James Edmonds's questions

Estou tentando importar um PFX usando o PowerShell, que foi criado pelo OpenSSL a partir de um cer e um arquivo de chave (a chave foi gerada pelo OpenSSL junto com um CSR, que foi submetido ao AD CA interno para gerar o cer)

Ao visualizar as informações do certificado no OpenSSL, posso ver que o PFX contém apenas um único certificado e uma chave privada, que é o que eu esperava

Se eu executar o comando abaixo, o certificado será importado para autoridades de certificação intermediárias, em vez do armazenamento pessoal da máquina, conforme especificado:

Import-PfxCertificate -FilePath $SharedPFXPath -Password (ConvertTo-SecureString -String $PFXPassword -AsPlainText -Force) -CertStoreLocation Cert:\LocalMachine\My -Exportable

Qual poderia ser o motivo pelo qual o Import-PfxCertificatecomando pode estar ignorando meu local de armazenamento certificado?

EDIT : Apenas para algumas informações adicionais, pensei em detalhar os comandos usados ​​para gerar o certificado de origem e os arquivos de chave etc:

Comece criando uma chave e CSR

openssl.exe genrsa -out $KeyFilePath 2048
openssl.exe req -new -key $KeyFilePath -out $CSROutputPath -config $ConfigFilePath

O arquivo de configuração CSR contém isto (valores DN reais removidos):

[req]
distinguished_name = req_distinguished_name
req_extensions = req_ext
prompt = no

[req_distinguished_name]
C = COUNTRY CODE
ST = COUNTY/STATE
L = TOWN
O = ORG
OU = OU
CN = COMMON NAME

[req_ext]
subjectAltName = @alt_names

[alt_names]
DNS.1 = SAN

Em seguida, envio o CSR para AD CA e salvo o certificado codificado em BASE64. Eu uso isso e o arquivo de chave para criar o PFX

openssl.exe pkcs12 -export -in $CertPath -inkey $KeyFilePath -out $PFXPath -passout pass:$PFXPassword -nomac

Eu tive que adicionar -nomacao meu comando PFX, caso contrário, recebia um erro de senha incorreta toda vez que tentava importar manualmente o PFX para o armazenamento certificado. Não tenho certeza se isso contribuiria para o meu problema ou se alguns dos meus comandos anteriores podem estar me causando alguns problemas?

Atualmente, implantamos uma conexão VPN por usuário para nossos clientes Windows 10 executando um script de logon do PowerShell para adicionar uma VPN de contexto de usuário.

Gostaríamos de implantar a mesma conexão como uma conexão AllUsers, para que fique disponível na tela de login antes que os usuários entrem. É possível fazer isso apenas por meio da Diretiva de Grupo? Um script de inicialização será executado no contexto do sistema e permitirá que ele seja implantado?

Estou testando sempre em túneis de usuários e dispositivos de VPN em meu laboratório doméstico para avaliar a implantação ao vivo no ambiente de nossas empresas.

Meu túnel de usuário está funcionando perfeitamente, mas meu túnel de dispositivo não se conecta automaticamente e quando eu me conecto via "rasphone" parece desconectar após um período de tempo ou depois de sair da máquina.

Isso ocorre porque estou usando o Windows 10 Pro com o túnel do dispositivo ainda limitado ao Enterprise? Existe alguma outra maneira de testar o túnel do dispositivo sem ter o Windows 10 Enterprise?

Temos um cluster Hyper-V de 4 nós executando cerca de 15 VMs. Em nenhum deles eu testei, posso inspecionar ou editar VHDXs em VMs em execução. Eu recebo um erro de permissão de algum tipo ao tentar fazer isso:

Dado que as VMs estão em execução, os hosts obviamente têm acesso aos arquivos. Posso navegar até o local dos arquivos e vê-los, e posso ver que atualmente todos têm controle total.

O que mais me impediria de editar o disco com as permissões acima?

Eu tenho uma máquina ingressada no domínio que, enquanto estiver na VPN da nossa empresa, não consigo acessar as páginas do aplicativo na Windows Store e não consigo carregar comentários no hub de comentários. Posso acessar tudo isso sem usar a VPN.

Alguém sabe quais são os endpoints de qualquer um desses aplicativos, para que eu possa adicionar exceções ao nosso serviço de filtragem da Web e firewall, para me permitir acessá-los enquanto estiver em nossa VPN?

Eu herdei uma implantação híbrida entre o Exchange 2016 no local e o Exchange online. Uma das primeiras coisas que tive que fazer foi ativar o transporte centralizado de mensagens, pois estava adicionando dois saltos desnecessários ao fluxo de mensagens e 100% de dependência do servidor local.

Uma coisa que veio à tona devido a uma regra de transporte que precede uma mensagem a qualquer mensagem originada fora da organização é que qualquer mensagem enviada ao servidor local de nossos MFDs ou aplicativos herdados está sendo considerada uma mensagem externa .

Tenho feito alterações em domínios remotos, conectores de entrada e conectores de saída de acordo com todas as orientações híbridas online, mas todos os meus testes ainda estão aparecendo como mensagens externas.

Como meu teste é simplesmente fazer um telnet para o servidor local e enviar uma mensagem minha para mim mesmo, essa seria uma maneira válida de testar as alterações em nosso ambiente? Gostaria de saber se, por estar me conectando ao servidor anonimamente, isso pode significar que a mensagem está marcada como externa, independentemente das minhas alterações nos conectores, etc.?

• Eu tenho um domínio AD em execução na minha rede com um único DC
• Todos os meus clientes, ingressados ​​no domínio ou não, usam este DC para DNS
• O DC tem um conjunto de encaminhadores de 1.1.1.1 para consultas externas

Eu tenho uma única máquina ingressada em um domínio que desejo usar este DC para resolução de nomes internos, mas quero que o DC ignore qualquer solicitação de DNS que não seja para meu nome de domínio interno.

Parece-me que a política de DNS em 2016 pode ser uma opção para mim: Política de DNS do servidor 2016

Eu queria saber se alguém poderia aconselhar como configurar os filtros adequadamente, para lidar apenas com solicitações internas de DNS para um host específico.

Criei uma AC interna do ADCS usando este guia e, em seguida, enviei uma solicitação de certificado para criar um certificado curinga para meu domínio eds89.com. A intenção por trás disso é aplicar a alguns dos meus servidores de teste acessíveis internamente para acesso de máquinas ingressadas no domínio e suprimir erros de certificado.

Tudo parece estar bem, e a cadeia de certificados parece ser confiável para uma máquina ingressada no domínio interno, no entanto, quando navego em um site usando rd.eds89.com, o Chrome me dá um erro COMMON_NAME_INVALID.

Se eu olhar os detalhes do certificado, posso ver que ele foi emitido para *.eds89.com, então estou confuso sobre por que ele acha que é inválido? Aqui está o assunto do certificado

CN = *.eds89.com
OU = Home
O = Eds
L = Ipswich
S = Suffolk
C = GB

Para referência, aqui está o guia que segui para criar o certificado.

Alguém pode aconselhar se preciso refazer a solicitação com configurações diferentes para levar em conta quaisquer alterações na maneira como o Chrome lida com os certificados ou se estou completamente errado?

Não tenho certeza se isso pertence ao stackoverflow no que se refere ao PowerShell, mas postado aqui, pois não é script e está mais relacionado a tarefas do servidor.

Estou tentando recriar uma tarefa que temos em nosso servidor de arquivos antigo, como uma tarefa em cluster em nosso novo cluster de failover.

Para isso, preciso definir a ação e o gatilho, como variáveis ​​para passar para New-ClusteredScheduledTask. A ação que fiz sem problemas, mas não tenho certeza de como executar New-ScheduledTaskTrigger para defini-lo corretamente para a última terça-feira de cada mês.

Eu posso ver que existem switches Daily e Weekly, e também WeeklyInterval, mas não quero depender de intervalos semanais, pois isso nem sempre cairá na última terça-feira do mês?

Alguém pode aconselhar como recriar esse gatilho usando uma combinação das opções e valores disponíveis?

Descobri que quando faço um GPreult /h e dou uma olhada no relatório gerado, vejo que um "Nome do componente" na seção "Status do componente" tem um GUID em vez de uma descrição. Uma captura de tela disso está abaixo:

Alguém pode me dizer como determinar o que é isso? Atualmente, não parece estar causando nenhum problema, mas não parece que deveria estar fazendo isso e, em vez disso, deve me mostrar um nome de componente não GUID.

Eu não acho que o GUID é o de um GPO, e sim o GUID de um componente GP. Também não sei como determinar qual GPO está causando isso no GPResult.

EDIT: Resultado dos dados RSOP, sem erros na configuração do usuário, que é onde isso aparece:

Esta semana, começamos a ter um problema em um ou dois de nossos servidores host de sessão de área de trabalho remota executando 2012 R2, em que, quando um usuário tenta fazer login, ele fica preso em uma das mensagens de login, como "processando configurações de política de grupo", "aplicando a política de impressoras de política de grupo" etc. Isso aconteceu com 3 usuários diferentes, uma vez cada um em três dias diferentes esta semana. Só foi visto acontecer de manhã, e apenas uma vez por dia.

