Hallo Leutz,
die folgende Bilderanleitung beschreibt, wie man ein SAN (Subject Alternate Name) Zertifikat an eine Windows Server 2008 CA ausstellt. Der SAN enthaelt den DNS FQDN fuer die IP Adresse der VIP in einem TS NLB Cluster:
http://www.it-training-grote.de/download/SAN-request.pdf
Gruss Marc
Hallo Leutz,
heute hat mich bei einem Kunden die Mutual Authentication mit Server Zertifikaten in einer Windows Server 2008 Terminal Server Umgebung und TS Gateway etwas aufgehalten. Konkrewt hatten wir Probleme mit dem RDP Verbindungsaufbau von nicht Domaenen PC zu der TS Farm, wegen fehlender RootCA Zertifikate, fehlender ISA Richtlinien, IIS Berechtigungsproblemen und mehr đ Nachdem ich das Problem loesen konnte, habe ich das ganze fuer mich und den Kunden dokumentiert und daraus ist der folgende Artikel entstanden:
http://www.it-training-grote.de/download/ts-rdp-crl.pdf
Gruss Marc
Hallo Leutz,
gestern habe ich bei einem ISA EE Kunden mit drei ISA Arrays ISA NLB von Unicast auf Multicast umgestellt und dabei hat uns der FSMO ADAM Schema Role Owner kurz etwas aufgehalten đ
Bisherige Informationen zum Thema ISA Server 2006 Multicast findet Ihr hier:
http://www.it-training-grote.de/blog/?p=167
http://www.it-training-grote.de/blog/?p=169
http://www.isaserver.org/tutorials/How-change-Microsoft-ISA-Server-2006-NLB-Unicast-Multicast.html
Gesagt getan, NLB aufgeloest und NLBCLEAR ausgefuehrt. Danach dann das Script ausgefuehrt, welches ein ADAM Schema Update auf dem FSMO Schema Role Owner durchfuehren muss. Aber wie, wenn der FSMO Owner an einem anderen Standort liegt und die S2S Verbindung nicht mehr da ist? Standardmaessig liegt der FSMO Owner auf dem ersten Server, welcher im Enterprise installiert wurde.
Ermitteln kann man den FSMO Owner u. a. mit einem von Jim Harrison erstellten Script(http://blogs.technet.com/isablog/archive/2008/07/13/isa-scripting-without-scripting-isa.aspx), aber wir nahmen an, dass der FSMO Role Owner auf einem der CSS am upzudateten Standort liegt.
Also flugs die S2S Verbindung wieder eingerichtet und mit dem ADAM Schema SnapIn den FSMO Owner temporaer an den umzustellenden Standort verschoben wie die folgenden Screenshots zeigen:
 
 
Die durchgefuehrten Schritte hier nochmal in Kuerze:
Backup Rechner erstellen (insbesondere CSS)
ISA Konfig Backup
IP Adressen VIP NLB notieren
Netzwerknamen notieren
Umstellung Multicast mit/ohne IGMP
Status anzeigen: cscript kb938550.wsf /array:arrayname /show
NLB in ISA deaktivieren
NLBCLEAR auf allen ISA Nodes ausfuehren
ARP Cache auf allen beteiligten Systemen loeschen
SP1 muss auf allen CSS und ISA Knoten installiert sein
Auf dem primaeren CSS das Script ausfuehren
MIT IGMP: cscript kb938550.wsf /array:NameOfArray /nlb:igmp /net1:ArrayNetwork
OHNE IGMP: cscript kb938550.wsf /array:NameOfArray /nlb:multicast /net1:ArrayNetwork
UNICAST: cscript kb938550.wsf /array:NameOfArray /nlb:unicast /net1:ArrayNetwork
Array Konfiguration syncen
NLB in ISA wieder aktivieren
Array Konfiguration syncen
Server booten (meine Vorgehensweise)
Multicast MAC an Switchen fest konfigurieren
Gruss Marc
Hallo Leutz,
Karsten und ich haben unsere Webseite www.forefront-tmg.de mit weiterem Leben gfuellt und die ersten gemeinsamen Forefront TMG Schulungstermine veroeffentlicht.
