Supporto Tecnico Enterprise : Daniele Maso

Printer Server – Installare stampante locale senza interazione dell’utente

itentblg — Sun, 25 Oct 2009 23:00:00 GMT

In questo post vediamo come installare i driver delle stampanti locali tramite script in maniera automatizzata e sui vari client senza la necessità dell’interazione con l’utente.

Le stampanti “Plug & Play” collegate localmente richiedono le credenziali di amministratore per poter essere installate come indicato nel seguente articolo:

KB 326473
You Are Prompted for Administrator Credentials When You Try to Install a Plug and Play Printer
http://support.microsoft.com/default.aspx?scid=kb;en-us;326473

Quindi, nel momento in cui si collega la stampante al computer, è visualizzato il wizard d’installazione che richiede l’inserimento delle credenziali di amministratore.

Il wizard è avviato automaticamente dal Sistema Operativo in quanto il driver richiede “Client-side Installations” come indicato nel seguente articolo MSDN:

Device Installation Types
http://msdn.microsoft.com/en-us/library/ms791105.aspx

Devcon tool permette di interagire direttamente con il Device Manager e quindi evitare che l’utente riceva la schermata di installazione dei driver.
Maggiori informazioni sono disponibili sul TechNet:

Devcon Overview
http://technet.microsoft.com/en-us/library/cc737393(WS.10).aspx

Per quanto riguarda le stampanti, è possibile creare uno script di logon che esegua il rescan delle periferiche collegate al computer:

devcon.exe /rescan

A questo punto, la nuova stampante collegata localmente al PC sarà aggiunta dal Plug & Play nel Device Manager e tramite il seguente comando si eseguirà l’aggiornamento del driver:

devcon update %InfFile% %HardwareID%

Se il driver della stampante che vogliamo installare è inbox, ovvero presente nel CD di installazione del Sistema Operativo, è possibile far puntare %InfFile% a C:\WINDOWS\inf\ntprint.inf che contiene tutta la lista delle stampanti riconosciute da Windows.

Un altro comando utile per identificare tutte le stampanti installate nel computer è il seguente:

devcon.exe listclass printers

Inoltre, è anche possibile rimuovere la periferica tramite questo comando:

devcon.exe /remove %HardwareID%

Se non si conosce a priori l’Hardware ID della periferica installata nel computer, ma si conosce la lista delle stampanti presenti in azienda, è possibile creare l’installazione di tutti i driver conosciuti, in quanto devcon fallisce in caso non sia presente la periferica corrispondente all’Hardware ID specificato.
Questo semplifica la scrittura dello script d’installazione perché non richiede a priori la ricerca del tipo di periferica, anche se è possibile gestire i return code come indicato in questa sezione:

Devcon Remarks
http://technet.microsoft.com/en-us/library/cc779075(WS.10).aspx

Il download dell’applicazione è disponibile a questo indirizzo:

KB 311272
The DevCon command-line utility functions as an alternative to Device Manager
http://support.microsoft.com/kb/311272

Infine, una guida utile per controllare tramite Group Policy quali periferiche possono essere installate in Windows Vista e Windows Server 2008:

Device Management and Installation Step-by-Step Guide: Controlling Device Driver Installation and Usage with Group Policy
http://technet.microsoft.com/en-us/library/cc731387(WS.10).aspx

Daniele Maso
Senior Support Engineer
Microsoft Enterprise Platform Support

Cluster Service – Il Poison Packet

itentblg — Mon, 27 Jul 2009 02:00:00 GMT

In questo post cerchiamo di capire come si comporta il Cluster Service in caso di problemi di comunicazione tra i nodi e quando utilizza il poison packet.

Per semplicità consideriamo un cluster a 2 nodi, ma lo stesso identico scenario è applicabile anche a configurazioni con un numero di nodi maggiori.

Problema

Lo scenario tipico si ha quando il nodo 2, che non detiene il quorum, è stato rimosso dal cluster e il cluster service è arrestato.
Inoltre, se si tenta di avviare il cluster service manualmente, dopo pochi minuti si arresta automaticamente.
Ovviamente in una configurazione a 2 nodi questo limita l’high availability, in quanto un failover non sarebbe possibile con 1 nodo solo disponibile.

Raccolta e Analisi dei Dati

Il primo punto da verificare sono gli Eventi di sistema in quanto riportano tutti gli eventi generati dal Cluster Service, ClusDisk e ClusNet.

In particolare, eventi tipici sintomatici del problema sono i seguenti:

Warning       ClusSvc   1123   The node lost communication with cluster node 'Node2' on network 'Public'.             Nodo1
Warning       ClusSvc   1123   The node lost communication with cluster node 'Node2' on network 'Private'.            Nodo1
Information   ClusSvc   1122   The node (re)established communication with cluster node 'Node2' on network 'Public'. Nodo1
Information   ClusSvc   1122   The node (re)established communication with cluster node 'Node2' on network 'Private'. Nodo1

Seguito dal seguente evento:

Error ClusNet 1118 Cluster service was terminated as requested by Node 1. Node2

L’ultimo evento indicato permette di capire che i 2 nodi sono riusciti a comunicare: infatti il Nodo 1 richiede esplicitamente al Nodo 2 di arrestare il Cluster Service.

Analizziamo il cluster.log presente in C:\Windows\Cluster del nodo 2, e non negli altri nodi, in quando i file cluster.log contengono gli eventi specifici del nodo e quindi sono diversi gli uni dagli altri.
Notiamo i seguenti eventi in corrispondenza dell’ora indicata calcolata in GTM (fuso orario di Londra):

00001728.0000077c::2009/07/20-14:42:13.623 INFO [CS] Cluster Service started - Cluster Node Version 4.3790

00001728.00000a4c::2009/07/20-14:49:21.406 INFO [ClMsg] Received poison event.
00001728.00000a4c::2009/07/20-14:49:21.406 ERR [RGP] Node 2: REGROUP ERROR: poison packet received from node 1

La prima riga indica l’avvio del Cluster Service: questo avviene indipendentemente dalla volontà del cluster perché è il Service Control Manager del Sistema Operativo a riavviare il servizio ad intervalli regolari in base alle impostazioni.
Dopo soli 7 minuti il tentativo di regroup al cluster fallisce perché il Cluster Message notifica la ricezione del Poison Packet e questo termina ogni attività del Cluster Service istantaneamente.

Soluzione

In questo esempio, la sovrapposizione dei problemi di visibilità tra i due nodi e l’evento del Poison Packet indica evidenti problemi di comunicazione.

Questo comportamento avviene nel momento in cui un nodo del cluster fallisce un aggiornamento tramite GUM, in quel momento il nodo che detiene il Quorum invia il Poison Packet e blocca il nodo finchè l’aggiornamento non è eseguito correttamente.

Il seguente articolo illustra un caso particolare in cui un fallimento della comunicazione RPC genera il Poison Packet:

KB 326330 - The Cluster Service Detects RPC Errors 1726 and 1722

Per quanto riguarda gli errori di comunicazione, possono influire molto nella sincronizzazione dei nodi, e per questo consiglio la lettura di questo articolo:

KB 892422 - Overview of event ID 1123 and event ID 1122 logging in Windows 2000-based and Windows Server 2003-based server clusters

Quando il nodo 1, che ha incarico il quorum, non riceve un aggiornamento dall’altro per più di 6 volte il tempo di hearbeat (1.2 secondi) su tutte le schede di rete, lo considera offline e gli invia il Poison Packet.
Questa procedura serve per tutelare il corretto funzionamento di tutto il cluster, in quanto la parte con meno voti (in questo caso il Nodo 2) non deve interferire con la parte maggioritaria (Nodo 1 + Quorum) e tutti i servizi continuano a essere erogati correttamente.

Daniele Maso
Senior Support Engineer
Microsoft Enterprise Platforms Support

Windows 7 & Windows Server 2008 R2 – Rilasciata la RTM ufficiale!

itentblg — Wed, 22 Jul 2009 02:00:00 GMT

Breve post dedicato all’importante rilascio della versione RTM (Release To Manufacturing) di Windows 7 e Windows Server 2008 R2.

L’annuncio ufficiale è stato pubblicato oggi ed è disponibile sul sito Microsoft.com

Tutti gli approfondimenti e le novità del nuovo Sistema Operativo client Windows 7 sono presenti nella sezione dedicata del sito Microsoft Italia.

Tutte le principali novità introdotte dal nuovo Windows Server 2008 R2 sono illustrate in un articolo di TechNet e confrontate con Windows Server 2008

Verificate inoltre le nuove versioni di Windows Server 2008 R2 in base alle necessità.

Vi consiglio di leggere i 3 post di MClips e TechNet Italia:

E’ importanti verificare le date di rilascio al pubblico:

RTM: OEM
6 agosto: TechNet Plus Direct, MSDN e Microsoft Connect
7 agosto: Volume License con Software Assurance
16 agosto: Microsoft Partner Network Portal
23 agosto: Microsoft Action Pack Subscribers
1 settembre: Volume License senza Software Assurance
1 ottobre: disponibilità di tutte le altre lingue
22 ottobre: clienti finali e pc con preinstallato Windows 7

Buona installazione a tutti!

Daniele Maso
Senior Support Engineer
Microsoft Enterprise Platform Support

Microsoft Support Lifecycle – Periodo di supporto per Sistemi Operativi Windows Server

itentblg — Mon, 04 May 2009 02:00:00 GMT

In questo post cerco di chiarire i periodi di supporto per i 3 sistemi operativi server rilasciati:

Windows 2000 Server
Windows Server 2003
Windows Server 2008

Fasi del ciclo di vita del supporto

La politica “Microsoft Support Lifecycle” fornisce indicazioni coerenti e precise sulla disponibilità del supporto per i singoli prodotti al momento del rilascio.
Entrata in vigore il 15 ottobre 2002, questa politica si applica alla maggior parte dei prodotti attualmente disponibili tramite i canali Retail o Volume Licensing, oltre che alle versioni future.
A partire dal 1 giugno 2004 è stato applicato un nuovo approccio al ciclo di vita del supporto, come illustrato nella seguente immagine:

L’immagine seguente illustra il tipo di supporto fornito in base alle 2 fasi del ciclo di vita:

Supporto Mainstream

Mainstream Support è la prima fase del ciclo di di vita del supporto di un prodotto.

Per la politica di supporto dei service pack, il supporto Mainstream include:

Richiesta di supporto (Richiesta di supporto gratuita, richiesta di supporto a pagamento, supporto a pagamento orario, supporto in garanzia)
Supporto per gli aggiornamenti di protezione
Possibilità di richiedere hotfix non di protezione

Supporto Extended

Il supporto Extended segue la fase di supporto Mainstream per i prodotti business e di sviluppo.

Per la politica di supporto dei service pack, il supporto Extended include:

Supporto a pagamento
Aggiornamenti di protezione gratuiti
Hotfix non relative alla protezione richiedono un contratto "Extended Hotfix" a pagamento (verrà applicato un costo per ogni fix)

Nota:

Microsoft non accetterà richieste di supporto in garanzia, modifiche del prodotto o nuove funzioni durante la fase di supporto Extended
Supporto Extended non è disponibile per i prodotti Consumer, Hardware, Multimedia e Microsoft Dynamics products

Politica per il supporto dei Service Pack

I service pack sono cumulativi, ovvero ogni nuovo service pack contiene tutte le correzioni incluse nei precedenti, oltre a nuovi hotfix.
In questo modo gli utenti non devono installare una versione precedente di un service pack prima di procedere all'installazione di quella più aggiornata. Un Security Rollup Package (SRP) offre un rollup cumulativo di aggiornamenti della protezione disponibili dall'ultimo SRP.

Quando è rilasciato un nuovo service pack, Microsoft offre 12 mesi di supporto per la versione precedente. Il supporto può essere esteso a 24 mesi per quei service pack per il cui testing e deployment Microsoft ritiene che i clienti possano aver bisogno di altro tempo.

Microsoft annuncerà l'estensione del supporto per un service pack precedente al momento del rilascio della versione aggiornata.

Quando il supporto per un prodotto è ritirato, non viene più fornito supporto per i relativi service pack. La politica Support Lifecycle ha la priorità su quella per il supporto dei service pack.

