Quirk18231

Ich weiß, ich weiß ... ;( 

so nach XX Versuchen mit entfernen der Card und wieder hinzufügen läuft es jetzt auch auf dem DC .

Danke!

Q

Hallo,

ich habe das letzte Update von VMWare 6.7 eingespielt. (Davor die aktuellen Windowsupdates) Danach verloren die meisten Server 2016/2019/2022 VMs ihren Internetzugang. Die Domaine wird erkannt, er findet wohl den Router nicht?.

Versucht habe ich die Adapter neu einzubinden in VMware und Windows. Dies hat bei einigen funktioniert, bei den meisten aber nicht. (TCP Socket zurück gesetzt.) IPv6 mal ausgemacht, wieder an. Pingen nach außen geht nicht - nslookup Auflösung ja. neueste VMWartools installiert.

Die 2016er+ Server erhalten per DHCP alle Daten und es läuft, wenn ich auf static setzen kein Gatewaykontakt, 2022 Server bekommen keine DHCP Adresse und bei static kein Gatewaykontakt.

beim 2019er DC geht es mit der E100o Karte, mit der vmxnet Karte nicht

Dieser ist jetzt nach langem hin-und-her probieren mit oberen Versuchen, der letzte den ich nicht hin bekomme. ???

Wo kann ich hier ansetzen?

Danke!

Q

ja, ich denke nur das ionos deswegen meckerte - deswegen der Portwechsel :)

hi,

vorher wurde über Port 25 gesendet - das habe ich geändert. Dann sollte er jetzt wohl tlssen

Danke!

Q

@nobert: mir geht es nur um den Sendeconnector - das popmodul holt mit ssl/tls ab !

@nobby: Version 15.1 (Build 2507.17)

---

1.) Das hier denke habe ich gesucht - kann ich die beiden letzten Punkte weglassen? Sendet er dann alles über tls auf dem sendeconnector?

Set-SendConnector -Identity "sendconnect" -RequireTls $true -TlsAuthLevel DomainValidation -TlsDomain *.outlook.com

2.) Das ps-skript hier hab ich gefunden: deaktiviere alle alten tls versionen und setzte auf tsl 1.2:

Wären das die Lösungen für mein IONOS TLS 1.2 Problem? Danke! Q

# Enable TLS 1.2
If (-Not (Test-Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server')) {
    New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Name 'Enabled' -value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Name 'DisabledByDefault' -value 0 -PropertyType 'DWord' -Force | Out-Null

If (-Not (Test-Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client')) {
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Name 'Enabled' -value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Name 'DisabledByDefault' -value 0 -PropertyType 'DWord' -Force | Out-Null
Write-Host 'TLS 1.2 has been enabled.' -ForegroundColor Cyan

# Enable TLS 1.2 for .NET 4.x
If (-Not (Test-Path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319')) {
    New-Item 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -value '1' -PropertyType 'DWord' -Force | Out-Null

If (-Not (Test-Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319')) {
    New-Item 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -value '1' -PropertyType 'DWord' -Force | Out-Null
Write-Host 'TLS 1.2 for .NET 4.x  has been enabled.' -ForegroundColor Cyan

# Enable TLS 1.2 for .NET 3.5
If (-Not (Test-Path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727')) {
    New-Item 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727' -Name 'SystemDefaultTlsVersions' -value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727' -Name 'SchUseStrongCrypto' -value '1' -PropertyType 'DWord' -Force | Out-Null

If (-Not (Test-Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v2.0.50727')) {
    New-Item 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v2.0.50727' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v2.0.50727' -Name 'SystemDefaultTlsVersions' -value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v2.0.50727' -Name 'SchUseStrongCrypto' -value '1' -PropertyType 'DWord' -Force | Out-Null
Write-Host 'TLS 1.2 for .NET 3.5 has been enabled.' -ForegroundColor Cyan

# Disable TLS 1.0
If (-Not (Test-Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server')) {
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server' -Name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server' -Name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null

If (-Not (Test-Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client')) {
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client' -Name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client' -Name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null
Write-Host 'TLS 1.0 has been disabled.' -ForegroundColor Cyan

# Disable TLS 1.1
If (-Not (Test-Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server')) {
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server' -Name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server' -Name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null

If (-Not (Test-Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client')) {
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client' -Name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client' -Name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null
Write-Host 'TLS 1.1 has been disabled.' -ForegroundColor Cyan

# Disable TLS 1.3
If (-Not (Test-Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Server')) {
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Server' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Server' -Name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Server' -Name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null

If (-Not (Test-Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client')) {
New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client' -Name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client' -Name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null
Write-Host 'TLS 1.3 has been disabled.' -ForegroundColor Cyan
Write-Host 'You must restart the Windows Server for the changes to take effect.' -ForegroundColor Cyan

Hi,

der Exchange ist Version 2016 und es geht um 15 User/Postfächer.

Wie kann ich dem Connector denn sagen, dass er alles (alle Domainen) über TLS1.2 sendet?

Danke! Q

Hi,

ich habe von unserem externen Mailanbieter eine Mail bekommen, dass unser Exchange noch unverschlüsselt sendet/empfängt. Da dies bald nicht mehr geht, soll ich auf TLS1.2 vorbereiten.

Der PopReciever holt die Mails per SSL/TLS ab.

Beim Smarthost hole ich dachte ich auch per TLS ab, aber anscheinend nicht, wie kann ich dies prüfen/einstellen? 

Per Einstellung ist der Haken " Standardauthentifizierung erst nach dem Start von TLS anbieten "  im Sendeconnector/Smarthost gesetzt und der Connector arbeitet auf Port 587.

Name                         : connect
Port                         : 587
ProtocolLoggingLevel         : Verbose
Region                       : NotSpecified
RequireOorg                  : False
RequireTLS                   : False   (liegt hier der Fehler? - muss das geforced werden?)
SmartHostAuthMechanism       : BasicAuthRequireTLS

healthchecker von github sagt alle tls Versionen werden unterstützt ... - kann/muss ich jetzt einfach alle alten TLS Versionen abschalten ?

Danke!

Q

Hi M,

nein die TS sind keine DCs .

Ok ich werde das mit der MTU versuchen und mich wieder melden.

Danke

hat hier keiner einen Tipp? Danke Q

Hi,

ja die Links verschwinden irgendwann und kommen dann nicht wieder. Sporadisch klappt mal bei einigen ein gpupdate.

Ich werde Deinen Vorschlag versuchen und Rückmeldung geben.

Danke!

Hallo,

wir habe das Problem das unsere Verbindung zum TS ständig abbricht. Die Sessions sind alle immer noch offen und werden beim zweiten Versuch dann auch wieder hergestellt, ist nur leider etwas nervig das öfters am Tag tun zu müssen.

Gebäude intern läuft alles super, in den Zweigstellen, Anbindung über VPN zwischen den Routern nicht. Die VPN-Verbindungen in den Routern sind laut Anzeige stabil und werden nicht getrennt. Der Dauerping zeigt ab und zu einige Spitzen, diese sind aber nicht synchron mit den Abbrüchen.

Versucht habe ich die Umstellung des Übertragungsprotokolls (TCP/UDP), das hat nichts geholfen - die Abbrüche sind bei beiden.

Aller Server sind 2019er DC/TS

Wo könnte ich noch suchen oder Einstellungen ändern?

Danke!

Q

Hi D,

ich habe GPOs welche einfach nicht immer angewendet werden. Laut gpresult sind sie dies zwar, nur funktioniert hat es nicht.

(Das Problem mit den Desktoplinks wurde teilweise erklärt - das letzte WindowsUpdate, wird hoffentlich behoben.) Die Links erschienen auch vor dem Update nur sporadisch oder manchmal auch nach einem manuellem gpupdate im User.

Die Verteilung des Links für die RemoteApps ist davon auch betroffen. Habe das Logging in allen Punkten aktiviert, finde aber keine Fehlermeldungen "error" - dies habe ich nur bei den Desktoplinks ...

Danke

Q

Dann bin ich doch aber genau wieder da, wo ich vorher auch war ?? Jetzt sind die Einstellungen wieder die selben wie vorher ?? (in der Sicherheitsfilterung wie in der Delegation)

Danke Dir!

Q

vor 2 Stunden schrieb Sunny61:

Das ist aber vollkommen in Ordnung. Ich glaube, Du solltest dir eine ausführliche Schulung gönnen. Mark bietet auch Workshops an und kommt zu euch ins Unternehmen.

na mal schauen, ob die Azubine sowas bekommt :)

Hi, ja in den erweiterten Einstellungen habe ich auch GR übernehmen hinzugefügt.

Wenn ich diese Einstellung aber übernehme, haut er mir die AuthB wieder automatisch in die Sicherheitsfilterung rein.

??

habe im Reiter Bereich - die Sicherheitsfilterung geleert und authentB wieder in der Delegation mit LeseRechten hinzugefügt

Hi,

ja das habe ich in dem Artikel auch gelesen, dass waren aber die Standardeinstellungen - da habe ich nichts geändert - das sollte dem ganzen aber keinen Abbruch tun. Richtig?

Die GPO sollte trotzdem greifen, oder?

Habe jetzt aber mal den Reiter Bereich komplett geleert und die authent im Bereich Delegation wieder hinzugefügt.

