7
Anmeldung über Remotedesktop-Gateway schlägt fehl
Guten Morgen zusammen,
ich habe bei einem Remotedesktop-Gateway das Problem dass ich mich übers Internet nicht anmelden kann. Der Server steht in der DMZ und der Port 443 wird von der öffentlichen IP auf den Server geleitet. Das Webinterface ist auch erreichbar. Möchte ich mich nun jedoch auf dem Server anmelden, werden immer wieder die Zugangsdaten abgefragt. Ein Fehler wird für den Benutzer nicht ausgegeben. Im Eventlog erscheint folgender Eintrag:
Ein Konto wurde abgemeldet.
Antragsteller:
Sicherheits-ID: DOMÄNE\Benutzer
Kontoname: Benutzer
Kontodomäne: DOMÄNE
Anmelde-ID: 0xf9f3a
Anmeldetyp: 7
Dieses Ereignis wird generiert, wenn eine Anmeldesitzung zerstört wird. Es kann anhand des Wertes der Anmelde-ID positiv mit einem Anmeldeereignis korreliert werden. Anmelde-IDs sind nur zwischen Neustarts auf demselben Computer eindeutig.
Nun zum Aufbau:
Auf einem Windows 2008 R2 Standard sind die Rollen RemoteApp, Remotedesktopgateway, Remotedesktop-Sitzungshost, der IIS und NAP installiert. Das Zertifikat ist ein offiziell gültiges Zertifikat.
Dieser Server soll vorerst beide Aufgaben (Host und Gateway) übernehmen, später sollen weitere Terminalserver folgen. Die Konfiguration wurde anhand des Assistenten durchgeführt, ein Domänencontroller ist im selben Netz vorhanden und der NAP ist in der Domäne registriert und der Terminalserver ist in der Gruppe "RAS- und IAS-Server" in der AD. An den Richtlinien im RD-Gateway kann es nicht liegen, diese habe ich bereits mehrfach geprüft.
Wenn ich nun auf einem Client über das Internet eine Verbindung aufbauen möchte tritt das oben erwähnte Phänomen auf. Die Verbindung initiiere ich, indem ich des RDP-Client öffne, dort den internen Servernamen eingebe und unter dem Reiter "Leistung" -> Einstellungen das öffentlich erreichbare Remotedesktop-Gateway eintrage.
Ich hoffe, ihr habt eine Idee!
Grüße lgraap
ich habe bei einem Remotedesktop-Gateway das Problem dass ich mich übers Internet nicht anmelden kann. Der Server steht in der DMZ und der Port 443 wird von der öffentlichen IP auf den Server geleitet. Das Webinterface ist auch erreichbar. Möchte ich mich nun jedoch auf dem Server anmelden, werden immer wieder die Zugangsdaten abgefragt. Ein Fehler wird für den Benutzer nicht ausgegeben. Im Eventlog erscheint folgender Eintrag:
Ein Konto wurde abgemeldet.
Antragsteller:
Sicherheits-ID: DOMÄNE\Benutzer
Kontoname: Benutzer
Kontodomäne: DOMÄNE
Anmelde-ID: 0xf9f3a
Anmeldetyp: 7
Dieses Ereignis wird generiert, wenn eine Anmeldesitzung zerstört wird. Es kann anhand des Wertes der Anmelde-ID positiv mit einem Anmeldeereignis korreliert werden. Anmelde-IDs sind nur zwischen Neustarts auf demselben Computer eindeutig.
Nun zum Aufbau:
Auf einem Windows 2008 R2 Standard sind die Rollen RemoteApp, Remotedesktopgateway, Remotedesktop-Sitzungshost, der IIS und NAP installiert. Das Zertifikat ist ein offiziell gültiges Zertifikat.
Dieser Server soll vorerst beide Aufgaben (Host und Gateway) übernehmen, später sollen weitere Terminalserver folgen. Die Konfiguration wurde anhand des Assistenten durchgeführt, ein Domänencontroller ist im selben Netz vorhanden und der NAP ist in der Domäne registriert und der Terminalserver ist in der Gruppe "RAS- und IAS-Server" in der AD. An den Richtlinien im RD-Gateway kann es nicht liegen, diese habe ich bereits mehrfach geprüft.
Wenn ich nun auf einem Client über das Internet eine Verbindung aufbauen möchte tritt das oben erwähnte Phänomen auf. Die Verbindung initiiere ich, indem ich des RDP-Client öffne, dort den internen Servernamen eingebe und unter dem Reiter "Leistung" -> Einstellungen das öffentlich erreichbare Remotedesktop-Gateway eintrage.
Ich hoffe, ihr habt eine Idee!