Windows 2000 Server

Di seguito è riportata un’immagine che illustra le principali date del supporto a Windows 2000 Server:

Ad oggi abbiamo:

Supporto Mainstream = terminato il 31 Marzo 2005
Supporto Extended = finirà il 13 Luglio 2010

Il Sistema Operativo per poter ricevere supporto necessità obbligatoriamente l’installazione del Service Pack 4 e richiede l’acquisto dell’estensione.

Maggiori informazioni riguardo al supporto di Windows 2000 Server e Windows 2000 Advanced Server.

Windows Server 2003 e R2

Di seguito è riportata un’immagine che illustra le principali date del supporto a Windows Server 2003:

Ad oggi abbiamo:

Supporto Mainstream = finirà il 13 Luglio 2010
Supporto Extended = finirà il 14 Luglio 2015

Il supporto specifico per i Service Pack:

Service Pack 0 = terminato il 10 Aprile 2007
Service Pack 1 = terminato il 14 Aprile 2009
Service Pack 2 = fino al termine del Supporto Mainstream

Il Sistema Operativo per poter ricevere supporto necessità obbligatoriamente l’installazione Da notare che è necessario installare il Service Pack 2 per poter ottenere supporto, in quanto SP1 non è più supportato.

Maggiori informazioni riguardo al supporto di Windows Server 2003 e di Windows Server 2003 R2.

Windows Server 2008

Di seguito è riportata un’immagine che illustra le principali date del supporto a Windows Server 2008:

Ad oggi abbiamo:

Supporto Mainstream = finirà il 9 Luglio 2013
Supporto Extended = finirà il 10 Luglio 2018

Il supporto specifico per i Service Pack:

Service Pack 1 = fino al 29 Aprile 2011 (integrato nella versione RTM dell’OS)
Service Pack 2 = fino al termine del Supporto Mainstream

Maggiori informazioni riguardo al supporto di Windows Server 2008.

Maggiori informazioni sono disponibili

Marco Pulita
Microsoft Enterprise Platform Support

Sicurezza - Aggiornamento riguardo al Worm Win32/Conficker.D

itentblg — Fri, 20 Mar 2009 02:00:00 GMT

[Ultimo aggiornamento: 31 Marzo 2009 - 09:57]

E’ stato identificata una nuova versione del virus Conficker: la variante D.
Nel precedente post Sicurezza - Aggiornamento riguardo al Worm Win32/Conficker.B è spiegato passo passo come prevenire l’infezione dei client.

Questa nuova variante del virus è in grado di difendersi dai principali tool di rilevamento e rimozione come spiegato nella sezione “Analysis” del Microsoft Malware Protection Center

Feliciano ha pubblicato una pagina in cui raccogliere le informazioni presenti nei vari siti Microsoft.

Prevenzione

Come sappiamo, prevenire è meglio che curare, e con questa particolare variante è, se possibile, ancora più importante!

Vediamo i punti principali per cercare di limitare i danni ed evitare che la rete aziendale sia attaccabile:

Installare l’aggiornamento di sicurezza MS08-067 su tutti i client e server della rete
Aggiornare l’antivirus sia come virus pattern sia come motore di scansione
Utilizzare delle password complesse per amministratori locali e di dominio
Enforcing Strong Password Usage Throughout Your Organization
Verificare che l'autorun non sia attivo
How to correct "disable Autorun registry key" enforcement in Windows

Una lista più dettagliata è disponibile sul sito nella sezione “Prevention” del Microsoft Malware Protection Center

Verificare lo stato dei computer

E’ di fondamentale importanza che tutti i server e client presenti nella rete locale siano aggiornati e rispettino quanto elencato nella sezione “Prevenzione”.
Basta che un solo client di una sede remota non sia aggiornato e questo potrà scatenare tutti i problemi indicati nella sezione “Analisi dell’infezione”.

Per quanto riguarda lo stato di aggiornamento del software antivirus nei vari computer è da concordare in collaborazione con la casa produttrice del programma.
In molti casi è presente un server di gestione centralizzato o in caso di reti di piccole dimensioni, si può procedere manualmente alla verifica dei singoli server.

Per quanto riguarda l’aggiornamento MS08-067 si può utilizzare un server WSUS oppure tramite un server SMS o SCCM: la console di gestione presenta la situazione aggiornata di tutti i computer della rete.
In caso non sia presente un server centralizzato per la gestione degli aggiornamenti, si può verificare la presenta della cartella %windir%\$NtUninstallKB958644$

Potete anche eseguire il Microsoft Malicious Software Removal Tool su una macchina infetta come tool standalone per provare a rimuovere l'infezione o nel caso sia accessibile il sito Windows Live OneCare Safety Scanner ed eseguire una scansione online del server.

Rimozione del virus

La rimozione automatica con l’antivirus installato nella computer è la prima scelta da eseguire in quanto normalmente è in grado di rimuovere il virus correttamente.

I programmi specifici in grado di rimuovere il Conficker possono presentare problemi con questa variante in quanto è stata aggiunta una routine del virus che verifica ogni secondo il nome del processo e lo termina: vedi la sezione “Analisi dell’infezione” per maggiori informazioni.

Il seguente articolo spiega come distribuire il Microsoft Windows Malicious Software Removal Tool tramite script all’interno dell’azienda:

KB 891716 - Deployment of the Microsoft Windows Malicious Software Removal Tool in an enterprise environment

La rimozione manuale è possibile, anche se non consigliata, ed è illustrata nel seguente articolo:

KB 962007 - Virus alert about the Win32/Conficker.B worm

Analisi dell’infezione

Tra i principali problemi che il virus causa abbiamo:

Blocco dei servizi di sicurezza: Windows Security Center Service (wscsvc), Windows Update Auto Update Service (wuauserv), Background Intelligence Transfer Service (BITS), Windows Defender (WinDefend), Error Reporting Service (ersvc) e Windows Error Reporting Service (wersvc)
Cancellazione delle chiavi del registro di Windows Defender, Windows Security Center (WSC) e la lista dei servizi della modalità provvisoria
Blocco dell’accesso ai principali siti internet dei produttori di software antivirus e aggiornamento tramite un hook alla libreria DNSAPI.DLL
Download di file a partire dal 1° Aprile 2009 da 8 portali web di 100 nazioni tramite 500 indirizzi scelti random da 50’000. Dopo aver eseguito un download corretto, rimane in sospeso per i successivi 4 giorni in caso contrario, il giorno successivo proverà con altri 500 indirizzi.
Termine dei processi che contengono i nomi dei principali software di pulizia e aggiornamento del Conficker eseguito ogni secondo.

