[FEP] Forefront Endpoint Protection 2010 RTM !

Microsoft vient d'annoncer la sortie Released To Manufacturing (RTM) de Forefront EndPoint Protection 2010.

Pour plus d'information n'hésitez pas à vous rendre sur le Technet dédié à FEP 2010.

Ce dernier est disponible pour le moment en langue anglaise sur Microsoft download center pour la version d'évaluation, ou bien pour la version complète sur MVLS ainsi que sur le MSDN.

[FEP] Forefront Endpoint Protection 2010 RTM !

Microsoft recently released the Released To Manufacturing (RTM) of Forefront EndPoint Protection 2010.

For more information you could visit the dedicated Technet site for FEP 2010.

It's available on Microsoft download center for the evaluation version, or for the full version on MVLS and MSDN.

[FSOCS] Hotfix Rollup 2

Microsoft announces Hotfix Rollup2 for Forefront Security for Office Communications Server provides product enhancements and new features.

For more information and downloading: http://support.microsoft.com/kb/2482040.

[FSOCS] Hotfix Rollup 2

Microsoft vient de publier le Hotfix Rollup2 pour Forefront Security for Office Communications Server qui apporte son lot de nouveautés et de résolution de problèmes.

Pour plus d'information et le téléchargement : http://support.microsoft.com/kb/2482040.

[UAG] DN64 issue after SP1

After applying Forefront UAG Service Pack 1 you probably unable to resolve any FQDN of IPv4 resources:



When we look at the DirectAccess associated service for DN64:

1. Is stopped
2. Is on Manual start

Hopefully solving this minor issue is easy:

1. Change the Startup type to Automatic
2. Start the Microsoft Forefront UAG DNS 64 Service

Normally all work again like before the SP1 for the access to IPv4 resources :).

[UAG] Problème DN64 après SP1

Après le passage en Service Pack 1 de Forefront UAG vous avez surement été confronté au problème suivant si ce dernier est configuré comme passerelle DirectAccess. En effet lors de l'accès aux ressources IPv4 impossible de résoudre un nom :



Lorsque l'on regarde de plus prêt les services associés à DirectAccess on peut s’apercevoir que le service DN64 :

1. Est arrêté
2. Est en démarrage manuel

Résoudre ce problème mineur est heureusement assez simple :

1. Il faut tout d'abord redéfinir le démarrage du service en Automatique
2. Lancer le service Microsoft Forefront UAG DNS 64 Service

Et normalement l'accès aux ressources IPv4 devrait de nouveau fonctionner :).

[UAG] Problèmes lors de la publication d'Outlook Web Access 2010 Service Pack 1

Lors d'un déploiement d'un Outlook Web Access 2010 Service Pack 1 au travers d'un portail Forefront UAG quelle fut ma surprise de tomber nez à nez avec des pages qui ressemblaient à la capture suivante :

Après quelque recherche il s'avère qu'avec le SP1 d'Exchange 2010 certains ajouts ont été effectués pour OWA (plus d'information sur http://technet.microsoft.com/fr-fr/library/ff459257.aspx), et en particulier l'ajout de la notion de thème qui pose ici quelque problème à Forefront UAG.

[UAG] Minor issue when publishing Outlook Web Access 2010 Service Pack 1

When I deploy Outlook Web Access 2010 Service Pack 1 trough a Forefront UAG portal I was surprised to saw pages as below:

After some research I found that Exchange 2010 SP1 modified a lot of stuff on OWA (for more information http://technet.microsoft.com/en-us/library/ff459257.aspx), and the new theme feature, which break down on Forefront UAG.

[UAG] Forefront UAG Service Pack 1

Microsoft recently released Forefront UAG Service Pack 1.

You could update the following versions of Forefront UAG:

• RTM
• Update 1
• Update 2
• SP1 Beta
• SP1 RC 

The some of new functionalities are:

• A lot of update for DirectAccess configuration
• Provides trace file available on Microsoft download center. For more information on how to use them Frédéric Esnouf wrote an excellent article.
• ADFS v2.0 support
• Better support of SharePoint 2010 publication introduced on Update 1

Some steps are required in order to update to this service pack as described here: http://technet.microsoft.com/en-us/library/gg281604.aspx.

For more information about the SP1: http://technet.microsoft.com/en-us/library/gg295322.aspx.

The SP1 is available for download on Microsoft download center, there's also an integrated version available on MVLS.
[Update] It's also available on the MSDN.

[UAG] Forefront UAG Service Pack 1

Microsoft à récemment publié le Service Pack 1 de Forefront UAG.

Ce dernier peut mettre à jour toutes les versions de Forefront UAG à savoir :

• La version RTM
• Update 1
• Update 2
• SP1 Beta
• SP1 RC 

Parmi les nouveautés à noter :

• Changements majeurs dans la configuration de DirectAccess
• Intégration des fichiers de traces disponible sur Microsoft download center. Pour plus d'information sur l'utilisation de ces derniers je vous conseil cet excellent article de Frédéric Esnouf.
• Le support d'ADFS v2.0
• Un meilleur support de la publication de SharePoint 2010 introduit avec l'Update 1

Certaines précautions sont à prendre afin d'installer ce service pack ces dernières sont décrites ici : http://technet.microsoft.com/en-us/library/gg281604.aspx.

Pour plus d'information sur les nouveautés apportées par le SP1 : http://technet.microsoft.com/en-us/library/gg295322.aspx.

Ce dernier est disponible pour le moment en langue anglaise sur Microsoft download center, ou bien intégré à l'ISO de Forefront UAG sur MVLS.
[MAJ] Ce dernier est désormais aussi disponible sur le MSDN.

[UAG] Antivirus exclusions

I often see question about installing an anti-virus or not on Forefront UAG. Of course it's possible and these exclusions are for real-time protection.

Keep in mind that these exclusions must be done before starting the real-time protection, in other case the server may encounter performance issues for example.

[UAG] Exclusions anti-virus

J'ai souvent vue ou eu des demandes sur la faisabilité ou non d'installer un client anti-virus sur un serveur Forefront UAG. Bien entendu cela reste possible et ces exclusions concerne l'analyse ne temps réel.

J’insiste beaucoup sur le fait que ces exclusions doivent être mises en place avant le démarrage du moteur antiviral, ce type de serveur étant assez sensible cela peut vite entrainer des comportements aléatoires voir un effondrement des performances dans le cas contraire.

[FPE] Forefront Protection 2010 for Exchange Hotfix Rollup 2

Microsoft vient d'annoncer la sortie de la hotfix rollup 2 pour Forefront Protection 2010 for Exchange qui apporte son lot de nouveautés et de résolution de problèmes.

Pour plus d'information et le téléchargement : http://support.microsoft.com/kb/2420647.

[FPE] Forefront Protection 2010 for Exchange Hotfix Rollup 2

Microsoft announces hotfix rollup 2 for Forefront Protection 2010 for Exchange which provides product enhancements and new features.

For more information and downloading: http://support.microsoft.com/kb/2420647.

[DirectAccess] Deeper

DirectAccess seems to be incredible when it's deployed. But how about the different technologies used?

Some articles are in progress in order to explain how works:

• 6to4 (In progress)
• Teredo (In progress)
• IP HTTPS (In progress)
• ISATAP (In progress)
• NAT64 (In progress)
• DNS64
• NRPT (In progress)
• NLS

This article will be updated with the links to these articles.

[DirectAccess] Mécanismes

DirectAccess est une technologie qui peut sembler magique de part ce que l'on constate lors que la solution est déployée. Mais qu'en est-il sous le capot et que signifient tous les mécanismes en jeux mis bout à bout ?

Une série d'articles est en cours afin de banaliser et d'expliquer le fonctionnement de :

• 6to4 (En cours d'écriture)
• Teredo (En cours d'écriture)
• IP HTTPS (En cours d'écriture)
• ISATAP (En cours d'écriture)
• NAT64 (En cours d'écriture)
• DNS64
• NRPT (En cours d'écriture)
• NLS

Lors de la parution de chaque article je mettrais à jour ce dernier afin de mettre à jour les liens.

[TMG] Where is the Web Protection license on MVLS

Warning: the following how to may be different depending of your contract with Microsoft. And I 'm also sorry, but I only got French screen-shoot for the MVLS site part.

Sometimes it's complicated (believe me) to find the Web Protection license for Forefront TMG.

[TMG] Où trouver la licence Web Protection sur MVLS

Attention la procédure ci-dessous peut varier selon le type de contrat que vous avez auprès de Microsoft.

Il peut parfois être compliqué (croyez en mon expérience) de trouver une licence aussi banale que la Web Protection pour Forefront TMG. Le problème vient du faite que cette dernière est dite "déclarative" est n'est pas nommé de façon simple...

