Czym jest SEFAUTIL?

Od kilku miesięcy dosyć często korzystam z SEFAUTIL i zdałem sobie sprawę, z tego, że wielu administratorów Skype for Business (przynajmniej w Polsce, gdzie Enterprise Voice nie jest zbyt często wdrażaną funkcjonalnością SfB) nie kojarzy tej nazwy lub nie miało okazji użyć tego narzędzia. Zacznę więc może od początku.
Kiedy zaczynamy używać Skype for Business jako systemu telefonicznego, często zachodzi potrzeba wykonania dodatkowych operacji, związanych z pracą w grupie - przekierowania rozmowy, wskazania delegata, który może dzwonić w naszym imieniu czy też uruchomienia funkcjonalności dzwonienia grupowego. Wszystkie te opcje użytkownik może skonfigurować samodzielnie, korzystając z opcji klienta Skype for Business na swoim komputerze, jak widać na poniższym obrazku.

Jednak gdy użytkownik jest nieobecny, a istnieje potrzeba wykonania takiej operacji, czy administrator może wyręczyć użytkownika? Odpowiedź jest prosta - może.
Żaby pomóc administratorowi w tych czynnościach, grupa produktowa już dla wersji Lync 2010 umieściła w zestawie narzędzi Resource Kit specjalne narzędze - SEFAUTIL, którego nazwa jest oczywiście skrótem i pochodzi od określenia Secondary Extension Feature Activation.
Niestety, narzędzie to działa w linii komend i wymaga dodatkowych przygotowań serwera, na którym chcemy je uruchomić - https://blogs.msdn.microsoft.com/ramblingsfromthefield/2014/11/14/using-sefautil-to-manage-users-delegates/. Nie jest to więc wygodne ani w żaden sposób powiązane z innymi czynności administracyjnymi, realizowanymi z powłoki PowerShell. Żeby np. sprawdzić ustawienia użytkownika, czy ma włączone równoczesne dzwonienie musimy wykonać (wskazując pulę serwerową, do której rejestruje się użytkownik) komendę:
.\SEFAUtil.exe /server:sfbpool.pepug.net adam.abacki@pepug.org
W odpowiedzi dostaniemy informację:

User Aor: sip:adam.abacki@pepug.org

Display Name: Adam Abacki

UM Enabled: True

Simulring enabled: True

Simul_Ringing to: sip:+48xxxxxxxxx@pepug.org;user=phone

User Ring time: 00:00:20

Call Forward No Answer to: sip:+48xxxxxxxxx@pepug.org;user=phone

Żeby usprawnić życie administratora kilka lat temu MVP Matt Landis i jego firma przygotowały narzędzie SEFAUTIL Server, które możemy zainstalować w naszym środowisku z poziomu Powershell, a co więcej wywoływać je zdalnie, korzystając z powershell remoting. Ta sama komenda będzie wyglądała w tym przypadku następująco:
Invoke-Command -ComputerName serv1.pepug.net -ScriptBlock { Get-CsUserForwarding sip:bolek.babacki@pepug.org }
Odpowiedź będzie nieco bogatsza i co ważne, będzie realizowana z poziomu powershell

PSComputerName                       : serv1.pepug.net
RunspaceId                           : 977d2548-53e2-4b5a-bbd7-19a89ab5033e
ApplyOnlyDuringWorkHoursFromCalendar : False
BlockCallsEnabled                    : False
Breakthrough                         : {}
CallForwardingEnabled                : False
CallForwardTo                        : {}
CallForwardToTargetsEnabled          : False
CategoryName                         : routing
ControlledDevice                     : {}
DelegateRingEnabled                  : False
Delegates                            : {}
FirstDelegate                        :
FirstDelegateWaitTime                : 00:00:00
ForwardAudioAppInvitesEnabled        : False
SimultaneousRing                     : {}
SimultaneousRingEnabled              : False
SkipPrimaryEnabled                   : False
Team                                 : {}
TeamOrOtherDelegatesWaitTime         : 00:00:20
TeamRingEnabled                      : False
UserOnlyWaitTime                     : 00:00:20
UserWaitTimebeforeTeamOrDelegates    : 00:00:00
VoiceEscalation                      : {}

Po wielu latach próśb zespół produktowy w końcu zawarł cmdlety z grupy SEFAUTIL w pakiecie CU1 dla Skype for Business 2019, co znacząco upraszcza konfigurację i pozwala nam sprawdzić i ustawić w imieniu użytkownika niezbędne opcje bez konieczności instalowania dodatkowych narzędzi. Teraz żeby sprawdzić ustawienia użytkownika wystarczy wykonać komendę:
Get-CsUserCallForwardingSettings -Identity sip:Adam.Abacki@pepug.org

Nowa aktualizacja dla Lync Server 2013

Zdecydowana większość użytkowników systemu Lync Server 2013 zmigrowała się do Skype for Business 2015, jednak tych, którzy jeszcze używają wersji 2013 ucieszy pakiet poprawek CU10, który usuwa sporo błędów (szczegółowa lista poprawek i sposób instalacji znajdują się w artykule pomocy technicznej), a co równie ważne, zapewnia wsparcie dla TLS 1.2, co zostało wspomniane w oddzielnym artykule KB. zgodnie z polityką wygaszania starszych wersji protokołu TLS 1.0 i 1.1. Zostało to opisane w serii artykułów na blogu zespołu produktowego - Disabling TLS 1.0 and 1.1 in Skype for Business Server 2015 On-Premises:

• Part 1: Introduction and Scope
• Part 2: How-to Update an Existing Topology
• Part 3: Advanced Deployment Scenarios

Po instalacji lipcowego pakietu CU10, analogicznie można postąpić z serwerami Lync 2013. JEst to szczególnie istotne w środowiskach hybrydowych, ze względu na wyłączenie starszych wersji TLS w Office 365 i pozostawienie tylko TLS 1.2 już za kilka miesięcy.