Il consiglio per evitare che il virus arresti l’esecuzione del processo è rinominare il file eseguibile se possibile, in modo da eludere il controllo via stringa.

Per la lista completa dei siti internet utilizzati e i nomi dei processi, fate riferimento alla sezione “Analysis” del Microsoft Malware Protection Center

Domande Frequenti

D: Cosa succederà il 1 April 2009?
R: In base alle analisi tecniche, abbiamo determinato che i sistemi infetti con l'ultima versione del Conficker inizieranno ad utilizzare un nuovo algoritmo per determinare quali domini internet contattare. Non abbiamo identificato altre azioni previste che saranno attivare il 1° Aprile 2009.

D: Sarà rilasciata una nuova versione aggiornata del Conficker ai sistemi già infettati il 1° Aprile 2009?
R: E' possibile che i sistemi infetti con l'ultima versione del Conficker saranno aggiornati con una nuova variante il 1° Aprile 2009 contattando dei siti internet ottenuti da una nuova lista di domini. Comunque, questi sistemi potrebbero aggiornarsi prima o dopo il 1° Aprile 2009 così come tramite il canale di aggiornamento "peer-to-peer" presente nell'ultima versione del Conficker.

D: Gli utenti finali si devono allarmare?
R: No, gli utenti finali non devono allarmarsi. La maggior parte dei sistemi operativi è già protetto da Ottobre 2008 quando Microsoft ha rilasciato l'aggiornamento di sicurezza MS08-067 che è installato automaticamente tramite Windows Update.

Timeline delle varianti del Conficker

Disponibile nel blog del Microsoft Malware Protection Center

Supporto Microsoft

In caso abbiate bisogno di ulteriore aiuto, sono disponibili i siti Microsoft per la sicurezza:

Utenti privati = Guida alla sicurezza e supporto tecnico per utenti privati
Professionisti IT = Guida alla sicurezza e supporto tecnico per professionisti IT

Come per il precedente articolo, continuerò ad aggiornare il post in caso di novità riguardo a questo virus.

Daniele Maso
Senior Support Engineer
Microsoft Enterprise Platform Support

Hyper-V - Impossibile collegarsi alle Macchine Virtuali dopo un anno dall’installazione

itentblg — Mon, 02 Mar 2009 03:00:00 GMT

[Ultimo aggiornamento: 25 Marzo 2009 - 14.02]

Windows Server 2008 è stato rilasciato in RTM a Febbraio 2008 e includeva la versione beta di Hyper-V, mentre la versione finale di Hyper-V è stata resa disponibile a Giugno 2008.

Per aggiornare la copia di Hyper-V presente sul server basta semplicemente installare la KB 950050 - Hyper-V Update for Windows Server 2008

I dettagli di questo problema sono disponibili nel seguente articolo:
KB 967902
You cannot connect to a virtual machine when the Windows Server 2008 Hyper-V VMMS certificate has expired
http://support.microsoft.com/kb/967902

Ulteriori informazioni sono disponibili nel Windows Server Division WebLog.

L'hotfix KB 967902 è stata rilasciata tramite Windows Update.

Scenario

Chi ha installato Windows Server 2008 a partire dal 27 Febbraio 2008, giorno del rilascio ufficiale, potrebbe ricevere i messaggi di errore indicati nella sezione Sintomi.

Questo problema accade perché il servizio Virtual Machine Management (VMMS) di Hyper-V ha un certificato con lo scopo di “Server Authentication” che è utilizzato quando ci si collega ad una macchina virtuale. Di default questo certificato ha validità di 1 anno e potrebbe essere scaduto.

Sintomi

Dopo un anno dall’installazione del ruolo “Hyper-V” in Windows Server 2008, se si tenta di collegarsi alle macchine virtuali, si può riceve il seguente errore:

"Cannot connect to the virtual machine because the authentication certificate is expired or invalid. Would you like to try connecting again?"

Oppure se si prova ad avviare una macchina virtuale, il child non parte e sono visualizzati i seguenti messaggi:

‘VMName’ failed to initialize.

Could not initialize machine remoting system. Error: ‘Unspecified error’ (0x80004005).

Could not find a usable certificate. Error: ‘Unspecified error’ (0x80004005)

Aggiornamento automatico

E’ previsto un aggiornamento ufficiale il 2 Marzo 2009 e sarà successivamente rilasciato tramite Windows Update a partire dal 24 Marzo 2009.

Questo problema è risolto in Windows Server 2008 SP2 e Windows 7.

Workaround

In attesa dell’aggiornamento ufficiale, di seguito vi riporto i passi per ottenere un nuovo certificato:

Aprire “Services.msc” da Start – Run o tramite “Computer Management”
Arrestare il servizio Hyper-V Virtual Machine Management
Aprire una nuova MMC vuota da Start – Run
In Console1 selezionare il menù File – Add/Remove Snap-In
Nella finestra Available snap-ins selezionare Certificates e cliccare Add
Nella schermata successiva selezionare Service account e cliccare Next
Nella schermata Select the Computer... selezionare Local computer e cliccare Next
Nella lista Service account selezionare il servizio Hyper-V Virtual Machine Management e cliccare Finish e poi OK
Ritornare in Console1, nel pannello di sinistra espandere Certificates, vmms\Personal e selezionare Certificates
Nel pannello di destra, fare doppio click sul certificato con il nome macchina e seleziona la scheda General
Verificare che il certificato sia scaduto: Valid from xxx to xxx.
In caso sia effettivamente scaduto, spegnere tutte le macchine virtuali
Ritornare alla console “Services.msc” e riavviare il servizio Hyper-V Virtual Machine Management.
Una volta che il servizio è stato riavviato, ritornare in Console1 e un nuovo certificato valido dovrebbe essere stato rilasciato.
Riavviare le macchine virtuali e il collegamento dovrebbe funzionare correttamente.

Daniele Maso
Senior Support Engineer
Microsoft Enterprise Platforms Support

Printer Server: come scegliere i print driver

itentblg — Mon, 23 Feb 2009 03:00:00 GMT

Gestire un printer server a volte può non essere così semplice e, in generale, i possibili imprevisti sono direttamente proporzionali al numero di driver e stampanti installate. E' quindi fondamentale scegliere un printer driver che riduca al minimo i problemi di compatibilità con i Sistema Operativo server e client.

In questo post vedremo quali tipi di driver esistono e i vantaggi offerti dalle varie architetture.

Come prima distinzione dal punto di vista della stabilità abbiamo:

Modalità Kernel = i driver hanno prestazioni maggiori ma in caso di eccezioni, generano Bluescreen dell’intero server e il conseguente riavvio.
Modalità User = i driver sono leggermente più lenti ma in caso di eccezioni, causano il crash del solo processo spoolsv.exe in cui gira il servizio di Print Spooler.

E’ facile intuire che un driver Kernel può avere conseguenze molto gravi sull’intero sistema operativo infatti questo tipo è stato abbandonato già da Windows 2000 Server (anche se ne mantiene la compatibilità).
L’immagine seguente illustra la versione Windows NT 4.0 x86 differenziata rispetto a Windows 2000, Windows XP e Windows Server 2003 proprio perché i primi sono in User Mode mentre l’ultimo gira in modalità Kernel:

Un altro modo per identificare i driver in base al Sistema Operativo che lo utilizzerà, riguarda la Versione:

Versione 3 = driver in modalità user per Windows 2000, XP, 2003, Vista e 2008
Versione 2 = driver in modalità kernel per Windows NT 4

I printer server devono poter offrire supporto anche a client non recenti, Windows 9x e NT, di installare le stampanti remote e quindi abbiamo la possibilità di aggiungere driver con Versioni precedenti:

Versione 1 = driver user mode Wind NT 3.51 3.5 3.1 e sistemi precedenti
Versione 0 = driver Windows 95, 98 e Millenium Edition

Queste due ultime versioni non possono essere utilizzate direttamente sul printer server per stampare, ma sono semplicemente rese disponibili agli utenti per poter mantenere la compatibilità con il passato.

A partire da Windows XP e Windows Server 2003, è stato esteso il supporto alle architetture hardware a 64 bit, e quindi i print server riflettono questo cambiamento introducendo la possibilità di scegliere il tipo di processore:

La distinzione principale in base al tipo di processore utilizzato è:

La divisione dei driver in base al tipo di tecnologia utilizzata è la seguente:

Questa scelta dipende dal tipo di supporto hardware della stampante fisica. Per il momento le più diffuse sono Universal Printer Driver e PostScript.

Ogni driver ha pregi e difetti, ma, in generale, i driver da evitare sono:

Modalità Kernel o progettati per Microsoft Windows NT 4.0
Monolitici, ovvero non basati ne su Unidrv ne su PostScript
Non certificati e senza il logo “Designed for Windows”

Maggiori informazioni e approfondimenti:

Daniele Maso
Senior Support Engineer
Microsoft Enterprise Platforms Support

Sicurezza - Aggiornamento riguardo al Worm Win32/Conficker.B

itentblg — Mon, 05 Jan 2009 15:00:00 GMT

[Ultimo aggiornamento 20 Mar 2009 - 17:35]

Maggiori informazioni riguardo la nuova variante Conficker.D sono disponibili in questo post:
Sicurezza - Aggiornamento riguardo al Worm Win32/Conficker.D

In questo periodo abbiamo identificato una nuova variante del virus Conficker.
Il virus inizialmente attacca i sistemi che non hanno installato l’aggiornamento di sicurezza MS08-067 e, una volta infettato il sistema, proverà a diffondersi utilizzando degli attacchi di tipo “brute force”.
Questo tipo di attacco cercherà di crackare le password degli altri sistemi e, una volta entrato, lo infetterà.
E' fondamentale non loggarsi con utenze di amministrazione di Dominio in quanto il virus riesce ad impersonare l'utente loggato ed utilizzare le sue credenziali per infettare gli altri computer presenti in rete.

Per maggiori informazioni riguardo alla vulnerabilità e al bollettino correttivo MS08-067, fate riferimento al post di Feliciano Intini.

Di seguito vediamo i sintomi e i principali metodi per mitigare il diffondersi dell'infezione.

Sintomi

I principali sintomi per determinare se si è infetti sono:

Molti / Tutti gli account utente e amministratore iniziano ad essere bloccati.
Per ottenere maggiori informazioni riguardo agli account bloccati è disponibile l'Account Lockout Tools.
Automatic Updates, Background Intelligent Transfer Service, Windows Defender e Error Reporting Server Services sono arrestati e disabilitati
Errori legati a SVCHOST
I Domain Controller sono lenti nelle rispondere ai client
Congestione della rete interna
Non è possibile accedere ai siti internet di Windows Update e dei principali software antivirus

Ad oggi, Microsoft e le altre società antivirus hanno identificato questo tipo di attacco malware come indicato al sito Microsoft Malware Protection Center.
Verificate le informazioni presenti nel link indicato sopra per poter analizzare il modo utilizzato nella diffusione dell'infezione.
Inoltre è possibile che il sistema sia infettato da una diversa variante del virus: verificate sempre al sito Microsoft Malware Protection Center

Rimozione automatica (consigliata)

Il modo migliore per rimuovere il virus è utilizzare l'Antivirus installato nel sistema in quanto riduce i tempi di scansione e permette di limitare le reinfezioni.

In caso non sia rilevabile, si può utilizzare il tool standalone Microsoft Malicious Software Removal Tool disponibile gratuitamente ed entrambi in grado di rilevare e rimuovere il virus e le sue varianti.

Un articolo spiega come distribuire il Microsoft Malicious Software Removal Tool all'interno di una rete aziendale.

