Blog da Equipa de Suporte Platforms PT

Ativação KMS de sistemas operativos Windows 8/Windows Server 2012

2012-10-19T14:10:00Z

Recentemente foi lançado um update que permite a extensão de ativação a sistemas Windows 8/Windows Server 2012 por parte de um KMS host a executar uma das seguintes versões:

Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2

2757817 An update that adds support for Windows 8 and for Windows Server 2012 to Windows Vista, Windows Server 2008, Windows 7, and Windows Server 2008 R2 KMS hosts is
available

http://support.microsoft.com/kb/2757817/EN-US

Instruções de instalação:

Aplica-se a KMS hosts com uma das seguintes versões: Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2

1. Instalar o KB2757817

2. Reiniciar o computador

3. Para instalar a nova chave KMS Windows 8/Windows Server 2012 executar os seguintes comandos:

cscript %windir%\system32\slmgr.vbs /ipk <KMS host key>

4. Para ativar o KMS executar o seguinte comando:

cscript %windir%\system32\slmgr.vbs /ato

Nota

- Cada chave KMS está associada a um grupo de versões do Windows. Adicionalmente, uma chave KMS host associada a uma versão cliente não pode ser instalada numa versão servidor
do windows, e vice versa. (excepto versão para a Windows Server 2003) Nestas situações este erro será devolvido:

0xc004f015: The Software Licensing Service reported that the license is not installed.

SL_E_PRODUCT_SKU_NOT_INSTALLED

Exemplos:

• Tentar a instalação de uma chave Windows 7 KMS (CSVLK) num KMS host Windows Server 2008 R2

• Tentar a instalação de uma chave Windows 8 KMS (CSVLK) num KMS host Windows Server 2008 R2 ou Windows Server 2012

SuportePT

O misterioso desaparecimento do contador de performance “Process”

2012-06-21T10:28:00Z

Recentemente durante o processo de troubleshoot de um problema de performance pretendia adicionar os seguintes contadores no Perfmon: Process => virtual bytes, working set, pool paged bytes e pool nonpaged bytes. No entanto, deparei-me com o seguinte problema: o contador “Process” não existia na máquina em questão (um Windows 2008 R2):

Lembrei-me de usar um utilitário do Resource Kit do Windows 2000, o exctrlst.exe, para validar as extensões dos Performance counters instalados na máquina. Usei também o Process monitor para verificar quais as entradas do registo que seriam alteradas.

Iniciei a captura com o Procmon e de seguida executei o utilitário exctrlst; procurei pelo contador PerfProc:

Seleccionei a opção "Performance Counters Enabled" (a checkbox para este contador em particular não estava seleccionada…) De seguida parei o Procmon e procurei pelas entradas RegSetValue:

A seguinte entrada do registry passou de 1 para 0:

Fechei e abri novamente o Perform e já foi possível adicionar os contadores “Process”

Caso se pretenda efectuar esta alteração programaticamente em várias máquinas pode-se usar a seguinte linha num batch file:

Reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PerfProc\Performance /v "Disable Performance Counters" /t REG_DWORD /d 0 /f

Links úteis:

exctrlst

http://www.microsoft.com/en-us/download/details.aspx?id=12123

Procmon

http://technet.microsoft.com/en-us/sysinternals/bb896645.aspx

Bom troubleshoot

AML

Como gerar user mode dumps com o WER desactivado

2012-06-04T11:15:00Z

A partir de 2008/Vista SP1 o Windows Error Reporting pode ser configurado para se obter Full User-mode dumps quando uma aplicação (user mode) termina de forma inesperada.

Mesmo com o WER desactivado, ou mesmo o utilizador cancelando o processo de WER, é possível gerarmos localmente um user mode dump. Neste post vamos ver como isso pode ser feito.

Esta funcionalidade não está activada “by default” e requer privilégios administrativos para o fazer.

Para activar e configurar esta funcionalidade vamos usar a seguinte chave de registo:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps

Estas são as opções de configuração:

Value	Description	Type	Default value
DumpFolder	The path where the dump files are to be stored. If you do not use the default path, then make sure that the folder contains ACLs that allow the crashing process to write data to the folder. For service crashes, the dump is written to service specific profile folders depending on the service account used. For example, the profile folder for System services is %WINDIR%\System32\Config\SystemProfile. For Network and Local Services, the folder is %WINDIR%\ServiceProfiles.	REG_EXPAND_SZ	%LOCALAPPDATA%\CrashDumps
DumpCount	The maximum number of dump files in the folder. When the maximum value is exceeded, the oldest dump file in the folder will be replaced with the new dump file.	REG_DWORD	10
DumpType	Specify one of the following dump types: 0: Custom dump 1: Mini dump 2: Full dump	REG_DWORD	1
CustomDumpFlags	The custom dump options to be used. This value is used only when DumpType is set to 0. The options are a bitwise combination of the MINIDUMP_TYPE enumeration values.	REG_DWORD	MiniDumpWithDataSegs \| MiniDumpWithUnloadedModules \| MiniDumpWithProcessThreadData.

Estas são configurações globais pelo que se pode configurar definições por-aplicação, por exemplo:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Windows Error Reporting\LocalDumps\AMinhaAplicação.exe

Se AMinhaAplicação.exe crashar o WER vai primeiro verificar as definições globais e de seguida sobrepor com as definições especificas para a aplicação.

Notas adicionais:

Aplicações que tenham o seu próprio mecanismo de error reporting (por exemplo aplicações .NET) não são suportadas nesta funcionalidade. Também convém não esquecer de criar a pasta %LOCALAPPDATA%\CrashDumps

Este é um exemplo de configuração, basta copiar para o notepad e gravar como *.reg e executar na máquina em questão:

=============================

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps]

"DumpCount"=dword:00000100

"DumpType"=dword:00000002

"DumpFolder"=hex(2):25,00,4c,00,4f,00,43,00,41,00,4c,00,41,00,50,00,50,00,44,\

00,41,00,54,00,41,00,25,00,5c,00,43,00,72,00,61,00,73,00,68,00,44,00,75,00,\

6d,00,70,00,73,00,00,00

=============================

Artigo msdn associado:

http://msdn.microsoft.com/en-us/library/bb787181.aspx

Boa leitura,

Volume Shadow Copy e o Registo de dlls em Windows 2008

2012-05-31T11:09:00Z

Cada vez mais nos aparecem clientes com problemas de Volume Shadow Copy em servidores Windows 2008, que são substancialmente agravados pelo facto de ter sido efectuado o registo das dlls tal como se fazia em Windows 2003.

Em Windows 2003 quando tínhamos problemas de Backups, e consequentemente erros de VSS no Application event log, o primeiro passo a ser efectuado era o registo das dll’s do Volume Shadow Copy (tal como identificado no artigo seguinte), dado que essa acção resolvia a grande maioria dos problemas:

Poderão ocorrer vários problemas num computador baseado no Windows Server 2003 que esteja a executar o serviço de cópia sombra do Volume - http://support.microsoft.com/kb/940032/pt

A partir do Windows Vista/Windows 2008, já não existem registos de controlos OLE (Object Linking and Embedding) em DLLs ou ficheiros de Controlos ActiveX (OCX) que sejam auto-registáveis. No entanto, os componentes de VSS (DLL) herdaram do Windows 2003 parte deste código. É por isso que ainda é possível registar o Microsoft Shadow Copy VSS Provider (swprv.dll) em Vista e em Windows 8. Isto foi removido nos componentes de VSS nas versões Windows 7 /Windows 2008 R2. Qualquer tentativa de registar manualmente um componente irá falhar com a seguinte mensagem:

“Proceder ao registo manual de componentes VSS em Windows Vista /Windows 2008 pode ser destrutivo”

Assim, sempre que tiverem problemas de Backups com erros de VSS no Aplication event log em máquinas com Sistema Operativo superior a Windows 2003, efectuem o troubleshoot dos erros e não o registo das dlls.

Em muitos casos a solução para reverter o registo das dlls passa pela restauração de um System State efectuado antes do registo dos componentes e, em último recurso, um in-place upgrade ou até mesmo uma reinstalação do Sistema Operativo.

A equipa de Backups,

Carlos Carrolo e Susana Rodrigues

Erro 80072F0D ao tentar sincronizar um dispositivo móvel Windows Phone 7 com o Exchange server 2007/2010

2012-05-29T17:32:00Z

Recentemente temos recebido feedback de utilizadores que não se conseguem conectar ao Exchange2007/2010 a partir de um dispositivo móvel com o Windows Phone 7. Podem existir outras causas, mas a principal está relacionada com o caminho OWA no Certificate’s Subject Name (SN). Neste post vamos abordar uma forma de ultrapassar este problema.

Vamos imaginar o seguinte endereço de OWA: https://mail.testdomain.com em que o certificado foi emitido para o Subject Name (SN) Testdomain.com.

Neste caso a sincronização vai falhar com o erro 80072F0D

Para ultrapassar este erro será necessário emitir um novo certificado para o endereço mail.testdomain.com como Subject Name (SN) e para outros nomes como SubjectAlternative Names ou SAN.

