Exchange Server 2007 CCR Cluster – FSW Besonderheiten

Hallo Leutz,

Exchange Server 2007 CCR Cluster verwenden zwei Nodes und einen dritten Rechner (typischerweise einen HTS) als File Share Witness. Dieser FSW ist der Voter in dem CCR Cluster und regelt das Failoverhalten des Clusters und verhindert das sogenannte Split Brain Syndrom.

Der FSW ist nur auf einem HTS aktiv. Leider kann man den HTS nicht auf ein DFS setzen, so dass sich die Frage stellt, was bei dem Ausfall eines Datacenters in einem geographisch verteilten Cluster erfolgt, bzw. was bei einem Switch Ausfall passiert, wenn die HTS Server nicht redundant an verschiedene Switche angebunden sind.

Da der FSW der Voter ist, kann der passive Cluster Node nach einem Datacenter Ausfall die Cluster Gruppe und den CMS nicht mehr hochfahren. Der FSW ist also der SPOF. Der FSW muss manuell dem zweiten Knoten bekannt gemacht und aktiviert werden.

Wie der Passive Node zu aktivieren ist, steht hier:
http://msexchangeteam.com/archive/2007/04/25/438185.aspx
http://msexchangeteam.com/archive/2008/04/03/448615.aspx

Fuer eine CCR / HTS Anbindung in einem Datacenter gilt, die HTS Server mit NIC Teaming auf unterschiedlichen Switchen redundant anzubinden. Die beiden MBX Server brauchen kein NIC Teaming und ich habe schon gesehen, dass der EXBPA meckert, wenn NIC Teaming aktiv ist, bzw. der Failover Cluster Validation Test meckert (das bekommt man zwar weg, indem man dem NIC Team mit dem Hersteller Tool die richtige MAC setzt, muss aber nicht sein).

Wie die Einrichtung des FWS erfolgt, ist Exchange Versions spezifisch. Nachdem Exchange 2007 auf den Markt kam, war die Cluster Recommendation, den FSW in dem Datacenter zu betreiben, wo auch der Active Node liegt. Wenn dann das aktive Datacenter ausfaellt, muss das sekundaere Datacenter uebernehmen und der FSW manuell installiert, oder wenn schon installiert, manuell aktiviert werden. Siehe auch den MSEXCHANGETeam Artikel.

Eine gewisse Zeit war die Empfehlung einen CNAME Eintrag im DNS zu machen. Seit geraumer ist man davon abgegangen (wegen StrictNameChecking vom LANManServer) und empfiehlt, einfach nur den FQDN des FSW zu aendern.
In jedem Fall muss dem ehemals passiven Node, nun aktiven Node manuell beigebracht werden, wo der FSW liegt, was wie in dem Artikel beschrieben mit drei Befehlen geht.
Das Exchange Team ist davon ausgegangen, dass ein WAN Ausfall haeufiger vorkommt. Wenn dann doch das Datacenter ausfaellt, muss man halt einmal manuell umschwenken, was ja auch im Minutenbereich liegt.

Meiner Meinung nach ist das Thema SPOF bei FSW auch noch nicht hinreichend bekannt. Das Thema FSW ist eigentlich auch erst mit Windows 2008 Failover Cluster akut geworden, seitdem man mit 2008 Cluster die Nodes in unterschiedlichen Netzen betreiben kann.

Gruss Marc

Wohin mit dem alten Notebook? -iSCSI fuer arme!

Hallo Leutz,

wohin mit dem alten Notebook? Das Geraet ist noch Top in Schuss (1,83 GHz Dual Core, 4 GB RAM, 320 GB HD).

Verkaufen bei ebay kommt nicht in Frage 🙂

Heute Nachmittag kam mir die Idee, ein NAS daraus zu bauen, FreeNAS war leider keine Alternative, da mir das Notebook beim Booten immer abstuerzte.
Also ein Windows Server 2008 installiert und eine NFR Version von Starwind drauf gehauen und meine 5 USB Festplatten angeschlossen.

Jetzt stehen mir insgesamt 5,5 TB Speicherkapazitaet netto zur Verfuegung. Aus Datensicherheitsgruenden, werde ich aber nur 3,0 TB nutzen und den Rest zur Datenspiegelung verwenden. Ein entsprechendes Robocopy Skript habe ich mir erstellt, welches die Daten alle 4 Stunden synct.

 

Da ich jetzt in dem Genuss eines stromsparenden “Servers” bin, habe ich den Server auch gleich noch zum Windows DHCP Server gemacht.

Gruss Marc

ISA Server und Host-Header (CERT VU#435052)…

…Tach Allerseits,

Anfang letzter Woche ging folgende Meldung durch den Heise-Newsletter: http://www.heise.de/newsticker/Transparente-Proxies-ebnen-Angreifern-den-Weg-ins-lokale-Netz–/meldung/134333. Hier stellt sich natürlich die berechtigte Frage, ob der ISA-Server auch von dieser Sicherheitslücke betroffen ist (vor allen Dingen, wo der Status beim CERT für Microsoft als “Unknown” gelistet wird). Ein flotter Test mit einer Telnet-Konsole wie beim Heise-Artikel beschrieben beweist, das ein aktueller ISA2006 mit SP1 nicht betroffen ist. Eine ausführliche Diagnose hat Adrian Dimcev durchgeführt und beschrieben: http://www.carbonwind.net/blog/post/2009/03/21/ISA-Server-vs-US-CERT-VU435052-e28093-A-Quick-Test.aspx.

