WSUS für VPN-Clients deaktivieren

[Nils Wöhler]

Hallo NG,

bei einem Kunden von uns, wählen sich die mobilen Clients per UMTS über VPN
in das Netzwerk ein.

Nun möchte der Kunde, dass die Clients, die per UMTS eingewählt sind,
vom WSUS _keine_ Updates bekommen um Traffickosten zu sparen und die
UMTS-Leitungen nicht unnötig zu belasten.

Kann ich das in irgendeiner Form über Gruppenrichtlinien regeln?

[Mark Heitbrink [MVP]]

Hi,

Post by Nils Wöhler
bei einem Kunden von uns, wählen sich die mobilen Clients per UMTS über VPN
in das Netzwerk ein.
Nun möchte der Kunde, dass die Clients, die per UMTS eingewählt sind,
vom WSUS _keine_ Updates bekommen um Traffickosten zu sparen und die
UMTS-Leitungen nicht unnötig zu belasten.

Erstelle fürs VPN ein eigenes IP Subnetz. Definiere dieses als Standort
im AD. Jetzt kannst du GPOs auf der Site (Standort) definieren, in denen
der WUAU abgeschaltet ist.
Die Standortrichtlinien sind IP basierend und "dynamisch", werden
aufgrund der IP übernommen, nicht aufgrund der OU, in der der Client
gespeichert ist.

Tschö
Mark

[Helmut Schneider]

Post by Mark Heitbrink [MVP]
Hi,

Post by Nils Wöhler
bei einem Kunden von uns, wählen sich die mobilen Clients per UMTS
über VPN in das Netzwerk ein.
Nun möchte der Kunde, dass die Clients, die per UMTS eingewählt sind,
vom WSUS _keine_ Updates bekommen um Traffickosten zu sparen und die
UMTS-Leitungen nicht unnötig zu belasten.

Erstelle fürs VPN ein eigenes IP Subnetz.

Hm, das funktioniert nur, wenn man dem Client eine IP aus einem Pool zur
Verfügung stellt. Ansonsten kann die IP des Clients aus *vielen*
Adressbereichen kommen.

Aber gibt es nicht eine Richtlinie, den BITS auf eine Mindest-Bandbreite zu
beschränken?

Gruß, Helmut

[Norbert Fehlauer [MVP]]

Helmut Schneider wrote:
Hi,

Post by Helmut Schneider
Hm, das funktioniert nur, wenn man dem Client eine IP aus einem Pool
zur Verfügung stellt. Ansonsten kann die IP des Clients aus *vielen*
Adressbereichen kommen.

Nö kann sie nicht wenn du per VPN kommst. ;)

Post by Helmut Schneider
Aber gibt es nicht eine Richtlinie, den BITS auf eine
Mindest-Bandbreite zu beschränken?

Ja aber minimal 10kB.

Bye
Norbert

[Helmut Schneider]

Post by Norbert Fehlauer [MVP]

Post by Helmut Schneider
Hm, das funktioniert nur, wenn man dem Client eine IP aus einem Pool
zur Verfügung stellt. Ansonsten kann die IP des Clients aus *vielen*
Adressbereichen kommen.

Nö kann sie nicht wenn du per VPN kommst. ;)

VPN bdeutet nicht zwangsläufig "private network".
Dementsprechend stehen viele meiner Clients mit einer IP aus den Bereichen
85.205.0.0 - 85.205.255.255
90.186.0.0 - 90.187.255.255
hier im WSUS.

Gruß, Helmut

[Norbert Fehlauer [MVP]]

Helmut Schneider wrote:
Hi,

Post by Helmut Schneider
VPN bdeutet nicht zwangsläufig "private network".

Nicht? Wofür steht das PN denn bei dir? ;)

Post by Helmut Schneider
Dementsprechend stehen viele meiner Clients mit einer IP aus den
Bereichen 85.205.0.0 - 85.205.255.255
90.186.0.0 - 90.187.255.255
hier im WSUS.

Na dann kennst du doch deine IP Bereiche, wo ist denn jetzt nochmal dein
Problem? ;) Was für ein VPN nutzt du denn (rein interessehalber)?

Bye
Norbert

[Helmut Schneider]

Post by Norbert Fehlauer [MVP]
Hi,

Post by Helmut Schneider
VPN bdeutet nicht zwangsläufig "private network".

Nicht? Wofür steht das PN denn bei dir? ;)

Post by Helmut Schneider
Dementsprechend stehen viele meiner Clients mit einer IP aus den
Bereichen 85.205.0.0 - 85.205.255.255
90.186.0.0 - 90.187.255.255
hier im WSUS.

Na dann kennst du doch deine IP Bereiche, wo ist denn jetzt nochmal dein
Problem? ;)

Genau, ich pflege alle Dial-up-/GSM-/UMTS-Netze der Welt als Standorte in
meinem AD... :)

Post by Norbert Fehlauer [MVP]
Was für ein VPN nutzt du denn (rein interessehalber)?

CheckPoint, ohne Office Mode.

[Mark Heitbrink [MVP]]

Moin,

Post by Helmut Schneider
Genau, ich pflege alle Dial-up-/GSM-/UMTS-Netze der Welt als Standorte in
meinem AD... :)

Na gut, dann halt nicht als Standort, sondern als WMI Filter.

Entweder, allem widersprechen was doe WSUS GPO mitbringt, wenn es
ein bestimmtes Subnetz ist, oder nur anwenden, wenn ...

Wäre das eine Idee?

Tschö
Mark

[Helmut Schneider]

Post by Mark Heitbrink [MVP]
Moin,

Post by Helmut Schneider
Genau, ich pflege alle Dial-up-/GSM-/UMTS-Netze der Welt als Standorte
in meinem AD... :)

Na gut, dann halt nicht als Standort, sondern als WMI Filter.
Entweder, allem widersprechen was doe WSUS GPO mitbringt, wenn es
ein bestimmtes Subnetz ist, oder nur anwenden, wenn ...
Wäre das eine Idee?

Durchaus, wobei ich vorher wohl eher den Zugriff auf WSUS via VPN
unterbinden würde.

Gruß, Helmut

[Mark Heitbrink [MVP]]

Hi,

[WMI Filter]
Durchaus, wobei ich vorher wohl eher den Zugriff auf WSUS via VPN
unterbinden würde.

Beispiel:
SELECT * FROM Win32_NetworkAdapterConfiguration WHERE IPSubnet='192.168.1'
oder
SELECT * FROM Win32_NetworkAdapterConfiguration WHERE NOT IPSubnet='192.168.1'

Mach was draus :-)

Tschö
Mark

[Helmut Schneider]

Post by Mark Heitbrink [MVP]

[WMI Filter]
Durchaus, wobei ich vorher wohl eher den Zugriff auf WSUS via VPN
unterbinden würde.

SELECT * FROM Win32_NetworkAdapterConfiguration WHERE IPSubnet='192.168.1'
oder
SELECT * FROM Win32_NetworkAdapterConfiguration WHERE NOT
IPSubnet='192.168.1' Mach was draus :-)

Wie gesagt, ich denke, es wäre einfacher, nur bestimmten Clients Zugriff im
IIS auf /Content zu geben.

[Norbert Fehlauer [MVP]]

Helmut Schneider wrote:
Hi,

Post by Helmut Schneider
Wie gesagt, ich denke, es wäre einfacher, nur bestimmten Clients
Zugriff im IIS auf /Content zu geben.

Ich denke du denkst falsch ;)

Bye
Norbert

[Helmut Schneider]

Post by Norbert Fehlauer [MVP]
Hi,

Post by Helmut Schneider
Wie gesagt, ich denke, es wäre einfacher, nur bestimmten Clients
Zugriff im IIS auf /Content zu geben.

Ich denke du denkst falsch ;)

Warum?

[Norbert Fehlauer [MVP]]

Helmut Schneider wrote:
Hi,

Post by Norbert Fehlauer [MVP]

Post by Helmut Schneider
Wie gesagt, ich denke, es wäre einfacher, nur bestimmten Clients
Zugriff im IIS auf /Content zu geben.

Ich denke du denkst falsch ;)

Weil du das dann statt mittels WMI Abfrage, wie von Mark dargestellt, mit
eigener Gruppenabbildung realisieren mußt. Und das ist in diesem Fall
unhandlicher, da ziemlich statisch.

Bye
Norbert

[Helmut Schneider]

Post by Norbert Fehlauer [MVP]
Hi,

Post by Norbert Fehlauer [MVP]

Post by Helmut Schneider
Wie gesagt, ich denke, es wäre einfacher, nur bestimmten Clients
Zugriff im IIS auf /Content zu geben.

Ich denke du denkst falsch ;)

Weil du das dann statt mittels WMI Abfrage, wie von Mark dargestellt, mit
eigener Gruppenabbildung realisieren mußt. Und das ist in diesem Fall
unhandlicher, da ziemlich statisch.

Ersetze "bestimmte Clients" durch "bestimmte IPs", besser? Damit können die
Clients (IPs) zwar ihren Status reporten, aber nichts runterladen.

Ich finde die Lösung von Mark ja auch schön, aber habe z.B. mehrere
(Sub-)Domains und auch Clients, die nicht Mitglied einer Domain sind, bei
denen die Einstellungen via REG-Import gesetzt werden.

Oder steh ich grad auf'm Schlauch? Übersehe ich etwas?

[Norbert Fehlauer [MVP]]

Dieser beitrag ist möglicherweise unangemessen. Klicken sie auf, um es anzuzeigen.

[Helmut Schneider]

n'Abend,

Post by Norbert Fehlauer [MVP]
Hi,

Post by Helmut Schneider
Ersetze "bestimmte Clients" durch "bestimmte IPs", besser?

Wie würdest du das denn blocken? Per Firewall oder wie?

Nicht blocken, im IIS den Zugriff auf /Content nur für bestimmte Netze
erlauben.

Post by Norbert Fehlauer [MVP]

Post by Helmut Schneider
Damit
können die Clients (IPs) zwar ihren Status reporten, aber nichts
runterladen.

Das geht aber einfacher ;)

Post by Helmut Schneider
Ich finde die Lösung von Mark ja auch schön, aber habe z.B. mehrere
(Sub-)Domains

Und?

Ich müsste den WMI-Filter für viele Domains/GPOs konfigurieren.

Post by Norbert Fehlauer [MVP]

Post by Helmut Schneider
und auch Clients, die nicht Mitglied einer Domain sind,
bei denen die Einstellungen via REG-Import gesetzt werden.

Dann gib denen eine Gruppe auf dem WSUS die keine Installationen
bewilligt hat.

Na, dann installieren sie aber gar nicht, ist doch auch blöd. :)
Ich (OP) will ja nur, dass nichts installiert wird, solange die Clients
"auswärts" sind. Und den IIS sähe ich hier als SPoC (single point of
configuration).

[Norbert Fehlauer [MVP]]

Post by Helmut Schneider
n'Abend,

Moins,

Post by Helmut Schneider
Nicht blocken, im IIS den Zugriff auf /Content nur für bestimmte Netze
erlauben.

Ah ok. Dann versuch das. Kannst ja hier berichten.


Bye
Norbert

[Nils Wöhler]

Ich schalte mich hier auch mal wieder ein :)

Ich denke auch, dass der IIS die einfachste und zentralste Anlaufstelle
dafür ist. Zumal das ganze relativ einfach zu bewerkstelligen ist.

Die VPN-Clients laufen bei mir in einem eigenen Netz. Bsp:

192.168.5.0/24 = intern
192.168.6.0/24 = vpn-clients

Also sperre ich im IIS einfach das 192.168.6.0/24 Netz aus und schon haben
die Clients, die gerade unterwegs sind ruhe vor Updates.

Post by Norbert Fehlauer [MVP]

Post by Helmut Schneider
n'Abend,

Moins,

Post by Helmut Schneider
Nicht blocken, im IIS den Zugriff auf /Content nur für bestimmte Netze
erlauben.

Ah ok. Dann versuch das. Kannst ja hier berichten.
Bye
Norbert

[Helmut Schneider]

Post by Nils Wöhler
Ich schalte mich hier auch mal wieder ein :)
Ich denke auch, dass der IIS die einfachste und zentralste Anlaufstelle
dafür ist. Zumal das ganze relativ einfach zu bewerkstelligen ist.
192.168.5.0/24 = intern
192.168.6.0/24 = vpn-clients
Also sperre ich im IIS einfach das 192.168.6.0/24 Netz aus und schon
haben die Clients, die gerade unterwegs sind ruhe vor Updates.

