Kompatibilita programů

• Řešení problémů s během starších programů (desktopových, Win32)
  • Neřeší problémy s instalací; selhání instalátoru hlídá Pomocník s kompatibilitou programů (PCA) a nabídne opravu
• Režim kompatibility simuluje chování starší verze Windows
  • Windows 11 nabízí Windows Vista (SP1, SP2), Windows 7 a Windows 8
  • Historie: Windows 7 nabízel Windows 95 až Server 2008; XP Mode viz dále
• Konfigurace kompatibility programu
  • Záložka Kompatibilita ve vlastnostech .exe nebo zástupce
  • Poradce při potížích s kompatibilitou programu – tlačítko na téže záložce, nebo Nastavení › Systém › Poradce při potížích › Další poradci při potížích
  • Uloženo v registru: HKCU\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers
• Nelze nastavit u programů systému Windows ani u aplikací z Microsoft Store (MSIX)
• 16-bitové programy na 64-bitových Windows neběží vůbec → virtuální počítač

Nastavení kompatibility programu

Historie: Application Compatibility Toolkit (ACT)

• Sada nástrojů pro hromadné řešení kompatibility při migraci na novou verzi Windows
  • Samostatný instalátor, od verze 6.0 součást Windows ADK (Windows 8/8.1, Windows 10 do verze 1511)
• Obsahovala
  • Application Compatibility Manager (ACM) – sběr a analýza dat: balíky Inventory collection (soupis aplikací) a Runtime analysis (běh aplikací, problémy s UAC, WRP, 32-bitovou emulací, chráněným režimem IE) nasazované jako .msi, data v lokálním SQL Serveru se synchronizací s databází Microsoftu
  • Compatibility Monitor – hodnocení a připomínkování kompatibility na klientech (součást Runtime analysis)
  • Compatibility Administrator (CA) a Standard User Analyzer (SUA)
• Od ADK pro Windows 10 verze 1607 zůstaly jen CA a SUA; ACM, Compatibility Monitor a sběr dat byly odstraněny
  • Analýzu kompatibility dnes řeší telemetrie (Windows Update for Business reports, Intune) a program App Assure

Kompatibilita v roce 2026: App Assure, Prism

• Příslib kompatibility Microsoftu: aplikace fungující ve Windows 7/8.1/10 fungují i ve Windows 11
  • App Assure (FastTrack) – pro organizace se 150+ licencemi bezplatně vyřeší nahlášený problém s kompatibilitou (Windows 11, Windows 365, Azure Virtual Desktop, ARM64)
• Windows 11 existuje jen jako 64-bitový systém (x64, ARM64)
  • 32-bitové x86 aplikace běží přes WOW64 (přesměrování souborů a registru)
  • 16-bitové aplikace nejsou podporovány
• Windows 11 na ARM64: emulátor Prism (od 24H2)
  • Emuluje x86 i x64 aplikace (Windows 10 na ARM jen x86)
  • JIT překlad bloků instrukcí do ARM64 s mezipamětí přeložených bloků
  • Emulace jen pro uživatelský režim – ovladače musí být nativní ARM64
• Zbývající problémy: ovladače, kernelové antiviry, aplikace vázané na IE (→ režim IE v Microsoft Edge)

Virtualizace aplikací – náhrada Windows XP Mode

• Historie: Windows XP Mode (Windows Virtual PC) existoval jen pro Windows 7 – aplikace z virtuálního XP integrované do nabídky Start; skončil s Windows 7
• Virtuální počítač Hyper-V
  • Aplikace běží ve verzi systému, v níž funguje; odpadají problémy s kompatibilitou
  • Vyšší nároky na prostředky, systém ve VM potřebuje vlastní licenci
  • Bez integrace do Start; sdílení schránky a disků přes rozšířenou relaci
• Windows Sandbox – jednorázový odlehčený virtuální počítač
  • Edice Pro, Enterprise, Education (ne Home); kernel izolovaný hypervisorem
  • Při každém spuštění čistá kopie hostitelských Windows, po zavření se vše zahodí
  • Konfigurace .wsb (mapované složky, síť, GPU); od 24H2 aktualizován z Microsoft Store, příkaz wsb
  • Zapnutí: Enable-WindowsOptionalFeature -Online -FeatureName Containers-DisposableClientVM
• Aplikace lze také spouštět vzdáleně jako RemoteApp (běží na serveru, zobrazí se u klienta)

