Комментарии на сайте Argon On-Line Blog

Комментарий к записи Forefront Endpoint Protection 2010 (Argon)

Argon — Thu, 09 Feb 2012 13:32:54 +0000

Привет.

Создать две разные политики, одну строгую, другую с возможностью настройки пользователями.

Далее предлагаю два варианта.

1. Привязать политики к разным OU/Коллекциям.
2. Создать группы в AD, включить в них нужные учетки компьютеров, для политик использовать фильтрацию по группам.

Комментарий к записи Lync 2010 Mobility (Argon)

Argon — Thu, 09 Feb 2012 13:11:42 +0000

Привет. StartSSL бесплатно SAN не дают. Если нужен именно SAN, то я бы не рекомендовал StartSSL, так как пусть даже платный сертификат от этого CA признаётся не всеми клиентами, в отличае от, например, Comodo.

Для чего использую — Lync Edge, Lync Web, Exchange OWS, Remote Desktop Gateway, SSTP VPN…

Комментарий к записи Lync 2010 Mobility (Evgeniy Protopopov)

Evgeniy Protopopov — Thu, 02 Feb 2012 15:06:45 +0000

Игорь, добрый день!
А можете рассказать немного подробней про StartSSL? Есть ли там возможность создавать SAN-сертификаты для Lync Edge? Действительно ли они бесплатные? И для чего еще вы их используете?

Комментарий к записи Forefront Endpoint Protection 2010 (mesmer)

mesmer — Thu, 02 Feb 2012 13:59:26 +0000

Приветствую, продублирую сюда вопрос с технета, потому как там молчком все:

антивирус ставится на OU AD, есть в AD OU «ITC»

Суть такова, что политики я не создавал для FEP, а просто изменил в стандартных нужные значения.

В наш отдел IT тоже на некоторых машинах развернул FEP, но люди жалуются, что все под себя антивирус взял, и удаляет и т.д., а им это как бы и не нужно.

Вот поясните мне, как мне правильно сделать для нашего отдела?

мои мысли таковы:

создать новую политику (опять же с приоритетами как? или указать. что она нужна для нужной коллекции?), дабы сами пользователи могли выбирать, что удалять и т.д.

создать коллекцию под эту политику, а вот здесь тоже не понятно каким образом мне указать при создании, чтобы в ней помещались машины из этой OU. какой параметр/критерий надо указать, дабы в дальнейшем на эту коллекцию развернуть НУЖНУЮ политику.

Комментарий к записи Как включить запись звука через RDP (ДЕН)

ДЕН — Wed, 01 Feb 2012 12:55:39 +0000

сделал все по инструкции для win 7 x64 — в записывающих устройствах ничего не появилось.

Комментарий к записи Как включить запись звука через RDP (Stanky)

Stanky — Sat, 28 Jan 2012 08:37:27 +0000

Небольшое добавление: правка реестра требуется на системах Windows Server 2008 R2 и Windows 7 Enterprise Edition — на Ultimate Edition данный параметр присутствует изначально. Честно говоря, такой подход мне совершенно непонятен — чего ради, тогда, были созданы соответствующие политики?

Комментарий к записи Особенности работы программного RAID в Windows Server (Argon)

Argon — Tue, 24 Jan 2012 00:31:52 +0000

Одним из преимуществ софтрейда является то, что его достаточно просто перенести на другой комп: для Win RAID вообще ничего не нужно, кроме поддержки со стороны ОС, для Intel — аналогичный чип на материнке.

Комментарий к записи Особенности работы программного RAID в Windows Server (Александр)

Александр — Mon, 23 Jan 2012 17:48:25 +0000

Статья очень заинтересовала посколько сам использую софт рейд. Если материнская плата не запускается насколько сложно восстановить информацию?

Комментарий к записи Lync 2010 Mobility (Argon)

Argon — Tue, 17 Jan 2012 17:53:06 +0000

Кстати, проверил, мобильный клиент действительно использует Edge чуть менее, чем никак.

Видимо потому он так куц на функционал, что SIP-а в нем нёт в принципе…

Комментарий к записи Lync 2010 Mobility (Alexander Donin)

Alexander Donin — Tue, 17 Jan 2012 16:33:01 +0000

бррр… не на внешнее имя, а на IP для которого настроено правило публикации Lync FE 443-> 4443 :))

Комментарий к записи Lync 2010 Mobility (Alexander Donin)

Alexander Donin — Tue, 17 Jan 2012 16:30:50 +0000

A Edge тут причем?

Только lyncdisсover и внешнее имя веб-сервера должны указавать на внешнее имя reverse Proxy.

Другие клиенты, кроме мобильных, lyncdiscover не используют.

Комментарий к записи Lync 2010 Mobility (Argon)

Argon — Tue, 17 Jan 2012 15:22:15 +0000

Да, вполне элегантно! Только нужно учитывать, что и все остальные адреса (edge, reverse proxy) должны разрешаться на наружные интерфейсы (что проблема для split brain DNS), и через них пойдёт трафик пользователей. А не непрямую на front-end, что приятно.

Комментарий к записи Lync 2010 Mobility (Alexander Donin)

Alexander Donin — Tue, 17 Jan 2012 09:47:17 +0000

Если подключенный (по WiFi) во внутреннюю сеть предприятия Lync Mobile не работает, но работает из внешней сети, то происходит это вероятнее всего потому, что внутренние службы Lync Server используют SSL-сертификаты, выпущенные корневым CA предприятия. Чтобы Lync Mobile начал подключаться из внутренней сети, достаточно сотрудникам разослать e-mail с сертификатом корпоративного CA и инструкцией по его установке.

Есть другой, более элегантный способ:
НЕ создаем запись lyncdiscoverinternal
Даем клиентам из WiFi сети доступ к lyncdiscover на reverse proxy, где у нас стоит публичный сертификат.

Комментарий к записи Lync 2010 Mobility (Argon)

Argon — Mon, 16 Jan 2012 16:08:20 +0000

Про StartSSL.

Вот накопал KB931125, из нее следует, что сертификат CA StartSSL устанавливается вместе с обновлениями даже на стрые ОС типа XP, на которых его изначально не было.

Изначально присутствует в Win7/Server2008R2.

Для федерации с дугими Lync-ами вполне пригоден (в том числе проходит тест Remote Connectivity Analyzer), а вот OCS, поставленый на Win2003 и не обновляемый, вполне может и не доверять.

Комментарий к записи Forefront Endpoint Protection 2010 (mesmer)

mesmer — Mon, 16 Jan 2012 10:59:25 +0000

Что-то не выходит каменный цветок.
В DNS _tcp:
запись SRV имеет порт (79)
это верно?
на компе, файл ClientLocation.log:

Требуется все же расширение?
как бы все в тестовом режиме хотелось бы погонять неск.месяцев, дабы сеть не забивать лишним. да потом все удалить или в конце кнцов на «рабочем» сервере все сделать и сайт и коллекции. на данном этапе хотелось бы пока эвалюшен версия FEP не десяток компьютеров поставить.
это расширение как я понимаю дополняет атрибуты какието в 2003 схему леса. и как понимаю есть нюансы необходимости таких шагов.
что интересно в коллекции этот компьютер есть, в поле код сайта (OBL)
Клиент — Нет
Одобрено — Н/Д
Назначено — Да

Комментарий к записи Lync 2010 Mobility (iadmin)

iadmin — Mon, 16 Jan 2012 08:06:19 +0000

Спасибо, познавательно.
Про StartSSL, да, он есть только на некоторых клиентских системах, в том числе поэтому не подходит для организации федераций.

Комментарий к записи Forefront Endpoint Protection 2010 (Argon)

Argon — Sun, 15 Jan 2012 14:00:34 +0000

Привет!

В данном случае, думаю что все проблемы исходят от неправильной установки агента SCCM. Я бы снес текущий и сделал начисто push установку агента, с использованием доменной учетки с админскими правами на клиентской машине.

Комментарий к записи Forefront Endpoint Protection 2010 (mesmer)

mesmer — Sun, 15 Jan 2012 10:59:57 +0000

Добрый день!
Как-то я забросил тестирование FEP.
Решил опять этим заняться.
Что сделано:
установлен на тестовый win2003 SCCM SP2 R2,
не внедрял в AD (и схему не расширял),лишь в DNS запись автоматом прописалась.
выбрал границы (по IP), выбрал OU в AD, и вижу в коллекциях мой клиентский комп.
клиент как-то установился на этом компе:
но если в нем посмотреть «дополнительно», то не вижу ни записи о сайте, ни его код.
при указании Deploy FEP в логах этого компа:

«Настройки разрешений зависящие от конкретного приложения не предоставляют разрешение Локально Запуск для приложения сервера COM Server с CLSID
{135D7881-D666-4046-A1DF-7EC7B5785A67}»
«Поставщик PolicyAgentInstanceProvider зарегистрирован в пространстве имен WMI root\ccm\Policy\Machine с правами локальной системы. Это может привести к нарушениям зашиты, если поставщику не удастся олицетворить запрос пользователя.»
«Не найдено описание для события с кодом ( 1042 ) в источнике ( MsiInstaller ). Возможно, на локальном компьютере нет нужных данных в реестре или файлов DLL сообщений для отображения сообщений удаленного компьютера. Попробуйте использовать ключ /AUXSOURCE= для получения этого описания, — дополнительные сведения об этом содержатся в справке. В записи события содержится следующая информация: C:\WINDOWS\system32\ccmsetup\{9B236306-42D4-496A-AEB3-B3B039116478}\client.msi; 4028; (NULL); (NULL); (NULL); ; .»
и собственно FEP не ставится.
что-то где-то надо подправить?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 10 Jan 2012 10:47:39 +0000

Кстати, поставил себе на тестовыю лабу бесплатный сертификат от startssl — все тесты проходит, федерация работает.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (SIDERMAN)

SIDERMAN — Tue, 10 Jan 2012 06:56:02 +0000

понятно, спасибо. Просто сбила с толку фраза:
Even though the certificate subject name is equal to the access Edge FQDN

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Mon, 09 Jan 2012 17:55:33 +0000

Для внешнего сертификата в Subject (Common) Name либо в SAN должно быть имя из External Settings (access/sip, webconf, av).

Кстити, netbios имена вообще нигде не должны использоваться, только FQDN. Для внутреннего сертификата, соответсвенно, внутренее полное DNS-имя. Если Edge развернут на компе в рабочей группе, то на этом компе должен быть прописан осоновной DNS-суффикс.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (SIDERMAN)

SIDERMAN — Mon, 09 Jan 2012 17:50:22 +0000

а в subject name должно тоже быть имя из external settings или нетбиос имя сервера указанное в топологии?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Sun, 08 Jan 2012 20:38:31 +0000

Коллеги, хочу уточнить следующие моменты

Vladimir
так как имя сервера lync-edge и в топологии lync везде фигурирует именно это имя
а сервер уже в работе и менять имя, топологию, а следовательно и переустанавливать lync на edge как то нехорошо))

Нельзя менять внутреннее имя сервера, это так. Однако, в редакторе топологии можно легко поменять внешнее имя в разделе Edge server configuration > External Settings.

Именно это имя (или имена) должно содержаться во внешнем SSL сертификате.

Сообщение «Warning: The chain of the certificate ### is invalid» говорит о том, что не вся цепочка сертификатов валидна на локальном компьютере. Скорее всего, пропущен какой-то Intermediate центр сертификации. Проверить это легко, если открыть свойства выданного сертификата (.cer) и проверить цепочку. Если там есть какие-то проблемы, то доустановить пропущенные CA в хранилища Root или Intermediate компьютера. Цепочка должна заканчиваться на корневом, самоподписанном CA.

Комментарий к записи Как перенести базы данных SharePoint 2010 на другой SQL сервер (Argon)

Argon — Sun, 08 Jan 2012 20:28:45 +0000

Рад помочь!

Комментарий к записи Установка Office Communications Server 2007 R2 на Windows Server 2008 R2 (Argon)

Argon — Sun, 08 Jan 2012 20:25:50 +0000

Рад помочь!

Кстати, для Windows Server 2008 R2 SP1 путь немного изменился, новый выглядит так:

C:\Windows\servicing\Packages\Microsoft-Windows-Media-Format-Package~31bf3856ad364e35~amd64~~6.1.7601.17514.mum

Комментарий к записи Как установить SQL Server на Read Only Domain Controller (Argon)

Argon — Sun, 08 Jan 2012 20:24:13 +0000

Рад помочь!

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (SIDERMAN)

SIDERMAN — Sun, 08 Jan 2012 18:29:55 +0000

Vladimir, у меня подобная ситуация: SRV-запись lync-edge.domain.com, но имя сервера lync01.domain.com
в топологии указано имя edge-сервера — lync01.domain.com а в настройках топологии edge — в разделе SIP Access, Conferencing, A/V… — lync-edge.domain.com
появляется путаница, так как в доках технета сказано «Even though the certificate subject name is equal to the access Edge FQDN» — отсюда вопрос Edge FQDN — это имя сервера топологии, либо имя прописанное в настройках Edge, во внешнем днсе?
И вообще работает ли при такой конфигурации Edge с внешним сертификатом
Я так понял, что у вас возникли проблемы, хотя судя из ошибки такое чувство что просто ошибка в написании отпечатка..

Комментарий к записи Как установить SQL Server на Read Only Domain Controller (kavkis)

kavkis — Sat, 07 Jan 2012 11:51:37 +0000

спасибо за помощь в установке

Комментарий к записи Как перенести базы данных SharePoint 2010 на другой SQL сервер (arxont)

arxont — Tue, 03 Jan 2012 02:28:55 +0000

Добрый день! Большое спасибо за статью! Очень помогло! :)

Комментарий к записи Установка Office Communications Server 2007 R2 на Windows Server 2008 R2 (Bahrom)

Bahrom — Fri, 30 Dec 2011 09:42:46 +0000

>> pkgmgr.exe /ip /m:»C:\Windows\servicing\Packages\Microsoft-Windows-Media-Format-Package~31bf3856ad364e35~amd64~~6.1.7600.16385.mum»

мне очень помогло.
огромний СПОСИБО!!!

Комментарий к записи Проектирование схемы именования объектов (mag_box2)

mag_box2 — Wed, 28 Dec 2011 06:55:44 +0000

>SR-PSSRV001 (сервер-принт-сервер-сервер-номер001) — слово >«сервер» закодировано 3 раза, порядковый номер 3-разрядный, >хотя таких серверов всего 2 штуки

Все рекомендации хороши, но сервер, потом еще раз сервер ?
советую подумать над таким вариантом:
(Первые 2 буквы регион ) — (Принт-сервер)(номер) зачем 3 раза кодировать srv ?
например организация распределена по регионам
петропавловские сервера:
pp-dcs001 (петропавловский — домен контролер сервер 001)
pp-ps001 (петропавловский принт сервер 001)
pp-fs001( это файловый )

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Vladimir)

Vladimir — Fri, 23 Dec 2011 15:00:27 +0000

получили временный сертификат на lync-edge.xxx.ru
импортировал в wizard`е, пишит invalid как и в статье.
чз power shell выполнил
Set-CSCertificate -Type AccessEdgeExternal,DataEdgeExternal,AudioVideoAuthentication -Thumbprint «отпечаток из сертификата lync-edge.marya.ru» -Verbose -Confirm:$false -Report «C:\Argon\CertInstall.html»
выполняет с 1 warning
и в отчёте пишет:
Warning: The chain of the certificate «отпечаток из сертификата lync-edge.marya.ru» is invalid.
и в wizard так же сертификат invalid и тест
https://www.testocsconnectivity.com/
не проходит по ошибке: The SSLCertificate failed one or more certificate
может быть есть какие-нибудь идеи?
заранее спасибо.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Vladimir)

Vladimir — Fri, 23 Dec 2011 09:34:49 +0000

поменять SRV запись несложно (так как и sip.xxx.ru и lync-edge.xxx.ru ссылаются на один и тот же ip адрес)
а вот выписать сертификат на sip проблематично,
так как имя сервера lync-edge и в топологии lync везде фигурирует именно это имя
а сервер уже в работе и менять имя, топологию, а следовательно и переустанавливать lync на edge как то нехорошо))

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Thu, 22 Dec 2011 19:27:16 +0000

Я бы рекомендовал поправить SRV-записи на sip.xxx.ru, и на это имя выписать сертификат. Собственно, об этом и статья.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Vladimir)

Vladimir — Thu, 22 Dec 2011 15:49:31 +0000

у нас в srv записи используется lync-edge как раз ))
и при создании запроса чз GUI в запрос как то прописывается SAN sip, хотя это не указываю.
а из power shell только lync-edge, без SAN
попробую бесплатный триальный сертификат на lync-edge получить и с ним попробовать push notification

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Thu, 22 Dec 2011 14:52:55 +0000

Для формирования запросов я всегда использовал GUI, через PowerShell не так наглядно и вероятность ошибки больше.

