• Betrifft: Produktaktivierung mittels Key Management Service
• System: Microsoft Windows Vista, Windows 7, Server 2008 x64 und Windows Server 2008 R2 x64
• Problem: Wie erreiche ich eine automatische Produktaktivierung über einen Key Management Service ohne dass der Computer bzw. Server Mitglied einer Domäne ist?

Hintergrund

Für gewöhnlich wird bei einer Volumenlizenzierung von Microsoft Betriebssystemen ein Key Management Service (=KMS) verwendet. Ab 25 Clients bzw. 5 Server fragen die KMS Clients beim KMS Host nach einer Aktivierung. Bei erfolgreicher Aktivierung sind die Geräte aktiviert und müssen erst wieder nach einer bestimmten Zeit aktiviert werden.

Der Vorteil dieser Aktivierung ist bei automatischen Installationen gegeben. Man spart sich die Eingabe des Produktschlüssels bei jeder Installation und im Nachhinein die Aktivierung. Die Computer bzw. Server sind meist Mitglied einer Domäne der jeweiligen Firma. Daher funktioniert die Suche nach dem KMS Host automatisch und ohne weiterer administrativer Tätigkeit. Lediglich der KMS Host muss einmal eingerichtet und bei Microsoft über eine Internetverbindung freigeschaltet werden.

Ab Microsoft Office 2010 gibt es auch erstmals für Anwendungen diese Art der Aktivierung.

Bei Microsoft Windows Computern, die sich in einer Arbeitsgruppe befinden, ist für gewöhnlich die Nutzung als KMS Client nicht vorgesehen. Manchmal ist dies aber z.B. für Testzwecke in Entwicklungsumgebungen notwendig. Eine automatische Aktivierung passiert aber nicht. Bei der manuellen Aktivierung wird nach einer Lizenznummer gefragt.

Behebung

In Wirklichkeit muss ein Computer nicht Mitglied einer Domäne sein. Es wird aber dann einfach der KMS Host nicht gefunden. Wenn man bei diesen Computern, die sich in einer Arbeitsgruppe befinden, den KMS Host manuell einträgt, dann funktioniert auch die automatische Aktivierung.

Dazu gibt es vier Möglichkeiten. Der jeweilge Befehlt muss im Command-Prompt (= “cmd”) mit Administratorenrechte ausgeführt werden.

Variante 1, KMS Host mit kompletter Domänenbezeichnung (=FQDN) angegeben:

 
Variante 2, KMS Host mit IPv4 Adresse angegeben:

 
Variante 3, KMS Host mit IPv6 Adresse angegeben:

 
Variante 4, KMS Host mit NETBIOS Namen angegeben:

 
*Port* ist meistens 1688. Ein Beispiel: >>>cscript \windows\system32\slmgr.vbs /skms 192.168.0.1:1688<<<

weitere relevante Beiträge...

• Liste der installierten Programme per Powershell auslesen
• Wie aktiviert man den Fernzugriff auf Hyper-V Servern
• Wie deaktiviert man die 8+3 Namenserstellung auf NTFS Partitionen
• ständiges anmelden mit einem temporären Benutzerprofil
• Fehlender Treiber für Windows Mobile bei Bluetooth
• keine Verbindung mit Benachrichtungsdienst für Systemereignisse

• Betrifft: Benachrichtigungsdienst für Systemereignisse – eine Creative Sound Blaster mit X-Fi Chip ist verbaut
• System: Microsoft Windows Vista, Windows 7, Server 2008 x64, Windows Server 2008 R2 x64
• Problem: Der Startvorgang dauert länger als sonst und nach dem Anmelden erscheint plötzlich unten rechts neben der Uhr eine Warnung, dass keine Verbindung zu einem Dienst hergestellt werden konnte. Nebenbei wird das Windows Basis Schema (keine Aero Oberfläche) dargestellt.

Hintergrund

Der Startvorgang dauert länger als gewöhnlich. Zeitweise scheint der Computer bei "Warten auf Gruppenrichtlinienclient" oder ähnliches etwas zu hängen. Nach dem Anmelden erhält man eine merkwürdige Warnung angezeigt. Diese erscheint aus dem Systray (Benachrichtigungsfeld) heraus – also neben der Uhr.

Manchmal wird auch das Windows Basis-Schema angezeigt. Die hardwarebeschleunigte Aero-Oberfläche wurde somit deaktiviert.

