Solutions Serveur pour TPE/PME : Small Business Server 2008

Installer le Service Pack 2 d’ Exchange 2007 dans un environnement Small Business Server 2008

pierrc — Wed, 25 Nov 2009 20:36:00 GMT

Suite aux nombreuses questions, voici la procédure pour installer pour installer le SP2 d’Exchange 2007 dans SBS 2008

http://support.microsoft.com/default.aspx?scid=kb;EN-US;973862

SmartStart HP dans un environnement Small Business Server 2008

pierrc — Mon, 23 Nov 2009 13:49:00 GMT

HP nous propose une solution pour installer SBS 2008 de manière plus simple et en rajoutant des fonctionnalités supplémentaires. Le principal intérêt est qu’il n’y a plus à installer et à mettre à jour les drivers de votre serveur : le cd d’installation se charge de cette partie pour vous.

L’autre avantage est que HP a inclus des outils permettant de gérer et manager son serveur (que ce soit en local ou a distance).

Ce dossier sera divisé en 3 parties :

La première partie sera consacrée à l'installation de SBS 2008.
Le deuxième partie abordera l’installation et la configuration de la carte iLO
La dernière partie traitera de l’utilisation et des bénéfices apportés par les outils HP.

1. Installation de SBS 2008

Insérez le cd Smart Start dans le lecteur cd et démarrez sur le cd

Un menu HP s’affiche, appuyez sur entrée.

4 options sont alors disponibles :

Installer
Maintenance
Effacement du système
Redémarrer

L’option « Maintenance » permet de créer une clé USB bootable contenant le SmartStart, de lancer l’outil de diagnostic HP ou de lancer l’utilitaire pour configurer le contrôleur RAID.

Si vous souhaitez formater votre disque, sélectionner l’option « Effacement du système » (vous pouvez également réinitialiser la configuration RAID).

Sinon passez directement à l’option « Installer ».

Pendant l’installation, n’oubliez pas de sélectionner l’installation des services SNMP et du WBEM. C’est ce qui va servir à la remontée d’informations aux agents “Insight” et à la visualisation d’informations dans la console “System Management”

L’installation va se faire de manière automatisée : les drivers seront installés et vous aurez juste à définir votre mot de passe Administrateur et à fournir la clé cd (l’installeur crée donc automatiquement un fichier de réponses)

Vous devez cependant insérer votre cd de SBS 2008 quand l’installeur le demandera.

Une fois l’installation terminée, démarrer sur SBS 2008, insérer le cd HP SmartStart et aller sur l’onglet « Software » pour faire une mise à jour ou installer un outil HP supplémentaire.

Cliquez ensuite sur « Install ProLiant Support Pack »

Vous pouvez ensuite sélectionner les logiciels et les drivers que vous souhaitez installer ou mettre à jour (l’outil se connecte à Internet pour avoir les dernières versions)

2. Installation et configuration de la carte iLO

Dans cette 2^ème partie, nous verrons comment installer et configurer la carte iLO.

La carte iLO permet de configurer et de manager votre serveur à distance grâce aux outils HP Integrated Lights-Out (il faut bien entendu vérifier que ces outils sont installés au préalable sur le serveur, si ce n’est pas le cas installer le à partir du cd grâce à HP Smart Update Manager)

Tout d’abord, vous devez connecter votre carte iLO au réseau souhaité: la carte sera accessible en LAN ou sur internet selon votre configuration réseau.

Les ports utilisés par défaut sont 22 (SSH), 80 (HTTP), 443(HTTPS) mais ils pourront être modifiés ultérieurement grâce à l’outil HP Integrated Lights-Out.

Si vous souhaitez accéder à votre carte à distance en dehors de l’entreprise, vous devez vérifier qu’il y’ait bien une sortie sur internet et vous devez voir si votre routeur(s) / firewall(s) ont bien ces 3 ports ouverts.

Il sera également nécessaire de changer le numéro du port 443 avec l’outil HP car il est déjà utilisé par SBS 2008 (Poste de travail Web à distance …..) .

Pour accéder à l’outil, il suffira ensuite de taper l’adresse IP publique (ou votre nom DNS s’il a été configuré) suivi du numéro de port HTTPS que vous avez défini :

Ex : https:\\84.23.53.22:450

https:\\ma-tpe.biz:450

Avant d’en arriver là, vous devez configurer votre carte. Redémarrer votre serveur et appuyer sur F8.

Un menu s’affiche et vous pouvez rentrer l’adresse IP de la carte iLO (vous pouvez également définir l’adresse de votre serveur DHCP, votre serveur DNS, …).