Для публикации Edge достаточно сертификата на имя sip.xxx.ru, если в SRV-записях используется оно же.

UC-сертификат отличается от остальных SAN сертификатов, что позволяет добавить в SAN локальные DNS-имена типа lync.domain.local. Нам на эдж это не требуется.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Vladimir)

Vladimir — Thu, 22 Dec 2011 14:34:45 +0000

Спасибо!
По этой ссылке я как раз и настраивал))
Все команды прошли без ошибок, только тесты выходят с ошибкой 504 — как я выше писал.
Если есть опыт — не знаете какой лучше запрос на сертификат сделать?
Request-CSCertificate -New -Type AccessEdgeExternal,DataEdgeExternal,AudioVideoAuthentication -FriendlyName «Lync Edge External» -DomainName «lync-edge.xxx.ru,sip.xxx.ru» -KeySize 2048 -PrivateKeyExportable $True -ClientEKU $True -output c:\cert.txt
И запрашивать надо UCC сертификат?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Thu, 22 Dec 2011 13:31:58 +0000

Привет. Push уведомления работают через сервисы на площадке Microsoft, и соответсвенно, требуют настройки федерации с ними. А федереация не возможна без валидного SSL сертификата. Более полробно по настроеке Lync Mobility Push я нашел здесь.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Vladimir)

Vladimir — Thu, 22 Dec 2011 12:31:06 +0000

Здравствуйте.
настроен lync mobility и работает
внутреннее имя edge server — lync-edge-srv01.xxx.o (оно фигурирует в топологии)
внешнее имя edge server — lync-edge.xxx.ru
внешний сертификат на edge не установлен (для lync-edge.xxx.ru), только для внутреннего домена (xxx.o)
не работает push notification
при тестах:
Test-CsMcxPushNotification -AccessEdgeFqdn lync-edge-srv01.xxx.o
Test-CsFederatedPartner -TargetFqdn lync-edge-srv01.xxx.o -Domain push.lync.com -ProxyFqdn sipfed.online.lync.com
выдаётся ошибка
Test-CsMcxPushNotification : A 504 (Server time-out) response was received from the network and the operation failed. See the exception details for more information.
Подскажите, пожалуйста, поможет ли приобретение сертификата по запросу:
Request-CSCertificate -New -Type AccessEdgeExternal,DataEdgeExternal,AudioVideoAuthentication -FriendlyName «Lync Edge External» -DomainName «lync-edge.xxx.ru,sip.xxx.ru» -KeySize 2048 -PrivateKeyExportable $True -ClientEKU $True -output c:\cert.txt
или нужно что то другое?
Заранее спасибо.

Комментарий к записи О быстроте Internet Explorer 9 (Argon)

Argon — Thu, 08 Dec 2011 10:54:27 +0000

IE9 на машине с TMG использовал, проблем не было. А вот консоль Lync Server на 9 IE ругается, говорит, он слишком стар для неё ;)

Комментарий к записи О быстроте Internet Explorer 9 (Alex)

Alex — Wed, 07 Dec 2011 14:09:51 +0000

А не встречались с такой прикольной вещью, как неработоспособность консоли управления Forefront TMG на машине с установленным IE9 ??? :)

Комментарий к записи Как интегрировать обновления в дистрибутив TMG (Argon)

Argon — Tue, 29 Nov 2011 14:51:45 +0000

Не пробовал, так как SQLExpress2008SP1.exe содержит цифровую подпись. Вот если бы прямо в коде инсталлятора TMG не было прописано это имя файла, а было бы, допустим, в .ini, то был бы смысл распаковать дистриб и внедрить в него сервис пак. И оставить так, как есть.

Комментарий к записи Как интегрировать обновления в дистрибутив TMG (Александр)

Александр — Tue, 29 Nov 2011 13:53:50 +0000

а не пробовали интегрировать в sql сервер сервисы паки? т.е. распаковать его, обновить и заново запаковать (ну или подменить в инсталяторе)

Комментарий к записи Проектирование схемы именования объектов (Bulat)

Bulat — Thu, 24 Nov 2011 10:07:11 +0000

В продолжение темы рекомендую к прочтению книгу «Windows Administration. Productivity Solutions for IT Professionals. Resource Kit».
В переводе называется «Эффективное администрирование. Ресурсы Windows Server 2008, Windows Vista, Windows XP, Windows Server 2003 (+ CD-ROM)» — доступна к примеру тут:
http://www.ozon.ru/context/detail/id/4307204/.
—
В книге есть глава посвящённая «лучшим практикам» по именованию групп с подробными разъяснениями и примерами.

Комментарий к записи Windows Deployment Services (Argon)

Argon — Wed, 23 Nov 2011 16:44:06 +0000

Поможет вот эта статья: Add a Device Driver to an Offline Windows PE Image. Для добавления драйверов развертываемый образ, можно использовать как онлайн добавление драйверов (из самой операционки), так и оффлайн, прямо в образ: Add and Remove Drivers Offline.

Комментарий к записи Windows Deployment Services (Fanta)

Fanta — Wed, 23 Nov 2011 07:01:33 +0000

подскажите как добавить дрова на сетевушку в Setup Boot Image??? Есть ряд ПК (новые причем) для которых вин7 не содержит в себе дрова на сеть.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Eugene)

Eugene — Mon, 14 Nov 2011 13:58:10 +0000

Большое спасибо за развернутый ответ

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Mon, 14 Nov 2011 08:47:13 +0000

Может правильным было настроить сервер времени на хостовой машине и всех синхронизировать уже с ней(кстати у меня она не в домене)?

Годный вариант, но синхронизировать с ней только PDC, ни к чему корячить топологию синхронизации в AD. Это можно обозвать как назначение внутренней машины в качестве внутреннего источника времени. Сомнения по поводу убегания времени на виртуальной машине в случае отсутствия доступа к инету оправданы.

И еще вопрос, как распространить настройки синхронизации времени на машины домена?

Ничего не надо настраивать, все само будет, в пределах леса AD. Если хочешь корячить топологию, то unmanaged групповыми политиками (напрямую в реестр).

Машины в домене по-умолчанию синхронизируют время с ближайшим по топологии DC или это настраивается списком внешних источников для синхронизации?

Ближайшим в терминах сайтовой топологии, если не изменять настройки. Второй вариант — руками список источников вбить.

Как работает список внешних источников для синхронизации: синхронизация происходит спервым по списку, если не доступен то со следуюцим и т.д.; со всеми сразу; случайно с одним из списка?

В документах это не описано, но по опыту — по порядку. Также у каждого источника есть так называемый Stratum, чем он ниже, тем больше доверие к источнику. Текущий источник и его параметры можно посмотреть командой w32tm /monitor

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Eugene)

Eugene — Mon, 14 Nov 2011 04:49:07 +0000

Еще пару вопросов. Машины в домене по-умолчанию синхронизируют время с ближайшим по топологии DC или это настраивается списком внешних источников для синхронизации? Как работает список внешних источников для синхронизации: синхронизация происходит спервым по списку, если не доступен то со следуюцим и т.д.; со всеми сразу; случайно с одним из списка?

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Eugene)

Eugene — Mon, 14 Nov 2011 04:35:08 +0000

Argon, спасибо за статью, как раз то что нужно.
Настраиваю синхронизацию в своей сети, PDC находится на виртуальной машине и вот задумался, а что будет если после выключения и через некоторое время включения PDC будет отсутствовать интернет? Сервер не сможет синхронизировать время да еще и распространит неверные данные на остальных членов домена. Может правильным было настроить сервер времени на хостовой машине и всех синхронизировать уже с ней(кстати у меня она не в домене)? Или может подскажете другое решение. И еще вопрос, как распространить настройки синхронизации времени на машины домена?

Комментарий к записи Как установить SQL Server на Read Only Domain Controller (Argon)

Argon — Sat, 05 Nov 2011 08:20:24 +0000

Я описал, как исправить конкретную ошибку. Ставить следующую версию SQL не всегда нужно/хочется/поддерживается. И, тем более, на выделенную машину ;)

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Mon, 31 Oct 2011 14:14:50 +0000

Параметры реестра годятся и для WS2003. w32tm — да, работает иначе. Для WS2003 могу рекомендовать использовать net time.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Nicass)

Nicass — Mon, 31 Oct 2011 10:47:26 +0000

Бесполезная, Win2003 не работает

Комментарий к записи Как установить SQL Server на Read Only Domain Controller (Max)

Max — Fri, 28 Oct 2011 18:22:31 +0000

А почему не использовать MS SQL Server ExpressEdition 2008 R2 на этой или выделенной машине?

Кстати на него можно водрузить WSUS.

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Thu, 27 Oct 2011 17:20:52 +0000

Отлично, что все разрешилось! И мне польза будет, теперь точно буду знать о вреде IP-адресов в CRL, а не гадать.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Wed, 26 Oct 2011 06:42:17 +0000

Мда…а ведь ты оказался прав, причиной всей нашей полемики было не что иное, как использование в адресес списка отзыва IP. Ну не понимает этого тупая система проверки, хотя из браузера все нормально открывается, и все изначально было настроено вполне корректно. Совсем не понятны такие жесткие требования, ведь по IP гораздо проще проверить список отзыва, не привлекая к этому процессу разрешение имен. Ну да ладно, придется принять это как данность, от которой никуда не денешься, просто нужно взять на заметку.
Спасибо за помощь!!!

Комментарий к записи Настройка синхронизации времени в домене Active Directory (MatZO)

MatZO — Tue, 25 Oct 2011 13:33:07 +0000

Спасибо за помощь, очень толково описано

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Tue, 25 Oct 2011 07:36:17 +0000

1) попробую, конечно, но меня в IP-адресе, честно говоря, вообще ничего не смущает, по большому счету, должно работать еще лучше, чем по DNS :)
2) никаких прокси, все напрямую!
3) ну, собственно говоря, все действительно построено на 2008R2, но зачем абсолютно внешнему клиенту с улицы нужна публикация CRL/AIA в AD, если он все равно проверку должен осуществлять по http ?

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Mon, 24 Oct 2011 20:26:52 +0000

1. Меня смущает то, что в CRL/AIA сертификата на TS идет указание IP-адреса. Ни разу так не делал. Настоятельно рекомендую публиковать CRL/AIA по DNS-имени.

2. Также, проверить, что обращение к этому IP/DNS не идёт через прокси-сервер.

3. Если ЦС у тебя на винде, интегрированный с AD, то его нужно настроить на публикацию CRL/AIA в AD. Обычно так настроено по умолчанию.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Mon, 24 Oct 2011 18:27:48 +0000

отправил ссылку на архив с сертификатами в форму обратной связи

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Fri, 21 Oct 2011 13:02:56 +0000

«Все-таки показать мне живые сертификаты.»
Рутовый и RDP-шный?

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Fri, 21 Oct 2011 11:33:13 +0000

Что тут могу еще осоветовать…
1. Почистить хранилища компа/юзера от дублей сертификатов, который могут находится в разных категориях
2. Поставить радом второй Ent CA, можно подчиненный. И посмотреть, что будет.
3. Все-таки показать мне живые сертификаты.

Ну и лихи е пути…
4. Отключить в GPO проверку CRL для RDP
5. Через GPO установить на клиентские компы самоподписанные сертификаты TS в качестве доверенных.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Fri, 21 Oct 2011 07:03:07 +0000

«А если нажать на «просмотреть сертификат» в окне с предупреждением, выдает все тот же серт?»
Так он там же на картинке справа и показан.
«Сохранить на комп и проверить на валидность с помощью certutil.»
Сертификат валиден.
«Сохранить на комп и импортировать в хранилище «доверенные ЦC» компа, just for fun»
Ну и живет он там себе преспокойненько…
Вобщем ничего нового.

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Thu, 20 Oct 2011 22:54:06 +0000

Посмотрел. А если нажать на «просмотреть сертификат» в окне с предупреждением, выдает все тот же серт? Если его…

1. Сохранить на комп и проверить на валидность с помощью certutil.
2. Сохранить на комп и импортировать в хранилище «доверенные ЦC» компа, just for fun

Если в результате этих действий ничего нового не обнаружится, то присылай полные сертификаты, без приватных ключей, ессно.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Thu, 20 Oct 2011 20:48:16 +0000

отправил ссылку на архив со скринами в форму обратной связи

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Thu, 20 Oct 2011 19:11:20 +0000

Теперь по делу, можно выложить скрины свойств сертификатов, либо сами сертификаты. Если беспокоишься о конфиденциальности, то можно ссылки скинуть мне в форму обратной связи.

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Thu, 20 Oct 2011 19:06:44 +0000

XP действительно не проверяет CRL при подключении по RDP.
Скриншоты можно выложить на каком-нибудь image-хостинге типа imageshack.us, а сюда копипастить ссылки.
По поводу интересности статьи и количества комментов -- не самый весомый показатель. Лично я читаю море интересный статей, но комменты оставляю дай бог к одной из 300.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Thu, 20 Oct 2011 18:49:39 +0000

Статья написана больше года назад, если бы она была кому-то интересна, ее бы давно обсуждали, но это никому не интересно, кроме меня, потому что у меня реальная необходимость, а здесь я не могу даже скриншоты выложить…если это возможно, хотелось бы оперативного общения, иначе мы эту кашу будем жевать еще год…
Удалось проверить только с двух разных машин, на вин7 вываливается с ошибкой, на ХР работает без ошибок, доверие на уровне компьютера и там, и там.
Какие конфиги я должен сравнить? Может, ХР вовсе и не проверяет отзыв сертификатов?

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Thu, 20 Oct 2011 15:27:10 +0000

Конечно можем, но я считаю, что публичное обсуждение может быть полезно и другим читателям.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Thu, 20 Oct 2011 09:04:46 +0000

мы можем общаться по почте, а не на страницах сайта? в строке e-mail я всегда публикую свой адрес…

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Thu, 20 Oct 2011 08:09:20 +0000

Даж теряюсь, что еще предложить. Начнем с простого.

1. Проверить, что сертификат на терминале действительно доверен клиентским компьютеором, вся цепочка от сертификата до Root CA. Причем доверие должно быть не на уровне хранилища пользователя, а на уровне компьютера.

2. Если есть машины, при доступе с которых не возникает этой проблемы, то сравнить конфиги с больными.

3. Если еще не стоит, попробовать развернуть Online Responder. Правда при этом нужно сертификаты перевыпускать, чтоб они содержали инфу о нём.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Thu, 20 Oct 2011 07:52:19 +0000

requestFiltering allowDoubleEscaping=»true»

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Thu, 20 Oct 2011 07:51:49 +0000

все именно так и есть

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Wed, 19 Oct 2011 21:11:13 +0000

А это смотрел? Раньше на эту инструкцию технет ссылался в шагах по установке ЦА, сейчас пришлось отдельно поискать.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Wed, 19 Oct 2011 18:38:02 +0000

C:\Users\administrator>certutil -url c:\ts.cer
CertUtil: -URL — команда успешно выполнена.

