Pokazywanie postów oznaczonych etykietą Exchange. Pokaż wszystkie posty
Pokazywanie postów oznaczonych etykietą Exchange. Pokaż wszystkie posty

25 kwietnia 2026

DANE i MTA-STS

Kilka lat temu pisałem o wchodzących na rynek kolejnych mechanizmach zabezpieczenia poczty - DANE i MTA-STS. Mechanizmy te są od pewnego czasu dostępne w Exchange Online, MTA-STS jest również możliwy do skonfigurowania na innych platformach pocztowych. Niestety, jeżeli chodzi o systemy Exchange on-premises, ciągle nie widać istotnych zmian (podobnie jak ciągły brak DKIM). Microsoft nastawił się przede wszystkim na mechanizmy ochronne Exchange Online. Ponieważ jednak wiele bramek pocztowych pozwala na skonfigurowanie dodatkowych mechanizmów ochrony, warto zweryfikować możliwość skonfigurowania niezbędnych elementów (przynajmniej DKIM).

Innym promowanym przez wielu dostawców poczty w ostatnim czasie rozwiązaniem jest BIMI, który nadal jest ignorowany przez Microsoft, możemy jednak skonfigurować go dla naszej domeny (podobnie jak dla pozostałych mechanizmów konfiguracja w dużej mierze sprowadza się do ustawienia odpowiednich rekordów DNS), tak żeby nie mieć problemów wysyłając pocztę np. do Gmaila. O konfiguracji BIMI będzie mowa w kolejnym wpisie.

Co ważne, konfigurację naszych zabezpieczeń możemy sprawdzić, używając mojego ulubionego serwisu mxtoolbox.com (rysunek poniżej). Interesującą alternatywą jest serwis National Cyber Security Centre, chociaż jeszcze nie wszystkie opcje są dostępne.






Jak zatem skonfigurować naszą domenę pocztową, tak żeby skutecznie wykorzystać DANE  (DNS‑based Authentication of Named Entities) w Exchange Online? Exchange Online implementuje DANE w taki sposób:
  1. Ruch wychodzący (z Microsoft 365 do Internetu):
    • Exchange Online Protecion (EOP) przy próbie dostarczenia wiadomości do zewnętrznych domen sprawdza, czy domena docelowa ma odpowiednie rekordy MX i TLSA, a strefa jest podpisana DNSSEC.
    • Jeśli tak, EOP egzekwuje DANE: nawiązuje TLS, weryfikuje certyfikat serwera odbiorcy zgodnie z polityką TLSA i w razie niezgodności nie dostarcza wiadomości.
    • Jeśli TLSA/DNSSEC nie są obecne, EOP stosuje standardowy opportunistic TLS (lub inne mechanizmy polityki, np. MTA‑STS, jeśli są dostępne).
  2. Ruch przychodzący (z Internetu do Microsoft 365):
    • Microsoft publikuje rekordy TLSA dla swoich hostów MX obsługujących Exchange Online, aby nadawcy wspierający DANE mogli kryptograficznie zweryfikować połączenie TLS do EOP.
Dzięki temu, jeśli nadawca obsługuje DANE, jego MTA będzie wymuszał TLS w drodze do Microsoft 365.
Po stronie Exchange Online nie ma przełącznika „włącz DANE” dla ruchu wychodzącego – obsługa jest automatycznie zapewniana przez platformę od marca 2022. Dla ruchu przychodzącego usługa osiągnęła status GA w roku 2024, podobnie jak dla domen konsumenckich (outlook.com i hotmail). W lutym 2026 roku Microsoft wprowadził również opcję konfiguracji konektorów wysyłających w Exchange Online, tak żeby administrator mógł zdecydować, czy dany konektor ma wymuszoną konfigurację DANE z użyciem DNSSEC, korzysta z opcji domyślnej (negocjacja sposobu zabezpieczenia z serwerem docelowym) czy też DANE jest wyłączony, bo system naszego partnera tego nie potrafi - .
Żeby uprościć konfigurację inbound DANE z użyciem DNSSEC, Microsoft ma w Q3 2026 wprowadzić kreator ułatwiający konfigurację (DNSEC enablement wizard), co właśnie ogłosił na blogu zespół produktowy.
Nie ma potrzeby publikowania samodzielnie rekordów TLSA dla hostów MX należących do Microsoftu - Microsoft je utrzymuje.


17 listopada 2022

Poprawki do Exchange albo ich brak

Trochę czasu minęło od ostatniego postu na temat Exchange'a i poprawek do niego. Trochę się działo, a moje codzienne zajęcia dosyć mocno odsunęły się od poczty elektronicznej. W ostatnich miesiącach Microsoft skupił się na wydawaniu co miesiąc poprawek bezpieczeństwa na pojawiające się kolejne (niestety) mniej lub bardziej krytyczne zagrożenia. Miesiąc temu wykryto krytyczne podatności (tzw. zero-day) CVE-2022-41040 oraz CVE-2022-41082), na którą nie udało się przygotować od razu poprawki, zamiast tego opublikowano tylko informację o obejściu problemu, poprawka pojawiła się dopiero kilka dni temu. Poniżej linki do pbrania:

Więcej informacji można znaleźć na blogu zespołu produktowego - Released: November 2022 Exchange Server Security Updates.

