LDAP://Yusufs.Directory.Blog/ - Windows Server

Ist DHCP ein Sicherheitsfeature?

Yusuf Dikmenoglu — Sun, 04 Apr 2010 19:47:39 GMT

Immer wieder stolpere ich darüber, dass Administratoren den DHCP-Dienst als Sicherheitsfeature missbrauchen oder durch entsprechende Konfigurationen auf dem DHCP-Server glauben, dadurch Sicherheit im Netzwerk zu schaffen.

Um die Frage im Titel gleich vorweg zu beantworten: DHCP ist nicht im Geringsten ein Sicherheitsfeature!

Zur Erinnerung: DHCP steht für Dynamic Host Configuration Protocol und dieses Protokoll ermöglicht das dynamische Zuweisen von IP-Informationen durch einen DHCP-Server an DHCP-Clients, wie z.B. an Computer oder Drucker. Dadurch ist es jedem Externen der Zutritt zu den Büroräumen hat oder ein Mitarbeiter der sein privates Laptop mit ins Büro bringt möglich, sein Laptop mit dem Netzwerk zu verbinden und somit automatisch eine IP-Adresse vom DHCP-Server zu erhalten. Denn eine Option den Windows DHCP-Server so zu konfigurieren, das lediglich Clients die Mitglied in der Domäne sind nur eine IP-Lease erhalten existiert nicht. Der DHCP-Server dient einzig und allein nur zum verteilen von IP-Informationen und stellt keineswegs ein Sicherheitsfeature dar!

Einige Administratoren behaupten vielleicht nun: Dann konfiguriert man im DHCP-Server einen IP-Bereich der nur so viele IP-Adressen enthält wie auch tatsächlich benötigt werden und erstellt für jedes DHCP Gerät eine Reservierung. Bei einer Reservierung wird die entsprechende IP-Adresse zusammen mit der MAC-Adresse der Netzwerkkarte hinterlegt. Dadurch ist es fremden DHCP Geräten nicht mehr möglich, eine IP-Adresse vom DHCP-Server zu beziehen. Weiter wird dann argumentiert, dass mit diesem Verfahren ein „Otto-Normal Benutzer“ überfordert ist um diese Barriere zu umgehen. Doch dank des Internets und dem Netzwerkkartentreiber kann auch ein normaler Benutzer die MAC-Adresse eines Clients erspähen und somit mit seinem privaten Laptop die IP-Informationen vom DHCP-Server beziehen.

Anstatt durch den DHCP-Server scheinbare Sicherheit im Netzwerk zu schaffen, sollte man stattdessen z.B. IPSec-Richtlinien einführen. Damit kann man zwar nicht verhindern das Dritte IP-Informationen vom DHCP-Server erhalten, sie können aber nicht am Windows-Netzwerk teilnehmen. Denn durch die Einführung von IPSec-Richtlinien wird die gesamte Netzwerkkommunikation mit IPSec verschlüsselt. Andere Techniken um Dritte von der Netzwerkkommunikation auszuschließen sind 802.1x, VLANs oder Network Access Protection (NAP) das ab Windows Server 2008 zur Verfügung steht.

Daher: Die Sicherheit im Netzwerk ist keine einmalige Angelegenheit, ganz im Gegenteil. Die Sicherheit eines Netzwerks muss ständig kontrolliert und gegeben falls angepasst werden. Das ist ein Vorgang der nie aufhört. Dabei fängt die Sicherheit bereits an der Eingangstür zum Gebäude an! Können Personen unbemerkt ins Gebäude eindringen und sich unbemerkt Zugriff zum Netzwerk und zu den Systemen beschaffen? Denn wenn der physikalische Zugriff zum Netzwerk und zu den Systemen gegeben ist, existiert schlichtweg keine Sicherheit!

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.

Die Konfiguration des Windows Server 2008 R2 Core

Yusuf Dikmenoglu — Wed, 27 May 2009 18:51:44 GMT

Der Kommandozeilenserver Server Core ist mit Windows Server 2008 eingeführt worden und wird mit Windows Server 2008 R2 weiterentwickelt. Redmond stellt für den Server Core unter 2008 R2 weitere Rollen sowie optionale Features zur Verfügung, die man sich mit oclist anzeigen lassen kann und mit ocsetup bzw. dism installiert werden.

Gerade aber die Erstkonfiguration des Server Core stellt viele Administratoren die lieber mit der Maus arbeiten vor eine Herausforderung. Denn mit Bordmitteln lässt sich der Server Core ausschließlich über die Kommandozeile konfigurieren, in der lange Befehle eingetippt werden müssen (was nicht gerade jedermanns Geschmackssache ist).

Kostenlose Tools im Internet schaffen Abhilfe und helfen dem Administrator, der sich nur schwer von seiner geliebten Maus trennen kann, die langen und aufwändigen Befehle nicht per Hand eintippen zu müssen.

Nun befindet sich jedoch in der Installationsvariante Server Core des Windows Server 2008 R2 das Skript Sconfig.cmd im Verzeichnis %windir%\System32 bereits „on Bord“, das die Erstkonfiguration des Server Core wesentlich erleichtert. Mit dem Skript können die folgenden Konfigurationen des Server Core vorgenommen werden:>

Domäne/Arbeitsgruppe
Computername
Lokalen Administrator hinzufügen
Remoteverwaltung konfigurieren
Windows Update-Einstellungen
Updates herunterladen u. installieren
Remotedesktop
Netzwerkeinstellungen
Datum und Uhrzeit
Benutzer abmelden
Server neu starten
Server herunterfahren
Zur Befehlszeile wechseln

Der Administrator kann jetzt einfacher die lokale Konfiguration des Server Core mit Bordmitteln vornehmen, damit in Zukunft die Fernwartung über die MMCs durchgeführt werden kann.

Des Weiteren existiert noch ein neues Kommandozeilentool tzutil.exe mit dem die Zeitzone konfiguriert werden kann.

Weitere Informationen:
Windows Server 2008 Core
Tools zum konfigurieren des Server Core
Server Core Installation Option Getting Started Guide
Download details: Server Core Job Aids

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.

DHCP auf einem RODC installieren

Yusuf Dikmenoglu — Sun, 22 Feb 2009 13:11:11 GMT

Die Active Directory-Umgebungen in einigen Unternehmen sind bereits auf Windows Server 2008 aktualisiert worden und somit halten auch die ersten Windows Server 2008 RODCs mehr und mehr Einzug in die Domänen.

Bei einer Domänenaktualisierung auf Windows Server 2008 werden bekanntlich alle Infrastrukturdienste automatisch übernommen. Findet jedoch eine Migration in eine neue Domäne statt, müssen alle nötigen Infrastrukturdienste in der Ziel-Domäne installiert werden damit ein reibungsloser Netzwerkbetrieb weiterhin gewährleistet ist. Wird der erste DHCP Server in einer neuen Active Directory Umgebung (bspw. Nach einer Migration) auf einem RODC installiert, werden im Systemprotokoll die Fehlermeldungen 1035 und 1036 protokolliert. Die beiden EventIDs deuten daraufhin, dass die zwei domänenlokalen Sicherheitsgruppen DHCP-Benutzer und DHCP-Administratoren fehlen.

Man hat zwei Möglichkeiten diese beiden Gruppen zu erstellen:

Beide Gruppen können manuell auf einem beschreibbaren DC erstellt werden.
Durch das Installieren der DHCP-Rolle auf einem beschreibbaren DC werden ebenfalls beide Gruppen erstellt.

Wenn die DHCP-Rolle allerdings auf einem Mitgliedsserver installiert wird, werden beide Gruppen lokal auf dem Server erstellt und nicht im AD.

Falls die beiden Gruppen händisch im AD erstellt wurden, verursacht das nachträgliche Installieren der DHCP-Rolle auf einem beschreibbaren DC keinen Konflikt.

Anschließend lässt sich der DHCP-Server Dienst ohne Probleme starten.

Weitere Informationen: >>
DHCP Users Group Configuration
>

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.

