Windows Server
Vertiefung

Was Zertifikate leisten

Die Vertrauenskette — live

Kernbegriffe

Oeffentliche vs. interne CA

Enterprise vs. Standalone CA

Zertifikatvorlagen (Templates)

Vorlagen definieren, welche Art von Zertifikat ausgestellt wird: Gueltigkeit, Schluessellaenge, Verwendungszweck, wer es anfordern darf.

Wichtige Vorlagen-Einstellungen:

• Gueltigkeit: Wie lange ist das Zertifikat gueltig? Standard fuer Webserver: 1-2 Jahre.
• Schluessellaenge: Mindestens 2048 Bit RSA. Fuer hohe Sicherheit: 4096 Bit.
• Schluesselverwendung: Digital Signature, Key Encipherment, Data Encipherment — je nach Einsatzzweck.
• Erweiterte Schluesselverwendung: Server Authentication (fuer Webserver), Client Authentication (fuer VPN-Clients), Smart Card Logon etc.

Vorlagen-Berechtigungen

Registrierungsmethoden

Auto-Enrollment per GPO einrichten

Pfad: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Richtlinien fuer oeffentliche Schluessel

• Vertrauenswuerdige Stammzertifizierungsstellen: Root-CA-Zertifikat per GPO an alle Clients verteilen
• Zertifikatdiensteclient — Automatische Registrierung: Aktivieren + "Abgelaufene Zertifikate erneuern" + "Ausstehende Zertifikate aktualisieren"

AIA und CDP konfigurieren

Clients muessen wissen wo sie das CA-Zertifikat (AIA) und die Sperrliste (CDP) finden. Diese Pfade werden in jedes ausgestellte Zertifikat eingebettet.

• AIA-Pfad: http://pki.firma.local/CertEnroll/ca-name.crt — Clients laden hier das CA-Zertifikat herunter
• CDP-Pfad: http://pki.firma.local/CertEnroll/ca-name.crl — Clients pruefen hier ob ein Zertifikat gesperrt ist
• LDAP-Pfad: Fuer Domain-Mitglieder automatisch im AD verfuegbar

# AIA und CDP eines Zertifikats anzeigen
certutil -URL "C:\cert.cer"

# CRL manuell herunterladen und pruefen
certutil -verify -urlfetch "C:\cert.cer"

# CA-Konfiguration anzeigen
certutil -CAInfo

Untergeordnete CA (Subordinate CA) bereitstellen

Ablauf der Bereitstellung:

1. Enterprise Subordinate CA installieren — waehrend der Installation wird eine Zertifikatanforderung (.req) erzeugt
2. Die .req-Datei zur offline Root CA transportieren (z.B. USB-Stick)
3. Auf der Root CA: Anforderung einreichen und Zertifikat ausstellen
4. Zertifikat (.cer) zurueck zur Subordinate CA transportieren
5. Auf der Subordinate CA: Zertifikat installieren und Dienst starten

# Auf der Root CA: Anforderung einreichen
certreq -submit "C:\SubCA-Request.req"

# Zertifikat ausstellen (Anforderungs-ID beachten)
certutil -resubmit [RequestID]

# Zertifikat abrufen
certreq -retrieve [RequestID] "C:\SubCA-Cert.cer"

# Auf der Subordinate CA: Zertifikat installieren
certutil -installcert "C:\SubCA-Cert.cer"

# Dienst starten
Start-Service certsvc

PowerShell Referenz

# AD CS Rolle installieren
Install-WindowsFeature AD-Certificate -IncludeManagementTools

# Webregistrierung installieren
Install-WindowsFeature ADCS-Web-Enrollment

# Online Responder (OCSP) installieren
Install-WindowsFeature ADCS-Online-Cert

# Alle lokalen Zertifikate anzeigen
Get-ChildItem Cert:\LocalMachine\My

# Zertifikat exportieren
Export-Certificate -Cert Cert:\LocalMachine\My\[Thumbprint] -FilePath C:\cert.cer

# Zertifikat mit privatem Schluessel exportieren
Export-PfxCertificate -Cert Cert:\LocalMachine\My\[Thumbprint] -FilePath C:\cert.pfx -Password (ConvertTo-SecureString "Pa$$" -AsPlainText -Force)

# Zertifikat sperren
Revoke-Certificate -SerialNumber "1A2B3C4D" -Reason "KeyCompromise"

# Zertifikatvorlagen auflisten
Get-CATemplate | Select-Object Name

# Neue CRL veroeffentlichen
certutil -CRL

Live Terminal

2.1 VPN-Szenarien

2.2 DirectAccess

DirectAccess baut automatisch eine verschluesselte Verbindung auf, sobald der Computer mit dem Internet verbunden ist. Der Benutzer muss nichts tun — kein manuelles VPN-Starten.