Doručování aplikací z cloudu

• Historie: App-V (zapouzdření aplikace, streamování ze serveru, běh v izolaci) a MED-V (zapouzdřená aplikace v prostředí Windows XP) z balíku MDOP
  • MED-V: konec podpory 13. 4. 2021
  • MDOP: rozšířená podpora skončila 14. 4. 2026 (včetně serveru App-V); klient a sequencer App-V ve Windows 10/11 zůstávají v pevné rozšířené podpoře (od 11/2024 už nejsou deprecated) – jen opravy chyb
• MSIX app attach / App attach (Azure Virtual Desktop)
  • Aplikace v balíčcích MSIX/Appx (nebo .appv) uložené jako obraz VHDX/CimFS na sdílené složce
  • Připojí se do relace uživatele při přihlášení, nejsou instalované v obrazu hostitele
  • Doručení jako RemoteApp nebo součást plochy, více verzí téže aplikace současně
• Azure Virtual Desktop – vícerelační Windows 11 Enterprise v Azure
• Windows 365 – Cloud PC (SaaS, edice Business/Enterprise), přístup přes Windows App či prohlížeč, zařízení Windows 365 Link
• Klient pro vše výše: Windows App (Windows, macOS, iOS, Android, web)

Generace virtuálních počítačů

• Generaci nelze po vytvoření změnit – Microsoft doporučuje Gen 2, pokud host nevyžaduje BIOS
• Fyzickou DVD mechaniku lze připojit jen ke Gen 1; Gen 2 používá .iso

Virtuální přepínače a Default Switch

• Typy virtuálních přepínačů (New-VMSwitch, Správce virtuálních přepínačů)
  • Externí – přemostěn na fyzický adaptér (převezme jeho vazby)
  • Interní – VM a hostitel; NAT lze doplnit pomocí New-NetNat
  • Privátní – pouze VM mezi sebou
• Default Switch (od Windows 10 1709)
  • Vestavěný interní přepínač s NAT, DHCP a DNS hostitele; VM má internet přes jakékoli připojení hostitele (Wi-Fi, VPN)
  • Nelze smazat ani přejmenovat, adresní rozsah se mění po restartu
• V učebně: pouze Default Switch (LAN0, DHCP, internet) a laboratorní interní přepínač Private1 (LAN1, 192.168.0.0/24)
  • Externí přepínač se nevytváří – stanice má jediný fyzický adaptér a ztratila by připojení

Práce s virtuálním počítačem

• Připojení k VM (VMConnect, vmconnect.exe)
  • Základní relace – konzola VM (obraz, klávesnice, myš); Ctrl+Alt+End = Ctrl+Alt+Del, Ctrl+Alt+Pause = celá obrazovka
  • Rozšířená relace – RDP přes VMBus (bez sítě): schránka, disky, tiskárny, zvuk, USB, čipové karty, rozlišení
    • Hostitel: zásada i nastavení rozšířené relace zapnuty (výchozí u klientského Hyper-V)
    • Host: Windows 10/11 nebo Server 2016+ s povolenou Vzdálenou plochou (edice Home ji nemá → jen základní relace)
• Kontrolní body – standardní (včetně paměti) a produkční (VSS, konzistentní jako záloha)
• Dynamická paměť, integrační služby (čas, VSS, výměna dat, KVP)
• Hyper-V ve VM (vnořená virtualizace), Intel i AMD
  • Set-VMProcessor -VMName W11 -ExposeVirtualizationExtensions $true (VM vypnutá)
  • Ve VM s vnořeným Hyper-V nefunguje dynamická paměť za běhu
• WSL 2 používá jen podmnožinu Hyper-V (Platforma virtuálních počítačů) – dostupná i v edici Home; uvnitř VM potřebuje vnořenou virtualizaci

VPN protokoly (1): IKEv2 a SSTP

• IKEv2 (Internet Key Exchange v2, IPsec) – doporučený protokol
  • UDP 500 (IKE), UDP 4500 (NAT-T), datový kanál ESP (IP protokol 50)
  • Sestaví Security Association, důvěrnost, integrita, autentizace; certifikáty X.509 nebo EAP
  • Mobilita MOBIKE – změna IP adresy klienta bez nové autentizace (VPN Reconnect)
  • Interoperabilní s bránami třetích stran; jediný protokol pro Always On VPN device tunnel
• SSTP (Secure Socket Tunneling Protocol)
  • PPP rámce tunelované přes TLS na TCP 443 (HTTPS) – projde téměř všemi bránami firewall a proxy
  • Vyžaduje certifikát serveru, klient ověřuje jeho název a řetěz důvěry
  • Zajišťuje autentizaci (PPP/EAP), důvěrnost a integritu (TLS)
  • Server: Windows Server RRAS; v Always On VPN slouží jako záloha, když IKEv2 neprojde