Damit erfolgt der nächste Schritt zu den Diensten, jedoch scheint der "Benachrichtigungsdienst für Systemereignisse" bzw. "System Event Notification Service " gestartet zu sein. Dieser Dienst wird auch automatisch beim Startvorgang gestartet. In den Systemereignissen findet man ebenso keine weiteren Hinweise. Bei dem Versuch den Dienst neu zu starten erhält man eine Fehlermeldung.

Nun steht als Status statt "gestartet" der Vermerk "wird beendet". Nach der Aktualisierung der Anzeige ist der Dienst manchmal beendet. Wenn man nun den Dienst startet und wieder beendet dann kommt wieder die obige Fehlermeldung. Im Internet findet man oft die unterschiedlichsten Hinweise oder Empfehlungen. Leider kann aufgrund der zentralen Bedeutung des Dienstes beinahe alles Schuld sein: jede Hardware, jede andere Software. Der Dienst wird oft für weitere Dienste oder Programme verwendet um Systemereignisse auszulösen oder darauf reagieren zu können.

Behebung

Mein Tipp ist es nach anderen Diensten zu suchen, die automatisch starten sollten, aber nicht gestartet sind. Alternativ kann der Status "wird gestartet" vermerkt sein. Systemprogramme könnten ebenfalls beteiligt sein. Dazu zählen recht gerne Antivirenprogramme. Diese haben aber ebenso unter Dienste einen Eintrag, der dann hängt.

In meinem Fall entdeckte ich den Dienst "Creative Audio Service" mit dem Vermerk "wird gestartet". Ich konnte den Dienst weder beenden noch sonst etwas abändern. Somit deaktivierte ich das automatisch starten und startete Windows neu. Nun war wieder alles wie gewohnt. Die digitale Soundausgabe funktionierte aber nicht mehr. Jedenfalls war klar, es lag an der Soundkarte.

Ich betreibe eine Creative Sound Blaster X-Fi Titanium HD mit dem Beta-Treiberpaket 3.00.1009 (=> XFRL_PCDRVBETA_US_3_00_1009.exe). Dies ist der letztgültige Treiber vom September 2011. Der offizielle mit WHQL Zertifizierung ist vom Februar 2011 und damit bedeutend älter.

Ich habe mir geholfen indem ich nach langem hin und her den Soundmodus von Unterhaltungsmodus" auf "Spielmodus" gegeben habe. In diesem Modus läuft die Soundkarte standardmäßig nach erfolgreicher Installation.

Die Schritte wären: via Creative Lautstärkefenster den "Spielmodus aktivieren", danach den Creative Audio Service wieder automatisch mit Windows starten lassen und gleich ohne Neustart im laufenden Betrieb manuell starten. Nun noch mal kontrollieren, ob der Modus richtig ist und wieder die "Dolby Digital Live" Funktion aktivieren. Damit erhält man die digitale Ausgabe für 5.1 Surroundanlagen – ansonsten gibt es überhaupt keine Ausgabe.

Bei längeren Versuchen dürfte definitiv die "Dolby Digital Live" Funktion nicht in jedem Zustand sauber arbeiten. Das ist auch der Grund warum ich den Beta Treiber verwende. In der offiziellen Version gibt es weitere Fehler, die andere Probleme verursachen…

weitere relevante Beiträge...

• Bass bei 5.1 Anlagen mit Creative Soundkarten unter Windows Vista und Windows 7 aktivieren
• Windows 7 ohne Domäne per KMS Host aktivieren
• Liste der installierten Programme per Powershell auslesen
• Wie aktiviert man den Fernzugriff auf Hyper-V Servern
• Wie deaktiviert man die 8+3 Namenserstellung auf NTFS Partitionen
• ständiges anmelden mit einem temporären Benutzerprofil

• Betrifft: Windows Powershell
• System: Microsoft Windows XP oder Windows Server 2003 mit installiertem Powershell oder Windows Vista, Windows 7, Server 2008 x64, Windows Server 2008 R2 x64
• Problem: Wie erhalte ich eine komplette Liste aller Einträge aus “Software” bzw. “Programme und Funktionen”?

Hintergrund

Windows Powershell ist eine moderne Alternative für die Kommandozeile (“cmd”) und beinhaltet viele Vorteile. Erst hier kann man komplexe Skripte erstellen und objektorientiert verarbeiten lassen.

