Planear a comunicações no Configuration Manager

O Gestor de configuração utiliza a replicação baseada em ficheiros para transferir dados baseados em ficheiros entre sites na hierarquia. Estes dados incluem conteúdo como aplicações e pacotes que pretenda implementar em pontos de distribuição de sites subordinados, bem como registos de dados de deteção não processados que são transferidos para sites principais onde são processados.

A comunicação baseada em ficheiros entre sites utiliza o protocolo SMB (Server Message Block) com a porta TCP/IP 445. Pode especificar configurações que incluam limitação de largura de banda e modo de impulso para controlar a quantidade de dados transferidos pela rede e agendamentos para controlar quando enviar dados pela rede.

A partir do Gestor de configuração SP1, os nomes dos endereços são alterados para rotas de replicação de ficheiros para assegurar a consistência com a replicação de base de dados. Nas versões anteriores ao SP1, o Gestor de configuração utiliza um endereço para ligar à partilha do SMS_SITE no servidor do site de destino para transferir dados baseados em ficheiros. Os endereços e as rotas de replicação de ficheiros operam da mesma forma e suportam as mesmas configurações.

As secções seguintes são escritas para alterações introduzidas com o service pack 1 e fazem referência a rotas de replicação de ficheiros em vez de endereços. Se utiliza o Gestor de configuração sem um service pack, utilize as informações da tabela seguinte para converter as referências a rotas de replicação de ficheiros para as referências a endereços relacionadas.

A replicação de base de dados do Gestor de configuração utiliza o SQL Server para transferir dados e intercalar as alterações efetuadas numa base de dados do site com as informações armazenadas na base de dados de outros sites da hierarquia. Permite que todos os sites partilhem as mesmas informações. A replicação de base de dados é automaticamente configurada por todos os sites do Gestor de configuração. Quando instala um site numa hierarquia, a replicação de base de dados é configurada automaticamente entre o novo local e o respetivo site principal designado. Quando é concluída a instalação do site, a replicação de base de dados é iniciada automaticamente.

Quando instala um novo site numa hierarquia, o Gestor de configuração cria uma base de dados genérica no novo site. Em seguida, o site principal cria um instantâneo dos dados relevantes na respetiva base de dados e transfere esse instantâneo para o novo site através da replicação baseada em ficheiros. O novo site utiliza um programa de cópia em massa (BCP) do SQL Server para carregar as informações na respetiva cópia local da base de dados do Gestor de configuração. Após o carregamento do instantâneo, cada site efetua a replicação de base de dados com outro site.

Para replicar dados entre sites, o Gestor de configuração utiliza o seu próprio serviço de replicação de base de dados. O serviço de replicação de base de dados utiliza o registo de alterações do SQL Server para monitorizar a base de dados do site local e, em seguida, replica essas alterações para outros sites utilizando um SQL Server Service Broker. Por predefinição, este processo utiliza a porta TCP/IP 4022.

O Gestor de configuração agrupa dados que são replicados através da replicação de base de dados em grupos de replicação diferentes. Cada grupo de replicação tem uma agenda de replicação separada e fixa que determina a frequência com que as alterações dos dados no grupo são replicadas para outros sites. Por exemplo, uma alteração de configuração para uma configuração de administração baseada em funções replica rapidamente para outros sites para assegurar que estas alterações são impostas assim que possível. Por outro lado, uma alteração de configuração menos prioritária como, por exemplo, um pedido de instalação de um novo site secundário, replica com menos urgência e o pedido de novo site demora vários minutos a chegar ao site primário de destino.

O Gestor de configuração classifica os dados que replica através da replicação de base de dados como dados globais ou dados de site. Quando ocorre a replicação da base de dados, as alterações aos dados globais e aos dados de site são transferidas através da ligação da replicação de base de dados. É possível replicar dados globais para um site principal ou subordinado, os dados de site são replicados apenas para um site principal. Um terceiro tipo de dados designado dados locais não é replicado para outros sites. Os dados locais incluem informações que não são necessárias para outros sites:

• Dados Globais: Os dados globais referem-se a objetos criados por um administrador que são replicados para todos os sites na hierarquia, apesar de os sites secundários receberem apenas um subconjunto de dados globais, como dados de proxy global. Exemplos de dados globais incluem implementações de software, atualizações de software, definições de coleção e âmbitos de segurança de administração baseados em funções. Os administradores podem criar dados globais em sites de administração central e sites primários.