Tools zum konfigurieren des Server Core

Yusuf Dikmenoglu — Sun, 02 Nov 2008 19:11:33 GMT

Der Kommandozeilen-Server, als Server Core bekannt, kann mit Bordmitteln nur über die Kommandozeile konfiguriert werden. Remote lässt sich der Server Core auch über die MMCs verwalten, natürlich nur, wenn dieser aus der Ferne erreichbar ist. Wie der Server Core manuell konfiguriert wird, zeigt der folgende Artikel:
Windows Server 2008 Core

Es gibt aber auch schon die ersten kostenlosen Tools im Internet (bis auf den CoreConfigurator), damit die Erstkonfiguration des Server Core einfach durchgeführt werden kann. Es müssen keine langen und aufwändigen Befehle mehr eingegeben werden. Dabei kommen auch die Freunde der Maus auf ihre Kosten.

Der Server CoreConfigurator

Über den Server CoreConfigurator werden sich die Administratoren freuen, die lieber mit der Maus arbeiten als mit der Tastatur. Die grafische Oberfläche lässt das konfigurieren der wichtigsten Einstellungen zu, damit anschließend die Administration weitestgehend remote erfolgen kann.

Die Konfigurationen die mit diesem Tool durchgeführt werden können, sind aus dem Screenshot ersichtlich.

Der CoreConfigurator steht leider nicht mehr kostenlos zum Download zur Verfügung.
Stattdessen kann das erweiterte Tool kostenpflichtig für 99 Dollar auf der folgenden Seite erworben werden:

Core Configurator

Das Tool: CoreConfig

Dieses Tool bietet ebenfalls eine grafische Oberfläche. Es lässt sich aber nicht mit der Maus, sondern mit dem Ziffernblock der Tastatur bedienen. Auch mit diesem Tool kann die Erstkonfiguration des Server Core recht einfach vorgenommen werden. Aber im Gegensatz zum CoreConfigurator ist dieses Tool nicht kompiliert. Es stellt eine Ansammlung an Skripten dar.

Dieses Tool steht zum einen als CAB-Datei und zum anderen als ISO-Datei zur Verfügung. Nach dem entpacken der CAB-Datei kann dieses Tool direkt von einem USB-Stick ausgeführt werden. Das Tool lässt sich mit dem Aufruf von Setup-Core.wsf starten.

Download: Windows 2008 Server Core Configurator

Das Kommandozeilentool: Core Configurator Console

Das Tool Core Configurator Console (CCC) ist ein Kommandozeilentool. Nach dem Download kann die Datei zuerst auf einen USB-Stick und anschließend auf den Server Core kopiert werden, wobei es auch direkt vom USB-Stick ausgeführt werden kann. Das Tool an sich ist eine einzige Batch-Datei, das es in der Kommandozeile mit ccc.bat aufzurufen gilt. Auch mit diesem Werkzeug lassen sich die elementaren Einstellungen vornehmen, damit der Server Core remote administriert werden kann.

>>>

Für Windows Server 2008: Core Configuration Console

Für Windows Server 2008 R2: CCC R2

Windows Server 2008 R2 Core Configurator 2.0

Das Open Source Tool "CoreConfig" wurde weiterentwickelt und steht nun in der Version 2.0 zur Verfügung.
Mit dieser Version lässt sich die Erstkonfiguration eines "Windows Server 2008 R2 Core" über eine grafische Oberfläche konfigurieren.

Download: Core Configurator 2.0

Das "on Bord" Skript Sconfig.cmd in Windows Server 2008 R2

Die Konfiguration des Windows Server 2008 R2 Core

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.

Windows Server 2008 Core

Yusuf Dikmenoglu — Sat, 29 Dec 2007 23:37:33 GMT

Microsoft führt mit dem Windows Server 2008 eine neue Installationsart ein.
Man könnte sagen, dass es ein abgespeckter Server ist. In dieser Installationsart steht z.B. weder der Windows Explorer,
noch eine GUI-Shell zur Verfügung. Bei dieser Variante der Installation, stehen lediglich einige wenige Serverrollen zur Verfügung.
Die Rede ist vom Windows Server Core. Die möglichen Rollen die auf einem Windows Server Core installiert werden können,
wären unter anderem: AD DS, AD LDS, DHCP, DNS, Hyper-V, Datei- Druck- sowie Webserver.
Welche Rollen oder Funktionen noch auf einem Server Core unterstützt werden, zeigt diese Seite:
Server Core Installation of Windows Server 2008

Dem Administrator steht nach der Betriebssysteminstallation lediglich eine Kommandozeile (CMD) zur Verfügung.
Für die Administratoren die sich schwer von der Maus trennen können (und wollen), hat Microsoft ebenfalls vorgesorgt.
Es besteht die Möglichkeit, sich remote über die MMCs auf einen Server Core zu verbinden, um diesen dann über die Snap-Ins zu administrieren.
Neben der Fernwartung durch die MMCs, lässt sich der Server Core mit den folgenden Punkten administrieren:

Terminal Services Remote Desktop
der Windows Remote Shell (WinRS)
dem Task Scheduler
SNMP
RPC und DCOM
WMI
GPOs

Darüber hinaus werden die Microsoft Operations Manager- sowie Systems Management Server-Agents, ebenso auf dem Server Core unterstützt.

Demzufolge das weniger Dienste und Applikationen auf einem Server Core laufen, reduziert sich die Verwaltung sowie Wartung des Servers.
Die Anzahl der zu installierenden Patches/SPs reduziert sich dabei ebenfalls, denn es gilt weniger Dienste abzusichern.
Der Server Core benötigt auch viel weniger Festplattenkapazität und ist schneller im Startverhalten als eine Vollinstallation.
Dadurch das weniger Funktionen bereitgestellt werden können, bietet der Server Core eine geringe Angriffsfläche an.
Folglich ist das Aufstellen eines solchen Servers z.B. in Umgebungen die eine hohe Sicherheitsanforderung haben, von Interesse.
Ein anderes Einsatzszenario wären Standorte. Dort wird oftmals ebenfalls ein Server vor Ort benötigt, sei es nun einen
Domänencontroller oder Mitgliedsserver, der aber dafür weniger Dienste als ein Server in der Zentrale bereitstellen muss.
Zusätzlich kommt noch hinzu, dass vor Ort in den Standorten meistens weniger IT Know-How als in der Zentrale zur Verfügung steht.
Auch in diesem Fall, würde sich das Aufstellen eines Server Cores vor Ort anbieten.

Falls vor Ort ein DC gewünscht ist, der nicht die gleiche physikalische Sicherheit wie ein DC in der Zentrale genießt,
würde sich eher der Read-Only Domain Controller (RODC) anbieten. Eine weitere Empfehlung wäre, Bitlocker einzusetzen.

Der Windows Server Core wurde in erster Linie für Umgebungen mit mehreren Servern entwickelt.
Der Großteil der Konfiguration des Server Cores, erfolgt mit dem Kommandozeilentool NETSH.

Anzeigen sowie installieren der Rollen bzw. optionalen Features

Mit Oclist werden nicht nur die zur Verfügung stehenden Serverrollen sowie die
optionalen Features angezeigt, sondern natürlich auch die bereits installierten.

Mit Ocsetup können die zur Verfügung stehenden Rollen sowie Features installiert- oder deinstalliert werden.
Zum installieren lautet die Syntax:

start /w ocsetup <Rolle>
start /w ocsetup <Feature>

Zum deinstallieren lautet es:

start /w ocsetup <Rolle> /uninstall
start /w ocsetup <Feature> /uninstall >

Achtung: Die Installation der einzelnen Rollen bzw. Features mit Ocsetup ist - warum auch immer - case sensitive!

Die Einschränkungen des Server Core

Es ist nicht möglich, auf einen Server Core von früheren Server-Version
(Windows 2000 Server oder Windows Server 2003/R2) zu aktualisieren

Eine Vollinstallation vom Windows Server 2008 kann nicht auf den Server Core konvertiert werden.