Ensuite, il est nécessaire d’ajouter un compte utilisateur (attention le nom du compte doit être le même que celui que vous avez configuré dans SBS 2008 - ex : domaine\utilisateur). Sauvegarder en appuyant sur F10 et quitter l’utilitaire.

Une fois votre compte crée, vous pouvez configurer la carte iLO à partir de SBS 2008 grâce à l’outil HP Light-Out Online Configuration Utility

Vous pouvez désormais configurer votre serveur à distance grâce à la carte iLO.

Voici un lien pour l’installation, le paramétrage et l’utilisation de la carte iLO pour plus d’informations :

http://h20000.www2.hp.com/bc/docs/support/SupportManual/c00553302/c00553302.pdf

3. Utilisation et avantages des outils HP.

Cette dernière partie traitera de l’utilisation des outils de management HP et des fonctionnalités qu’ils apportent.

3.1 System Management HomePage

Cet outil est une interface web qui permet d’avoir une vue d’ensemble sur l’état de votre serveur.

Il offre les fonctionnalités suivantes :

Accès et authentification sécurisée

o Conçu autour du système d’application / authentification sécurisée en SSL sur les plateformes Windows.

Système de management simplifié

o Intègre la configuration, la santé et les performances du système HP ProLiant sur une seule interface web.

o Intégration avec l’outil HP Systems Insight Manager

o Fourni comme un composant standard avec le logiciel ProLiant and Integrity Support Packs

Contrôle d’accès avancé

o Configuration des différents niveaux de confiance.

o Configuration des accès grâce aux groupes utilisateurs et aux NIC attachés

o Support des utilisateurs définis dans Windows SBS 2008

o Installation et configuration des groupes via HP Systems Insight Manager

Il est accessible sur le serveur SBS 2008 (un raccourci est crée sur le bureau). Cliquez dessus et un message va apparaitre disant que le certificat de sécurité présente un problème. Il suffit de cliquer sur « Poursuivre avec ce site Web ».

Le login et le mot de passe à utiliser est le même que celui que vous avez créé dans SBS 2008 (attention il faut spécifier le domaine dans lequel vous vous trouvez – ex : domaine\utilisateur)

Vous arrivez sur la page de vue d’ensemble. Cette page affiche les problèmes matériels que rencontre le serveur.

Par exemple, lorsqu’un disque dur cesse de fonctionner, une alerte s’affiche :

De nombreuses fonctionnalités sont également présentes (logs, reportings, …)

2. HP Integrated Lights-Out

C’est l’outil qui permet de gérer votre serveur à distance grâce à la carte iLO. Il est exécutable de n’importe quel poste à partir du moment où la carte iLO a été correctement configurée (il suffit de rentrer l’adresse de la carte dans un navigateur web avec le numéro de port https).

Voici un aperçu de la page principale :

Vous pouvez également changer les ports utilisés pour les raisons évoquées sur notre 2^ème article.

Il existe 2 versions de cet outil : une standard et une version avancée qui inclut des fonctionnalités supplémentaires mais qui nécessite l’enregistrement d’une clé d’activation.

La version standard offre les fonctionnalités suivantes :

- Bouton « Power » pour allumer ou éteindre votre serveur à distance.

- Console à distance – système d’application indépendant permettant d’afficher et de contrôler les activités du serveur à distance (comme le démarrage et l’extinction)

- Virtual Serial Port - permet d’accéder à des applications utilisant le port série comme Windows® Server 2003 Emergency Management Services et d’ouvrir des « tty sessions » grâce a votre réseau LAN.

- Application Power Regulator for ProLiant settings qui active le mode “Static Low Power” ou “Dynamic Power” sur n’importe quelle interface iLO.

- Interface par navigateur, ligne de commande, ou en « scripting » permettant des opérations de maintenance et de configuration dans un environnement Linux ou Windows.

- Port réseau dédié ou partagé - permet la connexion avec la carte iLO en utilisant l’interface réseau classique ou en utilisant des fonctionnalités en ligne de commande en passant par une interface réseau partagée avec le support optionnel des VLAN.

- Encodage en SSL et SSH – toutes les données transmises entre la carte iLO et le navigateur du client (ou la console en ligne de commande) sont sécurisées

- iLO server diagnostics – statut détaillé, logs et alertes.

- Group administration – permet de manager les comptes utilisateurs et leurs paramètres ainsi que les clés de licence pour iLO Advanced Pack sur des groupes utilisant Integrated Lights-Out de manière simultanée.

La version avancée rajoute ces fonctionnalités :

- Virtual media – permet de démarrer un serveur à distance sur une disquette 1.44-MB, sur CD, par clé USB en passant par une machine cliente ou par un partage réseau de n’importe quelle machine.

- Virtual graphical remote console – utilise une interface standard comme un bureau virtuel permettant le contrôle total du serveur à distance (affichage de l’écran, clavier, souris) à n’importe quel moment (allumé ou éteint)

- Intégration des services Microsoft Terminal – permet l’utilisation du Bureau à distance (Remote Desktop for administration) comme console par défaut quand le système d’exploitation est actif.

- Authentification à 2 niveaux – restreint l’accès à la carte iLO en demandant l’authentification par une Smartcard ou par une clé USB suivi d’un code.

- Intégration des services Active Directory pour définir les accès utilisateur à l’outil Integrated Lights-Out.

- Power management reporting – A partir de n’importe quelle interface iLO, contrôler l’état courant et l’historique du statut de votre serveur en utilisant Power Regulator for ProLiant.

- Flexible key acquisition and management – acheter une seule ou plusieurs clés systèmes et automatiser l’activation des clés aux groupes utilisateurs en déployant grâce à un script.

Voici un lien vers la version d’évaluation de 30 jours pour tester iLO Advanced Pack:

http://h20000.www2.hp.com/bizsupport/TechSupport/DriverDownload.jsp?prodNameId=1135772&lang=fr&cc=fr&prodTypeId=18964&prodSeriesId=1146658&taskId=135

“Article écrit par Samy Girad”

Windows Server 2008 R2 Foundation

pierrc — Fri, 06 Nov 2009 20:20:00 GMT

Voici un tout nouveau produit qui vient compléter la gamme Windows Serveur pour les PME et TPE. Disponible uniquement en licence OEM (Preload, ROK, …). Il s’agit dune version de Windows Server 2008 R2 Standard avec certaines limitations:

Mémoire (8GB max)
Processeur (uniquement un Socket x64)
Nombre d’utilisateurs (15 users WorkGroup/AD)
Nombre de connexions ( 30 SMB, 50 RRAS, 10 NPS, 50 TS Gateway …. )
Virtualisation (pas de virtualisation)
Mono Forêt/Mono Domaine

Plus d’informations : http://technet.microsoft.com/en-us/library/dd744832(WS.10).aspx

Windows Server 2008 R2 Foundation sera disponible chez les constructeurs courant de ce mois.

Ce produit convient très bien pour une TPE de moins de 15 utilisateurs voulant acquérir son premier serveur à moindre coût pour :

un serveur d’applications
un serveur “Active Directory”
un serveur de partage de fichiers/imprimantes
un serveur pour accéder aux applications à distance grâce aux services “Remote Desktop Services”
etc, …

Attention Windows Foundation est un Windows 2008 R2 standard ! Il faut par conséquent bien vérifier la compatibilité des applications Microsoft ici ou non Microsoft ici. (Par exemple Exchange 2007 ne fonctionne pas sous Windows 2008 R2 ….)

L’installation se fait de la même manière que pour Windows 2008 R2 standard. Il est possible de le faire manuellement ou avec un fichier réponse.

Voici un exemple de fichier réponse “autounattend.xml”

<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
    <servicing></servicing>
    <settings pass="windowsPE">
        <component name="Microsoft-Windows-Setup" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <DiskConfiguration>
                <WillShowUI>OnError</WillShowUI>
                <Disk wcm:action="add">
                    <CreatePartitions>
                        <CreatePartition wcm:action="add">
                            <Order>1</Order>
                            <Size>75000</Size>
                            <Type>Primary</Type>
                        </CreatePartition>
                    </CreatePartitions>
                    <DiskID>0</DiskID>
                    <WillWipeDisk>true</WillWipeDisk>
                </Disk>
            </DiskConfiguration>
            <ImageInstall>
                <OSImage>
                    <InstallTo>
                        <DiskID>0</DiskID>
                        <PartitionID>1</PartitionID>
                    </InstallTo>
                    <WillShowUI>OnError</WillShowUI>
                </OSImage>
            </ImageInstall>
            <UserData>
                <ProductKey>
                    <Key>XXXXX-XXXXX-XXXXX-XXXXX-XXXXX</Key>
                    <WillShowUI>OnError</WillShowUI>
                </ProductKey>
                <AcceptEula>true</AcceptEula>
            </UserData>
        </component>
        <component name="Microsoft-Windows-International-Core-WinPE" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <SetupUILanguage>
                <UILanguage>fr-fr</UILanguage>
            </SetupUILanguage>
            <InputLocale>fr-fr</InputLocale>
            <UILanguage>fr-fr</UILanguage>
            <UserLocale>fr-fr</UserLocale>
        </component>
    </settings>
    <cpi:offlineImage cpi:source="wim:c:/users/admin/desktop/install.wim#SERVERSBSSTANDARD" xmlns:cpi="urn:schemas-microsoft-com:cpi" />

Une fois installé en mode “workgroup”, il n’y a pas d’assistant spécifique comme dans SBS/EBS. Windows Foundation s’ administre de la même manière qu’un Windows Serveur 2008 R2 en mode “graphique” ou en mode “ligne de commande” avec des outils comme “PowerShell”.

Powershell est une interface en ligne de commande et un langage de script permettant d’administrer son serveur, il faut au préalable autoriser l’exécution de scripts locaux .

Ouvrir la console “PowerShell Modules”

Ajout de rôles :

- En mode graphique

- En Powershell:

ex : serveur de fichiers

Ajout d’utilisateurs :

- En mode graphique

- En Powershell:

Samy Girard propose ici un exemple de script “Powershell” qui permet de créer des utilisateurs locaux :

Clear-Host
Write-Host -foregroundcolor Yellow 'Créer un utilisateur local
'
Write-Host -foregroundcolor Yellow 'Les droits administrateurs sont requis!
'
$localuser = Read-Host 'Entrer le nom du compte'
$password = Read-Host 'Entrer le mot de passe du compte (attention le mot de passe doit respecter les stratégies de sécurité)'
$description = Read-Host 'Entrer la description du compte'

$computer = [ADSI]"WinNT://$env:computername,computer"
$user = $computer.Create("user", $localuser)
$user.SetPassword($password)
$user.SetInfo()
$user.Description = [String] $description
$user.SetInfo()
$hostname = hostname

$choix = Read-Host '
Choisissez le groupe associé au compte

1. Utilisateurs
2. Administrateurs

Veuillez entrer votre choix'

switch ($choix){

1 {$group = $computer.psbase.children.find("Utilisateurs")
$group.Add("WinNT://" + $hostname + "/" + $localuser)
$group.SetInfo()}

2 {$group = $computer.psbase.children.find("Administrateurs")
$group.Add("WinNT://" + $hostname + "/" + $localuser)
$group.SetInfo()}

}

Write-Host -foregroundcolor Yellow '
Création réussie !
'

Attention si vous passez la barre de 15 utilisateurs locaux :-)

Windows Server 2008 R2 Foundation peut être ajouté en tant que serveur membre d’un domaine “active directory” limité à 15 utilisateurs. (Small Business Server par exemple).

Pour installer “Active Directory” sur le serveur Windows 2008 R2 Foundation, il suffit d’installer le rôle “Services de domaine Active Directory”. Le rôle “Serveur DNS” et la fonctionnalité “.NET Framework 3.5.1” seront installés et paramétrés automatiquement.

Une fois les rôles et fonctionnalités installés , passez en mode “commande” (cmd), faites un “dcpromo”.

Il est possible d’utiliser un fichier réponse pour la commande “dcpromo”

“C:> dcpromo /adv /answer:c:\scripts\answerfile.txt”

Exemple de fichier réponse :

; DCPROMO unattend file (automatically generated by dcpromo)
; Usage:
; dcpromo.exe /unattend:C:\Users\Administrateur\Desktop\answerfile.txt
;
[DCInstall]
; New forest promotion
ReplicaOrNewDomain=Domain
NewDomain=Forest
NewDomainDNSName=ma-tpe.local
ForestLevel=2
DomainNetbiosName=MA-TPE
DomainLevel=2
InstallDNS=Yes
ConfirmGc=Yes
CreateDNSDelegation=No
DatabasePath="C:\Windows\NTDS"
LogPath="C:\Windows\NTDS"
SYSVOLPath="C:\Windows\SYSVOL"
; Set SafeModeAdminPassword to the correct value prior to using the unattend file
SafeModeAdminPassword=Password123$
; Run-time flags (optional)
; RebootOnCompletion=Yes

SQL 2008 Standard dans un environnement Small Business Server 2008

pierrc — Wed, 04 Nov 2009 16:21:00 GMT

Si vous achetez une version Premium de Small Business Server 2008 pour utiliser SQL 2008 Standard x86 ou x64 sur le deuxième serveur.

Ce dernier doit être impérativement membre du domaine Active Directory de SBS 2008.

“Exchange Server ActiveSync Web Administration Tool” dans un environnement Small Business Server 2008

pierrc — Fri, 16 Oct 2009 20:34:00 GMT

Si vous avez lu le fameux document “DEPLOYMENT GUIDE - SBS2008 with WM6”, qui vous invite à utiliser un outil fort intéressant “l’outil d’administration Web ActiveSync Exchange Server”. Ce dernier va nous permettre de réinitialiser et d’effacer les devices Mobiles à distance au travers d’une page d’administration web.

Voici une procédure pour l’installer :

- télécharger l’outil ici http://go.microsoft.com/fwlink/?LinkId=75115

- choisissez “MobileAdmin.msi”

- Pour l’installer sur le serveur SBS 2008 il doit être exécuté dans un contexte “administrateur” en ligne de command

Magnifique ! mais ce n’est pas fini !

