Arbeitsordner (Workfolders) unter Windows Server 2012 R2 auf einem anderen SSL Port als 443 benutzen

Vorwort

Diese Anleitung zeigt wie man die Arbeitsordner-Rolle auf einem Windows Server 2012 R2 auf einen anderen SSL-Port verschiebt, so dass z.B. weiterhin Dienste im IIS die den Port 443 und 80 benötigen, parallel weiterlaufen können. Standardmäßig ist es nämlich so, dass bei installierter Arbeitsordner-Rolle, welche im Hintergrund auf Port 443 und 80 lauscht, die IIS-Website nicht mehr gestartet werden kann wenn sie Bindungen auf Port 443 oder 80 hat.

In dieser Anleitung ändern wir den Port als Beispiel von 443 auf 9443 ab.

Ich gehe in dieser Anleitung davon aus, dass die Arbeitsordner-Rolle bereits installiert, grundlegend eingerichtet, und soweit funktionsfähig ist.

1. Ändern des SSL-Ports in der SyncShareSvc-Config

Damit der Dienst der Arbeitsordner-Rolle (SyncShareSvc) weiß auf welchem Port er von nun an lauschen soll, müssen wir die Web-Config des Dienstes anpassen. Diese findet sich an folgendem Ort
WICHTIG: Damit wir die Datei bearbeiten können, muss man diese zu erst in Besitz nehmen und sich Schreibrechte in den ACLs verpassen, da sie dem TrustedInstaller gehört und selbst Administratoren keine Schreibrechte darauf haben.

Ist das erledigt ändert man folgenden Abschnitt in der Datei:
so ab: (In diesem Beispiel ändern wir den SSL-Port auf Port 9443, passt hier also euren gewünschten Port an)
den HTTP-Port habe ich hier auskommentiert da man seine Arbeitsordner sowieso besser nur SSL verschlüsselt anbieten sollte. Alles andere wäre grob fahrlässig, außer man nutzt ein VPN, aber dann bräuchte man ja keine Arbeitsordner .

Nun speichert Ihr die Datei.

2. Dem Service-Account "NT-AUTORITÄT\Lokaler Dienst" das Recht erteilen den neuen Port zu verwenden

Da der SyncShareSvc-Dienst unter dem Account "Local Service" läuft hat dieser Standardmäßig kein Recht auf dem neuen Port zu lauschen. Deswegen müssen wir dem Account den neuen Port explizit per netsh erlauben.

Dazu führen wir folgende Zeile in einer CMD aus:
ACHTUNG: Sollte das System auf Englisch eingestellt sein verwendet man hier stattdessen die Account-Bezeichnung "NT AUTHORITY\LOCAL SERVICE"

3. Binden des SSL-Zertifikats an den neuen Port

Als nächstes müssen wir ein SSL-Zertifikat das die zu verwendende Workfolder-Domain als CommonName oder SAN enthält an diesen neuen Port binden. Dazu führen wir ebenfalls per netsh folgenden Befehl aus (Den Hash des Zertifikates an euer verwendetes Zertfikat anpassen):
Den Hash eures Zertifikats könnt Ihr mit einem einfachen Powershell-Befehl ermitteln:
Das listet euch die Zertifikate und die Hashes (Thumprint) auf, die im Machine-Store liegen.

Wichtig ist das ihr das Binden des Zertifikats per netsh vor nehmt und nicht in der IIS-Konsole, da sich ansonsten später beim Starten der Website der IIS beschweren würde das der neue Port schon belegt ist.

4. In der Firewall den neuen Port öffnen

Nicht zu vergessen, den Port in der Firewall zu öffnen (TCP 9443).
Per GUI
Per Powershell

5. Den "SyncShareSvc" Dienst neu starten

Damit die Änderungen übernommen werden muss der Dienst SyncShareSvc neu gestartet werden
Als Beispiel per Powershell:

6. Optional: Via GPO die neue URL mit Portangabe den Clients bekannt machen

Da wir ja jetzt den SSL-Port vom Standard-Port 443 auf einen abweichenden Port abgeändert haben müssen wir das den Domain gejointen PCs mitteilen. Das machen wir in folgender Richtlinie:
Dort hinterlegen wir die neue URL mit der neuen Portangabe: https://workfolders.domain.de:9443

7. Hinweise zur Clienteinrichtung

Da die Arbeitsordner nun nicht mehr auf dem Standard-SSL-Port laufen, ist es auf NON-DOMAIN PCs nicht mehr möglich die Einrichtung über die E-Mail-Adresse und die Autoermittlung zu benutzen. Wir müssen bei der Einrichtung im Dialog stattdessen die neue Arbeitsordner-URL mit Portangabe angeben:




Wurde die Anleitung wie oben befolgt sollte es jetzt wieder möglich sein, die Standard-Website zu starten da die Ports 443/80 nun nicht mehr belegt sind.

Hoffe die Anleitung nutzt dem ein oder anderen bei der Konsolidierung der Arbeitsordner-Rolle auf einen bereits vorhandenen Server der weiterhin seine IIS-Site auf den Standard-Ports bereit stellen soll.

Ich freue mich über jegliches Feedback

Gruß @colinardo

Falls der Beitrag gefällt, seid so nett und unterstützt mich durch eine kleine Spende / If you like my contribution please support me and donate