Weingeist

Die RAM-Auslastung ist für einen Spooler der keine Druckaufträge haben soll, auch sehr hoch. Also irgendwas macht das Teil. Hast wie vorschgeschlagen mal die Firewall-Logs geprüft? Also von dem Terminalserver und diesem Server? Der Server scheint allerhand sonstige Aufgaben zu haben ausser Printserver zu sein. Beim Printserver ist das äusserst unvorteilhaft weil nicht so einfach Tests mit Rollback gemacht werden können. Vielleicht generiert ja eine der Aufgaben ne Menge PDF's, Reports oder ähnliches welche die Spooler Engine benötigt. Am ehesten tippe ich aber auf sehr viel falsche Verbindungen (nicht FQDN) oder grottige Treiber. Malware natürlich auch immer möglich.

Stolperte grad drüber. Das stimmt so nicht. Wichtig ist, wie genau das installiert wird bzw. was als Quelle genommen wird. Das XML wechselt selber gar nichts, das erstellt man selbst. Im XML muss einfach zusätzlich die Product ID von Access hinzugefügt werden. Und der Produktkey. Zusätzlich zur Product-ID von Office Standard. Wird das Produkt aber als Bestandteil einer Office Pro Plus Auswahl installiert, begeht man einen Lizenzverstoss, auch wenn man keine andere Komponenten von Pro Plus installiert. Einfacher ist es natürlich, gleich ProPlus zu erwerben. Notwendig aber nicht.

Häufigste Ärger-Ursache seit MS-Security-Hardening: Verbinden mit Printserver-Name statt Print-Server FQDN. Das prüfe ich immer als erstes da alles an Fehlerbilder möglich ist. Dann würde ich noch das NTLM-Logging sowie Firewall-Logging auf Droped Pakete aktivieren sofern nicht bereits gemacht. Wenn z.B. NTLM systemweit deaktiviert wird, dann versuchen die Drucker sich nach Ablauf des Kerberos Tickets des Users sich permanent per NTLM zu verbinden. Was dann so halb funktioniert (aber nicht sollte) oder eben auch nicht (random). Das ist vor allem bei den Protected Users nach ~3h der Fall. Wenn das viele machen, könnte ich mir schon einen Anstieg der CPU-Last vorstellen. Ansonsten der beste Tipp den ich Dir punkto Drucker geben kann: Ausschliesslich die teure(re)n Business-Geräte der grossen Hersteller verwenden. Da passt auch das Treiberpaket inkl. Updates über viele Jahre. Dann: Printserver immer isoliert betreiben ohne anderen Krams. (einfache Rollbacks).

In Hinblick der ganzen Ransomware und Hypervisor-Sicherheitslücken (Hostübernahme durch VM) der letzten Jahre, bin ich recht skeptisch geworden mit der Sicherung in eine Storage bzw. Backupserver VM rein. Hatte einige schlaflose Nächte deswegen, da ich oft genau solche Konzepte für die aktuellen Backups benutzt habe. Ein paar Gedanken zu Backups (Fokus KMU-Umfeld) Die Backups selbst sollten möglichst immutable, also nicht löschbar sein. Mindestens ein Ziel, besser zwei und unterschiedliche Technik (z.B. NAS und Server) über die LAN-Verbindung ins produktive Netz bzw. die Verwaltungsebene nur das erlauben was für Übertragung notwendig ist. Verwaltung wieder über eigene Anschlüsse. Agentless Sicherung und ohne Hypervisor-VM Kommunikation kann man z.B. bewerkstelligen indem Applikations-Daten auf eine separate Fesplatte der produktiven VM gesichert werden. Die sind dann immer Konsistent wenn der Backup eine Kopie zieht. Bei einem Restore ist halt ein zusätzlicher Schritt notwendig. Erst VM zurück, dann Applikations-DB. Backup in die Cloud ist je nach dem unglaublich Bandbreitenintensiv. Kommt drauf an wie viel gesichert werden muss und vor allem was. Nur Nutzdaten oder wirklich die ganze Umgebung. Externe Backups Inkrementell zu sichern finde ich auch immer etwas speziell. Restore-Geschwindigkeit ist heute erschwinglich geworden. Sowohl 10gbit als auch SSD's. Sprich das Primäre Backup kann auch HighSpeed sein oder sogar auf der gleichen Maschine wo man dann die Platten in den zweiten Server steckt wenn nötig. (Hardware-Ausfällen, Update-Ärger oder Aus-Versehen-Löschungen) Bei Ransomware oder Totalausfall wegen Brand etc. spielt die Zeit (in einem KMU) oft eh nur noch eine untergeordnete Rolle. Also ob das dann von der Cloud oder einem lahmeren Repo kommt ist dann grad auch egal weil der Rest sowieso schon viel Zeit in Anspruch nimmt Ich mag zum Beispiel Files und Datenbanken-Sicherheits-Kopien als Kopie auf einer unabhängigen eigenen Maschine für diesen Zweck. Also Server oder NAS nicht innerhalb der Domäne und über eigenes VLAN. Der Kopiervorgang direkt von Filesystem zu Filesystem. Grund: Wird die VM-Disc z.B. zwei Monate vorher verschlüsselt und erst dann die Keys gelöscht, hat man mit etwas Glück trotzdem aktuelle Nutz-Daten.

