Exchange Server CU14 2019

Nghỉ Tết cũng cập nhật thông tin cho ae:

Ngày 13/02/2024 MS đang công bố tính khả dụng của Bản cập nhật tích lũy H1 2024 (CU) cho Exchange Server 2019 (hay còn gọi là CU14). CU14 bao gồm các bản sửa lỗi cho các sự cố được khách hàng báo cáo, thay đổi bảo mật và tất cả các Bản cập nhật bảo mật (SU) đã phát hành trước đó.

Cài đặt Bản cập nhật tích lũy ngay lập tức để giải quyết các vấn đề được tìm thấy trong Exchange Server 2019 và bảo vệ môi trường của bạn.

1. Với Exchange 2019 CU14 khi cài mặt định enable Extended Protection hoặc chúng ta không muốn bật thêm tham số /DoNotEnableEP or /DoNotEnableEPFEEWS trong quá trình setup

2. Hỗ trợ .NET Framework 4.8.1 trên Windows Server 2022

3. TLS 1.3 dự kiến EX2019CU15

4. Lưu ý sau phiên bản sẽ không hỗ trợ bản vá bảo mật trong tương lai: EX2019CU12, EX2016CU22.

CVE dưới đây được giải quyết bằng Bản cập nhật tích lũy:

🛡️ CVE-2024-21410 – Microsoft Exchange Server nâng cao lỗ hổng đặc quyền

Xin lưu ý rằng CVE-2024-21410 cũng áp dụng cho Exchange Server 2016. Đối với các máy chủ Exchange 2016, hãy làm theo Cấu hình Bảo vệ Mở rộng Windows trong Máy chủ Trao đổi nếu Bảo vệ Mở rộng chưa được bật trong tổ chức của bạn

Lưu ý rằng Exchange Server 2013 KHÔNG được hỗ trợ và bạn phải nâng cấp lên Exchange Server 2019 hoặc Exchange Online càng sớm càng tốt

Lưu ý rằng Exchange Server 2013 KHÔNG được hỗ trợ và bạn phải nâng cấp lên Exchange Server 2019 hoặc Exchange Online càng sớm càng tốt.

P/s: Khuyến cáo Quản trị viên cần triển khai cập nhật trong môi trường Lab trước khi thực hiện triển khai update trong môi trường Production

#jsisen

#phuongit

#exchangeserver

#exchangeserver24H1

#exchangeserver2019CU14

#exchangecu

#sharing

Cập Nhật Nguyên Tắc/ Chính Sách Gửi Email Vào Gmail-Yahoomail Năm 2024

Cập nhật Nguyên tắc gửi Email vào Gmail năm 2024

Thông tin

Theo như thông báo của Gmail thì bắt đầu tháng 02 năm 2024 có 1 số đổi mới bảo mật gửi vào gmail

Quan trọng: Kể từ tháng 2 năm 2024, Gmail sẽ yêu cầu những người gửi từ 5.000 thư trở lên mỗi ngày đến các tài khoản Gmail phải làm các việc sau: Xác thực email gửi đi, tránh gửi email không mong muốn, đồng thời giúp người nhận dễ dàng huỷ đăng ký.

Các nguyên tắc trong bài viết này có thể giúp bạn gửi và chuyển thành công email đến các tài khoản Gmail cá nhân. Tài khoản Gmail cá nhân là tài khoản có đuôi là @gmail.com hoặc @googlemail.com.

Người gửi trên Google Workspace: Nếu bạn sử dụng Google Workspace để gửi số lượng lớn email thì phải tuân thủ theo chính sách Gmail của Google Workspace.

Nội dung cập nhật về các yêu cầu đối với người gửi

Điểm mới trong tháng 12/2023 Gmail đã cập nhật đối với người gửi bắt buộc phải dùng kết nối TLS để truyền email.

Yêu cầu đối với tất cả người gửi vào gmail

Kể từ ngày 1 tháng 2 năm 2024, tất cả những người gửi email đến các tài khoản Gmail đều phải đáp ứng các yêu cầu trong mục này.

Quan trọng: Nếu bạn gửi hơn 5.000 thư mỗi ngày đến các tài khoản Gmail, hãy tuân theo Các yêu cầu đối với việc gửi từ 5.000 email trở lên mỗi ngày.

  1. Thiết lập phương thức xác thực email DKIM hoặc SPF cho miền của bạn.
  2. Đảm bảo rằng địa chỉ IP hoặc miền gửi thư có bản ghi DNS chuyển tiếp và bản ghi DNS ngược hợp lệ, còn được gọi là bản ghi PTR (PTR record hay dân gian gọi là IP Reverse). Tìm hiểu thêm hướng dẫn tại đây (https://support.google.com/mail/answer/81126)
    • IP Adress: Địa chỉ IP gửi của bạn phải có bản ghi PTR. Bản ghi PTR xác minh rằng tên máy chủ gửi được liên kết với địa chỉ IP gửi. Mỗi địa chỉ IP phải liên kết với một tên máy chủ trong bản ghi PTR. Tên máy chủ trong bản ghi PTR phải có DNS chuyển tiếp tham chiếu đến địa chỉ IP gửi.
    • IP Sharing (Dạng sài chung host): Địa chỉ IP dùng chung (IP dùng chung) là địa chỉ IP được nhiều người gửi email sử dụng. Hoạt động của bất kỳ người gửi nào sử dụng địa chỉ IP dùng chung cũng sẽ ảnh hưởng đến danh tiếng của tất cả người gửi sử dụng IP dùng chung đó.
    • Danh tiếng xấu có thể ảnh hưởng đến tần suất gửi thư của bạn.
    • Nếu bạn sử dụng một IP dùng chung để gửi email, bạn cần:
    • Đảm bảo địa chỉ IP dùng chung đó không thuộc bất kỳ danh sách chặn nào trên Internet. Thư được gửi từ địa chỉ IP trong danh sách chặn sẽ có nhiều khả năng bị đánh dấu là thư rác.
    • Nếu bạn sử dụng một nhà cung cấp dịch vụ email cho IP dùng chung của mình, hãy sử dụng Công cụ Postmaster để giám sát danh tiếng của địa chỉ IP dùng chung.
  3. Sử dụng kết nối TLS để truyền email. Để biết các bước thiết lập TLS trong Google Workspace. Xem hướng dẫn tại đây (https://support.google.com/a/answer/2520500)

Giữ cho tỷ lệ thư rác được báo cáo trong Công cụ Postmaster dưới 0,1% và đừng để tỷ lệ thư rác bằng hoặc cao hơn 0,3%. Xem hướng dẫn tại (https://gmail.com/postmaster). Phần này nên đăng ký và add domain của các bạn vào để giám sát

Rate dưới 0.1%, và không cao hơn 0.3% sẽ bị khoá ngay lập tức này gặp rồi Gmail block luôn domain gửi vào.

5. Định dạng thư theo Tiêu chuẩn định dạng thư trên Internet (RFC 5322) (https://tools.ietf.org/html/rfc5322)

6 Không được mạo danh ở phần đầu thư Từ: của Gmail. Gmail sẽ bắt đầu sử dụng chính sách thực thi cách ly theo DMARC, và việc mạo danh trong phần đầu thư Từ: của Gmail có thể ảnh hưởng đến việc gửi email (https://support.google.com/a/answer/10032169#policy-options)

7. Nếu bạn thường xuyên chuyển tiếp email, kể cả việc sử dụng danh sách gửi thư hoặc cổng thư đến, hãy thêm phần đầu ARC vào email gửi đi. Phần đầu ARC cho biết thư đã được chuyển tiếp và xác định bạn là người chuyển tiếp. Người gửi danh sách gửi thư cũng phải thêm phần đầu List-id:. Phần đầu này chỉ định danh sách gửi thư cho các thư gửi đi. (https://support.google.com/mail/answer/81126?hl=vi&sjid=11774976608095956067-AP#arc)

Yêu cầu đối với việc gửi từ 5.000 email trở lên mỗi ngày gửi vào Gmail

Kể từ ngày 1 tháng 2 năm 2024, những người gửi hơn 5.000 thư mỗi ngày đến các tài khoản Gmail phải đáp ứng các yêu cầu trong mục này.