Paczkę CU10 można pobrać z poniższego linku:

https://www.microsoft.com/en-us/download/details.aspx?id=36820

Problem z Lyncem/SfB po aktualizacji .Net Frameworka

Systemy należy aktualizować, zwłaszcza, gdy poprawka łata dziurę w zabezpieczeniach aplikacji, jednak znowu zespół Frameworka nie zweryfikował w pełni czy coś nie zostanie popsute. Wydana 10 maja poprawka Security Update for .NET Framework (3156757) skutecznie rozwala funkcjonalności konferencyjne serwerów Lyncowych i Skype for Business:

• Whiteboards
• Uploading PowerPoint Presentations
• Sharing Notes
• Polls
• Q&A

Jak na razie zespół produktowy opisał jak poprzez dodanie odpowiednich kluczy w rejestrach obejść problem, mam nadzieję, że niedługo zostanie wydana odpowiednia poprawka do systemu.

Problem z .NetFramework 4.6.1

Kolejny raz grupy produktowe się nie dogadały i pojawił się problem. Po wydaniu aktualizacji .NetFramework 4.6.1 zarówno grupa produktowa Exchange jak i grupa produktowa Skype for Business. Aktualizacja ta jednak została wrzucona na Windows Update jako rekomendowana, więc niestety, może się zdarzyć, że ktoś niechcący ją zainstaluje, co może spowodować sporo problemów. Jak na razie dobrze jest postąpić z powyższą rekomendacją zespołu Exchange - chwilowo zablokować instalację tej poprawki. Jeżeli jednak komuś zdarzy się zainstalować na serwerze Exchange lub Lync/SfB, to odinstalowanie jest trochę skomplikowane - nie wystarczy odinstalowanie tej poprawki - trzeba ponownie rekompilować komponenty Exchange. Jak zrobić to w sposób jak najmniej bolesny opisuje na swoim blogu Jeff Guillet. Podstawą jest pobranie skryptu 7318.DrainNGenQueue.wsf.

Zespół produktowy poleca również po odinstalowaniu .NetFramework 4.6.1 reinstalację .Net Framework 4.5.2 i rekompilację Exchange powyższym skryptem.

BToE – inne spojrzenie (Yealink)

Jak prezentował niedawno na spotkaniu PEPUG Marcin Wikieł, liczba telefonów współpracujących z Lyncem stopniowo rośnie. Tym razem miałem możliwość testowania telefonu YealinkT48G, który właśnie uzyskał status kwalifikowanego dla Lynca 2013 ze wsparciem dla Skype for Business, razem z modelem T22P. Oczywiście użycie telefonu Yealink w organizacji Lyncowej wymaga dedykowanego firmware (aktualna wersja 35.7.0.35). Niestety na stronie publicznej supportu nie jest on jeszcze dostępny, ale dzięki wsparciu dystrybutora Acnet, udało mi się go uzyskać. Wymagane jest również wgranie odpowiedniej licencji na telefon. Podobnie jak SNOM czy Audiocodes, telefony Yealink mają możliwość zarządzania przez stronę webową, gdzie w wygodny sposób można zaktualizować zarówno firmware jak i licencję, jak pokazuje poniższy rysunek. Co ciekawe, interface dostępny jest również po polsku.

Po zaktualizowaniu frmware telefonu do wersji Lync i odpowiedniej licencji (docelowo telefony Yealink mogą być dostarczane z odpowiednią licencją i oprogramowaniem), pojawia się możliwość zalogowania przy pomocy rozszerzenia numeru i PIN-u, tak jak na innych telefonach sprzętowych dla środowiska Lync 2013.

Po zalogowaniu pojawia się ekran ogólny, na którym jednak widać od razu w prawym górnym roku informacje o zalogowanym użytkowniku.

Po przejściu do ulubionych zobaczymy nasze lyncowe kontakty z grupy ulubionych, co pokazuje poniższy rysunek. Jeżeli kontakt ma dodane zdjęcie, to jest ono widoczne również na telefonie.

Kolejna zakładka pokazuje historię połączeń, zarówno odebranych jak i nieodebranych.

W zakładce kontaktów zobaczymy grupy kontaktów, w takim układzie jak ustawiliśmy sobie w Lyncu. Ciekawą opcją jest możliwość integracji z Lyncem/SfB na naszym komputerze – podobnie jak w przypadku wcześniej testowanych przeze mnie telefonów – Better Together over Ethernet. Po zainstalowaniu niewielkiego dodatku Yealink BToE Connector for Lync(aktualna wersja 2.0.13.0) i uruchomieniu aplikacji następuje proces parowania z telefonem. Najprościej podać adres IP telefonu i wcisnąć przycisk “Pair”.

Po chwili aplikacja schowa się w pasku zadań, pokazując status sparowania jak widać na poniższym rysunku.

Telefon pojawi się również jako domyślna słuchawka na liście urządzeń Lynca/SfB.

Testy przebiegły pomyślnie, telefon działa fajnie. Kolejna interesujaca alternatywa, zwłaszcza dla osób/firm, które lubią kolorowe wyświetlacze i możliwość wyświetlania więcej informacji o swoich kontaktach.

Skype for Business Preview

Update 15.04.2015

Wczoraj był “Patch tuesday” i wieczorem wyszła razem z poprawkami do Office 2013 finalna wersja Skype for Business 2015 jako aktualizacja Lynca. Niestety, pomimo tego, że domyślnie przy pierwszy uruchomieniu pojawia się Skype for Business, to potem dla serwera Lync 2013 przełącza na wygląd zgodny z Lync 2013. Jednak po zmianie klucza w rejestrze EnableSkypeUI (opisanego poniżej) z wartością 01 00 00 00, interface przełącza się na S4B. Dla osób, które usypiają komputer zamiast go wyłączać, na dwa tygodnie takie obejście powinno starczyć

W prezentacji na temat zmian wyglądu interface’u dokładnie opisano możliwości zmian i zależności od wersji serwerowej Lynca/S4B.

-----------------------------------------------------------------------------------------------------

Chociaż mogę testować nową wersję Lynca. czyli Skype for Business (SfB) już od kilku miesięcy, to dopiero od momentu ukazania się publicznej wersji Preview można o nim mówić i pisać. Pojawienie się publicznej wersji Preview umożliwiło również przystąpienie do testowania SfB na szerszą skalę. Interface jest zmieniony dosyć znacząco od strony wizualnej, jak widać na rysunku poniżej, ale jak na razie (z serwerem Lync 2013) funkcjonalność jest prawie taka sama.

Ciekawie listę zmian opisuje na swoim blogu Matt Landis, więc nie będę powtarzał szczegółów, warto może jednak posumować:

• Dostępna jest pełna lista emoticonów, dostępnych w Skype
• Okno “Call Control”, które pojawia się, kiedy S4B nie jest aktywnym programem:
• Call Quality Feedback after Lync media call
• Lokalizacja na ekranie okna alertu o nadchodzącej rozmowie może być dowolnie ustawiana.
• Call transfer jest łatwo dostępny i może być realizowany jednym kliknięciem (przy połączeniu z linii miejskiej, z numeru niepowiązanego z kontaktami SfB). Przy połączeniu od kontaktu, dodatkowo trzeba kliknąć w przycisk “Call Control”

Dobrze jest zainstalować lutowy pakiet poprawek do serwera Lync 2013, który poprawia współpracę, a ponadto pozwala wymusić użycie starego interface’u, co na pewno może być istotne dla osób, które nie lubią zbyt gwałtownych zmian.

Po zainstalowaniu pakietu. w polisie użytkownika pojawi się dodatkowa opcja – “EnableSkypeUI”, z domyślną wartością $null, jak widać na poniższym rysunku. Oczywiście możemy ustawić wartość $true, co nic nie zmieni – nadal klient Skybe for Business będzie prezentował się jak powyżej - obie wartości domyślne pozwalają na pokazanie nowego interface’u SfB.

Jednak możemy tą wartośc ustawić na $false, co będzie skutkowało wyświetleniem klienta w postaci identycznej jak w Lync 2013. Zmiana będzie widoczna po zaktualizowaniu polisy na kliencie i restarcie maszyny.

Możemy również zmodyfikować wszystkie polisy klienckie:

Get-CsClientPolicy | Set-CsClientPolicy -EnableSkypeUI $false

Zmianę tę możemy również wymusić na kliencie poprzez modyfikację klucza rejestru, tworząc klucz HKEY_CURRENT_USER\Software\Microsoft\Office\Lync\EnableSkypeUI

Co ciekawe, klucz jest typu binarnego, a nie REG_DWORD, co nieco utrudnia konfigurację - EnableSkypeUI może być ustawione na wartość 01 00 00 00 (True) lub 00 00 00 00 (False).

Zachęcam do testowania, wersja finalna ma być dostępna jeszcze przez wakacjami.

Kemp Load Master za darmo?

Od kiedy Microsoft wycofał się ze sprzedaży Forefront TMG i UAG, zainteresowałem się rozwiązaniami alternatywnymi, głównie Load Balancerami Kemp Technologies, które potrafią publikować serwery Exchange, Lync i innych usług. O ich funkcjonalności pisałem wielokrotnie na blogu, wdrażając je również w wielu firmach. Od kilku dni Kemp dodatkowo wprowadził nową możliwość dla klientów, którzy potrzebują przez dłuższy czas sprawdzić funkcjonalność Load Balancerów lub w małej firmie użyć ich produkcyjnie – bezpłatną wersję bez ograniczeń czasowych. Jeżeli wydajność będzie niewystarczająca można bardzo prosto zaktualizować licencję do wersji komercyjnej. Poniżej porównanie funkcjonalne:

Feature	Free LoadMaster	Commercial LoadMaster
Deployment on all supported hypervisors(VMware, Hyper-V, KVM, Xen, Oracle VirtualBox)	Yes	Yes
Balancer Throughput License (L7)	Up to 20Mbps	Up to 10Gbps
TLS (SSL) TPS License (2K Keys)	Up to 50	Up to 12,000
Layer 4 concurrent connections	Limited only by throughput license and available memory	Up to 3,000,000
Max Servers / Virtual Clusters	1000/256	1000/1000
TMG Replacement	Yes	Yes
GSLB Multi-Site Load Balancing	Yes	Yes
Support	Community	Up to 24 x 7 available
Layer 4/7 Load Balancing	Yes	Yes
Web Application Firewall Pack (AFP)	Yes	Yes – option to include commercial ruleset
Content Switching	Yes	Yes
Caching, Compression Engine	Yes	Yes
IPS (SNORT-Rules compatible)	Yes	Yes
L7 Cookie Persistence (Active/Passive)	Yes	Yes
Optimized templates for all major application workloads	Yes	Yes
Active/Hot-standby Redundant Operation	No	Yes
Edge Security Pack(TMG Replacement)- Pre-Authentication- Single Sign On- Persistent Logging	Yes	Yes
IPSec Tunnels	Yes	Yes
Licensing Mechanism	Online (Call home every 30 days to refresh)	Online and Offline