Vemos então nesse servidor, uma sessão sem nome de usuário, que está desconectada e travada em um estado de "sair" (confirmado conectando-se à sessão por meio do gerenciador de tarefas).

Também podemos ver dois bloqueios em seu disco de perfil de usuário em nosso servidor de arquivos, bloqueados por esse mesmo servidor. O usuário não consegue fazer login. Se fecharmos os arquivos abertos para seu UPD e eles tentarem fazer login novamente, eles receberão uma mensagem dizendo que não puderam ser logados porque o serviço de serviços de área de trabalho remota está ocupado (presumivelmente saindo desta sessão fantasma).

Nossa única solução é registrá-los manualmente em um servidor específico diferente do nosso pool e, em seguida, fazer com que eles se conectem a essa sessão remotamente.

Observando os eventos, posso vê-los nesta ordem para a primeira tentativa de login deste usuário:

(Não é incomum ver isso, pois temos um desses para quase todos os usuários, em quase todos os logins, bem-sucedidos ou não).

Eu posso ver muitas outras tentativas de login desse usuário, cada uma passando por um conjunto de eventos, terminando com uma desconexão com o código de razão 12 conforme abaixo:

Alguém tem alguma opinião sobre por que essa tentativa de login cria essa sessão não autorizada e como podemos corrigi-la?

Felicidades

Eds

Temos um farm ADFS 2012 R2 implantado há algum tempo.

Ao alterar o tema da Web para a configuração do ADFS hoje, notei que não consegui me conectar ao servidor secundário em nosso farm a partir da minha estação de trabalho usando seu FQDN.

O servidor primário ao qual posso me conectar sem problemas (além do fato de o certificado não ser válido usando o FQDN interno). Ao diagnosticar, descobri que, se eu fizer login no servidor secundário e usar o localhost, ele funcionará bem, portanto, apenas as conexões remotas terão um problema.

Posso ver alguns eventos do ADFS que sugerem que o servidor secundário está realmente atendendo às solicitações de autenticação, mas agora estou preocupado que qualquer dispositivo que dependa de autenticação baseada em formulários não funcione quando o servidor primário estiver inativo para manutenção. Eu tentei reiniciar o servidor, verificando se o firewall não está bloqueando as portas e agora não tenho certeza sobre o que mais poderia ser o problema.

Não parece haver uma instalação do IIS de qualquer tipo para eu ver as configurações, então estou perdido. Alguém pode oferecer alguma sugestão sobre por que não consigo me conectar remotamente a este servidor secundário?

Temos um GPO de mapa de unidade que se aplica ao nosso contêiner de usuários, para que os mapas de unidade sejam criados em qualquer máquina na qual o usuário faça login.

O que descobrimos é que, se os mapas forem excluídos e um gpupdate /force for executado, os mapas não reaparecerão. Na verdade, eles não reaparecerão até que o usuário faça logoff e volte para a máquina.

Este é o comportamento esperado ou o mapa da unidade deve ser recriado durante uma atualização de GP? Nossa preocupação é que alguém desconecte inadvertidamente seu mapa de unidade principal e, após o período de atualização, ele não reapareça automaticamente, o que significa que eles nos ligam e não temos opção a não ser fazer com que eles saiam e voltem.

Temos vários hosts de sessão de área de trabalho remota 2012 R2 em execução no ESXi 6.5U1 e notamos esta semana que a maioria dessas VMs começou a apresentar um problema;

Repetidamente ao longo do dia por vários minutos de cada vez, o uso de memória modificado mostrado no gerenciador de tarefas dispara para 18 GB ou mais (dependendo da atribuição de memória da VM e da memória ativa) e fica em 100 commit.

Depois de um tempo, a memória modificada, eu acho, é liberada para o disco e o uso retorna ao normal.

Durante esse tempo, a VM fica quase completamente sem resposta. Alguém já passou por isso recentemente e tem alguma opinião sobre a causa?

Existe uma maneira de desabilitar o aviso exibido na área de notificações, informando que o firewall do Windows está desabilitado?

Edit: Gostaríamos especificamente de conseguir isso por meio da política de grupo, não de um processo manual.

Desabilitamos o perfil de firewall de domínio via GPO, o que significa que as máquinas Windows 10 colocam constantemente notificações de aviso na área de notificação sobre isso. Isso gera chamadas de usuário perguntando sobre o que é o aviso. Sabemos que está desabilitado, então queremos suprimir o aviso.