  • Thiết lập phương thức xác thực email DKIM hoặc SPF cho miền của bạn.
  • Đảm bảo rằng địa chỉ IP hoặc miền gửi thư có bản ghi DNS chuyển tiếp và bản ghi DNS ngược hợp lệ, còn được gọi là bản ghi PTR. Tìm hiểu thêm
  • Sử dụng một kết nối TLS để truyền email. Để biết các bước thiết lập TLS trong Google Workspace, hãy xem bài viết Cần có một kết nối bảo mật cho email.
  • Giữ cho tỷ lệ thư rác được báo cáo trong Công cụ Postmaster dưới 0,1% và đừng để tỷ lệ thư rác bằng hoặc cao hơn 0,3%. Tìm hiểu thêm về tỷ lệ thư rác.
  • Định dạng thư theo Tiêu chuẩn định dạng thư trên Internet (RFC 5322).
  • Không được mạo danh ở phần đầu thư Từ: của Gmail. Gmail sẽ bắt đầu sử dụng chính sách thực thi cách ly giao thức DMARC, và việc mạo danh phần đầu thư Từ: của Gmail có thể ảnh hưởng đến việc gửi email.
  • Nếu bạn thường xuyên chuyển tiếp email, kể cả việc sử dụng danh sách gửi thư hoặc cổng thư đến, hãy thêm phần đầu ARC vào email gửi đi. Phần đầu ARC cho biết thư đã được chuyển tiếp và xác định bạn là người chuyển tiếp. Người gửi danh sách gửi thư cũng phải thêm phần đầu List-id:. Phần đầu này chỉ định danh sách gửi thư cho các thư gửi đi.
  • Thiết lập phương thức xác thực email bằng DMARC cho miền gửi thư của bạn. Bạn có thể đặt Chính sách thực thi bằng DMARC thành none. Tìm hiểu thêm
  • Đối với thư trực tiếp, miền trong phần Từ: của người gửi phải khớp với miền SPF hoặc miền DKIM. Đây là điều kiện bắt buộc để vượt qua yêu cầu phù hợp với DMARC.
  • Thư tiếp thị và thư gửi cho những người đã đăng ký phải hỗ trợ tính năng nhấp một lần để huỷ đăng ký, đồng thời phải có một đường liên kết huỷ đăng ký rõ ràng trong nội dung thư. Tìm hiểu thêm

Nếu bạn gửi hơn 5.000 email mỗi ngày trước ngày 1 tháng 2 năm 2024, hãy làm theo các nguyên tắc trong bài viết này càng sớm càng tốt. Việc đáp ứng các yêu cầu dành cho người gửi trước thời hạn trên có thể giúp cải thiện khả năng gửi email. Nếu bạn không đáp ứng các yêu cầu được mô tả trong bài viết này, email của bạn có thể không được gửi như mong đợi hoặc có thể bị đánh dấu là thư rác.

Để tìm hiểu thêm về cách thiết lập SPF, DKIM và DMARC, hãy truy cập vào bài viết Ngăn chặn thư rác, hành vi giả mạo và lừa đảo bằng phương thức xác thực của Gmail (https://support.google.com/a/answer/10583557 )

Lời kết

Đối với Quản trị viên IT Admin đơn vị, công ty cơ quan mình đang quản lý nên xem lại cách gửi email hiện tại của để đảm bảo bảo mật Email đám ứng đủ các tiêu chí trên:

  1. Authentication (SPF, DKIM và DMARC), PTR, mà Gmail hay Yahoo yêu cầu… Nếu cần, hãy cập nhật cấu hình SPF, DKIM và DMARC của bạn để tuân thủ các yêu cầu mới.
  2. PTR Record
  3. Kiểm tra Email System dùng giao thức TLS connection tranmission
  4. Tận dụng tối đa công cụ Postmaster giám sát các chỉ số của Gmail đưa ra: Authenticated (SPF, DKIM, DMARC), Spam rate luôn dưới 0,1% và không vượt 0.3%, IP reputation, domain reputation (High), Encryption traffic(TLS incoming/ TLS Outgoing),…
  1. Đối với hệ thống marketing thường dùng bulk email cần đáp ứng tiêu chí Gmail nếu không sẽ dính chưởng block domain trường hợp này Phương Nguyễn đã gặp rồi ít nhất hơn 3 khách hàng.
  2. Hạn chế thấp nhất các email vào gmail quảng cáo mà bị report là spam thì sẽ dính spam. Trương hợp có dùng để gửi email dạng thông báo hoặc tiếp thị liên kết cho khách thì nên có phương thức dễ đăng ký (subscribe) và huỷ đăng (List-Unsubscribe=One-Click) một lần nếu có.

Thiết nghĩ đây là yêu cầu bắt buộc với 1 hệ thống email mà bạn đang quản trị hệ thống nhà làm (on-premise) hay thuê hosting hay đi thuê cloude GG, 365, Zoho,.. Cũng nên xem và kiểm tra chặt chẽ để tránh Spam không đáng có.

Bài viết có tham khảo gmail và hiệu chỉnh theo ý cá nhân.

https://support.google.com/mail/answer/81126

Phương Nguyễn dịch và viết

Thông tin bản cập nhật bảo mật(SU) Tháng 11/2023 Exchange Server

Ngày 14/11/2023 Microsoft đã phát hành Bản cập nhật bảo mật(SU) cho các lỗ hổng được tìm thấy:

  • Exchange Server 2016 CU22, CU23 (KB5032147)
  • Exchange Server 2019 CU13 (KB5032146)

Giải Quyết

1/ Certificate signing of PowerShell serialization payload được bật mặt định.
2/ Fix Lỗi hổng Exchange Server 2016 & Exchange Server 2019 :
CVE-2023-36439 – Microsoft Exchange Server Remote Code Execution Vulnerability
CVE-2023-36050 – Microsoft Exchange Server Spoofing Vulnerability
CVE-2023-36039 – Microsoft Exchange Server Spoofing Vulnerability
CVE-2023-36035 – Microsoft Exchange Server Spoofing Vulnerability
3/ Fix lỗi Exchange Server 2019
Lỗi khi chạy lệnh RBAC trên CMD liên quan Serialization payload signing
Unable to migrate mailbox as communication error parameter exception occurs
4/ Fix lỗi Exchange Server 2016
InvalidResponseException when you try to run Export-UMPrompt


Một số lỗi sau khi vá bản SU tháng 11 này:


Một số lệnh ghép sẽ bị lỗi trên máy remote có công cụ Management Tools nhưng không phải MBX như:

Get-MailboxDatabase | Get-MailboxStatistics

Get-MailboxDatabase | Get-Mailbox

Get-MailboxDatabase | Test-ExchangeSearch

Get-Mailbox | Get-CalendarDiagnosticLog

Get-PublicFolderClientPermission | Remove-PublicFolderClientPermission


Chạy lệnh RedistributeActiveDatabases.ps1 or StartDagServerMaintenance.ps1 trong môi trường DAG sẽ bị lỗi, MS hứa chưa có bản vá 🙂 chờ bản sau.
Có thể gây lỗi chạy lệnh EMS trong Exchange Powershell.

