Mehr Sicherheit und Leistung für Windows-Server 12 kleine Tipps mit großer Wirkung für Windows-Server

Windows-Server bieten in ihren Einstellungen verschiedene Optionen, die schnell gesetzt sind aber oft weitreichende Auswirkungen haben. Wir zeigen in diesem Beitrag 12 interessante Tipps, die eine Verbesserung der Serverleistung und -Sicherheit versprechen.

Um die Stabilität von Active Directory oder generell von Windows-Servern zu testen, haben wir bereits einige Beiträge veröffentlicht. Es gibt zahlreiche kleine Einstellungen und Befehle in der Befehlszeile, die in wenigen Sekunden wichtige Informationen übermitteln oder das Verhalten des Servers verbessern. Wir haben 12 interessante Abfragen und Einstellungen zusammengestellt:

Bildergalerie

Bildergalerie mit 7 Bildern

1. Abfrage des LDAP-SRV-Records von Active Directory

Mit dem Befehl

lassen sich die DNS-Server und SRV-Records von Active Directory abfragen. Der Befehl zeigt alle Domänencontroller der Domäne sowie den LDAP-Port, die notwendigen IP-Adressen und weitere wichtige Einträge an. Listet der Befehl Fehler auf, stimmt die LDAP-Anbindung in Active Directory nicht oder der Name kann nicht korrekt aufgelöst werden.

2. DNS-Anfragen blockieren (Windows Server 2016/2019)

Mit Windows Server 2016 wurde die Richtlinie „DnsServerQueryResolutionPolicy“ eingeführt. Die Richtlinie hilft dabei, DNS-Abfragen von bestimmten Subnetzen für definierte Server zu blockieren. Dadurch lässt sich die Sicherheit deutlich verbessern. Soll zum Beispiel die Auflösung des Servers „dc01.joos.int“ vom Subnetz 10.0.0.0/24 blockiert werden, wird der folgende Befehl in der PowerShell eingegeben:

Der Befehl lädt zunächst das Subnetz, das festlegt, welche Abfragen blockiert werden. Das Blockieren wird dann mit dem folgenden Befehl umgesetzt:

Die gesetzten Richtlinien werden mit „Get-DnsServerQueryResolutionPolicy“ angezeigt und lassen sich mit „Remove-DnsServerQueryResolutionPolicy“ wieder löschen.

3. SSH-Server in Windows Server 2019 aktivieren

Windows Server 2019 unterstützt den Betrieb eines eigenen SSH-Servers. Sinnvoll ist das beim Einsatz in Netzwerken, in denen auch auf Linux gesetzt wird. Die Installation wird über die PowerShell vorgenommen. Dazu wird zunächst der Name des Pakets überprüft:

Mit Pipe kann der Name auch gleich zur Installation genutzt werden:

Der dazugehörige Dienst wird mit dem folgenden Befehl gestartet:

4. SSH-Client in Windows Server 2019

Wer in der Befehlszeile oder PowerShell „ssh <Servername>“ eingibt, kann eine Verbindung zu einem SSH-Server aufbauen – auch zu Windows Server 2019, wenn SSH aktiviert wurde.

Bildergalerie

Bildergalerie mit 7 Bildern

5. Nested Virtualization aktivieren

Wer auf einem Gastserver in Hyper-V eine Virtualisierungslösung installieren will, zum Beispiel für Tests, muss die eingebettete Virtualisierung aktivieren. Dies erfolgt in der PowerShell mit dem Befehl:

Das Mac-Spoofing sollte dabei auch gleich aktiviert werden:

6. Remoteverwaltung aktivieren und testen

Um die Remoteverwaltung zu nutzen, kann diese auf einem Server mit der Befehlszeile eingerichtet werden:

7. Auf Core-Servern Treiber installieren

Um auf einem Core-Server einen Treiber zu installieren, wird das Tool pnputil und die Inf-Datei des Treibers benötigt:

Die Deinstallation erfolgt mit:

8. Media Player deinstallieren

Standardmäßig ist in Windows Server 2019 der Windows Media Player aktiv. Auf produktiven Servern wird dieser nicht benötigt. Um den Media Player zu deinstallieren, wird der folgende Befehl verwendet:

9. Remotedesktopzugriff für lokale Administratoren unterbinden

Der Zugriff auf die Remotedesktopdienste ist auch für lokale Administratoren erlaubt. Das ist natürlich vor allem in großen Umgebungen nicht unbedingt erwünscht. Der Zugriff kann über Richtlinien eingestellt werden. Die Einstellungen dazu sind in den lokalen Richtlinien (gpedit.msc) zu finden. Der Pfad dazu lautet:

Computerkonfiguration\Windows Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Zuweisen von Benutzerrechten

Wichtig sind die beiden Einstellungen:

• Anmelden über Remotedesktopdienste verweigern

• Lokal anmelden verweigern

Hier wird eingestellt, welche Benutzer sich nicht an den Remotedesktopdiensten anmelden dürfen.

10. RDP Informationen mit QWINSTA abfragen

In der Befehlszeile kann mit

abgefragt werden, ob auf einem Server RDP aktiv ist und ob Benutzer per RDP mit dem Server verbunden sind. Auch das Auslesen des Benutzernamens und der Ports für die Verbindung ist möglich.

11. PowerShell überwachen und protokollieren

Um die Aktionen, die in der PowerShell durchgeführt werden, zu überwachen und zu protokollieren, kann in den Gruppenrichtlinien definiert werden, dass alle Befehle und Aktionen in ein Protokoll geschrieben werden. Die Einstellungen dazu sind unter folgendem Pfad zu finden:

Computerkonfiguration / Administrative Vorlagen / Windows-Komponenten / Windows PowerShell

Die Einstellungen werden bei „PowerShell Aufzeichnung aktivieren“ konfiguriert. Hier wird auch der Pfad festgelegt, wo die Protokolle gespeichert werden sollen.

12. Remote Desktop per Registry aktivieren

Remote Desktop für Windows-Server kann in der Einstellungs-App von Windows-Servern aber auch über „sysdm.cpl“ aktiviert werden. Alternativ kann der Remote Desktop auch in der Registry aktiviert werden. Die Einstellungen dazu sind bei folgendem Schlüssel zu finden:

HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server

Der wichtigste Eintrag ist „fDenyTSConnection” Durch den Wert „0“ wird der Remote Desktop aktiviert. Der Wert „1“ deaktiviert den Remote Desktop.

(ID:46376856)