Wolfgang's profileWolfgang on the RoadPhotosBlogListsMore  |  Tools Help |
|
|
6/30/2007 145: Mal wieder Praxisund was daraus werden kann...
Aufgabe 1: Aktualisieren einer Windows 2000 Domäne mit Exchange 2000 Schema auf 2003 R2. No Prob sollte man meinen. Also Installation der Supporttools und flugs den Inetorgpersonfix eingespielt. Denkste, geht nicht: "Error on line 3: No Such Object and Directory object not found". Nachschauen im Schema zeigte, dass die Attribute "secretary, labeledURI und houseIdentifier" noch gar nicht da sind. Also auskommentieren der ersten drei Attribute in der intetorgpersonfix.ldf Datei und neuer Versuch -> klappt
Aufgabe 2: Installation Exchange 2007 in eine Domäne mit zwei 2003DC/GC und einem 2000DC/GC. Die dokumentierten Voraussetzungen, dass min. ein 2003DC/GC da sein muss und der auch der Schemamaster sein muss sind also eingehalten. Aber weit gefehlt, das Exchange 2007 Setup hängt sich an den 2000 DC/GC und bricht ab. Also muss die Komandozeile helfen "setup /mode:install /roles:c,m,h /domaincontroller:2003gc" tuts dann.
Super hab ich gedacht, dann schieben wir mal mit der Management Konsole eine Mailbox rüber. Wieder gefehlt, die Konsole meckert wieder am 2000 DC/GC rum und bricht ab. Dann ab in die Shell und "move-mailbox ...", selbes Spiel, Abbruch. Erst die Kommandozeilenschalter "move-mailbox ... /domaincontroller:2003gc /globalcatalogserver:2003gc" helfen. Da wäre jetzt der SP1 gut gewesen, dort kann man auch in der Konsole einen speziellen GC für den "Move" auswählen.
Aufgabe 3: Der Exchange 2007 Server soll Mails empfangen was ja sein Job ist. Aber von wegen; ein telnet auf den SMTP Port sagt "4.3.1. Insufficient system resources". So ein Mist, jetzt hat auch noch "Back Pressure" zugeschlagen. Nachdem die Mailqueue auf eine andere Partition verlegt wurde war Ruhe und alles lief.
Aufgabe 4: Das verschobene Postfach arbeitet mit Outlook 2007 und versucht die Frei/Gebucht Zeiten eines Exchange 2000 Postfachs anzuzeigen. Wie soll es anders sein -> Event 4003:
Process 4048[w3wp.exe:/LM/W3SVC/1/ROOT/EWS-1-128273367507117416]: Microsoft.Exchange.InfoWorker.Common.Availability.PublicFolderRequest failed. The exception returned is Microsoft.Exchange.InfoWorker.Common.Availability.PublicFolderRequestProcessingException: The remote server returned an error: (403) Forbidden.. The request information is http://E7SRV1.dom.tld/public/?Cmd=freebusy&start=2007-06-17T06:00:00Z&end=2007-07-17T06:00:00Z&interval=30&u=Wolfgang@dom.tld.. The Availability service could not successfully retrieve Schedule+ free/busy data for one or more legacy Exchange mailboxes. To find the root cause of this error, increase the diagnostic logging level of the MSExchange Availability service.
Nach längerem Überlegen und Beobachten der IIS Logs auf einem funktionierenden System dann die Idee. Der CAS meldet sich mit DOM\CASNAME$ an der /public Website des Exchange 2000 an. Dazu muss die integrierte Authentifizierung aktiviert werden. Das war natürlich nicht gemacht.
und das waren nicht alle Aufgaben, aber die spannendsten :-) 9/15/2006 87: Es ist cool ein LUA zu sein ...... so die Aufgabe diese Woche. Laptop Benutzer die sehr viel in der Welt unterwegs sind und (manchmal) administrative Berechtigungen benötigen sollten auf den "Least User Access" eingeschworen werden. Die Benutzer sind angehalten unter normalen Benutzerprivilegegien zu arbeiten und nicht ständig als Administrator die tollsten Programme zu installiern und zu starten. Natürlich darf dabei der Komfort nicht zu kurz kommen.