Wersja bezpłatna co 30 dni automatycznie aktualizuje licencję. Wystarczy tylko pobrać obraz maszyny wirtualnej, założyć sobie konto na stronie Kempa (KempID) i aktywować licencję online.

BToE raz jeszcze

Latem zeszłego roku napisałem post o funkcjonalności Better Together Over Ethernet w telefonach Audiocodes serii 400 (czyli sterowaniem z desktopowego klienta Lynca sprzętowym telefonem lyncowym). Od tego czasu zarówno klient Windows jak firmware telefonów został kilkukrotnie zaktualizowany i pracuje dużo lepiej i stabilniej. Aktualna wersja aplikacji desktopowej ma numerek 1.0.3, a wersja firmware dla wszystkich modeli linii 400, która wspiera BToE – 2.0.9.65.

Jednak nie tylko Audiocodes nie próżnowało. Finalną wersję analogicznego oprogramowania udostępnił klientom również SNOM. Miałem o nim napisać na jesieni, jednak duża ilość projektów, które wtedy realizowałem nieco przesunęła termin publikacji. Z drugiej strony, podobnie jak w przypadku Audiocodesa od tego czasu producent wprowadził szereg poprawek i usprawnień podnosząc jakość produktu. Aktualna wersja oprogramowania SNOM składa się z klienta desktopowego (wersja 1.1.19 – dostępna wersja 32 bity oraz 64 bity) oraz nowej generacji firmware – aktualna wersja to 8.8.3.27 (tylko dla linii 700). Co ciekawe, najprostszy model certyfikowany dla Lynca (710) nie wspiera BToE, zamiast tego wprowadzono model 715, który obsługuje tę funkcjonalność. Jednak formalnie proces certyfikacji jeszcze nie został zakończony, więc nie widać go na liście telefonów oficjalnie kwalifikowanych dla Lynca.

Jak to działa? Koncepcja połączenia telefonu z komputerem jest nieco inna niż w przypadku telefonów Audiocodes, jednak w większości przypadków konfiguracja jest stosunkowo prosta i intuicyjna. Pierwszym krokiem jest zaktualizowanie oprogramowania na telefonie - można to zrealizować poprzez pulę Lyncową – SNOM udostępnia firmware dla swoich telefonów w postaci dystrybuowanej przez usługę Device Update Lynca. Po aktualizacji firmware w menu telefonu pojawi się dodatkowa pozycja – 7 - UC Menu.

Po wejściu w menu widać opcje specyficzne dla współpracy ze środowiskiem Lync, a w tym wypadku najważniejsza jest opcja 1 – Better Together.

Teraz można przejść do opcji parowania – możemy podać albo pełną nazwę komputera (FQDN) albo adres IP naszego komputera (opcja 3 lub 2).

Teraz możemy sprawdzić ustawienia (opcja 4 – Information).

Telefon pokazuje status niesparowany (niestety całe menu nie zostało przetłumaczone), zapisany adres IP oraz domyślny port komunikacyjny (w przypadku firewalla na stacji roboczej powinniśmy utworzyć regułę dla portu 7005).

Po zainstalowaniu klienta desktopowego i jego uruchomieniu pozostaje nam wybranie z menu Better Together na telefonie opcji 1 - Pair Now. Po chwili zestawiania połączenia, aplikacja kliencka (niebieski znaczek na pasku statusu Windows) pokaże status połączenia z konkretnym telefonem, który po restarcie komputera powinien zostać automatycznie nawiązany.

Jedyną drobną niedogodnością jest fakt, że przy pierwszym połączeniu w Lyncu pojawi się dodatkowe okno logowania (Lync automatycznie wykryje telefon dzięki specjalnemu sterownikowi USB). Teraz uzyskamy funkcjonalność zestawiania z telefonu połączeń wybieranych z Lynca na desktopie. Oczywiście możemy znaleźć kontakt poprzez Address Book Service z menu telefonu albo przypisać go na stałe do jednego z przycisków szybkiego wybierania (wtedy dodatkowo będzie nam się wyświetlał status kontaktu – wolny/zajęty/nieaktywny, co zresztą widać na powyższych zdjęciach), jednak dla wielu osób dużo szybsze i wygodniejsze jest użycie do tego Lynca/Outlooka i skorzystanie z integracji BToE.

Polycom dostarcza analogiczne rozwiązanie dla telefonów z linii VVX, jednak nie do końca udało mi się udokumentować testy i nie chciałbym być tendencyjny, twierdząc, że problemy z nimi związane leżą po stronie sprzętu.

Nietypowy certyfikat dla puli Lyncowej

Niedawno miałem ciekawy problem (LS Protocol Stack event 14501 i 14428), dotyczący koegzystencji serwerów Lync z infrastrukturą Cisco CUCM/VCS. Pomimo faktu wygenerowania certyfikatów przez ten sam wewnętrzny urząd połączenia TLS pomiędzy serwerami zgłaszały błędy. Znalazłem w sieci podobny przypadek, jednak przygotowanie certyfikatu dla takiego scenariusza (domyślnie certyfikat serwera Lync jest konfigurowany tylko dla certyfikacji serwerowej (OID 1.3.6.1.5.5.7.3.1), a w tym wypadku jest wymagana dodatkowo certyfikacja kliencka (OID 1.3.6.1.5.5.7.3.2). Jak to zrobić najprościej? Domyślne metody nie pozwalają na taką operację – ani kreator certyfikatów z Lync Deployment Wizarda ani tym bardziej zawarty w IIS, formatka webowa urzędu certyfikacyjnego również nie pozwala na utworzenie takiego certyfikatu. Jednak narzędzia linii komend certreq/certutil mają bogate możlwości, które nam to ułatwią. W tym celu musimy sobie przygotować plik inf, zgodnie z artykułem “How to request a certificate with a Custom SAN”. Pik powinien zawierać wpisy jak poniżej:

[Version]
Signature="$Windows NT$"

[NewRequest]
Subject = "CN=lync.pepug.org"  
Exportable = TRUE                   ; Private key is exportable
KeyLength = 2048                    ; Common key sizes: 512, 1024, 2048, 4096, 8192, 16384
KeySpec = 1                         ; AT_KEYEXCHANGE
KeyUsage = 0xA0                     ; Digital Signature, Key Encipherment
MachineKeySet = True                ; The key belongs to the local computer account
ProviderName = "Microsoft RSA SChannel Cryptographic Provider"
ProviderType = 12
RequestType = CMC

[EnhancedKeyUsageExtension]
OID=1.3.6.1.5.5.7.3.1 ;Server Authentication
OID=1.3.6.1.5.5.7.3.2 ;Client Authentication

[Extensions]
2.5.29.17 = "{text}"
_continue_ = "dns=lync.pepug.org&"
_continue_ = "dns=fe1.lab.pepug.org&"
_continue_ = "dns=fe2.lab.pepug.org&"
_continue_ = "dns=lsweb.pepug.org&"
_continue_ = "dns=lyncdiscover.pepug.org&"
_continue_ = "dns=lyncdiscoverinternal.pepug.org&"
_continue_ = "dns=dialin.pepug.org&"
_continue_ = "dns=meet.pepug.org&"
_continue_ = "dns=sip.pepug.org"

[RequestAttributes]
CertificateTemplate = WebServer1

Dwa słowa komentarza – w sekcji EnhancedKeyUsageExtension wskazujemy, że ma być obsługiwana zarówno opcja Server jak i client Authentication. Ponieważ chcemy certyfikat zainstalować na kilku serwerach w puli, więc wybieramy opcję zezwolenia na eksport klucza prywatnego. W sekcji RequestAttributes wskazujemy wykorzystywany w naszej firmie szablon tworzenia certyfikatu, jednak najciekawszy zapis zawiera sekcja Extensions – ponieważ certyfikat serwera Lync musi zawierać zarówno nazwy hostów jak i szereg innych nazw wykorzystywanych przez Lynca, więc wykorzystujemy specyficzny zapis z użyciem konkretnego identyfikatora dla certyfikatów SAN (zapis działa począwszy od Windows 2008).

Wygląda to trochę nietypowo, ale działa. Teraz tylko pozostaje utworzenie certyfikatu z użyciem narzędzia certreq:

Na jednym z serwerów wykonujemy komendę:

certreq –new certLync.inf certLync.req

Następnie po skopiowaniu pliku (ewentualnie zdalnie, jeżeli jest taka możliwość) na serwer z urzędem certyfikacji generujemy certyfikat:

certreq –submit certLync.req certLync.cer

Teraz pozostaje tylko zainstalowanie certyfikatu:

certreq -accept certLync.cer

i przypisanie go do usług serwera FrontEndowego (no i po wyeksportowaniu do pfx-a instalacja na drugim serwerze w puli).

Po restarcie usług komunikacja pomiędzy systemami zaczyna działać poprawnie.

Zmiany w certyfikatach publicznych

Kiedy Microsoft ogłosił w drugiej połowie zeszłego roku koniec wsparcia dla certyfikatów wykorzystujących SHA-1 z dniem 1.01.2017, wydawało się to terminem odległym. Jednak Google już od listopada 2014 zaktualizował przeglądarkę Chrome, tak żeby wyświetlała ostrzeżenia dla certyfikatów z SHA-1, wygasających w 2017 roku i stopniowo takie obostrzenia będą się powiększać. Co zatem należy zrobić? Przejść na certyfikaty wykorzystujące SHA-2 (przeważnie jest to SHA-256). Na pozór nic prostszego. Jednak odnowienie certyfikatów do Exchange u kilku klientów w ostatnich dniach pokazało mi, że dostawcy już taką zmianę realizują – nowe certyfikaty, m. in GoDaddy czy też RapidSSL przychodzą ze zmodyfikowaną wersją algorytmów. Co ciekawe, w przypadku zaleceń dla serwerów Exchange zarówno kreator jak i cmdlet generujący nowy wniosek o certyfikat używają domyślnie (i nie ma możliwości tego zmienić) SHA-1. Mam nadzieję, że zespół Exchange wkrótce się obudzi i zostanie to poprawione w kolejnych wersjach (w tym kwartale powinien być dostępny kolejny Cummulative Update). Jak na razie rozwiązanie jest proste, chociaż nie tak oczywiste.

Mając stary certyfikat podpisany SHA-1, dostajemy po wniesieniu opłaty nowy certyfikat wygenerowany przez dostawcę, zgodnie z danymi firmy. Jednak jego standardowy import na serwer z poziomu narzędzi Exchange lub konsoli IIS nie podłącza go do klucza prywatnego.

Stosujemy zatem obejście opisane w artykule bazie wiedzy Microsoft KB889651 lub na serwisach dostawców certyfikatów.

Czyli po sprawdzeniu numeru seryjnego certyfikatu wykonujemy komendę:

certutil –repairstore my <serial number>

Certyfikat został podpięty do klucza prywatnego, teraz możemy podłączyć usługi Exchange, Lynca czy dowolne inne.

Konferencja Exchange/Lync/System Center

Już za tydzień APN Promise organizuje konferencję w Warszawie, która podobnie jak zeszłoroczny PreMTS koncentruje się na zagadnieniach z rodziny Unified Communication i System Center, ze szczególnym uwzględnieniem chmury publicznej (Office365 i Azure) oraz modelu hybrydowego.

Ja będę opowiadać o integracji funkcji głosowych dla Lync Online, Load Balancerach Kemp w Azure oraz narzędziach migracyjnych do Exchange. Serdecznie zapraszam 6 listopada do Millenium Plaza przy placu Zawiszy w Warszawie.

Poprawki do Exchange i Lynca

Zaledwie 10 dni temu zespół Lyncowy wydał najnowszą porcję poprawek dla serwera Lync 2013, a kilka dni później dla telefonów sprzętowych:

Product	Version	Download
Lync Phone Edition (for Aastra 6721ip and Aastra 6725ip)	4.0.7577.4451	2988177
Lync Phone Edition (for HP 4110 and HP 4120)	4.0.7577.4451	2988178
Lync Phone Edition (for Polycom CX500, Polycom CX600, and Polycom CX3000)	4.0.7577.4451	2988181
Lync Phone Edition for Polycom CX700 and LG-Nortel IP Phone 8540	4.0.7577.4451	2988182

Dzisiaj zespół Exchange wydał poprawki dla wszystkich wspieranych wersji Exchange:

• Exchange 2013 CU6. Opis wszystkich poprawek można znaleźć tutaj, warto wspomnieć o poprawce dla kreatora konfiguracji hybrydowej (błąd opisany w artykule KB2988229 oraz znaczących usprawnieniach w skalowalności folderów publicznych, o czym zamieszczono osobny artykuł na blogu zespołu produktowego. Warto pamiętać o odpowiednich uprawnieniach, bo CU6, podobnie jak poprzednie pakiety rozszerzają schemat AD.
• Exchange 2010 SP3 Rollup 7. To ostatni pakiet poprawek klienckich dla Exchange 2010 (przynajmniej tak na razie twierdzi zespół produktowy).
• Exchange 2007 SP3 Rollup 14.

Lync leaderem UC wg Gartnera

Gartner opublikował magiczny kwadrat Unified Communications. Lync po raz kolejny jest leaderem w zakresie Unified Communications.

Współpraca telefonów Audiocodes serii 400 z Lync–“Better Together”

Coraz więcej producentów telefonów IP dla Lynca wprowadza możliwość współpracy telefonu ze stacjonarnym klientem – zarówno Lync 2010 jak i Lync 2013 i to nie tylko po kalblu USB, ale również bezpośrednio po sieci IP. W zeszłym roku takie funkcjonalności ogłosił zarówno Polycom jak i SNOM, o czym pisał na swoim blogu Matt Landis - http://windowspbx.blogspot.com/2013/07/how-will-lync-enhanced-better-together.html. Kilka miesięcy temu, na konferencji Lyncowej Audiocodes ogłosił uruchomienie wersji Beta swojej wersji integracji dla telefonów z serii 400HD - http://windowspbx.blogspot.com/2014/03/an-update-on-audiocodes-440hd-430hd.html?vsmaid=184. A dosłownie kilka dni temu pojawiła się finalna wersja firmware dla telefonów i aplikacji dla komputerów, przeznaczonych dla Lynca do współpracy z klientem stacjonarnym. Jak tego użyć?

Po pierwsze trzeba zaktualizować firmware w telefonie. Telefony audiocodes mają bardzo przyjemny i przyjazny interface webowy (podobny do tego na bramkach z linii Mediant), przez który można wejść i ręcznie zaktualizować firmware, jak widać na rysunku poniżej.

Tutaj od razu uwaga – logowanie przez przeglądarkę działa domyślnie na zalogowanego na telefonie usera (czyli np. jak mój SAMAccountName jest konrad, to muszę się zalogować przez przeglądarkę jako użytkownik konrad, z hasłem domenowym). Żeby zalogować się przez przeglądarkę na konto administratora (domyślnie admin i hasło 1234) trzeba się wylogować z telefonu. Niezbyt oczywiste, prawda?

Po aktualizacji firmware do wersji 2.0.5, na wyświetlaczu telefonu pojawia się dodatkowa opcja – BToE (czyli Better Together over Ethernet).

Po wybraniu tej opcji pojawi nam się kod niezbędny dla sparowania telefonu z aplikacją na komputerze:

Będzie to nam potrzebne za chwilę. Teraz instalujemy na komputerze aplikację, łączącą klienta Lyncowego z telefonem - AudioCodes Better2Gether 0.0.0.6.exe. Instalacja jest prosta – wystarczy kliknąć w plik i kilkakrotnie potwierdzić Next. Wersja beta nie chciała się instalować na Windows 8/8.1, wersja finalna na szczęście działa. Ważną kwestią, która potwierdza prawidłowe zainstalowanie aplikacji jest dodanie sterownika USB do urządzeń systemowych (rysunek poniżej).

