HƯỚNG DẪN CÁCH SETUP VCENTER SERVER 8.0 U1 B Step by Step

HƯỚNG DẪN CÁCH SETUP VCENTER 8.0 U1 B Step by Step

Checklist cần thiết

  • Chuẩn bị source ISO, download Vmware
  • ESXI Host,Sizing :
    • Hardware Requirements for the vCenter Server Appliance
    • Storage Requirements for the vCenter Server Appliance
  • Required Ports for vCenter Server: 902, 443, 80, 389 tham khảo tại https://ports.esp.vmware.com/home/vSphere
  • DNS Requirements for the vCenter Server Appliance, lên DNS tạo các record A, PTR
    • Name vCenter Server 8
    • vcsa.viettechgroup.lab
    • IP: 172.16.23.3
    • Host Esxi or vCenter
    • IP: 172.16.1.1
  • If you want to deploy the appliance on an ESXi host, verify that the ESXi host is not in lockdown or maintenance mode and not part of a fully automated DRS cluster
  • Stage 1 Deploy new vCenter Server: 8 Steps
  • Stage 2: Setup vCenter Server: 5 steps
  • Configure Basic vCenter Server 8

Chuẩn bị Source ISO

Cần đăng ký tài khoản Vmware để tải bản trial

https://customerconnect.vmware.com/downloads/get-download?downloadGroup=VC80U1B

Mount ISO và run Setup

Chọn Installer.exe-> Install New vCenter Server

Stage 1: Deploy New vCenter Server

Gồm 8 bước điền các thông tin như các bước chuẩn bị

B1: Introduction -> next

B2: End user license agreement-> Chọn chấp chập và next

Bước 3: Khai báo thông tin host esxi hoặc vcenter cần triển khai

Chọn Yes trust SSL

Bước 4: Khai báo VM tên và user root của VM VCSA

Bước 5: Để default tiny

Bước 6: Chọn Datastores cần Setup

Bước 7: Bước này quan trọng khai báo về port group VM network nào cần sử dụng để VM VCSA có thể liên hệ với ADDS, khi báo như hình tùy theo nhu cầu thực tế mạng của các bạn để gỏ vào.

Bước 8: chỉ là confirm các setting vừa rồi chọn finish

Chờ Install Stage1 hoàn tất

Xong stage 1 chọn -> Continues chuyển sang stage2

STAGE 2: Set up vCenter Server

Chọn next

Như vậy đã setup xong stage 2

Chúng ta có thể logon quản lý VCSA bằng cách vào

https://ip:5480

và quản lý vcenter https://ip:443 bằng vsphere client html5

Đây là quản lý máy ảo của VCSA 8 nhé

Tại đây có thể cập nhật các tùy chỉnh theo ý đồ quản trị

Lưu ý ae quản trị viên hay quên, nhớ cập nhật lại lại hệ thống password không là bị change password sau 90 ngày. 😊 Ở đây tùy ae nhé. Tôi thì có mình nên chơi never expires cho chắc ăn.

Mật khẩu vẫn để phức tạp đi

Cái quản trọng nữa là backup config sau khi cấu hình ngon lành để có trường hợp còn khôi phục lại nhé.

Còn quản lý System VM các Esxi vào https://ip

Phần 2 Cấu hình cơ bản VCSA viết sau nhé.

CÁCH CÀI SERVER ESXI VSPHERE 8.0U1 SERVER DELL EMC R750XS

CÁCH CÀI SERVER ESXI VSPHERE 8.0U1 SERVER DELL EMC R750XS

  1. CHUẨN BỊ SOURCE
  1. CÀI TỪ IDRAC LIFE CYLE CONTROLLER

Cài từ cosole của idrac

Chọn Virtual media=> connect virtual media =>mount iso vmware

Chọn ISO Vmware=> Map device

Reboot lại vào nhấn F10 vào LifeCycel controller hoặc để boot tự động sẽ vào Virtual

Chọn Virtual Keyboard-> Enter

Nhấn F11

Nhấn Enter

Nhấn Enter tiếp

Nhập password cho root

Nhấn F11 để cài

Cài thành công=> Enter để reboot tiếp tục cài

Như vậy là cài đặt xong ESXI 8.0 on Server DELL EMC R750XS

Chúc các bạn thành công

HƯỚNG DẪN CẬP NHẬT FIRMWARE BIOS VÀ IDRAC DELL EMC SERVER 750XS

Thông tin

  • Server PowerEdge R750xs
  • Bios version: 1.7.4
  • IDRAC với lifecycel controller version: 5.10.30.

