Комментарии на сайте Argon On-Line Blog

Комментарий к записи Forefront Endpoint Protection 2010 (mesmer)

mesmer — Tue, 15 May 2012 13:04:13 +0000

Приветствую!
Как мне импортировать то admx на машину.
скачал fep2010grouppolicytools-ru-ru
пытаюсь на машине импортировать, не видит admx.
собственно необходимо, чтобы пользователь мог сам делать выбор как ему поступать с нужными угрозами.

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Mon, 30 Apr 2012 09:52:36 +0000

Спасибо, восполню этот пробел в знаниях ;)

Комментарий к записи Active Directory Certificate Services (Stanky)

Stanky — Sun, 29 Apr 2012 22:05:55 +0000

Использовать XCEP/WSTEP. P. S. Ещё раз хочу упомянуть, что подписки на комментарии тут очень не хватает - в их потоке я предыдущий "проморгал" ;) .

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Stanky)

Stanky — Sat, 28 Apr 2012 08:12:01 +0000

А он как-нибудь уже прокомментировал это поведение?

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Sat, 28 Apr 2012 07:53:43 +0000

К сожалению, я тоже не умею :( .

Я уже задавался целью научиться расшифровывать билеты. На практике от Wireshark пока удалось добиться только того, что он расшифровывает билеты в тех дампах, которые дает скачать в качестве образцов. На реальных дампах нифига не получатся, что только не пробовал. Разве что не собирал идентичную описанной WireShark-ом инфраструктуру на WS2003 без сервиспаков чтобы попробовать экспортировать оттуда keytab-ы.

Картинка не отображается ;) .

На картинке хотел показать, как получил билеты на актуальное время, хотя время на компьютере было отмотано на пару месяцев назад. Картинки не загружаются: либо обновление не блог кривое пришло, либо что-то не то с хостингом стало.

Ну, передавайте Косте привет :) …

Передал.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Stanky)

Stanky — Sat, 28 Apr 2012 07:38:12 +0000

К сожалению, я тоже не умею :( .

Картинка не отображается ;) .

Шаблон :) ?

Ну, передавайте Косте привет :) …

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Sat, 28 Apr 2012 07:27:55 +0000

Stanky, я провел эксперименты и твои выводы подтверждаются. Я успешно получил билеты на актуальное время, хотя время на компьютере было отмотано на пару месяцев назад. Разве что не смог влезть в аутентификатор KRB_TGT_REQ, так как он зашифрован. А расшифровывать я не умею ;(

А вообще, ты серьезно мне шаблон разорвал. Надо поговорить об этом факте с коллегами, среди которых есть даже MCM по Directory.

Комментарий к записи Особенности работы программного RAID в Windows Server (Stanky)

Stanky — Fri, 27 Apr 2012 20:17:54 +0000

Я не припомню, чтоб имел дел с единственным разделом — обычно, это было три, реже два. В любом случае, если очень нужно, то сделать это можно :) .

Комментарий к записи Бесплатная электропочта для домена: выбор между Яндексом и Гуглом (Stanky)

Stanky — Fri, 27 Apr 2012 20:16:01 +0000

Да, ограничений там хватает, но и плюшек тоже. Лично для меня, вторые перевешивают. Но справедливости ради, должен сказать, что именно их почтовый сервис я не использую за ненадобностью :) .
С доменами, думаю, вариантов нет, а с почтовыми ящиками можно «извратиться» — создать ящики с необходимыми именами и настроить у них переадресацию на нужный. К слову о переадресации, года три назад, она была ограничена единственным адресом, что так же не позволяло организовать «группы рассылки».

Комментарий к записи Как совместить RD Gateway и Outlook Anywhere (Stanky)

Stanky — Fri, 27 Apr 2012 20:12:22 +0000

Все эти «страшилки» про Firewall’ы я читал ещё во времена Exchange 2003, но в своей практике так ни разу с ними и не столкнулся :) .

А про Outlook 2010 не знал — спасибо :) .

Комментарий к записи Выбор имени домена Active Directory (Stanky)

Stanky — Fri, 27 Apr 2012 20:09:48 +0000

Я не очень понятно выразился

Если честно, мне и сейчас ни чуть понятней не стало :) . Ну есть у вас два разных ресурса с одинаковым именем и что? Если нужно обеспечить, чтоб обращение происходило на соответствующие сервера, в зависимости от сети, указываете во внешней DNS-зоне свой адрес, во внутренней «внешней зоне» свой. Если нужно, чтоб на одном и том же работали, указываете везде одинаковый — в чём проблема-то?

К сожалению, до своих статей я ещё не дорос — так, в камментах «погадить», да на форумах пообщаться :) .

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Stanky)

Stanky — Fri, 27 Apr 2012 20:01:09 +0000

Мы оба заблуждались, хотя и частично :) …

Монитором трафика пока не смотрел, но полагаю, что подводит время клиент все-таки по NTP

Действительно, про NTP, в этом случае, я как-то не подумал. Я копнул дальше и глубже и обнаружил, что подвод системных часов выполняется именно за счёт него.

так как Kerberos ни разу не предназначен для синхронизации времени

Компьютерные сети тоже ни разу не были предназначены для телефонии и что сейчас происходит ;) ?
В общем, как я и говорил, при первой попытке аутентификации, контроллер вернёт ошибку со своим текущим временем и, видимо, LSAS (или кто там ещё) на столько умный, что вычисляет разницу между текущим системным временем и временем на контроллере домена и все дальнейшие операции со штампами времени происходят с учётом этого смещения!
Я долго и безуспешно пытался найти хоть какое-то подтверждение своим словам в официальных источниках и наконец удача мне улыбнулась:

Although the «0×25 — KRB_AP_ERR_SKEW: Clock skew too great» error might show up in the logs, it will not prevent a user from being authenticated. When this error is returned, the domain controller also supplies the correct time on the domain controller. The Kerberos client uses the correct domain controller time to attempt the authentication request a second time. Presuming that the user’s credentials are valid, the user will be authenticated on the second try.

Таким образом, всё, что связано с Kerberos’ом, работает при любых сдвигах во времени. Но так как кроме Kerberos’а существуют и другие вещи, как проверка сертификатов, вот тут мы уже получим проблему, ибо если время «уедет» за рамки сроков их действия, компьютер не будет им доверять и тот же Lync откажется подключаться.

Кто бы спорил ;)

Не знаю «кто бы спорил», но несколькими комментариями выше вы сами сказали:

Без правильного часового пояса Kerberos-у труба, особенно в свете недавних изменений часовых поясов в России.

Тем самым вводя в заблуждение, что для его работы они жизненно необходимы ;) .

Не проверял, но эксперимент «про 5 лет» может дать другой результат

А я, прежде чем написать, специально проверил. И даже не пять лет — на тридцать назад отматывал ;) . Результаты, что на «Windows XP», что на «Windows 7″ положительные.
Да и что вам стоит выполнить такую проверку — займёт, максимум, минут десять ;) …

А еще есть Failback to NTLM ;)

Я так и знал, что вы начнёте «обвинять во всех смертных грехах» этот «несчастный» NTLM :) ! Я специально проводил все свои эксперименты на «Windows 7″ с полной его блокировкой ;) .

Есть подписка на комменты по RSS

Лично мне, RSS неудобен более, чем полностью :( .

Комментарий к записи Проектирование схемы именования объектов (Вереск)

Вереск — Fri, 27 Apr 2012 09:20:52 +0000

Насчёт именования домена, что не стоит использовать Simple — соглашусь. А вот по логинам ситуация такая:
Очень неудобно искать человека по фамилии, если используется именование с инициалом впереди.

Использую Samba3+OpenLDAP, домен как раз simple, надо переделывать. Сеть небольшая, ~200 хостов, включая виртуальные.
Все устройства имеют именование -. То есть, DOM-005 или DOM-213. Так как сеть маленькая, то из диапазона IP хорошо понятно, что это за устройство (с 1 по 20 — сервера, с 30 по 50 — принтеры и так далее). К тому же, удалёно подключаться к машинам стало проще — из имени хоста следует, куда ломиться. Раздаются имена и IP хоть и через DHCP, но со статической привязкой к MAC, что ОЧЕНЬ удобно. А рабочие места получают по наклейке с их номером.
А вот с пользователями следующая вещь:
smirnov.e — гораздо проще искать, чем e.smirnov. Даже при сотне пользователей знать из всех ФИО — никакого терпения не хватит. В исключительных случаях, можно добавить отчество, если Смирновых расплодилось.

Комментарий к записи Как совместить RD Gateway и Outlook Anywhere (Argon)

Argon — Fri, 27 Apr 2012 08:03:57 +0000

Тоже вариант! Начиная с Outlook 2010 пароль и при Basic не спрашивают. Вот кстати более подробно про разницу между NTLM и Basic для Outlook Anywhere.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Fri, 27 Apr 2012 07:55:30 +0000

Stanky, спасибо за комменты!

А происходит это просто — контроллер отвечает ошибкой Clock Skew, но кроме самой ошибки в ответе содержится текущее время контроллера домена, благодаря чему компьютер подводит свои часы и не испытывает ни малейших проблем.

Монитором трафика пока не смотрел, но полагаю, что подводит время клиент все-таки по NTP, так как Kerberos ни разу не предназначен для синхронизации времени.

Причём, всё время в Kerberos’е (и не только в нём) абсолютно толерантно к часовым поясам, ибо сообщается оно в GMT. Если б этого не было...

Кто бы спорил ;) Важность правильно выставленного часового пояса в том, чтобы у клиента после синхронизации отображалось его действительное локальное время, а не время в чужой временной зоне.

В качестве подтверждения своих слов: отмотайте время, например, на пять лет назад, перезагрузите компьютер и посмотрите на результат…

Вот здесь пишут , что начиная с WS2008 значение MaxPosPhaseCorrection равно 48 часам. Не проверял, но эксперимент "про 5 лет" может дать другой результат.

Теперь вы знаете почему погибшая батарейка на материнской плате не вызывает проблем с входом в систему ;) .

А еще есть Failback to NTLM ;)

P. S. Подписки на комментарии в данном блоге очень не хватает ;) .

Есть подписка на комменты по RSS, но не знаю, насколько это юзабельно. Пожелания сделать нормальную подписку уже звучали, все руки мои ленивые не дойдут...

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (Argon)

Argon — Fri, 27 Apr 2012 07:40:01 +0000

Что можно сделать… Попытаться понять, все ли делаете правильно, посмотреть логи.

Комментарий к записи Выбор имени домена Active Directory (Argon)

Argon — Fri, 27 Apr 2012 07:37:48 +0000

Stanky, спасибо за комменты.

А что мешает иметь два разных ресурса? Внутри сети имя разрешается во внутренний IP-адрес и пользователи продолжают им пользоваться, а снаружи имя разрешается во внешний. Но, если честно — ситуация какая-то «надуманная» :) .

Я не очень понятно выразился. Имел в виду ситуацию, когда внутри http://ftp.argon.pro ведет на внутренний сервер компании, а снаружи http://ftp.argon.pro — на внешний сервер, который, хостится, например, где-то у провайдера. На своей практике таких коллизий я встречал немало, поэтому для меня этот пример совсем не «надуман».

Если вы имеете в виду, что одним Wildcard-сертификатом вы покроете имена из доменов «argon.pro» и «lab.argon.pro», то вы сильно заблуждаетесь.

Согласен, нужно учитывать, что этот сценарий не работает.

И в заключение — я, наоборот, сторонник соответствия внутреннего домена внешнему :) .

Мне будет очень интересно почитать твою статью с твоими аргументами!

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Fri, 27 Apr 2012 07:24:16 +0000

Stanky, спасибо за комменты! Когда-нибудь руки дойдут допилить эту статью. Я тоже со временем развиваюсь, во многом с тобой согласен.

- Компьютер, с которого создается запрос, должен входить в домен, в котором опубликован ЦС
- Совершенно не обязательно ;) .

Можешь научить, как это сделать не с доменного компа?

Комментарий к записи Бесплатная электропочта для домена: выбор между Яндексом и Гуглом (Argon)

Argon — Fri, 27 Apr 2012 07:09:45 +0000

Я недавно пробовал на него перейти, остановило то, что нельзя делать домены-alias’ы, да и с просто alias’ами почтовых ящиков не все понятно.

Комментарий к записи Windows Deployment Services (Argon)

Argon — Fri, 27 Apr 2012 07:06:39 +0000

Спасибо ;)

Комментарий к записи Особенности работы программного RAID в Windows Server (Argon)

Argon — Fri, 27 Apr 2012 07:05:43 +0000

В случае зеркала из одного тома на весь диск, полностью согласен. Но если на динамическом диске создавались несколько томов, а потом еще их размер динамическим менялся средствами Win Disk Mgmt, то такая каша получается, что HEX редактором разбираться даже не хочется пробовать.

Комментарий к записи Бесплатная электропочта для домена: выбор между Яндексом и Гуглом (Stanky)

Stanky — Thu, 26 Apr 2012 00:03:22 +0000

А почему вы не рассматривали подобный сервис от Microsoft'а :) ? Лично мне он наиболее близок, так как используется учётная запись Live, избавлен от этих динозавров в виде POP3/IMAP4, SSL есть изначально, синхронизация работает по такому же Push-принципу, как в Exchange'е, великолепная интеграция с родными продуктами, особенно в Windows Phone. В общем, для тех, кто "живёт" на платформе Microsoft, как мне кажется, наиболее подходящий вариант :) . P. S. Я, конечно, понимаю, что я на полтора года "опоздал", но тем не менее :) .

Комментарий к записи Выбор имени домена Active Directory (Stanky)

Stanky — Wed, 25 Apr 2012 23:48:16 +0000

«Отсутствует возможность использовать данное имя для доступа из глобальной сети (когда придет пора публикации)»

А зачем использовать это имя, когда можно сразу «заложиться» на внешний домен?

«На домен, владение которым невозможно подтвердить, нельзя получить публичный SSL-сертификат»

Вы, видимо, не часто покупаете публичные сертификаты :) . Имена в таких зонах, как «.local», совершенно не требуют проверки ;) . Хотя, всё, как всегда, зависит от конкретного поставщика.

«Администрирование публичных и внутренних DNS-записей затруднено: все публичные DNS-записи в зоне argon.pro, которые используются из внутренней сети должны быть продублированы на внутренней зоне DNS. Также необходимо как-то обеспечивать синхронизацию этих записей.»

На счёт «должны быть продублированы» согласен, а вот «обеспечивать синхронизацию» — совершенно не проблема. Я решаю это банальным делегированием, как описано здесь.

«Внезапно возникла необходимость предоставлять пользователям интернета файловый сервис по тому же адресу http://ftp.argon.pro. Что получилось? Внутренние пользователи не могут подключиться к внешнему сервису по указанному имени…»

А что мешает иметь два разных ресурса? Внутри сети имя разрешается во внутренний IP-адрес и пользователи продолжают им пользоваться, а снаружи имя разрешается во внешний. Но, если честно — ситуация какая-то «надуманная» :) .

«получения публичных SSL-сертификатов (всего один wildcard-сертификат можно использовать как для сайта компании, так и при публикации ресурсов внутренней сети)»

Если вы имеете в виду, что одним Wildcard-сертификатом вы покроете имена из доменов «argon.pro» и «lab.argon.pro», то вы сильно заблуждаетесь. Если вы попробуете открыть сайт по имени «mail.lab.argon.pro», когда на нём весит сертификат «*.argon.pro», то вы получите ошибку — имя в сертификате, в данном случае, должно быть «*.lab.argon.pro» ;) .

И в заключение — я, наоборот, сторонник соответствия внутреннего домена внешнему :) .

Комментарий к записи Windows Deployment Services (Stanky)

Stanky — Wed, 25 Apr 2012 23:07:18 +0000

Небольшая ремарка — WDS появился в Windows Server 2003 R2 ;) .

Комментарий к записи Особенности работы программного RAID в Windows Server (Stanky)

Stanky — Wed, 25 Apr 2012 22:24:48 +0000

«особая разметка физических дисков (понятная только Windows)
Обратное преобразование динамического диска в базовый возможно, но только если с динамического диска удалить все тома.»

В действительности, «особого» там не так уж и много, особенно, если говорить про зеркало. Так как физическая структура хранения данных полностью аналогична Basic, преобразование не составляет ни малейшего труда. Всё что нужно — в таблице разделов у типа файловой системы вместо HEX-значения 42 поставить 07 (NTFS). Правда, при определённых обстоятельствах, для части разделов может потребоваться переопределение параметров начала раздела и его длины, но это тоже выполняется более чем просто.
Такие зеркала, в случае различных сбоев, я неоднократно преобразовывал в Basic.

Комментарий к записи Active Directory Certificate Services (Stanky)

Stanky — Wed, 25 Apr 2012 22:06:10 +0000

Прочитал и опять меня зацепило — решил прокомментировать:) …

«При установке ЦС в домене Active Directory по умолчанию должны создаваться групповые политики, которые прописывают доверие клиентов к корневому ЦС»

Во-первых — зачем заморачиваться созданием политик, когда можно просто опубликовать сертификат в AD командой «certutil -dspublish -f FileName.cer RootCA» и именно при обновлении тех самых политик этот сертификат автоматически скачается и установится в доверенные?
Во-вторых — при разворачивании «Enterprise CA» (с правами Enterprise Admin) сертификат публикуется в AD автоматически и ни каких телодвижений предпринимать не нужно ;) .

«но отозваны ли они центром сертификации»

Видимо, имеет место опечатка и имелось в виду «не».

«CRL (Certificate Revocation List, список отзыва сертификатов) на веб-сервере, регулярно обновляемый»

Лично я настраиваю центры сертификации на публикацию CRL’ей в DFS (с репликацией, в случае необходимости), откуда они спокойно раздаются IIS’ом — ни каких «регулярных обновлений» не нужно — всё автоматом. Пример такой настройки я показывал здесь.

«От себя лишь замечу хитрость: если ваш домен имеет доступное из интернета DNS-имя (то есть argon.com.ru, а не argon.local), а на сервер с корневым ЦС установлена опция Web Enrollment, то ЦС уже настроен на публикацию своих CRL по адресу http://server.argon.com.ru/CertEnroll. Поэтому для полноценной работы CRL достаточно просто опубликовать в интернете порт HTTP по доменному имени server.argon.com.ru.»

Ну а в чём сложность сделать то же самое, когда внешнее доменное имя отличается от внутреннего? Обеспечение «прозрачности» доменного суффикса, с моей подачи, описаны здесь.

«Следует иметь ввиду, что проверка отзыва по протоколу OCSP проходит успешно только в том случае, если сертификат ЦС, выдавшего проверяемый сертификат, установлен в хранилище доверенных сертификатов локального компьютера»

Я бы ещё хотел добавить, что успешная проверка по OCSP пройдёт только в том случае, когда сам OCSP-сервер имеет доступ к CRL-файлам — именно оттуда он берёт информацию, избавляя клиента от их скачивания ;) .

«Они же Certificate Enrollment Web Services, если по-английски. Весьма полезная роль»

А я бы сказал, что роль бесполезная и лично я от её использования давно отказался. Поданс, кстати, с этим мнением солидарен (тут и тут) :) .

«По умолчанию ЦС на Windows Server не настроен на выдачу сертификатов, содержащих SAN.»

Всеобщее заблуждение ;) ! Центры сертификации прекрасно выдают SAN-сертификаты и без включения данной опции — когда-то Вадим мне «не верил», но по предыдущей ссылке сам признался в своём заблуждении и вредности данного флага.

«Компьютер, с которого создается запрос, должен входить в домен, в котором опубликован ЦС»

Совершенно не обязательно ;) .

«Более гибким и универсальным способом запроса сертификатов с SAN является следующий, использующий утилиту certreq.»

На счёт универсального не поспоришь, а вот на счёт гибкости полностью не согласен :) ! На мой взгляд, самый гибкий — запрос через MMC-консоль в новых системах. И просто и удобно и наглядно и без создания файлов с кучей параметров, которые в голове не удержишь и нужно обращаться к заранее заготовленным шаблонам.

«Отправить запрос центру сертификации и получить в ответ .cer файл. Для этого можно воспользоваться MMC-конcолью управления Certification Authority (и указать .req файл) либо Web Enrollment (в окно расширенного запроса вставить содержимое .req файла и выбрать шаблон веб-сервера).»

Я предпочитаю, в случае необходимости, отправлять запрос командой «certreq -Submit -attrib «certificatetemplate:WebServer» Request.req Response.cer».

«Если ЦС у тебя на винде, интегрированный с AD, то его нужно настроить на публикацию CRL/AIA в AD»

Тоже большое заблуждение ;) . Эти ссылки в интернет-сценариях только мешают и наилучшим вариантом является их полное «выпиливание» из сертификатов — оставить только публичные HTTP-ссылки.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Stanky)

Stanky — Wed, 25 Apr 2012 19:59:38 +0000

Прочитал (почти внимательно) всю цепочку ресурсов, ссылки на которые тут расходятся в разные стороны, и комментарии к ним — зацепило :) ! К сожалению, везде я вижу распространённое заблуждение про аутентификацию, расхождение времени и часовые пояса. На самом же деле, во всём этом лишь часть правды.
Как я рассказывал в своём докладе про Kerberos, если у компьютера время «уехало», то при аутентификации на контроллере домена это расхождение будет автоматически устранено. А происходит это просто — контроллер отвечает ошибкой Clock Skew, но кроме самой ошибки в ответе содержится текущее время контроллера домена, благодаря чему компьютер подводит свои часы и не испытывает ни малейших проблем. Причём, всё время в Kerberos’е (и не только в нём) абсолютно толерантно к часовым поясам, ибо сообщается оно в GMT. Если б этого не было, то распределённые сети с филиалами в разных городах, где часовые пояса различны, не могли бы нормально между сабой взаимодействовать ;) . Часовые пояса — самая обыкновенная «фикция», подобная правилам нормализации в Lync’е, показывающая текущее время относительно GMT.
В качестве подтверждения своих слов: отмотайте время, например, на пять лет назад, перезагрузите компьютер и посмотрите на результат… Только выполняйте это, лучше, на реальной машине, так как на Hyper-V время будет подводиться автоматически в соответствии со временем самого хоста виртуализации, даже в том случае, если в настройках виртуальной машины синхронизация времени отключена (ещё одно заблуждение).
Теперь вы знаете почему погибшая батарейка на материнской плате не вызывает проблем с входом в систему ;) .

P. S. Подписки на комментарии в данном блоге очень не хватает ;) .

Комментарий к записи Как совместить RD Gateway и Outlook Anywhere (Stanky)

Stanky — Wed, 25 Apr 2012 14:53:33 +0000

А не проще ли для Outlook Anywhere выбрать NTLM, вместо Basic — и пароль Outlook запрашивать не будет и RDG будет функционаровать ;) ?

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Дмитрий Разборнов)

Дмитрий Разборнов — Sat, 21 Apr 2012 18:03:36 +0000

Да, я согласен с вами.
http://blogs.msdn.com/b/sanket/archive/2006/11/02/synchronizing-machine-time-with-domain-controller.aspx
но машины в домен таки могут не вводится, не сталкивались с таким?
Я- да))

Комментарий к записи О национальной дискриминации телефонных номеров в Lync (Alexander Donin)

Alexander Donin — Fri, 20 Apr 2012 06:52:46 +0000

«Баг» еще c OCS 2007 (RTM) тянется :-)
Так что, надежды это хорошо, но разработчики пока на это, похоже забили. Скорее это не баг для всех а фича для американцев :-)

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (Алексей)

Алексей — Thu, 19 Apr 2012 06:37:03 +0000

Добрый день, спасибо за пост.
Вопрос, а если я выполняю вышеописанные действия, но нет ни результата ни ошибок. Что можно еще сделать?

Комментарий к записи О национальной дискриминации телефонных номеров в Lync (Olga)

Olga — Tue, 17 Apr 2012 08:22:03 +0000

не просто отключить, а написать свои собственные правила. Все равно не помогает?

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Mon, 16 Apr 2012 10:07:03 +0000

Как настроить контроллер домена — уже описано в этой статье. Найди DC с FSMO-ролью PDC, cмотри ключи реестра, так как в Win2003 не все команды w32tm работают.

Машины, входящие в домен как-то дополнительно настраивать не нужно, они сами синзронизируются с контроллеров.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Fimin)

Fimin — Mon, 16 Apr 2012 08:20:22 +0000

Ребята я с ума схожу от настройки времени. Просто объясните в 2-ух словах, как на сервере 2003 (он же контроллер домена) настроить синхронизацию времени с внешним источником, какими командами пользоваться для проверки, и как машины из домена заставить синхронизовать время с контроллером, третий день бъюсь и ни чего понять не могу.

Комментарий к записи О национальной дискриминации телефонных номеров в Lync (Argon)

Argon — Fri, 13 Apr 2012 11:17:25 +0000

Можно отключить встроенные правила нормализации, который применяются при вытягивании из AD, но оно не помогает. Разница между +1 и +7, похоже, зашита где-то в клиенте при отображении.

Комментарий к записи О национальной дискриминации телефонных номеров в Lync (Olga)

Olga — Fri, 13 Apr 2012 10:52:53 +0000

А если на Lync отключить работу встроенных правил нормализации (заменив их на свои собственные, одинаковые для всех номеров: и для +1, и для +7)?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Fri, 13 Apr 2012 10:29:40 +0000

На практике я сталкивался с тем, что аппаратным телефонам Polycom сносило крышу от wildcard-сертификатов. Конкретнро в моем случае они не подключались к веб-службам Exchange (были недоступны календари и прочее). Wildcard на сами службы Lync еще ставить не пробовал.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (SIDERMAN)

SIDERMAN — Tue, 10 Apr 2012 20:29:59 +0000

http://blog.schertz.name/2011/02/wildcard-certificates-in-lync-server/
в этой статье описываются ньюансы использования wildcard сертификата — мегаудобного сертификата, который как выясняется полностью не поддерживается Lync Server. Из статьи я понял, что в Common Name должно быть имя Edge и выше об этом писалось, но достаточно ли будет в SAN — *.domain.com?
Кто-нибудь использовал на практике?

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (ekzorchik)

ekzorchik — Mon, 09 Apr 2012 07:58:41 +0000

Смотрите статью как настроить winrm через групповые политики:
http://www.ekzorchik.ru/wordpress/2012/04/winrm/
У меня на работе все прекрасно работает.
Желаю удачи.!!!

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Sat, 07 Apr 2012 06:03:07 +0000

До ввода в домен комп является standalone машиной, в этом случае всегда применяется NTLM. После ввода в домен — начинает работать Kerberos, если с часами всё в порядке. В политиках могут быть прописаны максимальные отклонения, в пределах которых разрешается корректировать время, но вот тайм-зону нужно выставлять только руками. Без правильного часового пояса Kerberos-у труба, особенно в свете недавних изменений часовых поясов в России.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Dimon4ik)

Dimon4ik — Thu, 05 Apr 2012 13:23:06 +0000

Что билетик просрачится и разница =- 5 минут , это мне понятно.На экзамене по семерке запал в душу вопрос — если на клиенте время неправильное до ввода в домен, что будет(проверка показала, что клиента спокойно пускает в домен) , просто где-то проскакивала в интернетах инфа, что нужно синхронизировать то ли часы, то ли пояс до ввода….
Есть мнение?

Комментарий к записи Как совместить RD Gateway и Outlook Anywhere (Vitaly)

Vitaly — Sun, 01 Apr 2012 11:44:08 +0000

Есть хорошая новость — в windows server 8 появилась возможность менять порт гейтвея.

Комментарий к записи Что нужно знать перед установкой Service Pack 1 для Windows Server 2008 R2 и Windows 7 (Владимир Сучков)

Владимир Сучков — Sun, 01 Apr 2012 09:26:38 +0000

SQL Server имеет свойство внезапно глучить при работе в виртуальной среде, использующей Dynamic Memory. За Exchange такого не замечено. Проверено на SQL 2005, 2008.

Комментарий к записи Доступ к Lync Mobility из внутренних сетей WiFi (Zuz666)

Zuz666 — Sat, 31 Mar 2012 08:35:49 +0000

Беда WP7 в том, что она не умеет (по факту просто интерфейс не допилен) аутентификацию в рамках EAP-TLS делать. Для меня это самая ожидаемая фича.

Комментарий к записи Доступ к Lync Mobility из внутренних сетей WiFi (Argon)

Argon — Fri, 30 Mar 2012 12:43:58 +0000

Теперь мы одинаково друг друга понимаем… Как будет время, допилю заметку с акцентом на процесс редиректа.

По поводу сертификатов для WiFi. Пока у нас в MS были Win Mobile 6.5, то для коннекта действительно требовалось поставить сертификат. На WP 7.5 для подключения к той же сети достаточно учетных данных в домене. Еще не разбирался, почему так.

Комментарий к записи Доступ к Lync Mobility из внутренних сетей WiFi (Zuz666)

Zuz666 — Fri, 30 Mar 2012 08:30:44 +0000

Дык, об этом и была речь, если бы в обоих случаях первый этап выдавал ссылку сразу на внешние веб-сервисы, то и не было бы и проблемы. Я это имел в виду.

А, так в большенстве случаев для доступа к корпоративному WiFi используется EAP-TLS следовательно корни корпоративного ЦС уже есть на мобильном устройстве, поэтому на серверах линка можно оставлять сертификат выпущенный внутренним ЦС, а вот для публикации edge нужны внешние ибо федерация и пуш-нотификации.

Internal\Mcx указывает на внешние веб-сервисы для того, чтобы при роуменге между WiFi/сотовыми сетями не было проблем с разрешением имён. Чтобы реконет происходил гладко. Можно как в статье играть с TTL, но это надо тестировать, кто его знает как на самом деле мобильные клиенты коннектятся.

Комментарий к записи Доступ к Lync Mobility из внутренних сетей WiFi (Argon)

Argon — Fri, 30 Mar 2012 07:22:19 +0000

А чтобы мобилкам всегда возвращались внутренние веб-сервисы, нужно использовать Set-CsMcxConfiguration с ключем ExposedWebURL.

Комментарий к записи Доступ к Lync Mobility из внутренних сетей WiFi (Argon)

Argon — Fri, 30 Mar 2012 07:17:04 +0000

Для lyncdiscoverinternal будет следующая цепочка редиректов:

lyncdiscoverinternal > lync-web-services-internal > lync-web-services-external

Как видишь, в середине присутствуют внутренние веб-службы с их неугодным SSL-сертификатом. Именно поэтому я написал, что DNS-запись lyncdiscoverinternal не нужна.

Более подробно процесс редиректов разобран в последней ссылке в «источниках вдохновения» ;)

Комментарий к записи Доступ к Lync Mobility из внутренних сетей WiFi (Zuz666)

Zuz666 — Fri, 30 Mar 2012 07:08:23 +0000

«В обоих случаях Lync Discover выдаёт клиентам редирект на адрес внешних веб-служб Lync.»
Разве это так?
Насколько помню для внутреннего клиента, выдаётся внутренняя ссылка https://lyncint.domaint.int/autodiscover/autodiscoverservice.svc/root/domain
а, потом сходя по ней выдаёт полный набор с вгутренними и внешними сервисами, а сам клиент уже использует только внешние, а внутриние не использует. Или я заблуждаюсь?

Беглая проверка браузером показала, что так оно и есть на портах 80 и 443.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Wed, 28 Mar 2012 08:08:24 +0000

Конечно, возможно...

w32tm.exe /config /manualpeerlist:"pool.ntp.org,0x8" /syncfromflags:manual /update

Либо аналогичными параметрами в реестре.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Sanek)

Sanek — Wed, 28 Mar 2012 08:03:44 +0000

Добрый день! Руководитель дал задание- для коректной работы некоторой программы синхронизировать определенные ПК (находящиеся в одном домене) с сервером точного времени (находящемся в другом домене) по SNTP. Имеетя в виду настроить каждый из ПК локально, не меняя политик домена. Возможно ли это??

Комментарий к записи Как совместить RD Gateway и Outlook Anywhere (Argon)

Argon — Sat, 24 Mar 2012 12:51:54 +0000

Действительно, имени два:

autodiscover.lab.argon.pro
argon.pro

Второе мне использовать не получиться по причине хостинга этого блога не в моей среде.

Комментарий к записи Как совместить RD Gateway и Outlook Anywhere (Zuz666)

Zuz666 — Sat, 24 Mar 2012 08:42:47 +0000

У StartSSL, насколько помню, в вашем случае в SAN сертификата должно быть два имени:
autodiscover.lab.argon.pro,
lab.argon.pro (второе оно само добавляет, даже если не просишь).

Комментарий к записи Как совместить RD Gateway и Outlook Anywhere (Argon)

Argon — Fri, 23 Mar 2012 22:28:45 +0000

А два правила публикации на TMG с одним листнером с разными Public Name? По идее должно работать.

Должно и работает. Но в начальных ограничениях я написал, что у нас только сертификат с одиночным common name без SAN. Подсказка, это бесплатный StartSSL ;)

Комментарий к записи Как совместить RD Gateway и Outlook Anywhere (Zuz666)

Zuz666 — Fri, 23 Mar 2012 22:12:19 +0000

Посмотрел ClientHelloExtension: Server Name(0×0000) как минимум клиентом RDP устанавливается, да и OAW тоже должен это делать они schanell один и тот же для TLS юзают.

Комментарий к записи Как совместить RD Gateway и Outlook Anywhere (Zuz666)

Zuz666 — Fri, 23 Mar 2012 21:53:16 +0000

А два правила публикации на TMG с одним листнером с разными Public Name? По идее должно работать.

Комментарий к записи О национальной дискриминации телефонных номеров в Lync (Argon)

Argon — Sat, 17 Mar 2012 09:06:05 +0000

Я отписал в глобальную внутреннюю рассылку MS по UC еще в понедельник… Молчат. Или вопроса не поняли, или всем пофиг.

Комментарий к записи О национальной дискриминации телефонных номеров в Lync (Dmitriy)

Dmitriy — Sat, 17 Mar 2012 02:55:00 +0000

>Ещё был совет в AD хранить телефоны в формате
>+74951234567 X1234

К сожалению, ничего не меняется. Также подтверждаю, что с обновлением сервера и клиента CU5 баг остался.
Нет никаких сведений, когда будет пофиксено?

Комментарий к записи Lync Server Edge, TMG и NLB (Argon)

Argon — Wed, 14 Mar 2012 10:28:30 +0000

Edge c клиентом и Edge с фронт-эндом работают на уровне sip-сессий. WinNLB о сессиях ничего не знает и работает только как балансировка по Source IP. И где-то тут случается нестыковка. Клиент просто не может залогиниться через Edge. Если в NLB оставить включенным один узел, то, насколько помню, начинает работать.

Комментарий к записи Lync Server Edge, TMG и NLB (Zuz666)

Zuz666 — Wed, 14 Mar 2012 10:18:48 +0000

> Это неспроста, данные службы через Win NLB не работают, я проверил.
Как-то не видно препятствий чтоб не работало, как именно проверял?

Комментарий к записи О национальной дискриминации телефонных номеров в Lync (Andrey)

Andrey — Wed, 14 Mar 2012 05:15:21 +0000

Ещё был совет в AD хранить телефоны в формате
+74951234567 X1234
спрошу сегодня поподробней как добились корретного отображения.

Комментарий к записи О национальной дискриминации телефонных номеров в Lync (Zuz666)

Zuz666 — Tue, 13 Mar 2012 13:48:15 +0000

На фоне всего этого была бы интересна статья о том, кто и где вводит эти телефонные номера, как именно обновляются все адресные книги (Exchange, Lync, Sharepoint). Какая из систем является мастером и в каком направлении осуществляется обновление информации в этих системах.

Комментарий к записи О национальной дискриминации телефонных номеров в Lync (Argon)

Argon — Tue, 13 Mar 2012 11:18:43 +0000

К сожалению, ничего не поменялось. Поставил обновления Feb2012 на сервер и на клиент, перегенерировал адресные книги. Если мы создаём нового пользователя, то какое-то время его телефоны отображаются в том виде, как они забиты в AD. Однако, по прошествии какого-то времени, а также добавления этого пользователя себе в контакты, брюки превращаются в то, что описано в этой заметке.

Комментарий к записи О национальной дискриминации телефонных номеров в Lync (Argon)

Argon — Tue, 13 Mar 2012 10:26:19 +0000

В моей тестовой лабе, где я проводил эти эксперименты, установлен CU4 (Nov 2011). Вот CU5 еще не ставил, так как он до Windows Update пока не дошел. Сейчас попробую.

Комментарий к записи О национальной дискриминации телефонных номеров в Lync (Andrey)

Andrey — Tue, 13 Mar 2012 09:36:27 +0000

Только что Муравлянников сказал что в CU4 на сервере и клиенте отображается нормально.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Sun, 11 Mar 2012 19:31:47 +0000

Все NTP-сервера пересчитывают время в GMT. Поэтому важно только то, чтобы зона на клиенте (в данном случае — контроллер домена) была выставлена верно.

Комментарий к записи Как включить запись звука через RDP (Argon)

Argon — Sun, 11 Mar 2012 19:29:08 +0000

Именно так, я тоже удивлялся этой логике…

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Sun, 11 Mar 2012 19:27:59 +0000

Zuz666, спасибо за комменты. Особенно мне кажется полезной идея использовать одновременно серты от Comodo и StarSSL на разных сервисах.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Zuz666)

Zuz666 — Sun, 11 Mar 2012 18:29:37 +0000

Stanky: «3. Сертификаты моего постовщика не входят в этот список, но проблем с ним нет, даже на мобильных устройствах!»
А можно поинтересоваться, кто ваш постовщик? Я бы указал M$ на то, что есть те, кто всписок не входит и с ними всё работает. )))

Комментарий к записи Lync 2010 Mobility (Zuz666)

Zuz666 — Sun, 11 Mar 2012 18:09:25 +0000

1. Поддержка StartSSL сертификатов на WP7 по сведениям из StartCom должна появится, только это тянется непонятно сколько, как они указали M$ должны сделать соответвующий патч, но почему не делают сведений нет. Со стороны StartCom, как они сообщают, всё сделано.
2. Сертификат не обязательно должен быть один со всеми SAN. Можно сделать 3 сертификата для соответсвующих «сервисов» и привязать каждый из них отдельно. Правда делать это лучше из повершела.

Комментарий к записи Как включить запись звука через RDP (Zuz666)

Zuz666 — Sun, 11 Mar 2012 17:47:52 +0000

Вот детали http://support.microsoft.com/kb/2020918/en-us

Other then for Windows Server 2008, for Windows 7 the Allow audio recording redirection policy does not need to be enabled to allow audio recording redirection. However, if you configure the policy to Disabled, Audio Recording Redirection is not available

Т.к. политикой можно только отключить, по умолчанию оно считается включеным. Почему на Ent редакции fDisableAudioCapture=1 тайна покрытая мраком.

Комментарий к записи Как включить запись звука через RDP (Zuz666)

Zuz666 — Sun, 11 Mar 2012 17:43:38 +0000

Для Windows 7 достаточно «fDisableAudioCapture»=dword:00000000 и указания при подключении по RDP захвата звука.
Параметр есть и в Ent версии, проверено, видимо от каких-то патчей/сервиспака зависит.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Zuz666)

Zuz666 — Sun, 11 Mar 2012 16:06:37 +0000

1. С StartSSL не буедт пока работать федерация с sipfed.online.lync.com (push-нотификации и офис365). По информации от StartSSL в этом направлении работы идут. Но пока мне детально не подтвердили в чём затык. Надо M$ в этом направлении тоже помучать.
2. Так же можно получить сертификат для каждого «сервиса» отдельно (не надо их разносить по портам), например, для Acees Edge (федерации и доступа по sip) можно получить халявный комодо сертификат Request-CSCertificate -New -Type AccessEdgeExternal … , а для всего остального StartSSL. Естетсвенно, всё тогда проще делать через повершел. Мастер в линке слегка глючит.

Комментарий к записи Проектирование схемы именования объектов (Vitaly)

Vitaly — Sat, 10 Mar 2012 20:30:51 +0000

>Назначение группы определяется ролевой моделью привилегий (также известной как UGLP)…
Как я понял UGLP расшифровывается как User->Global Group->Local Group->Permissions
Официальная методология называется AGLP (для доменов WindowsNT) и AGDLP для «нативной» AD.
Account->Global Group->Domain Local Group->Permissions
Ну это так, для точности формулировок :)

Комментарий к записи Lync 2010 Mobility (Argon)

Argon — Tue, 14 Feb 2012 15:01:26 +0000

У меня даже есть статья про это.

Комментарий к записи Lync 2010 Mobility (Evgeniy Protopopov)

Evgeniy Protopopov — Tue, 14 Feb 2012 14:36:40 +0000

Игорь, а как вы используете обычный single-name сертификат на Lync Edge? Там же должен быть SAN сертификат…

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Villain03)

Villain03 — Fri, 10 Feb 2012 05:13:40 +0000

А с какими серверами проводить синхронизацию, если Россия не переводит часы весной и осенью. А при синхронизации чарез интернет часы меняются на зимнее/летнее

Комментарий к записи Forefront Endpoint Protection 2010 (Argon)

Argon — Thu, 09 Feb 2012 13:32:54 +0000

Привет.

Создать две разные политики, одну строгую, другую с возможностью настройки пользователями.

Далее предлагаю два варианта.

1. Привязать политики к разным OU/Коллекциям.
2. Создать группы в AD, включить в них нужные учетки компьютеров, для политик использовать фильтрацию по группам.

Комментарий к записи Lync 2010 Mobility (Argon)

Argon — Thu, 09 Feb 2012 13:11:42 +0000

Привет. StartSSL бесплатно SAN не дают. Если нужен именно SAN, то я бы не рекомендовал StartSSL, так как пусть даже платный сертификат от этого CA признаётся не всеми клиентами, в отличае от, например, Comodo.

