Arnaud Lheureux's blog

Windows Server 2012 : DHCP Failover

Arnaud Lheureux — Thu, 21 Mar 2013 12:21:55 GMT

Encore une petite session où Stanislas et moi-même discutons de Windows Server 2012 et plus particulièrement les améliorations du service DHCP comme le failover ou basculement sans utilisation de Windows Clustering. Cette fonctionnalité permet d’offrir une disponibilité continue du service DHCP aux clients en répliquant les informations entre serveurs et basculant en cas de problème sur une machine.

Quelques références venant du blog de l’équipe produit :

Guides étape par étape : http://technet.microsoft.com/en-us/library/hh831385.aspx
Introduction a DHCP Failover : http://blogs.technet.com/b/teamdhcp/archive/2012/06/28/ensuring-high-availability-of-dhcp-using-windows-server-2012-dhcp-failover.aspx
Failover en mode Hot-Standy : http://blogs.technet.com/b/teamdhcp/archive/2012/09/03/dhcp-failover-hot-standby-mode.aspx
Failover en mode Load Balancing : http://blogs.technet.com/b/teamdhcp/archive/2012/08/06/dhcp-failover-load-balancing-mode.aspx
Déploiements multi sites : http://blogs.technet.com/b/teamdhcp/archive/2012/09/05/multi-site-deployment-topologies-for-dhcp-failover.aspx
Migration vers DHCP Failover : http://blogs.technet.com/b/teamdhcp/archive/2012/09/11/migrating-existing-dhcp-server-deployment-to-windows-server-2012-dhcp-failover.aspx

Pour tester tout cela, , vous pouvez télécharger gratuitement la version d’évaluation de Windows Server 2012 disponible sous la forme :
- d'une image ISO : http://aka.ms/jeveuxwindows2012
- d'un fichier VHD avec un système préinstallé : http://aka.ms/jeveuxwindows2012

En plus, tous les 10 téléchargements avant le 1^er avril 2013 à minuit, un livre numérique offert « Windows Server 2012 : Les bases indispensables pour administrer et configurer votre serveur » en partenariat avec les éditions ENI.

Enfin, si vous souhaitez découvrir en 4 heures Windows Server 2012, Windows 8 en entreprise, le Cloud Privé ou Hybride par Microsoft, vous pouvez vous inscrire gratuitement à un de nos IT Camps : http://aka.ms/itCampFr

Arnaud Lheureux

IP Address Management (IPAM) de Windows Server 2012

Arnaud Lheureux — Tue, 12 Mar 2013 14:54:50 GMT

IPAM (IP Address Management) est une nouvelle fonctionnalité de Windows Server 2012 qui vous donne la possibilité de découvrir, surveiller, auditer et gérer l’espace d’adressage IP utilisé sur un réseau d’entreprise. IPAM permet d’administrer et de surveiller les serveurs exécutant le service DHCP ou DNS et récolte les informations provenant des contrôleurs de domaine et des serveurs NPS.

Pour commencer vos tests et déploiements pilotes, quelques references :

Aperçu d’IPAM : http://technet.microsoft.com/en-us/library/hh831353.aspx
Avantages d’IPAM : http://technet.microsoft.com/en-us/library/jj878343.aspx
Guide de déploiement : http://technet.microsoft.com/en-us/library/jj878320.aspx
Guide de gestion et opérations : http://technet.microsoft.com/en-us/library/jj878339.aspx
Guide de configuration pas-à-pas : http://technet.microsoft.com/en-us/library/hh831622.aspx

Cerise (de Gr**pama) sur le gâteau, tous les 10 téléchargements avant le 1^er avril 2013 à minuit, un livre numérique offert « Windows Server 2012 : Les bases indispensables pour administrer et configurer votre serveur » en partenariat avec les éditions ENI.

Arnaud Lheureux

SMB 3.0 : Mise en œuvre du chiffrement

Arnaud Lheureux — Thu, 24 Jan 2013 11:11:26 GMT

Comme nous en avons déjà discuté dans un article précédent (Améliorations de sécurité de SMBv3), Windows Server 2012 et Windows 8 utilisent le protocole SMB 3.0 qui implémente désormais le chiffrement.

Retrouvez Stanislas et moi même discuter de la mise en œuvre dans un exemple simple de cette fonctionnalité.