Moin, ok, falsch verstanden. Das bezog ich darauf. Also Kommunikation mit zentralem KDC und LocalKDC selber spielen. Der Punkt wo ich auf dem Schlauch stehe ist der, wo aus Sicht des Clients der Unterschied ist, ob er nun gegen einen zentralen oder einen lokalen KDC authentifziert. Der Ablauf müsste für Ihn ja identisch sein, da gleiche Technik aber andere Maschine. Daher auch meine Missinterpretation Deiner Aussage oben. Aber ja eine gewisse Illusion spielt da sicher mit, da gebe ich Dir vollkommen recht!

Kleine Anmerkung am Rande: An sich ein sehr cooles Gerät mit kleineren Schwächen. Habe selbst mal eines geordert. Die Herkunft ist zumindest "interessant". Es wird einem suggeriert, dass es ein europäisches Produkt ist, aber es kommt vollständig aus China. inkl. der Software und auch dem Cloud-Anbindung. Auch konkrete Anfragen ergeben mitunter interessante Antworten. Gesunde Skepsis dürfte nicht verkehrt sein.

@cj_berlin Also jetzt stehe ich wirklich auf dem Schlauch bzw. verstehe nicht worauf Du hinaus willst. Wozu muss der Drucker ein LocalKDC haben? Er ist ja der "Client" und muss sich ein Ticket holen damit er etwas auf dem Fileserver ablegen kann. Andersum - also wenn ein Windows-Client etwas auf dem Drucker holen will - sieht das natürlich anders aus. Da sind es dann in der Regel Abteilungs-Pins die man eingeben muss. Sofern das überhaupt geht. Normal gibt man für ein Scan-Ziel einen User und einen Pfad pro Ziel an. Sprich man definiert worauf der Drucker zugreifen und mit welchem User/PW er sich anmelden soll. Das Ziel - der Fileserver - sagt ob das mit den User-Creds möglich ist. Wenn es zufällig der gleiche Computer ist, gut, wenn nicht, egal. Zumindest müste es ja so umgesetzt sein mit Kerberos. *hust* Schätze mit NTLM ist es wohl eher so, dass man auf die Ressource zugreifen möchte und die verlangt dann die User-Credentials. Den genauen Ablauf kenne ich nicht. Aber auch da kann man angeben ob es ein Lokales oder ein Domänen-Konto ist. Geht eigentlich immer beides egal ob der Filer in einer Domäne ist oder nicht. Einfach indem User@ComputerFQDN oder User@domäneFQDN angegeben wird. Aktuelle mache ich das so: Separater Scan-Fileserver der in der Domäne ist Lokales Dienst-Konto auf dem Fileserver welches im Drucker angegeben wird (ich mag für Dienskotos üblicherweise lieber lokale Konten, sofern möglich) NTLM für Domänenkonten AD-Weit gesperrt Ausnahme für NTLM auf diesem Fileserver Nur ein spezielles Admin-Konto das sonst nirgends verwendet wird, hat auf dem Filer Anmelderechte mit einem Domänenkonto, sonst niemand, also alle explizit verboten Heisst der Drucker greift mit einem Konto zu, dass nur auf dem Scan-Server existiert. Aktuell verwendet z.B. ein Canon Drucker NTLM um sich zu authentifizieren. Versucht sich jemand mit NTLM gegen ein Domänenkonto via dem Scan-Filer zu authentifzieren, schlägt es fehl obwohl der Filer selbst ein NTLM-Ausnahme hat. Verwendet er ein lokales Konto des Filers, ist es dagegen möglich. -->Schön wäre nun, wenn das ganze über den LocalKDC laufen würde und keine Ausnahme notwendig wäre. Inwiefern es tatsächlich ein Sicherheitsgewinn ist, keine Ahnung. Aber das NTLM nicht sicher ist, wurde bereits bewiesen. ;) Bei den Adresslisten die von einem Server gestellt werden, sieht das anders aus. Da geht oft Druckerweit nur eine Anmeldung an einem Verzeichnisdienst. Da können eigentlich auch alle Kerberos. Selbst Canon. Insofern wüssten die schon wie das geht.

