Pianificazione delle comunicazioni in Configuration Manager

Configuration Manager usa la replica basata su file per trasferire i dati basati su file tra i siti all'interno della gerarchia. Tali dati includono contenuti quali applicazioni e pacchetti che si desidera distribuire in punti di distribuzione nei siti figlio, oltre ai record dei dati di individuazione non elaborati che vengono trasferiti ai siti padre in fase di elaborazione.

La comunicazione basata su file tra siti usa il protocollo Server Message Block (SMB) tramite la porta TCP/IP 445. È possibile specificare configurazioni che includano la limitazione della larghezza di banda e la modalità a impulsi per controllare la quantità di dati trasferiti attraverso la rete, oltre a pianificazioni per controllare quando inviare i dati attraverso la rete.

A partire da Configuration Manager SP1, gli indirizzi vengono rinominati in route di replica file per garantire coerenza con la replica di database. Nelle versioni precedenti a SP1, Configuration Manager usava un indirizzo per connettersi alla condivisione SMS_SITE nel server del sito di destinazione per il trasferimento di dati basati su file. Le route di replica file e gli indirizzi funzionano nello stesso modo e supportano le stesse configurazioni.

Le sezioni seguenti sono pensate per le modifiche introdotte con Service Pack 1 e fanno riferimento alle route di replica file anziché agli indirizzi. Se si usa Configuration Manager senza un Service Pack, usare le informazioni riportate nella tabella seguente per convertire nuovamente i riferimenti alle route di replica file nei corrispettivi riferimenti agli indirizzi.

La replica di database di Configuration Manager usa SQL Server per trasferire i dati e unire le modifiche apportate in un database del sito alle informazioni memorizzate nel database di altri siti della gerarchia. In questo modo, tutti i siti condividono le stesse informazioni. La replica di database viene configurata automaticamente da tutti i siti di Configuration Manager. Quando si installa un sito in una gerarchia, la replica di database viene configurata automaticamente tra il nuovo sito e il sito padre designato. Al termine dell'installazione del sito, la replica di database viene avviata automaticamente.

Quando si installa un nuovo sito in una gerarchia, Configuration Manager crea un database generico nel nuovo sito. Successivamente, il sito padre crea uno snapshot dei dati rilevanti nel relativo database e trasferisce tale snapshot nel nuovo sito tramite replica basata su file. Il nuovo sito usa quindi un programma di copia bulk SQL Server (BCP) per caricare le informazioni nella copia locale del database di Configuration Manager. Dopo il caricamento dello snapshot, ogni sito esegue la replica di database con l'altro sito.

Per replicare i dati tra siti, Configuration Manager usa il proprio servizio di replica database. Il servizio di replica database usa il rilevamento delle modifiche SQL Server per monitorare eventuali cambiamenti del database del sito locale, quindi replica tali variazioni su altri siti usando SQL Server Service Broker. Per impostazione predefinita, questo processo usa la porta TCP/IP 4022.

Configuration Manager riunisce i dati replicati tramite replica di database in differenti gruppi di replica. Ciascun gruppo di replica dispone di una pianificazione di replica fissa, separata, che determina la frequenza di replica delle modifiche apportate ai dati del gruppo su altri siti. Ad esempio, una modifica alla configurazione dell'amministrazione basata su ruoli viene rapidamente replicata su altri siti per garantire che tali cambiamenti vengano applicati il prima possibile. Al contempo, una modifica alla configurazione di minore rilevanza, come una richiesta di installazione di un sito secondario, viene replicata con meno urgenza e sono necessari diversi minuti affinché la richiesta del nuovo sito raggiunga il sito primario di destinazione.

Configuration Manager classifica i dati replicati tramite replica di database come dati globali o dati del sito. Quando si verifica la replica di database, le modifiche ai dati globali e ai dati del sito vengono trasferite attraverso il collegamento di replica di database. I dati globali possono essere replicati sul sito padre o sito figlio e il sito viene replicato solo su un sito padre. Un terzo tipo di dati, denominato dati locali, non viene replicato su altri siti. I dati locali includono informazioni non richieste da altri siti:

• Dati globali: i dati globali fanno riferimento a oggetti creati dall'amministratore che vengono replicati in tutti i siti dell'intera gerarchia, sebbene i siti secondari ricevano solo un sottoinsieme di dati globali, come dati proxy globali. Esempi di dati globali includono distribuzioni e aggiornamenti software, definizioni di raccolte e ambiti di protezione amministrazione basata sui ruoli. Gli amministratori possono creare dati globali in siti di amministrazione centrale e siti primari.

