BitLocker - odemčení z cmd

Následujícím příkazem manuálně odemčeme disk, který je chráněn bitlockerem:

Přesný čas ve Windows doméně

Několik typů pro řešení problému přesného času ve Windows doméně.

Nejprve nastavení serveru

Nejprve je nutno určit,
který doménový AD řadič má roli FSMO emulátoru PDC

netdom query fsmo

ADFS backup

Jak zálohovat konfiguraci ADFS ?

Přesný čas

Jen několik příkazů pro OS MS Windows.
Příkazy jsou pro CMD.

ERROR 1297 při spuštění služby AD FS

Na doménovém řadiči (ADDS = Active Directory Domain Services) verze MS Windows server 2016 jsem měl také instalovánu službu ADFS (Active Directory Federation Services).

No a potřeboval jsem tento server ponížit na obyčejný členský server.
Provedl jsem DEMOTE a odinstalaci role ADDS.

Po restartu (nyní již členského serveru) se však služba nespustila.
V mém případě se služba ADFS spouštěla pod doménovým účtem.

Obdržel jsem chybu ERROR 1297 s následujícím zněním:

Windows could not start the Active Directory Federation Services service on Local Computer Error 1297: A privilege that the service requires to function properly does not exist in the service account configuration. You may use the Services Microsoft Management Console (MMC) snap-in (services.msc) and the Local Security Settings MMC snap-in (secpol.msc) to view the service configuration and the account configuration.

Je nutno provést následující kroky k opravě:

NPS - odregistrace

NPS = Network Policy Server

Jak provést odregistrovat NPS server z AD?

SMB - Zakázání protokolu SMB verze 1

Protokol SMB verze 1 obsahuje mnoho zranitelností, které s úspěchem využívají viry typu RANSONWARE.

I proto je vhodné ho vypnout.

Provádí se v Powershellu takto:

SMB - Šifrování přenosu dat

Přenos dat v protokolu SMB ve výchozím stavu není šifrován.

Šifrování protokolu SMB lze zapnout pouze od verzi 3.

Provádí se PowerShell příkazem:

Zjištění verze SMB protokolu

v PowerShellu zjistíme verzi SMB takto

AD Schema Versions

AD version	objectVersion
Windows Server 2000	13
Windows Server 2003	30
Windows Server 2003 R2	31
Windows Server 2008	44
Windows Server 2008 R2	47
Windows Server 2012	56
Windows Server 2012 R2	69
Windows Server 2016	87
Windows Server 2019	88

 a zjistíme příkazem:

Verze MS SMB protokolu

SMB neboli Server Message Block je síťový souborový protokol, určený pro sdílení souborů a tiskáren mezi počítači. Microsoft doporučuje z bezpečnostních důvodů zakázat protokol SMB verze 1.0, jehož zranitelnosti využívá např. ransomware WannaCrypt nebo EternalRocks.

Nejstarší verze SBM 1 již není bezpečná a Ransomware dokáže využít její zranitelnosti a proniknout a ovládnou přes něj počítač i server. Doporučení je tedy jasné, vypnout podporu SBM verze 1.

Systém Windows 10 Enterprise a Windows 10 Education již po čisté instalaci neobsahují klienta ani server SMBv1.

Systém Windows Server 2016 Education již po čisté instalaci neobsahuje předvoleně klienta ani server SMBv1.

Windows 10 Home a Windows 10 Professional po čisté instalaci stále obsahují klienta SMBv1.

Pokud klient SMBv1 není používán celkem 15 dní (kromě vypnutého počítače), automaticky se sám odinstaluje.

MS vydal dokumentaci ke konzolovým příkazům

Microsoft vydal dokumentaci k více než 250 konzolovým příkazům.
Kniha je k dispozici ve formátu PDF na adrese:

Windows služba - automatic nebo automatic delay

MS Windows operačních systémech je již nějaký čas
rozčlenění na několik typů spouštění služby (services).

Při startu operačního systému má služba několik stavů zapnutí:
- DISABLED ... služba se nespustí a nelze ji spustit, spouštění je zakázano
- MANUAL   ... služba je možno spustit ručně, nebo ji dle potřeby zavolá a spustí nějaká událost
- AUTOMATIC ... služba je automaticky spuštěna při startu OS
- AUTOMATIC DELAY ... služba se spustí se spožděním

A jaký je rozdíl mezi AUTOMATIC a AUTOMATIC DELAY ?

Windows - TCP Port Forwarding

Někdy se může hodit v prostředí MS Windows zařídit přesměrování TCP komunikace (port forwarding) na vzdálenou IP adresu

Provede se to takto:

Windows server - povolení portů na firewallu

Nainstaluji si web server, který chytá nejen HTTP, ale i šifrovaný HTTPS.

Zároveň ale také chci mí zapnut Windows firewall.

Na příkazové řádce se to provede takto:

netsh advfirewall firewall add rule name="HTTP (80)" dir=in action=allow protocol=TCP localport=80

netsh advfirewall firewall add rule name="HTTPS (443)" dir=in action=allow protocol=TCP localport=443

A v prostředí PowerShell se to provede takto:

PowerShell - aktivace MS Windows

I z PowerShellu lze velmi jednoduše provést aktivaci MS Windows.
Pro někoho to může být složitější cesta ... nicméně se dá připravit pěkný script, který jen předhodíme do libovolného novějšího operačního systému od Microsoftu.

Důvodem pro použití tohoto scriptu také může být to, že z grafického prostře opakovaně nedaří aktivaci provést.

Windows Server 2012R2 - RD Licensing grace period has expired

Ozval se mi uživatel:
"Nemohu se připojit eRDéPéčkem do virtuálního počítače".

Ještě musím připomenout, že se jednalo o MS Windows 2012R2, kde byla instalovaná RDS služba.

Toto chybové hlášení jsem našel v event logu:
The RD Licensing grace period has expired and the service has not registered with a license server with installed licenses. A RD Licensing server is required for continuous operation. A Remote Desktop Session Host server can operate without a license server for 120 days after initial start up.

Po dlouhém bádání jsem našel toto, a to mi také pomohlo:

MS Windows Server - zapnutí PING REPLAY

Pro někoho je lepší nastavení v GUI jindy je rychlejší nastavení skrz PowerShell.
Tak si sem ještě musím poznamenat, jak se zapne na MS Windows Serveru odezva na PING.

PowerShell: ReFS

Jen několik PowerShell příkazů pro práci s souborovým systémem ReFS

Volba schématu napájení

Moc se o tom neví, nebo spíše se na to zapomíná.
Na serverech u velkých sowtwarových serverových balíků (např. MS Exchange Server, MS SQL Server) je velmi vhodné zvolit schéma napájení na "Vysoký výkon"

Na příkazové řádce se to provede takto: