Eventid 67 op UAG

Op de UAG van een klant hadden we een hoop events met event ID 67.
Dit schijnt te komen door een verkeerde UAG rule.
Event op UAG:

Op de MX01 staat het bestand owasl.xap (en niet owasi.xap):

owasi.xap moet worden gewijzigd naar owasl.xap

Zie laatste post van Christopher Comarato (2-8-2011):

http://social.technet.microsoft.com/Forums/en-US/forefrontedgeiag/thread/9074b01d-26e3-4b12-81d2-ec3bc3d0542a/

The reason this event is still being logged is because both the KB article (http://support.microsoft.com/kb/2444842) as well as the update that fixes this in UAG both contain the same error with regards to ExchangePub2010_Rule42.

Both modify the URL set with a new ExchangePub2010_Rule42 that includes the following URL:
/owa(/[a-z0-9._-]+@[a-z0-9.-]+)?/[0-9.]+/clientbin/owasi.xap This is incorrect!

When you look at the file in mixed case it looks like this might be the file name; however, the actual file on the CAS server is OWASL.xap, not OWASI.xap.

To resolve this error you should change this rule in the UAG rule set to use the following URL: /owa(/[a-z0-9._-]+@[a-z0-9.-]+)?/[0-9.]+/clientbin/owasl.xap I would recommend that Microsoft fix this in a future update to UAG.

Met welke DC maak je contact?

Je kunt dit testen door het volgende commando uit te voeren:

echo %logonserver%

of nog beter met meer info betreffende de dc:

nltest /dsgetdc:

/force zorgt ervoor dat er geen cached informatie getoond wordt.

H:\>nltest /dsgetdc:reskit /force
DC: \\server1
Address: \\172.16.132.197
Dom Guid: ca21b03b-6dd3-11d1-8a7d-b8dfb156871f
Dom Name: reskit
Forest Name: reskit.com
Dc Site Name: Default-First-Site-Name
Our Site Name: Default-First-Site-Name
Flags: GC DS LDAP KDC TIMESERV WRITABLE DNS_FOREST CLOSE_SITE

Enabling Network Level Authentication on Windows XP Service Pack 3 for access to Server 2008 via Remote Desktop

Enabling Network Level Authentication on Windows XP Service Pack 3 for access to Server 2008 via Remote Desktop

Solution: When connecting to a Windows 2008 Server using remote desktop from a Windows XP client running service pack 2 or earlier, you get the following error message:

The remote computer requires Network Level Authentication, which your computer does not support.

To enable NLA in XP machines; first install XP SP3, then edit the registry settings on the XP client machine to allow NLA

• Configure Network Level Authentication
1. Click Start, click Run, type regedit, and then press ENTER.
2. In the navigation pane, locate and then click the following registry subkey: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
3. In the details pane, right-click Security Packages, and then click Modify.
4. In the Value data box, type tspkg. Leave any data that is specific to other SSPs, and then click OK.
5. In the navigation pane, locate and then click the following registry subkey: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders
6. In the details pane, right-click SecurityProviders, and then click Modify.
7. In the Value data box, type credssp.dll. Leave any data that is specific to other SSPs, and then click OK.
8. Exit Registry Editor.
9. Restart the computer.

Symantec BE Agents pushen naar TMG

Probleem:

Het probleem zit in het feit dat BE gebruik maakt van port 10000 en die poort wordt ook door wininit.exe gebruikt op een TMG server.

Dit komt doordat wininit.exe de eerst dynamische poort pakt die vrij is. Normaal begint de dynamische port range vanaf 49152 (tot 65535) en pakt wininit.exe deze port, echter begint de dynamische port range na de installatie van TMG vanaf 10000.

Even geverifieerd:

Op de TMG:

C:\>netsh interface ipv4 show dynamicportrange tcp

Protocol tcp Dynamic Port Range

---------------------------------

Start Port      : 10000

Number of Ports : 55535

Op een andere server geeft:

C:\>netsh interface ipv4 show dynamicportrange tcp

      

Protocol tcp Dynamic Port Range

---------------------------------

Start Port      : 49152

Number of Ports : 16384

Solution 1 (is getest en werkt):

Dynamische port range op TMG aanpassen:

netsh interface ipv4 set dynamicportrange tcp startport=10010 numberofports=55525

Solution 2:

Je kunt ook de port aanpassen in BE echter moet je die verandering volgens mij dan weer op alle servers doorvoeren.

Solution 3:

Een andere optie is volgens mij om een andere port voor RAWS toe te wijzen op de TMG zelf.

Dit kan in het c:\windows\system32\drivers\etc\services bestand een entry toe te voegen:

ndmp 9000/tcp #Network Data Management Protocol

Referenties:

http://social.technet.microsoft.com/Forums/hu/winserverPN/thread/e5adf449-62e1-48c3-a454-0a4743aeba4f

en

http://www.symantec.com/business/support/index?page=content&id=TECH24256

Backup van dfsroot met Symantec Backup Exec

Om een dfsroot met Backup Exec te backuppen dien je een vinkje te zetten bij “enable selection for user shares”:

Diverse Tips / Hacks betreft filesystem

NTFS Hacks (werken bijna ook allemaal op Windows 7/2008):

http://oreilly.com/pub/a/windows/2005/02/08/NTFS_Hacks.html

Een van de hacks (disable8dot3) wordt in twijfel genomen:

http://www.sepago.de/helge/2008/09/22/why-disabling-the-creation-of-83-dos-file-names-will-not-improve-performance-or-will-it

Waarom je op een TS toch disable8dot3 beter kunt uitschakelen als je geen 16 bits applicaties meer hebt draaien:

(de rede waarom schijnbaar identieke Terminal Servers toch anders reageren)

http://12.mayjestic.net/index.php/2011/03/14/windows-terminalserver-farm-8dot3-names/

Snelste manier om grote bestanden (SQL databases bijvb) over het netwerk te kopiëren: Gebruik eseutil!

(vanaf Windows 2008 R2 schijnbaar ook xcopy /j een optie)

http://d1it.wordpress.com/2011/01/06/copy-large-files-using-eseutil/

TMG Active / Passive access

Een ftp sessie opzetten mbv de command prompt kan een probleem zijn als je achter een TMG zit.

Dit is nl. active ftp verkeer en geen passive. TMG 2010 heeft een nieuwe optie die nog niet in ISA zat: nl. het onderscheidt tussen active en passive FTP access.

Standaard staat Active Access uit op de TMG. Je kunt active access inschakelen door “Allow active FTP access” in te schakelen bij de properties van de FTP Access Filter.

Zie:

http://blogs.technet.com/b/yuridiogenes/archive/2010/03/16/error-502-active-ftp-not-allowed-when-trying-to-list-files-in-a-ftp-session-behind-forefront-tmg-2010.aspx