daabm

Ja.

Man könnte am Client ja mal gucken, was für Tickets man bekommt klist get HOST/<FQDN> Und man könnte gucken welche ETypes die Zielkonten unterstützen powershell get-adcomputer <hostname> -properties msds-supportedencryptiontypes (Spoiler: Da sollte 24 oder 28 drinstehen)

Leider verstehe ich den Satz nicht. Und eine Frage finde ich in Deinem Beitrag auch nicht.

Jetzt hör auf, Jan. Sonst kommt noch die Frage nach "wie verwende ich denn die Thunderbolt-Interfaces als Ceph-Backbone"

I second that... Nur ein convenience feature eigentlich

Ich weiß nicht, ob es in Deutschland Firmen gibt, die mehr DCs betreiben als wir (vermutlich ja - aber auf jeden Fall sind wir ganz oben mit dabei). Wir legen die vCPU nach Anzahl der zu erwartenden Logon-User aus, und uns ist noch nie (!) deswegen eine AD-DB kaputt gegangen. Die Dinger sind schweinsmäßig rock-stable... Such Dir nen anderen Berater. Da kann ich darüber berichten, wenn das wirklich jemand braucht...

Bei manchen Deiner Statements tun mir Deine Kunden leid... SCNR

Dem ist nichts hinzuzufügen. Homelab top, 24/7 schmeiß weg. Ja, hier steht einer. Nein, er hat es nicht in den Proxmox-Cluster geschafft.

DFS ist kein synchroner Speicher... Ich kenne allplan nicht, keine Ahnung was die an Dateioperationen haben. Aber replizierter Storage dürfte ungeeignet sein.

Das hätte ich jetzt auch gesagt - "privat"kriegt man das in 30 Minuten vermutlich zusammengesucht, wie man eine HTML-Seite mit 4 iFrames baut

Wieso "quasi" ? Irgendwann geht Dir halt RAM aus, weil jede Logon Session auch getrennt noch was davon braucht. Aber ein Limit kenne ich da nicht.

WMI-Remoting - OMG, da musst Du an Namespace-Berechtigungen drehen. Vergiß es lieber - wir hatten so was ähnliches auch mal und haben das Produkt dann verworfen...

Etwas spät, aber: Da sind wir wieder bei Schlangenöl und Lufthaken

Genau

Hat dieser Daniel evtl. ein lokales Konto auf dem RDS?

Verschaff Dir Vollzugriff dann geht es auf jeden Fall. Ich weiß leider nicht auswendig, was genau hinter den extendedRights steckt, macht alles meistens ein Kollege.

Man könnte auf die Idee kommen, das mal aus Sicht von DNS zu testen: nslookup -type=ALL _msdcs.intern.example.de (ALL muss groß geschrieben werden...) Wenn da nix kommt, geht die Sucherei los

Was soll daran gefährlich sein?

Was hat Proxmox damit zu tun außer "nichts"? Du kannst nen Trace erstellen, aber das wird mühsam und groß - dann wüsstest Du, wo es herkommt.

Ich find auch nix gescheites dazu - irgend ein Client/Device in Deinem Netz stellt ungültige KDC-Anfragen...

Meine samid ist 7 Stellen lang. Zeig mir mal ne Mailadresse, die kürzer ist 😂

Wenn Du keinen Proxy hast: Funktioniert nslookup auf die Seite?

Alternativ würde man keinen RODC nutzen. Macht das Leben auf lange Sicht wesentlich entspannter

Der Sinn von Namespaces war eigentlich, genau eben NICHT Hunderte von Freigaben zu haben

1. Den SPN mußt Du setzen für jeden Namen, den ein Client zum Zugriff verwendet. Interessante Aufgabe übrigens, wenn man CNAME verwendet. Je nach Client macht der gar keine Auflösung ("used as typed"), einmalige Auflösung (verwendet den ersten Record, den er findet), rekursive Auflösung (verwendet den A-Record Name) oder gar erst forward Lookup auf die IP, reverse Lookup auf den Hostname und den dann verwenden. Ein Heidenspaß... 2. Jeder SPN muss natürlich auch "irgendwie" per DNS erreichbar sein. Wie Du das erreichst, ist Deine Entscheidung