Terminalserver-Farm mit FSLogix - Anmeldeprobleme

[#1]

Hallo Zusammen,

wir setzen in unserer Kanzlei das Produkt FSLogix auf unseren Terminalservern (Server 2019) ein.

Unsere Farm erstreckt sich über insgesamt 8 WTS.

Nun haben wir ab und zu das folgende Problem:

Ein Benutzer meldet vom WTS ordentlich ab und zögert kaum um sich wieder anzumelden.

Bei er erneuten Anmeldung bekommt der Benutzer die folgende Fehlermeldung:

"Die Anmeldung des Dienstes Gruppenrichtlinienclient ist fehlgeschlagen. Zugriff verweigert"

Wenn der Benutzer dann ein wenig wartet, dann läuft die Anmeldung wieder ordentlich durch!

Das können dann aber auch mal gut 10 - 30 Minuten sein, bis das Profil wieder geladen werden kann.

Bisher konnte ich nur beobachten, dass die Benutzerprofildatenträger bei der Abmeldung ein wenig Zeit brauchen, um vom WTS getrennt zu werden. Das mag ja auch ok sein!

Somit erhalten die Benutzer nun die Anweisung ein wenig zu warten, wenn Sie sich erneut anmelden wollen.

Trotzdem wollte ich das Problem hier einmal teilen.

Denn ich hatte auch schon einmal den Fall, dass der Datenträger des Benutzers auf dem File-Server nicht mehr als geöffnet angezeigt wurde. Trotzdem war eine Anmeldung nicht mehr möglich.

Dann konnte ich nur noch hingehen und den betroffenen WTS zur Anmeldung sperren.

Trotz weiterer verfügbarer WTS meldete er kurz nach der Anmeldung, dass keine WTS zur Anmeldung verfügbar seien. Sprich der Session-Broker hat versucht den Benutzer auf den gleichen WTS zu schicken, auf dem er vorher angemeldet war. Zum gleichen Zeitpunkt konnten sich andere Benutzer aber regulär anmelden.

Das Problem lässt sich nur schwer beschreiben. 

Hat hier vielleicht jemand schon einmal ähnliche Probleme gehabt?

Gruß

[#2]

Laufen bei der Abmeldung evtl. Aufräumscripte?

Ordnerumleitung per XML eingerichtet?

Was sagt die Ereignisanzeige?

Outlook wäre auch noch ein Kandidat aus der Abteilung "übliche Verdächtige".

[#3]

Schade, dass DATEV dazu keinen "externen" Support leistet, weil im DATEVasp auch FSLogix zum Einsatz kommt 😉 aber die DATEVasp Jungs & Mädels meiner Meinung nach nur intern für DATEV arbeiten. Die müssten sich 1A damit auskennen. 

[#4]

Hallo Zusammen,

grundsätzlich haben wir keine Ausnahmen zur Umleitung gewisser Ordner definiert.

Sprich alles landet in den Benutzerprofil-Datenträgern.

Das Thema Outlook ist in den letzten zwei Wochen lustigerweise auch wieder hoch gekommen.

Von heute auf morgen konnten die Benutzer Ihr Outlook nicht mehr ordentlich schließen.

Das Fenster verschwindet und im Hintergrund ist Outlook als Prozess noch geöffnet.

Beim Abmelden bekommen die Benutzer dann den Hinweis, dass Outlook noch offen ist!

Dafür dürften wir eine Lösung in den Office GPOs gefunden haben:

"Configure fast shutdown behaviour - Enabled / MAPI provider does not support"

Das lustige ist, dass man mit dieser Option nur das normale Verhalten quittiert, als sei die Richtlinie nicht konfiguriert. Sobald die Richtlinie auf den Benutzer angewendet wird, lässt sich das Outlook normal schließen und ordentlich beenden. Scripts zum Aufräumen sind nicht aktiv.

Ich gehe aktuell nur davon aus, dass die Benutzer nur ungeduldig sind und sich beim Ab- und Anmelden nicht genug Zeit lassen.

Trotzdem eröffnen wir jetzt erst einmal ein Ticket bei Microsoft.

[#5]

Auf jeden Fall mit Ordnerumleitungen arbeiten. Es gibt auch Richtlinien dafür, was unter %AppData% alles beim abmelden zurückgeschrieben werden soll. Unbedingt an den Best Practices orientieren. Am besten einmal gucken wie groß die Benutzer VHD ist.

[#6]

---

@bjoern  schrieb:

grundsätzlich haben wir keine Ausnahmen zur Umleitung gewisser Ordner definiert.

Sprich alles landet in den Benutzerprofil-Datenträgern.

Das halte ich konzeptionell für suboptimal.

[#7]

Welche Ausnahmen sollen dass denn dann sein?

Anhand welcher "Best Practices" orientiert ihr euch?

