Hagen von Eitzen's questions

我有一台 Windows 服务器，到目前为止，我将一个文件夹共享D:\AAA为“ShareRW”，具有完全共享权限（“Everyone - Full”）以及该文件夹上下所需的一些更严格的 NTFS 权限；例如，UserX具有对 的完全访问权限D:\AAA\BBB、读取访问权限，D:\AAA\CCC甚至看不到D:\AAA\DDD（因为它禁用了继承，并且仅对其他用户具有显式权限）。我在服务器上检查了UserX的有效权限确实符合要求。

现在我想添加“mount -r”相同内容的选项，因此在同一个文件夹上创建了另一个名称为“ShareRO”的共享，并且只有“Everyone - Read”权限（当然还有相同的旧NTFS 权限）。

现在我的UserX和. 我希望 R: 看起来与 W: 相同，但不允许写入/更改。但现实要求不同：NET USE W: \\server\ShareRWNET USE R: \\server\ShareRO

• 用户可以更改内容W:\BBB，他们可以读取内容W:\CCC，他们甚至看不到W:\DDD存在
• 用户可以在 中阅读内容R:\BBB，他们可以在 中阅读内容R:\CCC，但他们看到R:\DDD存在的内容和一些元数据（大小、创建日期），尽管他们无法打开它。

我在这里做错了什么？

我管理着几个基于 Windows 2012 的 DHCP 服务器，在其中一个服务器上我遇到了一个我无法解释并且不知道在哪里更正的特性：

在 DHCP 管理器* 中，展开 [服务器名称]，然后IPv4, policies（或 [网络]，然后policies）。创建新策略或编辑现有策略，然后在conditions选项卡中添加或编辑条件。

预期的行为是您会看到一个对话框，您可以在其中选择

• 一个标准（vendor class, user class, MAC address, 等）
• 运算符 ( equals, not equals)
• 一个value字段**
• 一个prepend wildcard复选框**
• 一个append wildcard复选框**

至少我的大多数服务器都是这种情况。但是，在一台服务器上，“前置通配符”复选框始终处于禁用状态：

问：怎么会？这意味着什么？是否有问题或配置错误？当然，据我所知，就更新和配置而言，所有服务器都（或应该）基本相同......

* 所有选项、对话框标签等都是从德文版本翻译回来的，所以如果没有与英文版本完美匹配，我很抱歉

** 选择relay agent info为critrion 时，表单具有不同的字段，但这与此问题无关

在 Apache 2 vhost 中，我具有以下配置（在我的情况下，在.htaccess文档根目录中（为简单起见，与 http:80 和 https:443 相同）

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

为了将任何 http 连接重定向到 https 此外，

ErrorDocument 500 /error.php
ErrorDocument 404 /error.php
ErrorDocument 403 /error.php
ErrorDocument 402 /error.php
ErrorDocument 401 /error.php

生成自定义错误消息。第三个成分是需要身份验证的受保护子文件夹（每个.htaccess在该文件夹中）：

AuthType Basic
AuthName "Test"
AuthUserFile  /some/path/to/passwords
Require user joe

一切正常，除非有人试图检索http://example.com/protectedfolder事实上，发生的事情是客户端收到302 Found重定向到的回复https://example.com/error.php

另一方面，

• https://example.com/protectedfolder401如预期的那样导致自定义（即由error.php产生） 。
• http://example.com/publicfolder导致302重定向到https://example.com/publicfolder，然后301永久重定向到https://example.com/publicfolder/，最后（因为 DirectoryIndex 被禁用）自定义403错误。正如预期的那样。
• 此外， 也如预期的那样，http://example.com/nonexistent导致一个302tohttps://example.com/nonexistent然后是一个自定义的。404
• 如果我禁用ErrorDocument 401配置，则会立即查询http://example.com/protectedfolder原因401，即不重定向到 https。

Apache error.log 中没有具体的条目，但似乎出现问题是因为在重写之前评估了 Auth 要求，因此调用了 ErrorDocument 并且错误地仍然是 http??

