Войти

Показать полную графическую версию : Брандмауэр windows в домене


Max2k
07-04-2010, 07:32
Приветствую. У меня поднят домен на базе 2008R2, рабочие станции windows xp sp3, недавно обнаружил, что пользователи каким-то макаром могут останавливать и запускать системную службу брандмауэр windows/ics, тип запуска назначать не разрешается, а делать пуск или стоп можно, когда с другими службами такой фокус не проходит. Пользователи доменные, с назначенными правами просто пользователи домена, но локально им присвоен статус опытные пользователи, для совместимости с некоторыми программами. Меня это очень удивило, что именно со службой брандмауэра такой косяк. На уровне групповой политики OU обе службы (в 2008r2 они разделены) брандмауэр windows и ics (shared access) стоят по умолчанию. Попробовал установить для этих служб значения автоматически и прописать права на запуск итп, просто добавил к учётным записям администраторы, система и интерактивный, которые стояли там по умолчанию этого пользователя и разрешил ему только чтение. Проблему победил, теперь этот пользователь не мог запускать и останавливать службу, но через несколько дней появилась другая проблема, ни на один из компьютеров к которым была применена эта политика не возможно было зайти по сети (через SMB), брандмауэр как бы подвисал и блокировал подключения, служба не могла стартовать и её невозможно было запустить даже войдя с учётной записью администратора домена, а в журнале ошибок возникало такое сообщение:
Тип события: Ошибка
Источник события: Service Control Manager
Категория события: Отсутствует
Код события: 7023
Дата: 05.04.2010
Время: 17:21:40
Пользователь: Н/Д
Компьютер: ***
Описание:
Служба "Брандмауэр Windows/Общий доступ к Интернету (ICS)" завершена из-за ошибки
Класс настроен на использование идентификатора безопасности, отличного от используемого вызывающей стороной

Вернул в политике OU настройки по умолчанию, всё заработало нормально, но снова появилась брешь, что пользователи могут запускать и останавливать службу брандмауэра. Подскажите, как закрыть эту брешь на уровне политики OU, чтобы вышеперечисленных глюков не было?

Max2k
16-04-2010, 07:00
Ну чо, так никто ничего и не знает?

zonderz
16-04-2010, 09:42
Max2k,

а что вы хотите, собственно? поиск не дал результатов?
начните с этого:

Power Users can:
Stop and start system services which are not started by default. ( http://www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/windows_security_default_settings.mspx?mfr=true)

A member of the Power Users group may be able to gain administrator rights and permissions in Windows Server 2003, Windows 2000, or Windows XP (http://support.microsoft.com/kb/825069)

7023 Event Id (http://support.microsoft.com/?kbid=889320)

p.s. в любом случае давать PU пользователям - не самый удачный вариант
для совместимости программ лучше использовать политики реестра и файловой системы




© OSzone.net 2001-2012