WINS ablösen: NetBIOS-Namen geordnet auf DNS umstellen
Wie du feststellst, wer im Netz noch NetBIOS benutzt, welche Kurznamen wirklich in DNS gehören und in welcher Reihenfolge du abschaltest, ohne blind zu ziehen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Dienst, den niemand vermisst und niemand abschalten will
WINS läuft in vielen Netzen noch auf einem Server, der aus anderen Gründen ohnehin da ist. Die Rolle verbraucht kaum Ressourcen, sie produziert keine Fehlermeldungen, und in der Übersicht der installierten Rollen fällt sie kaum auf. Was sie tut, ist eine Namensdatenbank für NetBIOS-Namen zu führen, also für die kurzen, flachen Rechnernamen ohne Domänenteil, die Windows seit den Neunzigern kennt. Die Frage, ob das noch gebraucht wird, stellt niemand, weil eine falsche Antwort teuer wäre.
Der Stand bei Microsoft ist dabei eindeutig. WINS steht in der Liste der Funktionen, die nicht mehr weiterentwickelt werden, mit dem Hinweis, dass es sich um einen veralteten Dienst zur Registrierung und Auflösung von Rechnernamen handelt und dass er durch DNS ersetzt werden soll. Die eigene Dokumentationsseite zu WINS geht noch weiter: Wer WINS noch nicht einsetzt, soll es nicht einführen, und wer es einsetzt, soll DNS bereitstellen und WINS anschließend außer Betrieb nehmen. Eine Abkündigung bedeutet dabei nicht, dass der Dienst morgen verschwindet. Abgekündigte Komponenten werden weiterhin ausgeliefert, im Produktivbetrieb unterstützt und mit Sicherheits- und Qualitätsupdates versorgt.
Die eigentliche Hürde liegt woanders. Es gibt keine Liste, welche Anwendung im Haus noch NetBIOS-Namen auflöst. Ein Client, der einen Kurznamen nicht über DNS auflösen kann, fragt still bei WINS nach oder schickt einen Broadcast, und wenn er eine Antwort bekommt, arbeitet er weiter, ohne dass jemand davon erfährt. Solange dieser stille Rückfall funktioniert, sieht alles gesund aus. Wer den Dienst einfach abschaltet, erfährt erst danach, was daran hing, und meistens aus dem Helpdesk.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Sechs Schritte von der Bestandsaufnahme bis zum abgeschalteten Dienst
Jeder Schritt endet mit einem greifbaren Ergebnis, an dem sich ablesen lässt, ob du weitergehen darfst. Wer diese Ergebnisse nicht hat, hat den Schritt nicht abgeschlossen, sondern nur begonnen.
- 1
Den Bestand in der WINS-Datenbank aufnehmen
Öffne die WINS-Datenbank und exportiere den Inhalt in eine Liste. Trenne dabei zwei Gruppen: statische Einträge, die jemand von Hand angelegt hat, und dynamische Einträge von Rechnern, die sich selbst registriert haben. Die zweite Gruppe ist meist die deutlich größere und die deutlich uninteressantere, denn dieselben Rechner tragen sich auch in DNS ein. Die erste Gruppe ist der Teil, der Arbeit macht: Für jeden statischen Eintrag musst du herausfinden, wofür er einmal angelegt wurde und ob dieses Ziel überhaupt noch existiert.
Geschafft, wenn: Eine Liste aller statischen Einträge mit Ziel, mutmaßlichem Zweck und der Feststellung, ob das Ziel noch existiert.
- 2
Messen, wer den Dienst tatsächlich noch benutzt
Ein Eintrag in der Datenbank sagt nichts darüber aus, ob jemand danach fragt. Der Namensdienst von NetBIOS arbeitet über UDP 137, und ein Mitschnitt auf dem WINS-Server zeigt dir, welche Adressen anfragen und wonach. Lass die Messung über einen vollständigen Abrechnungszyklus laufen, mindestens über einen Monatswechsel, denn viele Altanwendungen melden sich nur zu bestimmten Terminen. Ergänzend zeigt dir die Statistik des WINS-Servers, wie viele Anfragen überhaupt noch ankommen.
Geschafft, wenn: Eine nach Häufigkeit sortierte Liste der Rechner, die noch über NetBIOS auflösen, mit den Namen, nach denen sie fragen.