Tải về

Tính đến ngày 08/05/2023 admin viết bài :

Các cập nhật thông qua web idrac

Logon vào web idrac

Kiểm tra Version

CÁCH CẬP NHẬT IRAC

Vào menu Maintance-> System Update=> Choose file

Tìm đến file Idrac và Firmware BIOS vừa download về

Chọn Upload iDRAC-with-Lifecycle-Controller_Firmware_T9J9H_WN64_6.10.30.20_A00.exe

Chúng ta nên thực hiện tuần tự upgrade idrac rồi tới Firmware BIOS nhé.

Chọn Install

Chờ reboot và cài đặt khoảng 10-15 phút

Và đây là kết quả nhé

CẬP NHẬT BIOS FIRMWARE DELL EMC SERVER R750XS

Làm tương tự như trên cho BIOS 1.9.2

Chọn install and reboot

Chờ reboot và cài lại 10-15 phút

Update thành công

Chúc các bạn thành công

Thông tin

Microsoft Outlook Zero-Day Vulnerability- Elevation of Privilege Vulnerability CVE-2023-23397

Microsoft Outlook Zero-Day Vulnerability- Elevation of Privilege Vulnerability CVE-2023-23397

Tóm tắt:

Microsoft giải thích: CVE-2023-23397 là một lỗ hổng EoP nghiêm trọng trong Microsoft Outlook, được kích hoạt khi kẻ tấn công gửi thư có thuộc tính MAPI mở rộng với đường dẫn UNC đến chia sẻ SMB (TCP 445) trên máy chủ do tác nhân đe dọa kiểm soát. Không cần tương tác người dùng,”

Cơ chế

Kẻ tấn công đã khai thác thành công lỗ hổng này có thể truy cập hàm băm Net-NTLMv2 của người dùng, có thể được sử dụng làm cơ sở cho một cuộc tấn công Chuyển tiếp NTLM chống lại một dịch vụ khác để xác thực là người dùng.

Preview Pane

Hacker tận dụng tính Preview Pane của email Outlook Email được chế tạo đặc biệt sẽ tự động kích hoạt khi nó được ứng dụng khách Outlook truy xuất và xử lý, cung cấp một vectơ tấn công lén lút để tin tặc khai thác. “Kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi một email được chế tạo đặc biệt, email này sẽ tự động kích hoạt khi nó được ứng dụng khách Outlook truy xuất và xử lý. Điều này có thể dẫn đến việc khai thác TRƯỚC KHI email được xem trong Preview Pane,”

Các phiên bản ảnh hưởng

Tất cả các phiên bản được hỗ trợ của Microsoft Outlook (2010, 2013,2016,2019, 365Apps)cho Windows đều bị ảnh hưởng.

Các phiên bản khác của Microsoft Outlook như Android, iOS, Mac, cũng như Outlook trên web và các dịch vụ M365 khác không bị ảnh hưởng.

Biện pháp làm khắc phục:

Thêm người dùng vào Nhóm bảo mật người dùng được bảo vệ (Protected Users Security Group), ngăn việc sử dụng NTLM làm cơ chế xác thực. Việc thực hiện giảm thiểu này giúp khắc phục sự cố dễ dàng hơn so với các phương pháp vô hiệu hóa NTLM khác.

Chặn TCP 445/SMB gửi đi từ mạng của bạn bằng cách sử dụng tường lửa vành đai(DMZ), tường lửa cục bộ và thông qua cài đặt VPN. Điều này sẽ ngăn việc gửi thông báo xác thực NTLM tới chia sẻ tệp từ xa.

Máy trạm Client

Yêu cầu tất cả máy trạm của Người dùng cuối cần upgrade Microsoft Outlook cho các Phiên bản:

Microsoft Outlook 2013 (64-bit edition):https://www.microsoft.com/en-us/download/details.aspx?id=105070

Microsoft Outlook 2016 (64-bit edition):https://www.microsoft.com/en-us/download/details.aspx?id=105058

Microsoft Office LTSC 2019/2021/365 for 64-bit editions:=> Cick upgrade

Server Exchange và Exchange Online

Chạy Script CVE-2023-23397: CVE-2023-23397.ps1

Thông tin tham khảo:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397

https://msrc.microsoft.com/blog/2023/03/microsoft-mitigates-outlook-elevation-of-privilege-vulnerability/

https://microsoft.github.io/CSS-Exchange/Security/CVE-2023-23397/

Anh em sysadmin tập trung cập nhật bản vá Outlook cho máy trạm người dùng nhé.