• Dati del sito: i dati del sito fanno riferimento a informazioni operative create dai siti primari di Configuration Manager e dai client relativi ai siti primari. I dati del sito vengono replicati nel sito di amministrazione centrale, ma non in altri siti primari. Esempi di dati del sito includono dati dell'inventario hardware, messaggi di stato, avvisi e i risultati delle raccolte basate su query. I dati del sito possono essere visualizzati solo nel sito di amministrazione centrale e nel sito primario da originano. Possono essere modificati solo nel sito primario in cui sono stati creati.

  Tutti i dati del sito vengono replicati sul sito di amministrazione centrale; pertanto, quest'ultimo si occupa dell'amministrazione e del reporting dell'intera gerarchia.

Usare le informazioni riportate nelle sezioni seguenti per pianificare l'utilizzo dei controlli disponibili a partire da Configuration Manager SP1 per la configurazione dei collegamenti di replica di database tra siti e per configurare i controlli su ciascun database del sito. Questi controlli consentono di verificare e monitorare il traffico di rete generato dalla replica di database.

I client avviano le comunicazioni con i ruoli del sistema del sito, servizi di dominio Active Directory e servizi online. Per abilitare queste comunicazioni, i firewall devono consentire il traffico di rete tra i client e gli endpoint delle comunicazioni. Gli endpoint includono:

• Punti di gestione da cui i client scaricano i criteri client.

• Punti di distribuzione da cui i client scaricano il contenuto.

• Punti di aggiornamento software

• I seguenti ruoli del sistema del sito aggiuntivi, ciascuno per attività specifiche delle funzionalità:

  • Punto per siti Web del Catalogo applicazioni

  • Modulo criteri di Configuration Manager (NDES)

  • Punto di stato di fallback

  • Punto di migrazione stato

  • Punto di Convalida integrità sistema

• Vari servizi di dominio, ad esempio Servizi di dominio Active Directory e DNS (per la posizione del servizio).

• Microsoft Update, per mantenere la protezione antimalware.

• Risorse basate sul cloud, come Microsoft Update oppure Microsoft Azure e Microsoft Intune quando questi servizi cloud vengono usati con Configuration Manager.

Per informazioni dettagliate sulle porte e i protocolli usati dai client durante la comunicazione con questi endpoint, vedere Guida tecnica per le porte usate in Configuration Manager.

Per poter comunicare con un ruolo del sistema del sito, il client usa la posizione del servizio per individuare un ruolo del sistema del sito che supporta il protocollo del client (HTTP o HTTPS). Per impostazione predefinita, i client usano il metodo più sicuro a loro disposizione:

• Per usare HTTPS, è necessario disporre di un'infrastruttura a chiave pubblica (PKI) e installare i certificati PKI sui client e sui server. Per informazioni sulle modalità di utilizzo dei certificati, vedere Requisiti dei certificati PKI per Configuration Manager.

• Quando si distribuisce un ruolo del sistema del sito che usa Internet Information Services (IIS) e supporta le comunicazioni dai client, è necessario specificare se i client si connettono al sistema del sito tramite HTTP o HTTPS. Se si usa HTTP, è necessario considerare anche le opzioni di firma e crittografia. Per altre informazioni, vedere Pianificazione di firma e crittografia.

I seguenti ruoli e servizi del sistema del sito supportano le comunicazioni HTTPS dai client:

• Punto per siti Web del Catalogo applicazioni

• Modulo criteri di Configuration Manager

• Punto di distribuzione (HTTPS è richiesto dai punti di distribuzione basati sul cloud)

• Punto di gestione

• Punto di aggiornamento software

• Punto di migrazione stato

Oltre alle informazioni precedenti, durante la pianificazione per i client in posizioni non attendibili vedere Considerazioni per le comunicazioni client da Internet o da una foresta non trusted

I client determinano il punto di gestione predefinito del relativo sito assegnato quando vengono installati e assegnati a un sito. Quando un client trova il punto di gestione predefinito del proprio sito, il punto di gestione diventa il punto di gestione assegnato dei client. Questa assegnazione è determinata dal client.