- 3
Für die verbliebenen Kurznamen einen Weg in DNS bauen
Geh die gemessenen Namen der Reihe nach durch. Der erste Versuch ist immer die Suffix-Suchliste: Wenn der Client euer Domänensuffix anhängt und den Namen dort findet, ist nichts weiter zu tun. Bleiben Namen übrig, die in keiner eurer Zonen stehen oder aus mehreren Domänen kommen, richtest du dafür die GlobalNames-Zone ein. Sie ist eine gewöhnliche, in Active Directory integrierte Zone mit genau diesem Namen, sie muss auf jedem zuständigen DNS-Server ausdrücklich freigeschaltet werden, und sie wird mit statischen CNAME-Einträgen gefüllt.
Geschafft, wenn: Jeder gemessene Kurzname löst über DNS auf, nachweisbar mit einer Abfrage, die die Rückfallwege ausdrücklich ausschließt.
- 4
In einer Testgruppe NetBIOS abschalten
Wähle einen überschaubaren DHCP-Bereich und nimm dort die WINS-bezogenen Optionen heraus, also den Namensserver, den Knotentyp und einen etwaigen Bereichsbezeichner. RFC 2132 beschreibt diese Optionen als 44, 46 und 47. Zusätzlich lässt sich über die herstellereigene Option von Microsoft NetBIOS über TCP/IP für die Clients dieses Bereichs vollständig abschalten. Der Vorteil dieses Weges ist die Umkehrbarkeit: Eine Änderung im DHCP-Bereich ist in zwei Minuten zurückgenommen, eine Änderung an hundert Adaptern nicht.
Geschafft, wenn: Ein Bereich läuft ohne WINS-Optionen, und im Mitschnitt tauchen von dort keine Namensdienstanfragen mehr auf.
- 5
Die Umstellung auf alle Bereiche ausweiten
Zieh die Änderung Bereich für Bereich nach, immer mit einer Beobachtungszeit dazwischen. Parallel arbeitest du die statischen Reste ab: Rechner, bei denen die WINS-Server direkt am Adapter eingetragen sind, Server mit fest hinterlegten Einstellungen und Anwendungen mit eigenen Konfigurationsdateien. Wenn ihr mehrere WINS-Server mit Replikation betreibt, baust du die Replikationspartnerschaften jetzt ab, sodass am Ende nur noch ein Server steht.
Geschafft, wenn: Kein DHCP-Bereich verteilt mehr WINS-Optionen, die Replikation ist abgebaut, und die Anfragen am verbliebenen Server sind auf wenige bekannte Quellen zusammengeschrumpft.
- 6
Den Dienst anhalten, beobachten und erst dann entfernen
Halte den WINS-Dienst an, ohne die Rolle zu entfernen, und lass die Datenbank liegen. Kündige diesen Termin vorher an, damit eine Störung sofort mit ihm in Verbindung gebracht wird statt drei Tage lang gesucht zu werden. Bleibt es über eine volle Beobachtungszeit ruhig, sicherst du die Datenbank an einen Ort, den ihr auch in einem Jahr noch findet, und entfernst danach die Rolle. Prüfe zum Abschluss, ob die Firewall-Regeln für den Namensdienst noch gebraucht werden und ob in eurer Dokumentation noch Verweise auf den Server stehen.
Geschafft, wenn: Die Rolle ist entfernt, die Datenbank ist gesichert und auffindbar, und der Vorgang ist mit Datum und Verantwortlichem dokumentiert.
Die Reihenfolge, in der WINS verschwindet
- 01 Bestand aufnehmen: statische Einträge sind der Teil, für den du Ersatz brauchst.
- 02 Messen, wer wirklich fragt: Namensdienst auf UDP 137 über einen vollen Abrechnungszyklus mitschneiden.
- 03 Ersatz bauen: erst über die Suffix-Suchliste, danach die GlobalNames-Zone für die wenigen globalen Kurznamen.
- 04 Über DHCP abschalten statt am Adapter, und immer nur einen Bereich auf einmal.
- 05 Dienst anhalten, beobachten, sichern, erst dann die Rolle entfernen.
Der Weg von WINS zu DNS in Kurzform
Die Ablösung besteht aus zwei Teilen, die sich nicht vermischen lassen: dem Nachweis darüber, wer noch fragt, und dem Aufbau der Ersatzwege in DNS. Erst danach folgt das Abschalten, und zwar in kleinen, umkehrbaren Schritten.
