Collegarsi alla console di un host HYPERV in workgroup da un client in dominio

Collegarsi in remoto ad un host hyper in workgroup

Per avere meno dipendenze possibili, di solito lascio gli host HYPERV in gruppo di lavoro. Questo porta a diverse complicazioni. Una di queste è l'utilizzo degli strumenti di amministrazione di HYPERV da un client che invece e' collegato al dominio.

SERVER

Sul server HYPERV al quale collegarsi eseguire i seguenti comandi

netsh advfirewall firewall set rule group="Windows Management Instrumentation (WMI)" new enable=Yes

netsh advfirewall firewall set rule group="Remote Event Log Management" new enable=Yes

FACOLTATIVO

netsh advfirewall firewall set rule group="File and Printer Sharing" new enable=Yes

netsh advfirewall firewall set rule group="Remote Volume Management" new enable=Yes

CLIENT

Siccome stiamo parlando di server in workgroup, probabilmente non useranno gli stessi DNS del client. Per questo motivo il primo passaggio e' quello di aggiungere i nomi dei server al file hosts (C:\windows\system32\drivers\etc)

Dalla macchina CLIENT da cui connettersi al server in questione eseguire i seguenti comandi

Set-Item WSMan:\localhost\Client\TrustedHosts -Value "HYPERV"

Enable-WSManCredSSP -Role client -DelegateComputer "HYPERV"

Set-Item WSMan:\localhost\Client\TrustedHosts -Value "*" - questo comando funziona x tutti gli host

N.B. Nel mio caso sul CLIENT ho dovuto avviare manualmente il servizio "Gestione remota Windows (WS-Management)" affinche il primo comando avesse esito positivo

Aggiungere gli host in gpedit.msc

Configurazione computer > Modelli amministrativi > Sistema > Delega di credenziali > Consenti delega credenziali nuove solo con autenticazione server NTLM

wsman/HYPERV

A questo punto e' necessario aprire la console di HYPERV, aggiungere l'host a cui collegarsi e cliccare sulla casella "CONNETTI COME ALTRO UTENTE" ed inserirlo nel formato HYPERV\username

REFERENCE

https://www.experiencingit.net/hyper-v/configuring-hyper-v-remote-management/

https://itlabz10.tk/archives/1025

https://itlabz10.tk/archives/505

Task scheduler The selected task “{0}” no longer exists - L'attività selezionata "{0}" non esiste più

Recentemente mi sono imbattutto in questo problema, in una variante curiosa.

Ho creato un task schedulato che lancia un eseguibile.

L'ho avviato e funziona correttamente.

Dopodiche ho impostato il task in modo che venga ripetuto ogni 5 minuti.

Da quel momento in poi ricevo il messaggio di errore del titolo.

Disattivando il trigger di ripetizione ogni minuti riprende a funzionare.

Bene.

Il problema e' la ripetizione.

Il task e' stato creato alle 1145.

E' bastato mettere che il task si ripeta ogni 5 minuti a partire dalle 1200. In questo modo ho risolto:

REFERENCE

https://stackoverflow.com/questions/60009443/scheduled-task-does-not-exist-if-it-has-a-repeat-trigger

Microsoft 365 Hybrid - remote move error - error the connection to the server could not be completed

Per diverso tempo ho avuto un'installazione ibrida funzionante (Exchange 2010 Microsoft 365). Tuttora sembra funzionare tutto correttamente tranne il remote move.

Ammetto che non dovrebbe esserci un Exchange 2010 ancora tra i piedi, ma al momento non era pensabile portare tutto a 2019.

Il problema consiste nel fatto che da un certo momento in poi ha spesso di funzionare il remote move delle caselle di posta elettronica da on prem a cloud. Tutto nasce dal fatto che Microsoft, in ambiente 365, ha dismesso il supporto TLS delle versioni precedenti alla 1.2.

Tutto il resto sembrava essere funzionante, ma il migration endpoint non voleva più saperne di connettersi al mio Exchange 2010!!!

Questo perché il mio Exchange rispondeva parlando TLS 1.0.

L'errore, quando provavo ad aggiornare il migration endpoint era il seguente:

"error the connection to the server could not be completed"

Mi sono reso conto del problema, in modo esplicito, quando sono andato sul seguente link:

https://fqdn_migration_endpoint/EWS/mrsproxy.svc

Dove ricevevo il seguente errore:

NET::ERR_SSL_OBSOLETE_VERSION

Quando vado sul link:

https://fqdn_migration_endpoint/EWS/mrsproxy.svc

mi deve apparire una finestra che mi chiede l'autenticazione. NON DEVO ricevere avvisi sul certificato.

