Viktor's storage

Kategorie: Windows Server

  • Windows Server Core: quick install guide

    Anfänglich war ich skeptisch: Windows Server ohne Gui? Ich lies das also ein paar Jahr liegen. Aber seit ein paar Monaten bin ich vollauf begeistert! Die Administration kann man sowieso Remote sehr gut erledigen mit

    • Remote Server Administration Tools (RSAT)
    • Windows Admin Center
    • Server Manager

    Die Anwendungsdienste, die auf dem Server laufen sollen, haben auch meist ein eigenes Admin-Interface (oft Web-basiert) und somit braucht man eine lokal auf dem Server installierte GUI so gut wie gar nicht mehr. Sollte man doch was brauchen kopiert man einfach den Explorer++ und die Sysinternal-Suite auf den Server und schon bleiben eigentlich keine Wünsche mehr offen 😉

    Die Installation ist (inklusive Grundkonfiguration) in 20 min erledigt und ein Neustart des Servers ist ebenfalls nur eine Frage von Sekunden. Und zu guter Letzt: Der Server Core braucht nur einen Bruchteil der Updates eines „normalen“ Servers 😉

    Hier meine Kurzanleitung:

    • Die Installation ist eh klar. CD in den (v)Server rein und ein paar mal ein Enter klopfen
    • Falls vmWare: vmWare-Tools installieren
    • Dann auf dem Server Core das Tool „sconfig“ starten und damit
      • Netzwerk einrichten (Ziffer 8), Reboot (13)
      • Computername einstellen (Ziffer 2), Reboot (13)
      • Join der Domäne (Ziffer 1), Reboot (13)
      • Remote Desktop gestatten (Ziffer 7)
      • Remote Management gestatten (Ziffer 4)

    Zu guter Letzt muss man noch die Firewall für die ein oder andere Freigabe überreden:

    • Freischaltung des EventLog via Remote-MMC:
      PS C:\> netsh advfirewall firewall set rule group=“Remote Event Log Management“ new enable=yes

    Wie die Gruppennamen heißen kann man einfach auf jedem Windows 10 Rechner in der „Advanced Firewall“ nachsehen. Dort einfach die Spalte „Gruppe“ checken. Man kann z.B. den Virtual Disk Service via Remote MMC (wenn man es braucht um z.B. eine Festplatte zu vergrößern!) für die Firwall freigeben mit der Group „Remote Volume Management“. Aber eigentlich kann man das alles auch via Windows Admin Center machen!

    Danach kann man dann eigentlich von jedem beliebigen Rechner aus mit den oben genannten Tools auf den Server zugreifen und diesen weiter bearbeiten!

  • WSUS: Install on Windows Server Core

    Hier ein paar Links, die mir geholfen haben einen WSUS neu auf einem Windows Server Core zu installieren. Im Endeffekt sind es nur ein paar wenige Befehle in Powershell. Auch die Installation eines Windows Server Core selbst ist pfeilschnell passiert! Aber dazu kommt dann gleich ein eigener Beitrag 😉

    Wichtige Hinweise:

    Sollte auf dem SQL-Server aber bereits eine WSUS-DB liegen die ihr noch braucht, dann installiert den neuen WSUS auf alle Fälle zuerst mit der „Windows Internal Database“ (WID)!!

    Hier eine Anleitung wie man den WSUS Dienst mit Hilfe des Server Managers von einem anderen Rechner aus installieren kann:

    https://www.windowspro.de/wolfgang-sommergut/anleitung-wsus-windows-server-2016-installieren

    Die „Nachinstallationsaufgaben“ haben bei mir aber auch schon einmal nicht funktioniert! Das ist aber nur ein Powershell-Befehl den Ihr z.B. auch im unteren Link zu andy-tech.blog findet!

    Dieser Link hat nicht umsonst den Titel „Complete Guide to … WSUS“:

    https://www.prajwaldesai.com/install-configure-wsus-on-windows-server-2019/#Install_WSUS_Role_on_Windows_Server_2019

    Guide to using and installing WSUS on Windows Server Core 2019

    Diese Anleitung verwendet ebenfalls Powershell und ist etwas detailierter:

    WSUS on Server 2019 core

    Zu guter Letzt noch ein Hinweis:

    Um den IIS auf dem (neuen) WSUS von Remote administrieren zu können müsst Ihr zuerst den Web-Management-Server installieren (mit Powershell oder Server Manager) und dann diese Anleitung befolgen:

    Manage (Remotely) IIS on Windows Server 2019 Server Core

  • WSUS: Cleanup

    Wer WSUS einsetzt kennt sicher auch das Platzproblem! Mit den Monaten und Jahren schreibt WSUS alles voll! So sauber kann man die Produkte und Computer udgl. gar nicht halten!

