Securing Windows 2008 Server

Prevent Attacks from Outside
and Inside Your Organization

Chapter 1 Microsoft Windows Server 2008: An Overview . . . . . . . . . . . . . . 1
Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
Server.Manager. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
Using.Server.Manager.to.Implement.Roles. . . . . . . . . . . . . . . . . . . . . . . . . . . 3
Server.Core. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
Using.Server.Core.and.Active.Directory. . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
What.Is.Server.Core?. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
Uses.for.Server.Core . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
Active.Directory.Certificate.Services. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
Configuring.a.Certificate.Authority . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
Certificate.Authorities. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
Standard.vs ..Enterprise. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
Root.vs ..Subordinate.Certificate.Authorities. . . . . . . . . . . . . . . . . . . . 24
Certificate.Requests. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
Request.a.Certificate.from.a.Web.Server. . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
Certificate.Practice.Statement. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
Key.Recovery . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
Active.Directory.Domain.Services . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
What.Is.New.in.the.AD.DS.Installation?. . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
Summary. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
Solutions.Fast.Track. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
Frequently.Asked.Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
Chapter 2 Microsoft Windows Server 2008:
PKI-Related Additions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
What.Is.PKI?. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
The.Function.of.the.PKI. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
Components.of.PKI. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
How.PKI.Works. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
PKCS.Standards. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 48
Public.Key.Functionality. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54
Digital.Signatures. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54
Authentication. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55
Secret.Key.Agreement.via.Public.Key. . . . . . . . . . . . . . . . . . . . . . . . . . . . 56
Bulk.Data.Encryption.without.Prior.Shared.Secrets . . . . . . . . . . . . . . . . . 56
Contents
vii
viii Contents
Digital.Certificates. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57
User.Certificates. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59
Machine.Certificates. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60
Application.Certificates. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60
Working.with.Certificate.Services. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60
Backing.Up.Certificate.Services . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
Restoring.Certificate.Services. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63
Assigning.Roles. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66
Enrollments. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67
Revocation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 68
Working.with.Templates. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71
General.Properties . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73
Request.Handling . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75
Cryptography. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 76
Subject.Name . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77
Issuance.Requirements. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 78
Security. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81
Types.of.Templates. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 82
User.Certificate.Types.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 82
Computer.Certificate.Types. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 84
Other.Certificate.Types . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 85
Custom.Certificate.Templates. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86
Creating.a.Custom.Template. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86
Securing.Permissions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 88
Versioning. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 89
Key.Recovery.Agent .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. ..90
Summary. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92
Solutions.Fast.Track. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 93
Frequently.Asked.Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 96
Chapter 3 Microsoft Windows Server 2008:
Active Directory Domain Security Changes . . . . . . . . . . . . . . . . . . . . . . 99
Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 100
Configuring.Audit.Policies. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101
Logon.Events. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 104
Directory.Service.Access. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 105
Configuring.Directory.Service.Access.Auditing..
in.Group.Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 105
Configuring.Active.Directory.Object.Auditing. . . . . . . . . . . . . . . . . . . . 106
Contents ix
Fine-Grain.Password.and.Account.Lockout.Policies. . . . . . . . . . . . . . . . . . . . . . 108
Configuring.a.Fine-Grain.Password.Policy. . . . . . . . . . . . . . . . . . . . . . . 110
Applying.Users.and.Groups.to.a.PSO.with..
Active.Directory.Users.and.Computers . . . . . . . . . . . . . . . . . . . . . . . 118
Read-Only.Domain.Controllers.(RODCs). . . . . . . . . . . . . . . . . . . . . . . . . . . . 121
Introduction.to.RODC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 122
An.RODC’s.Purpose.in.Life . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 122
RODC.Features. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 122
Configuring.RODC. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123
Removing.an.RODC. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127
Digital.Rights.Management.Service. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 128
Summary. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130
Solutions.Fast.Track. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 131
Frequently.Asked.Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 133
Chapter 4 Microsoft Windows Server 2008:
Network Security Changes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137
Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 138
Network.Policy.Server. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 139
Configuring.Policies.and.Settings.for.NAP..
