Komfortabel zu administrierendes kleines Netzwerk mit NAS

[FritzZ]

Hallo Forum,

ich versuche seit einiger Zeit (Wochen ☹) ein Heimnetzwerk einzurichten.
Nach vielen Hürden versuche ich jetzt doch mal Rat von Erfahrenen einzuholen.

Ziel:
Ein einigermaßen komfortabel zu administrierendes kleines Netzwerk bestehend aus

• zwei Desktops (Win 10 Home Update 21H1)
• zwei Laptops (Win 10 Home Update 21H1)
• ein Synology NAS DS218play (DSM 7.0.1 / Active Directory nicht installierbar)
• und einer FritzBox 7360

für 4 User einzurichten.


Mein derzeitiger Plan / Informationsstand:

Grundsätzlich scheint mir die Verwaltung von Benutzer- und Sicherheitseinstellungen über die Gruppenrichtlinien eine geeignete Methode zu sein um sich viel Aufwand zu ersparen.

Mangels Active Directory - Fähigkeit meiner Synology ist mein Plan an einem Desktop alle nötigen Einstellungen wie Benutzer- und Sicherheitsrichtlinien vorzunehmen.
Anschließend würde ich das Verzeichnis C:\Windows\System32\GroupPolicy durch copy & paste auf die anderen Rechner verteilen.


Was bereits geschah:

Nach der (nachträglichen) Installation von gpedit.msc habe ich versucht die lokalen Gruppenrichtlinien eines Users zu definieren. Leider ohne Erfolg. Die geänderten Gruppenrichtlinien werden nicht übernommen. Weder der Befehl „gpupdate /force“ noch ein Neustart haben irgendeine Änderung gebracht.



Fragen:

1. kann mein Plan (Verzeichnis GroupPolicy copy & paste) so funktionieren?
2. Werden Veränderungen, die man in den Einstellungen (Zahnrad im Startmenü) vornimmt in die Gruppenrichtlinien übernommen (also auch in dem Verzeichnis „C:\Windows\System32\GroupPolicy“ abgelegt)? Frage deshalb, weil ich sowohl in den Einstellungen, als auch in Gruppenrichlinien-Editor Veränderungen vorgenommen habe und alle auf die anderen Rechner übertragen werden sollen.
3. Warum werden die Einstellungen in den Gruppenrichtlinien nicht übernommen? Was mache ich falsch - bzw funktionieren Gruppenrichtlinien mit Win 10 Home grundsätzlich nicht, auch wenn gpedit nachinstalliert wird?
4. Falls 1) und 2) nicht zutreffen, welche Möglichkeiten habe ich sonst noch zum Ziel zu kommen?

 

[Wolf.J]

Nach der (nachträglichen) Installation von gpedit.msc habe ich versucht die lokalen Gruppenrichtlinien eines Users zu definieren. Leider ohne Erfolg.

Mit dieser nachträglichen Installation auf Windows 10 Home habe ich vor längerer Zeit auch schon experimentiert, da hat auch so Einiges nicht funktioniert.
Normalerweise kannst Du das doch über die Freigaben regeln.
Tipp: richte auf allen Rechnern einen eigenen User mit Passwort für die Netzwerkfreigaben ein, gibt dem die Zugriffsrechte.
Wenn Du dann die einzelnen Rechner noch als Laufwerke permanent verbindest, sollte doch alles schick sein.

 

[FritzZ]

Hallo Wolf.J, danke für deinen Tipp.

Normalerweise kannst Du das doch über die Freigaben regeln.

So wie ich das verstehe werden über Freigaben doch nur Zugriffsrechte vergeben. Mein Ziel ist es aber nicht für alle Benutzer und jeden Computer jede Einstellung (z.B. Randomware-Schutz, PIN-Komplexität, Sperrbildschirm deaktivieren, Farbeinstellungen, Passwort-Änderungen, usw.) einzeln vergeben zu müssen.
Eigentlich so, wie es mit serverbasierten Benutzerprofilen funktioniert.
Und wenn ich richtig informiert bin, könnte das alles (und noch so einiges mehr) über Gruppenrichtlinien geregelt werden. UND, sollte sich in Zukunft der Bedarf entstehen etwas zu verändern oder einfach nur auszuprobieren, wäre das über besagte GPOs zentral und mit wenig Aufwand zu realisieren.