Teraz Microsoft ogłosił, że w tym roku nie będzie kolejnego pakietu poprawek skumulowanych, ze względu na zbyt krótki czas, jaki pozostał do końca roku. No cóż, z jednej strony jest to prawda, opublikowaną w zeszłym tygodniu poprawkę większość firm pewnie będzie wdrażać dopiero w nadchodzących tygodniach, a w grudniu ze względu na zamknięcie roku i święta lepiej nie wdrażać zbyt dużych zmian. Z drugiej strony może po prostu nie mieli pomysłu na kolejne usprawnienia?  Biorąc pod uwagę, że Cumulative Update (nomen omen o numerze 13) przysługuje tylko Exchange 2019 (bo pozostałe wersje już dostają tylko poprawki bezpieczeństwa), zespół produktowy chyba bardziej skoncentrował się na łataniu podatności i rozwoju usług chmurowych. Firmy posiadające Exchange 2013 powinny również zastanowić się, czy kupować nowe licencje i aktualizować do Exchange 2019, czy też migrować do chmury. 

05 czerwca 2022

Nowości w Exchange

Drugiego czerwca zespół produktowy Exchange opublikował kolejną odsłonę informacji na temat ścieżki rozwoju systemu Exchange. Już kilkukrotnie wspominałem o braku konsekwencji w polityce informacyjnej zespołu produktowego Exchange, tym razem jednak zespół wytłumaczył się z braku informacji o nowej wersji systemu, która przecież była zapowiadana na jesień zeszłego roku, wskazując na wiele koniecznych usprawnień w obszarze bezpieczeństwa, które trzeba było poczynić w ostatnim roku (np. integracja z AMSI, czy też dodanie do Exchange 2016 i 2019 Emergency Mitigation Service).

Poznaliśmy jednak trochę szczegółów na temat planowanej daty wydania kolejnej wersji - 14 października 2025. Microsoft będzie dążył do możliwości aktualizacji in-place serwerów (już teraz Exchange 2019 jest wspierany na platformie Windows 2022), a na razie namawia wszystkich klientów do aktualizacji serwerów właśnie do wersji Exchange 2019, tak żeby skorzystać z już udostępnionych w tej wersji produktu innowacji, ale również skorzystać z nowych funkcji, które są w przygotowaniu (np. wsparcie dla TLS 1.3, planowane na przyszły rok). Kolejnym ciekawym uzupełnieniem konfiguracji hybrydowej będzie bez wątpienia rozszerzenie konsoli administracyjnej Microsoft 365 o informację na temat poziomu aktualizacji serwerów Exchange po stronie on-premises. Nawet jeżeli zmigrujemy skrzynki pocztowe do Exchange Online, warto pamiętać o pozostawionych lokalnie serwerach (nie zawsze możemy się ich pozbyć) i zwracać uwagę na wersję poprawek na nich zainstalowanych. Więcej informacji na temat nowości ma być przedstawionych we wrześniu na wznowionej po latach konferencji MEC (Microsoft Exchange Conference). Już nie mogę się doczekać.



12 listopada 2021

Listopadowe poprawki bezpieczeństwa dla Exchange i parę przemyśleń

Minęło raptem kilka tygodni od październikowych poprawek bezpieczeństwa dla serwerów Exchange, a tu znowu kolejny wysyp. Czyżby ktoś przeklął administratorów poczty on-premises? Niestety tak bywa. Obserwując poszczególne produkty Microsoft, widać w jakie obszary idzie cały wysiłek koncernu, a gdzie prace zostały mocno spowolnione. Dokładnie rok temu na konferencji Ignite Microsoft ogłaszał wydanie w tym roku kalendarzowym (2021) nowej wersji Exchange, Skype for Business i Sharepoint Server. Niestety, na szumnych zapowiedziach się skończyło. O ile w przypadku Sharepoint Servera, pojawiła się wersja Subscription Edition, z wydaną w lipcu wersją preview, to w przypadku zarówno Skype for Business jak i Exchange, brak informacji o nowych wersjach, nawet testowych. W zeszłym tygodniu odbyła się kolejna konferencja Ignite, na której była jedna (!) sesja o Exchange Online (ale bez ogłaszania żadnych nowości). Pojawiają się co prawda usprawnienia, takie jak aktualizacje modułu administracyjnego powershell, dla którego właśnie pojawiła się wersja preview, umożliwiająca łączenie z chmurą bez konieczności użycia uwierzytelnienia Basic dla WinRM, albo nowy serwis Emergency Mitigation, o którym pisałem w poprzednim poście. Jednak rozwój systemu nie jest już tak dynamiczny jak kiedyś, w końcu trudno coś rewolucyjnego wymyślić po tylu latach stabilizacji funkcjonalności.

Wracając jednak do tematu aktualizacji. Na blogu zespołu produktowego pojawiła się informacja o kolejnych poprawkach, które administratorzy powinni zainstalować jak najszybciej. Poprawka chroni przed opisaną w biuletynie bezpieczeństwa podatnością CVE-2021-42321. Poprawka jest dostępna jak zwykle dla dwóch ostatnich wersji CU serwerów Exchange 2016 i 2019 oraz dodatkowo dla wersji 2013:

Oczywiście warto sprawdzić przed instalacją środowisko najnowszą wersją skryptu Health Checker. Dla mniej sprawnych administratorów jest dostępny również kreator, pomagający zaktualizować wersję Exchange. Warto również skorzystać ze środowiska testowego, jeżeli je posiadamy.

