Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

194 Kapitel 7: Gruppenrichtlinien
obwohl die Benutzerrichtlinie unter Umständen noch nicht vollständig verarbeitet wurde. In
Windows Server 2003 und Windows Server 2008 wird die Vordergrundverarbeitung immer
synchron durchgeführt. Falls Sie allerdings Terminalserver verwenden, können Sie in Windows
Server 2008 jetzt die Vordergrundverarbeitung für Terminalserverbenutzer auf asynchron
stellen, indem Sie die Richtlinie unter Computerkonfiguration\Administrative Vorlagen\System\Gruppenrichtlinie\Asynchrone
Verarbeitung der Gruppenrichtlinie für Benutzer
bei Anmeldung über Terminaldienste zulassen aktivieren.
Bestimmte Richtlinienbereiche können nur ausgewertet werden, wenn die Vordergrundverarbeitung
synchron durchgeführt wird. Ein Beispiel sind Softwareinstallationsrichtlinien.
Falls das Gruppenrichtlinienmodul eine Vordergrundverarbeitung durchführt und eine Softwareinstallationsrichtlinie
findet, setzt es ein Flag, das Windows anweist, die Richtlinie während
der nächsten Vordergrundaktualisierung synchron zu verarbeiten. Aus diesem Grund
sind manchmal zwei Neustarts oder Anmeldevorgänge erforderlich, bis die Bereitstellung
eines Softwareinstallationspakets abgeschlossen ist.
Glücklicherweise funktionieren die meisten anderen Richtlinienbereiche, zum Beispiel
Sicherheit und administrative Vorlagen, sowohl mit Vordergrund- als auch Hintergrundverarbeitung,
und ganz unabhängig davon, ob sie synchron oder asynchron durchgeführt wird.
Erkennen langsamer Verbindungen
Neben den beiden unterschiedlichen Verarbeitungsarten gibt es weitere Bedingungen, die
Auswirkungen darauf haben können, welche Gruppenrichtlinienbereiche angewendet werden.
Zum Beispiel ist in die Gruppenrichtlinien ein Mechanismus zum Erkennen langsamer
Verbindungen eingebaut. Er kann entdecken, wenn die Netzwerkverbindung zwischen
Computer oder Benutzer und dem Domänencontroller langsam ist. In der Standardeinstellung
gilt eine Verbindung als langsam, wenn sie mit weniger als 500 KBit/Sekunde überträgt.
Sie können diesen Grenzwert in den Gruppenrichtlinien verändern. Der Vorgang zum
Erkennen langsamer Verbindungen wurde in Windows Vista und Windows Server 2008
verändert. In älteren Windows-Versionen beruhte dieser Prozess auf ICMP-Pings zwischen
Client und Domänencontroller, mit denen die Geschwindigkeit der Verbindung ermittelt
wurde. Diese Methode war unzuverlässig, und viele Organisationen schränken ICMP-Verkehr
im internen Netzwerk aus Sicherheitsgründen ein oder unterbinden ihn ganz. Daher
greift die Erkennung langsamer Verbindungen in Windows Vista und Windows Server 2008
jetzt auf den NLA-Dienst (Network Position Awareness) zurück, um die Verbindungsgeschwindigkeit
zwischen Client und Domänencontroller während der Gruppenrichtlinienverarbeitung
zu ermitteln. In dieser Eigenschaft misst NLA LDAP-Verkehr zwischen Client
und Domänencontroller, um die Verbindungsgeschwindigkeit zu berechnen.
Falls der Grenzwert für die Erkennung langsamer Verbindungen während dieser Überprüfung
unterschritten wird, werden bestimmte Gruppenrichtlinienbereiche standardmäßig nicht
verarbeitet. Das sind unter anderem die Bereiche Softwareinstallation, Ordnerumleitung,
Internet Explorer-Verwaltungsrichtlinien und Skriptrichtlinien. Sie können das Verhalten
dieser Richtlinienbereiche aber verändern und erzwingen, dass sie auch bei einer langsamen
Verbindung verarbeitet werden. Ändern Sie dazu die Einstellungen der Richtlinienbereiche
unter Computerkonfiguration\Administrative Vorlagen\System\Gruppenrichtlinie. Der
wesentliche Faktor bei der Erkennung langsamer Verbindungen für die Gruppenrichtlinienverarbeitung
ist, dass die Sicherheitsrichtlinie auf jeden Fall verarbeitet wird, selbst bei
einer langsamen Verbindung.