为了达到预期的效果，我需要更改什么，即http://example.com/protectedfolder导致重定向到https://example.com/protectedfolder并且只有重定向的 URL 会导致 (customized) 401？

我在远程站点中有一个 Windwos 2012 R2 只读域控制器。虽然我认为一切都配置正确，但它一直认为它在公共网络上。我已经检查了域控制器认为它在公共网络上的相关问题，但它对我没有帮助。

• 拔下并重新连接电缆 - 没有成功
• 重新启动 NLA 服务 - 没有成功
• 禁用 IPv6（并再次重新启动 NLA） - 没有成功
• 尝试了 IPCONFIG /RENEW - 没有成功（IP 无论如何都是固定的）
• 重新启动 - 没有成功

物理上有两个 NIC，但其中一个已停用。另一个有固定地址10.0.50.3/24，网关10.0.50.1，ip连接到主站点功能正常。网络 10.0.50.0/24 存在于AD 站点和服务中（在从 RODC 本身检查时也是如此）并分配给正确的站点。

除非我在这里学到另一个想法，否则我几乎假设 thgis 是 RODC 概念的设计缺陷，我应该将这个盒子推广（更确切地说：重新安装角色）到 RWDC ......

我正在使用适用于 IPv6 的 Windows 2012 DHCP 服务器。与 IPv4 一样，客户端网络接口可以配置为自动获取 IPv6 地址，或使用静态配置的地址。

但是，我观察到的是，即使对于那些我配置了静态 IPv6 地址的主机，它们也会额外获得一个 DHCP 地址。甚至 DHCP 服务器本身也是如此！

怎么来的？

一个以前运行良好的远程桌面服务器场 ahs 两天前停止工作。设置如下：

• DNS 将“myfarm.mydomain.local”解析为所有场成员服务器的 IP
• 所有场成员服务器都配置为代理 MYBROKER 上场“myfarm”的场成员
• 所有场成员都是 MYBROKER 上本地会话代理组的成员
• 客户端配置为连接到“myfarm”

（所有涉及的服务器都是虚拟的 Windows2008R2 机器）。突然，人们开始收到以下错误（翻译自德语）并且无法连接。

无法连接到终端服务器。

您尝试连接的终端服务器场“myfarm”将您重定向到服务器“farmmemberX.mydomain.local”。远程桌面无法验证此服务器是否属于同一个服务器场。如果您的网络上存在与服务器场同名的服务器，则可能会发生这种情况。?无法验证两台远程计算机是否属于同一个远程桌面服务器场。如果要与远程桌面服务器场建立连接，则必须使用场名称，而不是计算机名称。

如果您使用管理员准备的 RDP 连接，请联系网络管理员以获得支持。

如果您想与特定场成员连接，请使用“mstsc /admin”

有时他们似乎也被简单地拒绝了，好像输入了错误的凭据（他们没有，大多数人都保存了他们的凭据）

问题 1.你能解释一下这背后的原因，特别是关于“无法验证”：如果验证有效，如何进行验证？毕竟，如果不是由经纪人发起，甚至不会尝试重定向......

我们尝试了什么：有时它有助于将客户端连接到的名称替换为其他名称（即，我们向解析到相同 IP 的 DNS 中添加了一个名称“foo”，并让用户连接到“foo”），但这还远远不够从一致。

后来我们注意到，在上述错误消息中，总是有相同的几台服务器显示为“farmmemberX”。我们实验性地将这些从服务器场中删除（在成员本身和 DNS 中），因此能够将损坏的八台服务器场减少为功能正常的两台服务器场。由于这不足以消除用户负载，我想克隆其中一个；为了做到这一点，我首先关闭了它，然后又重新启动了它——从那一刻起，它就和其他六台服务器一样糟糕。显然重启 RDP 服务器是致命的事情……根据日志，这个特定的服务器已经有两个月没有重启了。因此，几乎在过去两个月所做的任何改变都可能是相关的。其中有

• 我们将我们的第一个 Win2012 AD 服务器添加到我们原本的 Win2003 AD 结构中
• 我记得有一些与 IE10/SSL/TLS 相关的安全问题需要手动干预（regedit 和其他东西）的案例，但我仍在努力记住这些可能是什么
• 大量的 Windows 更新
• 诸如无效证书之类的东西出现在我的 mnd 中，但我没有发现这样的东西

问题 2.这些事情中的任何一个都会导致这个问题吗？

目前，我们完全放弃了服务器群，即我们只有通过 DNS 循环的“穷人负载平衡”（当然，我们尤其错过了重新连接到上一个会话的功能）

主要问题。我怎样才能让我的农场再次进入工作状态？

编辑：我应该提到一些客户很幸运，并且对 RDP 农场没有问题：那些仍在运行 Windows XP 及其旧 RDP 客户端的客户......

评论后编辑： 似乎主要归咎于更新 KB3002657、KB3035017 要么未安装，要么已在相关服务器（客户端、RDP 服务器、代理、DC）上出现问题前几天安装，但我会尝试卸载反正他们...