Già in passato mi sono reso conto che Microsoft 365 e' molto sensibile sui certificati.

E' praticamente impossibile creare un migration endpoint se usate un certificato self-signed (lo trovo giusto)

Inoltre e' possibile usare i seguenti comandi per verificare il funzionamento del/dei migration endpoint

$MRSEndpoints = (Get-MigrationEndpoint).Identity

Foreach ($MEP in $MRSEndpoints) {Test-MigrationServerAvailability -Endpoint $MEP}

Bene! A questo punto occorre impostare l'Exchange 2010 per utilizzare TLS 1.2. In realtà questa è un'impostazione fatta livello di sistema operativo.

Occorre verificare che le seguenti fix siano presenti ed installate:

KB3161949

KB3080079

KB3154518 (for .NET Framework 3.5.1).

Quindi aggiungere queste chiavi di registro:

TLS 1.2 for SChannel

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]

"DisabledByDefault"=dword:00000000

"Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]

"DisabledByDefault"=dword:00000000

"Enabled"=dword:00000001

.NET 3.5

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]

"SystemDefaultTlsVersions"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]

"SystemDefaultTlsVersions"=dword:00000001

ed infine riavviare.

Per fare delle verifiche sui protocolli di sicurezza attivi, prima e dopo il riavvio, ho utilizzato questo sito:

Verifica certificato

https://www.ssllabs.com/ssltest/analyze.html

ATTENZIONE

Fate attenzione se decidete di disattivare anche il TLS10 e TLS11 perché Exchange 2010 è impostato per scalare sul meno sicuro SSL 3.0.

Difficilmente Microsoft rilascerà una patch per modificare questo comportamento.

La disattivazione dei protocolli TLS10/11 può essere invece fatta su combinazioni di Exchange/sistema operativo piu recenti.

REFERENCE

https://x500.co.uk/2018/10/12/exchange-2010-enable-verify-tls-1-2/

https://jaapwesselius.com/2018/10/05/exchange-2010-and-tls-1-2/

https://www.petenetlive.com/KB/Article/0001358#o365 - credenziali errate

https://www.ssllabs.com/ssltest/analyze.html

https://techcommunity.microsoft.com/t5/exchange-team-blog/exchange-server-tls-guidance-part-1-getting-ready-for-tls-1-2/ba-p/607649

https://docs.microsoft.com/en-us/archive/blogs/exovoice/troubleshooting-issues-where-the-migration-endpoint-cannot-be-created-in-hybrid-scenarios

https://docs.microsoft.com/it-it/exchange/architecture/mailbox-servers/mrs-proxy-endpoint?view=exchserver-2019

https://docs.microsoft.com/en-us/Exchange/new-features/build-numbers-and-release-dates?redirectedfrom=MSDN&view=exchserver-2019

https://techcommunity.microsoft.com/t5/exchange-team-blog/troubleshooting-hybrid-migration-endpoints-in-classic-and-modern/ba-p/953006

Hybrid migration

https://docs.microsoft.com/en-us/exchange/troubleshoot/move-or-migrate-mailboxes/troubleshoot-migration-issues-in-exchange-hybrid

https://docs.microsoft.com/en-us/microsoft-365/enterprise/urls-and-ip-address-ranges?view=o365-worldwide#exchange-online

Sharepoint - verificare chi ha accesso al sito tramite condivisione

Utilizzo sharepoint in rimpiazzo di file server in realta piccole. Ho lasciato la possibilita di condividere files, in alcune situazioni. Ad un certo punto, mi sono chiesto quali file fossero stati condivisi e con chi... Per capirlo basta accedere al sito (tramite WEB), premere in alto a dx sull'ingranaggio. Scegliere "utilizzo sito" ed in fondo alla pagina aperta e' presente il report che ci puo fornire queste informazioni.

Se volessimo rimuovere le condivisioni attive, e' sufficiente andare su documenti, premere sul tasto info in alto a dx, verificare e rimuovere gli eventuali link di condivisione.

REFERENCE

https://support.microsoft.com/en-us/office/stop-sharing-onedrive-or-sharepoint-files-or-folders-or-change-permissions-0a36470f-d7fe-40a0-bd74-0ac6c1e13323

https://support.microsoft.com/en-us/office/see-who-a-file-is-shared-with-in-onedrive-or-sharepoint-51bb79a9-b696-410d-a7a7-c320e541272d

https://docs.microsoft.com/en-us/microsoft-365/compliance/use-sharing-auditing?view=o365-worldwide

 

Outlook OWA - error 500 too many redirect

Recentemente mi sono imbattutto in uno strano errore quando un utente di Microsoft 365 provava ad accedere alla propria casella di posta. L'errore in questione era un errore 500 - too many redirect.