Khuyến Nghị


Nên Test kỹ lab trước khi chạy môi trường Production cân nhắc giữa bảo mật và an toàn.
Hiện tại chưa khuyến cáo cập nhật với các lỗi trên. Vì theo ghi nhận nhiều ae bị lỗi :).
Nếu bắt buộc cập nhật hãy đảm bảo rằng Exchange Auth Certificate hợp lệ trước khi cài đặt bản cập nhật bảo mật (SU). Bạn có thể sử dụng tập lệnh MonitorExchangeAuthCertificate.ps1 để thực hiện kiểm tra nhanh.

Cài đặt bản vá

Lưu ý rằng Exchange Server 2013 KHÔNG được hỗ trợ và bạn phải nâng cấp lên Exchange Server 2019 hoặc Exchange Online càng sớm càng tốt!

Tham khảo link comment
https://techcommunity.microsoft.com/t5/exchange-team-blog/released-november-2023-exchange-server-security-updates/ba-p/3980209
https://aka.ms/MonitorExchangeAuthCertificate

Description of the security update for Microsoft Exchange Server 2016: November 14, 2023 (KB5032147) – Microsoft Support

Description of the security update for Microsoft Exchange Server 2019 and 2016: November 14, 2023 (KB5032146) – Microsoft Support

jsisen

viettechgroupvn

phuongit

exchangeserver

MỘT SỐ BIỆN PHÁP NGĂN NGỪA VÀ CHỐNG SPAM EMAIL SERVER EXCHANGE

MỘT SỐ BIỆN PHÁP NGĂN NGỪA HỆ THỐNG CHỐNG SPAM EMAIL SERVER EXCHANGE

Hệ thống Email Server Exchange Server Nhà làm (On-Premises) Để ngăn chặn spam trên máy chủ Exchange Server, bạn có thể thực hiện một số biện pháp phòng ngừa và bảo mật. Dưới đây là một số gợi ý mà Phương Nguyễn chia sẻ từ kinh nghiệm thực tế nhé:

Sử dụng các bộ lọc chống spam:

  • Kích hoạt và cấu hình các tính năng chống spam tích hợp của Exchange. Bật Antispam nội tại của Exchange sẵn có cũng quét khá ok.
  • Cấu hình thêm 1 số tính năng của Antispam protection: Content filter, Sender Filter, sender id, Recipient, attachment,…
  • Nếu có tiền thì nên xem xét việc triển khai các giải pháp bộ lọc chống spam bên ngoài phần cứng hay appliance phần mềm: SpamAssassin, Barracuda, hoặc Proofpoint, FortiMail,
  • Giải pháp mail gateway đối tác thứ 3:
    • Microsoft Exchange Server 2019.
    • Paubox.
    • Mimecast Email Security with Targeted Threat Protection.
    • Cisco Secure Email Threat Defense.
    • FortiMail.
    • Symantec Email Security.Cloud.
    • Cloudflare Area 1 Security.
    • Barracuda Email Security Gateway.

Cập nhật phần mềm và bảo mật:

  • Đảm bảo bạn đang sử dụng phiên bản Exchange Server mới nhất và đã áp dụng tất cả các bản vá bảo mật (CU, SU), bằng cách theo dõi thường xuyên trên trang Microsoft Exchange check bản vá.
  • Theo dõi và thường xuyên cập nhật phần mềm chống virus và bảo mật trên máy chủ chạy Exchange.

Cấu hình xác thực người gửi bằng cách cấu hình bảo mật DNS cho Email:

  • Kích hoạt các cơ chế xác thực như SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail), và DMARC (Domain-based Message Authentication, Reporting, and Conformance), IP resever (PTR)
  • Xác minh và thiết lập các quy tắc xác thực người gửi trong các bộ lọc spam.
  • Nếu tự làm email không có email gateway nên tìm IP sạch tí.

Quản lý danh sách đen (blacklist) và trắng (whitelist):

  • Thiết lập các quy tắc để tự động thêm địa chỉ email vào danh sách đen hoặc trắng dựa trên các tiêu chí cụ thể.
  • Kiểm tra định kỳ và cập nhật danh sách đen và trắng của bạn.
  • Ngoài ra 1 số hãng dbspam hoặc trang Spam phải mua thêm gở spam blocklist hoặc add ip mail server vào Whitelist (nhất là ông UCEPROTECT phải mua gở), nếu trang spam free thì email gở spam,
  • Thường xuyên dùng các công cụ kiểm tra xem IP có spam không nhé: Mxtoolbox, dnschecker, Testtls, spamhaus, Barracuda, Spamcop,..Dĩ nhiên phổ biến thôi còn nhiều các bạn có thể tìm thêm.

Quản lý và đào tạo người dùng cuối:

  • Các giải pháp công nghệ tốt đến đâu thì con người vận hành và sử dụng cũng là users nên yếu tố con người cũng quyết định thành công trong việc góp phần ngăn ngừa.
  • Cung cấp hướng dẫn và đào tạo người dùng về cách nhận biết và xử lý email spam, fishing email.
  • Khuyến khích họ không mở các đính kèm từ nguồn không rõ, click link nặc danh dẫn tới spam hoặc mã hoá dữ liệu.

Kiểm soát đồng bộ hóa (synchronization):

  • Hạn chế quá trình đồng bộ hóa với các danh bạ không tin cậy và ngăn chặn các kết nối không mong muốn từ các nguồn không rõ.

Giám sát log và thống kê:

  • Thường xuyên theo dõi các log và bản thống kê để phát hiện các hoạt động bất thường từ Log của Exchange transport, Ngoài các công cụ sẵn có của Exchange Server: Message tracking. Có thể dùng ManageEngine Exchange Reporter Plus khá ok dĩ nhiên phải tốn phí 😊
  • Thực hiện giám sát thời gian thực để nhanh chóng phát hiện và xử lý các vấn đề liên quan đến spam.

Sử dụng các giải pháp chống thấp hóa (greylisting):

  • Cài đặt các giải pháp chống thấp hóa để tạm thời chặn các email từ nguồn chưa được xác minh, và chỉ chấp nhận chúng khi được gửi lại từ cùng một nguồn. Này gần giống mục 3, dùng thêm các giải pháp tốn tiền

Rules Transport Exchange Server

Có thể tận dụng tạo các bộ lộc rules sẵn có của Exchange vẫn có khả năng ngănn chặn được nhiều đó, Mình nghỉ bộ công cụ này khá mạnh mọi người cần khai thác triệt để vì miễn phí mà có sẵn tận dụng có gì sài nấy trước khi đầu tư.

Lời Kết cho bài post

Bảo mật email là câu chuyện muôn thuở và nhiều tầng nhiều lớp, dĩ nhiên tuỳ thuộc vào nhu cầu và ngân sách doanh nghiệp nếu lên Cloud Email Online (Google Workspace, MS365-Microsoft Defender for Office 365 công nghệ mới XDR..) thì khá tốt rồi.

Bài post này chỉ đề cập đến giải pháp email Server Exchange nhà làm (On-Premise). Chúng ta đi từ trong ra ngoài theo các tầng thì có thể gôm lại các cách phòng chống spam cho Email như sau:

  • Tầng 1: Nội tại email Exchange Server có Antispam and antimalware sẵn có free, dĩ nhiên phải cấu hình và bật lên (Content filter, Sender, IP reputation,..).
  • Tầng 2: Rules transport Exchange có sẵn free chỉ tốn cơm suy nghĩ, spam đâu block đó
  • Tầng 3: tầng cài thêm phần mềm thứ ba nếu không nhiều tiền mua phần cứng: Antispam của ESET Mail Security, Symantec tích họp email security, McAFee,..
  • Tầng 4 tường lửa nếu có sẵn: Forgiate mua tính năng hoặc sài hẵn phần cứng mail gateway như của Baracuda, Sophos, Fortimail, hoặc đẩy thẳng mail relay Cloud Online: Microsoft, GG, Amazon SES, SendinBlue, DNSexit,..Nhiều lắm mà tốn tiền 😊

..

