Kolejne pakiety poprawek do Exchange

Kilka dni temu pojawiła się poprawka bezpieczeństwa do Exchange 2013 CU9, a od dzisiaj dostępny jest pakiet Cumulative Update 10 dla Exchange Server 2013, oczywiście raze z zaktualizowanymi pakieta UM Language Packs. Jak co kwartał równolegle pojawiła się paczka Exchange Server 2010 Service Pack 3 Update Rollup 11 (KB3078674). Tym razem aktualizacji dla Exchange 2007 już nie było. Dużymi krokmi zbliża się premiera Office 2016 i nowej wersji serwera Exchange 2016, do którego migracja z wersji 2007 nie jest już wspierana. Więcej informacji na blogu zespołu produktowego.

BToE – inne spojrzenie (Yealink)

Jak prezentował niedawno na spotkaniu PEPUG Marcin Wikieł, liczba telefonów współpracujących z Lyncem stopniowo rośnie. Tym razem miałem możliwość testowania telefonu YealinkT48G, który właśnie uzyskał status kwalifikowanego dla Lynca 2013 ze wsparciem dla Skype for Business, razem z modelem T22P. Oczywiście użycie telefonu Yealink w organizacji Lyncowej wymaga dedykowanego firmware (aktualna wersja 35.7.0.35). Niestety na stronie publicznej supportu nie jest on jeszcze dostępny, ale dzięki wsparciu dystrybutora Acnet, udało mi się go uzyskać. Wymagane jest również wgranie odpowiedniej licencji na telefon. Podobnie jak SNOM czy Audiocodes, telefony Yealink mają możliwość zarządzania przez stronę webową, gdzie w wygodny sposób można zaktualizować zarówno firmware jak i licencję, jak pokazuje poniższy rysunek. Co ciekawe, interface dostępny jest również po polsku.

Po zaktualizowaniu frmware telefonu do wersji Lync i odpowiedniej licencji (docelowo telefony Yealink mogą być dostarczane z odpowiednią licencją i oprogramowaniem), pojawia się możliwość zalogowania przy pomocy rozszerzenia numeru i PIN-u, tak jak na innych telefonach sprzętowych dla środowiska Lync 2013.

Po zalogowaniu pojawia się ekran ogólny, na którym jednak widać od razu w prawym górnym roku informacje o zalogowanym użytkowniku.

Po przejściu do ulubionych zobaczymy nasze lyncowe kontakty z grupy ulubionych, co pokazuje poniższy rysunek. Jeżeli kontakt ma dodane zdjęcie, to jest ono widoczne również na telefonie.

Kolejna zakładka pokazuje historię połączeń, zarówno odebranych jak i nieodebranych.

W zakładce kontaktów zobaczymy grupy kontaktów, w takim układzie jak ustawiliśmy sobie w Lyncu. Ciekawą opcją jest możliwość integracji z Lyncem/SfB na naszym komputerze – podobnie jak w przypadku wcześniej testowanych przeze mnie telefonów – Better Together over Ethernet. Po zainstalowaniu niewielkiego dodatku Yealink BToE Connector for Lync(aktualna wersja 2.0.13.0) i uruchomieniu aplikacji następuje proces parowania z telefonem. Najprościej podać adres IP telefonu i wcisnąć przycisk “Pair”.

Po chwili aplikacja schowa się w pasku zadań, pokazując status sparowania jak widać na poniższym rysunku.

Telefon pojawi się również jako domyślna słuchawka na liście urządzeń Lynca/SfB.

Testy przebiegły pomyślnie, telefon działa fajnie. Kolejna interesujaca alternatywa, zwłaszcza dla osób/firm, które lubią kolorowe wyświetlacze i możliwość wyświetlania więcej informacji o swoich kontaktach.

Skype for Business Preview

Update 15.04.2015

Wczoraj był “Patch tuesday” i wieczorem wyszła razem z poprawkami do Office 2013 finalna wersja Skype for Business 2015 jako aktualizacja Lynca. Niestety, pomimo tego, że domyślnie przy pierwszy uruchomieniu pojawia się Skype for Business, to potem dla serwera Lync 2013 przełącza na wygląd zgodny z Lync 2013. Jednak po zmianie klucza w rejestrze EnableSkypeUI (opisanego poniżej) z wartością 01 00 00 00, interface przełącza się na S4B. Dla osób, które usypiają komputer zamiast go wyłączać, na dwa tygodnie takie obejście powinno starczyć

W prezentacji na temat zmian wyglądu interface’u dokładnie opisano możliwości zmian i zależności od wersji serwerowej Lynca/S4B.

-----------------------------------------------------------------------------------------------------

Chociaż mogę testować nową wersję Lynca. czyli Skype for Business (SfB) już od kilku miesięcy, to dopiero od momentu ukazania się publicznej wersji Preview można o nim mówić i pisać. Pojawienie się publicznej wersji Preview umożliwiło również przystąpienie do testowania SfB na szerszą skalę. Interface jest zmieniony dosyć znacząco od strony wizualnej, jak widać na rysunku poniżej, ale jak na razie (z serwerem Lync 2013) funkcjonalność jest prawie taka sama.

