說明整合的存取閘道 2010年更新 2

先決條件

本更新程式會採用累計模式，以及可以套用至家電用品、 伺服器或虛擬機器正在執行 UAG 2010 下列版本︰

• UAG 2010 (RTM)

• UAG 2010 更新 1

• UAG 2010 更新 1 彙總套件 1 Hotfix 套件

如需有關 UAG 更新 1 的詳細資訊，請按一下下面的文件編號，檢視 「 Microsoft 知識庫 」 中的文件︰

981323說明統一的存取閘道 2010年更新 1如需有關 UAG 更新 1 彙總套件 1 hotfix 套件的詳細資訊，請按一下下面的文件編號，檢視 「 Microsoft 知識庫 」 中的文件︰

彙總套件 1 的 hotfix 套件的981932描述，統一存取閘道 2010年更新 1

安裝注意事項

安裝時 UAG 伺服器陣列正在使用中的順序

1. 先在陣列管理員上安裝更新 2。

2. 重新開機。

3. 啟動 UAG 組態。

4. 等候同步處理設定。

5. 在第一個非管理員陣列成員上安裝更新 2。

6. 重新開機。

7. 對所有其餘的陣列成員重複。

注意必要時，應該以相反順序進行解除安裝的更新 2。

重新啟動需求

在非陣列案例中，您不需要套用此更新套件之後，請重新啟動電腦。在您安裝更新套件之後，您必須啟動 UAG 組態。請注意執行 UAG 啟動將會終止任何現有 SSL 應用程式的 「 通道連線到 UAG 伺服器。

在陣列的情況下重新啟動是必要的。使用陣列時，則需要進行更新成功部署上述的陣列安裝步驟，陣列的損毀和遺失的組態，可能會導致失敗，請依照這些步驟。

Hotfix 取代資訊

此 hotfix 不會取代先前發行的 hotfix。

解除安裝資訊

若要解除安裝此更新程式，請使用下列方法之一︰

• 內建的系統管理員，以登入，然後使用 [控制台] 中的 [程式和功能] 小程式，以解除安裝更新。

• 從提升權限的命令提示字元中輸入下列命令，，然後按 ENTER 鍵︰
  

  msiexec.exe /uninstall {31F37A8F-7454-453C-B084-9334E3EBA839} /package {9B0CE58E-C122-4CB4-80C1-514D4162C07C}

檔案資訊

此 hotfix 的英文版具有下列表格中所列檔案屬性 (或較新的檔案屬性)。這些檔案的日期和時間會以國際標準時間 (UTC) 格式列出。當您檢視檔案資訊時，會將它轉換為本地時間。若要查看 UTC 與當地時間的時差，請在 [控制台] 中的日期和時間項目使用 [時區] 索引標籤。

此更新所隨附修正的問題

這個更新修正下列問題的先前所未提及的微軟知識庫文件。

問題 1

徵狀

系統管理員需要他們的安全通訊端通道通訊協定 」 (SSTP) 虛擬私人網路 (VPN) 用戶端的細微的存取控制。不過，在 UAG 上設定 SSTP 所建立的單一存取規則，讓整個內部網路的 VPN 用戶端的存取。

根據從 http://technet.microsoft.com/en-us/library/ee522953.aspx 下列文字，它被支援使用威脅管理閘道 (TMG) 主控台建立啟用細微的存取控制對於 SSTP VPN 存取的規則︰

「 建立存取規則使用 Forefront TMG 管理主控台，為了部署 VPN 遠端網路存取的 Forefront UAG 時，限制使用者、 群組及細微的存取的網路。 」

不過，當系統管理員建立存取規則來限制使用者存取時，這些規則會移除，或移到底部的 [存取] 原則中，在 UAG 啟動之後。這表示預設規則的優先順序，而且已設定的更精細地控制將會遺失。