Lưu ý rằng không có biện pháp nào là hoàn toàn hiệu quả 100% trong việc ngăn chặn spam, vì vậy việc kết hợp nhiều biện pháp cùng một lúc là quan trọng.

Bài Post mang tính chất chủ quan tham khảo va chắc lọc từ kinh nghiệm cá nhân, anh em nào có khác hãy comment để thảo luận nhé.

Phương Nguyễn

HƯỚNG DẪN SETUP EXCHANGE 2019 ON WINDOWS SERVER 2019 CORE STANDARD

Microsoft_Exchange_(2019-present).svg

HƯỚNG DẪN SETUP EXCHANGE 2019 ON WINDOWS SERVER 2019 CORE STANDARD

Mô hình

D:\DOCUMENTS\EXCHANGE2019\SoDo-DAG 2019.jpg

Lab

ServerName

IP Address

SM

GW

DNS

Roles

DC2019-01

10.10.11.1

24

10.10.11.254

10.10.11.1

Domain Controller 2019

EX2019-01

10.10.11.3

24

10.10.11.254

10.10.11.1

Exchange 2019

Tài nguyên

ServerName

RAM

CPU

HDD

VMLSRVAD19-01

4G

1

127G

EX19

10G

2

127G

Cài đặt WS server 2019 core

Xem tài liệu tạo máy ảo tại đây 2018-11-05-HUONG DAN TAO VM TREN HYPER-V ON WINDOWS SERVER 2016.pdf

Chuẩn bị Domain controller 2019

Task Description

Screenshot

Logon

Change password

Change thành công

 

Cấu hình

Scconfig

Cấu hình tên máy tính=> 2=>DC2019-01

Cấu hình tên máy tính=> 2=>DC2019-01

Khởi động lại DC2019-01

CẤU HÌNH NETWORKING

Add thêm Card net10

Add thêm card mạng

Chọn Tagg VLAN 11

Cấu hình IP

NET11

10.10.11.1

  

Rename

Rename-Computer -ComputerName <new_name>

New-NetIPAddress -InterfaceIndex 6 -IPAddress 192.168.12.123 -PrefixLength 24 -DefaultGateway 192.168.12.100

Enable để copy file từ host vật lý vào trong máy ảo

Enable-VMIntegrationService -name Guest* -VMName Server2019 -Passthru

Copy-VMFile “DC2019-01” -SourcePath “C:\Users\Administrator.VFC\WindowsAdminCenter1809.msi” -DestinationPath “C:\temp\ WindowsAdminCenter1809.msi” -CreateFullPath -FileSource Host

msiexec /i C:\temp\WindowsAdminCenter1804.msi /qn /L*v log.txt SME_PORT=443 SSL_CERTIFICATE_OPTION=generate

Đăng nhập nhé

Có thể cài SSH (https://github.com/PowerShell/Win32-OpenSSH/releases )

Install-Module -Name Posh-SSH

Nâng cấp DC 2019 nhé

Using PowerShell

PowerShell Command to start creating Domain Controller

Get-WindowsFeature AD-Domain-Service | Install-WindowsFeature

Import-Module ADDSDeplyoment

Install-ADDSForest

Install-ADDSDomainController -Credential (Get-Credential) `

-NoGlobalCatalog:$false `

-CreateDnsDelegation:$false `

-CriticalReplicationOnly:$false `

-DatabasePath “C:\Windows\NTDS” `

-DomainName ‘nvp.info’ `

-InstallDns:$true `

-LogPath “C:\Windows\NTDS” `

-NoRebootOnCompletion:$false `

-SiteName “Default-First-Site-Name” `

-SysvolPath “C:\Windows\SYSVOL” `

-Force:$true

2018-03-22 08_35_22-RDCB01 on HYPER - Virtual Machine Connection.png

Reboot

Nâng cấp thành công

New-ADUser –Name “Helpdesk” –GivenName Help –Surname Desk –SamAccountName Helpdesk –UserPrincipalName Helpdesk@nvp.info

Set-ADAccountPassword ‘CN=Helpdesk,CN=users,DC=nvp,DC=info’ -Reset -NewPassword (ConvertTo-SecureString -AsPlainText “Test@123” -Force)

Get-ADUser Helpdesk

Enable the AD user

Enable-ADAccount -Identity Helpdesk

Add the user to Domain Admins group  

Add-AdGroupMember ‘Domain Admins’ Helpdesk

CÀI ĐẶT WINDOWS SERVER CORE EXCHANGE 2019

Tạo máy ảo tương tự như trên

Chỉ phần setup nhé

Đặt Tên : EX2019-01

Kiểm tra setup ngày giờ Get-Timezone

Timedate.cpl

Đặt IP

New-NetIPAddress -InterfaceIndex 10 -IPAddress 10.10.11.2 -PrefixLength 24 -DefaultGateway 10.10.11.254

Configure a DNS Server

Set-DNSClientServerAddress -InterfaceIndex 10 -ServerAddress “10.10.11.1”

Enable Remote Desktop:

cscript C:\Windows\System32\Scregedit.wsf /ar 0

Hoặc sài Sconfig đặt nhé

Update

Join Domain nvp.info

Add-Computer -DomainName nvp.info -DomainCredential nvp\administrator

Cài đặt Windows Admin Center

Copy từ Host vào VM
Copy-VMFile “EX2019-01” -SourcePath “C:\Users\Administrator.VFC\WindowsAdminCenter1809.msi” -DestinationPath “C:\temp\WindowsAdminCenter1809.msi” -CreateFullPath -FileSource Host

Windows features

Use the following PowerShell command to install the OS component required for Microsoft UCMA 4.0 and the OS component required for Active Directory Preparation.

Install-WindowsFeature Server-Media-Foundation, RSAT-ADDS

Download các phần mềm cần thiết

Copy source vào Windows Server Core 2019 Exchange:

Có 2 cách 1:

  1. Copy từ host vật lý

Logon máy ảo tạo cây thư mục

C:\mkdir Exchange2019

Vào Host Hyper-V chạy lệnh

Copy-VMFile “EX2019-01” -SourcePath “D:\VFC Resource\Exchange2019\NDP471-KB4033342-x86-x64-AllOS-ENU.exe” -DestinationPath “C:\Exchange2019\NDP471-KB4033342-x86-x64-AllOS-ENU.exe” -CreateFullPath -FileSource Host

Copy-VMFile “EX2019-01” -SourcePath “D:\VFC Resource\Exchange2019\SW_DVD9_Exchange_Svr_2019_MultiLang_Std_Ent_.iso_MLF_X21-88195.ISO” -DestinationPath “C:\Exchange2019\SW_DVD9_Exchange_Svr_2019_MultiLang_Std_Ent_.iso_MLF_X21-88195.ISO” -CreateFullPath -FileSource Host

Copy-VMFile “EX2019-01” -SourcePath “D:\VFC Resource\Exchange2019\vcredist_x64.exe” -DestinationPath “C:\Exchange2019\vcredist_x64.exe” -CreateFullPath -FileSource Host

Copy-VMFile “EX2019-01” -SourcePath “D:\VFC Resource\Exchange2019\UcmaRuntimeSetup4.exe” -DestinationPath “C:\Exchange2019\UcmaRuntimeSetup4.exe” -CreateFullPath -FileSource Host