Il problema era legatoai troppi ruoli assegnati all'utente. All'utente erano assegnati piu di 50 ruoli (!!!) ed il "token" raggiungeva una dimensione eccessiva. Dopo aver rimosso tutti i ruoli, tranne quelli davvero necessari, tutto ha ripreso a funzionare perfettamente!

 REFERENCE

https://answers.microsoft.com/en-us/msoffice/forum/msoffice_o365admin-mso_exchon-mso_o365b/office-365-too-many-redirects-when-opening-eacowa/bf546dde-7350-415a-b1fc-7e6cf6f2b480

Piccolo hacking di Windows 10

 Se non riuscite ad accedere a Windows 10 xche avete perduto la password, non la conoscete o l'avete dimenticata.

Accedere al pc con un cd di boot (non per reinstallare :)). accedere alla modalita recupero ed aprire un prompt dei comandi.

rinominare il file

C:\Windows\System32\Utilman.exe (oppure sethc.exe)

in utilman.exe.old

dalla stessa directory copiare il file cmd.exe e rinominarlo in utilman.exe

Uscire e riavviare normalmente il computer.

Alla schermata di login premere il pulsante accessibilita.

Si aprira un prompt dei comandi eseguito come System.

Da questo prompt avremo la possibilita di impostare la password dell'utente tramite il comando "net user"

Questo trucchetto funziona anche con le precedenti funzioni di Windows.

Nel mio caso, anziche utilizzare il disco di avvio, ho deciso di collegare il disco al mio PC, ma non e' stata una grande idea, perche non potevo rinominare il file, protetto da trusted installer.

Non volendo cambiare i permessi dei files, ho avviato un prompt dei comandi come trusted user.

Usando processhacker sono riuscito nel mio intento.

x farlo ho dovuto avviare il servizio trusted installer.

quindi ho cercato trusted installer nell'elenco dei processi e facendo tasto dx - miscellaneous - run as this user ho avviato un prompt dei comandi come trusted installer.

a questo punto mi e' stato possibile rinominare/copiare file a mio piacere.

I comandi utili per eseguire un reset della pwd sono

reset della pwd dell'utente

net user - elenco degli utenti

net user username00 Pa$$w0rd - per l'utente "username00" imposta la password "Pa$$w0rd"

net localgroup - elenco dei gruppi locali

net localgroup administrators username00 /add

REFERENCE

https://www.winhelponline.com/blog/run-program-as-trustedinstaller-locked-registry-keys-files/#:~:text=Process%20Hacker&text=Right%2Dclick%20the%20TrustedInstaller%20service,exe%20)%2C%20and%20click%20OK.

https://www.isunshare.com/windows-server/add-a-user-to-local-administrator-group.html

Sharepoint online - sicurezza dei siti e delle share di rete

 Utilizzo i siti di Sharepoint come se fossero delle cartelle di rete, a cui i vari utenti hanno accesso.

In questo modo si crea un ambiente simile a quello che si avrebbe su un normale file server, rispettando una serie di permessi ed autorizzazioni.

Il meccanismo potrebbe interrompersi se qualcuno di questi utenti decidesse di "condividere" i contenuti del sito con altri, al di fuori delle autorizzazioni definite.

Per evitare questo, occorre andare a modificare le autorizzazioni del sito.

Il metodo che di solito utilizzo e' quello di mettere un solo proprietario del sito e far si che tutte le richieste di condivisione arrivino a lui per essere approvate.

Fino a che non passa l'autorizzazione il destinatario non ricevera' il link.

Per farlo seguire le seguenti istruzioni:

 - Scegliere l'icona di Sharepoint (verde), e quindi scegliere il sito dove modificare le impostazioni di condivisione.

 - Cliccare sulla rotellina in alto a dx e scegliere autorizzazioni sito

 - Cliccare su Modifica il "metodo di condivisione dei membri"

Da qui e' possibile decidere come muoversi. Il metodo che io preferisco e' consentire solo ai proprietari di approvare eventuali richieste di condivisione.

P.S.

 - Cliccando su "Impostazioni delle autorizzazioni avanzate" si arriva alla vecchia versione con ribbon bar da cui sono disponibili ulteriori dettagli.