• A partire dall'aggiornamento cumulativo 3 per System Center 2012 R2 Configuration Manager, è possibile usare affinità del punto di gestione per configurare un client per l'uso di uno o più punti di gestione specifici.

• A partire da System Center 2012 Configuration Manager SP2, è possibile usare i punti di gestione preferiti. Un punto di gestione preferito è associato a un gruppo di limiti come server del sistema del sito, analogamente a come i punti di distribuzione o i punti di migrazione stato sono associati a un gruppo di limiti. Se si abilitano i punti di gestione preferiti per la gerarchia, quando un client usa un punto di gestione dal sito assegnato, verrà effettuato un tentativo di usare un punto di gestione preferito prima di altri punti di gestione dal sito assegnato.

Quando un client dispone di un punto di gestione assegnato, esegue periodicamente una richiesta di posizione del servizio per il punto di gestione predefinito del proprio sito, per controllare eventuali variazioni.

Ogni volta che un client deve identificare un punto di gestione da usare, controlla un elenco di punti di gestione noti archiviato in locale in WMI. Il client crea un elenco di punti di gestione iniziale al momento dell'installazione, quindi aggiorna periodicamente l'elenco con informazioni dettagliate su ogni punto di gestione nella gerarchia.

Quando non riesce a trovare un punto di gestione valido nel proprio elenco di punti di gestione, il client esegue una ricerca nelle seguenti origini di posizioni del servizio, in ordine, finché non trova un punto di gestione da usare:

1. Punto di gestione

2. Servizi di dominio Active Directory

3. DNS

4. WINS

Dopo avere individuato e contattato un punto di gestione, il client scarica l'elenco corrente dei punti di gestione disponibili nella gerarchia e aggiorna il proprio elenco locale. Questo vale per i client appartenenti o non appartenenti a un dominio.

Ad esempio, quando un client di Configuration Manager che si trova su Internet si connette a un punto di gestione basato su Internet, il punto di gestione invia a tale client un elenco di punti di gestione basati su Internet disponibili nel sito. Analogamente, anche i client appartenenti a un dominio o in gruppi di lavoro ricevono l'elenco dei punti di gestione che possono usare.

• A un client non configurato per Internet non vengono forniti punti di gestione solo per Internet.

• I client di gruppi di lavoro configurati per Internet comunicano solo con punti di gestione per Internet.

Di seguito sono riportate informazioni su ogni origine di posizione del servizio:

Configuration Manager supporta due tecnologie LAN (Local Area Network) di riattivazione per riattivare computer in modalità sospensione quando si desidera installare software richiesto, come aggiornamenti software e applicazioni: i pacchetti di riattivazione tradizionali e i comandi di accensione AMT.

A partire da Configuration Manager SP1, è possibile integrare il metodo tradizionale di riattivazione pacchetti usando le impostazioni client proxy di riattivazione. Il proxy di riattivazione usa un protocollo peer-to-peer e computer selezionati per controllare se nella subnet sono attivi altri computer e per riattivarli se necessario. Quando il sito è configurato per la riattivazione LAN e i client sono configurati per il proxy di riattivazione, il processo funziona nel modo seguente:

1. I computer che hanno installato il client di Configuration Manager SP1 e che non sono in stato di sospensione nella subnet controllano se nella subnet sono attivi altri computer. A tal fine si inviano tra di loro un comando ping TCP/IP ogni 5 secondi.

2. Se non esiste alcuna risposta da altri computer, questi verranno considerati in stato di sospensione. I computer attivi diventano computer di gestione per la subnet.

   Poiché è possibile che un computer possa non rispondere per un motivo che non sia collegato alla sospensione (ad esempio, è spento, rimosso dalla rete o non è più applicata l'impostazione client di riattivazione proxy), ai computer viene inviato un pacchetto di riattivazione ogni giorno alle 14:00 ora locale. I computer che non rispondono non verranno più considerati in stato di sospensione e non verranno riattivati da proxy di riattivazione.

   Per il supporto dei proxy di riattivazione, devono essere attivi almeno tre computer per ogni subnet. Per ottenere questo risultato, tre computer vengono scelti in modo non deterministico come computer tutori della subnet. Ciò significa che rimangono attivi, nonostante siano presenti criteri di risparmio energia configurati in modalità di sospensione o di ibernazione dopo un periodo di inattività. I computer tutori rispettano i comandi di arresto o di riavvio, ad esempio, in seguito ad attività di manutenzione. Se ciò accade, i computer tutori rimanenti riattivano un altro computer nella subnet in modo che la subnet stessa continui ad avere tre computer tutori.

3. I computer di gestione chiedono al commutatore di rete di reindirizzare il traffico di rete dei computer in sospensione verso sé stessi.

   Il reindirizzamento avviene mediante la trasmissione dal parte del computer di gestione di un frame Ethernet che usa l'indirizzo MAC del computer in sospensione come indirizzo di origine. In questo modo il commutatore di rete si comporta come se il computer in sospensione sia stato spostato sulla stessa porta su cui si trova il computer di gestione. Il computer di gestione invia anche pacchetti ARP per i computer in sospensione per mantenere la voce nella cache ARP. Il computer di gestione risponderà anche alle richieste ARP per conto del computer in sospensione e con l'indirizzo MAC del computer in sospensione.

   Avviso

   Durante questo processo, il mapping da indirizzo IP a indirizzo MAC per il computer in sospensione rimane lo stesso. Il proxy di riattivazione informa il commutatore di rete che una scheda di rete differente sta usando la porta registrata da un altra scheda di rete. Tuttavia, questo comportamento è noto come flap MAC ed è insolito per operazioni di rete standard. Alcuni strumenti di monitoraggio della rete cercano questo comportamento e possono presumere che qualcosa non vada. Di conseguenza, questi strumenti di monitoraggio sono in grado di generare avvisi o chiudere le porte quando si usa il proxy di riattivazione. Non usare il proxy di riattivazione se gli strumenti e i servizi di monitoraggio di rete e servizi non consentono i flap MAC.

4. Quando un computer di gestione visualizza una nuova richiesta di connessione TCP per un computer in sospensione e la richiesta è su una porta su cui tale computer era in ascolto prima di andare in sospensione, il computer di gestione invia un pacchetto di riattivazione, quindi smette di reindirizzare il traffico per questo computer.

5. Il computer in sospensione riceve il pacchetto di riattivazione e viene riattivato. Il computer di invio ritenta automaticamente la connessione e questa volta, il computer viene riattivato ed è in grado di rispondere.

Il proxy di riattivazione presenta i prerequisiti e le limitazioni seguenti:

Importante

Se un team separato è responsabile dell'infrastruttura di rete e dei servizi di rete, inviare una notifica e includere tale team nel periodo di valutazione e verifica. Ad esempio, in una rete che usa il controllo accesso alla rete mediante 802.1 X, il proxy di attivazione non funziona e può causare l'interruzione del servizio di rete. Il proxy di riattivazione potrebbe inoltre causare la generazione di avvisi da parte di alcuni strumenti di monitoraggio della rete quando viene rilevato il traffico per la riattivazione di altri computer.

• I client supportati sono Windows 7, Windows 8, Windows Server 2008 R2, Windows Server 2012.

• Non sono supportati i sistemi operativi guest in esecuzione su una macchina virtuale.

• I client devono eseguire Configuration Manager SP1 ed essere abilitati per il proxy di riattivazione usando le impostazioni client. Nonostante il funzionamento del proxy di riattivazione non dipenda dall'inventario hardware, i client non riportano l'installazione del servizio del proxy di riattivazione a meno che non siano abilitati per l'inventario hardware e non ne abbiano inviato almeno uno.

• Le schede di rete (ed eventualmente il BIOS) devono essere abilitate e configurate per i pacchetti di riattivazione. Se la scheda di rete non è configurata per i pacchetti di riattivazione oppure questa impostazione è disabilitata, Configuration Manager la configurerà e abiliterà automaticamente per un computer quando riceve l'impostazione client per abilitare i proxy di riattivazione.

• Se un computer dispone di più di una scheda di rete, non è possibile configurare la scheda da usare per il proxy di riattivazione; la scelta è non deterministica. Tuttavia, la scheda selezionata viene registrata nel file SleepAgent_<DOMAIN>@SYSTEM_0.log.