    Ich habe nun unsere WSUS etwas aufgeräumt und dafür dieses Powershell Script verwendet:

    https://gallery.technet.microsoft.com/WSUS-cleanup-script-7e019537

    Die hier verwendeten Cmd-Lets sind hier dokumentiert:

    https://docs.microsoft.com/en-us/powershell/module/updateservices/invoke-wsusservercleanup

  • IIS: Redirect domain to a deep-link

    Wie man im IIS eine http-URL zur entsprechenden httpS-URL redirected ist ja bereits bekannt. Nun hatte ich zusätzlich das Problem, dass ich eine URL https://domain.tld weiterleiten sollte zu https://domain.tld/deep/link.html

    Die Lösung fiel mir schwer, bis ich begriff, dass der Filter (der überprüft ob die rewrite-rule auf die Anfrage zutrifft) nicht die gesamte URL testet, sondern nur den Teil NACH der Domain!!! Dann war es einfach 😉

    Die Lösung, die mir dann auch den Lerneffekt brachte, fand ich hier:

    https://stackoverflow.com/questions/7018818/iis7-url-redirection-from-root-to-sub-directory

  • Certificates: Create a certificate with the active directory CA/PKI

    Wir hatten den Fall, dass wir für eine Sharepoint-Anwendung ein Wildcard-Certificate benötigten. Und zwar für nur intern genutzte Domäne die wir nicht besitzen. Im Grunde ist das nicht schwer. Wer allerdings noch nie die AD-interne Zertifizierungsdienste dazu genutzt hat braucht eine Anleitung dazu. Hier ist sie 😉

    https://www.petenetlive.com/KB/Article/0001128

    Kleiner Tipp: Falls beim Schritt „Zertifikat- oder Erneuerungsanforderung einreichen“ die Vorlage „Webserver“ nicht findet liegt das daran, dass ihr den IE mit Admin-Rechten starten solltet.

    24.8.2018 Update:
    Für selbst erstellte Zertifikate müsst ihr (damit diese auch bei Verwendung des Google Chrome Browsers korrekt funktionieren) folgendes beachten:
    Der „Common Name“ (CN) und der „Alternative Subject Name“ (DNS) MÜSSEN übereinstimmen!!!
    Details dazu findet ihr hier:
    http://www.expta.com/2017/06/fix-for-certificate-error-in-chrome.html
    https://www.heise.de/security/artikel/Chrome-blockt-Zertifikate-mit-Common-Name-3717594.html

     

    Kleine Randnotiz:
    Falls Ihr beim Erstellen der Zertifkatsanforderung die Fehlermeldung erhalten „Fehler bei der Analyse der Anforderung. Der angeforderte Antragstellername ist ungültig oder zu lang“ dann gibt es eine einfache Lösung:
    Bei mir war der Grund, dass die Daten für den Eintrag „Lang“ mit „Austria“ zu lang war! Als ich das auf „AT“ geändert hatte war alles wieder OK 😉
    Die Lösung fand ich hier im ersten User-Kommentar:
    https://mxrnz.wordpress.com/2016/08/18/internal-ca-the-request-subject-name-is-invalid-or-too-long/

     

  • Windows Server: DHCP – Create custom DHCP options

    Wenn man einen DHCP Server konfigurieren muss kommt man manchmal in die Situation, dass man eigene DHCP-Options erstellen muss.Über die Kommandezeile geht das so:

    netsh
dhcp server 

#übersicht über befehle:
show
add
del

# add a Vendor Class
add class "Vendor IP Phone" "Class for DHCP-Options for Vendor IP-Phones" Vendor 1
# to delete a vendor class: del class "Vendor IP Phone"

