Melde mich als Admin an, 100 Fenster werden geöffnet:
Archiv der Kategorie: Microsoft
Windows Server 2012R2 mit ABE hat hohe CPU-Last (Gestbeitrag von Andreas)
Problem
Ein Windows Server 2012R2 installierter Fileserver-Rolle und aktiviertem ABE (Access Based Enumeration) hat sehr viele PDF-Dateien bekommen. Daraufhin gibt es massive Performance-Probleme.
Die CPU am Fileserver zeigt während des Arbeitszeit ~100% Last an, Netzwerklast gibt es dabei aber kaum. Mit Procmon sieht man unzählige Zugriffe auf diese PDF Dateien. Auf die Dateien und Ordner kann von Windows 7 Clients aus zugegriffen werden.
Lösung
Die ABE-Funktion muss bei einer großen Anzahl Ordnern und Dateien eingeschränkt werden, weil die Anfrageschlange sonst zu groß wird.
Den ABELevel kann man in der Registry setzen. Das geht hier:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\Parameters
Dort einen DWORD-Wert (32 bit) Eintrag mit der Bezeichnung ABELevel und einem entsprechendem Wert anlegen.
Der ABELevel -Wert gibt die höchste Ebene der Ordner auf denen die ABE-Funktion aktiviert ist. Zum Beispiel wenn ABE auf \\SERVER\FREIGABE aktibiert ist, muss der ABELevel-Wert auf „1“ stehen. Wenn ABE auf \\SERVER\FREIGABE\ORDNER aktiviert ist, muss der ABELevel Wert auf „2“ stehen. Wenn der Wert ABELevel nicht festgelegt ist oder der Wert 0 hat, ist dieser Hotfix noch nicht installiert.
Wert = 1: ABE aktiviert für Tiefe von 1 (\server\share)
Wert = 2: ABE aktiviert für Tiefe von 2 (\server\share\folder)
Microsoft-KB: https://support.microsoft.com/de-de/kb/2732618 (High CPU usage on a file server that is running Windows Vista, Windows 7, Windows Server 2008 or Windows Server 2008 R2 with ABE enabled)
Ein ganz großes Dankeschön an Andreas 🙂
IIS Reverse SSL Proxy unter Windows Server 2012R2/2016 mit einer Webfarm einrichten (Schritt für Schritt)
Ab und zu muss ein Wbservice auf einem „dritten“ Web- oder Applikationsserver wie Tomcat, Jetty ein Hardware-IoT-Gerät (Heizungssteuerung, Alarmsystem …) oder ähnliches sicher an das Internet angebunden werden. Was bietet sich mehr an, als ein reverser Proxy in einem „Standard-System“, der die SSL/TLS-Verbindung eines Clients verwaltet und nur die nackten HTTP-Anfragen unverschlüsselt weiterleitet? Eine einfache Anleitung für einen SSL-Offloading-reverse-Proxy.
Installation IIS als reverse Proxy mit SSL-Offloading
Installieren
- IIS (ab 7.5 aufwärts). Server Manager > Rollen und Features hinzufügen > Webserver)
- Herunterladen und installieren: IIS URL Rewrite 2.0
- Herunterladen und installieren: Application Request Routing 3 (ARR3)
Reverse-Proxy im IIS einschalten
IIS-Konsole („Internetinformationsdienste (IIS) Manager“) > Links auf den Server > Rechts auf „Application Request Routing Cache“ > Ganz recht auf die Action „Server Proxy Settings…“ > „Enable Proxy“ einschalten. Sonst hier nichts ausfüllen, vor allem das Feld für die Proxy-Chain leer lassen.
Falls noch nicht geschehen: SSL-Zertifikat in IIS importieren
Wir importieren hier ein Zertifikat einschliesslich private Key, zum Beispiel aus einem Wildcard-Zertifikat. Je nach Ausgangsstellung muss das passende Zertifikat zur Verfügung stehen (self-signed oder unterschriebener CSR und so weiter).
Doppelklick auf das PFX > Speicherort „Lokaler Computer“ > Weiter … (dem Assistenten folgen) …Fertigstellen.
SSL-Listener im IIS erstellen
IIS Manager > Links die Site auswählen > Rechts die Aktion „Bindungen“ > Hinzufügen > Den Typ auf „SSL“ stellen und den rest des Fesnters entsprechend ausfüllen. Sollte hier kein SSL-Zertifikat zur Auswahl stehen, ist das Zertifikat nicht korrekt importieren (oder es steht kein privater Schlüssel zur Verfügung). Dann den vorherigen Schritt noch einmal genau anschauen. Sollte der lokale Port :80 belegt sein, diesen auf einen anderen freien Port umstellen.
