Global Catalog Servers

Global Catalog Servers contain a partial replica for every object in Active Directory. A Global Catalog Server is used to find objects in any domain in the forest. Any Domain Controller can be made into a Global Catalog Server.

Global Catalog Servers are used to find objects in any domain in the forest but it should be remembered that this does not give the user access to that object. Unless the user has the correct permissions they will not be able to access resources in other domains.

Global Catalog Servers also contain information about groups that span across domains and services that work at the forest level.

How to change a Domain Controller to a Global Catalog Server 04:18
Using the admin tool Active Directory Users and Computers to navigate to the computer account for your Domain Controller. By default this will be located in the Domain Controllers OU.
Open the properties for the Domain Controller and select the button NTDS settings.
Deselect or select the tickbox Global Catalog. Windows will do the rest.

Reasons to deploy Global Catalog Servers
Reason 1
Domain Controllers generate a security token for a user when they first login. If the user is in a group that spans multi–domains, that Domain Controller will need to contact a Global Catalog to get information about that group.
Reason 2
If a user logs in using a Universal Principal Name (UPN), that is, they log in using a user name in the form of username@domainname, a Domain Controller will need to access a Global Catalog Server before the log in is completed.
Reason 3
Global Catalog Servers work as an index to the forest. If you perform any searches on the forest you will need to contact a Global Catalog Server.
Reason 4
Microsoft recommends that any network that is separated by a Wide Area Network have a Global Catalog Server deployed at that location. This will ensure that users can log on if the Wide Area Network is down. In order for a computer to contact a Global Catalog Server, ports 389 (LDAP) and 3267 (Global Catalog) need to be opened. If these ports are not open then the user will not be able to use the remote Global Catalog Server.
Reason 5
Some software requires a Global Catalog Server in order to run. Exchange is a big user of the Global Catalog Server. If you have a decent amount of Exchange users on your network, you should consider deploying a Global Catalog Server close to these users.

Reasons not to deploy a Global Catalog Server
Global Catalog Servers put more load on the server in the form of searches and lookups from the client.
Global Catalogs need to keep their index up to date. This requires more network bandwidth.
In order to store the Global Catalog Server, you are required to have additional hard disk space on your server.

Planning and Designing Exchange 2010

One of the most frequent asked questions is defining storage configuration for Exchange 2010, what type of disk to go with and what type of RAID should be used. In reality most of these will depend upon your IT spending at the time when you plan or purchase this equipment.

If you are looking for advice or justification as what to purchase or perhaps doing design you might want to start reading links I am providing. Most of these generic questions have been answered in great details. Pay attention to “Best Practices” section the most (- :

Most of the best practices familiar but including DAG and redundancy less to worry if you go with redundant logs and databases.

Database size Supported up to 16 TB as best practice is less than 2 TB and provision 120% calculated maximum database size. In reality the major changes in ESE database and huge reduction on I/O requirements made Exchange more to give when it comes to databases. This is one of the primary reason Exchange even added “Archived database” out the box, since there is no longer I/O fear exist in a way in Exchange 2010 if you compare to previous versions. Still selecting fast disk should be preferred and give as much memory and CPU power to Exchange servers in reasonable measures and fallowing MS best practices as guidelines for each role and capacity.

• Mailbox Storage Design Process
• http://technet.microsoft.com/en-us/library/ff367907.aspx
• Understanding High Availability Factors
• http://technet.microsoft.com/en-us/library/ee832790.aspx
• Understanding Storage Configuration
• http://technet.microsoft.com/en-us/library/ee832792.aspx
• Understanding Exchange 2010 LUN Architecture
• http://technet.microsoft.com/en-us/library/ee832794.aspx
• Exchange 2010 Mailbox Server Role Design Example
• http://technet.microsoft.com/en-us/library/ee832789.asp

Cheers,

Best regards,

Oz Casey , Dedeal

Planning HA/DR System for Exchange 2007

Đã khá lâu rồi tôi mới lại tiếp tục bài viết thứ hai về Disaster Recovery cho Exchange 2007 sau bài viết đầu tiên về HA cho Exchange 2007. Tôi thực hiện bài viết này khi nhận thấy các khách hàng Enterprise bắt đầu có nhiều nhu cầu về DR cho hệ thống thư tín Exchange vốn dĩ càng lúc càng trở nên quan trọng. Ngoài ra bài viết này cũng giải tỏa phần nào thắc mắc về giải pháp DR cho Exchange 2007 từ các Microsoft Partners mà tôi từng tiếp xúc.

Trước khi đi vào chi tiết, tôi xin có vài lời giới thiệu về thuật ngữ Disaster Recovery để rộng đường cho phần trình bày phía sau. Disaster Recovery tiếng việt nghĩa là khôi phục sau thảm họa (tự nhiên/con người/máy móc) theo định nghĩa là các quy trình,chính sách liên quan đến câu chuyện chuẩn bị cho việc phục hồi hay bảo đảm tính liên tục của những thành phần hạ tầng quan trọng đối với doanh nghiệp mà trong đó hạ tầng CNTT là một thành tố ko thể thiếu. Disaster Recovery Planning là một phần ko bao giờ thiếu trong câu chuyện hoạch định Business Continuity Planning. Mà đã nói về BCP thì ai cũng hiểu câu chuyện security cuối cùng quay về chuyện đảm bảo cho Business Up and Running. Nói đến DR người ta hay nói về 2 thành tố Khoảng Thời Gian Mất Dữ Liệu (Recovery Point Object – RPO) và Thời Gian Tiêu Tốn Cho Phục Hồi Dữ Liệu (Recovery Time Object – RTO). Vì vậy có thể nói việc hoạch định HA/DR là một phần rất quan trọng trong các giải pháp tổng thể về an ninh đặc biệt với các chuẩn an ninh như ISO 27000/SOX.

Khá nhiều nhầm lẫn giữa 2 thuật ngữ HA (High Availability) và DR (Disaster Recovery) nên tôi cũng xin brief sơ qua như sau: HA có thể hiểu là giải pháp nhằm ngăn chặn downtime hệ thống xảy ra nhằm đảo bảo tính ổn định của hệ thống (Availability) trong khi DR lại là giải pháp nhằm sử lý những sự cố mà HA không thể giải quyết rốt ráo như mất điện/động đất/thiên tai và DR không nhằm ngăn chặn downtime mà chỉ cốt sao để rút ngắn thời gian downtime hệ thống xuống mức thấp nhất có thể. Vì thế ta sẽ thấy các giải pháp HA sẽ có khả năng automatic failover/failback trong khi ở các giải pháp DR thường chỉ là manual failover/failback mà thôi.

Trên thực tế qua tiếp xúc với nhiều khách hàng và partner tôi nhận thấy rằng mọi người mau chóng vồ vập vào các giải pháp công nghệ để xử lý cho vấn đề HA/DR Exchange mà lại quên đi rằng phần hoạch định cho nó mới là cốt lõi. Để hoạch định cho câu chuyện HA/DR chúng ta cần phải xác định từ nhu cầu liên quan đến Business Continuity để từ đó xác định ra danh sách các rủi ro đồng thời dựa trên yếu tố kinh phí và mức độ chấp nhận rủi ro của doanh nghiệp để hoạch định ra các giải pháp để xử lý cho những rủi ro cần được triệt tiêu. Đối với hệ thống thư tín Exchange, chúng ta có thể tự trả lời các câu hỏi sau để xác định các rủi ro cần triệt tiêu:

1. Mức độ dịch vụ nào cần được tuân thủ khi trung tâm dữ liệu chính ngưng hoạt động hoàn toàn?
2. Người dùng sẽ cần dữ liệu mail và dịch vụ mail hay cả hai ?
3. Thời gian tối đa (RTO) mà người dùng chấp nhận được khi hệ thống thư tín ngừng hoạt động ?
4. Khi hệ thống thư tín tại trung tâm dữ liệu chính ngừng hoạt động thì có bao nhiêu người bị tác động và bao nhiêu trong số đó cần được đảm bảo sự thông suốt của dịch vụ/dữ liệu thư tín ?
5. Khi có sự cố xảy ra thì quá trình khôi phục từ phía người dùng sẽ ra sao ? (Người dùng phải hiệu chỉnh Outlook profile, người dùng phải restart outlook, IT phải flushdns trên máy tính đầu cuối….)
6. Mức độ cam kết dịch vụ (SLA) trong câu chuyện khởi động trung tâm dữ liệu dự phòng sẽ là gì ?
7. Quá trình khôi phục trở lại hệ thống thư tín khi trung tâm dữ liệu chính được khôi phục sẽ như thế nào ?
8. Tài nguyên dành cho hệ thống thư tín ở trung tâm dữ liệu dự phòng sẽ ở hình thức passive (chỉ phát huy tác dụng khi sự cố ở DC chính xảy ra) hay active (sẽ được sử dụng song song cùng với DC chính chứ không đơn thuần là backup).