• Always-on: Verbindung steht permanent, sobald Internet verfuegbar
• Transparent: Benutzer merkt nichts — arbeitet als waere er im Buero
• Management: IT kann auch remote verwaltete Geraete patchen und konfigurieren
• Voraussetzung: IPv6 (oder Uebergangstechnologien wie 6to4, Teredo, IP-HTTPS)

2.3 NAT — Network Address Translation

NAT uebersetzt private IP-Adressen (z.B. 192.168.x.x) in oeffentliche IP-Adressen und zurueck. Der VPN-Server steht oft hinter NAT.

2.4 Tunnelprotokolle

2.5 VPN-Authentifizierung

2.6 VPN-Server einrichten — Schritt fuer Schritt

Voraussetzungen: Zwei Netzwerkschnittstellen (intern + extern), ggf. VLAN-Konfiguration. Die externe Karte bekommt eine eigene IP (z.B. 132.166.0.1/16).

# Remotezugriff installieren
Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools

# NPS installieren
Install-WindowsFeature NPAS -IncludeManagementTools

# Status pruefen
Get-RemoteAccess

Konfiguration im Detail

1. Routing und RAS-Konsole oeffnen (rrasmgmt.msc)
2. Setup-Assistent: Benutzerdefiniert waehlen (nicht Standardkonfiguration!)
3. VPN-Zugriff aktivieren
4. Dienst starten wenn aufgefordert
5. DHCP Relay-Agent konfigurieren fuer automatische IP-Vergabe an VPN-Clients
6. Ports konfigurieren: Anzahl pro Protokoll (SSTP, IKEv2)

Zusaetzliche Sicherheit

• Statische Paketfilter: Nur bestimmte Ports/Protokolle auf der externen Schnittstelle zulassen
• Authentifizierungsanbieter: RADIUS (NPS) statt Windows-Authentifizierung konfigurieren
• Kontorichtlinien: Kontosperrung nach fehlgeschlagenen Versuchen

2.7 VPN-Client einrichten

Manuell am Client:

1. Netzwerk- und Freigabecenter oeffnen
2. "Neue Verbindung oder neues Netzwerk einrichten"
3. "Verbindung mit dem Arbeitsplatz herstellen"
4. Internetadresse des VPN-Servers eingeben (externe IP oder DNS-Name)
5. VPN-Typ waehlen: IKEv2 oder SSTP (oder automatisch)
6. Anmeldeinformationen eingeben oder Zertifikat waehlen

# VPN-Verbindung hinzufuegen
Add-VpnConnection -Name "Firma-VPN" -ServerAddress "vpn.firma.de" -TunnelType IKEv2 -AuthenticationMethod EAP

# VPN verbinden
rasdial "Firma-VPN"

# VPN-Verbindungen anzeigen
Get-VpnConnection

2.8 Benutzer-RAS-Berechtigungen

In den Eigenschaften jedes AD-Benutzerkontos gibt es drei Modi fuer den Remotezugriff:

2.9 NPS — Der Tuersteher

RADIUS: Zwei Betriebsmodi

Zugriffsentscheidung — Reihenfolge:

1. RAS-Berechtigung "Verweigern" → Zugriff verweigert
2. RAS-Berechtigung "Zulassen" → Zugriff erlaubt
3. "Ueber NPS steuern" → Richtlinien werden geprueft
4. Erste passende Netzwerkrichtlinie gewinnt (Reihenfolge!)
5. Keine Richtlinie passt → Zugriff verweigert

Zwei Richtlinientypen:

• Verbindungsanforderungsrichtlinien — WO wird authentifiziert? (lokal oder weiterleiten)
• Netzwerkrichtlinien — OB Zugriff erlaubt wird. Bedingungen: Gruppenmitgliedschaft, Tageszeit, Geraetetyp.

NPS-Verwaltungstools

• NPS MMC Snap-in: nps.msc — grafische Verwaltung aller Richtlinien
• netsh nps: Kommandozeile fuer NPS-Konfiguration und Export/Import

# NPS-Konfiguration exportieren (Backup!)
netsh nps export filename="C:\nps-backup.xml" exportPSK=YES

# NPS-Konfiguration importieren
netsh nps import filename="C:\nps-backup.xml"

# RADIUS-Client hinzufuegen (z.B. VPN-Server)
netsh nps add client name="VPN-Server" address="10.0.0.1" sharedsecret="GeheimesPasswort"

3.1 EFS — Dateiverschluesselung

EFS (Encrypting File System) verschluesselt einzelne Dateien und Ordner. Nur der berechtigte Benutzer kann sie oeffnen — selbst wenn ein Admin Zugriff auf den Server hat.