[#8]

Hi,

welche FSLogix Version? Welcher Virenschutz? Sind die Ausnahmen für FSLogix im Virenschutz umgestezt?

Werden die lokalen FSLogix Gruppen auf den RDSHs per GPP bestückt?

Gruß

Jan

[#9]

---

@bjoern schrieb:

Trotzdem eröffnen wir jetzt erst einmal ein Ticket bei Microsoft.

---

Meine Erfahrung damals mit Druckerproblemen unter Server 2012 R2: Haben Sie die CD schon eingelegt? 😂 

Bin auf die Lösung gespannt. 

---

@MBehrens schrieb:

Das halte ich konzeptionell für suboptimal.

---

Warum? Weil die virtuelle Festplatte dann immer recht groß sein muss?  

---

@dombrowski schrieb:

Es gibt auch Richtlinien dafür, was unter %AppData% alles beim abmelden zurückgeschrieben werden soll.

---

Meine aktuelle Erfahrung: Wenn %AppData% ins Netz umgeleitet wird, macht Teams ganz schön zicken und lässt sich bei mir weder installieren noch starten. Bei einem Benutzer ohne Umleitung: alles easy. Ich finde daher alles ohne Umleitung nicht schlecht, wenn sich die User dran halten und sowieso alles im Netz ablegen und nicht auf dem Desktop 😬. 

[#10]

Guten Morgen,

tatsächlich halten sich die Größen der Benutzerprofildatenträger absolut in Grenzen.

Die Benutzer sind dazu angehalten sämtliche "Nutzdaten" in Netzlaufwerken abzulegen.

In der Regel tummeln sich auf den Desktops und im Download-Ordner ein paar Benutzerdaten. Sehr große Profile sehen wir jedoch nicht.

Auch mit Microsoft Teams haben wir aktuell überhaupt keine Probleme.

Es gab einmal ein Problem mit verlorenen Anmelde-Token. Dafür haben wir aber eine Lösung gefunden.

Drucker-Probleme haben wir auch nicht.

Gruß

[#11]

Um weitere Fragen zu beantworten . . .

Wir nutzten die Version 2.9.7979.62170 von FSLogix.

Der Virenschutz ist der VIWAS-Client im aktuellen Release.

[#12]

Der Virenschutz ist der VIWAS-Client im aktuellen Release.

Heißt also die Ausnahmen sind nicht (mehr) gesetzt (,da spätestens von Updates überschrieben)? Generell wird das Problem aber genau an dieser Stelle sitzen.

Der VIWAS läuft vermutlich auf den RDSHs und auch auf dem Share, wo die Profile-Disks liegen?

[#13]

Das ist korrekt!

[#14]

Bitte schmeiß den VIWAS von den Systemen. Wenn nicht direkt auf der Farm, dann zumindest auf den Systemen, wo die Shares liegen. 

Performance seit ViWas- Oktober- Update

Auch wir haben VIWAS sogar auf unserer Farm ausgeschaltet und plötzlich kann man mit DATEV halbwegs schnell arbeiten. 

Es gibt etliche andere Anti-Virenlösungen wie Sophos. Nur weil es DATEV ist, würde ich nicht unbedingt mehr auf VIWAS setzen. Zumal VIWAS gar nicht das leisten kann, was man z.B. mit Sophos abfeiern 🛡 kann. 

[#15]

Auf jeden Fall mit Ordnerumleitungen arbeiten. Es gibt auch Richtlinien dafür, was unter %AppData% alles beim abmelden zurückgeschrieben werden soll. Unbedingt an den Best Practices orientieren. Am besten einmal gucken wie groß die Benutzer VHD ist.

sorry, wenn ich inhaltlich korrigieren darf: das kann man für FSLogix so nicht stehlassen bzw. pauschalisieren. FSlogix speichert das Profil in einem VHD oder VHDX Container, welcher vereinfacht beschrieben, bei der Anmeldung von einem Fileserver an den TS / die Workstation angehängt und bei der Abmeldung abgehängt wird.

@bjoern 

Empfehlungen:

• AV Ausnahmen definieren

  • Exkludierte Dateien & Ordner

    %Program Files%\FSLogix\Apps\frxdrv.sys
    %Program Files%\FSLogix\Apps\frxdrvvt.sys
    %Program Files%\FSLogix\Apps\frxccd.sys
    %TEMP%\*.VHD
    %TEMP%\*.VHDX
    %Windir%\TEMP\*.VHD
    %Windir%\TEMP\*.VHDX
    \\server\share\*\*.VHD
    \\server\share\*\*.VHDX

  • Exkludierte Prozesse

    %Program Files%\FSLogix\Apps\frxsvc.exe
    %Program Files%\FSLogix\Apps\frxccd.exe
    %Program Files%\FSLogix\Apps\frxccds.exe

• Ausnahmen in einer redirection.xml Datei zu definieren. Das ist nicht für die Performance, aber um die Container nicht so stark anwachsen zu lassen
• Outlook/O365 Container vom normalen Profil zu separieren. Aber erst wenn es "normal" läuft 🙂 

gute Nachschlagewerke

• https://www.sul.de/2019/04/05/fslogix-in-a-citrix-provisioning-environment/
• https://www.nick-it.de/blog/windows/microsoft-fslogix 
• https://www.deyda.net/index.php/de/2019/11/05/fslogix-container-office-profile-in-citrix-umgebungen/ 

[#16]

Hallo AW,

vielen Dank für deine Auflistung.