原因

這個問題被因 UAG 之間的動態產生的規則，會部署到 TMG，在 UAG 啟動過程中整合的設計中限制。

解決方案

手動修改 TMG 規則，以支援細微的存取控制，TechNet 上所述的使用年限 （和已不再支援在安裝 UAG 更新 2 之後） 的 UAG 管理主控台中的細微的存取控制的明確支援框架。

UAG 系統管理員現在可以明確地啟用存取權給特定的 Active Directory 群組成員的 SSTP VPN 使用者的特定的內部網路位址。UAG 系統管理員應該使用 SSL 網路通道設定] 對話方塊的 [新使用者群組] 索引標籤，來定義一組存取規則所組成的細微 IP VPN 存取原則。每個規則會定義一組的內部網路 IP 位址和連線到 SSTP VPN 時，特定的 Active Directory 群組的成員可以存取的 IP 位址範圍。

問題 2


徵狀

Microsoft 虛擬桌面基礎結構 (VDI) 支援，在 UAG 中的並未完整實作。

原因

使人產生誤解的 UAG UI，因為有問題的組態和無法支援不同的資源中的多重授權，在實作階段會阻止 VDI 無法正常運作。

解決方案

我們所做的變更來更新 UAG UI，並支援個人桌面的案例 VDI 較為複雜的實作與設計。共用桌面的案例 VDI 尚未實作，並可能在未來的更新，UAG 的實作。

問題 3


徵狀

UAG 用戶端元件，SSL 通道 （通訊端轉寄站） 之應用程式不支援在 64 位元版本的 Windows 7 和 64 位元版本的 Windows Vista 上。

原因

這是原本設計的作法，UAG 更新 2 發行之前的 UAG 用戶端元件。

解決方案

我們已做設計變更來解決下列案例︰

有使用 UAG 通訊端轉寄的非 web 應用程式設定的寬 / 發佈的方法為通道的應用程式。例如，這類的應用程式是 Citrix XenApps 及簡報伺服器 4.5，而它們兩個以 ActiveX 應用程式在瀏覽器中執行。在這次更新，由於技術的限制，我們不允許這些發行的方法，在 64 位元版本的用戶端作業系統上的部署。因此，可能會存取相同的已發佈應用程式使用這些方法，從 32 位元版本的用戶端操作而不是從 64 位元作業系統的 systemss。

針對這個案例所做的變更是部署的在 64 位元版本的 Windows 用戶端作業系統，以便開啟通道的應用程式上提供元件的通訊端轉寄 (SF) 用戶端方法。這項實作的限制如下所示︰

• 對通訊端轉寄站支援是有限的 Windows Vista 的 64 位元版本和 64 位元版本的 Windows 7，其他的 64 位元版本的作業系統不支援。

• 當使用者從 32 位元版本的 Internet Explorer （執行在 WOW64 32 位元模擬） 存取 UAG，只支援通訊端轉寄站。

• 通訊端轉寄站只會與 32 位元應用程式 （WOW64 應用程式） 互動，並將不會與原生 64 位元應用程式互動。

更新的元件的部署選項如下︰

• 線上︰ 執行 SF 元件部署的標準方法。在通道的發佈方法為使用 SF 任何 UAG 入口網站應用程式的第一個引動過程，元件會下載並安裝。

• 離線︰ 系統管理員也可以將部署適當的 Windows 安裝程式應用程式 (MSI) 的用戶端上使用指令碼式的軟體發佈或手動安裝。UAG 更新 2 的安裝後的檔案就會在下列位置的 UAG 伺服器上可用的︰
  

  %Uag 安裝 directory%\von\PortalHomePage\

問題 4


徵狀

您無法存取 Citrix XenApps 5.0 發佈的 UAG 與從用戶端電腦是執行 64 位元版的 Windows Vista 或視窗 7。

原因

這是原本設計的作法，UAG 更新 2 發行之前的 UAG 用戶端元件。

解決方案

請參閱問題 3 的 < 解決方案=""> 一節，取得詳細資訊。

問題 5


徵狀

當您嘗試建立或編輯端點原則時，「 McAfee 總保護 」 原則會出現在清單的兩次。如果您選取第二個 「 McAfee 總保護 」 原則，您會收到類似下列的錯誤訊息︰