Typische Einsatzszenarien

• Gemeinsam genutzte Computer: Mehrere Benutzer am gleichen PC — EFS schuetzt Dateien voreinander
• Schutz vor anderen Admins: Selbst Domaenen-Admins koennen EFS-verschluesselte Dateien nicht lesen (ausser als DRA)
• Laptopdiebstahl: Festplatte in anderem PC eingebaut → Dateien bleiben verschluesselt

So funktioniert EFS:

1. System erzeugt zufaelligen symmetrischen Sitzungsschluessel (FEK = File Encryption Key)
2. Datei wird mit dem FEK verschluesselt
3. FEK wird mit dem oeffentlichen Schluessel des Benutzers verschluesselt
4. Beim Oeffnen: Privater Schluessel entschluesselt FEK → Datei lesbar

• EFS funktioniert nur auf NTFS — nicht auf FAT32 oder ReFS
• EFS verschluesselt nur auf der Festplatte — bei Netzwerkuebertragung wird entschluesselt!
• Systemdateien koennen nicht mit EFS verschluesselt werden
• Komprimierte Dateien muessen erst dekomprimiert werden

EFS-Freigabe fuer andere Benutzer

Man kann andere Benutzer zu einer EFS-verschluesselten Datei hinzufuegen:

1. Dateieigenschaften → Erweitert → Details
2. "Hinzufuegen" → Zertifikat des anderen Benutzers waehlen
3. Der FEK wird zusaetzlich mit dem oeffentlichen Schluessel des anderen Benutzers verschluesselt
4. Beide Benutzer koennen die Datei nun oeffnen

EFS aktivieren und DRA einrichten

# Ordner verschluesseln
cipher /e /s:C:\Vertraulich

# Status pruefen
cipher /c C:\Vertraulich

# Wiederherstellungsagent-Zertifikat erstellen
cipher /r:"DRA-Admin"
# Erzeugt: DRA-Admin.cer (oeffentlich) + DRA-Admin.pfx (privat)

# Alle verschluesselten Dateien im Verzeichnisbaum anzeigen
cipher /u /n

DRA per GPO verteilen: Computerkonfiguration → Sicherheitseinstellungen → Richtlinien fuer oeffentliche Schluessel → Verschluesselndes Dateisystem → DRA hinzufuegen (.cer importieren).

3.2 BitLocker — Volume-Verschluesselung

BitLocker verschluesselt ganze Volumes — das Betriebssystemlaufwerk und/oder Datenlaufwerke. Schuetzt bei physischem Diebstahl des Datentraegers.

TPM im Detail

• Integritaetspruefung: TPM misst den Boot-Prozess (BIOS, Bootloader, OS). Aenderung = VMK wird nicht freigegeben
• Versiegelung: VMK ist an die Hardware gebunden — Festplatte in anderem PC = kein Zugriff
• TPM 1.2 vs 2.0: TPM 2.0 ist Pflicht fuer Windows 11 und bietet stärkere Kryptografie
• Virtuelle Maschinen: Hyper-V Gen2 VMs koennen ein virtuelles TPM nutzen (vTPM)

BitLocker ohne TPM

Moeglich ueber Gruppenrichtlinie:

Pfad: Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → BitLocker-Laufwerkverschluesselung → Betriebssystemlaufwerke → "Zusaetzliche Authentifizierung beim Start anfordern" → "BitLocker ohne kompatibles TPM zulassen"

VMK wird dann auf einem USB-Stick gespeichert. Der USB-Stick muss bei jedem Start eingesteckt sein.

BitLocker-Verwaltungstools

# BitLocker aktivieren (mit TPM)
manage-bde -on C: -RecoveryPassword

# BitLocker aktivieren (ohne TPM, mit Passwort)
manage-bde -on C: -Password

# Status pruefen
manage-bde -status C:

# Wiederherstellungsschluessel im AD sichern
Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId $id

# BitLocker per PowerShell aktivieren
Enable-BitLocker -MountPoint "C:" -RecoveryPasswordProtector -EncryptionMethod XtsAes256

# Alle Protektoren anzeigen
Get-BitLockerVolume -MountPoint "C:" | Select-Object -ExpandProperty KeyProtector

# BitLocker To Go (USB-Stick)
manage-bde -on E: -Password

BitLocker GPO-Einstellungen

Pfad: Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → BitLocker-Laufwerkverschluesselung

• Verschluesselungsmethode: XTS-AES 128 oder 256 (Betriebssystem), AES-CBC 128/256 (Wechseldatentraeger)
• Wiederherstellung: Erzwingen, dass Schluessel in AD gespeichert wird BEVOR Verschluesselung beginnt
• Betriebssystemlaufwerke: Zusaetzliche Authentifizierung (PIN, USB, TPM+PIN)

Wiederherstellung

Wenn der TPM-Chip eine Aenderung erkennt (z.B. BIOS-Update, Festplatte in anderem PC):

1. BitLocker fordert den 48-stelligen Wiederherstellungsschluessel
2. Aus AD abrufen: Active Directory Benutzer und Computer → Computerobjekt → BitLocker-Wiederherstellung
3. Alternativ: Aus Datei oder Ausdruck

3.3 BitLocker To Go

BitLocker To Go verschluesselt USB-Sticks und externe Festplatten.

