Aktualizacje antimalware w Exchange 2016

Jakiś czas temu pisałem na blogu artykuł o tym jak naprawić/ręcznie zaktualizować silnik Antimalware w Exchange 2013. Artykuł cieszył się dużym zainteresowaniem - problem jest dosyć popularny. Po kilku wdrożeniach Exchange 2016 z przykrością muszę zauważyć, że niestety w nowej wersji Exchange nie udało się Microsoftowi wyeliminować całkiem tego problemu.

Na szczęście jednak rozwiązanie problemu jest dużo prostsze. Wystarczy tylko otworzyć w Exploratorze Windows folder z binariami silnika antimalware, znajdujący się w katalogu - <Ścieżka instalacyjna Exchange>\FIP-FS\Data\Engines\amd64\Microsoft\bin - system stwierdzi brak uprawnień dla administratora, zaktualizuje ACL i po restarcie usługi Microsoft Filtering Management Service lub po odczekaniu do kolejnej sesji aktualizacyjnej najnowsza wersja silnika zostanie pobrana i usługa zacznie działać poprawnie.

UAG odchodzi do lamusa

Dopiero kilka dni temu pisałem o nowym Service Packu do UAG-a, a dzisiaj Microsoft ogłosił wycofanie UAG-a z oferty z dniem 1 lipca 2014. Co ciekawe wsparcie dla UAG-a skończy się niecały rok później – 14 kwietnia 2015 (pół roku wcześniej, niż wycofanego rok temu TMG). Wsparcie rozszerzone zostanie wstrzymane 14 kwietnia 2020 roku. Takie kroki można było podejrzewać kiedy w Release Notes do Service Packa 3 ogłoszono, że ulepszony Direct Access w Windows Server 2012 zastępuje tą część funkcjonalności UAG-a, a funkcjonalność Web Application Proxy w Windows Server 2012R2 była gwoździem do trumny. Na pocieszenie firmy z aktywnym 1 grudnia 2013 Software Assurance mogą instalować dodatkowe instancje i dodawać użytkowników UAG bez konieczności zamawiania dodatkowych licencji.

Kiedy w październiku na mojej sesji na preMTS wspominałem o tym, że roadmapa dla UAG-a jest opublikowana tylko do połowy 2014 roku mogłem przeczuwać, że tak to się skończy. I że to tylko kwestia czasu. No nic, trzeba poznawać kolejne rozwiązania sprzętowe, WAP i ARR, zobaczymy co przyniesie nowy rok.

Forefront UAG 2010 SP4 wydany

Wczoraj pojawił się kolejny, już czwarty Service Pack do UAG-a 2010, który oprócz usunięcia kilku problemów, dodaje wsparcie dla Windows 8.1 i Internet Explorera 11, w tym również możliwość konfiguracji połączeń z wbudowanego w Windows 8.1 klienta pocztowego Mail do Exchange Servera oraz wsparcie dla klienta RDC 8.1. Niestety instalacja jest jak zwykle skomplikowana. Poniżej krótka ścieżka kolejności instalacji UAG-a z SP4 od zera:

• Instalacja Forefront UAG z SP1. Szczegóły w artykule Installing Forefront UAG 2010.
• Instalacja Update 1 dla Forefront UAG SP1. Szczegóły w artykule Installing Update 1 for Forefront UAG SP1.
• Instalacja Forefront TMG SP2. Szczegóły w artykule Microsoft Forefront Threat Management Gateway (TMG) 2010 Service Pack 2.
• Instalacja Forefront UAG SP2. Szczegóły w artykule Installing SP2 for Forefront UAG 2010.
• Instalacja Forefront UAG SP3. Szczegóły w artykule Installing SP3 for Forefront UAG 2010.
• Instalacja Update 1 dla Forefront UAG SP3.
• Instalacja Forefront UAG SP4.

Jak na razie Release Notes nie zostały zaktualizowane, jednak na pewno za kilka dni dokumentacja produktu zostanie odświeżona.