Проверено базовый CRL бла-бла-бла

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Wed, 19 Oct 2011 07:25:56 +0000

Один раз попробовать проверить принудительно в контролируемой среде, чтобы найти и устранить причину. Про всех юзеров я и не говорил ;)

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Wed, 19 Oct 2011 06:44:16 +0000

Попробую, конечно, но проделать данную операцию на 150 пользователях нереально, хотелось бы, чтобы эти вещи отрабатывали автоматически, тем более, что для этого вроде все настроено, нужно разобраться в причинах, почему именно не отрабатывает проверка отзыва, а принудительно — это уже крайний случай…

Комментарий к записи Active Directory Certificate Services (Argon)

Argon — Tue, 18 Oct 2011 19:46:58 +0000

1. Зайди на комп, при подключении к которому есть проблемы, в оснастке сертификатов компьютера экспортируй сертификат, используемый для RDP в файл (без закррытого ключа). 2. Скинь этот сертификат на комп, при подключении с которого выдается ошибка проверки сертификатов. Выполни certutil -url name.cer Должна пройти проверка отзыва сертификата, либо по CRL, либо по OCSP.

Комментарий к записи Active Directory Certificate Services (Иван)

Иван — Tue, 18 Oct 2011 12:49:19 +0000

«Например соединение с удаленным рабочим столом отклоняется, выдавая ошибку:
Не удалось проверить, не был ли отозван этот сертификат.»

Игорь, добрый день!
Получаю именно такую ошибку, хотя, как мне кажется, настроил все верно, не могли бы помочь разобраться в данной проблеме?
Могу прислать скриншот, где четко видно, как все настроено, но не знаю, куда именно надо слать.
Заранее признателен за содействие.

Комментарий к записи Открытие MCP-клуба в Кирове (lizametrika)

lizametrika — Sat, 15 Oct 2011 05:40:13 +0000

Хороший сайт, отличный материал. Обновляйте почаще.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Александр)

Александр — Thu, 22 Sep 2011 07:38:23 +0000

Спасибо за толковую статью.

Комментарий к записи О пустых корневых доменах в Active Directory (gex)

gex — Wed, 07 Sep 2011 12:17:22 +0000

ответил

Комментарий к записи О пустых корневых доменах в Active Directory (Argon)

Argon — Wed, 07 Sep 2011 09:59:44 +0000

Спасибо за ссылку! Очень интересно. Там отписал своё мнение об извращениях над RODC.

Комментарий к записи О пустых корневых доменах в Active Directory (gex)

gex — Wed, 07 Sep 2011 06:21:47 +0000

>>>Да кому такая схема нужна будет, после таких-то надругательств ;)
ну просто никто и не заметит особо, что там классы и атрибуты новые появились. Чтобы заметить нужно реализовать использование на уровне приложения. Но тут можно и все-таки на проблему наткнуться, которая также решается. Если подытожить свою мысль, то я хотел сказать, что необходимо в комплексе смотреть безопасность и что компрометация контроллера со схемой мастера имеет не большую опасность чем компрометация любого контроллера.

по поводу RODC. Я тут статейку писал, как можно получить полномочия используя RODC:
http://gexeg.blogspot.com/2009/12/active-directory.html

Комментарий к записи О пустых корневых доменах в Active Directory (Argon)

Argon — Tue, 06 Sep 2011 21:08:43 +0000

Вот что нашел

A malicious user who compromises an RODC can attempt to configure it in such a way that it tries to replicate attributes that are defined in the RODC filtered attribute set. If the RODC tries to replicate those attributes from a domain controller that is running Windows Server 2008, the replication request is denied. However, if the RODC tries to replicate those attributes from a domain controller that is running Windows Server 2003, the replication request can succeed. Therefore, as a security precaution, ensure that forest functional level is Windows Server 2008 if you plan to configure the RODC filtered attribute set. When the forest functional level is Windows Server 2008, an RODC that is compromised cannot be exploited in this manner because domain controllers that are running Windows Server 2003 are not allowed in the forest.

Комментарий к записи О пустых корневых доменах в Active Directory (Argon)

Argon — Tue, 06 Sep 2011 21:02:14 +0000

gex, спасибо за комменты!

Во многом согласен, особенно с развеянием мифов по поводу «безопасности» мастера схемы в корневом домене.

А вот с инфой о практической реализации возможности наделать гадостей, имея прямой доступ только к RODC, пока не сталкивался.

Если сцылок накидаешь, буду рад :)

вот возьмите учетку со schema admin и попробуйте нарушить работу службы каталогов.. :) создали много классов? атрибутов? что еще можете сделать?

Да кому такая схема нужна будет, после таких-то надругательств ;)

Комментарий к записи О пустых корневых доменах в Active Directory (gex)

gex — Tue, 06 Sep 2011 18:31:15 +0000

еще в догонку по схеме.. и по мастеру:
корневым доменом его не скроешь и не спрячешь, а тем более не защитишь…
Очень легко посмотреть где мастер схемы. Это раз.
Очень легко форсануть схема мастера куда угодно, имея физический доступ к любому RwDC, а иногда и RoDC. И тогда делай все что хочешь. Это два. Но опять же, «все что хочешь» — это слишком громко сказано, поскольку DSA на схему накладывает очень большие ограничения на расширение. Ключевое слово расширение. Начиная с 2003 ограничений только прибавилось.

Комментарий к записи О пустых корневых доменах в Active Directory (gex)

gex — Tue, 06 Sep 2011 17:10:24 +0000

>>>контроллеры домена только для чтения позволяют больше особо не беспокоиться за их безопасность при размещении в подозрительных местах: даже прямой физический доступ к такому контроллеру не угрожает безопасности административных учетных записей
это не совсем так. физический доступ к такому контроллеру всеже при неправильной политике администрирования может привести к плохим последствиям.. все таки он только на уровне DSA read-only.. а так изменяй — нехочу..

>>>Если иерархия доменов в пределах одного леса строиться именно по перечисленным выше причинам, то вполне разумно в качестве корня иерархии использовать «пустой» домен, который не будет выполнять никаких ответственных функций, кроме как логического корня и высшей точки назначения привилегий.
ну какбы иерархия доменов в назначении привилегий не играет…

вообще можно добавить еще один миф: доступ к схеме-мастеру не приводит к компрометации :) вот возьмите учетку со schema admin и попробуйте нарушить работу службы каталогов.. :) создали много классов? атрибутов? что еще можете сделать? модифицировать системную часть схемы можете?

Комментарий к записи О пустых корневых доменах в Active Directory (Argon)

Argon — Tue, 06 Sep 2011 07:50:54 +0000

Верно. Я даж где-то читал, что рекомендуют корневой домен со схема-мастером именно таким образом «прятать» от посторонних глаз.

Однако, для варианта Forest Trust этот дополнительный уровень все равно удлинняет цепочку аутентификации (Kerberos, NTLM).

Комментарий к записи О пустых корневых доменах в Active Directory (Stanislav Buldakov)

Stanislav Buldakov — Tue, 06 Sep 2011 06:22:43 +0000

«Общая логическая иерархия AD увеличивается дополнительным уровнем, удлиняя имя домена, цепочку разрешения имён и аутентификации при работе с доверительными отношениями с другими лесами.» — не всегда так. Ничто не мешает в рамках одного леса создать корневой домен root.local и «дочерние» домены domain1.local, domain2.local итд. Настройки доверия между лесами при этом могут немного усложниться (за счёт дополнительных dns-форвардеров), зато имена станут короче =)

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (Argon)

Argon — Mon, 05 Sep 2011 20:33:20 +0000

Нужно убедиться, что предыдущие шаги были выполнены успешно ;)

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (HarpyWar)

HarpyWar — Mon, 05 Sep 2011 18:30:49 +0000

Что делать, если пишет нет разрешения?

C:\Program Files\Microsoft SQL Server\100\Tools\Binn>sqlcmd -E
1> EXEC sp_addsrvrolemember ‘WIN-58VES4PDRM8\Администратор’, ‘sysadmin’
2> GO
Сообщение 15247, уровень 16, состояние 1, сервер WIN-58VES4PDRM8\SQLEXPRESS, про
цедура sp_addsrvrolemember, строка 29
У пользователя нет разрешений на выполнение данного действия.

Комментарий к записи Интеграция Lync Server 2010 и Asterisk 1.8 (Argon)

Argon — Sun, 04 Sep 2011 13:17:57 +0000

Дмитрий, я бы в первую очередь смотрел журналы SIP на стороне Lync и Asterisk. Недавно один из коллег, с которым я на форумах общался, запостил еще одни волкграунд. Возможно, пригодиться.

Комментарий к записи Интеграция Lync Server 2010 и Asterisk 1.8 (Дмитрий)

Дмитрий — Thu, 01 Sep 2011 12:08:38 +0000

не работает Lync по этому руководству. звонки только в одну сторону на Lync абонентов, обратно же, ничего не происходит. бьюсь уже неделю,понять не могу где косяк.
.Lync 2010 , asterisk 1.8.5

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Argon)

Argon — Wed, 31 Aug 2011 06:58:34 +0000

Сколько не пытался, и базу напрямую правил, и атрибуты юзеров мучал — не получилось. В Response Group работают только пользователи Lync Client. А вот наоборот PBX > Ex UM > Lync RG — работать будет.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Bulat)

Bulat — Wed, 31 Aug 2011 05:42:11 +0000

P.S. Спасибо за интересную статью.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Bulat)

Bulat — Wed, 31 Aug 2011 05:41:21 +0000

>>> «я обнаружил еще одну пренеприятнейшую особенность: в группу дозвона (Hunt Group в терминах телефонии, Response Group в терминах Lync) можно добавлять только стандартных пользователей Lync Server.»

———
А «AutoAttendant(Exchange2010)» для Lync Server также является нестандартным пользователем?

Попытался указать в Responce Group телефон AutoAttendant на Exchange — безуспешно.
Пробовал различные способы: 1) в настройках группы («Lync Control Panel» -> «Responce Group» -> «Group») в параметре «Use an existing email distribution list» — указал адрес «distribution list», членом в которой является mail-enabled контакт «AutoAttendant», 2) в очереди «queue» в параметре «enable queue time-out» пытался указать в «Call Action» -> «Forward to sip address» указать адрес «AutoAttendant»).
—
В итоге сценарий:
Ext/int call -> Lync Server Responce Group -> Autoattendant Exchange
реализуем в принципе?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 16 Aug 2011 20:28:35 +0000

Test, прости что поздно отвечаю, упустил твой коммент.

Логин/пароль, видимо, сохранён в Win Secure Store, посмотреть его можно из панели управления, либо командой:
cmdkey /list

Комментарий к записи Проектирование схемы именования объектов (Argon)

Argon — Mon, 15 Aug 2011 11:31:14 +0000

Спасибо! Как я раньше это не находил, удивляюсь…

Годная статья, добавлю в ссылки.

Слуш, а у тебя инфайта на хабру не найдётся?

Комментарий к записи Проектирование схемы именования объектов (lujana)

lujana — Mon, 15 Aug 2011 08:02:44 +0000

Есть еще одна замечательная статья по этому поводу.

http://habrahabr.ru/blogs/it-infrastructure/93423/

Комментарий к записи Windows Server 2008 R2: Server Core and Hyper-V Server (Aleksa106)

Aleksa106 — Wed, 10 Aug 2011 13:29:38 +0000

Спасибо за NVSPBind…выручило.

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (Олег)

Олег — Tue, 05 Jul 2011 15:15:44 +0000

1000 благодарностей думал кирдык, аж вспотел! молодца! огромное спасибо еще раз

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Test)

Test — Fri, 01 Jul 2011 13:40:17 +0000

Компьютер не в домене, снаружи через Линк клиента захожу под любым SIP аккаунтом без авторизации(например, user@test.domain), хотя внутри сети просит авторизацию.
Схема следующая:
1. FE, Mediation server(роли совмещенные на одном сервере)
2. Edge (без нат, с одним IP в наружу, и одним в локалку).

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Thu, 30 Jun 2011 13:44:29 +0000

Предполагаю 2 варианта:

1. Пароль сохранен.
2. Юзеры каким-то образом авторизованы в домене.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Test)

Test — Thu, 30 Jun 2011 12:58:27 +0000

Поставил edge все работае нормально, вот только клиенты снаружи заходят без авторизации, в чем может быть глюк?

Комментарий к записи Проектирование схемы именования объектов (Argon)

Argon — Mon, 27 Jun 2011 14:06:53 +0000

Stanislav Buldakov, спасибо, подумаю, что прикрутить к блогу для оповещений.

Комментарий к записи Проектирование схемы именования объектов (Stanislav Buldakov)

Stanislav Buldakov — Mon, 27 Jun 2011 12:40:26 +0000

2Argon

Систему транслитерации выбирают топ-менеджеры. Простому пользователю с этим спорить смысла нет, в такой ситуации. Если системы не будет, то очень быстро всё в зоопарк превращается. =)

поставь чтоли отслеживатель ответов в бложик. а то в рсс пихать это некомильфо.

Комментарий к записи Проектирование схемы именования объектов (Андрей)

Андрей — Tue, 21 Jun 2011 09:20:38 +0000

Отличный материал! Давно искал нечто подобное.
Благодарю!

Комментарий к записи Проектирование схемы именования объектов (Freejack)

Freejack — Sun, 19 Jun 2011 18:38:43 +0000

Чорт… Теперь я понял почему «полено» мне так странно назвали:)))

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Fri, 17 Jun 2011 07:56:13 +0000

странное дело было вчера.
вывел тестовый комп из группы установки FCS, развернул с nomom, также все осталось.
утром сегодня как и все подхватил новые обновления. что случилось с wsus как понимаю за эти три дня, что такое произошло, именно с обновлениями для антивирусов. буду надеятся, что такое не произойдет более.

Комментарий к записи Forefront Client Security (Argon)

Argon — Thu, 16 Jun 2011 09:14:40 +0000

клиент совсем старый, и база соответсвенно не обновлена

Если на всусе с аппрувами все в порядке, то клиент и базы, сам понимаешь, должны обновлятся.

в adm.console комп появился нормально

То, что клиент появился в консоли, говорит о том, что связь с МОМом имеется, аутентификация проходит.

А с другими клиентами какая-то беда. Может, базы мом-а попробовать из бекапа откатить?

Либо удалить из мома остальные компы, чтобы они перерегистрировались? Тренироваться, конечно, сперва сделав бэкап.

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Thu, 16 Jun 2011 08:57:32 +0000

на тестовой машине поудалял сначала mom, — все также.
после — удалил сам клиент и mom полностью, с сервера удалил все записи об этой машине в Mom 2005 adm.console с wsus пошла установка клиента и агента. но теперь клиент совсем старый, и база соответсвенно не обновлена…
в adm.console комп появился нормально.

Комментарий к записи Forefront Client Security (Argon)

Argon — Thu, 16 Jun 2011 07:55:03 +0000

От клиентов знаем, что серер отклоняет запрос (но сервер они таки находят, значит в политики применяются). Теперь можно копать на сервере, почему он запросы отвергает… Логи смотреть, возможно, аудит безопасности включить.

Как вариант, попробовать накатить новый агент на чистую машину, или переустановить на старой. Посмотреть, как оно себя поведёт.

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Thu, 16 Jun 2011 07:10:17 +0000

Наблюдаю дальше на клиентах присуствует:
The agent could not connect to the MOM Server srv-1. The error reported is ‘Подключение не установлено, т.к. конечный компьютер отверг запрос на подключение.’. Verify the management group name is correct, the MOM Server is running, that it is listening on port 1270, and that any firewalls between this agent and the MOM server are configured to pass TCP and UDP traffic on port 1270.

srv-1 — сервер.

Комментарий к записи Forefront Client Security (Argon)

Argon — Thu, 16 Jun 2011 06:57:05 +0000

Влиять, конечно, может, ведь из репортинга эти данные о клиентах извлекаются. Нужно убедиться, что места достаточно на диске, так и база не заблокирована от дальнейшего роста и записи.

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Thu, 16 Jun 2011 06:26:02 +0000

да все это я сразу проверил, изменений нет.
единственно, чо смущает в евенте вылезло, мол в базе SQL (SystemCenterReporting)не хватало места для какой-то процедуры. увеличил место.
перегрузился, вышло единственное с ошибкой:
The Agent incoming queue data submission has been blocked. This may indicate that queue does not have sufficient space or is unavailable to accept data.
Management Group: ForefrontClientSecurity

может все это влиять? тогда что предпринять дальше дальше

Комментарий к записи Forefront Client Security (Argon)

Argon — Thu, 16 Jun 2011 05:14:18 +0000

Я бь в первую очередь убедился в следующем: нашел во всусе это обновление поиском, затем убедился, что оно одобрено и закачено. Также, проверил бы автоодобрения.

Затем запустил ручной поиск обновлений Windows на клиентах, если не найдёт, то курить взаимодействие клиентов и всус.

Также, может пока рано драматизировать, база мома обновляется ммееедленно.

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Thu, 16 Jun 2011 04:46:48 +0000

Приветствую!
Такая ерундень случилась в технете писал но пока тихо:
суть такова, обнаружил что на сегодня последние обновления для клиентов FCS в сети от

13.06.11

Client Version: 1.5.1996.0
Engine Version: 1.1.6903.0
Antivirus definition: 1.105.1849.0
Antispyware definition: 1.105.1849.0

Машины с MOM, сервер FCS работает, в логах вроде подозрительного нет, политику раздает на OU (сейчас еще раз переназначил для подстраховки).

На сервере WSUS и вручную синхронизацию делал и так по плану тоже идут обновления (другие не касаемый антивируса), и в состоянии компьютеров пишет, что требуется установить для указанных компьтютеров: Обновление определения для Microsoft Forefront Client Security – БЗ977939 (Определение 1.105.2020.0)

выбираю в антивирусе обновиться, пишет, мол нету доступных.

Комментарий к записи Проектирование схемы именования объектов (Argon)

Argon — Wed, 15 Jun 2011 11:17:46 +0000

Эх, вроде бы дописал… Коллеги, спасибо за комменты!

Стас [Комментарий от 2011-06-14, 19:11],
Последняя схема формирования логина, в котором гибко выбираются части имени и фамилии, позволяет избежать коллизий лучше всех.

Например, имеем трёх юзеров с именем Федор Бондарчук. Первого называем fbond, второго febo, третьего fedorb. И так далее, вариантов масса.

Vitaly [Комментарий от 2011-06-14, 21:14],
Верное уточнение!

Stanislav Buldakov [Комментарий от 2011-06-15, 11:27],
Спасибо за ссылку. Только дописал свою часть про OU, иду по ссылке, и вижу что мысли во многом сходятся ;)

Насчет транслитирации по гостам — я, например, не согласен с транслитерацией своей фамилию по стандарту, применяемому в ФМС. Отдельное заявление писал, чтобы мою фамилию транслитерировали как мне нужно. И думаю, что не один такой. Если юзеру пофиг — то есть смысл транслитерировать по стандарту. Если не пофиг, то почему бы не прислушаться к его мнению.

Комментарий к записи Проектирование схемы именования объектов (Stanislav Buldakov)

Stanislav Buldakov — Wed, 15 Jun 2011 08:27:23 +0000

относительно планирования именования и структуры организационных единиц была статейка http://blogs.technet.com/b/vladygin/archive/2009/10/20/ad-c-ou.aspx

относительно транслитерации — выбирается любая система транслитерации (типа той, что используется в ФМС при транслитерации имени-фамилии получателя загранпаспорта). в результате все неоднозначности транслитерации снимаются.

годная статья =)

Комментарий к записи Проектирование схемы именования объектов (Vitaly)

Vitaly — Tue, 14 Jun 2011 18:14:38 +0000

По поводу русских логинов.
Согласен, зло. Однако хотел бы уточнить — с кириллическими именами плохо работает не RDS как таковой а NPS. Ну как это лечится ты знаешь :).
Какой еще был замечен в практике косяк с русскими логинами: при авторизации линковского телефона по учетке типа MyDomain\Маша телефон логиниться отказывался.

И еще по поводу логинов типа i.rom. Точки тоже зло. чуть меньшее чем русские логины но зло. Для меня. Бесит…

Комментарий к записи Проектирование схемы именования объектов (Стас)

Стас — Tue, 14 Jun 2011 16:11:02 +0000

хорошая статья,

раньше тоже использовал шаблон
Бондарчук Фёдор Сергеевич = fbond

но чем больше пользователей, тем больше колизий с совпадением логинов,

сейчас использую Бондарчук Фёдор Сергеевич = fsbond (по одной букве из имени, отчества + часть фамилии)

но даже в этом случае бывают совпадения,
есть люди ФИО которых полностью сопдает (хотя не родственники, и живут в разных городах)

как быть в этом случае, посоветуй…

Комментарий к записи Forefront Endpoint Protection 2010 (Argon)

Argon — Mon, 30 May 2011 08:39:04 +0000

Клиенты будут получать обновления с того WSUS, который прописан в GP (то есть стандартный механизм Windows Update). Однако, прежде чем получать обновления, сам FEP должен быть установлен средствами клиента SCCM. Также клиенты FEP можно настрить так, чтобы обновления они брали из интернетов, но для локалки это не оправдано.

Кстати, удаленный WSUS можно задействовать как Site System для SCCM. Сам SCCM установки полного всуса, насколько помню не требует, а только его консоли, которая обеспечивает работу API WSUS.

Комментарий к записи Forefront Endpoint Protection 2010 (mesmer)

mesmer — Mon, 30 May 2011 08:08:42 +0000

ладно, попробую разобраться.
а что если стоит уже существующий сервер WSUS, ну и на нем вроде как указал получать обновления FEP 2010, но так и не понял, как же клиенты будут обновляться:
- пытаться будут взять обновления с WSUS Service на сервере с SCCM (ибо требовал установку под себя как роль)
- или все же коли в ГП указан сервер WSUS (откуда уже берут обновления все машины сети), то с него и будут.

Комментарий к записи Forefront Endpoint Protection 2010 (Argon)

Argon — Mon, 30 May 2011 05:49:41 +0000

Привет! Клиент Config Manager может быть установлен многими способами: через WSUS, через Push, через GPO, руками.

После того, как клиент CM стоит, создаем коллекцию, назначаем на нее адвертайзинг FEP, включаем в коллекцию компьютеры (явным перечислением, либо по каким-то правилам)

Комментарий к записи Forefront Endpoint Protection 2010 (mesmer)

mesmer — Mon, 30 May 2011 01:12:50 +0000

Приветствую!
Подскажите, как мне все же провести установку на определенные машины этого антивируса.
Создал коллекцию, там указал установку Deploing FEP 1.0
а как указать на какие машины в сети?

Как понимаю нужно, чтобы клиент SCCM установился. Но так и не понял, где именно и каким образом установить на определенные машины.

Комментарий к записи Голосовые меню в Lync Server 2010 (Argon)

Argon — Tue, 24 May 2011 13:50:41 +0000

Спасибо, исправил «нет в принципе» на «без использования сторонних решений».

Комментарий к записи Голосовые меню в Lync Server 2010 (Тимур)

Тимур — Tue, 24 May 2011 13:45:40 +0000

Насчет отсутствия поддержки DTMF в Lync — это вы погоряились. В UCMA, например, обработка DTMF поддерживается http://channel9.msdn.com/Series/Unified-Communications-14-Labs/Session-7-Part-3-UCMA-30-Workflow-SDK-Speech-and-DTMF-Grammars

Комментарий к записи Настройка синхронизации времени в домене Active Directory (AlexZol)

AlexZol — Thu, 19 May 2011 10:15:52 +0000

Спасибо за статью.

to oriang: была похожая ошибка был виноват Файервол.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Argon)

Argon — Sat, 14 May 2011 15:15:27 +0000

Попытался разобраться.

1. У меня голый Aстериск, а «Intra Company Route» — это настройка FreePBX, и как она транслируется в конфигурацию Asterisk, я пока не нашел.

2. CID в мой конфигурации итак всегда передается. Конфуз в том, что если я звоню от известного Линку CID-a (который прописан как AnalogDevice) то звонки идут по маршруту, если от звоню как кто-то внешний, то нифига.

Комментарий к записи Душевные терзания (Argon)

Argon — Fri, 13 May 2011 06:00:03 +0000

1. Спасибо за совет. Как нить доберусь до оптимизации, но пока меня все устраивает. Максимализм прошел, аогда пилил разметку этого блога, больше ориентировался на удобную логичискую разметку блоками, чем выжать минимум использоварния тегов и параметров.

2. У меня наоборот, с MS большая дружба, а с Аваей как-то не доводилось сталкиваться.

Комментарий к записи Душевные терзания (Аня)

Аня — Thu, 12 May 2011 14:33:15 +0000

1. html код комментариев можно еще оптимизировать используя dt и dl (можно у меня посмотреть). Код списков тоже можно оптимизировать.
2. Пытаюсь соединить Avaya и Lync Server. Если бы ещё и Микрософт знать… но всё знать невозможно.

Комментарий к записи Forefront Endpoint Protection 2010 (Argon)

Argon — Thu, 12 May 2011 07:05:35 +0000

Ключевые слова здесь: «client installation packages». Их и надо раз-апровить. А «definition updates», как авто-апровились, так и будет продолжать это делать.

Комментарий к записи Forefront Endpoint Protection 2010 (Константин)

Константин — Wed, 11 May 2011 14:40:56 +0000

В инструкции говорится «unapprove all of the FCS client installation packages» (пункт 2). Обязательно ли это делать? Ведь в после этого на компьютеры под управлением FCS перестанут поступать актуальные обновления определений, а в случае, если процесс перехода будет продолжительным (много компьютеров в организации), то получится ситуация, что на компьютерах со старой версией антивируса (где его еще не успели обновить) база не обновляется, что в конечном итоге не очень хорошо.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Argon)

Argon — Tue, 10 May 2011 13:26:21 +0000

Спасибо, Сергей, стоит проверить.

Комментарий к записи О быстроте Internet Explorer 9 (Argon)

Argon — Tue, 10 May 2011 13:25:50 +0000

Видяхя у меня не экзотическая, обычный GeForce 8 серии. Пробовал дрова обновлять, но без положительного результата.

С другой стороны, в терминале мы, как правило, звук не воспроизводим, а тормоза изображения воспринимаем теприливо. Поэтому описанное мной поведение может остатья незамеченным.

Комментарий к записи О быстроте Internet Explorer 9 (Alexiz)

Alexiz — Tue, 03 May 2011 08:04:25 +0000

А ничего такого на терминальных серверах (правда только Win2k3 и Win2k8) не наблюдается при работе в осле 9.
Так что видимо конкретно в Вашем случае что-то мешает нормальной работе — дровишки видяхины, например, али чего ещё

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Сергей)

Сергей — Thu, 28 Apr 2011 11:36:54 +0000

Для прохождения звонков по маршруту Asterisk → Lync → Audiocodes можно в маршруте на Asterisk поставить галочку «Intra Company Route», тогда CID будет передаваться аудиокодесу. Как минимум это работает, когда внутренний абонент астериска звонит абоненту аудиокодеса.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 26 Apr 2011 19:25:36 +0000

Я согласен, что в некоторых частных случаях все работает (использование сертификатов без SAN, без sip.домен, от не поддерживаемых ЦС).

Но всеж-таки «Certificate Requirements for External User Access» говорят вполне конкретные вещи. И если им не следовать, то велика вероятность ступить на детские грабли. То федерация не заработает, то аппаратный Lync-телефон из интернетов не залогинится.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Stanky)

Stanky — Tue, 26 Apr 2011 18:02:57 +0000

1. Использовать SAN вовсе не является требованием — можете сделать три одноимённых сертификата и каждый повесить на соответствующий сервис.

2. Для Autodiscovery и уж тем более федерации нет такого требования, чтоб имя в сертификате было вида sip.domain.ru! Использовать можно абсолютно любое! Про вариант с недоступностью SRV-записи Шура пояснил :) .

3. Сертификаты моего постовщика не входят в этот список, но проблем с ним нет, даже на мобильных устройствах! На самом деле, главное, чтоб корень был доверенным на всех устройствах, которыми вы будете пользоваться. Для поставщиков из приведённого списка это просто гарантируется.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 26 Apr 2011 15:38:23 +0000

Насчет того, что работают все роли Lync через нат TMG — я сам и убеждался, о чем писал несколько выше.

Сейчас расскажу, чем TMG разочаровал… Представим конфигурацию. 2 интернетовских сетевых интерфейса. На каждом по шлюзу. Настроен failover. Все работает. Даже «policy-based routing».

Добавляем на любой из интерфейсов второй IP-адрес. А он не работает. Выключаем failover — работает.

А это значит, что с TMG мы имеем либо failover, либо DirectAccess. Но не оба сразу. В свое время я этим был очень сильно расстроен и потянулся к железкам.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Artyom Sinitsyn)

Artyom Sinitsyn — Tue, 26 Apr 2011 13:35:48 +0000

Технически публикация Lync/OCS Edge с помощью TMG c ENAT *работает*! Другой вопрос, что такая конфигурация не поддерживается.
А можно полюбопытстовать, чем же Вас так разочаровал TMG? Может Вы «просто не умеете их готовить»? ;)

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 26 Apr 2011 11:59:30 +0000

Артём, возражений против использования TMG как фэрвола и маршрутизации трафика не имею. Вот в том-то и вопрос, если без нат, то зачем нам TMG?

Насчат эффективности работы SIP фильтра хочу проверить. Но пока нет доверия, TMG уже разочаровывал меня.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Artyom Sinitsyn)

Artyom Sinitsyn — Tue, 26 Apr 2011 09:15:24 +0000

Вот я и интересуюсь, откуда у Вас информация, что «TMG всеж-таки заточен на некритичный к задержкам трафик, типа HTTP, FTP и т. п.»?!
TMG включает в себя специализированный SIP Filter для поддержки различных сценариев VoIP (http://technet.microsoft.com/en-us/library/ee690384.aspx).

Тем более, что в официальных тестах «минимальная» конфигурация TMG, выполняющая помимо прочих ролей SIP/VoIP Protection, поддерживает 750(!) пользователей, что «немногим» больше, чем указанные 50 :)

Отмечу, что в случае с SIP/VoIP Protection TMG проводит инспекцию сетевого трафика на уровне приложений, чего в случае «публикации» Lync Edge не происходит. Так что нагрузка в последнем случае будет еще меньше, а значит исходная конфигурация сможет поддерживает еще больше пользователей.

«Ну и в довершение» TMG/ISA *поддерживаются* в роли reverse proxy И firewall для Lync/OCS! Единственное ограничение — нельзя использовать NAT для интерфейса Edge A/V Server.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Sun, 24 Apr 2011 19:04:58 +0000

Полагаю, что риалтайм трафик (звук и видео) не любит задержек, а также не требует какой-либо хитрой фильтрации и особых механизмов публикации. Поэтому при прочих равных, простая железяка справится лучше, чем TMG.

Реальных измерений не имею, но по моему опыту, TMG всеж-таки заточен на некритичный к задержкам трафик, типа HTTP, FTP и т. п.

50 активных пользователей, да еще если в конференции — разве мало?

Ну и в довершение, TMG официально поддерживается только для публикации Lync Web Services, службы Edge допускают либо прямую публикацию в инете, либо hardware load balancers.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Artyom Sinitsyn)

Artyom Sinitsyn — Sun, 24 Apr 2011 17:45:12 +0000

Argon, можно полюбопытствовать, с чего Вы взяли, что «всеж-таки не для риалтайм данных TMG предназначен» и 50 пользователей Edge — это большая нагрузка для TMG?!

Комментарий к записи О быстроте Internet Explorer 9 (Алексей)

Алексей — Tue, 12 Apr 2011 20:27:11 +0000

А теперь представь что твориться в МГ на сони вайо, так же не самом слабом, переключение между вкладками 5-7 секунд…

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Илья)

Илья — Mon, 11 Apr 2011 19:18:26 +0000

Хотя сдругой стороны все телефоны Avaya внутри организации у меня работаю по протоколу H.323 и кодеку G.729, а Lync SIP, G.711 и звонки проходят на Ура…

может дело что-то в другом…

Комментарий к записи Настройка распознавания голосовых команд в Outlook Voice Access (Илья)

Илья — Sun, 10 Apr 2011 20:30:57 +0000

Вот это не удобно. Создали бы отдельный атрибут для поиска в книге! :))) вот это было бы супер!

Комментарий к записи Настройка распознавания голосовых команд в Outlook Voice Access (Argon)

Argon — Sun, 10 Apr 2011 20:01:45 +0000

Бесполезно, он регулярно формируется на основе данных из AD.

Комментарий к записи Настройка распознавания голосовых команд в Outlook Voice Access (Илья)

Илья — Sun, 10 Apr 2011 19:50:23 +0000

Можно просто в gal.grxml DisplayName править?

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Илья)

Илья — Sun, 10 Apr 2011 19:43:43 +0000

Опа! А вот этого я незнаю, может она это или нет… Астерикс я точно ставить не буду :)))

Эхх… буду копать Avaya… Хотя признаюсь в ней(Avaya) я понимаю не много )))

Комментарий к записи Настройка распознавания голосовых команд в Outlook Voice Access (Argon)

Argon — Sun, 10 Apr 2011 19:31:29 +0000

Как записан DisplayName, так и произносим.

Комментарий к записи Настройка распознавания голосовых команд в Outlook Voice Access (Илья)

Илья — Sun, 10 Apr 2011 19:30:29 +0000

Спасибо!

Когда мы ищём в адресной книге от мы должны произносить полность ФИО или можно только фамилию?

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Argon)

Argon — Sun, 10 Apr 2011 18:57:34 +0000

Настраивать перекодировку на Авае, а если не умеет, то через Астериск. Но там тоже — бубен.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Илья)

Илья — Sun, 10 Apr 2011 18:41:07 +0000

У меня провайдер точно не перейдёт на G.711. Так как я хотел это сделать потому что в G.729 не ходит Fax…

Блин и какие у меня есть варианты?

Комментарий к записи Настройка распознавания голосовых команд в Outlook Voice Access (Argon)

Argon — Sun, 10 Apr 2011 18:29:58 +0000

1. Для каждого прописать. Хоть скриптом, хоть руками. Прописывать имеет смысл, только если произношение должно отличаться от написания основного имени.
2. На любые номера, понимаемые Линком, в соответствии с его правилами нормализации.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Argon)

Argon — Sun, 10 Apr 2011 18:26:55 +0000

Конечно, я пока к Астерискам не прикрутил перекодировку g729, а провайдер упорно не хотел работать по другим кодекам, соединения с городскими сетями не устанавливались.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Илья)

Илья — Sun, 10 Apr 2011 18:14:02 +0000

В этом может быть причина?

Комментарий к записи Настройка распознавания голосовых команд в Outlook Voice Access (Илья)

Илья — Sun, 10 Apr 2011 18:11:17 +0000

Добрый день!

1. По поводу поиска в адресной книге — А как сделать для всех пользователей атрибут PhoneticDisplayName?
2. Про третий пример — Если мы сделаем * то мы сможем на любые номера звонить из голосового меню?

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Argon)

Argon — Sun, 10 Apr 2011 17:45:38 +0000

Соответственно, Авая должна уметь перекодировать g729 в понятный Линку g711.

Комментарий к записи Маршрутизация вызовов в Lync Server 2010 (Илья)

Илья — Sun, 10 Apr 2011 17:34:11 +0000

в продолжении http://argon.pro/blog/2011/03/lync-edge-ssl-certificate/#comment-4837

У меня Avaya c Lync соответственно по SIP, а вот сама Avaya с внешним миром по протоколу H.323 и кодек G.729

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Sun, 10 Apr 2011 12:06:44 +0000

Я бы смотрел логи SIP с обеих сторон. Есть предположение, что может быть проблема с кодеками. То есть соединение по SIP установлено, сигнализация идет, но когда трубку поднимают, должен побежать голосовой трафик. А это по-каким то причинам не происходит. Поэтому соединение разрывается. С такими вопросами лучше писать комментарии к другим моим заметкам, типа Маршрутизация вызовов в Lync Server 2010.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Sun, 10 Apr 2011 11:28:55 +0000

После долгих мучений, у меня получилось их скрестить и плюс ко всему к этому интегрировал Exchange UM. Но пока не всё гладко:
Заметил такую вещь!

Когда звонк проходит на сотовый Lync его сбрасывает и пишет время 00:00

Такое ощущение что успешный дозвон Lync воспринимает как поднятие трубки и не видя голоса или чего там сбрасывает и говорит что вызов завершён или занято… Или лучше так: IPO говорит(возвращает) Lync что соединение установлено и Lync воспринимает это как поднятие трубки…

что-то типа того, думаю суть понятна. Где копать, на АТС или Lync?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Sat, 09 Apr 2011 21:27:42 +0000

Нет, с Аваей скрещивать еще не приходилось.

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (Владилена)

Владилена — Thu, 07 Apr 2011 08:59:58 +0000

Блин, дружище!!!!
Чтоб я без тебя делала!!!
Спасиииииииииииибо тебе огромное!!!!!

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Mon, 04 Apr 2011 07:17:39 +0000

Аргон,

не приводилось ли Вам интегрировать Lync(OCS) с Avaya IP Office 500 на прошивке 6.х???

Сейчас пытаюсь интегрировать данный продукты, но пока как-то ни как…

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Wed, 30 Mar 2011 08:31:33 +0000

Как обычно ;) TS-экзамен скучный и задротский; PRO-экзамен сложный, но интересный. Для подготовки чтения ТехНета было достаточно.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Wed, 30 Mar 2011 08:07:33 +0000

Оооо…!!! Поздравляю! :)
Сложный экзамен?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Wed, 30 Mar 2011 07:25:56 +0000

Верно, для исключения неприятностей на Edge-сервере лучше иметь 2 сетевых интерфейса, которые смотрят в не пересекающиеся сети. Один — в локалку, второй — в DMZ, в котором на NAT. В качестве DNS указывать внутренний, доменный сервер.

Я, кстати, сегодня получил подтверждения успешной сдачи экзаменов на звание «MCITP: Lync Server 2010 Administrator» ;)

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Wed, 30 Mar 2011 07:20:59 +0000

Получилось! За NAT в топологи необходимо было указать внутренний IP адрес интерфейса который смотрит в Интернет, а не публичный IP адрес. И службы все запустились!

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 29 Mar 2011 16:08:17 +0000

Должен ;)

Комментарий к записи Forefront Client Security (Argon)

Argon — Tue, 29 Mar 2011 16:07:44 +0000

Проверить работу антивируса можно тестовым вирусом EICAR.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Sat, 26 Mar 2011 12:55:25 +0000

чего-то ни чего не получилось…
телнет должен проходить на эти порты..

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Fri, 25 Mar 2011 15:35:51 +0000

У меня сделано подобным образом, на Mikrotik-е.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Fri, 25 Mar 2011 14:46:03 +0000

Сейчас решил Edge дать второй внешний интерфейс куда проброшен внешний vlan который смотрит на циску и уже на циске сделать нат TCP на порты 5061, 50444, 50443 на Edge сервер.
Посмотрим что получится…

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Fri, 25 Mar 2011 14:43:55 +0000

Торренты я закрыл через репутацию на TMG )))

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Fri, 25 Mar 2011 14:21:56 +0000

50 — это приличная нагрузка, если все через Edge будут сидеть. Если всего человек 10 из них, то да, если через TMG торренты не качают, проблем не будет.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Fri, 25 Mar 2011 14:06:47 +0000

нагрузка будет не большая. Это человек 50, ну максимум за год-два вырастет до 100-150.

Спасибо!

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Fri, 25 Mar 2011 06:40:17 +0000

Я не рекомендую публиковать Edge через TMG при больших нагрузках, всеж-таки не для риалтайм данных TMG предназначен. Рекомендую железкой разруливать, самая дешевая, но совсем не плохая -- Mikrotik. Если хочется через TMG:

Настроить в Topology Builder-е для Edge-a NAT=[публичный адрес TMG] и свободные на TMG публичные порты (например, Access=5061, A/V=50443, WebConf=50444)
Опубликовать эти порты на TMG правилом публикации произвольного TCP-протокола

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Thu, 24 Mar 2011 23:09:42 +0000

Lync Web App — заработало
У меня ещё вопрос:
Как мне опубликовать EDGE через TMG? Или это не получиться?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Wed, 23 Mar 2011 09:26:44 +0000

Рад помочь!

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Wed, 23 Mar 2011 09:24:14 +0000

И ещё раз Спасибо!.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 22 Mar 2011 18:30:39 +0000

Да, аутентификация силами клиента. Я все свои ресурсы (OWA, SharePoint, Certification Authority, Dynamics CRM, Lync Web Services…) именно так публикую.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Tue, 22 Mar 2011 18:26:53 +0000

правило на TMG для публикации ActiveSync не позволяет в веб прослушивателе отменить аунтификацию… т.к. в этом правеле выбрана обычная проверка для делегирования.

Или можно поставить в не делегированная, но клиент может выполнять и т.д.???

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Tue, 22 Mar 2011 16:56:51 +0000

Большое Спасибо!

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 22 Mar 2011 16:55:31 +0000

Никаких рисков, всё же по SSL шифруется ;)

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Tue, 22 Mar 2011 16:53:04 +0000

а каике риски для owa??? Т.е. безопастность?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 22 Mar 2011 16:43:49 +0000

Если не выполнять авторизацию средствами TMG, а включить возможность авторизации средствами публикуемого веб сервера (делегирование авторизации), то никаких проблем.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Tue, 22 Mar 2011 16:33:28 +0000

Но там же другие настройки авторизации на прослушивателе чем на OWA/Anywhere/ActiveSync
Эти настройки подойдут???
Если да, то это супер…

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Tue, 22 Mar 2011 15:36:48 +0000

Если Lync Web Services публикуются через TMG, то очень просто. OWA работает всего с нескольким подкаталогами, типа /owa, /ecp и т. п. Их и перенаправляем на сервер Exchange. На одном прослушивателе, по одному и тому же доменному имени (sip.contoso.com) будут работать и OWA, и сервисы Lync.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Илья)

Илья — Tue, 22 Mar 2011 15:21:14 +0000

Вот мне интересно как настроить веб прослушиватель для Lync когда порт 443 настроен на веб прошлушиватель OWA? )))

Вот это замануха! Если есть опыт решения данного вопроса поделитесь, пожалуйста!

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Fri, 11 Mar 2011 05:50:08 +0000

про буквы оже не понятно…
для примера на сервере FCS примонтировал диск, такой же как у пользователей.
но вот как понять что работает сей метод?

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (Евгений)

Евгений — Sun, 06 Mar 2011 11:35:23 +0000

Удалил доменного админа из SQL, а пользователь sa заблокирован, других админов нет. Огромное спасибо!!!! Выручил. Думал вешалка. Не надеялся…. Но все получилось, без шума и пыли.

Комментарий к записи Forefront Client Security (Argon)

Argon — Sat, 05 Mar 2011 13:28:03 +0000

Как пишут MS на форумах, в исключения можно добавлять записи типа \\server\share, а также известные буквы для сетевых дисках (типа s:). Хочу подчеркнуть, что не стоит добавлять такие популярные буквы, как z:, y:, x:, а только проверенные, которые мапятся через групповую политику. Также в статье "Forefront Client Security unexpectedly scans files that are stored in network locations when you perform a full scan of a client computer" есть ссылка на хотфикс, который позволяет не сканировать сетевые файлы, на которые ссылаются ярлыки на локальном компе.

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Sat, 05 Mar 2011 09:33:26 +0000

Приветствую еще раз!
Такой вопрос, как бы исключить из проверки примонтированные диски сетевые, да и в целом сетевые ресурсы на клиентах?

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Alexander Donin)

Alexander Donin — Sat, 05 Mar 2011 09:08:16 +0000

wireshark :-)
да, 443.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Sat, 05 Mar 2011 06:38:08 +0000

Спасибо, Александр! Я пришел к тем же выводам, основываясь на практике и опыте c OCS-ом, а вот документация Линка слегка смутила.

Кстати, несчет автоконфигурации, интересно, к каким портам клиенты пробуют подключаться, если SRV записи не находят, а видят только имя домена вида sip.controso.com. К 5061 точно подключается, а вот интересно, к каким еще пробуют…

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Alexander Donin)

Alexander Donin — Fri, 04 Mar 2011 23:13:45 +0000

в догонку. в первой статье говорится что дложно быть имя в SIP домене. имеется в виду случай, когда у вас несколько SIP доменов. Для подключения пользователей достаточно одной А записи в любом домене на которую будут ссылаться несколько SRV записей в разных доменах. Но Federation требует четкого соотвествия.

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Alexander Donin)

Alexander Donin — Fri, 04 Mar 2011 23:08:24 +0000

Правда в том, что запись sip. используется для входа поиска сервера, если клиент не может найти SRV запись. Нопример, мой домашний шлюз, скатина такая, не пропускает SRV зпросы.
Для таких случаев и нужно имя SIP.
в документации по Lync почему-то это не описано.
Вот описание из документации к OCS 2007 R2
http://technet.microsoft.com/en-us/library/dd425235(office.13).aspx

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Argon)

Argon — Fri, 04 Mar 2011 20:44:08 +0000

Согласен, я столкнулся с некоторыми противоречиями на TexНете:

в статье Certificate Requirements for External User Access пишут "If you are using client auto-configuration or federation, also include any SIP domain FQDNs used within your company (for example, sip.contoso.com, sip.fabrikam.com)."
в статье Planning for Certificates под SIP Domain понимают уже адреса вида sipdomain01.contoso.com
сам же Certificate Wizard неприменно включает домен вида sip.contoso.com в список SAN

Где правда?..

Комментарий к записи Как использовать бесплатный SSL сертификат Comodo для роли Lync Server 2010 Edge (Alexander Donin)

Alexander Donin — Fri, 04 Mar 2011 19:52:45 +0000

Отличная статься. Маленькое уточнение. Для federation не обязательно чтоб имя начиналось на «SIP.»

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (Argon)

Argon — Thu, 03 Mar 2011 15:50:50 +0000

Верно, ведь удаленное выполнение команд — это очень мощная функция, которая не должна быть доступна пользователям, не имеющим на это прав.

Однако, psexec имеет ключ «-l», который позволяет имитировать исполнение команды от имени пользователя без прав администратора на целевой системе.

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (lamer)

lamer — Thu, 03 Mar 2011 12:40:37 +0000

к сожалению, с правами юзера этим пользоваться нельзя… а очень хотелось бы выполнить на удаленном компе какую-нибудь команду не будучи администратором, а будучи простым пользователем

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Wed, 02 Mar 2011 19:27:18 +0000

Быть может, не настроен источник для обновления (сервер интернета, топология AD).

Комментарий к записи Forefront Endpoint Protection 2010 (Argon)

Argon — Wed, 02 Mar 2011 19:11:24 +0000

Есть конечно, в официальной документации: Migrating from Forefront Client Security to Forefront Endpoint Protection. Все довольно просто. Ставим FEP, развертываем его клиентов, они удаляют FCS. Вопрос переноса данных об инцидентах из FCS в FPE не рассматривается.

Комментарий к записи Forefront Client Security (Argon)

Argon — Wed, 02 Mar 2011 19:07:10 +0000

Пока пользовался FCS, не наблюдал такой проблемы. Вероятнее всего проблема либо в Reporting Services (не может запросить или отобразить данные из SQL, смотреть в логах), либо в IE (скрипты отключены или еще чего).

Комментарий к записи Forefront Client Security (Константин)

Константин — Wed, 02 Mar 2011 12:02:18 +0000

Здравствуйте, Argon.
У меня следующий вопрос:
При открытии отчета о любом зараженном компьютере (в IE) в поле Alert Details появляется надпись «Ошибка: невозможно отобразить вложенный отчет» — в чем тут может быть проблема?