[TMG] Update 2

Microsoft just released the Update 2 for Forefront TMG Service Pack 1 which solve the following problems:

• "NLB Stopped - Configuration Failure" error message may occur when you try to enable the NLB feature in Forefront TMG 2010 if the network adapters are VLAN tagged or teamed
  http://support.microsoft.com/kb/2449122
• The Forefront TMG firewall service leaks memory when you access a site of the "HTTPS Inspection exception" list in Forefront TMG 2010
  http://support.microsoft.com/kb/2443447
• The L2TP VPN connection may randomly disconnect when you change or apply an access rule on a VPN server that is running Forefront TMG 2010
  http://support.microsoft.com/kb/2449127 
• "0xC0040410" error occurs when you try to join an array member to an array in Forefront TMG 2010 SP1 if the array is managed by Forefront TMG 2010 EMS http://support.microsoft.com/kb/2450875
• A 502 proxy error occurs when you try to create an HTTPS connection if a downstream proxy has Forefront TMG 2010 installed
  http://support.microsoft.com/kb/2445662
• A replica installation of Forefront TMG 2010 EMS fails and a "0x80070002" error is logged
  http://support.microsoft.com/kb/2449161 
• Forefront TMG 2010 Firewall Service-based member of a Forefront TMG array stops responding when another Forefront TMG Firewall Service-based member is stopped
  http://support.microsoft.com/kb/2445979 
• 0x80131500" error occurs and the IsaManagedCtrl service does not start in Forefront TMG 2010 after you install Exchange 2010 SP1 if the Email Protection feature is enabled
  http://support.microsoft.com/kb/2454850

For more information and download: http://support.microsoft.com/kb/2433623

[TMG] Update 2

Microsoft viens de publier l'Update 2 pour Forefront TMG Service Pack 1 qui apporte des correctifs aux problèmes suivants :

• "NLB Stopped - Configuration Failure" : survient lorsque l'on tente d'activer le NLB si les cartes réseaux sont marquées avec des VLAN ou sont en teaming
  http://support.microsoft.com/kb/2449122
• Fuite mémoire du service firewall de Forefront TMG lors de l'accès à un site de la liste "HTTPS Inspection exception"
  http://support.microsoft.com/kb/2443447
• La connexion VPN L2TP se déconnecte aléatoirement lors d'une modification ou application d'une règle d'accés
  http://support.microsoft.com/kb/2449127 
• Erreur "0xC0040410" : lors de la jointure à un array géré par un Forefront TMG 2010 EMS SP1
  http://support.microsoft.com/kb/2450875
• Erreur proxy 502 lors de la création d'une connexion HTTPS vers un proxy Forefront TMG 2010 en aval
  http://support.microsoft.com/kb/2445662
• Echec lors de l'installation d'un réplicat Forefront TMG 2010 EMS avec pour code d'erreur "0x80070002"
  http://support.microsoft.com/kb/2449161 
• Le service firewall de Forefront TMG 2010 membre d'un array s'arrête lors de l'arrêt du service sur un autre membre
  http://support.microsoft.com/kb/2445979 
• Erreur "0x80131500" et le service IsaManagedCtrl ne se lance pas après l'installation d'Exchange 2010 SP1 si la fonctionnalité Email Protection est activée
  http://support.microsoft.com/kb/2454850

Pour plus d'information et le téléchargement : http://support.microsoft.com/kb/2433623

[W2K8] Gestion de l'alimentation

J'ai récemment constaté des comportements assez troublants sur des serveurs Windows 2008 / 2008 R2 tel qu'une légère baisse de performance, ainsi que le Warning suivant du TMG Best Practices Analyzer :

Trouvant ceci inquiétant et ayant du temps devant moi je decide donc de plancher sur la question.

[W2K8] Power management

Recently I notice some weird performance issue on Windows 2008 / 2008 R2, and the following Warning from TMG Best Practices Analyzer:

[Update - TMG] Slow reboot after Service Pack 1

On a Service Pack 1 of Forefront TMG deployment I was surprised to notice that the servers become very slow when starting after a reboot for example.

In fact it’ll take around 10 minutes (for real) between the first ping and the availability all the services like remote desktop.

Without Service Pack 1 no problem weird... After a case support it’s seems that it’s a known problem Microsoft, unfortunately I actually not tested if the recent Update 1 solve it.

