zahni

Bei und stehen beide Namen in Zertifikat 😏

Der WSUS lädt Updates immer (noch) per HTTP herunter, auch wenn die Kommunikation per HTTPS erfolgt. Was steht denn genau in der WSUS-GPO, bitte alle Parameter. Beispiel:

Ah ja, sorry. Habe das kurz vor einem Termin geschrieben.

Hast echt, man muss es mindestens 2x ändern: https://learn.microsoft.com/de-de/windows-server/identity/ad-ds/manage/forest-recovery-guide/ad-forest-recovery-reset-the-krbtgt-password

Siehe auch: https://support.microsoft.com/en-gb/topic/kb5037754-how-to-manage-pac-validation-changes-related-to-cve-2024-26248-and-cve-2024-29056-6e661d4f-799a-4217-b948-be0a1943fef1 Es kann nicht schaden, bei dem Konto ein neues Kennwort zu setzen. Welches ist egal. Schön lang und man muss es sich nicht merken. Damit werden alle ausgestellten Tickets ungültig.

Da wäre ich mir nicht sicher: PKCS#12 hat ein RFC: https://de.wikipedia.org/wiki/Public-Key_Cryptography_Standards

Ja, dafür sind sie da. Und wenn man fertig ist, löscht man sie und lässt sie nicht dauerhaft bestehen. Eine Ausnahme ist VMWare Horizon. Das ist aber ein anderes Thema.

Der private Key ist schon besonders schutzwürdig. Da ist eine PFX-Datei am einfachsten. BTW: Auch die entsprechenden Server können langsam mal PFX-Support nachrüsten. Bei neueren Tomcat-Servern kann man PFX direkt einbinden, ohne einen Java Keystore zu erzeugen. wobei das KSE-Tool PFX auch direkt lesen kann.

Eigentlich findet man das bei Google, z.B. hier: https://www.ibm.com/docs/en/arl/9.7?topic=certification-extracting-certificate-keys-from-pfx-file

Solche Effekte gab es mal bei anderen Windows-Versionen, wenn der SUS-Client zu alt war. Ich habe eben noch das hier gefunden: https://learn.microsoft.com/de-de/windows-server/administration/windows-server-update-services/plan/plan-your-wsus-deployment#uup-considerations

Bist Du Dir sicher, dass wuauclt bei Windows 11 noch funktioniert? Müsste es nicht UsoClient genommen werden?

Genau. Unter DOS. Später kam dann Windows dazu. Ich wollte damit nur ausdrücken, dass es die Fa. schon eine Weile gibt...

ich werfe mal die Produkte von https://www.hamburger-software.de/ in den Ring. Bis vor 25 Jahren habe ich die oft technisch installiert. Deren Produkt wurden damals als IBM-Produkte vermarktet. Wie die heute sind, kann ich nicht sagen. Die haben aber eine echte skalierbare Warenwirtschaft.

Nur als Ergänzung: Snapshots kann man zur Datensicherung nutzen, die macht man dann aber auf dem Storage. Guter Storage kann die performanceneutral bereitstellen und er bietet dann auch noch weitere Sicherungsmöglichkeiten kann. VM-Snapshot kosten immer Performance, besonders, wenn man mehr als eine Instanz hat. Die kann man nutzen, aber nur für Wartungsaufgaben, z.B. leichtes Rollback bei Software-Updates.

Bei über 400 Usern sollte auch ausreichend Budget da sein, um hier angemessen funktionierende Lösungen zu implementieren.

Ihr braucht dringend Beratung inkl. eines Konzepts zur Ausfallsicherheit und Redundanz.

In welcher GPO gesetzt? Das würde ich immer in der Default Domain Policy setzen.

Kann es sein, dass sich die Client beim Inplace-Update die Updates schon Online gezogen haben? Mit dem genauen Build der Windows-Version bekommt man via Google den Patch-Stand raus. Bestimmt gibt es da eine offizielle MS-.Seite zu.

@sven1972 Hast DU bei "Rollen und Features" Sources\SxS vom Windows 2019 Datenträger eingebunden?

Der CBS-Log mein, dass dieses Update fehlt: https://support.microsoft.com/de-de/topic/kumulatives-update-vom-14-mai-2024-kb5037933-für-net-framework-3-5-und-4-8-für-windows-10-version-1809-und-windows-server-2019-1decbfb6-2c25-4127-8949-a2b6eab36ad0 2024-09-02 07:14:10, Error CSI 0000001f (F) STATUS_SXS_ASSEMBLY_MISSING #120470# from CCSDirectTransaction::OperateEnding at index 0 of 1 operations, disposition 2[gle=0xd015000c] 2024-09-02 07:14:10, Error CSI 00000020 (F) HRESULT_FROM_WIN32(ERROR_SXS_ASSEMBLY_MISSING) #120312# from Windows::ServicingAPI::CCSITransaction::ICSITransaction_PinDeployment(Flags = 0, a = da3d2d2e0d0c44c87768675e3e5859bf, version 4.0.15744.1101, arch amd64, nonSxS, pkt {l:8 b:b03f5f7f11d50a3a}, cb = (null), s = (null), rid = 'Package_8_for_KB5037933~31bf3856ad364e35~amd64~~10.0.4729.4.5037933-186_neutral', rah = '8', manpath = (null), catpath = (null), ed = 0, disp = 0)[gle=0x80073701] PS: Beim Hinzufügen und Entfernen von internen .NET-Versionen ist der Installationsdatenträger von Windows erforderlich. Du musst im Server Manager den Pfad zu D:\Sources\SxS angeben. Siehe auch hier: https://netshop-isp.com.cy/blog/how-to-install-net-framework-3-5-using-server-manager-on-windows-server-2019/

Wie @daabm schon schrieb, kommt man störrischen Anwendungen mit dem Process-Monitor auf die Spur. Man muss prüfen, ob sie beim Schreiben im Dateisystem irgendwo ein Access Denied bekommen, ebenso können Schreibzugriffe in der Registry auf LOCAL_MACHINE solche Fehler auslösen.

Sind alle anderen Windows-Updates installiert? Also auch die neusten kumulativen Updates? Ich habe es auch schon erlebt., dass irgendeine Fremdsoftware, die .NET benutzt, diese Updates blockiert. Die sollten während des Updates nicht laufen.

SSL konfiguriert? https://learn.microsoft.com/de-de/windows-server/administration/windows-server-update-services/deploy/2-configure-wsus Ansonsten den Ordner SoftwareDistribution leeren

Da kann ich mir nur noch vorstellen, dass Du irgendwelche Filter in der FB konfiguriert hast. Oder das Ding ist schlicht kaputt. Z.B. RAM-Fehler lässt bei höherem Datendurchsatz den WLAN-Treiber abstürzen. Das könnte man eventuell in den Logs nachvollziehen. Die kann man sich so herunterladen: https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7590/1426_Support-Daten-der-FRITZ-Box-erstellen/ Ansonsten ist das Ding auch uralt und es gibt nur noch absolut notwendige Updates.

Welche IP-Adressen hat das Firmennetz? Hoffentlich nicht die Gleichen wie bei dir zu Hause?