Для чего использую — Lync Edge, Lync Web, Exchange OWS, Remote Desktop Gateway, SSTP VPN…

Комментарий к записи Lync 2010 Mobility (Evgeniy Protopopov)

Evgeniy Protopopov — Thu, 02 Feb 2012 15:06:45 +0000

Игорь, добрый день!
А можете рассказать немного подробней про StartSSL? Есть ли там возможность создавать SAN-сертификаты для Lync Edge? Действительно ли они бесплатные? И для чего еще вы их используете?

Комментарий к записи Forefront Endpoint Protection 2010 (mesmer)

mesmer — Thu, 02 Feb 2012 13:59:26 +0000

Приветствую, продублирую сюда вопрос с технета, потому как там молчком все:

антивирус ставится на OU AD, есть в AD OU «ITC»

Суть такова, что политики я не создавал для FEP, а просто изменил в стандартных нужные значения.

В наш отдел IT тоже на некоторых машинах развернул FEP, но люди жалуются, что все под себя антивирус взял, и удаляет и т.д., а им это как бы и не нужно.

Вот поясните мне, как мне правильно сделать для нашего отдела?

мои мысли таковы:

создать новую политику (опять же с приоритетами как? или указать. что она нужна для нужной коллекции?), дабы сами пользователи могли выбирать, что удалять и т.д.

создать коллекцию под эту политику, а вот здесь тоже не понятно каким образом мне указать при создании, чтобы в ней помещались машины из этой OU. какой параметр/критерий надо указать, дабы в дальнейшем на эту коллекцию развернуть НУЖНУЮ политику.

Комментарий к записи Как включить запись звука через RDP (ДЕН)

ДЕН — Wed, 01 Feb 2012 12:55:39 +0000

сделал все по инструкции для win 7 x64 — в записывающих устройствах ничего не появилось.

Комментарий к записи Как включить запись звука через RDP (Stanky)

Stanky — Sat, 28 Jan 2012 08:37:27 +0000

Небольшое добавление: правка реестра требуется на системах Windows Server 2008 R2 и Windows 7 Enterprise Edition — на Ultimate Edition данный параметр присутствует изначально. Честно говоря, такой подход мне совершенно непонятен — чего ради, тогда, были созданы соответствующие политики?

Комментарий к записи Особенности работы программного RAID в Windows Server (Argon)

Argon — Tue, 24 Jan 2012 00:31:52 +0000

Одним из преимуществ софтрейда является то, что его достаточно просто перенести на другой комп: для Win RAID вообще ничего не нужно, кроме поддержки со стороны ОС, для Intel — аналогичный чип на материнке.

Комментарий к записи Особенности работы программного RAID в Windows Server (Александр)

Александр — Mon, 23 Jan 2012 17:48:25 +0000

Статья очень заинтересовала посколько сам использую софт рейд. Если материнская плата не запускается насколько сложно восстановить информацию?

Комментарий к записи Lync 2010 Mobility (Argon)

Argon — Tue, 17 Jan 2012 17:53:06 +0000

Кстати, проверил, мобильный клиент действительно использует Edge чуть менее, чем никак.

Видимо потому он так куц на функционал, что SIP-а в нем нёт в принципе…

Комментарий к записи Lync 2010 Mobility (Alexander Donin)

Alexander Donin — Tue, 17 Jan 2012 16:33:01 +0000

бррр… не на внешнее имя, а на IP для которого настроено правило публикации Lync FE 443-> 4443 :))

Комментарий к записи Lync 2010 Mobility (Alexander Donin)

Alexander Donin — Tue, 17 Jan 2012 16:30:50 +0000

A Edge тут причем?

Только lyncdisсover и внешнее имя веб-сервера должны указавать на внешнее имя reverse Proxy.

Другие клиенты, кроме мобильных, lyncdiscover не используют.

Комментарий к записи Lync 2010 Mobility (Argon)

Argon — Tue, 17 Jan 2012 15:22:15 +0000

Да, вполне элегантно! Только нужно учитывать, что и все остальные адреса (edge, reverse proxy) должны разрешаться на наружные интерфейсы (что проблема для split brain DNS), и через них пойдёт трафик пользователей. А не непрямую на front-end, что приятно.

Комментарий к записи Lync 2010 Mobility (Alexander Donin)

Alexander Donin — Tue, 17 Jan 2012 09:47:17 +0000

Если подключенный (по WiFi) во внутреннюю сеть предприятия Lync Mobile не работает, но работает из внешней сети, то происходит это вероятнее всего потому, что внутренние службы Lync Server используют SSL-сертификаты, выпущенные корневым CA предприятия. Чтобы Lync Mobile начал подключаться из внутренней сети, достаточно сотрудникам разослать e-mail с сертификатом корпоративного CA и инструкцией по его установке.

Есть другой, более элегантный способ:
НЕ создаем запись lyncdiscoverinternal
Даем клиентам из WiFi сети доступ к lyncdiscover на reverse proxy, где у нас стоит публичный сертификат.

Комментарий к записи Lync 2010 Mobility (Argon)

Argon — Mon, 16 Jan 2012 16:08:20 +0000

Про StartSSL.

Вот накопал KB931125, из нее следует, что сертификат CA StartSSL устанавливается вместе с обновлениями даже на стрые ОС типа XP, на которых его изначально не было.

Изначально присутствует в Win7/Server2008R2.

Для федерации с дугими Lync-ами вполне пригоден (в том числе проходит тест Remote Connectivity Analyzer), а вот OCS, поставленый на Win2003 и не обновляемый, вполне может и не доверять.

Комментарий к записи Forefront Endpoint Protection 2010 (mesmer)

mesmer — Mon, 16 Jan 2012 10:59:25 +0000

Что-то не выходит каменный цветок.
В DNS _tcp:
запись SRV имеет порт (79)
это верно?
на компе, файл ClientLocation.log:

Требуется все же расширение?
как бы все в тестовом режиме хотелось бы погонять неск.месяцев, дабы сеть не забивать лишним. да потом все удалить или в конце кнцов на «рабочем» сервере все сделать и сайт и коллекции. на данном этапе хотелось бы пока эвалюшен версия FEP не десяток компьютеров поставить.
это расширение как я понимаю дополняет атрибуты какието в 2003 схему леса. и как понимаю есть нюансы необходимости таких шагов.
что интересно в коллекции этот компьютер есть, в поле код сайта (OBL)
Клиент — Нет
Одобрено — Н/Д
Назначено — Да

Комментарий к записи Lync 2010 Mobility (iadmin)

iadmin — Mon, 16 Jan 2012 08:06:19 +0000

Спасибо, познавательно.
Про StartSSL, да, он есть только на некоторых клиентских системах, в том числе поэтому не подходит для организации федераций.

Комментарий к записи Forefront Endpoint Protection 2010 (Argon)

Argon — Sun, 15 Jan 2012 14:00:34 +0000

Привет!

В данном случае, думаю что все проблемы исходят от неправильной установки агента SCCM. Я бы снес текущий и сделал начисто push установку агента, с использованием доменной учетки с админскими правами на клиентской машине.

Комментарий к записи Forefront Endpoint Protection 2010 (mesmer)

mesmer — Sun, 15 Jan 2012 10:59:57 +0000

Добрый день!
Как-то я забросил тестирование FEP.
Решил опять этим заняться.
Что сделано:
установлен на тестовый win2003 SCCM SP2 R2,
не внедрял в AD (и схему не расширял),лишь в DNS запись автоматом прописалась.
выбрал границы (по IP), выбрал OU в AD, и вижу в коллекциях мой клиентский комп.
клиент как-то установился на этом компе:
но если в нем посмотреть «дополнительно», то не вижу ни записи о сайте, ни его код.
при указании Deploy FEP в логах этого компа:

«Настройки разрешений зависящие от конкретного приложения не предоставляют разрешение Локально Запуск для приложения сервера COM Server с CLSID
{135D7881-D666-4046-A1DF-7EC7B5785A67}»
«Поставщик PolicyAgentInstanceProvider зарегистрирован в пространстве имен WMI root\ccm\Policy\Machine с правами локальной системы. Это может привести к нарушениям зашиты, если поставщику не удастся олицетворить запрос пользователя.»
«Не найдено описание для события с кодом ( 1042 ) в источнике ( MsiInstaller ). Возможно, на локальном компьютере нет нужных данных в реестре или файлов DLL сообщений для отображения сообщений удаленного компьютера. Попробуйте использовать ключ /AUXSOURCE= для получения этого описания, — дополнительные сведения об этом содержатся в справке. В записи события содержится следующая информация: C:\WINDOWS\system32\ccmsetup\{9B236306-42D4-496A-AEB3-B3B039116478}\client.msi; 4028; (NULL); (NULL); (NULL); ; .»
и собственно FEP не ставится.
что-то где-то надо подправить?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 10 Jan 2012 10:47:39 +0000

Кстати, поставил себе на тестовыю лабу бесплатный сертификат от startssl — все тесты проходит, федерация работает.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (SIDERMAN)

SIDERMAN — Tue, 10 Jan 2012 06:56:02 +0000

понятно, спасибо. Просто сбила с толку фраза:
Even though the certificate subject name is equal to the access Edge FQDN

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Mon, 09 Jan 2012 17:55:33 +0000

Для внешнего сертификата в Subject (Common) Name либо в SAN должно быть имя из External Settings (access/sip, webconf, av).

Кстити, netbios имена вообще нигде не должны использоваться, только FQDN. Для внутреннего сертификата, соответсвенно, внутренее полное DNS-имя. Если Edge развернут на компе в рабочей группе, то на этом компе должен быть прописан осоновной DNS-суффикс.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (SIDERMAN)

SIDERMAN — Mon, 09 Jan 2012 17:50:22 +0000

а в subject name должно тоже быть имя из external settings или нетбиос имя сервера указанное в топологии?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Sun, 08 Jan 2012 20:38:31 +0000

Коллеги, хочу уточнить следующие моменты

Vladimir
так как имя сервера lync-edge и в топологии lync везде фигурирует именно это имя
а сервер уже в работе и менять имя, топологию, а следовательно и переустанавливать lync на edge как то нехорошо))

Нельзя менять внутреннее имя сервера, это так. Однако, в редакторе топологии можно легко поменять внешнее имя в разделе Edge server configuration > External Settings.

Именно это имя (или имена) должно содержаться во внешнем SSL сертификате.

Сообщение «Warning: The chain of the certificate ### is invalid» говорит о том, что не вся цепочка сертификатов валидна на локальном компьютере. Скорее всего, пропущен какой-то Intermediate центр сертификации. Проверить это легко, если открыть свойства выданного сертификата (.cer) и проверить цепочку. Если там есть какие-то проблемы, то доустановить пропущенные CA в хранилища Root или Intermediate компьютера. Цепочка должна заканчиваться на корневом, самоподписанном CA.

Комментарий к записи Как перенести базы данных SharePoint 2010 на другой SQL сервер (Argon)

Argon — Sun, 08 Jan 2012 20:28:45 +0000

Рад помочь!

Комментарий к записи Установка Office Communications Server 2007 R2 на Windows Server 2008 R2 (Argon)

Argon — Sun, 08 Jan 2012 20:25:50 +0000

Рад помочь!

Кстати, для Windows Server 2008 R2 SP1 путь немного изменился, новый выглядит так:

C:\Windows\servicing\Packages\Microsoft-Windows-Media-Format-Package~31bf3856ad364e35~amd64~~6.1.7601.17514.mum

Комментарий к записи Как установить SQL Server на Read Only Domain Controller (Argon)

Argon — Sun, 08 Jan 2012 20:24:13 +0000

Рад помочь!

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (SIDERMAN)

SIDERMAN — Sun, 08 Jan 2012 18:29:55 +0000

Vladimir, у меня подобная ситуация: SRV-запись lync-edge.domain.com, но имя сервера lync01.domain.com
в топологии указано имя edge-сервера — lync01.domain.com а в настройках топологии edge — в разделе SIP Access, Conferencing, A/V… — lync-edge.domain.com
появляется путаница, так как в доках технета сказано «Even though the certificate subject name is equal to the access Edge FQDN» — отсюда вопрос Edge FQDN — это имя сервера топологии, либо имя прописанное в настройках Edge, во внешнем днсе?
И вообще работает ли при такой конфигурации Edge с внешним сертификатом
Я так понял, что у вас возникли проблемы, хотя судя из ошибки такое чувство что просто ошибка в написании отпечатка..

Комментарий к записи Что нужно знать перед установкой Service Pack 1 для Windows Server 2008 R2 и Windows 7 (BanDesign.ru)

BanDesign.ru — Sun, 08 Jan 2012 10:15:03 +0000

Про Dynamic Memory не знал, благодарствую!

Комментарий к записи Как установить SQL Server на Read Only Domain Controller (kavkis)

kavkis — Sat, 07 Jan 2012 11:51:37 +0000

спасибо за помощь в установке

Комментарий к записи Как перенести базы данных SharePoint 2010 на другой SQL сервер (arxont)

arxont — Tue, 03 Jan 2012 02:28:55 +0000

Добрый день! Большое спасибо за статью! Очень помогло! :)

Комментарий к записи Установка Office Communications Server 2007 R2 на Windows Server 2008 R2 (Bahrom)

Bahrom — Fri, 30 Dec 2011 09:42:46 +0000

>> pkgmgr.exe /ip /m:»C:\Windows\servicing\Packages\Microsoft-Windows-Media-Format-Package~31bf3856ad364e35~amd64~~6.1.7600.16385.mum»

мне очень помогло.
огромний СПОСИБО!!!

Комментарий к записи Проектирование схемы именования объектов (mag_box2)

mag_box2 — Wed, 28 Dec 2011 06:55:44 +0000

>SR-PSSRV001 (сервер-принт-сервер-сервер-номер001) — слово >«сервер» закодировано 3 раза, порядковый номер 3-разрядный, >хотя таких серверов всего 2 штуки

Все рекомендации хороши, но сервер, потом еще раз сервер ?
советую подумать над таким вариантом:
(Первые 2 буквы регион ) — (Принт-сервер)(номер) зачем 3 раза кодировать srv ?
например организация распределена по регионам
петропавловские сервера:
pp-dcs001 (петропавловский — домен контролер сервер 001)
pp-ps001 (петропавловский принт сервер 001)
pp-fs001( это файловый )

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Vladimir)

Vladimir — Fri, 23 Dec 2011 15:00:27 +0000

получили временный сертификат на lync-edge.xxx.ru
импортировал в wizard`е, пишит invalid как и в статье.
чз power shell выполнил
Set-CSCertificate -Type AccessEdgeExternal,DataEdgeExternal,AudioVideoAuthentication -Thumbprint «отпечаток из сертификата lync-edge.marya.ru» -Verbose -Confirm:$false -Report «C:\Argon\CertInstall.html»
выполняет с 1 warning
и в отчёте пишет:
Warning: The chain of the certificate «отпечаток из сертификата lync-edge.marya.ru» is invalid.
и в wizard так же сертификат invalid и тест
https://www.testocsconnectivity.com/
не проходит по ошибке: The SSLCertificate failed one or more certificate
может быть есть какие-нибудь идеи?
заранее спасибо.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Vladimir)

Vladimir — Fri, 23 Dec 2011 09:34:49 +0000

поменять SRV запись несложно (так как и sip.xxx.ru и lync-edge.xxx.ru ссылаются на один и тот же ip адрес)
а вот выписать сертификат на sip проблематично,
так как имя сервера lync-edge и в топологии lync везде фигурирует именно это имя
а сервер уже в работе и менять имя, топологию, а следовательно и переустанавливать lync на edge как то нехорошо))

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Thu, 22 Dec 2011 19:27:16 +0000

Я бы рекомендовал поправить SRV-записи на sip.xxx.ru, и на это имя выписать сертификат. Собственно, об этом и статья.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Vladimir)

Vladimir — Thu, 22 Dec 2011 15:49:31 +0000

у нас в srv записи используется lync-edge как раз ))
и при создании запроса чз GUI в запрос как то прописывается SAN sip, хотя это не указываю.
а из power shell только lync-edge, без SAN
попробую бесплатный триальный сертификат на lync-edge получить и с ним попробовать push notification

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Thu, 22 Dec 2011 14:52:55 +0000

Для формирования запросов я всегда использовал GUI, через PowerShell не так наглядно и вероятность ошибки больше.

Для публикации Edge достаточно сертификата на имя sip.xxx.ru, если в SRV-записях используется оно же.

UC-сертификат отличается от остальных SAN сертификатов, что позволяет добавить в SAN локальные DNS-имена типа lync.domain.local. Нам на эдж это не требуется.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Vladimir)

Vladimir — Thu, 22 Dec 2011 14:34:45 +0000

Спасибо!
По этой ссылке я как раз и настраивал))
Все команды прошли без ошибок, только тесты выходят с ошибкой 504 — как я выше писал.
Если есть опыт — не знаете какой лучше запрос на сертификат сделать?
Request-CSCertificate -New -Type AccessEdgeExternal,DataEdgeExternal,AudioVideoAuthentication -FriendlyName «Lync Edge External» -DomainName «lync-edge.xxx.ru,sip.xxx.ru» -KeySize 2048 -PrivateKeyExportable $True -ClientEKU $True -output c:\cert.txt
И запрашивать надо UCC сертификат?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Thu, 22 Dec 2011 13:31:58 +0000

Привет. Push уведомления работают через сервисы на площадке Microsoft, и соответсвенно, требуют настройки федерации с ними. А федереация не возможна без валидного SSL сертификата. Более полробно по настроеке Lync Mobility Push я нашел здесь.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Vladimir)

Vladimir — Thu, 22 Dec 2011 12:31:06 +0000

Здравствуйте.
настроен lync mobility и работает
внутреннее имя edge server — lync-edge-srv01.xxx.o (оно фигурирует в топологии)
внешнее имя edge server — lync-edge.xxx.ru
внешний сертификат на edge не установлен (для lync-edge.xxx.ru), только для внутреннего домена (xxx.o)
не работает push notification
при тестах:
Test-CsMcxPushNotification -AccessEdgeFqdn lync-edge-srv01.xxx.o
Test-CsFederatedPartner -TargetFqdn lync-edge-srv01.xxx.o -Domain push.lync.com -ProxyFqdn sipfed.online.lync.com
выдаётся ошибка
Test-CsMcxPushNotification : A 504 (Server time-out) response was received from the network and the operation failed. See the exception details for more information.
Подскажите, пожалуйста, поможет ли приобретение сертификата по запросу:
Request-CSCertificate -New -Type AccessEdgeExternal,DataEdgeExternal,AudioVideoAuthentication -FriendlyName «Lync Edge External» -DomainName «lync-edge.xxx.ru,sip.xxx.ru» -KeySize 2048 -PrivateKeyExportable $True -ClientEKU $True -output c:\cert.txt
или нужно что то другое?
Заранее спасибо.

Комментарий к записи О быстроте Internet Explorer 9 (Argon)

Argon — Thu, 08 Dec 2011 10:54:27 +0000

IE9 на машине с TMG использовал, проблем не было. А вот консоль Lync Server на 9 IE ругается, говорит, он слишком стар для неё ;)

Комментарий к записи О быстроте Internet Explorer 9 (Alex)

Alex — Wed, 07 Dec 2011 14:09:51 +0000

А не встречались с такой прикольной вещью, как неработоспособность консоли управления Forefront TMG на машине с установленным IE9 ??? :)

Комментарий к записи Как интегрировать обновления в дистрибутив TMG (Argon)

Argon — Tue, 29 Nov 2011 14:51:45 +0000

Не пробовал, так как SQLExpress2008SP1.exe содержит цифровую подпись. Вот если бы прямо в коде инсталлятора TMG не было прописано это имя файла, а было бы, допустим, в .ini, то был бы смысл распаковать дистриб и внедрить в него сервис пак. И оставить так, как есть.

Комментарий к записи Как интегрировать обновления в дистрибутив TMG (Александр)

Александр — Tue, 29 Nov 2011 13:53:50 +0000

а не пробовали интегрировать в sql сервер сервисы паки? т.е. распаковать его, обновить и заново запаковать (ну или подменить в инсталяторе)

Комментарий к записи Проектирование схемы именования объектов (Bulat)

Bulat — Thu, 24 Nov 2011 10:07:11 +0000

В продолжение темы рекомендую к прочтению книгу «Windows Administration. Productivity Solutions for IT Professionals. Resource Kit».
В переводе называется «Эффективное администрирование. Ресурсы Windows Server 2008, Windows Vista, Windows XP, Windows Server 2003 (+ CD-ROM)» — доступна к примеру тут:
http://www.ozon.ru/context/detail/id/4307204/.
—
В книге есть глава посвящённая «лучшим практикам» по именованию групп с подробными разъяснениями и примерами.

Комментарий к записи Windows Deployment Services (Argon)

Argon — Wed, 23 Nov 2011 16:44:06 +0000

Поможет вот эта статья: Add a Device Driver to an Offline Windows PE Image. Для добавления драйверов развертываемый образ, можно использовать как онлайн добавление драйверов (из самой операционки), так и оффлайн, прямо в образ: Add and Remove Drivers Offline.

Комментарий к записи Windows Deployment Services (Fanta)

Fanta — Wed, 23 Nov 2011 07:01:33 +0000

подскажите как добавить дрова на сетевушку в Setup Boot Image??? Есть ряд ПК (новые причем) для которых вин7 не содержит в себе дрова на сеть.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Eugene)

Eugene — Mon, 14 Nov 2011 13:58:10 +0000

Большое спасибо за развернутый ответ

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Mon, 14 Nov 2011 08:47:13 +0000

Может правильным было настроить сервер времени на хостовой машине и всех синхронизировать уже с ней(кстати у меня она не в домене)?

Годный вариант, но синхронизировать с ней только PDC, ни к чему корячить топологию синхронизации в AD. Это можно обозвать как назначение внутренней машины в качестве внутреннего источника времени. Сомнения по поводу убегания времени на виртуальной машине в случае отсутствия доступа к инету оправданы.

И еще вопрос, как распространить настройки синхронизации времени на машины домена?

Ничего не надо настраивать, все само будет, в пределах леса AD. Если хочешь корячить топологию, то unmanaged групповыми политиками (напрямую в реестр).

Машины в домене по-умолчанию синхронизируют время с ближайшим по топологии DC или это настраивается списком внешних источников для синхронизации?

Ближайшим в терминах сайтовой топологии, если не изменять настройки. Второй вариант — руками список источников вбить.

Как работает список внешних источников для синхронизации: синхронизация происходит спервым по списку, если не доступен то со следуюцим и т.д.; со всеми сразу; случайно с одним из списка?

В документах это не описано, но по опыту — по порядку. Также у каждого источника есть так называемый Stratum, чем он ниже, тем больше доверие к источнику. Текущий источник и его параметры можно посмотреть командой w32tm /monitor

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Eugene)

Eugene — Mon, 14 Nov 2011 04:49:07 +0000

Еще пару вопросов. Машины в домене по-умолчанию синхронизируют время с ближайшим по топологии DC или это настраивается списком внешних источников для синхронизации? Как работает список внешних источников для синхронизации: синхронизация происходит спервым по списку, если не доступен то со следуюцим и т.д.; со всеми сразу; случайно с одним из списка?

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Eugene)

Eugene — Mon, 14 Nov 2011 04:35:08 +0000

Argon, спасибо за статью, как раз то что нужно.
Настраиваю синхронизацию в своей сети, PDC находится на виртуальной машине и вот задумался, а что будет если после выключения и через некоторое время включения PDC будет отсутствовать интернет? Сервер не сможет синхронизировать время да еще и распространит неверные данные на остальных членов домена. Может правильным было настроить сервер времени на хостовой машине и всех синхронизировать уже с ней(кстати у меня она не в домене)? Или может подскажете другое решение. И еще вопрос, как распространить настройки синхронизации времени на машины домена?

Комментарий к записи Как установить SQL Server на Read Only Domain Controller (Argon)

Argon — Sat, 05 Nov 2011 08:20:24 +0000

Я описал, как исправить конкретную ошибку. Ставить следующую версию SQL не всегда нужно/хочется/поддерживается. И, тем более, на выделенную машину ;)

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Mon, 31 Oct 2011 14:14:50 +0000

Параметры реестра годятся и для WS2003. w32tm — да, работает иначе. Для WS2003 могу рекомендовать использовать net time.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Nicass)

Nicass — Mon, 31 Oct 2011 10:47:26 +0000

Бесполезная, Win2003 не работает

Комментарий к записи Как установить SQL Server на Read Only Domain Controller (Max)

Max — Fri, 28 Oct 2011 18:22:31 +0000

А почему не использовать MS SQL Server ExpressEdition 2008 R2 на этой или выделенной машине?

Кстати на него можно водрузить WSUS.

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Thu, 27 Oct 2011 17:20:52 +0000

Отлично, что все разрешилось! И мне польза будет, теперь точно буду знать о вреде IP-адресов в CRL, а не гадать.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Wed, 26 Oct 2011 06:42:17 +0000

Мда…а ведь ты оказался прав, причиной всей нашей полемики было не что иное, как использование в адресес списка отзыва IP. Ну не понимает этого тупая система проверки, хотя из браузера все нормально открывается, и все изначально было настроено вполне корректно. Совсем не понятны такие жесткие требования, ведь по IP гораздо проще проверить список отзыва, не привлекая к этому процессу разрешение имен. Ну да ладно, придется принять это как данность, от которой никуда не денешься, просто нужно взять на заметку.
Спасибо за помощь!!!

Комментарий к записи Настройка синхронизации времени в домене Active Directory (MatZO)

MatZO — Tue, 25 Oct 2011 13:33:07 +0000

Спасибо за помощь, очень толково описано

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Tue, 25 Oct 2011 07:36:17 +0000

1) попробую, конечно, но меня в IP-адресе, честно говоря, вообще ничего не смущает, по большому счету, должно работать еще лучше, чем по DNS :)
2) никаких прокси, все напрямую!
3) ну, собственно говоря, все действительно построено на 2008R2, но зачем абсолютно внешнему клиенту с улицы нужна публикация CRL/AIA в AD, если он все равно проверку должен осуществлять по http ?

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Mon, 24 Oct 2011 20:26:52 +0000

1. Меня смущает то, что в CRL/AIA сертификата на TS идет указание IP-адреса. Ни разу так не делал. Настоятельно рекомендую публиковать CRL/AIA по DNS-имени.

2. Также, проверить, что обращение к этому IP/DNS не идёт через прокси-сервер.

3. Если ЦС у тебя на винде, интегрированный с AD, то его нужно настроить на публикацию CRL/AIA в AD. Обычно так настроено по умолчанию.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Mon, 24 Oct 2011 18:27:48 +0000

отправил ссылку на архив с сертификатами в форму обратной связи

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Fri, 21 Oct 2011 13:02:56 +0000

«Все-таки показать мне живые сертификаты.»
Рутовый и RDP-шный?

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Fri, 21 Oct 2011 11:33:13 +0000

Что тут могу еще осоветовать…
1. Почистить хранилища компа/юзера от дублей сертификатов, который могут находится в разных категориях
2. Поставить радом второй Ent CA, можно подчиненный. И посмотреть, что будет.
3. Все-таки показать мне живые сертификаты.

Ну и лихи е пути…
4. Отключить в GPO проверку CRL для RDP
5. Через GPO установить на клиентские компы самоподписанные сертификаты TS в качестве доверенных.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Fri, 21 Oct 2011 07:03:07 +0000

«А если нажать на «просмотреть сертификат» в окне с предупреждением, выдает все тот же серт?»
Так он там же на картинке справа и показан.
«Сохранить на комп и проверить на валидность с помощью certutil.»
Сертификат валиден.
«Сохранить на комп и импортировать в хранилище «доверенные ЦC» компа, just for fun»
Ну и живет он там себе преспокойненько…
Вобщем ничего нового.

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Thu, 20 Oct 2011 22:54:06 +0000

Посмотрел. А если нажать на «просмотреть сертификат» в окне с предупреждением, выдает все тот же серт? Если его…

1. Сохранить на комп и проверить на валидность с помощью certutil.
2. Сохранить на комп и импортировать в хранилище «доверенные ЦC» компа, just for fun

Если в результате этих действий ничего нового не обнаружится, то присылай полные сертификаты, без приватных ключей, ессно.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Thu, 20 Oct 2011 20:48:16 +0000

отправил ссылку на архив со скринами в форму обратной связи

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Thu, 20 Oct 2011 19:11:20 +0000

Теперь по делу, можно выложить скрины свойств сертификатов, либо сами сертификаты. Если беспокоишься о конфиденциальности, то можно ссылки скинуть мне в форму обратной связи.

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Thu, 20 Oct 2011 19:06:44 +0000

XP действительно не проверяет CRL при подключении по RDP.
Скриншоты можно выложить на каком-нибудь image-хостинге типа imageshack.us, а сюда копипастить ссылки.
По поводу интересности статьи и количества комментов -- не самый весомый показатель. Лично я читаю море интересный статей, но комменты оставляю дай бог к одной из 300.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Thu, 20 Oct 2011 18:49:39 +0000

Статья написана больше года назад, если бы она была кому-то интересна, ее бы давно обсуждали, но это никому не интересно, кроме меня, потому что у меня реальная необходимость, а здесь я не могу даже скриншоты выложить…если это возможно, хотелось бы оперативного общения, иначе мы эту кашу будем жевать еще год…
Удалось проверить только с двух разных машин, на вин7 вываливается с ошибкой, на ХР работает без ошибок, доверие на уровне компьютера и там, и там.
Какие конфиги я должен сравнить? Может, ХР вовсе и не проверяет отзыв сертификатов?

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Thu, 20 Oct 2011 15:27:10 +0000

Конечно можем, но я считаю, что публичное обсуждение может быть полезно и другим читателям.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Thu, 20 Oct 2011 09:04:46 +0000

мы можем общаться по почте, а не на страницах сайта? в строке e-mail я всегда публикую свой адрес…

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Thu, 20 Oct 2011 08:09:20 +0000

Даж теряюсь, что еще предложить. Начнем с простого.

1. Проверить, что сертификат на терминале действительно доверен клиентским компьютеором, вся цепочка от сертификата до Root CA. Причем доверие должно быть не на уровне хранилища пользователя, а на уровне компьютера.

2. Если есть машины, при доступе с которых не возникает этой проблемы, то сравнить конфиги с больными.

3. Если еще не стоит, попробовать развернуть Online Responder. Правда при этом нужно сертификаты перевыпускать, чтоб они содержали инфу о нём.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Thu, 20 Oct 2011 07:52:19 +0000

requestFiltering allowDoubleEscaping=»true»

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Thu, 20 Oct 2011 07:51:49 +0000

все именно так и есть

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Wed, 19 Oct 2011 21:11:13 +0000

А это смотрел? Раньше на эту инструкцию технет ссылался в шагах по установке ЦА, сейчас пришлось отдельно поискать.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Wed, 19 Oct 2011 18:38:02 +0000

C:\Users\administrator>certutil -url c:\ts.cer
CertUtil: -URL — команда успешно выполнена.

Проверено базовый CRL бла-бла-бла

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Wed, 19 Oct 2011 07:25:56 +0000

Один раз попробовать проверить принудительно в контролируемой среде, чтобы найти и устранить причину. Про всех юзеров я и не говорил ;)

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Wed, 19 Oct 2011 06:44:16 +0000

Попробую, конечно, но проделать данную операцию на 150 пользователях нереально, хотелось бы, чтобы эти вещи отрабатывали автоматически, тем более, что для этого вроде все настроено, нужно разобраться в причинах, почему именно не отрабатывает проверка отзыва, а принудительно — это уже крайний случай…

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Tue, 18 Oct 2011 19:46:58 +0000

1. Зайди на комп, при подключении к которому есть проблемы, в оснастке сертификатов компьютера экспортируй сертификат, используемый для RDP в файл (без закррытого ключа). 2. Скинь этот сертификат на комп, при подключении с которого выдается ошибка проверки сертификатов. Выполни certutil -url name.cer Должна пройти проверка отзыва сертификата, либо по CRL, либо по OCSP.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Tue, 18 Oct 2011 12:49:19 +0000

«Например соединение с удаленным рабочим столом отклоняется, выдавая ошибку:
Не удалось проверить, не был ли отозван этот сертификат.»

Игорь, добрый день!
Получаю именно такую ошибку, хотя, как мне кажется, настроил все верно, не могли бы помочь разобраться в данной проблеме?
Могу прислать скриншот, где четко видно, как все настроено, но не знаю, куда именно надо слать.
Заранее признателен за содействие.

Комментарий к записи Открытие MCP-клуба в Кирове (lizametrika)

lizametrika — Sat, 15 Oct 2011 05:40:13 +0000

Хороший сайт, отличный материал. Обновляйте почаще.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Александр)

Александр — Thu, 22 Sep 2011 07:38:23 +0000

Спасибо за толковую статью.

Комментарий к записи О пустых корневых доменах в Active Directory (gex)

gex — Wed, 07 Sep 2011 12:17:22 +0000

ответил

Комментарий к записи О пустых корневых доменах в Active Directory (Argon)

Argon — Wed, 07 Sep 2011 09:59:44 +0000

Спасибо за ссылку! Очень интересно. Там отписал своё мнение об извращениях над RODC.

Комментарий к записи О пустых корневых доменах в Active Directory (gex)

gex — Wed, 07 Sep 2011 06:21:47 +0000

>>>Да кому такая схема нужна будет, после таких-то надругательств ;)
ну просто никто и не заметит особо, что там классы и атрибуты новые появились. Чтобы заметить нужно реализовать использование на уровне приложения. Но тут можно и все-таки на проблему наткнуться, которая также решается. Если подытожить свою мысль, то я хотел сказать, что необходимо в комплексе смотреть безопасность и что компрометация контроллера со схемой мастера имеет не большую опасность чем компрометация любого контроллера.

по поводу RODC. Я тут статейку писал, как можно получить полномочия используя RODC:
http://gexeg.blogspot.com/2009/12/active-directory.html

Комментарий к записи О пустых корневых доменах в Active Directory (Argon)

Argon — Tue, 06 Sep 2011 21:08:43 +0000

Вот что нашел

A malicious user who compromises an RODC can attempt to configure it in such a way that it tries to replicate attributes that are defined in the RODC filtered attribute set. If the RODC tries to replicate those attributes from a domain controller that is running Windows Server 2008, the replication request is denied. However, if the RODC tries to replicate those attributes from a domain controller that is running Windows Server 2003, the replication request can succeed. Therefore, as a security precaution, ensure that forest functional level is Windows Server 2008 if you plan to configure the RODC filtered attribute set. When the forest functional level is Windows Server 2008, an RODC that is compromised cannot be exploited in this manner because domain controllers that are running Windows Server 2003 are not allowed in the forest.

Комментарий к записи О пустых корневых доменах в Active Directory (Argon)

Argon — Tue, 06 Sep 2011 21:02:14 +0000

gex, спасибо за комменты!

Во многом согласен, особенно с развеянием мифов по поводу «безопасности» мастера схемы в корневом домене.

А вот с инфой о практической реализации возможности наделать гадостей, имея прямой доступ только к RODC, пока не сталкивался.

Если сцылок накидаешь, буду рад :)

вот возьмите учетку со schema admin и попробуйте нарушить работу службы каталогов.. :) создали много классов? атрибутов? что еще можете сделать?

Да кому такая схема нужна будет, после таких-то надругательств ;)

Комментарий к записи О пустых корневых доменах в Active Directory (gex)

gex — Tue, 06 Sep 2011 18:31:15 +0000

еще в догонку по схеме.. и по мастеру:
корневым доменом его не скроешь и не спрячешь, а тем более не защитишь…
Очень легко посмотреть где мастер схемы. Это раз.
Очень легко форсануть схема мастера куда угодно, имея физический доступ к любому RwDC, а иногда и RoDC. И тогда делай все что хочешь. Это два. Но опять же, «все что хочешь» — это слишком громко сказано, поскольку DSA на схему накладывает очень большие ограничения на расширение. Ключевое слово расширение. Начиная с 2003 ограничений только прибавилось.

Комментарий к записи О пустых корневых доменах в Active Directory (gex)

gex — Tue, 06 Sep 2011 17:10:24 +0000

>>>контроллеры домена только для чтения позволяют больше особо не беспокоиться за их безопасность при размещении в подозрительных местах: даже прямой физический доступ к такому контроллеру не угрожает безопасности административных учетных записей
это не совсем так. физический доступ к такому контроллеру всеже при неправильной политике администрирования может привести к плохим последствиям.. все таки он только на уровне DSA read-only.. а так изменяй — нехочу..

>>>Если иерархия доменов в пределах одного леса строиться именно по перечисленным выше причинам, то вполне разумно в качестве корня иерархии использовать «пустой» домен, который не будет выполнять никаких ответственных функций, кроме как логического корня и высшей точки назначения привилегий.
ну какбы иерархия доменов в назначении привилегий не играет…

вообще можно добавить еще один миф: доступ к схеме-мастеру не приводит к компрометации :) вот возьмите учетку со schema admin и попробуйте нарушить работу службы каталогов.. :) создали много классов? атрибутов? что еще можете сделать? модифицировать системную часть схемы можете?

Комментарий к записи О пустых корневых доменах в Active Directory (Argon)

Argon — Tue, 06 Sep 2011 07:50:54 +0000

Верно. Я даж где-то читал, что рекомендуют корневой домен со схема-мастером именно таким образом «прятать» от посторонних глаз.

Однако, для варианта Forest Trust этот дополнительный уровень все равно удлинняет цепочку аутентификации (Kerberos, NTLM).

Комментарий к записи О пустых корневых доменах в Active Directory (Stanislav Buldakov)

Stanislav Buldakov — Tue, 06 Sep 2011 06:22:43 +0000

«Общая логическая иерархия AD увеличивается дополнительным уровнем, удлиняя имя домена, цепочку разрешения имён и аутентификации при работе с доверительными отношениями с другими лесами.» — не всегда так. Ничто не мешает в рамках одного леса создать корневой домен root.local и «дочерние» домены domain1.local, domain2.local итд. Настройки доверия между лесами при этом могут немного усложниться (за счёт дополнительных dns-форвардеров), зато имена станут короче =)

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (Argon)

Argon — Mon, 05 Sep 2011 20:33:20 +0000

Нужно убедиться, что предыдущие шаги были выполнены успешно ;)

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (HarpyWar)

HarpyWar — Mon, 05 Sep 2011 18:30:49 +0000

Что делать, если пишет нет разрешения?

C:\Program Files\Microsoft SQL Server\100\Tools\Binn>sqlcmd -E
1> EXEC sp_addsrvrolemember ‘WIN-58VES4PDRM8\Администратор’, ‘sysadmin’
2> GO
Сообщение 15247, уровень 16, состояние 1, сервер WIN-58VES4PDRM8\SQLEXPRESS, про
цедура sp_addsrvrolemember, строка 29
У пользователя нет разрешений на выполнение данного действия.

Комментарий к записи Интеграция Lync Server 2010 и Asterisk 1.8 (Argon)

Argon — Sun, 04 Sep 2011 13:17:57 +0000

Дмитрий, я бы в первую очередь смотрел журналы SIP на стороне Lync и Asterisk. Недавно один из коллег, с которым я на форумах общался, запостил еще одни волкграунд. Возможно, пригодиться.

Комментарий к записи Интеграция Lync Server 2010 и Asterisk 1.8 (Дмитрий)

Дмитрий — Thu, 01 Sep 2011 12:08:38 +0000

не работает Lync по этому руководству. звонки только в одну сторону на Lync абонентов, обратно же, ничего не происходит. бьюсь уже неделю,понять не могу где косяк.
.Lync 2010 , asterisk 1.8.5

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Argon)

Argon — Wed, 31 Aug 2011 06:58:34 +0000

Сколько не пытался, и базу напрямую правил, и атрибуты юзеров мучал — не получилось. В Response Group работают только пользователи Lync Client. А вот наоборот PBX > Ex UM > Lync RG — работать будет.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Bulat)

Bulat — Wed, 31 Aug 2011 05:42:11 +0000

P.S. Спасибо за интересную статью.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Bulat)

Bulat — Wed, 31 Aug 2011 05:41:21 +0000

>>> «я обнаружил еще одну пренеприятнейшую особенность: в группу дозвона (Hunt Group в терминах телефонии, Response Group в терминах Lync) можно добавлять только стандартных пользователей Lync Server.»

———
А «AutoAttendant(Exchange2010)» для Lync Server также является нестандартным пользователем?

Попытался указать в Responce Group телефон AutoAttendant на Exchange — безуспешно.
Пробовал различные способы: 1) в настройках группы («Lync Control Panel» -> «Responce Group» -> «Group») в параметре «Use an existing email distribution list» — указал адрес «distribution list», членом в которой является mail-enabled контакт «AutoAttendant», 2) в очереди «queue» в параметре «enable queue time-out» пытался указать в «Call Action» -> «Forward to sip address» указать адрес «AutoAttendant»).
—
В итоге сценарий:
Ext/int call -> Lync Server Responce Group -> Autoattendant Exchange
реализуем в принципе?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 16 Aug 2011 20:28:35 +0000

Test, прости что поздно отвечаю, упустил твой коммент.

Логин/пароль, видимо, сохранён в Win Secure Store, посмотреть его можно из панели управления, либо командой:
cmdkey /list

Комментарий к записи Проектирование схемы именования объектов (Argon)

Argon — Mon, 15 Aug 2011 11:31:14 +0000

Спасибо! Как я раньше это не находил, удивляюсь…

Годная статья, добавлю в ссылки.

Слуш, а у тебя инфайта на хабру не найдётся?

