Dieters Forefront Blog

Mit dem Titel FSS Nerds hat das Microsoft Forefront Server Security-Team ein neues Blog eröffnet. Das Motto beziehungsweise das Thema lautet: A place for CSS to share experiences supporting Forefront Server Security and Antigen.

Dann sind wir doch mal gespannt!

Der erste Blog-Eintrag liefert auch die Absicht dahinter:

The CSS Security Support Team will be posting to this blog to inform FSS customers about common support issues seen in the field.  If you have a topic you would like to see covered, please post a comment and we will attempt to address it.

Weitere Informationen:

• Blog
• RSS Feed

Viele Grüße
Dieter

--
Dieter Rauscher
MVP Forefront

Heute möchte ich euch auf ein neues Buch zu Exchange Server 2007 aufmerksam machen. Diesmal nicht von Microsoft Press, aber das kann ja mal passieren ;-)

Nein, im Ernst. Die beiden Autoren Walter Steinsdorfer und Marc Jochems haben ein exzellentes Buch verfasst. Sie wissen auch, wovon sie schreiben. Beide sind/waren MVPs für Exchange und sind in den Newsgroups rund um Exchange sowie in der Exchange User Group aktiv.

Das Buch ist ab sofort verfügbar.

Weitere Infos und Bestellmöglichkeit hier.

Viele Grüße
Dieter

--
Dieter Rauscher
MVP Forefront

Bei uns im Unternehmen migriere ich gerade Schritt für Schritt von Windows Server 2003 hin zu 2008. Wird auch Zeit. Natürlich habe ich da auch viele virtuelle Maschinen auf Virtual Server 2005 R2 laufen. Teils produktiv, teils als Testumgebung. Ungefähr 60 konfigurierte Umgebungen haben sich angesammelt. Von den Büchern, für die User Group, bestimmte Testszenarien für unterschiedliche Softwarekonfigurationen und so weiter.

Die müssen natürlich auch alle von Virtual Server zu Hyper-V migriert werden.

Das ist leider ein aufwendiger Prozess:

1. Zuerst auf dem alten System (also Virtual Server) hochfahren
2. Die VMAdditions deinstallieren
3. VM Eigenschaften wie Speicher, Netzwerkkarten etc. notieren
4. Herunterfahren und auf den Hyper-V Server kopieren/verschieben
5. Unter Hyper-V die Eigenschaften der VM neu konfigurieren wie Netzwerkkarten, Speicher etc. Leider wird nur die vhd übernommen und keine Einstellungen :-( [1]
6. Dort hochfahren und die Integrationsdienste installieren (sofern man nicht ggfs. zuerst eine Produktaktivierung durchführen muss oder gar daran scheitert [2])

Manche Kollegen sagen, man könne Schritt 1 weglassen und Schritt 2 nach 5 durchführen. Nachdem ich aber bei zwei virtuellen Windows XP-Maschinen wegen der Fehlermeldung (sinngemäß, hab sie leider nicht notiert - bin manchmal ja auch nur User) "Sie können das nicht deinstallieren weil die zugehörige Hardware nicht vorhanden ist" wieder alles zurück verschieben musste, habe ich mir den oben genannten Weg angewöhnt ;-)

Ich weiß nicht, ob es mit dem System Center Virtual Machine Manager 2008 einfacher wird, hatte bislang keine Zeit für die Beta.

Durch Zufall bin ich gestern auf einen interessanten Blog-Eintrag gestoßen (ich weiß gar nicht mehr, nach was ich da gerade live gegoogled habe):

VMC to Hyper-V Import Tool Available (12.09.2008)

VMC to Hyper-V Import Tool, VMC2HV for short, imports the configuration from a Virtual Machine Configuration (VMC) file. Both Virtual PC and Virtual Server use VMC files to store the hardware and other properties of a VM. It reads the VMC file and maps all relevant properties to those for a Hyper-V VM. For those properties that did not exist, it provides additional options. Those properties that no longer exist are ignored.

