Resource Guide for Using Microsoft NLB with ISA Server 2006 Enterprise Edition

Ottimo post di Jason Jones sul proprio blog inerente NLB - UNICAST/MULTICAST - con ISA Server 2006 Enterprise Edition.
Se avete un array di server ISA dovete leggerlo. Ovviamente il testo è in lingua inglese.

Il post lo potete leggere qui

Luca

IAG SP2 è Virtualizzato!!

Parlando con Luca De Angelis (PMM Security di Microsoft Italia) durante i Microsoft Days a Bari ho avuto modo di sapere che IAG (Internet Application Gateway) , con il prossimo rilascio del Service Pack 2, sarà disponibile anche come Virtual Machine e non più solo come Appliance Hardware.

Quest'ultimo passo avrà sicuremente l'effetto di svelare le potenzialità di IAG fino ad oggi poco conosciute, almeno fra i professionisti ISA Server che frequentano la Community di ISAserver.it.

E' comunque corretto segnalare che le soluzioni appliance in generale - includendo in questo anche ISA Server - non sono molto note. Il fatto poi che IAG sia stato fino ad oggi disponibile solo come appliance ne ha indubbiamente limitato la diffusione. E' necessario tener conto che il sistemista Microsoft pensa a Microsoft come un vendor di prodotti/soluzioni software e non come vendor di soluzioni hardware (anche se tramite partner). Conferma è data anche dal risultato del sondaggio lanciato su ISAserver.it sull'uso delle soluzioni hardware: ISA Server Appliance...questo sconosciuto.

IAG SP2 sarà utilizzabile con Microsoft Windows Server 2008 with Hyper-V e Microsoft Hyper-V Server. Non è quindi detto che sarà utilizzabile anche su altri Hypervisor, primis fra tutti VMWare ESX/ESXi.

Vi rimando anche al post di John Neystadt, architect del team IAG sulle ulteriori funzionalità introdotte con il Service Pack 2.

Luca

Riferimenti
Microsoft IAG team blog

Installare Network Monitor (Step-by-Step)

In questo post vedremo come installare la versione di Microsoft Network Monitor disponibile in forma nativa con la versione server di Windows. La versione di Windows a cui farò riferimento è la 2003 R2 SP2.

IMPORTANTE: In tutti i casi in cui vi troviate ad utilizzare un analizzatore di protocollo, o strumenti di diagnosi di rete, verificate sempre, sempre, sempre di essere autorizzati per il loro uso e di NON violare la privacy dei vostri utenti!!

Dove è necessario installare Network Monitor? Ovunque abbiamo la necessità di analizzare il traffico. Preferibilmente su una postazione dedicata al monitoraggio da connettere, all'occorenza, alla rete interna o esterna. Solo in caso di vera necessità installiamolo sulla macchina ISA Server. 

IMPORTANTE: Verificate di avere disponibili il CD/DVD o share contenente i file di installazione di Windows Server. Saranno rischiesti allo step 5.

	1. Andare su Start | Control Panel | Add or Remove Programs
2. Fare clic su Add or Remove Windows Components
	3. Selezionare Management and Monitoring Tools e poi fare clic su Details
4. Selezionare Network Monitor Tools e poi fare clic su OK
	5. Fare clic su Next per avviare l'installazione. Quando richiesto indicare la posizione dei file di installazione di Windows Server.
5. Fare clic su Finish per completare l'installazione.

Possiamo verificare la corretta installazione di Microsoft Network Monitor andando a visualizzare le proprietà del TCP/IP della connessione di rete. Sarà presente un nuovo driver di rete Network Monitor Driver.

Possiamo lanciare Microsoft Network Monitor da Start | All Programs | Administrative Tools | Network Monitor

Appena lanciamo Network Monitor è necessario indicare l'interfaccia di rete da utilizzare per l'acquisizione del traffico. Facciamo clic su OK e selezioniamo l'interfaccia di rete da utilizzare (questa potrà essere cambiata anche in un secondo momento).

IMPORTANTE: L'interfaccia di rete, per essere utilizzabile da Network Monitor, deve supportare la modalità promiscua.

A questo punto il nostro Network Monitor è installato e pronto all'uso.

 

Mi auguro che questo post vi sia utile.
Per domande e commenti scrivete tranquillamente sul forum di ISAserver.it.

Luca

Error Code 10060: Connection timeout

Vi segnalo un ottimo post di Yuri Diogenes sul blog del Team di sviluppo di ISA Server riguardante un errore che ISA Server rende manifesto: 10060 Connection Timeout o, nella versione italiana, si è verificato un timeout prima del recupero della pagina.

Di seguito vi riporto la schermata che viene visualizzata da ISA Server quando si scatena questo errore:
 
Qual'è la causa di questo problema?

"(...) ISA didn’t receive an answer from the destination host (...)"

9 volte su 10 il problema non è ISA Server ma ISA Server rende questo problema manifesto. Questo porta l'utente ad affermare erroneamente che il problema sia proprio ISA.

Come risolvere il problema?
Indagare...indagare...indagare.
Come giustamente evidenzia Yuri, vanno ricercate le cause che impediscono ad ISA di ricevere una risposta dall'host di destinazione prima che si scateni il timeout. 

Per prima cosa dobbiamo verificare di aver configurato in maniera corretta il TCP/IP del server Windows dove ISA Server è installato.
Vi rimando a questo mio post: Configurare correttamente il TCP/IP per ISA Server 2006 Standard.
Altro punto da verificare è il processo di risoluzione dei nomi DNS da parte del server DNS utilizzato da ISA Server. Non ultimo verificare il livello di latenza presente nella connettività WAN. Oltre  a questi aspetti possiamo approfondire l'analisi entrando nel merito della sessione HTTP mediante l'utilizzo di  analizzatori di protocollo come:
- Network Monitor (fra i componenti aggiuntivi di Windows Server)
- il nuovo Microsoft Network Monitor 3.2 
- WireShark  ecc. 

L'obiettivo e' quindi capire perché ISA Server non ricevere risposta dall'host di destinazione. Quindi giusto per ribadire un concetto fondamentale...

E' ISA Server che scatena il Timeout?  NO!

"(...) the timeout is a due the Windows Operating parameter under the TCP/IP stack or better saying the windows Sockets implementation called winsock.(...)"
fonte: ISABLOG

E' possibile modificare le condizioni di Timeout? Sì, ma non è raccomandato.

Intervenire sul registry Windows deve rappresentare l'ultima ratio. L'articolo KB191143 della Knowledge base Microsoft fornisce le indicazioni su dove/come intervenire per mitigare l'errore 10060.
E' necessario intervenire sul parametro TcpMaxDataRetransmissions, che controlla il numero di volte che Windows tenta di riconnettersi prima di generare un Connection Timeout, modificando il suo valore di default. E' possibile portare questo valore a 10, effetuare un test e nel caso in cui la condizione di Timeout permanga, a 20 e così via. E' bene tener presente che in questo modo mitigo l'effetto ma non risolvo la causa scatenante.

TcpMaxDataRetransmissions è un parametro di Windows e non di ISA Server ed è presente nel registry nella sezione HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

Il post integrale di Yuri Diogenes è consultabile qui

Luca

Microsoft Days 2008 - Bari - Community Afterhour (Foto e ringraziamenti)

Un grazie sincero a Microsoft Italia per l'opportunità offerta ad ISAserver.it per essere presente alla tappa su Bari dei Microsoft Days 2008.

Un ringraziamento speciale a Piergiorgio Malusardi, Renato Francesco Giorgini, Luca De Angelis ed a tutto lo staff Microsoft, per la loro disponibilità e cortesia. Grazie!!

Un ringraziamento speciale va ai fedelissimi che hanno partecipato, e tenuto duro, fino alle 22.00!! Ragazzi siete stati grandi. Non sono mancate le domande al termine delle sessioni...anche alle 22.00.

La sfida serale del Community Afterhour è stata davvero interessante, anche se l'orario serale non ha favorito molto le Community sistemistiche, in generale; davvero un peccato. Siamo soddisfatti lo stesso. Una occasione per confrontarsi, conoscersi in un contesto davvero unico; chi era presente ha avuto modo di constatarlo di persona.

P.s. - Il post sessione è proseguito per quasi due ore!!

