WIndows Server 2012 R2 - Ralentissement du serveur après l'installation des services Kerberos (Local Security Authority Process occupe plus de 50% du CPU)

En activant les services Kerberos, il peut arriver que la majeure partie du processeur est occupé par ces services et attenants jusqu'à saturation de celui-ci. :

Local Security Authority Process occupe plus de 50% du CPU

Voici la solution que nous avons trouvés :

Dans l'éditeur des clés de registre (REGEDIT)

\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters

Ajouter une nouvelle valeur DWORD 32 Bits :

MaxConcurrentApi 

La valeur doit être comprise entre 1 et 150 

Ajustez cette valeur en fonction de ce que vous remarquez au niveau de l'occupation du processeur.

Windows Server 2012 - Les utilisateurs n'arrivent plus à imprimer via les imprimantes installées sur le serveur d'impression

En regardant dans le journal d’événements :

 - Journaux des applications et des services
  - Microsoft
    - Windows
      - PrintService
        - Admin

Une entrée dans le journal concerne l'erreur suivante :

Source : PrintService
Evènement : 372
Description :

Échec de l’impression du document Imprimer le document appartenant à [User] sur l’imprimante [Nom de l'imprimante partagée sur le serveur d'impression].
Essayez de réimprimer le document ou redémarrez le spouleur d’impression. 
Type de données : RAW. Taille du fichier spouleur en octets : 197787. Nombre d’octets imprimés : 0. Nombre total de pages dans le document : 1. Nombre de pages imprimées : 0. Ordinateur client : [Nom du serveur d'impression].
Code d’erreur Win32 renvoyé par le processeur d’impression : 5. Accès refusé.

Solution :

Ajouter les droits en écriture des utilisateurs sur l'ensemble du répertoire C:\Windows\System32\spool
et des sous répertoires attenants.

SYNCHRONISER L'HEURE SUR LE RESEAU sur un serveur AD WINDOWS (2008 - 2012) -Serveurs NTP

La synchronisation des horloges de tous les postes et serveurs d'une infrastructure est très importante pour la fiabilité du réseau.
Les postes clients récupèrent les informations horaires à partir des contrôleurs de domaine qui eux même le récupèrent à partir du PDC maître.
Pour s'assurer que le PDC maître n'ait pas de décalage important avec "l'heure universelle du Pays" il faut que lui même se synchronise à partir de serveurs de temps externes (les fameux serveurs NTP), souvent reliés avec une horloge atomique, assurant la fiabilité de l'heure donnée.

Il faut bien penser tout d'abord à ouvrir en entrée comme en sortie le port udp 123 dans les paramètres du firewall

1. repérer le serveur maître en tapant la commande : netdom /query fsmo

2. connectez vous au serveur maître et tapez les commandes suivantes :
 net stop w32time (va vous permettre d’arrêter sur votre serveur maître le service de temps)


w32tm /config manualpeerlist:"ntp.univ-lyon1.fr ntp.cemef.mines-paristech.fr ntp.polytechnique.fr ntp.relier.fr" /syncfromflags:manual /reliable:yes
(inscrit sur le serveur maitre les serveurs NTP auxquels il doit se référer pour la synchronisation)

(autant se synchroniser avec des serveurs Français, et en premier chez les petits lyonnais :-) )

net start w32time

(redémarre le service de temps sur le serveur)

w32tm /query /configuration
(vous permet d'afficher et vérifier la configuration)

3. n'oubliez pas de vérifier le trop oublié journal d’événements : il vous dira si la synchronisation avec les serveurs NTP se passe bien.
Si ce n'est pas le cas c'est fréquemment un problème DNS qui bloque, vérifiez alors que vos serveurs DNS internes peuvent se référer à des serveurs DNS externes (généralement les serveurs DNS de votre fournisseur internet).

ceci a été testé sur des serveurs Windows 2008 et 2012 au titre de la synchronisation NTP

MIGRATION D'UN SERVEUR NPS 2008 R2 vers 2012

Après avoir bataillé pour refaire une configuration propre d'un serveur NPS sur 2012, concernant la sécurité des bornes wifi par un certificat utilisateur, uniquement les postes Windows 8 arrivaient à accéder au réseau via le wifi.
J'ai donc décidé d'exporter les paramètres de mon ancien serveur windows 2008 R2 sur lequel tout fonctionnait, puis de les importer à l'identique sur mon serveur Windows 2012.

