Unerklärliche Kommunikation über WAN microsoft-ds 445

[zeroC00L]

Hallo Community!

Ich wende mich heute mit einem beruflichen Problem an euch, welches sich folgendermaßen darstellt.

Informationen Client Infrastruktur:

• Windows Filer DFS (Server zentral)
• Firmen-Standorte über Österreich verteilt
• 2200 Clients (Laborgeräte, VMware View, Win 7, XP ...)
  • Rohdaten werden lokal gespeichert und per Script über Nacht reingeschrieben.
• BranchCache enabled (keine zusätzliche WAN Optimierung)
• Folder redirect (%homeshare%)
• Jede Menge GPOs
• Sophos Endpoint Protection
  • Außenstellen Updates über DIP
  • Shares von Scans ausgenommen
• Baramundi Management Center
  • Systemmanagement/Deployment
  • Distributed Installation Points (pro Außenstelle)
• WSUS
  • Laufen pro Außenstelle auf den DIPs mit und synchronisieren über Nacht

Zum Problem:
Wenn ein Client längere Zeit läuft und dabei der Windows-Explorer offen ist, beginnt dieser irgendwann zu kommunizieren.
Dabei steigt durch den Prozess explorer.exe die CPU-Last je nach Client auf 20-70% und die Netzauslastung steigt je nach Anzahl der geöffneten Windows-Explorer Fenstern auf bis zu 3 MBit konstanter Datenübertragung zum Fileserver an. Pro Tag wandern so mehrere GB an Daten "grundlos" über die Leitung.

In Vermutung dass diese Übertragung durch einen Dienst ausgelöst wird, haben wir einen Dienst nach dem anderen beendet, Virenschutz, Firewall, Protokolldienste, Windows Search, Defrag etc. … bis der Client fast unbrauchbar war.
Leider wurde durch keinen beendeten Dienst die Übertragung beendet.
Mittels „Process Hacker“ wurden alle Prozesse der explorer.exe geschlossen. Solange die Fenster offen waren lief die Datenübertragung weiter.

Mittels Wireshark Trace kann man gut beobachten, dass der Client ständig auf den Windows Filer zugreift über eben diesen unbekannten Hintergrundprozess.

Habt Ihr irgendwelche Ideen dazu?

Grüße, Audrey

 

[LZ_]

Da werdet ihr den Hexdump durchforsten müssen... mühsam ich weiss. SMB würde ich nur im LAN erlauben.

 

[gestern]

http://de.wikipedia.org/wiki/Server_Message_Block Server Message Block


mit netstat gucken wo was hin und her geschoben wird. > netstat -anob <

vielleicht liegt es nur an freigaben die nicht benötigt sind, aber da gesetzt, sich eventuell synchronisieren wollen, oder gucken ob es was zu synchronisieren gibt und wenn es nur für den search index service ist.

allerdings bin ich nicht sicher ob ich dich recht verstanden habe.

 

[Mornsgrans]

Das dürfte hieraus hinauslaufen:
https://blogs.technet.com/b/askperf/archive/2007/09/21/windows-explorer-and-smb-traffic.aspx

 

[zeroC00L]

Hallo Ihr Lieben und Danke für Eure Antworten!

Diese Explorer Policies haben ab Windows 7 keine Relevanz mehr, unter den 2200 Clients haben wir nur noch 193 XP-Rechner. Diese sind also nicht das Problem, hätte ich durchaus im ersten Post präziser formulieren können. Mittlerweile bin ich aber einen Schritt weiter.

Durch die BranchCache Aktivierung waren mehrere Policy Settings notwendig, unter anderem diese
Benutzerkonfiguration\Richtlinien\Administrative Vorlagen\System\Ordnerumleitung\Umgeleitete Ordner nicht automatisch offline verfügbar machen

Nach etlichen Stunden der Recherche bin ich auf folgendes Forum gestoßen --> Klick mich

Zwischenzeitlich habe ich auch schon den Hotfix (KB2525332) ausgerollt und konnte damit sogar noch ein weiteres Problem abwürgen, nämlich die langen Anmeldezeiten die ebenfalls unerklärlicherweise sporadisch auftraten. Dieser Fix hat sich auch schon bestätigt, ob die gruselige Kommunikation auf der WAN Leitung damit wirklich auch abgefackelt wurde, traue ich mich erst in etwa einer Woche bestätigen.

Ich werde das dann hier natürlich berichten!

Wir hatten ganzes letztes Jahr damit verbracht, unsere Samba Server gegen die Microsoft Filer zu tauschen. Rückblickend, naja, durchwachsen, wir hatten unsere Gründe

Ich hoffe die Gutmeldung folgt dann nächste Woche und ich muss nicht wieder zurück an den Start!

Grüße, Audrey