• Dados do Site: Os dados do site referem-se a informações operacionais criadas pelos sites primários do Gestor de configuração e pelos clientes que dependem dos sites primários. Os dados do site replicam para o site de administração central, mas não para outros sites primários. São exemplos de dados do site os dados de inventário de hardware, as mensagens de estado, os alertas e os resultados de coleções baseadas em consulta. Os dados do site só são visualizáveis no site de administração central e no site primário onde os dados têm origem. Os dados do site apenas podem ser modificados no site primário onde foram criados.

  Todos os dados do site são replicados para o site de administração central; assim, o site de administração central pode efetuar a administração e comunicação por toda a hierarquia.

Utilize as informações nas seguintes secções para planear a utilização de controlos disponíveis a partir do Gestor de configuração SP1 para configurar ligações de replicação de base de dados entre sites e para configurar controlos em cada base de dados do site. Estes controlos podem ajudar a controlar e monitorizar o tráfego de rede que a replicação de base de dados cria.

Os clientes iniciam a comunicação com as funções do sistema de sites, os Serviços de Domínio do Active Directory e os serviços online. Para ativar estas comunicações, as firewalls têm de permitir o tráfego de rede entre os clientes e o ponto final das suas comunicações. Os pontos finais incluem:

• Pontos de gestão a partir dos quais os clientes transferem a política do cliente.

• Pontos de distribuição a partir dos quais os clientes transferem conteúdo.

• Pontos de atualização de software

• As seguintes funções do sistema de sites adicionais, cada uma destinada a tarefas específicas de funcionalidades:

  • Ponto de Web site do Catálogo de Aplicações

  • Módulo de Política do Configuration Manager (NDES)

  • Ponto de estado de contingência

  • Ponto de Migração de Estado

  • Ponto de Validação do Estado de Funcionamento do Sistema

• Vários serviços de domínio, como os Serviços de Domínio do Active Directory e DNS (para localização do serviço).

• Microsoft Update, para manter a proteção antimalware.

• Recursos baseados na nuvem, como o Microsoft Update ou o Microsoft Azure e o Microsoft Intune quando utiliza estes serviços baseados na nuvem com o Gestor de configuração.

Para obter detalhes sobre as portas e os protocolos utilizados pelos clientes quando comunicam com estes pontos finais, consulte Referência Técnica para Portas Utilizadas no Configuration Manager.

Para que um cliente possa comunicar com uma função do sistema de sites, o cliente utiliza a localização do serviço para encontrar uma função do sistema de sites que suporte o protocolo (HTTPS ou HTTP) do cliente. Por predefinição, os clientes utilizam o método mais seguro disponível:

• Para utilizar HTTPS, tem de ter uma infraestrutura de chaves públicas (PKI) e instalar certificados PKI nos clientes e servidores. Para informações sobre como utilizar certificados, consulte Requisitos de Certificado PKI para o Configuration Manager.

• Ao implementar uma função do sistema de sites que utiliza Serviços de Informação Internet (IIS) e suporta comunicações de clientes, tem de especificar se os clientes ligam ao sistema de sites através de HTTP ou HTTPS. Se utilizar HTTP, também tem de considerar as opções de assinatura e encriptação. Para mais informações, consulte Planear a Assinatura e Encriptação.

As seguintes funções do sistema de sites e serviços suportam comunicações HTTPS de clientes:

• Ponto de Web site do Catálogo de Aplicações

• Módulo de Política do Configuration Manager

• Ponto de distribuição (os pontos de distribuição baseados na nuvem precisam de HTTPS)

• Ponto de gestão

• Ponto de atualização de Software

• Ponto de Migração de Estado

Além das informações anteriores, ao planear clientes em localizações não fidedignas, consulte as Considerações sobre comunicações do cliente a partir da Internet ou de uma floresta não fidedigna

Os clientes determinam o seu ponto de gestão predefinido do site atribuído quando são instalados pela primeira vez e atribuídos a um site. Depois de um cliente encontrar o seu ponto de gestão predefinido do site, esse ponto de gestão passa a ser o ponto de gestão atribuído do cliente. Esta atribuição é determinada pelo cliente.