Copy nhiều máy ảo

https://cdn.ttgtmedia.com/rms/editorial/sSV_PowerShell_script_011818.png

Kiểm tra lại máy Exchange 2019 nhé

  1. Dùng Windows Admin Center

Vào https://ipexchange để upload nhé. vào file=>update file nhé

Chọn vào Upload nhé để đưa source lên nhé

Cài đặt thư viện

Cài đặt Install Visual C++ 2013 Redistributable

Tại CMD gỏ lệnh:

Install UCMA (Microsoft Unified Communications Managed API 4.0)

UCMA có thể download trực tiếp hoặc có sẵn trong đĩa ISO nhé tốt nhất download luôn cho roài. E:\Exchange2019\EX…\UCMARedist

Mount disk

The UCMA installable is present on the Exchange Server 2019 media itself. Use the following PowerShell command to mount the Exchange Server media:

Mount-DiskImage C:\Exchange2019\SW_DVD9_Exchange_Svr_2019_MultiLang_Std_Ent_.iso_MLF_X21-88195.ISO

The UCMA installable is located under the “UCMARedist” folder on the Exchange Server 2019 .ISO. Start the UCMA installation:

CD E:\

CD UCMARedist

Cài Install .Net 4.7.1

Kiểm tra xem cài chưa

Regedt32 chưa cài nhé

If you are not on .Net version 4.7.1 already, use the following command to install the .Net 4.7.1 (not required on Windows Server 2019 Server Core

.\NDP471-KB4033342-x86-x64-AllOS-ENU.exe /q /log c:\temp\ndp.log

Vì windows Server 2019 đã tích hợp sẵn 4.7.1

Restart-Computer –Force

CÀI ĐẶT EXCHANGE 2019 INSTALLATION

Sau khi reboot logon domain administrator

Start powershell gỏ lệnh để mount disk exchange 2019

Mount-DiskImage C:\Exchange2019\SW_DVD9_Exchange_Svr_2019_MultiLang_Std_Ent_.iso_MLF_X21-88195.ISO

CD e:

Gỏ lệnh:

E:\Setup.exe /IAcceptExchangeServerLicenseTerms_DiagnosticDataON /PrepareSchema

E:\Setup.exe /IAcceptExchangeServerLicenseTerms_DiagnosticDataON /PrepareAD /OrganizationName:”NVP”

E:\Setup.exe /IAcceptExchangeServerLicenseTerms_DiagnosticDataON /PrepareAllDomains

E:\Setup.exe /IAcceptExchangeServerLicenseTerms_DiagnosticDataON /PrepareDomain

3 Lệnh trên có thể gôm lại 1 lệnh bên dưới nhé

.\Setup.exe /Mode:Install /Roles:Mailbox /IAcceptExchangeServerLicenseTerms /InstallWindowsComponents

.\Setup.exe /m:install /roles:m /IAcceptExchangeServerLicenseTerms /OrganizationName:NVP /InstallWindowsComponents

Chờ hơi lâu 14:23

16:00

16:24

17:20

Nếu cài trên Windows Server 2019 Desktop GUI thì có giao diện nhé

Tiến hành reboot lại nhé

Logon vào giao diện nhé

Start web trên local server core hơi khó nhe phải cài thêm feature. Tuy nhiên Server Core không khả năng cài GUI nhé

Cài phần mềm chrome nhé

“C:\Program Files (x86)\Google\Chrome\Application\Chrome.exe”

Có thể quản lý bằng công cụ Explorer++ nhé

Load Exchange management Shell nhé

Gỏ lệnh LaunchEMS 

https://localhost/ecp/?ExchClientVer=15

Đúng là thật khó để start web giao diện trên local host vì đang bị xung đột với windows Admin Center

Đành tháo cái admin center ra vì trùng 443

exchange 2019

Cấu hình DNS trên Domain Controller nữa

Có thể quản lý DC trên administrator tools nhé

Join xong cài administrator tools

Remote IIS để quản lý IIS Exchange 2019 từ máy chủ khác nhé.

netsh advfirewall firewall add rule name=”IIS Remote Management” dir=in action=allow service=WMSVC

Như vậy là phương nguyễn đã hướng dẫn setup thành công cách cài đặt Exchange Server 2019 trên Windows Server Core, Còn việc cấu hình thì tương tự nhé. Chúng ta mốc vào web để quản trị

Chúc các bạn thành công

Phương Nguyễn Viết

Thông tin bản cập nhật bảo mật (SU) Tháng 08/2023 Exchange Server

Thông tin bản cập nhật bảo mật(SU) Tháng 08/2023 Exchange Server

Ngày 08/08/2023 Microsoft đã phát hành Bản cập nhật bảo mật(SU) cho các lỗ hổng được tìm thấy: EX2016 CU23, EX2019 CU12,CU13

1/ CVE-2023-21709

Điểm nỗi bật bản này là giải quyết được lỗ hổng CVE-2023-21709 (khai thác TokenCacheModule trong IIS). Các bước cần thiết để giải quyết CVE-2023-21709 tốt nhất cài bản vá trước rồi hãy chạy script CVE-2023-21709.ps1

Cài đặt bản vá ngay lập tức để bảo vệ Exchange Server khỏi rủi ro có thể bị tổn thương:

Step 1. Cài bản vá  bảo mật tháng 8/2023 cho Exchange Server 2016/2019-> link

Step 2. Reboot the Exchange Server

Step 3. Run the CVE-2023-21709.ps1 script này bản chất sẽ remove tokencachemolude trong IIS-> link

Các CVE bên dưới được xử lý bằng Bản cập nhật bảo mật:

 CVE-2023-21709

CVE-2023-35368

CVE-2023-35388

CVE-2023-38181

CVE-2023-38182

CVE-2023-38185

2/ Hỗ trợ thay đổi thuật toán mã hóa mặc định trong Microsoft Purview Information Protection

Phần này chỉ áp dụng cho những khách hàng của MS sử dụng Exchange Server và Azure hoặc Dịch vụ quản lý quyền AD (RMS). Nếu bạn không biết đó là gì, những thay đổi về mã hóa Exchange Online CBC sẽ không áp dụng.

Bật hỗ trợ cho nội dung được mã hóa AES256-CBC trong Exchange Server đối với khách hàng nào sử dụng dịch vụ Azue hoặc AD (RMS) của MS.

Như đã thông báo trong phần Thay đổi thuật toán mã hóa trong bài đăng trên blog Microsoft Purview Information Protection, các SU Exchange Server tháng 8 năm 2023 chứa các bản cập nhật cho phép khách hàng sử dụng Exchange Server tại chỗ tiếp tục giải mã nội dung được bảo vệ bởi nhãn nhạy cảm Purview hoặc Dịch vụ quản lý quyền Active Directory. Vui lòng xem lại bài đăng trên blog đó để biết chi tiết và lịch trình, đồng thời đọc hỗ trợ AES256-CBC cho tài liệu Microsoft 365.

Nếu tổ chức của bạn bị ảnh hưởng bởi thay đổi này, sau khi cài đặt SU tháng 8 trên máy chủ Exchange của bạn, hãy xem bài viết về cách bật hỗ trợ mã hóa AES256-CBC. Xin lưu ý – bước này không cần thiết trừ khi máy chủ tại chỗ của bạn yêu cầu hỗ trợ cho AES256-CBC.

3/Giải quyết

Cài đặt DST không chính xác sau khi cập nhật hệ điều hành

4/Các sự cố đã biết với bản phát hành này

Những khách hàng bị ảnh hưởng bởi thay đổi mã hóa sắp tới của Microsoft 365 AES256-CBC cần thực hiện thao tác thủ công để bật thuật toán mã hóa mới sau khi SU được cài đặt vào tháng 8 năm 2023.