Jak na razie, żeby nadążyć za zmianami w kolejnych numerach wersji UAG-a, dobrze jest skorzystać z artykułu na Technet Wiki, gdzie kolejne wersje są aktualizowane, poniżej kopia tej tabeli:

Build Number	KB Article ID	Comment
4.0.1101.0	n/a	Forefront Unified Access Gateway 2010 RTM
4.0.1101.052	2433585	Security Update MS10-089
4.0.1152.100	981323	Update 1
4.0.1152.110	981932	Update 1 Rollup 1
4.0.1152.150	2433584	Update 1+Security Update MS10-089
4.0.1269.200	2288900	Update 2
4.0.1269.250	2418933	Update 2+Security Update MS10-089
4.0.1575.10000	n/a	Service Pack 1 RC
4.0.1752.10000	2285712	Service Pack 1
4.0.1752.10020	2475733	Service Pack 1 Rollup 1
4.0.1752.10025	n/a	Service Pack 1 Rollup 2
4.0.1752.10073	2522485	Security Update MS11-079
4.0.1753.10076	2649261	Service Pack 1+Security Update MS12-026
4.0.1773.10100	2585140	Service Pack 1 Update 1
4.0.1773.10110	2647899	Service Pack 1 Update 1 Rollup 1
4.0.1773.10190	2649262	Service Pack 1 Update 1+Security Update MS12-026
4.0.1773.10220	n/a	Service Pack 1 Update 1 Rollup 2
4.0.2095.10000	2710791	Service Pack 2
4.0.3123.10000	2744025	Service Pack 3
4.0.3206.10100	2827350	Service Pack 3 Rollup 1
4.0.4083.10000	2861386	Service Pack 4

Forefront Unified Access Gateway 2010 Service Pack 3

Pojawił się w końcu Service Pack 3 dla UAG-a. Poprawka na tyle istotna i pożądana, że trzeba o niej wspomnieć. Przede wszystkim zapewnia wsparcie dla Exchange 2013, Sharepoint 2013, Windows 8/RT oraz Windows Phone 8. Poza tym zapewnia wsparcie dla aplikacji desktopowych z grupy Office 2013 oraz nowej wersji klienta RDP (8.0), zarówno w systemie Windows 8 jak i Windows 7. Ponadto zawiera 15 poprawek do zauważonych po SP2 błędów. Niestety, do instalacji SP3 należy najpierw zainstalować SP2 (co z kolei wiąże się z instalacją wcześniejszych poprawek – koszmar).

Forefront Unified Access Gateway 2010 Service Pack 3 is available for download - Forefront UAG Product Team Blog

Forefront Protection fro Exchange–prezent od Microsoftu

Jak pisałem wcześniej na blogu, od 1 grudnia 2012 FPE 2010, tak jak większość produktów z liniii Forefront nie jest już dostępny w sprzedaży. Natomiast wsparcie ma być dostępne do końca roku 2015. Co więc ma zrobić użytkownik, który nie może już kupić aktualizacji produktu? To proste! Zgodnie z artykułem License extension for End-of-Life Antigen/Forefront products musi tylko wejść we właściwości licencji produktu, zmienić datę ważności na grudzień 2015 i podać numer umowy 3974799. Oczywiście warunkiem jest posiadanie ważnej subskrypcji na dzień 30 listopada 2012.

Żegnaj TMG i FPE

Dzisiaj Microsoft opublikował na blogu grupy Server & Cloud informacje o zakończeniu większości linii produktowych z grupy rozwiązań Forefront. Po przeniesieniu na początku roku Forefront Endpoint Protection do grupy produktów System Center 2012 i wprowadzeniu do produktów z grupy Office 2013 (Exchange, Lync i Sharepoint) podstawowej ochrony antywirusowej (Forefront Online Protection for Exchange pod nazwą Exchange Online Protection przeniesiono do grupy Office 365), to  informacja o wycofaniu ze sprzedaży produktów Forefront Protection – FPE (Exchange), FPSP (Sharepoint), FSOCS (Communications Server) była oczywista. Pogłoski o zakończeniu rozwoju Threat Management Gateway były również znane od kilku miesięcy - TMG nie był reprezentowany w raporcie Gartnera "Magic Quadrant for Secure Web Gateway". Tak że linię produktów Forefront będą reprezentować teraz tylko FIM oraz UAG. Mam nadzieję, że nowa wersja UAG będzie dobrze zastępować zarówno TMG jak i UAG (w czerwcu wyszedł Service Pack 2 dla FIM, a w sierpniu dla UAG).