Sau khi đã có được feedback từ phía người người cuối (COO lẫn những người phụ trách các phòng ban chẳng hạn) và CIO từ bộ survey bên trên, chúng ta sẽ quyết định xem các rủi ro về mặt kĩ thuật có thể xảy ra với hệ thống Exchange nào dưới đây cần phải triệt tiêu theo thứ tự ưu tiên:

• Các tác nhân có thể tạo ra rủi ro cho hệ thống Exchange:

  1. Phần mềm bị hỏng chẳng hạn đơn giản services Exchange system attendant không start được hoặc service IIS w3vc trên Client Access Server bị lỗi chẳng hạn.
  2. Phần cứng phục vụ cho hệ thống thư tín bị hỏng hóc chắng hạn như CPU hoặc bus controller của Mailbox Server bị hư hoặc RAID Controller link đến LUN chứa Mailbox DB hoặc Log bị hư chẳng hạn.
  3. Database bị hỏng do lỗi ứng dụng hoặc lỗi phần cứng khi lưu trữ hoặc replicate chẳng hạn.
  4. Kết nối mạng heartbeat giữa các node cluster bị hỏng hoặc kết nối WAN giữa 2 DataCenter bị hỏng.
  5. Các lỗi do con người gây ra hoặc vô tình hoặc cố ý làm mất dữ liệu thư tín như mail item chẳng hạn.
  6. Sự cố virus có thể khiến các role của Exchange bị tê liệt dẫn đến ngưng trệ dịch vụ hệ thống chẳng hạn.
  7. Các hệ thống hạ tầng liên quan bị ảnh hưởng như DNS bị lỗi hoặc DC/Global Catalog ở site có Exchange Server ngừng hoạt động.
  8. Các sự cố về thảm họa như chập điện/cháy nhà/hỏng hệ thống cooling/động đất/khủng bố…

Tại thời điểm này chúng ta đã có thể bắt tay vào việc hoạch định giải pháp kĩ thuật để ngăn ngừa và giảm thiểu downtime gây ra từ các rủi ro đó. Ở đây tôi sẽ liệt kê ra tất cảc các rủi ro kĩ thuật và giải pháp xử lý đi kèm để mọi người dễ theo dõi và hoạch định. Trên thực tế thì chúng ta nên tập trung mạnh vào các phần liên quan đến máy chủ Mailbox Server để đảm bảo toàn vẹn dữ liệu trước tiên sau đó mới đến đảm bảo dịch vụ thư tín qua việc bảo vệ các vai trò khác của Exchange Server 2007.

• Các rủi ro kĩ thuật đối với Exchange và giải pháp kĩ thuật tương ứng:

  1. Mất mát mail item:
     1. Chính sách xóa retention cho mail item của Exchange 2007 (mặc định là 14 days).
     2. Sử dụng Recovery Storage Group để khôi phục Mail item bằng các giải pháp backup VSS như System Center DPM 2007 chẳng hạn.(***)
     3. Sử dụng giải pháp chống virus/spam Microsoft Forefront for Exchange cho các Role Edge/Hub/Mailbox.(***)
• Mất mát cả mailbox của người dùng:
  1. Chính sách xóa retention cho Mailbox của Exchange 2007.
  2. Sử dụng Recovery Storage Group để khôi phục Mailbox bằng các giải pháp backup VSS như System Center DPM 2007 chẳng hạn.(***)
  3. Sử dụng giải pháp chống virus/spam Microsoft Forefront for Exchange cho các Role Edge/Hub/Mailbox.(***)
• Mất mát cả mailbox database:
  1. Sử dụng VSS Clone cho Mailbox Database nếu lưu trữ trên SANs.
  2. Sử dụng các giải pháp RAID để scale up cho hệ thống lưu trữ mailbox DB và Log.
  3. Sử dụng LCR Cluster của Exchange để bảo vệ Mailbox DB và Log ở mức độ Disk.
  4. Sử dụng CCR Cluster của Exchange để bảo vệ Mailbox DB và Log ở mức độ Server.
  5. Sử dụng Recovery Storage Group để khôi phục Mailbox bằng các giải pháp backup VSS như System Center DPM 2007 chẳng hạn.(***)
  6. Sử dụng SCR cùng site với tính năng Database portability để chuyển mailbox sang máy chủ Mailbox khác.
  7. Sử dụng giải pháp chống virus/spam Microsoft Forefront for Exchange cho các Role Edge/Hub/Mailbox.(***)
• Mất mát cả public folder database:
  1. Sử dụng VSS Clone cho Public Folder Database nếu lưu trữ trên SANs.
  2. Sử dụng các giải pháp RAID để scale up cho hệ thống lưu trữ Public Folder DB.
  3. Sử dụng LCR Cluster của Exchange để bảo vệ Public Folder DB ở mức độ Disk.
  4. Sử dụng CCR Cluster của Exchange để bảo vệ Public Folder DB ở mức độ Server.
  5. Sử dụng Recovery Storage Group để khôi phục Public Folder bằng các giải pháp backup VSS như System Center DPM 2007 chẳng hạn.(***)
  6. Sử dụng giải pháp chống virus/spam Microsoft Forefront for Exchange cho các Role Edge/Hub/Mailbox.(***)
• Mất mát cả mail storage group:
  1. Sử dụng VSS Clone cho LUN chứa data của Mail Storage Group nếu sử dụng SANs.
  2. Sử dụng các giải pháp RAID để scale up cho hệ thống lưu trữ data của Mail Storage Group.
  3. Sử dụng LCR Cluster của Exchange để bảo vệ data của Mail Storage Group ở mức độ Disk.
  4. Sử dụng CCR Cluster của Exchange để bảo vệ data của Mail Storage Group ở mức độ Server.
  5. Sử dụng Recovery Storage Group để khôi phục Mail Storage Group bằng các giải pháp backup VSS như System Center DPM 2007 chẳng hạn(***)
  6. Sử dụng giải pháp chống virus/spam Microsoft Forefront for Exchange cho các Role Edge/Hub/Mailbox.(***)
• Mất mát cả Exchange Mailbox Role Server (*):
  1. Dữ liệu + Dịch Vụ:
     1. Sử dụng các giải pháp về scale up phần cứng như tăng CPU/ECC cho RAM/RAID cứng/Dual Fan/Dual NIC/Dual HBA Controller/Dual SANs Switch/Dual SANs Storage.
     2. Sử dụng giải pháp chống virus/spam Microsoft Forefront for Exchange cho Role Mailbox. (***)
     3. Sử dụng DPM SRT để backup cả OS + SystemState và dùng Recovery Storage Group bằng DPM 2007 để khôi phục các Storage Group để làm HA Local. (***)
  2. Dữ liệu:
     1. Sử dụng giải pháp về scale out SCC (Shared Storage) với SANs cho HA local và SANs Replication cho DR Site. (**)
     2. Sử dụng giải pháp scale out kết hợp giữa SCC làm HA tại local site và SCR để làm DR (SCC + SCR) sang DR DataCenter. (**)
     3. Sử dụng giải pháp scale out CCR local site giữa 2 node cluster Mailbox Server để làm HA và CCR mở rộng giữa 2 node cluster Mailbox Server nằm ở 2 DataCenter khác vùng vật lý cùng AD Site và khác subnet (Stretched CCR Cluster) để làm DR.
     4. Sử dụng giải pháp scale out kết hợp giữa CCR làm HA tại local site và SCR để làm DR sang DR DataCenter theo dạng Active/Passive DataCenter Mode tức là hệ thống DR tại DR Site chỉ có tác dụng khi DC chính down.
     5. Sử dụng giải pháp scale out kết hợp giữa CCR làm HA tại local site và SCR để làm DR sang DR DataCenter theo dạng Active/Active DataCenter Mode tức là 2 hệ thống DC sẽ hoạt động song song và backup lẫn nhau.
     6. Sử dụng giải pháp consolidate cluster với Hyper-V giữa các VM Mailbox Exchange với Sans để HA cho local site hoặc Hyper-V với SANs Replication cho các VM Exchange Mailbox Role Server giữa 2 hệ thống SANs nằm ở 2 DC để DR.
• Dịch vụ:
  1. Bản chất thông tin cấu hình của Mailbox 99% nằm trong Database AD do đó để đảm bảo khả năng khôi phục cho dịch vụ Exchange thì cần đảm khảo độ ổn định của database AD.
  2. Sử dụng switch setup /m:RecoverServer để khôi phục dữ liệu cấu hình của Mailbox Role từ AD.
• Mất mát cả Exchange Hub Transport Role Server:
  1. Sử dụng các giải pháp về scale up phần cứng như tăng CPU/ECC cho RAM/RAID cứng/Dual Fan/Dual NIC.
  2. Sử dụng giải pháp scale out bằng cách triển khai cùng lúc nhiều node Hub Transport để HA local site và đặt thêm server Hub Transport tại DR Site để DR.
  3. Sử dụng giải pháp backup systemstate và config data bằng System Center DPM 2007.(***)
  4. Do 99% dữ liệu cấu hình của HT Role nằm trong database AD do đó có thể sử dụng switch setup /m:RecoverServer để khôi phục cấu hình cho HT Role từ DB AD.
  5. Sử dụng giải pháp chống virus/spam Microsoft Forefront for Exchange cho Role Hub Transport.(***)
• Mất mát cả Exchange CAS Role Server:
  1. Sử dụng các giải pháp về scale up phần cứng như tăng CPU/ECC cho RAM/RAID cứng/Dual Fan/Dual NIC.
  2. Sử dụng giải pháp scale out bằng cách triển khai NLB các node CAS local để HA local site và triển khai thêm CAS ở DR Site không dùng NLB để DR.
  3. Thông tin cấu hình của CAS nằm trong AD và IIS Metadata. Tuy nhiên khi sử dụng setup /m:RecoverServer thì ko nên restore IIS Medata mà nên dùng IIS change log để cấu hình lại.
  4. Vì CAS không phải là nơi mà mai chạy qua mà chỉ là điểm cung cấp truy cập nên chỉ cần sử dụng các giải pháp chống virus cho Endpoint như Microsoft Forefront Client Security.(***)
• Mất mát cả Exchange Edge Transport Role Server:
  1. Sử dụng các giải pháp về scale up phần cứng như tăng CPU/ECC cho RAM/RAID cứng/Dual Fan/Dual NIC.
  2. Sử dụng giải pháp scale out bằng cách triển khai nhiều Server Edge Transport local kết hợp sử dụng DNS MX Record giữa các server này để HA local site và cũng như triển khai thêm Edge Transport tại DR Site và thay đổi MX Record để làm DR .
  3. Sử dụng giải pháp backup systemstate và config data bằng System Center DPM 2007.(***)
  4. Sử dụng các powershell script nhưExportEdgeConfig.ps1 và ImportEdgeConfig.ps1 có sẵn trong thư mục cài đặt của Exchange để backup/restore thông tin cấu hình.
  5. Sử dụng giải pháp chống virus/spam Microsoft Forefront for Exchange cho Role Edge Transport.(***)
• Mất mát hệ thống hỗ trợ backend như AD/DNS:
  1. Có DR Plan cụ thể cho hạ tầng AD/DNS với các giải pháp scale out/scale up/antivirus cũng cần được quan tâm tương xứng nhằm đảm bảo phải luôn có 1 DC/GC và DNS để phục vụ cho hạ tầng Exchange khi xảy ra Disaster.
• Mất mát hệ thống hỗ trợ backend như phần cứng/tưởng lửa/hạ tầng DC:
  1. Có DR Plan cụ thể cho các phần hạ tầng này nhằm đảm bảo mọi thứ ready khi cần recovery sang DR Site.

* Tại sao không sử dụng các phải pháp relay database: Sẽ có câu hỏi như vậy được đặt ra trong buổi brainstorm về giải pháp DR liên quan đến role Mailbox Server. Vì vốn dĩ giải pháp scaleout CCR/SCR sử dụng công nghệ log shipping nên traffic replication sẽ là tối ưu so với phương pháp relay database.

** Sử dụng SANs-to-SANs replication Solution hay SANs-to-SCR replication: câu trả lời sẽ tùy thuộc vào kinh phí và yêu cầu về RTO/RPO cho hệ thống Exchange. Nếu kinh phí là yếu tố quan trọng trọng thì nên cân nhắc sử dụng SANs-to-SCR vì công ty sẽ không phải chi nhiều tiền cho license Geo-cluster ở giải pháp SANs-to-SANs replication.

*** DPM + Forefront for Exchange/Forefront Client Security: việc sự dụng các giải pháp này sẽ cần kết hợp với các giải pháp khác trong từng nhóm rủi rỏ để đảm bảo RPO/RTO

• Best Practices để đảm bảo RPO/RTO cho DR hệ thống Exchange 2007:

Giải pháp kĩ thuật thì có rất nhiều và rất đa dạng và thậm chí nó quá tinh xảo đến mức dễ khiến chúng ta xa đà vào nó mà quên mất mục tiêu chính là chúng được đẻ ra để giúp chúng ta đạt được RPO/RTO cho DR Exchange. Vì vậy chúng ta nên có những kế hoạch thử nghiệm và tập huấn nhân sự sao cho giải pháp kĩ thuật thật sự phát huy đúng năng lực và phù hợp nhất với doanh nghiệp cả về yêu cầu RTO/RPO Business Continuity lẫn yếu tố kinh phí. Sau đây tôi xin liệt kê một số thông tin mà nhóm làm DR Exchange cần thực hiện:

1. Kiểm tra công năng lực giải pháp kĩ thuật nhằm đảo bảo SLA khi Disaster xảy ra. Công đoạn Proof Of Concept (POC) cần được thực hiện và document chi tiết để đảm bảo giải pháp công nghệ là phù hợp. Vì đôi khi không cần sử dụng đến các hệ thống SANs và chi phí license đắt tiền cho SANs Replicaton mà chỉ sử dụng các tính năng Out Of Box về HA/DR của Exchange 2007 như CCR/SCR vẫn có thể đảm bảo SLA.

2. Tập huấn định kì các giải pháp ứng phó khi xảy ra các sự cố. Không có những con người sẵn sàng cho các tình huống xấu với hệ thống Exchange thì những cam kết của giải pháp công nghệ trị giá hằng triệu đô cũng chỉ là con “zero”. Câu chuyện tập huấn không chỉ mang tính định kì theo tháng hay theo quý mà còn phải có sự tham gia của cả người dùng lẫn quản trị hệ thống vì khi Disaster xảy ra đôi khi sẽ cần nhiều sự tương tác từ phía người dùng cuối chứ không phải trong suốt như lời quảng bá của một số giải pháp công nghệ.