Plus de discussions sur les protocoles réseaux et les améliorations de Windows Server 2012 auront lieu aux TechDays 2013, notamment celles-ci :

Nouveautés réseau de Windows Server 2012 (SER310)

Mercredi 13 février : 16h00-17h00

Windows 8 et Windows Server 2012: à deux c'est mieux! (SER210)

Jeudi 14 février : 13h00-14h00

Windows Server 2012 Demo Extravaganza (SER211)

Mardi 12 février : 13h00-14h00

Windows 8 et la sécurité - Demo Extravaganza (SEC303)

Mercredi 13 février : 14h30-15h30

Pour tester Windows Server 2012, vous pouvez télécharger gratuitement la version d’évaluation disponible sous la forme :
- d'une image ISO : http://aka.ms/jeveuxwindows2012
- d'un fichier VHD avec un système préinstallé : http://aka.ms/jeveuxwindows2012

Arnaud Lheureux

Découverte de DirectAccess simplifié avec Windows Server 2012

Arnaud Lheureux — Wed, 16 Jan 2013 10:57:03 GMT

En attendant les TechDays 2013 ou Stanislas et moi vous présenterons les nouveautés de DirectAccess pour Windows Server 2012 et Windows 8 en détails :

DirectAccess avec Windows Server 2012 et Windows 8 (SEC305)

Jeudi 14 février 2013 : 11h00-12h00

Retrouvez une petite vidéo d'un quart d'heure de découverte des principales nouveautés : Cette session vous montre les améliorations de DirectAccess dans Windows Server 2012 et notamment l’ensemble des fonctionnalités qui vous permettent de déployer un environnement DirectAccess de manière simple et rapide. Après une brève introduction aux concepts, nous mettons en œuvre la technologie dans une démonstration.

Arnaud Lheureux

Toutes les documentations System Center 2012 SP1

Arnaud Lheureux — Tue, 15 Jan 2013 16:46:33 GMT

System Center 2012 SP1 est disponible sur le centre de téléchargement Microsoft à partir d'aujourd'hui, n'oubliez pas le package complet des documentations en version Word et PDF pour l'emporter sur vos tablettes !

Operations Manager : http://www.microsoft.com/en-us/download/details.aspx?id=29256
Virtual Machine Manager : http://www.microsoft.com/en-us/download/details.aspx?id=6346
Configuration Manager : http://www.microsoft.com/en-us/download/details.aspx?id=29901
Service Manager : http://www.microsoft.com/en-us/download/details.aspx?id=27850
Data Protection Manager : http://www.microsoft.com/en-us/download/details.aspx?id=29698
Orchestrator : http://www.microsoft.com/en-us/download/details.aspx?id=29258
App Controller : http://www.microsoft.com/en-us/download/details.aspx?id=29694

Enfin et pas des moindres, le guide pour mettre à jour un environnement et la liste des scénarios et des configurations supportées :

Technical Scenarios for System Center 2012 SP1 : http://www.microsoft.com/en-us/download/details.aspx?id=36429

Pour télécharger System Center 2012 SP1, rendez vous sur http://aka.ms/jeveuxmoncloudprive

Arnaud Lheureux

SMB 3.0: Introduction au Multicanal

Arnaud Lheureux — Tue, 08 Jan 2013 13:53:47 GMT

Dans Windows Server 2012, vous aurez remarqué que nous avons massivement investi pour donner au protocole de partage de fichiers que nous utilisons tous les jours une ambition supplémentaire : supporter toutes vos applications les plus exigeantes (hébergement de machines virtuelles, de bases de données SQL Server 2012, etc.)

Pour cela, le multicanal SMB est un aspect fondamental : offrir aux machines la possibilité d'un accès aux partages de fichiers de manière redondée (un peu comme du multipath IO) ou en agrégeant la bande passante des connexions disponibles sur la machine. Concrètement il s'agit donc dans un dialogue SMB d'établir plusieurs sessions pour accélérer les accès aux fichiers distants en accord avec les capacités de la machine cliente et du serveur.