No caso de estar a usar uma CA interna vamos efectuar este pedido com a Exchange management Sheel:

New-ExchangeCertificate -GenerateRequest -Domainname mail.company.com, ServerName FQDN, autodiscover.company.com,ServerName -FriendlyName mail.company.com -PrivateKeyExportable: $True -pathc:\Certificate.req

De seguida executamos o seguinte comando:

Certreq -submit -attrib "CertificateTemplate:webserver" c:\Certificate.req

Caso o certificado não necessite de ser manualmente aprovado, depois de submetido vai ser pedido para guardar o certificado num ficheiro. Depois é só instalar localmente o certificado.

Se não for este o caso será necessário abrir a Certification Authority Management Console, e em Pending Requests fazer issue do novo certificado anteriormente submetido.

De seguida navegar até Issued certificates e exportar o certificado como o formato *.cer

Copiar o ficheiro *.cer para o servidor de Exchange

Para importar:

Abrir a MMC console – add/remove snap-in –escolher “Certificates” – selecionar “computer account” – selecionar “Next” – selecionar “Finish”

Right click em local computer store e escolher a opção import.

De seguida abrir a Exchange Management Shell para definir o novo certificado como default.
Usar a opção Get-ExchangeCertificate para ver o thumbprint do certificado e copiar para o notepad.

Depois executar:

Enable-ExchangeCertificate –Thumbprint “inserir Thumbprint aqui” – Services: Imap, Pop, SMTP, IIS

Exemplo:

Nota: apenas é necessário activar o certificado para o serviço que se está a usar. Por exemplo, se não está a usar POP ou IMAP não é necessário incluir esses serviços no pedido.

Nesta fase o novo certificado já foi assignado aos serviços do Exchange. Abrir o OWA no Exchange server e abrir o certificado. Nos detalhes escolher a opção Copy to File… isto vai permitir exportar a Full certificate chain para o ficheiro *.cer

Para finalizar é necessário configura uma conta de email no Windows Phone (outra que não Exchange) e enviar para lá o ficheiro *.cer
(podem criar uma conta Windows Live Id)

Assim que o email chegue é só clicar no certificado para instalar.

NOTA: Gostaria de agradecer ao João Ribeiro pela colaboração na elaboração do artigo :)

Boa Leitura,

JP

MS012-024 causa problemas em ambientes de Terminal Server

2012-05-17T15:49:00Z

Durante as últimas semanas apareceram alguns incidentes relacionados com problemas em ambientes de Terminal Server após a instalação da actualização de Segurança KB2653956 / MS12-024, nomeadamente:

As portas de RDP/ICA listener estão identificados como “down”;

Os clientes que tentam efectuar a ligação a uma sessão de Terminal recebem as seguintes mensagens (estes exemplos são de ligações via Citrix mas se a ligação for efectuada a uma sessão Terminal nativa o resultado é o mesmo):

“Cannot connect to the Citrix Presentation Server. Protocol driver error” - Esta mensagem aparece quando os clientes estão a tentar aceder ao Protocolo ICA com recursos balanciados.

“Cannot connect to the Citrix server: The Citrix server you have selected is not accepting connections.” – Quando via ICA client fazemos a ligação directamente a um nome de servidor.

KB2653956 / MS12-024: Vulnerability in Windows could allow remote code execution: April 10, 2012

http://support.microsoft.com/default.aspx?scid=kb;EN-US;2653956

Quando este problema acontece as acções a serem efectuadas são as seguintes, consoante a versão do Sistema Operativo.

2003 Terminal Server:

Instalar a actualização referenciada no artigo seguinte;

958476 RDP clients and ICA clients cannot connect to a Windows Server 2003-based terminal server after hotfix 938759 is applied to the server

http://support.microsoft.com/default.aspx?scid=kb;EN-US;958476

2. Reiniciar o servidor.

2008 Remote Desktop Server:

Remover a actualização de Segurança KB2653956 / MS12-024;

2. Instalar a versão LDR da actualização KB2653956 / MS12-024, através dos seguintes passos:

a) Download do executável da actualização MS 12-024 a partir do endereço http://technet.microsoft.com/en-us/security/bulletin/ms12-024

b) Copiar o pacote para C:\LDR

c) A partir de uma Linha de Comandos administrativa efectuar os comandos:

d) Cd \LDR

e) md msu_expand

f) md cab_expand

g) expand -f:* c:\LDR\Windows6.x-KBxxxxxx-x64.msu msu_expand

h) expand -f:* c:\LDR\msu_expand\Windows6.x-KBxxxxxx-x64.cab c:\LDR\cab_expand

i) pkgmgr /ip /m:c:\LDR\cab_expand\update-bf.mum

j) Reiniciar o servidor.

Nota: Ao efectuarem os procedimentos anteriores nos vossos sistemas garantam que o que aparece no exemplo como “Windows6.x-KBxxxxxx-x64” reflecte o nome do ficheiro que foi efectuado download.

A equipa de Suporte.

DirectAccess em Windows 8

2012-05-07T10:10:00Z

Com o lançamento do Windows Server 8 Beta a Role de Remote Access foi alterada, quer através da introdução de novas funcionalidades bem como melhoramento de outras. Neste post vamos discutir essas alterações.

Uma destas novas e melhoradas capacidades é o DirectAccess, que melhorou em diversos aspectos desde a sua introdução em Windows 2008 R2.

De forma a simplificar as coisas, o Windows Server 8 Directaccess inclui por exemplo as funcionalidades do Forefront UAGDirectAccess em conjunto com as seguintes novas capacidades:

Coexistencia de DirectAccess e RRAS
Gestão simplificada de DirectAccess para administradores de pequenas e médias organizações
Remoção do pré-requisito de deployment de uma infra-estrutura PKI
Suporte incorporado no Windows 8 de NAT64 e DNS64 para aceder a recursos IPv4
Suporte para servidores DirectAccess acedidos através de dispositivos NAT
Políticas de segurança de rede simplificadas
Suporte para Load Balancing
Suporte para Múltiplos Domínios
Integração com NAP
Suporte para OTP (autenticação com base em tokens)
Suporte automatizado para forced tunneling
Interoperabilidade IP-HTTPS e melhorias de performance
Suporte Manage-out
Suporte Multisite
Suporte Server Core
Suporte Windows PowerShell
Health monitoring de utilizadores e servidores
Diagnósticos
Accounting e reporting
VPN Site-to-site com IKEv2 IPsec tunnel mode

Existem actualmente alguns artigos com informação mais detalhada:

Ajuda na migração do Forefront UAG DirectAccess para Windows 8 DirectAccess no TechNet (http://technet.microsoft.com/en-us/library/hh831658.aspx)
Informação referente ao Remote Access ( http://technet.microsoft.com/en-us/library/hh831416.aspx )

Boa leitura!

Novos eventos que registam atrasos e falhas de autenticação NTLM em Windows 2008 R2

2012-05-04T17:24:00Z

Recentemente foi lançada uma actualização recomendável para todos os clientes que executam aplicações que dependem de NTLM, como por exemplo, o Exchange CAS ou RPC sobre HTTP(S), e que estejam instaladas em servidores Windows 2008 R2. Esta actualização permite activar notificações/avisos quando os Servidores estão com grande carga de Autenticações efectuadas via NTLM.

New event log entries that track NTLM authentication delays and failures in Windows Server 2008 R2 are available
http://support.microsoft.com/default.aspx?scid=kb;EN-US;2654097

Após a instalação da actualização 2654097 os servidores começam a registar os eventos 5818 e 5819 para referenciar autenticações NTLM com falhas ou com mau tempo de resposta, tal como o exemplo que encontra no artigo.

Esta actualização vai ainda permitir alterar a chave de registo MaxConcurrentApi para um valor até 150.

Para mais informações sobre a chave MaxConcurrentAPI poderá consultar o seguinte artigo:

You are intermittently prompted for credentials or experience time-outs when you connect to Authenticated Services
http://support.microsoft.com/kb/975363/en-us

NOTA:
Se decidir aumentar o valor do MaxConcurrentApi para um valor superior a 10, a carga e o desempenho da configuração deve ser testado num ambiente controlado antes de implementar em produção.
Isto é recomendado para se certificar de que o aumento desse valor não vai causar problemas com outros recursos.

Boa Leitura

Humberto e JP :)

Novas edições do Windows 8

2012-04-30T10:00:00Z

Como anunciado anteriormente Windows 8 vai ser a designação para a nova versão do Windows. Neste post vamos abordar as principais diferenças entre as novas edições do Windows 8 que serão propostas.

O Windows 8 apresenta-se como a melhor versão do Windows até hoje. Independentemente da plataforma (x86/64 ou WOA), usando rato e teclado ou simplesmente touch screen (com possibilidade de alternar a qualquer momento), seja em PC ou tablet esta nova edição do Windows vai permitir toda a flexibilidade desejada. A partir de uma plataforma comum vai ser possível aceder a todos os conteúdos de uma forma simples e intuitiva, desde efectuar downloads a partir da Windows Store, até partilhar fotos, contactos e links. Este é o Windows porque todos esperávamos!