Implantei uma configuração de teste de VDI nos serviços de área de trabalho remota 2012 R2 e, quando tento ocultar uma sessão em uma de nossas áreas de trabalho virtuais do Windows 10, recebo uma mensagem que diz;

"O nome do computador é inválido"

Encontrei este artigo, mas mesmo depois de habilitar a descoberta de rede, o mesmo erro persistiu ao tentar ocultar a sessão.

Tem mais alguma coisa que eu preciso fazer para que isso funcione?

Eu criei um laboratório de teste VDI construído em 2012 R2 e estou tentando testar duas coisas;

1. vGPU em VMs VDI para melhorar o desempenho do conteúdo de mídia na VM e reduzir a carga da CPU no host de virtualização
2. Ativar redirecionamento USB RemoteFX

No que diz respeito à vGPU, eu a configurei e posso ver que a GPU no host está sendo usada ao reproduzir um vídeo na VM, mas o desempenho é ruim. Isso provavelmente se deve à baixa especificação da VM e ao armazenamento lento, etc., sendo gargalos.

O principal problema que estou tendo é fazer o redirecionamento USB funcionar. Na minha estação de trabalho Windows 10, habilitei a política local para permitir o redirecionamento para administradores e usuários e agora posso ver a seção de dispositivos RemoteFX em recursos locais no cliente RDP.

No entanto, quando me conecto a qualquer máquina remota, seja uma área de trabalho VDI do Windows 10 através da coleção ou diretamente, ou qualquer servidor 2012 R2, o ícone para dispositivos redirecionados não aparece e a Microsoft LifeCam e os fones de ouvido que conectei não são redirecionados.

Existe alguma combinação específica do que estou conectando e para que isso funcione, pois meu entendimento era que esses dispositivos suportados deveriam redirecionar para pelo menos um servidor 2012 R2?

No momento, estamos testando uma implantação do Windows 10 VDI criada nos serviços de área de trabalho remota do servidor 2012 R2.

Em uma implantação de VDI em pool, parece que a implantação mantém ativamente 2 VMs em execução prontas para conexão por usuários finais e, após o login de um usuário, ela liga outra para garantir que sempre haja 2 VMs prontas.

Estou curioso para saber se existe uma maneira de definir o número de VMs em espera ativa para acomodar tempestades de login? Preferimos ter esse número definido para algo como 10, para que ele possa lidar melhor com vários usuários se conectando ao mesmo tempo.

Suspeito, mas não posso testar, que quando 3 usuários tentarem fazer login ao mesmo tempo, 2 estarão conectados às VMs em execução, mas o terceiro terá que esperar mais tempo para que outra VM seja retomada de um estado salvo. Tenho a sensação de que isso resultará em uma experiência de login pior para esse usuário.

Estamos procurando implantar um novo cluster de servidor de arquivos, uma das coisas que serão armazenadas nele serão os discos de perfil de usuário (UPDs) de área de trabalho remota do Server 2012 R2.

Minha pergunta é: é uma prática recomendada armazená-los em um cluster de servidor de arquivos padrão ou em um cluster de servidor de arquivos de escalabilidade horizontal (SOFS).

Meu entendimento é que o SOFS é destinado a arquivos vmdk do Hyper-V, pois eles estão constantemente abertos e essa é a intenção do SOFS. Não se destina a arquivos e pastas padrão que tenham um grande número de alterações de metadados.

Como os discos de perfil de usuário serão arquivos abertos por muito tempo e não aqueles que são constantemente abertos e fechados, eu teria pensado que eles seriam melhor colocados em um cluster SOFS.

Esperando que alguém possa me indicar as melhores práticas para discos de perfis de usuário em um cluster de servidor de arquivos e que tipo deve ser usado.

Estou tentando gerenciar nossos dois switches de fibra QLogic SANBox 5800v da minha estação de trabalho Windows 10.

Infelizmente, devido a problemas de compatibilidade com Java e IE, a interface do usuário da Web não funciona em uma máquina Windows 10. Em primeiro lugar, você precisa passar por aros com o modo de compatibilidade, sites confiáveis ​​e configurações de segurança Java, mas usando a versão mais recente do Java, apenas recebo uma mensagem de exceção Java (Acesso negado).

Atualmente, a única maneira de gerenciar esses switches usando uma GUI é a partir de um PC antigo com Vista com uma versão desatualizada do IE e do Java, e isso obviamente não é o ideal. O SANSurfer também está obsoleto, e também não consigo executá-lo no Windows 10.

A QLogic não pode me dizer como gerenciar via Windows 10 usando uma GUI e sugere que eu use apenas a CLI. Isso envolve ter que aprender comandos e sintaxe, etc., sobre os quais sou cauteloso, pois não tenho treinamento adequado em gerenciamento QLogic CLI e provavelmente acabarei fazendo algo que derrube os switches ativos.