• La rete deve consentire le richieste echo ICMP (almeno all'interno della subnet). Non è possibile configurare l'intervallo di 5 secondi usato per inviare i comandi ping ICMP.

• La comunicazione non è crittografata né autenticate e IPsec non è supportato.

• Non sono supportate le seguenti configurazioni di rete:

  • 802.1X con autenticazione della porta

  • Reti wireless

  • Commutatori di rete che associano indirizzi MAC a porte specifiche

  • Reti solo IPv6

  • Durata dei lease DHCP inferiore a 24 ore

Come procedura di protezione ottimale, usare l'accensione AMT sui comandi anziché pacchetti di riattivazione quando possibile. Poiché l'accensione AMT sui comandi usa certificati PKI per proteggere la comunicazione, questa tecnologia è più sicura dell'invio di pacchetti di riattivazione. Tuttavia, per usare l'accensione AMT sui comandi, i computer devono essere computer Intel basati su AMT su cui viene effettuato il provisioning per AMT. Per altre informazioni su come Configuration Manager può gestire computer basati su AMT, vedere Introduzione alla gestione fuori banda in Configuration Manager.

Se si desidera riattivare i computer per un'installazione software pianificata, è necessario configurare ciascun sito primario con una delle tre opzioni:

• Usare l'accensione AMT sui comandi se il computer supporta tale tecnologia; in caso contrario usare pacchetti di riattivazione

• Usare l'accensione AMT solo sui comandi.

• Usare solo pacchetti di riattivazione.

Per usare i pacchetti di riattivazione con Configuration Manager SP1, occorre distribuire le impostazioni client del proxy di riattivazione di Risparmio energia oltre a selezionare l'opzione Usa solo pacchetti di riattivazione.

Per altre informazioni sulle differenze tra le due tecnologie di riattivazione LAN, i pacchetti di riattivazione tradizionali e i comandi di accensione, usare la tabella seguente.

Scegliere come riattivare computer basati sulla possibilità di supporto dell'accensione AMT sui comandi o sul supporto della tecnologia di riattivazione LAN da parte dei computer assegnati al sito. Considerare inoltre i vantaggi e gli svantaggi di entrambe le tecnologie elencate nella tabella precedente. Ad esempio, i pacchetti di riattivazione sono meno affidabili e non sono protetti, ma l'accensione sui comandi impiega più tempo per stabilirsi e richiede una maggiore elaborazione sul server del sistema del sito configurato con il punto di servizio fuori banda.

Importante

A causa del carico aggiuntivo per lo stabilimento, il mantenimento e la conclusione di una sessione di gestione fuori banda nei computer basati su AMT, condurre dei test personali in modo da poter giudicare accuratamente quanto tempo ci vuole per riattivare più computer usando l'accensione AMT sui comandi nel relativo ambiente (ad esempio, su link WAN lenti in computer presenti in siti secondari). Tale consapevolezza consente di stabilire se la riattivazione di più computer per attività pianificate usando l'accensione AMT sui comandi è pratica quando si devono riattivare più computer in poco tempo.

Se si decide di usare i pacchetti di riattivazione tradizionali, è necessario anche decidere se usare pacchetti di broadcast con riferimento a subnet oppure pacchetti unicast, nonché quale numero di porta UDP usare. Per impostazione predefinita, i pacchetti di riattivazione tradizionali vengono trasmessi usando la porta UDP 9 ma, per una maggior sicurezza, è possibile selezionare una porta alternativa per il sito se supportata dai router e firewall coinvolti.

Non tutte le funzionalità di gestione client sono adatte a Internet e, pertanto, non sono supportate quando i client vengono gestiti su Internet. Le funzionalità non supportate per la gestione su Internet in genere si basano su Servizi di dominio Active Directory o non sono adatte a una rete pubblica, come individuazione rete e riattivazione LAN (WOL).

Le caratteristiche seguenti non sono supportate quando i client sono gestiti su Internet:

• Distribuzione di client su Internet, ad esempio la distribuzione client basata su aggiornamento software e push client. Usare invece l'installazione client manuale.

• Assegnazione automatica del sito.

• Protezione accesso alla rete (NAP).

• Riattivazione LAN.

• Distribuzione del sistema operativo. Tuttavia, è possibile distribuire le sequenze attività che non distribuiscono un sistema operativo, come ad esempio sequenze che eseguono script e attività di manutenzione sui client

• Controllo remoto.