@cj_berlin Sehe noch nicht ganz die Problematik. Entweder meldet man sich mit EINEM User an EIN Ziel und somit EINEN lokalen KDC an oder man verwendet EIN Domänenkonte wo die Authentifzierung gegen MEHRERE Ziele (DC's) möglich ist. In beiden Fällen liefert der DNS doch die entsprechenden IP's der bzw. des Anmeldeservers für einen externen Zugriff. Bedingt natürlich, dass der zugreifende User nicht einfach ein Username sondern eben der vollständige Anmeldename ist. Also "user@domänexy.xy" oder "user@computer.domäne.xy". Oder "User@computer.xy". Ist kein DNS vorhanden müsste man eben die IP händisch mit angeben. So wie auch für NTLM wo sie einfach via Broadcast oder auch mit DNS ermittelt wird. Mit der Ressource selbst hat das ja erstmal nichts zu tun, das ist ja immer eine separate Angabe. Oder stehe ich auf dem Schlauch? Wie die ganze Vortrauenssache aussieht damit überhaupt eine geschützte und sichere Authentifizierung vorgenommen werden kann, steht wieder auf einem anderen Blatt. Aber da wird ja MS schon eine Idee haben wenn sie das implementieren. Dazu habe ich mich noch zu wenig damit beschäftigt. Vielleicht weiss ja Du dazu mehr? Ansonsten bin ich mal gespannt wie lange es geht bis die Malware-Entwickler so kreativ werden und die integrierten KI-Funktionen gleich für den Angriff zu nutzen. Könnte "interessant" werden. Hat etwas von der Büchse der Pandora. Ich würde jedenfalls lieber die Lizenzgebühren für ein reines, stabiles, sicheres OS bezahlen. Vielleicht lässt es sich dann ja auch easy entfernen. MS hat ja mittlerweile eine sehr gute Kapselung der Komponenten.

Ja, sobald der geht, kannst im Grunde NTLM komplett in Rente schicken. Wie stark es tatsächlich ein Sicherheitsgewinn ist, kann ich nicht beurteilen, aber immerhin musst dann keine Ausnahmen mehr machen für NTLM. Zumindest solange andere Software-Hersteller zeitnah nachrüsten. Bis dahin kann bzw. sollte man es für Domänen-Konten deaktivieren und auf einzelnen Maschinen für lokale Konten zulassen.

Glatt überlesen: Nope, nochmals die Logik aktiviert: Die Binary vom halben OS austauschen geht nur, wenn Du in der Hälfte des Codes etwas nachrüstest und somit alle Files ersetzen musst. Denke so extrem viel neuer Code wirds wohl nicht sein aber ne Menge Datein denen was nachgerüstet wurde. Ich vermute es wird tendenziell nicht Local KDC sein, auch wenn das Cool wäre, könnte ich Canon mal wieder schreiben, dass es nun sogar mit "normalen" Computern geht... (die können immer noch kein Kerberos....)

mhua mhua.... in Grenzen mit 1.2 GB, der war gut. Das erste Update war schon grösser als alle Server 2022 bis Stand heute (May 2025: 392,6 MB)

Ich finde es nur irgendwie schräg, dass ein LTSC-Build solch grundlegenden Kram nachträglich eingebaut bekommt. 4GB Updates nach wenigen Monaten klingt eher nach short-release und insider build als Security Fix. Vielleicht schieben sie ja kurzfristig ein R2 nach. Als Vergleich: Bei Server 2022 war das im Mai 2022 um die "243,2 MB" ende Jahr dann "316,3 MB"

Nun, gemäss verschiedenen Blog-Quellen ist es aber wohl so, dass die ganzen AI-Funktionen im Mai-Update eingebaut wurden. Vielleicht plappern aber auch alle einander nach und ich bin drauf reingefallen. Logisch gedacht, was sonst soll bei einem Cumulative Update soviel Speicherplatz brauchen? Wäre in 20 Jahren das erste mal das über 3GB an zusätzlichen updates in einem Monat reinflattern. Sehr unrealistisch. Muss ja jetzt nicht heissen, dass die ganzene Fotoaufnahmen erstellt werden. Oder sonstige automatischen Übermittlungen an MS gleich mit aktiviert werden. Das passiert dann vermutlich wieder aus versehen.

Ja klar könnte man. VDI entpannt aber auch nur bedigt. Wird das Profil gelöscht, sind die Einstellungen auch weg. Gleiches gilt bei der Golden-Image erneuerung. Ist zudem halt wieder etwas zusätzliches das allenfals nach einem Update nicht mehr geht. FSLogix entspannt da zwar einiges gegenüber klassichen servergespeicherten Priflen, ist aber auch nicht zwingend ohne mit den Versions-Updates. Gab da auch schon Ärger. Und ist etwas zusätzliches. Sofern irgendwie machbar löse ich alles nur noch per Script und/oder GPO. Ist auf lange Sicht einfach schmerzfreier und weniger Arbeit. Ich mags wenn ich wenig Support-Arbeit habe. Und es durch weniger zusätzlichen externen Komponenten tendenziell auch sicherer ist.

Gibt noch einen Punkt. Copilot etc. wird wohl mit den Mai-Updates auf allen Maschinen ausgerollt. Unabhängig davon, dass ich das nicht möchte, heisst das auch, dass das kumulative Update für W11 24h2 und Server 2025 bereits ein paar Monate nach dem Release rund 4GB gross sind! Sprich es braucht enorm viel freien Speicherplatz für die Installation des Updates. Wahnsinnig toll für schmale VM's. Meine Fresse, Windows Server ist ein LTSC-Build, da gehört sich so ein enormes "Feature-Update" nicht. Gehört in einen neuen Release. Aber der Persilschein für die Techbranche von Trump zeigt wohl seine Wirkung und MS setzt sich über nationale Bedenken anderer Länder hinweg. *hmpf* Für mich macht es den anschein wie damals Server 2016. Noch nicht wirklich ausgereift.