Diesmal war es notwendig, Gruppenrichtlinienobjekte (GPOs) auf Computer in einem bestimmten IP-Subnetz anzuwenden. Klingt einfach, aber Windows macht es einem natürlich etwas schwerer. Befindet sich dieses Subnetz in einer separaten Active Directory (AD)-Site und enthält diese Site nur das relevante Subnetz, kann man das GPO direkt der AD-Site zuweisen. Das ist die einfachste Methode und funktioniert in der Regel problemlos. In unserem Fall umfasst die AD-Site jedoch mehrere Subnetze, weshalb die standortbezogene Anwendung von Richtlinien keine einfache Option ist. Stattdessen empfiehlt es sich, die Richtlinien mit WMI-Filtern zu filtern – eine Art Workaround, der mehr Kontrolle bietet. Bisher wurden WMI-Filter hauptsächlich verwendet, um bestimmte Windows-Versionen anzusprechen. Jetzt geht es darum, diese Logik auf IP-Adressen auszuweiten. Der Trick besteht darin, die richtige WMI-Abfrage zu erstellen, die prüft, ob die IP-Adresse des Zielcomputers im gewünschten Bereich liegt. Das ist etwas aufwendiger, aber machbar. So funktioniert es in der Praxis:
Wie filtert man Gruppenrichtlinien für ein bestimmtes IP-Subnetz mithilfe von WMI?
Öffnen Sie die Gruppenrichtlinienverwaltungskonsole.
- Starten Sie zunächst GPMC.msc. Das ist Ihr Standardprogramm zur Verwaltung von Gruppenrichtlinienobjekten (GPOs).
- Suchen Sie in der Konsole den Abschnitt WMI-Filter – dieser befindet sich normalerweise im linken Bereich.
Erstellen Sie einen neuen WMI-Filter
- Klicken Sie mit der rechten Maustaste auf den Knoten „WMI-Filter“ und wählen Sie „Neu“. Hier beginnt die Magie.
- Vergeben Sie einen aussagekräftigen Namen, z. B.„Filter für das Subnetz 191.168.55.x“, und fügen Sie eine kurze Beschreibung für späteres Nachschlagen hinzu. Nicht jeder erinnert sich nach einer Weile noch an alles.
Erstellen Sie Ihre WMI-Abfrage
- Klicken Sie auf „Hinzufügen“, um Ihre Abfrage einzugeben. Standardmäßig sollte der Namespace.lauten
root\\CIMv2. - Geben Sie als Nächstes eine Suchanfrage wie diese ein:
Select * FROM Win32_IP4RouteTable WHERE (Mask='255.255.255.255' AND (Destination Like '191.168.55.%' OR Destination Like '191.168.56.%'))Hinweis : Ja, das ist etwas kompliziert. Der Filter prüft, ob die IP-Adresse in den Bereich 191.168.55.x oder 191.168.56.x fällt. Ersetzen Sie diese durch Ihre tatsächlichen Subnetze. In manchen Konfigurationen mag dieser Filter etwas pingelig erscheinen, aber es ist die einzige Möglichkeit, IP-Bereiche auf diese Weise gezielt zu filtern.
Schließen Sie den Vorgang ab und verknüpfen Sie den Filter.
- Speichern Sie Ihre Abfrage. Kehren Sie anschließend zu Ihrem Gruppenrichtlinienobjekt zurück.
- Wählen Sie das Gruppenrichtlinienobjekt (GPO) aus oder erstellen Sie ein neues, auf das Sie den Filter anwenden möchten.
- Suchen Sie in den GPO-Einstellungen den Abschnitt WMI-Filterung und wählen Sie Ihren neu erstellten Filter aus der Dropdown-Liste aus.
- Verknüpfen Sie das Gruppenrichtlinienobjekt (GPO) mit der Organisationseinheit (OU), die Ihre Zielcomputer enthält.
Sobald alles verknüpft ist, führen Sie die Anwendung gpupdate /forceauf den Clients aus (oder warten Sie auf die nächste Aktualisierung der Richtlinien) und prüfen Sie anschließend mit `gpresult`, ob Ihre Gruppenrichtlinie korrekt angewendet wurde. Falls die Anwendung fehlschlägt, überprüfen Sie die Syntax Ihres WMI-Filters – diese Abfragen sind mitunter empfindlich. Auf manchen Rechnern kann es außerdem einen Neustart oder etwas Geduld erfordern, bis die Richtlinie wirksam wird.
Zusammenfassend lässt sich sagen, dass dieser WMI-Filteransatz eine gute Möglichkeit bietet, bestimmte IP-Bereiche ohne umfangreiche Gruppenrichtlinienobjekte (GPOs) gezielt anzusprechen. Es mag etwas ungewöhnlich klingen, aber es erfüllt seinen Zweck, wenn die AD-Standortfilterung nicht ausreicht.
Zusammenfassung
- Verwenden Sie GPMC.msc, um Gruppenrichtlinien zu verwalten.
- Erstellen Sie einen WMI-Filter mit einer Abfrage basierend auf
Win32_IP4RouteTable - Ersetzen Sie die Subnetzmasken und -bereiche durch Ihre eigenen.
- Verknüpfen Sie den Filter mit Ihrem Gruppenrichtlinienobjekt (GPO) und weisen Sie ihn anschließend der richtigen Organisationseinheit (OU) zu.
- Auf Clients ausführen
gpupdate /forceund mit gpresult überprüfen.
Zusammenfassung
Grundsätzlich ist das Filtern von Gruppenrichtlinienobjekten (GPOs) nach IP-Bereich nicht so einfach wie das Anklicken eines Kontrollkästchens, aber WMI-Filter bieten Flexibilität. Seien Sie bei Ihren Abfragen vorsichtig und rechnen Sie mit etwas Ausprobieren. Manchmal funktioniert diese Methode bei bestimmten Konfigurationen nicht auf Anhieb perfekt – ein Neustart oder weitere Anpassungen können erforderlich sein. Insgesamt ist es jedoch eine zuverlässige Methode, Richtlinien für bestimmte IP-Bereiche bereitzustellen, ohne eine separate Website erstellen zu müssen. Hoffentlich hilft das jemandem, sich nicht die Haare zu raufen!