Una esperienza da ripetere!

Grazie Microsoft
Luca

 

P.s. - Vi segnalo comunque che, come ISAserver.it e VMexperts.org, riproporremo la sessione tenuta durante il Community Afterhour in Webcast. Ulteriori dettagli sulle date saranno indicate sul blog e via newsletter.

Di seguito alcune foto scattate durante la nostra sessione, iniziata alle 20.00, subito dopo quella di UGISS di D. Mauri (UGISS).

Sessione 1 (20.00-21.00) Presentazione Infrastruttura Virtualizzata Speaker: il sottoscritto
	...preparazione della sessione, mentre UGISS chiude la propria. Un'ultima occhiata alla slide di apertura (sinceramente mi piace molto!! ;-))
...pronti ad iniziare
	Si inizia!
...Spiegazione della struttura virtualizzata su Hyper-V. La pagina Web presentata ed ospitata su Hyper-V è raggiungibile alla pagina: http://www.hyperv.it
	si procede con il resto della sessione..
Sessione 2 (21.00-22.00) ISA Server 2006 NLB & CARP Speaker: Giulio Martino (aka ISACab)
	Giulio alle prese con le domande!!
NLB & CARP, si entra nel vivo
	Approfondimenti...
Giulio procede fino al termine della sessione

ISAserver.it fra le Community Microsoft TechDays 2008

ISAserver.it, insieme alle principali Community ITPro italiane, sostiene il Microsoft TechDays WPC 2008 del 2/3/4 Dicembre 2008, il principale evento tecnico Italiano su Tecnologie Microsoft.

Le Community che sostengono i TechDays sono visibili nella homepage - http://www.techdays-wpc2008.it -.

Buon training

Luca

ISAserver.it ha raggiunto quota 800!!

Con l'iscrizione di mussom, il forum di ISAserver.it ha raggiunto la soglia degli 800 iscritti.  In soli 6 mesi ISAserver.it è cresciuta di ben 100 iscritti. Un passo avanti verso l'obiettivo dei 1000 iscritti entro il 2009; obiettivo che si presenta sempre più concreto.

Dal 2004 (anno di apertura di ISAserver.it) ad oggi, ISAserver.it è costantemente cresciuta, consolidando sempre più la propria posizione di leadership come Community Tecnica su Microsoft ISA Server / Forefront TMG.

E' corretto mettere in evidenza che allo stato attuale ISAserver.it, per numero di iscritti, post, articoli e iniziative (in presenza e online) è la principale Community a livello Europeo su Microsoft ISA Server / Forefront TMG.

Per il 2009 sono in arrivo anche altre interessanti novità per tutta la Community!!

Un grazie a tutti i membri che hanno reso ISAserver.it la prima Community tecnica italiana su Microsoft ISA Server / Forefront TMG.

Stay with us!!
Luca

Foto: ISA Server Jumpstart 2008 - 29/30 Ottobre - 2008

Qui di seguito sono riportate alcune delle foto scattate durante ISA Server Jumpstart 2008  del 29/30 Ottobre. Il sito di riferimento è http://www.isaserverjumpstart.com

Le foto sono state scattate durante le attività di laboratorio e durante la sessione 3 tenuta da E.Giacomin su Exchange Server 2003/OWA.

	Foto di gruppo scattata il 30.10.08 a chiusura di ISA Server Jumpstart 2008. In questa foto sono assenti due partecipanti...
...Attività tecnica direttamente sulle proprie postazioni di lavoro, con il supporto della documentazione tecnica, così da mettere immeditamente in pratica la teoria.
	Collaborazione e Confronto durante il workshop...
e approfondimento... E.Giacomin (speaker Sessione 3) in fondo, seduto, mentre illustra ad un discente (in piedi) i concetti sulla pubblicazione di Exchange direttamente sulla postazione di lavoro.
	E.Giacomin (speaker) durante la Sessione 3: Server Publishing (Exchange Server & OWA)
Un momento della pausa caffé...