• Gestione fuori banda.

• Distribuzione software agli utenti a meno che il punto di gestione basato su Internet sia in grado di autenticare l'utente in Servizi di dominio Active Directory tramite l'autenticazione di Windows (Kerberos o NTLM). Questo è possibile quando il punto di gestione basato su Internet considera attendibile la foresta in cui risiede l'account utente.

La gestione client basata su Internet, inoltre, non supporta il roaming. Il roaming consente ai client di individuare sempre i punti di distribuzione più vicini per scaricare il contenuto. I client gestiti su Internet comunicano con i sistemi del sito dal relativo sito assegnato quando tali sistemi sono configurati per l'utilizzo di un FQDN Internet e i ruoli del sistema del sito consentono connessioni client da Internet. I client selezionano in modo non deterministico uno dei sistemi del sito basati su Internet, indipendentemente dalla posizione fisica o dalla larghezza di banda.

I seguenti ruoli del sistema del sito installati nei siti primari supportano connessioni da client che si trovano in percorsi non attendibili, come Internet o una foresta non trusted (i siti secondari non supportano le connessioni client da percorsi non attendibili):

• Punto per siti Web del Catalogo applicazioni

• Modulo criteri di Configuration Manager

• Punto di distribuzione (HTTPS è richiesto dai punti di distribuzione basati sul cloud)

• Punto proxy di registrazione

• Punto di stato di fallback

• Punto di gestione

• Punto di aggiornamento software

Informazioni sui sistemi del sito con connessione Internet: 
sebbene non sia richiesto un trust tra la foresta di un client e quella di un server del sistema del sito, quando la foresta che contiene i sistemi del sito con connessione Internet considera attendibile la foresta che contiene gli account utente, questa configurazione supporta criteri basati sull'utente per i dispositivi su Internet quando si abilita l'impostazione client Abilitare le richieste dei criteri utente dai client Internet di Criteri client.

Ad esempio, le configurazioni seguenti illustrano quando la gestione client basata su Internet supporta criteri utente per i dispositivi su Internet:

• Il punto di gestione basato su Internet si trova nella rete perimetrale in cui risiede un controller di dominio di sola lettura per autenticare l'utente e un firewall consente pacchetti di Active Directory.

• L'account utente si trova nella Foresta A (intranet) e il punto di gestione basato su Internet si trova nella Foresta B (la rete perimetrale). La Foresta B considera attendibile la Foresta A e un firewall consente i pacchetti di autenticazione.

• L'account utente e il punto di gestione basato su Internet si trovano nella Foresta A (intranet). Il punto di gestione viene pubblicato su Internet usando un server Web proxy, ad esempio Forefront Threat Management Gateway.

Come mostrato nell'esempio precedente, è possibile posizionare i sistemi del sito basati su Internet nella intranet quando vengono pubblicati su Internet usando un server Web proxy, come ISA Server e Forefront Threat Management Gateway. Questi sistemi del sito possono essere configurati per connessioni client solo da Internet o per connessioni client da Internet e intranet. Quando si usa un server Web proxy, è possibile configurarlo per il bridging Secure Sockets Layer (SSL) a SSL (più sicuro) o tunneling SSL:

• Bridging SSL a SSL: 
  la configurazione consigliata quando si usano server Web proxy per la gestione client basata su Internet è il bridging SSL a SSL, che usa la terminazione SSL con l'autenticazione. I computer client devono essere autenticati usando l'autenticazione computer e i client legacy di dispositivi mobili vengono autenticati usando l'autenticazione utente. I dispositivi mobili che vengono registrati da Configuration Manager non supportano il bridging SSL.

  Il vantaggio della terminazione SSL sul server Web proxy è che i pacchetti provenienti da Internet sono soggetti alla verifica prima di essere inoltrati alla rete interna. Il server Web proxy autentica la connessione dal client, la termina, quindi apre una nuova connessione autenticata ai sistemi del sito basati su Internet. Quando i client di Configuration Manager usano un server Web proxy, l'identità client (GUID client) viene contenuta in modo protetto all'interno del payload dei pacchetti in modo che il punto di gestione non consideri il server Web proxy come il client. Il bridging non è supportato in Configuration Manager da HTTP a HTTPS o da HTTPS a HTTP.