Nach Sichtung der vorhandenen Tools gab es, neben "MakemeAdmin" und "MachmichAdmin" uvm., tatsächlich ein gutes Werkzeug um den Kontextwechsel zum Admin einfach zu gestalten. Dazu wird ein Dienst verwendet der kombiniert mit "runas" eine administrative Session im selben Benutzerprofil startet. Die Nutzung des selben Profils war sehr wichtig um nicht ständig Daten oder Verknüpfungen hin- und herschieben zu müssen. Der Dienst baut auf Batchscripten auf und kann deswegen einfach angepasst werden.
Aus dem Kontextmenu kann jetzt ein Programm ohne weitere Kennworteingabe mit administrativen Rechten gestartet werden. Den "/savecred" Schalter haben wir dazu in den Skripten nachgerüstet.
Das Tool gibt es unter http://winsudo.toadlife.net/.
Nach diesen Erfahrungen bin ich selber auf dem Weg zum LUA.
Basics zum Thema unter:
6/18/2006 68: Exchange Notfall - alles wieder okDie korrupte Exchange Datenbank von Montag wurde jetzt wiederhergestellt. Die Platten des seit einer Woche dahinsiechenden Servers wurden dazu erst in eine neue Hardware eingebaut, dann die Exchange Datenbanken von letzter Woche wiederhergestellt und die Logs (ca. 300), sie seither erzeugt wurden, eingespielt. Daten sind keine verloren gegangen da alle Logs eingebaut werden konnten, lief also alles schulmäßig, puhh :-) 6/14/2006 65: Cluster Erweiterung und UpdateMiniprojekt Nummer zwei diese Woche. Ein zwei Knoten Cluster (2003 SP0) musste um einen weiteren Knoten (2003 SP1/R2) erweitert werden und die restlichen dann auf SP1/R2 aktualisiert werden.
Alles verlief soweit reibungslos. Hauptgrund des Updates war der Wunsch die R2 Quotas einzusetzen. Nach der Übernahme einer Fileshare Ressource konnten wir die Quotas scharf schalten und einen der dadurch freigewordenen Clusterknoten auf SP1/R2 aktualisieren. Knoten No.2 kommt dann demnächst dran.
Zum Glück können individuelle Quotaeinträge auch gescriptet werden weil wir einige (500) Ausnahmen im Homeshare Bereich schnell anlegen konnten. Die Daten kamen aus einem Export der vorigen Quota Software, nach dem Anlegen der Quota Templates haben wir die Quotas per:
dirquota quota add /path:%VERZEICHNIS% /sourcetemplate:"%QUOTA_TEMPLATE%"
angelegt.
Absolut enttäuschend ist bisher die Performance der Quota MMC. Insgesamt sind es die 500 individuellen Quota Einträge plus ca. 1200 Autoquotas auf einer mit 70GB gefüllten Partition. Die MMC braucht eine halbe Ewigkeit bis alle Einträge angezeigt werden (Stunden), und sie baut diese Anzeige jedes Mal wieder neu auf.
Ein Hotfix ist auch noch notwendig damit die E-Mail Benachrichtigung bei einer Quota Warnung funktioniert:
Weitere Warnungen im Eventlog beziehen sich auf DFS. Was hat das mit Quota zu tun? Lösung bisher keine außer die Warnmeldung abzustellen.