3. Đảm bảo dữ liệu backup và đường truyền sẵn sàng. Rất nhiều giải pháp Backup CDP (Continuous data protection) còn được biết đến như zero data loss nhưng khi restore dữ liệu thì lại không hoạt động do đó câu chuyện đảm bảo dữ liệu backup sẵn sàng là điều tối quan trọng. Đường truyền/IP/Certificate cũng là những yếu tố thường bị bỏ qua trong kế hoạch DR. Chẳng hạn mọi thứ đều sẵn sàng nhưng khi failover sang DR Site mà doanh nghiệp lại không có IP tĩnh cho Server Edge Transport khiến người dùng không thể gửi/nhận thư tín với bên ngoài.

4. AD/DNS là xương sống cho hệ thống Exchange. Điều này phải luôn được đề cao trong giải pháp DR vì nếu doanh nghiệp muốn đảm bảo RTO/RPO cho quá trình failover/failback data và dịch vụ thư tín xuông sẻ thì AD/DNS luôn cần phải song hành với Exchange.

5. Sử dụng ”súng nhỏ” trước khi dùng “súng to” trong quá trình xử lý các rủi ro kĩ thuật cho Exchange. Đôi khi Exchange Admin quá vội vã dùng để dữ liệu backup để khôi mailbox database khi có thể sử dụng các công cụ troubleshoot datbase và DR như Exchange Performance Troubleshooting Analyser (ExPTA)/Exchange Disaster Recovery Analyser (ExDRA). Hoặc dùng dữ liệu backup để khôi phục mail item cho người dùng mà quên đi tính năng retention vốn có của Exchange Mailbox Database.

6. Không chỉ DR hệ thống Exchange mà còn phải DR cả chuyên gia Exchange. Không ít doanh nghiệp có những hệ thống DR siêu đắt tiền nhưng họ lại không có kế hoạch dự phòng nhân sự quản trị hệ thống đó dẫn đến khi nhân sự chuyên trách Exchange ra đi thì không ai có thể khỏa lấp khoảng trống dẫn những kế hoạch chuẩn bị DR trở nên vô nghĩa. Vì vậy doanh nghiệp phải có kế hoạch phòng bị cả nhân sự lẫn đảm bảo document và quy trình DR bài bản cho từng rủi ro (xem các template quy trình bên dưới).

7. Phòng bệnh hơn chữa bệnh. Để SANs hỏng thì có vẻ khó nhưng để HBA Controller hỏng thì có vẻ dễ hơn nhiều và nếu không có sự phòng bị chủ động thì thời gian downtime sẽ là như nhau. Vì vậy không chỉ có sự chuẩn bị cho quá trình phản ứng khi Disaster xảy ra mà nên có sự chuẩn bị chủ động cho tất cả những rủi ro có thể xảy ra cho hệ thống Exchange 2007 và một trong số các công cụ đảm bảo SLA cho hệ thống Exchange đó là System Center Operation Manager 2007 R2. Với SCOM 2007 R2 cho phép IT giám sát hệ thống Exchange theo mô hình đối tượng rất dễ dự đoán và phản ứng khi có lỗi xảy ra đồng thời với SCOM 2007 R2 IT có thể load bộ Management Pack miễn phí để lấy những best practice về quản lý hệ thống Exchange 2007.

Qua mô tả về các rủi ro kĩ thuật và các giải pháp kĩ thuật tương ứng cho Exchange tôi tin rằng mọi người đều đồng ý rằng để có một giải pháp tổng thể về DR đảm bảo cả RPO lẫn RTO hoàn toàn không hề đơn giản. Nó cần được kết hợp giữa nhiều loại công nghệ lẫn người chuyên trách cho phần công nghệ đó như AD/DNS/Network/SANs Storage/Backup/DataCenter. Người phụ trách phần DR Exchange sau khi đã hoàn tất giải pháp tổng thể cần viết thành các quy trình chuẩn để xử lý failover/failback cho từng rủi ro kĩ thuật. Dưới đây là ví dụ mẫu chúng ta có thể tham khảo:

vncson

Do Outlook PST Files Have a Size Limit?

All Outlook versions use PST (Personal Folder) files to store emails, contacts, calendar data and more. There are two kinds of PST files, however.

Outlook 2003 and later use a PST file format capable of storing Unicode (a standard that can represent most alphabets on computers) data that has no theoretical size limit but a practical limit of 20 GB.

Outlook versions before that (97 to 2002) use a PST file format restricted to U.S. English (foreign-language characters need to be encoded in that format) that has a hard-wired limit of 2 GB.

Outlook PST File Size Limits

Here, again, are the two formats, their limits and typical use:

Outlook 97-2002 Personal Folders File (PST)

• Used by:
  • Outlook 97, Outlook 98, Outlook 2000, Outlook 2002
  • IMAP and Windows Live Hotmail accounts in Outlook 2003
  • Outlook 2007 if explicitly chosen
• Size limit:
  • 2 GB
  • Cannot be increased

Outlook 2003-2007 Personal Folders File (PST)

• Used by:
  • Outlook 2003 (with the exceptions above)
  • Outlook 2007
• Size limit:
  • Configurable; 20 GB by default
  • For performance and stability reasons, it is not recommended to increase the limit beyond 20 GB.

As your PST file approaches the limit or suggested maximum size (check the size via the Total size given in the Folder Size dialog), you can move old messages to a separate archive PST file — or delete them, of course.

How to use 256 bit SSL in IIS 6.0

3 steps:

1. Install the fix http://support.microsoft.com/kb/948963 which will install the cipher sutes AES 128 and AES 256.

2. The order of cipher suites on Windows 2003 is hard-coded. AES 128 is the highest priority. AES 256 is the next. We only need to disable AES 128 then AES 256 will have the highest priority.

a. Open regedit.exe on IIS 6.0 machine.

b. Go to HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers. You should be able to find there are many subkeys, e.g. AES 128/128.

c. In subkey AES 128/128, create a DWORD value “Enabled”. Set it as the value 0. It means we would disable AES 128.

3. Reboot the IIS 6.0 machine.

On Vista/Windows7 which support AES 256 machine, you can use IE to browse that IIS 6.0 web site through HTTPS. The SSL uses 256 bit encryption.

Regards,

Xin Jin

Installing an SSL Certificate in Windows Server 2008 (IIS 7.0)

This article will walk you through the process of ordering an SSL certificate from a commercial certificate authority and installing it on an IIS 7 Windows Server 2008 machine.

Create the Certificate Signing Request

The first step in ordering an SSL certificate is generating a Certificate Signing Request. This is very easy to do in IIS7 using the following instructions. Click here to hide or show the images

1. Click on the Start menu, go to Administrative Tools, and click on Internet Information Services (IIS) Manager.

   

2. Click on the name of the server in the Connections column on the left. Double-click on Server Certificates.

   

3. In the Actions column on the right, click on Create Certificate Request...

   

4. Enter all of the following information about your company and the domain you are securing and then click Next.

   

   Name	Explanation	Examples
   Common Name	The fully qualified domain name (FQDN) of your server. This must match exactly what you type in your web browser or you will receive a name mismatch error.	*.google.com mail.google.com
   Organization	The legal name of your organization. This should not be abbreviated and should include suffixes such as Inc, Corp, or LLC.	Google Inc.
   Organizational Unit	The division of your organization handling the certificate. (Most CAs don't validate this field)	IT Web
   City/Locality	The city where your organization is located.	Mountain View
   State/province	The state/region where your organization is located. This shouldn't be abbreviated.	California
   Country/Region	The two-letter ISO code for the country where your organization is location.	US GB

5. Leave the default Cryptographic Service Provider. Increase the Bit length to 2048 bit or higher. Click Next.

   

6. Click the button with the three dots and enter a location and filename where you want to save the CSR file. Click Finish.

   

Once you have generated a CSR you can use it to order the certificate from a certificate authority. If you don't already have a favorite, you can compare SSL features from each provider using our SSL Wizard or by comparing cheap SSL certificates, Wildcard Certificates, or EV certificates. Once you paste the contents of the CSR and complete the ordering process, your order is validated, and you will receive the SSL certificate file.

Install the Certificate

To install your newly acquired SSL certificate in IIS 7, first copy the file somewhere on the server and then follow these instructions:

1. Click on the Start menu, go to Administrative Tools, and click on Internet Information Services (IIS) Manager.
2. Click on the name of the server in the Connections column on the left. Double-click on Server Certificates.