Weiterleitungsziel (Server „Farm“) erstellen und Rewrite-Regel erstellen
Im IIS-Manager links unten auf den neuen Knoten „Server Farms“ > Create Server Farm
Server-Farm Name: beliebig > Das Feld „Server Address“ ist der Ziel-Webserver (in diesem Bespiel ist der Ziel-Webserver auf dem lokalen Host 127.0.0.1, das kann aber auch ein BELIEBIGER-HOST.DOMAIN.INTERN sein) > Die folgende „Rewrite Rules“ Frage mit „Ja“ beanworten („IIS Manager can create a URL rewrite rule to route all incoming requests to this server farm automatically. Do you want to create this rule now? You can also create this rule later by visiting the Routing Rules page of the server farm.“)
- Unter „Advanced Settings“ müssen HTTP/HTTPS-port belegt sein. Wenn der Webserver nur auf HTTP reagiert, einfach undedizierten Müll eintragen.
- Der Port lässt sich im nachhinein an dieser Stelle nicht mehr ändern. Ändert sich der Ziel-Port, einfach den Server löschen und einen neuen Eintrag hinzufügen. Alternativ kann man über den „Configuration Editor“ > Web Farms den eintrag erreichen. Microsoft hat sich hier das logische GUI einfach gespart.
Damit ider der IIS Reverse Proxy auch schon fertig.
Outlook 2013/2016 „Ein unbekannter Fehler ist aufgetreten, Error-Code 0x80090345“
Unter Windows 8.1 oder höher mag sich ein nagelneu eingerichtetes Outlook nicht mit dem Exchange-Server verbinden. Das passiert gleichermaßen bei lokalen Exchange-Servern und auch unter Office 365. Statt sich zu verbinden erscheint nach dem Autodiscover, also nach dem „Exchange-Servereinstellungen suchen“.
Lösung
Dieser Fehler tritt nur auf, wenn die Domäne unter Windows NT4 oder Samba betrieben wird. Die Lösung lautet, auf den neuen Credential-Manager-Schutz aus KB3000850 zu verzichten:
Einfach dazu im Schlüssel HKLM\SOFTWARE\Microsoft\Cryptography\Protect\Providers\df9d8cd0-1501-11d1-8c7a-00c04fc297eb den DWORD-Wert „ProtectionPolicy“ auf 1 setzen.
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Protect\Providers\df9d8cd0-1501-11d1-8c7a-00c04fc297eb] "ProtectionPolicy"=dword:00000001
Die Samba-Leute sind mit ihren Credentials noch nicht so weit (siehe Wiki).
Active Directoryx Zertifikatdienste („certsvc“) starten nach Upgrade nicht 0X422 (WIN32: 1058 ERROR_SERVICE_DISABLED)
Problem
Nach einem In-Place Upgrade von Windows Server 2012/2012R2 auf Windows Server 2016 werden die „Active Directory-Zertifikatdienste“ (certsvc) nicht mehr gestartet. Versucht man das in der Zertifizierungsstellenkonsole manuell nachzuholen, erhält man diesen fiesen (und zudem falsch übersetzen) Fehler:
Windows konnte Active Directory-Zertifikatdienste-Dienst auf dem lokalen Computer nicht gestartet werden. Fehler 1058: Der Dienst kann nicht gestartet werden deaktiviert ist oder weil keine Geräte zugeordnet aktiviert hat.
Versucht man es in der Diensteverwaltun heisst es:
Der Dienst kann nicht gestartet werden, weil er deaktiviert wurde oder nicht zugeordneten Geräte aktiviert ist. 0X422 (WIN32: 1058 ERROR_SERVICE_DISABLED)
Um es für den Admin noch spannender zu machen, gibt es auch keine Einträge im System- oder Anwendungsprotokoll. Es passiert einfach nichts.
Lösung
Jetzt wird es peinlich: Ein Systemneustart hilft. Boot toot goot.
Die Dienstregistrierung der Zertifizierungsstelle passiert erst, wenn die CERTCONFIG wieder ausgepackt ist. Das passiert beim ersten erfolgreichen Systemstart. Danach starten auch die Dienste wieder …
Update: Ab genau jetzt ist dieses Verhalten sogar offiziell 🙂 Schön wenn man Microsoft auch mal helfen kann …