Prérequis

Pour pouvoir mettre en œuvre le multicanal de SMB il vous faudra au moins deux machines Windows Server 2012 et/ou Windows 8 qui ont au choix:

Plusieurs cartes réseau
Au moins une carte réseau qui supporte RSS (Receive Side Scaling)
Au moins une carte réseau qui supporte RDMA (Remote Direct Memory Access)

Détection du multicanal SMB

Lorsque le client SMB va initier un dialogue avec un serveur, cela commence comme d'habitude par un établissement de session TCP sur le port 445 suivi d'un SMB Negotiate en SMBv1 (frame 1038 sur la capture ci-dessous). La capacité de SMB 3.0 va être annoncé par le serveur ce qui va faire que le client bascule automatiquement en réponse avec le protocole SMB3.0 (techniquement SMB3.0 n'est que SMB2.2 mais il y a tellement de nouveautés dans le protocole qu'on s'est dit au final qu'un incrément de version était bien mérité)

Une fois cette bascule en SMB30 effectuée et la connexion établie (Session Setup complété), si le client supporte le multicanal, il va demander au serveur la liste de ses interfaces et de leurs capacités (en matière de bande passante notamment, mais aussi la possibilité de faire du RDMA - Remote Direct Memory Access). Charge au client de tester les différents chemins possibles pour atteindre les différentes interfaces. Ceci va s'effectuer quelques secondes après la connexion initiale et en fonction de la qualité du lien (latence et taille de la fenêtre TCP).

Evaluation des chemins

Un fois les connections établies, la machine va réévaluer le chemin toutes les 10 minutes ou lorsque les évènements suivants se produisent:

déconnection d'un câble réseau
perte de connexion
modification de la configuration SMB multicanal

Calculs des canaux à disposition

Pour une relation client/serveur, il y aura toujours une limite maximale de 8 connections concourantes et la création des connections va se baser sur le type de carte réseau impliquée comme suit:

Type d'interface réseau	Nombre maximal de connexions établies
Interface standard	1 connexion TCP
Interface supportant RDMA	2 connexions RDMA
Interface supportant RSS	4 connexions TCP

Multicanal a une carte

Commençons par un cas simple: le multicanal a une carte. Pourquoi faire ? Avec des cartes réseau a très forte bande passante et faible latence, lorsque l'on copie des gros fichiers tout va bien car on ne perd pas de temps en aller-retour pour effectuer les transactions et l'on remplit aisément la fenêtre TCP. En revanche lorsque l'on copie des petits fichiers, établir plusieurs connections TCP sur les différents cœurs CPU va permettre de mener de front plusieurs transactions et donc de tirer partie au maximum de la bande passante du lien. Dans l'implémentation actuelle, ceci ne se passe que sur des cartes à minimale 10GbE.

Multicanal a plusieurs cartes

L'utilisation du multicanal a plusieurs cartes va se faire dans les conditions énumérées précédemment en considérant l'ensemble des NICs avec des capacités égales. Si l'on a une carte 10GbE et une carte 1GbE, il est plus pertinent de n'utiliser que la carte 10GbE sans chercher à multiplexer avec la carte 1GbE.

Multicanal, et teaming

Le multicanal et la mise en équipe des cartes réseaux de Windows Server 2012 sont cumulatif. La mise en équipe de carte réseau permet d'agréger des liens au niveau logique dans NDIS (couches basses) pour n'avoir qu'une seule carte logique exposant plusieurs cartes physiques. Combiner les deux technologies permet de cumuler les bénéfices et de monter encore plus en charge dans la mesure ou une team ne correspondra alors qu'à une interface réseau du point de vue de l'évaluation des chemins par le système.

Commandes utiles

Voici quelques commandes permettant de diagnostiquer le comportement d'un système.

Dans un premier temps il est fondamental de vérifier les capacités RSS avec les commandes suivantes:

Get-NetAdapter - affiche la liste des interfaces réseau
Get-NetAdapterAdvancedProperty - affiche la liste des interfaces réseau et leurs capacités
Get-NetAdapterRSS permet de lister les files RSS associées aux cartes dans le système

Il est ensuite intéressant de vérifier les capacités du composant serveur comme du composant client SMB:

Get-SmbServerConfiguration -

Get-SmbClientConfiguration -

Get-SmbServerNetworkInterface - est sans doute la commande la plus importante car elle permet de lister les interfaces liées au serveur SMB et leurs capacités RSS.