O Windows 8 será oferecido nas seguintes edições: Windows 8 e Windows 8 Pro. Para a maioria dos utilizadores o Windows 8 será a escolha mais acertada. A versão PRO será mais adequada para aqueles utilizadores que pretendem tirar o máximo partido do Windows, bem como para uso em ambiente profissional/empresarial onde funcionalidades como encriptação, virtualização, gestão remota e conectividade em domínio são elementos essenciais. O Windows Media Center será disponibilizado como um add-on “media pack” económico para o Windows 8 Pro.

O Windows RT é o mais novo membro da família Windows – também conhecido como “Windows on ARM” ou WOA. Esta edição do Windows será disponibilizada pré-instalada em PC/Tablet com processadores ARM e vai permitir aumentar o tempo de vida útil da bateria do dispositivo, o uso de uma versão touch-screen optimizada do Microsoft Word, Excel, PowerPoint, OneNote e também uso de uma nova geração do Windows runtime ( WinRT) desenhada especificamente para cloud, touch e web Apps.

Esta tabela mostra as principais diferenças entre edições:

Feature name	Windows 8	Windows 8 Pro	Windows RT
Upgrades from Windows 7 Starter, Home Basic, Home Premium	x	x
Upgrades from Windows 7 Professional, Ultimate		x
Start screen, Semantic Zoom, Live Tiles	x	x	x
Windows Store	x	x	x
Apps (Mail, Calendar, People, Messaging, Photos, SkyDrive, Reader, Music, Video)	x	x	x
Microsoft Office (Word, Excel, PowerPoint, OneNote)			x
Internet Explorer 10	x	x	x
Device encryption			x
Connected standby	x	x	x
Microsoft account	x	x	x
Desktop	x	x	x
Installation of x86/64 and desktop software	x	x
Updated Windows Explorer	x	x	x
Windows Defender	x	x	x
SmartScreen	x	x	x
Windows Update	x	x	x
Enhanced Task Manager	x	x	x
Switch languages on the fly (Language Packs)	x	x	x
Better multiple monitor support	x	x	x
Storage Spaces	x	x
Windows Media Player	x	x
Exchange ActiveSync	x	x	x
File history	x	x	x
ISO / VHD mount	x	x	x
Mobile broadband features	x	x	x
Picture password	x	x	x
Play To	x	x	x
Remote Desktop (client)	x	x	x
Reset and refresh your PC	x	x	x
Snap	x	x	x
Touch and Thumb keyboard	x	x	x
Trusted boot	x	x	x
VPN client	x	x	x
BitLocker and BitLocker To Go		x
Boot from VHD		x
Client Hyper-V		x
Domain Join		x
Encrypting File System		x
Group Policy		x
Remote Desktop (host)		x

Em breve teremos mais informações para disponibilizar, tais como: preços, upgrades e campanhas de lançamento.

À semelhança do que aconteceu em edições anteriores haverá uma edição especifica para ambientes empresariais com contratos SA - Windows 8 Enterprise – que inclui todas as funcionalidades da versão PRO mais funcionalidades especificas que irão permitir uma gestão centralizada, ambiente de virtualização, segurança avançada e muito mais...

Até breve!

Suporte PT

Como instalar o DebugDiag 1.2 numa máquina com Sistema Operativo em Português

2012-04-25T09:00:00Z

À pouco tempo atrás deparei-me com um problema durante a instalação do DebugDiag 1.2 numa máquina com o Sistema Operativo em Português. Este post serve para partilhar a minha experiencia nesta situação e providenciar um workaround para a instalação do DebugDiag 1.2

Depois de efectuar o download executei o msi e obtive esta mensagem:

Fiquei algo surpreso dado que já tinha instalado o DebugDiag diversas vezes em Windows 7, 2008, 2003, e foi a primeira vez que me deparei com algo similar. A máquina em questão era um controlador de domínio Windows 2003 (pouco usual ser uma instalação em PT…).

Apesar da mensagem de erro nos dar algumas pistas (algo relacionado com o grupo Users, ou problema de rede, ou corrupção do pacote de instalação, ou… :D) é pouco especifica e ficamos quase na mesma…

Nestas situações o log de instalação pode ter mais alguma informação sobre o problema. Neste exemplo o log está na seguinte localização:

------------- ---------------- -------------

Error 1609. An error occurred while applying security settings. Users is not a valid user or group. This could be a problem with the package, or a problem connecting to a domain controller on the network. Check your network connection and click Retry, or Cancel to end the install. Unable to locate the user's SID, system error 1332.

-------------- ---------------- -------------

Com esta informação percebi que o problema estava relacionado com algum Security ID (SID); sendo que no inicio da mensagem tínhamos uma referencia ao grupo Users depreendi que pudesse ser algo relacionado com este grupo.

Dado que era um controlador de domínio abri a consola Utilizadores e computadores do Active Directory - se for uma workstation ou um servidor membro do domínio abrimos a consola de gestão local utilizadores local (lusrmgr.msc) - e verifiquei que o grupo Users não existia, existia sim o grupo Utilizadores…. De acordo com o KB243330 os SID’s permanecem inalteráveis para os grupos e contas Built In, independente do
idioma do Windows… estava de volta ao ponto de partida, ou seja, 0! :)

Decidi utilizar o Process Monitor, durante nova tentativa de instalação do DebugDiag, e assim pude recolher mais alguma informação sobre o problema. Pude constatar que o instalador “procura“ o grupo Users e como na nossa instalação em PT este grupo dá pelo nome Utilizadores não o encontrava…

Podem existir outras formas de solucionar este problema mas no meu caso contornei esta questão fazendo a vontade ao DebugDiag :) ou seja, criar um grupo chamado "Users" na pasta Built-in e voila, instalação concluída com êxito!

Links úteis

DebugDiag 1.2

(http://www.microsoft.com/download/en/details.aspx?id=26798)

Process Monitor

(http://technet.microsoft.com/en-us/sysinternals/bb896645)

Espero que possa ajudar!

A equipa,

SuportePT (AL)

Microsoft Deployment Toolkit 2012 (MDT 2012) disponível para download

2012-04-20T16:31:00Z

Já se encontra disponível para download a nova versão do MDT 2012.

Mais robusto, flexível e com suporte para as novas versões Windows 8 Consumer Preview, Windows Server “8” Beta e System Center 2012!

Novas funcionalidades do MDT 2012:

• Suporte para System Center 2012 Configuration Manager

• Integração com Microsoft Diagnostics and Recovery Toolset 7 (DaRT) e Security Compliance Manager (SCM)

• Suporte para Windows 8 Consumer Preview em ambiente de laboratório

• Suporte para Windows Server “8” Beta

O Microsoft Diagnostics and Recovery Toolkit (DaRT) está agora integrado na Lite Touch Installation, providenciando diagnostico e gestão remota mais eficiente. Adicionalmente dispõe de novas capacidades de
monitorização para verificar o estado das distribuições actuais.

O MDT está disponível para as plataformas x86 e x64.

Requisitos de sistema para instalação:

Sistemas operativos suportados: Windows 7, Windows Server 2003 R2 Enterprise Edition (32-Bit x86), Windows Server 2003 R2 Standard Edition (32-bit x86), Windows Server 2008 R2, Windows Server 2008 Service Pack 2, Windows Vista Service Pack2, Windows XP Service Pack 3

Sistemas operativos suportados que o MDT pode distribuir: Windows 7, Windows Server 2008 R2, Windows Vista, Service Pack 2, Windows Server 2008 Service Pack 2, Windows Server 2003
R2, Windows XP Service Pack 3.

* O MDT 2012 pode ser instalado no Windows 8 Consumer Preview ou no Windows Server "8" Beta, em conjugação com o Windows 8 ADK Beta. O MDT 2012 pode distribuir o Windows 8 Consumer Preview bem como o Windows Server "8" Beta.
MMC 3.0 necessário para execução do Workbench e visualização da documentação no Windows XP.

Nota A MMC 3.0 está incluída nas seguintes versões: Windows Server 2008 R2, Windows Server 2008, Windows Server 2003 R2, Windows 7, e Windows Vista.
O MDT 2012 baseia-se em várias ferramentas de distribuição. Depois da instalação do pacote .msi e execução do Deployment Workbench, o utilizador pode selecionar para download e instalação as seguintes ferramentas:

Windows Automated Installation Kit
Application Compatibility Toolkit
MSXML 6.0

Microsoft Office Word ou Word Viewer (download gratuito) usado para visualização de documentos.
Microsoft Office Compatibility Pack for Word, Excel, and PowerPoint File Formats (download gratuito) usado para abrir, editar ou salvar documentos.

Por fim, e não menos importante, o link para download :) MDT 2012

A equipa de Suporte PT

Alterar a versão do Windows 2008 R2 sem ter que reinstalar a máquina

2012-04-20T13:36:00Z

Já quase todos nos deparámos com uma das seguintes situações: “Preciso acrescentar mais memória e/ou processador, no entanto já estou no limite máximo para a versão do Windows que foi instalada. Ou, efectuámos a instalação de uma versão do Windows apenas para alguns testes e verificámos que seria necessária outra versão que não a instalada… E agora?” A partir de Windows 7/2008 R2 existe uma forma de fazer essa alteração usando o DISM.exe (Deployment Image Servicing and Management Tool).

O uso do DISM para alterar a versão do Windows é rápido e evita a reinstalação total do servidor juntamente com todas as Roles, Features e demais aplicações que possam ter instalado. Isto é possível porque todas as versões do Windows estão dentro da mesma imagem (Edition-Family image).

Os possíveis caminhos para a alteração da versão são:

• Windows Server 2008 R2 Standard -> Windows Server 2008 R2 Enterprise -> Windows Server 2008 R2 Datacenter

• Windows Server 2008 R2 Standard Server Core -> Windows Server 2008 R2 Enterprise Server Core -> Windows Server 2008 R2 Datacenter Server Core

• Windows Server 2008 R2 Foundation -> Windows Server 2008 R2 Standard

Estas mudanças são irreversíveis e limitadas às famílias de versões, ou seja, não é possível converter de Server Core para uma versão Full.

O DISM permite também determinar a versão actual, ver os possíveis upgrades e realizar a migração. No entanto, para efectuar a migração é necessário ter uma chave de produto válida para a versão que pretendemos migrar.

Este é o comando para verificar qual a versão que estamos a usar:

dism /online /get-currentedition

Verificar para quais versões podemos migrar:

dism /online /get-targeteditions

Para efectuar o upgrade:

dism /online /set-edition:<edition_ID> /productkey: XXXXX-XXXXX-XXXXX-XXXXX-XXXXX

Por exemplo, para alterar de Windows Server 2008 Standard para Data Center edition (usando uma command prompt elevada):

dism /online /set-edition: Datacenter /productkey: 12345-67890-12345-67890-12345

Após executar este comando o computador é reiniciado duas vezes para que as alterações sejam aplicadas. Após isso, o computador já estará com a nova versão.

Nota: Uma limitação importante é que o computador não pode ser um Controlador de domínio; nesta situação, caso seja realmente necessário efectuar o upgrade da versão será necessário despromover o DC, alterar a versão do OS e voltar a promover a máquina a DC.

Mais informações sobre o DISM neste site:

http://technet.microsoft.com/en-us/library/dd744380(WS.10).aspx

Suporte PT

Reputação de Aplicações do serviço SmartScreen©

2012-03-29T15:00:00Z

Reputação: o que é isso?

Com o objectivo de ajudar a proteger os utilizadores de Malware, o Internet Explorer 9 disponibiliza uma ferramenta que valida a reputação de cada download e avisa se o conteúdo for considerado inseguro. Ao disponibilizar tal serviço o Internet Explorer 9 dá ao utilizador a possibilidade de tomar uma decisão com base numa análise previamente efectuada ao download em questão. Neste post vamos clarificar o funcionamento deste serviço bem como dar algumas dicas sobre como tornar a sua aplicação confiável.

Como funciona o mecanismo de reputação

Ao fazer o download de uma aplicação no Internet Explorer 9, a identificação do ficheiro (e de quem o publicou se assinado digitalmente) são enviados para o serviço de reputação de aplicações da Microsoft na Cloud. Se o programa já tiver uma reputação o utilizador efectua o download sem qualquer tipo de aviso; se não tiver, o Internet Explorer vai notificar o utilizador apresentando uma barra de notificação, alertando para o facto da aplicação em causa poder não ser de confiança.

Se mesmo assim o utilizador optar por avançar com o download, após a conclusão do mesmo o utilizador é confrontado com o botão “Actions”. Ao clicar sobre este botão o Internet Explorer abre uma nova janela com 3 opções:

Don’t run this program (recommend) - não executamos o ficheiro, mas este mantém-se na localização especificada ao efectuar o download;
Delete program - apagamos o ficheiro da sua localização física no disco;
Run anyway - o utilizador poderá escolher executar a aplicação, mesmo após saber que o conteúdo pode não ser seguro;

A título de exemplo, incluem-se duas hiperligações para dois video players. Para o utilizador comum, à primeira vista os ficheiros parecem exactamente idênticos sem qualquer tipo de perigo associado. No entanto um deles acusará a ausência de reputação e vai apresenta ao utilizador a barra de notificação alertando-o para o facto de estar perante conteúdo potencialmente inseguro. Comprove você mesmo e veja! (este teste só funcionará caso o Filtro SmartScreen® esteja activado).

Possível Malware - freevideo.exe

Aplicação segura - freevideo.exe

Como criar reputação? Boas práticas para programadores.

Para garantir que não teremos qualquer tipo de dissabores com o SmartScreen®, são recomendadas algumas boas práticas no momento do desenvolvimento. Para que a aplicação possa rapidamente estabelecer reputação e assim garantir uma rápida difusão pela web (quantidade de downloads feitos) deveremos ter em conta os seguintes aspectos:

Assinar o código digitalmente: http://msdn.microsoft.com/en-us/library/ie/ms537361(v=vs.85).aspx
Assegurar que a entidade certificadora é uma entidade credível, que faça parte da lista de entidades referenciadas no Windows Root Certificate Program
Garantir que a aplicação não é detectado como Malware: http://www.microsoft.com/security/online-privacy/IE-malware.aspx
Utilizar as ferramentas disponíveis, como o Windows 7 Logo Program, para aumentar a reputação da aplicação: http://msdn.microsoft.com/en-us/windows/dd203105.aspx

Referências

http://blogs.msdn.com/b/ie/archive/2011/05/17/smartscreen-174-application-reputation-in-ie9.aspx

http://blogs.msdn.com/b/ie/archive/2011/03/22/smartscreen-174-application-reputation-building-reputation.aspx

http://technet.microsoft.com/en-us/library/gg619383.aspx

http://msdn.microsoft.com/en-us/library/ie/ms537359(v=vs.85).aspx

http://ie.microsoft.com/testdrive/Browser/DownloadReputation/Default.html

http://blogs.msdn.com/b/ie/archive/2010/10/13/stranger-danger-introducing-smartscreen-application-reputation.aspx

Paulo Azevedo,

SuportePT

Windows 8 Consumer Preview

2012-03-16T17:00:00Z

O Windows 8 Consumer Preview é uma versão de pré-lançamento do Windows 8. O Windows 8 é focado nas pessoas e nas aplicações e dá-lhe maneiras novas e poderosas de usar as tecnologias sociais para contactar as pessoas que são importantes para si. O Windows 8 Consumer Preview é baseado na sólida fundação do Windows 7 e tem as funcionalidades de segurança e a fiabilidade que são esperadas no Windows, mas ainda melhores. É rápido e foi criado para funcionar em vários equipamentos, nomeadamente na nova geração de dispositivos táteis.

Esta é a sua oportunidade de ser uma das primeiras pessoas a experimentá-lo. Vamos usar as informações dos utilizadores da versão Preview para melhorarmos ainda mais o produto final.

Importante: O Windows 8 Consumer Preview é um software de pré-lançamento que poderá sofrer modificações substanciais antes do lançamento comercial. A Microsoft não efetua quaisquer garantias, expressas ou implícitas, relativas às informações aqui fornecidas. Algumas funcionalidades do produto poderão precisar de hardware ou software adicional.

Poderá obter a sua cópia do Windows 8 Consumer Preview aqui:

http://windows.microsoft.com/pt-PT/windows-8/download

A Configuração do Windows 8 Consumer Preview verifica se o seu PC suporta o Windows 8 Consumer Preview e seleciona o download adequado. A Configuração também apresenta um relatório de compatibilidade e assistência na atualização. A maior parte das versões anteriores do Windows têm ferramentas incorporadas para criar uma imagem ISO ou uma pen USB de arranque (excluindo o Windows XP e as versões anteriores).

Algumas perguntas mais frequentes:

Quais são os requisitos de sistema do Windows 8 Consumer Preview?

O Windows 8 Consumer Preview funciona com o mesmo hardware que o Windows 7:

Processador: 1 gigahertz (GHz) ou mais rápido

RAM: 1 gigabyte (GB) de RAM (32 bits) ou 2 GB de RAM (64 bits)

Espaço no disco rígido: 16 GB (32 bits) ou 20 GB (64 bits)

Placa gráfica: Dispositivo gráfico Microsoft DirectX 9 ou superior

Requisitos adicionais para usar determinadas funcionalidades:

Para usar as funcionalidades táteis, precisa de um tablet ou monitor que suporte multitoque.

Para visitar a Windows Store (Loja Windows) e para fazer download de aplicações e executá-las, precisa de uma ligação ativa à Internet e de um ecrã com uma resolução mínima de 1024 x 768.

Para colocar aplicações no ecrã, precisa de um ecrã com uma resolução mínima de 1366 x 768.

Posso efetuar a atualização de versões anteriores do Windows para o Windows 8 Consumer Preview?