Làm trên cả server và client tường lửa cứng mềm

#jsisen

#viettechgroupvn

#phuongit

#outlookzerodays

#phuongnguyenit

HƯỚNG DẪN DEPOLY HP607DN TRÊN AD Windows Server

HƯỚNG DẪN DEPOLY HP607DN TRÊN AD

1/ Thông tin

Lắp đặt và init thông số ban đầu trên màn hình

Cấu hình IP: 172.16.32.53/24

FileServer chính là Printer Server:

2/ Logon web seting cơ bản

Set ip hoặc fix MAC

3/ Download driver HP 607DN

Chúng ta có thể tải driver máy in HP LasertJet Enterprise 607DN tại đường dẫn bên dưới

https://support.hp.com/vn-en hoặc có thể copy từ disk CD driver có sẵn nhé.

Gỏ HP Printer 607dn hoặc

https://support.hp.com/vn-en/drivers/selfservice/hp-laserjet-enterprise-m607-series/9364918

Chọn vào Software, driver and firmware tab nhé

Trường hợp tôi deploy trên Windows Server 2019 chọn driver cho 2019 nhé chính là HP Universal Print Driver for Windows PCL6 (64-bit)

https://ftp.hp.com/pub/softlib/software13/COL40842/ds-99374-23/upd-pcl6-x64-7.0.0.24832.exe

Lưu ý nhé: Để cài đặt và triển khai trên windows Server 2019 bắt buộc phải sử dụng driver HP Universal Print Driver for Windows PCL6 (64-bit) nhé.

Và download 1 số driver cho Windows 10, 8, 7, 64bit hoặc 32bit phòng hờ 1 số client 32 nhé.

Chọn download driver-product installation Software download về

Copy vào Printer Server ở đây tôi sử dụng con File Server làm Printer Server nhé.

Hướng dẫn cập nhật Firmware Máy in Lasjet Enterprise 607DN

Có thể check version firmware HP 607dn trước thông qua web nhé. Về lý thuyết hàng mới nên cập nhật firmware trước mới nhất.

Quay lại web kiểm tra firmware nhé.

Nhìn thấy firmware version 4.9.0.2 ngày 20191116

Backup 1 bản trước khi upgrade

Vào website sẵn tiện check xem có phiên bản mới không nhé.

Thấy phiên bản hiện tại là 5.2 nhé ngày 31/03/2021 code 2502087_007683

Download về cập nhật nhé

Giảm nén nhé

Vào lại web upgrade nhé.

Vào Troubleshooting -> Firmware Upgrade-> Upload choose file

Quá trình update file và restart lại Printer chờ vài phút nhé.

https://b-f19-zpg.zdn.vn/2893254133374042084/b99e07a2abd35e8d07c2.jpg

Chờ reboot

Upgrade thành công nhé Firmware Bunlde Version 5.2

CÀI ĐẶT DRIVER TRÊN SERVER WINDOWS 2019

Chúng ta chạy file setup từ file driver đã download hoặc CD copy ra

Lưu ý cài trên Windows Server 2019 phải dùng driver

Gỏ IP printer HP 607DN 172.16.32.53

Đặt tên lại nhé ví dụ HP607DN-TCKT

Triển khai Chính sách GPO Printer

Tạo policy áp dụng cho Group TCKT

Tên: deployPrinter-HP607DN-TCKT

Bước 2: Vào Deploy máy in

Chọn vào máy in HP607DN-TCKT phải chuột chọn vào Deply with Group Policy-> chọn tới policy vừa tạo nhé

Chọn đúng policy deployPrinter-HP607DN-TCKT-> chọn nút add nhé và check vào

The users that this GPO applieds to (Per user)

Chọn Apply -> ok

Kiểm tra máy trạm trên nhé

Trước khi logon

Sau khi logon

Ok nhé đã deploy thành công nhé.

Trân trọng

Chuyển dữ liệu ZaloPC sang ổ D, E.. để ổ C không bị đầy

Chuyển dữ liệu ZaloPC sang ổ D, E.. để ổ C không bị đầy

Mô tả

Zalo phần mềm trở nên khá thông dụng và phổ biến nó trở nên không thể thiếu trong cho cá nhân và làm việc tuy nhiên vấn đề nan giải Zalo được cài mặt định ổ C. Nếu bạn thường xuyên nhắn tin/chát chít với bạn bè hay khách hàng thì bạn sẽ thấy dung lượng của ổ C ngày càng bị thu hẹp.

Nguyên Nhân

Nguyên nhân là do dữ liệu đồng bộ của Zalo gây ra, đặc biệt là nếu bạn thường xuyên gửi các file dữ liệu nặng như video, hình ảnh hay âm thanh..