• A partir da atualização cumulativa 3 para o System Center 2012 R2 Configuration Manager, pode utilizar a afinidade de ponto de gestão para configurar um cliente para utilizar um ou mais pontos de gestão específicos.

• Começar com o System Center 2012 Configuration Manager SP2, pode utilizar pontos de gestão preferenciais. Um ponto de gestão preferencial é um ponto de gestão que está associado a um grupo de limites como servidor de sistema de sites, semelhante à forma como os pontos de distribuição ou pontos de migração de estado estão associados a um grupo de limites. Se ativar pontos de gestão preferenciais para a hierarquia, quando um cliente utilizar um ponto de gestão a partir do site atribuído, este tentará utilizar um ponto de gestão preferencial antes de utilizar outros pontos de gestão a partir do site atribuído.

Após um cliente ter um ponto de gestão atribuído, este executa periodicamente um pedido de localização do serviço para o ponto de gestão predefinido do seu site, no caso de ter sofrido alterações.

Sempre que um cliente precisar de identificar um ponto de gestão a utilizar, este verifica uma lista de pontos de gestão conhecidos (conhecida como a lista MP), que armazena localmente no WMI. O cliente cria uma lista MP inicial ao instalar e, em seguida, atualiza periodicamente a lista com detalhes sobre cada ponto de gestão na hierarquia.

Quando o cliente não consegue encontrar um ponto de gestão válido na sua lista MP, este pesquisa as seguintes origens de localização do serviço, por ordem, até que seja encontrado um ponto de gestão que possa utilizar:

1. Ponto de gestão

2. Serviços de Domínio do Active Directory

3. DNS

4. WINS

Após um cliente localizar e contactar um ponto de gestão com êxito, este transfere a lista atual de pontos de gestão disponíveis na hierarquia e atualiza a lista local. O mesmo aplica-se a clientes com um domínio associado e aos que não têm.

Por exemplo, quando um cliente do Gestor de configuração, que se encontra na Internet, se liga a um ponto de gestão baseado na Internet, o ponto de gestão envia uma lista dos pontos de gestão baseados na Internet disponíveis no site para esse cliente. Do mesmo modo, os clientes com um domínio associado ou em grupos de trabalho também recebem uma lista dos pontos de utilização que podem utilizar.

• Um cliente que não esteja configurado para a Internet não recebe os pontos de gestão com acesso apenas à Internet.

• Os clientes de grupo de trabalho configurados para a Internet apenas comunicam com os pontos de gestão com acesso à Internet.

Seguem-se informações sobre cada origem de localização do serviço:

O Gestor de configuração suporta duas tecnologias de reativação por LAN para reativar os computadores em modo de suspensão quando quer instalar software necessário, tal como aplicações e atualizações de software: pacotes de reativação e comandos de ativação AMT.

A partir do Gestor de configuração SP1, poderá complementar o método de pacote de reativação tradicional utilizando as definições de cliente do proxy de reativação. O proxy de reativação utiliza um protocolo ponto a ponto e computadores selecionados para verificar se outros computadores da sub-rede estão ativos, reativando-os se necessário. Quando o site se encontra configurado para Reativação por LAN e os clientes estão configurados para o proxy de reativação, o processo funciona do seguinte modo:

1. Os computadores que tenham o cliente do Gestor de configuração SP1 instalado e que não estejam em modo de suspensão na sub-rede verificam se existem outros computadores na sub-rede que estejam ativos. Para tal, enviam entre si um comando ping de TCP/IP de 5 em 5 segundos.

2. Se não houver resposta de outros computadores, os mesmos serão considerados em modo de suspensão. Os computadores que estiverem ativos tornam-se computadores gestores da sub-rede.

   Dada a possibilidade de um computador não responder por um motivo que não o de estar em modo de suspensão (por exemplo, se estiver desligado, removido da rede ou se a definição de proxy de reativação do cliente já não estiver a ser aplicada), será enviado aos computadores um pacote de reativação todos os dias às 14h00 (hora local). Os computadores que não responderem deixarão de ser considerados como estando no modo de suspensão e não serão reativados através do proxy de reativação.

   Para assegurar o suporte de proxy de reativação, têm de estar ativos em cada sub-rede pelo menos três computadores. Para tal, são escolhidos de forma não determinística três computadores para funcionarem como computadores responsáveis pela sub-rede. Isto significa que os mesmos permanecerão ativos, independentemente de qualquer política de gestão de energia que esteja configurada para entrar em modo de suspensão ou em hibernação após um período de inatividade. Os computadores responsáveis respeitarão os comandos de encerramento ou de reinício, resultantes, por exemplo, de tarefas de manutenção. Se tal acontecer, os restantes computadores responsáveis ativarão outro computador da sub-rede para que a sub-rede continue a dispor de três computadores responsáveis.

3. Os computadores gestores solicitam ao comutador de rede o redirecionamento para si próprios do tráfego de rede destinado aos computadores em modo de suspensão.

   O redirecionamento é assegurado através da difusão pelo computador gestor de um pacote Ethernet que utiliza o endereço MAC do computador em modo de suspensão como endereço de origem. Desta forma, o comutador de rede funcionará como se o computador em modo de suspensão tivesse mudado para a mesma porta à qual o computador gestor se encontra ligado. O computador gestor também envia pacotes ARP para os computadores em modo de suspensão, a fim de manter a entrada da cache ARP atualizada. O computador gestor também responderá aos pedidos ARP destinados ao computador em modo de suspensão enviando o endereço MAC do computador em modo de suspensão.

   Aviso

   Durante este processo, o mapeamento de IP para MAC para o computador em modo de suspensão permanecerá igual. O proxy de reativação informa o comutador de rede de que uma placa de rede diferente está a utilizar a porta que se encontrava registada por outra placa de rede. Contudo, este comportamento é conhecido como uma deflexão de MAC e é considerado excecional em termos de funcionamento padrão de rede. Algumas ferramentas de monitorização de rede procuram este comportamento para concluir que existe alguma anomalia. Por conseguinte, estas ferramentas de monitorização poderão gerar alertas ou encerrar portas quando é utilizado um proxy de reativação. Não utilize um proxy de reativação se as suas ferramentas e serviços de monitorização de rede não permitirem deflexões de MAC.

4. Quando o computador gestor deteta um novo pedido de ligação TCP a um computador em modo de suspensão efetuado através de uma porta que o computador em modo de suspensão estava a escutar quando entrou no modo de suspensão, o computador gestor envia um pacote de reativação ao computador em modo de suspensão e, em seguida, interrompe o redirecionamento de tráfego para esse computador.

5. O computador em modo de suspensão recebe o pacote de reativação e é reativado. O computador remetente repetirá automaticamente a ligação e, desta vez, o computador estará ativo e poderá responder.

O proxy de reativação tem os seguintes pré-requisitos e limitações:

Importante

Se dispuser de uma equipa individual que é responsável pela infraestrutura de rede e pelos serviços de rede, deverá notificar e incluir essa equipa no período de avaliação e testes. Por exemplo, numa rede que utilize o controlo de acessos de rede 802.1X, o proxy de reativação não funcionará e poderá interromper o serviço de rede. Além disso, o proxy de reativação pode fazer com que algumas ferramentas de monitorização de rede gerem alertas ao detetarem o tráfego de reativação de outros computadores.

• Os clientes suportados são o Windows 7, o Windows 8, o Windows Server 2008 R2 e o Windows Server 2012.

• Não são suportados sistemas operativos convidados que sejam executados numa máquina virtual.

• Os clientes têm de executar o Gestor de configuração SP1 e de estar ativados para o proxy de reativação nas respetivas definições de cliente. Embora o funcionamento do proxy de reativação não depender do inventário de hardware, os clientes não comunicarão a instalação do serviço de proxy de reativação a menos que estejam ativados para o inventário de hardware e tenham submetido pelo menos um inventário de hardware.

• As placas de rede (e possivelmente o BIOS) deverão estar ativadas e configuradas para receberem pacotes de reativação. Se uma placa de rede não estiver configurada para receber pacotes de reativação ou se esta definição estiver desativada, o Gestor de configuração configura e ativa-a automaticamente para um computador quando receber a definição de cliente para ativar o proxy de reativação.

• Se um computador tiver mais do que uma placa de rede, não poderá configurar qual a placa a utilizar para o proxy de reativação; a escolha é não determinística. No entanto, a placa selecionada é registada no ficheiro SleepAgent_<DOMÍNIO>@SYSTEM_0.log.

• A rede tem de permitir pedidos de eco ICMP (pelo menos no contexto da sub-rede). Não é possível configurar o intervalo de 5 segundos que é utilizado para enviar os comandos ping de ICMP.

