News | Prival Networx

Active Directory: Interdomain Trust Account Phantom

Von Zeit zu Zeit überprüft ein gewissenhafter Admin seine Umgebung, um Problemen vorzubeugen. Mir passierte es, dass ich während einer solchen Routineüberprüfung auf einen alten Eintrag im Active Directory gestoßen bin: ein Interdomain Trust Account. Dieser verwaiste Eintrag ist ein verstecktes Konto vom Typ TRUST_ACCOUNT. Das Active Directory legt für jede Domäne in Vertrauensstellung ein Hidden Account an, üblicherweise im Container Users, mit ADSIEDIT gut zu finden unter dem Namen der vertrauenden Domäne und abschließendem Dollarzeichen, respektive DOMAIN$. Das kann schon mal zu Problemen führen, bspw. wenn der Name durch einen Computer verwendet werden soll. Wir erinnern uns, Computer haben auch einen Account der mit einem Dollar terminiert wird.

...

Exchange Server: Anti-Spam mit DNSBL

Bei DNS-basierten Sperrlisten (DNSBL), auch als DNS-based Blackhole List oder Domain Name System Black List bekannt, handelt es sich um ein Verfahren, um eingehende E-Mails anhand der IP-Adresse des sendenden Mailservers auf potentiellen Spam zu überprüfen. Dieser Check findet während der E-Mail-Zustellung im SMTP-Dialog statt. Zur Überprüfung wird die IP-Adresse des einliefernden Servers an Anbieter von Blacklists gesendet. Ist der Server auf einer Blacklist, wird die E-Mail-Zustellung abgelehnt. Die DNSBL-Prüfung führt keine Content Filterung oder andere Anti-Spam-Maßnahmen durch. ...

Kurzanleitung Firmware-Upgrade HP StorageWorks 4/8 SAN Switch

Fibre Channel-Systeme werden in einer Fabric Switch-Umgebung über Switches oder Directors angesteuert. Die Funktionsweise von Fibre Channel (FC) wird in ...

Windows Server 2012: Preview

Seit einiger Zeit ist der Nachfolger von Windows Server 2008 R2 zwecks Evaluierung als Developer Preview erhältlich: Windows Server 2012. Welche Features und Neuerungen in Windows Server 2012 integriert sind, decken wir heute auf.

Um es vorneweg zu sagen: Das Metro Design ist äußerst gewöhnungsbedürftig. Was bei einem Tablet oder Smartphone durchaus Sinn macht, wird auf einem Server eher hinderlich sein. Doch dazu später mehr.

...

Event Error ID 675: Pre-authentication failed

Wenn ein Benutzer versucht sich an einer Arbeitsstation anzumelden, dabei seinen richtigen Benutzernamen, jedoch ein falsches Passwort angibt, registriert der Domänencontroller (DC) das Ereignis 675 (Pre-authentication failed) mit der Fehlermeldung 24.

Beim Durchsuchen des Sicherheitsprotokolls des DC’s, kann jeder Anmeldeversuch ermittelt werden. In Verbindung mit den detaillierten Angaben ist es möglich festzustellen, welches Benutzerkonto betroffen ist und von welcher Arbeitsstation/Server der Versuch unternommen wurde. Windows loggt ebenfalls unter der ID 675, wenn ein Benutzer einen anderen Benutzernamen, als den mit dem er/sie bereits angemeldet ist, verwendet. Bspw. wenn eine Verbindung zu einem Server unter anderem Benutzernamen hergestellt werden soll (runas.exe, Netzlaufwerk verbinden unter anderem Benutzerkonto, etc.), dann aber fehlschlägt.

...

Could not start the IPSEC Services

Unversehens kann man sich nicht mehr an einem Server einer Active Directory Domäne anmelden, nur die lokale Anmeldung funktioniert. Weder die Domäne noch andere Server sind anpingbar oder können auf andere Art angesprochen werden. Und das obwohl die Netzwerkkarte verbunden ist und normal zu funktionieren scheint. Ein Ping auf den Server selbst geht problemlos durch. Keine Firewall blockiert ein Paket. Doch im Ereignisprotokoll treten zwei Fehler auf: Event ID 7023 und Event ID 4292 (IPSec driver has entered Block mode). Beide beziehen sich auf IPSec. Beim Versuch den IPSEC-Dienst zu starten, tritt ebenfalls ein Fehler auf.

“Could not start the IPSEC Services service on Local Computer. Error 2: The system cannot find the file specified.”

...

Outlook Web App konnte nicht initialisiert werden

Virtuelle Verzeichnisse können in seltenen Fällen, bspw. nach einem Update oder manuellen Konfigurationsänderungen, fehlerhafte Konfigurationen aufweisen. Versucht man sich per OWA auf das Exchange-Postfach anzumelden, erscheint der folgende Fehler.

Outlook Web App konnte nicht initialisiert werden. Falls das Problem weiterhin besteht, wenden Sie sich an Ihr Helpdesk. Von Outlook Live konnte nicht auf die Active Directory-Konfigurationseinstellungen für das virtuelle Verzeichnis “owa” unter Website “Default Website” zugegriffen werden.

...

Exchange Server als E-Mail-Relay konfigurieren

Der Exchange Server unterbindet in der Grundkonfiguration das Annehmen und Weiterleiten von E-Mails anonymer Benutzer. Dieses Sicherheitsmerkmal soll verhindern, dass der E-Mail-Server als Open Relay missbraucht wird. Davon unberührt sind natürlich Empfang und Weiterleitung externer E-Mails durch den Standardempfangsconnector. Doch hier besteht die “Einschränkung”, dass nur E-Mails für konfigurierte Domänen angenommen werden. Damit der Exchange Server als Relay fungiert, muss ein neuer Empfangsconnector (Receive Connector) erstellt und entsprechend konfiguriert werden. Doch warum sollte man anonymen Benutzern das Recht einräumen, einen Exchange Server als Relay zu verwenden?

...

Groovejuice: Cafe Prague

In der Rhein-Neckar-Metropole bereits bekannt, schickt sich Groovejuice an den weltweiten Groovefloor zu erobern. Gemeinsam mit seinem Bruder gründeten sie Laserkraft 3D und touren durch die Landen. Hier ist eines seiner wenigen eigenen Werke, aber mit Ohrwurm-Potential.

...

Active Directory: Vertrauensstellung (Trust) einrichten

In vielen Szenarien ist es erforderlich, zwei oder mehrere Gesamtstrukturen (Forest) zusammen zu schließen. Dieser Artikel beschreibt anschaulich, welche Schritte durchgeführt werden müssen.

Das in diesem Beitrag beschriebene Verfahren, ist für alle verfügbaren Windows Server-Versionen (aktuell Windows Server 2012 R2) gültig. Weitere Informationen zum Thema Active Directory findest du in meinem Post Active Directory – Grundlagen.