# add DHCP Options
add optiondef 3 "PBX Address" IPADDRESS 0 vendor="Vendor IP Phone"
add optiondef 4 "SIP Port PBX" WORD 0 vendor="Vendor IP Phone"
add optiondef 5 "SIP Port Phone" WORD 0 vendor="Vendor IP Phone"
add optiondef 7 "VLAN Prio" BYTE 0 vendor="Vendor IP Phone"
add optiondef 8 "VLAN ID/Enabled" WORD 0 vendor="Vendor IP Phone"
add optiondef 9 "VLAN PC Prio" BYTE 0 vendor="Vendor IP Phone"
add optiondef 10 "VLAN PC ID/Enabled" WORD 0 vendor="Vendor IP Phone"
add optiondef 11 "VLAN PC port Tags" BYTE 0 vendor="Vendor IP Phone"

# to delte an option: del optiondef 4 vendor="Aamadeus IP Phone"

    Die Vendor-Class kann auch mit einem Dialog angelegt werden:
    Im DHCP-Fenster: Eintrag „IPv4“ anklicken, dann im Menü „Action“ „Define Vendpr classes“.

    Das geht auch mit Powershell (habe ich aber nicht getestet!): https://blogs.technet.microsoft.com/poshchap/2015/12/18/use-powershell-to-add-a-vendor-specific-class-to-windows-dhcp/

    Sourcen:

  • Windows Server: SNMP-Service – missing security tab

    Wenn man einen Windows Server mit Nagios abfragen möchte passiert hier vieles via SNMP. Damit man im SNMP-Service auch die Security korrekt konfigurieren kann ist dieser Tipp wichtig. Ist zwar ganz einfach aber ich vergesse das immer wieder 😉

    Mit dem Servermanager diese drei Features installieren:

    1. SNMP service
    2. SNMP WMI Provider
    3. Remote Server Administration Tools -> Feature Administration Tools -> SNMP Tools

    Source: https://joshancel.wordpress.com/2013/04/02/windows-server-2012-no-security-tab-in-snmp/

     

  • IIS8: Rewrite url’s from HTTP to HTTPS

    Wenn man mit dem IIS die Verwendung von HTTPS erzwingen möchte benötigt man ein kleines Add-On für den IIS. Es sei denn man hat nur eine  Domäne. Dafür reichen die Board-Mittel.

    Mit der „URL rewrite extension“ von MS für den IIS kann man für die einzelnen IIS Sites sehr variable Regeln einstellen was genau wann wohin geroutet werden soll.

    Hier die Links dazu:
    Die benötigte Erweiterung: https://www.iis.net/downloads/microsoft/url-rewrite
    Eine Schritt für Schritt Anleitung: https://blogs.technet.microsoft.com/dawiese/2016/06/07/redirect-from-http-to-https-using-the-iis-url-rewrite-module/

    Hier noch ein kleiner Tipp: Nach der Installation das Fenster des IIS kurz schließen und wieder öffnen (Stackoverflow).

  • Sharepoint: Restore a host name site collection

    Da einige Anleitungen im Internet nicht funktioniert haben hier das Script, das bei mir funktioniert hat:

    Restore-SPSite http://hnsc.domain.tld 
  -DatabaseServer SQLALIAS -DatabaseName WSS_Content 
  -Path "\\path\to\backup\sitecollection_export.file" 
  -HostHeaderWebApplication http://hnsc.domain.tld 
  -Force

    Das Backup wurde übrigens erstellt aus der CA von Sharepoint 2016. Zuerst habe ich ein Backup der ContentDB wiederhergestellt und dann in der CA unter „Backup und Restore“ den Assistenten „Recover data from a unattached content database“ bemüht.

  • Active directory: difference between global and universal groups

    Ich bin mal wieder darüber gestolpert und habe mir diese Unterschiede wieder in Erinnerung gerufen.

    Solange man nur mit einer rechte einfachen Domänen-Struktur (1 Domäne, nicht Länderübergreifend) zu tun hat (also vermutlich 90-95% aller Windows-Administratoren) ist der Unterschied recht marginal. Einziger Punkt über den man vielleicht stolpert ist der, dass globale Gruppen keine Mitglieder universeller Gruppen sein können.

    Wenn man zu den restlichen 5-10% der Windows-Administratoren gehört, dann kennt man die Unterschiede vermutlich gut genug um Sie nicht googeln zu müssen 😉
    Zur Not einfach die Quellen unten lesen!

    Quellen: