konfiguracja synchronizacji z Exchange online na android

po ugradzie do lollipopa [5.o.2] smartfon niemal umarł. nie obyło się bez przywrócenia do ustawień fabrycznych i instalacji od nowa. przy okazji okazało się, że jest nowa wersja wbudowanej wersji aplikacji do poczty elektronicznej. teraz jest „łatwiej” (;

  • jeśli po prostu doda się konto office365, bez większych problemów się konfiguruje, sam wykrywa ustawienia – po prostu rewelacja… gdyby nie fakt że:
    • potrafi synchronizować tylko maile (brak kontaktów i kalendarza)
    • nie da się ustawić auto-synchronizacji podkatalogów – obsługuje wyłącznie ręczny sync. swoją drogą po upgradzie w ogóle nie potrafił ich synchronizować…
  • zamiast konfiguracji 'poczty’ można skonfigurować Exchange ActiveSync. auto-konfiguracja nie działa, więc trzeba pamiętać o dwóch rzeczach:
    • podając usera, wbrew temu co pokazuje interfejs, należy wpisać użytkownika w takim dziwnym zapisie: '\user.name@company.com’
    • serwer poczty to: outlook.office365.com

w ten sposób wszystko działa, można w aplikacji pocztowej wybrać konkretne podkatalogi do synchronizacji bieżącej, jest kalendarz i kontakty.

a outlook na andka cały czas nie potrafi uwierzytelnić przy logowaniu sfederowanym O.o

do tej pory używam androida bo lubię się systemem pobawić, coś sobie w nim pogrzebać, wymienić, zcustomizować itd… ale mam wrażenie, że andek przeżywa kryzys podobny do tego, jaki przeżywał windows XP – wszystkiego jest za dużo, a sam system, choć ogólnie dobry, po prostu niewyrabia. za mała jest kontrola nad aplikacjami. niby lollipop miał być zoptymalizowany i działać wydajniej niż kitkat, a tuż po przywróceniu do ustawień fabrycznych, bez żadnych rootów ani nawet własnych zamienników launchera, telefonu czy kontaktów – po instalacji kilq apek telefon zaczyna mulić. w widocznym stopniu spada responsywność /:

eN.

mobilna poczta korporacyjna

OWAcoraz więcej projektów związane jest z przeniesieniem usług do chmury. jedną z najpopularniejszych usług – Exchange online. taką pocztę trzeba jakoś odbierać… w przypadq standardowych skrzynek nie ma problemu – niemal każdy klient, nawet wbudowany w OSa (nawet srajfon), poradzi sobie z połączeniem ActiveSync i obsługą poczty.

trochę gorzej jest w momencie, kiedy korzysta się np. ze skrzynek współdzielonych (shared mailbox) – nie są wspierane przez protokół ActiveSync i należy skorzystać z klienta OWA. i tu zaczynają się kolejne ciekawostki…

  • klient OWA jest obecnie na iOS oraz w wersji beta na Android. zadziwiający fakt, że aplikacje eMeSowe są szybciej przez nich robione i poprawiane na wersje konqrencyjne jest zauważany i mocno krytykowany na forach WinBeta.
  • na Android są aż 3 apki do odbioru poczty by MS: MS Outlook, OWA (pre-release) i Outlook.com.
    • MSOutlook ma zupełnie nowy look (; nie korzystałem dużo ale na pewno jest nowoczesny, zgodnie z obecnie obowiązującymi trendami [które są dla mnie katorgą… ehh.. jak mi się nie podobają te nowe interfejsy…]. ale oczywiście działa via ActiveSync więc shared mailboxów nie obsługuje.
    • Outlook.com jest do office365 – prywatnego
    • OWA – dla o365 korporacyjnego. niestety przy uwierzytelnieniu sfederowanym z domeną nie udało mi się połączyć więc nie miałem okazji przetestować. nie wiem czy w innych scenariuszach w ogóle działa – zrzucam to na karb wersji beta.

rzuca się niemniej w oczy kilka problemów. po pierwsze podkreślany fakt opóźnień aplikacji dla bądź-co-bądź natywnej platformy jaką jest Windows Phone. po drugie – sama ilość aplikacji. czy to są jakieś wyścigi między teamami? czemu nie ma jednej, która obsługuje różne protokoły? już rozróżnienie pomiędzy o365 prywatnym i firmowym jest nieco dziwne. i finalnie – pomimo ilości aplikacji, nadal nie da się w pełni korzystać z poczty [firmowej].

nie sądzę, żeby takie zaburzenia dysocjacyjne pozytywnie wpływały na odbiór przez end-userów. odnoszę wrażenie braq spójności wizji rozwoju, i problemów z jasnym przekazaniem kompetencji pojedynczej komórce – jakby kilka działów miało własną wizję i wydają zbliżone produkty, o zbliżonej funkcjonalności.