TMG ma zostać wycofany ze sprzedaży 1 grudnia 2012 (wsparcie podstawowe będzie obowiązywać do 14 kwietnia 2015, rozszerzone do 14 kwietnia 2020. Wycofana zostanie również usługa Forefront TMG Web Protection Service (TMG WPS).  Pozostałe produkty też zostaną wycofane z cenników 1 grudnia 2012, a subskrypcje będą dostępne do 31 grudnia 2015.

Aktualizacje Forefront Protection for Exchange 2010

Czasami chcemy na szybko zweryfikować wersję produktu, w tym przypadku PFE 2010. Tak jak tabelkę z wersjami buildów dla SQL-a czy Exchange’a stosunkowo łatwo jest znaleźć w internecie, to nie mogłem znaleźć na szybko tabeli podsumowującej numery wersji Forefronta. W związku z tym postanowiłem ją sam opublikować.

Wersja produktu	Nr buildu
Forefront Protection 2010 for Exchange Server RTM	11.0.677.0
Forefront Protection 2010 for Exchange Server RU1	11.0.689.0
Forefront Protection 2010 for Exchange Server RU2	11.0.705.0
Forefront Protection 2010 for Exchange Server RU3	11.0.713.0
Forefront Protection 2010 for Exchange Server RU4	11.0.727.0

Podsumowanie z listą najnowszych wersji wszystkich produktów z linii Forefronta można znaleźć na stronie pomocy technicznej, chociaż niedługo pewnie będzie trudniej (lada moment FEP zadebiutuje jako członek rodziny System Center).

Internet Explorer 9 i konsola TMG

Dlaczego produkty serwerowe Microsoftu nie lubią przeglądarki IE9? Dobre pytanie, niemniej jednak co jakiś czas natrafiam na tego typu kwiatki. Sam staram się unikać tej wersji na serwerach, wychodząc z prostego założenia, że IE8 pozwala zaoszczędzić administratorowi wiele czasu i nerwów. Ale nie zawsze się da. Ostatnio natknąłem się na problem z konsolą TMG2010. Okazuje się, że na maszynie z IE9, konsola administracyjna TMG 2010 nie otwiera się poprawnie, wywalając błędy “member not found” i “refresh failed”, co skutecznie unimożliwia dokończenie konfiguracji TMG. Znalazłem ciekawe obejście tego problemu:

• Należy otworzyć plik "C:\Program Files\Microsoft Forefront Threat Management Gateway\UI_HTMLs\TabsHandler\TabsHandler.htc"
• Znaleźć 3 linie zawierające określenie "paddingTop", a następnie zakomentować je, dodając "//" na początku linii.
  Przykład:
  m_aPages [niPage].m_tdMain.style.paddingTop = ((m_nBoostUp < 0) ? -m_nBoostUp : 0) ;
  zamieniamy na:
  // m_aPages [niPage].m_tdMain.style.paddingTop = ((m_nBoostUp < 0) ? -m_nBoostUp : 0) ;
  Zapisujemy zmiany i otwieramy konsolę TMG – działa poprawnie (sprawdziłem).

Źródło:

http://blogs.technet.com/b/asiasupp/archive/2011/04/29/internet-explorer-9-ie9-and-forefront-tmg-2010.aspx

Hotfix Rollup 4 for Microsoft Forefront Protection for Exchange

Pojawiła się kolejna paczka poprawek do FPE - Hotfix Rollup 4 for Microsoft Forefront Protection for Exchange. Jak zwykle lista błędów, które poprawka usuwa jest spora, jednak komunikat w artykule mówi, że usuwa tylko wymienione w nim błędy, co może wprowadzać w błąd. No i oczywiście trzeba wysłać zgłoszenie do pomocy technicznej. Niemniej jednak warto zaktualizować. Jeżeli ktoś chce sprawdzić, czy inne posiadane przez niego produkty z linii Forefront są aktualne to dobrze jest zajrzeć na stronę Updates for Microsoft Forefront and Related Technologies. Chociaż w momencie pisania tego posta, lista nie została zaktualizowana o wzmiankowaną wyżej poprawkę.

