Win7で2012年12月から802.1xが繋がらない

無線LANに802.1xで繋いでいるんだけれど、Windows 7から急に繋がらなくなった。
思い当たるのはWindows Update。
でも、なかなか情報がなくて放ったらかし状態にしていたが、少し仕事が落ち着いたのでやっと調べてみることに。

ズバリこれでした。
http://serverfault.com/questions/391959/nps-eap-authentication-failing-after-windows-update

In December 2012, this issue occurred for many people when Microsoft messed up update KB931125 on December 11th 2012 by accidentally applying the root cert update to clients and servers, when it should've only been applied on clients. This added hundreds of 3rd-party root certificates to the trusted root certs list on servers, causing problems like you showed.
Took me long enough to find it, but MS has an article and fix available at KB2801679 "SSL/TLS communication problems after you install KB 931125".The faulty update has since been expired on Windows Update and WSUS, but if you've already applied it, you can clean up the root cert list by running the Fix-it provided in the article on all affected servers. 

どうやらMicrosoftがルート認証局の更新を間違って、サーバにも当ててしまったらしい。
で、大量のルート認証局の情報を送ってしまい、認証時のメッセージのサイズが肥大化し、適切なサイズにおさまらなくなって、認証失敗、と。

サーバでリンクのFix itを動かせばすぐに直りました。

解決してよかったけど…、FixもUpdateで送ってくれ、放置しないでくれ、と思ったり。

ネットワーク ポリシー サーバのイベントログが記録されない

802.1xでうまく繋げないPCがあり、なんでだろう？と調べようとしたところ、ネットワーク ポリシー サーバ(Network Policy Server, NPS)のイベントログが記録されていないことに気が付いた。

デフォルトで勝手に記録されるはずなんだけど…。

強制的に書く方法もあったので、手順通りにやってみた。
http://support.microsoft.com/kb/951005/ja

機械翻訳とはいえ、ひどい日本語だな…。
なんとなくわかるけど、コマンドを勝手に訳すのはやめてくれ。
これじゃ通らない…。
"ネットワーク ポリシー サーバ"とかやってみたが、エラーになる…。
スペースが全角かとか英語にしてみるとかやってみたけど、問題は"サーバ"じゃなくて、"サーバー"なのね。

正しくはこちら

auditpol /set /subcategory:"ネットワーク ポリシー サーバー" /success:enable /failure:enable

実は地道に

auditpol /list /category /v

でGUID出して、

auditpol /list /subcategory:{...上で取ったGUID...}

と、頑張って正しい名前を見つけたんだけど…。

しかし、こういうサービス名は訳して欲しくないなぁ…。
個人的には日本語にするんでも、表示名だけとかにして欲しいけど、「全部日本語で！」という人もいるんだろう。
Microsoftも悩ましいところかな。

WSUSでクライアントPCの状態が「まだ報告されていません」のままになってしまう

今までWindows Server 2003で運用していたが、ついにWindows Server 2008 R2にした。
ほぼ順調だったが、WSUSで躓いた…。

WSUSのコンソールからクライアントPCは見えるのだが、いつまで経っても「まだ報告されていません」のまま。
40台あるうちの1台だけ何故か3%ほど報告しているのもよく分からないが完全に状態を報告したPCはない状態…。
ドメインコントローラは複数台あったので、GPOも今までのままでWSUSサーバの設定も原則的には変えていないはず。
何が悪いんだ…？！

wuauclt.exe /detectnow
wuauclt.exe /reportnow

やらはやってみたけど、状況は変わらない。

C:\Windows\WindowsUpdate.logを見ると

WARNING: WinHttp: SendRequestToServerForFileInformation failed with 0x801901f7
WARNING: WinHttp: ShouldFileBeDownloaded failed with 0x801901f7
WARNING: DownloadFileInternal failed for http://swptyo1ad1/selfupdate/wuident.cab: error 0x801901f7

とか

FATAL: IsUpdateRequired failed with error 0x80244022
WARNING: SelfUpdate: Default Service: IsUpdateRequired failed: 0x80244022
WARNING: SelfUpdate: Default Service: IsUpdateRequired failed, error = 0x80244022
WARNING: Skipping scan, self-update check returned 0x80244022
WARNING: Exit code = 0x80244022

とかある。調べたところ、503 Server Unavailableの状態ということので、多分WEBサーバの設定がおかしいんだろう…。
ちなみに、プロキシは使っていない。

IIS、正直あんまり触ったことない…。

とりあえずもっと情報が欲しいので、クライアントPCにclientdiag.exeをインストール
ダウンロードはこちらから
http://download.microsoft.com/download/9/7/6/976d1084-d2fd-45a1-8c27-a467c768d8ef/WSUS%20Client%20Diagnostic%20Tool.EXE