Comme on peut le constater site “MobileAdmin” a été créé au mauvais endroit, répondant sur le port 80; donc ne fonctionne pas …. :-)

Il faut donc supprimer le site, le recréé au bon endroit, sur le bon port avec la bonne authentification ….

Allez dans “SBS Web Applications” pour ajouter une application

Remplir correctement les bons champs (Alias, Pool d’applications, Chemin … ) ainsi que l’authentification

Mettre un compte ayant le rôle “administrateur réseau” en utilisant la console SBS :-)

Il est recommandé de tester les paramètres.

Une fois l’application installée, il reste à paramétrer l’authentification de l’accès au site et la partie connexion SSL.

Pour les connexions SSL

Et pour l’authentification.

Maintenant que l’outil “d’administration Web ActiveSync Exchange Server” est installé correctement , il suffit de se connecter sur le site.

https://remote.mon_nom_domaine/mobileadmin

Ici, nous avons deux liens :

“Remote Wipe” –> c’est ici : - que l’on visualise les Devices par utilisateur – et qu’éventuellement on peut les réinitialiser ou les supprimer de l’organisation.

“Transaction Log” –> c’est ici que l’on voit l’historique des opérations

Pour tester tout cela, pas besoin de smartphone :-). Je vous invite à télécharger gratuitement “Windows Mobile 6.5 Developer Tool Kit” et de choisir le “Windows Mobile 6.5 Professional Developer Tool Kit (FRA).msi”. C’est un émulateur Windows Phone !

Ce qui est bien avec cette émulateur, on peut lui attacher une carte réseau du PC de manière à pouvoir le connecter à un serveur SBS afin de pouvoir faire des tests “ActiveSync” ….. Pour cette fonctionnalité il faudra installer VirtualPC 2007 sur le PC.

On peut aussi partager un répertoire de l’ordinateur avec l’émulateur.Il sera reconnu comme une “storage card” au niveau du “Windows Phone”

Pour tester tout cela, paramétrer l’ ActiveSync le Windows Phone avec votre server SBS

une fois le paramétrage d’ActiveSync terminé

Choisir une boite d’utilisateur et cliquez sur “Wipe” et “delete”

Et voila, le device est réinitialisé à distance avec toutes les données effacées ( mails, calendrier, contacts … )

Bien évidement, c’est outil s’adresse aux administrateurs. Pour information un utilisateur peut effacer à distance les données de son device en se connectant en Outlook Web Accès .

-> Option

-> Périphériques mobiles

bon test !

Personnaliser le poste de travail à distance dans Small Business Server 2008

pierrc — Wed, 14 Oct 2009 08:57:00 GMT

Voici des fonctionnalités sympathiques dans SBS 2008 peu connues ! Pour personnaliser le poste de travail à distance, rien de plus simple :

Allez dans la console :

Nous avons la possibilité d’ajouter :

- une image d’arrière plan sur la page d’authentification

- un logo sur la page web “Poste de travail web à distance”

Pour cela , il faut copier vos logos , images , etc etc dans C:\Program Files\Windows Small Business Server\Bin\webapp\Remote\images. Une fois copier, sélectionner les .

Un exemple :

:-)

Il est possible d’aller plus loin dans le paramétrage du “Poste de travail web à distance” :

- désactiver des liens de la page d’accueil

- ajouter des liens spécifiques

Voici un poste de travail web à distance sans Sharepoint avec un lien supplémentaire pointant sur un serveur “Terminal Server en mode application” d’une version premium.

Bonne customisation !

Data Protection Manager 2007 SP1 dans un environnement Small Business Server 2008 et Essential Business Server 2008

pierrc — Thu, 08 Oct 2009 18:31:00 GMT

Si vous souhaitez aller plus loin dans les sauvegardes de SBS 2008 et EBS 2008 voici un livre blanc intéressant.

How to protect EBS 2008 and SBS 2008 with DPM 2007 SP1

Bonne lecture !

Slides des petits déjeuners techniques “migration et mobilité”

pierrc — Tue, 06 Oct 2009 09:18:00 GMT

ils sont ici :

http://cid-c3cca8507ffc616e.skydrive.live.com/self.aspx/Petits%20d%c3%a9jeuners%20Small%20Business%20Server%202008/Migration%5E0Mobilit%c3%a9%20V2.0%20%5E5public%5E6.pptx

Microsoft Security Essentials disponible aujourd’hui

pierrc — Wed, 30 Sep 2009 14:21:00 GMT

Microsoft Security Essentials est disponible aujourd’hui en téléchargement gratuit ici, vous pouvez tout à fait le déployer sur vos postes client (XP SP2 minimum) dans votre environnement SBS 2008.