Mi auguro che queste foto, altre saranno pubblicate direttamente su http://www.isaserverjumpstart.com insieme ad un video, possano dare l'idea di cosa è ISA Server Jumpstart. Un momento di confronto, approfondimento e condivisione in un ambiente informale e rilassato dove poter parlare, conoscere ed utilizzare Microsoft ISA Server. 
ISA Server Jumpstart è un evento tecnico ISAserver.it e riservato ai soli membri della Community.

Un sincero GRAZIE a tutti i partecipanti di questa edizione ed un ringraziamento particolare agli sponsor: Microsoft Italia, GFI Software Ltd e nAppliance Inc. per il sostegno che hanno dato a questa edizione.

Al prossimo Jumpstart - http://www.isaserverjumpstart.com -  in Ottobre 2009!!

Luca

Microsoft TechDays WPC - dal 2 al 4 dic - Milano

Microsoft Italia organizza Microsoft TechDays 2008, tre giorni di tecnologia e novità. Dal 2 al 4 Dicembre prossimo a Milano, presso il Centro Congressi - Strada 1 Milanofiori - Assago (MI).

Fino al 22 Novembre è possibile iscriversi a condizioni economiche agevolate.

Ulteriori informazioni sul sito TechDays: http://www.techdays-wpc2008.it/

Buon training

Luca

3 Voucher GRATIS per esami Microsoft MCP

Ai primi 3.000 candidati che sosterranno il nuovo esame in Beta 70-113: TS: Windows Server 2008 Active Directory, Configuring verranno regalati tre voucher d'esame MCP. L'esame dovrà essere registrato e sostenuto a partire dal 17 al 31 Dicembre 2008.

Durante la fase di registrazione all'esame sul sito Prometric dovrete utilizzare il codice promozionale H640. Grazie a questo codice potrete sostenere l'esame in Beta gratuitamente.

Importante: L'esame NON è valido per la certificazione e NON viene registrato sul transcript.

Di seguito il testo originale:

(...)

The new pilot exam, 70-113: TS: Windows Server 2008 Active Directory, Configuring, tests candidates' abilities to actually perform tasks and solve problems like they would on the job. Due to popular demand, the beta period for this exam has been extended. Customers should register by December 17 and complete the exam by December 31.
The first 3,000 candidates to complete the exam will receive three free exam vouchers that can be used for any Microsoft Certification exam delivered at Prometric. This pilot exam will not be added to candidates' transcripts, and they must take the exam in its released form in order to be awarded the credential.
This Virtual Lab--based pilot is available worldwide, with high concentrations of test centers ready to receive registrations in Malaysia, Australia, New Zealand, the Philippines, Saudi Arabia, the United Kingdom, Egypt, the United Arab Emirates, South Africa, the United States, India, Eastern Europe, Russia (Moscow), and China.

1. Go to the Prometric Web site.

2. Schedule an appointment at your local exam provider for Microsoft Exam 70-113: TS: Windows Server 2008 Active Directory, Configuring.

3. On the Payment Information page, under Promotion Code or Voucher, click Yes. Select Promotion Code, and type H640 (promo code is active until December 31).

Please send your opinion about this exam experience to pbexam@microsoft.com.

(...)

Una occasione unica DA NON PERDERE. Vi ricordo che il costo di un voucher è di ca. 150€!!

Luca

The Next Version of ISA Server (“live” from TechEd EMEA)

Direttamente dal TechEd di Barcellona, cominciano a trapelare indiscrezioni sulla nuova release di ISA Server, che come sappiamo si chiama Forefront TMG.

ISAserver.it, nella mia persona, come membro dell'Advisory Group ha gia' sotto mano una release del nuovo ISA. Purtroppo tutto è coperto da NDA, ma dal post di Roger Halbheer si comincia già a vedere di cosa si tratta...