• Tunneling:
  se il server Web proxy non è in grado di supportare i requisiti per il bridging SSL o se si vuole configurare il supporto Internet per i dispositivi mobili registrati da Configuration Manager, è supportato anche il tunneling SSL. Si tratta di un'opzione meno sicura perché i pacchetti SSL provenienti da Internet vengono inoltrati ai sistemi del sito senza terminazione SSL e, pertanto, non possono essere verificati per l'eventuale presenza di contenuto dannoso. Quando si usa il tunneling SSL, non sono previsti requisiti di certificato per il server Web proxy.

È necessario decidere se i computer client che saranno gestiti su Internet debbano essere configurati per la gestione sulla intranet e su Internet o solo per la gestione client basata su Internet. L'opzione di gestione client può essere configurata solo durante l'installazione di un computer client. Se si cambia idea, sarà necessario reinstallare il client.

Suggerimento
Non si dovrà limitare la configurazione esclusivamente alla gestione client basata su Internet in modo da poterla usare anche sulla intranet.

I client configurati solo per la gestione basata su Internet comunicano esclusivamente con i sistemi del sito configurati per le connessioni client da Internet. Questa configurazione sarebbe ideale per i computer che non vengono mai connessi alla intranet aziendale, ad esempio computer POS in sedi remote. Potrebbe inoltre essere appropriata se si desidera limitare la comunicazione client solo a HTTPS (ad esempio per supportare firewall e criteri di protezione limitati), si installano sistemi del sito basati su Internet in una rete perimetrale e si desidera gestire tali server usando il client di Configuration Manager.

Quando si desidera gestire client di un gruppo di lavoro su Internet, è necessario installarli con una configurazione limitata a Internet.

È possibile configurare altri computer client per la gestione client Internet e intranet. Possono passare automaticamente dalla gestione client basata su Internet a quella basata sulla intranet e viceversa quando rilevano una modifica della rete. Se questi client sono in grado di rilevare e di connettersi a un punto di gestione configurato per le connessioni client sulla intranet, vengono gestiti come client intranet con piene funzionalità di gestione Configuration Manager. Se i client non sono in grado di rilevare o di connettersi a un punto di gestione configurato per le connessioni client sulla intranet, cercano di connettersi a un punto di gestione basato su Internet e, se vi riescono, vengono gestiti come sistemi del sito basati su Internet nel rispettivo sito assegnato.

Il vantaggio di un passaggio automatico tra la gestione client basata su Internet e una gestione client basata sulla intranet è che i computer client possono usare automaticamente tutte le funzioni di Configuration Manager ogni volta che si connettono alla intranet e continuano a essere gestiti per le funzioni di gestione essenziali quando sono connessi a Internet. Inoltre, un download iniziato su Internet può riprendere senza problemi sulla intranet e viceversa.

La gestione client basata su Internet in Configuration Manager presenta le seguenti dipendenze esterne:

Configuration Manager trasferisce i dati tra siti usando la replica di database e la replica basata su file. Prima di Configuration Manager con SP1 era possibile configurare la replica basata su file per controllare l'utilizzo della larghezza di banda della rete per i trasferimenti, ma non era possibile configurare l'utilizzo della larghezza di banda della rete per la replica di database. A partire da Configuration Manager SP1, è possibile configurare l'utilizzo della larghezza di banda della rete per la replica database per dati del sito selezionati.

Quando si configurano i controlli della larghezza di banda di rete, è necessario essere consapevoli del potenziale di latenza dei dati. Se le comunicazioni tra siti vengono limitate o viene configurato solo il trasferimento dati dopo l'orario di lavoro regolare, gli amministratori del sito padre o del sito figlio potrebbero non essere in grado di visualizzare alcuni dati fino alla comunicazione tra siti. Ad esempio, se un importante pacchetto di aggiornamento software viene inviato ai punti di distribuzione ubicati nei siti figlio, tale pacchetto potrebbe non essere disponibile per quei siti fino al completamento della comunicazione tra siti in sospeso. Una comunicazione in sospeso può includere la consegna di un pacchetto di dimensioni molto grandi il cui trasferimento non è stato ancora completato.

