[DirectAccess] Deeper

DirectAccess seems to be incredible when it's deployed. But how about the different technologies used?

Some articles are in progress in order to explain how works:

• 6to4 (In progress)
• Teredo (In progress)
• IP HTTPS (In progress)
• ISATAP (In progress)
• NAT64 (In progress)
• DNS64
• NRPT (In progress)
• NLS

This article will be updated with the links to these articles.

[DirectAccess] Mécanismes

DirectAccess est une technologie qui peut sembler magique de part ce que l'on constate lors que la solution est déployée. Mais qu'en est-il sous le capot et que signifient tous les mécanismes en jeux mis bout à bout ?

Une série d'articles est en cours afin de banaliser et d'expliquer le fonctionnement de :

• 6to4 (En cours d'écriture)
• Teredo (En cours d'écriture)
• IP HTTPS (En cours d'écriture)
• ISATAP (En cours d'écriture)
• NAT64 (En cours d'écriture)
• DNS64
• NRPT (En cours d'écriture)
• NLS

Lors de la parution de chaque article je mettrais à jour ce dernier afin de mettre à jour les liens.

[TMG] Where is the Web Protection license on MVLS

Warning: the following how to may be different depending of your contract with Microsoft. And I 'm also sorry, but I only got French screen-shoot for the MVLS site part.

Sometimes it's complicated (believe me) to find the Web Protection license for Forefront TMG.

[TMG] Où trouver la licence Web Protection sur MVLS

Attention la procédure ci-dessous peut varier selon le type de contrat que vous avez auprès de Microsoft.

Il peut parfois être compliqué (croyez en mon expérience) de trouver une licence aussi banale que la Web Protection pour Forefront TMG. Le problème vient du faite que cette dernière est dite "déclarative" est n'est pas nommé de façon simple...

[TMG] Update 2

Microsoft just released the Update 2 for Forefront TMG Service Pack 1 which solve the following problems:

• "NLB Stopped - Configuration Failure" error message may occur when you try to enable the NLB feature in Forefront TMG 2010 if the network adapters are VLAN tagged or teamed
  http://support.microsoft.com/kb/2449122
• The Forefront TMG firewall service leaks memory when you access a site of the "HTTPS Inspection exception" list in Forefront TMG 2010
  http://support.microsoft.com/kb/2443447
• The L2TP VPN connection may randomly disconnect when you change or apply an access rule on a VPN server that is running Forefront TMG 2010
  http://support.microsoft.com/kb/2449127 
• "0xC0040410" error occurs when you try to join an array member to an array in Forefront TMG 2010 SP1 if the array is managed by Forefront TMG 2010 EMS http://support.microsoft.com/kb/2450875
• A 502 proxy error occurs when you try to create an HTTPS connection if a downstream proxy has Forefront TMG 2010 installed
  http://support.microsoft.com/kb/2445662
• A replica installation of Forefront TMG 2010 EMS fails and a "0x80070002" error is logged
  http://support.microsoft.com/kb/2449161 
• Forefront TMG 2010 Firewall Service-based member of a Forefront TMG array stops responding when another Forefront TMG Firewall Service-based member is stopped
  http://support.microsoft.com/kb/2445979 
• 0x80131500" error occurs and the IsaManagedCtrl service does not start in Forefront TMG 2010 after you install Exchange 2010 SP1 if the Email Protection feature is enabled
  http://support.microsoft.com/kb/2454850

For more information and download: http://support.microsoft.com/kb/2433623

[TMG] Update 2

Microsoft viens de publier l'Update 2 pour Forefront TMG Service Pack 1 qui apporte des correctifs aux problèmes suivants :

• "NLB Stopped - Configuration Failure" : survient lorsque l'on tente d'activer le NLB si les cartes réseaux sont marquées avec des VLAN ou sont en teaming
  http://support.microsoft.com/kb/2449122
• Fuite mémoire du service firewall de Forefront TMG lors de l'accès à un site de la liste "HTTPS Inspection exception"
  http://support.microsoft.com/kb/2443447
• La connexion VPN L2TP se déconnecte aléatoirement lors d'une modification ou application d'une règle d'accés
  http://support.microsoft.com/kb/2449127 
• Erreur "0xC0040410" : lors de la jointure à un array géré par un Forefront TMG 2010 EMS SP1
  http://support.microsoft.com/kb/2450875
• Erreur proxy 502 lors de la création d'une connexion HTTPS vers un proxy Forefront TMG 2010 en aval
  http://support.microsoft.com/kb/2445662
• Echec lors de l'installation d'un réplicat Forefront TMG 2010 EMS avec pour code d'erreur "0x80070002"
  http://support.microsoft.com/kb/2449161 
• Le service firewall de Forefront TMG 2010 membre d'un array s'arrête lors de l'arrêt du service sur un autre membre
  http://support.microsoft.com/kb/2445979 
• Erreur "0x80131500" et le service IsaManagedCtrl ne se lance pas après l'installation d'Exchange 2010 SP1 si la fonctionnalité Email Protection est activée
  http://support.microsoft.com/kb/2454850

Pour plus d'information et le téléchargement : http://support.microsoft.com/kb/2433623

[W2K8] Gestion de l'alimentation

J'ai récemment constaté des comportements assez troublants sur des serveurs Windows 2008 / 2008 R2 tel qu'une légère baisse de performance, ainsi que le Warning suivant du TMG Best Practices Analyzer :

Trouvant ceci inquiétant et ayant du temps devant moi je decide donc de plancher sur la question.

