Harry Johnston's questions

Eu tenho um servidor de área de trabalho remota do Windows Server 2016 recém-instalado e estou tentando gerar um certificado para ele. Especificamente, acredito que preciso configurar um certificado para o serviço de função "RD Connection Broker - Publishing".

Toda a documentação da Microsoft e a maior parte do conteúdo de terceiros que posso encontrar parece supor que o certificado será autoassinado ou gerado internamente usando o serviço Autoridade de Certificação da Microsoft. O que eu quero é um certificado assinado por uma Autoridade de Certificação pública de terceiros adequada, para que seja confiável por padrão em todas as máquinas Windows.

O assistente de propriedades de implantação não tem a capacidade de gerar solicitações de certificado, portanto, você precisa usar o snap-in do MMC de certificados (ou IIS, mas não o tenho instalado). Infelizmente, o snap-in de certificados não é muito fácil de usar e não é óbvio como proceder.

Como o snap-in de certificados pode ser usado para gerar uma solicitação de certificado adequada para o serviço de função "RD Connection Broker - Publishing"?

Estou instalando um novo servidor Windows 2012 R2 e quero atualizá-lo antes de colocá-lo na rede, mas nem a atualização cumulativa de agosto de 2019 nem a atualização mais recente da pilha de manutenção serão instaladas.

Que sequência de atualizações você precisa instalar para trazer o Windows 2012 R2 da instalação básica para a atualização cumulativa mais recente?

Acabei de instalar o Windows 2016 e estou tentando instalar atualizações. Por motivos de segurança, estou tentando instalar a atualização cumulativa mais recente antes de conectar o novo servidor à rede.

Baixei o KB4507459 (a atualização cumulativa de julho de 2019) do Catálogo do Microsoft Update, mas ele não será instalado; a mensagem de erro diz "A atualização não é aplicável ao seu computador."

Por que é que? Como posso instalar a atualização cumulativa mais recente sem colocar o servidor na rede?

Estou tentando usar a configuração de diretiva de grupo "Logon interativo: texto da mensagem para usuários que tentam fazer logon", mas estou tendo problemas para acertar a formatação da mensagem; minhas quebras de parágrafo (ou seja, linhas em branco) desaparecem assim que eu pressiono Aplicar.

Encontrei uma sugestão para usar ALT-255 ( non-breaking space ) como um caractere invisível, que parecia funcionar no início, mas resultou na mensagem sendo truncada quando exibida nos clientes.

Eu gosto das minhas linhas em branco. Como posso fazê-los ficar parados?

Para executar um script WSUS de terceiros (contra o banco de dados interno do Windows) baixei a versão x64 do Microsoft Command Line Utilities 14 for SQL Server , mas ao tentar a instalação recebo a seguinte mensagem de erro:

A instalação não possui um pré-requisito de instalação: Microsoft ODBC Driver 11 for SQL Server. Para continuar, instale o Microsoft ODBC Driver 11 for SQL Server e execute a operação de instalação novamente.

Instalar o driver ODBC (baixado desta página ) conforme as instruções não tem efeito, ainda recebo a mesma mensagem de erro ao tentar instalar os utilitários de linha de comando.

Além disso, embora eu definitivamente tenha baixado o "Microsoft Command Line Utilities 14 for SQL Server" quando executo o instalador, ele é intitulado "Microsoft Command Line Utilities 13 for SQL Server".

(ênfase minha.)

O que diabos está acontecendo aqui e como posso instalar com êxito a versão mais recente dos utilitários de linha de comando?

Após atualizar o Java para a versão 8u171, o cliente Java KVM fornecido pela interface da web do meu Dell BMC parou de funcionar. A única mensagem de erro é "Falha na conexão".

Estou usando o BMC em um PowerEdge C6220, mas outros modelos também podem ser afetados.

O que está acontecendo e como posso corrigir isso?

No Console de Gerenciamento de Diretiva de Grupo, estou tentando delegar o direito "Vincular GPOs", mas depois de selecionar o grupo para delegar o acesso e a opção "Este contêiner e todos os contêineres filho", estou recebendo a mensagem de erro "A solicitação é não suportado".

Aqui está uma captura de tela do mesmo erro nos fóruns da Microsoft. Nesse caso, o usuário estava tentando remover uma delegação.

O que causa esse erro e como o problema pode ser resolvido?

No Windows 10, o cliente do Windows Update usa o rastreamento de eventos em vez de gravar em um arquivo de texto como nas versões anteriores do Windows. Isso pode dificultar a solução de problemas com máquinas clientes.