REFERENCE

https://docs.microsoft.com/it-it/microsoft-365/solutions/microsoft-365-limit-sharing?view=o365-worldwide

Microsoft 365 - Exchange lingua visualizzazione mailbox

Una delle cose che mi capita molto spesso e' che la lingua delle casella postale sia in italiano.

Il modo piu veloce che ho trovato per sistemare e' quello di accedere alla casella di posta tramite Outlook Web. In questo modo, se le impostazioni del nostro utente sono in italiano, i nomi delle cartelle sono mostrati in italiano e non inglese.

Al successivo accesso ad Outlook i nomi delle cartella appariranno nella lingua giusta.

Ad ogni modo sotto trovate un articolo di Microsoft che spiega vari modi per sistemare.

REFERENCE

https://docs.microsoft.com/it-it/outlook/troubleshoot/user-interface/incorrect-folder-names

DISATTIVAZIONE MFA - Problemi comuni con la verifica a due fattori

Un problema che si verifica spesso e' che e' abilitato l'accesso MFA per gli utenti anche se da Azure AAD risulta disattivato.

Il problema e' legato alle impostazioni di default di AAD.

Per disattivarlo (e magari tenerlo attivo solo per gli utenti admin) occorre disattivare i security defaults del tenant e abilitare l'MFA solo per gli utenti desiderati.

Per disattivare l'MFA controllare le impostazioni e disattivare i security default

VERIFICA IMPOSTAZIONE MFA:

https://portal.azure.com

Azure Active directory

Utenti

cliccare sulla voce Multi-factor authentication (parte dx della finestra tra le voci in alto)

DISATTIVAZIONE SECURITY DEFAULTS

https://portal.azure.com

Azure Active directory

Proprieta

cliccare sulla voce "Gestisci le impostazioni predefinite per la sicurezza" (nella finestra di dx in fondo)

Una buona idea potrebbe essere quella di abilitare l'MFA solo per gli amministratori

IMPOSTAZIONE MFA PER GLI UTENTI AMMINISTRATORI:

https://portal.azure.com

Azure Active directory

Utenti

cliccare sulla voce Multi-factor authentication (parte dx della finestra tra le voci in alto)

Nella finestra successiva selezionare gli amministratori ed abilitare l'MFA.

Avete accesso alle impostazioni di sicurezza - MFA degli utenti andando in https://myaccount.microsoft.com/?ref=MeControl 

Impostazioni di sicurezza

MICROSOFT 365 - IMPOSTAZIONI DI SICUREZZA DELL’ACCOUNT e MFA

 

MICROSOFT 365 - IMPOSTAZIONI DI SICUREZZA DELL’ACCOUNT e MFA

Dopo aver disattivato l’MFA per un intero tenant, mi è accaduto che un utente, per accedere alle proprie impostazioni di sicurezza, dovesse comunque approvare l’accesso tramite APP.

Il problema consisteva nel fatto che il numero di telefono per l’utente non e’ mai stato impostato e la sola modalità di approvazione era tramite app. Nel frattempo l’utente aveva cambiato telefono e Microsoft authenticator sul nuovo non è mai stato installato e configurato. In sintesi l’utente non era in grado di accedere alle proprie impostazioni di sicurezza per aggiungere un nuovo metodo.

 

Viene chiesta l’approvazione per accedere alle impostazioni di sicurezza.

Per risolvere, in questi casi, è necessario accedere come amministratore del tenant ed intervenire sull’utente. Il modo più facile è cancellare tutti i metodi di autenticazione, costringendo l’utente ad inserire le informazioni necessarie al primo accesso da web. Ricordate che tutti gli utenti DEVONO avere il numero di telefono inserito, se si usa l’MFA, per evitare problemi simili.

Accedere con un account amministrativo a https://portal.azure.com

Andare in Azure active directory – utenti  e selezionare la voce Multi-Factor authentication

 Dalla finestra sottostante selezionare l’utente, e cliccare su “gestisci le impostazioni dell’utente”

Dalla schermata successiva selezionare la prima voce “Richiedere agli utenti selezionati di fornire di nuovo i metodi di contatto”

Al prossimo accesso, all’utente, verrà chiesto di inserire nuovamente le sue informazioni di contatto utilizzate per l’MFA. Da questo momento in poi, poiché verrà inserito anche il numero di telefono, l’approvazione del login potrà avvenire anche tramite SMS e non solo tramite app.