Ciekawie listę zmian opisuje na swoim blogu Matt Landis, więc nie będę powtarzał szczegółów, warto może jednak posumować:

• Dostępna jest pełna lista emoticonów, dostępnych w Skype
• Okno “Call Control”, które pojawia się, kiedy S4B nie jest aktywnym programem:
• Call Quality Feedback after Lync media call
• Lokalizacja na ekranie okna alertu o nadchodzącej rozmowie może być dowolnie ustawiana.
• Call transfer jest łatwo dostępny i może być realizowany jednym kliknięciem (przy połączeniu z linii miejskiej, z numeru niepowiązanego z kontaktami SfB). Przy połączeniu od kontaktu, dodatkowo trzeba kliknąć w przycisk “Call Control”

Dobrze jest zainstalować lutowy pakiet poprawek do serwera Lync 2013, który poprawia współpracę, a ponadto pozwala wymusić użycie starego interface’u, co na pewno może być istotne dla osób, które nie lubią zbyt gwałtownych zmian.

Po zainstalowaniu pakietu. w polisie użytkownika pojawi się dodatkowa opcja – “EnableSkypeUI”, z domyślną wartością $null, jak widać na poniższym rysunku. Oczywiście możemy ustawić wartość $true, co nic nie zmieni – nadal klient Skybe for Business będzie prezentował się jak powyżej - obie wartości domyślne pozwalają na pokazanie nowego interface’u SfB.

Jednak możemy tą wartośc ustawić na $false, co będzie skutkowało wyświetleniem klienta w postaci identycznej jak w Lync 2013. Zmiana będzie widoczna po zaktualizowaniu polisy na kliencie i restarcie maszyny.

Możemy również zmodyfikować wszystkie polisy klienckie:

Get-CsClientPolicy | Set-CsClientPolicy -EnableSkypeUI $false

Zmianę tę możemy również wymusić na kliencie poprzez modyfikację klucza rejestru, tworząc klucz HKEY_CURRENT_USER\Software\Microsoft\Office\Lync\EnableSkypeUI

Co ciekawe, klucz jest typu binarnego, a nie REG_DWORD, co nieco utrudnia konfigurację - EnableSkypeUI może być ustawione na wartość 01 00 00 00 (True) lub 00 00 00 00 (False).

Zachęcam do testowania, wersja finalna ma być dostępna jeszcze przez wakacjami.

Kemp Load Master za darmo?

Od kiedy Microsoft wycofał się ze sprzedaży Forefront TMG i UAG, zainteresowałem się rozwiązaniami alternatywnymi, głównie Load Balancerami Kemp Technologies, które potrafią publikować serwery Exchange, Lync i innych usług. O ich funkcjonalności pisałem wielokrotnie na blogu, wdrażając je również w wielu firmach. Od kilku dni Kemp dodatkowo wprowadził nową możliwość dla klientów, którzy potrzebują przez dłuższy czas sprawdzić funkcjonalność Load Balancerów lub w małej firmie użyć ich produkcyjnie – bezpłatną wersję bez ograniczeń czasowych. Jeżeli wydajność będzie niewystarczająca można bardzo prosto zaktualizować licencję do wersji komercyjnej. Poniżej porównanie funkcjonalne:

Feature	Free LoadMaster	Commercial LoadMaster
Deployment on all supported hypervisors(VMware, Hyper-V, KVM, Xen, Oracle VirtualBox)	Yes	Yes
Balancer Throughput License (L7)	Up to 20Mbps	Up to 10Gbps
TLS (SSL) TPS License (2K Keys)	Up to 50	Up to 12,000
Layer 4 concurrent connections	Limited only by throughput license and available memory	Up to 3,000,000
Max Servers / Virtual Clusters	1000/256	1000/1000
TMG Replacement	Yes	Yes
GSLB Multi-Site Load Balancing	Yes	Yes
Support	Community	Up to 24 x 7 available
Layer 4/7 Load Balancing	Yes	Yes
Web Application Firewall Pack (AFP)	Yes	Yes – option to include commercial ruleset
Content Switching	Yes	Yes
Caching, Compression Engine	Yes	Yes
IPS (SNORT-Rules compatible)	Yes	Yes
L7 Cookie Persistence (Active/Passive)	Yes	Yes
Optimized templates for all major application workloads	Yes	Yes
Active/Hot-standby Redundant Operation	No	Yes
Edge Security Pack(TMG Replacement)- Pre-Authentication- Single Sign On- Persistent Logging	Yes	Yes
IPSec Tunnels	Yes	Yes
Licensing Mechanism	Online (Call home every 30 days to refresh)	Online and Offline

Wersja bezpłatna co 30 dni automatycznie aktualizuje licencję. Wystarczy tylko pobrać obraz maszyny wirtualnej, założyć sobie konto na stronie Kempa (KempID) i aktywować licencję online.

Kolejny ciekawy przypadek scripting agenta

Niedawno pisałem o wykorzystaniu extension agenta w Exchange 2013. Kolejny ciekawy przykład wykorzystania rozszerzenia scripting agenta można znaleźć na blogu PFE. Jeżeli chcemy monitorować zmiany uprawnień na skrzynkach bardzo ważnych osób w naszej firmie, wystarczy do pliku ScriptingAgentConfig.xml (tworzenie pliku opisałem we wspomnianym wcześniej poście) dodać sekcję, dodającą akcję dla cmdleta Add-MailboxPermission:

<Feature Name="EventWrite" Cmdlets="Add-MailboxPermission">

<ApiCall Name="OnComplete">

$GrantedPermissionUser = $provisioningHandler.UserSpecifiedParameters["User"]

$identity = Get-Mailbox $provisioningHandler.UserSpecifiedParameters["Identity"]

$Alias = (Get-Mailbox "$identity").alias

$AccessRights = $provisioningHandler.UserSpecifiedParameters["AccessRights"]

if ($AccessRights -eq "FullAccess")

{

if ( @("CEO_Alias","CFO_Alias","COO_Alias") -like $alias)

{

write-eventlog -logname Application -source MailboxAudit -eventID 100 -entrytype Error -message "$GrantedPermissionUser was given Full Mailbox Access to $identity's Mailbox."