O cmdlet Get-WindowsUpdateLog nem sempre funciona. Em particular, parece não funcionar corretamente quando executado remotamente ou quando a máquina de destino não tem acesso direto à Internet. Também vi relatos de outros problemas cuja causa é menos clara.

Existe uma opção mais confiável e flexível?

No Windows 10, o Ambiente de Recuperação do Windows (WinRE) pode ser iniciado cortando repetidamente a energia do computador durante a sequência de inicialização. Isso permite que um invasor com acesso físico a uma máquina desktop obtenha acesso administrativo à linha de comando, ponto em que pode visualizar e modificar arquivos, redefinir a senha administrativa usando várias técnicas e assim por diante.

(Observe que, se você iniciar o WinRE diretamente, deverá fornecer uma senha administrativa local antes de conceder acesso à linha de comando; isso não se aplica se você iniciar o WinRE interrompendo repetidamente a sequência de inicialização. A Microsoft confirmou que não considera isso ser uma vulnerabilidade de segurança.)

Na maioria dos cenários, isso não importa, porque um invasor com acesso físico irrestrito à máquina geralmente pode redefinir a senha do BIOS e obter acesso administrativo inicializando a partir de uma mídia removível. No entanto, para máquinas de quiosque, em laboratórios de ensino e assim por diante, geralmente são tomadas medidas para restringir o acesso físico, por exemplo, cadeado e/ou alarme das máquinas. Seria muito inconveniente também tentar bloquear o acesso do usuário ao botão liga / desliga e à tomada da parede. A supervisão (pessoalmente ou por meio de câmeras de vigilância) pode ser mais eficaz, mas alguém usando essa técnica ainda seria muito menos óbvio do que, por exemplo, alguém tentando abrir o gabinete do computador.

Como o administrador do sistema pode impedir que o WinRE seja usado como backdoor?

Adendo: se você estiver usando o BitLocker, já está parcialmente protegido dessa técnica; o invasor não poderá ler ou modificar arquivos na unidade criptografada. Ainda seria possível para o invasor limpar o disco e instalar um novo sistema operacional ou usar uma técnica mais sofisticada, como um ataque de firmware. (Até onde eu sei, as ferramentas de ataque de firmware ainda não estão amplamente disponíveis para invasores casuais, então isso provavelmente não é uma preocupação imediata.)

Estou usando o Adobe Creative Cloud Packager para criar um pacote de instalação contendo todos ou a maioria dos aplicativos disponíveis (em oposição a aplicativos individuais específicos) para implantação nas estações de trabalho do usuário final.

Este pacote de instalação é executado com êxito no Windows 10, mas falha com o erro 1603 ("Ocorreu um erro fatal durante a instalação") no Windows 7. O instalador é executado por um longo tempo antes de falhar e parece estar instalando pelo menos alguns dos aplicativos que o pacote contém, mas essas instalações são revertidas e, quando o instalador finalmente sai, nenhum dos aplicativos do pacote está presente.

O arquivo de log (PDApp.log) pode conter as seguintes mensagens:

O código de retorno do processo de instalação HDPIM é (190). Interrompendo o processo de instalação.

Falha na instalação da mídia do produto (ESHR, 0.3.0) ...

O que está acontecendo e há alguma maneira de pará-lo?

Sintomas:

Na primeira vez que alguém fizer login no servidor de Área de Trabalho Remota após uma reinicialização, o evento TerminalServices-RemoteConnectionManager ID 1130 será gerado no log do sistema:

O servidor Host de Sessão de Área de Trabalho Remota não possui um servidor de licença de Área de Trabalho Remota especificado. Para especificar um servidor de licença para o servidor Host de Sessão de Área de Trabalho Remota, use a ferramenta de Configuração do Host de Sessão de Área de Trabalho Remota.

Depois que o período de cortesia de 120 dias expirar, as tentativas de logon resultam nesta mensagem de erro:

A sessão remota foi desconectada porque não há licenças de acesso de cliente de Área de Trabalho Remota disponíveis para este computador. Por favor, contacte o administrador do servidor.

No entanto, o servidor de licenciamento já está configurado na configuração do host da sessão de área de trabalho remota e o diagnóstico de licenciamento não apresenta problemas.

Redefinir o período de cortesia conforme descrito aqui permite que os logons sejam bem-sucedidos novamente, mas não resolve o problema permanentemente; A ID de evento 1130 continua a aparecer na primeira vez que alguém faz login por meio da Área de Trabalho Remota após uma reinicialização e, após outros 120 dias, os logons começarão a falhar novamente.