Việc Zalo chiếm nhiều dung lượng ổ C, làm ổ C đầy sẽ ảnh hưởng rất nhiều đến hiệu suất hoạt động của máy tính.

Các phương Án

Admin chia sẽ các bạn 1 số phương án gọi là chữa cháy tuy nhiên cũng 1 khía cạnh chấp nhận nào đó:

  1. Chia lại ổ cứng máy tính dành nhiều dung lượng C: hơn để lưu trữ
  2. Chuyển sang phiên bản web zalo, chat.zalo.me tuy nhiên 1 số hình ảnh không xem được trên phiên bản web.
  3. Thủ thuật di chuyển dữ liệu ZaloPC mặc đinh ổ ‘C’ sang phân vùng khác. Đây có vẻ là phương án tối ưu đây

Cách thực hiện

Ở hướng dẫn này tôi move qua D:. Tại đây tôi tạo các thư mục sau

D:\Zalo\

ZaloPC: Lưu

ZaloApp: Ứng dụng zalo để chạy

ZaloReceivedFIles: download file từ Zalo

Bước 1: Thoát ứng dụng Zalo PC bằng cách bấm chuột phải vào biểu tượng Zalo PC trên system tray chọn Đóng, chờ 5-10s để biểu tượng Zalo PC thoát khỏi system tray.

Bước 2: Tạm thời copy thư mục “C:\Users\<Username>\AppData\Local\ZaloPC” qua “D:\Zalo\ZaloPC” và đổi tên thư mục cũ ZaloPC-Old. Sau đó chờ ổ định xoá sau.

Lưu ý Username: là tài khoản của các bạn nhé

Bước 3: Tải phần mềm Symlink Link Creator này về và chạy ứng dụng này lên:

  • Bạn chọn là Folder symbolic link.
  • Link Folder bạn chọn đường dẫn chứa thư mục ZaloPC cũ (trên ổ C). Bạn có thể copy đường link vào cho nhanh.
  • Now give a name to the link: Bạn nhập vào là ZaloPC
  • Trong phần Destination Folder bạn nhập đường dẫn đến thư mục ZaloPC mà bạn đã copy đến.
  • Phần Select the Type of link bạn nhập là: Symbolic Link

=> Sau khi thiết lập xong bạn bấm Create Link để tạo ánh xạ ổ là xong.

Nếu bạn không thích sử dụng phần mềm Symlink Link Creator thì bạn có thể chạy lệnh sau trong CMD.

Cách làm như sau: Bạn chạy CMD với quyền Admin => rồi chạy lệnh bên dưới.

mklink /d C:\Users\xxx\AppData\Local\ZaloPC Đường-dẫn-đến-thư-mục-mới-copy

Link hoàn chỉnh của mình là:

mklink /d C:\Users\Phuong.NguyenVan\AppData\Local\ZaloPC  D:\Zalo\ZaloPC

Bước 4: Tiếp tục move luôn ZaloApp qua luôn

Cut (move) thư mục “C:\Users\Phuong.NguyenVan\AppData\Roaming\ZaloApp” qua “D:\ZALO\”

Bước 5: Tạo link tương tự có thể dùng symlink hoặc bằng lệnh

mklink /d “C:\Users\Phuong.NguyenVan\AppData\Roaming\ZaloApp” “D:\ZALO\ZaloApp”

Bước 6: Nếu có chương trình Zalo tại

C:\Users\Phuong.NguyenVan\AppData\Local\Programs\Zalo thì cắt luôn D:\Zalo\Zalo

Chạy Chương trình Zalo từ D:\Zalo\Zalo

Bước 7: Move các file download D:\Zalo\ZaloReceivefiles

Phương nguyễn Viết

Cập nhật ngay: Microsoft phát hành bản vá cho 3 lỗ hổng Windows bị khai thác tích cực

Microsoft hôm thứ Ba đã phát hành các bản cập nhật bảo mật để giải quyết 75 lỗ hổng trong danh mục sản phẩm của mình, ba trong số đó đã bị khai thác tích cực trong tự nhiên.

Các bản cập nhật bổ sung cho 22 lỗ hổng mà nhà sản xuất Windows đã vá trong trình duyệt Edge dựa trên Chromium của họ trong tháng qua. Hầu hết các lỗ hổng liên quan đến lỗ hổng khai thác thực thi mã từ xa chiếm đến 47%.