Weitere Informationen, auch zu den Terminen, findet Ihr hier: www.forefront-tmg.de
Gruss Karsten und Marc
Hallo Leutz,
an folgenden Terminen findet die Windows 7 Joint Launch Roadshow statt:
Muenchen – ICM – 07.10.2009
Hannover – Maritim Airport – 18.11.2009
Duesseldorf – Swissotel Neuss – 20.11.2009
Frankfurt – Congress Center – 23.11.2009
Karlsruhe – Stadthalle – 25.11.2009
Die Themen im Fokus:
Client – Windows 7
Server – Windows Server 2008 R2, System Center und Forefront
Kommunikation – Exchange Server 2010
Die Agenda:
http://www.microsoft.com/germany/jointlaunch09/agenda.aspx?city=0
Ich habe die grosse Ehre an den Veranstaltungstagen einen Vortrag zum Thema “Microsoft Forefront â integrierte Sicherheit zum Schutz von Client, Server und Netzwerk” halten zu duerfen.
Gruss Marc
Hallo Leutz,
eine der vielen Neuerungen der RD-Services (RD = Remote Desktop) in Windows Server 2008 R2 ist die RD Virtualization, mit dessen Hilfe Benutzer ueber TS Webapp oder TS Remoteapp Zugriff auf einen TS RD Host Server bekommen und dann per RD Redirection ueber einen Hyper-V Host auf einen personalisierten virtualisierten Desktop weitergeleitet werden. Dieses Feature habe ich heute in meinem Testlab konfiguriert und das ganze mit Screenshots und einigen Texten dokumentiert, aber seht selbst:
 http://www.it-training-grote.de/download/ts-vd.pdf
Gruss Marc
Hallo Leutz,
ich habe mir heute Abend die oeffentlich verfuegbare Beta von UAG 2010 angesehen. Dabei ist folgendes Bilderbuch entstanden:
http://www.it-training-grote.de/download/UAG2010Beta.pdf
Weitere Informationen zu UAG:
http://www.microsoft.com/forefront/edgesecurity/iag/en/us/uag-beta.aspx
Teil II mit weiteren Details erfolgt am Wochenende wenn ich zuhause bin und mir mehr Infrastruktur zur Verfuegung steht.
Gruss Marc
Hallo Leutz,
eben gerade kam noch eine Kundensupportanfrage wegen TMG und FTP rein: TMG laesst kein Active Mode FTP zu und alles ist einwandfrei konfiguriert, lt. Aussage des Kunden. Ja ja, dachte ich, bestimmt hat er was falsch konfiguriert. Also per Fernwartung auf den Admin-PC und ich staunte selbst. Ist doch alles prima, aber es funzt doch nicht. Also suchen, bis ich nach geschlagenen 10 Minuten die Loesung fand: TMG aendert den FTP-Filter so, dass per Default kein Active Mode FTP erlaubt ist. Wie man(n) TMG ueberreden kann, doch Active Mode FTP zuzulassen, steht hier:
http://www.it-training-grote.de/download/TMG-FTP.pdf
Gruss Marc
Hallo Leutz,
es gibt mal wieder ein Security Bulletin fuer ISA Server:
Gruss Marc
Hallo Leutz,
bei einem Kunden habe ich Virtual Server 2005 R2 SP1Â auf Hyper-V migriert und gleich SCVMM 2008 fuer die Kundenhosts installiert. Es sollten 4 physikalische Maschinen migriert werden und dazu bietet sich ja SCVMM 2008 geradezu an.
Also flugs den SCVMM 2008 P2V Assistenten gestartet und der Assi meldet auch, “alles Prima”, aber bei 32% der P2V bricht der Assistent mit der Migrationsprozess mit der folgenden Meldung ab:
Error (3154)
An internal error has occurred trying to contact an agent on the KUNDEN server.
(Internal error code: 0x8099319E)
Recommended Action
Ensure the agent is installed and running. Ensure the WMI service is installed and running, then restart the agent.
Na spitze, WMI laeuft, Firewall ist aus und der Agent ist auch remote installiert. Der klassische Reboot bei Unwissenheit fuehrte auch nicht zum Erfolg đ
Aber, es gibt ja Google … aaeehh Bing und siehe da: Die Meldung besagt, dass auf dem SCVMM Server ein Portadresskonflikt fuer den BITS Dienst existiert.
Stimmt: Auf der SCVMM Maschine laeuft noch ein von mir installierter WSUS 3.0 SP1.
Folgendes schafft Abhilfe:
HKLM\Software\Microsoft\Microsoft System Center Virtual Machine Manager Server\Settings\P2VBITSTcpPort – auf einen anderen Port als 443 setzen
VMM Service neu starten
P2V Agent auf der zu virtualisierenden Maschine deinstallieren
Teilvirtualisierte VM aus dem SCVMM entfernen
Danach liessen sich alle Server problemlos migrieren. Weitere Informationen zu einem P2V Prozess findet Ihr in einem aelteren Blog Post von mir:
http://www.it-training-grote.de/blog/?p=49
Gruss Marc