Conforme descrito aqui, os servidores com falha não possuem entradas de certificado X509 em

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\RCM

Quais são as possíveis causas desse problema?

O site do Catálogo do Microsoft Update parece não ser muito confiável. Se não estiver funcionando, quais etapas de solução de problemas às vezes são úteis?

(Observe que o Catálogo do Microsoft Update não é a mesma coisa que o Microsoft Update, embora eles ofereçam o mesmo conteúdo. O Catálogo do Microsoft Update é um site onde você pode baixar instaladores off-line, incluindo instaladores para versões diferentes do Windows do que o você está executando. Ele requer o uso do Internet Explorer e é surpreendentemente frágil.)

Observação: esta é uma pergunta canônica, para coletar várias soluções possíveis para os vários problemas comuns com o Catálogo do Microsoft Update. Estou postando uma resposta inicial, mas respostas adicionais são encorajadas. Postado em falha do servidor em vez de superusuário porque o MUC é usado principalmente por administradores de sistema, os usuários finais geralmente usam o Windows Update ou o Microsoft Update.

Temos vários servidores Dell PowerEdge, de nona geração e posteriores.

De acordo com o uso de LAN e interfaces seriais em servidores Dell PowerEdge de nona geração :

Como um aprimoramento em relação às gerações anteriores de servidores Dell PowerEdge, o modo NIC compartilhado permite a conexão com o BMC por meio de um LOM, não apenas um.

Estávamos um pouco preocupados com isso, porque em vários de nossos servidores o LOM1 está conectado a uma rede de gerenciamento dedicada e o LOM2 está conectado à LAN, e não queremos que o DRAC seja acessível a partir da LAN.

O intrigante é que, experimentalmente, não parece ser verdade. (Detalhes abaixo.) Com o DRAC configurado no modo compartilhado, o DRAC só pode ser acessado por LOM1, não por LOM2.

O artigo está errado? Se não, como faço para que o DRAC responda no LOM2? (Sem usar o modo Failover que, de acordo com o artigo, requer agrupamento, ou seja, ambos os LOMs devem estar na mesma rede.)

Mais importante ainda, o que eu preciso fazer para ter certeza de que nenhum de nossos DRACs está acessível via LOM2?

Procedimento de teste

A máquina que estou experimentando é o PowerEdge 2970 com um DRAC 5, versão de hardware A00, versão de firmware 1.60 (11.03.03). A versão do firmware BMC é 2.50.

A Seleção de NIC é definida como Compartilhada e a NIC é habilitada.

O endereço IP estático é 192.168.241.100 e a máscara de sub-rede é 255.255.255.0. Não há gateway em nossa rede de gerenciamento, portanto, defini-a como 0.0.0.0. A negociação automática está ativada. Nenhuma das outras configurações está configurada.

Com a rede de gerenciamento conectada ao LOM1 (e a LAN conectada ao LOM2), posso fazer ping no DRAC e fazer login na interface da Web do DRAC a partir de uma máquina de produção com acesso à rede de gerenciamento. (Endereço IP 192.168.241.102/255.255.255.0.) Não consigo executar ping no DRAC de uma máquina na LAN (mal) configurada para usar 192.168.241.29/255.255.255.0, mesmo depois de limpar o cache ARP.

Com a rede de gerenciamento conectada ao LOM2 (e a LAN conectada ao LOM1), não consigo fazer ping no DRAC da máquina da rede de gerenciamento ou conectar-me a ele por meio da interface da web. Limpar o cache ARP não teve efeito. Posso fazer ping no DRAC e acessar a interface da web da máquina na LAN.

Em ambos os casos, o sistema operacional no 2970 possui conectividade de rede total na LAN e na rede de gerenciamento (uma vez que as interfaces de rede estejam configuradas adequadamente).

Também tentei usar o WinDump para procurar respostas arp na rede de gerenciamento e na LAN. Em ambos os casos, vi respostas arp do DRAC apenas na rede à qual o LOM1 estava conectado.

Se você tentar instalar o Java 8u65 runtime em um Windows Server, a seguinte mensagem de erro será exibida:

O conteúdo deste aplicativo proveniente do site listado abaixo está sendo bloqueado pela Configuração de Segurança Reforçada do Internet Explorer

Quando a caixa de diálogo é descartada, o instalador trava. Tentei adicionar o arquivo à zona de sites confiáveis, mas não consegui descobrir como formatar o caminho corretamente.

Como posso instalar o Java 8u65 runtime no meu Windows Server?