Der Server Core kann ebenfalls nicht zu einer Vollinstallation konvertiert werden.>
Der Server muss mit der gewünschten Version neu installiert werden.
Die verfügbaren APIs werden ausschließlich für die Entwicklung von Monitoring sowie Management Tools supportet.
Es existiert keine Explorer-Shell.
Es ist auch kein .Net Framework verfügbar. Im Windows Server 2008 R2 sind jedoch Teile des .NET Frameworks enthalten.
Der Server Core ist nicht die Plattform, auf dem die Entwicklung von Applikationen stattfinden sollte.
Es wird nicht die Windows Powershell unterstützt. Erst ab Windows Server 2008 R2 wird die Powershell auf dem Server Core unterstützt.
Es existieren keine MMCs auf dem Server Core.

Die Installation des Server Core

Das lokale Administrator-Kennwort vergeben

Nach der Betriebssysteminstallation wird man nach der Eingabe des Benutzernamens Administrator (ohne Kennwort) aufgefordert,
ein Kennwort für den lokalen Administrator, dass den lokalen Sicherheitsrichtlinien entspricht, einzugeben (z.B. Pa$$w0rd!).
Mit Eingabe von net user administrator * kann ein neues Kennwort vergeben werden.

Die Auflösung verändern

Standardmäßig existiert nach der Betriebssysteminstallation eine Auflösung von 640x480.
Dies kann in der Registry wie folgt geändert werden:

- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Video\<GUID>\0000\
Der Wert im Schlüssel DefaultSettings.XResolution muss bearbeitet werden (z.B. 1280 Dezimal).

- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Video\<GUID>\0000\
Der Wert im Schlüssel DefaultSettings.YResolution muss bearbeitet werden (z.B. 1024 Dezimal).

Unter Video existieren mehrere GUIDs. Die richtige GUID ist diejenige, die das Unterverzeichnis VolatileSettings beinhaltet.

Den Computernamen ändern

Während der Betriebssysteminstallation wird dem Server automatisch ein Computername vergeben.
Da aber bereits in vielen Unternehmensnetzwerken eine festgelegte Namenskonvention existiert, passt der vergebene Name
sicherlich nicht in die meisten Umgebungen. In Erfahrung kann man den Computernamen mit dem Befehl
Hostname oder IPCONFIG –ALL bringen.
Ein neuer Computername kann mit folgendem Befehl vergeben werden:
Netdom Renamecomputer ALTERCOMPUTERNAME /Newname:NEUERCOMPUTERNAME

Die anschließende Sicherheitsfrage ist mit einem Y zu bestätigen.
Im Anschluss ist ein Neustart mit dem Befehl shutdown –r bzw. shutdown –r –t 0 fällig.
Man kann aber auch direkt beide Befehle in einem zusammenfassen.
Das ganze würde dann so aussehen:
Netdom Renamecomputer ALTERCOMPUTERNAME /Newname:NEUERCOMPUTERNAME /Force /Reboot:ZahlinSekunden

Ist der Server Core bereits ein Mitgliedsserver, so lässt sich der Computername auf diese Weise ändern:
Netdom Renamecomputer ALTERCOMPUTERNAME /NewName:NEUERCOMPUTERNAME /userd:<Domäne\Administrator> /passwordd:*

Die IPv4 Adresse eintragen

Bevor eine IP-Adresse eingetragen werden kann, muss sichergestellt sein, dass der Treiber für die Netzwerkkarte installiert wurde.
Wird beim Aufruf von IPCONFIG lediglich der Eintrag Windows-IP-Konfiguration angezeigt, so ist die Netzwerkkarte nicht installiert.
Es sollte der Eintrag „Ethernet-Adapter LAN-Verbindung“ auftauchen.

Mit dem folgenden Befehl:
Netsh int ipv4 set addr "LAN-Verbindung" static 192.168.178.10 255.255.255.0 192.168.178.1

wird die IPv4-Adresse 192.168.178.10, dass Subnetz 255.255.255.0 und das Gateway 192.168.178.1 vergeben.
Wichtig an dieser Stelle wäre zu erwähnen, dass der Name der LAN-Verbindung bekannt sein muss!
Diesen erfährt man mit dem Befehl Netsh int ip sh int oder durch IPCONFIG –ALL.
Denn auf einem englischen System lautet dieser: Local Area Connection.
Eine andere Vorgehensweise zum vergeben der IPv4-Adresse wäre, zuerst mit dem Befehl Netsh interface ipv4 show interfaces
den Wert in der Spalte idx für die Netzwerkverbindung herauszufinden und anschließend mit dem Befehl (alles in einer Zeile)
Netsh int ipv4 set address name="<IDX-Wert>" source=static address=192.168.178.10 mask=255.255.255.0
gateway=192.168.178.1 die IP-Adresse einzutragen.

Das IPv6-Protokoll deaktivieren

Wenn das IPv6-Protokoll nicht verwendet wird, kann es deaktiviert werden.
Dazu gilt es mit Regedit die Registry aufzurufen und im Pfad
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\ den Schlüssel DWORD-32Bit
(sowohl auf einem 32Bit als auch auf einem 64Bit System) DisabledComponents mit dem Hex-Wert 0xFFFFFFFF zu erstellen.
Nach einem Neustart ist das IPv6-Protokoll deaktiviert.

Eine DNS-Server IP-Adresse eintragen/entfernen

Die IP-Adresse eines bestehenden DNS-Servers lässt sich wie folgt eintragen:
Netsh int ip set dns "LAN-Verbindung" static 192.168.178.5 primary
Einen weiteren DNS-Server trägt man mit diesem Befehl ein:
Netsh int ip add dns "LAN-Verbindung" 192.168.178.6
Entfernen lässt sich eine DNS-Server Adresse mit diesem Befehl:
Netsh int ip delete dns "LAN-Verbindung" 192.168.178.6
Alle DNS-Server Adressen lassen sich folgendermaßen entfernen:
Netsh int ip delete dns "LAN-Verbindung" all

Eine WINS‑Server IP-Adresse eintragen/entfernen

Ein WINS-Server lässt sich auf diese Art eintragen:
Netsh int ip add winsserver "LAN-Verbindung" 192.168.178.5
Entfernen lässt sich ein WINS-Eintrag mit diesem Befehl:
Netsh int ip delete wins "LAN-Verbindung" 192.168.178.5
Möchte man alle WINS-Einträge entfernen, so geht das folgendermaßen:
Netsh int ip delete wins "LAN-Verbindung" all

Den Server zu/aus der Domäne hinzufügen/entfernen

Mit diesem Befehl, lässt sich der Server Core zum Mitgliedsserver einer Domäne hinzufügen:
Netdom join <ComputerName> /domain:<DomänenName> /userd:Administrator /passwordd:Pa$$w0rd!
Aus der Domäne lässt sich der Server Core wie folgt nehmen:
Netdom remove /d:<Domäne> <PC-Name Core>

Den Server Core zum Domänencontroller heraufstufen (promoten)

Das Active Directory lässt sich auf einem Server Core nicht wie die anderen Rollen mit Ocsetup,
sondern ausschließlich durch den Dcpromo-Assistenten installieren. Der Aufruf von Dcpromo, kann auf einem
Server Core nicht wie auf den normalen Server-Versionen gestartet, sondern muss entweder mit einer Antwortdatei
oder durch die unbeaufsichtigte Installation Dcpromo /unattend aufgerufen werden.
Mit der Angabe einer Antwortdatei wird der Server Core wie folgt zum Domänencontroller (DC) gestuft:
DCPROMO /unattend:E:\DCCorepromote.txt

Durch die Antwortdatei, kann auf dem Server Core das DNS gleich mit installiert sowie der globale Katalog
aktiviert werden (was beides zu empfehlen wäre). Zur Arbeitserleichterung kann man sich beim Ausführen von Dcpromo
auf einem vollinstallierten Server, am Ende des Assistenten die Einstellungen exportieren lassen.
Wie eine solche Antwortdatei aussehen könnte, steht am Ende dieses Artikels.
Der Befehl für einen zusätzlichen Server Core DC, könnte bei der unbeaufsichtigten Variante wie folgt aussehen (alles in einer Zeile):

dcpromo /unattend /replicaOrNewDomain:replica /replicaDomainDNSName:intra.dikmenoglu.de
/sitename:Default-First-Site-Name /InstallDns:yes /CreateDNSDelegation:no /confirmGC:yes /UserDomain:intra.dikmenoglu.de
/UserName:intra.dikmenoglu.de\Administrator /Password:DomänenAdminKennwort /databasePath:"C:\Windows\Ntds"
/logPath:"C:\Windows\Ntds" /sysvolpath:"C:\Windows\Sysvol" /safeModeAdminPassword:SchweresPa$$w0rd!
/rebootOnCompletion:yes

