Ein Kunden-PC stürzte reproduzierbar bei der Ausführung der Datensicherung via Veeam Agent for Windows (Free) mit einem Bluescreen ab. Bei einer Gegenprobe mit Macrium Reflect (Free) geschah dies allerdings nicht.

Gleich vorweg: Beide Programme waren nicht gleichzeitig auf dem PC installiert.

Im Ereignisprotokoll fanden sich während der Ausführung von Veeam und Macrium folgende Fehler vermerkt:

Protokollname: System
Quelle:        disk
Datum:         13.07.2020 16:07:13
Ereignis-ID:   7
Aufgabenkategorie:Keine
Ebene:         Fehler
Schlüsselwörter:Klassisch
Benutzer:      Nicht zutreffend
Computer:      DESKTOP-1234567
Beschreibung:
Fehlerhafter Block bei Gerät \Device\Harddisk0\DR0.

Einziger Unterschied ist, das bei Veeam bis zum Absturz ein vielfaches dieser Meldungen erfasst wird, während bei Macrium nur drei Stück zu Beginn der Sicherung auftreten. Vom Bluescreen ist leider überhaupt nichts protokolliert, auch kein Speicherabbild.

Naheliegend, das mit der SSD etwas nicht stimmen könnte, allerdings: S.M.A.R.T. sagt alles OK, Chkdsk, HD Tune, HWiNFO, CrystalDiskInfo, usw. finden keine Fehler. Das gilt auch für alle anderen genutzten Festplatten (s.u.).

Bei einer weiteren Gegenprobe mit Drive Snapshot ebenfalls keine Auffälligkeiten, auch nicht die besagten Fehler im Ereignisprotokoll. Echt Kurios. Als nächstes wurde der Intel RST (Rapid Storage Technik)-Treiber auf die zuletzt vom PC-Hersteller freigegebene Version aktualisiert, anschließend wurde eine neue Datensicherung mit Macrium Reflect durchgeführt. Keine Fehler (mehr).

Als nächstes wurde eine andere USB-Festplatte verwendet, dabei stürzte das System reproduzierbar ab. Die letzte Meldung von Macrium war (sinngemäss): Laufwerk nicht vorhanden. Gemeint war Laufwerk C:, denn dieses wurde nicht mehr im Explorer angezeigt. Es half nur den PC aus- und wieder einzuschalten. Mit einer dritten USB-Festplatte dann wiederum überhaupt keine Schwierigkeiten. Weitere Test-Sicherungen mit der Kunden-eigenen USB-Festplatte zeigten keine Fehler oder Abstürze mehr.

Alles in allem seltsam. Denkbar, das doch irgendetwas mit der SSD ist und der fehlerhafte Bereich durch den Controller mittlerweile ausgeblendet ist. Mal sehen, ob in Zukunft nochmal etwas kommt.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Anbei ein paar Notizen zu der zu diesem Zeitpunkt aktuellen BackupAssist (Classic)-Version 10.5.3.

Quasi als Ergänzung oder Update zum „steinalten“ Beitrag BackupAssist – Windows-Bordmittel zur Datensicherung in aufgebohrter Form dienen die nachfolgenden Zeilen.

Wie sellemols geschrieben, hat sich an der einfachen Bedienung im Laufe der Jahre nichts geändert. Als ein wichtiges neues Feature ist vor einer Weile der CryptoSafeGuard hinzugekommen, der das Backup vor Ransomware schützt. Die Optik wurde selbstredend immer wieder aufgehübscht. Ansonsten: Läuft!

Datensicherung

Führt man eine (erste) Datensicherung aus, in diesem Fall für’s Bare-Metal-Recovery, kann es relativ lange an „Ziel überprüfen“ hängen. Tipp: Unter „Ansicht – Ereignisprotokolle“ nachschauen, dort sieht man evtl. mehr und einen Fortschritt wenn sonst scheinbar nichts mehr geht.

Bare-Metal-Recovery

Im Gegensatz zum aktuellen Recovery-Medium von ER (s.u.) bootet der RecoverAssist unter Hyper-V Generation 2-VMs ohne Schwierigkeiten.

Die Wiederherstellung der Datensicherung über das Netzwerk und speziell aus einem Daten-Container klappt nun auch besser. Wäre ja auch schlimm, wenn sich im Laufe der Jahre nichts verbessert hätte So ein paar verwirrende Punkte die von Microsoft’s Backup herrühren sind geblieben, da kann BackupAssist nichts für.

Der Vollständigkeit halber: BackupAssist ER verfolgt einen anderen Ansatz und ist in manchen Punkten moderner.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Relativ überrascht stellte ich auf einem recht frisch eingerichtetem Windows Server 2019 Standard mit installierter Hyper-V Rolle fest, das der gesamte Arbeitsspeicher belegt ist.

Aufgefallen war das Ganze durch Netzwerkprobleme wie beispielweise stockendes RDP und Pings die teils hohe Laufzeiten oder gar Timeouts hatten, von weiteren Punkten ganz zu Schweigen.

Die drei laufenden VMs (1x Windows Server 2012 R2 Standard, 2x Debian 10 Buster) belegen allerdings lediglich insgesamt 9 GB (+ Overhead) des 32 GB im Host installierten RAMs. Dynamischer Arbeitsspeicher ist bei allen VMs deaktiviert, d.h. diese Funktion sollte nicht die Ursache dieses Problems zu sein.

Weder der Task-Manager, noch der Ressourcenmonitor noch externe Tools PoolMonX lieferten einen Hinweis darauf welcher Prozess oder Treiber für die exzessive Speichernutzung verantwortlich sind. Bei bzw. mit Hyper-V im Speziellen ist die Sache sowieso etwas anders, da der insgesamt belegte Arbeitsspeicher zwar in den Bordmitteln angezeigt wird, aber man dies keinem Prozess zuordnen kann.

Ersichtlich, wenn auch nicht im Detail, wird das erst beispielswiese mit Tools wie RamMap (Introduction to the new Sysinternals tool: RAMMap) auf der Registerkarte „Use Counts“ unter „Driver Locked“. Einen interesanten Beitrag dazu gibt es hier:

Joe Freeman – Seeing Hyper-V and Docker memory usage on Windows

Zugegeben, diese Büchse ist nur Teil-Produktiv, die Linux-VMs werden durchaus produktiv genutzt, der Host ist unter anderem Spielwiese für aktuelle Software-Tests. Das ist sogar so gewollt, da nicht alles unter Labor-Bedingungen geprüft werden kann und soll. Ferner ist das System nicht ins Monitoring eingebunden, letzteres sollten wir dann nun doch mal nachholen.