Un altro tool in grado di rilevare e rimuovere l'infezione è Standalone System Sweeper che è parte del Microsoft Dekstop Optimization Pack 6.0

Infine, entrambe le versione di Windows Live OneCare e Forefront Client Security

Rimozione manuale (in caso di varianti)

E' disponibile un articolo che spiega come procedere nella rimozione manuale del virus:
Virus alert about the Win32/Conficker.B worm

Prevenire la reinfezione

Verificare su tutti i client e server presenti in rete che i seguenti punti siano stati eseguiti

Antivirus aggiornato in grado di rilevare il virus Win32/Conficker.B
Aggiornamento di sicurezza MS08-067 installato su tutti i server e client
Utilizzo delle password complesse degli amministratori locali e di dominio
Enforcing Strong Password Usage Throughout Your Organization
Verificare che l'autorun non sia attivo
How to correct "disable Autorun registry key" enforcement in Windows
Verificare che non ci siano job anomali presenti nel Task Schedule
Verificare che tutte le ultime hotfix di sicurezza siano installate correttamente

Posterò aggiornamenti in caso di modifiche o novità riguardo a questo virus.

Daniele Maso
Senior Support Engineer
Microsoft Enterprise Platforms Support

Cluster Service – Evict del nodo e Rimozione del Servizio

itentblg — Mon, 10 Nov 2008 04:00:00 GMT

Di seguito vediamo un caso molto particolare di evict automatico di un nodo da un cluster senza apparentemente alcuna spiegazione.

Lo scenario è formato da 2 nodi collegati tra di loro ad un rete di heartbeat condivisa tra più cluster.

Se gli indirizzi IP delle schede di rete non sono configurate correttamente oppure esiste un altro cluster con lo stesso nome collegato sulla rete, c’è il rischio di incorrere nell’evict automatico del nodo!

Se analizziamo il cluster log di un nodo che ha avuto questo problema, troveremo:

Date-Time WARN [JOIN] Attempting join with sponsor 192.168.222.23.
Date-Time INFO [NMJOIN] Beginning cluster join process.
Date-Time ERR [NMJOIN] Unable to begin join, status 5893.
Date-Time WARN [JOIN] NmJoinCluster failed, status 5893.

L’errore 5893 corrisponde a “ERROR_CLUSTER_INSTANCE_ID_MISMATCH” in cui appunto si fa riferimento al fatto che il nodo che ha provato a fare il join al cluster già esistente aveva un ID diverso e che non corrispondeva a quello condiviso nel quorum.

Gli eventi successivi indicano l’avvio della rimozione completa del nodo:

Date-Time INFO [INIT] Cleaning up failed join attempt.
Date-Time INFO [INIT] Leaving cluster
Date-Time INFO [NM] Interface cleanup starting...
Date-Time INFO [NM] Network interface cleanup complete
Date-Time INFO [NM] Network cleanup starting...
Date-Time INFO [NM] Network cleanup complete
Date-Time INFO [NM] Node cleanup starting...
Date-Time INFO [NM] Node cleanup complete
Date-Time WARN [NM] Shutdown of the Cluster Network driver failed, status 21
Date-Time INFO [INIT] Deregistering RPC endpoints & interfaces.
Date-Time WARN [INIT] This node has been evicted from the cluster when it was unavailable. Initiating cleanup.

Dopo questo evento il servizio cluster è completamente disinstallato dal server e non è più presente nell’elenco dei servizi attivi. La sequenza si conclude con questi eventi:

Date-Time ERR [CS] ClusterInitialize failed 5893
Date-Time WARN [INIT] The cluster service is shutting down.
Date-Time INFO [EVT] EvShutdown
Date-Time WARN [FM] Shutdown: Failover Manager requested to shutdown groups.
Date-Time INFO [FM] FmpCleanupGroups: Entry
Date-Time INFO [FM] FmpCleanupGroups: Exit
Date-Time INFO [Dm] DmShutdown
Date-Time INFO [DM] DmpShutdownFlusher: Entry
Date-Time INFO [DM] DmpShutdownFlusher: Setting event
Date-Time INFO [DM] DmpRegistryFlusher: got 0
Date-Time INFO [DM] DmpRegistryFlusher: exiting
Date-Time WARN [MM] MMLeave is called when rgp=NULL.
Date-Time ERR [CS] Service Stopped. exit code = 5893

Da questo momento in avanti, il nodo è tornato a far parte dei member server e non appartiene più al cluster.

Per poter risolvere il problema è necessario innanzitutto capire la causa del problema e risolverla quanto prima perché questo può causare altri “clean up” dei nodi involontari e ovviamente la perdita di ridondanza dei servizi clusterizzati.

Una volta risolto il problema, si può procedere con il join del nodo al cluster esistente in modo da poter ripristinare la situazione originale.

Maggiori informazioni e approfondimenti:

Daniele Maso
Senior Support Engineer
Microsoft Enterprise Platforms Support

Printer Server: Rimuovere i componenti di terze parti

itentblg — Mon, 06 Oct 2008 02:00:00 GMT

In questo post cercherò di illustrare i passi per eliminare i componenti dei driver non necessari e che possono causare problemi o blocchi al servizio di spooler.

Molti problemi dello spooler di stampa sono causati da driver non aggiornati o con compenti accessori che non pregiudicano la stampa di un normale documento ma che possono causare lato sistema operativo crash o blocchi improvvisi.

Le modifiche interessano il registro di sistema e quindi, per una maggiore sicurezza, consiglio di fare una copia di backup.

Di seguito l’elenco di passi che seguiremo per pulire le chiavi relative al Print Server:

Impostare “Local Print Provider” come default
Convertire Port Monitor di terze parti in Standard TCP/IP
Rimuovere Print Monitor di terze parti
Rimuovere Print Processor di terze parti

Le modifiche di seguito apportate avranno effetto solo dopo il riavvio del servizio Print Spooler.