Sim, pode atualizar para o Windows 8 Consumer Preview a partir do Windows Developer Preview, do Windows 7, do Windows Vista ou do Windows XP, mas é possível que não consiga manter todos os ficheiros, programas e configurações. A tabela seguinte mostra o que poderá conseguir manter durante uma atualização, dependendo da versão atual do Windows existente no seu PC:

Sistema operativo atual	O que pode manter
Windows Developer Preview	User accounts and files (Contas de utilizador e ficheiros)
Windows 7	Programs (Programas) Windows settings (Configurações do Windows) User accounts and files (Contas de utilizador e ficheiros)
Windows Vista	Windows settings (Configurações do Windows) User accounts and files (Contas de utilizador e ficheiros)
Windows XP	User accounts and files (Contas de utilizador e ficheiros)

Aviso

Se criar um suporte de dados de instalação, iniciar o PC a partir desse suporte e, em seguida, instalar o Windows 8 Consumer Preview, não poderá manter os ficheiros, programas ou configurações. Tem de instalar o Windows 8 Consumer Preview usando o programa de configuração do Windows 8 Consumer Preview para transferir os ficheiros e as configurações para o Windows 8 Consumer Preview.

Como posso instalar o Windows 8 Consumer Preview?

Tem ao seu dispor algumas opções para instalar o Windows 8 Consumer Preview.

Executar o programa de configuração do Windows 8 Consumer Preview no PC onde quer instalar a versão Preview. (O programa de configuração verifica se o PC está a executar uma versão de 32 bits ou 64 bits do Windows e mostra o download correto.)

Executar o programa de configuração do Windows 8 Consumer Preview e usar as ferramentas incorporadas para converter uma imagem ISO num suporte de dados de instalação, como um DVD ou uma pen USB de arranque (precisa do Windows Vista, Windows 7 ou Windows Developer Preview). Depois, pode usar este suporte de dados para instalar a versão Preview noutra partição, numa máquina virtual ou noutro PC.

Se não quiser usar o programa de configuração do Windows 8 Consumer Preview, pode fazer download de uma imagem ISO e usá-la para criar um DVD ou uma pen USB de arranque para instalar o Windows 8 Consumer Preview.

Preciso de uma chave de produto para instalar o Windows 8 Consumer Preview?

Se instalar o Windows 8 Consumer Preview através do programa de configuração do Windows 8 Consumer Preview, não precisa de escrever uma chave de produto — o programa de configuração fornece a chave de produto automaticamente. Se criar um suporte de dados de instalação, iniciar o PC a partir desse suporte e, em seguida, instalar o Windows 8 Consumer Preview, precisa de introduzir esta chave de produto: NF32V-Q9P3W-7DR7Y-JGWRW-JFCK8.

Posso desinstalar o Windows 8 Consumer Preview?

Não. Para voltar a usar a versão anterior do Windows, tem de a reinstalar a partir do suporte de dados de recuperação ou instalação fornecido com o seu PC.

Poderá obter estas e outras informações adicionais na página das FAQ

Bem vindos ao futuro e boas experiencias com o Windows 8!

SuportePT

Internet Explorer - Filtro SmartScreen®

2012-03-12T15:53:00Z

O Filtro SmartScreen® é uma ferramenta do Internet Explorer que ajuda a detectar e a identificar websites com conteúdo potencialmente malicioso.

O propósito desta ferramenta é oferecer aos utilizadores uma protecção contra sites que distribuem Malware. O objectivo deste artigo será clarificar o seu funcionamento, bem como sumarizar um conjunto de acções que deverão ser executadas quando o utilizador se deparar com um site malicioso.

O conceito de Filtro SmartScreen® surge com o lançamento do Internet Explorer 8, como sendo uma extensão do serviço de validação de URL’s já existente na versão anterior. O seu funcionamento é muito
simples: os pedidos para um determinado website são verificados contra uma lista de sites fidedignos. Este processo é levado a cabo pelo serviço de URLReputation (urs.microsoft.com). Se o URL
não estiver listado é enviado de imediato para análise. Caso o utilizador faça um pedido a um website previamente caracterizado como potencialmente perigoso, o utilizador é notificado para que possa tomar uma decisão em conformidade. Entre as opções existentes, o utilizador poderá navegar para a sua home page ou prosseguir por sua conta e risco para o website em questão.

É importante clarificar que os resultados desta validação são guardados localmente por questões de performance. Desde o seu lançamento, este serviço já bloqueou mais de 1.5 biliões de ataques! De acordo com os resultados do NSSlabs,o Internet Explorer 9 com o Filtro SmartScreen® é considerado actualmente o Browser mais seguro contra Malware.

Report from May 2011

“…The Smart Screen Filter protection offered by Windows Internet Explorer 9 has two components:
URLReputation, which is included in IE8 and Application Reputation, which is new to IE9. IE9 caught an exceptional 92% of the live threats with SmartScreen URL reputation, and an additional 8% with Application Reputation. IE9 with SmartScreen offers the best protection of any browser against socially engineered malware. Protection against malware targeting European users matched our broader findings from the Q3 2010 global test…”

Como reportar um site malicioso? O que fazer em caso de falso positivo?

Para além do serviço de reputação, o utilizador pode reportar um determinado website como inseguro. Para tal, basta efectuar os seguintes passos:

Clicar no botão Tools do Internet Explorer
Escolher SmartScreen no drop down menu
Clicar em Report unsafe website

Existe a possibilidade de, pelas mais variadas razões, considerarmos um determinado website como malicioso, quando na verdade é perfeitamente legítimo; estas situações são denominadas de falsos
positivos. Quando confrontado com esta situação, o responsável pelo website, considerado erradamente como malicioso pelo filtro SmartScreen®, tem a possibilidade de reportar o website como seguro, na correspondente página de aviso:

Na página de warning, clicar em “More Information”
Clicar na hiperligação “Report that this site does not contain threats”

Esta hiperligação conduzirá o utilizador até à página de feedback, onde deverá seguir as instruções apresentadas.

Referências

http://windows.microsoft.com/en-US/internet-explorer/products/ie-8/privacy-statement

Boa leitura,

Suporte PT

Como visualizar e limpar a cache CRL/OCSP

2012-01-24T14:45:00Z

Tenho verificado que existem muitas questões relacionadas com a visualização e limpeza da cache das CRL’s, tanto em máquinas Windows 7/2008 R2 como Vista/Windows 2008, e por isso decidi dedicar este post às questões mais frequentes sobre este assunto.

Para visualizar a “cache” das CRL’s (ou do OCSP) podemos recorrer ao utilitário Certutil. Antes disso convém referir que temos dois tipos de “cache”: do utilizador e da máquina, e cada contexto tem a sua localização em disco. Este é um ponto importante pois pode-nos ajudar a detectar rapidamente onde está o problema. :)

Desde o Windows Vista, o Sistema Operativo cria uma Sessão Isolada chamada “Session 0”, utilizada para Serviços e drivers, e uma “Session 1” para o primeiro utilizador que faz logon na máquina. Desta forma, a execução de serviços ocorre numa sessão diferente das aplicações a fim de garantir mais segurança. Isto faz com que seja necessário utilizar a ferramenta psexec do “sysinternals” para acedemos ao contexto da máquina:

psexec -i -s cmd.exe

PsExec
http://technet.microsoft.com/en-us/sysinternals/bb897553

Nota: a linha de comando deve ser executada com privilégios de Administrador

(….)

- Para ver a cache OCSP :
certutil -urlcache ocsp

- Para ver a cache das CRL’s :
certutil -urlcache crl

- Para visualizar ambos as cache’s OCSP e CRL:
certutil -urlcache *

Para apagar a cache podemos utilizar os seguintes comandos:

- Apaga a cache OCSP:
certutil -urlcache ocsp delete

- Apaga a cache CRL:
certutil -urlcache crl delete

- Apaga ambos:
certutil -urlcache * delete

Importante: ao apagar a “cache” utilizando os comandos mencionados anteriormente não estamos a apagar a cache que está em memória. Para isso existe um comando adicional onde se define a data/hora para a validade da cache:

certutil -setreg chain\ChainCacheResyncFiletime @now

O comando acima invalida imediatamente a cache das CRL’s que estão em memória.

(….)

Em alternativa podemos agendar quantos dias/horas faltam para a cache ser renovada, podendo definir um valor com uma data futura. Isto implica que a Cache será desactivada e que nenhuma entrada poderá ser utilizada até a data que especificarmos.

Este tipo de configuração é particularmente útil para efeito de testes. Exemplo: 2 Dias e 6 horas

certutil –setreg chain\ChainCacheResyncFiletime @now+2:6

NOTA: Como referido anteriormente este comando desactiva temporariamente a actualização/utilização da cache até à data definida.

(….)

O seguinte comando serve para visualizar quando foi a ultima vez que a Cache foi desactivada:

certutil -getreg chain\ChainCacheResyncFiletime

Nota: Se o ChainCacheResyncFiletime nunca foi manualmente alterado a chave de registo não existe e a seguinte mensagem de erro é retornada:

CertUtil: -getreg command FAILED: 0x80070002 (WIN32: 2)
CertUtil: The system cannot find the file specified.