Irgendwie ist das nun aufgetretene Problem sogar Hilf- sowie Lehrreich aber auch Nervig. Speicherlecks (Memory Leaks) zu diagnostizieren ist oft schwierig, wie man das eine oder andere Mal bereits hier im Blog nachlesen konnte. Die folgenden Anwendungen liefen, als das Problem festgestellt wurde, das bedeutet nicht, das diese für den Fehler verantwortlich sind:

• Mozilla Firefox
• Notepad++
• BackupAssist ER
• Altaro Physical Server Backup
• CrystalDiskInfo
• WinSCP
• KiTTY

Das Beenden der Anwendungen und Dienste sowie der virtuellen Computer half nichts, ein Neustart musste her und danach waren wieder die eher zu erwartenden round about 12 GB belegt.

Nicht das wir uns falsch verstehen: Arbeitsspeicher ist dazu da, genutzt zu werden! Wird dieser allerdings „zugemüllt“ oder nach der aktiven Nutzung nicht wieder freigegeben, gibt es Probleme!

Kommt man der Ursache nicht auf die Schliche, besteht der Klassiker darin, regelmässig den oder die Server neuzustarten. Das funktioniert zwar auch bei einer solchen Kombi wie dieser hier, ist allerdings in Verbindung mit Virtualisierung, also hier Hyper-V und bei bestimmten Beenden- sowie Startreihenfolge der virtueller Computer etwas aufwendiger.

Nach dem Neustart versuchten wir das Problem nochmals zu provozieren, wobei unklar war, wann das Leck auftrat und über welchen Zeitraum der Arbeitsspeicher belegt wurde. Jedenfalls trat es zumindest nicht mehr auf. Dennoch haben wir etwas aufgeräumt und folgendes Deinstalliert:

• BackupAssist ER
• Altaro Physical Server Backup

Mit letzterem waren wir nicht ganz so glücklich und ersteres war schlicht die letzte Anwendung die installiert wurde (ca. zwei Wochen her). Die darauffolgenden Tage wurde die Arbeitsspeicher-Nutzung beobachtet, da fiel soweit nichts mehr auf.

Mit RAMMap und dem Task-Manager wurde zumindest weiter geschaut. Je nach Programm wird zeitweise mehr Arbeitsspeicher genutzt, vor allem unter „Process Private“ in den Spalten „Total“ und „Active“. interessant dabei ist, das dieser nicht immer zeitnah wieder freigegeben wird, selbst wenn das Programm bereits beendet wurde.

Ist zwar „Blasphemie“ aber mittels Sordum Reduce Memory (siehe auch Windows 10: RAM-Auslastung reduzieren) konnte die Nutzung wieder auf 12,0 GB reduziert. Nebenbei bemerkt: Es ist eine CLI verfügbar, d.h. „ReduceMemory_x64.exe /O“ wäre möglich und bietet (ungetestet) die Möglichkeit via Aufgabe etwas zu basteln.

Via RAMMap und „Empty – Empty Working Sets“ lässt sich ebenfalls Arbeitsspeicher wieder freigeben, Reduce Memory ist allerdings effizienter.

Bleibt die Frage nach der Ursache und was man dagegen effektiv tun kann. Womöglich alles nur ein Zufall, wobei neulich bei einem Kunden ein neuer Server 2019 mit einem BSOD in Sachen Memory Management abgeschmirrt ist.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Von den EPSON WorkForce Pro WF-6590 haben wir ein paar verkauft und waren soweit auch immer zufrieden damit. Wie es das Pech so will haben nun zwei Geräte überraschend das zeitliche gesegnet, auffällig dabei ist der gleiche Fehlercode sowie die zeitliche Nähe.

Das erste Gerät machte zuerst Farbflecken bei s/w-Ausdrucken bevor einen Tag später ein Techniker von unserem neuen Büromaschinen-Partner einen wirtschaftlichen Totalschaden diagnostizierte, da der Druckkopf defekt sei. Der Fehlercode 0x9A wurde da noch nicht angezeigt, dazu gleich mehr.

Ausgehend vom Zeitpuntk des Auftretens der ersten Schwierigkeiten bei unserem Kunden vier Tage später während der Mittagspause meldet unser baugleiches Multifunktionsgerät, nur gut zwei Wochen älter, per Mail einen Fehler. Zu diesem Zeitpunkt war niemand von uns im Büro. Ich stand geräde vom Getränkemarkt als die Mail auf dem Smartphone signalisiert wurde.

Wieder im Büro angekommen stand auf dem Display der Fehlercode „0x9A“:

Ironischerweise wurde an diesem Tag noch überhaupt nichts gescannt oder gedruckt.

Aus-/Einschalten, nach Papierstau schauen, das Gerät stromlos machen, usw. hilft alles nichts. Auch ist der Schlitten nicht blockiert, die Kiste streikt völlig überraschend und ohne jede Vorwarnung einfach.

Wieder zwei Tage später stehe ich bei besagtem Kunden mit einem neuen Multifunktionsgerät und schaltetet das alte Gerät nochmal ein und siehe da, auf einmal der gleiche Fehlercode. Wie gesagt, die zeitliche Nähe bei mehr oder weniger gleichem Fehler ist erstaunlich. Vergleicht man die Seriennummern, könnte man ebenfalls annehmen, das die Geräte nah beieinander liegen:

Unser Gerät:

Firmware-Version: DB19JB 30.15
Seriennummer: VQJY017xxx
Erstdruckdatum: 12-06-2017
Druckinformationen
Gesamtanzahl Seiten: 4785

Kundengerät:

Firmware-Version: DB19JB 30.15
Seriennummer: VQJY017xxx
Erstdruckdatum: 27-06-2017
Druckinformationen
Gesamtanzahl Seiten: 69543

Von den Seriennummern unterscheiden sich nur die letzten drei Stellen um die Größenordnung „112“. Die Differenz zwischen dem Erstdruckdatum beträgt nur 15 Tage, wie eingangs schon erwähnt wurden die Geräte gerade mal in diesem zeitlichen Abstand angeschafft.

Wie man ebenfalls erkennen kann, wurde nun auch nicht besonders intensiv gedruckt. Bei unserem Kunden immerhin knapp 70.000 Seiten, bei uns gerade mal gute 4800. Das ist gelinde ausgedrückt für diese Geräteklasse und nach gut drei Jahren eigentlich nichts.

Unser neuer Büromaschinen-Partner hat sowas eigener Aussage nach noch nicht erlebt und als langjähriger EPSON-Partner diesen Fehlercode bislang nur einmal gesehen. Unser Gerät befindet sich aktuell noch in dessen Werkstatt um zu klären, ob es ebenfalls der Druckkopf ist oder doch etwas anderes. Das Kundengerät steht noch bei uns.

Mit EPSON selbst hatte ich einen Support-Chat und auch mit den jweiligen Distributoren wurde Kontakt aufgenommen, ob evtl. hinsichtlich Serien- oder Chargenfehler bzw. erhöhter Rückläufer-/Service-Quote etwas bekannt ist, alle drei verneinten dies.

Seltsam und evtl. wirklich nur Zufall. Wenn jetzt allerdings in absehbarer Zeit ein weiteres Gerät diesen Modells bei einem unserer Kunden ausfällt ist’s mehr als verdächtig.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Beim vergangenen IT-Stammtisch (Grüße an dieser Stelle) kam die Frage auf, wie bei Ubiquiti UniFi eine Anbindung an das Active Directory erfolgen kann, um WLAN-Nutzer auf einem Schul-Campus mittels Benutzername und Kennwort zu authentisieren.