Di seguito un’immagine che illustra i componenti dello spooler di sistema:

Impostare “Local Print Provider” come default

Avvia Regedit e seleziona la seguente chiave:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print
Esporta in formato .reg (File > Export) tutta la struttura sotto la chiave “Print” in modo di avere un backup.
Spostati nella chiave “Local Port”:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\Monitors\Local Port
Conferma che il valore della chiave “Driver” = “Localspl.dll”.
In caso avesse un valore diverso, modifica il valore impostando “Localspl.dll”

Convertire Port Monitor di terze parti in Standard TCP/IP

I Port e Language monitor sono salvati nella seguente chiave:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\Monitors

I monitor di default sono (alcuni possono non essere presenti):

BJ Language Monitor
Local Port
LPR Port
PJL Language Monitor
Standard TCP/IP Port USB Monitor
Windows NT Fax Monitor

Procedura per convertire un Port Monitor di terze parti in TCP/IP Port

Apri la cartella “Printers and Faxes”
Seleziona “Properties” con il tasto destro sulla stampante che utilizza il Port Monitor di terze parti
In “Properties” seleziona la scheda “Ports”
Nella scheda “Ports”, clicca sul pulsante “Add Port”
Nella schermata “Printer Ports”, seleziona “Standard TCP/IP” e clicca sul pulsante “New Port” per avviare il wizard “Add Standard TCP/IP Printer Port”.
Inserisci il nome o indirizzo IP della stampante che sarà utilizzata come porta.
Terminato il wizard di creazione della porta, nella scheda “Ports”, dovrebbe essere selezionata la nuova porta creata di tipo “Standard TCP/IP Port”
La porta appena creata sarà visualizzata anche nelle proprietà del Print Server: “Printers and Faxes” > File > “Server Properties” nella scheda “Ports”, dove sono presenti tutte le altre port utilizzate.
Si può procedere ora alla cancellazione della porta di terze parti non più utilizzata.

Ripetere la procedura sopra indicata per tutte le stampanti che utilizzano Port Monitor di terze parti.

Dopo aver impostato tutte le stampanti con il “Standard TCP/IP Port”, è possibile cancellare tutti Port Monitor di terze pari elencati nella seguente chiave di registry:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\Monitors

Rimuovere Print Monitor di terze parti

Per tutti gli altri Monitor di terze parti che sono presenti nella chiave di registro “Monitors” e non hanno nessuna printer port collegata nella sottochiave “Ports” del Monitor, possiamo procedere come indicato di seguito:

Identifica la configurazione della stampante che utilizza un Monitor di terze parti
Cancella il riferimento al Monitor per la stampante
Cancella la chiave di registry associata al Monitor di terze parti.

Nota: Il “Client Printer Port” è il “Citrix Metaframe Monitor” che è utilizzato per la creazione automatica delle stampanti nelle sessioni Terminal Server. Non rimuovete questo Monitor se non è confermato che sia la causa del problema:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print\Monitors\Client Printer Port

Driver REG_SZ cpmmon.dll

Di seguito riporto un articolo che spiega come rimuovere un Monitor di terze parti:

KB 155516
How to Remove the Lexmark MarkVision Monitor
http://support.microsoft.com/kb/155516

Perché le modifiche abbiano effetto, è necessario riavviare il servizio Print Spooler

Rimuovere Print Processor di terze parti

Questi passi spiegano come verificare che tutti i Print Processor delle stampanti siano impostante su Winprint.

Identificare le stampanti che sono configurate per utilizzare Print Processor di terze parti
Modificare i Print Processor di terze parti su Winprint
Cancellare le chiavi di registro per i Print Processor di terze parti

I nomi dei Print Processor installati sono salvati nella seguente chiave di registro:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print\Environments\Windows NT x86\Print Processors

Il Print Processor di default è Winprint che ha come driver il file “localspl.dll”

Eseguiamo i seguenti passi per individuare Print Processor di terze parti:

In regedit selezioniamo la chiave:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print
Edit > Find e inseriamo “Print Processor”, F3 per continuare la ricerca
Modificare il valore della chiave “Print Processor” a “Winprint”
Ripetere la ricerca per tutti i Print Processor di terze parti installati
Riavviare il servizio Print Spooler perché le modifiche abbiano effetto

Maggiori informazioni e approfondimenti:

Daniele Maso
Senior Support Engineer
Microsoft Enterprise Platforms Support

Windows Vista: Point & Print

itentblg — Mon, 29 Sep 2008 02:00:00 GMT

Di seguito vediamo le modifiche apportate alla funzionalità Point & Print di Windows Vista.

Point & Print è una funzionalità che permette agli utenti di collegarsi ad una stampante di rete senza avere la necessità di installare i driver manualmente.

Point & Print scarica automaticamente e installa i printer driver richiesti quando un utente si collega alla stampante condivisa.

Un’altra funzione interessante è l’aggiornamento nel client dei driver o della configurazione della stampante quando la configurazione è modificata nel printer server.

Differenze di “Point & Print” in Windows Vista?

Point & Print installa del software nel computer client e quindi è soggetto all’”Enhanced Security Model” di Windows Vista.

Per poterlo configurare, sono state aggiunte delle nuove group policy nella sezione Stampanti riguardo a “Restrizioni di selezione e stampa” (Point & Print Restrictions).

Best Practice per la sicurezza con Point & Print

Le group policy possono essere modificate utilizzando “gpedit.msc” e sono localizzate in “Configurazione Utente\Modelli amministrativi\Pannello di controllo\Stampanti”.

Di seguito vediamo varie configurazioni possibili in diversi scenari.

Scenario 1: Utilizzare stampanti definite tramite group policy

Con le “Deployed Printers”, solo le stampanti definite per utente o gruppi saranno installate nei client controllati tramite Group Policy.

Questo è considerato il modo più sicuro perché i client avranno installate solo le stampanti definite nelle Group Policy. La configurazione delle “Deployed Printers”, può essere eseguita tramite il “Print Management Console” (printmanagement.msc) pere creare le GPO e definire le stampanti da installare.

Configurazione: Impostare le GPO come indicato di seguito.

Dopo aver configurato le stampanti da installare, bisogna configurare la Group Policy di “Restrizioni di selezione e stampa” (Point and Print Restrictions) come segue:

“Restrizioni di selezione e stampa” (Point and Print Restrictions): Attivata.
Quando si installano i driver per una nuova connessione (When installing drivers for a new connection): “Non mostrare avvisi o richieste di elevazione” - Do not show warning or elevation prompt.
Quando si aggiornano i driver per una connessione esistente (When updating drivers for an existing connection): Mostra solo avvisi - Show warning only.