   

3. In the Actions column on the right, click on Complete Certificate Request...

   

4. Click the button with the three dots and select the server certificate that you received from the certificate authority. If the certificate doesn't have a .cer file extension, select to view all types. Enter any friendly name you want so you can keep track of the certificate on this server. Click OK.

   

5. If successful, you will see your newly installed certificate in the list. If you receive an error stating that the request or private key cannot be found, make sure you are using the correct certificate and that you are installing it to the same server that you generated the CSR on. If you are sure of those two things, you may just need to create a new Certificate Request and reissue/replace the certificate. Contact your certificate authority if you have problems with this.

   

Bind the Certificate to a website

1. In the Connections column on the left, expand the sites folder and click on the website that you want to bind the certificate to. Click on Bindings... in the right column.

   

2. Click on the Add... button.

   

3. Change the Type to https and then select the SSL certificate that you just installed. Click OK.

   

4. You will now see the binding for port 443 listed. Click Close.

   

Install any Intermediate Certificates

Most SSL providers issue server certificates off of an Intermediate certificate so you will need to install this Intermediate certificate to the server as well or your visitors will receive a Certificate Not Trusted Error. You can install each Intermediate certificate (sometimes there is more than one) using these instructions:

1. Download the intermediate certificate to a folder on the server.
2. Double click the certificate to open the certificate details.
3. At the bottom of the General tab, click the Install Certificate button to start the certificate import wizard. Click Next.

   

4. Select Place all certificates in the following store and click Browse.

   

5. Check the Show physical stores checkbox, then expand the Intermediate Certification Authorities folder, select the Local Computer folder beneath it. Click OK. Click Next, then Finish to finish installing the intermediate certificate.

   

You may need to restart IIS so that it starts giving out the new certificate. You can verify that the certificate is installed correctly by visiting the site in your web browser using https instead of http or using our SSL Checker.

Configure Automatic Updates by Using Group Policy

http://blog.hcyuan.info/?p=297

Configuring automatic updates

Once the updated version of Automatic Updates has been deployed to client computers, you can configure the client software. The settings can be configured through the Local Security Policy on each computer or if your network uses Active Directory, you can deploy settings using group policy.

Using Active Directory to configure WSUS clients

Before you can deploy any settings through a Group Policy Object (GPO) you must first load the Automatic Update policy settings. This should be done when Software Update Services is installed. If not, open the appropriate GPO, under the Computer Configuration or User Configuration, right click the Administrative Templates folder and click Add/Remove Templates. Click Add and locate the Automatic Updates ADM file (wuau.adm) which is located in the Windows\inf directory. Select the adm file and click Open.

You can find the Windows Update settings within a GPO by navigating to Computer Configuration/ Administrative Templates/ Windows Components/ Windows Update folder. Within the details pane, double click Configure Automatic Updates and click Enabled. The details pane will display the options listed below:

• Configure Automatic Updates
• Specify Intranet Microsoft update service location
• Enable client-side targeting
• Reschedule Automate Update scheduled installations
• No auto-restart for scheduled update installation options
• Automatic Update detection frequency
• Allow Automatic Update immediate installation
• Delay restart for schedule installations
• Re-prompt for restart with scheduled installations
• Allow non-administrators to receive update notifications
• Remove links and access to Windows Update

At a bare minimum, you need to configure the first two options to enable Automatic Updates and point the client computers to the WSUS server. The first setting, Configure Automatic Updates, is used to enable or disable automatic updates. If it is enabled you can select one of the following settings as to how updates are downloaded and if the administrator is notified:

• Notify for download and notify for install - A logged on administrative user will be notified before updates are downloaded and again before updates are installed.
• Auto download and notify for install (this is the default) - Updates are automatically downloaded. A logged on administrative user is notified before updates are installed.
• Auto download and schedule the install - Updates are automatically downloaded and installed on a pre-configured schedule.
• Allow local admin to choose setting - Local administrators are permitted to configure their own settings using the Automatic Updates setting in the Control Panel.

You also need to point the client computers to the WSUS server on the network. This can also be done through the Windows Update container within a GPO. Double click the Specify intranet Microsoft update service location option and click Enabled. In the Set update service for detecting updates field, type in the Universal Resource Locator (URL) to the WSUS server. Type in the same URL in the Set the intranet statistics server field.

The WSUS settings configure through the GPO will now be automatically deployed to the client computers. Group policy settings are automatically refreshed at a certain interval so the changes may not take effect immediately. To manually refresh the settings, use the gpupdate /force command on the client computers. The remaining settings that can be configured through a GPO are:

• Enable client-side targeting - This setting is used to enable client computers to self-populate computer groups that exist on the WSUS server.
• Reschedule Automate Update scheduled installations - This setting is used to define how long to wait after system startup before proceeding with an installation when a scheduled install has been missed. If this option is disabled, the installation will occur at the next scheduled day and time.
• No auto-restart for scheduled update installation options - This setting is used to configure whether or not the computer is automatically restarted after an update is installed. If this option is enabled, the user currently logged in will be notified to restart the computer.
• Automatic Update detection frequency - This setting defines the frequency at which Windows will check for available updates.
• Allow Automatic Update immediate installation - This setting defines whether updates that do not interrupt Windows services or restart Windows should be installed automatically.
• Delay restart for schedule installations - This setting will determine how long Automatic Updates will wait before performing a scheduled restart.
• Re-prompt for restart with scheduled installations - This setting will determine how long Automatic Updates will wait before prompting a user for a scheduled restart.
• Allow non-administrators to receive update notifications - This setting will determine whether non-administrative uses receive update notifications.
• Remove links and access to Windows Update - This setting removes the Windows Update icon from the Start menu.




Configuring WSUS clients locally

As already mentioned Automatic Updates can also be configured locally if your network does not use Active Directory. This can be done by editing the Local Group Policy object with the Group Policy editor or by creating and editing various registry entries.

You can open the Local Group Policy Object in Windows XP by clicking Start and clicking Run. Type in gpedit.msc and click OK. The Group Policy editor will appear. Navigate to Computer Configuration/ Administrative Templates/ Windows Components/ Windows Update as shown in Figure B. The details pane will display the same settings that were outlined in the previous section.

Figure B

Configuring automatic updates through the Local Group Policy Object

Finally, you can also configure the WSUS client settings through the local registry. This requires you to create several registry keys, some of which are outlined in the table below.

Registry Entry	Description
UseWUServer	This option is used to specify whether a WSUS server is used. Setting the value to 1 indicates the client will download updates from a WSUS server.
AUOptions	This option is used to configure how updates are downloaded and whether administrators are notified. The possible values are 2 (notify of download and installation), 3 (automatically download and notify of installation), 4 (automatic download and scheduled installation), or 5 (Automatic Updates is required, but end users can configure it).
ScheduledInstallDay	This option specifies the day of the week that updates will be installed. The values range from 0-7 where 0 indicates every day and 1-7 indicates specific days of the week where 1 = Sunday and 7 = Saturday.
ScheduledInstallTime	This option specifies the time of day that installs will take place. The value is specified in 24 hour format.
RescheduleWaitTime	This defines how long to wait after restarting to computer for a missed scheduled install to take place. The value is specified in minutes (1-60).
NoAutoRebootWithLoggedOnUsers	This option specifies whether the computer is automatically restarted after an update is installed. Set this value to 1 to enable the logged on user to choose whether or not to reboot their computer.
NoAutoUpdate	This option is used to enable or disable automatic updates.
WUServer	This option is used to specify which SUS server the client will retrieve updates from. The SUS server is identified by HHTP name.
WUStatusServer	This option is used to specify where clients will send status information. The server is identified by HTTP name.

Keeping up-to-date

In order to implement a Windows Server Update Services infrastructure, client computers must be configured to obtain updates from the WSUS server on the network. After the updated version of Automatic Updates is installed on client computers, Automatic Updates settings can be deployed to client computers using group policy or they can be configured locally.

