Question 1

Eén DC of twee DC's voor een MKB-kantoor?

Accepted Answer

1. Twee DC's, liefst op aparte hosts of zelfs locaties
2. Beide ook DNS, replicatie controleren
3. FSMO-rollen verdelen of bewust op één laten
4. Backup van system state op beide

Wanneer ons inschakelen: 
Bij groei naar meerdere kantoren: AD Sites and Services goed inrichten voor replicatie-verkeer.

Question 2

Moet ik FSMO-rollen verdelen over twee DC's?

Accepted Answer

1. Vijf FSMO-rollen: Schema, Domain Naming, RID, PDC, Infrastructure
2. PDC-emulator is meest impactvol bij uitval
3. Seize alleen bij echt verloren DC
4. Documenteer welke DC welke rol heeft

Wanneer ons inschakelen: 
Tijdens DC-migratie altijd eerst rollen netjes overzetten met transfer, niet seize.

Question 3

Hoe weet ik of mijn AD-replicatie gezond is?

Accepted Answer

1. Periodiek replicatie-rapport genereren
2. DNS-gezondheid is voorwaarde voor AD
3. Tijdsync tussen DC's controleren
4. Event-logs op beide DC's bekijken

Wanneer ons inschakelen: 
Lange replicatie-storing: tombstone-grens vermijden, anders is de DC niet meer veilig terug te brengen.

Question 4

Logins zijn traag op het tweede kantoor.

Accepted Answer

1. Subnetten van elk kantoor toevoegen aan juiste site
2. DC's koppelen aan hun site
3. Site-link kosten en schedule controleren
4. DNS site-aware records valideren

Wanneer ons inschakelen: 
Veel kantoren: replicatie-topologie en bandbreedte-budget samen herzien.

Question 5

Onze GPO's zijn een doolhof geworden.

Accepted Answer

1. Inventariseer alle GPO's en wie ze gemaakt heeft
2. Lege of disabled GPO's opruimen
3. Bundel functioneel verwante settings
4. Naamgeving consequent: doel-OE-zichtbaar

Wanneer ons inschakelen: 
Meer dan tientallen GPO's per OU: ontwerp opnieuw vanuit scratch in een test-OU.

Question 6

GPO werkt niet zoals verwacht op een specifieke pc.

Accepted Answer

1. Volgorde: Local, Site, Domain, OU (LSDOU)
2. Security-filtering: alleen groepen die toepassen
3. Loopback-mode voor kiosk- of terminal-pc's
4. Resultaat-analyse op de doel-pc

Wanneer ons inschakelen: 
Onverklaarbare uitkomst: WMI-filters en denied-permissies zijn vaak de boosdoener.

Question 7

Per ongeluk een OU of user verwijderd in AD.

Accepted Answer

1. AD Recycle Bin staat niet standaard aan
2. Aanzetten via Active Directory Administrative Center
3. Standaard 180 dagen tombstone-window
4. Test eerst herstel van een dummy-object

Wanneer ons inschakelen: 
Recycle Bin uit en object al langer weg dan tombstone: alleen authoritative restore vanaf back-up.

Question 8

Welke sync-methode tussen on-prem AD en Entra ID?

Accepted Answer

1. PHS: wachtwoord-hash via cloud, simpel en robuust
2. PTA: validatie blijft on-prem, agent nodig
3. ADFS: aflopend, nieuwe deploys ontmoedigd
4. Seamless SSO als toevoeging op PHS of PTA

Wanneer ons inschakelen: 
Compliance vereist dat wachtwoorden niet de cloud raken: PTA met seamless SSO en redundante agents.

Question 9

Entra Connect meldt sync-fouten op specifieke gebruikers.

Accepted Answer

1. Bekijk de sync-error in de health-portal
2. Check duplicate proxyAddresses en UPN
3. Connector quarantine handmatig uitlopen
4. Forceer delta-sync na fix

Wanneer ons inschakelen: 
Object zit in metaverse vast: opschonen via support of geplande object-rebuild, niet handmatig in de DB.

Question 10

Wat is hybrid join en wanneer wil ik dat?

Accepted Answer

1. Hybrid join via Entra Connect-configuratie
2. Service Connection Point in AD nodig
3. GPO om automatische registratie te triggeren
4. Verifieer status op client met dsregcmd

Wanneer ons inschakelen: 
Migratie-doel is Entra-only: overweeg Entra-join nieuwe toestellen, hybrid alleen voor bestaande.

Question 11

Moet SMBv1 nog ergens aan staan?

Accepted Answer

1. SMBv1 uitzetten op alle servers en clients
2. Inventariseer apparaten die nog SMBv1 vragen (oude scanners)
3. SMBv2/v3 forceren op file-shares
4. Audit-logging aanzetten voor afwijkende verbindingen

Wanneer ons inschakelen: 
Een legacy-apparaat eist echt SMBv1: zet het op een geïsoleerd VLAN, niet op het hoofd-netwerk.

