Windows Server 2019 Client UAC dauert sehr lange

[matthiaslmb 0]

Achso, nein das passte bisher bei allen meinen Prüfungen. Ich habe beim WEchsel von SBS 2011 zu Server 2019 neu aufgesetzt und keine Migration gemacht. Also gabe es auch keinen anderen DNS. Allerdings ist der Adressbereich gleich geblieben (nicht aber die Serveradressen). Eventuel ist das eine relevante Information?

[Nobbyaushb 1.472]

warum gibt man einem normalen User überhaupt solche Zugangsdaten?

Installation sollte immer nur jemand machen, der sich der Tragweite bewusst ist 

 

Ich melde mich dazu als betreffender User am TS und mache das Setup

 

Alles andere ist gebastelt meiner Meinung nach 

[teletubbieland 168]

vor einer Stunde schrieb Nobbyaushb:

warum gibt man einem normalen User überhaupt solche Zugangsdaten?

Installation sollte immer nur jemand machen, der sich der Tragweite bewusst ist 

 

Ich melde mich dazu als betreffender User am TS und mache das Setup

 

Alles andere ist gebastelt meiner Meinung nach 

Ich habe es nicht so verstanden, dass er den Usern das Admin kennwort gibt, sondern dass er eine Software installieren will, während der aktuelle Benutzer angemeldet ist.

Also das klassische: Ich gehe mal zum User (oder schalte mich auf) und installiere mal kurz was.

[matthiaslmb 0]

vor 2 Stunden schrieb teletubbieland:

Ich habe es nicht so verstanden, dass er den Usern das Admin kennwort gibt, sondern dass er eine Software installieren will, während der aktuelle Benutzer angemeldet ist.

Also das klassische: Ich gehe mal zum User (oder schalte mich auf) und installiere mal kurz was.

vollkommen richtig. Egal ob vor Ort oder remote. Ich soll mal kurz was fixen oder installieren, dafür brauche ich das. Tut aber auch nichts zur Sache. Es gibt hier ein Problem und ich danke allen, die versuchen, mir bei der Lösung zu helfen, egal ob sie selber evtl. anders arbeiten würden ;)

[teletubbieland 168]

Moin.

Um das Ganze etwas einzugrenzen, würde ich einen frischen PC in die Domäne nehmen, einen neuen Testuser anlegen und den in eine neue ou legen ohne Rcihtlinien.

Dann kannst Du wenigstens sicher sein, in welche Rcihtung Du gehen musst (bzw. in welche nicht).

 

[Weingeist 159]

Und ich würde mal die erweiterten Firewall-Logs aktivieren. Dann siehst nämlich oft sehr schnell von welchem Prozess, an welche Adresse etc. möglicherweise fehlerhafte Anfragen laufen. Gleichzeitig würdest sehen, wenn Anfragen z.Bsp. an alte IP's gehen. Ob sie via IPv4 oder IPv6 passieren usw.

 

Englisches OS: auditpol.exe /set /category:"Object Access" /subcategory:"Filtering Platform packet drop" /success:enable /failure:enable
Deutsches OS: auditpol.exe /set /category:"Objektzugriff" /subcategory:"Filterplattform: verworfene Pakete" /success:enable /failure:enable
Sprachübergreifend: auditpol.exe /set /category:"{6997984A-797A-11D9-BED3-505054503030}" /subcategory:"{0CCE9225-69AE-11D9-BED3-505054503030}" /success:enable /failure:enable

 

Eventuell musst noch das Log etwas grösser als Standard machen. Füllt sich so relativ rasch. (Sicherheitsprotokoll)

 

Ich gehe da jeweils so vor, dass ich das Ereignisfenster öffne. Mir die Zeit merke (inkl. Sekunden). Den Befehl ausführe und dann ab diesem Zeitpunkt schaue was in den Logs passiert (aktualisieren mit F5 sobald Befehl abgeschlossen).

 

 

 

Ansonsten: Bezüglich IPv6 hast Du nichts deaktiviert? Keine Firewallregeln welche IPv6 behindern? Keine Protokolle auf Adaptern deaktiviert? Weil das reine deaktivieren ohne Anpassung der Routing-Prioritäten kann mitunter solche Probleme verursachen. Insbesondere beim ersten Anmeldevorgang wenn keine Cached Credentials vorliegen. Der "normale" User der sich immer anmeldet macht dann keinen Ärger, alle anderen und insbesondere Admins welche frisch authentifiziert werden, schon. Da wird dann wild hin und herprobiert, läuft in Timeouts rein etc. bis dann endlich die Kommunikation via IPv4 geschieht. Den ganzen IP 6to4-Kram würde ich übrigens so oder so deaktivieren, egal ob nun IPv4 oder IPv6 bevorzugst. Der hilft bei der Problemsuche manchmal auch nicht wirklich weiter. Ich persönlich fahre meist das volle Deaktivierungs-Programm, weil A noch nicht alles auf IPv6 läuft und B ich mir IPv4 Adressen bei der Durchsicht der Logs besser merken kann als IPv6 und C ich dann nur etwas konfigurieren und pflegen muss. ;)

 

IP 6to4 deaktivieren inklusive  tunnel
netsh interface ipv6 6to4 set state state=disabled undoonstop=disabled
netsh interface ipv6 isatap set state state=disabled
netsh interface teredo set state disabled

Ab Windows 8 / Server 2012 würden auch folgende Powershell-Befehle gehen, obige funktionieren überall
Set-Net6to4configuration -state disabled
Set-Netisatapconfiguration -state disabled
Set-NetTeredoConfiguration -type disabled

 

Zusätzlich kannst noch den IP Helper Dienst auf deaktiviert setzen.

[matthiaslmb 0]

Vielen Dank für diese Tipps. Ich werde das umsetzen und mich wieder melden.

[matthiaslmb 0]

Hallo zusammen,

 

ich bin ein kleines bisschen weiter. Es ist die GPO für die Remoteprofile. Habe sie mal hier angehängt. habe ich da was falsch gemacht, oder auf was sollte ich achten?

 

Danke

GPO Seite 1.pdf

GPO Seite 2.pdf

[teletubbieland 168]

vor einer Stunde schrieb matthiaslmb:

Hallo zusammen,

 

ich bin ein kleines bisschen weiter. Es ist die GPO für die Remoteprofile. Habe sie mal hier angehängt. habe ich da was falsch gemacht, oder auf was sollte ich achten?

 

Danke

GPO Seite 1.pdf 270.29 kB · 5 downloads

GPO Seite 2.pdf 286.87 kB · 3 downloads

Freut mich ja, dass es doch die gpo war

Zwei Fragen noch: Sind Roaming Profiles notwendig ? Ich verwende mittlerweile grössten Teils nur noch Ordnerumleitung,da es seit Win10 immer wieder Probleme mit Roaming Profiles gibt. Und wenn es Notwendig ist, hast Du eine neue GPO angelegt die nur das Profilverzeichnis angibt und dann getestet ?

 

[matthiaslmb 0]

Hallo,
leider ist es nicht die GPO, sondern die Remoteprofile selbst. Soll heißen: Ohne GPO, aber Profilpfad auf dem Server (in den Benutzereigenschaften), sorgt für die gleiche Verzögerung. Ja, die Remoteprofile möchte ich gerne beibehalten.