Trong số 75 lỗ hổng, 9 lỗ hổng được xếp hạng Nghiêm trọng và 66 lỗ hổng được xếp hạng Quan trọng về mức độ nghiêm trọng. 37 trong số 75 lỗi được phân loại là lỗi thực thi mã từ xa (RCE). Ba zero-days của lưu ý đã được khai thác như sau:

  • CVE-2023-21715 (điểm CVSS: 7,3) – Lỗ hổng bỏ qua tính năng bảo mật của Microsoft Office
  • CVE-2023-21823 (điểm CVSS: 7,8) – Độ cao của lỗ hổng đặc quyền của Cấu phần đồ họa Windows
  • CVE-2023-23376 (Điểm CVSS: 7,8) – Độ cao trình điều khiển của Hệ thống tệp nhật ký chung Windows (CLFS) của lỗ hổng đặc quyền

“Bản thân cuộc tấn công được thực hiện cục bộ bởi người dùng có xác thực với hệ thống được nhắm mục tiêu”, Microsoft cho biết trong lời khuyên cho CVE-2023-21715.

“Kẻ tấn công được xác thực có thể khai thác lỗ hổng bằng cách thuyết phục nạn nhân, thông qua kỹ thuật xã hội, tải xuống và mở một tệp được chế tạo đặc biệt từ một trang web có thể dẫn đến một cuộc tấn công cục bộ vào máy tính nạn nhân.”

Việc khai thác thành công các lỗ hổng trên có thể cho phép kẻ thù bỏ qua các chính sách macro của Office được sử dụng để chặn các tệp độc hại hoặc không đáng tin cậy hoặc giành được các đặc quyền HỆ THỐNG.

CVE-2023-23376 cũng là lỗ hổng zero-day được khai thác tích cực thứ ba trong thành phần CLFS sau CVE-2022-24521 và CVE-2022-37969 (điểm CVSS: 7,8), đã được Microsoft xử lý vào tháng 4 và tháng 9 năm 2022.

Nikolas Cemerikic của Immersive Labs cho biết: “Trình điều khiển hệ thống tệp nhật ký chung của Windows là một thành phần của hệ điều hành Windows quản lý và duy trì hệ thống tệp nhật ký dựa trên giao dịch, hiệu suất cao”.

“Đây là một thành phần thiết yếu của hệ điều hành Windows và bất kỳ lỗ hổng nào trong trình điều khiển này đều có thể có ý nghĩa quan trọng đối với tính bảo mật và độ tin cậy của hệ thống.”

Cần lưu ý rằng Microsoft OneNote dành cho Android dễ bị tấn công bởi CVE-2023-21823 và với việc dịch vụ ghi chú ngày càng nổi lên như một phương tiện phát tán phần mềm độc hại , điều quan trọng là người dùng phải áp dụng các bản sửa lỗi.

Microsoft cũng giải quyết nhiều lỗi RCE trong Exchange Server, Trình điều khiển ODBC, Trình điều khiển Máy in PostScript và SQL Server cũng như các sự cố từ chối dịch vụ (DoS) ảnh hưởng đến Dịch vụ iSCSI của Windows và Kênh Bảo mật Windows.

Ba trong số các lỗ hổng Exchange Server được công ty phân loại là “Khả năng khai thác cao hơn”, mặc dù việc khai thác thành công yêu cầu kẻ tấn công phải được xác thực.

Các máy chủ Exchange đã được chứng minh là mục tiêu có giá trị cao trong những năm gần đây vì chúng có thể cho phép truy cập trái phép vào thông tin nhạy cảm hoặc tạo điều kiện cho các cuộc tấn công Thỏa hiệp email doanh nghiệp (BEC).

Nguồn : https://thehackernews.com/2023/02/update-now-microsoft-releases-patches.html

Phương Nguyễn Dịch và biên soạn

The WinRM client cannot process the request. It cannot determine the content type of the EMS Exchange Shell

Microsoft_Exchange_(2019-present).svg

The WinRM client cannot process the request. It cannot determine the content type of the

Mã lỗi:

VERBOSE: Connecting to LAB-EX2013.phuongit.lab.

New-PSSession : [lab-ex2013.phuongit.lab] Connecting to remote server lab-ex2013.phuongit.lab failed with the

following error message : The WinRM client cannot process the request. It cannot determine the content type of the

HTTP response from the destination computer. The content type is absent or invalid. For more information, see the

about_Remote_Troubleshooting Help topic.

At line:1 char:1

+ New-PSSession -ConnectionURI “$connectionUri” -ConfigurationName Microsoft.Excha …

+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

+ CategoryInfo : OpenError: (System.Manageme….RemoteRunspace:RemoteRunspace) [New-PSSession], PSRemotin

gTransportException

+ FullyQualifiedErrorId : -2144108297,PSSessionOpenFailed

VERBOSE: Connecting to LAB-EX2013.phuongit.lab.