Klärt mich bitte auf, falls ich da einem (groben) Denkfehler unterliege und vielleicht kann der ein oder andere meine Fragen beantworten.

 

[cardisch]

Dein Vorhaben scheitert an der AD-Fähigkeit deiner Clients.. Kein Pro->Kein AD. Somit funktioniert auch kein GPedit.

 

[FritzZ]

Gibt es denn sonst eine Möglichkeit wie ich die Einstellungen (wenn ich sie "zu Fuß", also über die Systemeinstellungen vornehme) auf die anderen Rechner verteilen kann?

 

[jhkil9]

Nein. Mit der Home Version wird das nichts.

 

[cardisch]

Das stimmt so nicht... alles, was du mit GPEdit machst kannst du auch händisch in der Registry ändern. Dafür musst du aber die entsprechenden Werte kennen.
Diese könnte man ex- und dann importieren. Das ist kein Hexenwerk, aber Fleißarbeit.
Und deine Ordner wie \users\XYZ\Documents lassen sich sicherlich umleiten, auch auf eine NAS-Box.
Aber zentral administrieren geht nicht

 

[Elleafar]

Die Windows 10 Home Edition stellt von Hause aus keine Gruppenrichtlinien zur Verfügung. Diese stehen erst bei der Professional Edition zur Verfügung. Falls du wirklich mit Gruppenrichtlinien arbeiten möchtest, wäre dringend anzuraten deine Rechnern mit Windows 10 Professional auszurüsten.
Das Nachrüsten der Home Edition mit Gruppenrichtlinien durch GPedit ist und bleibt eine Krücke und wird wahrscheinlich einige Probleme verursachen.

Zur Exportierung bzw Importierung der Gruppenrichtlinien auf die verschiedenen Rechner kann ich leider mangels Wissen wenig beitragen

 

[runit]

Jepp, ich habe auf der Home auch mal vor langer Zeit gpedit nachinstalliert. Das hat nicht wirklich funktioniert.

Hier ist eine Liste zu allen Gruppenrichtlinien und ihren entsprechenden Registry-Schlüsseln. Vielleicht kommst Du damit weiter.

GPO Befehle - Registry Änderungen

 

[FritzZ]

Diese könnte man ex- und dann importieren.

Macht es Sinn nach dem Einrichten eines Rechners (Master-PC) inkl. allen User-Konten folgende Schlüssel aus der Registry (öffnen als Admin) zu exportieren und in den anderen Rechnern zu importieren?:
Computer\HKEY_LOCAL_MACHINE
Computer\HKEY_USERS

1. Reichen diese beiden Schlüssel oder sollte ich noch Computer\HKEY_CURRENT_USER dazunehmen?
2. Werden beim Import die vorhandenen Schlüssel im anderen Rechner überschrieben?
3. Kann ein "falscher" Schlüssel (z.B. der eines Programms das auf dem Zielrechner nicht installiert ist) Probleme bereiten? Kann man die nachträglich mit z.B. Ccleaner bereinigen?

Das Nachrüsten der Home Edition mit Gruppenrichtlinien durch GPedit ist und bleibt eine Krücke und wird wahrscheinlich einige Probleme verursachen.

Hatte angenommen, dass es ein guter Hack ist, weil es so oft im Netz als Lösungsvorschlag angeboten wird .

 

[runit]

Kann ein "falscher" Schlüssel (z.B. der eines Programms das auf dem Zielrechner nicht installiert ist) Probleme bereiten? Kann man die nachträglich mit z.B. Ccleaner bereinigen?

1+2 kann ich Dir leider mangels Erfahrung nicht beantworten. Jedoch - ein ungültiger Schlüssel auf einem Zielrechner stellt kein Problem dar. Er wird einfach nicht genutzt, weil es mangels Programm keinen Zugriff darauf gibt.