Attention il n’ est pas supporté sur votre serveur SBS 2008 donc si vous souhaitez un antivirus fichier il faudra s’orienter pour l’instant vers une solution tiers.

Les petit-déjeuners techniques "Small Business Server 2008"

pierrc — Thu, 17 Sep 2009 14:27:00 GMT

C’est la rentrée, les petit-déjeuners reprennent !

“Scénarios de migration et de mobilité avec SBS 2008” en une matinée .

Agenda

Migrer vers SBS 2008

Les chemins de migration
Préconisations et outils d’aide à la migration
Les assistants de migration (réseau, Active Directory, utilisateurs, messagerie)

2. La mobilité avec SBS 2008

Les scénarios de mobilité (Windows Mobile, Outlook Web Access, poste de travail web à distance, VPN, Terminal Server …)
Mise en œuvre de ces scénarios

Les deux premières dates :

le 29 septembre à Nancy au Novotel Nancy sud . Pour s’inscrire
le 1er octobre à Nice au Novotel Nice Arena Aeroport . Pour s’inscrire

A très bientôt !

Connexion VPN en SSTP sur un serveur Small Business Server 2008

pierrc — Sun, 05 Jul 2009 23:20:00 GMT

Les connexions VPN en SSTP sur SBS 2008 c'est possible ! :-)

Vous avez des abonnements avec des opérateurs qui vous bloquent les connexions VPN en filtrant le port TCP 1723 (PPTP) ou UDP 500,4500,1701 (L2TP/IPsec), vous pourrez quand même vous connectez en VPN sur votre serveur SBS 2008 à l'aide du protocole Secure Socket Tunneling Protocole sur du TCP port 443, c'est à dire au travers de tous pare-feu. Pour en savoir un peu plus : http://technet.microsoft.com/en-us/magazine/2007.06.cableguy.aspx

Avant de commencer le paramétrage , il faut être à jour au niveau du serveur comme du client et surtout faire une sauvegarde de votre serveur. Attention pour les connexions en SSTP, il faut avoir au minimum un client Windows Vista SP1 !

Comme vous avez pu le voir, dans le lien plus haut, une connexion SSTP s'appuie sur une session "HTTP over SSL" donc l'installation et le paramétrage du certificat "authentification du serveur" "remote.mon-domaine-pulic.com" sur le serveur SBS 2008 doit être correcte. Normalement, tout cela a été installé automatiquement lors de l'assistant "configurer votre adresse internet".

C'est le même certificat qui nous servira à nous connecter en SSTP et en HTTPS avec le server IIS

N'hésitez pas à aller dans la console pour "checker" votre réseau et lancer l'assistant "Réparer mon réseau" pour fixer les problèmes éventuels.

Si vous n'avez pas acheté un vrai certificat :-) auprès d'une autorité tiers ( VeriSign, Twate, Godaddy .....), les clients doivent "truster l'autorité du certificat" qui est en fait le serveur de certificat dans SBS 2008.

Les clients membres du domaine SBS "trustent" l'autorité du certificat de SBS.

Pour les clients non membres du domaine ou PDA, il existe un utilitaire (C:\Users\Public\Downloads sur le serveur SBS ) pour installer le certificat de l'autorité de certificat ...

Il est beaucoup plus simple d’acheter un vrai certificat auprès d’une autorité de certification tiers. Il existe un assistant pour faire la demande et l’installation correctement.

Pour vérifier que l’installation du certificat est correcte, connectez vous à distance avec un client sur le site https://remote.mon-domaine.com. Si tout est correct il restera deux étapes.

1) Dans un premier temps il faut paramétrer le service RRAS du serveur SBS pour les connexions VPN :

le plus simple c'est d'aller dans la console de SBS 2008 et de lancer l'assistant

A la fin de l'assistant , cinq entrées PPTP seront créées, mais aucune pour les connexions SSTP entrantes.

Pour paramétrer les connexions SSTP entrantes:

-> Outils d'administration -> Routage et accès distant

-> Clic droit sur Ports -> sélectionnez Wan Miniport [SSTP] -> Configurer ...->

Mettre le nombres de connexions entrantes souhaitées et cochez l'option "Connexions d'accès à distance entrantes"

2) Dans un deuxième temps, il restera à paramétrer le certificat pour la connexion SSTP. -Par chance les connexions SSL du serveur IIS et les connexions en SSTP cohabitent :-) ! Il faut passer par des commandes "netsh" de manière à pouvoir “binder le certificat " authentification du serveur" "remote.mon-domaine-pulic.com" pour le service SSTP de RRAS.

