Zuletzt aktualisiert:
Jahrelang war es in Citrix-Umgebungen völlig normal:
Golden Image erstellen → mit MCS oder PVS hunderte VDAs provisionieren → fertig.
Dabei können Maschinen aus demselben Image die gleiche lokale Machine SID besitzen.
Normalerweise kein großes Problem.
Die Computer besitzen schließlich jeweils eigene Active-Directory-Computeraccounts mit eindeutigen Domain SIDs.
Durch verschärftes Windows Security Hardening wird diese alte Architekturannahme inzwischen allerdings interessant.
Was kann passieren?
Kommunizieren zwei geklonte VDAs miteinander, können bestimmte Machine-to-Machine-Verbindungen aufgrund der identischen lokalen Identität blockiert werden.
Das kann beispielsweise auffallen bei:
❌ RDP zwischen VDAs
❌ SMB / File Sharing
❌ Printer Sharing
❌ bestimmten NTLM-/Kerberos-Szenarien
Im Windows Event Log kann dabei unter anderem LsaSrv Event ID 6167 auftauchen.
Und genau hier wird das Thema spannend:
Die VDAs sind sauber domain-joined.
Die AD Computer Accounts sind eindeutig.
DNS stimmt.
Kerberos sieht auf den ersten Blick ebenfalls sauber aus.
Trotzdem wird die Verbindung blockiert.
Warum?
Microsoft verschärft zunehmend die Validierung von Maschinenidentitäten.
Eine Designentscheidung, die bei geklonten Windows-Systemen jahrelang unproblematisch war, kollidiert damit plötzlich mit modernerem Windows Security Hardening.
Und das betrifft nicht irgendeine exotische Citrix-Funktion.
Es betrifft eines der Grundprinzipien von:
MCS und PVS – viele Maschinen aus einem Golden Image erzeugen.
Citrix weist deshalb inzwischen selbst stärker auf die Sicherheit lokaler persistenter Konten in gemeinsam verwendeten MCS-/PVS-Images hin und empfiehlt ausdrücklich, solche Konten nicht bereits im Master Image anzulegen.
Was heißt das für die Praxis?
Wenn nach Windows Security Updates plötzlich Kommunikation zwischen zwei VDAs desselben Catalogs fehlschlägt:
Nicht sofort Firewall, DNS oder Citrix Policies zerlegen. 😉
Schaut auch ins:
System Event Log → LsaSrv
und insbesondere nach Event ID 6167.
Das ist für mich ein schönes Beispiel dafür, warum Golden-Image-Architekturen heute nicht nur gegen neue Citrix-Versionen getestet werden müssen.