}

}

</ApiCall>

</Feature>

W ten sposób dla aliasów zdefiniowanych w tablicy @("CEO_Alias","CFO_Alias","COO_Alias"), akcja poprawnie zakończonego dodania uprawnień zostanie zakończona wygenerowaniem zdarzenia w application logu o wskazanym przez nas eventId i komunikacie. Oczywiście możemy dodać inną akcję – np. wysłanie maila do oficera bezpieczeństwa.

Office 365 Summit Amsterdam

Właśnie trwa drugi i ostatni dzień Summitu poświęconego nowościom w Office 365. Zarówno nowym funkcjonalnościom Exchange, narzędziom programistycznym jak i Skype for Business, czyli nadchodzącej nowej wersji Lynca.

Ponieważ w Europie jest tylko jeden taki event, więc ludzi zjechało się całkiem sporo (jak widać na poniższym zdjęciu z Key Notes).

Mnie najbardziej zainteresowała ścieżka Skype for Business – architektura, ścieżki migracji i inne technikalia. Niestety, nie można było popracować na nowej wersji serwera, ale mam nadzieję, że już niedługo uzyskam taką możliwość. Na pewno sesje z tej tematyki pojawią się na spotkaniach PEPUG – wprowadzenie do SfB będzie prezentował Piotr Pawlik już w najbliższy czwartek. Ja też postaram się zebrać trochę przemyśleń na temat informacji zebranych na Summicie i opublikować kilka kolejnych postów.

BToE raz jeszcze

Latem zeszłego roku napisałem post o funkcjonalności Better Together Over Ethernet w telefonach Audiocodes serii 400 (czyli sterowaniem z desktopowego klienta Lynca sprzętowym telefonem lyncowym). Od tego czasu zarówno klient Windows jak firmware telefonów został kilkukrotnie zaktualizowany i pracuje dużo lepiej i stabilniej. Aktualna wersja aplikacji desktopowej ma numerek 1.0.3, a wersja firmware dla wszystkich modeli linii 400, która wspiera BToE – 2.0.9.65.

Jednak nie tylko Audiocodes nie próżnowało. Finalną wersję analogicznego oprogramowania udostępnił klientom również SNOM. Miałem o nim napisać na jesieni, jednak duża ilość projektów, które wtedy realizowałem nieco przesunęła termin publikacji. Z drugiej strony, podobnie jak w przypadku Audiocodesa od tego czasu producent wprowadził szereg poprawek i usprawnień podnosząc jakość produktu. Aktualna wersja oprogramowania SNOM składa się z klienta desktopowego (wersja 1.1.19 – dostępna wersja 32 bity oraz 64 bity) oraz nowej generacji firmware – aktualna wersja to 8.8.3.27 (tylko dla linii 700). Co ciekawe, najprostszy model certyfikowany dla Lynca (710) nie wspiera BToE, zamiast tego wprowadzono model 715, który obsługuje tę funkcjonalność. Jednak formalnie proces certyfikacji jeszcze nie został zakończony, więc nie widać go na liście telefonów oficjalnie kwalifikowanych dla Lynca.

Jak to działa? Koncepcja połączenia telefonu z komputerem jest nieco inna niż w przypadku telefonów Audiocodes, jednak w większości przypadków konfiguracja jest stosunkowo prosta i intuicyjna. Pierwszym krokiem jest zaktualizowanie oprogramowania na telefonie - można to zrealizować poprzez pulę Lyncową – SNOM udostępnia firmware dla swoich telefonów w postaci dystrybuowanej przez usługę Device Update Lynca. Po aktualizacji firmware w menu telefonu pojawi się dodatkowa pozycja – 7 - UC Menu.

Po wejściu w menu widać opcje specyficzne dla współpracy ze środowiskiem Lync, a w tym wypadku najważniejsza jest opcja 1 – Better Together.

Teraz można przejść do opcji parowania – możemy podać albo pełną nazwę komputera (FQDN) albo adres IP naszego komputera (opcja 3 lub 2).

Teraz możemy sprawdzić ustawienia (opcja 4 – Information).

Telefon pokazuje status niesparowany (niestety całe menu nie zostało przetłumaczone), zapisany adres IP oraz domyślny port komunikacyjny (w przypadku firewalla na stacji roboczej powinniśmy utworzyć regułę dla portu 7005).

Po zainstalowaniu klienta desktopowego i jego uruchomieniu pozostaje nam wybranie z menu Better Together na telefonie opcji 1 - Pair Now. Po chwili zestawiania połączenia, aplikacja kliencka (niebieski znaczek na pasku statusu Windows) pokaże status połączenia z konkretnym telefonem, który po restarcie komputera powinien zostać automatycznie nawiązany.

Jedyną drobną niedogodnością jest fakt, że przy pierwszym połączeniu w Lyncu pojawi się dodatkowe okno logowania (Lync automatycznie wykryje telefon dzięki specjalnemu sterownikowi USB). Teraz uzyskamy funkcjonalność zestawiania z telefonu połączeń wybieranych z Lynca na desktopie. Oczywiście możemy znaleźć kontakt poprzez Address Book Service z menu telefonu albo przypisać go na stałe do jednego z przycisków szybkiego wybierania (wtedy dodatkowo będzie nam się wyświetlał status kontaktu – wolny/zajęty/nieaktywny, co zresztą widać na powyższych zdjęciach), jednak dla wielu osób dużo szybsze i wygodniejsze jest użycie do tego Lynca/Outlooka i skorzystanie z integracji BToE.