• (...)ISA Server will be renamed in Threat Management Gateway and will be part of the Forefront Suite. Therefore TMG (the new abbreviation for Threat Management Gateway) will collaborate and share information with the other Forefront products in your network (e.g. Forefront Client Security, NAP etc) in order to assess the threats and protect information. This would mean that if a client sends out information to the Internet on an unusual level, we will block it, but it into Quarantine and Scan it… Way cool.
  • It you want to, you can block encrypted zip-files :)
• Web Protection:
  • Scan files that are downloaded by the users for malware and block them on the gateway by the TMG server.
    • We can even inspect outbound SSL traffic as we are bridging SSL on the server if you want it. The user is informed that SSL will be inspected. This is very important from a privacy perspective. So, with this technology we can block invalid or expired certs. Last but not least here, you can exclude certain sites or site groups (e.g. Finance and Banking) from the SSL inspection. So, you can configure it the way that you do not inspect the traffic but the certificate will be validated or nothing is done at all.
    • For large files, the user gets a page to inform him/her that the file is downloaded by the TMG server and scanned there. If it is ok, it is forwarded to the client. Whether this is kicked off it decided by the download time (more than 10s).
    • We can handle files in cache as well.
  • We include URL filtering
    • Block sites you do not want the users to browse to
    • We can even categorize sites (e.g. to categorize them as Malicious) and you can override the setting as you need.
• Logging and Reporting
  • The console itself still looks very similar to what you are used to from ISA Server 2006 – there is no need to change a lot, isn’t it?
  • We enhanced logging with e.g. the information we just touched upon above.
  • There is a new node called Web Access Policy where you configure all the different policies above. There is even a really good wizard to deploy these policies.
• Active Protection Technology (Network Intrusion System from Microsoft Research named GAPA)
  • GAPA will be part of Forefront Client Security as well.
  • As I said above, there will be quite some ways to protect your network from attacks. By determining unusual behavior we can block traffic from infected machines and in addition we would be able to kick off actions in the rest of the product suite.
  • We will deliver signatures to help you a little bit in order to gain some time before you patch as we learned that the average customer needs more than a month to deploy a security update. To be clear here: This does not replace proper patch management!
• Network Access Protection
  • We include NAP into the VPN part of the product. We had quarantine in the VPN implementation of ISA Server 2004 already. However, for a lot of customers that took them a long time to deploy as they had to write customer scripts. With NAP you can build on the same technology you can deploy on your network and it is much easier than the scripting version. However, do not just switch it on – this is a project not just a feature…..
  • The nice thing is that you not only check the machine during the logon but during the whole session. So, if the machine falls out of compliance during a session, it is taken into quarantine, fixed and brought back to the network again..
• Array Support
  • You will be able to take two Standard server, join them and have an array. There will still be an Enterprise version to manage multiple arrays but for smaller deployments, this is definitely good news.
• And a lot more (...)

fonte: Blog Microsoft Technet

Il post completo è consultabile sul blog di Roger qui.

ISA Server Jumpstart segnalato su GFI.COM

ISA Server Jumpstart è stato inserito nell'elenco degli eventi segnalati da GFI Software Ltd.

 
Altro punto a favore dell'unico evento tecnico in Italia (ed in Europa) su Microsoft ISA Server / Forefront TMG.

Colgo l'occasione per ricordare i prossimi appuntamenti:

ISA Server Technical Day - 14 Novembre - Roma

Microsoft Days 2008 - 26 Novembre - Bari

A presto

Luca

Configurare correttamente il TCP/IP per ISA Server 2006 Standard

Di seguito vi riporto lo schema corretto per configurare il TCP/IP di ISA Server in configurazione Edge (LAN,WAN). In particolare è necessario porre particolare attenzione a DOVE è definito il default gateway, il DNS e l'ordine del Binding delle interfacce di rete.

La LAN è configurata nel seguente modo:

LAN

La WAN invece in questo:

WAN

Il binding - Start | Control Panel | Network Connections dopodichè Advanced | Advanced Settings - delle interfacce di rete deve essere il seguente, con la LAN in testa all'elenco e poi la WAN:

BINDING

Nota: Il processo di risoluzione dei nomi su Internet è affidato al server DNS interno (JMP-DC) configurato per utilizzare i Forwarder; tipicamente il server DNS dell'ISP.

FORWARDES

Configurazione della Firewall Policy di ISA Server
Durante il processo di setup, per verificare che tutti funzioni in maniera corretta durante il processo di risoluzione dei nomi, creare una Access rule del tipo All Open così fatta:
 
Per domande e commenti vi aspetto sul forum di ISAserver.it

Luca

Unable to retrieve data from: JMP-ISA02

Credo che sia capitato a molti di scontrarsi con un problema legato alla sincronizzazione della configurazione fra il CSS ed i nodi ISA Server. Ovviamente stiamo parlando della versione Enterprise. Di seguito vi illustro una situazione che genera questo tipo di errore con relativa soluzione.  Come sempre la disattenzione crea solo problemi...