Комментарий к записи Forefront Endpoint Protection 2010 (Константин)

Константин — Wed, 02 Mar 2011 11:57:26 +0000

Уважаемый Argon, скажите пожалуйста, существует ли какая-нибудь инструкция по централизованному переходу с FCS на FEP?

Комментарий к записи Настройка синхронизации времени в домене Active Directory (oriang)

oriang — Mon, 28 Feb 2011 15:50:58 +0000

w32tm /resync /rediscover
Команда синхронизации отправлена на local computer…
Синхронизация не выполнена, поскольку нет доступных данных о времени.

Комментарий к записи Что нужно знать перед установкой Service Pack 1 для Windows Server 2008 R2 и Windows 7 (Argon)

Argon — Sat, 26 Feb 2011 21:54:50 +0000

Да да, я тоже вышел на этот документ. Так как этот пост кто-то читает, хочу дополнить своими мыслями по поводу работы Dynamic Memory с такими жадными приложениями, как SQL Server и Exchange ;)

Комментарий к записи Что нужно знать перед установкой Service Pack 1 для Windows Server 2008 R2 и Windows 7 (Виктор)

Виктор — Sat, 26 Feb 2011 21:51:11 +0000

Незачто, а если быть более точным, то тут можно почитать требования к Dynamic Memory и список гостевых систем http://technet.microsoft.com/ru-ru/library/ff817651(WS.10).aspx

Комментарий к записи Что нужно знать перед установкой Service Pack 1 для Windows Server 2008 R2 и Windows 7 (Argon)

Argon — Sat, 26 Feb 2011 19:31:25 +0000

Спасибо за уточнение! Интересно, будет ли обновление компонентов интеграции для Linux, поддерживающее DM…

Комментарий к записи Что нужно знать перед установкой Service Pack 1 для Windows Server 2008 R2 и Windows 7 (Виктор)

Виктор — Sat, 26 Feb 2011 18:52:15 +0000

Dynamic Memory, кстати, работает при любой поддерживаемой Hyper-V гостевой системе, главное чтобы службы интеграции были обновлены в ней до SP1.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Pan@lj)

Pan@lj — Thu, 20 Jan 2011 19:26:40 +0000

Наконец то толковый Howto. Спасибо, завтра офис ждут перемены :evil:

Комментарий к записи Forefront Client Security (Argon)

Argon — Sat, 15 Jan 2011 20:09:34 +0000

Верно, групповая политика обновляет указанные ветки реестра. А в deploy.reg полагаю инфра, чтобы комп начал запрашивать пакет клиента FCS у WSUS-а, а не настройки самого клиента.

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Sat, 15 Jan 2011 11:38:20 +0000

это?
http://technet.microsoft.com/en-us/library/bb418783.aspx
а тот, что из Deploy .reg не подойдет уже?

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Sat, 15 Jan 2011 11:31:59 +0000

а что подразумевается под «настройки через групповую политику будут применяться»?

Комментарий к записи Forefront Client Security (Argon)

Argon — Fri, 14 Jan 2011 23:15:11 +0000

Стандартным образом FCS разворачивается только с агентом MOM-a. Без него можно установить, используя ключ /nomom. При этом не будет собираться статистика по работе антивируса, но настройки через групповую политику будут применяться.

Комментарий к записи Forefront Client Security (mesmer)

mesmer — Fri, 14 Jan 2011 07:03:06 +0000

проясните, что-то запутался.
если в ou определен шаблон из deploy для установки.
и допустим мне не нужно ставить/присутствие агента mom, мне надо отдельно разворачивать ou и там уже впихнуть установку msi? но опять же мне нужны предустановки работы антивируса на ПК (как-то исключения и настройки работы и т.д.)
или поможет из административной консоли установка/удаление агента?

Комментарий к записи Открытие MCP-клуба в Кирове (Игорь)

Игорь — Thu, 13 Jan 2011 19:02:58 +0000

Поздравляю с открытием MCP клуба!
Если когда либо кто-то из Вас будет у нас Санкт-Петербурге, то приходите на встречу нашего MCP клуба. Обычно проводим в последнюю пятницу каждого месяца. Место, дата и время на сайте клуба http://mcp-club.net/. С удовольствием обсудим проблемы ИТ-технологий с единомышленниками.
Игорь Ананченко (http://anantchenko.ru)

Комментарий к записи Exchange 2010 Unified Messaging не отвечает на звонки через Office Communicator 2007 R2 (Argon)

Argon — Sat, 08 Jan 2011 23:57:56 +0000

Быть может, фаэрвол где-то что-то режет, или Web Services не доступны.

Через Microsoft Exchange Server Remote Connectivity Analyzer прогонять пробовали?

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Sat, 08 Jan 2011 23:48:45 +0000

Действительно, в WS2003 этих ключей нет.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Ilya_Nsk)

Ilya_Nsk — Mon, 20 Dec 2010 03:48:38 +0000

+1 (для русской версии)
C:\….>w32tm /query /peers
Неизвестная команда /query.

Комментарий к записи Exchange 2010 Unified Messaging не отвечает на звонки через Office Communicator 2007 R2 (Dmitry Dombrovsky)

Dmitry Dombrovsky — Fri, 03 Dec 2010 11:16:48 +0000

У меня тоже настроено взаимодействие Exch2010Sp1 и ocs2007r2 — вроде все работает. Только вот от варнингов в логе никак избавиться не могу.
The Unified Messaging server failed to deliver the MWI notification ’0/12 (unread/read)’ for the UM-enabled mailbox ‘Dmitriy Dombrovskiy(xxxxxxxxxxxxxxxxxxxxxxxx)’ associated with UM extension ‘xxxxxx@xxxxxx.xxx’. Until this problem is corrected, the MWI state for this user may be out of sync. Additional information:

There are no more targets available to send an MWI message for user Dmitriy Dombrovskiy.

Пытаося нагуглить — ничего подходящего не нашел :)

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Thu, 02 Dec 2010 23:55:14 +0000

Да, один конфигурируется самим клиентом по методу Stateless (генерируется на основе мак адреса сетевухи, EUI-64), другой назначается DHCP сервером. Ну а третьим адресом будет статически назначенный, если есть.

Комментарий к записи Настройка синхронизации времени в домене Active Directory (RAID)

RAID — Wed, 01 Dec 2010 11:31:49 +0000

сервер win 2003 standart
команда w32tm /query /peers — command unknown

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (Argon)

Argon — Tue, 30 Nov 2010 06:47:28 +0000

Кто-то уже успел потклчиться к серверу. Перезапусти службу MS Sql Server и подключись первым через sqlcmd.

Комментарий к записи Восстановление прав администратора на Microsoft SQL Server 2008/2005 (Евгени)

Евгени — Tue, 30 Nov 2010 04:48:58 +0000

а если пишет Reason: Server is in single user mode. Only one administrator can connect at this time. Ну пущает в sqlcmd (((

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Дмитрий)

Дмитрий — Fri, 26 Nov 2010 03:37:29 +0000

Скажите, а это нормально, что помимо статического адреса, сервер получил от DHCP еще два адреса IPv6?

Комментарий к записи Windows Server 2008 R2 не доступен по сети после установки обновления KB975354 (JeiFLYer)

JeiFLYer — Tue, 23 Nov 2010 10:53:30 +0000

Хорошая заметка… Но у меня подобная проблема и без установки обновления. Чистую 2008 R2 ставлю — и получаю то же самое. Отключение брандмауэра вообще ничего не дало. Ваш совет к сожалению тоже не помог…

Комментарий к записи Forefront Client Security (Константин)

Константин — Mon, 22 Nov 2010 06:35:45 +0000

Нравится мне такая политика — как ограничить проверку файлов по размеру, так извините, ни чего пропускать нельзя, а как файлы баз данных и прочее, так добавить в исключения. Что же тогда останется на проверку, если большинство исполняемых и обрабатываемых файлов добавлено в исключения?!
Argon, это претензии не к вам, а просто возмущение вслух, возглас отчаяния, так сказать…

Комментарий к записи Forefront Client Security (Argon)

Argon — Sat, 20 Nov 2010 12:02:08 +0000

Max,

Вопрос собственно – можно ли уже развернутые политики каким то образом импортировать на новый сервер управления? Заранее спасибо)

Подозреваю, что нет. Думаю, их идентификаторы хранятся в базе данных FCS, и по этим идентификаторам он узнает, что они «свои». В вашем случае, можно либо пересоздать политики, либо ковырять базу.

LMcom,
Похоже на ошибку в Windows Installer. Проверьте, запущена ли установка с правами администратора, не выполняется ли сейчас другая установка, либо ранее выполнялась установка, требующая перезагрузки.

Константин,
Тоже как-то хотел воспользоваться такой функцией, не нашел. Тут, видимо, и лень разработчиков, и следование политикам повышенной безопасности, чтобы ничего не пропустить.

Насчет баз 1С и прочих БД — их, конечно, в первую очередь в исключения надо добавлять.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Sat, 20 Nov 2010 11:47:49 +0000

Интересно, а для чего вы задумали использовать ваш скрипт? Как писал, IPv6 на клиентах дополнительных настроек не требует, всё раздается с серверов.

Комментарий к записи Особенности работы программного RAID в Windows Server (Argon)

Argon — Sat, 20 Nov 2010 11:42:31 +0000

Использовал интеловский RAID на самосборных персоналках, которые используются в качестве серверов для небольших предприятий… Эти «серваки» уже не один год служат, пережили несколько замен вышедших из строя дисков.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Алексей)

Алексей — Wed, 17 Nov 2010 05:06:44 +0000

Тут поковырял немного, написал скрипт. Для Назначения IPv6 и для показа EUI-64. Если нужно выложу.

Комментарий к записи Forefront Client Security (Константин)

Константин — Tue, 16 Nov 2010 06:25:08 +0000

Еще нашел по поводу низкой производительности:

Падение производительности наблюдается на компьютерах, где обрабатываются большие файлы (например локально лежат базы 1С и т.д.). Еще: на одном «тормозящем» компьютере я выполнил поиск файлов по размеру более 50 Mb, в результате этого поиска нашелся ряд больших файлов (более 100 Mb) с расширением tmp, лежащих в системных папках, после того, как я их удалил, компьютер стал работать заметно быстрее.

Я не нашел, как добавить в исключения большие файлы (более * Mb, как это зачастую реализовано в традиционных антивирусах), уважаемый Argon, Вы не знаете — возможно ли это? Если возможно, то как?

Комментарий к записи Особенности работы программного RAID в Windows Server (Baf)

Baf — Mon, 15 Nov 2010 03:38:15 +0000

Спасибо, было интересно почитать.
А насколько у вас большой опыт использования ICH10R ? p.s. уведомлений на комментарии нет?

Комментарий к записи Forefront Client Security (LMcom)

LMcom — Thu, 21 Oct 2010 05:36:12 +0000

При установке любой из компонент:
[21.10.2010 8:55:15] Task(Install ***** Server Component) в логах пишется ошибка:

The following process failed.
Process: C:\WINDOWS\system32\msiexec.exe
Exit code: 1639Number of tasks completed: [21.10.2010 8:55:15]

Хотя проверку проходит со всеми «зелеными» галочками и начинается установка.

Подскажите, в чем может быть проблема.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Wed, 20 Oct 2010 11:07:10 +0000

Все нормально у дяди Билла, он следует новым стандартам IPv6, в которых значится, что шлюзы IPv6 должны объявлять себя сами. Это команда

netsh int ipv6 add route ::/0 External fc00:10:18:2::180 publish=yes

в моём примере.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Traum)

Traum — Wed, 20 Oct 2010 10:21:05 +0000

Вопрос про шлюз надо-бы задать дяде Биллу. Какого хрена, в сведениях о подключении параметр «Шлюз IPv6″ есть, а в Параметрах области DHCP его задать нельзя!?

Комментарий к записи Forefront Client Security (Max)

Max — Thu, 14 Oct 2010 13:29:03 +0000

Привет. Вопрос такой: ранее в организации был развернут FCS, настроено несколько политик. так получилось, что перенести как положено сервер FCS не удалось. Новая установка была выполнена «с нуля», но с таким же именем группы управления. В итоге клиенты подхватились и все работает как положено, с ранее настроеными политиками, но самих политик в консоли управления FCS ессно не появилось. Вопрос собственно — можно ли уже развернутые политики каким то образом импортировать на новый сервер управления? Заранее спасибо)

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Argon)

Argon — Sat, 09 Oct 2010 07:03:20 +0000

Все понимаете верно, пока часы на клиентах сильно отличаются от общедоменного времени, они не смогут по керберосу аутентифицироваться на других ресурсах домена. Но при изменении времени на корневом контроллере, клиенты с ним в заданный промежуток времени синхронизируются, и все опять пойдет как надо.

Также можно синхронизировать принудительно командой
w32tm /resync /rediscover

Комментарий к записи Настройка синхронизации времени в домене Active Directory (Leonid Bespalov)

Leonid Bespalov — Fri, 08 Oct 2010 20:12:14 +0000

Спасибо за толковую статью.
Если не очень далеко от темы, — практический вопрос:
Есть контроллер домена, судя по всему, с внутренней синхронизацией (часы сервера отстают от реального времени на 15 минут).
Есть задача скорректировать время.
Кажется, — простой ответ — изменить время в CMOS котроллера домена.
Однако, 22 января 2009 Артём Синицын, здесь http://sinitsyn.org/2009/01/sinxronizaciya-vremeni-v-domene-active-directory/ написал:
“Пользователи домена проходят процедуру аутентификации на контроллерах домена посредством протокола Kerberos (если быть точнее, его пятой версии). В свою очередь Kerberos использует так называемые сеансовые билеты, неотъемлемой частью которых является штамп текущего времени системы. И если разница во времени сервера, обслуживающего запрашиваемый ресурс, и компьютера, с которого пользователь запрашивает доступ, будет больше 5 минут (значение по умолчанию), в доступе будет отказано.
Продолжая мысль, если системное время компьютеров пользователей будет отличаться от времени на контроллере домена, пользователи не смогут успешно пройти процедуру аутентификации, а значит не смогут получить доступ к ресурсам домена. ”
Вопрос: значит ли это, что после корректировки часов в CMOS на 15 минут и перезагруки сервера — котроллера домена, пользователям в сети будет отказано в доступе?
Или это у меня проблема с синхронизацией осмысления прочитанного?

Комментарий к записи Бесплатная электропочта для домена: выбор между Яндексом и Гуглом (Argon)

Argon — Wed, 06 Oct 2010 11:18:53 +0000

Николай, спасибо за комментарии, я внес корректировки в основной пост.

Комментарий к записи Бесплатная электропочта для домена: выбор между Яндексом и Гуглом (Николай)

Николай — Wed, 06 Oct 2010 10:48:29 +0000

Да нет же, Календарь уже давно доступен непосредственно с доменного аккаунта, как и jabber, а также загрузка файлов в файлохранилище при отправке писем, если нужно отправить большой файл.

Комментарий к записи Бесплатная электропочта для домена: выбор между Яндексом и Гуглом (Argon)

Argon — Wed, 06 Oct 2010 06:56:02 +0000

Чтобы никого не обижать, я явно написал, что предполагаю, а не сужу о надежности.

То, что для почтовых протоколов теперь и у Яндекса заявлена поддержка SSL — это просто замечательно. Однако, веб-доступ по прежнему работает по HTTP, а чтобы попасть по SSL, нужно руками ввести HTTPS в адресную строку. Действительно, работает!

На момент проведения моего сравнения в хелпе Яндекса про SSL для почтовых протоколов не было ни слова, а про веб доступ нет и сейчас.

А вот с календарем и прочими сервисами все печальнее. Если в Google Apps эти сервисы работают от созданной учетки в вашем домене, то сервисы Яндекса авторизуются по яндексной учетке, а не доменной. Хотя лично мне бесплатные сервисы для совместной работы и не нужны, есть корпоративные.

—

Благодарю за вести с внутренней кухни почты для домена Яндекса. Развитие в этом направлении меня радует.