VPN protokoly (2): L2TP/IPsec a PPTP – zastaralé

• L2TP/IPsec (Layer 2 Tunneling Protocol)
  • L2TP (UDP 1701) sám nezajišťuje důvěrnost ani autentizaci → celý zabalen do IPsec ESP
  • IPsec SA sestavuje IKE (v1): UDP 500/4500; autentizace certifikáty nebo předsdíleným klíčem
  • Nové instalace RRAS ve Windows Server 2025 L2TP nepřijímají (lze ručně povolit)
• PPTP (Point-to-Point Tunneling Protocol) – Historie
  • TCP 1723 řídicí kanál, data v GRE (IP protokol 47, nikoli UDP) → problémy s firewally a NAT
  • Standard nedefinuje autentizaci; Microsoft používá PAP, CHAP, MS-CHAP v1/v2, EAP-TLS
  • Šifrování MPPE (RC4) s MS-CHAPv2 je prolomeno – nepovažovat za bezpečné
  • Nové instalace RRAS ve Windows Server 2025 PPTP nepřijímají; klient Windows 11 typ stále nabízí
• Windows Server 2025: SSTP a IKEv2 beze změny; in-place upgrade zachová stávající nastavení

Autentizace VPN (1): metody EAP

• Vestavěný klient používá EAP (Extensible Authentication Protocol) – rámec pro různé metody
  • EAP-MSCHAPv2 – jméno a heslo; možnost použít pověření přihlášeného uživatele (Winlogon)
  • EAP-TLS – certifikáty: software KSP, klíč v TPM, čipová karta, certifikát Windows Hello for Business; filtrování podle vydavatele/EKU, ověření serveru
  • PEAP – TLS tunel chránící vnitřní metodu (EAP-MSCHAPv2 nebo EAP-TLS); Fast Reconnect, cryptobinding proti MITM
  • EAP-TTLS – TLS tunel s vnitřní metodou EAP i starší (PAP, CHAP, MS-CHAPv2)
• Historie: metody založené jen na heslech (bez EAP)
  • PAP – heslo v otevřené podobě; CHAP – hash hesla s výzvou; MS-CHAPv2 – pověření přihlášeného uživatele
  • Microsoft je označuje za méně bezpečné a doporučuje se jim vyhnout

Autentizace VPN (2): certifikáty a Microsoft Entra

• Certifikáty uživatele a počítače
  • Vydává interní CA (AD CS) nebo Intune (profily SCEP/PKCS); klíč chráněný TPM (TPM key attestation)
  • Čipová karta nebo jiný certifikát – server i uživatel se ověřují vybranými certifikáty
• Windows Hello for Business – EAP-TLS s certifikátem Hello → jednotné přihlášení k počítači i VPN bez hesla
• Microsoft Entra ID – podmíněný přístup pro VPN
  • Klient si po splnění zásad (MFA, vyhovující zařízení dle Intune) vyžádá krátkodobý IPsec certifikát (výchozí platnost 60 minut) s OID 1.3.6.1.4.1.311.87
  • Server (NPS/RRAS) přijme jen připojení s tímto certifikátem
• MFA přes RADIUS: NPS extension for Microsoft Entra multifactor authentication
• Server NPS (RADIUS) na Windows Server 2022/2025 řeší autorizaci (kdo se smí připojit, skupiny, čas)

Nastavení VPN protokolů a ověřování

• Vlastnosti připojení › Zabezpečení (ncpa.cpl): typ sítě VPN, šifrování dat, EAP vs. povolené protokoly; vlastnosti EAP: výběr certifikátu, ověření identity serveru, důvěryhodné kořenové CA

Always On VPN

• Nástupce DirectAccess (zastaralý od června 2024, Microsoft doporučuje migraci)
• Vestavěný VPN klient Windows 10/11 ve všech edicích řízený profilem (ProfileXML, VPNv2 CSP)
  • Nasazení přes Intune / MDM, PowerShell, Windows Configuration Designer – bez zásad skupiny
  • Funguje pro zařízení v doméně, v Microsoft Entra ID i mimo doménu (BYOD)
• User tunnel – po přihlášení uživatele; IKEv2 s záložním SSTP; EAP (heslo, certifikát, čipová karta, Windows Hello for Business, MFA přes RADIUS)
• Device tunnel – před přihlášením (správa, GPO, reset hesla); jen IKEv2 s certifikátem počítače; zařízení v doméně s Windows Enterprise/Education
• Automatické spouštění (aplikace, DNS název), detekce důvěryhodné sítě, filtry provozu a aplikací, per-app VPN, dual-stack IPv4/IPv6
• Serverová strana: RRAS (Windows Server 2022/2025) + NPS, nebo brána IKEv2 třetí strany

Microsoft Entra Global Secure Access a další možnosti

• Global Secure Access – Security Service Edge (SSE) Microsoftu, řízený identitou a podmíněným přístupem
  • Microsoft Entra Private Access – Zero Trust přístup (ZTNA) k interním aplikacím po jednotlivých aplikacích (TCP/UDP, Quick Access), SSO přes Kerberos – náhrada klasické VPN
  • Microsoft Entra Internet Access – Secure Web Gateway: filtrování webu podle kategorií a FQDN, TLS inspekce, ochrana před hrozbami
  • Profil provozu Microsoft (Microsoft traffic profile; jako Internet Access for Microsoft services součást Entra ID P1/P2) – kontrola „vyhovující sítě“ v podmíněném přístupu
  • Klient Global Secure Access pro Windows, macOS, iOS a Android; provoz jde přes síť Microsoftu
  • Licence: Microsoft Entra Suite nebo samostatně; vyžaduje Entra ID P1/P2
• Řešení třetích stran
  • WireGuard, OpenVPN – Windows nemají vestavěný klient, instaluje se aplikace výrobce
  • Brány (Cisco, Fortinet, Palo Alto, Check Point, …) – vlastní klient nebo UWP VPN plug-in; mnohé přijmou i vestavěný klient Windows přes IKEv2

Historie: NAP (Network Access Protection)

• Windows Server 2008–2012 R2: omezení přístupu do firemní sítě podle „zdraví“ klienta
  • Aktualizovaný antivirus a antispyware, zapnutý Windows Firewall a Windows Update, nainstalované bezpečnostní aktualizace
  • Vyhovující klienti získali plný přístup, nevyhovující žádný nebo omezený
  • Vynucení přes DHCP, IPsec, 802.1X, VPN, RD Gateway; použitelné i pro DirectAccess klienty
• NAP Remediation – náprava nevyhovujících klientů
  • Klient přesměrován do nápravné sítě (remediation network) jen se servery pro nápravu (např. WSUS)
  • Po nápravě nová kontrola a plný přístup
• Zastaralý od Windows Server 2012 R2, odstraněn ve Windows Server 2016 (NAP, HRA, HCAP, NAP v DHCP)
  • Server NPS zůstává jako RADIUS pro 802.1X a VPN, bez kontroly zdraví

Náhrada NAP: podmíněný přístup a compliance zařízení

• Zásady dodržování předpisů v Microsoft Intune hodnotí zařízení
  • Minimální verze Windows, BitLocker, Secure Boot, TPM, integrita kódu, Microsoft Defender Antivirus a firewall, úroveň rizika z Microsoft Defender for Endpoint, heslo/PIN
  • Výsledek (vyhovuje / nevyhovuje) se zapíše k zařízení v Microsoft Entra ID; odklad, upozornění, vyřazení zařízení
• Podmíněný přístup Microsoft Entra rozhoduje při každém přihlášení
  • Podmínky: uživatel, aplikace, platforma, umístění, riziko přihlášení
  • Udělení: vyžadovat vyhovující zařízení, zařízení v hybridním připojení, MFA, vyhovující síť (Global Secure Access)
  • Platí pro cloudové aplikace, Always On VPN (krátkodobý certifikát), Azure Virtual Desktop i Windows 365
• Náprava místo nápravné sítě: Windows Update for Business / Windows Autopatch, Intune remediation skripty
• Na drátové/Wi-Fi síti zůstává 802.1X s NPS (RADIUS) – bez kontroly zdraví klienta

Klienti vzdálené plochy v roce 2026

• Připojení ke vzdálené ploše (mstsc.exe) – součást Windows, podporuje bránu VP, zůstává
• Windows App (od 2024) – jednotný klient pro Windows 365, Azure Virtual Desktop, Microsoft Dev Box, RDS a vzdálené počítače
  • Windows, macOS, iOS/iPadOS, Android, webový prohlížeč
  • Na Windows zatím nepřipojuje k RDS a připojení ke vzdálenému počítači je ve verzi preview → pro bránu VP na Windows dál mstsc
  • Přihlášení pracovním nebo školním účtem (Entra ID), ne osobním účtem Microsoft
• Historie
  • Aplikace Vzdálená plocha z Microsoft Store – konec podpory 27. 5. 2025, od 30. 9. 2025 blokována připojení k AVD / Windows 365 / Dev Box (RDS a vzdálený počítač fungují dál)
  • Klient Remote Desktop pro Windows (MSI, msrdc) – od 27. 3. 2026 nepodporován pro veřejný cloud
• Zařízení Windows 365 Link – tenký klient připojující rovnou ke Cloud PC