PS. taka ciekawostka: jest na droida apka do zarządzania o365 – Office 365 Admin.

eN.

1o LAT W-Files!

1oteUroWF

pierwszy wpis na w-files datowany jest na maj 2oo5. dekada (:

w tym czasie:

  • dwukrotnie zmieniany był silnik blogowy
    • do końca 2oo7 na blogspocie (w-files.blogspot.com), potem WP (do 2o13) i następnie migracja do nowego WP
  • 2186 wpisów
    • to ok o.6 wpisu dziennie
    • 18 draftów
    • 1 prywatny
    • 1541 wpisów moich – nExoR
    • następni: Cabi (265), jennix (129), d0mel (86), daro (72), koyn (42), wasyl (18), peki (7), ozz (2)
  • zaliczone jedno włamanie
  • statystyk.. powiem szczerze – nie umiem ich czytać. z tego co rozumiem to jest ok. 2oo stałych czytelników bo tyle mniej-więcej jest zawsze indywidualnych odwiedzin w dniu publikacji. w miesięcznych pokazuje ok 3.ooo indywidualnych odwiedzających ale zakładam, że to mobilne IP.
  • komentarzy robić nie lubicie a jeśli wywiązuje się dysqsja to głównie na buniu (;

tak się składa, że maj, to również urodziny WGUiSW. na majowym, 71 spotkaniu, odbędzie się więc łączona impreza – 7 urodziny WGUiSW i 1o uro W-Files

WGUiSW7latbędzie jakaś zwyczajowa sesja, będzie tort i będą niespodzianki =^.^’=

OTANJOUBI OMEDETOU W-FILES!

 

=^.^’=

eN.

UR5 do VMM – uwaga

nie zrobiłem screenshota /: więc tak pół-informacyjnie: po instalacji UR5 do SCVMM zaczął sypać błędami podczas zakładania maszyny wirtualnej. coś w stylu:

„method get_protectionProvider in type hardwareConfigSettingsAdapter from assembly microsoft.systemcenter.virtualmachinemanager does not have an implementation”

kombinowaliśmy z poprawkami do .NET framework, których ostatnio trochę się pojawiło, ale dopiero cofnięcie UR5 pomogło. sądząc po braq wyników w googlu chyba mieliśmy odosobniony przypadek…

eN.

przeszukiwanie logów aplikacyjnych

chaoschciałem zrobić szybką wrzutę na temat odczytywania zdarzeń z logu 'applications and services logs’… i okazuje się, że to całe małe universum XMLowe…

najważniejsze informacje: logi systemowe można czytać łatwo i przyjemnie przy pomocy 'get-EventLog’. jednak kiedy chce się odczytać coś z logów aplikacji zaczynają się schody. jest polecenie 'Get-WinEvent’, jednak mechanizm za nim się kryjący jest okrutnie nieprzyjemny. cała architektura oparta jest na XMLu, w związq z czym jakiekolwiek przeszukiwanie albo jest pop(*^@#!@ne albo niewydajne. przykłady filtrów XML – standardowy i xPath ze strony technet:

# Use FilterXML

PS C:\>Get-WinEvent -FilterXML "<QueryList><Query><Select Path='Windows PowerShell'>*[System[Level=3 and TimeCreated[timediff(@SystemTime)&lt;= 86400000]]]</Select></Query></QueryList>"

# Use FilterXPath

PS C:\>Get-WinEvent -LogName "Windows Powershell" -FilterXPath "*[System[Level=3 and TimeCreated[timediff(@SystemTime) &lt;= 86400000]]]"

w dużym skrócie – jest to zupełnie nieprzydatne w zastosowaniu codziennej administracji ponieważ:

  • trzeba nie tyle 'znać’ obsługę XML ale 'mieć ją wkompliowaną w mózg’. jak ktoś z tego korzysta dzień w dzień, to może trzepnie taki kodzik na kolanie, ale jak raz na jakiś czas trzeba coś wyszukać…
  • nie da się na stałe zrobić zapytania, ponieważ zdarzenia mają różną strukturę – składają się z różnych elementów. jak to w XML – trzeba 'crawlować’  po elementach, bo ich struktura nie jest z góry znana
  • dwie różne metody, dwa totalnie różne zapisy, do tego w żaden sposób nie przystające do reszty PS

a przecież XML można przedstawić za pomocą obiektu… czemu ten wynalazek nie zwraca normalnego, ludzkiego obiektu z atrybutami?

polecam art, w którym można poczytać jak się przez to przegryźć.

a na szybko, bez developerki, może niewydajnie, ale działa:

scenariusz: znaleźć logi hyper-v, w których są wpisy dotyczące maszyny o nazwie 'VMNAME’

Get-WinEvent -ComputerName HYPERVSRVo1 -LogName 'Microsoft-Windows-Hyper-V-VMMS-admin' |? message -like '*VMNAME*'|select timecreated,id,message|fl *

inne pomocnicze polecenia na początek to 'get-WinEvent -listProvider *’ oraz 'get-WinEvent -listLog *’. trzeba jakiś list otwarty do scripting guy’a napisać, żeby ponaciskał na uczłowieczenie dostępu do logów aplikacyjnych… ahhh.. żeby tak czas pozwolił to można własny moduł napisać… /:

eN.

 

magia storage migration

wits„tyle magii w całym mieście,

nie widziałeś tyle jeszcze,

popatrz.. o popatrz…”

dzisiejszy dzień mianuję swoim 'dniem archeologa’. podstawowe założenia – cuda nie istnieją. ale kategoria i tak do w-files. a wszystko zaczęło się od zupełnie zwykłego taska administracyjnego opisywanego w poprzednim wpisie: trzeba usunąć CSV i stworzyć nowy. czyli musi być jakiś pośredni – temp, i maszynki trzeba przenieść najpierw na tempa, dokonać odpowiednich modyfikacji na macierzy, stworzyć nowe CSV i na nie poprzenosić już docelowo maszyny. no i się zaczęło…

podczas przenoszenia maszyn, wszystko idzie sprawnie, aż na koniec informacja, że migracja nie powiodła się. efekty różne łącznie z takim, że maszyna po prostu znika! (SIC!) ale żeby jeszcze zupełnie znikęła, a to nie – niby jest a jej nie ma. niby jej nie ma, a jest… no po prostu burdel na kółkach. ale udało się dużą część wyjaśnić…

finalnie okazało się, że są dwa powody nieudanych migracji: jeden to snapshoty DPM a drugi to jakiś wewnętrzny błąd SCVMM, którego póki co nie umiem wyjaśnić.

1. DPM.

błąd

przypadek ciekawszy, ponieważ po wykonaniu migracji maszyna jest, ale jej nie ma. błąd migracji:

Error (2901)
The operation did not complete successfully because of a parameter or call sequence that is not valid.
The parameter is incorrect (0x80070057)

Recommended Action
Ensure that the parameters are valid, and then try the operation again.

maszyna pozostaje w VMM z informacją 'incomplete VM Configuration’. jest również widoczna w klastrze, ale zasób konfiguracji jest niedostępny. natomiast, żeby było ciekawie, zostaje wyrejestrowana z samego hosta Hv. po analizie logów na hoście Hv, na którym maszyna była zarejestrowana pojawiają się na koniec migracji trzy wpisy:

  • Event ID 18303 'The Virtual Machine Management service successfully completed the export operation of virtual machine’
  • Event ID 13003 'The virtual machine '<VMName>’ was deleted’
  • Event ID 16300 'Cannot load a virtual machine configuration: The system cannot find the file specified. (0x80070002).

wnioski

owy plik, który cannot be found to snapshot zrobiony przez DPM. okazuje się, że w wyniq utraty komunikacji w trakcie robienia backupu, DPM zostawia informację o snapshocie. specjalnie napisałem 'informację’ ponieważ okazuje się, że jest xml z informacją, widać go w interfejsie tudzież używając get-vmsnapshot, ale sam katalog, gdzie powinny znajdować się pliki snapshota (vsv i bin), jest pusty. sam proces 'storage migration’ działa jako: export VM -> delete VM-> import VM, wywala się na ostatnim kroq. maszyna zostaje usunięta z Hv, a durny VMM nie zapewnia atomowości. nie dość, że migracja się nie udaje, zostają pełne zapisy w clustrze i VMM, sama maszyna znika.

rozwiązanie

po fakcie jest tylko jeden sposób:

  • usunąć zasób klastra
  • zaimportować maszynę. zapyta nas o położenie checkpointów – trzeba usunąć, bo ich tak na prawdę nie ma
  • dodać zasób do klastra

a żeby zapobiec, najlepiej zrobić hurtowe zapytanie o snapshoty typu recovery i je pousuwać. łatwo odróżnić te, które są 'w trakcie’ do tych, które wiszą, ponieważ w nazwie mają daty:

VMName      Name                                   SnapshotType CreationTime
------      ----                                   ------------ -----------
VMo1        VMo1 - Backup - (2014-11-19 - 23:19:08)Recovery     2014-11-...
VMo2        VMo2 - Backup - (2014-11-19 - 23:44:42)Recovery     2014-11-...

widać, że to są jakieś snapy z przed wielu dni, więc na pewno do wywalenia. po upewnieniu się, że wszystkie są stare i żaden backup teraz się nie wykonuje:

Get-ClusterNode -Cluster <CLUSTER>|%{$h=$_.name;get-vm -VMHost $h|%{Get-VMSnapshot -ComputerName $h -VMName $_.name|? snapshotType -eq 'recovery'|Remove-VMSnapshot}}

następnie warto odświeżyć VMM, ponieważ ma stare informacje. można np. hurtem wszystkie maszyny: get-scVirtualMachine|read-scVirtualMachine|out-null

2. zła nazwa

błąd

drugi przypadek jest dziwny i wygląda na wewnętrzny błąd VMM. migracja wywala się w ostatnim etapie z błędem o niedostępności zasobu. po weryfikacji okazuje się, że maszyna jest jednak zmigrowana i dyski wskazują na nowy CSV. jeśli jednak spojrzy się do konsoli klastra okazuje się, że maszyna ma w zależnościach wpisy dotyczące i starego i nowego CSV. to dokładnie efekt opisywany ostatnio.

analiza polega na spostrzegawczości. błąd migracji jest następujący:

Error (12711)
VMM cannot complete the WMI operation on the server (<HOSTNAME.FQDN>) because of an error: [MSCluster_Resource.Name=&quot;SCVMM VMNAME Configuration&quot;] Element not found.

Element not found (0x490)

Recommended Action
Resolve the issue and then try the operation again.

natomiast po przyjrzeniu się wynikom czy to z PS czy w interfejsie widać, że maszyna nazywa się po prostu 'VMNAME’ a nie 'SCVMM VMNAME’ /:

wnioski

VMM jest głupi.

rozwiązanie

post factum można to zrobić tak, jak we wspomnianym wpisie – czyli przez WMI usunąć z privateparts zależność do dysq. można to też zrobić prościej – i metoda powinna dać efekt post factum et pro eo – odświeżyć konfigurację maszyny na klastrze:

Update-ClusterVirtualMachineConfiguration -Cluster <CLUSTER> -name 'Virtual Machine Configuration <VMNAME>'

 3. to nie koniec magii

a bo inne ciekawe przypadłości podczas całej operacji wyszły, mniej-lub-bardziej wyjaśnialne. ot np. taki niuans:

jedna maszyna ma w VMM status 'incomplete VM configuration’ a VMM pokazuje, że maszyna jest na hoście HOSTo3. w klastrze ta sama maszyna działa i ma się dobrze, i działa na hoście HOSTo5. póki co nijak nie udało mi się odświeżyć tej maszyny. prawdopodobnie trzeba to będzie zrobić via SQL. ale jeszcze fajniejsza rzecz:

PS C:\scriptz> get-vm -VMHost HOSTo3|select name

Name
----
VMo1
VMo2
VMo3

załóżmy, że ta VMo2 to ta, której nie ma. to samo polecenie dla hosta, na którym ta maszyna działa, nie pokazuje jej. ale przecież Hv manager jej nie pokazuje, i jej tam nie ma! o co c’mon? otwieram drugą konsolę, kopiuję polecenie i…

