Carlos Fernando Paleo da Rocha
SBS MVP in Brazil

Já vi muita gente reclamando que não teria como instalar determinado Service Pack porque não tinha como fazer isto remotamente. O problema sempre é maior quando ele se refere ao firewall, lembram-se do SP3 do ISA? Pois é, quando alteramos o firewall ele tendo a entrar no chamado lock down mode, o que corta o nosso acesso remoto e só nos devolve ele após o reboot, mas como mandar rebootar se perdemos o acesso? Aí é que está, a solução é agendar um reboot para ocorrer após a aplicação do service pack. Como?

Faça o seguinte:

Crie um arquivo de batch:

1. clique direito na área de trabalho;
2. novo;
3. documento de texto;
4. nomeie ele de algo como "BootFut.bat";
5. responde sim para o alerta de alteração de extensão;

Agora insira os comandos nele:

1. clique direito no arquivo;
2. editar;
3. digite o seguinte texto na primeira linha dele;
4. "shutdown -r -t 60 -f"
5. feche o arquivo;
6. confirme o salvamento.

Ok, o que significa aquela linha de comando?

• shutdown: comando para desligamento e/ou reinicialização do servidor;
• -r: indica que desejamos uma reinicialização;
• -t 60: determina o tempo de espera após o início da execução do arquivo, em segundos. Neste caso, um minuto;
• -f: indica force, ou seja, se algum processo estiver aguardando resposta, ele será finalizado.

Agora você deve mover o arquivo para uma pasta de onde irá rodá-lo, costumo usar a pasta mScripts, de meus Scripts, para não misturar estes arquivos com os outros do servidor. Assim acho eles mais fácil em caso de precisar dar manutenção em algum.

Vá ao painel de controle e crie uma tarefa agendada:

1. Iniciar -> Painel de Controle -> Agendador de Tarefas ou Start -> Control Panel -> Scheduled Tasks;
2. Adicionar Tarefa Agendada ou Add Scheduled Task;
3. Avançar;
4. Procurar ou Browse;
5. Vá até a pasta onde gravou o arquivo, selecione ele e clique em Abrir ou Open (Ex.: C:\mScripts\BootFut.bat);
6. Selecione que a tarefa deve ser executada apenas uma vez (sim, terá de repetir estes passos toda vez que desejar esta funcionalidade);
7. Determine quando a tarefa deve rodar, sendo que para estar seguro determine 50% a mais do que ela levou em sua máquina de testes (Máquina de testes? Sim, lembra de meu post anterior? Pois é, não se aplica atualizações sem antes testar);
8. Entre suas credenciais de administrador;
9. Pressione Terminar ou Finish (Não precisa abrir as propriedades avançadas).

Se acontecer de você ser desconectado durante uma atualização, bastará aguardar uns 15 minutos após o tempo do agendamento para se conectar novamente. Naturalmente, que nada é 100% garantido, mas suas chances de ficar sem acesso desta forma são bastante reduzidas.

 Agradeço à Susan Bradley e Philip Elder pelas idéias que deram origem a este post!

Já vi muitas perguntas nos forums, onde o pessoal pede ajuda para achar algum wizard, pois seu Server Management foi para o espaço. Então, onde ficam estes arquivos?

Na pasta C:\Program Files\Microsoft Integration\Windows Small Business Server 2003 e sub-pastas.

Aproveito para re-postar aqui a excelente dica da Susan Bradley, sobre vídeo para SBS criados pela Saturn Alliance, um MS Partner da Austrália e disponibilizados no You Tube.

http://www.saturnalliance.com.au/3828316/saturn-alliance-videos.htm

http://www.technorati.com/videos/tag/saturnalliance

Você já desejou ter um Live Meeting para sua empresa? Foi ver o preço e se apavorou? Não encontrou nenhuma solução de terceiros, mais barata?

A solução que você procura esta aqui:

http://blogs.technet.com/klince/archive/2007/05/29/microsoft-sharedview-public-beta.aspx

Em uma frase: Sim!

Através dele você pode atualizar seu servidor para a versão mais nova, sem precisar incorrer em custos para a aquisição da atualização (porque estes já são contemplados pelo contrato).

Então quer dizer que quem comprar o SBS este ano com o SA já está garantido para a atualização à próxima versão dele, ano que vem?

Mais ou menos! Aí surge a pergunta: Como assim mais ou menos? Sempre foi assim, desde o SBS 2000, 2003, por que mudaria agora com o SBS 2003 R2?

Na verdade o funcionamento do SA não mudou com o SBS 2003 R2, ainda é a mesmo e você terá direito ao software, mas há um porém!

A próxima versão do SBS será apenas para 64-bits, ou seja, pode ser que o seu hardware não suporte a mesma e neste caso apenas o SA não irá resolver o seu problema. Outro coisa, não haverá opção de atualização in-place (sem precisar reinstalar tudo), pois não há suporte para a migração entre plataformas (32-bits do SBS 2003 R2, para 64-bits da próxima versão).

Portanto quem for adquirir um SBS novo hoje, com SA, atente para o fato de adquiri-lo com hardware compatível com a próxima versão, senão não terá como exercer o SA.

Não sabe o que é isso? O próximo lançamento da MS em matéria de servidores. Um servidor residencial, focado em usuários domésticos (esta parte era óbvia né? :D).

Caso deseje ser beta tester dele, basta seguir os passos descritos aqui:

http://forums.microsoft.com/WindowsHomeServer/ShowPost.aspx?PostID=1219741&SiteID=50

O texto está em inglês, mas basta se inscrever e aguardar a seleção.

Ok, pessoal, de acordo com esta notícia, já podem ser solicitados os CDs. Mas isto será apenas até 31/12/2007 e ainda não está disponível para a LATAM.

Se você é usuário do Windows Small Business Server, não perca a oportunidade de responder a esta pesquisa (site em inglês):

http://connect.microsoft.com/SBSCommunity/Survey/Survey.aspx?SurveyID=3232

Acho que deve ser de interesse de vocês: o padrão ODF (ISO 26300) não inclui suporte para assinaturas digitais. A especificação do formato é simplesmente omissa quanto a isso, ficando a cargo de cada aplicação colocar assinaturas digitais do jeito que elas acharem conveniente. O suporte está previsto só para uma futura versão do ODF, a 1.2, e está fora da norma ISO.

O risco portanto de se adotar ODF em aplicações que exijam assinatura digital é o de uma assinatura digital em um documento ODF feita por uma aplicação (por exemplo, OpenOffice) pode não ser reconhecido por outra aplicação (por exemplo, IBM SmartSuite), mesmo se ambas tiverem implementado em sua totalidade e corretamente o formato ODF. Como a especificação é omissa cada um pode colocar assinaturas digitais do jeito que quiser.

O OpenXML por outro lado suporta assinaturas digitais dentro da sua especificação, utilizando o padrao XML-DSig, que é o padrão de assinaturas de documentos XML adotado pelo ePing.

Seja o seu computador um servidor ou não, existem procedimentos a serem seguidos na hora de atualizá-lo, pois você não pode se dar ao luxo de ficar com o equipamento inoperante, certo?

Pois bem, sabemos que todas terça-feiras são publicadas novas atualizações no site da MS, tendo por isto o dia ficado conhecido como "Patch Tuesday". Mas então, quando você deve atualizar o seu servidor? Como saber se uma atualização já está estável? O que afinal de contas é uma atualização estável? Posso habilitar a instalação automática de atualizações em meu servidor e em minhas estações de trabalho?

Bem, o primeiro procedimento é não atualizar logo que o patch for lançado, pois neste caso não é bom fazer o test-drive! Antes de atualizar o seu servidor verifique os newsgroups do Windows Update e do seu Servidor (Windows Server ou Small Business Server). Lá você encontrará posts de todos os que atualizaram logo no lançamento do patch e saberá que problemas pode enfrentar. Adicionalmente faça uma busca na Web com o código do patch KBxxxxxx, para verificar se algum fornecedor independente de softwares já possui chamados por incompatibilidade do patch com seu produto.

Ok, até aqui você já percorreu os primeiros passos. O que fazer agora? Atualizar? Ainda não. Mesmo que ninguém tenha tido problemas ainda, isto não garante que você não os terá! Por que? Simples, os problemas dependem da combinação de hardware e softwares instalados que você possui!

Agora entramos na fase dos testes... Como proceder? Você precisará de um clone de seu servidor e um clone padrão de suas estações de trabalho. Como assim padrão? Pois é, suas estação deverão possuir uma instalação padrão para facilitar  sua vida, pois assim poderás verificar apenas em um clone, para não precisar testar em todas. Note que isto não significa que você deva possuir dois equipamentos (hardware) apenas para testes, pois pode fazer isto usando o Virtual Server ou o Virtual PC 2007.

O ideal é criar um manual de atualizações para a empresa onde fiquem documentados os procedimentos realizados corriqueiramente em cada estação e no servidor, para que os mesmo possam reproduzidos no ambiente de testes, na forma de uma "check list", pois desta forma poderão ser detectadas problemas que só ocorreriam no uso. Naturalmente que o tempo é o maior fator limitador aqui, pois as atualizações liberadas na 3a. devem estar aplicadas, no máximo, até a próxima 3a., para evitar que problemas corrigidos por elas sejam explorados. Estes testes são mais um dos trabalhos de um administrador de redes que não aparecem, ou aparecem apenas quando não são realizados.