Get-SmbClientNetworkInterface - est l'équivalent côté client de la commande précédente :

Get-SmbMultichannelConnection - Permet de voir l'état dynamique des connections établies

*** SECTION JACKY TUNING ***

Enfin notons que même si les réglages par défaut du groupe produit ont été testés pour être les plus favorables dans les cas communs, il est possible de paramétrer le nombre de connections utilisées avec les commandes suivantes:

Set-SmbClientConfiguration –MaximumConnectionCountPerServer <n>

Set-SmbClientConfiguration -ConnectionCountPerRssNetworkInterface <n>

Il est également possible de personnaliser le comportement du multicanal entre plusieurs serveurs pour forcer l'utilisation de certaines cartes et en exclure d'autres. Il faudra alors utiliser les commandes suivantes:

New-SmbMultichannelConstraint -ServerName <monserveur> -InterfaceAlias <macarte1>, <macarte2>

Exemple avec trace

Etudions un cas simple dans mon environnement de test représenté comme suit:

La configuration est la même que celle utilisée dans les commandes précédentes. Depuis member01, on va établir une connexion depuis l'Explorateur de fichiers vers member02. En parallèle Microsoft Network Monitor nous permet de suivre ce qui se passe.

1. Première session depuis member 01:

Dans les frames 1035 à 1037, on voit l'établissement de session TCP entre member01 par sa première adresse IP (192.168.42.20) et member02, puis l'initiation du dialogue SMB.

2. Deuxième, troisième, quatrième sessions:

Si on descend dans la trace, on observe que 3 établissements de sessions vont suivre depuis notre même adresse IP source de member01 (les frames 1087-1089, 1092-1094, 1099,1102 et 1103)

3. Cinquième, Sixième, Septième et huitième sessions:

Un peu plus loin dans la session, on voit que member01 va commencer à établir de nouvelles sessions sur sa deuxième carte réseau avec l'adresse IP source 192.168.42.132, avec le serveur member02. Il s'agit des frames 1260-1262, 1265-1266 et 1268; 1272 et 1274-1275 et la dernière que l'on ne voit pas ce la capture d'écran (mais vous me faites confiance non?)

Explications:

Comme on peut le voir dans cette capture on a deux interfaces 10GbE, compatibles RSS sur member01. On sait que chaque interface RSS pourra établir 4 connections TCP et qu'au total une relation client/serveur ne peut avoir que 8 connections TCP simultanées. On a donc bien mis en œuvre le multicanal, sans rien avoir configuré. Dans cette configuration, cela nous permettra d'avoir par exemple de bien meilleures performances sur la copie de fichiers en comparaison avec les versions précédentes de Windows (pour des benchmarks, voir la section référence de cet article).

Suivi à la trace

Journaux d'évènements

Les erreurs peuvent être trouvés dans les journaux d'évènements pour la partie cliente et la partie serveur:

Application and Services Log, Microsoft, Windows, SMB Client - Operational
Application and Services Log, Microsoft, Windows, SMB Server - Operational

Compteurs de performance

On notera que Windows Server 2012 sait désormais nous montrer des compteurs de performance propres à chaque partage et non plus seulement de manière globale pour le serveur. On peut ainsi obtenir des informations avancées par chacun des partage en utilisant les compteurs SMB Client Shares ainsi que SMB Server Shares.

Traces unifiées

Enfin, quand plus rien ne va, il reste toujours les traces unifiées pour déterminer les raisons d'un comportement suspect :

netsh trace start scenario=filesharing capture=yes

netsh trace stop

Et envoi du package a votre ingénieur support préféré !

Pour références:

- MSDN Protocol documentation: [MS-SMB2]- Server Message Block (SMB) Protocol Versions 2 and 3

- Windows 8 SMB 2.2 File Sharing Performance - http://msdn.microsoft.com/en-us/library/windows/hardware/hh457617

- Vidéo : Windows Server 2012 NIC Teaming and Multichannel Solutions - http://channel9.msdn.com/Events/TechEd/NorthAmerica/2012/WSV314

- The basics of SMB Multichannel, a feature of Windows Server 2012 and SMB 3.0- http://blogs.technet.com/b/josebda/archive/2012/05/13/the-basics-of-smb-multichannel-a-feature-of-windows-server-2012-and-smb-3-0.aspx