Access to Resources

1. Cho phép user chỉ được tạo file trên folder nhưng không được mở files :
- Share permission : change
- NTFS permission : List Folder Contents và Write

2. Cho phép user chỉ được phép đọc :
- Share permission : default
- NTFS premission : Authenticated User gán quyền Read

3. Cho phép đọc nhưng không được xóa cái không phải do mình tạo ra :
- Authenticates User Group : Read & Execute
- Creater Ower : Modify

Key Win7

Win 7 pro
HW886-4R7HC-H9T3D-G6JMG-V8FJ8

win 7 Enterprise 
FHKXR-WCPQW-D644P-R2BJQ-6KHV7

Key Win7 : BR2KH-T22XP-Q4JH7-TCF9T-C2MYF
   

The Network Path Was Not Found

A solution (there could be several causes)

*netsh winsock reset

* On the target machine (the one you’re trying to connect to) open up Services, under Administrative Tools in the Start Menu.
* Scroll down to the Computer Browser service.
* If it is Disabled or set to Manual, set it to Automatic.
* Then start it. It may stop immediately again, but this is OK.
* At this point try to connect to the target machine.

If it still doesn’t work, you can try the following:

* open up Network Connections, under Control Panel.
* Right click on your network adapter and click on Properties.
* Click on Internet Protocol (TCP/IP), then click on Properties.
* Click on Advanced, and click on the WINS tab.
* Even if it is set to Default, set the radio button to Enable NetBIOS over TCP/IP.
* Press OK on each screen until everything’s closed.
* Go back to the client machine and try again.
* You should be able to connect!

If it still doesn’t work:

* Go back to the Services window and find the service named Routing and Remote Access.
* Double-click on it, set it to Manual, and stop it.
* Close Services and try to connect from your client machine again.

p/s: Chú ý kiểm tra tắt netware trên máy client.

Windows 7 Hands On Lab - Step By Step

Dear All,

Nhân sự kiện Microsoft ra mắt "Hệ Điều Hành Được Mong Đợi Bấy Lâu: Windows 7". Nhất Nghệ phối hợp cùng Microsoft Việt Nam biên soạn 1 bộ hands-on Lab giúp các bạn khám phá những tính năng ưu việt của Windows 7.

Bộ Lab gồm 11 bài được biên soạn ở dạng tài liệu "step-by-step" theo 3 cấp độ: Beginer - Advanced - Expert.





A. CẤP ĐỘ BEGINNER

LEVEL 1 - LAB 1: WINDOWS 7 INSTALL – MIGRATE – UPGRADE

I. GIỚI THIỆU

Bài lab triển khai:

- Cài đặt mới (clean installation) Windows 7.
- Chuyển dữ liệu người dùng từ một máy Windows 7 sang một máy Windows 7 khác.
- Nâng cấp một máy Windows Vista Ultimate Service Pack 1 thành một máy Windows 7 và giữ nguyên mọi thông tin hiện có.

Các bước thực hiện:

A. Cài đặt mới: Thực hiện trên máy chưa có hệ điều hành, dùng đĩa DVD source Windows 7.
B. Chuyển dữ liệu người dùng: Thực hiện trên máy Windows 7 vừa cài đặt xong ở phần A
C. Nâng cấp: Thực hiện trên một máy Windows Vista Ultimate Service Pack 1, dùng đĩa DVD source Windows 7.

Xem chi tiết...

LEVEL 1 - LAB 2: WINDOWS 7 USER ACCOUNT CONTROL

I. GIỚI THIỆU

Bài lab triển khai trên một máy Windows 7 với mục tiêu khảo sát và thử nghiệm một số thông số liên quan đến cơ chế User Account Control (UAC)

Các bước thực hiện:

A. Thay đổi thông số UAC
B. Khảo sát phản ứng của UAC Notifications level 1
C. Khảo sát phản ứng của UAC Notifications level 2
D. Tắt chức năng UAC


Xem chi tiết...

LEVEL 1 - LAB 3: WINDOWS 7 BITLOCKER

I. GIỚI THIỆU

BitLocker là một tính năng tích hợp của Windows 7 có khả năng tăng cường bảo mật dữ liệu bằng cách mã hóa dữ liệu trên các phương tiên lưu trữ (hard disk drive, USB drive). Khi muốn truy cập thông tin, người dùng buộc phải nhập mật khẩu.

Các bước thực hiện:

A. Kích hoạt & Cấu hình BitLocker trên một đĩa USB.
B. Kiểm tra kết quả.
C. Thay đổi mật khảu BitLocker.
D. Phục hồi mật khẩu cũ
E. Tắt BitLocker

Xem chi tiết...


LEVEL 1 - LAB 4: INTERNET EXPLORER 8

I. GIỚI THIỆU

Windows 7 tích hợp trình duyệt Internet Explorer 8. Bài lab thử nghiệm cấu hình một số tính năng nổi bật của trình duyệt này.

Các bước thực hiện:

A. Khởi động IE 8

B. InPrivate Browsing
Khi người dùng truy cập vào trang web bất kỳ (ví dụ như kiểm tra thư, mua hàng trực tuyến, ...), trình duyệt sẽ lưu lại các thông tin như các tập tin cookie, các tập tin Internet tạm thời … đặc biệt là tên người dùng và mật khẩu (thông tin thường hay được ghi nhớ trong trình duyệt). Chức năng InPrivate Browsing có thể cấu hình để trình duyệt muốn lưu lại các thông tin đó.

C. SmartScreen Filter
Các trang web độc hại (hoặc ngụy trang) được cải tiến rất đa dạng với mục đích đánh cắp dữ liệu cá nhân như mật khẩu hay số thẻ tín dụng. SmartScreen Filter giúp bảo vệ máy tính của người dùng tốt hơn bằng cách cảnh báo người dùng khi họ đang truy cập các trang web (hoặc tải các tập tin) không an toàn. SmartScreen Filter hoạt động ở chế độ ngầm định.

D. Web Accelerators
Đơn giản hóa thao tác xác định vị trí của một địa điểm trên bản đồ bằng biểu tượng Accelerator. Người dùng có thể cài đặt Accelerators từ các trang web như Facebook hay bất kỳ trang web nào thường sử dụng.

E. Web Slices
Công cụ giúp người dùng cập nhật những thông tin của những trang web mà họ thường xuyên truy cập.


Xem chi tiết...

B. CẤP ĐỘ ADVANCED

LEVEL 2 - LAB 1: NGĂN CHẶN DÙNG PHẦN MỀM TRÊN WINDOWS 7

I. GIỚI THIỆU

Bài lab triển khai:
Bài lab dùng 01 máy Windows 7 thực hiện các thao tác cấu hình ngăn chặn người dùng sử dụng một số phần mềm.

Các bước thực hiện:

A. Chuẩn bị
1. Kích hoạt user account built-in Administrator & cài Yahoo Messenger
2. Tạo 2 user account – dùng chương trình Yahoo Messenger

B. Dùng Application Locker cấm user dùng Yahoo Messenger
1. Kích hoạt dịch vụ Application Identity
2. Cấu hình ApplicationLocker – Kiểm nghiệm

C. Dùng Software Restriction Policies cấm user dùng chương trình Calculator – Kiểm nghiệm


Xem chi tiết...


LEVEL 2 - LAB 2: WINDOWS 7 FIREWALL

I. GIỚI THIỆU

Bài lab dùng 01 máy Windows 7 thực hiện cấu hình một số tính năng của Windows 7 Firewall

Các bước thực hiện:

A. Khảo sát Windows Firewall Basic Interface

B. Dùng Windows Firewall Advanced Security Snap-in cấm truy cập internet


Xem chi tiết...


LEVEL 2 - LAB 3: WINDOWS 7 BACKUP - RESTORE

I. GIỚI THIỆU

Bài lab dùng 01 máy Windows 7 thực hiện công tác sao lưu và phục hồi dữ liệu

Các bước thực hiện:

A. Cấu hình Reconfiguring a Backup

B. Tạo đĩa phục hồi hệ thống

C. Cấu hình bảo vệ hệ thống

D. Tạo điểm phục hồi

E. Kiểm tra


Xem chi tiết...