Комментарий к записи Бесплатная электропочта для домена: выбор между Яндексом и Гуглом (Николай)

Николай — Tue, 05 Oct 2010 23:47:11 +0000

Плохо судить о надежности сервиса по его бесплатности для потребителя. Как и платность чего-либо не говорит о качестве.

SSL у Яндекса есть как для почтовых программ, так и для веб-интерфейса.

Календарь и планировщик задач для доменных пользователей есть и у Яндекса, просмотр документов — тоже. Общая АК, на сколько я знаю, планируется в скором времени. В новом веб-интерфейсе, который сейчас тестируется на основной почте Яндекса, уже есть возможность выбирать внешние адреса, от имени которых можно отправлять письма. В будущем это станет доступным и для доменов, наверняка.

Комментарий к записи Forefront Client Security (Mesmer)

Mesmer — Fri, 01 Oct 2010 03:23:37 +0000

ааа. то есть, сам сервер имеют лишь пограничную задачу. типа политика. и база мом, я так понимаю?

Комментарий к записи Forefront Client Security (Argon)

Argon — Thu, 30 Sep 2010 10:39:39 +0000

Политика вносит в реестр хитрые изменения, после которых комп у WSUS начинает запрашивать дистрибутив FCS как обновление.

Комментарий к записи Forefront Client Security (Mesmer)

Mesmer — Thu, 30 Sep 2010 10:08:35 +0000

откуда инсталляция идет, когда компьютер применяет политику в AD на установку? в смысле, на сервере у меня в раделе D лежит дистрибутив. от туда? или из каталога program files на самом сервере. как понимаю в приципе идет инсталляция msi.

Комментарий к записи Forefront Client Security (Argon)

Argon — Mon, 20 Sep 2010 20:57:27 +0000

В MOM-e есть возможность удалять управляемые компьютеры из админ-консоли. Думаю, для восстановления управления над переименованным компом можно сделать так: удалить запись из MOM-а, удалить компоненты MOM и FCS с клиентского компа, затаем FCS сам поставиться через политики и пропишется везде по-новой.

Комментарий к записи Forefront Client Security (Mesmer)

Mesmer — Mon, 20 Sep 2010 02:24:39 +0000

хочу спросить. блы компьютер с одним именем и на нем клиент. переименовал компьютер, но в том же домене стоит. а теперь в MOM старое имя отображается тоже. но уже как unmanaged. как этот компьютер исключить? т.е. чтобы не болталась эта запись.

Комментарий к записи Windows Server 2008 R2: Server Core and Hyper-V Server (Argon)

Argon — Fri, 10 Sep 2010 16:09:55 +0000

Про R1 согласен, без фреймворка и других ролей — шарманка еще та была. А вот R2 уже вполне хороша, для выполнения функций, описанных в статье — вполне годится.

Комментарий к записи Windows Server 2008 R2: Server Core and Hyper-V Server (EDWS)

EDWS — Fri, 10 Sep 2010 12:37:19 +0000

Сенки за статью. Но имхо core вещь все равно бесполезная. Я R2 core не юзал но R1 троху погонял. Признаюсь сразу у меня загорелись глаза, во первых, что core просто летает по сравнению с полной версией, можно ставить на старенькие системы. Первая идея которая взбрела в голову — так это жe можно накодить интерфейсик на dotnet, соответственно сделать на базе core ось заточенную под собственные нужды! Но пыл мой охладило отсутствие того самого dotnet в core R1, а кодить интерфейс на C++ желания и смысла нет никакого. Имхо в M$ спецом не включили dotnet в R1, чтобы присечь таких умников как я, потому как если бы дотнетчики загорелись такой идеей то подвинули бы и висту и семерку! В core R2 dotnet включили но x32 не поддержали соответственно — попа. Нарываешься на непреодолимый гемор с совместимостью. Жалко конечно, ядро то само ниче так.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Tue, 31 Aug 2010 07:42:52 +0000

Пожалуйста, дополнил статью добытой инфой по маршрутизации.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Hitmank)

Hitmank — Tue, 31 Aug 2010 06:13:55 +0000

Интересно, обязательно попробую. Спасибо!

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Mon, 30 Aug 2010 12:56:14 +0000

Кое-что выяснил.

Чтобы работало объявление default router, я создал следующие условия.

На компе WS 2008 две сетевухи.

Local1 fc00:10:18:1::10/64 — раздает этот префикс и адреса клиентам по DHCP.
Сконфигурирован
netsh int ipv6 add route fc00:10:18:1::/64 Local1 publish=yes

Local2 fc00:10:18:2::10/64 — для объявления Default Router в сеть Local1 нужен сконфигурированный next-hop адрес (следующего маршрутизатора для текущего роутера).
Сконфигурирован
netsh int ipv6 add route ::/0 Local2 fc00:10:18:2::180 publish=yes

Таким образом, клиенты получают DHCP адреса и префикс fc00:10:18:1::/64, а также default router (маршрут ::/0), который указывает на link-local адрес (fe80:…) адаптера Local1.

Как сделать, чтобы клиенты как адрес шлюза получали назначенный адаптеру Local1 адрес (fc00:10:18:1::10) вместо link-local — еще не знаю.

Не проверял, но пишут, что для WS 2008 R2 уже нет необходимости объявлять на роутере next-hop адрес следующего роутера, достаточно выполнить

netsh int ipv6 set int advertisedefaultroute=enabled

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Hitmank)

Hitmank — Tue, 24 Aug 2010 13:25:03 +0000

Спасибо, успеха Вам. Отпишитесь если получится.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Tue, 24 Aug 2010 08:13:27 +0000

Шлюз должен объявлять себя сам.

Я исследовал этот вопрос, попробовал объявить
add route ::/0 Local fc00:10:18:1::1 publish=yes
где 10:18:1::1 — адрес другого компа со службой маршрутизации. Этот маршрут на самом серваке прописывается, но до клиентов не доходит.

Однако, если прописать
add route ::/0 Local fc00:10:18:1::10 publish=yes
где 10:18:1::10 — адрес того же компа, то до клиентов доходит маршрут «::/0 on-link» (виден в ipconfig как «::»), то есть без указания роутера, и, соответственно, маршрутизация не работает.

Если на клиенте руками прописать
route add ::/0 fc00:10:18:1::10
то шлюз работает как надо.

Я попробую решить эту проблему, так как мне тоже интересно.

Насчет второго IPv6 адреса… Так как флаг M в DHCPv6 установлен (netsh int ipv6 set interface Local man=en), то DHCP сервером назначаются клиентом адреса, при этом же сами клиенты генерируют еще Stateless IPv6 адреса (EUI-64) самостоятельно. Таким образом клиенты имеют по 2 адреса и больше.

Чтобы отключить автогенрацию IPv6 на стороне клиентов, нужно выполнить

netsh interface ipv6 set global randomizeidentifiers=disabled

…однако, зачем? Пусть живёт.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Hitmank)

Hitmank — Mon, 23 Aug 2010 20:38:11 +0000

Следуя Вашим рекомендациям не вышло, шлюз по прежнему не высвечивается у клиента.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Hitmank)

Hitmank — Mon, 23 Aug 2010 20:08:34 +0000

Также хотелось бы отметить, почему сам сервер dhcp да другие машины которым дан статический адрес, берут еще один от dhcp сервера?

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Hitmank)

Hitmank — Mon, 23 Aug 2010 17:31:14 +0000

хм… интересно, а почему 0? и что если шлюз и dhcp сервер это не один и тот компьютер, тогда эти команды нужно объявить на той машине или нет?

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Mon, 23 Aug 2010 11:27:55 +0000

Хороший вопрос, для выдачи шлюза по умолчанию нужно объявить маршрут ::/0.

То есть, если на одной машине стоит DHCPv6 и Routing, то достаточно использовать команды

netsh int ipv6 set int Local adv=en
netsh int ipv6 add route ::/0 Local publish=yes

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Hitmank)

Hitmank — Fri, 20 Aug 2010 17:20:46 +0000

хотел бы спросить, а как сделать чтобы и шлюз ipv6 по dhcp выдавался, dns выдает, ip выдает, а вот шлюз нет.

Комментарий к записи Forefront Client Security (Argon)

Argon — Sat, 14 Aug 2010 05:18:48 +0000

Про исключения я приводил ссылку на ту же статью ранее, причем актуальны эти сведения для любых антивирусов, не только MS. На раб станциях добавления в исключения каких-попало приложений и папок просто лишит защиты. Под интенсивно используемым приложением можно считать редактор видео, большую файловую базу данных типа одинэски.

По моим наблюдениям все равно никто в начале раб дня не работает в полную силу, время на раскачку уходит, тот же чай пьют…

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 13 Aug 2010 15:28:02 +0000

В общем удалось выяснить, что основное зависание происходило в 13 часов дня, когда по расписанию запускалась проверка scan security state assesment (почему-то в политиках ее можно либо отключить, либо включить сканирование в заданные часы каждый день, включить сканирование в определенный день, как Malware Scanning нельзя). И, что самое интересное, пользователи, у которых остановлен 1 Gb оперативной памяти, на зависание при этом сканировании ни сколько не жаловались!

Так же, я нашел на официальном сайте Microsoft рекомендации по добавлению в исключения определенных системных файлов ОС и серверных приложений, в зависимости от ролей конкретного сервера (http://support.microsoft.com/kb/943556), которые Microsoft рекомендует добавить в исключения антивирусных приложений для повышения производительности. Любопытно, что ни одному антивирусу это особо не требуется, кроме антивируса производства самих Microsoft.

По поводу добавления интенсивно используемых приложений в исключения возникает вопрос, если все интенсивно используемые приложения будут добавлены в исключения, то что же будет тогда сканировать сам FCS, и как же это скажется на защите в конечном счете?

Особенно порадовала Ваша фраза на счет чая :)
Интересно, Microsoft не прилагает бесплатно подписку на чай?
А то покупать его для 300 пользователей контора разорится, боюсь.

P.S.: Я посчитал и выяснил, что увеличивать всем оперативную память до 1 Gb по стоимости получится цена того же самого Kaspersky Business Space Security, на который денег изначально пожалели и решили сэкономить.

Комментарий к записи Forefront Client Security (Argon)

Argon — Tue, 10 Aug 2010 12:42:58 +0000

Константин,
1, 2. Насчет падения производительности — пользователи действительно жалуются, я их приучил по приходу на работу включать компьютеры и идти пить чай. FCS тормозит компы сразу после запуска, потом затихает. Видимо собирает Security Assessment State и прочее.
3. Согласен, неудобно, по маске не умеет. Но в этом и какая-никакая защита от подлога есть.

Исключения на рабочих станциях… Например если есть какое-то определенное интенсивно юзаемое приложение, которое генерит/обрабатывает файлы, вот его и добавлять.

Комментарий к записи Forefront Client Security (Константин)

Константин — Tue, 10 Aug 2010 12:35:15 +0000

Не подскажете ли — нужно ли для повышения производительности добавлять в исключения какие-то определенные системные файлы на рабочих станциях?

Комментарий к записи Forefront Client Security (Константин)

Константин — Tue, 10 Aug 2010 11:40:28 +0000

1. На падение производительности жалуются разные пользователи и те, и с недавно установленной ОС, и с давно установленной (но, согласитесь, переустанавливать из-за антивируса ОС на 300 компах это too much).
2. Пока что я заметил, что на тормоза не жалуются пользователи с объемом оперативной памяти больше гигабайта.
3. По поводу добавления исключений, сделаны они очень не удобно — в Overrides можно добавить только один отдельно взятый файл, без указания конкретного пути, а в Exclusions from Malware scan, наборот, можно добавить файл с определённым путём, а отдельно сам файл — нельзя, что создает большие неудобства.
4. Как раз-таки на 3-х серверах стоит FCS, никаких «специфических» исключений не добавлено и падения производительности на них не наблюдается (опять же, на каждом из них более 1 Гб. оперативной памяти).

Я прекрасно понимаю, что FCS защищает именно клиентские машины, а не периметр сети, или почту, не понимаю, к чему Вы это написали.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Tue, 10 Aug 2010 08:44:34 +0000

Во всем согласен. Особенно попал в точку насчет неподдержки IPv6 в Forefront TMG, это печально, люто, бешено!

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Emulty)

Emulty — Tue, 10 Aug 2010 08:10:57 +0000

Перелопатил кучу информации по IPV6, только сил не хватило освоить мануалы на английском языке.
Очень благодарен за опыт выложенный в данной статье.
Реально основная трудность, что в отличие от IPv4 с IPV6 нет устоявшихся традиций настройки в доменной сети предприятия. В силу того, что если в большинстве случаев с IPv4 все использовали выделенные приватные диапазоны. С IPv6 ситуация другая, хочешь используй полностью аналогичную схему IPv4 с локальными адресами, хочешь бери область у туннельного брокера и используй прямые адреса шестой версии и настраивай максимально жестко свой FireWall. Можно использовать сразу оба варианта и единого мнения как это лучше сделать — нет. ForeFront tmg вообще толком не поддерживает IPv6. При этом Windows в качестве маршрутизатора использовать крайне не удобно, а роутеры типа Циски далеко не везде получается использовать, ибо дорого.

Комментарий к записи Forefront Client Security (Argon)

Argon — Mon, 09 Aug 2010 13:23:40 +0000

Не могу согласится со всем написанным в указанной ветке на Технете. Лично я внедрил FCS на двух предприятиях, нигде не было серьезных проблем, при условии что разворачивалось на чистые компы. С настройками исключений тоже особых проблем не наблюдал, и хочу подчеркнуть необходимость этих настроек на серверах, чтобы избежать диких тормозов.

Следует учесть, что FCS — именно Client Security, а не All-In-One. То есть FCS защищает именно клиентов, а периметр сети — Forefront TMG, почту Forefront for Exchange. И т. п.

Комментарий к записи Forefront Client Security (Константин)

Константин — Mon, 09 Aug 2010 12:59:35 +0000

Если кому-то интересно, то вот мой опыт работы с FCS на данный момент:

http://social.technet.microsoft.com/Forums/ru-RU/forefrontru/thread/01829ee8-8af7-4d73-a916-8e743d94324e

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Tiunov Igor)

Tiunov Igor — Mon, 12 Jul 2010 19:28:32 +0000

Хотя извиняюсь, я сам не додумал, DHCP рассылает объявления маршрутизатора…

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Tiunov Igor)

Tiunov Igor — Mon, 12 Jul 2010 19:26:27 +0000

Представте, если не два клиента, а 1000, тогда может и DHCP не нужен? но как решение — не спорю.

Комментарий к записи Forefront Client Security (Константин)

Константин — Mon, 12 Jul 2010 06:00:40 +0000

Проблемы решились после полной переустановки SQL и FCS.
Очень много гуглил и задавал вопросы на Течнете, но особо дельных ответов там не увидел.
Вот ссылка, может быть кому-то полезно будет.

Argon, скажите, я правильно понял, что если компьютер в домен не включен, то отчеты на сервер управления он отсылать и управляться этим сервером не будет, даже если клиента развернуть на этом компьютере с использованием fcslocalpolicytool?
Есть ли какой-нибудь способ управления таким компьютером через сервер управления?

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Argon)

Argon — Sun, 11 Jul 2010 08:45:47 +0000

Не упустил, последние две приведенные мной команды какраз решают эту проблему без установки ipv6 маршрутизатора. Как маршрутизатор после этого сервер работать не станет, но в пределах одной сети ipv6 будет работать исправно.

Комментарий к записи Windows Server 2008: внедрение IPv6 в локальной сети (Tiunov Igor)

Tiunov Igor — Sun, 11 Jul 2010 08:34:35 +0000

Вот эта проблема » клиенты эти настойки исправно получают, общаться между собой они не могут» решается добавлением в сеть обязательного для DHCPv6 маршрутизатора с поддержной ipv6 (в роли которого может выступать W2k8). Этот момент Вы как-то упустили при чтении обсуждения на technet.