Das sehe ich genau so. Ich finde es ehrlich gesagt auch eine unfassbar elegante Lösung, was FSLogix da macht!

Es ist aber auch einmal wieder traurig, dass Microsoft eine ähnliche Lösung nativ mitbringt und das Thema nicht bis zum Ende durchdacht hat. Wir hatten bei etlichen Kunden mit den Benutzerprofildatenträgern, die man unter den Session-Collection Einstellungen aktivieren kann, nur Probleme. Und ich rede hier nur von Kunden, die mit der DATEV nichts am Hut haben.

Dann kauft man sich doch einfach FSLogix dazu und bietet allen Clients mit RDP-CALs das Produkt zur "kostenfreien" Nutzung an! Top - Microsoft.

Wie schon gesagt: Die Container (vhdx) Dateien, sind in einem vollkommen normalen Bereich was die Größe angeht. Zudem arbeiten wir mit einer All-Flash Storage. IO-Probleme können wir komplett ausschließen! Speicherplatz haben wir genug zur Verfügung. Selbst wenn der ein oder andere Benutzer es mit seinen lokalen Dokumenten übertreibt, ist uns das relativ egal!

Aber ich finde es super, wie sich hier die Themen vermischen. Denn seit Ende Oktober beschwert sich die Kanzlei aber auch immer wieder über ein sehr träges Verhalten der WTS-Farm. Programme würden einfrieren oder teilweise mehrere Sekunden lang nicht reagieren. Im November und im Dezember war die Kanzlei nahezu voll besetzt. Da waren die Systeme maximal ausgelastet. Und da die Kanzlei jetzt auch noch MS Teams auf den WTS nutzt (Entgegen unserer Empfehlung), hat mich das nicht sonderlich gewundert. 

Wir planen auch noch eine Erweiterung unserer Farm. Aber manchmal ist mehr Hardware auch nicht immer die Lösung.

Ich habe jetzt erst einmal auf allen WTS und auf dem großen SQL-Server die GTI-Funktion vom McAfee deaktiviert. Dazu werde ich mir dann ein Feedback von einigen Key-Benutzern einholen. 

Momentan bin ich auch dazu bereit den VIWAS auf allen Systemen zu deinstallieren und entweder den Defender laufen zu lassen! Alternativ hätte ich noch die Möglichkeit den Sophos Endpoint Client zu nutzen.

Mit dem Sophos Client habe ich zumindest in einer "kleinen" Umgebung mit gerade einmal 5 Benutzern, überhaupt keine Probleme. Lediglich die SRs lassen sich mit dem aktiven Sophos Client nur träge installieren. Aber Problem habe ich mit diesem Tool noch nie gehabt. Und dort habe ich nicht eine einzige Ausnahme für den On-Access Scan eingetragen. 

Gruß

[#17]

---

@bjoern schrieb:

Zudem arbeiten wir mit einer All-Flash Storage. IO-Probleme können wir komplett ausschließen!

---

Nur weil Flash heißt das noch lange nicht, dass das schneller als HDD 15k sein muss 😉. Linus Tech Tips hat da Erfahrungen mit gemacht. Es kommt mal wieder auf das wie an.

---

@bjoern schrieb:

Denn seit Ende Oktober beschwert sich die Kanzlei aber auch immer wieder über ein sehr träges Verhalten der WTS-Farm.

---

Und ein anderer Kollege teilte mir mir, dass er ähnliche Erfahrungen gemacht hat. Er hat 2 Rechenzentren in DE gehostet: 1 für KMU / non-DATEV Kunden und 1 für DATEV Kunden. Bei dem für non-DATEV Kunden hört er nichts. Auch nicht, wenn er es neu konfiguriert/aktualisiert/whatever. Das gleiche im RZ für DATEV Kunden und Du hast die ersten am Telefon 😄. 

[#18]

Hi,

da gebe ich dir prinzipiell auch Recht . . . . ich wollte lediglich damit sagen, dass wir nicht mit irgendwelchen langsamen Spindeln arbeiten. Bei der DATEV spielt ja vor allem der Takt der CPU eine große Rolle. Wenn die single thread performance nicht vorhanden ist, dann bringen mir die SSDs auch nicht viel!