Pour bien comprendre :

En lançant une "invite de commandes" avec les droits administrateur puis la commande "netsh http show sslcert" on voit :

la partie " Port IP : 0.0.0.0:443" => correspond à l'adresse IP et le port d'écoute du serveur IIS
la partie "Hachage du certificat : 510072587d6bd6203c6cbaca3d29753f8bb4b0a8" => correspond au hash du certificat "remote.mon-domaine.com" .Pour vérifier le hash du certificat il suffit de lancer une console "mmc " certificats -> compte ordinateur et sélectionner le certificat "remote.mon-domaine.com" -> "empreinte numérique".

la partie " ID de l'application : {4dc3e181-e14b-4a21-b022-59fc669b0914}" => correspond à l'URI (Uniform Resource Identifier) de IIS 7. Sachant que les connexions SSTP sur RRAS utilisent un URI unique {BA195980-CD49-458b-9E23-C84EE0ADCD75}(cela peut être vérifié dans la base de registre HKLM\ System\ CurrentControlSet\ Services\ Sstpsvc\ Parameters\ ServerURI)

Pour binder le certificat, pour les connexions SSTP, lancer les commandes suivantes

· “netsh http delete sslcert ipport=0.0.0.0:443”

· “netsh http add sslcert ipport=0.0.0.0:443 certhash=510072587 d6bd6203c6cbaca3d29753f8bb4b0a8 appid={ba195980-cd49-458b-9e23-c84ee0adcd75} certstorename=MY”

Pour vérifier que cela à bien fonctionner lancer la commande “netsh http show sslcert” et vérifier l‘URI SSTP (ID de l’application) ainsi que le hash du certificat

Relancer les services IIS et RRAS et c’est terminé pour ceux qui utilisent un certificat acquis auprès d’une autorité publique.

Pour ceux qui utilisent un certificat émis par l’autorité de certification de SBS il y aura un paramétrage (bidouillage) supplémentaire à faire sur les postes clients. En effet, avant d’établir la connexion, un client SSTP doit contacter la CRL (Certificate Revocation list) de l’autorité de certification.

Plus d’info : http://fr.wikipedia.org/wiki/Liste_de_r%C3%A9vocation_de_certificats

Regardons la CRL d’un certificat émis par l’autorité de certification de SBS :

Ceci veut dire que le client SSTP doit se connecter sur l’ URL “http://srv.mtam.local/CertEnroll/mtam-SRV-CA.crl” avant d’établir une connexion SSTP.

Pour joindre un serveur distant avec un nom FQDN en .local avec un poste connecté à internet, une seule façon, créer une entrée dans le fichier host du client:

Lancer une "invite de commandes" avec les droits administrateur
“notepad %windir%\system32\drivers\etc\hosts”
X.X.X.X (l’adresse IP public) mon-serveur-sbs.local

Il ne restera plus qu’à rendre disponible l’URL “http://srv.mtam.local/CertEnroll/mtam-SRV-CA.crl” sur le serveur SBS .

Menu “Démarrer” –> “Gestionnaire du serveur” –> “Services de certificats Active Directory”-> “ajouter des services de rôle”-> et “ Inscription de l’autorité de certification via le Web”

Ne pas oublier de paramétrer le port forwarding tcp 80 au niveau du routeur/pare-feu. Redémarrer les services IIS et RRAS et c’est terminé :-)

Pour paramétrer une connexion VPN en SSTP sur le poste client, rien de plus simple !

Bon tests !

Un grand merci à mon collègue Pascal Saulière pour le prêt de son serveur SBS pour les tests sans oublier Stanislas Quastana de m’avoir ouvert l’esprit sur la CRL :-)

“Checklist” pour une migration d’un environnement existant dans Small Business Server 2008

pierrc — Thu, 25 Jun 2009 15:14:00 GMT

Voici un document très complet en anglais sous forme de checklist permettant d’aborder une migration d’un environnement existant vers Small Business Server 2008. Cela démontre bien le travail important à faire … attention ! prévoir quand quelques jours .

http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=f67148da-cba8-4222-8ae5-136a6597a340

Migration d’un serveur Small Business Server 2003 vers Small Business Server 2008

pierrc — Thu, 25 Jun 2009 12:45:00 GMT

Voici une superbe documentation en anglais de 80 pages pour nous aider à migrer correctement et sans problème un serveur SBS 2003 vers un SBS 2008 .

http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=52b7ea63-78af-4a96-811e-284f5c1de13b

Bonne lecture !