• Entsperrung: Per Passwort oder Smartcard
• GPO-Erzwingung: Wechseldatentraeger duerfen nur beschrieben werden, wenn BitLocker aktiv ist
• Pfad: Computerkonfiguration → Administrative Vorlagen → BitLocker → Wechseldatentraeger → "Schreibzugriff auf Wechseldatentraeger verweigern die nicht durch BitLocker geschuetzt sind"

3.4 EFS vs. BitLocker

4.1 IIS-Architektur — modularer Aufbau

IIS ist keine einzelne Komponente, sondern ein modulares System. Man installiert nur die Module die man braucht.

Web Server-Untermodule im Detail

• Common HTTP: Standarddokument, Verzeichnissuche, HTTP-Fehler, statischer Inhalt
• Health & Diagnostics: HTTP-Protokollierung, Ablaufverfolgung, benutzerdefinierte Protokollierung
• Performance: Komprimierung (statisch und dynamisch), Ausgabezwischenspeicherung
• Security: Authentifizierungsmodule, IP-Filterung, URL-Autorisierung
• Application Development: ASP.NET, CGI, ISAPI, WebSocket

# Standardinstallation
Install-WindowsFeature Web-Server -IncludeManagementTools

# Windows-Authentifizierung nachruesten
Install-WindowsFeature Web-Windows-Auth

# Digest-Authentifizierung
Install-WindowsFeature Web-Digest-Auth

# Client-Zertifikat-Authentifizierung
Install-WindowsFeature Web-Client-Auth

# Feature entfernen (z.B. Verzeichnissuche)
Remove-WindowsFeature Web-Dir-Browsing

# Alle installierten IIS-Features anzeigen
Get-WindowsFeature Web-* | Where-Object Installed

IIS-Manager Bereiche:

• Verbindungen (links) — Server, Websites, Anwendungspools
• Features (mitte) — Konfigurierbare Einstellungen
• Aktionen (rechts) — Start, Stop, Bindungen, Neustart

4.2 Websites konfigurieren

Standarddokumente

Wenn kein Dateiname in der URL: IIS sucht nach Default.htm → Default.asp → index.htm → index.html → default.aspx. Kein Treffer → Fehler 403 (oder Verzeichnisliste wenn aktiviert).

Site Bindings — Mehrere Websites auf einem Server

Jede Website braucht eine eindeutige Bindung: Protokoll + IP + Port + Hostname muessen pro Website einzigartig sein.

• Verschiedene Ports — z.B. :80, :8080, :8081 (unschoen fuer Benutzer)
• Verschiedene IPs — Mehrere IPs auf einer NIC (begrenzt)
• Host-Header (Hostnamen) — Best Practice! intranet.firma.de, portal.firma.de auf gleichem Port 80/443. Erfordert DNS-Eintraege.

Website-Limits

• Bandbreitendrosselung: Maximale Bandbreite pro Website begrenzen (Bytes/Sekunde)
• Verbindungslimits: Maximale gleichzeitige Verbindungen pro Website
• Verbindungstimeout: Wie lange inaktive Verbindungen offen bleiben

Anwendungspools

Jeder Pool = eigener Prozess (w3wp.exe). App stuerzt ab → andere laufen weiter. Best Practice: Jede Website in eigenem Pool.

4.3 Dateisystemberechtigungen

IIS verwendet spezielle Konten fuer den Zugriff auf Website-Dateien:

4.4 Authentifizierung im Detail

4.5 SSL/HTTPS einrichten

Serverzertifikate — drei Quellen

HTTPS einrichten — Ablauf:

1. Serverzertifikat beschaffen (von eigener CA oder extern)
2. IIS-Manager → Serverzertifikate → Importieren
3. Website → Bindungen → Hinzufuegen → HTTPS (443) → Zertifikat waehlen
4. Optional: HTTP→HTTPS Weiterleitung einrichten

SSL-Einstellungen pro Website/Seite

• SSL erforderlich: Kann fuer die gesamte Website oder einzelne Seiten/Verzeichnisse erzwungen werden
• Clientzertifikat — Ignorieren: Kein Clientzertifikat verlangt
• Clientzertifikat — Akzeptieren: Wird genutzt wenn vorhanden, aber nicht erzwungen
• Clientzertifikat — Erfordern: Ohne Clientzertifikat kein Zugriff

4.6 HTTP Redirect

HTTP-Umleitung leitet Anfragen automatisch an eine andere URL weiter.

Typischer Einsatz: HTTP (Port 80) → HTTPS (Port 443) per 301 Redirect. Alle unverschluesselten Anfragen werden automatisch auf die sichere Version umgeleitet.