Una soluzione alternativa è quella di cancellare tutti i metodi di autenticazione presenti per un utente. Quindi andare in Azure Active Directory – utenti.

Cliccare sull’utente e scegliere METODI DI AUTENTICAZIONE.

Cancellare tutti i metodi presenti.

Se per un utente con MFA attivo non sono presenti metodi di autenticazione, al primo login verrà di inserire le informazioni di contatto dell’utente per l’MFA.

 

 

 

 

 

 

 

 

 

 

 

CANCELLAZIONE HYPERV CHECKPOINT

Oggi mi e' capitato di dover cancellare un checkpoint, ma dalla console non erano presenti le voci per farlo.

Ecco alcuni suggerimenti che ho trovato.

Nel mio caso e' stato sufficiente premere CANC sulla tastiera. :)

Se, facendo tasto destro su un checkpoint di una VM vengono mostrate solo le voci:

IMPOSTAZIONI, ESPORTA, RINOMINA e AIUTO si puo provare cosi:

 - Premere AGGIORNA e vedere se appaiono le voci

 - Chiudere e riaprire la console di HYPERV

 - selezionare il checkpoint da cancellare e premere CANC (a me ha funzionato questo)

 - Riavviare l'host HyperV

 - Usare la powershell come amministratore e digitare il seguente comando: Get-VM <VM-NAME> | Remove-VMSnapshot (https://docs.microsoft.com/en-us/powershell/module/hyper-v/remove-vmsnapshot?view=win10-ps)

REFERENCE

https://www.urtech.ca/2019/01/solved-how-to-remove-a-checkpoint-that-has-no-delete-option-in-hyperv-manager/

Dischi di rete

 Puo succedere che delle volte ci siano problemi con i dischi di rete, ed anche dopo un riavvio persistano.

In questo caso consiglio di:

net use * /delete /y (li cancella tutti)

net use q: /delete /y (cancella solo q:)

e verificare che da explore sparisca il disco con problemi.

Riavvio.

Cancellare dalla seguente voce di registro le lettere con problemi (magari salvare prima):

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2

net use Z: \\server\share /user:username password /yes

Replica GPO

 Durante l'aggiunta di un nuovo domain controller in AD ho riscontrato uno strano errore con la replica delle GPO, nonostante event viewer, dcdiag, replmon non segnalassero errori.

Dalla console delle GPO due policy non erano replicate. Altre policy che, solo dopo, mi sono reso conto di aver creato dal nuovo DC, invece funzionavano senza problemi.

L'errore era il seguente:

the sysvol permission for one or more GPOs on this domain controller are not in sync with the permissions for the GPOs on the baseline domain controller

ed era visibile da gpmc.msc

selezionare il dominio e premere detect now in basso a dx per verificare eventuali errori.

Controllando i permessi delle cartelle da explorer non emerge nulla di strano.

Verificando le ACL delle con icacls, invece...

ES:

icacls C:\Windows\SYSVOL_DFSR\sysvol\nomedominio.local\Policies\{95B665A7-ABBC-4519-B9D7-529100908048}

si nota che l'account domain admin e' ripetuto 2 volte

NOMEDOMINIO\Domain Admins:(OI)(CI)(F)

NOMEDOMINIO\Enterprise Admins:(OI)(CI)(F)

NOMEDOMINIO\Domain Admins:(OI)(CI)(F)

CREATOR OWNER:(OI)(CI)(IO)(F)

NT AUTHORITY\SYSTEM:(OI)(CI)(F)

NT AUTHORITY\Authenticated Users:(OI)(CI)(RX)

NT AUTHORITY\CONTROLLER DI DOMINIO ORGANIZZAZIONE:(OI)(CI)(RX)

per risolvere e' sufficiente togliere e riaggiungere l'account domain admin, forzare la replica ed andare a verificare nuovamente in gpmc.msc.

icacls "{GPO UID}"  /remove:g "DOMINIO\Domain Admins"

icacls "{GPO UID}"  /grant "DOMINIO\Domain Admins":(OI)(CI)(F)

repadmin /syncall

repadmin /syncall /AdePq

Da ora in poi create le policy sul domain controller piu recente per verificare che l'errore si ripresenti. Da Windows server 2012 ci sono delle patch che risolvono il problema, ma non su 2008/2008R2

REFERENCE

https://social.technet.microsoft.com/Forums/en-US/f16b0af1-8772-4f96-a9ac-fac47943e8e9/sysvol-permissions-for-one-or-more-gpo-are-not-in-sync?forum=ws2016