Karsten Hentrup aka Jens Mander…

|<-|

ISA-Password-Change vs. Zertifikatsfehler…

…Tach Allerseits,

Anfang des Jahres habe ich eine ISA-Installation bei einem Kunden durchgeführt, der ein sicheres OWA-Publishing inklusive Password-Change-Option wünschte. Als ich nach zwei Tagen Installation, Konfiguration und Dokumentation den OP-Tisch verließ lief alles einwandfrei. Doch Ende letzter Woche klingelte bei mir das Telefon mit einem traurigen Admin am anderen Ende der Leitung. Ihr ahnt es schon: die Password-Change-Option hatte ihren Geist aufgegeben und funktionierte bereits seit einiger Zeit nicht mehr.

Einmal mehr ein Fall für den ISA-Arztkoffer. Diesen flott gepackt, zum Kunden gefahren und ein wenig “herumgedoktort”. Folgende Diagnose konnte gestellt werden:

Die Password-Change-Option auf der Form-Based-Authentication (FBA) des ISAs verweigerte den Dienst mit der Fehlermeldung:”An error occurred while trying to change the password. Please contact technical support for your organization”

Diese Fehlermeldung ist mir inzwischen hinreichend bekannt. Sie tritt auf, wenn z.B. keine domänenintegrierte CA vorhanden ist (wird für die Password-Change-Option zwingend benötigt), oder wenn einer der am Szenario beteiligten Server (DCs, ISAs) die CA nicht kennt, oder verwaiste DCs im AD herumgeistern (http://www.it-training-grote.de/blog/?p=538). Nicht so in unserem vorliegenden Fall. Hier begegnete mir zum ersten Mal folgender Event-Log-Eintrag auf einem der DCs: “Die automatische Zertifikatregistrierung für “lokaler Computer” konnte ein Zertifikat “Domänencontroller” (0x80070005) nicht registrieren. Zugriff verweigert.”

Im Unternehmen stehen zwei DCs. Einer der beiden DCs hat sein passendes Domänencontroller-Zertifikat beim Aufsetzen der CA erhalten (deshalb funktionierte die Password-Change-Option direkt nach der Installation bzw. Konfiguration, da der ISA mit genau diesem DC kommunizierte), der zweite DC mochte die Pille allerdings nicht so recht und wies obige Fehlermeldung auf. Die gute Nachricht: Dem Patienten konnte geholfen werden!

Meine Therapieempfehlung: Fügen Sie im Wartungsfenster die Gruppe der “Domänencontroller” der Gruppe “CERTSVC_DCOM_ACCESS” hinzu. Daraufhin einmal Replizieren und Rebooten und eine flotte Genesung dürfte sich einstellen (sprich: der zweite DC erhält daraufhin von der domänenintegrierten CA sein Domänencontroler-Zertifikat)!

Mit den besten gesundheitlichen Wünschen verabschiede ich mich für heute:

Karsten Hentrup aka Jens Mander…

|<-|

Vorgehensweise Active Directory DC Migration von Windows Server 2003 – 32 Bit auf Windows Server 2008 – 64 Bit

Hallo Leutz,

hier die Vorgehensweise fuer eine DC Migration:

Voraussetzung:
Pro Domaene mindestens zwei Domaenencontroller
Die Gesamtstruktur und die Domaenen muessen bereits mit ADPREP /FORESTPREP und ADPREP /DOMAINPREP  /GPPREP und ggfs. /RODCPREP vorbereitet werden.

Installierte Software auf Windows Server 2008 Tauglichkeit pruefen
DC sichern
Funktionsweise pruefen (AD Health Check, Logdateien)
Ermittlung der installierten Software – Dokumentation / Sicherung
Windows Server Funktionen ermitteln, sichern und ggfs. auf einer anderen Maschine zur Verfuegung stellen (DHCP/WINS beachten)
FSMO Rollen auf den gerade nicht zu migrierenden Server verschieben (macht der DCPROMO Prozess auch, aber sicher ist sicher)
Ausfuehrung von DCPROMO auf dem zu migrierenden Server
Server booten
Bereinigung alter Verweise auf den Server im Active Directory (Active Directory Standorte und Dienste)
Server umbenennen
IP Adresse des Servers aendern
Server mit Windows Server 2008 64 Bit mit Hilfe der Serverbereitstellungstools des Herstellers neu installieren
Aufnahme des Servers in die eingesetzten Management-Systeme (Whatsup etc.)
Installation der notwendigen Agents (SCOM, Antvirus, Backup)
Servername und IP Adresse wie der alte Server
DNS Server auf den zweiten DC als primaeren DNS setzen
Ausfuehrung von DCPROMO
DNS + GC installieren
Server booten
IP Adresse des DNS Server umstellen auf sich selbst und sekundaer der zweite DC
FSMO Rollen zurueck verschieben
Ereignisanzeige + AD Replikation und -Funktion pruefen
Reinstallation der vorherigen Server Funktionen, Funktionspruefung
Reinstallation etwaiger vor dem Update installierter Third Party Software
Domaenen und Gesamtstrukturfunktionseben heraufstufen auf Windows 2008
FRS Replikation auf DFS Replikation umstellen
Funktionspruefung des gesamten Systems
Dokumentation