Polycom dostarcza analogiczne rozwiązanie dla telefonów z linii VVX, jednak nie do końca udało mi się udokumentować testy i nie chciałbym być tendencyjny, twierdząc, że problemy z nimi związane leżą po stronie sprzętu.

Nietypowy certyfikat dla puli Lyncowej

Niedawno miałem ciekawy problem (LS Protocol Stack event 14501 i 14428), dotyczący koegzystencji serwerów Lync z infrastrukturą Cisco CUCM/VCS. Pomimo faktu wygenerowania certyfikatów przez ten sam wewnętrzny urząd połączenia TLS pomiędzy serwerami zgłaszały błędy. Znalazłem w sieci podobny przypadek, jednak przygotowanie certyfikatu dla takiego scenariusza (domyślnie certyfikat serwera Lync jest konfigurowany tylko dla certyfikacji serwerowej (OID 1.3.6.1.5.5.7.3.1), a w tym wypadku jest wymagana dodatkowo certyfikacja kliencka (OID 1.3.6.1.5.5.7.3.2). Jak to zrobić najprościej? Domyślne metody nie pozwalają na taką operację – ani kreator certyfikatów z Lync Deployment Wizarda ani tym bardziej zawarty w IIS, formatka webowa urzędu certyfikacyjnego również nie pozwala na utworzenie takiego certyfikatu. Jednak narzędzia linii komend certreq/certutil mają bogate możlwości, które nam to ułatwią. W tym celu musimy sobie przygotować plik inf, zgodnie z artykułem “How to request a certificate with a Custom SAN”. Pik powinien zawierać wpisy jak poniżej:

[Version]
Signature="$Windows NT$"

[NewRequest]
Subject = "CN=lync.pepug.org"  
Exportable = TRUE                   ; Private key is exportable
KeyLength = 2048                    ; Common key sizes: 512, 1024, 2048, 4096, 8192, 16384
KeySpec = 1                         ; AT_KEYEXCHANGE
KeyUsage = 0xA0                     ; Digital Signature, Key Encipherment
MachineKeySet = True                ; The key belongs to the local computer account
ProviderName = "Microsoft RSA SChannel Cryptographic Provider"
ProviderType = 12
RequestType = CMC

[EnhancedKeyUsageExtension]
OID=1.3.6.1.5.5.7.3.1 ;Server Authentication
OID=1.3.6.1.5.5.7.3.2 ;Client Authentication

[Extensions]
2.5.29.17 = "{text}"
_continue_ = "dns=lync.pepug.org&"
_continue_ = "dns=fe1.lab.pepug.org&"
_continue_ = "dns=fe2.lab.pepug.org&"
_continue_ = "dns=lsweb.pepug.org&"
_continue_ = "dns=lyncdiscover.pepug.org&"
_continue_ = "dns=lyncdiscoverinternal.pepug.org&"
_continue_ = "dns=dialin.pepug.org&"
_continue_ = "dns=meet.pepug.org&"
_continue_ = "dns=sip.pepug.org"

[RequestAttributes]
CertificateTemplate = WebServer1

Dwa słowa komentarza – w sekcji EnhancedKeyUsageExtension wskazujemy, że ma być obsługiwana zarówno opcja Server jak i client Authentication. Ponieważ chcemy certyfikat zainstalować na kilku serwerach w puli, więc wybieramy opcję zezwolenia na eksport klucza prywatnego. W sekcji RequestAttributes wskazujemy wykorzystywany w naszej firmie szablon tworzenia certyfikatu, jednak najciekawszy zapis zawiera sekcja Extensions – ponieważ certyfikat serwera Lync musi zawierać zarówno nazwy hostów jak i szereg innych nazw wykorzystywanych przez Lynca, więc wykorzystujemy specyficzny zapis z użyciem konkretnego identyfikatora dla certyfikatów SAN (zapis działa począwszy od Windows 2008).

Wygląda to trochę nietypowo, ale działa. Teraz tylko pozostaje utworzenie certyfikatu z użyciem narzędzia certreq:

Na jednym z serwerów wykonujemy komendę:

certreq –new certLync.inf certLync.req

Następnie po skopiowaniu pliku (ewentualnie zdalnie, jeżeli jest taka możliwość) na serwer z urzędem certyfikacji generujemy certyfikat:

certreq –submit certLync.req certLync.cer

Teraz pozostaje tylko zainstalowanie certyfikatu:

certreq -accept certLync.cer

i przypisanie go do usług serwera FrontEndowego (no i po wyeksportowaniu do pfx-a instalacja na drugim serwerze w puli).

Po restarcie usług komunikacja pomiędzy systemami zaczyna działać poprawnie.

Cmdlet Extension Agent dla Exchange 2013 – modyfikacja ustawień skrzynki pocztowej

Jedną z ciekawych i ciągle mało znanych funkcjonalności w Exchange 2013 (chociaż pojawiła się już w Exchange 2010) jest możliwość wykorzystania agenta skryptowego do realizowania dodatkowych akcji po wykonaniu standardowego cmdleta Exchange. Przykładem może być operacja tworzenia skrzynki Exchange – enable-mailbox lub new-mailbox nie posiadają opcji pozwalających np. na ustawienie domyślnego języka i strefy czasowej. Przypomniał o tym ostatnio Tony Redmond na swoim blogu. Podobnie w przypadku włączenia funkcjonalności SingleItemRecovery lub audytowania musimy wykonać dodatkowe operacje. Automatyzację konfiguracji tych parametrów umożliwia nam dodatek Cmdlet Extension Agents, a tak naprawdę to jeden z 8 agentów – Scripting Agent:

Jak możemy go użyć?