PS C:\Users\nz.adm> get-vm -VMHost HOSTo3|select name
Get-VM : A parameter cannot be found that matches parameter name 'VMHost'.
At line:1 char:8
+ get-vm -VMHost HOSTo3|select name
+        ~~~~~~~
    + CategoryInfo          : InvalidArgument: (:) [Get-VM], ParameterBindingException
    + FullyQualifiedErrorId : NamedParameterNotFound,Microsoft.HyperV.PowerShell.Commands.GetVMCommand

eeeee.. ale że o co c’mon? i znów na spostrzegawczość: przecież get-VM nie ma parametru 'VMHost’ tylko 'ComputerName’ – co zresztą podpowiada tab. zatem muszą to być dwa różne polecenia… oto odpowiedź:

konsola A

PS C:\scriptz> Get-Command get-vm

CommandType     Name                                               ModuleName
-----------     ----                                               ----------
Alias           Get-VM

PS C:\scriptz> man get-vm
NAME
    Get-SCVirtualMachine
SYNTAX
    Get-SCVirtualMachine [[-Name] <string>] [-VMMServer <ServerConnection>] [-All] [
    fOfUserRole <UserRole>]  [<CommonParameters>]

konsola B

PS C:\scriptz> Get-Command get-vm
CommandType     Name                                               ModuleName
-----------     ----                                               ----------
Cmdlet          Get-VM                                             Hyper-V

PS C:\scriptz> man get-vm
NAME
    Get-VM
SYNTAX
    Get-VM [[-Name] <string[]>] [-ComputerName <string[]>]  [<CommonParameters>]

 wnioski

VMM jest nie tylko głupi, ale również wredny.

eN.

właściciel plików: administrators

UAC_insigniaprodukty eMeSa wykazują się niesamowitą inkoherencją. z jednej strony  genialnością i pomysłowością, po czym trafia się na opcje [lub ich brak] lub mechanizmy, które zaburzają cały obraz. jednym z najbardziej niedopracowanych i kontrowersyjnych mechanizmów jest UAC – User Account Control. dość często na niego przeklinam i trafiłem na kolejny argument, świadczący o tym, że był wymyślany na złość administratorom. a tak na prawdę będzie to połączenie kilq bezsensownych i niewyjaśnialnych zachować systemu.

chodzi konkretnie o własność [ownership] plików zakładanych przez użytkownika, który należy do grupy administratorów lokalnych. czyli praktycznie zawsze – bo któż inny zarządza serwerem? pliki w takim przypadq mają jako właściciela wpisywane… 'Administrators’ – zamiast konkretnej osoby. dla windows 2oo3 dało się to wyregulować polisą GPO:

„Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options\System objects: Default owner for objects created by members of the Administrators group”

problem polega na tym, że takiego ustawienia nie ma dla systemów w2k8+. w taki czy inny sposób polisę można przywrócić w interfejsie, ale nie ma to znaczenia, ponieważ systemy jej nie respektują. a jest tak ponieważ zespół wdrażający UAC uważał, że jest tak samo genialny i nieomylny jak ten, który zarządził, że metrointerfejs będzie standardem wszędzie, zawsze i bezwzględnie, łącznie z serwerami. można znaleźć KB, które opisuje, że to właśnie ten wspaniały mechanizm zapewnia, że uprawnienia będą automatycznie nadawane na konkretną osobę, ponieważ nie ma tokena administratora.

wszystko by się nawet kleiło, gdyby nie jeden podstawowy fakt – ktoś, kto to wymyślał raczej nigdy nie administrował serwerem pliqw, pozostając w jakiejś sferze teorii. w ogóle poruszanie się po zarządzanym serwerze jest mało wykonalne bez uprawnień admina, więc nie ma innego wyjścia jak UAC obejść – czy to odpalając jakiegoś file managera w trybie 'run as administrator’, czy to po prostu wyłączając cały mechanizm. pozostaje jeszcze jeden opisywany radośnie przypadek – UAC nie działa przy operacjach zdalnych, przez sieć, więc tu też zawsze będzie 'owner:administrators’.