Promotion Operation
Wird der Server Core, der erste Windows Server 2008 Domänencontroller in einer Windows 2000 oder
Windows Server 2003 Gesamtstruktur, so muss vorher das ADPREP von der Windows Server 2008 DVD
(aus dem Verzeichnis DVD-Laufwerk:\Sources\Adprep) ausgeführt werden. Microsoft empfiehlt vorher das Verzeichnis
Adprep auf den Server zu kopieren und anschließend, dass ADPREP von dort zu starten. Damit sollen Lesefehler des
DVD-Laufwerks vorgebeugt werden, die während dem Ausführen von ADPREP auftreten könnten.
Das ADPREP ist zuerst auf dem Schemamaster mit dem Parameter /FORESTPREP und auf dem Infrastrukturmaster in
der Domäne, zu der der Windows Server 2008 hinzugefügt werden soll, mit den Parametern „/DOMAINPREP /GPPREP“ auszuführen.

Soll der Server Core der erste Windows Server 2008 als RODC in einer Windows Server 2003 Gesamtstruktur werden
(dazu muss sich der Gesamtstrukturfunktionsmodus auf Windows Server 2003 befinden), so gilt es vorher das
ADPREP mit dem Parameter /RODCPREP lediglich ein einziges Mal für die Gesamtstruktur (und nicht in jeder Domäne) auszuführen.

Den Server Core zum Mitgliedsserver herunterstufen (demoten) >

Herunterstufen (demoten) zu einem Mitgliedsserver lässt sich der Server Core DC ebenfalls, entweder mit DCPROMO
und einer Antwortdatei (siehe unten stehende Antwortdatei Beispiele) oder durch die unbeaufsichtigte Variante.
Der Aufruf mit einer Antwortdatei, sieht so aus: DCPROMO /unattend:E:\DCCoredemote.txt
Das Herunterstufen zu einem Mitgliedsserver bei der unbeaufsichtigten Variante, könnte auf einem zusätzlichen Server Core DC
der nicht die FSMO-Rollen trägt, wie folgt aussehen (alles in einer Zeile):

dcpromo /unattend /AdministratorPassword:"Pa$$w0rd!" /IgnoreIsLastDnsServerForZone:yes
/IgnoreIsLastDCInDomainMismatch:yes /RebootOnSuccess:yes

Demotion Operation >

>>>

DHCP-Server installieren/deinstallieren

Möchte man den DHCP-Server auf einem Server Core installieren, so lässt sich das mit diesem Befehl realisieren:
start /w ocsetup DHCPServerCore
Deinstallieren lässt sich der DHCP mit einem /uninstall am Ende: start /w ocsetup DHCPServerCore /uninstall
Die Konfiguration des DHCP-Servers (Bereiche, Optionen etc.) erfolgt über NETSH oder remote von
einem anderen Server aus, mit dem DHCP Snap-In.
Die DHCP-Konfiguration über NETSH könnte wie folgt aussehen:

netsh dhcp server 192.168.178.5 add scope 192.168.178.0 255.255.255.0 DHCPCore CoreBereich

Den DHCP-Bereich festlegen
netsh dhcp server 192.168.178.5 scope 192.168.178.0 add iprange 192.168.178.1 192.168.178.254

Ausschlussbereich
netsh dhcp server 192.168.178.5 scope 192.168.178.0 add excluderange 192.168.178.40 192.168.178.60

Die Router-Option setzen
netsh dhcp server 192.168.178.5 scope 192.168.178.0 set optionvalue 003 IPADDRESS 192.168.178.1

Den DNS-Server setzen
netsh dhcp server 192.168.178.5 scope 192.168.178.0 set optionvalue 006 IPADDRESS 192.168.178.5 192.168.178.6

Den DHCP-Bereich aktivieren
netsh dhcp server 192.168.178.5 scope 192.168.178.0 set state 1
Der Dienst des DHCP-Servers wird nach der Installation nicht gestartet.
Des Weiteren steht der Starttyp des DHCP-Servers in der Dienstesteuerung nach der Installation, auf Deaktiviert.
Um den DHCP-Server Dienst zu starten, ist folgender Befehl auszuführen: net start dhcpserver
Den Starttyp stellt man mit diesem Befehl auf Automatisch:
sc config dhcpserver start= auto (Achtung: Nach dem Gleichheitszeichen muss ein Leerzeichen folgen!)
Deaktiveren lässt sich der Starttyp so: sc config dhcpserver start= disabled
Befindet sich der Server Core in einer Active Directory Umgebung, so muss der DHCP-Server zusätzlich noch
im Active Directory autorisiert werden. Auch dies lässt sich über NETSH (neben der DHCP-MMC auf einem
vollwertigen Server) realisieren. Der Befehl zum autorisieren lautet:
netsh dhcp add server Lhcore01.intra.dikmenoglu.de 192.168.178.5
Wenn hingegen ein DHCP-Server aus der Liste der autorisierten DHCP-Server im Active Directory entfernt werden soll,
so lautet der Befehl: netsh dhcp delete server Lhcore01.intra.dikmenoglu.de 192.168.178.5

DNS-Server installieren/deinstallieren

Den DNS-Server installiert man wie folgt: start /w ocsetup DNS-Server-Core-Role
Deinstallieren lässt sich der DNS-Server auf diese Weise: start /w ocsetup DNS-Server-Core-Role /uninstall
Der DNS-Server lässt sich zum einen mit dem Kommandozeilen-Tool dnscmd und zum anderen remote mit dem DNS Snap-In konfigurieren.

WINS-Server installieren/deinstallieren

Der WINS-Server lässt sich folgendermaßen installieren: start /w ocsetup WINS-SC
Die Deinstallation des WINS-Servers, lässt sich auf die Art durchführen: start /w ocsetup WINS-SC /uninstall

Hyper-V auf einem Server Core installieren

Das Hyper-V lässt sich auf einem Windows Server 2008 Enterprise - Server Core wie folgt installieren:
bcdedit /set hypervisorlaunchtype auto (dieser Befehl ist nicht zwingend, aber ohne ihn sind zwei Neustarts fällig)
start /w ocsetup Microsoft-Hyper-V
Von einem vollwertigen Server auf dem das Hyper-V ebenfalls installiert ist, kann nun das Hyper-V auf dem Server Core
konfiguriert werden. Microsoft arbeitet aber zurzeit an einer MMC für Windows Vista/Windows Server 2008 Vollinstallation.