[W2K8] Power management

Recently I notice some weird performance issue on Windows 2008 / 2008 R2, and the following Warning from TMG Best Practices Analyzer:

[Update - TMG] Slow reboot after Service Pack 1

On a Service Pack 1 of Forefront TMG deployment I was surprised to notice that the servers become very slow when starting after a reboot for example.

In fact it’ll take around 10 minutes (for real) between the first ping and the availability all the services like remote desktop.

Without Service Pack 1 no problem weird... After a case support it’s seems that it’s a known problem Microsoft, unfortunately I actually not tested if the recent Update 1 solve it.

To check if you are on the same scenario here’s how to proceed:
1/ Restart the server and optionally grind and bear it :)
2/ Open the events logs and on the System node search for:

Log Name: System Source: Service Control Manager Date: 15/09/2010 10:52:14 Event ID: 7022 Task Category: None Level: Error Keywords: Classic User: N/A Computer: hostname.domain.ext Description: The Microsoft Forefront TMG Managed Control service hung on starting. Event Xml: ‹Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"›     ‹System›         ‹Provider Name="Service Control Manager" Guid="{555908d1-a6d7-4695-8e1e-26931d2012f4}" EventSourceName="Service Control Manager" /›         ‹EventID Qualifiers="49152"›7022‹/EventID›         ‹Version›0‹/Version›         ‹Level›2‹/Level›         ‹Task›0‹/Task›         ‹Opcode›0‹/Opcode›         ‹Keywords›0x8080000000000000‹/Keywords›         ‹TimeCreated SystemTime="2010-09-15T08:52:14.400011100Z" /›         ‹EventRecordID›9178‹/EventRecordID›         ‹Correlation /›         ‹Execution ProcessID="564" ThreadID="568" /›         ‹Channel›System‹/Channel›         ‹Computer›hostname.domain.ext‹/Computer›         ‹Security /›     ‹/System›     ‹EventData›         ‹Data Name="param1"›Microsoft Forefront TMG Managed Control‹/Data›     ‹/EventData› ‹/Event›

[Update] : The patch for this problem exist on the Update 1 of Forefront TMG SP1.

[MAJ - TMG] Lenteur après le Service Pack 1

Suite à un déploiement du Service Pack 1 de Forefront TMG j'ai eu l'agréable surprise de voir que le serveur n'était plus une foudre de guerre lors du démarrage suite à un reboot par exemple.

En effet ce dernier mettait près de 10 minutes (montre en main) après que l'on puisse effectuer un ping avant de monter tous les services nécessaires tels que le Bureau distant entre autre.

Sans le Service Pack 1 plus de problème de lenteur au démarrage bizarre... Après une ouverture d'un case de support il s'avère que le problème est connu en interne chez Microsoft, malheureusement je n'ai pas eu le temps de tester si l'Update 1 apportait une solution au problème.

Pour vérifier si vous êtes dans le cas de figure voici la procédure :
1/ Redémarrez votre serveur et accessoirement prenez votre mal en patience :)
2/ Ouvrez les journaux d'événements de ce dernier au niveau du noeud System recherchez une entrée de ce type :

Log Name: System Source: Service Control Manager Date: 15/09/2010 10:52:14 Event ID: 7022 Task Category: None Level: Error Keywords: Classic User: N/A Computer: hostname.domain.ext Description: The Microsoft Forefront TMG Managed Control service hung on starting. Event Xml: ‹Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"›     ‹System›         ‹Provider Name="Service Control Manager" Guid="{555908d1-a6d7-4695-8e1e-26931d2012f4}" EventSourceName="Service Control Manager" /›         ‹EventID Qualifiers="49152"›7022‹/EventID›         ‹Version›0‹/Version›         ‹Level›2‹/Level›         ‹Task›0‹/Task›         ‹Opcode›0‹/Opcode›         ‹Keywords›0x8080000000000000‹/Keywords›         ‹TimeCreated SystemTime="2010-09-15T08:52:14.400011100Z" /›         ‹EventRecordID›9178‹/EventRecordID›         ‹Correlation /›         ‹Execution ProcessID="564" ThreadID="568" /›         ‹Channel›System‹/Channel›         ‹Computer›hostname.domain.ext‹/Computer›         ‹Security /›     ‹/System›     ‹EventData›         ‹Data Name="param1"›Microsoft Forefront TMG Managed Control‹/Data›     ‹/EventData› ‹/Event›

[MAJ] Le patch corrigeant ce bug est effectivement présent dans l'Update 1 de Forefront TMG SP1.

[UAG] Configurer DirectAccess pour supporter les connexions Citrix

Je tiens tout d'abord à remercier Tom Shinder qui m'autorise à traduire son article avec des apports suite à un déploiement que j'ai effectué récemment.

Lors de déploiement de DirectAccess je me suis aperçue que le client Citrix faisait partie des applications qui ne fonctionnait pas trés bien au travers de ce type de connexion. Vous trouverez dans cet article un complément d'information afin que l'accès client à Citrix fonctionne au travers de DirectAccess.

[UAG] Configuring DirectAccess to support Citrix connections

Tom Shinder wrote a detailed article I recently used in order to configure DirectAccess to support Citrix connections available here.

Take care: specify only one IP address for DNS server, more information here.

[UAG] TechEd : partnership with RSA Secure ID

Microsoft announced at the TechEd this week a partnership with RSA Secure ID for Forefront UAG Service Pack 1 launching on december.

It will be possible to use a OTP token on the portal and DirectAccess.
The following options will be available for authenticating the DirectAccess User tunnel:

• NTLM/Kerberos integrated authentication
• SmartCard
• RSA OTP

For more information for the RSA technical part: https://gallery.emc.com/docs/DOC-2318

But what's new for UAG/DA?

[UAG] TechEd : partenariat avec RSA Secure ID

Microsoft a annoncé au TechEd cette semaine un partenariat avec RSA Secure ID pour le lancement du Service Pack 1 de Forefront UAG en décembre.

Il sera donc possible d'utiliser un token OTP aussi bien sur le portail que sur DirectAccess.
Les possibilités d'authentification suivantes sur le tunnel Utilisateur de DirectAccess seront proposées :

• L'authentification intégrée NTLM/Kerberos
• Carte à puce
• OTP RSA

Pour plus d'information sur les aspects technique RSA : https://gallery.emc.com/docs/DOC-2318

Du coté de UAG/DA qu'est-ce qui change ?

[UAG] Security alert

Microsoft publish a security alert for the portal feature of Forefront UAG.

The security update is available for:

• Forefront UAG RTM (Version 4.0.1101.0) : KB2433585
• Forefront UAG Update 1 (Version 4.0.1152.100) : KB2433584
• Forefront UAG Update 2 (Version 4.0.1269.200) : KB2418933
• Forefront UAG SP1 RC : included on this version.

More information available at http://www.microsoft.com/technet/security/bulletin/MS10-089.mspx

[UAG] Alerte critique de sécurité

Microsoft vient de publier une alerte de sécurité critique concernant Forefront UAG pour la partie portail.

Le patch de sécurité est disponible pour toutes les versions à savoir :

• Forefront UAG RTM (Version 4.0.1101.0) : KB2433585
• Forefront UAG Update 1 (Version 4.0.1152.100) : KB2433584
• Forefront UAG Update 2 (Version 4.0.1269.200) : KB2418933
• Forefront UAG SP1 RC : ce patch est inclus dans cette version.

Plus d'information sur http://www.microsoft.com/france/technet/security/bulletin/ms10-089.mspx

[FEP] Forefront Endpoint Protection 2010 RC available

Today at the TechEd in Berlin Brad Anderson announced that the Release Candidate of Forefront Endpoint Protection (FEP) 2010 is now available here for download.

More information available here.

[FEP] Forefront Endpoint Protection 2010 RC disponible

Aujourd'hui aux TechEd de Berlin Brad Anderson a annoncé la sortie de la Release Candidate de Forefront Endpoint Protection (FEP) 2010 disponible au téléchargement ici.

FEP 2010 se reposera sur Microsoft System Center Configuration Manager R2 et R3 et apporte par rapport à Forefront Client Security :

• La puissance de gestion et de reporting hérité de la console de SCCM.
• La gestion du firewall intégré de Windows.
• La mise à jour vers les principaux concurrents tels que Symantec, McAfee, ect

[UAG] DirectAccess : mise en place par plaque géographique ?

Suite à l'annonce du Service Pack 1 RC de Forefront UAG une nouvelle fonctionnalité particulière lié à DirectAccess à attirer mon attention : l'amélioration de la gestion des GPOs liées à DirectAccess.

On pourrait dans la théorie pousser dans des GPOs distincts le déploiement sur plusieurs plaques géographique et ainsi disposer de plusieurs points d'accès par pays par exemple.

Ceci reste bien entendu de la pure théorie et pour le moment aucun communiqué officiel sur la supportabilité ou non de ce scénario n'a été fait par Microsoft.

Wait and See aux Teched ?

[UAG] DirectAccess : geographical hub ?

After the announcement of Forefront UAG Service Pack 1 RC an interesting new feature for DirectAccess throw my attention: the new GPOs management for DA.

We could in theory made specific GPOs for each geographical zone and make several access points by country for example.

It's pure theory and for the moment no official statement for supportability or not of this scenario was made by Microsoft.

Wait and See a the Teched ?