Комментарий к записи Проектирование схемы именования объектов (lujana)

lujana — Mon, 15 Aug 2011 08:02:44 +0000

Есть еще одна замечательная статья по этому поводу.

http://habrahabr.ru/blogs/it-infrastructure/93423/

Комментарий к записи Windows Server 2008 R2: Server Core and Hyper-V Server (Aleksa106)

Aleksa106 — Wed, 10 Aug 2011 13:29:38 +0000

Спасибо за NVSPBind…выручило.

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (Олег)

Олег — Tue, 05 Jul 2011 15:15:44 +0000

1000 благодарностей думал кирдык, аж вспотел! молодца! огромное спасибо еще раз

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Test)

Test — Fri, 01 Jul 2011 13:40:17 +0000

Компьютер не в домене, снаружи через Линк клиента захожу под любым SIP аккаунтом без авторизации(например, user@test.domain), хотя внутри сети просит авторизацию.
Схема следующая:
1. FE, Mediation server(роли совмещенные на одном сервере)
2. Edge (без нат, с одним IP в наружу, и одним в локалку).

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Thu, 30 Jun 2011 13:44:29 +0000

Предполагаю 2 варианта:

1. Пароль сохранен.
2. Юзеры каким-то образом авторизованы в домене.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Test)

Test — Thu, 30 Jun 2011 12:58:27 +0000

Поставил edge все работае нормально, вот только клиенты снаружи заходят без авторизации, в чем может быть глюк?

Комментарий к записи Проектирование схемы именования объектов (Argon)

Argon — Mon, 27 Jun 2011 14:06:53 +0000

Stanislav Buldakov, спасибо, подумаю, что прикрутить к блогу для оповещений.

Комментарий к записи Проектирование схемы именования объектов (Stanislav Buldakov)

Stanislav Buldakov — Mon, 27 Jun 2011 12:40:26 +0000

2Argon

Систему транслитерации выбирают топ-менеджеры. Простому пользователю с этим спорить смысла нет, в такой ситуации. Если системы не будет, то очень быстро всё в зоопарк превращается. =)

поставь чтоли отслеживатель ответов в бложик. а то в рсс пихать это некомильфо.

Комментарий к записи Проектирование схемы именования объектов (Андрей)

Андрей — Tue, 21 Jun 2011 09:20:38 +0000

Отличный материал! Давно искал нечто подобное.
Благодарю!

Комментарий к записи Проектирование схемы именования объектов (Freejack)

Freejack — Sun, 19 Jun 2011 18:38:43 +0000

Чорт… Теперь я понял почему «полено» мне так странно назвали:)))

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Fri, 17 Jun 2011 07:56:13 +0000

странное дело было вчера.
вывел тестовый комп из группы установки FCS, развернул с nomom, также все осталось.
утром сегодня как и все подхватил новые обновления. что случилось с wsus как понимаю за эти три дня, что такое произошло, именно с обновлениями для антивирусов. буду надеятся, что такое не произойдет более.

Комментарий к записи Forefront Client Security (Argon)

Argon — Thu, 16 Jun 2011 09:14:40 +0000

клиент совсем старый, и база соответсвенно не обновлена

Если на всусе с аппрувами все в порядке, то клиент и базы, сам понимаешь, должны обновлятся.

в adm.console комп появился нормально

То, что клиент появился в консоли, говорит о том, что связь с МОМом имеется, аутентификация проходит.

А с другими клиентами какая-то беда. Может, базы мом-а попробовать из бекапа откатить?

Либо удалить из мома остальные компы, чтобы они перерегистрировались? Тренироваться, конечно, сперва сделав бэкап.

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Thu, 16 Jun 2011 08:57:32 +0000

на тестовой машине поудалял сначала mom, — все также.
после — удалил сам клиент и mom полностью, с сервера удалил все записи об этой машине в Mom 2005 adm.console с wsus пошла установка клиента и агента. но теперь клиент совсем старый, и база соответсвенно не обновлена…
в adm.console комп появился нормально.

Комментарий к записи Forefront Client Security (Argon)

Argon — Thu, 16 Jun 2011 07:55:03 +0000

От клиентов знаем, что серер отклоняет запрос (но сервер они таки находят, значит в политики применяются). Теперь можно копать на сервере, почему он запросы отвергает… Логи смотреть, возможно, аудит безопасности включить.

Как вариант, попробовать накатить новый агент на чистую машину, или переустановить на старой. Посмотреть, как оно себя поведёт.

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Thu, 16 Jun 2011 07:10:17 +0000

Наблюдаю дальше на клиентах присуствует:
The agent could not connect to the MOM Server srv-1. The error reported is ‘Подключение не установлено, т.к. конечный компьютер отверг запрос на подключение.’. Verify the management group name is correct, the MOM Server is running, that it is listening on port 1270, and that any firewalls between this agent and the MOM server are configured to pass TCP and UDP traffic on port 1270.

srv-1 — сервер.

Комментарий к записи Forefront Client Security (Argon)

Argon — Thu, 16 Jun 2011 06:57:05 +0000

Влиять, конечно, может, ведь из репортинга эти данные о клиентах извлекаются. Нужно убедиться, что места достаточно на диске, так и база не заблокирована от дальнейшего роста и записи.

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Thu, 16 Jun 2011 06:26:02 +0000

да все это я сразу проверил, изменений нет.
единственно, чо смущает в евенте вылезло, мол в базе SQL (SystemCenterReporting)не хватало места для какой-то процедуры. увеличил место.
перегрузился, вышло единственное с ошибкой:
The Agent incoming queue data submission has been blocked. This may indicate that queue does not have sufficient space or is unavailable to accept data.
Management Group: ForefrontClientSecurity

может все это влиять? тогда что предпринять дальше дальше

Комментарий к записи Forefront Client Security (Argon)

Argon — Thu, 16 Jun 2011 05:14:18 +0000

Я бь в первую очередь убедился в следующем: нашел во всусе это обновление поиском, затем убедился, что оно одобрено и закачено. Также, проверил бы автоодобрения.

Затем запустил ручной поиск обновлений Windows на клиентах, если не найдёт, то курить взаимодействие клиентов и всус.

Также, может пока рано драматизировать, база мома обновляется ммееедленно.

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Thu, 16 Jun 2011 04:46:48 +0000

Приветствую!
Такая ерундень случилась в технете писал но пока тихо:
суть такова, обнаружил что на сегодня последние обновления для клиентов FCS в сети от

13.06.11

Client Version: 1.5.1996.0
Engine Version: 1.1.6903.0
Antivirus definition: 1.105.1849.0
Antispyware definition: 1.105.1849.0

Машины с MOM, сервер FCS работает, в логах вроде подозрительного нет, политику раздает на OU (сейчас еще раз переназначил для подстраховки).

На сервере WSUS и вручную синхронизацию делал и так по плану тоже идут обновления (другие не касаемый антивируса), и в состоянии компьютеров пишет, что требуется установить для указанных компьтютеров: Обновление определения для Microsoft Forefront Client Security – БЗ977939 (Определение 1.105.2020.0)

выбираю в антивирусе обновиться, пишет, мол нету доступных.

Комментарий к записи Проектирование схемы именования объектов (Argon)

Argon — Wed, 15 Jun 2011 11:17:46 +0000

Эх, вроде бы дописал… Коллеги, спасибо за комменты!

Стас [Комментарий от 2011-06-14, 19:11],
Последняя схема формирования логина, в котором гибко выбираются части имени и фамилии, позволяет избежать коллизий лучше всех.

Например, имеем трёх юзеров с именем Федор Бондарчук. Первого называем fbond, второго febo, третьего fedorb. И так далее, вариантов масса.

Vitaly [Комментарий от 2011-06-14, 21:14],
Верное уточнение!

Stanislav Buldakov [Комментарий от 2011-06-15, 11:27],
Спасибо за ссылку. Только дописал свою часть про OU, иду по ссылке, и вижу что мысли во многом сходятся ;)

Насчет транслитирации по гостам — я, например, не согласен с транслитерацией своей фамилию по стандарту, применяемому в ФМС. Отдельное заявление писал, чтобы мою фамилию транслитерировали как мне нужно. И думаю, что не один такой. Если юзеру пофиг — то есть смысл транслитерировать по стандарту. Если не пофиг, то почему бы не прислушаться к его мнению.

Комментарий к записи Проектирование схемы именования объектов (Stanislav Buldakov)

Stanislav Buldakov — Wed, 15 Jun 2011 08:27:23 +0000

относительно планирования именования и структуры организационных единиц была статейка http://blogs.technet.com/b/vladygin/archive/2009/10/20/ad-c-ou.aspx

относительно транслитерации — выбирается любая система транслитерации (типа той, что используется в ФМС при транслитерации имени-фамилии получателя загранпаспорта). в результате все неоднозначности транслитерации снимаются.

годная статья =)

Комментарий к записи Проектирование схемы именования объектов (Vitaly)

Vitaly — Tue, 14 Jun 2011 18:14:38 +0000

По поводу русских логинов.
Согласен, зло. Однако хотел бы уточнить — с кириллическими именами плохо работает не RDS как таковой а NPS. Ну как это лечится ты знаешь :).
Какой еще был замечен в практике косяк с русскими логинами: при авторизации линковского телефона по учетке типа MyDomain\Маша телефон логиниться отказывался.

И еще по поводу логинов типа i.rom. Точки тоже зло. чуть меньшее чем русские логины но зло. Для меня. Бесит…

Комментарий к записи Проектирование схемы именования объектов (Стас)

Стас — Tue, 14 Jun 2011 16:11:02 +0000

хорошая статья,

раньше тоже использовал шаблон
Бондарчук Фёдор Сергеевич = fbond

но чем больше пользователей, тем больше колизий с совпадением логинов,

сейчас использую Бондарчук Фёдор Сергеевич = fsbond (по одной букве из имени, отчества + часть фамилии)

но даже в этом случае бывают совпадения,
есть люди ФИО которых полностью сопдает (хотя не родственники, и живут в разных городах)

как быть в этом случае, посоветуй…

Комментарий к записи Forefront Endpoint Protection 2010 (Argon)

Argon — Mon, 30 May 2011 08:39:04 +0000

Клиенты будут получать обновления с того WSUS, который прописан в GP (то есть стандартный механизм Windows Update). Однако, прежде чем получать обновления, сам FEP должен быть установлен средствами клиента SCCM. Также клиенты FEP можно настрить так, чтобы обновления они брали из интернетов, но для локалки это не оправдано.

Кстати, удаленный WSUS можно задействовать как Site System для SCCM. Сам SCCM установки полного всуса, насколько помню не требует, а только его консоли, которая обеспечивает работу API WSUS.

Комментарий к записи Forefront Endpoint Protection 2010 (mesmer)

mesmer — Mon, 30 May 2011 08:08:42 +0000

ладно, попробую разобраться.
а что если стоит уже существующий сервер WSUS, ну и на нем вроде как указал получать обновления FEP 2010, но так и не понял, как же клиенты будут обновляться:
- пытаться будут взять обновления с WSUS Service на сервере с SCCM (ибо требовал установку под себя как роль)
- или все же коли в ГП указан сервер WSUS (откуда уже берут обновления все машины сети), то с него и будут.

Комментарий к записи Forefront Endpoint Protection 2010 (Argon)

Argon — Mon, 30 May 2011 05:49:41 +0000

Привет! Клиент Config Manager может быть установлен многими способами: через WSUS, через Push, через GPO, руками.

После того, как клиент CM стоит, создаем коллекцию, назначаем на нее адвертайзинг FEP, включаем в коллекцию компьютеры (явным перечислением, либо по каким-то правилам)

Комментарий к записи Forefront Endpoint Protection 2010 (mesmer)

mesmer — Mon, 30 May 2011 01:12:50 +0000

Приветствую!
Подскажите, как мне все же провести установку на определенные машины этого антивируса.
Создал коллекцию, там указал установку Deploing FEP 1.0
а как указать на какие машины в сети?

Как понимаю нужно, чтобы клиент SCCM установился. Но так и не понял, где именно и каким образом установить на определенные машины.

Комментарий к записи Голосовые меню в Lync Server 2010 (Argon)

Argon — Tue, 24 May 2011 13:50:41 +0000

Спасибо, исправил «нет в принципе» на «без использования сторонних решений».

Комментарий к записи Голосовые меню в Lync Server 2010 (Тимур)

Тимур — Tue, 24 May 2011 13:45:40 +0000

Насчет отсутствия поддержки DTMF в Lync — это вы погоряились. В UCMA, например, обработка DTMF поддерживается http://channel9.msdn.com/Series/Unified-Communications-14-Labs/Session-7-Part-3-UCMA-30-Workflow-SDK-Speech-and-DTMF-Grammars

Комментарий к записи Настройка синхронизации времени в домене Active Directory (AlexZol)

AlexZol — Thu, 19 May 2011 10:15:52 +0000

Спасибо за статью.

to oriang: была похожая ошибка был виноват Файервол.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Argon)

Argon — Sat, 14 May 2011 15:15:27 +0000

Попытался разобраться.

1. У меня голый Aстериск, а «Intra Company Route» — это настройка FreePBX, и как она транслируется в конфигурацию Asterisk, я пока не нашел.

2. CID в мой конфигурации итак всегда передается. Конфуз в том, что если я звоню от известного Линку CID-a (который прописан как AnalogDevice) то звонки идут по маршруту, если от звоню как кто-то внешний, то нифига.

Комментарий к записи Душевные терзания (Argon)

Argon — Fri, 13 May 2011 06:00:03 +0000

1. Спасибо за совет. Как нить доберусь до оптимизации, но пока меня все устраивает. Максимализм прошел, аогда пилил разметку этого блога, больше ориентировался на удобную логичискую разметку блоками, чем выжать минимум использоварния тегов и параметров.

2. У меня наоборот, с MS большая дружба, а с Аваей как-то не доводилось сталкиваться.

Комментарий к записи Душевные терзания (Аня)

Аня — Thu, 12 May 2011 14:33:15 +0000

1. html код комментариев можно еще оптимизировать используя dt и dl (можно у меня посмотреть). Код списков тоже можно оптимизировать.
2. Пытаюсь соединить Avaya и Lync Server. Если бы ещё и Микрософт знать… но всё знать невозможно.

Комментарий к записи Forefront Endpoint Protection 2010 (Argon)

Argon — Thu, 12 May 2011 07:05:35 +0000

Ключевые слова здесь: «client installation packages». Их и надо раз-апровить. А «definition updates», как авто-апровились, так и будет продолжать это делать.

Комментарий к записи Forefront Endpoint Protection 2010 (Константин)

Константин — Wed, 11 May 2011 14:40:56 +0000

В инструкции говорится «unapprove all of the FCS client installation packages» (пункт 2). Обязательно ли это делать? Ведь в после этого на компьютеры под управлением FCS перестанут поступать актуальные обновления определений, а в случае, если процесс перехода будет продолжительным (много компьютеров в организации), то получится ситуация, что на компьютерах со старой версией антивируса (где его еще не успели обновить) база не обновляется, что в конечном итоге не очень хорошо.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Argon)

Argon — Tue, 10 May 2011 13:26:21 +0000

Спасибо, Сергей, стоит проверить.

Комментарий к записи О быстроте Internet Explorer 9 (Argon)

Argon — Tue, 10 May 2011 13:25:50 +0000

Видяхя у меня не экзотическая, обычный GeForce 8 серии. Пробовал дрова обновлять, но без положительного результата.

С другой стороны, в терминале мы, как правило, звук не воспроизводим, а тормоза изображения воспринимаем теприливо. Поэтому описанное мной поведение может остатья незамеченным.

Комментарий к записи О быстроте Internet Explorer 9 (Alexiz)

Alexiz — Tue, 03 May 2011 08:04:25 +0000

А ничего такого на терминальных серверах (правда только Win2k3 и Win2k8) не наблюдается при работе в осле 9.
Так что видимо конкретно в Вашем случае что-то мешает нормальной работе — дровишки видяхины, например, али чего ещё

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Сергей)

Сергей — Thu, 28 Apr 2011 11:36:54 +0000

Для прохождения звонков по маршруту Asterisk → Lync → Audiocodes можно в маршруте на Asterisk поставить галочку «Intra Company Route», тогда CID будет передаваться аудиокодесу. Как минимум это работает, когда внутренний абонент астериска звонит абоненту аудиокодеса.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 26 Apr 2011 19:25:36 +0000

Я согласен, что в некоторых частных случаях все работает (использование сертификатов без SAN, без sip.домен, от не поддерживаемых ЦС).

Но всеж-таки «Certificate Requirements for External User Access» говорят вполне конкретные вещи. И если им не следовать, то велика вероятность ступить на детские грабли. То федерация не заработает, то аппаратный Lync-телефон из интернетов не залогинится.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Stanky)

Stanky — Tue, 26 Apr 2011 18:02:57 +0000

1. Использовать SAN вовсе не является требованием — можете сделать три одноимённых сертификата и каждый повесить на соответствующий сервис.

2. Для Autodiscovery и уж тем более федерации нет такого требования, чтоб имя в сертификате было вида sip.domain.ru! Использовать можно абсолютно любое! Про вариант с недоступностью SRV-записи Шура пояснил :) .

3. Сертификаты моего постовщика не входят в этот список, но проблем с ним нет, даже на мобильных устройствах! На самом деле, главное, чтоб корень был доверенным на всех устройствах, которыми вы будете пользоваться. Для поставщиков из приведённого списка это просто гарантируется.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 26 Apr 2011 15:38:23 +0000

Насчет того, что работают все роли Lync через нат TMG — я сам и убеждался, о чем писал несколько выше.

Сейчас расскажу, чем TMG разочаровал… Представим конфигурацию. 2 интернетовских сетевых интерфейса. На каждом по шлюзу. Настроен failover. Все работает. Даже «policy-based routing».

Добавляем на любой из интерфейсов второй IP-адрес. А он не работает. Выключаем failover — работает.

А это значит, что с TMG мы имеем либо failover, либо DirectAccess. Но не оба сразу. В свое время я этим был очень сильно расстроен и потянулся к железкам.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Artyom Sinitsyn)

Artyom Sinitsyn — Tue, 26 Apr 2011 13:35:48 +0000

Технически публикация Lync/OCS Edge с помощью TMG c ENAT *работает*! Другой вопрос, что такая конфигурация не поддерживается.
А можно полюбопытстовать, чем же Вас так разочаровал TMG? Может Вы «просто не умеете их готовить»? ;)

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 26 Apr 2011 11:59:30 +0000

Артём, возражений против использования TMG как фэрвола и маршрутизации трафика не имею. Вот в том-то и вопрос, если без нат, то зачем нам TMG?

Насчат эффективности работы SIP фильтра хочу проверить. Но пока нет доверия, TMG уже разочаровывал меня.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Artyom Sinitsyn)

Artyom Sinitsyn — Tue, 26 Apr 2011 09:15:24 +0000

Вот я и интересуюсь, откуда у Вас информация, что «TMG всеж-таки заточен на некритичный к задержкам трафик, типа HTTP, FTP и т. п.»?!
TMG включает в себя специализированный SIP Filter для поддержки различных сценариев VoIP (http://technet.microsoft.com/en-us/library/ee690384.aspx).

Тем более, что в официальных тестах «минимальная» конфигурация TMG, выполняющая помимо прочих ролей SIP/VoIP Protection, поддерживает 750(!) пользователей, что «немногим» больше, чем указанные 50 :)

Отмечу, что в случае с SIP/VoIP Protection TMG проводит инспекцию сетевого трафика на уровне приложений, чего в случае «публикации» Lync Edge не происходит. Так что нагрузка в последнем случае будет еще меньше, а значит исходная конфигурация сможет поддерживает еще больше пользователей.

«Ну и в довершение» TMG/ISA *поддерживаются* в роли reverse proxy И firewall для Lync/OCS! Единственное ограничение — нельзя использовать NAT для интерфейса Edge A/V Server.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Sun, 24 Apr 2011 19:04:58 +0000

Полагаю, что риалтайм трафик (звук и видео) не любит задержек, а также не требует какой-либо хитрой фильтрации и особых механизмов публикации. Поэтому при прочих равных, простая железяка справится лучше, чем TMG.

Реальных измерений не имею, но по моему опыту, TMG всеж-таки заточен на некритичный к задержкам трафик, типа HTTP, FTP и т. п.

50 активных пользователей, да еще если в конференции — разве мало?

Ну и в довершение, TMG официально поддерживается только для публикации Lync Web Services, службы Edge допускают либо прямую публикацию в инете, либо hardware load balancers.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Artyom Sinitsyn)

Artyom Sinitsyn — Sun, 24 Apr 2011 17:45:12 +0000

Argon, можно полюбопытствовать, с чего Вы взяли, что «всеж-таки не для риалтайм данных TMG предназначен» и 50 пользователей Edge — это большая нагрузка для TMG?!