Die Druckdienste installieren/deinstallieren

Die Druckdienste können wie folgt installiert: start /w ocsetup Printing-ServerCore-Role
…und auf diese Art deinstalliert werden: start /w ocsetup Printing-ServerCore-Role /uninstall

Den Server Core aktivieren

Der Server Core kann mit diesem Befehl aktiviert werden: Cscript C:\Windows\system32\SLmgr.vbs –ato
Das Ablaufdatum der Lizenz, kann man wie folgt herausfinden: Cscript C:\Windows\system32\slmgr.vbs -xpr
Falls zum Zeitpunkt der Aktivierung keine Internetverbindung besteht, kann durch einen gebührenfreien Anruf
(Deutschland Tel.: 0800-284 828 3) bzw. den gebührenpflichtigen Anruf (Deutschland Tel.: 069-500 700 25)
bei Microsoft der Server telefonisch aktiviert werden. Eine andere Möglichkeit wäre mittels dem Key Management Server (KMS)
die Aktivierung zu vollziehen. Die Rufnummern für die einzelnen Länder stehen im übrigen in der Datei phone.inf,
dass sich im folgenden Pfad befindet: %windir%\system32\slui\phone.inf.
Die Installations-ID für die telefonische Aktivierung, kann so herausgefunden werden: Cscript C:\Windows\system32\slmgr.vbs -dti
Anschließend kann der Server manuell aktiviert werden: Cscript c:\windows\system32\slmgr.vbs –atp GUID <Bestätigungs-ID>

Die AD LDS installieren

Die Active Directory Lightweight Directory Services lassen sich auf diese Art installieren:
start /w ocsetup DirectoryServices-ADAM-ServerCore

Die Windows Remote Shell aktivieren

Die Windows Remote Shell (WinRS) lässt sich so aktivieren: WinRM quickconfig
Durch die Bestätigung mit Y wird die WinRS endgültig aktiviert.
Nun kann von einem Remote-Host durch Aufruf des folgenden Befehls in einer Kommandozeile,
der Server Core aus der CMD heraus, administriert werden: winrs -r:<ServerCore> cmd

Eine neue Kommandozeile CMD öffnen

Hat man aus Versehen die Kommandozeile geschlossen, kann man durch drücken von STRG+SHIFT+ENTF den Taskmanager
aufrufen und mit einem neuen Task die CMD erneut aufrufen. Oder im Taskmanager ABMELDEN wählen und sich neu an dem
System anmelden. Ein Neustart bringt die CMD natürlich genauso zum Vorschein.
Deshalb wäre es sinnvoll gleich zu Beginn der Anmeldung, eine weitere CMD mit start cmd /separate zu starten.

Die Windows Firewall konfigurieren

netsh advfirewall

Die Energieeinstellungen konfigurieren

Powercfg

Die Windows Updates konfigurieren

Um die automatischen Windows Updates zu aktivieren, gilt es diesen Befehl einzugeben:
Cscript C:\Windows\system32\Scregedit.wsf /au 4
Deaktivieren lassen sich die Windows Updates wie folgt: Cscript C:\Windows\system32\Scregedit.wsf /au 1
Die aktuelle Einstellung kann wie folgt herausgefunden werden: Cscript C:\Windows\system32\Scregedit.wsf /au /v

Die Systeminformationen anzeigen lassen

Die Systeminformationen lassen sich durch die Eingabe von systeminfo.exe anzeigen.

Die Zeit/Zeitzone sowie Regions- und Sprachoptionen konfigurieren

Das Datum, die Zeit oder die Zeitzone lassen sich durch die Eingabe von control timedate.cpl konfigurieren.
Die gewünschte Regions- und Sprachoptionen kann man mit dem Befehl control intl.cpl auswählen.

Die Installation von Treibern

Wenn der Treiber im Server Core enthalten ist, wird der Treiber für die Hardware automatisch bei der Betriebssysteminstallation installiert.
Oder wenn die Hardware nachträglich eingebaut wird, installiert sich der Treiber dank Plug and Play (PNP) automatisch.
Ist der Hardware-Treiber nicht im Betriebssystem enthalten, so gilt es diesen beim Hersteller zuerst herunterzuladen.
Falls keine Windows Server 2008 Treiber vom Hersteller bereitgestellt werden, reicht oftmals der Treiber für Windows Vista aus.
Der heruntergeladene Treiber sollte entweder entpackt und wie folgt installiert werden:
Pnputil –i –a <Pfad>\<Treiber>.inf

..oder der Treiber (evtl. eine Setup.exe) lässt sich direkt vom USB-Sick/CD auf dem Server Core ausführen und installieren.
Wird eine bestehende z.B. on-Board Intel Netzwerkkarte nicht bei der Betriebssysteminstallation gleich mit installiert,
ist zuerst der entsprechende Treiber herunterzuladen (der Treiber für Windows Vista), diesen auf einen USB-Sick bzw. CD
zu packen und anschließend die heruntergeladene Setup.exe auszuführen. Der Assistent für den Treiber der einen durch die
Installation führt, ist der gleiche wie auf einem vollwertigen Server.

Wenn jemandem die langen und aufwändigen Befehle in der Kommandozeile zum konfigurieren des Server Core nicht so sehr liegt, der sollte sich einmal diese Tools anschauen:
Tools zum konfigurieren des Server Core

Beispiele einer Antwortdatei

Erster DC einer neuen Gesamtstruktur:

[DCInstall]
; New forest promotion
ReplicaOrNewDomain=Domain
NewDomain=Forest
NewDomainDNSName=intra.dikmenoglu.de
ForestLevel=3
DomainNetbiosName=DIKMENOGLU
DomainLevel=3
InstallDNS=Yes
CreateDNSDelegation=No
ConfirmGc=Yes
DatabasePath=C:\Windows\NTDS
LogPath=C:\Windows\NTDS
SYSVOLPath=C:\Windows\SYSVOL
SafeModeAdminPassword=SchweresPa$$w0rd!
; Run-time flags (optional)
; CriticalReplicationOnly=Yes
RebootOnCompletion=Yes
TransferIMRoleIfNecessary=No

Zusätzlicher Domänencontroller:

[DCInstall]
; Replica DC promotion
ReplicaOrNewDomain=Replica
ReplicaDomainDNSName=intra.dikmenoglu.de
SiteName=Default-First-Site-Name
InstallDNS=Yes
CreateDNSDelegation=No
ConfirmGc=Yes
UserDomain=intra.dikmenoglu.de
UserName=dikmenoglu\administrator
Password=Pa$$w0rd!
DatabasePath="C:\Windows\NTDS"
LogPath="C:\Windows\NTDS"
SYSVOLPath="C:\Windows\SYSVOL"
SafeModeAdminPassword=SchweresPa$$w0rd!
; Run-time flags (optional)
; CriticalReplicationOnly=Yes
RebootOnCompletion=Yes

Erster DC einer neuen Sub-Domäne:

[DCInstall]
; New child domain promotion
ReplicaOrNewDomain=Domain
NewDomain=Child
ParentDomainDNSName=intra.dikmenoglu.de
ChildName=child
DomainNetbiosName=CHILDDOMAENE
DomainLevel=2
SiteName=Mainz
InstallDNS=Yes
CreateDNSDelegation=Yes
ConfirmGc=Yes
DNSDelegationUserName=dikmenoglu\administrator
DNSDelegationPassword=*
UserDomain=intra.dikmenoglu.de
UserName=dikmenoglu\administrator
Password=Pa$$w0rd!
ReplicationSourceDC=LHDCON01.intra.dikmenoglu.de
DatabasePath="C:\Windows\NTDS"
LogPath="C:\Windows\NTDS"
SYSVOLPath="C:\Windows\SYSVOL"
SafeModeAdminPassword=SchweresPa$$w0rd!
; Run-time flags (optional)
RebootOnCompletion=Yes

RODC:

[DCInstall]
; Read-Only Replica DC promotion
ReplicaOrNewDomain=ReadOnlyReplica
ReplicaDomainDNSName=intra.dikmenoglu.de
; RODC Password Replication Policy
PasswordReplicationDenied="VORDEFINIERT\Administratoren"
PasswordReplicationDenied="VORDEFINIERT\Server-Operatoren"
PasswordReplicationDenied="VORDEFINIERT\Sicherungs-Operatoren"
PasswordReplicationDenied="VORDEFINIERT\Konten-Operatoren"
PasswordReplicationDenied="DIKMENOGLU\Abgelehnte RODC-
Kennwortreplikationsgruppe"
PasswordReplicationAllowed="DIKMENOGLU\Zulässige RODC-Kennwortreplikationsgruppe"
PasswordReplicationAllowed=Gruppe1
PasswordReplicationAllowed=Benutzer1
PasswordReplicationAllowed=ComputerName1
DelegatedAdmin="DIKMENOGLU\RODC-Admins"
SiteName=Default-First-Site-Name
InstallDNS=Yes
ConfirmGc=Yes
CreateDNSDelegation=No
UserDomain=intra.dikmenoglu.de
UserName=intra.dikmenoglu.de\Administrator
Password=Pa$$w0rd!
; In der nächsten Zeile kann man einen Quell-DC angeben,
; mit dem die AD-Replikation stattfinden soll.
ReplicationSourceDC=LHDCON01.intra.dikmenoglu.de
DatabasePath="C:\Windows\NTDS"
LogPath="C:\Windows\NTDS"
SYSVOLPath="C:\Windows\SYSVOL"
SafeModeAdminPassword=SchweresPa$$w0rd!
; Run-time flags (optional)
; CriticalReplicationOnly=Yes
RebootOnCompletion=Yes

Einen Domänencontroller herunterstufen (demoten):

[DCINSTALL]

AdministratorPassword="Pa$$w0rd!"

