Blog Home  Home Feed your aggregator (RSS 2.0)  
LDAP://Yusufs.Directory.Blog/ - Sunday, September 17, 2006
Wieviele Sprachen sprechen Sie? Ich spreche bloß eine: LDAP!
 
 Sunday, September 17, 2006

Oft möchte man wissen, an welchem Client ein bestimmter User angemeldet ist.

 

 

 

Sunday, September 17, 2006 8:10:50 PM (W. Europe Standard Time, UTC+01:00)  #      Windows Server  | 

Auf NT/2000/2003 Mitgliedsservern/Standaloneserver sowie NT/2000/XP Clients ist es möglich, den Systemen mehrere NetBIOS-Namen zu vergeben.

 

Das funktioniert nicht auf Domänencontrollern sowie auf NT-Printservern !

 


Durch folgenden Registry-Key, kann man einem Server mehrere Alias-Namen vergeben.
Dazu trägt man jeden zusätzlichen NetBIOS-Namen in einer eigenen Zeile in den „MULTI_SZ-Variable“-Wert ein:


Key: HKEY_Local_Machine\System\CurrentControlSet\Services\LanmanServer\Parameters

Name: "OptionalNames"

Typ: REG_MULTI_SZ

 

 

Desweiteren sollte das „StrictNameChecking“ deaktiviert werden. Das funktioniert aber erst mit Windows 2000 ab Service Pack 3 sowie mit Windows Server 2003.
Mit diesem (gesetzten) Schlüssel wird dem Serverdienst (SMB) ermöglicht, dass er eine Verbindung, die nicht mit seinem echten Computernamen versucht wird, zulässt:

 

Key: HKEY_Local_Machine\System\CurrentControlSet\Services\LanmanServer\Parameters

Name: "DisableStrictNameChecking"

Typ: REG_DWORD

Wert: 1

 

Normalerweise wird das nicht unterstützt:

http://support.microsoft.com/kb/254210/en-us

Damit der Serverdienst dieses unterstützt, setzt man den „DisableStrictNameChecking“-Schlüssel: http://support.microsoft.com/kb/281308/en-us

 

Nach der Registry-Änderung muss der Serverdienst beendet und neu gestartet werden, mit (in der Kommandozeile des Server`s) „net stop server && net start server“.

Danach (oder nach einem Reboot) werden die eingetragenen Alias-Namen „auch“ dynamisch in der WINS-Datenbank als „03h [Nachrichtendienst]“ eingetragen.
Die beiden fehlenden Einträge 00h [Arbeitsstationsnamen] und 20h [Serverdienst] sind noch statisch hinzuzufügen.

 

Ab Windows Server 2003 ist es auch möglich, einem Server mehrere DNS-Namen per Registry-Schlüssel zu geben.
Diese werden als A-Resource Records (A-RR) im DNS registriert. Dadurch bleiben einem die CNAME-Einträge im DNS erspart
(wer die CNAME-Einträge bevorzugt, kann diese natürlich setzen).

 

Die DNS-Alias-Namen werden in einer REG_MULTI_SZ-Variable mit dem Namen "AlternateComputerNames" gespeichert:

 

Key: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Dnscache\Parameters

Name: "AlternateComputerNames"

Typ: REG_MULTI_SZ

 

Dazu muss der jeweilige DNS-Name als FQDN <Clientname.DNS-Domänenname> in einer Zeile eingegeben werden.
Die Änderung wird mit einem „ipconfig /registerdns“ (oder Serverneustart) wirksam.

 

 

Möchte man lokal auf dem Server selbst auch auf eine Freigabe per UNC zugreifen, erhält man nach Eingabe von \\AlterComputername\Freigabe eine Anmeldeaufforderung.
Das liegt am Authentifizierungsprotokoll "Kerberos". Damit das nicht passiert, müssen noch zwei SPNs (Service Principal Name) erstellt werden.
Dazu müssen zuerst unter Windows 2000 und Windows Server 2003 die "Windows Support Tools" installiert werden. Ab Windows Server 2008 ist das Tool SETSPN bereits "on Bord".

Wenn der Computername des Dateiservers "Fileserver01.Domäne.DE" und der CNAME "Alias.Domäne.de" lautet, gilt es die folgenden beiden Befehle in der Kommandozeile einzugeben:

 

Setspn -a HOST/CNAME Fileserver01

 

und

 

Setspn -a HOST/CNAME.Domäne.de Fileserver01



Wenn anschließend der Ticketcache geleert oder der Server neu gestartet wird, erscheint danach keine Anmeldeaufforderung mehr.

 

Sunday, September 17, 2006 12:28:16 PM (W. Europe Standard Time, UTC+01:00)  #      Networking  | 
 Saturday, September 16, 2006

Wenn ein AD-Standort umbenannt wird, passiert im Hintergrund folgendes:

  1. Die Standortnamensänderung wird in der Gesamtstruktur repliziert
  2. Wenn die Standortnamensänderung auf einen lokalen Domänencontroller repliziert wurde, kontrolliert der Anmeldedienst (Netlogon) seine "subnet-to-site" - Zuordnungstabelle. Anschließend informiert der Anmeldedient "Netlogon" die Clients über den neuen Standortnamen.
  3. Der DNS-Server schreibt die neuen Domänencontroller-Records in die Zone (mit geändertem Site-Namen). Diese Informationen werden dann auch auf die DNS-Server repliziert, basierend auf der DNS oder AD Replikation.
  4. Der Netlogon-Dienst auf den Domänencontrollern, registriert die neuen Standort-spezifischen Domänencontroller "SRV-Records" auf ihrem autoritativen DNS-Servern, sprich die SRV Records werden neu gesetzt.
  5. Die Clients bekommen diesen neuen Standortnamen vom Domänencontroller mitgeteilt. Der Client bzw. Resolver, nutzt dann diesen neuen Standortnamen um DNS Abfragen nach einem Domänencontroller zu stellen.
  6. Davon betroffen ist auch das DFS, dass seinen Cache alle 12 Std. aktualisiert, dieser aber erst zuverlässig nach 24 Std. funktioniert.