Este erro pode ser ignorado porque significa que neste caso ocorre o caching CRL padrão.

(….)

Para finalizar, os valores do ChainCacheResynchFiletime encontram-se na seguinte localização do registo:

HKLM\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CertDllCreateCertificateChainEngine\Config registry key;
ChainCacheResynchFiletime

Boa leitura :)

DNS Debug Logging

2012-01-05T17:12:00Z

Olá a todos,

Ultimamente tenho trabalhado em diversos problemas relacionados com DNS e em alguns deles o debug logging tradicional do serviço de DNS não foi suficiente para perceber o que se estava a passar. Neste tipo de situações, existe um log adicional que pode ser activado durante a fase de troubleshooting: o Extended DNS debug log.

Para activar o Extended DNS debug log devem acrescentar ou alterar as seguintes chaves de registo no servidor de DNS, tomando nota das alterações para mais facilmente serem revertidas assim que o teste/recolha de dados esteja completo.

Localização da chave:

HKLM\SYSTEM\CurrentControlSet\Services\DNS\Parameters

Name: OperationsLogLevel

Type: DWORD

Value: ffffffff (8 x f´s)

Name: OperationsLogLevel2

Type: DWORD

Value: ffffffff (8 x f´s)

Name: LogFileMaxSize

Type: DWORD

Value: EE6B2800

Default Value: 1DCD6500

Deverá reiniciar o serviço do DNS server após alterar estas chaves.

No seguinte artigo podem encontrar mais informação sobre os eventos registados após aplicar as chaves de registo OperationsLogLevel e OperationsLogLevel2:

3.1.1.1.1 DNS Server Integer Properties

http://msdn.microsoft.com/en-us/library/cc422472(PROT.10).aspx

Em relação ao LogFileMAxSize poderá sempre activar um máximo de 4GB.

Depois de activar o Extended debug logging a informação é guardada no seguinte ficheiro:

"%SystemRoot%\system32\dns\backup\dns.log"

O conteúdo deste log é semelhante ao seguinte:

"\r\nMessage logging key (for packets - other items use a subset of these fields):\r\n"

"\tField # Information Values\r\n"

"\t------- ----------- ------\r\n"

"\t 1 Date\r\n"

"\t 2 Time\r\n"

"\t 3 Thread ID\r\n"

"\t 4 Context\r\n"

"\t 5 Internal packet identifier\r\n"

"\t 6 UDP/TCP indicator\r\n"

"\t 7 Send/Receive indicator\r\n"

"\t 8 Remote IP\r\n"

"\t 9 Xid (hex)\r\n"

"\t 10 Query/Response R = Response\r\n"

"\t blank = Query\r\n"

"\t 11 Opcode Q = Standard Query\r\n"

"\t N = Notify\r\n"

"\t U = Update\r\n"

"\t ? = Unknown\r\n"

"\t 12 [ Flags (hex)\r\n"

"\t 13 Flags (char codes) A = Authoritative Answer\r\n"

"\t T = Truncated Response\r\n"

"\t D = Recursion Desired\r\n"

"\t R = Recursion Available\r\n"

"\t 14 ResponseCode ]\r\n"

"\t 15 Question Type\r\n"

"\t 16 Question Name\r\n\r\n"

Informação de Disco/Logging:

"The disk is dangerously full.\nNo more logs will be written until disk space is freed."

"ERROR: disk full while logging, %d bytes free\n",

"GetDiskFreeSpaceExW failed %d\n",

"ERROR %d writing %d bytes to log file\n",

"DNS Server log file creation at %s\r\n",

"ERROR %d backing up log file %S to %S\n",

"ERROR %d opening log file %S\n",

"Initialized logging: level = %p, handle = %d\n",

"Error %d setting log file to %S\n",

Informação de Frames enviadas/Recebidas:

"PACKET" "TCP" "UDP" "Snd" : "Rcv"

Eventos relacionados com Cache:

"Cache locking prevented a name error response from being cached.\r\n" ));

"Cache locking prevented a record from being cached.\r\n" ));

"Domain name: %s\r\n",

"Record already in cache: cached name error\r\n" );

"Record already in cache: type %u",

"Total cache time (seconds): %u\r\n"

"Cache time already passed (seconds): %u\r\n",

"Detail about record locked in cache:\n",

Na maioria das situações este log será mais útil se for recolhido em conjunto com uma captura de rede e com o DNS Debug Log tradicional, que poderá ser activado da seguinte forma:

http://technet.microsoft.com/en-us/library/cc776361(WS.10).aspx

Sérgio

Active Directory Sites and Services && Subnet mapping

2011-12-09T00:00:00Z

Hoje escrevo sobre optimização da Active Directory, Sites e Subnets.

Na Active directory é de extrema importância ter todas as subnets associadas a um Site, dado que a localização de um controlador de domínio (para efeitos de logon) depende de uma configuração coerente dos sites
e subnets.

Por vezes, ao criar exceções e/ou subnets que partilham endereços, alguns clientes ficam associados ao site errado. A resolução de conflitos, no que respeita às subnets e correspondente associação aos sites, funcionada da seguinte forma:

1 Floresta /1 Domínio > Teste.com

3 Sites > Site1 – Site2 – Site3

4 Subnets

1- 192.168.0.0/24 intervalo: (192.168.0.1- 192.168.0.254) -> Site1

2- 172.16.0.0/16 intervalo:(172.16.0.1 - 172.16.255.254) -> Site2

3- 10.0.0.0/24 intervalo: (10.0.0.1 - 10.0.0.254) -> Site3

4- 172.16.0.0/25 intervalo: (172.16.0.1 - 172.16.0.254) -> Site1

No exemplo anterior temos um conflito entre as subnets 2 e 4:

2 172.16.0.1 - 172.16.255.254
4 172.16.0.1 - 172.16.0.254

Os endereços IP’s entre 172.16.0.1 e 172.16.0.254 pertencem às duas subnets, sendo que cada uma delas está associada a um site diferente.

Aqui entra o mecanismo de resolução de conflitos e aplica-se uma regra que decide que a subnet com o menor intervalo de endereços, ou bit mais elevado, é a subnet vencedora.

Neste caso, todos os endereços entre 172.16.0.1 e 172.16.0.254 (correspondentes à subnet 172.16.0.0/25) serão associados ao SITE1.

Um cliente cujo endereço pertença a uma subnet que não esteja associada a um site vai escolher um controlador de domínio de forma aleatória. Temos sempre a possibilidade de nos basear nas mnemónicas DNS para limitar os locais onde um controlador de domínio vai escrever os seus registos SRV e/ou criar supernets e desta forma abranger a maioria dos clientes e associa-los a um site específico.

Brevemente num futuro post iremos discutir a localização de controladores de domínio de uma forma mais aprofundada, nomeadamente sobre o serviço NETLOGON que é o responsável, entre outras tarefas, pela localização dos controladores de domínio.

DFSR - monitorizar o estado da replicação em tempo real (V1.2.0)

2011-12-01T15:11:00Z

No seguimento do post anterior, partilho agora a versão 1.2.0 da ferramenta DfsrMon.

Relembro alguns dos pontos mais importantes para monitorização da ferramenta

O númerode updates que um membro está atualmente a replicar dos seus parceiros de replicação (incluindo a replicação inicial)

O backlog que cada membro tem para cada um dos seus parceiros de replicação. Permite criar um relatório com o backlog de todos os membros para cara para cada grupo de replicação e respetivos membros.
O aumento de alterações que acontecem em cada membro. Permitindo detectar alterações não desejadas.
O tamanho atual das pastas staging area e Conflicts&Deleted para cada pasta replicada num membro

Informação da janela principal do DFSRMON

O Backlog Report, é uma nova funcionalidade e mostra a seguinte informação:

Oferecendo a possibilidade de guardar no formato .HTML

Foi também introduzida a opção de debug,

dfsrmon –debug

Na pasta onde se encontrar o dfsrmon vai ser criado um log DFSRMon.log, que nos mostra consultas LDAP e WMI feitas à AD, muito útil para avaliar a enumeração da topologia de replicação.

Boa leitura e análises!

DFSR - monitorizar o estado da replicação em tempo real

2011-10-28T07:11:00Z

Download DFSRMon V1.1.0

Faltava ao DFSR uma ferramenta gráfica que permitisse monitorizar o estado da replicação em tempo real entre os diferentes membros da replica set. Para responder a esta necessidade, um estagiário nosso (nas equipas de suporte e PFE) desenvolveu uma ferramenta gráfica para monitorização do serviço DFSR: o DFSRMON.

O DFSRMon permite verificar:

O nível de convergência de um membro em relação aos seus parceiros de replicação, ou seja, o número de modificações ou criações nestes últimos que ainda não foram.
O estado de uma replicação inicial, ou seja, a quantidade de elementos que falta replicar num membro antes que ele termine a fase de replicação inicial.
O numero de elementos modificados num membro que ainda não foram recuperados pelos parceiros de replicação (Backlog)
O tamanho actual das pastas “Staging area” e “Conflict&deleted” associadas às diferentes pastas replicadas em cada membro.
As alterações realizadas nas pastas replicadas à medida que estas aparecem, permitindo desta forma observar alterações massivas que possam estar a ocorrer num determinado membro do grupo de replicação.