29 maja 2021

Majowe poprawki bezpieczeństwa dla Exchange

Mam nadzieję, że wszyscy zainstalowali już majowe poprawki dla serwerów Exchange. W poprzednim artykule wspominałem o tym, że tylko część wykrytych na przełomie marca i kwietnia podatności została uwzględniona w kwietnowym zestawie poprawek, w maju opóźnienia zostały nadrobione. Poprawki można znaleźć na stronach Microsoftu:

  • Exchange Server 2013 CU23
  • Exchange Server 2016 CU19 and CU20
  • Exchange Server 2019 CU8 and CU9
Więcej informacji na temat podatności oraz problemów występujących po zainstalowaniu poprawek można znaleźć na blogu zespołu produktowego Exchange.
Warto również pamiętać o używaniu (i systematycznej aktualizacji) skryptu Exchange Health Checker wskazującego nam nie tylko brak poprawek w naszym środowisku Exchange ale również inne potencjalnie ułomne opcje konfiguracyjne.

13 kwietnia 2021

Kwietniowe poprawki bezpieczeństwa dla Exchange

Dzisiaj kolejny patch tuesday i pojawiły się poprawki dla Exchange. Po trzęsieniu ziemi, jakie miało miejsce na początku marca i ataku na wiele tysięcy organizacji Exchange, mam nadzieję, że administratorzy systemów pocztowych zaktualizowali swoje serwery i teraz będzie nieco spokojniej. Poprawki zabezpieczają systemy przed czterema podatnościami (jak na razie dosyć niejasno opisanymi w komunikatach bezpieczeństwa). Jak Microsoft twierdzi są to jak na razie zagrożenia teoretyczne (nie ma jeszcze w sieci exploitów wykorzystujących te podatności), ale lepiej nie czekać i łatać przed atakiem. Poniżej linki do paczek instalacyjnych (należy instalować w kontekście administratora):

  • Exchange Server 2013 CU23
  • Exchange Server 2016 CU19 and CU20
  • Exchange Server 2019 CU8 and CU9
Warto pamiętać również o przydatnym skrypcie, udostępnionym na Githubie do weryfikacji zabezpieczeń serwerów Exchange - nie tylko zainstalowanych poprawek ale również konfiguracji interface'ów sieciowych, sterowników i innych parametrów konfiguracji serwerów - https://aka.ms/ExchangeHealthChecker

17 marca 2021

I znowu poprawki dla Exchange

 Dla tych, którzy nie zdążyli zainstalować ostatnio opublikowanych poprawek bezpieczeństwa, a nie padli jeszcze ofiarą ataku, mam dobrą wiadomość - Microsoft wydał właśnie najnowsze pakiety Cumulative Updates dla Exchange 2016 i 2019. Dla Exchange 2016 CU20 to oficjalnie ostatni pakiet poprawek, chociaż jednocześnie zespół produktowy zapowiada jeszcze jeden "definitywnie ostatni" w przyszłym kwartale. No cóż, pożyjemy - zobaczymy.

Wymagania wstępne nie zmieniły się, nadal obowiązuje .Net Framework 4.8, dobrze jest również sprawdzić, czy schemat naszego AD nie wymaga aktualizacji (setup /PrepareAD). No i oczywiście nadal trzeba uważać na Execution Policy w Powershell, czy mamy dobrze ustawione (koledzy z Redmond zalecają mieć na serwerach ustawioną polisę na Unrestricted). Więcej szczegółów w artykule na blogu zespołu produktowego.

10 marca 2021

Jeszcze więcej poprawek do serwerów Exchange

Nie cichnie wrzawa po wykryciu w ostatnich dniach podatności w systemach Exchange Server. Pisałem już w poprzednim poście o poprawkach, które Microsoft wydał dokładnie tydzień temu, wiele organizacji Exchange zostało do dziś zaatakowanych - bez wątpienia był to największy atak na najczęściej używany na świecie komercyjny system pocztowy. Podstawowym problemem, jaki mieli administratorzy, którzy chcieli zabezpieczyć swoje serwery Exchange, był w wielu przypadkach brak aktualnych wersji poprawek Cumulative Updates (grupa produktowa Exchange wydaje poprawki bezpieczeństwa tylko dla dwóch ostatnich wersji CU), których z różnych względów firmy nie mogły lub nie chciały zainstalować.

Dlatego też, ze względu na fakt, jak krytyczne są wykryte podatności, Microsoft opublikował dodatkowo poprawki dla trzech poprzednich wersji CU, zarówno dla Exchange 2016 jak i Exchange 2019. Dodatkowe poprawki łatają tylko wykryte w marcu podatności, ale dzięki ich instalacji, firmy będą mogły lepiej przygotować się do instalacji najnowszych aktualizacji zbiorczych, nie będąc narażonymi na ataki. Więcej informacji na blogu grupy produktowej Exchange.

Warto również sprawdzić, czy na naszym serwerze Exchange nie ma podejrzanych plików, świadczących o dokonanym ataku. Microsoft udostępnił skrypt Test-ProxyLogon.ps1, który szuka takich danych.

W przypadku, gdy serwer jednak padł ofiarą ataku, Microsoft zaleca reinstalację systemu. W takiej sytuacji warto pamiętać o parametrze instalacyjnym /recoverserver dzięki któremu w trakcie instalacji konfiguracja zostanie pobrana z Active Directory, co na pewno znacząco ułatwia życie. Dokładniejszą instrukcję, jak odbudować serwer umieścił na swoim blogu Jaap Veselius.


