nicht wenn die läuft im HIntergrund.

    Ordnerumleitung kann im Hintergrund angewendet werden, dafür muss sie
    das aber auch wissen, also Netzwerk Kontakt haben und "schauen".

    Tschö
    Mark


    Mark Heitbrink - MVP Windows Server - Group Policy

    Homepage:       www.gruppenrichtlinien.de - deutsch
    GPO Tool:       www.reg2xml.com - Registry Export File Converter
    NetworkTrayTool www.gruppenrichtlinien.de/tools/Networktraytool.htm

    Freitag, 10. Juni 2011 21:14
  • DAnn sind sie offline gestartet mit cached credentials. FAQ 36

     

    Ich habe die Rechner ja immer neu gestartet zum testen, könnte es sein das so ein etwas älterer PC mit Windows XP einfach die

    Cached Credentials nutzt weil das Netzwerk noch gar nicht da ist, man sieht es beim XP sowieso das die Netzverbindung teilweise erst

    ca. 1-2 min nach dem ANmelden kommt ( also das Symbol ) zumindest .

     

    Ich wußte nicht das man gpupdate auch vom CLient aus starten kann, das war zumindest das interessanteste an den Antworten.

    Ich hatte in meinem Fall ja auch vom DC aus eine Simulation über die GPO MSC laufen lassen für den speziellen Nutzer,und die Simulation

    hat bestätigt das die GPO mit der Ordnerumleting angewendet wird.

    Also kann es in meinem Fall nur ein Problem von Client Seite sein.

     

    ich hatte in dem Netzwerk auch ein weiteres seltsames Problem das mich an de Zuverlässigkeit der GPO immer zweifeln lässt .

    Vielleicht hat ja einer von Euch einen Tip wie so was passieren kann.

    2 PC´s  beide fast nagelneu Windows 7 sehr schnell , Anmeldung und kompletter Neustart beider PC´s und ANmeldung mit dem

    gleichen Nutzernamen !!! Trotzdem wurde nur bei einem PC nachweislich die GPO übernommen, der 2. PC erhält immer noch

    die alte GPO mit dem Verweis auf den ausgefallenen Server .

    Der einzige Unterschied den wir gefunden haben war das einer der PC´s die IP über DHCP und der andere über FIX Vergabe bekommen hat,

    die Werte für DNS waren 100 % bei beiden gleich .

    Wenn ich Eure Antworten so lese dann scheint das Problem in der Verfügbarkeit des Netzwerkes beim ANmelden zu liegen, die ist bei

    DHCP vielleicht noch schelchter als bei Fix IP und deshalb hat der PC mit der festen IP beim Starten schon das Netz verfügbar gehabt und

    der andere nicht .

     

    Christian

     

     

     


     

     


    Samstag, 11. Juni 2011 08:02
  • Am 11.06.2011 10:02, schrieb Christian Kolbe:

    Ich habe die Rechner ja immer neu gestartet zum testen,

    Das hilft ja nichts, wenn er kein Netzwerk hat!?

    Asynchronoes Startverhalten:
    http://www.gruppenrichtlinien.de/Grundlagen/faq.htm#36

    ... oder auch bekannt als "Fast Logon Optimization"
    http://support.microsoft.com/kb/305293/en-us

    Tschö
    Mark


    Mark Heitbrink - MVP Windows Server - Group Policy

    Homepage:       www.gruppenrichtlinien.de - deutsch
    GPO Tool:       www.reg2xml.com - Registry Export File Converter
    NetworkTrayTool www.gruppenrichtlinien.de/tools/Networktraytool.htm

    Samstag, 11. Juni 2011 08:58
  • Ordnerumleitung kann im Hintergrund angewendet werden, dafür muss sie
    das aber auch wissen, also Netzwerk Kontakt haben und "schauen".


    Einspruch, Euer Ehren ;-) Bei FDeploy fehlt "NoBackgroundPolicy=1", deshalb wird die CSE beim GPUpdate aufgerufen. Sie meckert dann aber prompt, daß Du Dich jetzt bitte erst mal neu anmelden sollst... Ist auch naheliegend: Wenn ein User Files in Personal offen hat, dann kann man das ja nicht einfach woanders hin umleiten.

    Ansonsten hast natürlich absolut recht.

    mfg Martin


    Kein MVP, kein MCSE. Nur ein wenig Erfahrung.
    Samstag, 11. Juni 2011 11:25
    Beantworter
  • Moin,

    Am 11.06.2011 13:25, schrieb Martin Binder:

    Einspruch, Euer Ehren ;-) Bei FDeploy fehlt "NoBackgroundPolicy=1",

    äh, öh, genau andersum ... ?
    http://technet.microsoft.com/en-us/library/cc959481.aspx
    0  Permit background updates.
    1  Prohibit background updates.

    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
    NT\CurrentVersion\Winlogon\GPExtensions\{25537BA6-77A8-11D2-9B6C-0000F8080861}
    NoBackgroundPolicy steht bei mir auf "0"

    Ich meine bei der CSE war es etwas seltsam, denn er kann die Setting
    im  Hintergrund übernehmen, aber die Umsetzung ist dann im Vordergrund

    ... da sind wir wieder bei dem Thema Pauschalauassagen :-)

    Tschö
    Mark


    Mark Heitbrink - MVP Windows Server - Group Policy

    Homepage:       www.gruppenrichtlinien.de - deutsch
    GPO Tool:       www.reg2xml.com - Registry Export File Converter
    NetworkTrayTool www.gruppenrichtlinien.de/tools/Networktraytool.htm

    Samstag, 11. Juni 2011 11:36
  • Du hast recht - hab drüber nachgedacht, nur hatte ich ein paar Stunden keinen Rechner, um mich zu korrigieren. So ist das, wenn man (wie ich in diesem Fall) zu früh losredet :-) In der Tat, die CSE ist insofern eigenartig: Holen der Settings zu jeder Zeit, aber Anwenden nur im Vordergrund.

    Bei mir hab ich allerdings "Always wait for network", und daher dann NoBackgroundPolicy für FDeploy auf 1 gesetzt. Damit ist die "please logoff"-Meldung beim GPUpdate dann weg.

    mfg Martin


    Kein MVP, kein MCSE. Nur ein wenig Erfahrung.
    Samstag, 11. Juni 2011 15:23
    Beantworter