• Option "Alle Anfragen an genaues Ziel": Egal welche Seite angefragt wird, Umleitung auf eine bestimmte URL
• Option "Relative Pfade beibehalten": /seite1 → /neue-url/seite1 (Pfad wird angehaengt)

5.1 WSUS verstehen

Statt dass 200 PCs Updates einzeln von Microsoft laden, macht das EIN Server zentral: herunterladen, genehmigen, gestaffelt verteilen.

Voraussetzungen

• IIS 6.0 oder hoeher (wird automatisch mitinstalliert)
• .NET Framework
• Datenbank: WID (Windows Internal Database) oder SQL Server
• Festplattenspeicher: Mindestens 40 GB fuer Update-Dateien (mehr empfohlen)
• Netzwerk: Zugang zu Microsoft Update (oder Upstream-WSUS-Server)

Datenbankoptionen

5.2 Bereitstellungsmodelle

5.3 Der 4-Phasen-Prozess

5.4 WSUS installieren und konfigurieren

# WSUS installieren (mit WID)
Install-WindowsFeature UpdateServices -IncludeManagementTools

# Post-Installation: Inhaltsverzeichnis konfigurieren
& 'C:\Program Files\Update Services\Tools\wsusutil.exe' postinstall CONTENT_DIR=C:\WSUS

# WSUS-Konsole oeffnen
wsus.msc

Konfigurationsassistent — Schritt fuer Schritt

1. Upstream-Server: Von Microsoft Update synchronisieren (oder von einem anderen WSUS-Server)
2. Proxyserver: Wenn ein Proxy fuer Internetzugriff noetig ist
3. Sprachen: Nur benoetigte Sprachen waehlen (spart Speicherplatz und Bandbreite)
4. Produkte: Windows 10, Windows 11, Windows Server 2022/2025, Office etc. waehlen
5. Klassifikationen: Sicherheitsupdates, kritische Updates, Service Packs, Feature Packs
6. Synchronisierungszeitplan: Automatisch (z.B. taeglich 03:00 Uhr) oder manuell

5.5 Computergruppen

Computergruppen ermoeglichen gestaffelte Update-Verteilung.

• Standardgruppen: "Alle Computer" und "Nicht zugewiesene Computer" (existieren immer)
• Benutzerdefinierte Gruppen: z.B. "Pilot", "Server", "Clients-Abteilung-A", "Clients-Abteilung-B"

Clientseitige Zielzuordnung (Client-Side Targeting)

Per GPO wird festgelegt, in welche Computergruppe ein Client gehoert:

GPO-Pfad: Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Windows Update → "Clientseitige Zielzuordnung aktivieren" → Gruppenname eingeben

5.6 Update-Genehmigung und -Workflow

Der Genehmigungsworkflow:

1. Erkennung: WSUS synchronisiert Update-Metadaten von Microsoft
2. Genehmigung: Admin genehmigt Update fuer bestimmte Computergruppe
3. Download: WSUS laedt die Update-Dateien herunter (erst nach Genehmigung!)
4. Installation: Clients erkennen das genehmigte Update und installieren es

Reporting

WSUS bietet integrierte Berichte:

• Update-Statusbericht: Welche Updates fehlen auf welchen Computern?
• Computerbericht: Wie ist der Patch-Status eines bestimmten Computers?
• Synchronisierungsbericht: Wann wurde zuletzt synchronisiert? Fehler?

5.7 Client-Konfiguration per GPO

Wichtige GPO-Einstellungen:

# Sofortige Update-Erkennung auslösen
wuauclt.exe /detectnow

# Windows Update Agent zuruecksetzen
wuauclt.exe /resetauthorization /detectnow

# GPO aktualisieren und dann Updates pruefen
gpupdate /force
wuauclt.exe /detectnow

# WSUS-Bereinigung per PowerShell
Invoke-WsusServerCleanup -CleanupObsoleteUpdates -CleanupUnneededContentFiles

6.1 Storage Spaces — Speicherpools

Storage Spaces (seit Windows Server 2012) fassen mehrere physische Datentraeger zu einem logischen Pool zusammen. Daraus erstellt man virtuelle Datentraeger mit verschiedenen Redundanzleveln.

Anforderungen an physische Datentraeger

• Leer und unformatiert: Datentraeger duerfen keine Partitionen oder Daten haben
• Unterstuetzte Bus-Schnittstellen: SAS, SATA, USB, NVMe
• Medientyp: Muss als HDD oder SSD konfiguriert sein (neue Datentraeger oft "Unbekannt" — per PowerShell setzen)

Zuordnung physischer Datentraeger

6.2 Resilienz-Typen (Redundanz)

Storage Tiers — Automatisches Tiering

Storage Spaces kann SSDs und HDDs im gleichen Pool kombinieren und automatisch optimieren:

• Haeufig genutzte Daten werden automatisch auf die SSD-Schicht verschoben
• Selten genutzte Daten bleiben auf der HDD-Schicht
• Optimierung laeuft im Hintergrund (Scheduled Task, standardmaessig nachts)

Bereitstellungstypen fuer virtuelle Datentraeger

• Fest (Fixed): Speicherplatz wird sofort vollstaendig reserviert. Besser fuer Performance.
• Duenn/Thin: Speicher waechst dynamisch mit den Daten. Spart Platz, aber Ueberbuchung moeglich.

6.3 iSCSI — Speicher uebers Netzwerk

iSCSI Target Server — Features

• Rollendienst seit Server 2012 — kein zusaetzliches Produkt noetig
• Mehrere Targets: Ein Server kann mehrere iSCSI-Targets bereitstellen
• Persistente Datentraeger: Daten bleiben bei Neuverbindung erhalten (Standard)
• Nicht-persistente Datentraeger: Werden bei jeder Verbindung zurueckgesetzt (fuer temporaere Daten)

6.4 iSCSI-Verbindung einrichten

Am Target-Server (Zielserver)

1. Rolle installieren: Server-Manager → iSCSI-Zielserver
2. Neues iSCSI-Target erstellen: Name vergeben
3. Virtuelle Festplatte erstellen: Groesse und Speicherort (.vhdx)
4. Zugriffsberechtigungen: IQN des erlaubten Initiators eingeben

Am Initiator (Client)

1. iSCSI-Initiator oeffnen (iscsicpl.exe) — beim ersten Start wird der Dienst aktiviert
2. Quick Connect: IP-Adresse des Target-Servers eingeben → Verbinden
3. Datentraeger erscheint in der Datentraegerverwaltung (diskmgmt.msc)
4. Initialisieren, Partition erstellen, Laufwerksbuchstabe zuweisen — wie eine lokale Festplatte
5. Bevorzugtes Ziel: Unter "Bevorzugte Ziele" eintragen fuer automatische Wiederverbindung nach Neustart

Voraussetzungen und Best Practices

• Schnelles Netzwerk: Mindestens 1 Gbit/s, besser 10 Gbit/s oder mehr
• Dediziertes Netzwerk: Separates VLAN/Subnetz fuer iSCSI-Verkehr (kein Mischen mit normalem Datenverkehr)
• Hochverfuegbarkeit: MPIO (Multipath I/O) fuer mehrere Pfade zum Target
• Jumbo Frames: MTU 9000 fuer bessere Performance

# iSCSI Target Server installieren
Install-WindowsFeature FS-iSCSITarget-Server -IncludeManagementTools

# Neues iSCSI-Target erstellen
New-IscsiServerTarget -TargetName "FileServer-Target" -InitiatorIds "IQN:iqn.1991-05.com.microsoft:fileserver.domain.local"

# Virtuelle iSCSI-Disk erstellen und zuweisen
New-IscsiVirtualDisk -Path "C:\iSCSI\Disk01.vhdx" -Size 200GB
Add-IscsiVirtualDiskTargetMapping -TargetName "FileServer-Target" -Path "C:\iSCSI\Disk01.vhdx"

# Am Initiator: Verbindung herstellen
New-IscsiTargetPortal -TargetPortalAddress "10.0.0.50"
Connect-IscsiTarget -NodeAddress "iqn.1991-05.com.microsoft:target-name" -IsPersistent $true

7.1 RDS vs. Remote Desktop

7.2 mstsc.exe — Der Remotedesktop-Client

mstsc.exe (Microsoft Terminal Services Client) ist der Standard-RDP-Client.

Verbindungseinstellungen — Tabs

• Allgemein: Server, Benutzername, Verbindung speichern (.rdp Datei)
• Anzeige: Aufloesung, Farbtiefe, Vollbild
• Lokale Ressourcen: Audio, Drucker, Laufwerke, Zwischenablage umleiten
• Leistung: Verbindungsgeschwindigkeit, visuelle Effekte anpassen
• Erweitert: Serverauthentifizierung, Gateway-Einstellungen

Lokale Ressourcen — Umleitung

• Laufwerksumleitung: Lokale Festplatten im Remote-Desktop als Netzlaufwerke sichtbar
• Druckerumleitung: Lokale Drucker im Remote-Desktop verfuegbar
• Zwischenablage: Copy/Paste zwischen lokal und remote
• Audio: Sounds vom Remote-PC lokal abspielen

7.3 RDS-Bereitstellung

Installation

Pfad: Server-Manager → Verwalten → Rollen und Features hinzufuegen → Installationstyp: "Installation von Remotedesktopdiensten"

Bereitstellungstypen

7.4 Sitzungssammlungen (Session Collections)

Eine Sitzungssammlung fasst einen oder mehrere RD Session Hosts zusammen und definiert die Verbindungseigenschaften.