Комментарий к записи О быстроте Internet Explorer 9 (Алексей)

Алексей — Tue, 12 Apr 2011 20:27:11 +0000

А теперь представь что твориться в МГ на сони вайо, так же не самом слабом, переключение между вкладками 5-7 секунд…

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Илья)

Илья — Mon, 11 Apr 2011 19:18:26 +0000

Хотя сдругой стороны все телефоны Avaya внутри организации у меня работаю по протоколу H.323 и кодеку G.729, а Lync SIP, G.711 и звонки проходят на Ура…

может дело что-то в другом…

Комментарий к записи Настройка распознавания голосовых команд в Outlook Voice Access (Илья)

Илья — Sun, 10 Apr 2011 20:30:57 +0000

Вот это не удобно. Создали бы отдельный атрибут для поиска в книге! :))) вот это было бы супер!

Комментарий к записи Настройка распознавания голосовых команд в Outlook Voice Access (Argon)

Argon — Sun, 10 Apr 2011 20:01:45 +0000

Бесполезно, он регулярно формируется на основе данных из AD.

Комментарий к записи Настройка распознавания голосовых команд в Outlook Voice Access (Илья)

Илья — Sun, 10 Apr 2011 19:50:23 +0000

Можно просто в gal.grxml DisplayName править?

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Илья)

Илья — Sun, 10 Apr 2011 19:43:43 +0000

Опа! А вот этого я незнаю, может она это или нет… Астерикс я точно ставить не буду :)))

Эхх… буду копать Avaya… Хотя признаюсь в ней(Avaya) я понимаю не много )))

Комментарий к записи Настройка распознавания голосовых команд в Outlook Voice Access (Argon)

Argon — Sun, 10 Apr 2011 19:31:29 +0000

Как записан DisplayName, так и произносим.

Комментарий к записи Настройка распознавания голосовых команд в Outlook Voice Access (Илья)

Илья — Sun, 10 Apr 2011 19:30:29 +0000

Спасибо!

Когда мы ищём в адресной книге от мы должны произносить полность ФИО или можно только фамилию?

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Argon)

Argon — Sun, 10 Apr 2011 18:57:34 +0000

Настраивать перекодировку на Авае, а если не умеет, то через Астериск. Но там тоже — бубен.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Илья)

Илья — Sun, 10 Apr 2011 18:41:07 +0000

У меня провайдер точно не перейдёт на G.711. Так как я хотел это сделать потому что в G.729 не ходит Fax…

Блин и какие у меня есть варианты?

Комментарий к записи Настройка распознавания голосовых команд в Outlook Voice Access (Argon)

Argon — Sun, 10 Apr 2011 18:29:58 +0000

1. Для каждого прописать. Хоть скриптом, хоть руками. Прописывать имеет смысл, только если произношение должно отличаться от написания основного имени.
2. На любые номера, понимаемые Линком, в соответствии с его правилами нормализации.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Argon)

Argon — Sun, 10 Apr 2011 18:26:55 +0000

Конечно, я пока к Астерискам не прикрутил перекодировку g729, а провайдер упорно не хотел работать по другим кодекам, соединения с городскими сетями не устанавливались.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Илья)

Илья — Sun, 10 Apr 2011 18:14:02 +0000

В этом может быть причина?

Комментарий к записи Настройка распознавания голосовых команд в Outlook Voice Access (Илья)

Илья — Sun, 10 Apr 2011 18:11:17 +0000

Добрый день!

1. По поводу поиска в адресной книге — А как сделать для всех пользователей атрибут PhoneticDisplayName?
2. Про третий пример — Если мы сделаем * то мы сможем на любые номера звонить из голосового меню?

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Argon)

Argon — Sun, 10 Apr 2011 17:45:38 +0000

Соответственно, Авая должна уметь перекодировать g729 в понятный Линку g711.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Илья)

Илья — Sun, 10 Apr 2011 17:34:11 +0000

в продолжении http://argon.pro/blog/2011/03/lync-edge-ssl-certificate/#comment-4837

У меня Avaya c Lync соответственно по SIP, а вот сама Avaya с внешним миром по протоколу H.323 и кодек G.729

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Sun, 10 Apr 2011 12:06:44 +0000

Я бы смотрел логи SIP с обеих сторон. Есть предположение, что может быть проблема с кодеками. То есть соединение по SIP установлено, сигнализация идет, но когда трубку поднимают, должен побежать голосовой трафик. А это по-каким то причинам не происходит. Поэтому соединение разрывается. С такими вопросами лучше писать комментарии к другим моим заметкам, типа Маршрутизация вызовов в Lync Server 2010.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Sun, 10 Apr 2011 11:28:55 +0000

После долгих мучений, у меня получилось их скрестить и плюс ко всему к этому интегрировал Exchange UM. Но пока не всё гладко:
Заметил такую вещь!

Когда звонк проходит на сотовый Lync его сбрасывает и пишет время 00:00

Такое ощущение что успешный дозвон Lync воспринимает как поднятие трубки и не видя голоса или чего там сбрасывает и говорит что вызов завершён или занято… Или лучше так: IPO говорит(возвращает) Lync что соединение установлено и Lync воспринимает это как поднятие трубки…

что-то типа того, думаю суть понятна. Где копать, на АТС или Lync?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Sat, 09 Apr 2011 21:27:42 +0000

Нет, с Аваей скрещивать еще не приходилось.

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (Владилена)

Владилена — Thu, 07 Apr 2011 08:59:58 +0000

Блин, дружище!!!!
Чтоб я без тебя делала!!!
Спасиииииииииииибо тебе огромное!!!!!

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Mon, 04 Apr 2011 07:17:39 +0000

Аргон,

не приводилось ли Вам интегрировать Lync(OCS) с Avaya IP Office 500 на прошивке 6.х???

Сейчас пытаюсь интегрировать данный продукты, но пока как-то ни как…

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Wed, 30 Mar 2011 08:31:33 +0000

Как обычно ;) TS-экзамен скучный и задротский; PRO-экзамен сложный, но интересный. Для подготовки чтения ТехНета было достаточно.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Wed, 30 Mar 2011 08:07:33 +0000

Оооо…!!! Поздравляю! :)
Сложный экзамен?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Wed, 30 Mar 2011 07:25:56 +0000

Верно, для исключения неприятностей на Edge-сервере лучше иметь 2 сетевых интерфейса, которые смотрят в не пересекающиеся сети. Один — в локалку, второй — в DMZ, в котором на NAT. В качестве DNS указывать внутренний, доменный сервер.

Я, кстати, сегодня получил подтверждения успешной сдачи экзаменов на звание «MCITP: Lync Server 2010 Administrator» ;)

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Wed, 30 Mar 2011 07:20:59 +0000

Получилось! За NAT в топологи необходимо было указать внутренний IP адрес интерфейса который смотрит в Интернет, а не публичный IP адрес. И службы все запустились!

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 29 Mar 2011 16:08:17 +0000

Должен ;)

Комментарий к записи Forefront Client Security (Argon)

Argon — Tue, 29 Mar 2011 16:07:44 +0000

Проверить работу антивируса можно тестовым вирусом EICAR.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Sat, 26 Mar 2011 12:55:25 +0000

чего-то ни чего не получилось…
телнет должен проходить на эти порты..

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Fri, 25 Mar 2011 15:35:51 +0000

У меня сделано подобным образом, на Mikrotik-е.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Fri, 25 Mar 2011 14:46:03 +0000

Сейчас решил Edge дать второй внешний интерфейс куда проброшен внешний vlan который смотрит на циску и уже на циске сделать нат TCP на порты 5061, 50444, 50443 на Edge сервер.
Посмотрим что получится…

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Fri, 25 Mar 2011 14:43:55 +0000

Торренты я закрыл через репутацию на TMG )))

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Fri, 25 Mar 2011 14:21:56 +0000

50 — это приличная нагрузка, если все через Edge будут сидеть. Если всего человек 10 из них, то да, если через TMG торренты не качают, проблем не будет.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Fri, 25 Mar 2011 14:06:47 +0000

нагрузка будет не большая. Это человек 50, ну максимум за год-два вырастет до 100-150.

Спасибо!

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Fri, 25 Mar 2011 06:40:17 +0000

Я не рекомендую публиковать Edge через TMG при больших нагрузках, всеж-таки не для риалтайм данных TMG предназначен. Рекомендую железкой разруливать, самая дешевая, но совсем не плохая -- Mikrotik. Если хочется через TMG:

Настроить в Topology Builder-е для Edge-a NAT=[публичный адрес TMG] и свободные на TMG публичные порты (например, Access=5061, A/V=50443, WebConf=50444)
Опубликовать эти порты на TMG правилом публикации произвольного TCP-протокола

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Thu, 24 Mar 2011 23:09:42 +0000

Lync Web App — заработало
У меня ещё вопрос:
Как мне опубликовать EDGE через TMG? Или это не получиться?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Wed, 23 Mar 2011 09:26:44 +0000

Рад помочь!

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Wed, 23 Mar 2011 09:24:14 +0000

И ещё раз Спасибо!.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 22 Mar 2011 18:30:39 +0000

Да, аутентификация силами клиента. Я все свои ресурсы (OWA, SharePoint, Certification Authority, Dynamics CRM, Lync Web Services…) именно так публикую.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Tue, 22 Mar 2011 18:26:53 +0000

правило на TMG для публикации ActiveSync не позволяет в веб прослушивателе отменить аунтификацию… т.к. в этом правеле выбрана обычная проверка для делегирования.

Или можно поставить в не делегированная, но клиент может выполнять и т.д.???

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Tue, 22 Mar 2011 16:56:51 +0000

Большое Спасибо!

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 22 Mar 2011 16:55:31 +0000

Никаких рисков, всё же по SSL шифруется ;)

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Tue, 22 Mar 2011 16:53:04 +0000

а каике риски для owa??? Т.е. безопастность?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 22 Mar 2011 16:43:49 +0000

Если не выполнять авторизацию средствами TMG, а включить возможность авторизации средствами публикуемого веб сервера (делегирование авторизации), то никаких проблем.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Tue, 22 Mar 2011 16:33:28 +0000

Но там же другие настройки авторизации на прослушивателе чем на OWA/Anywhere/ActiveSync
Эти настройки подойдут???
Если да, то это супер…

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 22 Mar 2011 15:36:48 +0000

Если Lync Web Services публикуются через TMG, то очень просто. OWA работает всего с нескольким подкаталогами, типа /owa, /ecp и т. п. Их и перенаправляем на сервер Exchange. На одном прослушивателе, по одному и тому же доменному имени (sip.contoso.com) будут работать и OWA, и сервисы Lync.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Tue, 22 Mar 2011 15:21:14 +0000

Вот мне интересно как настроить веб прослушиватель для Lync когда порт 443 настроен на веб прошлушиватель OWA? )))

Вот это замануха! Если есть опыт решения данного вопроса поделитесь, пожалуйста!

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Fri, 11 Mar 2011 05:50:08 +0000

про буквы оже не понятно…
для примера на сервере FCS примонтировал диск, такой же как у пользователей.
но вот как понять что работает сей метод?

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (Евгений)

Евгений — Sun, 06 Mar 2011 11:35:23 +0000

Удалил доменного админа из SQL, а пользователь sa заблокирован, других админов нет. Огромное спасибо!!!! Выручил. Думал вешалка. Не надеялся…. Но все получилось, без шума и пыли.

Комментарий к записи Forefront Client Security (Argon)

Argon — Sat, 05 Mar 2011 13:28:03 +0000

Как пишут MS на форумах, в исключения можно добавлять записи типа \\server\share, а также известные буквы для сетевых дисках (типа s:). Хочу подчеркнуть, что не стоит добавлять такие популярные буквы, как z:, y:, x:, а только проверенные, которые мапятся через групповую политику. Также в статье "Forefront Client Security unexpectedly scans files that are stored in network locations when you perform a full scan of a client computer" есть ссылка на хотфикс, который позволяет не сканировать сетевые файлы, на которые ссылаются ярлыки на локальном компе.

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Sat, 05 Mar 2011 09:33:26 +0000

Приветствую еще раз!
Такой вопрос, как бы исключить из проверки примонтированные диски сетевые, да и в целом сетевые ресурсы на клиентах?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Alexander Donin)

Alexander Donin — Sat, 05 Mar 2011 09:08:16 +0000

wireshark :-)
да, 443.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Sat, 05 Mar 2011 06:38:08 +0000

Спасибо, Александр! Я пришел к тем же выводам, основываясь на практике и опыте c OCS-ом, а вот документация Линка слегка смутила.

Кстати, несчет автоконфигурации, интересно, к каким портам клиенты пробуют подключаться, если SRV записи не находят, а видят только имя домена вида sip.controso.com. К 5061 точно подключается, а вот интересно, к каким еще пробуют…

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Alexander Donin)

Alexander Donin — Fri, 04 Mar 2011 23:13:45 +0000

в догонку. в первой статье говорится что дложно быть имя в SIP домене. имеется в виду случай, когда у вас несколько SIP доменов. Для подключения пользователей достаточно одной А записи в любом домене на которую будут ссылаться несколько SRV записей в разных доменах. Но Federation требует четкого соотвествия.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Alexander Donin)

Alexander Donin — Fri, 04 Mar 2011 23:08:24 +0000

Правда в том, что запись sip. используется для входа поиска сервера, если клиент не может найти SRV запись. Нопример, мой домашний шлюз, скатина такая, не пропускает SRV зпросы.
Для таких случаев и нужно имя SIP.
в документации по Lync почему-то это не описано.
Вот описание из документации к OCS 2007 R2
http://technet.microsoft.com/en-us/library/dd425235(office.13).aspx

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Fri, 04 Mar 2011 20:44:08 +0000

Согласен, я столкнулся с некоторыми противоречиями на TexНете:

в статье Certificate Requirements for External User Access пишут "If you are using client auto-configuration or federation, also include any SIP domain FQDNs used within your company (for example, sip.contoso.com, sip.fabrikam.com)."
в статье Planning for Certificates под SIP Domain понимают уже адреса вида sipdomain01.contoso.com
сам же Certificate Wizard неприменно включает домен вида sip.contoso.com в список SAN

Где правда?..

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Alexander Donin)

Alexander Donin — Fri, 04 Mar 2011 19:52:45 +0000

Отличная статься. Маленькое уточнение. Для federation не обязательно чтоб имя начиналось на «SIP.»

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (Argon)

Argon — Thu, 03 Mar 2011 15:50:50 +0000

Верно, ведь удаленное выполнение команд — это очень мощная функция, которая не должна быть доступна пользователям, не имеющим на это прав.

Однако, psexec имеет ключ «-l», который позволяет имитировать исполнение команды от имени пользователя без прав администратора на целевой системе.

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (lamer)

lamer — Thu, 03 Mar 2011 12:40:37 +0000

к сожалению, с правами юзера этим пользоваться нельзя… а очень хотелось бы выполнить на удаленном компе какую-нибудь команду не будучи администратором, а будучи простым пользователем

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Wed, 02 Mar 2011 19:27:18 +0000

Быть может, не настроен источник для обновления (сервер интернета, топология AD).

Комментарий к записи Forefront Endpoint Protection 2010 (Argon)

Argon — Wed, 02 Mar 2011 19:11:24 +0000

Есть конечно, в официальной документации: Migrating from Forefront Client Security to Forefront Endpoint Protection. Все довольно просто. Ставим FEP, развертываем его клиентов, они удаляют FCS. Вопрос переноса данных об инцидентах из FCS в FPE не рассматривается.

Комментарий к записи Forefront Client Security (Argon)

Argon — Wed, 02 Mar 2011 19:07:10 +0000

Пока пользовался FCS, не наблюдал такой проблемы. Вероятнее всего проблема либо в Reporting Services (не может запросить или отобразить данные из SQL, смотреть в логах), либо в IE (скрипты отключены или еще чего).

Комментарий к записи Forefront Client Security (Константин)

Константин — Wed, 02 Mar 2011 12:02:18 +0000

Здравствуйте, Argon.
У меня следующий вопрос:
При открытии отчета о любом зараженном компьютере (в IE) в поле Alert Details появляется надпись «Ошибка: невозможно отобразить вложенный отчет» — в чем тут может быть проблема?

Комментарий к записи Forefront Endpoint Protection 2010 (Константин)

Константин — Wed, 02 Mar 2011 11:57:26 +0000

Уважаемый Argon, скажите пожалуйста, существует ли какая-нибудь инструкция по централизованному переходу с FCS на FEP?

Комментарий к записи Настройка синхронизации времени в домене Active Directory (oriang)

oriang — Mon, 28 Feb 2011 15:50:58 +0000

w32tm /resync /rediscover
Команда синхронизации отправлена на local computer…
Синхронизация не выполнена, поскольку нет доступных данных о времени.

Комментарий к записи Что нужно знать перед установкой Service Pack 1 для Windows Server 2008 R2 и Windows 7 (Argon)

Argon — Sat, 26 Feb 2011 21:54:50 +0000

Да да, я тоже вышел на этот документ. Так как этот пост кто-то читает, хочу дополнить своими мыслями по поводу работы Dynamic Memory с такими жадными приложениями, как SQL Server и Exchange ;)

Комментарий к записи Что нужно знать перед установкой Service Pack 1 для Windows Server 2008 R2 и Windows 7 (Виктор)

Виктор — Sat, 26 Feb 2011 21:51:11 +0000

Незачто, а если быть более точным, то тут можно почитать требования к Dynamic Memory и список гостевых систем http://technet.microsoft.com/ru-ru/library/ff817651(WS.10).aspx

Комментарий к записи Что нужно знать перед установкой Service Pack 1 для Windows Server 2008 R2 и Windows 7 (Argon)

Argon — Sat, 26 Feb 2011 19:31:25 +0000

Спасибо за уточнение! Интересно, будет ли обновление компонентов интеграции для Linux, поддерживающее DM…

Комментарий к записи Что нужно знать перед установкой Service Pack 1 для Windows Server 2008 R2 и Windows 7 (Виктор)

Виктор — Sat, 26 Feb 2011 18:52:15 +0000

Dynamic Memory, кстати, работает при любой поддерживаемой Hyper-V гостевой системе, главное чтобы службы интеграции были обновлены в ней до SP1.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Pan@lj)

Pan@lj — Thu, 20 Jan 2011 19:26:40 +0000

Наконец то толковый Howto. Спасибо, завтра офис ждут перемены :evil:

Комментарий к записи Forefront Client Security (Argon)

Argon — Sat, 15 Jan 2011 20:09:34 +0000

Верно, групповая политика обновляет указанные ветки реестра. А в deploy.reg полагаю инфра, чтобы комп начал запрашивать пакет клиента FCS у WSUS-а, а не настройки самого клиента.

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Sat, 15 Jan 2011 11:38:20 +0000

это?
http://technet.microsoft.com/en-us/library/bb418783.aspx
а тот, что из Deploy .reg не подойдет уже?

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Sat, 15 Jan 2011 11:31:59 +0000

а что подразумевается под «настройки через групповую политику будут применяться»?

Комментарий к записи Forefront Client Security (Argon)

Argon — Fri, 14 Jan 2011 23:15:11 +0000

Стандартным образом FCS разворачивается только с агентом MOM-a. Без него можно установить, используя ключ /nomom. При этом не будет собираться статистика по работе антивируса, но настройки через групповую политику будут применяться.

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Fri, 14 Jan 2011 07:03:06 +0000

проясните, что-то запутался.
если в ou определен шаблон из deploy для установки.
и допустим мне не нужно ставить/присутствие агента mom, мне надо отдельно разворачивать ou и там уже впихнуть установку msi? но опять же мне нужны предустановки работы антивируса на ПК (как-то исключения и настройки работы и т.д.)
или поможет из административной консоли установка/удаление агента?

Комментарий к записи Открытие MCP-клуба в Кирове (Игорь)

Игорь — Thu, 13 Jan 2011 19:02:58 +0000

Поздравляю с открытием MCP клуба!
Если когда либо кто-то из Вас будет у нас Санкт-Петербурге, то приходите на встречу нашего MCP клуба. Обычно проводим в последнюю пятницу каждого месяца. Место, дата и время на сайте клуба http://mcp-club.net/. С удовольствием обсудим проблемы ИТ-технологий с единомышленниками.
Игорь Ананченко (http://anantchenko.ru)

Комментарий к записи Exchange 2010 Unified Messaging не отвечает на звонки через Office Communicator 2007 R2 (Argon)

Argon — Sat, 08 Jan 2011 23:57:56 +0000

Быть может, фаэрвол где-то что-то режет, или Web Services не доступны.

Через Microsoft Exchange Server Remote Connectivity Analyzer прогонять пробовали?

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Sat, 08 Jan 2011 23:48:45 +0000

Действительно, в WS2003 этих ключей нет.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Ilya_Nsk)

Ilya_Nsk — Mon, 20 Dec 2010 03:48:38 +0000

+1 (для русской версии)
C:\….>w32tm /query /peers
Неизвестная команда /query.