原因

之所以發生這個問題，是因為 %uag 安裝 directory%\von\Conf\PolicyDefinitions.xml 檔案包含兩個項目具有相同的標題和 id。

解決方案

雙項目問題已解決，移除 PolicyDefinitions.xml 檔案中的第二筆記錄。

問題 6

Symptom

當您存取的資源，由 UAG 發佈時，用戶端收到錯誤訊息 「 處理的憑證時發生未知的錯誤 」 瀏覽器中。此外，UAG 系統管理員可能會看到 UAG 伺服器偵錯記錄檔中， SEC_I_CONTINUE_NEEDED會傳回在 SSL 交涉步驟 「 信號交換確認狀態 」。遵循該步驟的偵錯記錄檔會顯示 [ /InternalSite/InternalError.asp ] 頁面會傳回給用戶端與錯誤代碼 37。錯誤代碼 37 是錯誤訊息 「 處理的憑證時發生未知的錯誤 」。

Cause

現有的 SSL 機制會不正確 handli 數個案例與透過 UAG 發行後端伺服器執行 SSL 信號交換時。SSL 資料流的性質會建立複雜的案例可能會接收資料可能不足，或讀取信號交換時太多資訊。 在這個案例中， InitializeSecurity內容報告經過其他必須儲存用於將來的資料 （可能在您讀取更多的資料在網路上）。

Resolution

信號交換演算法會延伸以支援額外的資料流案例與案例。


Issue 7

Symptom

當您存取發行的 HTTPS 應用程式透過 UAG 時，使用者會收到錯誤 37: 「 處理的憑證時發生未知的錯誤 」。正在進行偵錯記錄功能 （其中包含 SSLBOX_BASE 追蹤） 的系統管理員時使用者存取應用程式將會看到下列錯誤訊息︰

Cause

後端應用程式伺服器設定為在 SSL 交涉階段期間要求用戶端憑證認證。在這次更新不支援這類功能。因此，交涉失敗，發生錯誤。

Resolution

有兩個可能的案例後, 端伺服器會要求用戶端憑證認證︰

• 後端應用程式伺服器會要求用戶端憑證，以取得憑證內容，但是不需要它。後援實作允許重試的 UAG 就此例而言，會收到交涉後SEC_INCOMPLETE_CREDENTIALS傳回碼。通常是後端伺服器不需要用戶端憑證，且此交涉成功完成。

• 後端應用程式需要用戶端憑證驗證。 用來實作的設計變更不允許用戶端提供用戶端憑證通過但沒有允許欲提供給所有使用者的後端 web 伺服器的單一有效的用戶端憑證。
  
  就此例而言 UAG 系統管理員應該提供有效的用戶端憑證，並安裝機器憑證的 UAG 伺服器上。

  1. 指示 UAG SSLBox 模組，以擷取，並取得正確的憑證，請依照下列步驟執行︰

     1. 執行 MMC 命令以開啟 [管理] 主控台。

     2. 按一下 [檔案]，然後按一下 [新增/移除嵌入式管理單元。

     3. 選取 [憑證]，請從清單中，，，然後按一下 [新增]。

     4. 選取 [電腦帳戶，然後按一下 [完成]。

     5. 開啟個人憑證存放區。

     6. 從清單中選取所需的用戶端驗證憑證，並按兩下憑證。或者，用滑鼠右鍵按一下憑證，，然後按一下 [開啟。

     7. 選取 [詳細資料] 窗格，並向下捲動。

     8. 選取憑證指紋屬性。

     9. 選取 [面板 bellow 中的 [屬性值，並藉由按下 CTRL + C 鍵複製它的值。

     10. 重要這個章節、 方法或工作包含修改登錄的步驟。不過，如果您不當修改登錄，可能會發生嚴重的問題。因此，請務必小心執行這些步驟。為加強保護，請在修改前備份登錄。然後，您可以在發生問題時還原登錄。如需有關如何備份和還原登錄的詳細資訊，請按一下下面的文件編號，檢視 「 Microsoft 知識庫 」 中的文件：

