LukasB

Von den Symptomen her würd ich immer noch auf ein Hardware-Problem tippen.

Da es ein Eigenbau-Server ist würde ich bei der Problematik erstmal aufs RAM tippen. Ähnliche Symptome hatte ein Arbeitskollege der ein Asus-Board mit P55-Chipset gekauft hat (dein Board verwendet die Servervariante desselben Chipsets - aber der Memory-Controller ist eh in der CPU, und die ist technisch identisch).

Das Problem war das der Kollege einfach Billig-RAM (mit den richtigen Spezifikationen) gekauft hat, nicht aber Memory welches auf der Kompatibilitätsliste des Board stand. Nach einem Austausch des Memories durch kompatibles war das Problem dann auch gelöst.

Nächstes mal einen richtigen Server kaufen - dann hast du ein IMM/iLO/DRAC/BMC whatever das dir genau sagen kann wieso eine Maschine rebooted hat.

Wobei man sagen muss das 2 Megabit auch einfach nicht mehr Zeitgemäss sind - mit HSDPA erreiche ich mobil(!) mehr. Und Zuhause kriege ich z.B. 100/7 Megabit für kleines Geld.

Klar sind die Anschlüsse für Firmen wesentlich teurer als Privatanschlüsse, aber man muss auch dort mit der Zeit gehen.

Evtl. wäre BranchCache für dich eine Lösung:

BranchCache

Eine Replikation ist das allerdings nicht.

Diverse WAN-Acceleratoren können ebenfalls cachen und unterstützen Locking und würden auch mit Legacy-OS funktionieren.

Eine Replikationslösung die Locking unterstützt kenne ich allerdings nicht (DFS-R fällt jedenfalls flach).

Wir als Gold Certified Partner haben einen MAK-Key gekriegt der definitiv auf TS funktioniert.

Für die Action Pack Leute gilt dies aber nicht:

https://partner.microsoft.com/us/40112699

The software and keys issued for the Action Pack Solution Provider subscription are not compatible for operating Office 2007 in a Terminal Services environment. Using Office 2007 in a Terminal Services environment is not supported. If you need to use Office 2007 in a Terminal Services environment, you can choose from the following two options:

 

*

Acquire an MSDN Premium subscription through the Microsoft Open License Program. Learn more about MSDN subscriptions.

*

For your own business use, acquire Office 2007 through the Microsoft Open License Program or one of the other appropriate Volume Licensing programs.

Wobei das auch wieder eine sehr interessante Formulierung ist - denn die Internal Use-Lizenzen darf man produktiv nutzen, die MSDN Lizenzen allerdings nicht.

Shadow Copies?

Gib mal vssadmin list shadows ein.

Beachte auch das der Admin C:\System Volume Information standardmässig nicht lesen kann, und da auch jede Menge "Seich" drin sein kann.

Insbesondere SBSe haben standardmässig Shadow-Copies auf C:\ aktiviert - der Datenträger auf dem Standardmässig auch Exchange- und SQL Datenbanken liegen. Das braucht natürlich viel Platz, weil da viel Bewegung ist.

Jaja, vor lauter Feiertagen wisst ihr nichtmal mehr WIESO ihr grad Frei habt ;)

Lukas, der heute arbeiten muss.

Der Spamfilter in FPE ist ziemlich gut (Cloudmark). Wir setzen aber auch häufig noch ORF EE ein, welches sich primär mit Blacklists beschäftigt. Eine Blacklist alleine, und insbesondere ohne URIBLs, wird deine Probleme nicht vollständig lösen.

SP2 installiert?

Treiber aktuell?

Firmware aktuell?

Was für einen RAID-Controller verwendest du?

Um Zahni's Aussage zu untermauern:

VMware Communities: VMware VMDirectPath I/O

VMDirectPath I/O is experimentally supported for the following Storage and Network I/O devices:

 

* QLogic QLA25xx 8 Gb Fibre Channel adapters

* Emulex LPe12000 8 Gb Fibre Channel adapters

* LSI 3442e-R and 3801e (1068 chip based) 3 Gb SAS adapters

* Intel 82598 10 Gigabit Ethernet controller

* Broadcom 57710 and 57711 10 Gigabit Ethernet controllers

Es ist besser, aber nicht zwingend, wenn der Rechner in der Domain ist. Dein Benutzerprofil kannst du beim WEchsel in die Domain grundsätzlich übernehmen, dafür gibt es mehrere Wege. z.B. USMT oder Windows Easy Transfer.

Die Ericsson-Radios in den T400/T500 sind via Mini-PCI-E angeschlossen.

Aber eine gute Ratschläge hab ich auch keine mehr...

Ach ja, es handelt sich um eine fest verbaute karte - nichts nachgeruestetes.

Die Geräte gibts eben als "WWAN Ready" (ohne UMTS-Karte, mit SIM-Slot) und "Full WWAN" (mit eingebauter Karte). Die Hardware ist in beiden Fällen aber identisch.

Das Problem das die Karte in Windows nicht sichbar war hatte ich in der Form noch nie. Siehst die Karte evtl. mit FN-F5, und diese ist deaktiviert? Evtl. ist für die Erstaktivierung auch Access Connections erforderlich.

Die Karten in den T400/T500 waren auf jeden Fall sehr mühsam (Sony Ericcson). Die Gobi-Geräte in den T410/T510 machen einen viel besseren Eindruck, werden auch von Win7 nativ unterstützt.