Pré-requisitos:

A máquina onde desejar executar o DFSRMon deverá ter instalado o .Net Framework, incluído na versão Windows Server 2003 R2; qualquer versão Windows posterior está automaticamente preparada para executar a ferramenta.

Pode encontrar a versão 3.5 SP1 da .Net Framework no seguinte endereço:

http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=ab99342f-5d1a-413d-8319-81da479ab0d7

Utilização:

DFSRMonpode ser executado a partir de qualquer máquina membro do domínio (desktop ou servidor). Preferencialmente, deverá ser executada a partir de uma máquina dedicada e não num servidor DFSR ou Controlador de Domínio, evitando desta forma uma sobrecarga suplementar neste tipo de servidores. O DFSRMon pode monitorizar todas as versões de DFSR (Windows Server 2003R2, Windows Server 2008 e Windows Server 2008R2).

Uma vez iniciada a aplicação click em "Connect" para listar os grupos de replicação existentes no domínio no qual a sessão foi aberta. Também é possível seleccionar um domínio diferente com uma conta e respectiva palavra-passe com um click em "Change Domain credentials".

Seleccione em seguida um dos grupos de replicação para listar os seus membros e características na tabela ”Members of Replication Group“.

As diferentes colunas desta tabela são as seguintes:

Member Name
Updates to be received for the selected replication group: número de elementos que falta replicar pelo membro a partir de todos os seus parceiros de replicação, para todos as pastas replicadas no grupo de replicação seleccionado.

Nota: Esta coluna é particularmente útil para a replicação inicial, pois permite controlar em tempo real o número de elementos que falta replicar antes que esta replicação seja concluída. Permite também uma observação da convergência da replicação “inbound” de cada um dos membros para o grupo de replicação seleccionado.

Deveremos ter em conta que esta informação está relacionada com o ciclo de replicação actual, ou seja, durante o período em que o “schedule” está aberto. Os valores mostrados são validos em relação ao parceiro de replicação com o qual o “schedule” está aberto. Quando os “schedules” com os parceiros de replicação estão fechados, o valor é mostrado entre parêntesis (partners not connected).

Para validar o “backlog” dos parceiros com o “schedule” fechado, ver a coluna "Backlog" em detalhe mais abaixo.

Updates to be received for all replication groups : numero de elementos que falta replicar pelo membro de todos os seus parceiros de replicação, para todas as pastas replicadas de todos os grupos de replicação.

Esta coluna permite obter o estado de convergência global do servidor, com todos os grupos de replicação incluídos.

Como na coluna anterior, essa informação está relacionada com o ciclo de replicação actual, ou seja, durante o período no qual o “schedule” esta aberto. Os valores mostrados são portanto validos unicamente em relação aos parceiros para os quais o “schedule” está aberto; quando os “schedules” com os parceiros de replicação estão fechados o valor é mostrado com a indicação entre parêntesis (partners not connected).

Group with the most updates: Nome do grupo de replicação para o qual o membro seleccionado possui o maior número de “updates” a recuperar dos seus parceiros de replicação. No caso do membro seleccionado pertencer a vários grupos de replicação, esta coluna permite ver em relação ao qual está mais atrasado.
RPC Port assignment : porto no qual o serviço DFSR do membro seleccionado está em modo “Listening”.
Debug Log File Path: pasta que contém os ficheiros de log do serviço DFSR.
Max Debug Log Files: número máximo de ficheiros de log DFSR.
Max Debug Log Messages: número máximo de registos que o serviço DFSR pode escrever por cada ficheiro de log.
Replication Debug Log Severity: nível de detalhe na informação escrita pelo serviço DFSR nos ficheiros de log.
Enable Light DS Polling: indica se o serviço DFSR efectua uma pesquisa rápida à “Active Directory” para recuperar eventuais alterações da sua configuração, dos grupos de replicação e das pastas replicadas.
DS Polling Interval in Min: intervalo ao fim do qual o serviço DFSR vai interrogar um Controlador Domínio para recuperar eventuais alterações da sua configuração, dos grupos de replicação e das pastas replicadas.
Last Change Time: data da última modificação na configuração DFSR
Member GUID: GUID associado ao membro pelo serviço DFSR.

Um “Right Click” sobre um dos membros mostra um menu de contexto com a opção "Poll AD" que permite iniciar uma pesquisa à “Active Directory” no membro seleccionado a fim de receber eventuais alterações na configuração.

Ao seleccionar um membro na primeira coluna do quadro anterior, as pastas replicadas pelo grupo de replicação seleccionado são mostradas na tabela inferior.

As diferentes colunas desta tabela inferior são as seguintes:

Replicated Folder Name: nome da pasta replicada.
Version for replicated folder volume: esta coluna mostra a versão corrente das modificações realizadas no membro seleccionado. A cada modificação feita numa pasta replicada (criação, alteração de conteúdo, apagar um ficheiro ou uma pasta), o serviço DFSR incrementa o número da sua versão. É este número que é comunicado aos seus parceiros de replicação para que estes avaliem os elementos a replicar.

Esta informação é particularmente útil para detectar eventuais alterações não esperadas num determinado volume.

Será importante perceber que o serviço DFSR partilha as versões de todas as pastas replicadas que estão gravadas no mesmo volume. Uma alteração da versão de, por exemplo, 100 para 1000 numa determinada pasta replicada, pode estar ligada a 900 alterações numa outra pasta replicada situada no mesmo volume.

Root Path: caminho da pasta replicada no membro seleccionado.
Membership status: estado do membro seleccionado para a pasta replicada.
Current Staging Size in Mb: tamanho actual da pasta “staging área” na pasta replicada no membro seleccionado.
Staging Quota: tamanho máximo que pode ter a “staging área” na pasta replicada sobre o membro seleccionado.
Staging Path: caminho para a pasta doStaging Area da pasta replicada sobre o membro seleccionado.
Current Conflict Size In MB: tamanho actual da pasta Conflicts&Deleted na pasta replicada sobre o membro seleccionado.
Last Conflict Cleanup Time: data na qual a pasta Conflicts&Deteted atingiu a quota (Conflict Low Watermark Percent) no membro seleccionado.
Conflict Path: caminho para a pasta Conflicts&Deleted na pasta replicada sobre o membro seleccionado.
Enabled: indica se a replicação da pasta está activa no membro seleccionado.
File Filter: filtros aplicados aos ficheiros da pasta replicada no membro seleccionado.
Directory Filter: filtros aplicados às pastas da pasta replicada no membro seleccionado.
Description: descrição da pasta replicada no membro seleccionado.
Is Primary: indicador do membro seleccionado com a marca “Primary” para uma replicação inicial da pasta replicada.
Database GUID: Guid atribuído pelo serviço DFSR à base de dados associada ao volume no qual está situada a pasta replicada do membro seleccionado.
Replicated Folder GUID: Guid atribuído pelo serviço DFSR à pasta replicada.

Quando seleccionamos uma pasta replicada na primeira coluna desta tabela, todos os seus parceiros de replicação são mostrados numa tabela à direita com o número de elementos modificados no membro seleccionado, e que ainda não foram recebidos. É o que chamamos de “Backlog”

Importante: esta informação é útil para visualizar em tempo real a evolução do “Backlog” de um determinado servidor em relação a cada um dos seus parceiros de replicação.

Ter em atenção que é necessário que a versão do membro seleccionado tenha sido recuperada para que a tabela seja visualizada. Enquanto a coluna correspondente não for preenchida a tabela não será mostrada.

Um “right Click” no parceiro de replicação na tabela de direita mostra um menu de contexto com as opções seguintes:

"Force replication" Permite forçar uma replicação do parceiro de replicação abrindo (artificialmente) o “schedule” durante uma hora.
"Stop replication" Permite bloquear a replicação com o parceiro seleccionado fechando (artificialmente) o “schedule” durante uma hora.

Actualização das tabelas mostradas:

Por predefinição, o intervalo de actualização dos diferentes elementos mostrados pela ferramenta está definido para 600 segundos (10 minutos). É possível alterar este valor no campo “refresh interval” sendo também possível definir 0 (zero) para uma actualização contínua dos dados.

Sempre que o DFSRMon recebe informações, a actividade é mostrada na janela de estado em cima à direita do ecrã, sendo que o tempo de recepção da informação pode ser longo.

Nota: aconselhámos vivamente a não fazer “Clicks” nos diferentes elementos mostrados enquanto a actividade mostrada não for “Idle”.

Não hesite em enviar os seus comentários ou sugestões por forma a podermos melhorar e/ou adicionar novas funcionalidades à ferramenta.

Humberto da SILVA | Support Escalation Engineer | CTS – Domain/Security Team

Internet Explorer 9 (IE9) e TMG 2010/UAG 2010

2011-09-05T14:24:00Z

Olá a todos!