Déploiement d’un deuxième serveur dans un environnement Small Business Server 2008 premium.

pierrc — Thu, 25 Jun 2009 12:21:00 GMT

Voici une documentation en anglais sur le déploiement du deuxième serveur d’une version de SBS 2008 premium soit :

- contrôleur de domaine supplémentaire dans un environnement “Branch Office”

- serveur de virtualisation avec Hyper-V

- serveur membre du domaine avec un rôle “Terminal Server”

http://www.microsoft.com/downloads/details.aspx?familyid=AD0D5500-1FBD-459E-BC58-137B6F2A4CB5&displaylang=en

Automatiser entièrement l’installation de votre serveur SBS 2008

pierrc — Wed, 03 Jun 2009 20:22:00 GMT

Voici quelques pistes pour automatiser entièrement l’ installation de SBS 2008 à l’aide de deux fichiers réponses, c’est à dire:

1) la partie Windows 2008 (en mode Workgroup) avec un fichier Autounattend.xml

- regional setting , langue, clavier, format heure

- PID (la clé)

- choix du disque, création de la partition primaire

- installation avancée

- validation du contrat

2) La partie composant de Small Business Server avec un fichier SBSAnswerFile.xml

- temps ….

- installation de Windows Live OneCare et Forefront Security for Exchange

- nom netbios du serveur

- nom de l’Active Directory

- les informations de la société

- nom du serveur de certificat

- nom et prénom de l’administrateur ainsi que nom de login

- mot de passe administrateur

- l’adresse IP du serveur ainsi que la passerelle

Pour la première partie, le fichier réponse de Windows 2008, avant tout, télécharger le kit Waik ici ( plus d’informations ici ). Une fois installé sur un poste Windows Vista ou Windows 2008 , lancer l’utilitaire “Windows System Image Manager” pour créer le fichier réponse .

Lancer le “gestionnaire d’images système Windows”

Aller chercher le catalogue de l’installation de SBS 2008 qui se trouve sur le dvd:\sources\install_windows longhorn serversbsstandard.clg .

Un fichier « catalogue » est un fichier binaire qui répertorie l'état de tous les paramètres et packages de contenus dans une image d’un système Windows.

Aller dans fichier et “nouveau fichier réponse”

Il suffit de prendre deux composants et de rentrer les bonnes informations :

- amd64_Microsoft-Windows-International-Core-WinPE (pour la partie regional setting)

- amd64_Microsoft-Windows-Setup avec ses trois sous composants : DiskConfiguration; ImageInstall; UserData (création du disque, partition, Product Key, contrat )

Une fois terminé, sauvegarder le fichier en Autounattend.xml.

Voici un exemple de fichier autounattend.xml généré

<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
    <servicing></servicing>
    <settings pass="windowsPE">
        <component name="Microsoft-Windows-Setup" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <DiskConfiguration>
                <WillShowUI>OnError</WillShowUI>
                <Disk wcm:action="add">
                    <CreatePartitions>
                        <CreatePartition wcm:action="add">
                            <Order>1</Order>
                            <Size>75000</Size>
                            <Type>Primary</Type>
                        </CreatePartition>
                    </CreatePartitions>
                    <DiskID>0</DiskID>
                    <WillWipeDisk>true</WillWipeDisk>
                </Disk>
            </DiskConfiguration>
            <ImageInstall>
                <OSImage>
                    <InstallTo>
                        <DiskID>0</DiskID>
                        <PartitionID>1</PartitionID>
                    </InstallTo>
                    <WillShowUI>OnError</WillShowUI>
                </OSImage>
            </ImageInstall>
            <UserData>
                <ProductKey>
                    <Key>XXXXX-XXXXX-XXXXX-XXXXX-XXXXX</Key>
                    <WillShowUI>OnError</WillShowUI>
                </ProductKey>
                <AcceptEula>true</AcceptEula>
            </UserData>
        </component>
        <component name="Microsoft-Windows-International-Core-WinPE" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <SetupUILanguage>
                <UILanguage>fr-fr</UILanguage>
            </SetupUILanguage>
            <InputLocale>fr-fr</InputLocale>
            <UILanguage>fr-fr</UILanguage>
            <UserLocale>fr-fr</UserLocale>
        </component>
    </settings>
    <cpi:offlineImage cpi:source="wim:c:/users/admin/desktop/install.wim#SERVERSBSSTANDARD" xmlns:cpi="urn:schemas-microsoft-com:cpi" />
</unattend>

Pour la deuxième partie, le fichier réponse des composants de Small Business Server 2008,

lancer l' utilitaire "SBSAfg.exe" (DVD:\tools\SBSAfg.exe)

renseigner correctement les champs

Cet utilitaire génére un fichier réponse "SBSAnswerFile.xml" .

Après avoir généré les deux fichiers réponses, les copier sur une clé USB, la brancher au serveur, mettre le DVD de SBS 2008, allumer le serveur pour avoir une installation entièrement automatisée.