Grüße lgraap
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 177662
Url: https://administrator.de/contentid/177662
Printed on: April 25, 2024 at 20:04 o'clock
7 Comments
Latest comment
Hi Igraap,
ich habe sowas gerade erst bei uns eingerichtet mit folgenden Ergebnissen:
- wenn das Client-Betriebsystem eine Home-Edition ist darf man keinesfalls "Anmeldedaten speichern" verwenden
- bei XP und Vista mussten wir die Root-Zertifikate unserer CA manuell installieren, ansonsten kam eine Fehlermeldung
Geht das Anmelden intern ohne Gateway?
lg, Chris
ich habe sowas gerade erst bei uns eingerichtet mit folgenden Ergebnissen:
- wenn das Client-Betriebsystem eine Home-Edition ist darf man keinesfalls "Anmeldedaten speichern" verwenden
- bei XP und Vista mussten wir die Root-Zertifikate unserer CA manuell installieren, ansonsten kam eine Fehlermeldung
Geht das Anmelden intern ohne Gateway?
lg, Chris
Hallo Chris,
vielen Dank für deine Tipps.
Bei den eingesetzten Betriebssystemen handelt es sich um Win XP Pro und Win 7 Pro.
Das Zertifikat ist ein durch Comodo signiertes, die RootCA ist also "leider" auch schon auf den Clients installiert.
Die Anmeldung ohne Gateway funktioniert.
Hast du vielleicht noch einen Tipp? Manchmal sieht man ja den Wald vor lauter Bäumen nicht mehr.
Grüße lgraap
vielen Dank für deine Tipps.
Bei den eingesetzten Betriebssystemen handelt es sich um Win XP Pro und Win 7 Pro.
Das Zertifikat ist ein durch Comodo signiertes, die RootCA ist also "leider" auch schon auf den Clients installiert.
Die Anmeldung ohne Gateway funktioniert.
Hast du vielleicht noch einen Tipp? Manchmal sieht man ja den Wald vor lauter Bäumen nicht mehr.
Grüße lgraap
nun zumindest Windows 7 sollte eigentlich problemlos klappen.
Für Win XP braucht man noch:
- RDP Client 7.0 (http://www.microsoft.com/downloads/de-de/details.aspx?FamilyID=72158b4e ..)
- CredSSP (http://support.microsoft.com/kb/951608)
Vlt. auch noch ausprobieren:
- default.rdp im User-Documents-Ordner löschen
- gespeicherte Kennwörter für diese Verbindung löschen (Win7: Anmeldeinformationsverwaltung, bei XP unter Benutzerkonten)
- "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client" mal löschen
ansonsten bin ich auch überfragt; viel Glück!
Für Win XP braucht man noch:
- RDP Client 7.0 (http://www.microsoft.com/downloads/de-de/details.aspx?FamilyID=72158b4e ..)
- CredSSP (http://support.microsoft.com/kb/951608)
Vlt. auch noch ausprobieren:
- default.rdp im User-Documents-Ordner löschen
- gespeicherte Kennwörter für diese Verbindung löschen (Win7: Anmeldeinformationsverwaltung, bei XP unter Benutzerkonten)
- "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client" mal löschen
ansonsten bin ich auch überfragt; viel Glück!
Danke nochmal für deine Hilfe. Leider hat auch das alles nichts geholfen. Zwischenzeitlich habe ich auch mal an einem zweiten Server das Setup nochmalnachgebaut, gleiches Ergebnis. Theoretisch kann es dann nur noch an der Firewall oder am Zertifikat liegen, wobei man meiner Meinung nach an beden Stellen nicht viel falsch machen kann. Das Zertifikat ist direkt auf die URL ausgestellt und auf der Firewall wird der Port 80 und 443 an den Server weitergegeben.
Wie sieht es denn mit dem Zertifikat in der RDP-Verbindung aus? Muss dieses das gleiche sein, muss dieses gleich wie der Hostname sein und/oder muss diese ebenfalls gültig sein?
Wie sieht es denn mit dem Zertifikat in der RDP-Verbindung aus? Muss dieses das gleiche sein, muss dieses gleich wie der Hostname sein und/oder muss diese ebenfalls gültig sein?
auf der Firewall muss nur Port 443 weitergeleitet werden, Port 80 wird nicht benötigt.
Ich habe unser Zertifikat von Thawte ausgestellt auf xxx.firma.de sowohl für den Gateway als auch für den RD-Host verwendet. Damit das klappt muss allerdings der Host unter der internen AD-Domäne firma.de mit dem Computernamen xxx laufen, ansonsten gibt es eine Zertifikatswarnmeldung.
Ich habe unser Zertifikat von Thawte ausgestellt auf xxx.firma.de sowohl für den Gateway als auch für den RD-Host verwendet. Damit das klappt muss allerdings der Host unter der internen AD-Domäne firma.de mit dem Computernamen xxx laufen, ansonsten gibt es eine Zertifikatswarnmeldung.
Mit der Warnung könnte ich vorerst leben, solange es funktioniert.
Dann werde ich mal weiter nach dem Fehler suchen, trotzdem danke für die Unterstützung.
Dann werde ich mal weiter nach dem Fehler suchen, trotzdem danke für die Unterstützung.
Ich habe die Lösung gefunden. Im IIS hatte ich eine Weiterleitung der Haupt-URL auf das Unterverzeichnis RDweb eingerichtet, dadurch wurde alles (auch die Anfragen an das Gateway) weitergeleitet.
Habe nun die Umleitung entfernt und eine index.htm mit einer Weiterleitung eingerichtet. Nun funktioniert es.
Habe nun die Umleitung entfernt und eine index.htm mit einer Weiterleitung eingerichtet. Nun funktioniert es.