Hm, dass beim PORT-Kommando die IP-Adresse geändert wird, kann ich mir noch vorstellen.

 

Aber bei mehreren gleichzeitigen Verbindungen mussen doch trotzdme mehere Ports weitergeleitet werden. Öffnet die Firewall die dann dynamisch?

Ja, das sollten eigentlich alle modernen Geräte kennen.

Das beste was ich auf die schnelle zu dem Thema gefunden hab:

Netfilter connection tracking and nat helper modules

NAT helper modules do some application specific NAT handling. Usually this includes on-the-fly manipulation of data. Think about the PORT command in FTP, where the client tells the server which ip/port to connect to. Thererfore a FTP helper module has to replace the ip/port after the PORT command in the FTP control connection.

 

If we are dealing with TCP, things get slightly more complicated. The reason is a possible change of the packet size (FTP example: The length of the string representing an IP/port tuple after the PORT command has changed). If we had to change the packet size, we have a syn/ack difference between left and right side of the NAT box. (i.e. if we had extended one packet by 4 octets, we have to add this offset to the TCP sequence number of each following packet)

Für FTP brauchst Du einen Reverse-Proxy, da aktives FTP dynamisch zum File-Transfer neue Verbindungen öffnet. Da genügt ein simples Port-Forwarding nicht. Oder man muss eine ganze Gruppe von Ports freischalten und den FTP-Server so konfigurieren, nur diese Ports dynamisch zu verwenden.

Das war früher mal so. Aktuelle Firewalls können (nicht verschlüsseltes FTP, bzw. FTP mit Plain Control Channel) mithören und automatisch übersetzen. Mittlerweile können das sogar die 50 CHF Router für Zuhause.

Anders sieht es bei FTP mit verschlüsseltem Control-Channel aus. Da muss der FTP-Server seine externe IP wissen (wenn er hinter NAT ist), und man muss einen Port-Range auf der Firewall freischalten.

Erstmal langsam:

Was für eine Checkpoint, mit welchem Softwarestand?

Der FTP-Server ist eine neue, physikalische Maschine?

Hast du denn ein Interface auf der Checkpoint frei?

Grundsätzlich kannst du in der DMZ mit NAT arbeiten, oder direkt mit den öffentlichen IP-Adressen, dafür musst du dann aber bridgen (oder wie auch immer das Checkpoint heute nennt). Sicherheitstechnisch gibt es keinen Unterschied.

BIOS aktuell?

Wir hatten schon mehrfach das Problem das die nachträglich verbauten UMTS-Karten erst nach einem BIOS-Update erkannt wurden.

Falls es schonmal funktioniert hat, kanns das natürlich nicht sein.

Du meinst mit selbst erstellten Zertifikaten wird das nix?

Nicht wirklich. Du machst dir vorallem jede Menge arbeit.

Soll mir eins kaufen?

Kannst du was empfehlen?

Empfehlen ist wohl übertrieben. Wir kaufen die meisten Zertifikate bei GoDaddy, weil das der günstigste Anbieter ist und auch auf allen halbwegs aktuellen Telefonen akzeptiert wird.

testexchangeconnectivity.com wird nur mit einem 3rd Party-Zertifikat richtig funktionieren.

Ausserdem brauchst du eh ein SAN-Zertifikat um AutoDiscover richtig zum laufen zu kriegen.

Doku dazu gibts genügend - hol dir erstmal ein passendes SAN-Zertifikat einer 3rd Party CA, danach ist es relativ einfach alles zum laufen zu kriegen.

Verwendest du ein offizielles Zertifikat einer 3rd Party CA, oder verwendest du ein eigenes Zertifikat einer internen CA bzw. ein selbstsigniertes Zertfikat?

C:\windows\debug

Dort sind die Debug-Logs von DFS-R.

Es gilt: Geduld, Geduld, Geduld. Manchmal dauert das ein bisschen.

Die Startmenüeinstellungen sind im Profil und werden mitgenommen. Kann mir nicht vorstellen wieso das bei dir nicht klappt.

Das Hintergrundbild muss im Profil gespeichert werden, damit Windows es auch findet auf den anderen PCs.

Profile sind nicht über OS-Grenzen hinweg kompatibel, d.h. du kannst ein Windows 7 Profil nicht für deine XP-Rechner nutzen. XP/2k und Vista/7 nutzen allerdings den gleichen Ordner, was manchmal für interessante Effekte sorgen kann.

Was passt dir denn an den angebotenen Lösungsansätzen nicht? Oder anders gefragt, wie hättest du das Problem gerne gelöst?

Wenn ein VPN keine Option ist gibt es natürlich auch andere Varianten, mit denen du die gleiche Sicherheit erreichen kannst - z.B. mit einem RD Session Host und einem RD Gateway. NAP kannst du in diesem Fall genauso einsetzen, du hast kein VPN im Einsatz sondern nur einen Port (443). Am besten veröffentlichst du den RD Gateway mit einem Forefront TMG, damit du auch noch NIS nutzen kannst um Angriffe auf den RD Gateway zu verhindern.

Alternativ gibts eine ähnliche Lösung auch von Citrix, XenApp Server mit einem Citrix Access Gateway. Kann ein bisschen mehr und hat das nettere Webinterface, ist aber auch teurer.

Grundsätzlich sind aber beide Varianten wesentlich aufwendiger als ein VPN, und bei 200 Usern solltest du die Lizenzkosten nicht unterschätzen.