Oprócz tego pojawi nam się na taskbarze ikonka aplikacji.

Teraz pozostaje drobiazg – sparowanie aplikacji z telefonem. W tym celu należy wybrać z meny kontekstowego opcję Enter Pair Code… i wpisać kod, który odczytaliśmy z wyświetlacza telefonu.

W tym momencie (jeżeli wszystko poszło poprawnie) zobaczymy, że instaluje nam się sterownik audio, a ikonka aplikacji zmienia kolor, zmieni nam się również układ w menu kontekstowym:

W tym momencie również na liście urządzeń, dostępnych w kliencie Lync pojawia nam się dodatkowa pozycja

Teraz po podniesieniu słuchawki telefonu i wybraniu połączenia z klienta na komputerze, rozmowa zostanie uruchomiona z telefonu. Proste, prawda?

Wymuszenie webowego udziału w konferencjach Lyncowych

Jednym z problemów, z jakim możemy się spotkać organizując lub biorąc udział w konferencjach webowych na platformie Lync Server 2013, jest wymuszanie połączenia przez Lynca, którego mamy zainstalowanego w systemie. Niby drobiazg, ale jeżeli ktoś zainstalował sobie Office 2013 Pro Plus na domyślnych ustawieniach, albo co gorsza zrobił to za niego ktoś z wyższymi uprawnieniami, a nie ma skonfigurowanego konta na serwerze Lyncowym lub nie jest on wdrożony w naszej firmie, to kiedy klikniemy w link z zaproszeniem na spotkanie, zostanie automatycznie otwarty Lync, próbując podłączyć nas do konferencji. Niestety Lync 2013 nie posiada opcji pracy anonimowej, więc bez zalogowania się do serwera Lync, połączenie nie zostanie nawiązane, nie zostawiając nam ścieżki alternatywnej

Sam w ostatnich dniach znalazłem się w podobnej sytuacji – po “zwisie” komputera i twardym restarcie uszkodzony został folder magazynu certyfikatów osobistych. Przez kilka dni próbowałem znaleźć rozwiązanie, ale problem był nieoczywisty, nie pokazujący sensownych błędów w logach i skutkował wyłącznie problemem z uruchomieniem Lynca 2013 (zarówno wersji pełnej jak i Basic). Dopiero serwis Microsoft i PFE, do którego zwróciłem się z prośbą o pomoc, znalazł źródło problemu.

Przy okazji pokazał mi ciekawy trick, o którym nie wiedziałem – jeżeli chcemy podłączyć się do konferencji Lync Server klientem webowym, zamiast zainstalowaną w systemie pełną wersją Lynca, wystarczy dodać do odnośnika, który dostaliśmy w mailu z zaproszeniem na spotkanie frazę ?sl=1 ->

Czyli np. zamiast https://meet.lync.com/pepug365/ziembor/0M9J2OL1 łączymy się z adresem https://meet.lync.com/pepug365/ziembor/0M9J2OL1?sl=1.

Zamiast próbować otworzyć połączenie do konferencji w Lyncu, od razu otworzy się połączenie do strony webowej konferencji, na której możemy się zalogować, używając naszego konta, ale możemy również połączyć się po prostu podając identyfikator, którego system nie będzie weryfikować:

Trick działa zarówno w konferencjach organizowanych z użyciem Office365 (rysunek powyżej) jak w wersji on-premises (poniżej). W tym drugim wypadku nadal możemy kliknąc w link pozwalający nawiązaniu połączenia z użyciem desktopowego Lynca.

Niby drobiazg a przydatny.

Publiczne certyfikaty dla Lync Servera

Dawno nie zaglądałem do artykułu http://support.microsoft.com/kb/929395/en-us, który wymienia urzędy certyfikacyjne, które są zalecane dla usług Unified Communications. Przez bardzo długi czas były na liście dostępne tylko 3 certyfikaty (z chwilowym pobytem urzędu GoDaddy), ale jak widać w aktualizacji dokumentu z września 2013, urzędów jest teraz aż osiem. Warto o tym pamiętać, zwłaszcza pod kątem problemów z konfiguracją wymaganego do publikacji prezentacji powerpointowych certyfikatu dla serwera Office Web App Server (nie działa poprawnie z certyfikatem wiildcardowym), więc optymalne jest użycie na serwerze WAS certyfikatu z urzędu wewnętrznego, schowanie serwera WAS za Reverse Proxy (np. sprzętowym Load Balancerem) i tam opublikowanie certyfikatu zawierającego wszystkie nazwy, zalecane przez Microsoft w dokumentacji - Request and Configure a Certificate for Your Reverse HTTP Proxy.

Zalecane przez Microsoft dla serwerów Lync urzędy certyfikacyjne :

• Entrust http://www.entrust.net/microsoft/ 
• Comodo http://www.comodo.com/msexchange 
• DigiCert http://www.digicert.com/unified-communications-ssl-tls.htm 
• GlobalSign http://www.globalsign.com/ssl/buy-ssl-certificates/unified-communications-ssl/ 
• WISeKey http://www.wisekey.com/en/Products/digital-identities/Pages/ssl-solutions.aspx 
• GeoTrust http://www.geotrust.com/ssl/ssl-certificates-san-uc/ 
• Thawte http://www.thawte.com/ssl/san-uc-ssl-certificates/index.html 
• Symantec (czyli VeriSign)
  https://www.symantec.com/theme.jsp?themeid=san-ssl-certificates

Lync Room System

Już na najbliższym spotkaniu PEPUG zobaczymy nowości sprzętowe w Lyncu.2013 – w szczególności Lync Room System. Co to jest i jak to działa?