Enfin, pour tester Windows Server 2012, vous pouvez télécharger gratuitement la version d’évaluation disponible sous la forme :
- d'une image ISO : http://aka.ms/jeveuxwindows2012
- d'un fichier VHD avec un système préinstallé : http://aka.ms/jeveuxwindows2012

Arnaud Lheureux

Dépannage du Switch Hyper-V Extensible de Windows Server 2012

Arnaud Lheureux — Tue, 30 Oct 2012 13:05:00 GMT

Avec Windows Server 2012 apparait le switch extensible Hyper-V un vrai petit bijou dont on parlera encore souvent sur ce blog. Dans cet article concentrons nous sur les techniques et outils disponibles lorsque l'on veut comprendre ce qui se passe dans la bête.

Traces unifiées:

Les traces unifiées sont apparues avec Windows 7 et permettent de récupérer des traces système corrélées via ETW (Event Tracing for Windows). Cela signifie que les différents éléments inclus dans la traces sont mis en relation entre eux pour former un tout plus facile à interpréter.

Pour lancer une trace ETW, utilisons le contexte netsh trace avec le fournisseur approprié:

netsh trace start provider=Microsoft-Windows-Hyper-V-VmSwitch

Si l'on veut une trace réseau en même temps, on peut même y ajouter l'argument qui va bien:

netsh trace start provider=Microsoft-Windows-Hyper-V-VmSwitch capture=yes

Parfois on a besoin de tracer le comportement au boot, on utilise alors l'argument persistent:

netsh trace start provider=Microsoft-Windows-Hyper-V-VmSwitch persistent=yes

Par défaut on trace dans le profile de l'utilisateur courant avec une taille max de 250MB:

Une fois le comportement problématique reproduit, on arrête la trace avec

netsh trace stop

Une fois la trace obtenue, on peut l'ouvrir avec le journal d'évènements, mais ce n'est pas l'outil le plus efficace pour explorer et filtrer ce genre de traces. Utilisons plutôt des outils appropriés comme Network Monitor et Message Analyzer.

Vous allez entendre parler de plus en plus de Message Analyzer c'est le successeur de Network Monitor, et il permet de tracer à peu près tout et n'importe quoi dans Windows, bien au delà de son prédécesseur.

Vous pouvez suivre le blog de l'équipe produit ici: http://blogs.technet.com/b/messageanalyzer/

==> Pour l'instant Message Analyzer n'est disponible qu'en beta publique que vous pouvez télécharger ici: https://connect.microsoft.com/site216 (vous devrez joindre le groupe Message Analyzer et Network Monitor pour télécharger les éléments dont nous discutons ici). <==

Si vous n'avez pas envie de vous familiariser avec Message Analyzer, vous pouvez juste télécharger les parseurs pour Network Monitor 3.4, ce qui vous permettra d'interpréter les messages du Switch Virtuel Hyper-V. Etudions les deux cas pour notre exemple.

Avec Network Monitor 3.4:

La trace suivante (passage en mode plein écran recommandé), montre un exemple basique. On remarque dans la partie gauche, les network conversations permettent de filtrer les différent types d'activités du Switch de manière rapide:

On peut voir les opérations courantes sur le Switch: routage, delivery et reception que l'on peut filtrer avec les mécanismes habituels sous Netmon:

VMSWITCH_MicrosoftWindowsHyperVVmSwitch.VM_NBL_DELIVER
VMSWITCH_MicrosoftWindowsHyperVVmSwitch.VM_NBL_RECEIVE
VMSWITCH_MicrosoftWindowsHyperVVmSwitch.VM_NBL_ROUTE

Si votre dépannage ne concerne pas ces opérations, vous pouvez déjà retirer ce bruit en utilisant le filtre d'affichage

!(VMSWITCH_MicrosoftWindowsHyperVVmSwitch.VM_NBL_DELIVER OR VMSWITCH_MicrosoftWindowsHyperVVmSwitch.VM_NBL_RECEIVE OR VMSWITCH_MicrosoftWindowsHyperVVmSwitch.VM_NBL_ROUTE)

Selon les scénarios que l'on dépannage on pourra également vouloir mettre en évidence différents problèmes comme les drops de paquets:

VMSWITCH_MicrosoftWindowsHyperVVmSwitch.VM_NBL_INCOMING_DROP

Le petit exemple ci-dessous vous permettra d'apprécier les subtilités de ma configuration domestique