Enforcement.Methods.in.NPS. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 142
Network.Policy.and.Access.Services.Role. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 143
NTLMv2.and.Kerberos.Authentication. . . . . . . . . . . . . . . . . . . . . . . . . . . . 146
802 .1x.Wired.and.Wireless.Access. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147
WLAN.Authentication.Using.802 .1x.and.802 .3 . . . . . . . . . . . . . . . . . . . . . 148
Wireless.and.Wired.Authentication.Technologies. . . . . . . . . . . . . . . . . . . 149
Implementing.Secure.Network.Access.Authentication. . . . . . . . . . . . . . . 151
Configuring.802 .1x.Settings.in.Windows.Server.2008. . . . . . . . . . . . . . . . . 153
Configuring.Wireless.Access. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 156
Set.Service.Identifier.(SSID). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 160
Wi-Fi.Protected.Access.(WPA). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161
Wi-Fi.Protected.Access.2.(WPA2). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 162
Ad.Hoc.vs ..Infrastructure.Mode. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 162
Wireless.Group.Policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 165
Creating.a.New.Policy. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 165
Summary. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 167
Solutions.Fast.Track. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 167
Frequently.Asked.Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 169
x Contents
Chapter 5 Microsoft Windows Server 2008:
Data Protection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 171
Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 172
BitLocker . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 172
Trusted.Platform.Modules . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 174
A.Practical.Example. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 175
Full.Volume.Encryption . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 175
Startup.Process.Integrity.Verification. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 175
Recovery.Mechanisms. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 177
Remote.Administration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 177
Secure.Decommissioning . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 177
BitLocker.Architecture. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 178
Keys.Used.for.Volume.Encryption. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 179
Hardware.Upgrades.on.BitLocker.Protected.Systems. . . . . . . . . . . . . . . . . . 180
BitLocker.Authentication.Modes. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 181
TPM.Only . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 181
TPM.with.PIN.Authentication. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 181
TPM.with.Startup.Key.Authentication. . . . . . . . . . . . . . . . . . . . . . . . . . 182
Startup.Key-Only . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 182
When.to.Use.BitLocker.on.a.Windows.2008.Server . . . . . . . . . . . . . . . . . . 183
Support.for.Multifactor.Authentication.on.Windows.Server.2008. . . . . . . . . 183
PIN.Authentication. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 183
Startup.Key.Authentication . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 184
Enabling.BitLocker. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 184
Partitioning.Disks.for.BitLocker.Usage. . . . . . . . . . . . . . . . . . . . . . . . . . 184
Creating.Partitions.for.a.Bitlocker.Installation. . . . . . . . . . . . . . . . . . . . . 185
Installing.BitLocker.on.Windows.Server.2008. . . . . . . . . . . . . . . . . . . . . . . 186
Turning.on.and.Configuring.BitLocker. . . . . . . . . . . . . . . . . . . . . . . . . . . . 187
Turning.on.BitLocker.for.Data.Volumes. . . . . . . . . . . . . . . . . . . . . . . . . 190
Configuring.BitLocker.for.TPM-Less.Operation. . . . . . . . . . . . . . . . . . . 191
Turning.on.BitLocker.on.Systems.without.a.TPM . . . . . . . . . . . . . . . . . 192
Administration.of.BitLocker. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 194
Using.Group.Policy.with.BitLocker. . . . . . . . . . . . . . . . . . . . . . . . . . . . 194
Storing.BitLocker.and.TPM.Recovery.Information..
in.Active.Directory. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 196
Storage.of.BitLocker.Recovery.Information..
in.Active.Directory. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 196
Storage.of.TPM.Information.in.Active.Directory. . . . . . . . . . . . . . . . 197
Prerequisites .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. .. 197
Contents xi
Extending.the.Schema. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 198
Setting.Required.Permissions.for.Backing.Up..
TPM.Passwords. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 200
Enabling.Group.Policy.Settings.for.BitLocker.and..
TPM.Active.Directory.Backup . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 200
Recovering.Data . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 201
Testing.Bitlocker.Data.Recovery . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 202
Disabling.BitLocker . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 203
Active.Directory.Rights.Management.Services . . . . . . . . . . . . . . . . . . . . . . . . . 203
Managing.Trust.Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 206
Exclusion.Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 208
Configuring.Policy.Templates. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 211
Managing.Your.AD.RMS.Cluster. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 212
Super.User . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 212
Removing.AD.RMS. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213
Reporting . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 214
Transport.Security . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
Adding.a.New.Security.Certificate. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 220
Authentication. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 226
Considerations.When.Using.Client.Certificates. . . . . . . . . . . . . . . . . . . . 229
Authorization . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 232
URL.Authorization . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 232
IP.Authorization. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 235
Request.Filtering. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 237
.NET.Trust.Levels . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 239
Summary. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 241
Solutions.Fast.Track. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 241
Frequently.Asked.Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 243
Chapter 6 Microsoft Windows Server 2008:
Networking Essentials . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 245
Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 246
Not.Your.Father’s.TCP/IP.Stack. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 246
Introduction.of.IPv6.and.Dual.Stack. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 247
IPv6.Addressing.Conventions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 247
IPv6.Assigned.Unicast.Routable.Address.Prefixes. . . . . . . . . . . . . . . . 248
IPv6.Auto-Configuration.Options . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 248
IPv6.Transition.Technologies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 249
Configuring.IPv6.Settings. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 249
Using.the.Network.and.Sharing.Center. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 255
Using.Network.Map. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 256
xii Contents
Connect.to.a.Network. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 257
Manage.Network.Connections. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 261
Diagnose.and.Repair. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 262
Managing.Wired.Connections. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263
Managing.Wireless.Connections. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 264
Changing.from.a.Private.to.a.Public.Network.Location. . . . . . . . . . . . . . . . 268
Other.Troubleshooting.Methods. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 269
Summary. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 270
Solutions.Fast.Track. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 270
Frequently.Asked.Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 272
Chapter 7 Microsoft Windows Server 2008: Server Core . . . . . . . . . . . . . . 273
Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 274
Server.Core.Features . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 275
Server.Core.Has.Minimal.Attack.Vector.Opportunities. . . . . . . . . . . . . . . . . 276
Server.Core.Requires.Less.Software.Maintenance . . . . . . . . . . . . . . . . . . . . 277
Server.Core.Uses.Less.Disk.Space.for.Installation. . . . . . . . . . . . . . . . . . . . . 278
Server.Core.Components. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 278
What.Is.There?. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 278
Which.Roles.Can.Be.Installed?. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 281
What.Is.Missing? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 284
Server.Core.Best.Practices . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 287
Installing.Software . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 287
Changing.Background.Settings.and.More. . . . . . . . . . . . . . . . . . . . . . . . . . 288
Enabling.remote cmd.exe.with.Terminal.Services . . . . . . . . . . . . . . . . . . . . . . 290
Changing.the.Command.Prompt. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 292
Administrating.Server.Core.with.RDP. . . . . . . . . . . . . . . . . . . . . . . . . . . . 294
Creating.Batch.Menus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 296
Combining.Server.Core,.Read-Only.Domain.Controller,..