Konfigurierbare Eigenschaften

• Allgemein: Name, Beschreibung
• Benutzergruppen: Welche AD-Gruppen duerfen sich verbinden?
• Sitzungslimits:
  • Trennungstimeout: Nach wie vielen Minuten wird eine getrennte Sitzung beendet?
  • Aktive Sitzung: Maximale Dauer einer aktiven Sitzung
  • Leerlauftimeout: Sitzung wird nach X Minuten Inaktivitaet getrennt
• Sicherheit:
  • Sicherheitsschicht: RDP (aeltester), Negotiate (automatisch), SSL/TLS (empfohlen)
  • Verschluesselungsstufe: Niedrig, Clientkompatibel, Hoch, FIPS-konform
  • NLA (Network Level Authentication): Authentifizierung VOR dem Desktop-Aufbau
• Lastenausgleich: Gewichtung bei mehreren Session Hosts
• Clienteinstellungen: Laufwerks-, Drucker-, Zwischenablage-Umleitung erlauben/verbieten
• Benutzerprofildatentraeger: Zentraler Speicherort fuer Benutzerprofile (UPD)

7.5 Benutzerprofildatentraeger (User Profile Disks)

User Profile Disks (UPD) speichern das Benutzerprofil auf einer Netzwerkfreigabe als .vhdx-Datei. Egal auf welchem Session Host sich der Benutzer anmeldet — sein Profil ist immer dabei.

• Netzwerkfreigabe: z.B. \\\\fileserver\\UserProfileDisks
• Pro Benutzer eine .vhdx-Datei mit dem Benutzerprofil
• Nahtloses Roaming: Benutzer merkt nichts — Profil wird bei Anmeldung automatisch gemountet
• Vorteil gegenueber Roaming Profiles: Schneller, zuverlaessiger, kein Sync-Problem

7.6 RemoteApp

RemoteApp veroeffentlicht einzelne Anwendungen statt des ganzen Desktops. Die App laeuft auf dem Server, erscheint aber auf dem Client als waere sie lokal installiert.

RemoteApp-Installationsmodus

Software auf einem Sitzungshost MUSS im Installationsmodus installiert werden:

# VOR der App-Installation wechseln
change user /install

# Anwendung installieren...
# (z.B. setup.exe ausfuehren)

# Zurueck in den Ausfuehrungsmodus
change user /execute

# Aktuellen Modus pruefen
change user /query

RemoteApp veroeffentlichen

1. Server-Manager → Remotedesktopdienste → Sitzungssammlung
2. "RemoteApp-Programme veroeffentlichen"
3. Programm aus der Liste waehlen (oder manuell Pfad angeben)
4. Programm wird automatisch im RD Web Access sichtbar

RemoteApp-Eigenschaften

• Parameter: Kommandozeilenparameter erlauben/verbieten/vordefinieren
• Benutzerzuweisung: Welche AD-Gruppen sehen die App?
• Dateitypzuordnung: .xlsx oeffnet automatisch die Remote-Excel-App

Bereitstellungswege fuer Endbenutzer

• RD Web Access: https://server/rdweb — Apps werden im Browser angezeigt und gestartet
• Web Feed: https://server/rdweb/feed/webfeed.aspx — RemoteApps erscheinen direkt im Startmenue des Clients

7.7 VDI — Virtual Desktop Infrastructure

Bei VDI bekommt jeder Benutzer eine eigene virtuelle Maschine. Laeuft auf einem Hyper-V Host.

7.8 RD Gateway — RDP ueber HTTPS

Das RD Gateway tunnelt RDP-Verkehr ueber HTTPS (Port 443). Benutzer koennen sich von ueberall verbinden — durch jede Firewall, ohne VPN.

Netzwerk-Architektur

Internet → DMZ (Gateway-Server mit Port 443) → Internes Netzwerk (Session Hosts)

• Nur Port 443 (HTTPS) muss in der Firewall geoeffnet sein
• Kein VPN noetig — RDP ist in HTTPS gekapselt
• Gateway entschluesselt HTTPS, prueft Autorisierung, leitet RDP weiter

Gateway-Zertifikat

Das RD Gateway braucht ein SSL-Zertifikat (Szene 1!). Besonderheiten:

• PKI-basiert: Zertifikatvorlage mit Auto-Enrollment erstellen
• SAN (Subject Alternative Name): Interner Name UND externer Name im gleichen Zertifikat
• Beispiel: CN=gateway.firma.de, SAN=gateway.firma.local + gateway.firma.de

Autorisierungsrichtlinien

Gateway-Monitoring

• Verbundene Benutzer anzeigen
• Sitzungen einzeln oder gesamt trennen
• Verbindungsdauer und Ressourcenverbrauch ueberwachen

7.9 RDS-Lizenzierung

RDS erfordert eigene Lizenzen — zusaetzlich zu den normalen Windows Server CALs.