W katalogu instalacyjnym Exchange, w podkatalogu Bin\CmdletExtensionAgent znajdują się niezbędne rozszerzenia oraz przykład pliku konfiguracyjnego jak widać na poniższym rysunku:

Tworząc plik konfiguracyjny (obowiązkowa nazwa ScriptingAgentConfig.xml)definiujemy w nim, dla jakich komend wykonywane są dodatkowe operacje i jakie są warunki początkowe. W przypadku uzupełnienia operacji tworzenia skrzynki w pliku xml dodajemy sekcję dla odpowiednich komend i uzależniamy wykonanie sekwencji dodatkowych czynności od poprawności wykonania komendy podstawowej (weryfikując rezultat zwrócony przez metodę “OnComplete”). Oczywiście możemy dodać więcej operacji. Poniższy plik opisuje operację ustawienia polskiej wersji językowej, godziny rozpoczęcia pracy w firmie, polskiej strefy czasowej. Włączone zostaje również SingleItemRecovery oraz audytowanie operacji na skrzynce (tylko administrator i delegaci, żeby włączyć audytowanie dla właściciela należy dodatkowo zdefiniować, jakie operacje są rejestrowane).

<?xml version="1.0" encoding="utf-8" ?>
<Configuration version="1.0">
    <Feature Name="Mailboxes" Cmdlets="New-Mailbox, Enable-Mailbox">
        <ApiCall Name="OnComplete">
        if($succeeded) {
            $Name= $ProvisioningHandler.UserSpecifiedParameters["Name"]
            Set-Mailbox $Name -Languages "pl-PL"
            Set-MailboxRegionalConfiguration $Name -DateFormat "yyyy-MM-dd" -TimeZone "Central European Standard Time"
            Set-MailboxCalendarConfiguration $Name -WorkingHoursStartTime "09:00:00"
            Set-Mailbox $Name -SingleItemRecoveryEnabled $true
            Set-Mailbox $Name -AuditEnabled $true
        }
        </ApiCall>
    </Feature>
</Configuration>

Plik musi znajdować się na wszystkich serwerach z rolą Mailbox. W ten sposób, jeżeli nie popełniliśmy błędu dla każdej nowo tworzonej skrzynki, zostaną ustawione parametry pokazane powyżej, niezależnie czy będzie ona tworzona z poziomu Exchange Management Shella czy konsoli webowej.

Oczywiście musimy najpierw włączyć agenta komendą:

Enable-CmdletExtensionAgent “Scripting Agent”

Zmiany w certyfikatach publicznych

Kiedy Microsoft ogłosił w drugiej połowie zeszłego roku koniec wsparcia dla certyfikatów wykorzystujących SHA-1 z dniem 1.01.2017, wydawało się to terminem odległym. Jednak Google już od listopada 2014 zaktualizował przeglądarkę Chrome, tak żeby wyświetlała ostrzeżenia dla certyfikatów z SHA-1, wygasających w 2017 roku i stopniowo takie obostrzenia będą się powiększać. Co zatem należy zrobić? Przejść na certyfikaty wykorzystujące SHA-2 (przeważnie jest to SHA-256). Na pozór nic prostszego. Jednak odnowienie certyfikatów do Exchange u kilku klientów w ostatnich dniach pokazało mi, że dostawcy już taką zmianę realizują – nowe certyfikaty, m. in GoDaddy czy też RapidSSL przychodzą ze zmodyfikowaną wersją algorytmów. Co ciekawe, w przypadku zaleceń dla serwerów Exchange zarówno kreator jak i cmdlet generujący nowy wniosek o certyfikat używają domyślnie (i nie ma możliwości tego zmienić) SHA-1. Mam nadzieję, że zespół Exchange wkrótce się obudzi i zostanie to poprawione w kolejnych wersjach (w tym kwartale powinien być dostępny kolejny Cummulative Update). Jak na razie rozwiązanie jest proste, chociaż nie tak oczywiste.

Mając stary certyfikat podpisany SHA-1, dostajemy po wniesieniu opłaty nowy certyfikat wygenerowany przez dostawcę, zgodnie z danymi firmy. Jednak jego standardowy import na serwer z poziomu narzędzi Exchange lub konsoli IIS nie podłącza go do klucza prywatnego.

Stosujemy zatem obejście opisane w artykule bazie wiedzy Microsoft KB889651 lub na serwisach dostawców certyfikatów.

Czyli po sprawdzeniu numeru seryjnego certyfikatu wykonujemy komendę:

certutil –repairstore my <serial number>

Certyfikat został podpięty do klucza prywatnego, teraz możemy podłączyć usługi Exchange, Lynca czy dowolne inne.

Co nam przyniesie rok 2015?

Jakoś tak jest, że na przełomie roku wypada zrobić krótkie podsumowanie. Rok 2014 minął nie wiadomo kiedy, w nawale pracy nawet nie bardzo miałem czas w ostatnich dwóch miesiącach publikować jakieś artykuły – kilka z nich czeka na dokończenie i publikację – mam nadzieję, że nadrobię to przy okazji urlopu. Na bieżąco starałem się publikować krótkie wpisy na Twitterze, co zaowocowało wzrostem ilości tzw. Followerów (do 350). Mimo wszystko jednak wydaje mi się, że był to rok udany, patrząc na statystyki odwiedzin bloga, wyglądało to całkiem interesująco, ze średnią miesięczną ponad 2000 odwiedzin:

Co nam przyniesie rok 2015? Zmiany na pewno będą duże – Windows 10 powoli zaczyna nabierać kształtów, w tym roku również pojawi się nowa rodzina produktów Office. Na razie informacje są NDA, ale jak tylko można będzie udostępnić informacje na temat Office 16, Skype for Bussiness lub Exchange 16 (do których wersji Beta mam dostęp) na pewno się nimi podzielę. Podobnie jak doświadczeniami z kolejnych ciekawych projektów.