Комментарий к записи Forefront Client Security (Argon)

Argon — Wed, 07 Jul 2010 08:18:56 +0000

1. В консоли FCS создаются магические групповые политики, которые содержат необходимые параметры для развертывания клиентов FCS.

Предполагаю, что если тестовые политики потом заменить на боевые, то клиенты боевой сервер подхватят.

Но возможно, что придется на списке компов какую-нить команду по сети выполнить (типа регистрации в МОМ-е)

2.1 Нужен WSUS, для ручной установки можно скачать с Windows Update Catalog последнюю версию Client Security.
2.2 Консоль FCS делает создают политику, которая содержит настройки реестра.

Комментарий к записи Forefront Client Security (Mesmer)

Mesmer — Tue, 06 Jul 2010 09:06:47 +0000

Приветствую!
Если сейчас «тестирую» в таком виде:
установил на тестовый сервер серверную часть, на нем же деплой сделал.
и раскидываю через него на тестируемые машины.
в дальнейшем планирую установить на другой сервер, и собственно хотелось бы, чтобы машины с уже установленным клиентом оказались в репортах и базах mom боевого сервера.
1.к безболезненно провест подобное?

или же не заморачиваться и просто ставить с ключом /nomom, в таком случае надо деплой в reg файл, тогда идут у меня вопросы:
2.1 какие файлы нужны для установки клиента на машину? подразумеваю, что машины xp sp2 рус(большинство уже sp3).
2.2 reg.файл просто в нужное OU в AD запихнуть, как скрипт логон для ПК?

Комментарий к записи Forefront Client Security (Argon)

Argon — Mon, 05 Jul 2010 14:34:21 +0000

Ой, столько мук ;) Все компоненты FCS (реестр, файлы, базы данных) вычистил и такая ошибка случается? В таком случае в системе что-то не ладно. Всеж таки напиши версии, разрядности и сревиспаки винды, скл, фреймоворка и т. п.

Поднять чистую виртуалочку под сервер FCS нет возможности?

Комментарий к записи Forefront Client Security (Константин)

Константин — Mon, 05 Jul 2010 14:21:57 +0000

В общем я вернулся к исходному состоянию -при повторной установке FCS MOMReporting отказывается устанавливаться с ошибкой MAinEngineThread is returning 1603.

Комментарий к записи Forefront Client Security (Константин)

Константин — Mon, 05 Jul 2010 10:26:12 +0000

Вдобавок, теперь еще и при установке FCS пишется, что компонент Collection Database уже установлен, хотя базу OnePoint я удалял.
Утилита msicuu2 не показывает, что на сервере установлено, что-то относящееся к MOM или FCS.

Комментарий к записи Forefront Client Security (Константин)

Константин — Sat, 03 Jul 2010 22:50:39 +0000

В журнале событий я нашел ошибку с кодом 10005 источник — MSIInstaller, нашел статью с описанием данной ошибки — http://support.microsoft.com/kb/922337, где говорится, что эта проблема связана с тем, что установка производится на сервер, где запущена 32-битная версия SQL Server 2005, советуют запустить MOMreporting.msi отдельно с ключом, но этот вариант мне не подходит, т.к. после установки MOMreporting, именно в процессе установки FCS, идет установка других компонентов FCS которые тоже нужны.

Комментарий к записи Forefront Client Security (Михаил)

Михаил — Sat, 03 Jul 2010 16:03:13 +0000

Я никого не расстрою если скажу, что это чудо не ставится с SQL2008 (ни экспресс, ни стандарт — ни с каким). Not supported

Комментарий к записи Forefront Client Security (Константин)

Константин — Sat, 03 Jul 2010 12:13:52 +0000

я решил тоже переустановить, но теперь в процессе установки появляется ошибка 1603 на этапе установки MOM Reporting. Поиск этой ошибки в Интернете пока ни чего не дал (могу выслать лог установки).

Комментарий к записи Forefront Client Security (Argon)

Argon — Fri, 02 Jul 2010 13:40:32 +0000

narod.ru/disk/22380318000/msicuu2.exe.html

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 02 Jul 2010 13:35:20 +0000

Вышлите, пожалуйста, если можно.

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 02 Jul 2010 13:28:51 +0000

Вышлите пожалуйста на почту.
Я начал переустанавливать Forefront и у меня происходит ошибка 1603 при установке MOMReporting

Комментарий к записи Forefront Client Security (Argon)

Argon — Fri, 02 Jul 2010 11:20:36 +0000

Ага, они пишут

While the Windows Installer Cleanup utility resolved some installation problems, it sometimes damaged other components installed on the computer. Because of this, the tool has been removed from the Microsoft Download Center.

Но в Гугле найти можно. На крайняк у меня в запасах есть.

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 02 Jul 2010 10:08:30 +0000

Что-то я ее на могу найти на сайте Microsoft/

Комментарий к записи Forefront Client Security (Argon)

Argon — Fri, 02 Jul 2010 08:59:40 +0000

Наверно имеется в виду Windows Installer CleanUp. Полезная штука в некоторых случаях, например если прога удалилась не полностью и это не даёт переустановить её заново.

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 02 Jul 2010 08:51:22 +0000

Роли на одном компьютере, посмотрел в журнал ошибок, нашел событие 10006 от FcsSas

Я нашел пост на английском языке, где описывается та же самая проблема с этой ошибкой, человек пишет, что он просто удалил FCS, затем воспользовался каким-то toolkit для чистки и снова установил fcs (http://social.technet.microsoft.com/Forums/en-US/Forefrontclientsetup/thread/7c6f46cb-6bb4-4118-88e4-2ca63632df21).
Только не понятно, что же за toolkit он использовал.

Комментарий к записи Forefront Client Security (Argon)

Argon — Fri, 02 Jul 2010 08:20:22 +0000

Ну а в логах системы и приложений есть ли что интересное, это первое место, куда надо смотреть.

Какая ОСь? Есть ли на компе еще что-нибудь «лишнее»? Пробовал ли переставить FCS? Были ли ошибки при установке FCS?

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 02 Jul 2010 08:05:40 +0000

На одном сервере все, перезагружал уже не один раз его.
При попытке посмотреть отчеты политики (правой кнопкой на политике, View reports), в IE открывается страница, на которой присутствуют надписи: Ошибка: невозможно отобразить вложенный отчет.

Комментарий к записи Forefront Client Security (Argon)

Argon — Fri, 02 Jul 2010 05:53:21 +0000

Эти роли на одном компе? Если нет, то можно посмотреть фаэрволл.

Если на одном компе обе роли, перезапусти комп или соотв службы, посмотри в логи, может какие ошибки будут писаться.

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 02 Jul 2010 05:47:56 +0000

Компьютеры находятся в группе Agent-managed computers, такое впечатление, что нет связи между MOM и FCS Management Console

Комментарий к записи Forefront Client Security (Argon)

Argon — Fri, 02 Jul 2010 05:38:42 +0000

Как я понял, MOM работает, а вот в самом сервере FCS компов нет. В MOM-е компы появились как полноправные, или как pending? Если pending, то нужно одобрить их, тогда счетчик защищенных компов в консоли FCS должен увеличиться.

Комментарий к записи Forefront Client Security (Константин)

Константин — Fri, 02 Jul 2010 05:21:20 +0000

И снова здравствуйте. Установил и настроил FCS согласно официальной документации на сайте Microsoft (http://technet.microsoft.com/ru-ru/library/bb432630.aspx).
FCS прекрасно «деплоится» на рабочие станции через политики, но почему-то в Microsoft Client Security Management Console не отображается информация о компьютерах, находящихся под управлением. Все индикаторы стоят на 0%, в графике 14-day history написано «No Data» (при этом в консоли администратора MOM компьютеры с агентами видны). При попытке запустить сканирование на компьютерах с уже установленными агентами внизу появляется ошибка с надписью «Could not start the scan for all managed computers. No Client Security Management servers were discovered in the MOM «Microsoft Forefront Client Security Collector» computer group».

Подскажите пожалуйста, где искать причину этой проблемы, сам в официальной документации не нашел.

Комментарий к записи Forefront Client Security (ITband.ru » Forefront Client Security)

ITband.ru » Forefront Client Security — Thu, 01 Jul 2010 02:09:55 +0000

[...] оригинал статьи [...]

Комментарий к записи Forefront Client Security (Argon)

Argon — Wed, 30 Jun 2010 12:07:20 +0000

Рад помочь, но кто бы мог подумать, что в планировщике беда ;)

Комментарий к записи Forefront Client Security (SZ)

SZ — Wed, 30 Jun 2010 11:07:25 +0000

Argon Проблема решена спасибо… Просто была отключена служба «Планировщик заданий».

Комментарий к записи Forefront Client Security (Argon)

Argon — Wed, 30 Jun 2010 06:10:11 +0000

Какая версия клиентской ОСи? Сервиспаки?

Из стареньких ОСей поддерживаются эти: Windows 2000 SP4 or later, Windows XP SP2 or later, Windows Server 2003 SP1.

Комментарий к записи Forefront Client Security (SZ)

SZ — Wed, 30 Jun 2010 05:44:10 +0000

Здравствуйте. Не могу установить клинскую часть приложения. Ставлю с помощью команды wuauclt /detectnow, в начале шкала загрузки заполняется потом установщик сообщает что приложение не установлено, других антивирусных программ на компьютере не установлено, скажите в чем может быть проблема ????

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (gavrosh)

gavrosh — Thu, 17 Jun 2010 12:24:11 +0000

Здорово, спасибо за материал)

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (Argon)

Argon — Thu, 17 Jun 2010 10:52:06 +0000

Да, все можно сделать через ГП, но могут быть тонкости.

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (gavrosh)

gavrosh — Thu, 17 Jun 2010 10:40:02 +0000

т.е. теоретически я говорю через групповую политику — Служба WinRM включись, и оно работает, так?

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (Argon)

Argon — Thu, 17 Jun 2010 10:26:48 +0000

Конечно есть, через WSUS распространяете последний .Net Framework, разрешаете в групповых политиках запрашивать опциональные обновления, после этого клиенты у WSUS-а спросят WinRM 2.0, его и одобряем. Вот WinRM и установлен на всех компах.

А телнет немного для другого сделан.

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (gavrosh)

gavrosh — Thu, 17 Jun 2010 10:18:58 +0000

и ещё вопрос, может глупый), а чем телнет плох?

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (gavrosh)

gavrosh — Thu, 17 Jun 2010 10:15:27 +0000

А централизованного механизма развёртывания WinRM в домене никакого нет? а то ведь опухнешь на всех клиентах настраивать(

Комментарий к записи Forefront Client Security (Argon)

Argon — Tue, 25 May 2010 15:50:57 +0000

Security Essentials разрешается использовать только на домашних компьютерах.

Использование в любых организациях — нарушение лицензионного соглашения.

Если хочется сэкономить, то можно использовать FCS в организации без сервера управления.

Комментарий к записи Forefront Client Security (bw)

bw — Tue, 25 May 2010 15:16:48 +0000

Добрый день, спасибо за статью. Возник вопрос: Security Essentials можно использовать на предприятии или нет? не важно что он не управляем из единого центра. В моём WSUS 3 sp1 для него есть уже несколько обновлений за май.

Комментарий к записи Forefront Client Security (Argon)

Argon — Wed, 19 May 2010 07:32:59 +0000

Верно, в уст/удал программ нужно изменить состав компонентов SQL Server’a, напоминаю, что версия должна быть не ниже Standard. Насколько знаю, если предварительные требования для Reporting Services не выполнены, то и установка их не пойдёт. Если этот компонент доступен для установки, то его нужно сконфигурировать автоматически, на IIS веб-сайт по умолчанию и т. п.

Также есть возможность после установки «пуске» зайти в Reporting Services Configuration, в этой утилите можно и вручную настроить многие параметры, в том числе и приложения IIS.

Комментарий к записи Forefront Client Security (Константин)

Константин — Wed, 19 May 2010 06:18:38 +0000

Да, в диспетчере IIS нет данных приложений, не очень точно понял что значить переустановить Report Service, в установке и удалении программ выбрал пункт «изменить» и в процессе установки поставил флажок напротив Reporting Service, но это не помогло…
Если существенно, то FCS я решил разворачивать уже на существующем сервере W2k3r2sp2rus x32, на нем уже настроен боевой WSUS (без использования SQL) и в управлении IIS есть приложение Администрирование WSUS

Комментарий к записи Forefront Client Security (Argon)

Argon — Tue, 18 May 2010 15:15:31 +0000

Запустите диспетчер IIS, откройте веб сайт по умолчанию. В нем должны быть созданы приложения Reports и ReportServer. Если их нет, значит установка компонента Reporting из состава SQL Server’a прошла некорректно. Попробуйте переустановить этот компонент.

В случае дальнейших проблем, пишите сюда. Обещаю отвечать быстрее ;)

Комментарий к записи Forefront Client Security (Константин)

Константин — Wed, 12 May 2010 04:59:00 +0000

«Чтобы проверить, корректно ли установились Reporting Services, пробуем зайти IE (с отключенным режимом Enhanced Security) на адрес http://localhost/Reports/. Если ошибок нет, то продолжаем. Если есть, пишите в комментарии.»

Здравствуйте, открывается с ошибками:

Не удается найти требуемую страницу
Запрошенная страница удалена, переименована или временно недоступна.

Режим Enhanced Security отключил.

Комментарий к записи Windows Server 2008 R2: Server Core and Hyper-V Server (am1goo)

am1goo — Thu, 29 Apr 2010 12:24:35 +0000

Рад что у нас в Кирове есть еще MCITP:)
И статьи интересные, могу помочь в написании если что) Конечно до EA дорасти не удалось (всего лишь MCTS), но я думаю оно не за горами, только экзамены сдать)))
А так я тебя в аську добавил, там и про ПоЕ свичи договоримся, да и так)

Комментарий к записи Windows Server 2008 R2: Server Core and Hyper-V Server (dimokkk)

dimokkk — Fri, 12 Mar 2010 19:10:29 +0000

Все равно тяжело себя приучить работать в коммандной строке Core, кто бы что ни говорил гуйни не хватает!

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (Argon)

Argon — Mon, 01 Mar 2010 16:27:41 +0000

Спасибо за полезный комментарии, среди моря лести спамеров.

Комментарий к записи Выполнение консольных команд на удаленных компьютерах по сети (Тойво Глумов)

Тойво Глумов — Mon, 01 Mar 2010 16:07:50 +0000

«Прелесть WinRM заключается в прост-а-те развертывания в доменной» — думаю, стоит поправить опечатку.

Комментарий к записи Forefront Client Security (Argon)

Argon — Sat, 20 Feb 2010 06:18:42 +0000

На моем ресурсе комменты проходят премодерацию, прямые ссылки не публикуются. Спамеры, не напрягайтесь!

Комментарий к записи Forefront Client Security (AlexeyChop)

AlexeyChop — Sat, 20 Feb 2010 00:25:34 +0000

Доброе время суток! Я работаю журналистом в одном из новых издательств и как раз ныне пишу статью по подобной Вашей тематике! Не могли бы Вы дать разрешение на публикацию Вашего материала в нашем печатном изданииб естественно с указанием ссылки на данную статью! Заранее благодарен!

Комментарий к записи Душевные терзания (Argon)

Argon — Sat, 13 Feb 2010 11:13:36 +0000

Спасибо! Будем оба развиваться дальше!

Комментарий к записи Душевные терзания (iKatod)

iKatod — Sat, 13 Feb 2010 10:49:25 +0000

Новый дизайн клевый

Комментарий к записи Душевные терзания (iKatod)

iKatod — Sat, 13 Feb 2010 10:48:10 +0000

Мой твиттер =)

Комментарий к записи Душевные терзания (iKatod)

iKatod — Sat, 13 Feb 2010 10:47:42 +0000

Аргон аааа. Дружище ты начал писать! Ты большой молодец … Ура тебе … У меня то же многое произошло, я прошел экзамен на шатерсток … =))) мои векторы немножко продаются … Мужчина я рад что снова Аргон онлайн … Без запятых ибо прет меня от радости и не хочу останавливаться =) Рад