hallo gemeinde
habe ein GPO mit folgenden Einstellungen definiert und verlinkt.
- IE Titelleiste
- ProxyServer für http und https
- Ausnahmeliste für lokale/interne Adressen

auf einem laptop mit xp-sp1 nimmt man nun den proxy-haken raus und meldet sich später neu an.
leider ist nun der proxy nicht wieder aktiviert. ebenso fehlt die ausnahmeliste welche ich testweise auch rausgelöscht hatte.

trotz gpupdate, logout, reboot wird das gpo nicht mehr angewendet. rsop.msc zeigt jedoch an dass eine proxy-policy gezogen wurde, ebenso gpresult.

ist es nötig, ein "gpupdate /force" zu verwenden? das hab ich noch nicht probiert.

vorerst sollte der user die möglichkeit haben, den proxy auszuschalten bevor nicht 100% klar ist, welche ausnahmen nötig sind, oder fürs ADSL-surfen zu hause. darum kann ich das ausschalten nicht verbieten. die proxy-einstellungen sollten aber bei JEDEM login gesetzt werden.

das führt mich gleich zur zweiten frage:
kann man das bewerkstelligen, dass der proxy nur aktiv ist wenn der rechner im firmennetz-ip-bereich läuft? d.h. eben beim user zu hause nicht.
für die firewall gibts ja ne policy welche diese im entsprechenden dns-netz (firma) ausschaltet.

Es gibt eine GPO die du für das erste Problem setzen kannst.
Sie heisst glaubs:
Gruppenrichtline anwenden auch wenn keine Änderung vorgenommen wurde

Zu zwei:
Standardmässig ist nichts dabei - könnet aber im IE Adminpack was dabei sein - musst mal schauen

oh, guter tip. dieses gpo werd ich mir mal anschauen.

habs heute getestet und ein gpupdate /force hat wirklich geholfen. jetzt muss mir nur noch jemand erklären wie das mit dem gpo-timeout ist.
wenn nicht bei jedem login, nach welcher zeit wird die gp neu gezogen??

für die win2000 clients hab ich ein eigenes ie-paket gebaut und verteilt, beim xp liess ich den standard. werde mich erst wieder beim mp10 update damit beschäftigen.
mir ist aber im ieak nichts spezielles aufgefallen bzgl. proxy.

Standardmässig hat die gpo kein timeout Musst Du als GPO definieren, wenn sich der Client alle 30 Minuten die neuen GPO's ziehen soll - standard ist halt nur beim Login und bei gpupdate /force

aber wie gesagt, login und auch reboot haben nix genützt!
nicht mal nach dem wochenende hat er die policy bekommen. wirklich erst nach gpupdate /force.

komisch. muss mir das noch auf anderen testmaschinen ansehen.

Er zieht die Policy nur nochmals wenn eine Änderungung gemacht worden ist - Jenachdem welche Version die GPO im sysvol hat im vergleich zu der GPO welcher er schon angewendet hat(lokaler PC) - zieht er sie oder nicht ...

Mit gpupdate /force erzwingst Du eine anwendung der GPO und die GPO wo Du eine Zeit angeben kannst ist däfür gedacht, dass GPO Änderungen im laufenden Betrieb, also wenn der User angemeldet ist, angewendet werden.

Deshalb gibts diese Policy - wie schon oben erwähnt:
Gruppenrichtline anwenden auch wenn keine Änderung vorgenommen wurde

ahaaa. dann leuchtet das ein.
wobei.....eigentlich ist das für mich unlogisch. ich hätte jetzt gedacht dass wenn der user den haken entfernt, entspricht das schon einer änderung gegenüber der policy auf dem server.
aber scheinbar ist die policy lokal zwischengespeichert (rsop.msc) und ist nicht zwingend identisch mit den dialog-feldern der programme (sofern der user überhaupt änderungen vornehmen kann).

d.h. entwender sperrt man die funktionen für den user oder man erzwingt das anwenden der policy bei jedem login.
hab das gpo gefunden. bezieht sich aber nur auf die IE-wartungsfunktionen. das ist wohl eine performance-frage. bei jedem login ALLE gpos anzuwenden wäre wohl overkill.....

supi, du hast mir geholfen.
hab gleich die default domain policy angepasst ;-)

Nein es ist keine Änderung. Die GPO der Version z.b 5 wurde angewant und morgen beim nächsten Login ist immer noch die V.5 auf dem Sysvol - also keine Änderung - spielt keine Rolle ob man das Häcken rausgenommen hat oder nicht.

Du musst ja diese
"Gruppenrichtline anwenden auch wenn keine Änderung vorgenommen wurde"
nur der IE - GPO zu ordnen und nicht allen anderen GPOs. Dann bleibt der Rep. Verkehr klein .... Weil dann wird nur eine GPO immer angewant.

die für den IE ist eben eine user-policy und das andere eine computer-policy darum hab ichs gleich in die DDP reingenommen.
aber eben, die funktion ist ja nur auf IE-wartungs einstellungen beschränkt und genau die will ich ja.