6/13/2006 64: Exchange NotfallGestern wurde ich zu einem Exchange 2003 Notfall gerufen, der Server ist so abgeschmiert, dass der Speicher korrupt ist. Er lässt sich zwar noch mounten aber einige Benutzer können teilweise nicht mehr auf eigene Ordner zugreifen. Leider sind seither schon ein paar Tage vergangen und wir konnten während des Betriebs den Exchange zum Restore nicht offline nehmen. Wir entschlossen uns deswegen einen weiteren Exchange Server in die Organisation zu installieren und die Postfächer zu verschieben. Jetzt ging die Katastrophe los:
- der neue Exchange Server lies sich nicht in die Organisation installieren
- Fehlermeldung s. unten
Nachdem ich eine Stunde die AD Berechtigungen mit einem anderen AD, ohne Erfolg, verglichen habe blieb mir nur noch der MS Support. Und alle Achtung, er forderte einen Dump der Organisation per "exchdump" (http://www.microsoft.com/downloads/details.aspx?familyid=d88b807d-964e-4bf8-9344-754892e9f637&displaylang=en) an. Dort fand er ein einsames, nicht vererbtes und vererbbares Deny für Everyone im Bereich des Routinggroup Containers. Deny rausgemonnen, Installation funktioniert.
Leider können aus dem defekten Speicher trotzdem keine Postfächer herausgeschoben werden. D.h. am Freitag wird per Platte ziehen die Installation auf eine andere Hardware gehievt und dann der Restore durchgeführt. Den Restore haben wir in einer geclonten Testumgebung schon durchexerziert, sollte also funktionierten. Also Daumen drücken bitte.
Hier die Fehlermeldung:
ScAddOrRemoveServerFromRoutingGroup (f:\titanium\admin\src\libs\exsetup\dsmisc.cxx:2724)
Error code 0X80070005 (5): Zugriff verweigert. Leaving ScAddOrRemoveServerFromRoutingGroup CAtomRoutingEngine::ScAddDSObjects (f:\titanium\admin\src\udog\exsetdata\components\server\a_routingengine.cxx:258) Error code 0X80070005 (5): Zugriff verweigert. CBaseAtom::ScAdd (f:\titanium\admin\src\udog\setupbase\basecomp\baseatom.cxx:939) Error code 0X80070005 (5): Zugriff verweigert. Service = 'RESvc' CBaseServiceAtom::ScAdd (f:\titanium\admin\src\udog\setupbase\basecomp\basesvcatom.cxx:210) Error code 0X80070005 (5): Zugriff verweigert. Leaving CBaseServiceAtom(Routingmodul)::ScAdd mode = 'Installieren' (61953) CBaseAtom::ScSetup (f:\titanium\admin\src\udog\setupbase\basecomp\baseatom.cxx:842) Error code 0X80070005 (5): Zugriff verweigert. 6/7/2006 62: Die letzten TageLange nichts mehr gebloggt. Letzte Woche stand bei mir die Entwicklung eines VMware ESX Operating Seminars auf dem Programm. Leider musste ich die Tage aber viel Support leisten, so dass nicht viel Zeit dafür übrig blieb.
Interessant war das Troubleshooten unseres OWA Problems mit einigen MS'lern. Es kam immer "very interesting" und "everthing is configured perfect", aber es funktioniert trotzdem nicht im Premium Modus. Eines nächtens musste ich mit bereitgestellten Tools den ISA tracen, das 150 MB Logfile hab ich dann bei MS abgeliefert. Bis jetzt kam zurück "we are still compiling the trace". In der Zwischenzeit werden wir mit bekannten KB Artikeln abgevespert, naja mal schaun wie das noch weitergeht.