Dokąd zmierza Forefront?

Dzisiaj w materiałach dotyczących zmian w kompetencjach partnerskich Microsoftu zauważyłem ciekawą informację dotyczącą produktów z linii Forefront do ochrony poczty. Co prawda po zapowiedziach Microsoftu o likwidacji TMG ( a tak naprawdę o połączeniu TMG i UAG w jeden produkt w najbliższej, nie do końca precyzyjnie określonej przyszłości), Forefront nie został uwzględniony w magicznym kwadracie firewalli webowych, to Forefront Protection for Exchange łącznie z Forefront Online Protection for Exchange znalazły się w grupie leaderów w najnowszym magicznym kwadracie. Czyli warto używać tych produktów

Software Update 1 dla TMG 2010 Service Pack 1

Pisałem niedawno o problemach związanych z instalacją Exchange 2010 SP1 na serwerze z TMG 2010. Jest już odpowiednia poprawka do TMG 2010 SP1, która między innymi zapewnia zgodność z Exchange 2010 SP1.

Problemy z instalacją Exchange 2010 Service Pack 1 na serwerze z TMG

Zespół produktowy Forefront TMG ostrzega przed instalacją Service Packa 1 do Exchange 2010 na serwerze, gdzie zainstalowany jest komplet – TMG 2010 – Exchange Edge Server 2010 – Forefront Protection for Exchange 2010. Związane jest to ze zmianami w cmdletach Exchange, a przede wszystkim z likwidacją niektórych z nich (np. get-antispamupdates wykorzystywanym do aktualizacji sygnatur antyspamowych). Problem jest na tyle poważny, że blokuje uruchomienie serwisu Microsoft Forefront TMG Managed Control service, co w zasadzie uniemożliwia zarządzanie aplikacją. Zespół TMG pracuje nad rozwiązaniem problemu. Niestety jak na razie nie ma obejścia problemu.

Problems when installing Exchange 2010 Service Pack 1 on a TMG configured for Mail protection - Forefront TMG (ISA Server) Product Team Blog - Site Home - TechNet Blogs

Dodatkowo na stronie blogu Exchangeteam pojawił się FAQ omawiający inne problemy związane z przygotowaniem systemu oraz instalacją Service Packa 1.

Microsoft Forefront Protection 2010 – kilka spostrzeżeń

Ostatnio trochę instalowałem nowej wersji Forefronta, nawet udało mi się zauważyć kilka problemów, nad którymi głowi się teraz support, ale nadal kilka rzeczy mnie zadziwia – dlaczego nadal nie ma zbiorczej konsoli zarządzającej, która by mogła pracować na platformie Windows 2008 x64, tak jak FPE i Exchange? Konsola ma być dostępna w tym roku, ale jeszcze nie wiadomo kiedy. Tak więc, mając kilka serwerów Exchange z Forefrontem, trzeba zainstalować 32-bitowe Windows 2003, a następnie Forefront Security Server Management Console (FSSMC), do którego trzeba dodatkowo pobrać z supportu Hotfix Rollup 3 do FSSMC, który pozwala poprawnie obsługiwać nowe wersje FPE i raportować Cloudmarka. Niestety nie jest on publicznie dostępny, co trochę mnie zdziwiło, jeszcze dziwniejsze było to, że pakiet zawierał tak naprawdę pełną instalację FSSMC (łącznie z SQL Express). Na koniec dobrze jest sprawdzić konfigurację środowiska, na szczęście pojawił Best Practices Analyzer dla nowej wersji Forefronta, który to ułatwia.