Consideriamo una infrastruttura Enterprise con ISA Server 2006 EE SP1 costituita da 1 CSS, 2 Nodi ISA e 1 DC.

Tutti i server sono membri del dominio corp.isaserver.it:
JMP-DC  :  Domain Controller
JMP-CSS : Configuration Storage Server e ISA Management
JMP-ISA01 : Nodo 1 ISA Server 2006 SP1
JMP-ISA02 : Nodo 2 ISA Server 2006 SP1

Nota: Chi ha partecipato ad ISA Server Jumpstart conosce bene queste macchine!!

I nodi JMP-ISA01 e JMP-ISA02 sono configurati con 3 NIC: 1 - LAN, 1 - HB, 1 - WAN
JMP-DC e JMP-CSS sono configurati con una sola NIC.

Le interfacce di JMP-ISA01 sono configurate nel seguente modo

LAN

WAN

Al termine della installazione e configurazione dell'Array tutto funziona correttamente, NLB ecc. Lanciando la Management Console si vedono chiaramente i due nodi in linea:

Per un qualunque motivo ci troviamo a dover modificare la configurazione delle interfacce di rete LAN e WAN. In questo caso dobbiamo scambiare la configurazione della LAN con quella della WAN su entrambi i nodi. Al termine del processo di scambio, lanciando la Management Console su JMP-CSS, solo uno dei due nodi risulta, online.


L'aspetto curioso è che se lanciate la Management Console da JMP-ISA01 o JMP-ISA02 i nodi risultano in linea (come difatto erano). Le modifiche fatte alla configurazione dell'array sono comunque propagate a JMP-ISA02. L'array funziona correttamente, l'NLB funziona correttamente...insomma è tutto funzionante, solo che per JMP-CSS il nodo JMP-ISA02 non è in linea. Questo pone un problema durante la fase di Monitoring in quando, essendo non in linea per JMP-CSS, non posso analizzare i log di JMP-ISA02 da JMP-CSS. L'unica soluzione sarebbe andare direttamente su JMP-ISA02...ma non e' una soluzione.

Da JMP-CSS lanciando un ping verso JMP-ISA02 (il nodo che è visto fuori linea) si ottiene un risultato che svela l'arcano (errore):

Dal reply risulta infatti che JMP-ISA02 è risolto via NETBIOS e non via DNS - tutti i nodi sono membri del dominio e sono configurati per usare il DNS -. JMP-ISA02 è invece risolto via NETBIOS. Controllando la zona corp.isaserver.it su JMP-DC è mancante il RR di JMP-ISA02.
Andando ad analizzare la configurazione del TCP/IP dell'interfaccia di rete LAN di JMP-ISA02 risulta mancante proprio il flag su Register this connection's addresses to DNS. Non è stato settato durante lo scambio di configurazione fra le interfacce LAN e WAN. Sulla WAN infatti non deve essere configurato, sulla LAN invece Sì.

 

A questo punto, abilitato il flag sulla interfaccia LAN e registrato JMP-ISA02 sul DNS con un bel ipcoconfig -registerdns il problema si è magicamente risolto. Infatti da JMP-CSS lanciando la ISA Management console i due nodi risultano nuovamente in linea.
Nota: Per vedere immediatamente gli effetti su JMP-CSS è necessario lanciare un ipconfig -flushdns, chiudere e aprire la ISA Management Console.

La lezione imparata da questa situazione è la seguente: Registrare tutte le modifiche fatte alla configurazione dei nodi ed in particolar modo le impostazioni del TCP/IP legate alla registrazione del nome host sul server DNS. 

Quindi:

1. Controllare la zona primaria per verificare l'esistenza del RR che punta al nodo fuori linea

2. Verificare che il flag Register this connection's addresses in DNS sia impostato per tutte le interfacce LAN dei nodi dell'array.

Ancora una volta il DNS dimostra la sua grande importanza.

Domande e commenti sul forum di ISAserver.it

Luca