C:\TEMP>clientdiag
WSUS Client Diagnostics Tool
Checking Machine State
        Checking for admin rights to run tool . . . . . . . . . PASS
        Automatic Updates Service is running. . . . . . . . . . PASS
        Background Intelligent Transfer Service is running. . . PASS
        Wuaueng.dll version 7.4.7600.226. . . . . . . . . . . . PASS
                This version is WSUS 2.0
Checking AU Settings
        AU Option is 4: Scheduled Install . . . . . . . . . . . PASS
                Option is from Policy settings
Checking Proxy Configuration
        Checking for winhttp local machine Proxy settings . . . PASS
                Winhttp local machine access type
                       
                Winhttp local machine Proxy. . . . . . . . . .  NONE
                Winhttp local machine ProxyBypass. . . . . . .  NONE
        Checking User IE Proxy settings . . . . . . . . . . . . PASS
                User IE Proxy. . . . . . . . . . . . . . . . .  NONE
                User IE ProxyByPass. . . . . . . . . . . . . .  NONE
                User IE AutoConfig URL Proxy . . . . . . . . .  NONE
                User IE AutoDetect
                AutoDetect in use
Checking Connection to WSUS/SUS Server
                WUServer = http://<サーバ名>
                WUStatusServer = http://<サーバ名>
        UseWuServer is enabled. . . . . . . . . . . . . . . . . PASS
        Connection to server. . . . . . . . . . . . . . . . . . PASS
WinHttpDownloadFileToMemory(szURLDest, NULL, 0, NULL, NULL, NULL, &downloadBuffer) failed with hr=0x801901f7
No Error description could be found
Press Enter to Complete

あんまりよく分からないが、繋がってはいるもののそこから先がダメ。503 Server Unavailableって所で引っかかってるらしい…。

よく分からないので、一旦WSUSとIISの役割を削除して、再度追加。
それで直ればいいなぁ、と期待したものの、直らない…

そもそもIISがちゃんと構成されていないのでは？と思ったので、WSUSとIISを削除して、今度はIISのみ追加。

むむ、デフォルトウェブサイトにつないでもやっぱり503 Server Unavailable…。
やはりIISがおかしい。

IISが503を返す理由を調べているうちに、どうもサービスを起動する権限がおかしい可能性があることが分かった。

1. 管理ツールから「インターネット インフォメーション サービス(IIS)マネージャ」を起動
2. 中央部の接続ペインから実行サーバ名をクリックし、アプリケーションプールを選択
3. 右ペインの「DefaultAppPool」を右クリックして、「詳細設定」を選択
4. プロセスモデルのIDを「NetworkService」にする（本来はこれがデフォルトだが、このサーバではApplicationPoolIdentityとなっていた）
5. OKで終了し、再度DefaultAppPoolを右クリックして、「再起動」させる

これでIISは正常になった。

もう一度、WSUSを追加したところ、正常に動作。

やっと終わった～！

印刷ジョブが消えない

Windows Server 2003 と2008 R2がプリントサーバになっているが、印刷ジョブが止まってしまうことがある。
まぁ、サーバに限らずクライアントPCでもよくあることではあるけれど…。

印刷ジョブが泊まってしまったら、削除するのに「キャンセル」を押す。
それでも、消えないまま固まってしまうことがある…。
プリンタの電源を切ってもジョブは残りっぱなしだし。
Linuxならコマンドでなんとかなるんだが…。

どうしたもんかと思い調べてみたら、こちらと同じ対処で出来た。
http://naosan.way-nifty.com/it/2009/05/post-88fa.html

Print Spoolサービスを止めて、C:\Windows\system32\spool\printersの*.SHDを削除、でPrint Spoolをまた開始、という流れ。
サーバなので、この間全部の印刷が出来なくなるけど、まぁ、仕方ない。
また、もしかしたら*.SHDだとその時スプールされているジョブが全部消えるかもしれない。
その辺は検証してくしかないかな…。

誰か、いい方法知ってたら教えてください！

Windows Server 2008R2 SP1の日本語版を英語表示に

海外チームのサポートを得るためと、エラー情報を英語で探すために、Windows Server 2008 R2 SP1の日本語版を英語表示にしたい。
MicrosoftからMultilingual User Interface Language Packが出ているので、それをインストールするだけ。
と思いきや、取得した.exeを実行してlpファイルが出来上がるものの、数秒で消えてしまう…。

何故だ？！

と思って、イベントログを見てみると

イベントID: 1014
en-US 向け言語パックはこのシステムに適していません。お使いのシステムのアーキテクチャおよびエディションを対象とする適切な言語パックをダウンロードしてください。

とか言ってくれちゃう…。

もしかして、ia64版をダウンロードしたのか？と思って確認したが、やはりx64版。

調べてみたら、サーバのOSがSP1だった。
あ、SP1だと入らないものなのね…。

あとはこちらを参考に作業したら、正常に入った！

ダウンロードするファイルは、Windows Server 2008 R2の人はこちら。
SP1の人はこちら。