更新 更多信息：

• 我增强了代理上的事件记录。根据该日志，一切都很好（没有警告）并且会话重定向正常完成。只是在 soe 超时后，目标会话被删除。我尝试（失败）快速连接，在这种情况下，代理甚至记录它试图重用现有会话。
• 如果目标 RDP 服务器设置为“RDP-Sercurity”而不是“negotiate”，则重定向有效（除了客户端出现可预期的烦人错误消息）
• 我尝试了一个全新的农场（即具有不同主机的不同代理），并且该问题也可以在该系统中重现。这可能表明问题出在客户端。

根据评论要求更新信息

如果我在 RDP 主机上将安全设置为“TLS 1.0”（而不是“协商”），问题仍然存在。如果我设置为“RDP”，农场可以工作——但每个人都必须输入两次密码。在错误情况下，由于某种原因，我现在经常简单地得到“无法使用给定的凭据建立连接”而不是原始错误。这伴随着登录失败事件 4625，状态为 0xc000006d，子状态 0。注册表中没有配置 LanMan 兼容性设置。

有效的 RDP 主机客户端设置上的证书由仍然值得信赖的内部 CA（根据 GPO 受所有人信任）颁发，并且在未来至少四个月内有效。为了测试，我将这些更改为“自动”证书并返回，但没有成功。

原始德语错误消息文本为

Von Remotedesktopverbindung kann keine Verbindung mit dem Remotecomputer hergestellt werden。

Vom Remotecomputer "FARMNAME", mit dem Sie eine Verbindung herstellen möchten, werden Sie zum Remotecomputer "FARMMEMBER.DOMAIN" umgeleitet。Es kann nicht überprüft werden, ob diebeiden Remotecomputer zur gleichen Remotedesktop-Sitzungshostserverfarm gehören。Sie müssen den Farmnamen, nicht den COMpputernamen, verwenden, wenn Sie eine Verbindung mit einer Remotedesktop-Sitzungshostserverfarm herstellen möchten。

Wenden Sie sich an den Netzwerkadministrator, um Unterstützung zu erhalten, wenn Sie eine RDP-Verbindung verwenden, die vom Administrator bereitgestellt wurde。

Wenn Sie eine Verbindung mit einem bestimmten Fammitglied herstellen möchten, um es zu verwalten, geben Sie "mstsc.exe /admin" an der Eingabeaufforderung ein。

为了找出最近的客户端更新是否有问题，我从一个新的 Windows 7 盒子开始，并在每组更新后进行测试。似乎第一个比 XP 更好的客户端的引入现在已经引起了问题 - 但是第一个这样的客户端版本给出了不同的错误消息（不是有意义的）：

Die Verbindung kann nicht hergestellt werden, da es sich bei dem erreichten Remotecomputer nicht um den angegebenen Computer handelt。Dies kann durch einen veralteten Eintrag im DNS-Cache verursacht werden。Verwenden Sie statt des Namens die IP-Adresse es Computers。

/var/www/vhost/servername/httpdocs/subdir/apache（ubuntu 12.04 上的 2.2.22 版）vhost webroot的子目录是它自己的磁盘分区。相应地，也有/var/www/vhost/servername/httpdocs/subdir/lost+found。在我的 apache 错误日志中，我发现/var/www/vhost/servername/httpdocs/subdir/lost+found/.htaccess无法读取的错误，带有类似的引用/var/www/vhost/servername/httpdocs/subdir/foo/（即当该目录的FancyIndexing目录索引显示给用户时）。

[Fri Nov 28 09:14:19 2014] [crit] [client 10.0.0.1] (13)Permission denied: /var/www/vhost/servername/httpdocs/subdir/lost+found/.htaccess pcfg_openfile: 无法检查htaccess 文件，确保它是可读的，referer：http://servername/subdir/foo/

我无法理解这一点。为什么 apache 会尝试阅读

• /var/www/vhost/servername/httpdocs/subdir/lost+found/.htaccess

在那个场合？据我了解，它应该只有理由尝试阅读

• /var/www/vhost/servername/httpdocs/subdir/foo/.htaccess
• /var/www/vhost/servername/httpdocs/subdir/.htaccess
• /var/www/vhost/servername/httpdocs/.htaccess