03 marca 2021

Krytyczne poprawki bezpieczeństwa dla serwerów Exchange

Kilka godzin temu zespół produktowy Exchange opublikował informację o wykryciu exploitów, mogących atakować wszystkie wersje Exchange. W związku z tym została opublikowana krytyczna poprawka bezpieczeństwa, którą należy jak najszybciej zainstalować, zwłaszcza na serwerach wystawionych do internetu.

Oczywiście, jak zawsze Microsoft udostępnia aktualizacje tylko dla dwóch ostatnich wersji Cumulative Update, więc jak ktoś nie ma, to powinien również zainstalować najnowszy pakiet poprawek. Poprawka bezpieczeństwa nie wymusza restartu serwera, ale powinien on zostać wykonany.
Więcej informacji o zagrożeniach związanych z podatnością  można znaleźć na blogu Microsoft Security Response Center oraz tutaj.

25 grudnia 2020

Ograniczenie dostarczania poczty w organizacji Office 365

Jednym z tematów, który cyklicznie się przewija w dyskusjach z nauczycielami i administratorami szkolnymi jest ograniczanie możliwości wysyłania i otrzymywania maili na szkolne skrzynki pocztowe. W końcu Office 365 dostępny dla szkół to nie tylko Teams ale i najpopularniejszy na świecie system pocztowy Microsoft Exchange. Oczywiście umożliwia on różnego rodzaju operacje na wiadomościach pocztowych w trakcie ich wysyłki lub odbierania poprzez reguły transportowe.

Jak zatem dobrze i sprawnie przygotować regułę, która zablokuje możliwość wysyłania poczty przez uczniów do odbiorców mających skrzynki poza domeną szkolną? Najprościej byłoby utworzyć dynamiczną grupę dla wszystkich kont z licencją ucznia, ale niestety w planie EDU A1 możliwość tworzenia dynamicznych grup zabezpieczeń nie jest dostępna. Trzeba zatem poradzić sobie inaczej. Można to zrobić dosyć szybko z poziomu powłoki Powershell, ale da się to również zrobić z konsoli webowych. Można wyobrazić sobie kilka różnych scenariuszy, ja pokażę ten, który jest wg. mnie najprostszy.

Pierwszym krokiem oczywiście jest utworzenie grupy (rysunek poniżej). Używam do tego konsoli administracyjnej systemu pocztowego Microsoft Exchange. Od niedawna dostępna jest nowa konsola administracyjna jeszcze nie do końca spolonizowana.


















W regułach transportowych możemy używać pojedynczych kont lub grup posiadających adresy mailowe, utworzę więc dynamiczną grupę dystrybucyjną, tworzoną na podstawie wybranych atrybutów konta. Jeżeli zadbamy, żeby wszyscy uczniowie mieli w polu Departament mieli wpisaną wartość "uczniowie", to taka grupa będzie spełniać nasze założenia (kolejne rysunki".



























Po przejściu całego kreatora utworzy nam się potrzebna w dalszej konfiguracji grupa dynamiczna. Kolejnym krokiem jest utworzenie reguły transportowej. Reguły transportowe nadal są konfigurowane wyłącznie w starszej wersji konsoli, ale niebawem się to zmieni.















Tworzymy zatem nową regułę transportową, gdzie jako warunki ustawiamy, że jeżeli odbiorca poczty jest poza naszą organizacją i nadawca należy do odpowiedniej grupy dystrybucyjnej, to wiadomość jest odrzucana, możemy również dodać wyjątek (np. pozwalający wysyłać maile do konkretnej domeny). Tworzymy regułę i gotowe. Możemy również utworzyć analogiczną regułę dla poczty przychodzącej - nadawca poza organizacją, odbiorca należy do grupy.



























































26 września 2020

Nowości dla Exchange - Ignite 2020


W czwartek zakończyła się, tym razem nieco krótsza, wirtualna, ale za to całkowicie bezpłatna konferencja Microsoft Ignite 2020. Jak zwykle Microsoft ogłosił setki nowych funkcjonalności w swoich produktach, oraz informacje o zmianach w liniach produktowych.

Dla administratorów środowisk lokalnych, gdzie często nawet handlowcy Microsoftu wmawiali firmom, że już nie będzie lokalnych wersji Exchange i Skype for Business, na pewno dużym (lecz zapewne przyjemnym) zaskoczeniem jest informacja, o zaplanowanej premierze nowych wersji serwerów i aplikacji Office. Exchange vNext ma  być dostępny w drugiej połowie 2021 roku, podobnie Skype for Business. Co ciekawe możliwy będzie upgrade aplikacji, a prawo do aktualizacji będzie dotyczyło firm, posiadających licencje subskrypcyjne. W przypadku Exchange 2019 upgrade będzie realizowany tak jak instalacja kolejnego Cumulative Update, możliwa będzie przez kolejne dwa lata i co ciekawe koegzystencja będzie dostępna nadal dla wersji Exchange 2013, 2016 i 2019 (wszystkie poprzednie wersje Exchange pozwalały na koegzystencję tylko dwie wersje wstecz). Więcej informacji w nagraniu sesji dostępnej na żądanie - Exchange Here, There and Everywhere.

Dużo zmian i aktualizacji ogłoszono w Exchange Online.

Najnowsza wersja modułu administracyjnego ExchangeOnlineManagement (2.0.3) pozwala na uwierzytelnianie certyfikatem (opcja zalecana dla cyklicznie uruchamianych skryptów), a kolejna, (na razie dostępna jako preview - 2.0.4) może być uruchamiana również na platformie Linux.