LEVEL 2 - LAB 4: CÀI ĐẶT WINDOWS 7 TỰ ĐỘNG
(WINDOWS 7 UNATTENDED SETUP)


I. GIỚI THIỆU

Bài lab thực hiện các bước chuẩn bị và tiến hành cài đặt tự động Windows 7

Các bước thực hiện:

A. CHUẨN BỊ: Thực hiện trên máy Windows 7
1. Cài đặt Windows Automatic Installation Kit (Windows AIK).
2. Dùng Windows AIK tạo unattended setup answer file.
3. Tạo đĩa DVD cài đặt tự động.

B. CẢI ĐẶT TỰ ĐỘNG: Thực hiện trên một máy chưa cài đặt hệ điều hành.


Xem chi tiết...


C. CẤP ĐỘ EXPERT

LEVEL 3 - LAB 1: CÀI ĐẶT WINDOWS 7 TỰ ĐỘNG
QUA MẠNG


I. GIỚI THIỆU

Bài lab thực hiện các bước chuẩn bị và tiến hành cài đặt tự động Windows 7 trên hàng loạt máy mục tiêu.

Để thực hiện bài lab, cần có 03 máy cùng nối vào 01 switch:
- 01 máy Windows Server 2008 R2 đã nâng cấp domain controller
- 01 máy Windows 7
- 01 máy mục tiêu chưa cài đặt hệ điều hành.
- Cấu hình IP của Windows Server 2008 R2:
+ Ip Address: 192.168.1.254
+ Subnet Mask: 255.255.255.0
+ Preferred DNS : 192.168.1.254

Các bước thực hiện:

A. CHUẨN BỊ: Thực hiện trên máy Windows 7
1. Cài đặt Windows Automatic Installation Kit (Windows AIK).
2. Dùng Windows AIK tạo unattended setup answer file.
3. Tạo đĩa DVD cài đặt tự động.

B. CẤU HÌNH WINDOWS DEPLOYMENT SERVICES SERVER: Thực hiện trên DC
1. Cài đặt & cấu hình DHCP server
2. Cài đặt Windows Deployment Services server
3. Cấu hình Windows Deployment Services server
4. Cấu hình các image
5. Bổ sung cấu hình install image & cấu hình server

C. CÀI ĐẶT TỰ ĐỘNG QUA MẠNG: Thực hiện tại PC mục tiêu


Xem chi tiết...


LEVEL 3 - LAB 2: BRANCHCACHE


I. GIỚI THIỆU
Đối với một hê thống mạng công ty có nhiều chi nhánh, các user tại văn phòng chi nhánh thường xuyên truy cập dữ liệu đến các Server tại trụ sở chính thông qua đường truyền WAN. Khi số lượng truy cập quá nhiều trong cùng thời điểm thì dẫn đến tốc độ truy cập chậm hoặc truy cập thất bại.

BranchCache được phát triển nhằm giải quyết vấn đề nêu trên. BranchCache là 1 tính năng mới trong Windows Server 2008 R2 và Windows 7, có chức năng giảm thiểu lưu lượng truy cập file, lưu lượng truy cập website hoặc tăng tốc độ truy cập của các ứng dụng thông qua đường truyền WAN khi người dùng tại chi nhánh truy cập đến server tại văn phòng chính.

Bài lab này trình bày cách triển khai Branch Cache theo mô hình Distributed Cache

Các bước thực hiện:

A. CẤU HÌNH SERVER WINDOWS SERVER 2008 R2
1. Add feature Branch Cache
2. Cấu hình File server hỗ trợ Branch cache
3. Dùng policy để cấu hình BranchCache server
4. Cấu hình BranchCache trên shared folder

B. CẤU HÌNH BRANCHCACHE TRÊN CLIENT WINDOWS 7

C. KIỂM NGHIỆM: Client chép dữ liệu & giám sát tại Server
1. Cấu hình monitor counter tại server
2. Client chép dữ liệu và giám sát tại server


Xem chi tiết...


LEVEL 3 - LAB 3: VPN RECONNECT

I. GIỚI THIỆU

VPN Reconnect là một tính năng kết nối VPN mới được phát triển trên Windows 7 và Windows Server 2008 R2.

Thông thường khi thực hiện kết nối VPN qua internet, nếu vì một lý do nào đó mà kết nối internet bị gián đoạn thì kết nối VPN sẽ chấm dứt và ngưới dùng buộc phải kích hoạt lại kết nối VPN.

Kết nối VPN reconnect từ client Windows 7 đến server Windows Server 2008 R2 có khả năng tự động tái kết nối ngay lập tức mà không cần bất cứ sự can thiệp nào từ người dùng

Các bước thực hiện:

A. CẤU HÌNH SERVER
1. Xây dựng Enterprise Root Certification Authority
2. Chuẩn bị certificate template để cấp cho VPN server
3. Cấu hình certificate cho VPN server
4. Export certificate của Certification Authority
5. Tạo user account & cấp quyền kết nối VPN
6. Cấu hình VPN server

Copy from Trong – NN Blog

Uninstall all patches on windows xp

C:\>dir /a /b c:\windows\$ntuninstallkb* > kbs.txt && for /f %i in (kbs.txt) do cd c:\windows\%i\spuninst && spuninst.exe /passive /norestart && ping -n 15 localhost > nul

Làm sao biết Users/Groups đã chỉnh sửa trên dữ liệu

Giả sử bạn có Folder C:\Shared\Data. Bạn muốn biết những users nào đã thao tác trên shared Folder này. Bạn có thể làm như sau :

- Vào Start > Run > Gõ gpedit.msc để mở Group Policy
- Tìm đến Key: Computer Configuration \ Windows Settings \ Security Settings \ Local Policies \ Audit Policy \ Audit object access
- Enable và Active 2 giá trị Success và Failure
- Vào Stat > Run > Gõ gpupdate /force
- Mở folder C:\Shared > Right Click lên Folder Data
- Click Properties > Chọn Tab Security > Advandce > Chọn Tab Auditing
- Tại đây, nếu bạn muốn monitor group nào đã access vào Folder, bạn add Group đó vào. Muốn monitor tất cả, chọn group Everyone
- Click OK để đóng lại
- Muốn xem ai đã access, chọn Event View, Mục Security

Tương tự, bạn cũng có thể monitor với : Files, Folders, Printers, Registry ...

ERROR - Terminal Server has Exceeded the Maximum Number of Allowed Connections

Start - Run - mstsc /v:192.168.1.1 /f /console

If you’ve worked on a network with Windows servers, you’ve encountered this error message at least 37,000 times:

“The terminal server has exceeded the maximum number of allowed connections. The system can not log you on. The system has reached its licensed logon limit. Please try again later.”

This problem happens because Windows only allows two remote terminal services connections when you are in administrative mode, and you’ve either got two people already on that server, or more likely, you’ve got a disconnected session that still thinks it is active.

The problem with this error is that you have to actually get on the server console to fix the problem if the server isn’t in a domain. (If you are in a domain, then just open Terminal Services Manager and log off or disconnect the sessions)

To use the command line hacks, you might need to run them from another server if your local operating system doesn’t include the commands. You will also need to make sure that you are logged onto that server with an administrative account. The easiest way to do that is just map a drive (you don’t have to use a drive letter unless you choose to)

net use /user:[username] \\servername

Here’s a command line hack that you can use to figure out what sessions are connected to the server. Note that you could substitute the IP address for the server name.

query session /server:servername

Sample output:

Now we know that the session ID of the offending session is 2. We can use that in the next step, which is using the reset command to log off that user.

reset session [ID] /server:servername

Sample:

This command won’t display any output, but when we run the query command again, we should see that the session has now been disconnected:

FSMO Roles - Managing

Tổng quan về FSMO, FSMO là gì? (Flexible Single Master Operations)

Cái này mà dịch sang tiếng việt nó kỳ kỳ làm sao nên tôi sẽ để yên nó là tiếng anh, dẫu sao các bạn cũng đã quen với khái niệm và viết tắt của thuật ngữ IT.