Quando for realizar uma atualização, mesmo após todos testes, certifique-se de que terá tempo suficiente para corrigir algo que não foi testado e gerou erro. O ideal é no período da noite, em feriados ou em finais-de-semana. Claro que ninguém gosta de trabalhar nestes horários/dias, mas muitas vezes se faz necessário.

Para agilizar este processo separe os patches em grupos e trate-os conforme suas prioridades, sendo a aplicação o mais rápida possível quando forem de segurança!

"Microsoft analyst Michael Cherry also told ZDnet that “It appears that a number of people within Microsoft think that the full fledged service pack is no longer needed, because Windows Update provides a mechanism to get fixes to customers. Because everyone can download the fixes they need as soon as they are released, there is less need have rollups or service packs."

Será que eles esqueceram do custo da conexão para realizar os downloads e principalmente do tempo gasto com a quantidade de reboots necessários para instalar tudo que baixamos do MU?

Ainda para piorar, é considerado ilegal hospedar em sites de terceiros as atualizações de produtos MS, então parece que desejam mesmo nos ver fazendo toneladas de downloads...

Não é que eu adore um SP, mas que tem sua utilidade, tem...

Mais uma falha de segurança: D-Link DWL-G132 Wireless Driver Beacon Rates Overflow.

http://framework.metasploit.com/exploits/view/?refname=windows:driver:dlink_wifi_rates

Com exploit aqui:

http://metasploit.com/svn/framework3/trunk/modules/exploits/windows/driver/dlink_wifi_rates.rb

Quem possui Web Site com sistema de relatórios baseado em AWStats deve atentar para uma falha de segurança descoberta nele:

http://www.securityfocus.com/bid/12298

Mas o pior mesmo é que já existe Exploit para isto:

http://framework.metasploit.com/exploits/view/?refname=unix:webapp:awstats_configdir_exec

É assim aí amigos,

esta madrugada concluí a aplicação do Windows SP2 em todos meus clientes e agora começa a saga para aplicar o WSUS 3.0 neles. Podem deixar que vou postando aqui as tranqueiras que encontrar, bem como as soluções para as mesmas.

Podem atualizar para o SP2! Já está Ok e também irei parar de postar sobre SBS SP1 em função da estabilidade do SP2.

Apenas quem tiver sistemas da Microsiga atente que ocorre um erro de incompatibilidade com uma DLL do Protheus 8, logo após a instalação Ela é barrada pelo DEP e o sistema inteiro dele fica fora do ar.

Para solucionar isto basta rebootar a máquina duas vezes após a instalação, adicionar a DLL dele às excessões do DEP, depois iniciar o serviço Protheus 8 manualmente e rebootar mais uma vez. Os reboots são necessários para que sejam concluídas as configurações.

Pois é amigos,

depois de informar a disponibilidade dele e instalar na máquina de testes surgem os primeiros problemas, portanto aguardem mais um pouco....

Em máquinas com SBS 2003 R2 ele tem alguns bugs, mas parecem que em breve estarão todos contornados, mas em máquinas com SBS SP1 a história é outra. Ou seja, ainda não instalem ele nestas máquinas.

Ele ativa o IIS Compression que detona com os consoles da Trend e alguns da Symantec.

Por tentar usar o SQL 2005 em máquinas com MSDE causa vários erros na instalação.

Vou testar em máquinas com SBS SP2 agora.

Amigos,

atentem ao meu post anterior, pois já existe exploit para esta vulnerabilidade no Metasploit 3:

http://metasploit.com/svn/framework3/trunk/modules/exploits/windows/dcerpc/msdns_zonename.rb

Amigos,

foi descoberta uma vulnerabilidade no RPC que pode proporcionar a execução de código remoto por pessoas mal intencionadas. Leia mais sobre o assunto aqui: http://support.microsoft.com/default.aspx/kb/935964

Encontre links para o download da solução aqui: http://www.microsoft.com/technet/security/bulletin/ms07-029.mspx

Mais informações sobre a vulnerabilidade aqui: http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1748

Atualize seu servidor antes que mais Crackers comecem a explorar esta vulnerabilidade!

São recomendados os seguintes procedimentos:

• altere a chave HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters\RpcProtocol, para 4;
• reinicie o serviço do DNS. (existe um passo-a-passo muito bom para este procedimento aqui: http://msmvps.com/blogs/bradley/archive/2007/04/13/vulnerability-in-rpc-on-windows-dns-server-could-allow-remote-code-execution.aspx)

 Adicionalmente bloqueie todo o tráfego via TCP e UDP na porta 445, além de todo tráfego não solicitado  em portas acima de 1024. A chave aqui é não solicitado!

Após instalarem o SP2 do SQL Server 2005 Workgroup Edition, alguns usuários podem se deparar com o evento 1, caso usem o VSS para backup do SQL. Se este for o seu caso, visite este KB:

http://support.microsoft.com/default.aspx?scid=kb%3ben-us%3b934396