Voici la procédure :

Sur le serveur Windows 2008 R2 :

1. Sur le serveur source, ouvrez le Gestionnaire de serveur.
2. Dans l’arborescence de la console du Gestionnaire de serveur, ouvrez Rôles\Services de stratégie et d’accès réseau\NPS.
3. Cliquez avec le bouton droit sur NPS, puis sur Exporter la configuration.
4. Dans la boîte de dialogue qui s’affiche, activez la case à cocher en regard de Je suis conscient que j’exporte tous les secrets partagés, puis cliquez sur OK.
5. 
   

En regard de Nom du fichier, tapez file.xml, accédez à l’emplacement du fichier du magasin de migration, puis cliquez sur Enregistrer.

Sur le serveur Windows 2012 :

Ouvrez une invite de commandes avec élévation de privilèges, tapez la commande suivante, puis appuyez sur Entrée :

netsh nps import filename="path\file.xml"

Remplacez path par le répertoire où se trouve le fichier file.xml. Vérifiez qu’un message apparaît et indique que le processus d’importation a réussi.

L'importation a bien réussie, la configuration est identique sur les deux serveurs.

J'ai ensuite paramétré une des bornes wifi pour demander l'authentification RADIUS via le nouveau Windows Server 2012.

Je retombe alors sur le même problème : seuls les postes Windows 8 peuvent bénéficier de l'accès Wifi.

(Raison :L’authentification a échoué en raison d’une non-correspondance des informations d’identification de l’utilisateur. Le nom d’utilisateur fourni ne correspond pas à un compte d’utilisateur existant ou le mot de passe est incorrect)

J'ai donc à nouveau configuré la borne wifi sur le Windows Server 2008 R2 pour l'authentification RADIUS... puisque lui n'avait pas de soucis

(Le serveur NPS a accordé l’accès total à un utilisateur car l’hôte répond aux critères définis par la stratégie d’intégrité.)

j'espère donc trouver le problème, qui n'est pas la configuration des paramètres du nouveau serveur...

MIGRATION DHCP D'un Windows Server 2008 vers 2012

Sur le serveur Windows Server 2012

Installer la fonctionnalité : Outils de migration de Windows Server

Lancer l'application : Outils de migration de Windows Server

Taper :

cd .\ServerMigrationTools

SmigDeploy.exe /package /architecture amd64 /os WS08R2 /path c:\Migration

Copier le répertoire \Migration sur le Windows Server 2008 R2

Sur le serveur Windows Server 2008

Lancer le SmigDeploy.exe qui se trouve dans le répertoire \Migration

Taper :

Stop-Service DHCP

Bien s'assurer que le service DHCP est stoppé

Export-SmigServerSetting -FeatureId DHCP -Path c:\EXPDHCP -verbose

Sur le serveur Windows Server 2012

Copier le répertoire C:\EXPHDCP depuis le serveur 2008 R2

Installer le rôle serveur DHCP si ce n'est pas déjà fait

Lancer l'outil de migration de Windows Server

taper :

Import-SmigServerSetting -FeatureID DHCP -path c:\EXPDHCP -force -verbose

Démarrer le service DHCP avec la console MMC

Vérifier ou modifier les options d'étendue, notamment les serveurs DNS

Lorsque les vérifications sont faites, dans la console MMC DHCP, sélectionnez le serveur, puis dans le menu 'Action' 'Autoriser'

Faites démarrer les services DHCP

Vérifier sur un poste que le DHCP fonctionne 

- ipconfig /release

- ipconfig /renew

- ipconfig /all (vérifier que les DNS correspondent aux modifications que vous avez effectué)

Supprimer via powershell les entrées de l'ancien serveur DHCP

netsh DHCP delete server [Nom_du_Serveur.nom_du_Domaine] [Adresse_IP_du_Serveur]