New-PSSession : [lab-ex2013.phuongit.lab] Connecting to remote server lab-ex2013.phuongit.lab failed with the

following error message : The WinRM client cannot process the request. It cannot determine the content type of the

HTTP response from the destination computer. The content type is absent or invalid. For more information, see the

about_Remote_Troubleshooting Help topic.

At line:1 char:1

+ New-PSSession -ConnectionURI “$connectionUri” -ConfigurationName Microsoft.Excha …

+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

+ CategoryInfo : OpenError: (System.Manageme….RemoteRunspace:RemoteRunspace) [New-PSSession], PSRemotin

gTransportException

+ FullyQualifiedErrorId : -2144108297,PSSessionOpenFailed

VERBOSE: Connecting to LAB-EX2013.phuongit.lab.

New-PSSession : [lab-ex2013.phuongit.lab] Connecting to remote server lab-ex2013.phuongit.lab failed with the

following error message : The WinRM client cannot process the request. It cannot determine the content type of the

HTTP response from the destination computer. The content type is absent or invalid. For more information, see the

about_Remote_Troubleshooting Help topic.

At line:1 char:1

+ New-PSSession -ConnectionURI “$connectionUri” -ConfigurationName Microsoft.Excha …

+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

+ CategoryInfo : OpenError: (System.Manageme….RemoteRunspace:RemoteRunspace) [New-PSSession], PSRemotin

gTransportException

+ FullyQualifiedErrorId : -2144108297,PSSessionOpenFailed

VERBOSE: Connecting to LAB-EX2013.phuongit.lab.

New-PSSession : [lab-ex2013.phuongit.lab] Connecting to remote server lab-ex2013.phuongit.lab failed with the

following error message : The WinRM client cannot process the request. It cannot determine the content type of the

HTTP response from the destination computer. The content type is absent or invalid. For more information, see the

about_Remote_Troubleshooting Help topic.

At line:1 char:1

+ New-PSSession -ConnectionURI “$connectionUri” -ConfigurationName Microsoft.Excha …

+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

+ CategoryInfo : OpenError: (System.Manageme….RemoteRunspace:RemoteRunspace) [New-PSSession], PSRemotin

gTransportException

+ FullyQualifiedErrorId : -2144108297,PSSessionOpenFailed

VERBOSE: Connecting to LAB-EX2013.phuongit.lab.

New-PSSession : [lab-ex2013.phuongit.lab] Connecting to remote server lab-ex2013.phuongit.lab failed with the

following error message : The WinRM client cannot process the request. It cannot determine the content type of the

HTTP response from the destination computer. The content type is absent or invalid. For more information, see the

about_Remote_Troubleshooting Help topic.

At line:1 char:1

+ New-PSSession -ConnectionURI “$connectionUri” -ConfigurationName Microsoft.Excha …

+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

+ CategoryInfo : OpenError: (System.Manageme….RemoteRunspace:RemoteRunspace) [New-PSSession], PSRemotin

gTransportException

+ FullyQualifiedErrorId : -2144108297,PSSessionOpenFailed

Failed to connect to an Exchange server in the current site.

Enter the server FQDN where you want to connect.:

YÊU CẦU

  • Set PowerShell Execution Policies
  • Verify WinRM IIS Extensions
  • Enable Windows Authentication for PowerShell Virtual Directory
  • Verify SSL setting for PowerShell Virtual Directory
  • Verify the application pool for PowerShell Virtual Directory
  • Verify the Security in for PowerShell Virtual Directory

Kiểm tra

  • Set PowerShell Execution Policies

  • Verify WinRM IIS Extensions => Nếu chưa cài phải cài

  • Enable Windows Authentication for PowerShell Virtual Directory
  • Verify SSL setting for PowerShell Virtual Directory

  • Verify the application pool for PowerShell Virtual Directory

Also, under Powershell Virtual Directory → Basic Settings → Make sure you have the Correct application pool (MSExchangePowerShellAppPool or MSExchangePowerShellFrontEndAppPool) and Physical path (C:\Program Files\Microsoft\Exchange Server\V<Exchange Version>\ClientAccess\PowerShell) selected to access the PowerShell virtual directory on the host under IIS root as shown:

  • Verify the Security in for PowerShell Virtual Directory
  • Also make sure the Exchange user has read permissions on the Physical path specified. To do this go to PowerShell Virtual Directory → Edit Permissions → Security tab → Assign read permissions to user performing the scan as shown:

Add-PSSnapin Microsoft.Exchange.Management.PowerShell.snapin;