Có 5 vai trò khác nhau của FSMO, mỗi vai trò làm một chức năng, nhiệm vụ khác nhau để Active Directory có thể hoạt động được.

PDC Emulator:

Đây là role mà được sử dụng nhiều nhất và tính năng rộng nhất trong tất cả FSMO. Domain controller nào giữ role này thì cực kỳ quan trọng trong môi trường mix mode (Có nghĩa là tồn tại BDC WinNT).

Mà cho dù hệ thống mạng của bạn có thuần Windows 2000 hoặc Windows 2003 đi nữa thì role này vẫn có rất nhiều việc để làm.

VD đơn giản: PDC Emulator thực hiện làm nhiệm vụ máy chủ thời gian gốc (Root time server) để đồng bộ đồng hồ của tất cả máy trạm trong một forest (rừng). Rất rất quan trọng, khi máy trạm của bạn bị lệch thời gian khá nhiều, thì việc xác thực kerberos sẽ bị thất bại và user sẽ không logon vào được domain. Như vậy các bạn đủ thấy tầm quan trọng của Role này rồi nhé. Hiểu rồi thì việc set time server sẽ biết trỏ vô con server nào rồi chứ :)

Tính năng thứ 2 của nó là thực thi các thay đổi của GPO (Group policy object). VD: Khi bạn tạo một new GPO đầu tiên thì GPO này sẽ nằm trong folder SYSVOL, và việc replicate đến các domain khác là do PDC Emulator thực hiện

Tính năng thứ 3 nữa là role này sẽ đảm nhận nhiệm vụ nhận biết sự thay đổi password, account lockout của user và replicate nó đến các domain khác.

Hi hi, vì thế khi role này mà bị chết đi, thì các bạn gặp rất rất nhiều phiền toái.

Mỗi domain trong một rừng sẽ có tối thiểu 1 PDC emulator. Như vậy nếu bạn có 4 domain trong một forest, thì bạn sẽ có 4 PDC emulator. That's all.

RID Master

Mỗi domain trong một forest chắc chắn sẽ có 1 domain controller giữ role này. Role này làm nhiệm vụ cung cấp một dãy RIDs (relative IDs) dịch đại loại là mã số định danh.

RIDs được sử dụng khi bạn tạo một đối tượng (User hoặc computer) bởi vì khi đó nó sẽ tạo một security ID (SID) được kết hợp giữa SID và RID trong dãy này.

Vì thế khi bạn bị chết cái role RID này, đến một lúc nào đó dãy số RID đã hết thì bạn sẽ không bao giờ tạo thêm được user mới hoặc computer mới trong AD.

Đây là lý do tồn tại RID master role, nó giám sát và cung cấp dãy RID mới khi dãy RID cũ được cấp gần hết.

Infrastructure Master

Mục đích của role này là đảm bảo được việc cross-domain (Các domain quan hệ với nhau như child-child, child-parent hoặc tree-tree) được quản lý và tham chiếu đúng. Đọc cái này xong chắc té xỉu vì không hiểu hehe.

OK, cho nó đơn giản hơn là một VD: Khi bạn add một user từ một domain vào một security group trong một domain khác thì Infrastructure này làm nhiệm vụ này. Đảm bảo là chỉ đúng user đó và đúng group đó.

Role này thì vô tác dụng khi bạn chỉ có một domain duy nhất. Chỉ có tác dụng khi nhiều domain và cũng ít khi nào sử dụng do admin phân quyền như thế nào thôi.

Cho máy server nào yếu yếu giữ role này là đủ rồi, không cần máy mạnh lắm đâu.

Đặc biệt 2 role cực kỳ quan trọng trong FSMO được giới thiệu ở dưới đây.

Schema master

Khác với 3 role kể trên, role này chỉ duy nhất trong một rừng, tức là trong lần promo AD đầu tiên tạo forest.

Có nghĩa là, đây là role duy nhất trong forest, làm nhiệm vụ replicate cấu trúc của schema AD đến các domain khác trong một rừng.

Role này ít khi thay đổi, thay đổi khi setup các ứng dụng cần mở rộng thuộc tính của AD như Mail exchange, OCS v.v...

Domain master

Đây cũng là role duy nhất có trong một forest. Làm nhiệm vụ như kiểu add child domain hoặc tree vào vậy mà.

Nếu không có role này. VD bạn có domain là abc.com, bạn muốn add một child domain là hanoi.abc.com thì vô phương cứu chữa nếu role này bị failed.

OK, như vậy tống kết lại là gì

Trong một rừng thì chỉ có duy nhất 2 role là domain master và schema master.

Trong một domain thì có 3 role: PDC emulator, Infrastructure, RID.

Hehehe, vậy là đã rõ về FSMO rồi nhé.

Như vậy thì quản lý FSMO ra sao, như thế nào? Sao gọi là tối ưu nhất

Sử dụng 3 nguyên tắc cơ bản sau:

Nguyên tắc 1: Trong một rừng, thì hãy giữ schema master và domain master chung trên một domain controller để dễ quản trị và theo dõi.

Và hãy để chung 2 role này với Global catalog

Nguyên tắc 2: Trong mỗi domain, đặt PDC emulator và RID master chung một domain controller. Server này mạnh tí nha vì yêu cầu của PDC thì bạn biết rồi đấy. Và domain controller này cũng không nên chứa Global catalog, vì global catalog cũng sử dụng khá nhiều. Tách ra để loadbalancing thôi.

Nguyên tắc 3: Trong mỗi domain, không nên để Infrastructure chung với lại Global catalog nhưng nó phải chung site với lại Global catalog, chủ yếu là replicate cho nó nhanh đó mà.

Nguyên tắc 3 ngoại trừ 2 trường hợp sau đây:

1. Bạn chỉ có một domain duy nhất, đặt chung với Global catalog cũng được

2. Bạn có nhiều domain, domain nào cũng là global catalog :)

Với 3 nguyên tắc đơn giản như trên bạn đang làm chủ FSMO và làm chủ hệ thống của mình.

Tạo duy nhất tên account trong toàn forest

Set objConnection = CreateObject("ADODB.Connection")
objConnection.Open "Provider=ADsDSOObject;"
Set objCommand = CreateObject("ADODB.Command")
objCommand.ActiveConnection = objConnection
objCommand.CommandText = _
"<GC://dc=abc,dc=com>;" & _
"(&(objectCategory=person)(objectClass=user)" & _
"(sAMAccountName=whichusernameIuse));" & _
"sAMAccountName, distinguishedName;subtree"
Set objRecordSet = objCommand.Execute
If objRecordSet.RecordCount = 0 Then
Wscript.Echo "The sAMAccountName is not in use."
Else
While Not objRecordset.EOF
Wscript.Echo "sAMAccountName = " & _
objRecordset.Fields("sAMAccountName")
Wscript.Echo "distinguishedName = " & _
objRecordset.Fields("distinguishedName")
objRecordset.MoveNext
Wend
End If
objConnection.Close

save with extension .vbs
Mô tả đoạn script sau: Check global catalog, cụ thể ở đây là abc.com, xem có user whichusernameIuse tồn tại hay không. Nếu tồn tại thì báo lỗi, không tồn tại thì báo ok, sử dụng được. Nhớ thay thế abc.com, và whichusernameIuse bằng GC của bạn và tên user mà bạn định sử dụng

Sau đó thì dùng lệnh dsadd để add user cho lẹ. Lưu trong file excel tùy hỉ

dsadd user "CN=??,OU=??,DC=??,DC=CORP" -display "Bill Gates" -pwd **** -fn "Bill" -ln "Gates" -title "CEO" -tel "444-444444" -mobile "123456789" -office "Microsoft" -company "Microsoft" -desc "Bill Gates" -memberof "CN=??,OU=??,DC=??,DC=??" -dept "Manager" -upn billgates@microsoft.com