Recentemente foi identificado um comportamento inesperado relacionado com o TMG 2010 (ou UAG 2010) e o Internet Explorer 9 versão 64 bits(IE9).

Após a instalação da versão RTM do IE9 num servidor de TMG 2010 ou UAG 2010, aquando da abertura da consola de um destes dois produtos poderão surgir alguns alertas, tais como:

Actualmente (à data de criação deste post), existem dois workarounds para esta situação:

1. Proceder à desinstalação do IE9

2. editar um ficheiro associado ao TMG 2010

Nota: O UAG 2010 utiliza como “motor” o TMG 2010, por isso ambos os workarounds são válidos para UAG 2010

a. Localizar o ficheiro %ProgramFiles%\Microsoft Forefront Threat Management Gateway\UI_HTMLs\TabsHandler\TabsHandler.htc no servidor de TMG 2010 ou UAG 2010

b. Editar o mesmo, e comentar as seguintes 3 linhas de código de forma que contenham o termo paddingtop (Nota: comenta-se uma linha de código com o símbolo //):

m_aPages [niPage].m_tdMain.style.paddingTop = ((m_nBoostUp < 0) ? -m_nBoostUp : 0) ;

deverão ficar com o seguinte aspecto:

// m_aPages [niPage].m_tdMain.style.paddingTop = ((m_nBoostUp < 0) ? -m_nBoostUp : 0) ;

c. Por fim gravar o ficheiro e abrir de novo a consola de TMG 2010 (ou UAG 2010)

Até ao próximo Post e Bom trabalho!

Sofia Alves.

Menos um mistério: Como verificar se estamos perante a versão licenciada ou Evaluation do TMG

2011-08-11T16:00:00Z

Olá a todos!

Até ao momento, na consola de TMG não existe nenhuma forma de sabermos se estamos perante uma versão “evaluation” ou perante a versão licenciada do TMG.

Habitualmente, e conforme têm sido “regra” nos nossos produtos, conseguimos encontrar o número de versão no menu “Help”, escolhendo a opção “About….”

E o TMG mantém essa regra!

O problema é que o número da versão de evaluation é exactamente igual ao número da versão completa de TMG na consola, ficando a duvida se estamos perante uma versão licenciada de TMG. E como referi no meu post anterior, ao fim de 120 dias poderemos ter uma surpresa desagradável...

No entanto existe uma forma de contornar-mos este problema, sendo possível confirmar com 100% de certeza se estamos perante uma versão de evaluation do TMG.

A solução reside num ficheiro chamado msfpc.sys (não confundir com msfpc.dll) que pode ser encontrado em program files\microsoft forefront threat management gateway\

Se a versão for 7.0.7734.0 significa que estamos a utilizar uma versão Evaluation (expira após ~120 dias)
Se a versão for 7.0.7734.100, significa que estamos a utilizar a versão licenciada do TMG

Numa próxima oportunidade abordarei a ferramenta mais utilizada para recolher logs de troubleshooting relacionados com o TMG.

Até breve e Bom trabalho!

Sofia Alves.

Upgrade do Forefront TMG Evaluation para a versão integral

2011-07-03T16:01:00Z

Olá a todos!

Gostaria de partilhar convosco um cenário de troubleshooting, de upgrade do Forefront TMG Evaluation para a versão integral, que trabalhei recentemente com um dos nossos clientes.

Por forma a enquadrar melhor a informação que vai ser apresentada, será útil compreender melhor a necessidade deste upgrade:

O Forefront Threat Management Gateway 2010 (TMG) traz uma série de novas funcionalidades que muitos administradores de ambientes que actualmente usam o ISA Server 2006 necessitam para melhorar a segurança da rede como um todo.
As versões disponíveis para download são a Standard Edition e Enterprise Edition, actualmente em: http://www.microsoft.com/downloads/en/details.aspx?FamilyID=e05aecbc-d0eb-4e0f-a5db-8f236995bccd&displaylang=en
A versão de evaluation do TMG 2010 funcionará durante 120 dias e após conclusão deste período, o upgrade para a versão completa implica mais do que simplesmente inserir a chave do produto licenciado. Será mesmo necessário fazer um inplace upgrade do produto.

Genericamente o processo de upgrade para a versão licenciada pode ser feita de dois modos:

Inserir o DVD com a versão completa do Forefront TMG e simplesmente percorrer as etapas de instalação (não há necessidade de previamente desinstalar a versão de evaluation). O Forefront TMG será instalado e a configuração prévia mantida.

Nota: A instalação não pode ser efectuada a partir de uma pasta partilhada na rede.

É possível também, desinstalar a versão de evaluation primeiro, e depois instalar a versão licenciada.

Nesta opção, para manter a configuração é necessário exportar previamente (antes de desinstalar a versão evaluation) a configuração dos settings predefinidos e após instalação da versão completa importar o backup (exportação) efectuada anteriormente.

É durante o processo de upgrade inplace relativo à 1ª opção que podemos deparar-nos com o seguinte erro, “The Internal Networl is missing. Verify that the Internal Network has been defined”.

Esta situação acontece, quando estamos a utilizar a versão evaluation do TMG 2010 com o Service Pack 1 do TMG também instalado e tentamos efectuar um upgrade utilizando o DVD/CD que tem a versão completa do TMG 2010 RTM (ou seja sem o Service Pack 1 para TMG instalado).

Neste cenário, a resolução deste problema passa pelos seguintes passos:

Anotar qual a versão de evaluation do TMG que está a ser utilizada, verificar se o Service Pack 1 está instalado e que hotfixes foram também instalados anteriormente
Exportar a configuração dos settings do mesmo para que sirva de backup.

Nota: Não esquecer de durante a exportação seleccionar as checkboxes relativas a “export confidential checkbox” e “export user permission settings”

Proceder à desinstalação do Service Pack 1 e hotfixes relativos ao TMG
Inserir o DVD com a versão completa do Forefront TMG e simplesmente percorrer as etapas de instalação.
Instalar de novo o Service Pack 1 e os hotfixes relativos ao TMG que estavam instalados previamente
Finalmente importar as configurações exportadas no passo 2.
E testar a “nova” instalação de TMG.

Numa próxima oportunidade vamos abordar a única forma possível, até ao momento, de verificar se estamos perante uma instalação completa ou de evaluation do TMG.

Até lá, Bom trabalho!

Sofia Alves.

Implementação de Smart Cards. O que acontece quando a publicação das CRL’s falha.

2011-06-28T08:00:00Z

Neste post vamos abordar o tema "Implementação de Smart Cards. O que acontece quando a publicação das CRL’s (Certificate Revocation List) falha".

Vamos supor que a sua organização quer implementar a utilização de Smart Cards como parte de uma nova política de Segurança, por exemplo a implementação de “Autenticação two-factor”. Normalmente quando falamos deste assunto levantam-se uma série de preocupações:

O que é que acontece quando falha a verificação da revogação do certificado do Servidor do Domínio (a partir do cliente) ou falha do lado do certificado Smart Card ( a partir do Controlador de Domínio)? Se isto suceder nenhum logon será possível causando uma indisponibilidade total.

Se tomarmos como exemplo a utilização das configurações Default, podemos depararmo-nos com as seguintes situações:

A entidade certificadora “Issuing CA” está indisponível e não consegue publicar um nova CRL válida;

A CRL do “Offline Root CA” não foi renovada e publicada para as localizações CDP (Certificate Ditribution Point);

Eventualmente os certificados irão expirar e como uma nova CRL não se encontra disponível os logon’s com os Smart Cards falharão de imediato.

Então vamos lá perceber o que acontece quando utilizamos Smat Card:

Quando seleccionamos a opção “Smart Card is required for interactive logon” ou “Para inicio de sessão interactivo é necessário um cartão Smart” a password do utilizador é alterada para uma password complexa aleatória que é desconhecida por todos, e o atributo de UserAccountControl é alterado para incluir o flag de SMARTCARD_REQUIRED.

Backup de máquinas Hyper-V com o Windows Server Backup

2011-06-27T17:00:00Z

Para quem não tem um Software de Backups que permite o Backup das máquinas virtuais, este tipo de backup é possível através da utilização do Windows Server Backup.

Para tal apenas temos de adicionar algumas chaves de registry para que o Windows Server Backup fique a saber que temos Hyper-V instalado.

No registry, em HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion, criar a seguinte estrutura de chaves:

WindowsServerBackup\ApplicationSupport\66841CD4-6DED-4F4B-8F17-FD23F8DDC3DE

A partir daqui criar uma String Value com o nome Application Identifier e com o valor Hyper-V, tal como na imagem seguinte:

Para quem tiver interesse em mais informação, nomeadamente qual a arquitectura por trás desta funcionalidade e a forma como é feita a recuperação, o artigo seguinte tem informação valiosa J

Como efectuar cópias de segurança máquinas virtuais de Hyper-V da partição principal num computador baseado no Windows Server 2008, utilizando a cópia de segurança do Windows Server http://support.microsoft.com/kb/958662/pt

A equipa de Suporte,

Susana Rodrigues