Möchte man unter Windows Server 2000, die beiden Richtlinien „Default Domain Controllers Policy“ sowie „Default Domain Policy“ in den Auslieferungszustand zurücksetzen, so kann man das mit dem „Windows 2000 Default Group Policy Restore Tool“ „RecreateDefPol.exe“ erledigen:

Windows 2000 Default Group Policy Restore Tool

Hinweis: Dieses Tool gilt nur für Windows Server 2000!

Unter Windows Server 2003 kann man die beiden Richtlinien folgendermaßen zurücksetzen:

DCGPOFIX auf einem DC/Exchange

Es ist auch möglich, die Richtlinien „händisch“ zurückzusetzen:

How to reset user rights in the Default Domain Controllers Group Policy object

How to reset security settings in the default Domain GPO in Windows 2000

How To Reset User Rights in the Default Domain Group Policy in Windows Server 2003

Falls ein Exchange Server im (Windows Server 2000 oder Windows Server 2003) Netzwerk existiert,
muss anschließend das Exchangesetup „setup.exe“ mit dem Schalter „/Domainprep“ von der Exchange Server CD ausgeführt werden:

Exchange Server permissions are removed by the RecreateDefPol.exe tool in Windows 2000 Server

The Dcgpofix tool does not restore security settings in the Default Domain Controller Policy to their original state

Einen Windows 2000/XP - Client, kann man ebenfalls von den angewendeten Richtlinien „befreien“.
Das geht, in dem alle Ordner sowie Unterschlüssel unter den folgenden Registry-Pfaden gelöscht werden:

- HKEY_CURRENT_USER\Software\Policies

- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies

- HKEY_LOCAL_MACHINE\SOFTWARE\Policies

- HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies

Als nächstes navigiert man zu folgendem Verzeichnis: „%windir%\system32\GroupPolicy“.

Dort existieren (unter anderem) ein Ordner Namens "Machine" und ein Ordner "User".

In diesen beiden Ordnern, befindet sich jeweils die Datei "registry.pol", die es ebenfalls zu löschen gilt. 

Zu guter Letzt gilt es noch, die "user.pol" (%userprofile%\ntuser.pol) zu löschen, denn diese enthält die Verweise,
welche Einstellung aus welcher GPO kommt/kam. Anschließend ist ein Neustart fällig.

Möchte man, dass der Client erneut die Richtlinien von seiner Active Directory-Domäne bekommt, muss auf diesem ein „Gpupdate /Force“ ausgeführt werden, denn aufgrund der Policy-History (und der gpt.ini) die sich auf dem Client befindet, meint dieser, dass er immer noch mit den aktuellen Richtlinien ausgestattet ist und wird deshalb die Richtlinien, nicht von alleine übernehmen. Es sei denn, man würde die Policy-History löschen, dann würde es ebenfalls funktionieren.

Group Policy History Stored in Registry

Weitere Informationen:

Wiederherstellung der Default Richtlinien

Was kann man tun, wenn die Netzwerkverbindung zwischen einem Client und dem Server "träge" ist?

Das läßt sich leider so pauschal nicht beantworten, denn das kann viele Ursachen haben und kommt auch auf die vor Ort existierenden Gegebenheiten an.

Die folgenden Punkte sollen einen Ansatz liefern, die man in solch einem Fall überprüfen sollte:

Wie kann man einen DNS-Server bzw. die DNS-Zonen umziehen ?

In den Eigenschaften eines Benutzers (im Snap-In Active Directory-Benutzer und -Computer), kann man im Reiter Konto die „Anmeldezeiten…“

(eine Periode der erlaubten Anmeldung) eintragen, in denen sich der Benutzer am Netzwerk (Domäne) anmelden darf.

Fallbeispiel 1:

Versucht sich der Benutzer außerhalb der dort eingetragenen Zeiten an der Domäne anzumelden, bekommt er die folgende Fehlermeldung:

„Ihr Konto sieht es nicht vor, dass Sie sich zu dieser Zeit anmelden. Wiederholen Sie den Vorgang später“.