Statische und dynamische Einträge auseinanderhalten
In der WINS-Datenbank stehen zwei sehr verschiedene Dinge nebeneinander. Dynamische Einträge stammen von Rechnern, die sich selbst registriert haben, und die brauchst du fast nie zu ersetzen, weil dieselben Rechner sich auch in DNS eintragen. Statische Einträge dagegen hat jemand von Hand angelegt, meist für wichtige Server, und genau diese Handvoll Namen ist der Teil, für den du einen Ersatz bauen musst.
Messen statt vermuten, wer noch fragt
Der Namensdienst von NetBIOS läuft über UDP 137. Ein Mitschnitt auf dem WINS-Server über einen ausreichend langen Zeitraum, der auch Monatsabschlüsse und Wartungsfenster einschließt, zeigt dir die tatsächlichen Fragesteller mit Adresse und Häufigkeit. Diese Liste ist die Grundlage für alles Weitere, denn sie unterscheidet zwischen Rechnern, die WINS nur eingetragen haben, und Rechnern, die es wirklich benutzen.
Kurznamen zuerst über Suffixe lösen
Der naheliegende Ersatz für einen Kurznamen ist gar kein eigener Eintrag, sondern die Suffix-Suchliste des Clients. Hängt der Client euer Domänensuffix an und findet den Namen dort, ist die Sache erledigt. Erst wenn Namen aus mehreren Domänen zusammenkommen oder wenn die Zahl der Zieldomänen zu groß wird, reicht dieser Weg nicht mehr aus, und dann kommt die GlobalNames-Zone ins Spiel.
Die GlobalNames-Zone für die wenigen globalen Namen nutzen
Microsoft hat für genau diesen Fall eine besonders benannte Zone vorgesehen. Sie nimmt statische Einträge für Kurznamen auf, üblicherweise als CNAME-Einträge auf den vollständigen Namen des Ziels. Wichtig ist die Einschränkung, die Microsoft selbst nennt: Sie ist kein vollständiger Ersatz für WINS und ausdrücklich nicht für dynamisch registrierte Namen gedacht, sondern für bekannte, zentral verwaltete Server.
NetBIOS über die Adressvergabe abschalten, nicht am Adapter
Die Einstellung, ob ein Client NetBIOS über TCP/IP benutzt, lässt sich am Adapter setzen, aber das skaliert nicht und ist schwer zurückzunehmen. Der bessere Hebel liegt in DHCP: Dort steuerst du über die Optionen, welche WINS-Server ein Client bekommt und welchen Knotentyp er verwendet. Eine Änderung dort wirkt auf alle Clients eines Bereichs und lässt sich in einem Zug zurücknehmen.
In Gruppen umstellen und eine Beobachtungszeit einplanen
Fang mit einem Bereich an, in dem die Fachanwendungen überschaubar sind, und lass ihn zwei bis vier Wochen laufen, bevor du weitergehst. Diese Zeit ist kein Puffer, sondern der Messzeitraum: Was nur zum Monatsabschluss oder beim nächtlichen Lauf einer Schnittstelle passiert, taucht in einer kürzeren Beobachtung schlicht nicht auf.
Den Dienst erst anhalten, dann entfernen
Der letzte Schritt ist zweigeteilt und genau deshalb sicher. Zuerst wird der WINS-Dienst nur angehalten, die Datenbank bleibt liegen. Meldet sich in der Beobachtungszeit niemand, wird die Datenbank gesichert und die Rolle entfernt. Ein angehaltener Dienst lässt sich in einer Minute wieder starten, eine entfernte Rolle nicht.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Was WINS tatsächlich tut und warum es so lange geblieben ist
NetBIOS-Namen sind flach. Es gibt keine Hierarchie, keine Domänenteile und keine Möglichkeit, denselben Namen in zwei Bereichen zu vergeben. Ein Name ist 16 Byte lang, wobei die letzte Stelle nicht zum Namen gehört, sondern angibt, um welchen Dienst es sich handelt. Damit lassen sich für denselben Rechner mehrere Einträge führen, je nachdem ob es um den Arbeitsstationsdienst, den Serverdienst oder eine Gruppe geht. WINS ist der zentrale Verzeichnisdienst für diese Namen: Rechner registrieren sich dort, und andere fragen dort nach.
Ohne WINS bleibt für NetBIOS nur der Broadcast, und der endet an der Grenze des jeweiligen Netzsegments. Genau dafür wurde WINS eingeführt, damals als Antwort auf gerouteten Netzverkehr in größeren Häusern. Diese Aufgabe erfüllt heute DNS, und zwar besser: hierarchisch, in Active Directory integriert, repliziert und mit einem Mechanismus zum Aufräumen veralteter Einträge. Microsoft schreibt genau das in der eigenen Dokumentation und empfiehlt, DNS bereitzustellen und WINS anschließend außer Betrieb zu nehmen.
Geblieben ist der Dienst aus zwei Gründen. Der erste ist Trägheit: Er läuft, er stört nicht, und Abschalten kostet Aufwand ohne sichtbaren Ertrag. Der zweite ist eine berechtigte Sorge. In vielen Häusern gibt es Anwendungen, die niemand mehr im Detail kennt, und die Vermutung, eine davon könnte an Kurznamen hängen, ist nicht unbegründet. Diese Sorge lässt sich aber ausräumen, und zwar durch Messen. Genau deshalb steht der Mitschnitt in diesem Ablauf vor jeder Änderung.
Der Stand bei Microsoft: abgekündigt, aber weiter ausgeliefert
In der Liste der entfernten und nicht mehr weiterentwickelten Funktionen von Windows Server steht WINS unter den abgekündigten Funktionen mit dem Eintrag, dass es sich um einen veralteten Dienst zur Registrierung und Auflösung von Rechnernamen handelt und dass er durch DNS ersetzt werden soll. Wichtig ist die Bedeutung, die Microsoft dem Begriff auf derselben Seite gibt: Eine abgekündigte Komponente wird weiterhin mit Windows Server ausgeliefert, im Produktivbetrieb unterstützt und erhält gemäß dem Produktlebenszyklus weiterhin Sicherheits- und Qualitätsupdates. Sie kann in einer künftigen Version entfernt werden, ist es aber noch nicht.
Das ist die entscheidende Nuance für die Planung. Ihr steht nicht unter Zeitdruck durch ein Supportende, aber ihr baut auf etwas auf, das ausdrücklich keine Weiterentwicklung mehr erfährt. Wer ohnehin auf eine neuere Serverversion umstellt, hat den natürlichen Anlass: Die Frage, ob die WINS-Rolle mit umzieht, ist dann leichter zu stellen als in einem Jahr, in dem sonst nichts passiert.
In dieselbe Richtung zeigen die Nachbarn von NetBIOS in derselben Liste. SMB in Version 2 und höher über NetBIOS über TCP/IP ist seit Windows Server 2016 abgekündigt, mit dem Hinweis, stattdessen SMB über TCP oder über RDMA zu verwenden. Der Computerbrowserdienst, aus dem sich die klassische Netzwerkumgebung speist, ist ebenfalls abgekündigt und wird als überholtes und unsicheres Verfahren zur Gerätesuche beschrieben. Auch die Remote Mailslots, auf denen dieses Verfahren aufsetzt, stehen auf derselben Liste. Wer WINS ablöst, räumt damit ein ganzes Bündel alter Mechanismen mit ab.
Woher Kurznamen kommen und wie DNS sie beantwortet
Ein Name ohne Punkt ist für DNS zunächst keine beantwortbare Frage. Der Windows-Client löst das, indem er die Suffixe aus seiner Suchliste anhängt und die dabei entstehenden vollständigen Namen der Reihe nach abfragt. Diese Suchliste speist sich aus dem primären DNS-Suffix des Rechners, aus den verbindungsbezogenen Suffixen der Adapter und aus einer per Gruppenrichtlinie gesetzten Liste. In einer einzelnen Domäne reicht dieser Mechanismus für die allermeisten Kurznamen völlig aus, und zwar ohne dass ihr irgendetwas einrichten müsst.
Schwierig wird es, wenn Namen aus mehreren Domänen oder Gesamtstrukturen zusammenkommen. Dann müsste die Suchliste immer länger werden, jede zusätzliche Suffixprobe kostet Zeit, und die Eindeutigkeit der Namen lässt sich über die Domänengrenze hinweg nicht mehr zusichern. Für diesen Fall hat Microsoft die GlobalNames-Zone vorgesehen: eine gewöhnliche, in Active Directory integrierte Forward-Lookupzone, die genau diesen Namen trägt und statische Einträge für Kurznamen aufnimmt, üblicherweise als CNAME auf den vollständigen Namen des Ziels.