Set-User “Administrator” -RemotePowerShellEnabled $true

Get-User -Identity “Administrator” | Format-List RemotePowerShellEnabled

KHỞI ĐỘNG SERVER LẠI NHÉ

TEST

TEST NEW USER FOR EMS

  • Add new user account in Active Directory
  • Add Roles/Group membership for new created user account
  • Enable Remote PowerShell for new created user account

NGUYÊN NHÂN

Có thể 1 trong các nguyên nhân sau

This problem occurs because one or more of the following conditions are true:

  • There is a configuration issue on the Exchange server with the Authentication Providers set on the PowerShell website.
  • The Kerbauth module is configured incorrectly in Internet Information Services (IIS) in one of the following ways:
    • The Kerbauth module is displayed as a Managed module instead of as a Native module.
    • The Kerbauth module has been loaded on the Default website level (instead of, or in addition to, the PowerShell virtual directory).
  • The user does not have Remote PowerShell Enabled status.
  • The WSMan module entry is missing from the Global modules section of the ApplicationHost.config file that is in the following location:
    C:\Windows\System32\Inetsrv\config\ApplicationHost.config

This causes the WSMan module to be displayed as a Managed module in the PowerShell virtual directory.

RESOLUTION OTHER

The Kerberos authentication needs to be configured on the PowerShell website on the Exchange Mailbox Server:

  1. Establish a remote connection to the Exchange server in question.
  2. Click Run and enter inetmgr.
  3. Expand the server in the left-hand pane.
  4. Expand the Sites and Default Web Site trees, and then click PowerShell.
  5. Double-click Authentication under the IIS section.

  1. Chọn enable Windows Authentication-> Providers

  1. Right-click on Windows Authentication, and then select Providers.

  1. If the Negotiate:Kerberos item is not present, add it through the Available Providers dialog box.


The AppInsight for Exchange data will be populated during the next SAM polling process. You can also click on Poll Now to obtain results immediately.

Test-WsMan

In IIS Manager, Kerbauth should be listed as a Native module in the PowerShell virtual directory. The DLL location for this module should point to

C:\Program Files\Microsoft\Exchange Server\v15\Bin\kerbauth.dll.

Make sure that the WSMan module is registered but not enabled at the Server level. Also make sure that the WSMan module is enabled for the PowerShell virtual directory. Then, verify that the following WSMan module entry is included in the <globalModules> section of the C:\Windows\System32\Inetsrv\config\ApplicationHost.config file as follows:

XMLCopy

<globalModules>

<add name=”WSMan” image=”C:\Windows\system32\wsmsvc.dll” />

Kiểm tra thiếu chưa cài WinRM IIS Extension feature

Khởi động lại IIS hoặc máy chủ để test lại

Kiểm tra lại: C:\Windows\System32\Inetsrv\config\ApplicationHost.config

Đảm bảo có dòng này

<add name=”WSMan” image=”%windir%\system32\wsmsvc.dll” />

Fortigate SD-WAN ?

Đọc về lý thuyết sdwan thấy khá trừu tượng và khó hiểu. Khi mình cấu hình sdwan trên fortigate 60F thì nó có các mục sau (như trong hình):

+SDWAN zones: tại đây mình tạo mới 1 interface ảo (hoặc dùng cái mặc định có tên là virtual wan link) và add các member interfaces (là các wan interfaces vật lý có sẵn) vào interface ảo này. Gần giống kiểu mình dùng cisco etherchannel để gộp các ports vật lý vào trong 1 port ảo. Cái virtual wan link này là dùng để ra internet, còn nếu mình muốn vpn đến site khác thì mình tạo 1 vpn zone (ảo) và sau đó tạo và add các đường vpn (vpn1, vpn2 …) vào vpn zone đó (và nó là overlay, vì nó dựa trên cái underlay ở dưới là các đường wan). Việc tạo giao diện wan ảo (gộp các wan vật lý) là để giúp phối hợp và lựa chọn các wan vật lý để đem đến các tính năng như failover, load balancing, path selection, load distribution, lựa chọn đường wan dựa theo chất lượng đường wan và dựa theo app / service / ip / fqdn …

+SDWAN rules: phần này có 1 rule mặc định nằm dưới cùng và trong rule này nó cho mình chọn 1 số thuật toán load balance. Ngoài ra mình có thể tạo thêm rule mới để control vấn đề path selection dựa vào ip / fqdn / app / service / category … ví dụ mình định nghĩa là truy cập Office 365 phải đi qua đường wan1, hoặc tự động chọn đường wan nào có chất lượng tốt nhất dựa vào các SLA đã được định nghĩa và cấu hình, hoặc lựa chọn và phối hợp các đg wan sao cho tối đa bandwidth, hoặc có latency thấp nhất …