         322756如何備份及還原 Windows 中的登錄答︰ 啟動登錄編輯器 (Regedt32.exe)。
         
         b.找出並按一下下列登錄機碼︰
         
         

         HKEY_LOCAL_MACHINE\SOFTWARE\WhaleCom\e-Gap\Von\UrlFilter\Comm\SSL
         c.在 [編輯] 功能表中，按一下新增值]，然後新增下列登錄值︰

         數值名稱︰ ClientCertHash
         資料型別︰字串
         值: {在步驟 9 中複製文字} [例如︰ a7 36 4b ca 87 3f 10 ac d5 4b 0f ca 83 9e 9e 74 c8 3e fa 8b]
         d.結束登錄編輯程式。
         e 會重新啟動 IIS 的系統管理員身分執行 IISReset。
         f.啟動 UAG 組態。

問題 8

Symptom

在某些罕見的情況下安裝在其上的 UAG 用戶端元件的用戶端電腦會收到"uagqecsvc"事件識別碼 85 記錄檔訊息寫入 Windows 事件記錄檔時該用戶端進行通訊 UAG 伺服器的每一分鐘。雖然 false 這警示，這會填滿用戶端事件日誌中很難的系統管理員或服務台從用戶端的 Windows 事件記錄檔中一時間真正的事件。這些訊息會自動顯示在用戶端每分鐘如果該用戶端連線到 IAG 伺服器。

也可能有另一個相關的事件中的用戶端事件日誌。

雖然 UAG 或 UAG 部署這個問題不直接相關，很可能與某些部署 UAG 用戶端元件安裝在其上的使用者將會存取 IAG 和 UAG 的伺服器。

Cause

UAG 用戶端元件有元件服務"uagqecsvc"的顯示名稱與 「 Microsoft Forefront UAG 隔離強制用戶端 」 的哪一個查詢端點健康狀態，藉由使用 NAP，和回報狀態給 NAP 模組在 UAG 上。在某些罕見的情況下這個問題憩夔婓 UAG 部署為服務重新嘗試重複繫結到 UAG 伺服器。繫結會以分鐘的逾時的迴圈中執行，直到它可以連線。

此外開頭 IAG Service Pack 2 更新 3，UAG 的用戶端元件所移植到 IAG。因此 uagqecsvc 服務也會連線到任何含有 Service Pack 2 更新 3 用戶端元件的 IAG 伺服器的用戶端電腦上安裝。NAP 端點偵測功能不存在於 IAG，因為具有 UAG 元件在其上安裝用戶端會繼續嘗試連線到 UAG NAP 服務，因此產生先前所述的記錄檔 messaged Windows 事件記錄檔中的程序中的每一分鐘。

Resolution

在舊版的重試次數與 UAG NAP 偵測代理程式通訊的預設逾時設定為一分鐘的用戶端元件中，它是被變更在 UAG 更新 2 為一小時。 系統管理員想要修改這個值會提供手動定義用戶端上的 [逾時的方式。

重要這個章節、 方法或工作包含修改登錄的步驟。不過，如果您不當修改登錄，可能會發生嚴重的問題。因此，請務必小心執行這些步驟。為加強保護，請在修改前備份登錄。然後，您可以在發生問題時還原登錄。如需有關如何備份和還原登錄的詳細資訊，請按一下下面的文件編號，檢視 「 Microsoft 知識庫 」 中的文件：

322756如何備份及還原 Windows 中的登錄電腦的使用者或系統管理員可以手動定義任何用戶端電腦上的逾時以毫秒為單位。若要執行這項操作，請參考下列步驟：

1. 啟動登錄編輯器 (Regedt32.exe)。

2. 找出並按一下下列登錄機碼︰
   

   HKEY_LOCAL_MACHINE\SOFTWARE\WhaleCom\Client\QEC

3. 在 [編輯] 功能表中，按一下 [新增值]，然後新增下列登錄值︰

   數值名稱︰ InitRetryTimeout
   資料型別︰ REG_DWORD
   基數︰ 十進位
   值: （時間以毫秒為單位的 360000 是預設值，但這個值必須是
   設定較大然後 6000)