Et pour terminer une séquence de requête de configuration et de suppression de Switch Virtuel:

Avec Message Analyzer:

Le même message que précédemment, vu avec Message Analyzer:

Message Analyzer est vraiment passionnant et son interface extensible quasiment à l'infini. Rajoutons ici une colonne pour voir rapidement quels sont les switch virtuals des différents messages:

Nous avons alors une vue rapide sur les différents switch et les différents dialogues:

Pour l'instant, aucun soucis dans notre trace, il s'agit juste de se familiariser avec l'outillage, nous verrons prochainement des cas concrets!

Bon amusement avec Message Analyzer et Windows Server 2012!

Plus d'informations:

Hyper-V Extensible Switch - http://msdn.microsoft.com/en-us/library/windows/hardware/hh598161(v=vs.85).aspx

Hyper-V Extensible Switch Components - http://msdn.microsoft.com/en-us/library/windows/hardware/hh598163(v=vs.85).aspx

Improve Debugging And Performance Tuning With ETW - http://msdn.microsoft.com/en-us/magazine/cc163437.aspx

Unified Tracing Overview - http://technet.microsoft.com/en-us/library/hh848933.aspx

http://www.cisco.com/en/US/solutions/collateral/ns340/ns517/ns224/ns955/ns963/solution_overview_c22-687087.html

Enfin comme de tradition, pour mettre tout ça en pratique, Windows Server 2012, c'est par ici: http://aka.ms/jeveuxWindows2012

Arnaud

SR-IOV en pratique dans Windows Server 2012

Arnaud Lheureux — Wed, 17 Oct 2012 13:37:38 GMT

Une des grandes nouveautés pour la virtualisation et les meilleures performances dans Windows Server 2012 est le support de SR-IOV. Cette norme qui fait partie du PCI-SIG n’est pas propre au réseau, mais elle permet d’une manière générale de simplifier le chemin des IO entre une machine virtuelle et les ressources de sa machine physique. Avec des cartes réseaux de plus en plus puissantes, on pense au 40GbE et même au 100GbE qui pointent le bout de leurs nez, ce n’est donc plus la bande passante qui est le souci mais le volume de données, les temps de latence dans le filtrage et la simplification des gestions des IO.

Schématiquement voici comment se présente SR-IOV:

Ce schéma extrêmement simplifié montre qu'une carte réseau compatible SR-IOV va exposer au système un certain nombre de Virtual Functions qui seront autant de slots que pourront consommer des machines virtuelles connectées sur la machine physique.

Pour faire fonctionner SR-IOV, il ne suffit pas d'une carte réseau SR-IOV, on doit vérifier également quelques prérequis :

Support de la fonctionnalité par la carte réseau (notons les cartes Intel Gigabit ET Dual Port, ainsi que Gigabit ET2 QuadPort que nous utilisons pour cet article)
Un driver et un firmware bien mis à jour (même si les pilotes de Windows reconnaissent votre carte réseau, installez ceux du constructeur pour bénéfice de toutes les fonctionnalités ET n'oubliez pas de les mettre à jour régulièrement.)
Support du chipset pour IOMMU (Input/Output Memory Management Unit, voir références plus bas)

Support du SLAT (Second Level Address Translation)

Vérifications sur la partition parent

Avec les pilotes réseau par défaut de Windows, vérifions la présence de la section SRIOV dans les fonctionnalités avancées de la carte au sein du gestionnaire de périphériques:

Dans notre exemple nous utilisons les cartes carte Intel Gigabit ET Dual Port, ainsi que Gigabit ET2 QuadPort. Lorsque l'on installe les drivers Intel on a beaucoup plus d'options et notamment un contrôle plus fin sur l'utilisation de SR-IOV et VMQ :

Une fois les fonctionnalités activés au niveau du périphérique, vérifions les capacités exposées par la carte réseau à l'aide de la commande PowerShell:

Get-NetAdapterSriov

Premier élément à vérifier est le support de SR-IOV, dans notre cas c'est supported, mais dans d'autres cas on aura un message d'erreur indiquant la raison pour laquelle cela ne fonctionne pas.

