SCCM 2012 R2 Updateproblematik mit TMG

[Molle 0]

Hallo zusammen,

 

wir haben einen SCCM 2012 R2 und die WSUS-Rolle auf einem Server 2012 R2 im Einsatz. Der Configuration Manager Client sowie Endpoint Protection wurde an Clients verteilt.

Über eine Automatic Deployment Rule im SCCM werden alle Updates die das Produkt "Forefront Endpoint Protection" betreffen automatisch

an diese Clients verteilt. Dies funktioniert bei ca. der Hälfte der Clients wunderbar. Der Rest kann die Definitions nicht herunterladen.

Ebenso ist es bei diesen Clients nicht mehr möglich nach Windows Updates zu suchen, es erscheint der Fehler 80244021 bzw. 80244023.

Gemäß Google sind das Fehler die durch Proxyeinstellungen hervorgerufen werden. 

 

Wir haben einen Forefront TMG im Einsatz der automatisch bei allen Clients per GPO in den Verbindungseigenschaften der Internetoptionen eingetragen wird. Versucht ein betroffener Client Updates zu ziehen ist im Log des Forefront TMG eine "Denied Connection" beim Zugriffsversuch auf "http:// FQDN des SCCM Servers:8530/selfupdate..."

 

Das ist das merkwürdige, diese Verbindung sollte doch nach meinem Verständnis überhaupt nicht über den TMG gehen? Der SCCM liegt in der für das interne Netzwerk definierten IP - Adressrange bzw. in

der definierten Domäne. Und warum betrifft es nur ein paar und nicht alle Clients?

 

Für Vorschläge und Hilfe vielen Dank schonmal!

 

Grüße

bearbeitet 15. September 2014 von Molle

[TorstenM 20]

Schau mal im ScanAgent.log, WUAHandler.log und WindowsUpdate.log was dort *genau* für den SUP/WSUS eingetragen ist (im speziellen, was die Groß- und Kleinschreibung des Servernamens inkl FQDN anbelangt). Ich hatte schon Fälle, in denen genau das zu seltsamen Phänomenen geführt hat.

[Molle 0]

Vielen Dank für deine Ansätze.

 

In der ScanAgent.log kann ich keine dementsprechenden Einträge finden.

Im WUAHandler.log lautet der Eintrag: http://SERVERNAME.domain:8530

Im WindowsUpdate.log ist zuerst der gleiche Eintrag zu finden, hier sind Proxyfehler zu erkennen.

Etwas weiter unten im Log ist der Eintrag dann komplett kleingeschrieben, hier funktioniert die Verbindung.

 

Edit: Auf den nicht funktionierenden Clients findet sich in der WindowsUpdate.log folgender Eintrag:

 

WARNING: SendRequest failed with hr = 80072efd. Proxy List used: <IP-Adresse eines alten Proxy Servers> Bypass List used : <(null)> Auth Schemes used : <>

 

Woher zieht der sich denn diese Einstellung? Der alte Proxy Server wird schon länger nicht mehr verwendet...

bearbeitet 22. September 2014 von Molle

[TorstenM 20]

Probier mal "netsh winhttp show proxy" auf einem solchen Client.

[Molle 0]

Auf funktionierenden und nicht funktionierenden Clients jeweils "kein proxyserver".
Reset Proxy bzw. Proxy source = ie ergab keine Änderung.

bearbeitet 23. September 2014 von Molle

[Molle 0]

Lösung: Wir hatten auf den betroffenen Clients noch zusätzliche DNS - Suffixe eingetragen, mit denen er dann wohl durcheinander kam.