# RD Session Host Rolle installieren
Install-WindowsFeature RDS-RD-Server -IncludeManagementTools

# RD Licensing Rolle installieren
Install-WindowsFeature RDS-Licensing -IncludeManagementTools

# RD Gateway Rolle installieren
Install-WindowsFeature RDS-Gateway -IncludeManagementTools

# RD Web Access Rolle installieren
Install-WindowsFeature RDS-Web-Access -IncludeManagementTools

# Aktive Sitzungen anzeigen
query session /server:rdsh01

# Benutzer abmelden
logoff [Sitzungs-ID] /server:rdsh01

8.1 Wie die Dienste zusammenspielen

Zertifikatfluss (PKI als Fundament)

• PKI → VPN: EAP-Zertifikate fuer sichere VPN-Authentifizierung
• PKI → IIS: SSL/TLS-Zertifikate fuer HTTPS-Websites
• PKI → RDS Gateway: SSL-Zertifikat fuer RDP-ueber-HTTPS-Tunnel
• PKI → EFS: Benutzerzertifikate fuer Dateiverschluesselung
• PKI → WLAN/802.1X: Computerzertifikate fuer Netzwerk-Authentifizierung

Update-Fluss (WSUS als Schutzschild)

• WSUS → Alle Server: Sicherheitsupdates fuer Domain Controller, Fileserver, Webserver, RDS Hosts
• WSUS → Alle Clients: Windows Updates, Office Updates, Treiberupdates
• Gestaffelte Verteilung: Pilot → Server → Clients (4-Phasen-Prozess)

Speicherfluss (iSCSI als Grundlage)

• iSCSI → Fileserver: Zentraler Speicher fuer Dateifreigaben
• iSCSI → RDS Hosts: User Profile Disks auf iSCSI-Speicher
• iSCSI → Hyper-V: VM-Speicher fuer VDI-Desktops

8.2 Defense in Depth — Mehrschichtige Sicherheit

8.3 Alle PowerShell-Befehle — Zusammenfassung

# AD CS installieren
Install-WindowsFeature AD-Certificate -IncludeManagementTools
Install-WindowsFeature ADCS-Web-Enrollment

# Zertifikate verwalten
Get-ChildItem Cert:\LocalMachine\My
Export-Certificate -Cert Cert:\LocalMachine\My\[Thumbprint] -FilePath C:\cert.cer
Revoke-Certificate -SerialNumber "1A2B3C4D" -Reason "KeyCompromise"
certutil -CRL    # Neue CRL veroeffentlichen
certutil -URL "C:\cert.cer"    # AIA/CDP pruefen

# RAS + NPS installieren
Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Install-WindowsFeature NPAS -IncludeManagementTools

# VPN-Client
Add-VpnConnection -Name "Firma-VPN" -ServerAddress "vpn.firma.de" -TunnelType IKEv2

# NPS Backup/Restore
netsh nps export filename="C:\nps-backup.xml" exportPSK=YES
netsh nps import filename="C:\nps-backup.xml"

# EFS
cipher /e /s:C:\Vertraulich
cipher /r:"DRA-Admin"

# BitLocker
manage-bde -on C: -RecoveryPassword
manage-bde -status C:
Enable-BitLocker -MountPoint "C:" -RecoveryPasswordProtector
Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId $id

# IIS installieren
Install-WindowsFeature Web-Server -IncludeManagementTools
Install-WindowsFeature Web-Windows-Auth

# Website verwalten
New-IISSite -Name "Intranet" -PhysicalPath "C:\inetpub\intranet" -BindingInformation "*:80:intranet.firma.de"
Get-IISSite

# WSUS installieren
Install-WindowsFeature UpdateServices -IncludeManagementTools
wsusutil.exe postinstall CONTENT_DIR=C:\WSUS

# Client-Befehle
wuauclt.exe /detectnow
Invoke-WsusServerCleanup -CleanupObsoleteUpdates

# Storage Spaces
Get-PhysicalDisk -CanPool $true
New-StoragePool -FriendlyName "Pool01" -StorageSubsystemFriendlyName "Windows*" -PhysicalDisks $disks
New-VirtualDisk -StoragePoolFriendlyName "Pool01" -FriendlyName "vDisk01" -Size 100GB -ResiliencySettingName Mirror

# iSCSI Target
Install-WindowsFeature FS-iSCSITarget-Server
New-IscsiServerTarget -TargetName "Target01" -InitiatorIds "IQN:iqn..."
New-IscsiVirtualDisk -Path "C:\iSCSI\Disk01.vhdx" -Size 200GB

# RDS-Rollen
Install-WindowsFeature RDS-RD-Server -IncludeManagementTools
Install-WindowsFeature RDS-Gateway -IncludeManagementTools
Install-WindowsFeature RDS-Web-Access -IncludeManagementTools
Install-WindowsFeature RDS-Licensing -IncludeManagementTools

# Sitzungsverwaltung
query session /server:rdsh01
change user /install    # Vor App-Installation
change user /execute    # Danach

8.4 Abschluss-Quiz — Alle Szenen