Durchführung

Variante 1: Ausgabe direkt in Powershell als Tabelle

 
Variante 2: Ausgabe in eine Tabelle als CSV-Datei*

 
Variante 3: Ausgabe als Liste in eine TXT-Datei*

* = die jeweilige Datei wird in den aktuellen Pfad geschrieben. Also der zwischen “PS” und “>” angegeben wird.

weitere relevante Beiträge...

• Wie deaktiviert man die 8+3 Namenserstellung auf NTFS Partitionen
• Windows 7 ohne Domäne per KMS Host aktivieren
• Wie aktiviert man den Fernzugriff auf Hyper-V Servern
• Im Outlook Web Access werden keine Bilder angezeigt
• keine Verbindung mit Benachrichtungsdienst für Systemereignisse
• WDSServer mit Fehlerinformation 0×2740 für WDSPXE

• Betrifft: Windows Deployment Services und Routing & RAS Services
• System: Microsoft Windows Server 2008 x64, Windows Server 2008 R2 x64
• Problem: nach der Installation von Routing & RAS auf einem Server mit installierten Windows-Bereitstellungsdienste (Windows Deployment Services) erhält man regelmäßig Fehlermeldungen in der Ereignisanzeige. Es ist kein DHCP Server installiert.

Hintergrund

Seit kurzem oder seit langem wird ein Windows Server mit den Windows-Bereitstellungsdienste verwendet. Nun ist ein neuer Dienst für VPN-Zugriff hinzugekommen: Routing & RAS Services.

Direkt nach der Installation erhält man regelmäßig die folgende Fehlermeldung:

*IP-Adresse* bzw. *ip address* verwendet der RAS Dienst zur Kommunikation mit den VPN-Clients.

Das Ganze hat mit der Tatsache zu tun, dass WDS und DHCP nicht gemeinsam laufen dürfen. Der WDS lauscht so wie der DHCP Dienst auf gemeinsam verwendete Ports und das geht mal gar nicht.

Nun ist zwar keine DHCP Server Rolle installiert, aber womöglich für die VPN-Clients konfiguriert. Also das diese die IP-Adresse automatisch von einem anderen DHCP Server im Netzwerk erhalten. Und aus diesem Grund wird zumindest auf der RAS Server IP-Adresse wie bei einem echten DHCP Server ebenso gelauscht und an den richtigen DHCP Server weitergeleitet. Daher auch die Fehlermeldung mit dieser IP-Adresse.

Behebung

Für die Behebung gibt es zwei Varianten. Je nachdem ob man über die Verwaltungskonsole für die Windows-Bereitstellungsdienste ein Fehler erhält oder nicht. Der einfachste Schritt ist mithilfe der Verwaltungskonsole die Eigenschaften (im Kontextmenü zu finden) aufzurufen. Danach in das Register "DHCP" wechseln und die Option "Port 67 nicht abhören" aktivieren.

Sofern man beide Optionen aktiviert erhält man die Fehlermeldung: "Der Microsoft DHCP-Dienst wird auf dem Server nicht ausgeführt."

Eigentlich ganz klar, denn der DHCP-Server Dienst wird ja nicht ausgeführt. Somit ist die zweite Option "DHCP-Option ’60′ konfigurieren um anzugeben, dass es sich bei diesem Server auch um einen PXE-Server handelt" NICHT aktivieren.

Alternativ kann man die Option via Registrierungseditor angeben. Aber ich gebe bewusst eine weniger detaillierte Anleitung. Man sollte wissen was "Regedit" und die nachfolgenden Werte bedeuten, bevor man etwas ändert.

Pfad: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WDSServer\Providers\WDSPXE

Eintrag: UseDHCPPorts = 0

weitere relevante Beiträge...

• Windows 7 ohne Domäne per KMS Host aktivieren
• Liste der installierten Programme per Powershell auslesen
• Wie aktiviert man den Fernzugriff auf Hyper-V Servern
• Wie deaktiviert man die 8+3 Namenserstellung auf NTFS Partitionen
• HTTP-Fehler 500.19, zugehörige Konfigurationsdaten sind ungültig
• Im Outlook Web Access werden keine Bilder angezeigt

• Betrifft: IIS 7.0 und IIS 7.5, jeweils mit installiertem FTP
• System: Microsoft Windows Server 2008 x64, Windows Server 2008 R2 x64
• Problem: beim Zugriff von einem FTP-Client auf die FTP Funktion vom IIS 7.x erhält man einen GnuTLS Fehlermeldung. Die FTP-Verbindung wird hierbei mittels TLS und SSL-Zertifikat geschützt.