Die Registry ist berüchtigt wegen ungültiger Schlüssel. Die entstehen bereits, wenn eine Software nicht vollständig entfernt wurde. Darum gibt es so kontraproduktive Programme, die danach suchen und per Registry-Cleaner die Registry vorgeben, reinigen zu können. Da solche Programme keine Abhängigkeiten und Kausalitäten feststellen können, schon alleine, weil ihre Berechtigung der Scantiefe das nicht zulässt, löschen die gerne mal auch benötigte Schlüssel. - also - null problemo, wenn es in der Registry ungültige Schlüssel gibt. Die gibt es allgemein auf den meisten Rechnern. Umgekehrt ist halt schlimmer, wenn ein benötigter Schlüssel nicht mehr da ist.

Ccleaner ist ein Paradebeispiel für zerschossene Registrys. Nutze ihn, aber bitte nie und nicht die Registry-Clean-Funktion. Die Registry muss nicht gecleaned werden.

 

[Wolf.J]

Also Registry-Keys auf der Ebene zu exportieren und auf anderen Rechnern zu importieren könnte durchaus eine Neuinstallation nach sich ziehen.
Davon kann ich nur abraten.
Mit CCleaner an die Registry zu gehen kann auch nach hinten los gehen.

 

[FritzZ]

Hier ist eine Liste zu allen Gruppenrichtlinien und ihren entsprechenden Registry-Schlüsseln.

Hey runit, danke für den Link. Wird sicherlich hilfreich sein wenn ich einzelne Schlüssel suchen muss!

Registry-Keys auf der Ebene zu exportieren und auf anderen Rechnern zu importieren könnte durchaus eine Neuinstallation nach sich ziehen.

Wenn ich das nicht bündeln kann macht wahrscheinlich die von cardisch erwähnte

Fleißarbeit

wenig Sinn, weil ich dann die Einstellungen auch von Hand einrichten kann ... ohne die Option einer Neuinstallation

 

[Wolf.J]

Ergänzung:

Das Nachrüsten der Home Edition mit Gruppenrichtlinien durch GPedit ist und bleibt eine Krücke und wird wahrscheinlich einige Probleme verursachen.

Probleme verursacht das nicht, man muss sich nur klar sein, dass bestimmte Einstellungen unter Home nichts bewirken, weil die einfach nicht vorgesehen sind.
Da GPEdit auch nur in die Registry schreibt, bleibt noch zu prüfen, ob diese Änderungen überhaupt eine Auswirkung haben.
Meinen persönlichen Eindruck zu diesem Projekt behalte ich lieber für mich.

 

[cardisch]

Macht es Sinn nach dem Einrichten eines Rechners (Master-PC) inkl. allen User-Konten folgende Schlüssel aus der Registry (öffnen als Admin) zu exportieren und in den anderen Rechnern zu importieren?:
Computer\HKEY_LOCAL_MACHINE
Computer\HKEY_USERS

1. Reichen diese beiden Schlüssel oder sollte ich noch Computer\HKEY_CURRENT_USER dazunehmen?
2. Werden beim Import die vorhandenen Schlüssel im anderen Rechner überschrieben?
3. Kann ein "falscher" Schlüssel (z.B. der eines Programms das auf dem Zielrechner nicht installiert ist) Probleme bereiten? Kann man die nachträglich mit z.B. Ccleaner bereinigen?

Hatte angenommen, dass es ein guter Hack ist, weil es so oft im Netz als Lösungsvorschlag angeboten wird .

Das wird wenig bringen.. Ein User wird eineindeutig über seine SID identifiziert, ebenso ein PC. auch wenn deine User dieselben Namen tragen wird die SID unterschiedlich sein und die entsprechenden Schlüssel nie angesprungen werden.

 

[FritzZ]

Meinen persönlichen Eindruck zu diesem Projekt behalte ich lieber für mich.

Nur zu - vielleicht bringt es mich ja weiter ... aber sei nicht zu hart

Das wird wenig bringen.. Ein User wird eineindeutig über seine SID identifiziert, ebenso ein PC. auch wenn deine User dieselben Namen tragen wird die SID unterschiedlich sein und die entsprechenden Schlüssel nie angesprungen werden.

