Hallo,
ich bei einem Kunden auf ein Problem gestoßen, was erst harmlos aussah, sich jetzt aber ausweitet und von mir nicht lösbar ist.
Was hat sich zugetragen:
Der Server Windows SBS 2011 (2008 R2 Kern), hat eine feste IP direkt in der LAN Karte eingestellt. Es gibt auch nur eine aktive LAN Karte, die zweite deaktiviert. Der Server läuft stabil und zeigt eigentlich keine Auffälligkeiten. Nur der Neustart (nach
Updates) dauert länger als gewohnt (ca. 8-10 min vom Boot bis zur Anmeldung). Daher wurden wir beauftragt nach dem Rechten zu sehen.
Als erste fiel auf, dass zur LAN Karte mit der fest eingetragenen IP Adresse eine privat 169.254.x.x. eingetragen war.
![]()
Dort war explizit eine Private Adresse hinzugetragen und die Metric fürs Gateway von Automatisch auf 5 gestellt (als wöllte man Datenverkehr via kürzerer Metric zu abzweigen).
Sowas macht der SBS nicht von selbst.
Alle Serveradmins wurden befragt, keiner hat diesen Eintrag vorgenommen.
Daher dachte ich, die Einträge entfernt und alles gut. Das hilft aber nicht! Nach einem Serverneustart bleiben die Einträge in der LAN Karte zwar weg, eine private IP (immer
wechselnd) wird trotzdem mit dazu erzeugt. Wer diese erzeugt kann ich bis jetzt nicht sagen.
![]()
Selbst ein komplettes Entfernen der LAN Karten und neu hinzufügen bringt den gleichen Effekt.
Es sieht so aus, als ob ein Prozess immer zur LAN Karte eine Private Adresse dazu generiert.
Mit dem cport Tool habe ich versucht den Urheber bzw. Verwender der IP zu ermitteln. Genutzt wurde die private IP von RADIUS
-> 3. Bild siehe 1. Antwort von mir.
Als nächsten Verdächtigen hatte ich den NPS (Netzwerkrichtlinendienst) in Verdacht, der stellt auch RADIUS zur Verfügung. Doch der wird scheinbar auch nur irritiert und nimmt
sich die private IP vorranging. Deaktiviert man den NPS bleibt der Effekt nämlich erhalten. Das führt soweit, dass nach Beendigung aller Dienste und Prozesse, die diese private IP "nutzen", zwar kein Prozess mehr die privat IP verwendet, auf
der LAN Karte diese aber immer noch verbunden ist. (Bei den Karteneinstellungen steht aber auch nichts mehr drinnen).
All das wäre nicht schlimm, wenn nicht der DNS Auflöser am Server den SBS01-SRV Namen nicht unter 10.110.43.1 auflöst, sondern vorrangig als private IP – das ist kritisch.
Ich hätte schon eine Schadsoftware in Verdacht. Konnte aber nichts finden.
Mein Verdacht liegt auch bei einem falsch konfigurierten Dienst/Prozess/Programm.
Doch wer könnte dies sein?
Hat jemand schon so einen Effekt gehabt? Wo könnte ich nach dem Urheber suchen?
Danke für jedwede Hilfe!
Danke und liebe Grüße Oliver Richter