IgnoreIsLastDnsServerForZone=Yes

IgnoreIsLastDCInDomainMismatch=Yes

RebootOnSuccess=Yes

Gesamtstrukturfunktionsmodus (ForestLevel):

0 = Windows 2000
Wenn diese Gesamtstrukturfunktionsebene gewählt wird, dann kann sich der Domänenfunktionsmodus (DomainLevel) der einzelnen
Domänen im Modus Windows 2000 pur (0), Windows Server 2003 (2) und Windows Server 2008 (3) befinden.

2 = Windows Server 2003
In dieser Gesamtstrukturfunktionsebene können Domänen im Domänenfunktionsmodus Windows Server 2003 (2) und
Windows Server 2008 (3) existieren.

3 = Windows Server 2008
In dieser Gesamtstrukturfunktionsebene können ausschließlich Domänen in der Domänenfunktionsebene
Windows Server 2008 (3) in der bestehenden Gesamtstruktur existieren.

4 = Windows Server 2008 R2
In dieser höchsten Gesamtstrukturfunktionsebene können ausschließlich Domänen in der Domänenfunktionsebene
Windows Server 2008 R2 (4) in der bestehenden Gesamtstruktur existieren.

Weitere Informationen:
Server Core Installation Option of Windows Server 2008 Step-By-Step Guide
Determining if Server Core is Running (Windows)
How to Use Netsh.exe to Authorize, Unauthorize and List DHCP Servers in Active Directory

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.

Antivirenprogramm

Yusuf Dikmenoglu — Sun, 24 Dec 2006 13:18:01 GMT

Ein Antivirusprogramm (Virenscanner) ist dafür da, um das System vor Schädlingen wie es Viren, Würmer und Trojanische Pferde darstellen, zu schützen.
Der Virenscanner spürt diese auf und löscht sie gegebenfalls.
Einen vollständigen Schutz vor Malware bietet ein Virenscanner hingegen nicht.

So hilfreich wie ein Virenscanner auch sein kann, so problematisch könnte der Echtzeitscanner (On-Access) werden.
Dieser agiert im Hintergrund als Systemdienst und scannt im Hintergrund alle Dateien, Programme und den Arbeitsspeicher.
Genau da liegt aber das Problem, denn der Virenscanner greift tief in das System ein und scannt auch Applikationen, die besser davor bewahrt wären.
Datenbanken wie sie z.B. auf einem Domänencontroller (NTDS.DIT) oder Exchange-Server existieren, können bei einem Echtzeitscan einen Schaden bekommen.

Damit dieses nicht passiert, bieten die meisten Virenscanner die Möglichkeit, diese Dateien in eine Art Ausschlussliste aufzunehmen.
Somit werden die dort eingetragenen Dateien nicht vom Echtzeitscan überwacht.

Auf einem Domänencontroller sollten die Dateien die standardmäßig im Verzeichnis „%systemroot%\ntds“ gespeichert sind, ausgeschlossen werden.
Welche Dateien genau davon betroffen sind, kann man aus diesem Artikel entnehmen:
Virus scanning recommendations for computers that are running Windows Server 2008, Windows Server 2003, Windows 2000, Windows XP, or Windows Vista

Die Dateien, die auf einem Exchange-Server vom Echtzeitscan verschont werden sollten, kann man hier entnehmen:
Recommendations for troubleshooting an Exchange Server computer with antivirus software installed
Exchange and antivirus software

Welche Virenscanner mit dem File Replication Service kompatibel sind, werden im folgenden Artikel aufgelistet:
Antivirus, backup, and disk optimization programs that are compatible with the File Replication Service

Wenn der DHCP-Server nicht startet, könnte es ebenfalls ein Indiz dafür sein, dass der Virenscanner die DHCP-Datenbank überwacht.
Dort sollte das Verzeichnis „%systemroot%\System32\DHCP“ vom Echtzeitscan verschont bleiben.
The DHCP service does not start when you start a Windows Server 2003-based computer

Weitere Informationen:
Recommended exclusions for VirusScan Enterprise on a Windows 2000/ 2003 Domain Controller with Active Directory or File ReplicationService

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.

Welcher DC ist der Anmeldeserver ?

Yusuf Dikmenoglu — Tue, 10 Oct 2006 10:34:21 GMT

Möchte man wissen, welcher Domänencontroller als Anmeldeserver für den jeweiligen Benutzer diente,
kann man dies (unter anderem) mit folgenden Befehlen an dem Client herausfinden:

echo %Logonserver%
set Logonserver
set Log
set L
set | find "LOGONSERVER"
set
NLTEST /DSGETDC:<Domäne>.<TLD>

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.

Offline Dateien

Yusuf Dikmenoglu — Thu, 05 Oct 2006 19:33:47 GMT

Die Funktion der Offlinedateien, die seit Windows 2000 existiert, ist besonders für Notebook-Besitzer die viel unterwegs sind sehr hilfreich.
Dateien und Ordner die sich auf Netzwerkfreigaben befinden, werden somit lokal zur Verfügung gestellt und können von unterwegs bearbeitet werden, als wenn man im Büro Verbindung zum Netzwerk hätte.

Offline gekennzeichnete Dateien werden mit ihren zugehörigen Netzlaufwerken im Windows Explorer angezeigt, so dass sich die Offline Arbeit transparent für den Benutzer darstellt. Bearbeitet der Benutzer von unterwegs Dateien, werden diese bei erneut bestehender Netzwerkverbindung mit dem entsprechenden Server synchronisiert. Dateien die auf dem Server bearbeitet bzw. hinzugefügt wurden sowie bearbeitete und hinzugekommene Dateien auf dem Client werden abgeglichen. Die Synchronisation führt der Synchronisations-Manager durch.

Diese Vorgehensweise, dass man Dateien Offline zur Verfügung stellt, entspricht somit einem Caching - Verfahren. Daher wird diese Funktion der Offlinedateien auch als Client-Side-Caching (CSC) bezeichnet.

Falls nun Probleme mit Offline Dateien auftauchen sollten, ist es empfehlenswert diese im ersten Schritt neu einzurichten.

Dieses geht folgendermaßen:

Im Windows Explorer klickt man auf „Extras - Ordneroptionen“, dann auf die Registerkarte "Offline Dateien". Mit "Strg + Shift" (gleichzeitig drücken) gilt es auf Dateien löschen zu klicken. Anschließend sollte wie in der Meldung angegeben, der Client neu gestartet werden.

Wenn der Server auf dem die Offline Dateien aktiviert sind, durch neue Hardware ersetzt wird, müssen die Dateien auf die neue Maschine verschoben und die Offline-Funktionalität aktiviert werden. Als nächsten Schritt, muss dem Client bzw. seinem Cache der neue Server mitgeteilt werden. Dazu wird das „Client-Side Caching Command-Line“ - Tool aus dem Windows Server 2003 Ressource Kit benötigt, dass hier [1] heruntergeladen werden kann.

Der Befehl dazu lautet:

„CSCCMD /MOVESHARE:\\Alter-Server\Freigabe \\Neuer-Server\Freigabe“

Features and functions in version 1.1 of the Client-Side Caching Command-Line Options command-line tool

Offlinedateien können des Weiteren per GPO aktiviert bzw. deaktiviert werden.

Unter:

Computerkonfiguration\Administrative Vorlagen\Netzwerk\Offlinedateien\"Verwendung von Offlinedateiordnern verhindern"

und

Benutzerkonfiguration\Administrative Vorlagen\Netzwerk\Offlinedateien\"Verwendung von Offlinedateiordnern verhindern"

ist die Verhinderung zur Nutzung von Offline Dateien möglich.