VMC2HV was developed to ease the transition from Virtual Server to Hyper-V. As I explained in an earlier post, I was quite annoyed by the fact that I had to enter all hardware properties manually if I wanted to use the VHD files from the Virtual Server VM with the hardware settings as they were in the original VM. It really took a lot of time to get my VS VM’s under Hyper-V. So I did not want to do that again and decided to develop a tool that would import the properties for me (development of the tool took quite more time but it was fun…).

So what does the tool offer? In a list of features:

• Import of VMC files of both VS2005 and VPC2007
• Creation of VM on local Hyper-V host
• Creation of VM on remote Hyper-V host
• Validation of virtual disk and ISO files in local scenario
• Editing of virtual drive image paths (vhd, vfd, iso)
• Swapping of the first SCSI disk with the first IDE disk
• Specification of static MAC addresses
• Specification of either legacy (emulated) or enhanced network adapter
• Specification of # of virtual processors and resource control
• Specification of management settings
• Specification of COM ports
• Specification of device boot order
• Specification of alternate Virtual Machine path
• Built-in help in CHM file
• Support for both x86 and x64 Vista and Server 2008

Wichtig: Dies ist kein offizielles Microsoft-Tool und es gibt auch keinen Support dazu!

Ich hatte noch keine Zeit, mir das Tool anzusehen und werde dies zumindest in den kommenden beiden Wochen auch nicht tun können. Wenn ich es schaffe, schreibe ich einen neuen Blogeintrag dazu, wenn ich einige Maschinen damit migriert habe.

[1]

Hyper-V kennt zwar einen Import-Befehl, jedoch kann der nur von Hyper-V exportierte Maschinen importieren.

[2]

Bei der Produktaktivierung habe ich viele seltsame Phänomene erlebt. Da die Testumgebungen meist mit MSDN-Lizenzen installiert werden (dafür ist die MSDN ja da!), habe ich keinen VL-Key. Mal muss neu aktiviert werden innerhalb 3 Tagen, mal sofort, mal gar nicht. Aber das passiert unabhängig von der Migration zu Hyper-V. Selbst wenn Maschinen jahrelang auf ein und dem selben Virtual Server laufen müssen sie bei mir zwischendurch neu aktiviert werden. Auch wenn sich nichts (!) ändert. Danke in diesem Zusammenhang an V von M aus M.

Viele Grüße
Dieter

--
Dieter Rauscher
MVP Forefront

Wie bereits angekündigt, befand sich die aktuelle Version des Microsoft Netzwerkmonitor seit Juni in der Betaphase. Seit heute ist die Version 3.2 fertiggestellt und verfügbar.

Was ist neu in Network Monitor 3.2?

• Process Tracking: Now you can identify rogue applications sending network data! View all the processes on your machine generating network traffic (process name and PID).  Use the conversation tree to view frames associated with each process.
• Capture engine re-architecture to improve capture rate in high-speed networks.´Network Monitor 3.2 drops significantly fewer frames that Network Monitor 3.1.
• Find conversations:  You asked for this. Many of our users found conversation tracking to be difficult to use as the view grew hard to manage, and it was difficult to correlate the frames they were seeing with the conversation nodes in the tree. Now, you can quickly isolate frames in the same network conversation.  Just right-click on a frame and select a conversation to track, and you will see all the frames in that conversation. View TCP streams, HTTP flows etc.
• Extensive parser set:  Parsers for over 300 protocols!  As before, the parsers are fully customizable.
• Better parser management:  By default only a subset of parsers are loaded.  You can load the full parser set by going to Tools>Options>Parser and choose Full vs. Stub implementations.
• CodePlex Ready:  In the upcoming months, we plan to place all our Windows parsers on the Microsoft open-source CodePlex site and allow the community to modify and contribute parsers.  You can find out more information on this here. This version of Network Monitor seamlessly integrates new parser packages.
• Network Monitor API: Create your own applications that capture, parse and analyze network traffic!
• More extensive documentation of the API and NPL.  Access the documentation from Help > NPL and API Documentation.
• IA64 builds.
• PCAP capture file support*.
• ContainsBin Plug-in:  Search frames for arbitrary byte sequences or strings.
• … and more.  See our Release Notes in the Help directory of the installation folder for a complete list of new features and known issues.