有趣的是，更深的子目录（例如 ）不会出现相应的错误消息http://servername/subdir/foo/bar/baz/。

是什么导致了这个错误（或者首先是读取尝试）？我怎样才能摆脱它？

在我的所有 AD 服务器（仍然）运行 Windows 2003 的 Windows 网络中，我遇到了以下问题：“密码最长使用期限”策略显然不适用。尽管确实有一些用户被要求定期更改密码，但显然很多用户并没有被要求这样做。passwordLastSet <=对两年前（！）、lastlogonTimestamp >=三周前的用户进行快速 LDAP 搜索，并且userAccountControl=512（这个神秘的条件意味着特别Password never expires是未选中复选框）给了我一个大约 70 个（！）用户的列表。我可能会在下次登录时手动要求他们更改密码，但我更愿意看到密码年龄策略发挥作用（我让它们保持不变，以了解策略是否有效）。

我以为我知道在哪里配置这个：在默认域策略下Maximum password age，句点。

出于绝望，我发疯了以下内容，根据文档不应该有帮助（但至少它也不应该有害，应该吗？）：由于“默认域策略”中的设置 - 显然 - 没有效果，我对在各种情况下可能产生影响的所有策略对象进行了相应的设置，即“默认域控制器策略”、“[COMPANY]域策略”、“[COMPANY] DC Policy”、“[COMPANY] Computers Policy”（我猜这些名字很好地暗示了它们的作用域）但没有任何帮助。概述：人们首先登录到他们的 PC，这可能是任何版本的 Windows，从 8.1 到一些甚至仍在运行 XP（并且正在被转储）。在这里，他们要么在本地工作，要么主要登录到 RDP 服务器，均运行 Windows 2008R2；后一种登录还受特定的“[COMPANY] TS Loopback Policy”的约束，我在其中还添加了 maxpassword 年龄设置 - 没有成功。毕竟，登录到本地 PC 应该已经触发了过期。

换句话说，我不知道这背后的问题可能是什么，非常感谢帮助。与此同时，这几个月来一直困扰着我，事实上现在它正在成为一种日益严重的痛苦（参见第一段中发现的实际密码年龄！！）。虽然我们急切地想要迁移 AD 版本并且这可能会解决作为副作用的问题，但如果可以在开始迁移之前解决这个问题（并且可能会导入一个深深隐藏的问题），我们会更高兴。

Windows 2008 R2 机器时不时地自动重启，通常是在周五下午。重新启动在事件日志中“宣布”如下：

Event ID: 1074
process:  svchost.exe,  
user:     NT-AUTHORITY/System, 
reason:   OS:restore(planned), 
code:     0x80020002

我想这正是我们 WSUS 服务器的 Windows 更新需要重新启动时可以预期的事件。但是，据我所知，这种重启最多应该发生在凌晨3点左右。今年已经多次发生这种情况，即

1. 2013-01-10 03:15:12 - 可能是由于更新
2. 2013-01-20 03:04:37 - 可能是由于更新
3. 2013-02-14 16:35:27 - 那是什么？？
4. 2013-03-06 16:23:07 - 那是什么？？
5. 2013-03-15 13:49:12 - 那是什么？？
6. 2013-04-14 21:18:36 - 那是什么？？
7. 2013-04-26 14:58:54 - 那是什么？？
8. 2013-05-17 15:51:41 - 那是什么？？

如果我在今天重启后检查更新，它说

Last time checked for updates: Today, 15:47
Updates installed: Yesterday, 20:57

因此，虽然最后一次检查在重启前的时间短得令人怀疑，但最后一次实际更新发生在昨天（Forefront 病毒定义更新，无需重启）。

可能是什么原因？可以做些什么来预防？

请随时询问更多详情。

更新： 与源关闭有关的最近的事件日志条目WindowsUpdateClient是：

• 在上述事件#1074 之后立即：事件#27“自动更新”已停止
• 13:00（关机前将近 3 小时）：事件#19：安装成功（Forefront 定义更新）
• 在 15:55（重启后不久）：多个事件 #19：安装成功（多个操作系统更新、安全更新和累积安全更新）

最后一点的更新似乎在等待重启。事实上，我在 2013-05-16 03:14:28 发现了一个事件 #22（“需要重启，计算机将在 15 分钟后重启”），它准确地提到了重启后事件中提到的更新。但是，为什么没有它在昨天凌晨 3:30 重新启动，因为事件消息提示而不是今天下午 4 点？

应大众需求，Computer configuration\Administratove templates\Windows components\Windows update根据GPO建模向导下的相关策略设置：