Also, ich teste noch (bis jetzt sieht es gut aus), aber wenn überhaupt, dann
nur für /Content. Reporten sollen die Clients ja noch, nur nichts herunter
laden...

[Helmut Schneider]

Post by Helmut Schneider

Post by Nils Wöhler
Ich schalte mich hier auch mal wieder ein :)
Ich denke auch, dass der IIS die einfachste und zentralste Anlaufstelle
dafür ist. Zumal das ganze relativ einfach zu bewerkstelligen ist.
192.168.5.0/24 = intern
192.168.6.0/24 = vpn-clients
Also sperre ich im IIS einfach das 192.168.6.0/24 Netz aus und schon
haben die Clients, die gerade unterwegs sind ruhe vor Updates.

Also, ich teste noch (bis jetzt sieht es gut aus), aber wenn überhaupt,
dann nur für /Content. Reporten sollen die Clients ja noch, nur nichts
herunter laden...

So als Nachtrag, funktioniert einwandfrei.

[Nils Wöhler]

Wunderbar :)

Post by Helmut Schneider

Post by Helmut Schneider

Post by Nils Wöhler
Ich schalte mich hier auch mal wieder ein :)
Ich denke auch, dass der IIS die einfachste und zentralste Anlaufstelle
dafür ist. Zumal das ganze relativ einfach zu bewerkstelligen ist.
192.168.5.0/24 = intern
192.168.6.0/24 = vpn-clients
Also sperre ich im IIS einfach das 192.168.6.0/24 Netz aus und schon
haben die Clients, die gerade unterwegs sind ruhe vor Updates.

Also, ich teste noch (bis jetzt sieht es gut aus), aber wenn überhaupt,
dann nur für /Content. Reporten sollen die Clients ja noch, nur nichts
herunter laden...

So als Nachtrag, funktioniert einwandfrei.
--
Please do not feed my mailbox, Swen still does his job well

[Mark Heitbrink [MVP]]

Hi,

Post by Helmut Schneider

Also sperre ich im IIS einfach das 192.168.6.0/24 Netz aus [...]

So als Nachtrag, funktioniert einwandfrei.

Cool und so schön trivial im Gegensatz zu allen anderen Lösungen :-)

Tschö
Mark

[Helmut Schneider]

Dieser beitrag ist möglicherweise unangemessen. Klicken sie auf, um es anzuzeigen.

[Mark Heitbrink [MVP]]

Hi,

Post by Helmut Schneider
Verarscht Du mich/uns?! :)

Sicherlich nicht. Ich finde es mal wieder geil, wie man über den Weg der
Gruppenrichtlinien und Newsgroups auf eine coole Lösung kommt, die
garnichts mit dem ersten Thema zu tun hatte und sicherlich die einfachere
der Lösungen ist.

Tschö
Mark

[Helmut Schneider]

Post by Mark Heitbrink [MVP]

Post by Helmut Schneider
Verarscht Du mich/uns?! :)

Sicherlich nicht. Ich finde es mal wieder geil, wie man über den Weg der
Gruppenrichtlinien und Newsgroups auf eine coole Lösung kommt, die
garnichts mit dem ersten Thema zu tun hatte und sicherlich die einfachere
der Lösungen ist.

Achso, na dann! :)

[Nils Wöhler]

Naja, eigentlich wollte ich das ja auch über die Gruppenrichtlinien machen.
Dann hätte ich alle Daten irgendwie zentral administrierbar.

Leider fand ich den weg über die Gruppenrichtlinien einfach viel viel viel
zu umständlich.
Die Einrichtung hätte sicherlich einiges mehr an Zeit gekostet als das
einfache aussperren der Clients.

Post by Helmut Schneider

Post by Mark Heitbrink [MVP]

Post by Helmut Schneider
Verarscht Du mich/uns?! :)

Sicherlich nicht. Ich finde es mal wieder geil, wie man über den Weg der
Gruppenrichtlinien und Newsgroups auf eine coole Lösung kommt, die
garnichts mit dem ersten Thema zu tun hatte und sicherlich die einfachere
der Lösungen ist.

Achso, na dann! :)
--
Please do not feed my mailbox, Swen still does his job well