Hintergrund

Seit IIS 7.x wurde die FTP-Funktion komplett überarbeitet. Nun beherrscht die FTP-Komponente im IIS auch eine Verschlüsselung. Zu diesem Zweck wurde eine FTP-Seite mit Zertifikat am Server eingerichtet und bei der FTP-Firewallunterstützung die öffentliche IP-Adresse eingetragen. Auch der Datenkanal-Portbereich wurde entsprechend angepasst.

Die externe Firewall wurde entsprechend den gewünschten Einstellungen konfiguriert und leitet die Anfragen weiter. Trotzdem erhält man beim Zugriff auf den FTP-Server nur eine merkwürdige Fehlermeldung. Das Anmelden funktioniert, aber es wird kein Verzeichnisinhalt angezeigt.

GnuTLS error -53: Error in the push function.

550 Data channel timed out.

Der IIS wurde bereits neu gestartet (z.B. via Kommandozeile mit "iisreset /noforce") und etwaige Einstellungen geprüft.

Behebung

Die meisten werden an fehlerhaften Einstellungen bei der Firewall denken. Im Prinzip ist dieser Gedanke nicht ganz falsch. Definitiv der falsche Weg wäre hier bei der Windows Firewall herum zu pfuschen, denn diese wird über den Installationsassistenten bereits vorkonfiguriert. Eine Kontrolle wird dies auch zeigen.

Der Grund liegt an dem passiven FTP, wo der Aufbau über den Standardport erfolgt, jedoch der Datenaustausch über eigene Ports (siehe Datenkanal-Portbereich). Es wäre aber zwecklos nun das passive FTP zu deaktivieren oder einen anderen Portbereich zu wählen. Die Behebung  ist recht einfach erledigt.

Die FTP-Komponente verwendet einen eigenen Dienst, welcher nichts mit dem IIS Webpublishing zu tun hat. Damit wird dieser Dienst auch nicht über "iisreset" neu gestartet. Womöglich wurde der Datenkanal-Portbereich neu konfiguriert. Dies muss sowieso einmalig auf jeden Computer durchgeführt werden nachdem man die FTP-Komponente installiert hat. Standardmäßig wird nämlich kein konkreter Portbereich vorgegeben.

Für die Übernahme dieser neuen Konfiguration muss der "Microsoft-FTP-Dienst" neu gestartet werden. Die restlichen IIS-Dienste können gestartet bleiben.

Entweder man macht dies per Maus über die Diensteverwaltung oder in der Kommandozeile "cmd" mittels den beiden Befehlen "net stop ftpsvc" und "net start ftpsvc". Danach wird die GnuTLS-Fehlermeldung nicht mehr erscheinen.

weitere relevante Beiträge...

• In FileZilla versteckte Dateien am Server anzeigen
• Windows 7 ohne Domäne per KMS Host aktivieren
• mögliche Tastatur
• mögliche Maus
• neues Windows Phone Update kommt…
• Feedback zu Windows Phone geben

• Betrifft: Site-2-Site VPN Verbindung mittels IPSec
• System: AVM FRITZ!Box Fon WLAN 7390 und Microsoft ISA Server 2006

Mittlerweile habe ich ebenso eine stabile VPN Verbindung zwischen der AVM FRITZ!Box Fon WLAN 7390 und dem Microsoft ISA Server 2006 hergestellt. Hierzu gibt es im Internet eine andere Quelle, wo eine Verbindung mit dem Nachfolgeprodukt Microsoft TMG 2010 durchgeführt wurde: Site to Site VPN mit der AVM Fritzbox 7390 und Microsoft TMG. Die dort gefundenen Angaben funktionierten bei mir weder mit dem ISA Server noch mit dem TMG 2010. Zwar wird dort angeben, dass es eigentlich keine professionelle Lösung ist, aber es werden standardisierte Verfahren verwendet, die je nach gewählten <Kennwort> kein Sicherheitsproblem darstellen.