• As comunicações são desencriptadas, não autenticadas e o IPsec não é suportado.

• As seguintes configurações de rede não são suportadas:

  • 802.1X com autenticação de porta

  • Redes sem fios

  • Comutadores de rede que vinculam endereços MAC a portas específicas

  • Redes apenas IPv6

  • Durações de concessão DHCP inferiores a 24 horas

Como procedimento recomendado de segurança, deverá utilizar comandos de ativação AMT em vez de pacotes de reativação, sempre que tal for possível. Dado que os comandos de ativação AMT utilizam certificados PKI para ajudar a proteger as comunicações, esta tecnologia é mais segura do que o envio de pacotes de reativação. No entanto, para poderem utilizar comandos de ativação AMT, os computadores têm de ser computadores baseados em Intel AMT aprovisionados para AMT. Para mais informações sobre como o Gestor de configuração permite gerir computadores baseados em AMT, consulte Introdução à gestão fora de banda no Configuration Manager.

Para ativar computadores para instalações de software agendadas, configure cada site primário para uma de três opções:

• Utilizar comandos de reativação AMT se o computador suportar esta tecnologia; caso contrário, utilizar pacotes de reativação

• Utilizar apenas comandos de ativação AMT.

• Utilizar apenas pacotes de reativação.

Para utilizar o proxy de reativação com o Gestor de configuração SP1, necessita de implementar as definições de cliente de proxy de reativação para Gestão de Energia, além de selecionar a opção Utilizar apenas pacotes de reativação.

Utilize a seguinte tabela para obter mais informações sobre as diferenças entre as duas tecnologias de reativação por LAN (WOL), os pacotes de reativação tradicionais e os comandos de reativação.

Escolha como pretende reativar os computadores com base na possibilidade de suportar os comandos de ativação AMT e de os computadores atribuídos ao site suportarem a tecnologia de reativação por LAN. Pondere também as vantagens e as desvantagens de ambas as tecnologias, identificadas na tabela anterior. Por exemplo, os pacotes de reativação são menos fiáveis e não são seguros, mas os comandos de ativação demoram mais tempo a serem estabelecidos e necessitam de mais processamento por parte do servidor do sistema de sites que estiver configurado com o ponto de serviço fora de banda.

Importante

Devido à sobrecarga adicional inerente ao estabelecimento, manutenção e conclusão de uma sessão de gestão fora de banda com computadores baseados em AMT, realize os seus próprios testes para que possa calcular com exatidão quanto tempo demorará a reativação de múltiplos computadores utilizando comandos de ativação AMT no seu ambiente (por exemplo, utilizando ligações WAN lentas para computadores localizados em sites secundários). Estes conhecimentos irão ajudá-lo a determinar se a reativação de múltiplos computadores para atividades agendadas utilizando comandos de ativação AMT será prática caso disponha de muitos computadores para reativar num período reduzido de tempo.

Se optar por utilizar pacotes de reativação tradicionais, também deverá decidir se pretende utilizar pacotes de difusão direcionados para a sub-rede ou pacotes unicast, bem como o número da porta UDP que pretende utilizar. Por predefinição, os pacotes de reativação tradicionais são transmitidos através da porta UDP 9, embora para maior segurança seja possível selecionar uma porta alternativa para o site, desde que a mesma seja suportada pelos routers e firewalls intervenientes.

Nem todas as funcionalidades de gestão de clientes são adequadas para a Internet. Por conseguinte, não são suportadas quando os clientes são geridos na Internet. Normalmente, as funcionalidades que não são suportadas para gestão na Internet baseiam-se nos Serviços de Domínio do Active Directory ou não são adequadas para uma rede pública, como é o caso da deteção de rede e da reativação por LAN (WOL).

As funcionalidades seguintes não são suportadas quando os clientes são geridos na Internet:

• Implementação de cliente através da Internet, como por exemplo push de cliente e implementação de cliente baseada em atualização de software. Em vez disso, utilize a instalação manual de cliente.

• Atribuição automática de site.

• Proteção de Acesso à Rede (NAP).

• Reativação por LAN.

• Implementação do sistema operativo. No entanto, poderá implementar sequências de tarefas que não implementem um sistema operativo, como por exemplo sequências de tarefas que executem scripts e tarefas de manutenção em clientes.