User Experience: Dopo aver configurato le “Deployed Printers” e la group policy di restrizioni del “Point & Print”, le stampanti saranno automaticamente installate nei client al successivo logon degli utenti. L’utente non vedrà nessun messaggio di avviso neanche nella prima installazione della stampante. Comunque, nel caso in cui la configurazione della stampante fosse aggiornata lato printer server, l’utente riceverà un avviso che lo informerà riguardo la necessità di modificare la configurazione o aggiornare i driver.

Scenario 2: Utilizzare le impostazioni di sicurezza predefinite

Le impostazioni di sicurezza predefinite in Windows Vista forniscono il livello più alto di sicurezza e avvisano l’utente prima di installare il software nel computer. Il valore di default inoltre inibisce l’installazione di software ai soli utenti con privilegi amministrativi.

Printer driver certificati, come quelli presenti nel DVD di installazione o nei pacchetti di installazione, non richiedono le credenziali di amministrazione per eseguire l’installazione.

Configurazione: Nessuna ulteriore configurazione è necessaria.

User Experience: Se un utente si collega da una stampante di rete e i driver necessari non sono presenti nel computer, o se il driver è stato aggiornato nel printer server, “Point & Print” inizia il processo di installazione. Per prima cosa, è visualizzato un messaggio di avvertimento all’utente come illustrato di seguito:

Dopo che un utente con i privilegi amministrativi clicca sul pulsante “Installa driver”, una finestra di dialogo è visualizzata richiedendo i permessi per continuare.

Se l’utente invece non ha i diritti amministrativi per installare i driver, sarà visualizzata la schermata del “Controllo Account Utente” (User Account Control) richiedendo la password di amministrazione.

Scenario 3: Utilizzare “Point & Print” su alcuni Printer Server

La group policy “Point & Print Restrictions” permette di limitare i server ai quali gli utenti possono collegarsi per installare le stampanti. Inoltre, è possibile limitare il tipo di driver disponibili sul server in modo da utilizzare solo driver certificati o che non richiedono il download, come quelli presenti nel DVD di installazione.

Configurazione: Primo, configura il printer server in modo da condividere solo stampanti con driver certificati o già presenti nel DVD di installazione del client. Questi driver possono essere:

in-box printer drivers
printer driver presenti in un pacchetto
printer driver testati e certificati
printer driver già installati nel client.

Poi configura le seguenti opzioni nelle Group Policy:

“Restrizioni di selezione e stampa” (Point and Print Restrictions): Attivata.
“Gli utenti possono selezionare e stampare soltanto su questi server” (Users can only point and print to these servers): Selezionata.
Immettere i nomi completi dei server (FQDN - Fully Qualified Server Name) separati dal punto e virgola
Quando si installano i driver per una nuova connessione (When installing drivers for a new connection): Non mostrare avvisi o richieste di elevazione.
Quando si aggiornano i driver per una connessione esistente (When updating drivers for an existing connection): Non mostrare avvisi o richieste di elevazione.

User Experience: Quando un utente si collega ad una stampante che è condivisa su un printer server presente nella lista della Group Policy, Point & Print installa i driver necessari e non richiede l’interazione dell’utente. Se un utente si collega ad un stampante di rete su un altro server, Point & Print non installerà i driver sul client. L’utente potrà utilizzare ugualmente la stampante ma solo se non sarà necessario scaricare i driver (installati precedentemente oppure inbox).

Scenario 4: Utilizzare stampanti solo con driver inclusi nel DVD di installazione

Le stampanti con i driver presenti nel DVD di installazione possono essere utilizzate senza la necessità di scaricare del software dal printer server. Se tutte le stampanti presenti nella rete utilizzano dei driver inbox, non sarà visualizzato nessun messaggio di avviso agli utenti quando si collegheranno alle stampanti.

Configurazione: Verificare che tutte le stampanti condivise abbiano disponibili dei driver inbox per tutte le versioni di Windows installate nei client aziendali.

User Experience: Quando un utente si collega alla stampante di rete che ha dei driver inbox, la stampante sarà installata utilizzando il software già presente nel computer client. Point & Print non scaricherà nessun driver e quindi l’utente non vedrà nessun messaggio di avviso.

Scenario 5: Utilizzare il livello di sicurezza di Windows XP

E’ possibile utilizzare la Group Policy delle restrizioni Point & Print per fornire ad un client con Windows Vista, lo stesso livello di sicurezza presente in Windows XP.

Configurazione: Configurare la group policy “Restrizioni di selezione e stampa” (Point and Print Restrictions) come segue:

“Restrizioni di selezione e stampa” (Point and Print Restrictions): Attivata.
Quando si installano i driver per una nuova connessione (When installing drivers for a new connection): “Non mostrare avvisi o richieste di elevazione” - Do not show warning or elevation prompt.
Quando si aggiornano i driver per una connessione esistente (When updating drivers for an existing connection): “Non mostrare avvisi o richieste di elevazione” - Do not show warning or elevation prompt.

User Experience: Gli utenti non vedranno nessun messaggio di avviso aggiuntivo quando si collegheranno ad una stampante di rete e Point & Print eseguirà l’installazione dei nuovi driver o eseguirà un aggiornamento della configurazione esistente nel client.

Scenario 6: Utilizzare stampanti con Pacchetti Driver (Printer Driver Packages)

Windows Vista introduce un nuovo modo di distribuire i driver per le stampanti. Un Pacchetto Driver è costituito da un gruppo di file firmato digitalmente che forma un printer driver. Questi pacchetti sono sicuri e possono essere installati dagli utenti senza richiedere permessi di tipo amministrativo.

Configurazione: Verificate che la stampante di rete presente nel print server abbia un Printer Driver Packages fornito dal costruttore. Da notare che solo Windows Vista e Windows Server 2008 possono utilizzare i Pacchetti Driver. Computer che hanno installato una versione precedente di Windows non possono utilizzare il Printer Driver Packages.

User Experience: Siccome i Pacchetti Driver sono firmati digitalmente e quindi sicuri, questi sono scaricati e installati senza visualizzare nessun tipo di avviso all’utente.

Maggiori informazioni e approfondimenti:

Daniele Maso
Senior Support Engineer
Microsoft Enterprise Platforms Support