Weitere Einstellmöglichkeiten per GPO können in den angegebenen Pfaden vorgenommen werden.

Es können nicht alle Dateien Offline verfügbar gestellt werden.

Die Dateien, die in diesem Artikel erwähnt werden, sind von dieser Funktion ausgeschlossen:

Error message: "Files of this type cannot be made available offline"

Sollen (neu erstellte) Unterordner automatisch offline verfügbar bereitgestellt werden, so gilt es folgende Richtlinie zu aktivieren:

Computerkonfiguration\Administrative Vorlagen\Netzwerk\Offlinedateien\"Untergeordnete Ordner immer offline verfügbar machen"

Möchte man auf einem Client (XP) bzw. Server (2003) die im Cache befindlichen Dateien verschlüsseln,

so muss man im folgenden Registry - Pfad (Start - Ausführen - Regedit):

„HKEY_Local_Machine\Software\Policies\Microsoft\Windows\NetCache”

den Wert “EncryptCache” (als REG_DWORD) setzen und mit dem Wert „1“ aktivieren.

http://www.winfaq.de/faq_html/tip1971.htm

Unter Windows Vista haben sich Neuerungen im Bereich Offline Dateien ergeben, die in diesem Artikel erläutert werden:
Änderungen an Offlinedateien in Windows Vista

[1] http://www.microsoft.com/downloads/details.aspx?FamilyID=9d467a69-57ff-4ae7-96ee-b18c4790cffd&displaylang=en

Weitere Informationen:

Structure of the Offline Files Cache Folder
Offline – aber immer "up to date" - Notebook-Dateien mit dem Netzwerk synchronisieren

So verwenden Sie Offlinedateien in Windows XP

How to use offline folders (.ost) file in Outlook 2002

You experience synchronization problems if you do not disable the cache option for offline files on roaming user profile shares in Windows Server 2003

Your offline files or redirected folders synchronize automatically when you log off or log on to a Windows Server 2003-based computer

How To Configure Offline Files to Synchronize When a Particular Network Connection Becomes Active

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.

Stop-Fehler

Yusuf Dikmenoglu — Mon, 02 Oct 2006 13:31:24 GMT

Wenn der Server automatisch neu startet, könnte das auf einen Stop-Fehler (Bluescreen) hindeuten.

Die Ursache hierfür können Treiber,Software aber was ich als erstes vermuten würde, Hardware Probleme sein (Server friert ein).

Der Server ist standardmäßig so konfiguriert das er neu startet, wenn dieser nicht mehr ordnungsgemäß reagiert bzw. arbeiten kann.
Ein Stop-Fehler sollte aber einen Eintrag im Eventlog verzeichnen, was leider nicht immer der Fall ist.

Als nächstes sollte ein vollständiger Memorydump konfiguriert werden.
Dieses geht, wenn man auf "Start - Einstellungen - Systemsteuerung - System", dann im Reiter Erweitert auf die "Einstellungen"
für die Option "Starten und Wiederherstellen" klickt. Dort kann unter "Debuginformationen speichern"

ein "Vollständiges Speicherabbild" konfiguriert werden.

Bringt dieses auch nicht den erwünschten Erfolg, ist es beim Troubleshooting oftmals hilfreich wenn der automatische Neustart deaktiviert wird, damit man sehen kann welche genaue Fehlermeldung im Bluescreen angezeigt wird. Dadurch steht zwar evtl. der Server etwas länger bevor man es bemerkt, aber dadurch erhält man mehr bzw. genauere Informationen.

Den automatischen Neustart deaktiviert man folgendenmaßen:

Man klickt auf "Start - Einstellungen - Systemsteuerung - System"
Auf der Registerkarte Erweitert, gilt es unter "Starten und Wiederherstellen" auf "Einstellungen" zu klicken
Nun deaktiviert man unter Systemfehler das Kontrollkästchen "Automatisch Neustart durchführen"
Durch zweimaliges OK klicken, schließt man beide offenen Fenster
Jetzt sollte erneut die Fehlermeldung/der Fehler reproduziert werden

Anschließend kann die Stop-Fehlermeldung auf dieser Seite, zum weiteren Troubleshooting genutzt werden:
Stop-Fehler

Weitere Informationen:

Debugging Tools for Windows

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.

Profile (lokal/servergespeichert)

Yusuf Dikmenoglu — Sat, 23 Sep 2006 10:18:36 GMT

Wie ändert man ein lokal gespeichertes Profil in ein servergespeichertes Profil ?

   1. Der Benutzer meldet sich zum ersten Mal an einem Client im Netzwerk an
   2. Der Benutzer bekommt auf C:\Dokumente und Einstellungen\%username% unter seinem Benutzernamen lokal auf dem Client, ein neues Profil erstellt
   3. Nun muss das lokale Profil des Benutzers auf einem Server zentralisiert werden.
      - Dazu richtet man auf dem Server zuerst ein Verzeichnis ein (z.B.: D:\Profile) und vergibt die NTFS-Rechte folgendermaßen:
                          - Ersteller/Besitzer: Vollzugriff, Nur Unterordner und Dateien
                          - Sicherheitsgruppe der Benutzer, die Daten auf Ordner der Freigabe hinterlegen: Ordner auflisten/Inhalte lesen,
                            Erstellen/schreiben - Nur dieser Ordner
                          - Administrator: Keine
                          - Jeder: Keine
                          - Lokales System: Vollzugriff, Dieser Ordner, Unterordner und Dateien

      - Danach gibt man das Verzeichnis frei (Idealerweise versteckt: Profile$) mit folgender Freigabeberechtigung:
                          - Jeder: Keine Rechte
                          - Die Sicherheitsgruppe der Domänen-Benutzer, die Dateien sowie Ordner in der Freigabe hinterlegen: Vollzugriff

      - Als nächstes kopiert man das lokale Profil auf die Freigabe, idealerweise über die Systemsteuerung-System-Reiter Erweitert-
        Benutzerprofile. Denn auf diese Art werden die NTFS-Rechte auf dieses Verzeichnis gleich gesetzt (Benutzer bekommt Vollzugriff).

Hinweis: Wie die einzelnen Rechte auf der Freigabe-, NTFS-Berechtigungen des übergeordneten Ordners oder die minimalen
NTFS Berechtigungen für jeden Ordner von servergespeicherten Profilen auszusehen haben,
können im folgenden Artikel nachgelesen werden: Security Recommendations for Roaming User Profiles Shared Folders

      - Im Snap-In "Active Directory Benutzer und Computer" gibt man im Reiter „Profil“,
        der Benutzerkonto-Eigenschaften im Feld "Pfad zum Benutzerprofil" den Pfad ein: \\Server\Profile$\%username%

Fertig

4. Das ganze funktioniert natürlich auch, wenn kein lokales Profil besteht (neuer Benutzer). Dann fallen die Punkte 1 und 2 weg und man braucht nur noch in den Benutzereigenschaften den „Pfad zum Benutzerprofil“ anzugeben. Der Benutzer meldet sich jetzt von irgendeinem Client im Netzwerk an, dann

wird sein eigener Profilordner in der Freigabe „Profile$“ erstellt und wenn er sich abmeldet, wird sein lokales Profil auf den Server kopiert.

5. Wenn der Benutzer nun den Client wechselt, wird sein ganzes Profil (Desktop, Eigene Dateien etc.) vom Server über das Netzwerk, auf diesen anderen Client gezogen.

6. Nimmt der Benutzer eine Änderung in seinem Profil vor (Desktop, Hintergrundbild, Bildschirmschoner etc.), wird vom Client beim Abmelden des Benutzers, auf dem Server "geschrieben".

7. Das kann man verhindern, indem man die Datei „ntuser.dat“ im serverbasierten Profil umbenennt in „ntuser.man“ (Mandatory). Das könnte interessant sein, wenn z.B. ein einheitliches Profil im Unternehmen gewünscht wäre. Somit kann der Benutzer während seiner Session zwar Änderungen vornehmen, wie z.B. das er Dateien auf seinem Desktop ablegt, diese aber nicht gespeichert werden.