+Performance SLA: phần này mình định nghĩa cách thức mình monitor 1 server ngoài internet dựa vào các giao thức như ping, http, dns … để đo lường tính sẵn sàng và chất lượng các đường wan dựa vào nhiều tiêu chí như packet loss, latency, jitter … và dùng các kết quả này vào việc chọn đường wan ở mục sdwan rules. VD mình sẽ cấu hình để nó ping liên tục đến 8.8.8.8 và đo lường các thông số chất lượng của các đg wan thông qua kết quả gói ping.

Tóm lại, sau khi cấu hình 3 mục trên thì ta có 1 giao diện wan ảo mới là virtual wan link (hoặc tên khác do ta đặt) trong đó nó gộp các đường wan vật lý là wan1, wan2 … Ta cũng tạo Perf SLA để monitor và đo chất lượng các đg wan1, wan2 … và tạo sdwan rule để control path selection dựa vào thông tin source, destination và kết quả của perf sla. Nhưng cái virtual wan link này chỉ là để truy cập internet, nếu ta muốn kết nối vpn giữa HQ và branch thì ta phải tạo thêm VPN theo 1 trong 2 cách sau:

+cách 1: tạo và cấu hình IPsec s2s vpn tunnel truyền thống, việc cấu hình khá đơn giản, chú ý cấu hình phase 1 và phase 2 trên fortigate đầu này phải tương thích với phase 1 và phase 2 trên fortigate đầu kia

+cách 2: vào mục sdwan/sdwan zones và tạo 1 vpn zone (ảo) và sau đó tạo và add các vpn thành viên (vd: vpn1 dựa trên wan1, vpn2 dựa trên wan2) vào vpn zone này, việc tạo và add vpn thành viên làm ngay trong giao diện của mục sdwan chứ ko làm trong giao diện của mục VPN như thông thường. Cấu hình vpn theo cách này thì ta phải tạo nhiều đường vpn (vpn1, vpn2) để hệ thống tự động lựa chọn đường vpn phù hợp với từng traffic. Cấu hình khá lằng nhằng nhiều bước, phức tạp hơn so với cách 1, nên mình ko thích cách này lắm, và nó cũng failed trong test lab của mình.

Như vậy với fortigate sdwan thì có 2 dạng virtual link: virtual link dùng để truy cập internet (như cái virtual wan link), và virtual link dùng để kết nối các sites (như vpn zone). SDwan phục vụ truy cập internet thì khá ngon và cấu hình khá đơn giản nên ok, 

Nguồn từ fb minhconan

Những lưu ý đối với bản vá Exchange Server ngày 10 tháng 01 năm 2023

Microsoft_Exchange_(2019-present).svg

Các Chú ý liên quan bản cập nhật vá lổ hổng (SU) của Exchange Server ngày 10/01/2023

Thông tin

Exchange 2019:
Exchange 2019CU12-KB5022193 (SU5)
Exchange 2019CU11-KB5022193 (SU9)
Exchange 2016:
Exchange2016-KB50221431(SU5)

Tính năng được giới thiệu mới:

Certificate signing of PowerShell serialization payload in Exchange Server, lưu ý khi cài đặt update bản vá thì sẽ bật tính năng này


Cập nhật các vá lỗ hổng:


Vấn đề vá lỗi:

  • Store Worker Process stops and returns “System.NullReferenceExceptions” lặp lại nhiều lần.
  • Không ghi âm và play được Exchange Unified Messaging
  • Log Exchange Application bị tràn liên quan có mã event ID: 6010

Các lỗi khi update có thể gặp phải:

  • Dịch vụ Microsoft Exchange AD Topology service có thể không start tự động hoặc lỗi treo làm die hệ thống (Đối với Exchange server 2016 chạy trên Windows Server 2012R2)
  • Bản xem trước trang web cho các URL được chia sẻ trong Outlook trên web (OWA) không được hiển thị chính xác.
  • Không thể mở công cụ quản lý Exchange Toolbox MMC snapin


Khuyến cáo Phương nguyễn:


Hiện bản này đang có nhiều lỗi liên quan khuyến cáo mạnh mẽ anh em IT System chưa hãy update nhé để ăn tết vui vẻ chờ MS confirm các bản vá trong tương lai. Vì có rất nhiều người bị lỗi rồi.
Khuyến cáo đặc biệt: Tuyệt đối không chạy bản vá này cho Exchange 2013

Phương nguyễn