Autres éléments intéressants le nombre total de VF exposées par la carte (NumVFs) et le nombre déjà consommées sur le système (NumAllocatedVFs) .

Configuration de la partition parent

Une fois tout cela vérifié, il faudra l'activer sur le Switch Virtuel ainsi que sur les cartes réseaux virtuelles des VM qui doivent profiter de la fonctionnalité.

Cela se fait dans le gestionnaire de réseaux virtuels de Hyper-V:

Ensuite pour chaque VM dans les options d'accélération matérielles de la carte virtuelle:

De la même manière on peut vérifier en Powershell l'effectivité de SR-IOV sur le switch en utilisant la commande:

Get-VMSwitch

La case cochée dans l'interface graphique est ici représentée par IovEnabled.

IovSupport et IovSupportReasons permettront de comprendre ce qui se passe réellement : si il y a un problème avec la fonctionnalité et quelle en est l'origine.

Vérification sur les machines virtuelles

Une fois tout cela effectué, on peut vérifier le fonctionnalité premièrement dans le gestionnaire de périphériques de la VM avec l'apparition d'une "carte réseau" supplémentaire:

Sur la machine physique, on peut aussi s'assurer du fonctionnement de l'ensemble dans le gestionnaire Hyper-V, dans l'onglet Networking de la VM:

Notons que lorsqu'on utilise les fonctions du switch Hyper-V telles que les ACL réseau entre machines virtuelles, cela désactive automatiquement SR-IOV pour passer par le chemin classique des IO réseau.

Dans un prochain article nous étudierons le cas d'une machine qui ne support pas SR-IOV et comment en déterminer les raisons avec Powershell et les journaux d'évènements!

Pour plus d’informations sur SR-IOV :

IT Pro :

Excellent série d'article de John Howard dont je me suis inspiré: http://blogs.technet.com/b/jhoward/archive/2012/03/12/everything-you-wanted-to-know-about-sr-iov-in-hyper-v-part-1.aspx

A BIOS update may be required for some computers to install the Hyper-V Role and/or start Hyper-V virtual machines - http://support.microsoft.com/kb/2762297

Yellow bang in device manager if SR-IOV NIC is moved to noncapable slot on Windows Server 2012 - http://support.microsoft.com/kb/2756208

Building Your Cloud Infrastructure: Non-Converged Data Center Configuration - http://technet.microsoft.com/en-us/library/hh831559.aspx

Architecture :

Overview of Single Root I/O Virtualization (SR-IOV) - http://msdn.microsoft.com/en-us/library/windows/hardware/hh440148(v=vs.85).aspx

Writing SR-IOV PF Miniport Drivers - http://msdn.microsoft.com/en-us/library/windows/hardware/hh440298(v=vs.85).aspx

Writing SR-IOV VF Miniport Drivers - http://msdn.microsoft.com/en-us/library/windows/hardware/hh440299(v=vs.85).aspx

Intel's Virtualization for Directed I/O, a.k.a IOMMU- http://software.intel.com/en-us/blogs/2009/03/02/intels-virtualization-for-directed-io-aka-iommu-part-1/

Et toujours, si tu veux Windows Server 2012, c'est par ici: http://aka.ms/jeveuxWindows2012

Arnaud

Améliorations de sécurité de SMBv3

Arnaud Lheureux — Wed, 19 Sep 2012 15:55:00 GMT

Le protocole de partage de fichiers de Windows a été tout simplement révolutionné dans Windows Server 2012 et Windows 8. Un des changements majeurs concerne les performances mais nous y reviendrons dans un article ultérieur. Regardons plutôt dans un premier temps les améliorations sous l’angle de la sécurité.

Signature

La signature du trafic est une fonctionnalité présente dans SMB depuis longtemps , elle permet d'authentifier les messages échangés entre les clients et serveurs. En SMBv2, on utilisait un hash de 32 octets en avec HMAC-SHA256 pour le message. En SMBv3 on utilise désormais un hash de 16 octets AES-CMAC-128.

Chiffrement

SMB est un protocole dans lequel les données circulent en texte clair. Pour les données sensibles en transit sur le réseau, nous recommandons en général de mettre en œuvre IPsec (ce que l’on nomme isolation de serveurs ou de domaine pour les plus valeureux). Avec SMBv3, cela n’est plus obligatoire car le chiffrement est désormais implémenté dans le protocole. La méthode utilisée est AES 128 CCM et l’authentification est habituelle (Kerberos ou NTLM).