Konferencja Exchange/Lync/System Center

Już za tydzień APN Promise organizuje konferencję w Warszawie, która podobnie jak zeszłoroczny PreMTS koncentruje się na zagadnieniach z rodziny Unified Communication i System Center, ze szczególnym uwzględnieniem chmury publicznej (Office365 i Azure) oraz modelu hybrydowego.

Ja będę opowiadać o integracji funkcji głosowych dla Lync Online, Load Balancerach Kemp w Azure oraz narzędziach migracyjnych do Exchange. Serdecznie zapraszam 6 listopada do Millenium Plaza przy placu Zawiszy w Warszawie.

Nowy kwadrat magiczny Gartnera w kategorii ADC

Gartner opublikował magiczny kwadrat dla kategorii Application Delivery Controllers. Jak można się było spodziewać, leaderami są nadal F5 i Citrix, a Kemp Technologies powoli przesuwa się w górę kwadratu. Co ciekawe zniknął z niego Fortinet, za to pojawił się lokalny producent z Południowej Korei – Piolink.

Kemp jest chwalony za szeroki wybór modeli, jako jedyny z graczy oferuje opcję Bare Metal z wykorzystaniem serwerów najważniejszych producentów, dobrze oceniony jest również ze względu na przyjazne ceny. Minusami wg. Gartnera jest brak firewalla aplikacyjnego (który pojawi się już za chwilę), oraz niewielka wielkość firmy, co stanowi potencjalne zagrożenie.

Skrypt do zmiany nazw wirtualnych katalogów w Exchange

Zmiana nazw wirtualnych katalogów (a w zasadzie nazwy hosta, przez którą dostają się do Exchange klienci) wymaga wykonania wielu cmdletów (nie wszystkie nazwy można zmienić z poziomu narzędzi webowych). Łatwo przy tym coś przeoczyć lub po prostu zrobić literówkę. Jakiś czas temu opublikowałem w galerii skryptów na Technecie skrypt do listowania wszystkich tych nazw i spotkał się z ciepłym przyjęciem (ponad 500 pobrań). Teraz przygotowałem, na podstawie skryptu dla starszej wersji Exchange taki skrypcik dla Exchange 2013 i również opublikowałem na Technecie.

https://gallery.technet.microsoft.com/Set-all-virtual-directories-f4ec71d3 

Wydaje mi się, że jest dosyć przejrzysty, jak widać na poniższym rysunku:

Oczywiście, po wykonaniu skryptu należy wykonać restart IIS (najlepiej komendą iisreset /noforce /timeout:5000) na każdym modyfikowanym serwerze.

Przekierowania na Kempie

Definiując publikację Exchange na load balancerach Kempa z szablonu, automatycznie tworzony jest wirtualny serwis przekierowania ruchu portu http na https, tak że po wpisaniu nazwy hosta w przeglądarce zostajemy przekierowani do wirtualnego katalogu usługi OWA po protokole https (podobnie jak w IIS realizowane jest to poprzez obsługę kodu 302).

Jednakże, gdy chcemy wpisać krótką nazwę, a jest ona inna niż nazwa hosta, którą umieściliśmy w certyfikacie (przykładowo chcielibyśmy używać nazwy poczta, pełna nazwa serwisu OWA to poczta.pepug.org, a wewnętrzna domena Active Directory nazywa się pepug.local), to dostaniemy warning o niepoprawnym połączeniu – domyślna reguła doklei tylko /owa na końcu nazwy i zamieni http:// na https://, czyli po wpisaniu nazwy poczta, zostaniemy przekierowani na nazwę https://poczta/owa. Podobny problem będziemy mieli wpisując w przeglądarce np. adres IP wirtualnej usługi.

Co zatem robić? Najprościej jest zmienić przekierowanie na poziomie wirtualnej usługi, jednak metoda taka jest mało elastyczna – czasami na serwerach Exchange chcemy mieć dwie witryny różniące się obsługiwaną nazwą i w tym przypadku taka konfiguracja nie zadziała. Żeby ten problem rozwiązać w sposób elegancji pierwsze rozwiązanie, jakie sięnasuwa, to wykorzystanie reguł wybierających zawartość, podobnie jak to opisałem wcześniej przy okazji SSO i Sharepointa- http://pepugmaster.blogspot.com/2014/07/publikacja-sharepoint-2013-na-kempie-i.html. W tym celu tworzymy dwie reguły, które pozwolą wybrać nazwę hosta zgodną z docelową (w tym przykładzie poczta.pepug.org) lub inną wskazaną przez nas.

Teraz pozostaje nam zmodyfikować regułę przekierowania http. W tym celu musimy dodać dwa subinterface’y, na których ustawimy przekierowania.


Teraz tylko pozostaje nam w głónej definicji VIP-a włączyć Content Switching i podpiąć zdefiniowane wcześniej reguły.


Podobnie postępujemy dla innych URL-i.

Teraz jeszcze tylko wyczyszczenie ustawienia przekierowania na poziomie głównego VIP i gotowe. Niezależnie od tego, czy wpiszemy w przeglądarce nazwę poczta, poczta.pepug.org czy adres IP, zostaniemy przekierowani na url https://poczta.pepug.org/owa. Oczywiście musimy mieć w DNS dla domeny Active Directory dodany rekord host o nazwie poczta z tym samym adresem IP. Należy również pamiętać, że zadziała to tylko z poziomu sieci wewnętrznej.