Wenn z.B. sowohl die gesamte Schülerschaft als auch der Lehrkörper und die Verwaltung bereits als Benutzer im Active Directory angelegt sind und diverse Ressourcen im LAN nutzen, ist der Gedanke naheliegend, das die vorhandenen Zugangsdaten für die WLAN-Anmeldung genutzt werden könnten.

Eine direkte Anbindung an das Active Directory bietet der Ubiquiti UniFi Controller nicht, dafür allerdings die Nutzung eines RADIUS-Servers. Letztgenannter kann auf einem Windows Server 2019 als Rolle in Form des NPAS (Network Policy and Access Services, f.k.a. NPS, Network Policy Server, dt. Netzwerkrichtlinien- und Zugriffsdienste) eingerichtet werden.

Zur Info: Abgesehen von der hier erwähnten Anmeldung via Benutzername und Kennwort besteht die Möglichkeit Zertifikate zu nutzen, siehe dazu die Links am Ende dieses Beitrags.

Windows Server 2019 vorbereiten

• Den „Server-Manager“ starten und für den gewünschten Server via „Rollen und Features hinzufügen“ die Rolle „Netzwerkrichtlinien- und Zugriffsdienste“ installieren.
• Ggf. den Server neustarten und anschließend den Server-Manager neustarten.
• Im „Server-Manager“ zu „NPAS“ wechseln, den entsprechender Server mit der rechten Maustaste anklicken oder alternativ auf „Tools“ und „Netzwerkrichtlinienserver“ klicken.
• Bei „Erste Schritte“ „RADIUS-Server für drahtlose oder verkabelte 802.1X-Verbindungen“ auswählen und auf „802.1X konfigurieren“ klicken.
• Bei „802.1X-Verbindungstyp auswählen“ den Punkt bei „Sichere Drahtlosverbindungen“ setzen.
• Einen neuen RADIUS-Client hinzufügen:
  Einen Anzeigenamen vergeben und als IP oder DNS-Eintrag den Access Point (nicht den Controller!) eintragen. Daraus ergibt sich, das alle Access Points als RADIUS-Clients eingetragen werden müssen! An dieser Stelle ist das maximale Limit der jeweiligen Windows Server-Ausgabe zu beachten!
  Einen geheimen Schlüssel eintragen bzw. generieren.
• Bei „Authentifizierungsmethode auswählen“ nun „Microsoft: Geschütztes EAP (PEAP)“ auswählen.
• Die Benutzergruppen die sich anmelden dürfen auswählen.

Bemerkung am Rande: Mitunter kommt es vor das in der MMC „Netzwerkrichtlinienserver“ unter „RADIUS-Clients“ die Clients doppelt dargestellt werden, es handelt sich lediglich um einen Anzeigefehler der in der Regel nach einem Neustart der MMC behoben ist.

Ubiquiti UniFi Controller konfigurieren

• Am Ubiquiti UniFi Controller anmelden.
• Zu „Einstellungen – Profile“ wechseln.
• Ein neues Profil mit folgenden Einstellungen anlegen:
  Einen Namen, z.B. „AD-NPAS“, vergeben.
  Bei „RADIUS-Authentifizierungsserver“ die IP-Adresse und den Port des NPS sowie den zuvor genutzten geheimen Schlüssel eintragen.
• Zu „Einstellungen – Drahtlos-Netzwerke“ wechseln.
• Ein neues WLAN-Netz mit folgenden Einstellungen anlegen:
  Einen Namen (SSID), z.B. „campus“, vergeben.
  Bei „Sicherheit“ „WPA2 Enterprise“ auswählen.
  Bei „RADIUS-Profil“ das zuvor angelegte Profil auswählen.

Endgerät(e) (z.B. Smartphone, Tablet) konfigurieren

Am Beispiel von Android 9 sieht die notwendige Konfiguration wie folgt aus:

Wenn man mehr Sicherheit haben oder je nach Client eine Zertifikatswarnung vermeiden möchte, muss der CA vertraut werden. Dies erfordert dann entweder öffentliche Zertifikate oder bei Domänen-Mitgliedern die automatische Zertifikatsverteilung oder manuell den Import des CA-Zertifikats.

Troubleshooting

Manche Fehler baut man unabsichtlich oder es kommt zu andeen unerwarteten Dingen: Im Testlab befindet sich der Windows Server hinter einer Hardware-Firewall, während der UniFi Controller und der Access Point sich in einem anderem Netz befinden. Bei ersten Verbindungsversuchen wunderte ich mich, das zwar laut SmartSniff und Wireshark die RADIUS-Anfrage bis zum NPAS durchkamen, aber es danach nicht weiterging, sprich die Clients sich nicht am WLAN anmelden konnten.

Ursache dafür war bzw. ist die Windows-Firewall: Obwohl es eine Richtlinie mit dem Namen „Netzwerkrichtlinienserver (RADIUS-Authentifizierung – UDP – eingehend)“ gibt und diese sowohl aktiviert als auch für den Port 1812/udp durchlässig (keine Einschränkung hinsichtlich Netzwerkkategorie oder auf bestimmte Subnetze) ist, kommt die Anfrage nicht beim NPAS an. Interessanterweise steht auch nichts im eigens aktiviertem Firewall-Log. Als Workaround kann man eine Port-Regel erstellen die 1812/udp zulässt.

Als weiterers kann hilfreich sein im NPAS die Kontoführung zu aktivieren und das Ganze in eine Protokolldatei schreiben zu lassen. Zusätzlich speziell den Haken bei „Verbindungsanforderungen bei Protokollierungsfehlern verwerfen“ entfernen um weitere Erkenntnisse zu erlangen.

Abschlussbemerkung und Danksagung

Zum Abschluss noch ein Dankeschön nach Köln zu einem Kollegen der die nötige Richtung vorgegeben hat.

Quelle:

Ubiquiti – Blog – Managing RADIUS Authentication with UniFi

Windows: Drahtgebundenes LAN, 802.1X und NPS

Windows: Wireless LAN, 802.1x und NPS

Gyp the Cat dot Com – How to Configure Windows 2012 NPS for Radius Authentication with Ubiquiti Unifi

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Das der VSS-Dienst nach einem gewissen Leerlauf beendet wird macht durchaus Sinn, muss dieser ja nicht die ganze Zeit über Laufen, schließlich wird er in der Regel entweder nur bei der Datensicherung oder bei der Erstellung der Schattenkopien (gemeint ist „Vorige Versionen“) benötigt.

Mitunter kann es allerdings vorkommen, das der Dienst ständig irgendwie angetriggert wird oder aus anderen Gründen nahezu unaufhörlich startet und nach einem Leerlauf beendet wird.

Auf einem recht frischen Windows Server 2019 erschien dieses Ereignis exakt alle fünf Minuten:

Protokollname: Application
Quelle: VSS
Datum: 31.07.2020 08:04:09
Ereignis-ID: 8224
Aufgabenkategorie:Keine
Ebene: Informationen
Schlüsselwörter:Klassisch
Benutzer: Nicht zutreffend
Computer: hv01
Beschreibung:
Der VSS-Dienst wird aufgrund eines Leerlaufzeitlimits heruntergefahren.

Als erster bekannter workaround wurde der Starttyp des Dienstes „Volumeschattenkopie“ (Dienstname: VSS) von „Manuell“ auf „Automatisch“ geändert und der Dienst einmal durchgestartet, aber leider half das nicht.

Um zu sehen, ob sich der Intervall bzw. das Leerlaufzeitlimit ändern lassen wurde in der Registry unter

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VSS\Settings

ein neuer DWORD-Eintrag mit dem Namen „IdleTimeout“ sowie dem Wert „180“ (Sekunden, also drei Minuten) angelegt sowie der Dienst einmal durchgestartet.

Siehe da, die ständigen VSS-Ereignisse hörten auf.

Quellen:

Appuals – How to Fix ‘VSS Service is Shutting Down Due to Idle Timeout’ Error?

Microsoft Docs – Registry Keys and Values for Backup and Restore

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Bei einem Kunden trat seit ein-zwei Tagen das Problem auf, das ein bestimmter Empfänger nicht mehr erreicht werden konnte, zuvor war das gar kein Thema. Als Fehlermeldung kam immer „571 Delivery not authorized message refused (in reply to end of DATA command)“ zurück. Alle anderen Empfänger waren hingegen kein Problem. Laut Empfängerin sei zudem bei ihr alles in Ordnung.

Sucht man im Netz nach dieser Meldung findet sich dazu einiges. Das Ganze scheint hauptsächlich in Verbindung mit Microsoft’s Exchange Server aufzutreten. Unser Kunde verwendet den MDaemon Email Server, anhand der Kopfzeilen der Mails konnte nicht eindeutig geklärt werden, was auf der Empfänger-Seite für ein Mail-System zum Einsatz kommt.

Sucht man nach dieser Fehlermeldung findet man verschiedene, (imho) teils kuriose Ursachen:

bobcares – How to fix ‘571 Delivery not authorized message refused’ error in Exchange server

ATVIRTUAL – Mailserver Fehlercodes

MCSEboard – Exchange 2010 / Requested #571 Delivery not authorized, message refused ##

Aufgrund des Beitrags im MCSEboard und um auszuschließen das es am Outlook des Absenders liegt wurde die Nachricht nochmals via MDaemon’s Webmail versendet und kam prompt erneut mit gleicher Fehlermeldung zurück.

Um sicher zu gehen, das nicht der Absender irgendwie Spamfilter-mässig geblockt wird, wurde die Mail-Domain als auch der Provider hinsichtlich Einträgen in Blacklists überprüft:

heise – Spam-Listen

DNSBL Spam Check

MX Toolbox – Blacklists

Auch das Verlief ohne neue Erkenntnisse bzw. der Absender sowie Provider steht auf keiner Blacklist. Als nächstes wurde der E-Mail-Provider unseres Kunden kontaktiert, von dort hieß es das die E-Mail evtl. aus inhaltlichen Gründen abgelehnt wird, da der Abbruch nach dem „DATA command“ kommt. Zugegeben, an der E-Mail ist eine PDF-Datei angefügt, da es sich um eine Auftragsbestätigung handelt. An den PDFs hat sich allerdings ebenfalls nichts grundlegendes verändert und auch eine Prüfung zeigte keinerlei Aufälligkeiten.

Alles in allem weißt alles darauf hin, das es an der Empfänger-Seite ist, das Problem zu lösen. Da bis vor ein paar Tagen die Kommunikation erfolgreich war und sich bei unserem Kunden nichts verändert hat, ist es naheliegend, das beim Empfänger irgendetwas verändert wurde. Das kann ein neuer Spamfilter sein oder auch geänderte Richtlinien, das bestimmte Anhänge nicht mehr akzeptiert werden oder ähnliches.

An dieser Stelle wurde die Empfängerin ein weiteres mal kontaktiert, mit der Bitte die Fehlermeldung an ihren IT-Support weiter zu geben.

Einen weiteren Tag später kam bei einem anderen Empfänger noch folgende Fehlermeldung hinzu:

550 Administrative prohibition (in reply to end of DATA command)

Auch hier die Auffälligkeit mit dem „DATA command“, an dieser Mail hängt ebenfalls eine PDF dran, diesmal allerdings eine Rechnung.

Im weiteren Verlauf wurde mit E-Mails ohne Anhang getestet, selbst diese wurden abgewiesen, bei letztgenannten Empfänger interessanterweise mit der 571er-Fehlermeldung wie oben.

Wieder ein paar Tage später und trotz bitte das sich der jeweilige IT-Support der Empfänger mit uns in Verbindung setzt vermeldete unser Kunde, das es zumindest bei einem Empfänger eine Rückmeldung von einem Mitarbeiter gab, das man auf der Blacklist gewesen sei und es jetzt wieder funktioniert. Einen Grund für die Sperrung und um welche Blacklist (vmtl. irgendwas internes, da nichts öffentliches feststellbar war) es sich handelte wurde nicht genannt.

Von dem zweiten Empfänger wurde uns zuletzt von unserem Kunden berichtetet, das bei diesem zwischenzeitlich wohl die gesamte IT zusammengebrochen sei, diese und andere Umstände wären dort schon öfter vorgekommen.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Möchte man die gespeicherten Anmeldedaten eines Benutzers ändern geht das via Systemsteuerung oder cmdkey.exe in der Eingabeaufforderung. In der aktuellen Sitzung ist das kein Problem. Soll dies allerdings von einer anderen Sitzung aus erfolgen muss man einen kleinen Umweg nehmen.

Inspiriert wurde dieser Beitrag durch eine eher unschöne Geschichte bei einem Kunden, wo versucht wurde eine Anwendung als Domänen-Administrator auszuführen. Unguterweise wurden bei den Bemühungen des „Vor-Ort-Kollegens“ die Anmeldedaten gespeichert.

Grundsätzlich sollte sowas nicht sein, das eine „Alltags-Anwendung“ mit erhöhten bzw. administrativen Rechten laufen muss!

Letztlich stellte sich heraus, das all das für die Anwendung überhaupt nicht notwendig war und von daher, ohne den laufenden Betrieb zu beeinträchtigen, die Änderungen zurückgenommen werden mussten.

Die nachfolgenden Schritte müssen auf dem Computer ausgeführt werden, auf dem der Benutzer arbeitet. In diesem Fallbeispiel ist der Administrator zusätzlich zu dem Benutzer an einem Windows 10-PC angemeldet.

Am einfachsten ist es eine Eingabeaufforderung in dem Benutzerkontext zu starten, für den die gespeicherten Anmeldeinformationen geändert werden sollen:

runas /user:<Domain-or-Host>\<Username> cmd

Daraufhin öfnet sich eine neue Eingabeaufforderung und man kann dort mittels

cmdkey

die gespeicherten Anmeldedaten einsehen, ändern, welche hinzufügen oder löschen.

Grafisch geht es mit folgendem Befehl:

rundll32.exe keymgr.dll, KRShowKeyMgr

Es öffnet sich ein Dialog über den die gewünschten Änderungen vorgenommen werden können.

Der Vollständigkeit halber: Der Befehl „control /name Microsoft.CredentialManager“ funktioniert via runas nicht.

Quellen:

Microsoft Docs – cmdkey

Microsoft TechNet Foren – command line for credential manager

windowsreport – How to add, remove and edit files in Windows Credential Manager

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Im Rahmen eines Rechnerwechsels sollten die Drucker samt deren Einstellungen auf das neue Gerät übernommen werden.

Seitens Microsoft bietet sich dabei der Assistent für die Druckermigration an. Dieser wird mit dem Befehl

PrintBrmUi.exe

gestartet und führt durch den Export-/Import-Vorgang.

Im Idealfall klappt der Ex- und Import. In diesem Praxisbeispiel klappte allerdings der Import nur sehr bedingt. Die allermeisten Drucker fehlten und im Ereignisprotokoll war nicht ausreichend vermerkt woran es scheiterte. So blieb nur der klassische Weg.

Evtl. hätte man mehr Erfolg, wenn man die zu ex-/importierenden Drucker auswählen könnte, leider ist das in der aktuellen Fassung des Assistenten nicht der Fall, so das versucht wird immer alles mitzunehmen.

Quelle:

Winaero – Backup and Restore Printers in Windows 10

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Das Thema Outlook-Profil umziehen gab es bereits das eine oder andere Mal im Rahmen dieses Blogs. Im wesentlichen hat sich an den Schritten nichts verändert.

Man exportiert nach wie vor aus der Registry folgenden Schlüssel:

HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion \Windows Messaging Subsystem\Profiles

In diesem sind alle Profile (Standard ist „Outlook“) enthalten.

Anschließend kopiert man alle Outlook-relevanten Ordner und Dateien aus dem Benutzerprofil auf den neuen Computer.

In der Regel findet man die Datendateien unter „Dokumente“. Weitere relevante Dinge finden sich unter

%LocalAppData%\Microsoft\Outlook
%AppData%\Microsoft\Outlook
%AppData%\Microsoft\Signatures

Mitunter und bei immer wieder migrierten Daten über x-Jahre und Outlook-Versionen hinweg und manuell erstellten Datendateien können noch weitere Pfade hinzukommen.

Nach dem Kopieren und Importieren auf dem neuen Computer startet man Outlook. I.d.R. wird man zunächst nach dem zu verwendetem Profil gefragt, dieses wählt man aus und setzt den Haken bei dem gewünschten Standardprofil. Haben sich Pfade geändert, der Klassiker wäre ein anderer Benutzername aufgrund von z.B. einer Heirat, fragt Outlook nach dem jeweiligen Verbleib der Datendatei(en). Als nächstes müssen die Kennwörter der Postfächer eingeben werden.

Hat man dieses Prozedere einmal durchgeführt ist man wieder auf Stand und kann weiterarbeiten.

Quelle:

TC-IT Services – Export Outlook account settings to another computer

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

(Endlich) Wird der Support für den Adobe Flash Player eingestellt (EOL Jahresende 2020) und so langsam wird es Zeit diesen los zu werden. In Firmenumgebungen und mittels entsprechender Management-Lösungen lässt sich dieser leicht automatisch und für den Benutzer unsichtbar entfernen.

Voraussetzung ist zunächst der Download des Uninstall-Tools:

http://download.macromedia.com/get/flashplayer/current/support/uninstall_flash_player.exe

Dieses muss dann mit einem der folgenden Parameter aufgerufen werden:

Vollständige Deinstallation:

uninstall_flash_player.exe -uninstall

Spezifische Deinstallation:

uninstall_flash_player.exe -uninstall activex
uninstall_flash_player.exe -uninstall plugin
uninstall_flash_player.exe -uninstall pepperplugin

Quellen:

Adobe Support Community – How do I uninstall Flash player silently using command line

Adobe Flash Player 30.0 Administration Guide (PDF, Seite 11)

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Bislang liefen bei uns und unseren Kunden die Windows Updates auf Windows Server 2019 ohne Schwierigkeiten durch. Auch in Sachen Schnelligkeit ist man (imho) wieder auf dem Niveau von Windows Server 2012 R2. Also alles kein Vergleich zu Windows Server 2016.

Nun gab es erstmals auf einem Kundensystem Schwierigkeiten. Das Ganze ist ein Windows Server 2019 Standard mit Hyper-V-Rolle. Während die VM-Instanzen schnell die aktuellen (August 2020) Windows Updates gefunden und installiert hatten, suchte der Host immer noch. Irgendwann gab es dann den Fehlercode „0x800705b4“. Kurzum: Ein Timeout, aber wieso?!

Das Windows Update-Protokoll das man via Powershell (Get-WindowsUpdateLog) generieren kann lieferte zunächst keinen brauchbaren Hinweis. Der Windows-Update-Dienst lies sich zudem nicht ohne weiteres Beenden, lediglich ein „Abschießen“ des Prozesses half. Ein Reset der Windows-Update-Komponenten half ebenfalls nicht, genauso wenig wie das manuelle Herunterladen und Installieren der Updates. Letztgenanntes suchte ebenfalls endlos. Per Zufall fiel dann auf, das der Defender-Dienst abgestürtzt war und sich nicht mehr starten lies:

Letztlich half den Host neu zu starten und anschließend die Updates zu installieren.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Verteilt man im Firmennetzwerk bzw. via Client-Management-Suiten Software und deren Updates bieten sich automatische Installationen sowie Aktualisierungen ohne Benutzereingriff an.

Auch der PDF24 Creator lässt sich dank des INNO-Setups oder der MSI-Datei silent installieren. Allerdings stolpert man dabei evtl. über das Problem, das die Installation stockt und nicht weiter läuft.

Führt man die Installation manuell durch begegnet einem die Meldung, dass das Programm noch läuft und ob man dieses beenden möchte. Hintergrund dieser Meldung dürfte in den allermeisten Fällen der PDF24-Dienst und im benutzerkontext-laufende Prozesse sein.

Am Beispiel mit einem kleinen Skript und der INNO-Setup-basierten Installationsdatei kann man die Meldung wie folgt umgehen:

@echo off

rem Den Dienst beenden

net stop "PDF24"

rem Alle laufenden PDF24-Prozesse beenden

taskkill /im "pdf24.exe" /f

rem PDF24 Creator installieren bzw. aktualisieren

pdf24-creator.exe /verysilent /noupdate /norestart

Auf der Download-Seite finden sich immer die aktuellen Installationsdateien mit der Versionsnummer, wie z.B. „pdf24-creator-9.2.0.exe“, im Namen. Alternativ, damit man nicht immer das Skript ändern muss, kann man entweder die heruntergeladene Datei umbenennen oder direkt ohne Versionszusatz herunterladen:

https://www.pdf24.org/products/pdf-creator/download/pdf24-creator.exe

https://www.pdf24.org/products/pdf-creator/download/pdf24-creator.msi

Quellen:

PDF24 Creator Changelog

PDF24 Help Center – PDF24 Creator .exe Setup Parameter/Arguments

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Hat man ein USB-Gerät abgemeldet und möchte dieses direkt wieder anmelden ohne das USB-Kabel ziehen und nochmal anstecken zu müssen oder wird ein bereits verbundenes USB-Gerät nicht erkannt, kann ein gezieltes Neustarten des jeweiligen USB-Hubs (Controller) helfen.

Bei einem Kunden kommt es immer wieder vor, das nach dem Wechsel der USB-Festplatte für die Datensicherung diese nicht auf Anhieb oder selbst nach mehrmaligen ab-/anstecken nicht erkannt wird. Mit dem gezielten Neustart klappt es dann doch, ohne das der PC oder in diesem Fall der Server neu gestartet werden muss.

Zunächst benötigt man das Kommandozeilen-Tool devcon.exe. Mögliche Download-Quellen finden sich hier:

superuser – Quick Method to install DevCon.exe?

Als nächstes muss über den Geräte-Manager der entsprechende USB-Hub, genauer ausgedrückt dessen ID, mit dem das Gerät verbunden ist ermittelt werden. Am Beispiel von USB 3.0 ist dies meist „ROOT_HUB30“.

Nun führt man in einer Eingabeaufforderung mit erhöhten Rechten folgenden Befehl aus:

devcon.exe restart *ROOT_HUB30*

Nahezu sofort wird der USB-Hub neu gestartet, alle dort verbundenen Geräte (neu) erkannt und diese stehen dann zur Verfügung.

Quellen:

NI – Knowledge Base – Force Windows to Remove and Re-detect an NI USB Device

Microsoft – Docs – DevCon Restart

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Verwendet man Outlook mit zwei oder mehr Konten und trägt einen Termin mit Erinnerung in einen Kalender dieser zusätzlichen Konten ein, kann es vorkommen das einem folgende oder ähnliche gemeinte Fehlermeldung begegnet:

"Die Erinnerung für <Betreff> wird nicht angezeigt,
weil das Element sich in einem Ordner befindet,
der Erinnerungen nicht unterstützt. Sind Sie damit einverstanden?"

Den Termin kann man eintragen, aber es geht z.B. 15 Minuten vorher kein Fenster auf.
Handelt es sich um POP3- oder IMAP-Konten sowie weitere Datendateien wie z.B. Archive kann man in den Eigenschaften der Datendatei die notwendige Funktion aktivieren. Siehe dazu:

Mailhilfe.de – Eine Erinnerungsfunktion für Ordner in Archiven und zusätzlichen pst-Dateien

MSOutlook.info – Reminders support for folders in archives and additional pst-files

In Verbindung mit dem MDaemon Email Server samt MDaemon Connector for Outlook und z.B. dem persönlichen und zusätzlich dem Info- oder Support-Postfach haben wir diese Meldung ebenfalls beobachtet. Etwas kurios dabei ist, das der Support von EBERTLANG den Fehler nachstellen konnte, allerdings dennoch (im Gegensatz zu uns) eine Erinnerung erhielt.

Die Angelegenheit wurde an den Hersteller weitergeleitet und man wartet auf Rückmeldung.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Seit geraumer Zeit bietet Securepoint neben der etablierten UTM und der UMA einen eigenen Virenschutz an.

Dieser wird zentral verwaltet, wobei auch lokale Einstellungen möglich sind und setzt auf die T3 Scan-Engine des österreichischen Herstellers Ikarus (Wikipedia), die ihres Zeichens regelmässig bei Tests (sehr) gut abschneidet und zudem bei vielen anderen Produkten weiterer Anbieter zum Einsatz kommt.

Allein schon aus dieser Kombination, gemeint ist Securepoint und Ikarus, heraus ergibt sich ein DSGVO- bzw. datenschutzfreundliches Produkt, was man nicht (mehr) von allen Akteuren am Markt behaupten kann.

Der Vertrieb erfolgt ausschließlich über Securepoint-Partner und ist nicht an eine UTM oder weitere Produkte gebunden! Die Lizenzen können sowohl mit Laufzeiten von ein, drei und fünf Jahren erworben oder im Rahmen eines MSP auf monatlicher Basis bezogen werden. Bei letzterem ist eine Mindestabnahme von 100 Stück sowie ein MSP-Vertrag zu beachten.

Lizenziert wird pro Gerät, also Client sowie Server, dies gilt auch für Terminalservern (aka Remote Desktop Session Host) und stellt gerade bei letztem einen echten Vorteil gegenüber der benutzerbezogenen Lizenzierung anderer Hersteller dar.

Erst-Kontakt

Zunächst muss im Dashboard der Kunde und die Lizenz vorhanden sein. Ein Self-Service, d.h. Kunden anlegen, Lizenzen bestellen ist über das Reseller-Portal oder den Innendienst möglich.

Neben dem bei der ersten Anmeldung erstellbaren Standard-Profil können im Dashboard unter dem Punkt „Konfigurationsprofile“ weitere Profile angelegt, kopiert und voreingestellt werden. Über den Punkt „Gruppen“ können die Konfigurationsprofile zugewiesen werden.

Securepoint empfiehlt mindestens eine Gruppe für Clients und eine für Server anzulegen und die Benachrichtigungen für veraltete Systeme auf drei (Server) und 28 (Clients) Tage zu setzen. Im Wiki des Anbieters ist alles notwendige und vieles mehr beschrieben.

Installation

Um für die jeweilige Installation das passende vorkonfigurierte Setup zu erhalten im Bereich „Lizenzen“ beim entsprechenden Kunden oder im Bereich „Gruppen“ auf das Download-Symbol klicken und das Paket seiner Wahl herunterladen.

Im Gegensatz zu manch anderem Produkt am Markt erhält man wahlweise ein Archiv, das Setup und Konfigurationsdatei enthält, nur die Konfigurationsdatei, eine vorkonfigurierte oder eine unkonfigurierte MSI-Datei. Sowohl das Archiv als auch die MSI-Datei enthalten ein vollständiges Setup, es wird also nicht erst ein Agent installiert und dann der Rest nachgezogen wie bei anderen Anbietern. Allerdings ist dieses Setup nicht immer ganz aktuell, so das bei der ersten Aktualisierung nach der Installation beispielsweise nicht nur die Signatur sondern auch die Scan-Engine ein Update erfahren.

Ein Neustart nach der Installation ist übrigens nicht notwendig. Die Installation kann manuell (mit oder ohne der Konfigurationsdatei) oder automatisiert (silent) stattfinden. Das Setup fällt mit ca. 52 MB erfreulich kompakt aus, ferner ist die Installation sehr schnell durchlaufen.

Konfiguration

Die Konfiguration kann vice-versa stattfinden, d.h. in der Regel wird via Dashboard ein Konfigurationsprofil erstellt und auf eine Gruppe angewendet. Man kann allerdings auch lokal einen Client konfigurieren und diese Einstellungen in das Konfigurationsprofil übertragen.

Selbst wenn etwas am Client lokal verändert wurde, wird dies im Dashboard angezeigt (Spalte „Status“ mit den Werten „Synchron/Asynchron“) und die Änderung kann wieder überschrieben werden.

Generell empfiehlt sich im Konfigurationsprofil unter „Clientkonfiguration“ ein Passwort zu setzen, damit der Anwender die Einstellungen nicht einfach so verändern kann. Leider wird dieses Passwort oder ein Hash davon nicht gespeichert, so das man dieses jedes Mal neu eingeben muss.

Der erste Scan

Leider gibt es noch keine Möglichkeit, aus dem Dashboard heraus einen ad-hoc Scan starten zu können, dies geht nur lokal am Client. Auf dem Test-Gerät wurde der vollständige Scan mit einer Dauer von 45 Minuten veranschlagt und war letztlich nach gut 27 Minuten beendet. Grundsätzlich empfiehlt sich ein erster Scan, damit das Infobereichssymbol (aka Tray Icon) keine Warnung mehr anzeigt. Regelmässige Scans können im Konfigurationsprofil eingestellt werden. Ein Leerlauf-Scan ist Moment noch nicht möglich, Securepoint bittet allerdings in der Wunschbox im Feedback zu diesem angedachten Feature.

Malware-Fund und weiter

Wurde eine Malware oder eine PUA bzw. ein PUP gefunden, wird dies lokal angezeigt sowie im Dashboard und sofern im Konfigurationsprofil eingestellt via E-Mail mitgeteilt. Etwas ungünstig kann sein, das für jeden Fund eine eigene E-Mail versendet wird. Offenbar ist dies von einem gewissem zeitlichem Rahmen abhängig, da für den ersten Fund eine E-Mail ankam und für die beiden weiteren etwas später eine Mail die für beiden letzten Treffer galt verschickt wurde.

Die Funde werden immer in die Quarantäne verschoben und können von dort aus lokal sowie via Dashboard weiter behandelt werden. Leider, wie bei vielen anderen Anbietern auch, gab es drei false-positives hinsichtlich eigener AutoIt-Skripte (ein Treffer) sowie eines VST-Plugins (zwei Treffer).

Ein direktes dauerhaftes Exkludieren aus der Quarantäne heraus ist nicht möglich, dies geht lediglich temporär, wobei direkt angeboten wird die verdächtige Datei an das Labor zu senden und somit der falsche Treffer zukünftig vermieden werden kann. Beim Versand an das Labor kann angegeben werden ob dies anonym oder mit Rückmeldung an eine E-Mail-Adresse erfolgen soll.

Was noch?

Aktuell fehlt noch ein Tamper-Schutz, wobei im Regelfall der gemeine Anwender sowie der tagtägliche Nutzer des Computers keine Administrator-Rechte haben sollte. Der Passwort-Schutz von Antivirus Pro verhindert dabei direktes Eingreifen in das Sicherheits-Niveau. Spätestens über die automatische Benachrichtigung das ein Gerät nicht mehr aktuell oder geschützt ist sollte der Administrator bzw. Securepoint-Partner mitbekommen, das etwas nicht stimmt.

Der Client meldet sich alle 60 Sekunden beim Dashboard und erhält alle 20 Minuten eine neue Signatur. Somit ist man quasi immer up-to-date.

Kommentare die man bei einem Gerät hinterlegen kann sind leider nicht editier- oder löschbar. Um beispielsweise einzutragen, wer an dem Client sitzt oder welche Rolle der Server hat bietet sich das Feld „Eigene Bezeichnung“ an.

Aus dem Dashboard heraus kann keine Neu- oder Deinstallation angestartet werden.

Securepoint’s Antivirus Pro bietet keinen Webfilter nach Kategorien oder gar einen Werbefilter an. Ersteres ist der UTM vorbehalten, letzteres kann durch entsprechende Browser-Erweiterungen umgesetzt werden.

Der Windows-Dienst heißt übrigens „XGuard“.

Im Windows-Ereignisprotokoll werden diverse Ereignisse erfasst, somit wäre es möglich Securepoint Antivirus Pro durch eigene bzw. externes Monitoring zusätzlich zu überwachen.

Fazit

Abgesehen von ein paar Kleinigkeiten ist Securepoint’s Antivirus Pro eine geeignete Lösung für den zentral verwalteten Unternehmensvirenschutz und MSP-Anbieter. Vor allem in Zeiten der Roadwarrior (Außendienst) und von Home Office macht die Unabhängigkeit von einem im Unternehmen-stehenden Management-Server Sinn. Die Handhabung ist einfach, die Installation sowie der Scan sind zügig durchgeführt und die Ressourcenbelastung ist gering. Der Service und Support sind Securepoint-typisch gut.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Verwendet man apcupsd unter Windows mit dem entsprechenden USB-Treiber und tauscht die USV z.B. aufgrund eines Defekts aus, kann die Software evtl. keine Verbindung zum neuen Gerät aufbauen.

Im Geräte-Manager wird zwar die USV erkannt und der apcupsd-Treiber verwendet, dennoch klappt es nicht. Lösen lässt sich das, indem man den Treiber deinstalliert, so das wieder die Windows-Standard-Treiber verwendet werden und man anschließend gemäss Anleitung erneut den apcupsd-Treiber installiert.

Ggf. muss man einmal den Dienst noch neustarten und die Verbindung ist wieder da.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Eine UTM ist nur so sicher wie ihre Konfiguration und wenn die Firmware aktuell ist. Zwar wird man inzwischen über sehr viel automatisch informiert, aber leider nicht über ein anstehendes Update.

Leider gibt es auch vom Hersteller keine Mail wenn eine neue Firmware zur Verfügung steht, so das bislang nur das regelmässige Nachschauen im Changelog oder auf einer UTM hilft.

Etwas Abhilfe kann man schaffen, wenn man den Newsfeed des Wikis bzw. des Changelogs abonniert:

https://wiki.securepoint.de/index.php?title=UTM/Changelog&action=feed&feed=rss

In der Wunschbox ist das Thema Mail-Benachrichtigung ebenfalls zu finden.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Das Alerting Center in der Securepoint UTM ist eine feine Sache um über etwaige Probleme unterrichtet zu werden. Wir nutzen dieses Feature sehr gerne sind allerdings bei einem Kunden auf ein Problem gestoßen.

Im Regelfall sollte es so sein, das die UTM an den Unternehmens-eigenen Mailserver (sofern vorhanden) zustellt. Soweit, sogut. Bei Kunden gibt es folgende Konstellation in Sachen Mail-Flow:

Securepoint UTM -> MDaemon - > Weiterleitung zu uns

Das Ganze scheint irgendwie (mal wieder) mit 1&1 Ionos zusammen zu hängen, denn die gleiche Kombi funktioniert mit All-inkl.com ohne Überraschungen. Um es etwas ausführlicher auszudrücken:

Die Securepoint UTM hat als SMTP-Relay den MDaemon Email Server des Kunden konfiguriert. Das macht nicht nur wegen der Alerting Center-Nachrichten Sinn, sondern auch wegen des Spamfilters, wenn Nachrichten aus der Quarantäne zugestellt werden sollen.

Im MDaemon wiederum gibt es einen administrativen Benutzer, der unter anderem Postmaster, etc. ist. Bei diesem ist eine Weiterleitung zu uns eingerichtet. So erhalten wir alle Systrem-relevanten Nachrichten.

Kommt jetzt allerdings eine Nachricht vom Alerting Center der UTM schlägt die Weiterleitung fehl. Die Nachricht landet in der Defekt-Warteschlange mit der Erläuterung

undeliverable forwarded message

Um mehr Informationen zu dieser Meldung zu erfahren ist es hilfreich ins „C:\MDaemon\Logs\MDaemon-<Datum>-SMTP-(abg.).log“ zu schauen. Zum entsprechenden Zeitpunkt findet man z.B. folgende Einträge:

...
Wed 2020-07-15 02:01:59.775: 01: Sending <c:\mdaemon\queues\remote\pd50000017829.msg> to [212.227.15.183]
Wed 2020-07-15 02:01:59.834: 01: Transfer Complete
Wed 2020-07-15 02:01:59.903: 02: <-- 554-Transaction failed
Wed 2020-07-15 02:01:59.903: 02: <-- 554-Reject due to policy restrictions.
Wed 2020-07-15 02:01:59.903: 02: <-- 554 For explanation visit https://www.ionos.com/help/index.php?id=2425&ip=<Eigene IP-Adresse>&c=hd
Wed 2020-07-15 02:01:59.903: 03: --> QUIT
Wed 2020-07-15 02:01:59.905: 01: Dies ist eine weiter- oder umgeleitete Nachricht; sie wird in die Defekt-Warteschlange verschoben.
Wed 2020-07-15 02:01:59.938: 02: <-- 221 kundenserver.de Service closing transmission channel
Wed 2020-07-15 02:01:59.938: 04: SMTP session terminated (Bytes in/out: 5010/43588)

Ruft man die vorgeschlagene URL von 1&1 Ionos auf bekommt man zum Fehlercode 554 gleich mehrere mögliche Ursachen. Für die protokollierte Meldung wäre diese hier die passendste Begründung:

554 Reject due to policy restrictions
Problem:

The email was rejected as it violates IONOS policy. The sending server is mostly sending spam messages.

Solution:

Contact us IONOS to have the facts of the case examined.

Kurzum der Spam-Filter des Providers verhindert den Versand. Wahrscheinlich deswegen, da es sich um eine weitergeleitete Nachricht handelt, die als Absender im Header

From: Alerting-Center [firewall.domain.local] <spalertd@firewall.domain.local>

stehen hat. Leider ist dies in der UTM nicht so ohne weiteres änderbar. Lösen lässt sich in Verbindung mit dem MDaemon Email Server das Problem dadurch, das man die Header-Zeile umschreiben lässt:

• Auf „Einstellungen – Server-Einstellungen – Kopfzeilen-Umsetzung“ klicken.
• Im Feld „Bestehender Kopfzeilentext“ die ursprüngliche Angabe der UTM eintragen, z.B. „From: Alerting-Center [firewall.domain.local] <spalertd@firewall.domain.local>“
• Im Feld „Neuer Kopfzeilentext“ den neuen Absender eintragen, z.B. „From: Administrator <administrator@domain.tld>
• Auf „Hinzufügen“, „Übernehmen“ und „OK“ klicken.

Ab sofort wird in allen Nachrichten, in denen die betreffende Header-Zeile gefunden wird, diese ersetzt.

Was bei anderen Konstellationen womöglich auch hilft (in diesem Fall allerdings nicht) sind die erweiterten Einstellungen zur Weiterleitung:

• Das betreffende Benutzerkonto bearbeiten.
• Zu „Weiterleitung“ wechseln.
• Im Abschnitt „Erweiterte Einstellungen zur Weiterleitung“ im Feld „Nachrichten an folgende Domäne weiterleiten:“ entweder die Zieldomäne eintragen oder wenn es gezielt an einen Server gehen soll, diesen in eckigen Klammern eintragen.
• Im Feld „Adresse für SMTP-Umschlag“ die für den Versand zu verwendete E-Mail-Adresse eintragen. An dieser Stelle kann also die etwas ungünstige Altering-Center-Adresse ersetzt werden.
• Ggf. noch den Port eintragen.

Zum Abschluss noch ein Tipp für bereits in der Defekt-Warteschlange hinterlegten Nachrichten:

• Die betreffende Nachricht bearbeiten.
• Die „FROM“-Zeile ändern und speichern.
• Mit der rechten Maustaste auf die „Defekt-Warteschlange“ klicken und „Jetzt verarbeiten“ auswählen.

Die Nachricht wird zeitnah verarbeitet und im Idealfall, wenn alles passt, auch gleich versendet.

Quelle:

Securepoint – Support-Forum – Smarthost Test ?

MDaemon – Help – Header Translation

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Auf dem PC einer Kundin verweigerte unvermittelt die Maus teilweise ihren Dienst.

Die Schwierigkeiten äußerten sich im nahezu ständigen Hängenbleiben des Mauszeigers oder das dieser sogar verschwand. Der Wechsel der Maus änderte nichts und die Mäuse ansich funktionierten an einem anderen Computer ohne Probleme.

Das Erste war ein Blick in den Task-Manager, können solche Phänomene doch auch durch eine zu hohe Auslastung verursacht werden, allerdings langweilte sich das System, also konnte es das nicht sein.

Als nächstes wurden verschiedene Untergründe ausprobiert, dabei zeigte sich, das zumindest bei der zweiten (Ersatz-)Maus ein Zusammenhang besteht, wenn gleich das nicht alles war.

Ein Blick via „Systemsteuerung – Maus“ offenbarte auf den ersten Blick nichts „verstelltes“, dennoch wurde auf der Registerkarte „Zeiger“ auf die Werkseinstellung zurückgesetzt.

Nachdem auf der Registerkarte „Zeigeroptionen“ im Abschnitt „Sichtbarkeit“ einmal der Haken entfernt wurde bei „Zeiger bei Tastatureingaben ausblenden“ und erneut gesetzt war, funktionierten beide Mäuse wieder wie sie sollten.

Offenbar hatte sich im Hintergrund irgendetwas verändert was durch die genannten Schritte zugesetzt wurde.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/