Während dieser Zeit kann sich der Benutzer zwar mit seinen „cached Credentials“ (zwischengespeicherte Benutzerinformationen)
lokal an seinem Rechner authentifizieren, so lange keine Verbindung zum Netzwerk/Domäne besteht (Netzwerkkabel entfernen).
Ein Zugriff auf Domänen-Ressourcen ist aber nicht möglich (auch nach erneutem einstecken des Netzwerkkabels).

Anschließend bekommt der Benutzer die Möglichkeit, die Datei lokal abzuspeichern.

Damit diese Einstellung (die standardmäßig deaktiviert ist) auf Domänenkonten greift,

gilt es diese Richtlinie auf Domänen-Ebene (z.B. in der Default Domain Policy) zu aktivieren.

Weitere Informationen:

Netzwerksicherheit: Abmeldung nach Ablauf der Anmeldezeit erzwingen

HOW TO: Limit User Logon Time in a Domain in Windows Server 2003
HOW TO: Limit User Logon Time in a Domain in Windows 2000

In einer Domäne kann es vorkommen, dass ein Benutzer an mehreren Clients zeitgleich angemeldet ist. Um dieses Verhalten zu verhindern, gibt es mehrere Wege.

• Ein Weg ist, im Snap-In „Active Directory-Benutzer und –Computer“ in die Eigenschaften des jeweiligen Benutzers zu gehen, danach im Reiter „Konto“ auf „Anmelden…“ zu klicken und dort die jeweiligen „Prä-Windows 2000-Computernamen“ einzugeben, an denen sich der Benutzer anmelden darf. Dazu wird die Netbios-Namensauflösung benötigt und daher ist es ein Grund mehr, einen WINS-Server im Einsatz zu haben.
  
  
• Eine andere Möglichkeit bietet das Tool „Limitlogin“. 
  
  http://www.it-administrator.de/aktuell/13585.html
  http://www.microsoft.com/technet/technetmag/issues/2005/05/UtilitySpotlight/default.aspx
  
  Der Nachteil dieses Tools ist, dass man einen recht hohen Aufwand betreiben muss bis man es konfiguriert hat.
  Daher kann man sich die Frage stellen, ob es sich bei dem Preis-Leistungsverhältnis lohnt, dieses Tool einzusetzen.
  
  Über Limitlogin und den notwendigen Aufwand, kann man sich im folgenden Artikel einen Überblick verschaffen:
  http://www.faq-o-matic.net/2006/04/02/limitlogin-in-der-praxis/
  
  
• Eine recht einfache Variante um das zu realisieren ist diese Vorgehensweise:
  
  Falls jeder Benutzer z.B. ein Home-Laufwerk haben sollte (das er per Login-Script zugewiesen bekommt), kann man darauf die Rechte auf der Freigabe so setzen, dass sich nur "einer" mit diesem Laufwerk verbinden darf.
  Danach fügt man noch eine Zeile in das Login-Script ein (If not exist h: goto logout), so das der User abgemeldet wird, wenn das Home-Laufwerk nicht verfügbar ist.
  
  
• Eine weitere Möglichkeit stellen diese Gruppenrichtlinien dar:
  
  Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Zuweisen von Benutzerrechten\"Lokal anmelden zulassen"
  Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Zuweisen von Benutzerrechten\"Lokal anmelden verweigern
  
  Man kann dann z.B. eine OU erstellen und alle Clients in diese OU verschieben, an denen sich der Benutzer nicht anmelden darf und verlinkt auf diese OU die GPO "Lokal anmelden verweigern".
  Oder man erstellt zwei OUs. In der einen OU befinden sich die Clients an denen sich der Benutzer anmelden darf und in die zweite OU verschiebt man die Clients, an denen sich der Benutzer nicht anmelden darf.
  Auf die OU mit den Clients an denen sich der Benutzer anmelden darf verlinkt man die GPO "Lokal anmelden zulassen" und auf die andere OU mit den Clients an denen sich der Benutzer nicht anmelden soll verlinkt man die GPO "Lokal anmelden verweigern".
  

Weitere Informationen:
Error message when you try to add more than 64 logon workstations in Windows Server 2003 or in Windows 2000 Server: "This property is limited to 64 values"

How to Use a Network Share to Limit a User's Concurrent Connections in Windows 2000

Limiting a User's Concurrent Connections in Windows 2000 and Windows NT 4.0