testperson

Die Lizenz für das OS (und ggfs. Office oder andere MS Anwendungen) muss ebenfalls über SPLA gemietet bzw. bezogen werden.

Das wäre vermutlich SPLA.

Hi, das sinnvollste wäre wohl, das Übel an der Wurzel zu packen und die Anwendungen als Dienst lauffähig zu bekommen. Was ist das für eine / Was sind das für Anwendungen? Ggfs. kann ja wer helfen. Gruß Jan

Hi, ich würde noch ergänzend fragen, ob es tatsächlich zwingend VDI sein muss. Evtl. schaust du dir auch noch sessionbasierte Desktops (RDS (WTS)) an. Gruß Jan

Mit der Standard Edition musst du eben auf die Pre-Authentication bzw. generell AAA verzichten. Ich würde da eher auf AAA verzichten, wie nur TLS1.0 "zu haben". Ob Ihr das theoretisch überhaupt braucht bzw. nutzt, müsste man am ISA prüfen. Ob 20Mbps reichen hängt wohl von den gleichzeitigen externen Usern ab. Euer Netscaler scheint ja auch mit 10Mbps klarzukommen So wirklich Webinterface (Webinterface on Netscaler) oder doch schon Storerfront?

Daraus würde ich auf Standard schließen. ;) @playaz Bevor ich den ISA auf 2003 mit max. TLS1.0 weiterbetreibe würde ich entweder den Exchange direkt veröffentlichen oder in deinem Fall, da der Netscaler ja eh schon da ist, mit ein wenig Content Switch und Rewrite am Netscaler veröffentlichen. Oder eben direkt auf Enterprise und dann das volle Programm. @magheinz Der kostenlose Kemp Loadmaster könnte den ISA (bzw. den Nachfolger das TMG) ablösen. Ansonsten sollte das ebenfalls mit Apache, nginx oder AFAIK auch dem HAProxy gehen.

AD von 2003 auf 2016 updaten, 2003 demoten und dann direkt von FRS auf DFRS dürfte am schnellsten gehen, da dann nur ein DC vorhanden ist und nix repliziert wird. Aber in der Umgebung dürfte es i.d.R. auch mit 2 oder 3 DCs noch recht flott gehen.

WebProtection -> z.B. einen Proxy o.ä. E-Mail -> Anti SPAM / Anti Virus auf Firewall bzw. eine entsprechende Mailsecurity. (Dürfte bei euch uninteressant sein, da O365.)

(Ggfs. 2x) Lizenz hochladen + Reboot. Wenn Ihr nicht eine wahnsinnig komplexe Umgebung (und / oder entsprechend Anforderungen) habt, sollte AAA für Exchange in nem halben Tag machbar sein.

WebProtection und alles was der Client an Mails anfassen will schalten wir i.d.R. als erstes ab. Sowas ist auf einem Gateway halt besser platziert.

Oder den kostenlosen KEMP Loadmaster. Ist zwar auch Bandbreitenlimitiert kann aber mit dem inkludierten Edge Security Pack eine Pre-Authentication.

Hi, welche Probleme hast du denn und was ist beim G-Data so alles an Features aktiv? Gruß Jan

Da der Kunde nur aufs Geld guckt, stark vereinfacht bei (nur) 5 Jahren Nutzung des Exchange-Servers: 1x Exchange User CAL ca. 100€ / 60 Monate (5 Jahre) -> 1,67€ pro Monat pro zusätzlichem User mehr für eine "runde Lösung".

I.d.R. dauert es nicht lange bis ein externer Zugriff auf einen öffentlichen Ordner oder ein gemeinsames Postfach braucht. Dann kommen die nächsten und benötigen Zugriff auf Kalender. Usw usf. Ggfs. wäre O365 inkl. Office noch eine gemietet Alternative, wenns am Kaufen scheitert.

Hi, ja. Externe User mit Outlook Anywhere (oder Outlook WebApp) an den Exchange anbinden. Ansonsten solltest du mit "Shared SMTP Namespace" mal recherchieren. Bei Exchange wäre das eine "Internal Relay Domain". Shared SMTP Namespace würde ich, wenn immer möglich, vermeiden wollen. Gruß Jan

Möglichkeit 1) Beim demoten des jeweiligen Rolleninhabers wird die Rolle automagisch auf einen neuen DC übertragen Möglichkeit 2) PowerShell (Move-ADDirectoryServerOperationMasterRole -Identity <Neuer DC> -OperationMasterRole DomainNamingMaster, PDCEmulator, RIDMaster, SchemaMaster, InfrastructureMaster) Möglichkeit 3) GUI dsa.msc (RID, PDC, Infrastruktur) domain.msc (Domain Master) "regsvr32 schmmgmt.dll" -> MMC -> STRG + M -> Active Directory Schema (Schema Master) dssite.msc -> Sicherstellen, dass mindestens einer der neuen DCs GC ist (Möglichkeit 4) NTDSUtil)

Erster Satz in der ersten Antwort auf deinen Ausgangspost.

Hi, welche Version ist denn dein EVAL? https://docs.microsoft.com/en-us/windows-server/get-started/supported-upgrade-paths Zeigt er dir evtl. was anderes mit "slmgr.vbs /dlv" an bzw. kannst du mit "slmgr.vbs /ipk <KEY>" aktivieren? Gruß Jan

Hi, guck mal im IIS Manager (inetmgr), ob an eine der SSL-aktivierten Sites noch das alte Zertifikat gebunden ist. Gruß Jan

Hi, den Windows Zeit Dienst (w32time) auf automatischen Start konfigurieren, starten, "HKLM\System\CurrentControlSet\Services\W32Time\TimeProviders\NtpServer" "Enabled" (DWORD) "1" und dann noch "w32tm /config /update" in einer administrativen CMD. Gruß Jan

Nur die Website oder auch das ("sichere") Postfach?

Hi, sollten das zwei Dualport NICs sein, könnte es sinnvoller sein, Port1 + Port4 und Port 2 + Port 3 zu teamen. Gruß Jan

Zwischen den netzen ist keine Firewall bzw. da wird nichts gefiltert (DC <- ANY -> DC neu)? (Ansonsten heißen die Server nur zufällig srvex04 und srvex16 oder ist da auch Exchange beteiligt / geplant?)

Hi, poste doch auch mal ein "ipconfig /all" von beiden DCs. Nicht das da ein Speedport, FritzBox oder sonstwer mit IPv6 beteiligt ist. Gruß Jan

Hi, dann häng mal "?ExchClientVer=15" hinten an: https://<was auch immer>.<domain>.<tld>/ecp/?ExchClientVer=15 Oder editiere vom zugreifenden Client die Host-Datei und setze dort den Host auf die neue IP (und behalte das im Hinterkopf und mach es ASAP rückgängig nach dem Testen). Gruß Jan