Remote Desktop mit Windows Server 2016/2019: Startmenü funktioniert nicht

Im Eventlog waren zahlreiche DCOM- und AppReadIness-Fehler zu sehen.

Beim Recherchieren im Web stößt man auf diverse Diskussionen in Foren (etwa in Microsofts TechNet-Forum), wo betroffene User eine Erklärung für dieses Phänomen gefunden haben.

Anhäufung von Firewall-Regeln in der Registry

Beim Anmelden eines Benutzers an einen Terminal-Server wird jedes Mal ein neuer Satz an Firewall-Richtlinien in der Registry erstellt, aber danach nicht wieder entfernt. Dies bläht die Datenbank immer weiter auf und beeinträchtigt so die Reaktion des Systems.

Zu finden sind diese Einträge bei Server 2016 unter

HKLM:\System\CurrentControlSet\Services\
SharedAccess\Parameters\FirewallPolicy\
RestrictedServices\Configurable\System

und in der Version 2019 zusätzlich unter

HKLM:\System\CurrentControlSet\Services\
SharedAccess\Parameters\FirewallPolicy\
RestrictedServices\AppIso\FirewallRules

Beim Inspizieren dieses Abschnitts in der Registrier­datenbank mit regedit.exe friert der Registry Editor für einige Minuten ein.

Das Startmenü funktioniert zwar nicht mehr, aber das Win+X-Menü, das man über die rechte Maustaste öffnet, hingegen schon. Darüber kann man PowerShell starten und die Registry damit aufräumen.

Dies manuell zu erledigen, macht keinen Sinn, da sich mehr als 40.000 Datensätze in diesem Verzeichnis befinden können.

Einfacher lässt sich die Registry mit diesem PowerShell-Script bereinigen. Dabei können die Benutzer ohne weiteres auf dem Server weiterarbeiten, und es ist kein Neustart erforderlich. Das Script eignet sich sowohl für Server 2016 als auch für 2019. Einzig der Pfad muss für die jeweilige Version angepasst werden.

Das Löschen kann je nach Zahl der Einträge mehr als einen Tag brauchen. Sollte das Script etwa durch einen nächtlichen Neustart unterbrochen worden sein, kann man es am nächsten Tag einfach erneut starten.

Unter dem oben genannten Link findet sich eine weitere Version des Scripts, die zum Löschen der Richtlinien nicht Remove-NetFirewallRule verwendet, sondern mit Remove-ItemProperty direkt auf die Registry zugreift und so den Prozess deutlich beschleunigt.

Registry-Problem vorbeugen

Um ein Akkumulieren der Firewall-Regeln künftig zu vermeiden, installiert man erst die Updates KB4490481 für Server 2019 bzw. KB4467684 für Server 2016. Danach wechselt man nach

HKLM:\SYSTEM\CurrentControlSet\Services\
SharedAccess\Parameters\FirewallPolicy

und legt dort folgenden Wert an:

New-ItemProperty -Type DWord -Path . `
-Name DeleteUserAppContainersOnLogoff -Value 1

Diese Maßnahme soll dafür sorgen, dass die Firewall-Richtlinien nach dem Ende einer User-Session automatisch entfernt werden.

Dennoch sollte man diesen Teil der Registry im Auge behalten, und eventuell eine automatisierte Lösung dafür erwägen. Ob auch Server 2022 davon betroffen ist, steht aktuell noch nicht fest.