Dawno oczekiwana możliwość migracji między tenantami pojawiła się, jak na razie w wersji Preview, ale można już z niej skorzystać. Proces opisany jest w dokumentacji - Cross-tenant mailbox migration, process overview. Równolegle ruszyły programy migracyjne dla Sharepointa i OneDrive.

Zaprezentowano również nowe centrum administracyjne Exchange Online.

Administratorów konfiguracji hybrydowych zainteresuje również nowy kreator konfiguracji hybrydowej, który ma wspierać połączenie lokalnej organizacji do maksymalnie 5 tenantów.

Więcej nowości w oficjalnych ogłoszeniach:

30 sierpnia 2020

Czas zacząć przygotowania do końca wsparcia dla Exchange 2016

W ostatnich tygodniach niestety nieco zaniedbałem aktualizacje, ale w trakcie mojego urlopu zespół produktowy Exchange ogłosił bardzo ważną informację, więc trzeba o niej wspomnieć. 14 października Exchange 2016 wchodzi w okres rozszerzonego wsparcia, czyli Microsoft przestaje uzupełniać pakiety aktualizacji o zmiany funkcjonalne. Ostatnia planowana aktualizacja - CU 19 ma być wydana w grudniu, a później będą (jeżeli będzie taka potrzeba) wydawane tylko poprawki bezpieczeństwa do CU19.

Oznacza to, że po pierwsze wszyscy użytkownicy Exchange 2016 będą zobowiązani do aktualizacji do tej wersji, żeby móc łatać ewentualne dziury bezpieczeństwa w aplikacji.

Kolejny aspekt to serwery hybrydowe - dla wersji 2016 Microsoft dostarczał bezpłatne licencje dla serwerów hybrydowych, co niestety zostało w wersji 2019 zmienione. Po wyjściu Exchange 2016 z podstawowego wsparcia, trzeba będzie rozważyć (co Microsoft rekomenduje) wdrożenie serwerów hybrydowych Exchange 2019, co oczywiście będzie się tym razem wiązało z dodatkowymi zakupami. Tak że idą zmiany.

23 maja 2020

Konfiguracja własnej domeny w Office 365 dla Edukacji

Do zdalnego nauczania nie jest potrzebny własny system pocztowy. To prawda. Cześć szkół będąc w sytuacji konieczności rozpoczęcia zdalnego nauczania poszła szybką ścieżką, wybierając rozwiązania specjalizowane do video (Zoom, Webex), cześć wdrożyła w mniejszym lub większym zakresie systemy bardziej rozbudowane jak G Suite dla szkół  lub Office 365 dla edukacji. Jakiś czas temu napisałem nawet artykuł "Czy zakładając Office 365 dla zdalnego nauczania trzeba przełączyć pocztę", który próbował odpowiedzieć na część wątpliwości związanych z pytaniami w tym temacie. Minęło kilka tygodni i choć już za chwilę szkoły mają wznowić pracę (przynajmniej w ograniczonym zakresie), to nadal pojawiają się pytania w tym zakresie i myślę że warto nieco dokładniej ten temat poruszyć.
Część szkół nie ma własnych domen pocztowych, używa do publikacji informacji dla rodziców i uczniów portali takich jak szkolnastrona.pl czy edupage.org. Oczywiście nie ma w tym nic złego - jednak jedną z zalet wdrożenia Office 365 w bezpłatnym planie A1 jest zintegrowany z innymi komponentami Office 365 system pocztowy Microsoft Exchange oraz system jego ochrony, dostępne dla wszystkich nauczycieli i uczniów. Wydaje mi się, że warto zatem rozważyć wykorzystanie tego systemu w połączeniu z domeną, która nazwa będzie kojarzona z naszą szkołą.

UPDATE:
W trakcie wakacji Microsoft zmienił warunki weryfikacji szkoły - teraz placówka musi posiadać własną domenę internetową.

Oczywiście pytanie podstawowe brzmi - jak zacząć? Odpowiedź jest bardzo prosta - uzgodnić nazwę domeny z dyrekcją szkoły i zarejestrować taką domenę. Oczywiście wszyscy spytają o koszt - w Polsce jest kilkudziesięciu rejestratorów domen, można również skorzystać z serwisów zagranicznych, ale tutaj pojawia się konieczność w większości przypadków realizacji płatności kartą, co może być nieco utrudnione.
Jednak można znaleźć co najmniej kilka serwisów, gdzie rejestracja domeny może być przeprowadzona za bardzo małe pieniądze (kilka - kilkanaście złotych rocznie) a nawet bezpłatnie (w zależności od promocji), z uruchomieniem płatności dopiero po roku (opłata za odnowienie rejestracji). Myślę, że jest to kwota, którą budżet szkoły lub rady rodziców jest w stanie zaakceptować. Nie chcę promować konkretnych firm, rejestrujących domeny, ale jeżeli wpiszemy w naszą ulubioną wyszukiwarkę hasło "rejestracja domeny" to na pewno znajdziemy taki podmiot bez problemów. Oprócz rejestrowania z reguły takie firmy świadczą usługę rozpoznawania nazw (DNS) dla zakupionej domeny, chociaż, jeżeli chcemy, to możemy utrzymywanie DNS dla naszej domeny przenieść do innej zaufanej firmy - wystarczy wypełnienie formularza. Alternatywnym rozwiązaniem jest porozumienie z gminą (głównie dla szkół w mniejszych miejscowościach) i utworzenie subdomeny w ramach domeny naszej gminy - np. sp.gmina.pl. W takim wypadku jest to realizowane bezpłatnie (tworzenie subdomeny dla istniejącej domeny nie pociąga za sobą dotatkowych kosztów).

Kolejnym krokiem jest dodanie domeny do listy domen obsługiwanych w naszej organizacji Office 365 (w tym samym miejscu można kupić w szybki sposób domenę, jednak system jeszcze nie obsługuje domen .pl).













































Teraz zaczyna się trudniejsza część - musimy potwierdzić, że mamy do takiej domeny prawo - w tym celu należy dodać do domeny rekord TXT, o wartości wygenerowanej przez kreator w portalu administracyjnym Office 365.




















Sposób w jaki dodajemy rekord tekstowy (czyli TXT) do naszej domeny DNS może się nieco różnić w zależności od tego jaki panel administracyjny do konfiguracji usługi DNS ma nasz dostawca (przeważnie jest to firma, która rejestrowała naszą domenę, możemy jednaj wskazać rejestratorowi innego dostawcę tej usługi). Microsoft przygotował instrukcję dla kilku najpopularniejszych dostawców tej usługi, możemy również skorzystać z pomocy technicznej naszego dostawcy usługi DNS. Następnie po aktualizacji tego rekordu (należy pamiętać, że nie jest to operacja natychmiastowa - opublikowanie nowego rekordu może trwać nawet kilkadziesiąt minut) i  kliknięciu przycisku "Weryfikuj", powinno nam się pokazać okno z kolejnym krokiem do wykonania, lub komunikat, że rekord nie został znaleziony. Oznacza to, że jeszcze informacja nie została przez usługę opublikowana, bądź niestety, że wpisaliśmy rekord niepoprawnie. Alternatywnie zamiast rekordu typu TXT możemy zmodyfikować rekord MX, jednak w przypadku, gdy domena jest już wykorzystywana z innym systemem pocztowym, na tym etapie konfiguracji nie jest to sposób optymalny.
Jak sprawdzić, czy podany przez nas rekord TXT został już opublikowany? Jest kilka narzędzi webowych do weryfikacji rekordów DNS, najprościej jednak użyć komendy systemu operacyjnego nslookup, która też nam taki rekord pokaże. W tym celu musimy użyć dodatkowej komendy
 set type=all, a następnie podać nazwę naszej domeny
















Zazwyczaj komenda pokazuje również inne rekordy dotyczące domeny (serwery nazw, tzw. rekord SOA). Ja do celów artykułu tworzę poddomenę swojej własnej domeny (więc nie muszę jej oddzielnie rejestrować), więc ilość danych jest nieco mniejsza.


















Teraz pozostaje nam dodać, analogicznie jak przed chwilą dodawaliśmy rekord TXT, trzy rekordy niezbędne, żeby system Exchange w naszej organizacji Office 365 mógł przyjmować maile z zewnątrz, a nasze maile nie były odrzucane przez zabezpieczenia antyspamowe. Tak naprawdę, dobrze byłoby zadbać o bardziej rozbudowane zabezpieczenia, dodając dodatkowe rekordy, o czym pisałem w artykule "Office 365 - problemy ze spamem". Ale wróćmy teraz do niezbędnego minimum.
W kolejnym kroku kreator pokaże nam jak takie rekordy powinny wyglądać, ich listę możemy wyeksportować w formacie csv lub gotowego pliku strefy, możemy również odpowiednie wartości skopiować bezpośrednio ze strony.

















Rekord MX mówi światu, jaki system odbiera pocztę w imieniu naszej domeny, rekord typu CNAME autodiscover pozwala automatycznie konfigurować aplikację Outlook na komputerze lub urządzeniu mobilnym na podstawie naszego adresu mailowego, a rekord tekstowy SPF, pokazuje listę serwerów, które mogą wysyłać w imieniu naszej domeny pocztę na zewnątrz.
Jeżeli dobrze dodaliśmy te rekordy (znowu możemy sprawdzić w ten sam sposób narzędziem nslookup), to poczta elektroniczna będzie bez problemu dostarczana i wysyłana z użyciem adresu naszej nowej domeny. Jeżeli dodaliśmy do Office 365 domenę, którą już używaliśmy do obsługi poczty, to oczywiście zanim dodamy te 3 rekordy, powinniśmy zaplanować migrację poczty do Office 365, ale to już inna historia.
Procedura konfiguracji domeny działa dokładnie tak samo również dla dowolnych innych organizacji w usłudze Office 365.

13 kwietnia 2020

Zmiana nazwy zespołu w Teams

Jednym z ciekawszych pytań, jakie ostatnio dostałem, była kwestia zmiany zespołu w Microsoft Teams. Rozwiązanie wydaje się trywialne i co więcej, może być potrzebne każdemu administratorowi prędzej, czy później. Na pozór stosunkowo proste  - wejść we właściwości zespołu, wybrać opcję edycji zespołu i zmienić (zarówno w kliencie desktopowym jak i webowym), jak widać na kolejnych rysunkach:





















Pozornie problem mamy rozwiązany. Jednak jeżeli wejdziemy w listę plików danego zespołu, a zwłaszcza gdy będziemy chcieli otworzyć taką listę w aplikacji Sharepoint, bądź też zerkniemy w konsoli administracyjnej na adres mailowy zespołu, to zauważymy, że zarówno url witryny sharepointowej naszego zespołu jak i email pozostały bez zmian. Co powinniśmy zrobić, żeby mieć spójną konfigurację? Na szczęście od kilku miesięcy możliwa jest zmiana adresu witryny Sharepoint.
W tym celu możemy użyć konsoli administracyjnej Sharepoint i zmienić zarówno nazwę jak i adres URL witryny zespołu (kolejny rysunek).
















Oczywiście operacja taka trwa dość długo (w tym czasie witryna jest dostępna w trybie tylko do odczytu). Niestety mogą się również pojawić inne problemy, o czym Microsoft pisze w dokumentacji, więc jeżeli mamy jakieś dokumenty, to warto je sobie zabezpieczyć. Operację zmiany adresu witryny możemy wykonać również z powershella, używając modułu Sharepoint Online, a dokładniej komendy Start-SPOSiteRename, jednak nie będę wchodził w szczegóły, zainteresowanych odsyłam do artykułu Tony'ego Redmonda.
Kolejną operacją jest modyfikacja adresu mailowego, co najlepiej jest wykonać z powershella. Żeby było trudniej, musimy do tego użyć innego modułu - Exchange Online, ponieważ zmieniamy atrybut grupy Office 365 (w module MicrosoftTeams nadal nie ma nawet możliwości podejrzenia adresu pocztowego). Komendą get-unifiedgroup możemy zweryfikować wartości atrybutów zespołu, a poprzez set-unifiedgroup ustawiamy odpowiednią wartość. W ten sposób mamy ujednolicone wartości nazwy zespołu po zmianie dla wszystkich elementów konfiguracji.



















Pozostaje jeszcze jeden drobiazg - notes zespołu, bądź też w przypadku zespołów klasowych, kwestia dotyczy notesu klasowego. On też ma nazwę powiązaną w momencie tworzenia z nazwą zespołu, więc żeby spójność była pełna to również i tą nazwę powinniśmy zmienić. W tym przypadku kwestia nie była taka oczywista, jednak udało mi się zweryfikować, że jest to możliwe. Podobnie jak w przypadku zmiany adresu url, w tym wypadku także użyjemy portalu administracyjnego Sharepoint, a właściwie właściwości witryny Sharepoint naszego zespołu.
Otwieramy w przeglądarce witrynę naszego zespołu, wchodzimy w zawartość witryny, następnie otwieramy Zawartość Witryny-Elementy zawartości Witryny i następnie edytujemy Nazwę i Tytuł notesu: 

























I to wszystko co potrzebujemy. 
Jak widać zmiana nazwy zespołu jest dosyć pracochłonna, więc warto dobrze przemyśleć nazewnictwo, żeby nie zmieniać nazw zbyt często.

28 marca 2020

Office 365 - problemy ze spamem

Wysyłając pocztę ze skrzynek na Office 365 czasem ze zdziwieniem orientujemy się, że trafia ona do spamu. Niestety, pomagając administratorowi opublikować niezbędne dla Exchange Online rekordy, Microsoft nadal podaje tylko 3 rekordy - MX, SPF i autodiscover. Już jakiś czas temu publikowałem kilka postów o dodatkowych metodach zabezpieczania poczty - DKIM oraz DMARC. Od tego czasu zdecydowana większość firm używa już tych mechanizmów. Warto poświęcić kilka minut, żeby skonfigurować je dla swojej organizacji Office 365. O ile konfiguracja DMARC to tylko dodanie rekordu do DNS (przynajmniej na początku), to konfiguracja DKIM wymaga jeszcze włączenia na poziomie Exchange Online. W artykule https://pepugmaster.blogspot.com/2016/03/walka-ze-spamem-spf-dkim-dmarc.html opisałem konfigurację w Office 365, jednak ostatnio zaważyłem, że dla własnych domen, obsługiwanych w Office 365 możliwość włączenia w webowym panelu administracyjnym, zarówno Exchange Admin Center, jak i https://protection.office.com/dkim została ukryta.
Funkcjonalność nie jest zablokowana, ale jak wiele zaawansowanych funkcji dostępna tylko w powershell. Wystarczy z poziomu modułu administracyjnego Exchange Online wykonać komendę:
new-DkimSigningConfig -Identity -KeySize 2048 -Enabled $true
Jeżeli w DNS dla naszej domeny nie dodaliśmy niezbędnych rekordów, funkcjonalność zostanie skonfigurowana, ale nie będzie włączona, o czym zostaniemy poinformowani odpowiednim komunikatem:




Jeżeli uzupełnimy/poprawimy rekordy, możemy włączyć zabezpieczenie domeny komendą:
set-DkimSigningConfig -Identity lab.pepug.org -Enabled $true.
I nasza poczta będzie bardziej wiarygodna.

22 marca 2020

Czy zakładając Office 365 dla zdalnego nauczania trzeba przełączyć pocztę?

Kolejne pytanie, jakie pojawia się na grupach dyskusyjnych w kontekście zdalnego nauczania, to kwestia poczty elektronicznej. Uruchamiając usługę Office 365, automatycznie mamy prawo do korzystania z usługi Exchange Online, która integruje się z innymi usługami Office 365. Domyślnie, jeżeli nie wskażemy własnej domeny pocztowej, skrzynki są zakładane w domenie takiej, jak nazwa naszego tenanta, np. szkola.onmicrosoft.com.
Czy te skrzynki są nam potrzebne? Organizując spotkania w Teams możemy użyć aplikacji Outlook do zapraszania na spotkania/lekcje (po zainstalowaniu klienta Teams na komputerze, w Outlooku pojawia się specjalny dodatek). Warto również pamiętać o RODO. Tworząc skrzynki dla nauczycieli i uczniów ograniczamy przesyłanie materiałów do obrębu tej samej usługi, możemy również oznaczać dokumenty zawierające treści wrażliwe, a nawet weryfikować dostęp do tych dokumentów. Sam o tym mówiłem jakiś czas temu na prezentacji, dostępnej na Youtube. Warto pamiętać, że zakładając skrzynki pocztowe dla uczniów, żeby być w zgodzie z RODO adres pocztowy ucznia nie powinien być zbudowany z jego imienia i nazwiska, ale lepiej użyć jest identyfikatora z dziennika elektronicznego (jest on unikalny w danej szkole).
Kolejną kwestią jest fakt, że nie wszystkie placówki oświatowe mają spójnie systemy poczty elektronicznej dla wszystkich pracowników, cześć używa do komunikacji systemy elektronicznego dziennika jak np. Librus czy Vulcan. Mając usługę Office 365 można tą sytuację zmienić, zwłaszcza, że skrzynki tworzone są z limitem 50GB (a w płatnych planach A3 i A5 może być nawet więcej).
Zupełnie innym tematem jest migracja z obecnego systemu pocztowego. Chociaż kreatory są coraz lepsze i bardziej przyjazne dla użytkownika, to w zależności od typu używanego systemu migracja może być zadaniem czasami nawet bardzo skomplikowanym. Jest on dobrze udokumentowany na stronach Microsoft, np. tutaj - https://docs.microsoft.com/en-us/exchange/mailbox-migration/mailbox-migration. Realizując migracje Exchange przez ostatnie 20 lat również często wspominałem o tych zagadnieniach na tym blogu, spotkaniach PEPUG czy też konferencjach. Warto pytać na forach dyskusyjnych, w związku z obecną sytuacją wiele osób bezpłatnie pomaga szkołom przy takich zadaniach.

18 marca 2020

Marcowe poprawki dla Exchange

Kolejny kwartał mija i pojawiła się planowo następna partia aktualizacji dla Exchange, ogłoszona na blogu zespołu produktowego. Jak zwykle tylko dwie ostatnie wersje Exchange zostały uwzględnione w cyklicznych poprawkach:
Aktualizacja dla Exchange 2019 rozwiązuje problem z wyszukiwaniem online na podstawie fragmentów słów, poprawia skrypt do włączenia MCDB oraz optymalizuje kalkulator planowania Exchange 2019. Jeżeli aktualizujemy Exchange z wersji co najmniej CU2, to nie musimy aktualizować lasu AD. W przeciwnym przypadku jest taka konieczność, wykonujemy więc komendę setup /preparead. Dodatkowo należy pamiętać o odpowiedniej wersji .Net Framework (4.8) i Visual C++ Runtime 2012.
W przypadku CU16 dla Exchange 2016 zmian jest mniej, ale warunki instalacji są podobne. Jeżeli aktualizujemy z wersji wcześniejszej niż CU13, to również powinniśmy wykonać setup /preparead. Również wymagany jest .Net Framework 4.8 i Visual C++ Runtime 2013.
Dodam jeszcze, że oba pakiety Cumulative Updates zawierają krytyczne poprawki bezpieczeństwa, o których pisałem kilka tygodni temu.

02 marca 2020

Poprawki bezpieczeństwa dla Exchange Server

Chociaż od dnia publikacji najnowszych poprawek bezpieczeństwa dla Exchange Server minęło już kilkanaście dni, zorientowałem się właśnie, że nie opublikowałem informacji o nich na blogu, dlatego też nadrabiam zaległości. Poprawki adresują podatności, opisane w biuletynach bezpieczeństwa:
  • CVE-2020-0692: Microsoft Exchange Server Elevation of Privilege Vulnerability
  • CVE-2020-0688: Microsoft Exchange Memory Corruption Vulnerability
  • KB4540267 MSExchangeDelivery.exe or EdgeTransport.exe crashes in Exchange Server 2013 and Exchange Server 2010

O ile pierwsze z zagrożeń dotyczy wersji systemu począwszy od Exchange 2013, to dwa kolejne mogą umożliwiać również przejęcie kontroli nad systemami w wersji Exchange 2010. W ten sposób powstał RU30 dla Exchange 2010 SP3. Warto przeczytać powyższe artykuły, żeby przekonać się, że na czym polegają poszczególne zagrożenia. Poniżej lista aktualizacji:
Wersja Exchange

Build
Artykuł KB
Lokalizacja poprawki
Exchange 2019 CU4
15.2.529.8
Exchange 2019 CU3
15.2.464.11
Exchange 2016 CU15
15.1.1913.7
Exchange 2016 CU14
15.1.1847.7
Exchange 2013 CU23
15.0.1497.6
Exchange 2010 SP3 RU30
14.3.452.0

Warto pamiętać, że aktualizacje obejmują tylko dwie ostatnie wersje CU, zarówno dla Exchange 2016 jak i 2019 (dla Exchange 2013 tylko ostatnią). Należy więc dobrze sprawdzić, jaką wersję poprawki powinniśmy pobrać.