Weitere Informationen und Download:

• Network Monitor Team Blog
• Download

Sofern eine frühere Version von Network Monitor 3.x bereits installiert ist, wird das Update in den nächsten Wochen auch über Microsoft Update als optionales Feature Pack angeboten werden.

Viele Grüße
Dieter

--
Dieter Rauscher
MVP Forefront

Ab diesem Herbst bietet Microsoft TechNet eine neue Veranstaltungsreihe für IT-Professionals an: den Microsoft TechDay.
In ausgewählten Städten Deutschlands haben Teilnehmer die Möglichkeit, aktuelle technische Inhalte interaktiv zu erleben und im Rahmen von Chalk Talks mit den Referenten ins Gespräch zu kommen. In den Chalk Talks werden keine Folien gezeigt, sondern durch Fragen, Ideen und Praxisbeispiele bestimmen die Teilnehmer die Agenda wesentlich mit.

Termine und Städte für die erste Veranstaltungsreihe „Dynamische IT“ im Oktober:

• 14.10.2008: Hannover
• 16.10.2008: Dortmund
• 21.10.2008: Wiesbaden
• 23.10.2008: Nürnberg

Weitere Vorteile für die Teilnehmer:

• Kostenlos: aktuelles Buch von Microsoft Press zum Thema der Veranstaltung im Wert von 59,90 Euro
• Vergünstigung: 20% Rabatt auf ein TechNet Plus Abonnement (bei Neuerwerb)
• Verlosung bei Dynamic IT Reihe: Fujitsu Siemens und Intel werden unter allen Teilnehmern der Dynamic IT Reihe insgesamt 4 Homeserver verlosen.

Die Kostenbeteiligung beträgt 69 Euro.

Weitere Informationen zur Anmeldung, weiteren Themen etc. findet Ihr auf der Event-Seite des Microsoft TechDay.

Viele Grüße
Dieter

--
Dieter Rauscher
MVP Forefront

Am 09. September war kurzfristig ein Update Rollup 4 für Exchange Server 2007 mit Service Pack 1 über WSUS und Windows Update verfügbar.

Da das eine nicht-freigegebene Version war, wurde es rasch zurückgezogen. Dennoch haben sich einige WSUS-Server das Update gezogen.

OK, da kann ja noch nicht viel schief gehen, weil kein Exchange-Admin ein Update einspielt ohne zuvor die Release Notes gelesen zu haben - und die waren nirgends verfügbar.

Das UR4 dürfte daher nirgends installiert sein. Wenn doch - deinstallieren. Es gibt bekannte Probleme und Nebenwirkungen damit (was auch der Grund war, dass es noch nicht freigegeben ist).

Weitere Infos dazu:

• The case of disappearing Update Rollup 4

Viele Grüße
Dieter

--
Dieter Rauscher
MVP Forefront

In den letzten Tagen gab es wieder einige Ankündigungen und Informationen rund um Virtualisierung mit Hyper-V - auch im Zusammenhang mit Forefront-Produkten.

Das Microsoft Forefront Server Security-Team hat die Microsoft support policies and recommendations for Forefront Security products in a Hyper-V virtual environment herausgegeben. Demnach ist nun Forefront Server Security für Exchange SP1 und Forefront Server Security für SharePoint SP1 in einer virtuellen Umgebung unter Hyper-V unterstützt. Der Blogeintrag beschreibt die Rahmenbedingungen dazu.

Unter dem Kampagnennamen getVIRTUALnow gibt es viele Informationen, Pressewebcasts und Pressemitteilungen rund um die Virtualisierungs-Strategie von Microsoft. Dabei wurde auch the upcoming availability of System Center Virtual Machine Manager 2008, Microsoft Application Virtualization 4.5 and the new Microsoft Hyper-V Server 2008 as a no-cost download angekündigt. Demnach wird es also demnächst einen Microsoft Hyper-V Server 2008 geben - und das kostenfrei. Mal gespannt, was genau sich dahinter verbirgt.

• Microsoft Hyper-V Server 2008, a new hypervisor-based server virtualization product, will be released within 30 days and be available at no cost via the Web. Microsoft Hyper-V Server 2008 provides a simplified, reliable, and optimized virtualization solution that allows customers to consolidate Windows or Linux workloads onto a single physical server. Hyper-V Server 2008 allows customers to leverage their existing patching, provisioning, management and support tools, processes and skills.
• System Center Virtual Machine Manager 2008 will be released within 30 days. System Center Virtual Machine Manager enables customers to configure and deploy new virtual machines and centrally manage their virtualized infrastructure, whether running on Windows Server 2008 Hyper-V, Microsoft Virtual Server 2005 R2, Microsoft Hyper-V Server 2008 or VMware Virtual Infrastructure 3. System Center Virtual Machine Manager is part of the System Center suite of products, which provides centralized, enterprise-class management of physical and virtual resources across desktops and datacenters.
• Microsoft demonstrated for the first time a live migration feature of Windows Server 2008 R2. Live migration utilizes the integrated hypervisor technology and high-availability features of the server operating system so that customers can move running applications between servers to accommodate changing, dynamic computing needs across a datacenter. In addition to other features, the next version of Microsoft Hyper-V Server will have live migration capabilities.
• Last week Microsoft released Microsoft Application Virtualization 4.5, which gives desktop users a boost in fully harnessing the power of Windows Vista by streaming resource-heavy applications to the desktop. This helps eliminate potential software conflicts driving desktop stability and performance, while simultaneously enabling IT managers to centrally control key applications and their use. Application Virtualization 4.5 will be included as part of Microsoft Desktop Optimization Pack 2008 R2, which is due for general availability in the coming weeks.

Es bleibt spannend!

Viele Grüße
Dieter

--
Dieter Rauscher
MVP Forefront

In den meisten Netzwerken, in denen ein ISA Server als Proxy Server dient, wird auch WPAD verwendet. Eine an sich einfache und gut funktionierende Methode. Ne Kleinigkeit im ISA einrichten und einen WPAD-Eintrag in der internen DNS-Zone setzen. Fertig. Bei Windows 2000 Server und Windows Server 2003 ist das wirklich einfach und schnell.

Wer jedoch einen Windows Server 2008 DNS-Server betreibt und nicht die dazugehörende Doku gelesen hat, wird feststellen, dass WPAD nicht mehr funktioniert, sobald der betreffende Client eben den 2008er DNS abfragt. Wenn man dann versucht, von diesem Client aus den WPAD zu pingen, bekommt man:

C:\Users\Administrator>ping wpad
Ping request could not find host wpad. Please check the name and try again.

Auch ein ping wpad.domain.tld schlägt fehl. OK, als nächstes wird man ein nslookup versuchen. Auch damit bekommt man mitgeteilt, dass wpad nicht existiert. Alles andere lässt sich pingen beziehungsweise auflösen. Ein Blick in den DNS-Server ergibt allerdings, dass da sehr wohl ein A-Record existiert.

Der Grund für die Nichtauflösbarkeit liegt am Windows Server 2008 DNS-Dienst und der Windows Server 2008 DNS block list:

Protocols such as WPAD use the DNS dynamic update feature, which enables DNS client computers to register and dynamically update resource records when clients change a network address or host name. The dynamic update feature makes clients vulnerable to hijacking. For example, a malicious user could register a computer as a WPAD server and direct all WPAD queries to it. No system administrator intervention is required.

The DNS Server role in Windows Server 2008 introduces a global query block list to reduce this vulnerability risk.

OK, also ein Sicherheitsfeature ;-)

Da in dem beschriebenen Fall aber WPAD benötigt wird, muss eine kleine Konfigurationsänderung am DNS Server vorgenommen werden. Man sollte das aber wirklich auch nur dann tun, wenn es nicht anders geht.

Folgende Kommandozeilenbefehle stehen auf dem entsprechenden Windows Server 2008 zur Verfügung:

dnscmd /info /enableglobalqueryblocklist

Damit kann der Status der block list überprüft werden. Ist das Ergebnis 1, ist die Liste aktiv.

dnscmd /info /globalqueryblocklist

Dieser Befehl zeigt die aktuellen Einträge der block list an. Standardmäßig sollte das Ergebnis wie folgt aussehen:

Query result:
String:  wpad
String:  isatap

Command completed successfully.

dnscmd /config /enableglobalqueryblocklist 0

Damit wird die block list deaktiviert.