• Controlli per la replica basata su file: durante i trasferimenti di dati basati su file, Configuration Manager usa tutta la larghezza di banda di rete disponibile per inviare dati tra i siti. È possibile controllare questo processo configurando il mittente di un sito per l'aumento o la diminuzione di thread di invio tra siti. Un thread di invio viene usato per trasferire un file alla volta. Ogni thread aggiuntivo consente il trasferimento simultaneo di altri file, con conseguente maggiore utilizzo della larghezza di banda. Per configurare il numero di thread da usare per i trasferimenti tra siti, impostare Numero massimo di invii simultanei nella scheda Mittente delle proprietà del sito.

  Per controllare i trasferimenti di dati basati su file tra siti, è possibile programmare la tempistica di utilizzo di una route di replica file per un sito specifico da parte di Configuration Manager. È possibile controllare la quantità di larghezza di banda della rete da usare, la dimensione dei blocchi di dati e la relativa frequenza di invio. Configurazioni aggiuntive possono limitare i trasferimenti di dati in base alla priorità del tipo di dati. Per ciascun sito nella gerarchia, è possibile impostare le pianificazioni e i limiti di velocità da usare durante il trasferimento dei dati configurando le proprietà della route di replica file per ciascun sito di destinazione. Le configurazioni per una route di replica file sono valide solo per i trasferimenti di dati a un sito di destinazione specificato per tale route.

  Per altre informazioni sulle route di replica file, vedere la sottosezione Route di replica file nella sezione Pianificazione delle comunicazioni tra siti in Configuration Manager in questo argomento.

  Importante

  Quando si configurano i limiti di velocità per restringere l'utilizzo della larghezza di banda su una route di replica file specifica, Configuration Manager è in grado di usare solo un singolo thread per trasferire i dati a tale sito di destinazione. L'utilizzo dei limiti di velocità per una route di replica file sostituisce l'uso di più thread per sito configurati nell'opzione Numero massimo di invii simultanei per ciascun sito.

• Controlli per la replica del database: a partire da Configuration Manager SP1, è possibile configurare i collegamenti della replica di database per controllare l'utilizzo della larghezza di banda di rete per il trasferimento dei dati del sito selezionati tra siti diversi. Alcuni dei controlli sono simili a quelli per la replica basata su file, con il supporto aggiuntivo per la pianificazione della replica di inventario hardware, di inventario software, del controllo software e dei messaggi di stato sul sito padre attraverso il collegamento.

  Per altre informazioni, vedere la sezione Replica di database in questo argomento.

All'interno di un sito, la comunicazione tra sistemi del sito usa SMB (Server Message Blocks), può verificarsi in ogni momento e non supporta un meccanismo per il controllo della larghezza di banda della rete. Tuttavia, quando si configura il server del sito per l'utilizzo di limiti di velocità e pianificazioni per controllare il trasferimento dei dati sulla rete a un punto di distribuzione, è possibile gestire il trasferimento del contenuto dal server del sito ai punti di distribuzione con controlli simili a quelli per i trasferimenti tra siti basati su file.

I client comunicano regolarmente con server di sistema del sito diversi. Ad esempio, comunicano con un server del sistema del sito che esegue un punto di gestione quando devono cercare un criterio client e comunicano con un server del sistema del sito che esegue un punto di distribuzione quando devono scaricare del contenuto per installare un'applicazione o un aggiornamento software. La frequenza di queste connessioni e la quantità di dati trasferiti sulla rete a o da un client dipendono dalla pianificazioni e dalle configurazioni specificate come impostazioni client.

In genere, le richieste di criteri client usano una larghezza di banda ridotta. La larghezza di banda può essere elevata quando i client accedono al contenuto per le distribuzioni o inviano informazioni come dati di inventario hardware al sito.

È possibile specificare le impostazioni dei client che controllano la frequenza delle comunicazioni di rete avviate da client. Inoltre, è possibile configurare la modalità di accesso dei client al contenuto di distribuzione, ad esempio usando il Servizio trasferimento intelligente in background (BITS). Per usare il servizio BITS per scaricare il contenuto, il client deve essere configurato per l'utilizzo di BITS. Se il client non può usare il servizio BITS, utilizzerà il servizio SMB per trasferire il contenuto.

Per informazioni sulle impostazioni client di Configuration Manager, vedere Pianificazione delle impostazioni client in Configuration Manager.