Zatím tu mám dvě situace, na které může člověk dost často narazit. Časem možná doplním další.

RDP připojení ze staršího klienta na Windows 10 a Server 2016

Při vzdáleném připojení Remote Desktop Connection se dříve zobrazila přihlašovací obrazovka. To umožňovalo různé útoky. Tak Microsoft přišel s Network Level Authentication (NLA), kde dojde k autentizaci dříve, než se naváže session.

Na Windows Sever 2008 R2 a 2012 můžeme v nastavení povolit připojení pouze klientů, kteří NLA podporují.

Pokud jsme povolili připojení libovolné verze, tak jsme vyřešili připojení starých klientů nebo non-MS aplikací. Toto nastavení mění hodnotu UserAuthentication (1 pro zapnuté NLA) v registrech HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp.

Pokud zrušíme zatržítko, omezující RDP na NLA, v případě Windows Sever 2016, tak se patrně stále ze staršího klienta nepřipojíme a dostaneme chybové hlášení:

The connection cannot proceed because authentication is not enabled and the remote computer requires than authentication
 be enabled to connect.

Řešení je změnit v registrech hodnotu SecurityLayer v cestě HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp. Na internetu se většinou doporučuje zadat 0. Starší verze Windows mají nastavenu hodnotu 1 a ta mi funguje. Windows Server 2016 má zvednutou hodnotu na 2. Zajímavé je, že někdy se mi nastavení projevilo rovnou a někdy je třeba restart.

RDP a chyba CredSSP

NLA využívá Credential Security Support Provider protocol (CredSSP) jako Security Support Provider, který provádí autentizaci uživatele. V CredSSP byla nalezena zranitelnost, kterou Microsoft opravil. A nyní za určitých situací, a určité kombinaci opravených knihoven, můžeme při pokusu o připojení dostat chybu:

An authentication error has occurred.
The function requested is not supported.
Remote computer: <computer name or IP>.
This could be due to CredSSP encryption oracle remediation.
For more information, see https://go.microsoft.com/fwlink/?linkid=866660.

Podrobnější popis "CredSSP encryption oracle remediation" error when you try to RDP to a Windows VM in Azure.

Správné řešení je všude instalovat aktualizace. Další možnost je na serveru vypnout NLA. Nebo můžeme použít Group Policy (potřebujeme Administrative Templates pro Win10 1803).

V cestě Computer Configuration > Administrative Templates > System > Credentials Delegation nastavíme Encryption Oracle Remediation hodnotu Protection Level na Vulnerable.

Windows Server 2016 a přístup na složky vyžaduje oprávnění pro Domain Admins

Hodně zvláštní chování při přístupu do složek, kam máme nejvyšší oprávnění. Řeší se to v řadě diskusí na internetu. Nevím, zda to nastává pouze v situaci popsané níže, nebo i při jiných podmínkách. Souvisí to s User Account Control (UAC), ale i když v GUI nastavíme na minimum, tak to toto chování neovlivní.

Máme členský server domény, kde je skupina Domain Admins členem lokální skupiny Administrators (standardní chování). Přihlásíme se na server jako nějaký doménový admin. Server má mimo systémového disku (C:) ještě další disk. Na druhém disku D: je vytvořena složka, která má odebránu skupinu Users, ale stále má skupina Administrators plná práva. Když zkusíme tuto složku otevřít, tak dostaneme hlášení:

You don't currently have permission to access this folder.

Pokud klikneme na Continue, tak se našemu účtu nastaví práva na složku (a standardně na podsložky). Pak se sice složka otevře, ale patrně nechceme modifikovat oprávnění na složce (a aby tam místo skupin byl určitý uživatel).

Jediné funkční řešení, které jsme nalezli, je úplné vypnutí UAC pomocí Group Policy. To není ideální, ale pro specifický server můžeme použít.

V cestě Computer Configuration > Windows Settings > Security Settings > Local Policies > Security Options nastavíme User Account Control: Run all administrators in Admin Approval Mode na Disabled. Následně je třeba restartovat server.

Služba Sync Host - OneSyncSvc na serveru

V GUI Services vidíme Sync Host_číslo. Na serveru je tato služba zbytečná a často padá. V GUI ji nelze nastavit na Disabled, ale můžeme to provést v příkazové řádce (ne v PowerShellu). Popis služby This service synchronizes mail, contacts, calendar and various other user data. Mail and other applications dependent on this functionality will not work properly when this service is not running.

sc config "OneSyncSvc" start=disabled

Odinstalování Windows Defender ze serveru

V praxi jsme několikrát narazili na problém, že server (či určitá aplikace na něm, například Exchange) fungovala velmi pomalu. Po odinstalování aplikace Windows Defender, který je po instalaci serveru automaticky aktivní, se několikanásobně zrychlil běh.

Defender by měl jít standardně odebrat jako Feature (vlastnost) systému. Ale někdy je položka zašedlá, pak lze odebrat PowerShellem. Můžeme ověřit, zda služba běží, pomocí PowerShellu nebo příkazové řádky:

Get-Service Windefend
sc query Windefend

Odebrání cmdletem:

Uninstall-WindowsFeature -Name Windows-Defender 

Následně je třeba restart serveru.