4. 結束登錄編輯程式。

5. 重新啟動電腦。

問題 9
徵狀

（UAG 系統管理員），就執行 Windows 2008 R2 的當地語系化的 APAC 語言版本的伺服器上安裝的 UAG。當您嘗試在 UAG 上建立的 trunk 時，您會收到錯誤訊息，並建立 trunk 已停止。

例如空白 windows、 未預期的錯誤訊息，或經常 MMC 當您嘗試在 UAG 上建立的 trunk，就會發生當機。

原因

因為不正確的操作系統資源，所以會發生這個問題。在某些非西歐語言版本的作業系統 （韓文/日文/中文） 執行 UAG 時，這些不正確的操作就會導致失敗。

解決方案

負責存取這些系統資源的程式碼被固定的。

問題 10


徵狀

端點工作階段清除元件不會啟動的結束點在重新啟動後執行。此外，在檔案總管視窗會開啟，指向 [在重新啟動後的 [用戶端元件] 資料夾。

原因

之前重新啟動，端點工作階段清除元件寫入登錄值，在 [執行] 機碼之下。此登錄值可讓 Windows 在重新啟動後自動啟動端點工作階段清除元件。不過，此路徑登錄機碼的值會是可執行檔的路徑包含空格。因此，發生失敗。

解決方案

指向 「 執行 」 機碼下會寫入附件挪移可執行檔的路徑值現在會寫入為括住的字串，以避免任何失敗。

問題 11


徵狀

當您嘗試存取的設定選項在 Exchange Server 2007 Outlook Web 應用程式 (OWA) 透過 UAG 發行的語言時，則下列的錯誤訊息會傳送至用戶端。

原因

這個問題發生是因為 Exchange Server 2007 OWA 範本出 URL"/owa/languageselection.aspx 的沒有規則集項目 」。UAG 規則集機制不允許對任何不在 「 白名單中的 URL 的存取。

解決方案

若要允許存取此 URL 資源發佈的 Exchange 2007 OWA 新增新的規則。在此情況下，"ExchangePub2007_Rule36"的新規則會允許存取 URL"/owa/languageselection.aspx"。

問題 12


徵狀

當使用者嘗試存取 UAG 站台或嘗試存取應用程式內的書籤標記的路徑，而不是 UAG 的登入路徑中時，使用者會收到 「 500 內部伺服器錯誤，並無法存取網站。

注意UAG 網站會使用 ADFS 進行驗證，以及直接要求發行的應用程式。

原因

當 UAG 設定以使用 ADFS 進行驗證時，則會在安全性權杖服務 (STS) 和 UAG 的內部網站之間進行數個重新導向。如果預期的方式中，要不執行 redirectes，UAG 會傳回錯誤。當使用者嘗試直接存取已發佈的資源，而不是入口網站時，re-routing 的程序將會中斷。因此，就會發生內部伺服器錯誤。

解決方案

這個更新修正這個問題。

問題 13

徵狀

當系統管理員設定 ActiveDirectory 型別驗證儲存機制時，系統管理員無法設定為 [無限制] 的群組巢狀值。根據 UAG 規格群組巢狀欄位的值可能是空白的。不過，當該欄位為空白，並儲存設定並將其啟動，值會設回"0"意外。