Poprawki do Exchange i Lynca

Zaledwie 10 dni temu zespół Lyncowy wydał najnowszą porcję poprawek dla serwera Lync 2013, a kilka dni później dla telefonów sprzętowych:

Product	Version	Download
Lync Phone Edition (for Aastra 6721ip and Aastra 6725ip)	4.0.7577.4451	2988177
Lync Phone Edition (for HP 4110 and HP 4120)	4.0.7577.4451	2988178
Lync Phone Edition (for Polycom CX500, Polycom CX600, and Polycom CX3000)	4.0.7577.4451	2988181
Lync Phone Edition for Polycom CX700 and LG-Nortel IP Phone 8540	4.0.7577.4451	2988182

Dzisiaj zespół Exchange wydał poprawki dla wszystkich wspieranych wersji Exchange:

• Exchange 2013 CU6. Opis wszystkich poprawek można znaleźć tutaj, warto wspomnieć o poprawce dla kreatora konfiguracji hybrydowej (błąd opisany w artykule KB2988229 oraz znaczących usprawnieniach w skalowalności folderów publicznych, o czym zamieszczono osobny artykuł na blogu zespołu produktowego. Warto pamiętać o odpowiednich uprawnieniach, bo CU6, podobnie jak poprzednie pakiety rozszerzają schemat AD.
• Exchange 2010 SP3 Rollup 7. To ostatni pakiet poprawek klienckich dla Exchange 2010 (przynajmniej tak na razie twierdzi zespół produktowy).
• Exchange 2007 SP3 Rollup 14.

Lync leaderem UC wg Gartnera

Gartner opublikował magiczny kwadrat Unified Communications. Lync po raz kolejny jest leaderem w zakresie Unified Communications.

Współpraca telefonów Audiocodes serii 400 z Lync–“Better Together”

Coraz więcej producentów telefonów IP dla Lynca wprowadza możliwość współpracy telefonu ze stacjonarnym klientem – zarówno Lync 2010 jak i Lync 2013 i to nie tylko po kalblu USB, ale również bezpośrednio po sieci IP. W zeszłym roku takie funkcjonalności ogłosił zarówno Polycom jak i SNOM, o czym pisał na swoim blogu Matt Landis - http://windowspbx.blogspot.com/2013/07/how-will-lync-enhanced-better-together.html. Kilka miesięcy temu, na konferencji Lyncowej Audiocodes ogłosił uruchomienie wersji Beta swojej wersji integracji dla telefonów z serii 400HD - http://windowspbx.blogspot.com/2014/03/an-update-on-audiocodes-440hd-430hd.html?vsmaid=184. A dosłownie kilka dni temu pojawiła się finalna wersja firmware dla telefonów i aplikacji dla komputerów, przeznaczonych dla Lynca do współpracy z klientem stacjonarnym. Jak tego użyć?

Po pierwsze trzeba zaktualizować firmware w telefonie. Telefony audiocodes mają bardzo przyjemny i przyjazny interface webowy (podobny do tego na bramkach z linii Mediant), przez który można wejść i ręcznie zaktualizować firmware, jak widać na rysunku poniżej.

Tutaj od razu uwaga – logowanie przez przeglądarkę działa domyślnie na zalogowanego na telefonie usera (czyli np. jak mój SAMAccountName jest konrad, to muszę się zalogować przez przeglądarkę jako użytkownik konrad, z hasłem domenowym). Żeby zalogować się przez przeglądarkę na konto administratora (domyślnie admin i hasło 1234) trzeba się wylogować z telefonu. Niezbyt oczywiste, prawda?

Po aktualizacji firmware do wersji 2.0.5, na wyświetlaczu telefonu pojawia się dodatkowa opcja – BToE (czyli Better Together over Ethernet).

Po wybraniu tej opcji pojawi nam się kod niezbędny dla sparowania telefonu z aplikacją na komputerze:

Będzie to nam potrzebne za chwilę. Teraz instalujemy na komputerze aplikację, łączącą klienta Lyncowego z telefonem - AudioCodes Better2Gether 0.0.0.6.exe. Instalacja jest prosta – wystarczy kliknąć w plik i kilkakrotnie potwierdzić Next. Wersja beta nie chciała się instalować na Windows 8/8.1, wersja finalna na szczęście działa. Ważną kwestią, która potwierdza prawidłowe zainstalowanie aplikacji jest dodanie sterownika USB do urządzeń systemowych (rysunek poniżej).

Oprócz tego pojawi nam się na taskbarze ikonka aplikacji.

Teraz pozostaje drobiazg – sparowanie aplikacji z telefonem. W tym celu należy wybrać z meny kontekstowego opcję Enter Pair Code… i wpisać kod, który odczytaliśmy z wyświetlacza telefonu.

W tym momencie (jeżeli wszystko poszło poprawnie) zobaczymy, że instaluje nam się sterownik audio, a ikonka aplikacji zmienia kolor, zmieni nam się również układ w menu kontekstowym:

W tym momencie również na liście urządzeń, dostępnych w kliencie Lync pojawia nam się dodatkowa pozycja

Teraz po podniesieniu słuchawki telefonu i wybraniu połączenia z klienta na komputerze, rozmowa zostanie uruchomiona z telefonu. Proste, prawda?