Комментарий к записи Exchange 2010 Unified Messaging не отвечает на звонки через Office Communicator 2007 R2 (Dmitry Dombrovsky)

Dmitry Dombrovsky — Fri, 03 Dec 2010 11:16:48 +0000

У меня тоже настроено взаимодействие Exch2010Sp1 и ocs2007r2 — вроде все работает. Только вот от варнингов в логе никак избавиться не могу.
The Unified Messaging server failed to deliver the MWI notification ’0/12 (unread/read)’ for the UM-enabled mailbox ‘Dmitriy Dombrovskiy(xxxxxxxxxxxxxxxxxxxxxxxx)’ associated with UM extension ‘xxxxxx@xxxxxx.xxx’. Until this problem is corrected, the MWI state for this user may be out of sync. Additional information:

There are no more targets available to send an MWI message for user Dmitriy Dombrovskiy.

Пытаося нагуглить — ничего подходящего не нашел :)

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Thu, 02 Dec 2010 23:55:14 +0000

Да, один конфигурируется самим клиентом по методу Stateless (генерируется на основе мак адреса сетевухи, EUI-64), другой назначается DHCP сервером. Ну а третьим адресом будет статически назначенный, если есть.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (RAID)

RAID — Wed, 01 Dec 2010 11:31:49 +0000

сервер win 2003 standart
команда w32tm /query /peers — command unknown

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (Argon)

Argon — Tue, 30 Nov 2010 06:47:28 +0000

Кто-то уже успел потклчиться к серверу. Перезапусти службу MS Sql Server и подключись первым через sqlcmd.

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (Евгени)

Евгени — Tue, 30 Nov 2010 04:48:58 +0000

а если пишет Reason: Server is in single user mode. Only one administrator can connect at this time. Ну пущает в sqlcmd (((

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Дмитрий)

Дмитрий — Fri, 26 Nov 2010 03:37:29 +0000

Скажите, а это нормально, что помимо статического адреса, сервер получил от DHCP еще два адреса IPv6?

Комментарий к записи Windows Server 2008 R2 не доступен по сети после установки обновления KB975354 (JeiFLYer)

JeiFLYer — Tue, 23 Nov 2010 10:53:30 +0000

Хорошая заметка… Но у меня подобная проблема и без установки обновления. Чистую 2008 R2 ставлю — и получаю то же самое. Отключение брандмауэра вообще ничего не дало. Ваш совет к сожалению тоже не помог…

Комментарий к записи Forefront Client Security (Константин)

Константин — Mon, 22 Nov 2010 06:35:45 +0000

Нравится мне такая политика — как ограничить проверку файлов по размеру, так извините, ни чего пропускать нельзя, а как файлы баз данных и прочее, так добавить в исключения. Что же тогда останется на проверку, если большинство исполняемых и обрабатываемых файлов добавлено в исключения?!
Argon, это претензии не к вам, а просто возмущение вслух, возглас отчаяния, так сказать…

Комментарий к записи Forefront Client Security (Argon)

Argon — Sat, 20 Nov 2010 12:02:08 +0000

Max,

Вопрос собственно – можно ли уже развернутые политики каким то образом импортировать на новый сервер управления? Заранее спасибо)

Подозреваю, что нет. Думаю, их идентификаторы хранятся в базе данных FCS, и по этим идентификаторам он узнает, что они «свои». В вашем случае, можно либо пересоздать политики, либо ковырять базу.

LMcom,
Похоже на ошибку в Windows Installer. Проверьте, запущена ли установка с правами администратора, не выполняется ли сейчас другая установка, либо ранее выполнялась установка, требующая перезагрузки.

Константин,
Тоже как-то хотел воспользоваться такой функцией, не нашел. Тут, видимо, и лень разработчиков, и следование политикам повышенной безопасности, чтобы ничего не пропустить.

Насчет баз 1С и прочих БД — их, конечно, в первую очередь в исключения надо добавлять.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Sat, 20 Nov 2010 11:47:49 +0000

Интересно, а для чего вы задумали использовать ваш скрипт? Как писал, IPv6 на клиентах дополнительных настроек не требует, всё раздается с серверов.

Комментарий к записи Особенности работы программного RAID в Windows Server (Argon)

Argon — Sat, 20 Nov 2010 11:42:31 +0000

Использовал интеловский RAID на самосборных персоналках, которые используются в качестве серверов для небольших предприятий… Эти «серваки» уже не один год служат, пережили несколько замен вышедших из строя дисков.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Алексей)

Алексей — Wed, 17 Nov 2010 05:06:44 +0000

Тут поковырял немного, написал скрипт. Для Назначения IPv6 и для показа EUI-64. Если нужно выложу.

Комментарий к записи Forefront Client Security (Константин)

Константин — Tue, 16 Nov 2010 06:25:08 +0000

Еще нашел по поводу низкой производительности:

Падение производительности наблюдается на компьютерах, где обрабатываются большие файлы (например локально лежат базы 1С и т.д.). Еще: на одном «тормозящем» компьютере я выполнил поиск файлов по размеру более 50 Mb, в результате этого поиска нашелся ряд больших файлов (более 100 Mb) с расширением tmp, лежащих в системных папках, после того, как я их удалил, компьютер стал работать заметно быстрее.

Я не нашел, как добавить в исключения большие файлы (более * Mb, как это зачастую реализовано в традиционных антивирусах), уважаемый Argon, Вы не знаете — возможно ли это? Если возможно, то как?

Комментарий к записи Особенности работы программного RAID в Windows Server (Baf)

Baf — Mon, 15 Nov 2010 03:38:15 +0000

Спасибо, было интересно почитать.
А насколько у вас большой опыт использования ICH10R ? p.s. уведомлений на комментарии нет?

Комментарий к записи Forefront Client Security (LMcom)

LMcom — Thu, 21 Oct 2010 05:36:12 +0000

При установке любой из компонент:
[21.10.2010 8:55:15] Task(Install ***** Server Component) в логах пишется ошибка:

The following process failed.
Process: C:\WINDOWS\system32\msiexec.exe
Exit code: 1639Number of tasks completed: [21.10.2010 8:55:15]

Хотя проверку проходит со всеми «зелеными» галочками и начинается установка.

Подскажите, в чем может быть проблема.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Wed, 20 Oct 2010 11:07:10 +0000

Все нормально у дяди Билла, он следует новым стандартам IPv6, в которых значится, что шлюзы IPv6 должны объявлять себя сами. Это команда

netsh int ipv6 add route ::/0 External fc00:10:18:2::180 publish=yes

в моём примере.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Traum)

Traum — Wed, 20 Oct 2010 10:21:05 +0000

Вопрос про шлюз надо-бы задать дяде Биллу. Какого хрена, в сведениях о подключении параметр «Шлюз IPv6″ есть, а в Параметрах области DHCP его задать нельзя!?

Комментарий к записи Forefront Client Security (Max)

Max — Thu, 14 Oct 2010 13:29:03 +0000

Привет. Вопрос такой: ранее в организации был развернут FCS, настроено несколько политик. так получилось, что перенести как положено сервер FCS не удалось. Новая установка была выполнена «с нуля», но с таким же именем группы управления. В итоге клиенты подхватились и все работает как положено, с ранее настроеными политиками, но самих политик в консоли управления FCS ессно не появилось. Вопрос собственно — можно ли уже развернутые политики каким то образом импортировать на новый сервер управления? Заранее спасибо)

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Sat, 09 Oct 2010 07:03:20 +0000

Все понимаете верно, пока часы на клиентах сильно отличаются от общедоменного времени, они не смогут по керберосу аутентифицироваться на других ресурсах домена. Но при изменении времени на корневом контроллере, клиенты с ним в заданный промежуток времени синхронизируются, и все опять пойдет как надо.

Также можно синхронизировать принудительно командой
w32tm /resync /rediscover

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Leonid Bespalov)

Leonid Bespalov — Fri, 08 Oct 2010 20:12:14 +0000

Спасибо за толковую статью.
Если не очень далеко от темы, — практический вопрос:
Есть контроллер домена, судя по всему, с внутренней синхронизацией (часы сервера отстают от реального времени на 15 минут).
Есть задача скорректировать время.
Кажется, — простой ответ — изменить время в CMOS котроллера домена.
Однако, 22 января 2009 Артём Синицын, здесь http://sinitsyn.org/2009/01/sinxronizaciya-vremeni-v-domene-active-directory/ написал:
“Пользователи домена проходят процедуру аутентификации на контроллерах домена посредством протокола Kerberos (если быть точнее, его пятой версии). В свою очередь Kerberos использует так называемые сеансовые билеты, неотъемлемой частью которых является штамп текущего времени системы. И если разница во времени сервера, обслуживающего запрашиваемый ресурс, и компьютера, с которого пользователь запрашивает доступ, будет больше 5 минут (значение по умолчанию), в доступе будет отказано.
Продолжая мысль, если системное время компьютеров пользователей будет отличаться от времени на контроллере домена, пользователи не смогут успешно пройти процедуру аутентификации, а значит не смогут получить доступ к ресурсам домена. ”
Вопрос: значит ли это, что после корректировки часов в CMOS на 15 минут и перезагруки сервера — котроллера домена, пользователям в сети будет отказано в доступе?
Или это у меня проблема с синхронизацией осмысления прочитанного?

Комментарий к записи Бесплатная электропочта для домена: выбор между Яндексом и Гуглом (Argon)

Argon — Wed, 06 Oct 2010 11:18:53 +0000

Николай, спасибо за комментарии, я внес корректировки в основной пост.

Комментарий к записи Бесплатная электропочта для домена: выбор между Яндексом и Гуглом (Николай)

Николай — Wed, 06 Oct 2010 10:48:29 +0000

Да нет же, Календарь уже давно доступен непосредственно с доменного аккаунта, как и jabber, а также загрузка файлов в файлохранилище при отправке писем, если нужно отправить большой файл.

Комментарий к записи Бесплатная электропочта для домена: выбор между Яндексом и Гуглом (Argon)

Argon — Wed, 06 Oct 2010 06:56:02 +0000

Чтобы никого не обижать, я явно написал, что предполагаю, а не сужу о надежности.

То, что для почтовых протоколов теперь и у Яндекса заявлена поддержка SSL — это просто замечательно. Однако, веб-доступ по прежнему работает по HTTP, а чтобы попасть по SSL, нужно руками ввести HTTPS в адресную строку. Действительно, работает!

На момент проведения моего сравнения в хелпе Яндекса про SSL для почтовых протоколов не было ни слова, а про веб доступ нет и сейчас.

А вот с календарем и прочими сервисами все печальнее. Если в Google Apps эти сервисы работают от созданной учетки в вашем домене, то сервисы Яндекса авторизуются по яндексной учетке, а не доменной. Хотя лично мне бесплатные сервисы для совместной работы и не нужны, есть корпоративные.

—

Благодарю за вести с внутренней кухни почты для домена Яндекса. Развитие в этом направлении меня радует.

Комментарий к записи Бесплатная электропочта для домена: выбор между Яндексом и Гуглом (Николай)

Николай — Tue, 05 Oct 2010 23:47:11 +0000

Плохо судить о надежности сервиса по его бесплатности для потребителя. Как и платность чего-либо не говорит о качестве.

SSL у Яндекса есть как для почтовых программ, так и для веб-интерфейса.

Календарь и планировщик задач для доменных пользователей есть и у Яндекса, просмотр документов — тоже. Общая АК, на сколько я знаю, планируется в скором времени. В новом веб-интерфейсе, который сейчас тестируется на основной почте Яндекса, уже есть возможность выбирать внешние адреса, от имени которых можно отправлять письма. В будущем это станет доступным и для доменов, наверняка.

Комментарий к записи Forefront Client Security (Mesmer)

Mesmer — Fri, 01 Oct 2010 03:23:37 +0000

ааа. то есть, сам сервер имеют лишь пограничную задачу. типа политика. и база мом, я так понимаю?

Комментарий к записи Forefront Client Security (Argon)

Argon — Thu, 30 Sep 2010 10:39:39 +0000

Политика вносит в реестр хитрые изменения, после которых комп у WSUS начинает запрашивать дистрибутив FCS как обновление.

Комментарий к записи Forefront Client Security (Mesmer)

Mesmer — Thu, 30 Sep 2010 10:08:35 +0000

откуда инсталляция идет, когда компьютер применяет политику в AD на установку? в смысле, на сервере у меня в раделе D лежит дистрибутив. от туда? или из каталога program files на самом сервере. как понимаю в приципе идет инсталляция msi.

Комментарий к записи Forefront Client Security (Argon)

Argon — Mon, 20 Sep 2010 20:57:27 +0000

В MOM-e есть возможность удалять управляемые компьютеры из админ-консоли. Думаю, для восстановления управления над переименованным компом можно сделать так: удалить запись из MOM-а, удалить компоненты MOM и FCS с клиентского компа, затаем FCS сам поставиться через политики и пропишется везде по-новой.

Комментарий к записи Forefront Client Security (Mesmer)

Mesmer — Mon, 20 Sep 2010 02:24:39 +0000

хочу спросить. блы компьютер с одним именем и на нем клиент. переименовал компьютер, но в том же домене стоит. а теперь в MOM старое имя отображается тоже. но уже как unmanaged. как этот компьютер исключить? т.е. чтобы не болталась эта запись.

Комментарий к записи Windows Server 2008 R2: Server Core and Hyper-V Server (Argon)

Argon — Fri, 10 Sep 2010 16:09:55 +0000

Про R1 согласен, без фреймворка и других ролей — шарманка еще та была. А вот R2 уже вполне хороша, для выполнения функций, описанных в статье — вполне годится.

Комментарий к записи Windows Server 2008 R2: Server Core and Hyper-V Server (EDWS)

EDWS — Fri, 10 Sep 2010 12:37:19 +0000

Сенки за статью. Но имхо core вещь все равно бесполезная. Я R2 core не юзал но R1 троху погонял. Признаюсь сразу у меня загорелись глаза, во первых, что core просто летает по сравнению с полной версией, можно ставить на старенькие системы. Первая идея которая взбрела в голову — так это жe можно накодить интерфейсик на dotnet, соответственно сделать на базе core ось заточенную под собственные нужды! Но пыл мой охладило отсутствие того самого dotnet в core R1, а кодить интерфейс на C++ желания и смысла нет никакого. Имхо в M$ спецом не включили dotnet в R1, чтобы присечь таких умников как я, потому как если бы дотнетчики загорелись такой идеей то подвинули бы и висту и семерку! В core R2 dotnet включили но x32 не поддержали соответственно — попа. Нарываешься на непреодолимый гемор с совместимостью. Жалко конечно, ядро то само ниче так.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Tue, 31 Aug 2010 07:42:52 +0000

Пожалуйста, дополнил статью добытой инфой по маршрутизации.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Hitmank)

Hitmank — Tue, 31 Aug 2010 06:13:55 +0000

Интересно, обязательно попробую. Спасибо!

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Mon, 30 Aug 2010 12:56:14 +0000

Кое-что выяснил.

Чтобы работало объявление default router, я создал следующие условия.

На компе WS 2008 две сетевухи.

Local1 fc00:10:18:1::10/64 — раздает этот префикс и адреса клиентам по DHCP.
Сконфигурирован
netsh int ipv6 add route fc00:10:18:1::/64 Local1 publish=yes

Local2 fc00:10:18:2::10/64 — для объявления Default Router в сеть Local1 нужен сконфигурированный next-hop адрес (следующего маршрутизатора для текущего роутера).
Сконфигурирован
netsh int ipv6 add route ::/0 Local2 fc00:10:18:2::180 publish=yes

Таким образом, клиенты получают DHCP адреса и префикс fc00:10:18:1::/64, а также default router (маршрут ::/0), который указывает на link-local адрес (fe80:…) адаптера Local1.

Как сделать, чтобы клиенты как адрес шлюза получали назначенный адаптеру Local1 адрес (fc00:10:18:1::10) вместо link-local — еще не знаю.

Не проверял, но пишут, что для WS 2008 R2 уже нет необходимости объявлять на роутере next-hop адрес следующего роутера, достаточно выполнить

netsh int ipv6 set int advertisedefaultroute=enabled

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Hitmank)

Hitmank — Tue, 24 Aug 2010 13:25:03 +0000

Спасибо, успеха Вам. Отпишитесь если получится.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Tue, 24 Aug 2010 08:13:27 +0000

Шлюз должен объявлять себя сам.

Я исследовал этот вопрос, попробовал объявить
add route ::/0 Local fc00:10:18:1::1 publish=yes
где 10:18:1::1 — адрес другого компа со службой маршрутизации. Этот маршрут на самом серваке прописывается, но до клиентов не доходит.

Однако, если прописать
add route ::/0 Local fc00:10:18:1::10 publish=yes
где 10:18:1::10 — адрес того же компа, то до клиентов доходит маршрут «::/0 on-link» (виден в ipconfig как «::»), то есть без указания роутера, и, соответственно, маршрутизация не работает.

Если на клиенте руками прописать
route add ::/0 fc00:10:18:1::10
то шлюз работает как надо.

Я попробую решить эту проблему, так как мне тоже интересно.

Насчет второго IPv6 адреса… Так как флаг M в DHCPv6 установлен (netsh int ipv6 set interface Local man=en), то DHCP сервером назначаются клиентом адреса, при этом же сами клиенты генерируют еще Stateless IPv6 адреса (EUI-64) самостоятельно. Таким образом клиенты имеют по 2 адреса и больше.

Чтобы отключить автогенрацию IPv6 на стороне клиентов, нужно выполнить

netsh interface ipv6 set global randomizeidentifiers=disabled

…однако, зачем? Пусть живёт.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Hitmank)

Hitmank — Mon, 23 Aug 2010 20:38:11 +0000

Следуя Вашим рекомендациям не вышло, шлюз по прежнему не высвечивается у клиента.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Hitmank)

Hitmank — Mon, 23 Aug 2010 20:08:34 +0000

Также хотелось бы отметить, почему сам сервер dhcp да другие машины которым дан статический адрес, берут еще один от dhcp сервера?

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Hitmank)

Hitmank — Mon, 23 Aug 2010 17:31:14 +0000

хм… интересно, а почему 0? и что если шлюз и dhcp сервер это не один и тот компьютер, тогда эти команды нужно объявить на той машине или нет?

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Mon, 23 Aug 2010 11:27:55 +0000

Хороший вопрос, для выдачи шлюза по умолчанию нужно объявить маршрут ::/0.

То есть, если на одной машине стоит DHCPv6 и Routing, то достаточно использовать команды

netsh int ipv6 set int Local adv=en
netsh int ipv6 add route ::/0 Local publish=yes

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Hitmank)

Hitmank — Fri, 20 Aug 2010 17:20:46 +0000

хотел бы спросить, а как сделать чтобы и шлюз ipv6 по dhcp выдавался, dns выдает, ip выдает, а вот шлюз нет.

Комментарий к записи Forefront Client Security (Argon)

Argon — Sat, 14 Aug 2010 05:18:48 +0000

Про исключения я приводил ссылку на ту же статью ранее, причем актуальны эти сведения для любых антивирусов, не только MS. На раб станциях добавления в исключения каких-попало приложений и папок просто лишит защиты. Под интенсивно используемым приложением можно считать редактор видео, большую файловую базу данных типа одинэски.

По моим наблюдениям все равно никто в начале раб дня не работает в полную силу, время на раскачку уходит, тот же чай пьют…

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 13 Aug 2010 15:28:02 +0000

В общем удалось выяснить, что основное зависание происходило в 13 часов дня, когда по расписанию запускалась проверка scan security state assesment (почему-то в политиках ее можно либо отключить, либо включить сканирование в заданные часы каждый день, включить сканирование в определенный день, как Malware Scanning нельзя). И, что самое интересное, пользователи, у которых остановлен 1 Gb оперативной памяти, на зависание при этом сканировании ни сколько не жаловались!

Так же, я нашел на официальном сайте Microsoft рекомендации по добавлению в исключения определенных системных файлов ОС и серверных приложений, в зависимости от ролей конкретного сервера (http://support.microsoft.com/kb/943556), которые Microsoft рекомендует добавить в исключения антивирусных приложений для повышения производительности. Любопытно, что ни одному антивирусу это особо не требуется, кроме антивируса производства самих Microsoft.

По поводу добавления интенсивно используемых приложений в исключения возникает вопрос, если все интенсивно используемые приложения будут добавлены в исключения, то что же будет тогда сканировать сам FCS, и как же это скажется на защите в конечном счете?

Особенно порадовала Ваша фраза на счет чая :)
Интересно, Microsoft не прилагает бесплатно подписку на чай?
А то покупать его для 300 пользователей контора разорится, боюсь.

P.S.: Я посчитал и выяснил, что увеличивать всем оперативную память до 1 Gb по стоимости получится цена того же самого Kaspersky Business Space Security, на который денег изначально пожалели и решили сэкономить.

Комментарий к записи Forefront Client Security (Argon)

Argon — Tue, 10 Aug 2010 12:42:58 +0000

Константин,
1, 2. Насчет падения производительности — пользователи действительно жалуются, я их приучил по приходу на работу включать компьютеры и идти пить чай. FCS тормозит компы сразу после запуска, потом затихает. Видимо собирает Security Assessment State и прочее.
3. Согласен, неудобно, по маске не умеет. Но в этом и какая-никакая защита от подлога есть.

Исключения на рабочих станциях… Например если есть какое-то определенное интенсивно юзаемое приложение, которое генерит/обрабатывает файлы, вот его и добавлять.