To check if you are on the same scenario here’s how to proceed:
1/ Restart the server and optionally grind and bear it :)
2/ Open the events logs and on the System node search for:

Log Name: System Source: Service Control Manager Date: 15/09/2010 10:52:14 Event ID: 7022 Task Category: None Level: Error Keywords: Classic User: N/A Computer: hostname.domain.ext Description: The Microsoft Forefront TMG Managed Control service hung on starting. Event Xml: ‹Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"›     ‹System›         ‹Provider Name="Service Control Manager" Guid="{555908d1-a6d7-4695-8e1e-26931d2012f4}" EventSourceName="Service Control Manager" /›         ‹EventID Qualifiers="49152"›7022‹/EventID›         ‹Version›0‹/Version›         ‹Level›2‹/Level›         ‹Task›0‹/Task›         ‹Opcode›0‹/Opcode›         ‹Keywords›0x8080000000000000‹/Keywords›         ‹TimeCreated SystemTime="2010-09-15T08:52:14.400011100Z" /›         ‹EventRecordID›9178‹/EventRecordID›         ‹Correlation /›         ‹Execution ProcessID="564" ThreadID="568" /›         ‹Channel›System‹/Channel›         ‹Computer›hostname.domain.ext‹/Computer›         ‹Security /›     ‹/System›     ‹EventData›         ‹Data Name="param1"›Microsoft Forefront TMG Managed Control‹/Data›     ‹/EventData› ‹/Event›

[Update] : The patch for this problem exist on the Update 1 of Forefront TMG SP1.

[MAJ - TMG] Lenteur après le Service Pack 1

Suite à un déploiement du Service Pack 1 de Forefront TMG j'ai eu l'agréable surprise de voir que le serveur n'était plus une foudre de guerre lors du démarrage suite à un reboot par exemple.

En effet ce dernier mettait près de 10 minutes (montre en main) après que l'on puisse effectuer un ping avant de monter tous les services nécessaires tels que le Bureau distant entre autre.

Sans le Service Pack 1 plus de problème de lenteur au démarrage bizarre... Après une ouverture d'un case de support il s'avère que le problème est connu en interne chez Microsoft, malheureusement je n'ai pas eu le temps de tester si l'Update 1 apportait une solution au problème.

Pour vérifier si vous êtes dans le cas de figure voici la procédure :
1/ Redémarrez votre serveur et accessoirement prenez votre mal en patience :)
2/ Ouvrez les journaux d'événements de ce dernier au niveau du noeud System recherchez une entrée de ce type :

Log Name: System Source: Service Control Manager Date: 15/09/2010 10:52:14 Event ID: 7022 Task Category: None Level: Error Keywords: Classic User: N/A Computer: hostname.domain.ext Description: The Microsoft Forefront TMG Managed Control service hung on starting. Event Xml: ‹Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"›     ‹System›         ‹Provider Name="Service Control Manager" Guid="{555908d1-a6d7-4695-8e1e-26931d2012f4}" EventSourceName="Service Control Manager" /›         ‹EventID Qualifiers="49152"›7022‹/EventID›         ‹Version›0‹/Version›         ‹Level›2‹/Level›         ‹Task›0‹/Task›         ‹Opcode›0‹/Opcode›         ‹Keywords›0x8080000000000000‹/Keywords›         ‹TimeCreated SystemTime="2010-09-15T08:52:14.400011100Z" /›         ‹EventRecordID›9178‹/EventRecordID›         ‹Correlation /›         ‹Execution ProcessID="564" ThreadID="568" /›         ‹Channel›System‹/Channel›         ‹Computer›hostname.domain.ext‹/Computer›         ‹Security /›     ‹/System›     ‹EventData›         ‹Data Name="param1"›Microsoft Forefront TMG Managed Control‹/Data›     ‹/EventData› ‹/Event›

[MAJ] Le patch corrigeant ce bug est effectivement présent dans l'Update 1 de Forefront TMG SP1.

[UAG] Configurer DirectAccess pour supporter les connexions Citrix

Je tiens tout d'abord à remercier Tom Shinder qui m'autorise à traduire son article avec des apports suite à un déploiement que j'ai effectué récemment.

Lors de déploiement de DirectAccess je me suis aperçue que le client Citrix faisait partie des applications qui ne fonctionnait pas trés bien au travers de ce type de connexion. Vous trouverez dans cet article un complément d'information afin que l'accès client à Citrix fonctionne au travers de DirectAccess.

[UAG] Configuring DirectAccess to support Citrix connections

Tom Shinder wrote a detailed article I recently used in order to configure DirectAccess to support Citrix connections available here.

Take care: specify only one IP address for DNS server, more information here.

[UAG] TechEd : partnership with RSA Secure ID

Microsoft announced at the TechEd this week a partnership with RSA Secure ID for Forefront UAG Service Pack 1 launching on december.

It will be possible to use a OTP token on the portal and DirectAccess.
The following options will be available for authenticating the DirectAccess User tunnel:

• NTLM/Kerberos integrated authentication
• SmartCard
• RSA OTP

For more information for the RSA technical part: https://gallery.emc.com/docs/DOC-2318

But what's new for UAG/DA?

[UAG] TechEd : partenariat avec RSA Secure ID

Microsoft a annoncé au TechEd cette semaine un partenariat avec RSA Secure ID pour le lancement du Service Pack 1 de Forefront UAG en décembre.

Il sera donc possible d'utiliser un token OTP aussi bien sur le portail que sur DirectAccess.
Les possibilités d'authentification suivantes sur le tunnel Utilisateur de DirectAccess seront proposées :

• L'authentification intégrée NTLM/Kerberos
• Carte à puce
• OTP RSA

Pour plus d'information sur les aspects technique RSA : https://gallery.emc.com/docs/DOC-2318

Du coté de UAG/DA qu'est-ce qui change ?

[UAG] Security alert

Microsoft publish a security alert for the portal feature of Forefront UAG.

The security update is available for:

• Forefront UAG RTM (Version 4.0.1101.0) : KB2433585
• Forefront UAG Update 1 (Version 4.0.1152.100) : KB2433584
• Forefront UAG Update 2 (Version 4.0.1269.200) : KB2418933
• Forefront UAG SP1 RC : included on this version.

More information available at http://www.microsoft.com/technet/security/bulletin/MS10-089.mspx

[UAG] Alerte critique de sécurité

Microsoft vient de publier une alerte de sécurité critique concernant Forefront UAG pour la partie portail.

Le patch de sécurité est disponible pour toutes les versions à savoir :

• Forefront UAG RTM (Version 4.0.1101.0) : KB2433585
• Forefront UAG Update 1 (Version 4.0.1152.100) : KB2433584
• Forefront UAG Update 2 (Version 4.0.1269.200) : KB2418933
• Forefront UAG SP1 RC : ce patch est inclus dans cette version.

Plus d'information sur http://www.microsoft.com/france/technet/security/bulletin/ms10-089.mspx

[FEP] Forefront Endpoint Protection 2010 RC available

Today at the TechEd in Berlin Brad Anderson announced that the Release Candidate of Forefront Endpoint Protection (FEP) 2010 is now available here for download.

More information available here.

[FEP] Forefront Endpoint Protection 2010 RC disponible

Aujourd'hui aux TechEd de Berlin Brad Anderson a annoncé la sortie de la Release Candidate de Forefront Endpoint Protection (FEP) 2010 disponible au téléchargement ici.

FEP 2010 se reposera sur Microsoft System Center Configuration Manager R2 et R3 et apporte par rapport à Forefront Client Security :

• La puissance de gestion et de reporting hérité de la console de SCCM.
• La gestion du firewall intégré de Windows.
• La mise à jour vers les principaux concurrents tels que Symantec, McAfee, ect

[UAG] DirectAccess : mise en place par plaque géographique ?

Suite à l'annonce du Service Pack 1 RC de Forefront UAG une nouvelle fonctionnalité particulière lié à DirectAccess à attirer mon attention : l'amélioration de la gestion des GPOs liées à DirectAccess.

On pourrait dans la théorie pousser dans des GPOs distincts le déploiement sur plusieurs plaques géographique et ainsi disposer de plusieurs points d'accès par pays par exemple.

Ceci reste bien entendu de la pure théorie et pour le moment aucun communiqué officiel sur la supportabilité ou non de ce scénario n'a été fait par Microsoft.

Wait and See aux Teched ?

[UAG] DirectAccess : geographical hub ?

After the announcement of Forefront UAG Service Pack 1 RC an interesting new feature for DirectAccess throw my attention: the new GPOs management for DA.

We could in theory made specific GPOs for each geographical zone and make several access points by country for example.

It's pure theory and for the moment no official statement for supportability or not of this scenario was made by Microsoft.

Wait and See a the Teched ?

[Ports used] DirectAccess

On the posts related to network flux here's DirectAccess or DA.

Warning:

Using NAT is not supported in this case:

• On public address of the server / WAN network card and if the gateway are not deployed on Windows Server 2012