Dotychczas najbardziej znanym rozwiązaniem dla Lync Server (a wcześniej również dla OCS-a) do konferencji wideo był RoundTable, czyli kamera dookólna, którą stawiało się na stole w pokoju konferencyjnym tak, żeby wszystkie osoby siedzące przy stole konferencyjnym były widoczne dla rozmówców w innych lokalizacjach, połączonych w ramach wideokonferencji. Oprócz kilku ciekawych reklam, można było znaleźć Round Table nawet w tak znaych produkcjach jak CSI:New York. Początkowo produkowane przez Microsoft szybko zostało włączone do oferty firmy Polycom jako CX5000, od niedawna dostępne również w wersji HD. Jednak to rozwiązanie nie miało dołączonego odpowiedniego wyświetlacza, co zmuszało użytkowników do samodzielnego szukania i dobierania telewizorów.

Lync Room System to właśnie rozwiązanie sprzętowe, składające się z kamery, panelu wyświetlającego oraz konsoli administracyjnej w formie tabletu z niezbędnymi dodatkami (na poniższym rysunku widać Room System z oferty jednego z dostawców – firmy Smart. Urządzenia konfiguruje się do współpracy z istniejącą infrastrukturą Lync Server 2013, co jest opisane w Deployment Guide, dostępnym na stronie Microsoftu.

Jak na razie, rozwiązanie to jest dostarczane przez dwóch producentów (poniższa tabela), ale już za chwilę pojawi się w sprzedaży również zestaw firmy Polycom.

Dostawca	Creston	Smart
Dostępne modele	Single 65” display	Single 70” display
	Dual 65” display	Single 84” display
		Dual 70” display
Infrormacja producenta	http://www.crestron.com/RL/	http://www.smarttech.com/SMARTroom

Lync Room System zapewnia klienta Lync, dopasowanego do sal konferencyjnych, który jednak musi być skonfigurowany w specyficzny sposób. Ciekawie proces ten opisali dwaj specjaliści – Aaron Steele oraz Brian Ricks w prezentacji na stronie MVA. Co ciekawe, Lync Room System współpracuje zarówno z serwerami Lync on-premises, jak również w ramach usługi Office 365. Jest również dostępny Management Pack do monitorowania działania tego rozwiazania.

Styczniowe poprawki dla serwerów i klientów Lynca

Wczoraj Microsoft opublikował aktualizacje dla większości produktów z linii Lynca, łącznie z klientami, dodatkowymi narzędziami i oprogramowaniem dla telefonów:

Produkt	Wersja	Artykuł KB z linkiem do pobrania
Lync Server 2013	5.0.8308.577	2809243
Lync Server 2013 Debugging Tools	5.0.8308.577	2905051
Lync Server 2013 Resource Kit Tools	5.0.8308.577	2905053
Lync 2010 (64bit client)	4.0.7577.4419	2912208
Lync 2010 (32bit client)	4.0.7577.4419	2912208
Lync Server 2010	4.0.7577.225	2493736
Lync Phone Edition (for Aastra 6721ip and Aastra 6725ip)	4.0.7577.4420	2918033
Lync Phone Edition (for HP 4110 and HP 4120)	4.0.7577.4420	2918035
Lync Phone Edition (for Polycom CX500, Polycom CX600, and Polycom CX3000)	4.0.7577.4420	2918038
Lync Phone Edition (for Polycom CX700 and LG-Nortel IP Phone 8540)	4.0.7577.4420	2889244

Październikowe poprawki dla Lynca

Warto pamiętać o październikowych poprawkach dla serwera Lync, zarówno w wersji 2010 jak i 2013, a także dla telefonów LPE (build 4.0.7577.4411). Należy pamiętać po zaktualizowaniu serwera, że niezbędna jest aktualizacja struktur bazodanowych, zgodnie z treścią odpowiedniego artykułu. Co ciekawe, poprawka ta jest niezbędna, gdybyśmy chcieli uruchomić serwer Lync 2013 na Windows Server 2012R2.

Konferencja preMTS – 21 października w Warszawie

Ruszyła właśnie rejestracja na konferencję preMTS – spotkanie organizowane przez APN Promise przy współpracy Microsoft, Kempa, Veeama i Ciresona. Duża konferencja, jaką jest MTS to dobry pretekst, żeby spotkać się i porozmawiać na temat trochę zapomnianych w głównym nurcie MTS-u technologii.

Udało mi się namówić kilkoro świetnych specjalistów – znanych ze spotkań PEPUG i wcześniejszych konferencji MTS, jak i trochę mniej znanych (ale z dużym doświadczeniem), do podzielenia się wiedzą na temat wdrażania produktów takich jak Exchange 2013, Lync 2013, SCOM 2012, SCCM 2012 i SCSM 2012. Powiemy również o produktach powiązanych z aplikacjami Microsoftu – urządzeniach (telefony, Load Balancery) i oprogramowaniu innych dostawców rozszerzających funkcjonalność tych produktów. Serdecznie zapraszam na konferencję.