Question 12

Iedere afdeling heeft eigen mapped drives, wordt rommel.

Accepted Answer

1. Eén logisch pad voor alle shares (\bedrijf\data)
2. Servers achter de namespace zijn vervangbaar
3. Namespace-targets per site mogelijk
4. Documenteer welke share waar fysiek staat

Wanneer ons inschakelen: 
Migratie naar SharePoint/OneDrive komt eraan: DFS niet uitbreiden, eindplaatje plannen.

Question 13

DFS-R loopt vast of geeft conflicten.

Accepted Answer

1. Bekijk replication health rapport per server
2. Check disk-ruimte en USN-journal
3. Backlog opvragen tussen partners
4. Conflict-and-deleted folder periodiek opruimen

Wanneer ons inschakelen: 
Bij grote backlog of journal-corruptie: pre-seed en rebuild van replicatie-groep, geen brute force.

Question 14

File-server loopt vol met video en foto's van privégebruik.

Accepted Answer

1. Quota's per share of per gebruiker
2. File-screen blokkeert specifieke extensies
3. Soft-quota voor waarschuwing, hard-quota voor limit
4. Rapportages mailen naar beheer

Wanneer ons inschakelen: 
Veel false-positives: combineer screen met cultuur-afspraken, niet alleen techniek.

Question 15

Gebruikers zien mappen waar ze niet in kunnen, vragen waarom.

Accepted Answer

1. ABE per share aanzetten, niet domeinwijd
2. Eerst rechten netjes structureren
3. Test met een normale gebruikers-account
4. Effect op browse-prestatie meten

Wanneer ons inschakelen: 
Erg diepe boomstructuren: ABE kost performance, overweeg her-structurering.

Question 16

Share-rechten en NTFS-rechten lopen door elkaar.

Accepted Answer

1. Share-rechten: Everyone Full of Authenticated Users
2. Stuur fijne rechten via NTFS
3. Documenteer alleen het NTFS-laagje
4. Vermijd Deny-permissies behalve heel bewust

Wanneer ons inschakelen: 
Onverklaarbare access-denied: effective-access-tool gebruiken, niet handmatig redeneren.

Question 17

Persoonlijke map van vertrokken medewerker is voor niemand toegankelijk.

Accepted Answer

1. Werk altijd vanaf admin-account, niet de gebruiker
2. Eerst back-up of snapshot van de map
3. Take ownership recursief
4. Daarna nieuwe rechten zetten en eigenaar terug naar groep

Wanneer ons inschakelen: 
Map met juridische data of audit-eis: log de actie en wie het deed expliciet.

Question 18

Klassieke print-server is moeilijk te onderhouden.

Accepted Answer

1. Inventariseer huidige queues en drivers
2. Direct-IP voor kleine kantoren
3. Universal Print of vendor-cloud voor schaal
4. Drivers bundelen via Intune of GPO

Wanneer ons inschakelen: 
Veel verschillende merken en oude drivers: vendor-mix is zelf het probleem, eerst standaardiseren.

Question 19

Bij uitval van de DHCP-server krijgt niemand een adres.

Accepted Answer

1. Twee Windows-DHCP-servers, dezelfde scope
2. Failover-relatie aanmaken tussen beide
3. Mode kiezen: load-balance of hot-standby
4. Test door één server uit te zetten

Wanneer ons inschakelen: 
Een groot kantoor met VoIP: DHCP-uitval breekt ook telefoons, redundantie is geen luxe.

Question 20

Externe namen worden traag opgelost vanaf het kantoor.

Accepted Answer

1. Forwarders naar twee externe resolvers
2. Reverse-zone voor LAN-subnet aanmaken
3. DNS scavenging tegen oude records
4. Conditional forwarders voor vertrouwde zones

Wanneer ons inschakelen: 
DNS-leakage of split-horizon nodig: ontwerp doorpraten, niet ad-hoc forwarders bijklikken.

Question 21

VMware-licenties zijn fors duurder geworden, wat nu?

Accepted Answer

1. Inventariseer huidige VM-load en features
2. Hyper-V als Microsoft-stack al overheerst
3. Proxmox VE voor open-source en lage licentie-kost
4. Migratie-pad: P2V/V2V tools per platform

Wanneer ons inschakelen: 
Cluster met vSAN of NSX-afhankelijkheid: migratie is project, geen weekend-klus.

Question 22

Is een VM-snapshot voldoende als back-up?

Accepted Answer

1. Snapshot = punt-in-tijd op zelfde disk
2. Backup = kopie naar aparte locatie
3. Snapshots niet langer dan paar uur laten leven
4. Backup-restore periodiek testen

Wanneer ons inschakelen: 
Lange snapshots op productie: snapshot-bloat kan VM laten crashen of disk vol trekken.