Pour mettre cela en place, il suffit d’aller dans la console de partage de fichiers de Windows Server 2012 :

Pour ensuite créer un partage simple:

Dans la catégorie autres options, il suffit ensuite d'activer le chiffrement:

Le paramétrage peut aussi se faire en Powershell avec la commande suivante : Set-SmbShare –Name <nomdupartage> -EncryptData $true

S'il s'agit d'une machine dont tous les partages contiennent des données sensibles, il est également possible de forcer au niveau global, sur la machine, le chiffrement de tous les partages qui vont être crées: Set-SmbServerConfiguration -EncryptData $true

Activer le chiffrement pour SMB est une très bonne idée, mais gardez tout de même à l'esprit que toutes les machines qui ne font pas de SMBv3 (toutes les versions de Windows avant Windows 8) auront un accès refusé au partage. Cela est dû au paramétrage par défaut qui empêche un accès non chiffré. C’est le réglage par défaut car on pourrait imaginer des connections clientes qui se déconnectent et reconnectent en SMBv2 pour avoir une session en texte clair.

On peut voir ce paramètre par défaut avec la commande: Get-SmbServerConfiguration

Vous l'avez donc compris, si vous souhaitez autoriser l'accès aux clients qui n'implémentent pas le chiffrement, il vous faudra donc utiliser la commande: Set-SmbServerConfiguration –RejectUnencryptedAccess $false

Désactivation de SMBv1

SMBv1 c’est environ 1000 commandes : beaucoup de complexité pour au final un protocole assez ancien et plus très performant. On vous recommande donc de le désactiver s’il n’est pas nécessaire. Au bémol près évidemment que tous les clients antérieurs à Windows Vista ne sont pas capables de se connecter aux partages SMBv1. Parions donc qu’il y aura encore quelques mois avant que vous ne le désactiviez en utilisant:

Set-SmbServerConfiguration –EnableSMB1Protocol $false

Dans un prochain article, nous étudierons les nouveautés concernant les performances de SMBv3, en attendant, vous pouvez consulter les ressources suivantes:

Pour plus d’infos sur les nouveautés du serveur de fichier dans Windows Server 2012 : http://aka.ms/jeveuxwindows2012
Pour une vue d’ensemble sur SMBv3 : http://technet.microsoft.com/fr-fr/library/hh831795.aspx
Pour plus de détails sur le support de SMBv3 : http://support.microsoft.com/kb/2709568
La documentation complète du protocole SMBv3 peut être retrouvée ici : http://msdn.microsoft.com/en-us/library/cc246482(v=prot.10).aspx

Enfin, pour tester Windows Server 2012, téléchargez gratuitement la version d’évaluation disponible sous la forme :

d'une image ISO : http://technet.microsoft.com/fr-fr/evalcenter/hh670538.aspx
d'un fichier VHD avec un système préinstallé : http://technet.microsoft.com/fr-fr/evalcenter/hh670538.aspx

Arnaud

Hello World!

Arnaud Lheureux — Mon, 10 Sep 2012 08:10:36 GMT

Après 6 années passées au sein du Support et de PFE (Premier Field Engineering) de Microsoft en France et Angleterre, j’ai décidé de rejoindre l’équipe d’architectes Infrastructure dans la division DPE de Microsoft France.

Mes deux collègues Pascal (http://blogs.technet.com/b/pascals/), Stanislas (http://blogs.technet.com/b/stanislas/) et moi-même aurons le plaisir de couvrir l’ensemble des sujets de Windows Server 2012, Windows 8 et System Center, chacun avec ses spécificités et technologies de prédilection.

Durant ces dernières années j’ai eu le plaisir de travailler avec les clients Premier de Microsoft à travers le monde pour la mise en œuvre, le dépannage et l’optimisation de technologies comme DirectAccess, IPv6, IPsec, 802.1x, Active Directory et le renforcement des configurations de sécurité. Il n’y aura donc aucune surprise à retrouver ces sujets traités sur ce blog !

A bientôt sur ce blog ou au plaisir de vous rencontrer lors d’un prochain IT Camp http://www.microsoft.com/france/technet/itcamps/default.aspx !