Diese Woche treibe ich mich wieder beim Kunden rum. Herauskommen soll in fünf Tagen ein SMS 2003 Betriebsführungshandbuch einer SMS Struktur mit 29 Sites. Vor der Schreibarbeit, die so liebe, musste erst der koreanische SMS wieder zu Leben erweckt werden. Vier Kapitel habe ich bisher abgeschlossen, fünf davon sind noch übrig. Nebenher kommen natürlich viele Fragen aus anderen Bereichen hoch die alle noch beantwortet müssen. Heute war der sogenannte "bloody wednesday", alle Mitarbeiter und die Externen müssen Englisch palavern, das ist echt lustig und auf Dauer hilft das bestimmt gut die praktischen Kenntnisse zu stabilisieren. 4/16/2006 48: Déjà vueDie Woche musste ich meine alten RIS Kenntnisse wieder ausgraben. Bei einem alten Kunden wurde das Thema wieder aufgewärmt. Schon erstaunlich wie wenig man in 4 Jahren des RIS Einsatzes dazulernen kann. Die Struktur und Installationsweise sind dort immer noch so wie wir die Umgebung vor 4 Jahren verlassen haben. Einige RIS Features werden ignoriert, die OSCs wurden verbogen weil die Policy unbekannt war, und so weiter. Die Kritikpunkte an RIS konnten ausgeräumt und damit die negative Grundeinstellung umgedreht werden. 3/5/2006 42: und sonstbin ich als "Schriftsteller" unterwegs. Ich schreibe eine Active Directory Doku (Handbuch) für einen Kunden. Sieben Tage sind schon rum. Einerseits ist es recht spannend zu schauen wie andere Admins ihre Anforderungen umgesetzt haben, einige Problemchen erkennt man natürlich auch immer, aber das Ergebnis ist NUR Papier und viele Optimierungs- bzw. Verbesserungsvorschläge.
Unterbrochen war die Sache durch einen dreitägigen Exchange Disaster Recovery Workshop. Wie meist war es wieder sehr spannend. Durch das andere Raumsetup waren wir diesmal auch in der Lage die zusätzlichen Disaster Recovery Szenarien Image und ASR durchzuspielen.
Variante 1 war ein online gezogenes Image der OS Partition mit "snapshot.exe", die Wiederherstellung mit gebootetem Windows PE. Variante 2 wurde mit ASR umgesetzt, d.h. sichern mit ASR Wizard, dann Standby Server booten von der Server CD, F2 und Spezialtrick mit SHIFT+10 verhalfen in beiden Fällen recht schnell wieder zu einem laufenden System. 12/22/2005 2S: Exchange TroubleshootingIch war heute bei einem Support Kunden dem wir vor ca. zwei Monaten das "Open Relay" abgewöhnt hatten. Damals half, nachdem wir das Relay richtig konfiguriert hatten, das Stoppen des MTA Dienstes um das massenweise Versenden von Mails an dubiose Adressen zu unterbinden.
Nachdem wir heute nachmittag den MTA wieder starteten sind wieder die ganzen Leichen aus dem Store in die Wartenschlangen geflossen, d.h. es hilft nix, über Weihnachten muss der Stöpsel geöffnet werden damit die Mails herauskönnen. Zu dem Zweck wird der SMTP Connector auf einen nicht existenten Smarthost konfiguriert, gewartet bis alles raus ist und dann die Queue gelöscht.
Hauptthema heute war allerdings das Review der ganzen Umgebung. Wir haben dabei Probleme rund um Outlook Profile, Cache Mode Synchronisierung, WINS, Backup, Sprachverwirrungen in den Postfächern, Migrationsleichen (ADC und SRS) analysiert und behoben. 12/17/2005 2P: Exchange 5.5 AbbauAm Freitag stand noch eine Ausserbetriebnahme eines 5.5 Servers auf dem Programm. Im wesentlichen mussten nur noch die Siteconnectoren, die Verzeichnisreplikation und der Internet Mail Connetor umgezogen werden. Ein letztes Mal habe ich mich noch vom korrekten Rehoming der öffentlichen Ordner überzeugt. Die Umstellung hat ohne Einfluss auf die aktiven Benutzer gut geklappt.
Wie immer war der Tag bei diesem alten Kunden wieder sehr angenehm und entspannt.
11/25/2005 2L: GebongtKeine Aufregung heute morgen, alles relaxt. Alle Benutzer arbeiten in der neuen Exchange Organisation. Die wichtigen .mp3 und .pps Dateien können mit gesteigerter Performance übertragen werden. Uff, Aufatmen. 11/24/2005 2K: Zwischenstand: Erst mal Danke fürs DaumendrückenSo, Mailboxen, öffentliche Ordner migriert. Der 5.5er ist dank genialem Regkey noch lauffähig (wir können also noch schauen wie das Directory in der Ursprungsorganisation aussieht) aber es können sich keine Outlooks mehr anmelden, außer die Adminuser halt.
