Täppa till ett nätverk (NT4-server med W2K-klienter)

Jag har lovat att hjälpa en organisation jag vurmar för, att gå igenom och rodda lite med deras datorer och nätverk, som består av en NT4-server (domänkontrollant) och ett fyrtiotal klienter med Win2K på. Eftersom jag saknar erfarenhet av Windows-servrar skulle jag behöva lite hjälp för att få en grundläggande överblick.
I det nuvarande upplägget har de använt sig av centrala profiler och alla användare har tillgång till alla klientburkar trots att det egentligen inte varit önskvärt. Därför finns halvdant trassel-verk för att hindra vissa från att logga in på vissa datorer - med hjälp av lokala profiler och säkerhetsinställningar på startdisken. Detta verkar inte fungera bra. Många av klientburkarna är nedtyngda av profiler och många har dessutom en massa junk installerat - allt ifrån fildelningsprogram och casinoprogram till spel.
Finns det någon här som har förslag på hur man sätter upp nätverket med ett bättre upplägg?

Några frågor:

1) Hur säkert kan jag räkna med att användare med begränsade rättigheter inte kan installera programvara som tex spel eller MSN Messenger? Är det lätt för en "rutinerad unge" att gå förbi dessa principer? Är mitt admin-lösenord ganska säkert, eller är det "allmän kunskap" hur man hackar ett lösenord i Windows?

2) På NT-servern går det i profilinställningarna att begränsa vilka klienter i domänen som användaren kan logga in på. Detta vore ju lösningen på många problem, om det inte vore så att det går att ange max 8 datorer per profil. Går detta verkligen inte att ändra eller kringå? Jag skulle behöva lägga in upp till 20 datorer på vissa profiler.

3) Om man, som i detta fall har ett nätverk som bygger på centrala profiler, varför finns det då lokala profiler på många av klienterna? Finns det någon poäng med detta, eller kan jag ta bort alla lokala profiler - inklusive lokal administratör?

4) Om jag i branväggen stänger portar för vissa program (tex MSN Messenger), är det då relativt lätt för "en rutinerad unge" att gå förbi denna spärr, eller kan jag räkna med att det fungerar? Jag har hört talas om att det går att tunnla ut via andra portar osv.

5) Nån som har ett bra tips på litteratur eller webbsidor där jag kan lära mig mer om NT4-server och nätverkstänkande för Windows? De manualer som finns till servern är stela och tråkiga och består mest av kryptiska förkortningar...

Ok, ett lokalt adminlösen är alltså lätt att hacka? Men kan man inte ta bort den lokala adminanvändaren (eller avaktivera kontot)? Jag gissar att domänadmins lösen inte är lika lätt att hacka. Eller? Hur tusen upprätthåller man ordningen i ett större nätverk om det är så lätt att ta sig adminrättigheter?

Jag uttryckte mig dumt. Jag menar att det finns lokala användare inlagda på olika datorer, som kan användas för att logga in lokalt på just den datorn. Jag kan inte se någon nytta med det när man nu använder sig av centrala profiler. eller finns det nån poäng jag missar med att ha lokala konton på datorerna i ett nätverk?

Tack! Detta ska jagomedelbart göra. Sen gäller det bara att spärra all annan icke önskvärd trafik, typ fildelning etc... Hur fasiken ska man få överblick över allt som finns?

Ok, stort tack för alla svar. Det kan tyckas äventyrligt att ge sig in i saker man inte har full koll på, men om man ska vara skraj för att röra allt man inte behärskar blir det svårt att lära sig nya saker. Problemet i det här fallet är ju knappast svårighetsgraden - det handlar ju om så pass enkla saker som att dela lite filer över ett nätverk. Det stora problemet för mig är att förstå hur Microsoft tänker - jag tycker att det mesta är onödigt tillkrånglat och bylsigt vilket dessutom förvärras av en sällsynt fyrkantig dokumentation. Efter att ha gått igenom och lärt mig en del om NT4 kan man väl bara dra slutsatsen att det inte är något större mästerverk, vare sig tekniskt eller pedagogiskt. Det känns faktiskt mest som ett lappverk, där i efterhand tillkomna nödlösningar dominerar bilden.

Nu tillbaka till frågorna:

1) Här verkar alla vara överens om att ett lokalt adminlösen är osäkert. Frågan är då hur man tar bort det lokala adminkontot - eller tar bort adminrättigheterna för det. Jag får bara meddelande typ "Fördefinerade konton kan inte ändras".

2) Här fick jag klara besked - en användare kan max tilldelas åtta datorer i nätverket, om man vill ha en sån begränsning. Den enda workaround jag kan komma på är att en användare får flera konton (som använder samma profil) eftersom användaren då kan logga in på olika konton beroende på vilken dator han ska använda. Lite dumt, men borde fungera. Eller?
Gurk, du skriver i svaret att man kan neka grupper att logga in lokalt. menar du då att jag kan skapa globala grupper på servern som sedan kan hindras att logga in på vissa datorer? I så fall löser det ju mina problem till 100%. Måste testas...

3) Om jag förstår det rätt så kan jag rensa bort alla lokala konton på burkarna?

4) Att spärra ut MSN Messenger var minsann ingen lek. Att spärra alla portar den använder i brandväggen fungerar inte, eftersom den då slinker ut genom port 80 istället. Att försöka spärra port 80 för vissa ip är heller inte lätt, eftersom MSN letar sig fram - om den inte får kontakt med det första ip:et över port 80 söker den sig till nästa...etc. man blir tvungen att spärra av en jäkla massa ip:en - än är jag inte framme vid mål, men någon gång måste väl listan ta slut över servrar den kan ansluta till...

Ok, stort tack för hjälpen! Jag har nu kommit en bit på vägen och börjar förstå "tänket" i NT-servern. Återstår bara att lära sig alla trix och odokumenterade finesser...
Jag lär dock få anledning att återkomma med fler frågor...

Kanske det finns budget att uppgradera, men jag tänkte undersöka andra alternativ innan jag samlar ihop ett förslag till dem. Jag lutar nog mer åt Linux/Samba än att köpa en Windows-uppgradering. Linux har jag sysslat med en hel del, men Samba har jag ännu ingen erfarenhet av - dock förutsätter jag att den är lika stabil, enkel och logisk som det mesta av OpenSource-varorna. Säkerheten borde väl vara några snäpp bättre än för en Win-server? Eller?

Har du nån erfarenhet av hur pass bra centrala profiler för Win2K fungerar med en Sambaserver?