注意UAG MMC，就必須先關閉然後重新開啟以取得可見的"0"的值。UAG 規格為"0"表示是無群組巢狀。因此，群組巢狀化並不會無法如預期般運作。

原因

群組巢狀欄位的正確值無法儲存在組態中，就會發生這個問題。因此，無法套用正確的值，GUI 和驗證函式。

解決方案

在組態中的值現在正確儲存及更新時就會從 [此外 GUI 中刪除的群組巢狀的值、 值正確適用於驗證函式。

注意Microsoft 建議設定為最低的數目所需的授權，在 UAG 中的值。 您可以將值設定為 [高 2 個層級的巢狀結構，由於可能會發生的延遲] 及 [所需的資源中。如果超過 2 層級所需的部署，您必須在系統部署在實際執行環境之前，先測試這些變更的影響。在極端的情況下，這些設定可能會造成 UAG 伺服器，並會被用來驗證的 UAG 損毀因為高的資源需求的任何 Dc。

14 期


徵狀

當您嘗試啟用 NC 伺服器後，關閉 [網路連接器 (NC) 伺服器設定] 視窗時，您可能會收到下列錯誤訊息︰

原因

只有在實體網路介面卡有以"00"開頭的 MAC 位址時，才可以使用 SSL 網路通道的服務。

解決方案

雖然實體網路介面卡具有 MAC 位址開頭為"00"，則可以使用 SSL 網路通道的服務。

問題 15


徵狀

UAG 已發行 Citrix XenApp 5 只部分支援。

當您想要發佈 Citrix 無誤時，它們被 obligated 依照下列 Microsoft 網站所提供的步驟執行︰

簡介如何發佈 Citrix XenApp 與 UAG 2010 5.x
原因

之所以發生這個問題，是因為 Citrix 的支援已中斷。

解決方案

在上述的正確發佈 Citrix XenApp 5.0 所提供的步驟現在會納入此更新程式。

問題 16


徵狀

從 GUI 選取了 AV 產品 「 趨勢微 OfficeScan 防毒"或"趨勢微 Pc-cillin 防毒 」。在此情況下，當您建立原則，然後將原則套用至應用程式時，請在啟動過程中收到下列錯誤訊息︰

原因

原則語法驗證演算法遺漏的相依性所需的這些特定的原則，就會發生這個問題。

解決方案

您安裝此更新之後，對相依性所需的這些原則變更才會加入至原則語法驗證演算法。

與陣列和網路負載平衡 (NLB) 的已知的問題

• 當您嘗試加入同一個陣列中的兩部伺服器，在此同時，陣列儲存區可能已損毀。如果發生這種情況，請從備份還原的設定。

• 當您刪除 IPv6 虛擬 IP 位址 (VIP) Forefront UAG 管理主控台中的時，地址可能不會完全移除。若要解決這個問題，請從 [網路介面卡在 [網路和共用中心，Forefront UAG 管理主控台中手動刪除地址。

• Forefront UAG 可能無法偵測使用整合的 NLB 陣列成員失去網路連線 （例如，ISP 系統失敗）。在這個案例中，Forefront UAG 可能會繼續將傳輸路由至不可用的伺服器。若要避免這個問題，停用離線的陣列成員的內部和外部介面的卡。連線能力問題解決之後，請再次啟用介面卡。

• 如果您有 Microsoft 系統中心作業 Manager 2007 在組織中部署時，您可以監視陣列成員網路介面卡的狀態。若要執行這項操作，請參考下列步驟：
  

  • 請確定已安裝在每個陣列成員上的 Windows 伺服器作業系統與 Windows Server 2008 NLB 管理組件。

  • 您可以使用作業管理員 2007年，偵測陣列成員上中斷連線的網路介面卡。
    注意作業管理員 2007年會報告問題，如下所示︰
    

    • 如果沒有連線到內部網路介面卡發生問題，作業 Manager 2007 會報告任何活動訊號偵測到。

    • 如果沒有連線到外部網路介面卡發生問題，則作業 Manager 2007 會報告 Windows NLB 問題。

• 當您建立的 HTTPS trunk 重新導向 trunk 陣列沒有負載平衡啟用中時，您必須手動指派的 IP 位址重新導向 trunk，為每個陣列成員。這項工作所述的下列文件︰
  

  簡介如何使用 NLB 陣列上安裝更新 1