• 配置自动更新：启用“4 - 按计划下载和安装”、“每天”、“凌晨 03:00”
• 自动更新即时安装：已启用
• 启用客户端定位：通过“MyGroup”启用
• 指定 Intranet Microsoft 更新位置：已启用更新和统计信息 =“ http://my-wsus-server”
• 已登录用户的计划更新不会自动重启：已启用
• 允许来自 Intranet Microsoft 更新服务的签名更新：已启用
• 自动更新检测频率：22 小时

我对这些设置没有不好的感觉。唯一的怀疑是No auto-restart for scheduled updates with logged users。然而，对于观察到的行为，用户必须在昨天凌晨 3 点到今天下午 4 点（或者可能是几个重叠的会话）登录。在安全事件日志的海洋中筛选，我确实发现了：三个事件 #4634（注销），两个用于管理员 RDP 会话（类型 10），一个用于管理员控制台会话（类型 2），都发生在与上面的事件#1074！但什么是因，什么是果？或者为什么三个会话同时被杀死？

我试图在注销时修改 HKCU 中的注册表项。相应的脚本在手动调用时工作正常。我担心启动环回策略可能会出现问题，但根据 rsop.msc 的说法，情况并非如此，即应该执行脚本。但是，在下次登录时，注册表中的预期效果并不存在。

是否仅仅因为脚本运行“太晚”而存在一般性问题？如果是这样可以做什么？这还能是什么？

编辑： 我应该指定我的logoff.vbs脚本是什么样的（最小化）：

const HKCU = &H80000001

Set oReg = GetObject("winmgmts:{impersonationLevel=impersonate}!\\.\root\default:StdRegProv")
' ...
oReg.SetStringValue HKCU,"SOFTWARE\Foo","Bar", "Baz"

我们设置了思科身份服务引擎来管理我们用户的 WLAN 访问。访问权限应授予来自特定 Windows Active Directory 组的用户。这适用于用户名仅由 ASCII 字母组成的用户。然而，具有例如变音符号的用户名失败。实时身份验证日志显示错误“22056 Subject not found in the applicable identity store(s)”。

知道什么可能是错的吗？（而且，不，重命名所有非 ASCII 用户不是一种选择）

我正在使用 powershell 脚本从各种 Exchange 邮箱进行一些导出。要点包括为每个受影响的邮箱创建配置文件并调用outlook.exe /importPRF customprofile.prf等。主要逻辑和一切正常，但出现了一个问题：如果用户名是彼此的前缀（比如我有“Foo”和“Foobar”），那么较短的（“Foo”）的配置文件会中断自动脚本，而是无论我想要“Foo”还是“Foobar”，都会弹出对话框窗口。名称以行customprofile.prf的形式进入配置文件MailboxName

[Service List]
ServiceEGS1=Exchange Global Section
Service1=Microsoft Exchange Server
...
[ServiceEGS1]
MailboxName=Foo
...
[Service1]
MailboxName=Foo
...

怎样才能不弹出Foovs.问题？Foobar换句话说：似乎“Foo”真的被解释为类似于正则表达式“/Foo.*/”的东西。如何让“Foo”真正代表“/^Foo$/”（当然不能在那里输入正则表达式）

（以防万一：用户名SamAccountName取自 Active Directory）

我需要确定计算机是否实际上是具有 wifi 功能的笔记本电脑（重点是 wifi 而不是笔记本电脑）。更准确地说，我想将我通过WSUS和Local Update Publisher编写的软件分发给这些客户端。为此，我想创建适当的“程序包可安装规则”，这是使用客户端上的 Windows 更新服务预先决定更新/安装包是否适用的简单规则。通常，此类“安装标签规则”是“文件存在”、“注册表项存在”、“WMI 查询”、“已安装 MSI 产品”类型规则的逻辑组合，因此我更喜欢其中一种方法。我希望这里有人可以帮助我找到的方法应该适用于 Win 7/Vista，

我的猜测是 WMI 查询是可行的方法，但我在这方面经验不足。我发现可以查询 EnclosureType 并且可能检测到笔记本电脑。但是，如果检测到实际可用的 wifi 接口，我会更高兴。有谁知道如何处理这个问题？

如果您有任何需要我澄清的地方，请随时发表评论。

我尝试以下尝试失败 - 可能我没有正确掌握 AD 用户和 Exchange 邮箱之间的连接，而且我经常看不到 powershell 中的简单操作方法：

我的域中有多个 Exchange 服务器，需要给定服务器（“Foo”）上的所有邮箱，其中拥有 AD 用户是 AD 组“Bar”的成员

谢谢你的帮助