Publikacja Sharepoint 2013 na Kempie i SSO

Konfigurując usługi Exchange i Lync czasem również mam okazję wykonać pewne akcje integracyjne dla Sharepointa. Publikacja Exchange i Lynca z wykorzystaniem zewnętrznych Load Balancerów jest dobrze opisana, zarówno przez producentów tych urządzeń jak i przez Microsoft, jednak w zakresie publikacji usług Sharepoint trudno znaleźć w internecie procedurę w tym zakresie. Zwłaszcza, że ze względu na kończące się wsparcie dla TMG, jeżeli firma chce opublikować swoją witrynę z dodatkowym zabezpieczeniem problem ten nabiera dodatkowego wymiaru. Niedługo Kemp udostępni niebawem dokumentację opisującą publikację usług Sharepointowych, jednak jak na razie tylko w zakresie pojedynczej witryny portalu firmowego.

Wielu administratorów wykorzystuje konfigurację Sharepointa, gdzie portal firmowy wykorzystuje krótką nazwę, np. http://intranet lub http://portal, a witryny użytkowników wykorzystują witrynę http://mysite. Jak w takim wypadku poprawnie opublikować Sharepointa dla naszych pracowników/współpracowników w internecie, tak żeby nie musieli przechodząc między tymi witrynami ponownie się uwierzytelniać?

Pierwszą kwestią jest oczywiście AAM (alternative access mapping). Chociaż można i bez tego skonfigurować publikację na Kempie, jednak dla porządku i spójności architektury dobrze jest zdefiniować publikację po https, z wykorzystaniem dostępnej z internetu nazwy hosta – np. https://intranet.pepug.org i https://mysite.pepug.org. Niestety Sharepoint zmusza nas do dodania certyfikatów dla tych witryn po stronie serwera IIS z poziomu konsoli IIS Managera oddzielnie, ale jak się o tym pamięta, to nie powinno być problemów.

Kolejnym krokiem jest dodanie na witrynie Sharepointowej możliwości uwierzytelnienia typu Basic.Zarówno dla witryny intranet jak i mysite. Jest ot bardzo proste, ale miejsce, gdzie to należy ustawić nie jest już takie oczywiste (przynajmniej dla mniej zaawansowanych). Należy zatem w centralnej konsoli administracyjnej Sharepointa wejść w zarządzanie aplikacjami (Central Administration-Application Management-Manage Web Application). Wybrać daną witrynę (na rysunku wybrana witryna intranet), a następnie kliknąć w przycisk Authentication Providers. Wybieramy z listy dostępnego providera (jeżeli nie konfigurowaliśmy Sharepointa w specyficzny sposób, powinien być tylko jeden – domyślny) – rysunek 2, a następnie zaznaczamy checkbox przy uwierzytelnieniu Basic (rysunek 3).

Rysunek 1. Konfiguracja opcji uwierzytelniania dla aplikacji

Rysunek 2. Wybór providera

Rysunek 3. Włączenie uwierzytelniania typu Basic

Oczywiście po tym niezbędny będzie restart IIS-a, ale nie musimy za to ręcznie zmieniać ustawień w IIS Managerze.

Przejdźmy teraz do publikacji witryny (lub całej farmy, jeżeli mamy kilka FrontEndów Sharepointa).

Na Kempie tworzymy nową wirtualną usługę, do której dodajemy dwa subinterface’y powiązane z każdą z naszych witryn:

Rysunek 4. Standardowe opcje publikacji, zalecane dla Sharepointa przez Kempa

Na poziomie głównym serwisu dodajemy również certyfikat – bądź to zawierający obie nazwy publiczne, bądź to wildcardowy dla naszej domeny.

Rysunek 5. Subinterface’y dodane dla naszych witryn

Teraz musimy utworzyć reguły,  które pozwolą wybrać z tej listy odpowiednią witrynę na podstawie nagłówka zapytania https, przekazanego przez klienta – jedną dla witryny intranet, jedną dla mysite:

Rysunek 6. Tworzenie reguły na podstawie nazwy witryny

Następnie we właściwościach zaawansowanych witryny włączamy content switching:

Rysunek 7. Włączenie content switchingu dla wirtualnej usługi

Teraz trzeba tylko przypisać odpowiednią regułę do obu witryn:

Rysunek 8. Dodanie reguły przełączania dla subinterface’u

Rysunek 9. Dodanie reguły – wybór z listy reguł

Po dodaniu reguł będzie o tym informacja pokazana we właściwościach subinterface’ów.

Rysunek 10. Lista subinterface’ów z informacją o przypisanych regułach wyboru treści

Ostatni punkt programu to skonfigurowanie ESP (Edge Security Pack) dla każdej z naszych witryn. W ramach konfiguracji ESP należy skonfigurować SSO, czyli w tym wypadku komunikację z kontrolerem/kontrolerami naszej domeny Active Directory.

Rysunek 11. Konfiguracja domeny dla SSO

Jeżeli na Kempie wcześniej było konfigurowane SSO dla Exchange, to nie musimy tego robić, wystarczy wybrać z listy już dostępnych domen.

Rysunek 12. Konfiguracja ESP dla subinterface’u

W ten sposób publikujemy obie witryny. Wpisując w przeglądarce adres https://intranet.pepug.org pojawi nam się formularz logowania, po wpisaniu nazwy użytkownika domenowego i hasła zalogujemy się do portalu, po kliknięciu na odnośnik “O mnie” zostaniemy przekierowani do drugiej publikowanej witryny http://mysite.pepug.org, bez konieczności dodatkowego uwierzytelnienia. Jeżeli wpiszemy url naszej witryny OWA np. https://owa.pepug.org/owa, to również korzystając z SSO zostaniemy zalogowani do strony OWA naszego Exchange.