Hier findet Ihr die Doku: http://www.it-training-grote.de/download/Vorgehensweise%20Active%20Directory%20Migration%202003%20zu%202008%20Migration.pdf

Gruss Marc

Domaenen Upgrade auf Windows Server 2008 – Part I

Hallo Leutz,

es ist bei mir wieder spannend geworden: Seit gestern migriere ich das Active Directory bei einem Kunden auf Windows Server 2008. Insgesamt muessen 9 Domaenencontroller migriert und zwei neue Domaenencontroller an zwei Standorten mit zwei Subdomaenen installiert und migriert werden.

Das spannende hierbei: 6 DC sind gleichzeitig DHCP Server, ein DC ist die Enterprise Root CA, ein DC eine Subordinate CA und zwei DC sind primaerer und sekundaerer WSUS Server, so dass hier einige Vorarbeiten zu beachten sind.

Im ersten Teil habe ich gestern einen AD Health Check durchgefuehrt und alle DC auf Fehler geprueft. Folgende Tools wurden verwendet:
NTDSUTIL, DCDIAG, REPLMON, FRSDIAG, EventViewer.
Fuer ein Worst case Szenario eines fehlgeschlagenen Updates haben wir alle DC mit IDR (Intelligent Desaster Recovery) gesichert und wir haben noch einen virtuellen DC als VM eingerichtet, welcher vom Netz getrennt wurde und als Failback verwendet werden kann.
Nach einer Dokumentation aller DC und deren Konfiguration/Rollen ging es an das Schema Update (ADPREP /FORESTPREP). Nach der Replikation des AD Schema wurde in den drei Domaenen das Domaenen Prep mit ADPREP /DOMAINPREP /GPPREP ausgefuehrt und danach die Ereignisanzeige aller Server kontrolliert.

Heute geht es an die Herunterstufung der einzelnen Windows 2003 DC, der Installation von Windows Server 2008 (Teaming, SCOM Agent, Antivirus, Einbindung in die Management-Systeme) und der darauf installierten Applikationen.

Bis Freitag Abend soll der erste Standort umgestellt sein. Der andere Standort wird naechste Woche umgestellt. Zur PKI und DHCP Server Migration werde ich nochmal separat bloggen.

Gruss Marc

ISA Server 2006 – Common Criteria – EAL 4+ erreicht

Hallo Leutz;

ISA Server 2006 hat nach einem langen Evaluierungsverfahren CC EAL 4+ erreicht:
http://download.microsoft.com/download/A/3/3/A33D3307-025E-49AD-A276-DCF0F29E28B0/isa2006-cc-certificate.pdf
BSI Info:
http://www.bsi.de/zertifiz/zert/reporte.htm#Firewalls.
Allgmeine Informationen:
http://www.microsoft.com/forefront/edgesecurity/isaserver/en/us/common-criteria.aspx.

Gruss Marc

CeBIT ix Vortrag SCVMM 2008

Hallo Leutz,

heute war es soweit: Mein SCVMM 2008 Vortrag am Heise ix Stand in Halle 6 um 14:00 Uhr.
mit grosser Erwartung bin ich gegen 13:45 Uhr zum Stand und baute mein Notebook nach kurzer Einweisung auf, trank etwas Wasser und harrte der Dinge … komisch – warum war noch kein Zuhoerer da? Kein Problem, Ruhe bewahren. Als es 13:58 Uhr war, bin ich zur Standbetreuung, welche mir mitteilte, dass die beiden Veranstaltungen am Vormittag gut besucht waren, der Vortrag um 13:00 Uhr auch keinen Zuhoerer hatte und mein Vortrag scheinbar auch keinen. Frustriert wollte ich meine Zelte abbrechen – wirklich schade, denn ich hatte einige SCVMM Konfigurationen als Video aufgenommen und etliche Stunden mit der Erstellung des Vortrags zugebracht und nun kommt keiner. Dann gegen 14:03 Uhr kam noch ein Bekannter von mir in Begleitung vorbei (nein, ich habe die beiden nicht mit Geld bestochen) und Dank der Dame in der Standbetreuung bekamen wir drei einen Kaffee, Kekse und Wasser und ich konnte den beiden Zuhoerern am Notebook direkt den Vortrag zeigen.

Hier ist also der Vortrag zum Download. Die Videos sind mehrere Hundert MB gross, deshalb habe ich  diese nicht zum Download zur Verfuegung gestellt, dewegen werden einige Hyperlinks nicht funktionieren.

http://www.it-training-grote.de/download/scvmm2008.pdf 

Gruss Marc