Hier die Einstellung für die FRITZ!Box (erneut ohne der Software "FRITZ!Box Fernzugang einrichten" erstellt):

/*
* C:\fritzbox.cfg
* Datum
*/
 
vpncfg {
    connections {
        enabled = yes;
        conn_type = conntype_lan;
        name = "ISA Server 2006";
        always_renew = yes;
        reject_not_encrypted = no;
        dont_filter_netbios = yes;
        localip = <öffentliche IP von FRITZ!Box>;
        local_virtualip = 0.0.0.0;
        remoteip = <öffentliche IP von ISA Server 2006>;
        remote_virtualip = 0.0.0.0;
        remotehostname = "<öffentliche IP von ISA Server 2006>";
        localid {
            fqdn = "<öffentliche IP von FRITZ!Box>";
        }
        remoteid {
            fgdn = "<öffentliche IP von ISA Server 2006>";
        }
        mode = phase1_mode_idp;
        phase1ss = "alt/all-no-aes/all";
        keytype = connkeytype_pre_shared;
        key = "<Kennwort>";
        cert_do_server_auth = no;
        use_nat_t = no;
        use_xauth = no;
        use_cfgmode = no;
        phase2localid {
            ipnet {
                ipaddr = <internes Netzwerk der FRITZ!Box>;
                mask = <interne Subnetzmaske beim FRITZ!Box>;
            }
        }
        phase2remoteid {
            ipnet {
                ipaddr = <internes Netzwerk beim ISA Server 2006>;
                mask = <interne Subnetzmaske beim ISA Server 2006>;
            }
        }       
        phase2ss = "esp-3des-sha/ah-no/comp-no/pfs";
        accesslist = "permit ip any <internes Netzwerk beim ISA Server 2006> <interne Subnetzmaske beim ISA Server 2006>";
    }
    ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
                                              "udp 0.0.0.0:4500 0.0.0.0:4500";

}

// EOF

Nachfolgend die Einstellungen für den ISA Server 2006. Die ersten Einstellungen erfolgen über den Assistenten:

Nachfolgend noch zwei Einstellungen, die nicht über den Assistent abgefragt werden. Es geht um die IPSec Konfiguration für Phase I und II. Bei Phase II kann bei Sitzungsschlüsseleinstellungen der Standardwert bei "Neue Schlüssel alle:" mit 28.800 Sekunden belassen werden. Im AVM VPN-Portal steht oft 3.600 Sekunden. Damit kommt zumindest meine FRITZ!Box überhaupt nicht klar. Die Verbindung wird immer wieder unterbrochen. Daher besser einen höheren Wert angeben oder gar kein Wert. Bei Versuchen wurde festgestellt, es ist besser die FRITZ!Box initiiert nach Zeitablauf einen neuen Schlüssel. Damit habe ich definitiv eine stabilere Verbindung erhalten.

Erklärungen:

Anmerkungen:

Je nach Firmware der FRITZ!Box scheinen nicht alle Zeichen beim Kennwort möglich zu sein. Mein Tipp ist zuerst nur Groß-, Kleinbuchstaben und Zahlen probieren. Bei entsprechender Länge sollte dies für erste Versuche kein Problem darstellen. Sonderzeichen gehen nicht immer.

Für die IPSec Phase II Konfiguration sollte bei der Schlüsseleinstellung ein hoher Wert eingestellt sein. Der genaue Wert von der FRITZ!Box ist mir nicht bekannt. Es wird aber definitiv einer verwendet, denn das merkt man wunderbar bei den Logdateien. An sich fragt das Gerät mit dem niedrigeren Einstellungen zuerst nach und beide Zeitmesser gehen wieder auf Null zurück.

Die gewählte IP-Adresse vom ISA Server 2006 bzw. TMG 2010 muss die primäre IP-Adresse sein, sonst funktioniert dies mit der FRITZ!Box nicht. Bei einer VPN-Standort-zu-Standort-Verbindung zwischen zwei ISA Server 2006 ist dies zweitrangig.

weitere relevante Beiträge...

• FRITZ!Box Fon WLAN 7390 und VPN
• eine Ära geht zu Ende
• VPN zwischen FRITZ!Box Fon WLAN 7390 und Netgear FVS124G
• Interferenz zwischen Wireless Netzwerken und Funkeingabegeräten
• AVM FRITZ!Box Fon WLAN 7390
• Windows 7 ohne Domäne per KMS Host aktivieren