• Controlo remoto.

• Gestão fora de banda.

• Implementação de software para utilizadores, a menos que o ponto de gestão baseado na Internet consiga autenticar o utilizador nos Serviços de Domínio do Active Directory utilizando a autenticação do Windows (Kerberos ou NTLM). Tal poderá suceder quando o ponto de gestão baseado na Internet confiar na floresta em que reside a conta do utilizador.

Além disso, a gestão de clientes baseada na Internet não suporta roaming. O roaming permite aos clientes localizar sempre os pontos de distribuição mais próximos para transferir conteúdo. Os clientes geridos na Internet comunicam com os sistemas de sites a partir do site atribuído quando tais sistemas são configurados para utilizar um FQDN da Internet, e as funções do sistema de sites permitem ligações de cliente a partir da Internet. Os clientes selecionam de forma não determinística um dos sistemas de sites baseados na Internet, independentemente da largura de banda ou da localização física.

As seguintes funções do sistema de sites instaladas nos sites primários suportam ligações de clientes que se encontram em localizações não fidedignas, como a Internet ou uma floresta não fidedigna (os sites secundários não suportam ligações de clientes de localizações não fidedignas):

• Ponto de Web site do Catálogo de Aplicações

• Módulo de Política do Configuration Manager

• Ponto de distribuição (os pontos de distribuição baseados na nuvem precisam de HTTPS)

• Ponto proxy de registo

• Ponto de estado de contingência

• Ponto de gestão

• Ponto de atualização de Software

Acerca dos sistemas de sites com acesso à Internet: 
Embora não exista qualquer requisito de confiança entre a floresta de um cliente e a do servidor do sistema de sites, quando a floresta que contém um sistema de sites com acesso à Internet confia na floresta que contém as contas de utilizador, esta configuração suporta políticas baseadas em utilizadores para dispositivos na Internet quando ativa a definição de cliente da Política do Cliente, Ativar pedidos da política do utilizador dos clientes Internet.

Por exemplo, as configurações seguintes ilustram quando a gestão de clientes baseada na Internet suporta políticas de utilizador para dispositivos na Internet:

• O ponto de gestão baseado na Internet encontra-se na rede de perímetro em que reside um controlador de domínio para autenticar o utilizador e uma firewall intermediária permite pacotes do Active Directory.

• A conta de utilizador encontra-se na Floresta A (a intranet) e o ponto de gestão baseado na Internet encontra-se na Floresta B (a rede de perímetro). A Floresta B confia na Floresta A e uma firewall intermediária permite os pacotes de autenticação.

• A conta de utilizador e o ponto de gestão baseado na Internet encontram-se na Floresta A (a intranet). O ponto de gestão é publicado na Internet através de um servidor Web proxy (como o Forefront Threat Management Gateway).

Como mostra o exemplo anterior, é possível colocar sistemas de sites baseados na Internet na intranet quando estes forem publicados na Internet utilizando um servidor Web proxy, tal como o ISA Server ou o Forefront Threat Management Gateway. Estes sistemas de sites podem ser configurados apenas para ligações de cliente a partir da Internet, ou para ligações de cliente provenientes da Internet e da intranet. Ao utilizar um servidor Web proxy, poderá configurá-lo para bridge de Secure Sockets Layer (SSL) para SSL (mais seguro) ou túnel SSL:

• Protocolo de bridge SSL para SSL: 
  A configuração recomendada quando utiliza servidores Web proxy para a gestão de clientes baseada na Internet é o protocolo de bridge SSL para SSL, que utiliza a terminação de SSL com autenticação. Os computadores cliente têm de ser autenticados utilizando a autenticação de computador e os clientes antigos do dispositivo móvel são autenticados utilizando a autenticação de utilizador. Os dispositivos móveis que são inscritos pelo Gestor de configuração não suportam o protocolo de bridge SSL.

  A vantagem da terminação de SSL no servidor Web proxy é que os pacotes da Internet são sujeitos a inspeção antes de serem encaminhados para a rede interna. O servidor Web proxy autentica a ligação do cliente, termina-a e, em seguida, abre uma nova ligação autenticada para os sistemas de sites baseados na Internet. Quando os clientes do Gestor de configuração utilizam um servidor Web proxy, a identidade do cliente (GUID do cliente) está contida em segurança no payload do pacote de forma que o ponto de gestão não considere que o servidor Web proxy é o cliente. O protocolo de bridge não é suportado no Gestor de configuração com HTTP para HTTPS ou de HTTPS para HTTP.