5/Note

Lưu ý rằng Exchange Server 2013 KHÔNG được hỗ trợ và bạn phải nâng cấp lên Exchange Server 2019 hoặc Exchange Online càng sớm càng tốt!

https://techcommunity.microsoft.com/t5/exchange-team-blog/released-august-2023-exchange-server-security-updates/ba-p/3892811

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21709

https://aka.ms/CVE-2023-21709ScriptDoc

https://support.microsoft.com/en-us/topic/description-of-the-security-update-for-microsoft-exchange-server-2019-and-2016-august-8-2023-kb5029388-86b365c0-21f1-4a10-a68c-a095536f0171

https://aka.ms/ExchangeCBCKB

https://techcommunity.microsoft.com/t5/security-compliance-and-identity/encryption-algorithm-changes-in-microsoft-purview-information/ba-p/3831909

#jsisen

#viettechgroupvn

#phuongit

#exchangeserver

#phuongit

#cve202321709

#AES256CBCa

Phương nguyễn Viết

Cumulative Update 13 for Exchange Server 2019

Microsoft_Exchange_(2019-present).svg

Microsoft released Cumulative Update 13 for Exchange Server 2019 (KB5020999) on May 3, 2023. Also known as Exchange Server 2019 CU13. This Cumulative Update includes fixes for nonsecurity issues and all previously released fixes for security and nonsecurity issues. These fixes will also be included in later Cumulative Updates for Exchange Server 2019

How to update Exchange Server 2019 to CU13?

It’s recommended to update the Exchange Server in the lab environment before updating it in the production environment.

Cumulative Update CU13 for Exchange Server 2019 is released as version 15.02.1258.012. Which version are you running now

New features in Cumulative Update 13

  • 5027150 Enable Modern Auth for pure On-Premises Exchange users
  • To make it easier to install CUs, some improvements were made to the installation experience. A common issue for many customers is that CUs overwrite various configuration files (for example, web.config and sharedweb.config) that contain custom settings such as client-specific message size limits.

    Historically, these customizations are lost after a CU is installed, and an admin must reapply them. Because of this, admins often backup and restore their custom settings or use scripts to recreate custom settings after installing a CU.

    To address this, Setup now backs up the most common configuration settings and then restores them to the state they were in before Setup was started. Starting with the 2023 H1 CU, Setup preserves about 70 different configuration settings across multiple files.

Issues fixed in Cumulative Update 13

This Cumulative Update fixes the issues that are described in the following Microsoft Knowledge Base articles:

  • 5026134 “InvalidRecipientsException” when you try to run MRM
  • 5026135 CertificateDeploymentServicelet failure in multiple domain forest Exchange deployments
  • 5026136 Microsoft Exchange Transport doesn’t re-encrypt IRM messages
  • 5026138 Users receive reminders although the meeting reminder is set to None
  • 5026139 You can’t move the public folder mailbox
  • 5026142 Journal message returns “ConversionFailedException”
  • 5026143 OAB shadow distribution threshold must be reduced or made configurable
  • 5026146 Expiry notification is sent to moderator and sender for approved and delivered messages
  • 5026147 BlockLegacyAuthentication fail Organization Policy because of BackendRehydrationModule implementation
  • 5026149 Group metrics generation doesn’t finish in multidomain environment
  • 5026150 Edge server Filtering Agent removes journal attachments
  • 5026151 Oab-Processing-Threshold is set to 0 for On-Premises
  • 5026152 Microsoft Exchange ActiveSync or Current Requests counter inaccurately counts requests
  • 5026153 Delivery Flow Control setting override is now available
  • 5026154 On-premises Exchange has 35MB file size limit for online archiving
  • 5026155 “No support for this operation” error on an Exchange 2019 DAG member server
  • 5026156 Outlook search fails in a shared On-Premises mailbox if the primary user mailbox is migrated to Exchange Online
  • 5026158 The body of recurring meeting is not clear if it has Chinese characters
  • 5026159 IconIndex returns Default value when Server Assisted Search is used in Outlook
  • 5026266 “Could not start MS Exchange Service Host service” error and Exchange stops responding
  • 5026267 OWA stops responding in an Exchange 2019 and 2016 coexistence topology
  • 5026268 Store Worker process crashes and returns “System.NullReferenceExceptions” multiple times per day
  • 5026269 Block deserialization error when using eDiscovery
  • 5026271 IIS URL Rewrite Module link is incorrect
  • 5026273 Outlook configuration fails in Android or iOS
  • 5026274 Hybrid Agent Validation fails after Extended Protection is enabled
  • 5026277 Mail configuration fails on iOS device after Extended Protection is enabled
  • 5026278 Mailbox migration fails after Extended Protection is enabled

Known issues in Cumulative Update 13

  • In multidomain Active Directory (AD) forests in which Exchange Server is installed or has been prepared previously by using the /PrepareDomain option in Setup, this action must be run after the /PrepareAD command for this cumulative update run and the changes are replicated to all domains. Setup will try to run the /PrepareAD command during the first server installation. Installation will finish only if the user who initiated Setup has the appropriate permissions.

    Notes
    • If you have ever skipped a Cumulative Update (for example, you are upgrading from an earlier version before Cumulative Update 2 for Exchange Server 2019), or if this is a first Exchange Server installation in the AD, then this “Known issues” section should no longer apply.
      • About the /PrepareDomain operation in multidomain:

        The /PrepareDomain operation automatically runs in the Active Directory domain in which the /PrepareAD command is run. However, it may be unable to update other domains in the forest. Therefore, a domain administrator should run the /PrepareDomain in other domains in the forest.
        • About the permission question:

          Because the /PrepareAD is triggered in Setup, if the user who initiates Setup isn’t a member of Schema Admins and Enterprise Admins, the readiness check fails and you receive the following error messages:

          Error: The Active Directory schema isn’t up-to-date, and this user account isn’t a member of the “Schema Admins” and/or Enterprise Admins’ groups. 

          Error: Global updates need to be made to Active Directory, and this user account isn’t a member of the “Enterprise Admins” group. 
        • To avoid the errors, either the user should join the Schema Admins and Enterprise Admins groups or another user in Schema Admins and Enterprise Admins groups must first manually run the /PrepareAD command for this cumulative update. Then, the Exchange admin user can start Setup.
    • Autodiscover Event ID 1 occurs after you install Cumulative Update 3 for Exchange Server 2019. For more information, see KB 4532190.

Source MS https://support.microsoft.com/en-us/topic/cumulative-update-13-for-exchange-server-2019-kb5020999-242dab59-0c94-436f-a274-617f082f1a91

Microsoft Outlook Zero-Day Vulnerability- Elevation of Privilege Vulnerability CVE-2023-23397

Microsoft Outlook Zero-Day Vulnerability- Elevation of Privilege Vulnerability CVE-2023-23397

Tóm tắt:

Microsoft giải thích: CVE-2023-23397 là một lỗ hổng EoP nghiêm trọng trong Microsoft Outlook, được kích hoạt khi kẻ tấn công gửi thư có thuộc tính MAPI mở rộng với đường dẫn UNC đến chia sẻ SMB (TCP 445) trên máy chủ do tác nhân đe dọa kiểm soát. Không cần tương tác người dùng,”

Cơ chế

Kẻ tấn công đã khai thác thành công lỗ hổng này có thể truy cập hàm băm Net-NTLMv2 của người dùng, có thể được sử dụng làm cơ sở cho một cuộc tấn công Chuyển tiếp NTLM chống lại một dịch vụ khác để xác thực là người dùng.

Preview Pane

Hacker tận dụng tính Preview Pane của email Outlook Email được chế tạo đặc biệt sẽ tự động kích hoạt khi nó được ứng dụng khách Outlook truy xuất và xử lý, cung cấp một vectơ tấn công lén lút để tin tặc khai thác. “Kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi một email được chế tạo đặc biệt, email này sẽ tự động kích hoạt khi nó được ứng dụng khách Outlook truy xuất và xử lý. Điều này có thể dẫn đến việc khai thác TRƯỚC KHI email được xem trong Preview Pane,”

Các phiên bản ảnh hưởng

Tất cả các phiên bản được hỗ trợ của Microsoft Outlook (2010, 2013,2016,2019, 365Apps)cho Windows đều bị ảnh hưởng.

Các phiên bản khác của Microsoft Outlook như Android, iOS, Mac, cũng như Outlook trên web và các dịch vụ M365 khác không bị ảnh hưởng.

Biện pháp làm khắc phục:

Thêm người dùng vào Nhóm bảo mật người dùng được bảo vệ (Protected Users Security Group), ngăn việc sử dụng NTLM làm cơ chế xác thực. Việc thực hiện giảm thiểu này giúp khắc phục sự cố dễ dàng hơn so với các phương pháp vô hiệu hóa NTLM khác.

Chặn TCP 445/SMB gửi đi từ mạng của bạn bằng cách sử dụng tường lửa vành đai(DMZ), tường lửa cục bộ và thông qua cài đặt VPN. Điều này sẽ ngăn việc gửi thông báo xác thực NTLM tới chia sẻ tệp từ xa.

Máy trạm Client

Yêu cầu tất cả máy trạm của Người dùng cuối cần upgrade Microsoft Outlook cho các Phiên bản:

Microsoft Outlook 2013 (64-bit edition):https://www.microsoft.com/en-us/download/details.aspx?id=105070

Microsoft Outlook 2016 (64-bit edition):https://www.microsoft.com/en-us/download/details.aspx?id=105058

Microsoft Office LTSC 2019/2021/365 for 64-bit editions:=> Cick upgrade

Server Exchange và Exchange Online

Chạy Script CVE-2023-23397: CVE-2023-23397.ps1

Thông tin tham khảo:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397

https://msrc.microsoft.com/blog/2023/03/microsoft-mitigates-outlook-elevation-of-privilege-vulnerability/

https://microsoft.github.io/CSS-Exchange/Security/CVE-2023-23397/

Anh em sysadmin tập trung cập nhật bản vá Outlook cho máy trạm người dùng nhé.

Làm trên cả server và client tường lửa cứng mềm

#jsisen

#viettechgroupvn

#phuongit

#outlookzerodays

#phuongnguyenit

HƯỚNG DẪN CÀI EXCHANGE SERVER 2019 CU12 TRÊN WINDOWS SERVER 2022

Microsoft_Exchange_(2019-present).svg

HƯỚNG DẪN CÀI EXCHANGE SERVER 2019 CU12 TRÊN WINDOWS SERVER 2022

Thông tin

Domain invoice.local

Chuẩn bị source

Setup

Logon domain Administrator

Run as administrator

Cài đặt thư viện powershell

Install-WindowsFeature Server-Media-Foundation, NET-Framework-45-Features, RPC-over-HTTP-proxy, RSAT-Clustering, RSAT-Clustering-CmdInterface, RSAT-Clustering-Mgmt, RSAT-Clustering-PowerShell, WAS-Process-Model, Web-Asp-Net45, Web-Basic-Auth, Web-Client-Auth, Web-Digest-Auth, Web-Dir-Browsing, Web-Dyn-Compression, Web-Http-Errors, Web-Http-Logging, Web-Http-Redirect, Web-Http-Tracing, Web-ISAPI-Ext, Web-ISAPI-Filter, Web-Lgcy-Mgmt-Console, Web-Metabase, Web-Mgmt-Console, Web-Mgmt-Service, Web-Net-Ext45, Web-Request-Monitor, Web-Server, Web-Stat-Compression, Web-Static-Content, Web-Windows-Auth, Web-WMI, Windows-Identity-Foundation, RSAT-ADDS

Cài đặt các Thư viện cần thiết runtime

Cài dotnet 4.8

Microsoft Unified Communications Managed API 4.0, Core Runtime 64-bit

Cài Url Rewrite mode

Chuẩn bị Active Directory

Run as Administrator CMD

Step 1: Extend the Active Directory schema

C:\EX2019CU12\EX2019CU12>Setup.exe /IAcceptExchangeServerLicenseTerms_DiagnosticDataON /PrepareSchema

Microsoft Exchange Server 2019 Cumulative Update 12 Unattended Setup

Copying Files...

File copy complete. Setup will now collect additional information needed for installation.

Performing Microsoft Exchange Server Prerequisite Check

Prerequisite Analysis COMPLETED

Configuring Microsoft Exchange Server

Extending Active Directory schema COMPLETED

The Exchange Server setup operation completed successfully.

C:\EX2019CU12\EX2019CU12>

Setup.exe /IAcceptExchangeServerLicenseTerms_DiagnosticDataON /PrepareAD /OrganizationName:”Services Invoice”

C:\EX2019CU12\EX2019CU12>Setup.exe /IAcceptExchangeServerLicenseTerms_DiagnosticDataON /PrepareAD /OrganizationName:"Services Invoice"

Microsoft Exchange Server 2019 Cumulative Update 12 Unattended Setup

Copying Files...

File copy complete. Setup will now collect additional information needed for installation.

Performing Microsoft Exchange Server Prerequisite Check

Prerequisite Analysis 100%

Setup will prepare the organization for Exchange Server 2019 by using 'Setup /PrepareAD'. No Exchange Server 2016 roles

have been detected in this topology. After this operation, you will not be able to install any Exchange Server 2016

roles.

For more information, visit: https://docs.microsoft.com/Exchange/plan-and-deploy/deployment-ref/readiness-checks?view=exchserver-2019

Setup will prepare the organization for Exchange Server 2019 by using 'Setup /PrepareAD'. No Exchange Server 2013 roles

have been detected in this topology. After this operation, you will not be able to install any Exchange Server 2013

roles.

For more information, visit: https://docs.microsoft.com/Exchange/plan-and-deploy/deployment-ref/readiness-checks?view=exchserver-2019

Configuring Microsoft Exchange Server

Organization Preparation COMPLETED

The Exchange Server setup operation completed successfully.

C:\EX2019CU12\EX2019CU12>
C:\EX2019CU12\EX2019CU12>Setup.exe /IAcceptExchangeServerLicenseTerms_DiagnosticDataON /PrepareDomain

Microsoft Exchange Server 2019 Cumulative Update 12 Unattended Setup

Copying Files...

File copy complete. Setup will now collect additional information needed for installation.

Performing Microsoft Exchange Server Prerequisite Check

Prerequisite Analysis COMPLETED

Configuring Microsoft Exchange Server

Prepare Domain Progress COMPLETED

The Exchange Server setup operation completed successfully.

C:\EX2019CU12\EX2019CU12>

CÀI ĐẶT EXCHANGE 2019 CU12

Đến khi cài xong nhé.

Phương Nguyễn Viết

The WinRM client cannot process the request. It cannot determine the content type of the EMS Exchange Shell

Microsoft_Exchange_(2019-present).svg

The WinRM client cannot process the request. It cannot determine the content type of the

Mã lỗi:

VERBOSE: Connecting to LAB-EX2013.phuongit.lab.

New-PSSession : [lab-ex2013.phuongit.lab] Connecting to remote server lab-ex2013.phuongit.lab failed with the

following error message : The WinRM client cannot process the request. It cannot determine the content type of the

HTTP response from the destination computer. The content type is absent or invalid. For more information, see the

about_Remote_Troubleshooting Help topic.

