Probleme mit Verbindung zur Gatewayrolle und eigenartige Fehlermeldungen

[mabu]

Hallo.

Es gab im Rechenzentrum am letzten Wochenende Wartungsarbeiten im Bereich der Hosting-Server. Und dort laufen auch unsere beiden NSP-Server (GW- und Intranetrolle jeweils in eigener VM).

Vorhin zufällig festgestellt, dass auf der Intranetrolle kein einziger NSP-Dienst lief. Nach Reboot war das wieder okay. Mails ein-/ausgehend funktionierten anscheinend problemlos.

Nun folgende Probleme:

1. Intranetrolle meldet 1790 "Could not execute the action 'Replicate pending entries' on the Gateway Role located at WebRole:securemail.....de. Web service call failed. Error: Es konnte keine Vertrauensstellung für den sicheren SSL/TLS-Kanal mit Autorität securemail......de eingerichtet werden.. This seems to be a permanent error."
2. Intranetrolle meldet 9354 "Replication with securemail.....de is currently not possible, because a trusted connection cannot be established. ... The validation of the certificate issued to CN=securemail....de, ... valid from 25.10.2022 09:18:23 to 25.10.2023 09:18:23) failed. ... Die Sperrfunktion konnte die Sperrung nicht überprüfen, da der Sperrserver offline war."
3. Gatewayrolle meldet 3582 "Failed to lookup cryptographic keys using the provider 'EBCA'. The error returned by the provider was: Der Vorgang wurde abgebrochen, da das Clienttimeout überschritten wurde." (EBCA ist bei den öffentlichen Schlüsselservern mit eingetragen)

Nach Reboot des Servers mit GW-Rolle kam einmal von der Intranetrolle ein 1102 "Replication data from the Gateway Role on ....de were successfully collected." -> also klappt doch was? NCC sieht auf jeden Fall den Status der GW-Rolle und ich kann dort auch Neustart der Rolle ausführen.

Ich kann auf dem Server der GW-Rolle manuell die SwissSign-URL für die Revocation-Liste im Browser aufrufen. Somit ist mir nicht klar, warum die GW-Rolle selbst meint, es nicht zu können.

In "Large Files" ist der letzte Eintrag vom 16.06. um 12 Uhr. Habe aber selbst heute schon eine Mail mit einem zurückgehaltenen Anhang bekommen. Das ist vermutlich das Problem, dass die Replikation da aktuell nicht funktioniert.

Ich habe beim Rechenzentrum nun ein Ticket eröffnet, damit dort die eigentlich seit Jahren vorhandenen Firewall-Regeln für diese beiden Server noch einmal geprüft werden. Evtl. wurde da im Rahmen der Wartung irgendwas angepasst. Kann ich leider nicht selbst prüfen.

Was sind denn Eure Vermutungen bei den beschriebenen Meldungen? Übersehe ich da noch was?

Gruß
Martin

 

[mabu]

Ich habe da gerade mal ein TIcket bei Euch eröffnet. Laut RZ ist "alles okay und nichts hat sich geändert".

Situation seit Montag unverändert. Sehe nichts in LargeFiles seit dem Wochenende. Kann somimt auch nichts freigeben.

Mails werden zum Glück angenommen und auch verschickt. Da scheint es keine Einschränkungen zu geben.

 

[JanJäschke]

Hallo Martin,

Da ich noch nicht weiß ob hier heute schon etwas passiert ist:
Hast du schon mal versucht win Webportal neu einzubinden?

Gruß
Jan

 

[mabu]

Leider gab es heute noch keine Rückmeldung. Außer einer neuen Erkenntnis heute früh

Unser RZ hat die beiden NSP-Server in eine automatische Updateroutine für Windows-Updates gepackt (war mir nicht bekannt). Und der Server mit der Intranetrolle hat am Wochenende von 2023-04 auf 2023-06 upgedatet. Der Server mit der GW-Rolle hat dies noch nicht. (Habe ich auch mit im Ticket erwähnt.)

Ich traue mich aktuell nicht ran, da ich nicht noch mehr kaputt machen will. Hoffe, dass es am Freitag da eine Rückmeldung von Euch gibt.

Kann denn das aktuelle Windows-Update solche Auswirkungen haben? Kann ein Unterschied im Patchstand zwischen GW- und INtranetrolle so eine Auswirkung haben? Ich habe ja immer noch die Vermutung, dass da im Hintergrund noch mehr passiert ist (Firewall, Proxy, Gruppenrichtlinien auf den Server mit Intranetrolle - aber Anfragen werden mit "nix verändert" beantwortet).

Wundere mich nur, das wir intern bisher nur eine Anfrage hatten (externe Nutzung eines Antwortlinks und intern gibt es keine Info dazu). Sonst gibt es täglich schon ein paar gesperrte Anhänge.

 

[869288141]

Hallo Martin,

Ich kann auf dem Server der GW-Rolle manuell die SwissSign-URL für die Revocation-Liste im Browser aufrufen. Somit ist mir nicht klar, warum die GW-Rolle selbst meint, es nicht zu können.

Kannst du das auch auf dem Server, auf dem die Intranetrolle installiert ist? Weil in der Meldung ist explizit von der Intranet-Rolle die Rede.

Kann denn das aktuelle Windows-Update solche Auswirkungen haben?

Ich habe in meiner Umgebung alle ausstehenden Microsoft Updates angewendet und kann erst einmal keinerlei Fehlverhalten feststellen.

Ich habe ja immer noch die Vermutung, dass da im Hintergrund noch mehr passiert ist (Firewall, Proxy, Gruppenrichtlinien auf den Server mit Intranetrolle

Proxy ist evtl. das richtige Stichwort. Können die Server mit den verschiedenen Rollen direkt miteinander kommunizieren? Was steht denn so zum Zeitpunkt des Problems im Event Viewer des NCC drin? Wurde evtl. Schannel au den Servern überarbeitet?


Gruß,
Daniel

 

[mabu]

Konnte letzten Freitag mit Hilfe vom Support gelöst werden. (Habe nicht mehr an diesen Eintrag gedacht)

Auf dem Server mit der Intranetrolle war der Eintrag im Systemproxy (also "netsh winhttp show proxy") verschwunden. Stand auf "direkter Zugriff". Ruft man auf dem Server im Startmenü Proxy auf, ist eigenartigerweise der manuelle Proxy-Eintrag vorhanden.

Letztlich hat "netsh winhttp import proxy source=ie" geholfen. Dann Intranetrolle neu gestartet und es funktionierte wieder.

irgendwie hat das automatisch Windows-Udpate auf 2023-06 durch das RZ anscheinend für diese Änderung gesorgt. Es liefen an dem Montag danach ja auch keine NSP-Dienste mehr auf dem Server. Warum auch immer die gestoppt waren - es gab ja einen Reboot. Aber diese Automatik ist nun auch schon vom RZ wieder deaktiviert worden.