8. Wenn man das Profil nicht mehr „fest“ vorgeben möchte, kann man diese Einstellung rückgängig machen, indem man die Datei (ntuser.man) einfach löscht, falls durch die erstmalige Verwendung des Mandatory-Profils automatisch eine neue .dat Datei entstanden ist. Existiert noch keine neue .dat-Datei, kann man einfach die Datei „ntuser.man“ Zurückumbenennen in „ntuser.dat“.

Zusätzliche Informationen:

How to create a custom default user profile

Wie kann man bestehende Windows 2000/XP/Windows Server 2003 servergespeicherte Profile,
zu Windows Vista oder Windows Server 2008 migrieren?
Support guidelines for migrating roaming user profiles data to Windows Vista or to Windows Server 2008

So wird das lokale Benutzerprofil auf den Server kopiert:

Man öffnet das Dialogfeld Systemeigenschaften (Systemsteuerung - System) und klickt dann auf die Registerkarte Benutzerprofile
Auf der Registerkarte Benutzerprofile klickt man auf das Benutzerprofil, das kopiert werden soll
Danach gilt es auf „Kopieren“ zu klicken und anschließend entweder den Namen des Zielordners einzugeben oder im Netzwerk danach zu suchen

Wie kann man servergespeicherte Profile von einem Server auf den anderen umziehen:

Man erstellt auf dem „neuen“ Server eine Freigabe
Mit „xcopy /o“ kopiert man die vorhandenen Profile in die neue Freigabe
Die Rechte auf der Freigabe- sowie in den NTFS-Berechtigungen sollten nach diesem Artikel eingestellt werden:
Security Recommendations for Roaming User Profiles Shared Folders
Im Snap-In „Active Directory Benutzer und Computer“ den UNC-Pfad in allen Benutzereigenschaften - „Pfad zum Benutzerprofil“ - anpassen
Fertig

Eine andere Art Benutzerprofile zu migrieren (wenn die Domäne bloß aus einem DC besteht), kann man in diesem Artikel nachlesen:
Wie kann ich Benutzerprofile migrieren?

Wenn sich ein Benutzer von einer Niederlassung mit seinem servergespeicherten Profil (das in der Zentrale existiert) anmelden möchte, kann im folgenden Pfad eingestellt werden, dass ein Profil auch über „langsame“ Verbindungen geladen werden soll:

„Computerkonfiguration\Administrative Vorlagen\System\Benutzerprofile“

Die Profilgröße kann über folgende Richtlinie eingestellt werden (wobei der größte Wert 30.000 KB = 30 MB wäre):

Benutzerkonfiguration\Administrative Vorlagen\System\Benutzerprofile\Profilgröße beschränken

Falls man die Profilgröße selbst bestimmen möchte, so kann man einen eigenen Wert setzen.
Zu beachten wäre aber, umso größer das Profil - desto länger ist die Wartezeit, bis das Profil geladen ist.
http://support.microsoft.com/kb/290324/en-us

Unter Windows Vista liegt der Wert für die Profilgröße ebenfalls bei 30 MB.
Die Größe lässt sich aber nun unter Vista, in der genannten Richtlinie verändern.

Profile löschen:

Falls der Benutzer ein servergespeichertes Profil nutzt und man die lokale Kopie löschen möchte, gilt es folgende Richtlinie zu aktivieren:

Computerkonfiguration\Administrative Vorlagen\System\Benutzerprofile\"Zwischengespeicherte Kopien von servergespeicherten Profilen
löschen"

Existiert ein lokales Profil, so kann man das mit DelProf löschen (aus dem Windows Server 2003 Ressouce Kit):

http://www.microsoft.com/downloads/details.aspx?FamilyID=901A9B95-6063-4462-8150-360394E98E1E&displaylang=en

Bei Profil - Problemen kann man das "User Profile Hive Cleanup Service" installieren, handele es sich um ein lokales oder servergespeichertes Profil:

http://www.microsoft.com/downloads/details.aspx?familyid=1b286e6d-8912-4e18-b570-42470e2f3582&displaylang=en

Weitere Informationen:
Roaming profiles do not work after migration from Windows 2000 to Windows Server 2003
How to Create a Base Profile for All Users
Servergespeicherte Profile mit Windows XP vs. Windows Vista

Troubleshooting profile unload issues
http://support.microsoft.com/kb/837115/en-us
Empfehlungen zu Benutzerprofilen
http://www.microsoft.com/technet/prodtechnol/windowsserver2003/de/library/ServerHelp/b4418d02-1339-41c8-9eeb-fd72553f0bdc.mspx?mfr=true

Event ID: 1517 occurs when users who use roaming profiles encrypt files on a Windows Server 2003-based file server
Ändern des Speicherorts eines lokal gespeicherten Profils

A user can bypass the roaming profile size limit by pressing ALT + F4 two times in Windows Server 2003
A Windows Server 2003-based terminal server crashes when 30 to 40 users use roaming profiles to log on to or log off the terminal server
Cannot move or rename the Documents and Settings folder
How To Restore a User Profile in Windows Server 2003

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.

Wo ist der Benutzer angemeldet?

Yusuf Dikmenoglu — Sun, 17 Sep 2006 19:10:50 GMT

Oft möchte man wissen, an welchem Client ein bestimmter User angemeldet ist.

Die Scripting-Guys stellen folgende Variante vor:
How Can I Change the User and Computer Account Description Attributes Each Time a User Logs On?
Eine andere Variante wäre durch ein Logon-Skript:
Anmeldungen protokollieren
Des Weiteren kann man auch durch das DNS herausfinden, wo sich ein bestimmter Benutzer gerade angemeldet hat.
Nach der Einrichtung im DNS, kann man den Benutzernamen anpingen und erhält somit die IP-Adresse des Clients:
Wo ist der Benutzer angemeldet?

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.

Die Besonderheiten eines Small Business Server`s (SBS)

Yusuf Dikmenoglu — Mon, 11 Sep 2006 07:37:05 GMT

Der Small Business Server hat folgende Merkmale:

Der SBS erzeugt seine eigene Root - Domäne
Ein SBS kann in eine bereits bestehende Active Directory Domäne integriert werden,
muss dann allerdings zum einen alle FSMO - Rollen übertragen bekommen und zum anderen, muss der globale Katalog (GC) auf dem SBS aktiviert werden:
How to install Small Business Server 2003 in an existing Active Directory domain
Es können keine Anbindungen bzw. Vertrauensstellungen zu anderen Domänen aufgebaut werden
Es ist nicht möglich Subdomänen zu erstellen
Es können keine 2 SBS in einer Domäne existieren, falls ein weiterer Server z.B. Domänencontroller wegen Redundanz nötig
ist, dann kann es ein Windows Server 2000/2003 Standard Edition sein oder höher
Alle Server-Applikationen müssen auf einem SBS laufen und können nicht getrennt installiert werden wie z.B. den Exchange Server auf
eine andere Maschine
Es sind keine Terminalservices vorhanden, nur Remote Desktop
Ein Terminal Server ist nur als zusätzlicher Memberserver möglich, dann allerdings sind weitere Terminal Services CALs nötig
Weitere Server können in eine SBS Domäne integriert werden (DCs oder Memberserver)
Beim SBS ist es empfehlenswert die Assistenten zu nutzen um etwas zu konfigurieren bzw. einzurichten und ist nicht zu vergleichen wie
die Standard-Edition
Es sind maximal 75 Anwender bzw. Clients in einer SBS Domäne möglich

Falls der SBS nicht zum DC gestuft wird, startet dieser alle 60 Minuten neu. Das kann man auch in den Lizenzbestimmungen nachlesen.>

A Windows Small Business Server 2003-based domain controller restarts every hour

Weitere Informationen:
Windows 2003 Small Business Server Shuts Down Unexpectedly; Events 1001, 1013 and 1014 are Logged

The Top Ten (Plus One) Myths About Windows Small Business Server 2003

Windows Small Business Server 2003: Häufig gestellte Fragen
>

Weiterhin viel Spass beim Lesen wünscht Yusuf Dikmenoglu.