Forefront TMG – Windows Server 2008 R2 SP1 und der RPC-Filter – Teil II

Hallo Leutz,

in meinem ersten Posting berichtete ich von Problemen mit Forefront TMG und Windows Server 2008 R2 SP1 in Verbindung mit dem RPC Filter und Exchange Server 2010:
http://www.it-training-grote.de/blog/?p=4350
Weiterhin steht die Aussage des TMG Teams, dass Windows Server 2008 R2 SP1 voll von TMG und UAG supported wird. Bisher gibt es in den Technet Foren auch wenig Klagen. Ein “Bug” ist aber bereits bekannt und erkannt:
http://social.technet.microsoft.com/Forums/en-US/Forefrontedgegeneral/thread/05a3d0f8-9a50-414a-870c-347f35650e6b
Das SP1 stellt den Zustand wieder her, dass Forefront TMG Server 16 Minuten zum Reboot benoetigen, Abhilfe schafft die Community Loesung bis ein Fix verfuegbar ist:
sc config isactrl depend= RasMan/SSTPSVC/FwEng/ISASTG/bfe/mpssvc/HTTP
Desweiteren gibt es noch einen Workaround fuer die Installation des Windows Server 2008 R2 SP1 in Verbindung mit NLB, aber das sehe ich weniger als Bug an, eher als die Notwendigkeit das Readme zu lesen 🙂
Zurueck zum Thema RPC: Ich hatte gestern und heute die Gelegenheit zu ermitteln, ob das Windows Server 2008 R2 SP1 auf dem TMG Server wirklich fuer die RPC Probleme mit Exchange verantwortlich ist. Wir haben gestern und heute bei einem Kunden einen zusaetzlichen TMG Knoten ohne Windows Server 2008 R2 SP1 in das Array eingebunden und heute Nachmittag auf diesen Knoten umgeswitcht und siehe da: Es funktioniert weiterhin nicht mit diversen Outlook Zugriffen (Public Folder Zugriffe (Handler ungueltig), oeffnen von Anhaengen in E-Mails etc.). Nach einigen Tests haben wir jetzt ein geaendertes RPC Verhalten von Windows Server 2008 R2 SP1 auf Exchange 2010 in Verbindung mit TMG in Verdacht. Der Kunde hat alle Exchange Server 2010 auf Windows Server 2008 R2 SP1 aktualisiert und der Forefront TMG RPC Filter kommt scheinbar nicht mit einem moeglichen geaenderten RPC Verhalten auf den Exchange Servern klar, wenn die Outlook Zugriffe ueber TMG Netzwerke und Firewallregeln gesteuert werden. Wir haben als Workaround den RPC-Filter deaktiviert und eine entsprechende Access Rule von den Outlook Clients der verschiedenen Domaenen und Subnetze erstellt, welche die RPC Zugriffe auf das Exchange CAS Array ohne den RPC-Filter ermoeglicht. Das funktioniert einwandfrei. Zur Zeit ist die Firma SecureGUARD (Danke an Markus Grudl) dabei, das Problem nachzustellen und ggfs. bei Microsoft zu eskalieren. Weitere Infos folgen, wenn neue Erkenntnisse vorliegen.

Gruss Marc

Forefront TMG und Windows Server 2008 R2 SP1

Hallo Leutz,

jetzt auch die offizielle Aussage vom Forefront Team, dass Windows Server 2008 R2 SP1 auf TMG supported ist:
http://blogs.technet.com/b/isablog/archive/2011/03/07/tmg-2010-sp1-and-uag-2010-sp1-are-supported-on-windows-2008-r2-sp1.aspx
Bis auf ein bekanntes NLB “Problem” scheint alles supported zu sein.
In den Technet Foren sieht es auch noch ruhig aus. Bisher gab es einen Beitrag von einem Poster, welcher schreibt, dass nach der SP1 Installation der TMG wieder 16 Minuten zum Starten der Dienste benoetigt, ich selbst schlage mich zur Zeit mit folgendem Problem rum:
http://www.it-training-grote.de/blog/?p=4350

Nachtrag 11.03.2011 – 16:06: 

so, das SP1 von W2K8 R2 auf TMG ist nicht unmittelbar Schuld!
Neue TMG Maschine ohne Windows Server 2008 R2 SP1 gleiches Verhalten wie in meinem Blog Post
Es muss am SP1 von Windows auf dem Exchange 2010 liegen.
Wenn ich den RPC Filter am TMG ausschalte und eine Allow Any Rule von den Clients aus den Subnetzen zum Exchange erlaube, ist alles wieder schick.
Vermutung also: Aenderung am RPC Verhalten in Windows Server 2008 R2 SP1. Faellt nicht auf, so lange die Clients ohne eine Firewall sich mit dem Exchange connecten.
Sobald die Client Subnetze und der Exchange durch eine Firewall (TMG) getrennt sind, schlagen viele Funktionen von Outlook fehl, siehe Blogeintrag. Sprich: Der TMG RPC Filter muss durch einen Hotfix / Rollup von MS ISA Team gefixt werden. Die TMG Jungs muessen also mit den Windows Jungs sprechen und schauen, welche Aenderungen am RPC gemacht wurden und den RPC Filter am TMG modifizieren?

Gruss Marc Grote

CeBIT – Tag 5

Hallo Leutz,

der letzte Tag der CeBIT ist zu Ende. Nach etwas Buerokrams und Hotelsport bin ich mit meinem Gepaeck zum Auto und musste feststellen, dass mir irgendein Schwachmat den linken Aussenspiegel angefahren hat und der Spiegel hinueber ist. Kosten ca. 420 EUR wie man mir spaeter per E-Mail von der Werkstatt mitteilte. Teurer CeBIT Spass :-(. Kaum hat man seinen BMW M3 nicht mehr, welchem man wie einen Augapfel gehuetet hat, passiert sowas! Na gut nicht zu aendern, auf zur CeBIT, puenktlich da gewesen und wie “befuerchtet” war heute der Business freie Tag was die Fragen anging. Schwerpunkt waren heute viele Fragen, wo ich erst nach mehrmaligem Nachhaken verstanden habe, um was es ueberhaupt geht. Sehr haeufig habe ich heute auch Interessenten mit Bing geholfen so schwierige Fragen zu beantworten, wieviel Speicherplatz ein SBS 2011 Server braucht, weil die Fragenden trotz INTENSIVER Suche (nach eigenem Bekunden) keine Antwort gefunden haben. Aber in Summe hatten natuerlich (fast) alle Fragen Ihre Daseinsberechtigung und ich gab mir alle Muehe, so gut wie es geht alle Fragen zu beantworten. Alles in allem etwas weniger stressig als die anderen Tage und wesentlich weniger los an meinem Stand, aber die Fragen waren trotzdem spannend 🙂 Etwas mehr Ruhe war auch gut, weil mein geschwollener Fuss ab 10 Uhr wieder anfing weh zu tun :-(. Heute Mittag schleppte ich mich kurz zum CLIP/MVP GetTogether, ass etwas zu Mittag und bin dann schnell wieder zu meinem Stand. Gegen 18:15 Uhr habe ich mich dann auf den Weg zum Parkplatz gemacht und gegen 20:00 Uhr war ich dann zu Hause, Wagen waschen, Einkaufen, Geld holen und jetzt sitze ich auf dem Radl vor einem Riesenberg Post und darf die naechsten Stunden erst mal dem deutschen Buerokratismus froenen 🙁 und zusehen das ich die Waesche bis Sonntag trocken bekomme, denn dann geht es nach Koeln.