Question 23

Oude fysieke server moet eindelijk een VM worden.

Accepted Answer

1. Inventariseer afhankelijkheden en licenties
2. Test P2V op een kopie, niet de bron
3. Verwijder oude vendor-drivers na conversie
4. Plan voldoende downtime voor cutover

Wanneer ons inschakelen: 
Server met dongles, USB-licenties of speciale hardware: virtualisatie is niet altijd haalbaar.

Question 24

Welke Synology past bij een MKB-kantoor?

Accepted Answer

1. Plus-serie voor BTRFS en snapshots
2. Minimaal 4 bays voor SHR met redundantie
3. Voldoende RAM, liefst ECC waar mogelijk
4. Reken op 2 disks redundantie bij grotere arrays

Wanneer ons inschakelen: 
Boven 50 gebruikers en zware multimedia: kijk naar XS+ of een echt SAN-alternatief.

Question 25

Disk in NAS gefaald, hoe lang duurt het rebuilden?

Accepted Answer

1. Stop niet-essentieel verkeer naar de NAS
2. Vervang met identieke of grotere disk
3. Volg rebuild-progressie via interface
4. Plan extra back-up vlak voor en na de rebuild

Wanneer ons inschakelen: 
Tweede disk kraakt tijdens rebuild: stop, niet doorgaan, en haal data van back-up.

Question 26

Heeft een NAS echt ECC-RAM nodig?

Accepted Answer

1. Plus/XS-serie biedt vaak ECC
2. Memory test bij eerste install
3. BTRFS/ZFS scrubbing weekly of monthly
4. Niet sluipen met goedkope DIMMs

Wanneer ons inschakelen: 
Productie-data of compliance-eis: kies ECC, geen discussie.

Question 27

BTRFS, ZFS of ext4 voor mijn NAS?

Accepted Answer

1. BTRFS: snapshots, checksums, breed in Synology
2. ZFS: zwaarder maar zeer robuust, TrueNAS-stack
3. ext4: simpel maar geen integriteit-check
4. RAM-budget meewegen, ZFS lust geheugen

Wanneer ons inschakelen: 
Bestaand ext4-volume migreren: dat kan vaak alleen via opnieuw aanmaken en data terug zetten.

Question 28

Hoe maak ik een tweede NAS-locatie als off-site kopie?

Accepted Answer

1. Tweede unit op andere locatie of brandcompartiment
2. Plan replicatie buiten kantoor-uren
3. Encryptie aan op de replicatie-link
4. Test restore vanaf de off-site, niet alleen primary

Wanneer ons inschakelen: 
Glasvezel-keten valt vaak uit op één route: zorg dat replicatie-fouten gemonitord worden.

Question 29

Heb ik een dual-PSU server nodig of is single ook prima?

Accepted Answer

1. Twee PSU's op aparte UPS- of stroomgroepen
2. Single PSU prima voor edge of lab
3. PSU's testen door één los te trekken
4. Plan PSU-vervanging in onderhoud

Wanneer ons inschakelen: 
Eén stroomgroep voor het hele rack: dual-PSU helpt dan minder, splits eerst de groepen.

Question 30

Wat is IPMI/iDRAC/iLO en moet ik dat instellen?

Accepted Answer

1. Aparte management-poort op eigen VLAN
2. Sterke wachtwoorden, niet de default
3. Firmware regelmatig updaten
4. Nooit op het internet open

Wanneer ons inschakelen: 
Bekende kwetsbaarheden in BMC-firmware: blokkeer beheer-VLAN buiten kantoor en patch eerst.

Question 31

Onze server-room wordt soms te warm in de zomer.

Accepted Answer

1. Temperatuur en luchtvochtigheid loggen
2. Alarm bij overschrijding via mail of SMS
3. Hot- en cold-aisle ook in kleine ruimte
4. Reserve-airco of backup-cooling voor zomer

Wanneer ons inschakelen: 
Geen tweede koeling en kritieke server-room: dat is een risico voor de business, escaleer naar directie.

Question 32

UPS staat al jaren in het rack, werkt hij nog?

Accepted Answer

1. Inventariseer leeftijd van UPS-batterij
2. Plan een gecontroleerde load-test buiten uren
3. Vervang batterijen na 3-5 jaar
4. Check runtime onder huidige load, niet de specs

Wanneer ons inschakelen: 
Tijdens kort stroom-glitch herstart server: UPS doet het niet, eerst vervangen, niet hopen.

Question 33

Windows Server 2019, 2022 of 2025?

Accepted Answer

1. 2025 voor langste support-window
2. 2022 prima voor stabiele MKB-rollen
3. Compatibiliteit met software-vendor checken
4. Server-Core overwegen voor minder oppervlak

Wanneer ons inschakelen: 
Software-vendor steunt alleen 2019: dat is risico, vraag roadmap, geen wishful thinking.

Question 34

RDS-server geeft licentie-foutmelding na 120 dagen.

Accepted Answer

1. RDS Licensing role installeren
2. Per-User of Per-Device CALs kiezen
3. Activeer de licensing-server bij Microsoft
4. Check beschikbaarheid in event-log

Wanneer ons inschakelen: 
User-CAL versus Device-CAL verkeerd ingekocht: dat los je niet on-the-fly op, terug naar reseller.

Question 35

WSUS-server is traag en moeilijk te onderhouden.

Accepted Answer

1. Inventariseer wat WSUS nu doet
2. Migratie-pad richting Intune-update-rings
3. Servers via Azure Update Manager beheren
4. WSUS uitfaseren, niet alleen erlangs zetten

Wanneer ons inschakelen: 
Veel offline of geïsoleerde clients: WSUS heeft nog wel rol, maar plan migratie.

Question 36

Welke Linux-distro voor een eenvoudige on-prem-server?

Accepted Answer

1. Ubuntu LTS: makkelijke instap, brede community
2. Debian: stabiel, minder hand-holding
3. Rocky/Alma: voor wie RHEL-ervaring heeft
4. Vermijd niet-LTS releases voor productie

Wanneer ons inschakelen: 
Vendor-software ondersteunt alleen één specifieke distro: volg vendor, niet je voorkeur.

Question 37

Hoe maak ik SSH op een Linux-server veiliger?

Accepted Answer

1. Wachtwoord-login uitzetten, alleen keys
2. Root-login uitzetten, sudo via gewone user
3. Fail2ban tegen brute-force
4. Poort 22 alleen achter VPN of vertrouwd subnet

Wanneer ons inschakelen: 
Server moet wel publiek SSH hebben: voeg MFA toe en streng audit-log.

Question 38

SELinux of AppArmor blokkeert mijn applicatie, mag ik het uitzetten?

Accepted Answer

1. Bekijk audit-logs welke regel blokkeert
2. Specifieke booleans of profile aanpassen
3. Permissive-mode tijdelijk om te diagnosticeren
4. Daarna terug naar enforcing

Wanneer ons inschakelen: 
Vendor adviseert het uit te zetten: vraag waarom, eerst escalate naar vendor-support.

Question 39

We willen onze file-server naar SharePoint/OneDrive verhuizen.

Accepted Answer

1. Inventariseer huidige share-structuur
2. Tools: SharePoint Migration Tool of derde-partij
3. Test met één afdeling als pilot
4. Train gebruikers op OneDrive-sync, niet als nieuwe drive

Wanneer ons inschakelen: 
Veel apps schrijven nog naar UNC-paden: file-server kort houden of vervangen door Azure Files.

Question 40

Laatste Exchange-server is alleen nog voor attribuut-beheer.

Accepted Answer

1. Inventariseer welke attributen lokaal beheerd worden
2. Microsoft-aanbevolen tooling voor attribuut-edit
3. Mailboxen zelf zijn al jaren in M365
4. Gefaseerd uitschakelen, niet hard uit

Wanneer ons inschakelen: 
Hybride configuratie met meerdere tenants of complexe routering: doe dit niet alleen, plan met support.

Question 41

Enige DC ligt eruit, niemand kan inloggen.

Accepted Answer

1. Bevestig of het DC of het netwerk is
2. Cached-logon werkt nog op laptops
3. Probeer netjes te starten, geen geforceerde herstel
4. Roll-back van laatste update overwegen

Wanneer ons inschakelen: 
DC weigert te starten: tweede DC erbij plaatsen of recovery vanaf back-up; niet uren rommelen.

Question 42

File-server zit ineens 100% vol.

Accepted Answer

1. Identificeer grootste mappen snel
2. Tijdelijk opschonen waar veilig kan
3. Check log-mappen en oude backups
4. Quota of file-screen instellen voor herhaling

Wanneer ons inschakelen: 
Volume blijft vol-lopen ondanks opschonen: applicatie schrijft ergens hardnekkig, vendor erbij.

Question 43

RAID meldt 'disk degraded', wat is de juiste volgorde?

Accepted Answer

1. Identificeer de juiste fysieke slot via beheer-tool
2. Back-up status checken vooraf
3. Hot-swap conform vendor-procedure
4. Rebuild monitoren tot volledig groen

Wanneer ons inschakelen: 
Meerdere disks tegelijk degraded: stop, niet doorgaan met swap; mogelijk backplane of controller.

Question 44

Na Windows-update verloor een Hyper-V-VM netwerk.

Accepted Answer

1. Check virtuele switch op host
2. VM-NIC opnieuw koppelen aan switch
3. Driver van fysieke NIC controleren
4. Roll-back update als laatste redmiddel

Wanneer ons inschakelen: 
Cluster-host met meerdere VM's offline: failover-rol activeren, niet eerst lange foutzoeken op één host.

Question 45

Windows Server 2012 of 2012 R2 draait nog en is uit support

Accepted Answer

1. Inventariseer wat op de server draait: rol, applicatie-versie, gebruikers, koppelingen
2. Voor file-server: migreer naar SharePoint, OneDrive of een nieuwe Windows Server
3. Voor legacy lijn-app: vraag leverancier of die op Server 2022 of 2025 draait, of plan vervanging
4. Voor AD: hef niet zomaar een DC op, plan in volgorde rolverplaatsing, replica, decommissioning

Wanneer ons inschakelen: 
Bij applicaties van leveranciers die niet meer bestaan: voor de tijd dat je toch op 2012 blijft, isoleer de server netwerk-segmenteren en haal hem van internet, accepteer dat als tijdelijk en log het.

Question 46

On-prem Hyper-V naar Azure migreren, waar begin ik

Accepted Answer

1. Run Azure Migrate-assessment om VMs te zien op SKU-aanbeveling en kosten
2. Bouw VNet, subnets en VPN of ExpressRoute voor je migreert, niet erna
3. Test eerst een niet-kritieke VM, valideer DNS, applicatie-login, backup
4. Cutover één voor één in onderhouds-vensters, niet alles tegelijk

Wanneer ons inschakelen: 
Bij Windows-licenties: Azure Hybrid Benefit kan flink schelen, maar alleen met SA-licenties. Check dat voor je migreert, anders dubbele licentie-rekening.

Question 47

Synology of QNAP voor een MKB-NAS-keuze

Accepted Answer

1. Synology: stabieler updatebeleid, sterke Active Backup for Business, beperkt door eigen disks (geldt voor 2025+ Plus-serie; oudere modellen accepteren third-party disks)
2. QNAP: krachtiger hardware per euro, meer apps, in het verleden meer ransomware-incidenten op publieke modellen
3. Plaats geen NAS rechtstreeks op het internet, ongeacht merk, gebruik VPN of een reverse proxy met MFA
4. Plan twee-disk redundantie en off-site backup, niet één-disk in een Plus-model

Wanneer ons inschakelen: 
Bij meer dan 30 gebruikers met intensief gebruik (video, foto): kies XS+-niveau (Synology) of TS-h Enterprise (QNAP), of stap naar een echte file-server.

Question 48

NAS-disks staan er al jaren in, geen idee wanneer ze vervangen moeten

Accepted Answer

1. Lees power-on hours en SMART-attributen via de NAS-UI of smartctl
2. Plan vervanging proactief vanaf vier tot vijf jaar power-on, niet pas bij failure
3. Vervang in batches, en spreid de inkoop bewust (niet alle nieuwe disks uit dezelfde batch)
4. Houd een hot-spare op de plank, een rebuild op zondagavond zonder vervanger is geen plan

Wanneer ons inschakelen: 
Bij meerdere disks die SMART-warnings tegelijk geven: stop met schrijven en restore vanaf backup naar een nieuwe array. Een doorgaande rebuild op een wankele array is hoe je alles tegelijk verliest.

Question 49

Server staat in de meterruimte, in de zomer doet hij raar

Accepted Answer

1. Meet temperatuur over een week met een goedkope datalogger, niet één keer met een thermometer
2. Houd de ruimte onder de bovengrens van de fabrikant (vaak rond 27 graden), met marge in de zomer
3. Zet een UPS tussen, met monitor naar mail of Slack als de batterij oud wordt
4. Verplaats de server naar een afsluitbare en geventileerde ruimte, of vervang door cloud-equivalent

Wanneer ons inschakelen: 
Bij geen ventilatie-mogelijkheid en geen koeling-budget: dat is meestal het signaal om naar Microsoft 365 plus Azure files of een gehoste server te bewegen, niet om een airco in de meterruimte te zetten.

Question 50

Fileserver is uit de garantie, vervangen of doorpakken naar de cloud

Accepted Answer

1. Bereken de werkelijke kost van de fileserver per jaar: hardware-afschrijving, licenties, backup, beheer
2. Vergelijk met SharePoint plus OneDrive of een Azure Files-share, inclusief migratie-werk eenmalig
3. Bereken extra: 24/7-uitwijk, off-site backup, en wat een storing nu kost qua productie
4. Maak een plan met cutover-datum, parallel-loop-periode, en een datum waarop oude doos uit

Wanneer ons inschakelen: 
Bij specifieke applicaties die op SMB-paden of NetBIOS-namen leunen: dat verbouwen is vaak meer werk dan de fileserver zelf, plan dat als apart project.

Question 51

ESXi-licentie verloopt of upgradepad onduidelijk na Broadcom-overname.

Accepted Answer

1. Inventariseer huidige edition en aantal sockets of cores
2. Vraag bij reseller schriftelijk om upgradepad en eindprijs
3. Vergelijk met Hyper-V of Proxmox als migratie-optie
4. Plan licentievernieuwing minimaal een kwartaal vooruit

Wanneer ons inschakelen: 
Offerte loopt op naar onbetaalbaar voor jouw scale: migratie naar Hyper-V of Proxmox serieus uitwerken, niet pas bij verloopdatum.

Question 52

Wat doen we met Windows Server 2019 richting 2029?

Accepted Answer

1. Lijst alle 2019-servers en hun rol op
2. Per rol bepalen: vervangen door 2022 of 2025, of naar cloud
3. AD, file en print laatst, makkelijke rollen eerst
4. Begroot vervanging gespreid over meerdere jaren

Wanneer ons inschakelen: 
Veel ouder dan 2019 nog draaien (2012 R2, 2016 buiten support): plan een hard cutoff in plaats van eindeloos uitstellen.

Question 53

Na stroomuitval start de server, maar VM of database is corrupt.

Accepted Answer

1. Controleer of UPS-agent praat met de hypervisor of host
2. Test geplande shutdown bij simulatie van power-fail
3. Battery runtime moet shutdown-tijd ruim dekken
4. Cache-batterij van de RAID-controller jaarlijks checken

Wanneer ons inschakelen: 
Storage corrupt na elke stroomdip: write-cache zonder battery-backed unit (BBU), niet vertrouwen op alleen de UPS.

Question 54

Ik wil zwaardere wachtwoordregels voor admins dan voor gewone users.

Accepted Answer

1. Open Active Directory Administrative Center, ga naar je domein, System, Password Settings Container.
2. Maak een nieuwe Password Settings, geef hem precedence (lager nummer wint) en koppel hem aan een groep zoals Tier-0 Admins of Service Accounts.
3. Zet zinvolle waarden: minimaal 14 tot 16 tekens voor admins, geen complexity die mensen naar Pa$$w0rd1 duwt, lockout-threshold die brute-force blokkeert maar geen helpdesk-storm geeft.
4. Test met een proefaccount in de doelgroep: open een nieuwe sessie en probeer een te kort wachtwoord, controleer dat de PSO daadwerkelijk wint via dsget user -effectivepso.
5. Documenteer welke groep welke PSO heeft, anders blijft het raadsel waarom één account andere regels volgt.

Wanneer ons inschakelen: 
Combineer dit met een ban op bekende lekwachtwoorden. Microsoft Entra Password Protection kan dat ook on-prem afdwingen via een proxy en agent op je DC's.

Question 55

Een instelling op een werkstation klopt niet, ik weet niet welke GPO wint.

Accepted Answer

1. Run op de betreffende pc gpresult /h c:	empsop.html /scope both en open het rapport.
2. Zoek de instelling op, kijk welke GPO 'Winning GPO' is en welke andere GPO's de instelling probeerden te zetten.
3. Controleer in Group Policy Management de scope: gelinkt op de juiste OU, security filtering correct, WMI-filter dat niet onbedoeld blokkeert.
4. Bij user-instellingen die toch niet landen op een terminal-server: check loopback processing mode (Replace of Merge) op de OU van het computerobject.
5. Pas één variabele tegelijk aan, run gpupdate /force, herstart als de instelling pas bij login werkt, en hertest.

Wanneer ons inschakelen: 
Als de Winning GPO klopt maar het effect niet zichtbaar is op de pc, denk aan client-side extensions die niet draaien, gestopte Group Policy Client service of corrupt registry.pol.

Question 56

Iedereen heeft toegang tot alles op de fileserver en niemand weet meer waarom.

Accepted Answer

1. Maak een rapport met AccessChk of een tool als FileAuditor: welke shares hebben Domain Users, Authenticated Users of Everyone in de ACL?
2. Definieer een rol-gebaseerd model: per afdeling of project een security-group, geen losse user-permissies meer op folders.
3. Begin top-down: hoofdfolders krijgen alleen de afdelingsgroep, sub-folders alleen waar het echt anders moet. Vermijd diepe ACL-piramides.
4. Plan een audit-window per afdeling met de teamlead erbij: wie hoort hier, wie niet meer, en wat zijn de uitzonderingen.
5. Zet Access-Based Enumeration aan zodat mensen mappen waar ze niet bij kunnen ook niet meer zien, dat scheelt vragen.

Wanneer ons inschakelen: 
Bij honderdduizenden bestanden of complexe historie loont een tool als Varonis of Netwrix. Dat wordt snel duur, dus eerst kijken of de hygiëne te repareren is met Microsoft-eigen middelen.

Question 57

We willen overstappen tussen Hyper-V en VMware, hoe pak ik dat aan?

Accepted Answer

1. Inventariseer per VM: OS, schijfgrootte, generation (Gen1/Gen2 voor Hyper-V), UEFI of BIOS, integration services en hypervisor-specifieke drivers.
2. Verwijder hypervisor-tools voor de migratie: VMware Tools eraf bij weg-uit-VMware, Hyper-V Integration Services eraf bij weg-uit-Hyper-V. Anders krijg je BSOD's of geen netwerk.
3. Kies methode: Veeam restore naar de andere hypervisor is het schoonst voor de meeste MKB-omgevingen, Starwind V2V is gratis voor kleine sets, VMware vCenter Converter werkt nog richting VMware.
4. Test met een onbelangrijke VM eerst, los driver- en boot-issues op (UEFI vs BIOS, schijfcontroller-driver) en documenteer het recept.
5. Plan productie-VM's in onderhoudsvensters, met een rollback-pad: bron-VM blijft uit maar bewaard, tot de doelversie minstens een week stabiel draait.

Wanneer ons inschakelen: 
Bij domain controllers, clusters of Exchange/SQL met hoge eisen aan downtime, eerst de architectuur checken voordat je gaat converteren. Soms is een nieuwe VM bouwen en data overzetten sneller en veiliger.

Question 58

Een VM heeft sinds maanden een snapshot, en nu is hij heel traag of corrupt.

Accepted Answer

1. Maak vóór alles een Veeam- of vergelijkbare backup van de VM in de huidige staat. Een snapshot mergen kan misgaan.
2. Inventariseer de chain: in VMware via Snapshot Manager of de map met -delta-files, in Hyper-V via Get-VMSnapshot en de .avhdx files.
3. Plan een onderhoudsvenster, schakel applicaties netjes uit als de VM een database draait, en start dan de consolidatie of snapshot delete.
4. Monitor de merge: in VMware kan dit uren duren met grote delta's, in Hyper-V loopt automatisch een merge bij delete. Niet rebooten halverwege.
5. Na consolidatie: hercontrol de VM (chkdsk in Windows, fsck in Linux), test de applicatie en bewaar de backup tot je zeker weet dat alles klopt.

Wanneer ons inschakelen: 
Lukt de merge niet door diskcorruptie of vol datastore, restore dan vanuit de pre-merge backup naar een nieuwe VM en pak het van daar opnieuw op. Niet door blijven proberen op een wankele chain.

Question 59

Mijn Veeam-job faalt al een paar nachten, maar ik kom niet aan analyseren toe.

Accepted Answer

1. Open Veeam, klik op de gefaalde job, lees de Sessions-log: noteer waar het stuk gaat (VSS, snapshot, transport, target).
2. Check de basis: Veeam Service draait, repository heeft >15% vrij, gast-credentials werken nog (geen verlopen wachtwoord).
3. VSS-fouten op de gast: in de VM een Get-VssWriter, restart van de problematische writer (Volume Shadow Copy, COM+, soms SQL-writer). Bij Linux: check fsfreeze of de application-aware snapshot configuratie.
4. Repository-issues: verifieer rechten van het service-account op de share of het lokale pad, check antivirus-uitsluitingen voor .vbk/.vib bestanden.
5. Run een Active Full als de incremental chain corrupt is. Niet hopen dat het morgen vanzelf goed gaat.

Wanneer ons inschakelen: 
Bij herhaalde 'Storage failure' of bitrot-symptomen in Veeam: doe een SureBackup of een handmatige restore-test naar een testomgeving. Vertrouwen op een groen vinkje is geen backup.

Question 60

We zijn geraakt door ransomware en moeten herstellen vanuit immutable backup.

Accepted Answer

1. Trek de geïnfecteerde omgeving van het netwerk af, ook backup-paden. De backup-server is een primair doel voor aanvallers, dus controleer of die schoon is voordat je iets terugzet.
2. Bouw een schone restore-bubbel: nieuw VLAN of geïsoleerde host met verse hypervisor en OS, géén verbinding met productie-AD of internet.
3. Identificeer de laatste schone backup: check de modify-tijden van .vbk/.vib, vergelijk met het moment van encryptie, neem een week marge.
4. Restore eerst de domain controller en kerninfrastructuur, scan de restored VM's met een EDR voordat je ze ontsluit, reset alle wachtwoorden en KRBTGT (twee keer met interval).
5. Pas dan stap voor stap user-VM's en data terug, met een prioritering vanuit de business: wat moet morgen draaien, wat kan een week wachten.

Wanneer ons inschakelen: 
Bij ransomware altijd melding bij Autoriteit Persoonsgegevens (datalek) en politie. Een gespecialiseerde DFIR-partij scheelt fouten, ook al kost het. Niet zelf onderhandelen met aanvallers.

Question 61

Een AD-trust tussen twee domains werkt niet meer, gebruikers krijgen geen toegang.