Q

als Auswahl habe ich doch nur lesen, Einstellung bearbeiten, Vollzugriff

bei der Delegation stehen die oben genannten Einstellungen drinnen,

in den Sicherheitseinstellungen standardmäßig nur die authent Nutzer

NT AUTHORITY\SYSTEM 

Danke S61

Q

Alle Rechner sind auf win10 21h2 aktuelle Patchversion - siehe oben DesktopLinks :)

Ich habe dies so aktiviert siehe Punkt2 GPO. Läuft nur leider nicht immer

Wer muss hier welche Berechtigungen haben? Danke nicht das es daran liegt, aber man weiß ja nie ...

hier meine einstellungen:

tsusergroup lesen

authen user lesen

domcomp lesen

system voll

orga&domadm voll

domcontroller lesen

Meine 2. Fehlerhafte GPO bezieht sich auf die Verteilung der Remoteapps und der Zuweisung der webfeed.aspx . 

Wo kann ich hier ansetzen? Ich habe 2 Versuche gehabt, die beide nur semiprofessionell funktionieren.

1.) Startskript beim Anmelden:

    powershell "\\dc\SYSVOL\dom.local\RA\Add-RAD.ps1" -WCXPath "\\dc\SYSVOL\dom.local\RA\ra.wcx"

ra.wcx

   <?xml version="1.0" encoding="utf-8" standalone="yes"?>
<workspace name="Company Applications" xmlns="http://schemas.microsoft.com/ts/2008/09/tswcx" xmlns:xs="http://www.w3.org/2001/XMLSchema">
  <defaultFeed url="https://serv/RDWeb/Feed/webfeed.aspx" />
</workspace>

2.) Zuweisung über die GPO

Beide funktionieren in den meisten Fällen nicht.

Wenn ich auf den Clients den Link manuell einfüge klappt alles wunderbar.

Danke

Q 

[pid=0x1cfc,tid=0x102c] Error writing the shortcut file [ hr = 0x80004005 "Unbekannter Fehler" ]
[pid=0x1cfc,tid=0x102c] Properties handled. [ hr = 0x80004005 "Unbekannter Fehler" ]
[pid=0x1cfc,tid=0x102c] There was a failure so the run once filter was rolled back. [ hr = 0x80004005 "Unbekannter Fehler" ]
[pid=0x1cfc,tid=0x102c] Error suppressed. [ hr = 0x80004005 "Unbekannter Fehler" ]

so das kam raus beim DesktopLinkProblem - die empfohlenen Einstellungen Aktualisieren und Abschalten von Ausführen im Benutzermodus wurden gemacht.

Was kann man noch tun? Das Update deinstallieren und Windows wieder öffnen?

Danke

Q

Hi TP,

dort ist schon aktualisieren eingestellt, es klappt leider trotzdem nur sporadisch.

allerdings wird es noch im Benutzerkontext ausgeführt, ich deaktiviere dies nun.

Danke TP

kann mir noch jemand Tipps für das Logging geben?

Hallo,

ok - die "fehlerhaften" GPOs werden laut gpresult angewendet. 

Manchmal greifen sie und manchmal auch nicht.

Ich habe in einer der betreffenden GPOs (kopiere Links von Freigabe auf (Benutzer-)Desktop) das Logging in allen Punkten mit den Standardwerten aktiviert, nur leider finde ich die LOG-Files nicht.

%COMMONAPPDATA%\GroupPolicy\Preference\Trace - unter Programmdata oder auf den betroffenen Rechnern/Servern existieren keine derartigen Verzeichnisse.

Wo werden diese abgelegt? Oder sollte ich lieber eigene Dateipfade anlegen?

In den Eventlogs finde ich unter den WindowsProtokollen finde ich folgenden Hinweis:

Fehlercode: "0x80070005 Zugriff verweigert" Dieser Fehler wurde unterdrückt. Benutzer ist SYSTEM.

Auf den (Freigabe-)Ordner, die Dateien, haben alle Domänennutzer/Domänencomputer Leseberechtigungen, das SYSTEM hat Vollzugriff.

Wo liegt hier der Fehler?

Danke

Q

Hi CJ,

kannst du mir dafür Hilfe oder weiterführende Links geben.

Die GPO werden laut gpresult angewandt, wie kann ich Logs und Debug aktivieren und auswerten etc. ??

Danke

Hi,

ich bin auf der Suche nach einer Anleitung / Hilfestellung zur Kontrolle von GPOs.

Ich habe einige GPOs, welche ab- und zu laufen. Ich kann die Probleme nicht auf User oder Workstations zurück führen.

gibt es eine Möglichkeit GPOs zu kontrollieren - Fehler zu finden??

Server 2019 - Win10 WS , unterschiedliche GPOs auf Comp oder User . Manchmal laufen sie manchmal nicht ??? (laut GPResult laufen sie immer :) )

Danke

Q

Lösung: Kalender neu angelegt