and.BitLocker. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 298
Server.Core.Administration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 299
Installing.Server.Core. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 299
Steps.for.a.Normal.Installation. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 299
Steps.for.an.Unattended.Installation. . . . . . . . . . . . . . . . . . . . . . . . . . . . 300
Configuring.Server.Core . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 301
Configuring.the.IPV4.IP-Stack . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 301
Configuring.Windows.Firewall. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 303
Changing.the.Hostname . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 305
Joining.a.Domain. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 305
Activating.the.Server. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 305
Contents xiii
Enabling.Automatic.Updates . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 306
Swapping.Mouse.Buttons. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 309
Changing.the.Regional.Settings. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 309
Changing.the.Date/Time.or.Timezone. . . . . . . . . . . . . . . . . . . . . . . . . . 310
Changing.the.Administrator.Password. . . . . . . . . . . . . . . . . . . . . . . . . . . 311
Adding.Users.to.the.Local.Administrator.Group. . . . . . . . . . . . . . . . . . . 312
Setting.the.Pagefile . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 312
Installing.Server.Core.Roles. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 312
Administrating.Server.Core . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 316
Remote.Server.Administration.Tools.(RSAT). . . . . . . . . . . . . . . . . . . . . 316
WINRM/WINRS. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 317
Managing.Server.Core.with.Group.Policy . . . . . . . . . . . . . . . . . . . . . . . 318
PowerShell. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 319
Installing.Active.Directory.Domain.Services.on.Server.Core . . . . . . . . . . . . 319
Summary. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 322
Solutions.Fast.Track. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 323
Frequently.Asked.Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 325
Chapter 8 Configuring Windows Server Hyper-V
and Virtual Machines . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 327
Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 328
Advancing.Microsoft’s.Strategy.for.Virtualization . . . . . . . . . . . . . . . . . . . . . 328
Understanding.Virtualization. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 330
Understanding.the.Components.of.Hyper-V. . . . . . . . . . . . . . . . . . . . . . . . 334
Configuring.Virtual.Machines. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 337
Installing.Hyper-V. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 338
Installing.and.Managing.Hyper-V.on.Windows.Server..
Core.Installations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 341
Virtual.Networking . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 342
Virtualization.Hardware.Requirements. . . . . . . . . . . . . . . . . . . . . . . . . . . . 344
Virtual.Hard.Disks. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 345
Adding.Virtual.Machines. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 348
Installing.Hyper-V.and.Creating.Virtual.Machines. . . . . . . . . . . . . . . . . . . . . . . 354
Migrating.from.Physical.to.Virtual.Machines. . . . . . . . . . . . . . . . . . . . . . . . . . . 354
Planning.a.P2V.Migration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 359
Backing.Up.Virtual.Machines. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 360
Backing.Up.a.Virtual.Hard.Drive . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 365
Virtual.Server.Optimization. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 365
Summary. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 369
Solutions.Fast.Track. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 370
Frequently.Asked.Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 373
xiv Contents
Chapter 9 Microsoft Windows Server 2008:
Terminal Services Changes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 375
Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 376
Terminal.Services.RemoteApp. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 376
Configuring.TS.RemoteApp. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 377
Terminal.Services.Gateway. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 386
Terminal.Services.Web.Access. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 389
Configuring.TS.Remote.Desktop.Web.Connection. . . . . . . . . . . . . . . . . . . 393
Summary. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 395
Solutions.Fast.Track. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 395
Frequently.Asked.Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 397
Index . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 399