Wichtig ist, dass nach dem umbenennen eines Standortes der Anmeldedienst "Netlogon" neu gestartet werden muss (net stop netlogon && net start netlogon). Man kann natürlich auch den DC neu starten.

 

 

Weitere Informationen:
Gründe für das Einrichten eines Einzelstandortes oder separater Standorte

You may experience problems when you rename sites in the Active Directory forest

Saturday, September 16, 2006 12:18:44 PM (W. Europe Standard Time, UTC+01:00)  #      Active Directory  | 
 Friday, September 15, 2006

Windows XP verwendet für den schnellen Start- sowie für den Anmeldungvorgang, eine "optimierte" (das kann man sehen wie man will) Anmeldung.

 

Anders als zu Windows 2000 Zeiten werden die Gruppenrichtlinien in Windows XP, beim starten des Rechners und der Anmeldung des Benutzers asynchron verarbeitet. Dadurch wird der Anmeldebildschirm als auch die Arbeitsoberfläche (Desktop) für den Benutzer schneller zur Verfügung gestellt.
Es gibt aber Situationen, in denen Windows XP die Gruppenrichtlinien synchron verarbeitet, als die wären:

  • Bei dem ersten Startvorgang eines Computers in der Domäne
  • Bei der ersten Anmeldung eines Domänen-Users an einem Client
  • Wenn der User (oder Computer) über synchron zu verarbeitende Skripte verfügt
  • Wenn der User ein konfiguriertes Basisverzeichnis (Home-Laufwerk) besitzt
  • Wenn der Benutzer über ein servergespeichertes Profil verfügt

Durch diese "scheinbar" Verbesserung kommt es aber desöfteren vor, dass dieses Verhalten eher als "störend" empfunden wird, wenn man sich z.B. anmeldet und findet keine Netzlaufwerke vor oder die Netzlaufwerke im Explorer erst nach und nach erscheinen etc.

 

Deshalb sollten diese beiden Richtlinien aktiviert werden, damit Windows XP die Gruppenrichtlinien während des Startvorgangs bzw. bei der Anmeldung des Benutzers synchron verarbeitet:

Computerkonfiguration/Administrative Vorlagen/System/Skripts\Anmeldeskripts gleichzeitig ausführen
Computerkonfiguration/Administrative Vorlagen/System/Anmeldung\Beim Neustart des Computers und bei der Anmeldung immer auf das Netzwerk warten

 

 

Weitere Informationen:
Description of the Windows XP Professional Fast Logon Optimization feature

 

Friday, September 15, 2006 12:00:22 PM (W. Europe Standard Time, UTC+01:00)  #      Gruppenrichtlinien  | 

Was passiert eigentlich im Hintergrund, wenn man die LAN-Verbindung "repariert" ?

 

Falls Kommunikationsprobleme, die nicht mit der Infrastruktur (Verkabelung, Switch) zusammenhängen auftreten, gestattet Windows XP sowie Windows Server 2003 das "Reparieren der LAN-Verbindung". Hierbei passiert folgendes :

  • Der Computer-interne Cache von ARP wird geleert
  • Der Computer-interne Cache von NetBIOS wird geleert
  • Der Computer-interne Cache von DNS wird geleert

Anschließend wird veranlasst, dass die TCP/IP-Konfiguration durch versenden einer DHCP-Anfrage (DHCPDISCOVER) an einen DHCP-Server erneuert wird.
Dieses Vorgehen wird desweiteren ergänzt von einer erneuten Registrierung beim DNS-Server und falls vorhanden WINS-Server und falls die Verbindung die 802.1x-Authentifizierung verwendet, findet zudem auch hier eine dementsprechende Re-Authentifizierung statt.

Die Reparier-Funktion ist keine neue Funktion die Microsoft erfunden hat, vielmehr handelt es sich hierbei um eine Reihe von Befehlen (samt spezieller Parameter) die ansonsten in einer Kommandozeile händisch eingegeben werden müssten. Die Befehle lauten:

  • IPCONFIG /Renew (zum erneuern der IP-Adresse)
  • NBTSTATT -RR (zum registrieren im WINS) 
  • IPCONFIG /REGISTERDNS (zum registrieren im DNS)

Eine weitere Möglichkeit wäre noch, dass das TCP/IP - Stack einen Schaden hätte.
Diesen kann man zwar nicht mehr deinstallieren (wie zu Windows 2000 Zeiten), sondern nur noch deaktivieren, aber man kann ihn resetten.
Der Befehl hierzu lautet: "netsh int ip reset C:\resetlog.txt".
Was genau der Vorgang gemacht hat, kann man sich in der Datei C:\resetlog.txt anzeigen lassen.

 

Zum reparieren der LAN-Verbindung klickt man mit rechts auf die Netzwerkverbindung (sei es rechts unten in der Taskleise oder über die Systemsteuerung - Netzwerkverbindungen) und wählt "Reparieren" aus.

Friday, September 15, 2006 11:03:31 AM (W. Europe Standard Time, UTC+01:00)  #      Networking  | 
Copyright © 2012 Yusuf Dikmenoglu. All rights reserved.
DasBlog 'Portal' theme by Johnny Hughes.
Pick a theme: