Windows11 ohne Microsoft-Konto installieren

  1. Zunächst wählst du ganz normal dein Land und die dazugehörige Sprache sowie das Tastaturlayout aus.
  2. Bist du bei der Auswahl des WLANs angekommen, öffnest du mit der Tastenkombination „(fn+)Shift+F10“ die Eingabeaufforderung. Die Funktionstaste (fn) ist nur notwendig, wenn auf deinem Notebook für F10 eine Sonderfunktion wie bspw. „Display-Hellgikeit erhöhen“ zugewiesen ist.
  3. Dort tippst du den Befehl „oobeBypassNRO“ ein, bestätige im Anschluss mit der Enter-Taste.
  4. Das Notebook startet daraufhin neu und du musst erneut Land und Sprache auswählen.
  5. Bei der Auswahl der Internetverbindung hast du nun allerdings die Option unten rechts, „Ich habe kein Internet“ auszuwählen.
  6. Im nächsten Schritt musst du unten rechts ein weiteres Mal bestätigen, dass du „Mit eingeschränkter Einrichtung fortfahren“ möchtest.
  7. Danach kannst du die Einrichtung mit einem lokalen Konto fortführen.
  8. Auf dem Desktop angekommen, kannst du dein entsprechendes WiFi mit einem Klick auf die Taskleiste unten rechts aktivieren und anschließend die Windows-Updates durchlaufen lassen.

Zertifikat installieren: Exchange 2010 (PowerShell)

Entpacken Sie die Ihnen zugesandte ZIP Datei auf Ihrem Server.

Variante 1: Exchange 2010 (PowerShell) Zertifikat installieren

Öffnen Sie die Exchange Management Shell und führen Sie den folgenden Befehl aus, um das Server-, Root- und Zwischenzertifikat in die entsprechenden Zertifikatsspeicher zu installieren:

Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content -Path c:\Zertifikate\IhrZertifikat.cer -Encoding byte -ReadCount 0))

Anmerkung: Sollten Sie .crt Dateien anstelle von .cer erhalten haben, dann vergewissern Sie sich, dass IhrZertifikat.cer Ihre_Bestellnummer.crt oder www_ihredomain_de.crt lautet.
Es kann sein, dass Sie aufgrund des Formates Ihr Root und Zwischenzertifikat auf Ihrem Server manuell installieren müssen.

Vergewissern Sie sich, dass sich keine Leerzeichen in Ihrem Pfad befinden. Als Abschluss des Befehls sollten Sie den Thumbprint angezeigt bekommen (sollten Sie diesen verlieren, können Sie ihn aus dem MMC Certificates Snap-In kopieren).

Um die Dienste zu aktivieren, führen Sie folgenden Befehl aus:

Enable-ExchangeCertificate -Thumbprint $your_thumbprint -Services "POP,IMAP,SMTP,IIS"

(Immer in der Annahme, Sie nutzen alle genannten Dienste aktiv. Passen Sie diesen Aufruf entsprechend Ihrer eigenen Konfiguration an)

Variante 2: Exchange 2010 (PowerShell) Zertifikat installieren

Alternativ können Sie den folgenden Befehl ausführen und den Import und Dienststart in einer Zeile kombinieren:

Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content -Path c:\Zertifikate\IhrZertifikat.cer -Encoding byte -ReadCount 0)) | Enable-ExchangeCertificate -Services „IIS,POP,IMAP,SMTP

SAN (Subject Alternative Names) Zertifikat erstellen

SAN-Zertifikat von öffentlicher Zertifizierungsstelle erstellen lassen?

CertificateUm also mehrere Server- bzw. Dienstnamen in einem Zertifikat einzubinden, erstellt man ein spezielles Zertifikat, welches um das Datenfeld Subject Alternative Names erweitert wird. Öffentliche Zertifizierungsstellen (Certificate Authority, CA) bieten u.a. Webformulare an, in denen man alle benötigten Namen angibt. Die CA erstellt aus den Angaben den Certificate Signing Request (CSR) sowie den Private Key und signiert das neue Zertifikat. Der private Schlüssel ist streng vertraulich, da mit diesem die Entschlüsselung von Daten erfolgt.

In diesem Szenario besitzt die Zertifizierungsstelle sowohl den öffentlichen als auch den privaten Schlüssel des Zertifikats. Die Sicherheit und Vertraulichkeit ist dadurch nicht mehr gewährleistet. Der private Schlüssel ist vor Zugriffen Dritter, also auch vor Zugriffen öffentlicher Zertifizierungsstellen, zu schützen.

 

Zertifikatsantrag (CSR) und Private Key besser selbst erstellen

Vertraulichkeit und hohe Sicherheitsansprüche sind gute Gründe den CSR, und damit den privaten Schlüssel, selbst zu erstellen. Betreibt man eine eigene, interne PKI, bspw. mithilfe Microsofts AD CS, wird man gelegentlich CSR für interne Dienste bzw. Server erstellen müssen. Im Folgenden wird beschrieben, wie man diese CSR zum Ausstellen neuer Zertifikate mit Windows Bordmitteln recht einfach erstellt. Das Verfahren ist nicht ausschließlich auf SAN-Zertifikate beschränkt, sondern kann auch zum Beantragen von Wildcard- und Single Name-Zertifikaten angewandt werden.

 

Zertifikatsspeicher

Der Zertifikatsspeicher des lokalen Computers.

Zertifikate werden in unterschiedlichen Bereichen aufbewahrt. Es gibt den zentralen Zertifikatsspeicher des Computer. Die in diesem Speicher abgelegten Zertifikate können sowohl von Programmen, Diensten sowie von allen Benutzern des Computers genutzt werden. Zum Verwalten dieser Zertifikate sind jedoch Administratorberechtigungen erforderlich. Die Management Konsole des Computer Certificate Store ruft man über Start –> Ausführen –> certlm.msc auf.

 

 

Der Zertifikatsspeicher des angemeldeten Benutzers.

Jeder Benutzer besitzt seinen eigenen Certificate Store. Auf den benutzerspezifischen Zertifikatsspeicher hat nur der jeweilige Anwender Zugriff. Für die Verwaltung der eigenen Zertifikate sind keine administrativen Berechtigungen erforderlich. Die Management Konsole des eigenen Zertifikatsspeicher startet man über Start –> Ausführen –> certmgr.msc auf.

 

 

 

CSR erstellen

Um den CSR direkt auf dem Windows Gerät zu erstellen, auf dem das neue Zertifikat eingesetzt werden soll, verwendet man idealerweise die Zertifikatsverwaltung des Computers: certlm.msc. Generiert man den CSR stellvertretend, um das Zertifikat nach Erstellung zu exportieren und weiterzugeben, reicht die eigene, benutzerbezogene Zertifikatsverwaltung, da sie keine erhöhten Rechte anfordert: certmgr.msc

 

Für ein SAN-Zertifikat muss eine benutzerdefinierte Anforderung (Custom Request) erstellt werden.

 

Nach dem Start des Assistenten, führt man den Vorgang ohne Registrierungsrichtlinie fort. Active Directory-Registrierungsrichtlinien werden über Gruppenrichtlinien (GPO) verwaltet und stellen in der Regel einfache Benutzer- oder Computerzertifikate aus. Diese Richtlinie ist für unsere Zwecke nicht ausreichend.

 

Sowohl die Wahl der Crypto Engine CNG, als auch das Format PKCS sind vorausgewählt.

 

Den CSR konfiguriert man über Eigenschaften, die durch einen Klick auf Details erscheinen.

 

Sowohl Anzeigename als auch Beschreibung dienen der besseren Übersicht, haben üblicherweise keine technische Relevanz und können frei gewählt werden.

 

Hinweis

Es gibt vereinzelt Anwendungen die den Anzeigenamen nutzen, um Zertifikate zu identifizieren. Beispielsweise greift der Office Online Server auf dieses Feld zurück, um ein Wildcard-Zertifikat einzubinden. Der VMware Connection Server erfordert gar den vordefinierten Wert vdm als Anzeigename, um das richtige Zertifikat zu erkennen, was bei einem Zertifikatswechsel zu beachten ist.

Diese Eigenschaften lassen sich jederzeit nachträglich in der Zertifikatsverwaltung anpassen.

 

Jetzt sind alle relevanten Daten einzugeben. Üblicherweise gibt man als Common Name (Allgemeiner Name) den DNS-Namen an, unter dem der Dienst öffentlich erreichbar ist. Hinzu kommen Angaben zum Ort bzw. Stadt (L=Location), Land/Region (C=Country), was nicht zu verwechseln ist mit (Bundes)Land (S=State). Des Weiteren sind die Angaben Organisation (O), die verantwortliche Organisationseinheit (OU), in der Regel die IT-Abteilung, und die E-Mail-Adresse eines Kontakts. Übliche Kürzel, bspw. Länderkennungen, sind erlaubt.

Die alternativen Namen werden im unteren Abschnitt eingetragen. Neben DNS kann man auch die IP-Adressen eintragen.

 

Welchen Zweck ein Zertifikat erfüllt, gibt man im Reiter Erweiterungen unter Erweiterte Schlüsselverwendung (Anwendungsrichtlinien) an. Für ein Serverzertifikat ist die Option Serverauthentifizierung auszuwählen. Oftmals wird Zertifikaten zusätzlich die Option Clientauthentifizierung hinzugefügt, über die sich ein Server anderen gegenüber als Client authentifiziert. Diese Option ist aber nicht erforderlich.

Bei der Angabe Schlüsselverwendung handelt es sich um Einschränkungen der Verwendung des Zertifikats auf die ausgewählten Optionen. Typischerweise erforderlich für ein Serverzertifikat ist Digitale Signatur, oft in Kombination mit Schlüsselverschlüsselung, was bedeutet, dass der Schlüsselaustausch nur mit Schlüsselverschlüsselung zugelassen ist. Diese Angabe ist optional und wird ggf. durch die signierende CA gesetzt.

 

Die Auswahl und Konfiguration der Cipher Suite erfolgt im Reiter Privater Schlüssel. Je nach Verwendungszweck und Laufzeit des Zertifikats, ist ein geeigneter Algorithmus mit entsprechender Schlüssellänge zu wählen. Nach wie vor häufig im Einsatz ist RSA. Bei Verwendung von RSA sollte der Schlüssel mindestens 2048, besser 4096 Bit lang sein. Neuere Alghorithmen, bspw. auf Basis elliptischer Kurven wie ECDH, kommen mit kleineren Schlüsseln aus.

 

Der Kryptografieanbieter, per default RSA, kann ausgewählt bleiben. Damit verstehen sich die meisten Programme. Möchte man die Sicherheit hochschrauben, greift man zu neueren Cipher Suiten mit Elliptic Curve Cryptography (ECC). Das Perfect Forward Secrecy Verfahren stellt sicher, dass verschlüsselte Kommunikation nicht zu entschlüsseln ist, da sich mit jeder neuen Session der Session Key ändert.

Der Hashalgorithmus sollte unbedingt auf SHA-2 basieren, SHA-1 und MD5 sind unsicher, auf sie sollte man komplett verzichten. In der Praxis werden die Algorithmen SHA-256, SHA-384 und SHA-512 verwendet, aktuelle Browser und Geräte unterstützen SHA-2. Muss das Zertifikat exportiert werden, ist der private Schlüssel als exportierbar zu kennzeichnen.

 

Nach der Angabe aller Daten, schließt und speichert man die Anforderung ab.

 

Den CSR schickt man nun der CA. Der CA Administrator prüft und signiert den Request, um diesen in Form eines Zertifikates zurückzusenden. Dieses Zertifikat muss auf dem Gerät importiert werden, auf dem der CSR erstellt wurde. Und der Import erfolgt in den zuvor genutzten Zertifikatsspeicher. Denn nur dort liegt der generierte private Schlüssel des Zertifikats.

 

 

Windows ordnet den privaten Schlüssel automatisch dem zugeordneten Zertifikat zu. Ob ein Schlüsselpaar komplett ist, zeigt sich in den allgemeinen Informationen des Zertifikats durch ein Schlüsselsymbol.

 

Offene, nicht abgeschlossene Anforderungen sind in der Zertifikatsverwaltung im Abschnitt Zertifikatregistrierungsanforderungen zu finden.

 

Zertifikat über Microsoft Zertifikatsdienste (AD CS) ausstellen

Als Verwalter einer internen PKI oder als Berechtigter zur Ausstellung von Zertifikaten, geht man mittels Browser auf das Web Interface der eigenen CA (https://ca-server/certsrv/). Auf der Webseite klickt man auf Request a certificate.

 

Anschließend navigiert man zur Anforderungseite über den Link Submit a certificate request[…].

 

Den kompletten Inhalt des CSR, die Datei kann mit jedem Texteditor geöffnet werden, überträgt man in das Formular, wählt die gewünschte Zertifikatsvorlage aus und schickt die Anfrage ab.

War der Vorgang erfolgreich, wird das signierte Zertifikat zum Download angeboten, welches dann an den Anforderer zurückgeschickt oder importiert werden kann.

Alternativ zum Web Enrollment, können CSR direkt über die CA Managenment Konsole oder mittel certreq.exe signiert werden.

 

Weiterführende Informationen
Wikipedia: Public-Key-Infrastruktur
Microsoft: Active Directory Certificate Services Overview
Technet: Active Directory-Zertifikatdienste
Technet: AD CS Step by Step Guide: Two Tier PKI Hierarchy Deployment
Technet: Cross-Forest Certificate Enrollment using Certificate Enrollment Web Services
Technet: Active Directory Certificate Services (AD CS) Clustering
Microsoft: PKI Blog Archive
Certutil.exe
Certreq.exe

 

 

Content retrieved from: https://www.privalnetworx.de/create-san-certificate.

Upgrade Windows Server 2022 Evaluation to Full Edition

upgrade server evaluation to production errors product key you entered didnt work 0xC004F069

If you try to convert / upgrade Windows Server Evaluation to a licensed full edition using the normal command line or the CHANGE KEY GUI, you will see errors like: The product key you entered didn’t work, Check the product key and try again or enter a different one

Fortunately, there is an easy fix. You have to change Windows Server Eval editions to a production licensed versions of Standard or Data Center:

  1. Launch a PowerShell as an Administrator
  2. Type dism /online /get-currentedition and press ENTER
  3. Type dism /online /get-targeteditions and press ENTER
  4. Type dism /online /set-edition:ServerDatacenter /productkey:WX4NM-KYWYW-QJJR4-XV3QB-6VM33 /accepteula or dism /online /set-edition:ServerStandard /productkey:VDYBN-27WPP-V4HQT-9VMD4-VMK7H /accepteula and press ENTER
  5. After that you need to restart the server.
  6. Then you will have a changed Windows version, which is unlicensed.
    You can add a valid, licenced Product Key with
    slmgr.vbs /ipk #####-#####-#####-#####-##### and press ENTER

how to upgrade windows server evaluation version to standard datacenter production licensed versions

Key Zwischenschritt:
Server 2016 Standard:      WC2BQ-8NRM3-FDDYY-2BFGV-KHKQY
Server 2016 Datacenter:  CB7KF-BWN84-R7R2Y-793K2-8XDDG
Server 2019 Standard:      N69G4-B89J2-4G8F4-WWYCC-J464C
Server 2019 Datacenter:  WMDGN-G9PQG-XVVXX-R3X43-63DFG
Server 2022 Standard:      VDYBN-27WPP-V4HQT-9VMD4-VMK7H
Server 2022 Datacenter:  WX4NM-KYWYW-QJJR4-XV3QB-6VM33
Keys von:
https://www.tenforums.com/tutorials/95922-generic-product-keys-install-windows-10-editions.html
https://learn.microsoft.com/en-us/windows-server/get-started/kms-client-activation-keys#windows-server-2022

Windows Server GUI auf Server Server Core wechseln

Windows Server Core Mode Performance Benefits

The most obvious reason for converting to Core is performance: you get more bang for your buck on the same hardware by reducing unused operating-system components from running. Performance benefits include:

  • Fewer RAM requirements
  • Fewer CPU requirements
  • Fewer patches
  • Faster operation
  • Faster boot time
  • Better Uptime

For Fastvue Reporter running as a syslog server, the uptime is vital because messages can be missed and only caught much later when the historical log archive rolls over at midnight. The more stable and robust your platform is, the lower the potential for lost log data.

Windows Server Core Mode Security Benefits

The additional performance gains and improved uptime is nice, but even without these benefits, some still prefer to run Core from a security perspective. Having less code and tools on a system makes it harder to attack, and once compromised, it makes it less useful to the attacker.

Security benefits of this switch include:

  • Smaller attack surface
  • Windows server RSAT
  • Easily switch from full GUI to Core

Managing Windows Server Core Mode

There are many compelling reasons to switch from Full GUI to Core, but the question that comes up most often involves management. „How would I manage the switch to Core?“. This is normally followed closely by „My staff only know how to use the GUI. What if we need need it for some reason?“.

Back in Windows Server 2008, you selected whether you want Core or Full GUI. It was a one-way trip.

But now in Windows Server 2012, you have the option of switching between modes. Depending on how you switch, your experience is either simple, or requires a bit more time and effort.

Switching Between Modes

I am going to show you how to switch between Windows Server Core Mode and the full GUI mode the easy way, Based on my several years of experience to figuring out the „best way“ of doing it.

The steps include:

  • Configuring your server to take advantage of the reduced requirements
  • Switch to Core mode using PowerShell
  • Manage your core server from a machine with Full GUI using RSAT
  • Switch from Core back to Full GUI mode

Step 1: Configure your server

I am going to configure my Fastvue Reporter Server as a Hyper-V Virtual Machine with dynamic RAM in order to take advantage of the reduced requirements of Windows Core Mode.

Fastvue Reporter is a good candidate for virtualisation and running Windows Core Mode because of its predictable CPU and RAM requirements. It is also more resource-hungry when other servers are typically not because Fastvue Reporter generates reports on a schedule at midnight each day, week, and end of the month.

This works best on host and guest OS of Windows Server 2012 R2. To configure your server:

  1. Open Hyper-V Manager and select the Virtual Server and go to Settings
  2. Enable Dynamic RAM
  3. Set the Minimum RAM to something realistically low (2048)
  4. Set the Maximum RAM to something nice and high
  5. Ensure that Memory Buffer is around 20% because of the predictable resource requirements
  6. Designate the CPU to allocate at least 3 Cores

You may also like to see our article on Understanding Hyper-V Dynamic Memory (Dynamic RAM).

Step 2: Switch from using Full GUI to Core Mode – The Easy Way

Don’t worry. Switching from the full GUI to Windows Core Mode is a reversible step. You can always bring the GUI back.

There are two ways to remove the GUI and switch to Core Mode:

  1. Via the Windows Server GUI using the ‚Remove Roles and Features‘ wizard, or
  2. Using PowerShell

I recommend using PowerShell, as when you use the ‚Remove Roles and Features‘ wizard, it also removes all the binary components instead of simply disabling them. This makes switching back to the full GUI version much more difficult as you need to provide the installation source media.

To switch to Windows Core Mode using PowerShell, open a PowerShell Console as Administrator and execute these two commands

Uninstall-WindowsFeature Server-Gui-Shell Uninstall-WindowsFeature Server-Gui-Mgmt-Infra –Restart

The server will reboot and everything will look normal until you log on. When you log on, you get a command shell, nothing more. Welcome to Windows Server Core!

Step 3: Remotely Managing Windows Server Core using RSAT

You should be using this method for administering your servers already. If you are not, here is a quick intro to using the Windows Remote Server Administration Tools (RSAT). Various RSAT snap-ins can be added to a machine at any stage.

  1. From your management server, open Server Manager
  2. From the Dashboard page, select Add servers to manage
  3. Add your Core server, which is now a manageable object from this server

You can also elect to use a Windows client machine as your management station. If so, download and install the RSAT tools for Windows.

Step 4: Re-enabling the Windows GUI

If you ever need to restore the GUI onto the server, simply reverse the commands we issued earlier at any stage. This works because we did not explicitly use the –Remove flag, like the GUI method would have.

You can do this remotely or by logging onto the server and using the following steps:

To switch back to Full FUI mode, open a PowerShell Console as Administrator and execute these commands:

Install-WindowsFeature Server-Gui-Shell, Server-Gui-Mgmt-Infra –Restart

Then wait for reboot.

Your machine will now boot back with the full Windows GUI.

Conclusion

Using Windows Server Core for back-end infrastructure without requiring a user to login on a console is a great way to maximise your performance on a shared infrastructure. Thanks to the tools available now, it is easier than ever to manage Core through PowerShell or remotely via RSAT.

Using the PowerShell method in this article makes switching back and forth between Core and GUI simple.

Convert pfx file to pem file

Convert pfx file to pem file

Conversion to a combined PEM file

To convert a PFX file to a PEM file that contains both the certificate and private key, the following command needs to be used:
# openssl pkcs12 -in filename.pfx -out cert.pem -nodes

Conversion to separate PEM files

We can extract the private key form a PFX to a PEM file with this command:
# openssl pkcs12 -in filename.pfx -nocerts -out key.pem

Exporting the certificate only:
# openssl pkcs12 -in filename.pfx -clcerts -nokeys -out cert.pem

Removing the password from the extracted private key:
# openssl rsa -in key.pem -out server.key

Windows 10 ping through firewall- GUI, PowerShell netsh command

enable ping requests on Windows.
CMD als Admin:
netsh advfirewall firewall add rule name=“ICMP Allow incoming V4 echo request“ protocol=icmpv4:8,any dir=in action=allow
 

There are a couple of ways to open the blocked ping request in Windows 10 by configuring a firewall. It can be using the graphical user interface or via the command line PowerShell or centrally via group policies. By default, Windows 10 not allows other computers in the network to ping due to security concerns. After all, the service is often misused for attacks, preferably for denial-of-service attacks, thus Microsoft decided to turn it off, out of the box.

Well, still many times we need the pining facility to solve the network connectivity problems and for that newbies usually turn off the Firewall completely. However, we can manually allow Windows 10 Ping in its firewall, whereas those who concern about security risks they can mitigate it by activating the predefined firewall rule only for the domain profile or by restricting permissible requests to certain IP addresses.

Allow Windows 10 ping through Firewall GUI

One of the easiest ways to allow ping is by activating the pre-configured firewall in Windows via a graphical user interface with the help of the Advanced Security option. However, you should have admin access to enable or disable firewall rules. Here are the steps to follow:

  1. Go to Windows 10 or 7 Search box.
  2. Type- Windows Defender firewall, as its icon appears, click to open it.
  3. From the left side panel select “Advanced Settings“.
  4. On Windows Defender Firewall with Advanced Security select Inbound Rule from the left side panel.
  5. Now, in the Inbound Rules area search for “File and Printer Sharing (Echo Request ICMPv4-In). This rule exists in versions for the profile domain as well as for public and private. They can be activated for a specific profile or several profiles as required. In this option, the private profile allows pining through IP V4 address”.
  6. Once you find this predefined rule, right-click on it and select “Enable rule“.
  7. After that Windows 10 system could be pinged from a remote or local PC.
  8. In the same way, if you are interested in pinging Windows through Domain or IPv6, then select Echo Request ICMPv6 for IP version 6 whereas the same option with Domain Profile will the pinging through the domain name.

Open WIndows 10 firewall advance settings Enable WIndows 10 ping through firewall advance rule

Furthermore, if you want to secure pining by restricting it to some particular IP address then after enabling the rule, again right-click on the same and select Properties.

Open Firewall Rule properties min

In the Properties dialog select the Scope Tab and to restrict all clients from sending ping requests, click on the Add button and mentioned the Remote IP Address of the only those machines that you want to allow to ping your Windows 10 PC. If there are several NICs on the computer, it is also possible to use local IP addresses to specify those to which requests are allowed.

Secure Ping by adding remote ip address

Allow Windows ping with PowerShell or Command-line Prompt

Those who don’t want to use the GUI method because of the multiple steps involved to allow Ping on Windows can go for command-line one. In which, we just need to run Powershell or Command prompt with Administrative right and after that copy-paste the command given here.

  • Click in Windows 10 or 7 search box.
  • Type- Powershell or Command prompt
  • Then as per your selection of command-line tool, run it as administrator.
  • After that simply run the below netsh command to enable ping requests on Windows.

netsh advfirewall firewall add rule name=“ICMP Allow incoming V4 echo request“ protocol=icmpv4:8,any dir=in action=allow
In the same way, if you want to disable Windows 10 Ping then use this command:
netsh advfirewall firewall add rule name=“ICMP Allow incoming V4 echo request“ protocol=icmpv4:8,any dir=in action=block
Command to enable or disable windows 10 ping

 

Content retrieved from: https://www.how2shout.com/how-to/allow-windows-10-ping-through-firewall-gui-powershell-netsh-command.html.

SBS 2011 und Zertifikate

Problem:

Sie betreiben einen SBS 2011 mit einem selbstsigniertem Zertifikat (z.B. weil der Server nur intern betrieben wird). Das erstellte (Webserver) Zertifikat hat eine Gültigkeitsdauer von 2 Jahren und steht vor dem Ablauf.

Im Systemprotokoll erhalten Sie u.a. folgende Meldungen:

  • MSExchangeTransport (12018): Das STARTTLS-Zertifikat läuft in Kürze ab. Betreff: <Domain>, Fingerabdruck: <Schlüssel>, verbleibende Stunden: xxx. Führen Sie das Cmdlet “New-ExchangeCertificate“ aus, um ein neues Zertifikat zu erstellen.
  • MSExchangeTransport (12017): Ein internes Transportzertifikat läuft in Kürze ab. Fingerabdruck: <Schlüssel>, verbleibende Stunden: xxx

Das Zertifikat stammt vom Webserver (IIS) und ist u.a. für OWA zuständig.

Lösung:

Um das Zertifikat für weitere zwei Jahre zu erneuern und im kompletten SBS 2011 synchronisiert zu bekommen, gehen Sie wie folgt vor:

  • Öffnen Sie die SBS 2011 Konsole
  • Gehen Sie dort auf Netzwerk und wählen Sie den Punkt Konnektivität
  • Führen Sie unter Tasks den Punkt Internetadresse einrichten aus
  • Lassen Sie den Wizard durchlaufen und tragen Sie die gleichen Daten wie zuvor ein
  • Warten Sie, bis der Wizard fertig ist (kann einige Zeit dauern)
  • Wenn der Wizard fertig ist und Sie nun das Zertifikat doppelt klicken, sollte dort der neue Gültigkeitszeitraum zu sehen sein (ab heute / bis in zwei Jahren)

Danach können Sie Ihren SBS 2011 wie gewohnt weiter verwenden.

Nachtrag:

Sollte Sie danach im Protokoll weiterhin Meldungen haben, dass das Zertifikat abgelaufen, oder nicht mehr gültig ist, machen Sie am besten folgendes:

  • Löschen Sie zunächst in der Exchange Management Konsole das abgelaufene Zertifikat
  • Öffnen Sie danach die zentrale Zertifikatverwaltung und sperren Sie das abgelaufene Zertifikat.

Durch die Sperrung haben Sie zusätzlich alles besser im Überblick.

Variante 2:

Wenn Sie den Einrichtungswizard nicht nutzen wollen, oder falls es dort zu einem Problem kam, können Sie versuchen die Zertifikate auch direkt über den IIS zu erneuern. Hierfür gehen Sie wie folgt vor:

  • Im Menü Verwaltung öffnen Sie dem Internetinformationsdienste (IIS)-Manager
  • Wählen Sie links Ihren Server aus (Domainserver)
  • Rechts daneben (im Fenster mittig) sehen Sie nun diverse Symbole. Wählen Sie unterhalb von IIS den Punkt Serverzertifikate aus.
  • Im darauf folgenden Fenster sehen Sie nun eine Übersicht aller Zertifikate. Wählen Sie hier nun das entsprechende Zertifikat aus! Achten Sie dabei auf Ablaufdatum und Fingerabdruck (Zertifikathash), damit Sie auch das richtige Zertifikat gewählt haben.
  • Wählen Sie nun über das Aktionsmenü rechts, oder über das Kontextmenü der rechten Maustaste den Punkt Erneuern aus
  • Wählen Sie den Punkt Vorhandenes Zertifikat erneuern aus, klicken Sie auf weiter und im nächsten Fenster auf Auswahl. Wählen Sie dort nun Zertifizierungsserver (Ihr Server) aus und klicken Sie auf Fertig.

Das Zertifikat sollte nun erneuert werden, was Sie direkt am neuen Ablaufdatum und dem neuen Hashwert sehen. Prüfen Sie dies aber bitte zusätzlich durch die Zertifizierungsstelle (unter Verwaltung), sowie innerhalb der Exchange-Verwaltungskonsole (unter Serverkonfiguration).

Damit die Zuweisungen für Remote Web und diverse Dienste noch stimmen, müssen Sie ggf. im Anschluss noch in der SBS Konsole unter Konnektivität das Webserverzertifikat, welches Sie verlängert haben, neu hinzufügen. Der Assistent regelt bei Bedarf dann den Rest.

Hinweis:

Sollte sich das Zertifikat nicht verlängern lassen (Anforderung abgelehnt o.ä.), bzw. nach der Verlängerung/Erneuerung der Zeitraum ungewöhnlich kurz sein, so müssen Sie ggf. zunächst das Zertifizierungsstellenzertifikat erneuern:

  • Im Menü Verwaltung öffnen Sie die Zertifizierungsstelle
  • Wählen Sie Ihre Zertifizierungsstelle
  • Klicken Sie sie mit der rechten Maustaste an und wählen Sie Alle Aufgaben > Zertifizierungsstellenzertifikat erneuern
  • Sollte nicht ein zwingender Grund vorliegen, können Sie den alten Signaturschlüssel behalten (nein anwählen)
  • Zertifikat erneuern lassen

Danach können Sie mit den obigen Schritten fortfahren.

Server 2011 SBS Stammzertifikat erneuern

So installieren wir ein vertrauenswürdiges Zertifikat

  1. Wir bzw. der Kunde kauft ein SSL-Zertifikat.
  2. Wir öffnen die Windows SBS-Konsole.
  3. Klicken auf der Navigationsleiste auf Netzwerk, und dann auf Konnektivität.
  4. Klicken im Aufgabenbereich auf Vertrauenswürdiges Zertifikat hinzufügen und anschließend auf Weiter.
  5. Klicken auf Ich verfüge über ein Zertifikat von meinem Zertifikatanbieter, und dann auf Weiter.
  6. Fügen auf der Seite Vertrauenswürdiges Zertifikat importieren die Information ein, die wir vom Anbieter erhalten haben, oder navigieren zum Speicherort der Datei mit dem vertrauenswürdigen Zertifikat, und klicken dann auf Weiter.
  7. Dann klicken wir auf der Seite Die Zertifikatdatei wird installiert auf Fertig stellen.

Selbst erstelltes Zertifikat (nicht gekauft) durch reparieren verlängern

  1. Wir öffnen die Windows SBS-Konsole.
  2. Klicken auf der Navigationsleiste auf Netzwerk, und dann auf Konnektivität.
  3. Klicken im Aufgabenbereich auf Beheben von Netzwerkproblemen und starte den Assistent der Probleme im Netzwerk ausfindig macht.
  4. Am Ende lasen wir das abgelaufene Zertifikat automatisch reparieren.
  5. Unter Systemsteuerung – Verwaltung – Zertifizierungsstelle sieht man nun in “Ausgestellte Zertifikate” einen neuen Eintrag mit dem neu ausgestellten Zertifikat.

Abgelaufene Zertifikate am Small Business Server 2011 erneuern

Wenn Sie einen Small Business Server 2011 (SBS 2011) mit einem selbstsigniertem Zertifikat betreiben, hat dieses Zertifikat hat eine Gültigkeitsdauer von 2 Jahren und muss daher regelmäßig erneuert werden.

Im Ereignisprotokoll in den Anwendungen auf dem SBS2011 erhalten Sie u.a. folgende Meldungen:

  • MSExchangeTransport (12018): Das STARTTLS-Zertifikat läuft in Kürze ab. Betreff: <Domain>, Fingerabdruck: <Schlüssel>, verbleibende Stunden: xxx. Führen Sie das Cmdlet “New-ExchangeCertificate“ aus, um ein neues Zertifikat zu erstellen.
  • MSExchangeTransport (12017): Ein internes Transportzertifikat läuft in Kürze ab. Fingerabdruck: <Schlüssel>, verbleibende Stunden: xxx
  • MSExchangeTransport (12016):Es ist kein gültiges SMTP-TLS-Zertifikat (Transport Layer Security) für den FQDN von ‚<Domain>‘ vorhanden. Das vorhandene Zertifikat für diesen FQDN ist abgelaufen. Die fortgesetzte Verwendung dieses FQDNs wird Nachrichtenübermittlungsprobleme verursachen. Ein neues Zertifikat, das den FQDN von ‚<Domain>‘ enthält, sollte so bald wie möglich auf diesem Server installiert werden. Sie können ein neues Zertifikat mithilfe des Tasks ‚New-ExchangeCertificate‘ erstellen.
  • MSExchange Web Services (25): Das Exchange-Zertifikat ‚[Subject]
    CN='<Domain>‘ [Thumbprint] läuft sehr bald ab
  • MSExchange Web Services (26): Das Exchange-Zertifikat ‚[Subject]
    CN='<Domain>‘ [Thumbprint] läuft am <Datum und Uhrzeit> ab.

Um das abgelaufene Zertifikat am Small Business Server 2011 für weitere zwei Jahre zu erneuern und im kompletten SBS 2011 synchronisiert zu bekommen, gehen Sie wie folgt vor:

  • Starten Sie die SBS 2011 Konsole
  • Gehen Sie dort auf Netzwerk und wählen Sie den Punkt Konnektivität
  • Führen Sie unter Tasks den Punkt Internetadresse einrichten aus
    Sollten Sie den Fehler:
    Windows SBS Internetadressenverwaltung
    Angezeigt bekommen, so führen Sie zuerst unter Task den Punkt Mit dem Internet verbinden aus
  • Lassen Sie den Assistenten durchlaufen und tragen Sie die gleichen Daten wie zuvor ein
  • Warten Sie, bis der Assistent fertig ist
  • Wenn der Assistent fertig ist und Sie nun das Zertifikat mit einem doppelklick öffnen, sollte dort der neue Gültigkeitszeitraum angezeigt werden (von heute / bis in zwei Jahren)

Anschließend können Sie Ihren Small Business Server 2011 wie gewohnt verwenden. Ein Neustart ist nicht notwendig.

Variante 2:

Wenn Sie den Einrichtungsassistent nicht nutzen wollen, oder falls es dort zu einem Problem gekommen ist, können Sie versuchen die Zertifikate auch direkt über den IIS-Manager zu erneuern. Hierfür gehen Sie wie folgt vor:

  • Im Menü Verwaltung öffnen Sie den Internetinformationsdienste (IIS)-Manager
  • Wählen Sie links Ihren Server aus
  • Rechts daneben (im Fenster in der Mitte) sehen Sie nun diverse Symbole. Wählen Sie unterhalb von IIS den Punkt Serverzertifikate aus.
  • Im darauf folgenden Fenster sehen Sie nun eine Übersicht aller Zertifikate. Wählen Sie hier nun das entsprechende Zertifikat aus! Achten Sie dabei auf das Ablaufdatum und Fingerabdruck (Zertifikathash), damit Sie auch das richtige Zertifikat ausgewählt haben.
  • Wählen Sie nun über das Aktionsmenü rechts, oder über das Kontextmenü der rechten Maustaste den Punkt Erneuern aus
  • Wählen Sie den Punkt Vorhandenes Zertifikat erneuern aus, klicken Sie auf weiter und im nächsten Fenster auf Auswahl. Wählen Sie dort nun Zertifizierungsserver (Ihr Server) aus und klicken Sie auf Fertig.
    Solltet Ihr bei diesem Vorgang den Fehler: „Die Zertifikatsanforderung wurde an die Online-Zertifizierungsstelle gesendet, das Zertifikat jedoch nicht ausgestellt.
    Die Anforderung wurde abgelehnt.“ erhalten, so können Sie versuchen die Uhrzeit auf Ihrem Server auf das Datum vor dem Ablauf des Zertifikates zurückzusetzen. In einigen Fällten konnte so dieses Problem umgangen werden.

Das Zertifikat sollte nun erneuert werden, was Sie direkt am neuen Ablaufdatum sowie dem neuen Hashwert sehen können. Überprüfen Sie dies jedoch bitte zusätzlich noch durch die Zertifizierungsstelle (unter Verwaltung), sowie innerhalb der Exchange-Verwaltungskonsole (unter Serverkonfiguration).

Damit die Zuweisungen für Remote Web und diverse Dienste noch stimmt, müssen Sie gegebenenfalls im Anschluss noch in der SBS Konsole unter Konnektivität das Webserverzertifikat, welches Sie verlängert haben, neu hinzufügen. Der Assistent regelt bei Bedarf dann den Rest.

Variante 3:

Sollten die beiden Varianten nicht funktionieren, so können Sie noch einen Assistenten starten. Gehen Sie dazu wie folgt vor:

  • Starten Sie die SBS 2011 Konsole
  • Gehen Sie dort auf Netzwerk und wählen Sie den Punkt Konnektivität
  • Führen Sie unter Tasks den Punkt Beheben von Netzwerkproblemen aus
  • Überprüfen Sie dass der Haken bei Das selbst ausgegebene Zertifikat ist abgelaufen gesetzt ist und lassen Sie den Wizard durchlaufen

Sollten Sie einen Exchange 2007 oder einen Small Business Server 2008 im Einsatz haben, dann schauen Sie einmal hier vorbei: msxfaq.de

In der Windows SBS Console fehlen einige Benutzer

Prinzipiell sollten alle Benutzer auf einem Windows Small Business Server in der Console angelegt werden. Hat man aber im Eifer des Gefechtes einige Benutzer in „Active Directory User und Computer“ angelegt, dann erscheinen diese nicht in der Konsole unter „Benutzer und Gruppen“.

Lösung

  • „Windows SBS Console“ aufrufen
  • „Benutzer und Gruppen“ aufrufen
  • Irgendeinen vorhandenen Benutzer anklicken
  • Rechts „Benutzerrolle für Benutzerkonten ändern“ anklicken
  • Rolle des Benutzers anwählen (z.B. Standardbenutzer)
  • Option darunter „Benutzerberechtigungen oder Einstellungen ersetzen“ wählen
  • „Weiter“ wählen
  • In der nächsten Maske unten „Alle Benutzerkonten in Active Directory anzeigen“ anwählen
  • Jetzt den oder die fehlenden Benutzer auswählen und „Hinzufügen“ wählen
  • „Benutzerrolle ändern“ wählen

Die betreffenden Benutzer werden jetzt mit der entsprechenden SBS Rolle vershen und erscheinen fortan in der „Windows SBS Console“.

Dabei ist allerdings zu beachten, dass eventuell vorhandene spezielle Gruppenzugehörigkeiten zurückgesetzt werden.

Quellen:

http://blogs.technet.com/b/sbs/archive/2008/09/22/why-are-some-of-my-users-not-displaying-in-the-sbs-console.aspx

Das Hinzufügen des ARP-Eintrags ist fehlgeschlagen: Der Zugriff wird verweigert: arp -s geht nimmer

Stattdessen wir jetzt netsh verwendet:

netsh interface ipv4 add neighbors „Name der LAN-Verbindung“ [IP] [MAC]

für Copy & Paste:
netsh interface ipv4 add neighbors LAN-Verbindung 10.11.1.5 00-11-32-B7-00-E9
netsh interface ipv4 add neighbors Local Area Connection 192.168.0.1 00-24-01-d2-3a-bd
netsh interface ipv4 add neighbors Ethernet 10.11.1.5 00-11-32-B7-00-E9

Netzwerkkarten anzeigen:
netsh interface show interface

Betrieben von WordPress | Theme: Baskerville 2 von Anders Noren.

Nach oben ↑