jak to obejść? jedyny sposób jaki znam, to utworzenie grupy, która będzie miała pełne uprawnienia do wszystkich pliqw, ale nie będzie w grupie adminów. takie to trochę naciągane, mało wygodne i zastanawiam się, czy kiedykolwiek widziałem zastosowane w praktyce? uważam, że to jest poważne niedociągnięcie w bezpieczeństwie, ponieważ nie daje łatwej metody sprawdzenia kto dany plik/katalog założył. oczywiście, że ownera da się zmienić, więc można polemizować 'jakież to tam zabezpieczenie’, jednak z doświadczenia mogę powiedzieć – w większości przypadqw poziom wiedzy, ignorancja i lenistwo są na tyle powszechne, że bardzo podstawowe mechanizmy wystarczają aby odpowiedzieć na podstawowe pytania. a przeciw tym na prawdę dobrym, działającym z premedytacją i tak ciężko coś przeciwdziałać. wielokrotnie też miałem przypadek, kiedy nie chodziło o bezpieczeństwo sensus stricte a po prostu zwykłe wyjaśnienie – 'kto ten katalog/plik utworzył?’.

eN.

 

VMM Agent Status: access denied

WTF?w-files combo.

scenariusz: serwery Hv w kilq wersjach [2k8R2, w2k12, w2k12R2, clustry i standalone] zarządzane System Center Virtual Machine Manager 2o12 SP1. w pewnym momencie nie da się założyć nowej maszyny wirtualnej, ponieważ 'rating’ pokazuje wszystkie maszyny jako niedostępne, nie da się zrobić Live Migration. w 'Fabric’ status agentów opisany jest jako 'Access Denied’.

pierwsza próba – 'sprawdź o co chodzi’ – czyli wywalenie agenta z maszyny i ponowne dodanie. wpis w logu:

Error (2927)

A Hardware Management error has occurred trying to contact server SCVMM04.hosting.netwise.pl .

WinRM: URL: [http://<hostFQDN>:5985], Verb: [INVOKE], Method: [AddPeerCertificate], Resource: [http://schemas.microsoft.com/wbem/wsman/1/wmi/root/scvmm/AgentManagement]

Unknown error (0x80338113)

Recommended Action

Check that WinRM is installed and running on server <hostFQDN>. For more information use the command "winrm helpmsg hresult" and http://support.microsoft.com/kb/2742275

przeszukałem net i najwięcej artów dotyczyło konfiguracji winRM. [how to troubleshoot winrm] ale testy winrm bez problemy przebiegały – zarówno lokalnie, jak zdalnie, winrm id -r:<remoteHost>, bez zająknięcia czy opóźnień ślicznie odpowiada. w logach biało jak w staropolskiej zimie na ziemiach wschodnich. ktoś sugeruje, że wystarczy uruchomić agenty SCVMM. lame /: gdzieś indziej znajduję poprawki dla w2k8R2 żeby obsługiwała nowe serwery ale dawno zainstalowane. w ogólnym ’how to troubleshoot’  na stronach technet też nic ciekawego. wszystkie testy sieciowe przebiegają pomyślnie, FW na wszelki wypad wyłączyłem, żeby mieć pewność. w końcu trafiam na roqjący pozytywnie wpis dotyczący różnic  w wersji winRM… ale wszędzie mam v3 jak trzeba.

czas leci, godziny są palone, a VMM odmawia współpracy. stawiam nowego VMM – 2o12R2 – upgrade i tak był wpisany w kalendarz, więc zamiast ślęczeć nad debugowaniem po prostu stawiam od nowa.

jak nie ciężko się domyśleć – nadal nie działa – tym razem, tak dla odróżnienia, już nie na wszystkich maszynach. w końcu się wkurzyłem i zmieniłem dwa ustawienia w polisie GPO:

Turn On Compatibility HTTP Listener Disabled -> Enabled
Turn On Compatibility HTTPS Listener Disabled -> Enabled

w zasadzie nie ma to sensu bo compatibility listeners są dla winRM1.1 w w2k3 a takich wynalazków szczęśliwie nie ma. gpupdate na wszystkich maszynach. i działa /:

to była ciekawostka #1 a teraz ciekawostka #2. tak bardzo nie rozumiem dla czego to się tak zachowało [ i wszystkie commandlineowe testy przebiegają poprawnie i część funkcjonalności działa i PSremoting działa…] że postanowiłem te polisy z powrotem wyłączyć.

Turn On Compatibility HTTP Listener Enable-> Disabled
Turn On Compatibility HTTPS Listener Enabled -> Disabled

gpupdate na wszystkich hostach… i dalej działa @_@ w każdym razie póki co. restartów nie robiłem i minęło kilka h. teoretycznie jakby miało przestać to już by nie działało. nie potrafię tego wyjaśnić.

eN.