Комментарий к записи Forefront Client Security (Константин)

Константин — Tue, 10 Aug 2010 12:35:15 +0000

Не подскажете ли — нужно ли для повышения производительности добавлять в исключения какие-то определенные системные файлы на рабочих станциях?

Комментарий к записи Forefront Client Security (Константин)

Константин — Tue, 10 Aug 2010 11:40:28 +0000

1. На падение производительности жалуются разные пользователи и те, и с недавно установленной ОС, и с давно установленной (но, согласитесь, переустанавливать из-за антивируса ОС на 300 компах это too much).
2. Пока что я заметил, что на тормоза не жалуются пользователи с объемом оперативной памяти больше гигабайта.
3. По поводу добавления исключений, сделаны они очень не удобно — в Overrides можно добавить только один отдельно взятый файл, без указания конкретного пути, а в Exclusions from Malware scan, наборот, можно добавить файл с определённым путём, а отдельно сам файл — нельзя, что создает большие неудобства.
4. Как раз-таки на 3-х серверах стоит FCS, никаких «специфических» исключений не добавлено и падения производительности на них не наблюдается (опять же, на каждом из них более 1 Гб. оперативной памяти).

Я прекрасно понимаю, что FCS защищает именно клиентские машины, а не периметр сети, или почту, не понимаю, к чему Вы это написали.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Tue, 10 Aug 2010 08:44:34 +0000

Во всем согласен. Особенно попал в точку насчет неподдержки IPv6 в Forefront TMG, это печально, люто, бешено!

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Emulty)

Emulty — Tue, 10 Aug 2010 08:10:57 +0000

Перелопатил кучу информации по IPV6, только сил не хватило освоить мануалы на английском языке.
Очень благодарен за опыт выложенный в данной статье.
Реально основная трудность, что в отличие от IPv4 с IPV6 нет устоявшихся традиций настройки в доменной сети предприятия. В силу того, что если в большинстве случаев с IPv4 все использовали выделенные приватные диапазоны. С IPv6 ситуация другая, хочешь используй полностью аналогичную схему IPv4 с локальными адресами, хочешь бери область у туннельного брокера и используй прямые адреса шестой версии и настраивай максимально жестко свой FireWall. Можно использовать сразу оба варианта и единого мнения как это лучше сделать — нет. ForeFront tmg вообще толком не поддерживает IPv6. При этом Windows в качестве маршрутизатора использовать крайне не удобно, а роутеры типа Циски далеко не везде получается использовать, ибо дорого.

Комментарий к записи Forefront Client Security (Argon)

Argon — Mon, 09 Aug 2010 13:23:40 +0000

Не могу согласится со всем написанным в указанной ветке на Технете. Лично я внедрил FCS на двух предприятиях, нигде не было серьезных проблем, при условии что разворачивалось на чистые компы. С настройками исключений тоже особых проблем не наблюдал, и хочу подчеркнуть необходимость этих настроек на серверах, чтобы избежать диких тормозов.

Следует учесть, что FCS — именно Client Security, а не All-In-One. То есть FCS защищает именно клиентов, а периметр сети — Forefront TMG, почту Forefront for Exchange. И т. п.

Комментарий к записи Forefront Client Security (Константин)

Константин — Mon, 09 Aug 2010 12:59:35 +0000

Если кому-то интересно, то вот мой опыт работы с FCS на данный момент:

http://social.technet.microsoft.com/Forums/ru-RU/forefrontru/thread/01829ee8-8af7-4d73-a916-8e743d94324e

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Tiunov Igor)

Tiunov Igor — Mon, 12 Jul 2010 19:28:32 +0000

Хотя извиняюсь, я сам не додумал, DHCP рассылает объявления маршрутизатора…

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Tiunov Igor)

Tiunov Igor — Mon, 12 Jul 2010 19:26:27 +0000

Представте, если не два клиента, а 1000, тогда может и DHCP не нужен? но как решение — не спорю.

Комментарий к записи Forefront Client Security (Константин)

Константин — Mon, 12 Jul 2010 06:00:40 +0000

Проблемы решились после полной переустановки SQL и FCS.
Очень много гуглил и задавал вопросы на Течнете, но особо дельных ответов там не увидел.
Вот ссылка, может быть кому-то полезно будет.

Argon, скажите, я правильно понял, что если компьютер в домен не включен, то отчеты на сервер управления он отсылать и управляться этим сервером не будет, даже если клиента развернуть на этом компьютере с использованием fcslocalpolicytool?
Есть ли какой-нибудь способ управления таким компьютером через сервер управления?

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Sun, 11 Jul 2010 08:45:47 +0000

Не упустил, последние две приведенные мной команды какраз решают эту проблему без установки ipv6 маршрутизатора. Как маршрутизатор после этого сервер работать не станет, но в пределах одной сети ipv6 будет работать исправно.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Tiunov Igor)

Tiunov Igor — Sun, 11 Jul 2010 08:34:35 +0000

Вот эта проблема » клиенты эти настойки исправно получают, общаться между собой они не могут» решается добавлением в сеть обязательного для DHCPv6 маршрутизатора с поддержной ipv6 (в роли которого может выступать W2k8). Этот момент Вы как-то упустили при чтении обсуждения на technet.

Комментарий к записи Forefront Client Security (Argon)

Argon — Wed, 07 Jul 2010 08:18:56 +0000

1. В консоли FCS создаются магические групповые политики, которые содержат необходимые параметры для развертывания клиентов FCS.

Предполагаю, что если тестовые политики потом заменить на боевые, то клиенты боевой сервер подхватят.

Но возможно, что придется на списке компов какую-нить команду по сети выполнить (типа регистрации в МОМ-е)

2.1 Нужен WSUS, для ручной установки можно скачать с Windows Update Catalog последнюю версию Client Security.
2.2 Консоль FCS делает создают политику, которая содержит настройки реестра.

Комментарий к записи Forefront Client Security (Mesmer)

Mesmer — Tue, 06 Jul 2010 09:06:47 +0000

Приветствую!
Если сейчас «тестирую» в таком виде:
установил на тестовый сервер серверную часть, на нем же деплой сделал.
и раскидываю через него на тестируемые машины.
в дальнейшем планирую установить на другой сервер, и собственно хотелось бы, чтобы машины с уже установленным клиентом оказались в репортах и базах mom боевого сервера.
1.к безболезненно провест подобное?

или же не заморачиваться и просто ставить с ключом /nomom, в таком случае надо деплой в reg файл, тогда идут у меня вопросы:
2.1 какие файлы нужны для установки клиента на машину? подразумеваю, что машины xp sp2 рус(большинство уже sp3).
2.2 reg.файл просто в нужное OU в AD запихнуть, как скрипт логон для ПК?

Комментарий к записи Forefront Client Security (Argon)

Argon — Mon, 05 Jul 2010 14:34:21 +0000

Ой, столько мук ;) Все компоненты FCS (реестр, файлы, базы данных) вычистил и такая ошибка случается? В таком случае в системе что-то не ладно. Всеж таки напиши версии, разрядности и сревиспаки винды, скл, фреймоворка и т. п.

Поднять чистую виртуалочку под сервер FCS нет возможности?

Комментарий к записи Forefront Client Security (Константин)

Константин — Mon, 05 Jul 2010 14:21:57 +0000

В общем я вернулся к исходному состоянию -при повторной установке FCS MOMReporting отказывается устанавливаться с ошибкой MAinEngineThread is returning 1603.

Комментарий к записи Forefront Client Security (Константин)

Константин — Mon, 05 Jul 2010 10:26:12 +0000

Вдобавок, теперь еще и при установке FCS пишется, что компонент Collection Database уже установлен, хотя базу OnePoint я удалял.
Утилита msicuu2 не показывает, что на сервере установлено, что-то относящееся к MOM или FCS.

Комментарий к записи Forefront Client Security (Константин)

Константин — Sat, 03 Jul 2010 22:50:39 +0000

В журнале событий я нашел ошибку с кодом 10005 источник — MSIInstaller, нашел статью с описанием данной ошибки — http://support.microsoft.com/kb/922337, где говорится, что эта проблема связана с тем, что установка производится на сервер, где запущена 32-битная версия SQL Server 2005, советуют запустить MOMreporting.msi отдельно с ключом, но этот вариант мне не подходит, т.к. после установки MOMreporting, именно в процессе установки FCS, идет установка других компонентов FCS которые тоже нужны.

Комментарий к записи Forefront Client Security (Михаил)

Михаил — Sat, 03 Jul 2010 16:03:13 +0000

Я никого не расстрою если скажу, что это чудо не ставится с SQL2008 (ни экспресс, ни стандарт — ни с каким). Not supported

Комментарий к записи Forefront Client Security (Константин)

Константин — Sat, 03 Jul 2010 12:13:52 +0000

я решил тоже переустановить, но теперь в процессе установки появляется ошибка 1603 на этапе установки MOM Reporting. Поиск этой ошибки в Интернете пока ни чего не дал (могу выслать лог установки).

Комментарий к записи Forefront Client Security (Argon)

Argon — Fri, 02 Jul 2010 13:40:32 +0000

narod.ru/disk/22380318000/msicuu2.exe.html

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 02 Jul 2010 13:35:20 +0000

Вышлите, пожалуйста, если можно.

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 02 Jul 2010 13:28:51 +0000

Вышлите пожалуйста на почту.
Я начал переустанавливать Forefront и у меня происходит ошибка 1603 при установке MOMReporting

Комментарий к записи Forefront Client Security (Argon)

Argon — Fri, 02 Jul 2010 11:20:36 +0000

Ага, они пишут

While the Windows Installer Cleanup utility resolved some installation problems, it sometimes damaged other components installed on the computer. Because of this, the tool has been removed from the Microsoft Download Center.

Но в Гугле найти можно. На крайняк у меня в запасах есть.

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 02 Jul 2010 10:08:30 +0000

Что-то я ее на могу найти на сайте Microsoft/

Комментарий к записи Forefront Client Security (Argon)

Argon — Fri, 02 Jul 2010 08:59:40 +0000

Наверно имеется в виду Windows Installer CleanUp. Полезная штука в некоторых случаях, например если прога удалилась не полностью и это не даёт переустановить её заново.

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 02 Jul 2010 08:51:22 +0000

Роли на одном компьютере, посмотрел в журнал ошибок, нашел событие 10006 от FcsSas

Я нашел пост на английском языке, где описывается та же самая проблема с этой ошибкой, человек пишет, что он просто удалил FCS, затем воспользовался каким-то toolkit для чистки и снова установил fcs (http://social.technet.microsoft.com/Forums/en-US/Forefrontclientsetup/thread/7c6f46cb-6bb4-4118-88e4-2ca63632df21).
Только не понятно, что же за toolkit он использовал.

Комментарий к записи Forefront Client Security (Argon)

Argon — Fri, 02 Jul 2010 08:20:22 +0000

Ну а в логах системы и приложений есть ли что интересное, это первое место, куда надо смотреть.

Какая ОСь? Есть ли на компе еще что-нибудь «лишнее»? Пробовал ли переставить FCS? Были ли ошибки при установке FCS?

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 02 Jul 2010 08:05:40 +0000

На одном сервере все, перезагружал уже не один раз его.
При попытке посмотреть отчеты политики (правой кнопкой на политике, View reports), в IE открывается страница, на которой присутствуют надписи: Ошибка: невозможно отобразить вложенный отчет.

Комментарий к записи Forefront Client Security (Argon)

Argon — Fri, 02 Jul 2010 05:53:21 +0000

Эти роли на одном компе? Если нет, то можно посмотреть фаэрволл.

Если на одном компе обе роли, перезапусти комп или соотв службы, посмотри в логи, может какие ошибки будут писаться.

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 02 Jul 2010 05:47:56 +0000

Компьютеры находятся в группе Agent-managed computers, такое впечатление, что нет связи между MOM и FCS Management Console

Комментарий к записи Forefront Client Security (Argon)

Argon — Fri, 02 Jul 2010 05:38:42 +0000

Как я понял, MOM работает, а вот в самом сервере FCS компов нет. В MOM-е компы появились как полноправные, или как pending? Если pending, то нужно одобрить их, тогда счетчик защищенных компов в консоли FCS должен увеличиться.

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 02 Jul 2010 05:21:20 +0000

И снова здравствуйте. Установил и настроил FCS согласно официальной документации на сайте Microsoft (http://technet.microsoft.com/ru-ru/library/bb432630.aspx).
FCS прекрасно «деплоится» на рабочие станции через политики, но почему-то в Microsoft Client Security Management Console не отображается информация о компьютерах, находящихся под управлением. Все индикаторы стоят на 0%, в графике 14-day history написано «No Data» (при этом в консоли администратора MOM компьютеры с агентами видны). При попытке запустить сканирование на компьютерах с уже установленными агентами внизу появляется ошибка с надписью «Could not start the scan for all managed computers. No Client Security Management servers were discovered in the MOM «Microsoft Forefront Client Security Collector» computer group».

Подскажите пожалуйста, где искать причину этой проблемы, сам в официальной документации не нашел.

Комментарий к записи Forefront Client Security (ITband.ru » Forefront Client Security)

ITband.ru » Forefront Client Security — Thu, 01 Jul 2010 02:09:55 +0000

[...] оригинал статьи [...]

Комментарий к записи Forefront Client Security (Argon)

Argon — Wed, 30 Jun 2010 12:07:20 +0000

Рад помочь, но кто бы мог подумать, что в планировщике беда ;)

Комментарий к записи Forefront Client Security (SZ)

SZ — Wed, 30 Jun 2010 11:07:25 +0000

Argon Проблема решена спасибо… Просто была отключена служба «Планировщик заданий».

Комментарий к записи Forefront Client Security (Argon)

Argon — Wed, 30 Jun 2010 06:10:11 +0000

Какая версия клиентской ОСи? Сервиспаки?

Из стареньких ОСей поддерживаются эти: Windows 2000 SP4 or later, Windows XP SP2 or later, Windows Server 2003 SP1.

Комментарий к записи Forefront Client Security (SZ)

SZ — Wed, 30 Jun 2010 05:44:10 +0000

Здравствуйте. Не могу установить клинскую часть приложения. Ставлю с помощью команды wuauclt /detectnow, в начале шкала загрузки заполняется потом установщик сообщает что приложение не установлено, других антивирусных программ на компьютере не установлено, скажите в чем может быть проблема ????

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (gavrosh)

gavrosh — Thu, 17 Jun 2010 12:24:11 +0000

Здорово, спасибо за материал)

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (Argon)

Argon — Thu, 17 Jun 2010 10:52:06 +0000

Да, все можно сделать через ГП, но могут быть тонкости.

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (gavrosh)

gavrosh — Thu, 17 Jun 2010 10:40:02 +0000

т.е. теоретически я говорю через групповую политику — Служба WinRM включись, и оно работает, так?

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (Argon)

Argon — Thu, 17 Jun 2010 10:26:48 +0000

Конечно есть, через WSUS распространяете последний .Net Framework, разрешаете в групповых политиках запрашивать опциональные обновления, после этого клиенты у WSUS-а спросят WinRM 2.0, его и одобряем. Вот WinRM и установлен на всех компах.

А телнет немного для другого сделан.

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (gavrosh)

gavrosh — Thu, 17 Jun 2010 10:18:58 +0000

и ещё вопрос, может глупый), а чем телнет плох?

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (gavrosh)

gavrosh — Thu, 17 Jun 2010 10:15:27 +0000

А централизованного механизма развёртывания WinRM в домене никакого нет? а то ведь опухнешь на всех клиентах настраивать(

Комментарий к записи Forefront Client Security (Argon)

Argon — Tue, 25 May 2010 15:50:57 +0000

Security Essentials разрешается использовать только на домашних компьютерах.

Использование в любых организациях — нарушение лицензионного соглашения.

Если хочется сэкономить, то можно использовать FCS в организации без сервера управления.

Комментарий к записи Forefront Client Security (bw)

bw — Tue, 25 May 2010 15:16:48 +0000

Добрый день, спасибо за статью. Возник вопрос: Security Essentials можно использовать на предприятии или нет? не важно что он не управляем из единого центра. В моём WSUS 3 sp1 для него есть уже несколько обновлений за май.

Комментарий к записи Forefront Client Security (Argon)

Argon — Wed, 19 May 2010 07:32:59 +0000

Верно, в уст/удал программ нужно изменить состав компонентов SQL Server’a, напоминаю, что версия должна быть не ниже Standard. Насколько знаю, если предварительные требования для Reporting Services не выполнены, то и установка их не пойдёт. Если этот компонент доступен для установки, то его нужно сконфигурировать автоматически, на IIS веб-сайт по умолчанию и т. п.

Также есть возможность после установки «пуске» зайти в Reporting Services Configuration, в этой утилите можно и вручную настроить многие параметры, в том числе и приложения IIS.

Комментарий к записи Forefront Client Security (Константин)

Константин — Wed, 19 May 2010 06:18:38 +0000

Да, в диспетчере IIS нет данных приложений, не очень точно понял что значить переустановить Report Service, в установке и удалении программ выбрал пункт «изменить» и в процессе установки поставил флажок напротив Reporting Service, но это не помогло…
Если существенно, то FCS я решил разворачивать уже на существующем сервере W2k3r2sp2rus x32, на нем уже настроен боевой WSUS (без использования SQL) и в управлении IIS есть приложение Администрирование WSUS

Комментарий к записи Forefront Client Security (Argon)

Argon — Tue, 18 May 2010 15:15:31 +0000

Запустите диспетчер IIS, откройте веб сайт по умолчанию. В нем должны быть созданы приложения Reports и ReportServer. Если их нет, значит установка компонента Reporting из состава SQL Server’a прошла некорректно. Попробуйте переустановить этот компонент.

В случае дальнейших проблем, пишите сюда. Обещаю отвечать быстрее ;)

Комментарий к записи Forefront Client Security (Константин)

Константин — Wed, 12 May 2010 04:59:00 +0000

«Чтобы проверить, корректно ли установились Reporting Services, пробуем зайти IE (с отключенным режимом Enhanced Security) на адрес http://localhost/Reports/. Если ошибок нет, то продолжаем. Если есть, пишите в комментарии.»

Здравствуйте, открывается с ошибками:

Не удается найти требуемую страницу
Запрошенная страница удалена, переименована или временно недоступна.

Режим Enhanced Security отключил.

Комментарий к записи Windows Server 2008 R2: Server Core and Hyper-V Server (am1goo)

am1goo — Thu, 29 Apr 2010 12:24:35 +0000

Рад что у нас в Кирове есть еще MCITP:)
И статьи интересные, могу помочь в написании если что) Конечно до EA дорасти не удалось (всего лишь MCTS), но я думаю оно не за горами, только экзамены сдать)))
А так я тебя в аську добавил, там и про ПоЕ свичи договоримся, да и так)

Комментарий к записи Windows Server 2008 R2: Server Core and Hyper-V Server (dimokkk)

dimokkk — Fri, 12 Mar 2010 19:10:29 +0000

Все равно тяжело себя приучить работать в коммандной строке Core, кто бы что ни говорил гуйни не хватает!

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (Argon)

Argon — Mon, 01 Mar 2010 16:27:41 +0000

Спасибо за полезный комментарии, среди моря лести спамеров.

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (Тойво Глумов)

Тойво Глумов — Mon, 01 Mar 2010 16:07:50 +0000

«Прелесть WinRM заключается в прост-а-те развертывания в доменной» — думаю, стоит поправить опечатку.

Комментарий к записи Forefront Client Security (Argon)

Argon — Sat, 20 Feb 2010 06:18:42 +0000

На моем ресурсе комменты проходят премодерацию, прямые ссылки не публикуются. Спамеры, не напрягайтесь!

Комментарий к записи Forefront Client Security (AlexeyChop)

AlexeyChop — Sat, 20 Feb 2010 00:25:34 +0000

Доброе время суток! Я работаю журналистом в одном из новых издательств и как раз ныне пишу статью по подобной Вашей тематике! Не могли бы Вы дать разрешение на публикацию Вашего материала в нашем печатном изданииб естественно с указанием ссылки на данную статью! Заранее благодарен!

Комментарий к записи Душевные терзания (Argon)

Argon — Sat, 13 Feb 2010 11:13:36 +0000

Спасибо! Будем оба развиваться дальше!

Комментарий к записи Душевные терзания (iKatod)

iKatod — Sat, 13 Feb 2010 10:49:25 +0000

Новый дизайн клевый

Комментарий к записи Душевные терзания (iKatod)

iKatod — Sat, 13 Feb 2010 10:48:10 +0000

Мой твиттер =)

Комментарий к записи Душевные терзания (iKatod)

iKatod — Sat, 13 Feb 2010 10:47:42 +0000

Аргон аааа. Дружище ты начал писать! Ты большой молодец … Ура тебе … У меня то же многое произошло, я прошел экзамен на шатерсток … =))) мои векторы немножко продаются … Мужчина я рад что снова Аргон онлайн … Без запятых ибо прет меня от радости и не хочу останавливаться =) Рад