Auch die Zentrale hat gut mitgespielt, es mussten Kontakte aus anderen Domänen gelöscht werden die unsere E-Mail Adressen blockiert haben. Die Mailsweeper und Postfix wurden punktlich umgestellt, also bis hierher erst mal alles Top.
Ein kleiner Wermutstropfen am Abend. Die Outlook Profilumstellung mit "exprofre" hat bei einigen Testbenutzern nicht funktioniert. So wie es aussieht starten alle Benutzer Outlook über den Autostart des Explorers, da dieser nicht auf das Skript wartet schlägt Exprofre manchmal fehl, je nach Timing halt. Jetzt löschen wir im Logon Skript die Autostarteinträge raus, so dass wenigstens bei der zweiten Anmeldung die Profilumstellung klappt.
Morgen heissts dann früh raus um den Produktivanlauf zu meistern.
XADM: How to Prevent Logons During Move Mailbox
11/23/2005 2J: Cross your fingersMorgen wirds ernst. Die Exchange Interorg Migration wird morgen abend vollzogen. Wir treten einem größeren Forest bei und haben keine Enterprise Admin Rechte, sind also von anderen abhängig. Bisher gab es noch keine größeren Schwierigkeiten. Morgen nachmittag werden wir alle Postfächer in die neue Organisation kopieren, öffentliche Order übernehmen, Berechtigungen setzen, Routing anpassen, Logonskripte für den Outlook Profilumzug scharfschalten, der ganze Klamauk also. Am Freitag früh ist dann Tag der Wahrheit wenn die Benutzer sich anmelden. Ich dachte ich schreibe lieber schon heute was dazu falls der Kunde am Freitag auf die Idee kommt mich am nächsten Baum aufzuhängen :-) 10/8/2005 2A: Kurzwoche mit Exchange 5.5Diese kurze Woche habe ich mich mit dem Umzug eines Exchange 5.5 auf eine andere Maschine beschäftigt. Nachdem kurzfristig Platten aus dem SAN zur Verfügung standen konnten wir endlich einen neuen 5.5er in die Organisation installieren. Vor der Installation stellte sich allerdings beim "jetstress" raus, dass zu wenig Speicher in der Kiste ist, der endgültige Umzug muss also noch ein wenig warten bis der Speicher da ist.
In der restlichen Zeit haben wir noch einige Dinge rund um WSUS und Policies besprochen und konfiguriert, einen US DNS wieder gerichtet damit endlich eine Vertrauensstellung dort hin aufgebaut werden konnte. 7/29/2005 1L: Windows Rollout TechnikenIm Rahmen einer Windows XP Rollout Vorbereitung habe ich die letzten Tage verschiedene alternative Techniken beim Kunden aufgebaut. Sie möchten sich die nächsten Wochen darüber ein genaueres Bild machen.
Die Alternativen sind:
Es hat einige Zeit gedauert bis allen klar war, dass in jedem dieser vier Fälle alle Anwendungen und XP Konfigurationseinstellungen gescriptet werden müssen. Ein manuelles "Rumfummeln" vor der Image Erzeugung soll/muss aus Gründen der Reproduzierbarkeit und Dokumentation ausgeschlossen werden. 7/14/2005 1I: Exchange 2003 RestarbeitenDiese Woche lief ein Umzug des 5.5 IMC auf einen 2003 SMTP Connector (ein- und auswärts) in einer Organisation mit 22 administrativen Gruppen. Dabei mussten Sendebeschränkungen umgesetzt werden. Beim IMC ist das ja relativ einfach per "Connector Restrictions" machbar. Der Kunde wollte dies auf Exchange 2003 nicht mehr so umgesetzt haben, weil durch diese Einstellung im letzten Jahr die DCs auf Volllast liefen. Wir haben dies mit einer zusätzlichen NoInternet Mailadresse und "Sender Filtering" umgesetzt. Dabei mussten natürlich erst einmal alle Empfänger ermittelt werden die nicht senden dürfen. Ein VBScript hat dann die neuen Hauptadressen gesetzt, leider nicht 100%ig richtig, so dass wir einigen Nacharbeitungsaufwand hatten.