• Protocolo de túnel:
  Se o seu servidor Web proxy não suportar os requisitos do protocolo de bridge SSL ou se quiser configurar o suporte de Internet em dispositivos móveis que estão inscritos no Gestor de configuração, também é suportado o protocolo de túnel SSL. É uma opção menos segura porque os pacotes SSL da Internet são encaminhados para os sistemas de sites sem a terminação de SSL, não podendo ser, assim, inspecionados quanto a conteúdo malicioso. Quando utiliza o protocolo de túnel SSL, não existem requisitos de certificado para o servidor Web proxy.

É necessário decidir se os computadores cliente que são geridos pela Internet são configurados para gestão na intranet e Internet ou para gestão de clientes apenas na Internet. Apenas é possível configurar a opção de gestão de clientes durante a instalação de um computador cliente. Se mudar de ideias mais tarde, tem de reinstalar o cliente.

Sugestão
Não é necessário restringir à Internet a configuração de gestão de clientes apenas na Internet e também é possível utilizá-la na intranet.

Os clientes que estão configurados para gestão de clientes apenas na Internet comunicam apenas com os sistemas de sites que estão configurados para ligações de cliente da Internet. Esta configuração seria adequada para computadores que sabe que nunca ligam à intranet da empresa, por exemplo, computadores em pontos de venda em localizações remotas. Também pode ser apropriada se pretender restringir a comunicação de clientes para apenas HTTPS (por exemplo, para suportar a firewall e políticas de segurança restringidas), e se instalar sistemas de sites baseados na Internet numa rede de perímetro e pretender gerir esses servidores utilizando o cliente do Gestor de configuração.

Se pretender gerir clientes de grupo de trabalho na Internet, tem de os como apenas Internet.

Outros computadores cliente podem ser configurados para gestão de clientes na Internet e intranet. Estes podem alternar automaticamente entre a gestão de clientes baseada na Internet e a gestão de clientes na intranet quando detetam uma alteração de rede. Se estes clientes conseguirem localizar e estabelecer ligação a um ponto de gestão que está configurado para ligações de cliente na intranet, estes clientes são geridos como clientes de intranet que possuem total funcionalidade de gestão do Gestor de configuração. Se os clientes não conseguirem localizar ou estabelecer ligação a um ponto de gestão que está configurado para ligações de cliente na intranet, tentam estabelecer ligação a um ponto de gestão baseado na Internet, e se esta ligação tiver êxito, estes clientes são geridos pelos sistemas de sites baseados na Internet no respetivo site atribuído.

A vantagem da mudança automática entre gestão de clientes baseados na Internet e gestão de clientes na intranet é que os computadores clientes podem utilizar automaticamente todas as funcionalidades do Gestor de configuração sempre que estiverem ligados à intranet e continuarem a ser geridos em funções de gestão essenciais quando estão na Internet. Além disso, uma transferência que começou na Internet pode continuar sem interrupções na intranet e vice versa.

A gestão de clientes baseados na Internet no Gestor de configuração tem as seguintes dependências externas:

O Gestor de configuração transfere dados entre sites através da replicação de ficheiros e da replicação de base de dados. Antes do Gestor de configuração SP1, é possível configurar a replicação de ficheiros para controlar a utilização da largura de banda de rede para as transferências, mas não é possível configurar a utilização da largura de banda de rede para a replicação de base de dados. A partir do Gestor de configuração SP1, é possível configurar a utilização da largura de banda de rede para a replicação de base dados em dados de site selecionados.

Quando configura os controlos da largura de banda de rede, deve ter em mente a potencial latência de dados. Se as comunicações entre sites forem restringidas ou configuradas para apenas transferirem dados após o horário de funcionamento normal, os administradores no site principal ou no site subordinado podem ficar impedidos de visualizar certos dados até ocorrer a comunicação entre sites. Por exemplo, se for enviado um importante pacote de atualização de software para pontos de distribuição que estejam localizados em sites subordinados, o pacote pode não estar disponível nesses sites até ser concluída toda a comunicação entre sites pendente. A comunicação pendente pode incluir a entrega de um pacote que é muito grande e que ainda não concluiu a transferência.