Es folgen Bilder:

Ein Gruppenbild der “echten” nicht Microsoft Mitarbeiter wie mir am Windows, System Center Stand folgt noch die Tage

Gruss Marc

CeBIT – Tag 4

Hallo Leutz,

es ist fast geschafft. Morgen noch ein Tag CeBIT und dann habe ich das “Vergnuegen” evtl. erst wieder in einem Jahr! Der Tag heute war eigentlich wie gestern. Eine Menge Fragen zu vielen Forefront Produkten, aber insesamt etwas ruhiger als gestern, was evtl. auch an dem Streik des Bahnnahverkehrs in Hannover liegen kann. Ich bin gerade in meinem “Hotel” angekommen, erledige etwas Buerokrams und kann leider aufgrund heftiger Kopfschmerzen und geschwollener Fuesse nicht am CLIP/MVP Community GetTogether Abendessen in Hannover teilnehmen. Ich konnte mich noch mit Muehe zur Doenerbude um die Ecke schleppen und einen Doener to Go holen :-(. Morgen frueh muss ich schon wieder meine Zelte abbrechen und fahre mit Auto zum Messegelaende, damit ich Morgen Abend direkt von der Messe nach Hause fahren kann.

Es folgen Bilder:

 

Gruss Marc

CeBIT – Tag 3

Hallo Leutz,

Tag 3, gute Halbzeit ist erreicht. Heute war es in Summe etwas ruhiger, die Fragen waren aber die geichen wie Gestern. Heute Mittag noch einen FEP Vortrag gehalten und dann Mittag gemacht (es gab lecker Salat). Leider habe ich mir da wohl aufs Hemd gekelckert, aber dank der Spitzen Klamottenausgabe hatte ich schnell ein neues Hemd :-). Heute habe ich wieder viele Leute aus der Community und einige Kunden getroffen, mit MSlern gesprochen und ein interessantes Gespraech mit Helmut Otto von SecureGUARD gefuehrt. Es bahnen sich interessante Termine an (Stichwort: Israel, Roadshow – mehr wird noch nicht verraten). Heute gibt es nur ein Bild, ich habe nicht mehr Bilder machen koennen.

Gruss Marc

CeBIT – Tag 2

Hallo Leutz,

same procedure as yesterday. Puenktlich am Forefront Stand gewesen und den ganzen Tag ueber im Akkord die Fragen der Interessenten beantwortet. Da ich fast ausschliesslich alleine am Stand war, bin ich aus dem Reden und praesentieren nicht heraus gekommen, aber wenigstens hat es diesmal fuer eine kurze Mittagspause gereicht 🙁

Schwerpunkte der Anfragen:
Forefront TMG
Forefront UAG
Forefront Endpoint Protection
Forefront Protection fuer Exchange

Wie letztes Jahr zur CeBIT oder auch auf der Teched 2010 habe ich leider wieder festgstellt, dass es noch nicht bei allen durchgedrungen ist, dass Forefront kein Produkt, sondern eine Produktfamilie ist und es fuer viele auch schwer ist, die einzelnen Produkte zuzuordnen und die Abhaengigkeiten zu erkennen. Des weiteren ist es schwer, die Vorgaengerprodukte den aktuellen Versionen zuzuordnen. Hier muss Microsoft noch ein wenig mehr Aufklaerungsarbeit leisten und ich ueberlege auch noch, einen Blogeintrag mit einer detaillierten Uebersicht aller Forefront Produkte, deren Einsatzgebiete / Vorgaengerversionen zu veroeffentlichen.

Es folgen Bilder:

 

Gruss Marc

CeBIT – Tag 1

Hallo Leutz,

1. echter CeBIT Tag. Nach etwas Fruehsport und Buerokrams, heute habe ich fast 50 Minuten von Frank zum Messegelaende gebraucht, war aber puenktlich um 08:40 Uhr am Forefront Stand. Den ganzen Tag ueber gab es ne Menge Forefront Fragen, um 12:00 Uhr bin ich zum Heise ix Forum und habe dort meinen Forefront Protection 2010 Vortrag gehalten. Dann ging es wieder zum Stand Fragen beantworten. Gegen 15:50 Uhr machte ich dann Mittag (leider gab es kein Mittag mehr). Dann noch bis 18 Uhr wieder am Stand und einen Spaetinteressenten bis 18.30 Uhr bedient und dann gegen 18:30 Uhr auf zu Frank. Jetzt werden wir gleich einen Doener oder auch zwei zu uns nehmen und einen Film gucken.

Es folgen Bilder:

   

Gruss Marc

Gruss Marc