wir sind gerade dabei, zwei Windows Server 2016-DCs durch Windows Server 2022 abzulösen. Aus historischen Gründen ist SMBv1 auf den DCs aktiviert, sollte aber inzwischen eigentlich nicht mehr benötigt werden, weil die Software, die das auf jeden Fall benötigt hatte, schon vor zwei Jahren abgeschafft wurde. Letzte Woche wurde die Protokollierung der SMBv1-Zugriffe gestartet, um herauszufinden, welche Geräte oder Server noch per SMBv1 auf die DCs zugreifen. Dabei ist herausgekommen, dass genau ein Mitgliedsserver mit Windows Server 2019 auf die Sekunde genau alle 12 Minuten, also fünf Mal die Stunde, eine SMBv1-Verbindung zu genau einem DC aufbaut. Falls das wichtig sein sollte: das Ziel ist der DC, der die FSMO-Rollen beinhaltet, zum zweiten DC wird nie eine SMBv1-Verbindung aufgebaut.
Um dem Prozess auf die Schliche zu kommen, der diese Verbindung aufbaut, habe ich schon TCPView von den Sysinternals auf dem Mitgliedsserver bemüht. Wenn ich TCPView genau zu dem Zeitpunkt anhalte, zu dem der DC die SMBv1-Verbindung protokolliert, erscheint für die Verbindung zur IP-Adresse des DCs auf den Remote-Ports TCP 137-139 oder 445 nur TCP 139 mit dem Prozessnamen "System", was mir leider so ziemlich gar nichts bringt. Die unkenntlich gemachten IP-Adressen sind die IP-Adresse meines Notebooks und die eines Fileservers, der Screenshot soll nur zeigen, dass keine weiteren SMB-Verbindungen zum DC aufgebaut wurden:
Auch per Wireshark habe ich das mal protokolliert, da habe ich auf das Protokoll SMB gefiltert (192.168.100.102 ist der Mitgliedsserver, 192.168.100.1 ist der DC, unkenntlich gemacht ist nur der Name des DCs):
Leider habe ich bei Wireshark nur sehr rudimentäre Kenntnisse, deswegen möchte ich keine Vermutungen anstellen, sondern kann nur offensichtliche Zusammenhänge herstellen.
Hat noch jemand eine Idee, wie man den eigentlichen Verursacher noch finden könnte? Wir wollen ungerne einfach die SMBv1-Unterstützung vom Mitgliedsserver deinstallieren und es funktioniert dann ein installiertes Programm oder ein Dienst nicht mehr...
Frage
Eye-Q
Moin,
wir sind gerade dabei, zwei Windows Server 2016-DCs durch Windows Server 2022 abzulösen. Aus historischen Gründen ist SMBv1 auf den DCs aktiviert, sollte aber inzwischen eigentlich nicht mehr benötigt werden, weil die Software, die das auf jeden Fall benötigt hatte, schon vor zwei Jahren abgeschafft wurde. Letzte Woche wurde die Protokollierung der SMBv1-Zugriffe gestartet, um herauszufinden, welche Geräte oder Server noch per SMBv1 auf die DCs zugreifen. Dabei ist herausgekommen, dass genau ein Mitgliedsserver mit Windows Server 2019 auf die Sekunde genau alle 12 Minuten, also fünf Mal die Stunde, eine SMBv1-Verbindung zu genau einem DC aufbaut. Falls das wichtig sein sollte: das Ziel ist der DC, der die FSMO-Rollen beinhaltet, zum zweiten DC wird nie eine SMBv1-Verbindung aufgebaut.
Um dem Prozess auf die Schliche zu kommen, der diese Verbindung aufbaut, habe ich schon TCPView von den Sysinternals auf dem Mitgliedsserver bemüht. Wenn ich TCPView genau zu dem Zeitpunkt anhalte, zu dem der DC die SMBv1-Verbindung protokolliert, erscheint für die Verbindung zur IP-Adresse des DCs auf den Remote-Ports TCP 137-139 oder 445 nur TCP 139 mit dem Prozessnamen "System", was mir leider so ziemlich gar nichts bringt. Die unkenntlich gemachten IP-Adressen sind die IP-Adresse meines Notebooks und die eines Fileservers, der Screenshot soll nur zeigen, dass keine weiteren SMB-Verbindungen zum DC aufgebaut wurden:
Auch per Wireshark habe ich das mal protokolliert, da habe ich auf das Protokoll SMB gefiltert (192.168.100.102 ist der Mitgliedsserver, 192.168.100.1 ist der DC, unkenntlich gemacht ist nur der Name des DCs):
Leider habe ich bei Wireshark nur sehr rudimentäre Kenntnisse, deswegen möchte ich keine Vermutungen anstellen, sondern kann nur offensichtliche Zusammenhänge herstellen.
Hat noch jemand eine Idee, wie man den eigentlichen Verursacher noch finden könnte? Wir wollen ungerne einfach die SMBv1-Unterstützung vom Mitgliedsserver deinstallieren und es funktioniert dann ein installiertes Programm oder ein Dienst nicht mehr...
6 Antworten auf diese Frage
Empfohlene Beiträge
Dein Kommentar
Du kannst jetzt schreiben und Dich später registrieren. Wenn Du ein Konto hast, melde Dich jetzt an, um unter Deinem Benutzernamen zu schreiben.