• Controlos de Replicação de Ficheiros: Durante as transferências de dados de ficheiros, o Gestor de configuração utiliza toda a largura de banda de rede disponível para enviar dados entre sites. Pode controlar este processo, configurando o remetente num site para aumentar ou diminuir os threads de envio de local para local. É utilizado um thread de envio para transferir um ficheiro de cada vez. Cada thread adicional permite que os ficheiros adicionais sejam transferidos ao mesmo tempo, o que resulta numa maior utilização da largura de banda. Para configurar o número de threads a utilizar nas transferências de site para site, configure o Limite de envios simultâneos no separador Remetente das propriedades de sites.

  Para controlar as transferências de dados de ficheiros entre sites, pode agendar quando o Gestor de configuração pode utilizar uma rota de replicação de ficheiros para um site específico. Pode controlar a quantidade de largura de banda de rede a utilizar, o tamanho de blocos de dados e a frequência de envio dos blocos de dados. Configurações adicionais podem limitar as transferências de dados com base na prioridade do tipo de dados. Para cada site na hierarquia, pode definir o agendamento e limites de velocidade para esse site utilizar ao transferir dados configurando as propriedades da rota de replicação de ficheiros para cada site de destino. As configurações de uma rota de replicação de ficheiros apenas se aplicam às transferências de dados para o site de destino especificado para essa rota de replicação de ficheiros.

  Para mais informações sobre as rotas de replicação de ficheiros, consulte a subsecção Rota de Replicação de Ficheiros na secção Planear Comunicações Entre Sites no Configuration Manager deste tópico.

  Importante

  Quando configura os limites de velocidade para restringir a utilização da largura de banda numa rota de replicação de ficheiros específica, o Gestor de configuração apenas pode utilizar um único thread para transferir dados para esse site de destino. A utilização de limites de velocidade para uma rota de replicação de ficheiros sobrepõem-se à utilização de múltiplos threads por site que estejam configurados no Limite de envios simultâneos para cada site.

• Controlos da Replicação de Base de Dados: A partir do Gestor de configuração SP1, é possível configurar ligações de replicação de base de dados para ajudar a controlar a utilização da largura de banda de rede para a transferência de dados de site selecionados entre sites. Alguns dos controlos são semelhantes aos da replicação de ficheiros, com suporte adicional de agendamento quando são replicados dados de inventário de hardware, inventário de software, medição de software e mensagens de estado para o site principal através da ligação.

  Para mais informações, consulte a secção Replicação de Base de Dados deste tópico.

Dentro de um site, a comunicação entre sistemas de sites utiliza blocos de mensagens de servidor (SMB), pode ocorrer em qualquer altura e não suporta um mecanismo de controlo da largura de banda de rede. No entanto, quando configura o servidor do site para utilizar limites de velocidade e agendamentos para controlar a transferência de dados ao longo da rede para um ponto de distribuição, pode gerir a transferência de conteúdo do servidor do site para pontos de distribuição com controlos semelhantes aos das transferências de ficheiros de site para site.

Os clientes comunicam regularmente com diferentes servidores do sistema de sites. Por exemplo, comunicam com um servidor do sistema de sites que executa um ponto de gestão quando têm de verificar uma política do cliente e comunicam com um servidor do sistema de sites que executa um ponto de distribuição quando têm de transferir conteúdos para a instalação de uma aplicação ou atualização de software. A frequência destas ligações e a quantidade de dados que é transferida através da rede para ou de um cliente depende das agendas e configurações que especificar como definições do cliente.

Normalmente, os pedidos de política do cliente utilizam pouca largura de banda de rede. A largura de banda de rede pode ser elevada quando os clientes acedem a conteúdo para implementações ou enviam informações como dados de inventário de hardware para o site.

Pode especificar definições do cliente que controlem a frequência das comunicações na rede iniciadas por clientes. Além disso, pode configurar o modo como os clientes a conteúdos de implementação, por exemplo, utilizando o Serviço de Transferência Inteligente em Segundo Plano (BITS). Para utilizar o BITS para transferir conteúdo, o cliente tem de estar configurado para utilizar o BITS. Se não é possível o cliente utilizar o BITS, utiliza o SMB para transferir o conteúdo.

Para informações sobre as definições do cliente no Gestor de configuração, consulte Planear as definições de cliente no Configuration Manager.