Zwei Einschränkungen gehören dazu, und Microsoft nennt sie ausdrücklich. Erstens ist die Zone kein vollständiger Ersatz für WINS: Sie ist für wenige wichtige, zentral verwaltete Server gedacht und nicht dafür, dynamisch registrierte Namen abzubilden, weil das nicht skaliert. Zweitens muss die Unterstützung auf jedem zuständigen DNS-Server ausdrücklich eingeschaltet werden, klassisch über dnscmd mit /config /enableglobalnamessupport 1, heute über Set-DnsServerGlobalNameZone mit -Enable $True. Wird das auf einem Server vergessen, beantwortet ausgerechnet dieser Server die Kurznamen nicht, und das Fehlerbild ist dann von der Client-Seite aus kaum zu deuten.
Was mit NetBIOS zusammen verschwindet
Die Ablösung von WINS ist selten nur eine Aufräumaktion. Sie hat einen zweiten Ertrag, der oft der wichtigere ist. Solange NetBIOS über TCP/IP eingeschaltet ist, löst ein Client Namen im Zweifel per Broadcast im eigenen Netzsegment auf. Auf eine solche Anfrage kann jedes Gerät im selben Segment antworten, und die erste Antwort gewinnt. Das ist kein Fehler in der Umsetzung, sondern das Verfahren selbst. Wer diese Rückfallwege abschaltet, nimmt eine ganze Klasse von Möglichkeiten aus dem Netz, sich als jemand anderes auszugeben.
Dazu kommt die Übersichtlichkeit. Solange zwei Namensauflösungswege nebeneinander bestehen, ist bei jeder Störung die erste Frage, welcher der beiden gerade geantwortet hat. Diese Frage kostet in jeder Fehlersuche Zeit, und sie taucht bei Kurznamen besonders häufig auf. Nach der Umstellung gibt es genau einen Weg, und ein Name, der nicht auflöst, hat genau eine Ursache: Er steht nicht in DNS. Das ist eine deutlich angenehmere Ausgangslage.
Bleibt die Frage nach den Anwendungen, die tatsächlich an NetBIOS hängen. Es gibt sie, meist ältere Fachanwendungen mit fest verdrahteten Kurznamen in Konfigurationsdateien oder Verweisen auf Freigaben in der Form mit zwei führenden Backslashes und einem Kurznamen. Genau diese Fälle findet der Mitschnitt, und für sie gibt es in der Regel eine einfache Lösung: Der Kurzname wird als Eintrag in DNS hinterlegt, entweder über die Suffix-Suchliste oder in der GlobalNames-Zone, und die Anwendung merkt vom Wechsel nichts. Der Aufwand liegt im Finden, nicht im Beheben.
Dazu passende Kurse
Wer die Ablösung mit einem ohnehin anstehenden Versionswechsel verbinden will, findet in Umsteigerkurse auf die aktuelle Windows-Server-Generation den passenden Rahmen dafür.
Wenn im Haus niemand mehr genau weiß, welche Dienste im Netz noch mitlaufen, ordnen Kurse zu Namensauflösung und alten Netzdiensten im Bestand das Feld wieder ein.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Häufige Fragen
Wird WINS demnächst aus Windows Server entfernt?
Reicht die GlobalNames-Zone als Ersatz für WINS?
Woran erkenne ich, dass eine Anwendung noch NetBIOS benutzt?
Soll ich NetBIOS über TCP/IP am Adapter abschalten?
Was passiert mit der Netzwerkumgebung, wenn NetBIOS wegfällt?
Wie lange sollte die Beobachtungszeit zwischen den Schritten sein?
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Namensauflösung im eigenen Netz einmal geradeziehen
In den Netzwerk- und Windows-Server-Kursen bei cmt gehst du DNS, DHCP und die alten Rückfallwege im Zusammenhang durch und siehst, was passiert, wenn eine dieser Schichten wegfällt.
Passt dazu
- Namensauflösung im Windows-Netz schlägt fehl: DNS Schritt für Schritt eingrenzen
- DHCP ausfallsicher betreiben: Failover-Beziehung statt geteilter Bereiche
- SMB absichern: Signierung, Verschlüsselung und der Abschied von SMB1
- Windows Server 2016 läuft aus: Bestand aufnehmen und den Umstieg planen