Ihr macht es mir echt nicht leicht ...
Nicht falsch verstehen - ich bin euch sehr dankbar für die "Nachhilfe", ersten lerne ich was dabei und zweitens beschleunigt es meine Irrwege deutlich.
Aber es ist einfach enttäuschend wenn einem die Ideen ausgehen und ich so langsam akzeptieren muss, dass ich die Zeit besser in die "zu Fuß - Lösung" investiert hätte.

 

[Wolf.J]

Nur zu - vielleicht bringt es mich ja weiter ... aber sei nicht zu hart

No, bin ich nicht, wie ich es in Deiner Konstellation gemacht hätte, habe ich ja schon in meiner ersten Antwort geschrieben.
Alternativ besorge Dir 4 Pro-Lizenzen und tobe Dich aus mit allen Möglichkeiten, die Du dann hast.
Ich bin nur froh, dass Du von dem Suizid per Registry Abstand genommen hast.

 

[FritzZ]

Tipp: richte auf allen Rechnern einen eigenen User mit Passwort für die Netzwerkfreigaben ein, gibt dem die Zugriffsrechte.
Wenn Du dann die einzelnen Rechner noch als Laufwerke permanent verbindest, sollte doch alles schick sein.

Gut, dass du es erwähnst - dazu habe ich noch Fragen:

1. habe ich richtig vermutet, dass es hier ausschließlich um die Freigabe der, für den einzelnen User unterschiedlichen Verzeichnisse auf den anderen Rechnern bzw. des NAS geht?
2. um ehrlich zu sein habe ich nicht verstanden wofür ich diesen User einrichten soll und welche Zugriffsrechte er hat. Reicht da nicht ein Admin-Konto, das sowieso auf jedem Rechner vorhanden ist?
3. Konkretes Beispiel: vom Client-Rechner "Work" mit dem User "Franz" auf die entsprechenden User-Verzeichnisse der Synology zugreifen (habe vor die Userverzeichnisse Franz\Bilder, Franz\Dokumente und Franz\Downloads auf den NAS auszulagern). Wie würde ich es nach deiner Methode vorgehen?

 

[Wolf.J]

Reicht da nicht ein Admin-Konto, das sowieso auf jedem Rechner vorhanden ist?

Und warum dann das ganze Gezappel mit Gruppenrichtlinien?

(habe vor die Userverzeichnisse Franz\Bilder, Franz\Dokumente und Franz\Downloads auf den NAS auszulagern).

Dann arbeite mit Links auf diese Verzeichnisse und denke daran, auch der Desktop gehört zu den Userverzeichnissen.
Die Original-Verzeichnisse sollten dabei belassen werden, die können ja leer bleiben.

 

[FritzZ]

Und warum dann das ganze Gezappel mit Gruppenrichtlinien?

Weil die Gruppenrichtlinien nicht nur Zugriffsrechte steuern sondern auch Einstellungen, sowohl kosmetische (z.B. Farbeinstellungen), als auch Sicherheitseinstellungen (z.B. Passwort-Komplexität oder Maleware-Schutz). Das lässt sich m. E. mit den Gruppenrichtlinien gebündelt einstellen. Einmal eingestellt hätte ich dann versucht diese Einstellungen auf die anderen Rechner zu verteilen ...

Dann arbeite mit Links auf diese Verzeichnisse und denke daran, auch der Desktop gehört zu den Userverzeichnissen.

Danke für den Hinweis. Habe vor die Pfade der Verzeichnisse umzuleiten indem ich in den Eigenschaften (Reiter "Pfad") des Userverzeichnisses auf dem Client-PC den Pfad des Zielverzeichnisses auf dem NAS eintrage.
Den Desktop lasse ich absichtlich aus, weil die Displays unterschiedlich groß sind dann die Links auf dem Desktop durcheinander-gewürfelt werden. Außerdem habe ich unterschiedliche Software auf den Rechnern und deshalb auch unterschiedliche Links auf dem Desktop.