Nach einer Änderung muss der DNS-Serverdienst neu gestartet werden.

Anschließend kann WPAD wieder wie gewohnt aufgelöst und vom Browser verwendet werden.

Diese Änderung muss an jedem DNS-Server vorgenommen werden, der WPAD-Informationen bereit hält. Sind in einem AD mehrere AD-DNS-Server vorhanden, müssen sie alle entsprechend behandelt werden. 

Weitere Informationen hierzu:

• Forefront TMG - About implementing WPAD
• Forefront TMG - Removing WPAD from DNS block list
• Domain Name System

Viele Grüße
Dieter

--
Dieter Rauscher
MVP Forefront

Leider habe ich es bislang zeitlich nicht geschafft, über die ICE 2008 am 30. August in Lingen zu berichten :-(

Das will ich jetzt endlich nachholen!

Letztes Jahr dachte ich schon, es wird schwer, die 2007er ICE zu übertreffen. Aber Nicki und Team ist das scheinbar unmögliche gelungen!

Zur Erinnerung: Die ICE ist eine kostenfreie, ganztägige Community-Konferenz zu aktuellen IT-Themen. Rund 400 Teilnehmer konnten in gut zwei Dutzend Vorträgen den Referenten zuhören und in den Pausen (oder statt eines Vortrags) uns vier ATEs (Ask the Expert) mit Fragen löchern. Das ATE-Angebot wurde dieses Jahr wesentlich intensiver genutzt als in den Vorjahren, was uns natürlich gefreut hat - dafür waren wir ja schließlich angereist.

Wer es dieses Jahr nicht geschafft hat, sollte sich eine Teilnahme nächstes Jahr überlegen. OK, Lingen an der Nordseeküste ;-) ist nicht so zentral gelegen, aber jeder Umweg lohnt sich!

Super Organisation, freundliche Atmosphäre, viele Gespräche, hervorragendes Catering und eine gelungene Abschlußparty.

Vielen Dank!

Viele Grüße
Dieter

--
Dieter Rauscher
MVP Forefront

Da ist das Ding! Da ist das Ding!

OK, ich gebe zu, Olli kann das besser ;-) Und irgendwie hat mich sein Abschiedsspiel gestern angesteckt....

Zurück zum Thema:

Was lange währt, wird (hoffentlich) gut. Wie schonmal angekündigt, haben Christian Gröbner, Manuel Stix und ich ein Buch rund um Forefront geschrieben. Es hat leider etwas länger gedauert, bis wir es in den Händen halten können, aber nun ist es soweit. Das Buch ist fertig und ich habe bereits ein Exemplar in meinen Händen!

In diesem Buch gehen wir - wie der Titel schon sagt - auf E-Mail-Sicherheit mit Microsoft Forefront ein. Neben einer grundsätzlichen Einführung in die Problematik bei E-Mails bekommt ihr einen Überblick über die Forefront-Familie und lernt, wie man die Antispam-Funktionen von Exchange Server 2007 nutzt. Danach geht es in die Planung, Installation und den Betrieb von Forefront Security für Exchange und auch für SharePoint. Damit die (noch) vielen Exchange 2003-Nutzer nicht ganz im Regen stehen bleiben, gehen wir auch auf Antigen (die Vorgängerversion von Forefront Security für Exchange) ein. Ein kurzer Ausflug zu den Exchange Hosted Services beendet das Buch.

Wir hoffen natürlich, dass wir auf den 470 Seiten alles Wissenswerte untergebracht haben und dass euch das Buch hilfreich ist.

Ab sofort sollte es über den Buchhandel bestellbar sein.

Weitere Informationen findet ihr auch auf der Buch-Webseite.

Wir freuen uns natürlich wie immer über jedes Feedback.

Viele Grüße
Dieter

--
Dieter Rauscher
MVP Forefront