Accepted Answer

1. Op een DC aan beide kanten: nltest /sc_query:OTHERDOMAIN en netdom verify /domain:OTHERDOMAIN. Lees de exacte foutcode.
2. Check DNS: forward en conditional forwarders moeten beide kanten op werken, plus reverse-zones. Test met nslookup -type=SRV _ldap._tcp.dc._msdcs.OTHERDOMAIN.
3. Firewall-controle: poorten 88 (Kerberos), 389 en 636 (LDAP), 445 (SMB), 3268 (Global Catalog) en de RPC-range moeten open zijn tussen DC's.
4. Reset het trust-password als alles netjes lijkt maar Kerberos klaagt: netdom trust /domain:OTHERDOMAIN /resetonewaytrustpassword (in beide richtingen, met enkele minuten tussen).
5. Test met een testaccount uit het andere domein op een share of pc, en check Event Viewer (System en Security) op beide DC's voor Kerberos- en NTLM-events.

Wanneer ons inschakelen: 
Bij een merger of acquisitie waar beide kanten niet onder jouw beheer vallen, verzamel logs en betrek beide AD-teams. Trust-troubleshooting zonder toegang tot de andere kant is bijna altijd dood spoor.

Question 62

Onze WiFi-auth via NPS/RADIUS is dood en niemand komt meer op het netwerk.

Accepted Answer

1. Check op de NPS-server: dienst Network Policy Server draait, Event Viewer, custom view 'Network Policy and Access Services'. Lees recente events.
2. Veelvoorkomende oorzaken: certificaat van NPS verlopen (PEAP/EAP-TLS gebruikt cert), shared secret op AP en NPS uit de pas, AD-connectiviteit of LDAP-rechten weg.
3. Test direct met een testaccount: ntradping of een testtool tegen NPS, vermijdt dat je via WiFi blijft gokken. Op AP-niveau: test page of debug logs.
4. Heeft NPS RADIUS-clients (de access points) nog correct geregistreerd? Open NPS-console, RADIUS Clients, controleer IP en shared secret per AP.
5. Bouw na herstel een tweede NPS op een aparte server, zet die als secondary in de AP-configuratie, en plan certificaat-vervanging vóór elke verloopdatum.

Wanneer ons inschakelen: 
Bij grotere omgevingen of meerdere SSID's met verschillende policies: overweeg ClearPass, FortiAuthenticator of een cloud-RADIUS. Kant-en-klaar redundant en met audit-logs.

Question 63

Wat zijn de basisregels voor DNS op een Domain Controller?

Accepted Answer

1. Een DC verwijst nooit alleen naar zichzelf voor DNS. Liefst: primary = andere DC, secondary = zichzelf, of in een single-DC scenario primary = zichzelf maar plan de tweede.
2. Clients en servers verwijzen alleen naar interne DC's voor DNS, nooit naar 8.8.8.8 of provider-DNS. Externe resolution gaat via forwarders op de DC's.
3. Active Directory Integrated zones gebruiken zodat replicatie automatisch loopt, statische zones laten staan op één server vermijden.
4. Reverse-zones aanmaken voor de gebruikte subnetten, anders falen veel security-tools en logging op naam-resolutie.
5. Aging en Scavenging aanzetten zodat oude records (laptops die niet meer bestaan) opruimen, anders krijg je dubbele en verkeerde A-records.

Wanneer ons inschakelen: 
Bij split-DNS (intern vs extern dezelfde domeinnaam): documenteer welke records intern overschreven worden, anders krijg je twee jaar later een mailroute die mysterieus verdwijnt.

Question 64

Kerberos-fouten of clock skew, tijd staat niet meer in lijn op de DC.

Accepted Answer

1. Identificeer de PDC-emulator: netdom query fsmo. Op die DC moet w32tm /query /status NTP-bron tonen die extern is, niet 'Local CMOS Clock'.
2. Configureer correct op de PDC: w32tm /config /manualpeerlist:'pool.ntp.org 0x9' /syncfromflags:manual /reliable:yes /update, daarna w32tm /resync.
3. Andere DC's en members syncen automatisch met de PDC. Check met w32tm /monitor of w32tm /query /source: zou 'CMOS Clock' nooit moeten zijn op een member.
4. Op virtuele DC's: tijdsynchronisatie via Hyper-V/VMware tools UIT zetten, anders vecht het met Windows Time. Alleen Windows Time zorgt voor tijd.
5. Plan een hertest na een paar uur en na de volgende reboot. Time-issues komen soms pas na een herstart terug.

Wanneer ons inschakelen: 
Bij hardnekkige tijdsdrift op de host (CMOS-batterij leeg, oude hardware) is vervangen of upgraden van de host onvermijdelijk. Software lost geen sterven hardware op.

Servers en on-premise