At line:1 char:1

+ New-PSSession -ConnectionURI “$connectionUri” -ConfigurationName Microsoft.Excha …

+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

+ CategoryInfo : OpenError: (System.Manageme….RemoteRunspace:RemoteRunspace) [New-PSSession], PSRemotin

gTransportException

+ FullyQualifiedErrorId : -2144108297,PSSessionOpenFailed

VERBOSE: Connecting to LAB-EX2013.phuongit.lab.

New-PSSession : [lab-ex2013.phuongit.lab] Connecting to remote server lab-ex2013.phuongit.lab failed with the

following error message : The WinRM client cannot process the request. It cannot determine the content type of the

HTTP response from the destination computer. The content type is absent or invalid. For more information, see the

about_Remote_Troubleshooting Help topic.

At line:1 char:1

+ New-PSSession -ConnectionURI “$connectionUri” -ConfigurationName Microsoft.Excha …

+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

+ CategoryInfo : OpenError: (System.Manageme….RemoteRunspace:RemoteRunspace) [New-PSSession], PSRemotin

gTransportException

+ FullyQualifiedErrorId : -2144108297,PSSessionOpenFailed

VERBOSE: Connecting to LAB-EX2013.phuongit.lab.

New-PSSession : [lab-ex2013.phuongit.lab] Connecting to remote server lab-ex2013.phuongit.lab failed with the

following error message : The WinRM client cannot process the request. It cannot determine the content type of the

HTTP response from the destination computer. The content type is absent or invalid. For more information, see the

about_Remote_Troubleshooting Help topic.

At line:1 char:1

+ New-PSSession -ConnectionURI “$connectionUri” -ConfigurationName Microsoft.Excha …

+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

+ CategoryInfo : OpenError: (System.Manageme….RemoteRunspace:RemoteRunspace) [New-PSSession], PSRemotin

gTransportException

+ FullyQualifiedErrorId : -2144108297,PSSessionOpenFailed

VERBOSE: Connecting to LAB-EX2013.phuongit.lab.

New-PSSession : [lab-ex2013.phuongit.lab] Connecting to remote server lab-ex2013.phuongit.lab failed with the

following error message : The WinRM client cannot process the request. It cannot determine the content type of the

HTTP response from the destination computer. The content type is absent or invalid. For more information, see the

about_Remote_Troubleshooting Help topic.

At line:1 char:1

+ New-PSSession -ConnectionURI “$connectionUri” -ConfigurationName Microsoft.Excha …

+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

+ CategoryInfo : OpenError: (System.Manageme….RemoteRunspace:RemoteRunspace) [New-PSSession], PSRemotin

gTransportException

+ FullyQualifiedErrorId : -2144108297,PSSessionOpenFailed

VERBOSE: Connecting to LAB-EX2013.phuongit.lab.

New-PSSession : [lab-ex2013.phuongit.lab] Connecting to remote server lab-ex2013.phuongit.lab failed with the

following error message : The WinRM client cannot process the request. It cannot determine the content type of the

HTTP response from the destination computer. The content type is absent or invalid. For more information, see the

about_Remote_Troubleshooting Help topic.

At line:1 char:1

+ New-PSSession -ConnectionURI “$connectionUri” -ConfigurationName Microsoft.Excha …

+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

+ CategoryInfo : OpenError: (System.Manageme….RemoteRunspace:RemoteRunspace) [New-PSSession], PSRemotin

gTransportException

+ FullyQualifiedErrorId : -2144108297,PSSessionOpenFailed

Failed to connect to an Exchange server in the current site.

Enter the server FQDN where you want to connect.:

YÊU CẦU

  • Set PowerShell Execution Policies
  • Verify WinRM IIS Extensions
  • Enable Windows Authentication for PowerShell Virtual Directory
  • Verify SSL setting for PowerShell Virtual Directory
  • Verify the application pool for PowerShell Virtual Directory
  • Verify the Security in for PowerShell Virtual Directory

Kiểm tra

  • Set PowerShell Execution Policies

  • Verify WinRM IIS Extensions => Nếu chưa cài phải cài

  • Enable Windows Authentication for PowerShell Virtual Directory
  • Verify SSL setting for PowerShell Virtual Directory

  • Verify the application pool for PowerShell Virtual Directory

Also, under Powershell Virtual Directory → Basic Settings → Make sure you have the Correct application pool (MSExchangePowerShellAppPool or MSExchangePowerShellFrontEndAppPool) and Physical path (C:\Program Files\Microsoft\Exchange Server\V<Exchange Version>\ClientAccess\PowerShell) selected to access the PowerShell virtual directory on the host under IIS root as shown:

  • Verify the Security in for PowerShell Virtual Directory
  • Also make sure the Exchange user has read permissions on the Physical path specified. To do this go to PowerShell Virtual Directory → Edit Permissions → Security tab → Assign read permissions to user performing the scan as shown:

Add-PSSnapin Microsoft.Exchange.Management.PowerShell.snapin;

Set-User “Administrator” -RemotePowerShellEnabled $true

Get-User -Identity “Administrator” | Format-List RemotePowerShellEnabled

KHỞI ĐỘNG SERVER LẠI NHÉ

TEST

TEST NEW USER FOR EMS

  • Add new user account in Active Directory
  • Add Roles/Group membership for new created user account
  • Enable Remote PowerShell for new created user account

NGUYÊN NHÂN

Có thể 1 trong các nguyên nhân sau

This problem occurs because one or more of the following conditions are true:

  • There is a configuration issue on the Exchange server with the Authentication Providers set on the PowerShell website.
  • The Kerbauth module is configured incorrectly in Internet Information Services (IIS) in one of the following ways:
    • The Kerbauth module is displayed as a Managed module instead of as a Native module.
    • The Kerbauth module has been loaded on the Default website level (instead of, or in addition to, the PowerShell virtual directory).
  • The user does not have Remote PowerShell Enabled status.
  • The WSMan module entry is missing from the Global modules section of the ApplicationHost.config file that is in the following location:
    C:\Windows\System32\Inetsrv\config\ApplicationHost.config

This causes the WSMan module to be displayed as a Managed module in the PowerShell virtual directory.

RESOLUTION OTHER

The Kerberos authentication needs to be configured on the PowerShell website on the Exchange Mailbox Server:

  1. Establish a remote connection to the Exchange server in question.
  2. Click Run and enter inetmgr.
  3. Expand the server in the left-hand pane.
  4. Expand the Sites and Default Web Site trees, and then click PowerShell.
  5. Double-click Authentication under the IIS section.

  1. Chọn enable Windows Authentication-> Providers

  1. Right-click on Windows Authentication, and then select Providers.

  1. If the Negotiate:Kerberos item is not present, add it through the Available Providers dialog box.


The AppInsight for Exchange data will be populated during the next SAM polling process. You can also click on Poll Now to obtain results immediately.

Test-WsMan

In IIS Manager, Kerbauth should be listed as a Native module in the PowerShell virtual directory. The DLL location for this module should point to

C:\Program Files\Microsoft\Exchange Server\v15\Bin\kerbauth.dll.

Make sure that the WSMan module is registered but not enabled at the Server level. Also make sure that the WSMan module is enabled for the PowerShell virtual directory. Then, verify that the following WSMan module entry is included in the <globalModules> section of the C:\Windows\System32\Inetsrv\config\ApplicationHost.config file as follows:

XMLCopy

<globalModules>

<add name=”WSMan” image=”C:\Windows\system32\wsmsvc.dll” />

Kiểm tra thiếu chưa cài WinRM IIS Extension feature

Khởi động lại IIS hoặc máy chủ để test lại

Kiểm tra lại: C:\Windows\System32\Inetsrv\config\ApplicationHost.config

Đảm bảo có dòng này

<add name=”WSMan” image=”%windir%\system32\wsmsvc.dll” />