Ein Unterschied ist leider zwischen IMC Inbound und 2003 Empfängerrichtlinie. Der IMC nimmt automatisch Nachrichten aller Subdomänen an. Die Empfängerrichtlinie bewirkt das nicht. Es mussten deswegen einige Subdomänen noch in die Empfängerrichtlinien neu mit aufgenommen werden.
Weitere Aufgabe war der Aufbau eines OWA Frontends mit dem entsprechendem Hardening. Der Einsatz eines ISA in der DMZ steht noch zur Diskussion, eventuell soll dort ein anderes Reverse Proxy Produkt eingesetzt werden. 6/16/2005 1A: Active Directory und Exchange ReviewMeine Aufgabe war ein etwas "unrundes" Active Directory mit einer "mixed mode" Exchange Organisation wieder in Schuss zu bringen. Es musste einiges gedreht und repariert werden, angefangen von DNS und WINS bis hin zu neuen ADC Verbindungsvereinbarungen. 6/13/2005 18: Beitritt zu einer bestehenden Exchange 2003 OrganisationDie Aufgabe wird hier sein in eine größere, schon bestehende, Exchange 2003 Organisation beizutreten. Es wird also eine normale "Interorg" Exchange Migration. Sehr wahrscheinlich muss in der Quellorganisation stark ausgemistet werden da viele Duplikate vorhanden sein werden. Interessant wird hier sicherlich die Abgrenzung der "Administrativen Gruppen". Wir sind noch nicht darüber informiert worden in wie weit wir in der neuen Exchange Organisation administrativ beteiligt werden, z.B. wissen wir nicht ob wir eigene Adresslisten anlegen dürfen. Aber das wird sich ja noch herausstellen. 4/14/2005 0L: Besuch bei den ModezarenHeute stand ein Besuch bei alten Projektkunden an. Wir diskutierten aktuelle Probleme in der Produktivumgebung. Der Tag verlief wie üblich recht relaxt und lustig bei Latte Machiatto und Cola. Nach dem Mittagessen konnten wir bei schönem Wetter auch den firmeninternen "Catwalk" geniessen. Die Fragen konnten geklärt und die Lösungen auch sofort umgesetzt werden. Ein Problem war, wie schon bei einem anderen Kunden, dass die Kennwortrichtlinie nach Änderung immer wieder auf ihren Ursprungswert zurückgesetzt wird. Verursacht wird das mit hoher Wahrscheinlichkeit durch Blockierungsregeln des McAfee Virus Scan 8. Am heutigen Tag konnten aber nicht alle Scanner rekonfiguriert werden. Wenn EPO in Betrieb ist und die Scanner auf den Domänen Controllern neu konfiguriert sind sollte das wieder hinhauen. Ich hoffe auf Feedback, gel Wosat und Cookie :-) 3/14/2005 09: Active Directory und Exchange 2003 MigrationAusgangssituation hier sind ca. 10 NT4 Domänen mit einer Exchange 5.5 Organisation weltweit verteilt. Nachdem ein Mitarbeiter bei mir ein Seminar zum Thema Active Directory gehört hatte haben sie das neue AD schon aufgebaut (1:1 wie im Seminar gelernt :-)). Ihre geplante Migrationsstrategie war "alles neu machen", also keine Benutzermigration, keine GAL Synchronisation Exchange 5.5 <-> AD. Zum Glück konnte ich sie in einem Workshop von einer anderen Migrationsstrategie überzeugen. Jetzt werden wir eine normale ADMT und ADC Migration machen. Die 25 Exchange Sites werden auf einen Exchange 2003 Standort konsolidiert. Am zentralen Standort soll zur Sicherstellung der Verfügbarkeit ein Exchange 2003 Clustersystem installiert werden. Die Exchangekonsolidierung wird mit den seit SP1 verfügbaren "cross site move's" ablaufen. |
|
|
