Windows Server Workshop / VHS BS / 03.

Windows Server

Abb dem 03. Februar 2014 an der VHS Braunschweig ein "Windows Server"-Workshop statt.

In diesem praxisorientiertem Intensivseminar wollen wir die Fähigkeiten des aktuellen Microsoft-Server-Betriebssystems vertiefen. Aufbauend auf Kenntnissen entsprechend dem Server-Seminar (siehe FITSN-Module) werden wir die Schwerpunktthemen (ADS, OU/Gruppenrichtlinien, DNS/DDNS, DHCP, Routing/RAS, Sicherheit, IIS, Fileserver/DFS, Terminalservices) in selbst entworfenen und erstellten Übungsdomänen anschaulich erarbeiten, wiederholen und vertiefen.
Für die Praxis steht jedem Teilnehmer neben einem eigenen Übungs-PC auch noch zusätzliche PC- und Servertechnik zur Verfügung.

Hier die Rahmendaten unseres Seminars:

Ort: VHS Braunschweig, Heydenstraße 2, Raum 2.11
Zeiten: Mo, 03.02. - Fr, 07.02.2014; jeweils 08.30 - 16.00 Uhr

Ich werde unser Seminar an dieser Stelle - wie mittlerweile gewohnt - durch ein ausführliches tägliches Protokoll begleiten...
Ihr Trainer Joe Brandes

Montag

Montag, 03.02.2014, 08.30 - 16.00 Uhr

Orientierungsphase, Pausenzeiten, TN-Themen, BU-Planung
Hinweis Cobra Shop (Link), BU-Tagesbeiträge (siehe hier) und Screenshots
BU-Schwerpunkt:
Firmennetzwerk mit aktuellen Windows Server 2012 R2 und Windows 8.1 Clients nach Vorgabe/Ausschreibung des Seminars
Lizenzen – alles neu und mit Blick auf die Cloud („Wolke“)
nur noch Standard und Datacenter Editions mit gleichem Funktionsumfang
Standard Edition: nur 2 Virtuelle Server pro Lizenz; 2 CPU-Sockel
Datacenter Edition: beliebig Virtuelle Server; 2 CPU-Sockel
Spezialeditionen: (jeweils ohne HyperV)
Essentials: 25 Benutzer, keine CALs nötig
Foundation: 1 CPU, 15 Benutzer, keines CALs nötig, an Hardware gebunden (OEM)
Netz- und Domänenentwurf für "BU-Firmennetzwerk
Anbindung des BU-Seminarraums über "ISERV" (IP: 192.168.11.1) - für eigenes Subnetting mit eigenem DHCP muss also eigener "Router" her:
BUROUTER (Server 2012 R2)
mit WAN-IP 192.168.11.190/24 und LAN-IP 10.0.0.254/8
DHCP-Service: Bereich 10.0.0.100 - .200 / 8 - Router (Standardgateway) 10.0.0.254 - DNS-Server: Primary 10.0.0.1 (der DC für die Root-Domäne dombu.local) und Secondary 192.168.11.1 (für das WAN/Internet)
Beachten: nach AD-Installationen muss DHCP autorisiert werden (siehe Dienstag)
NAT-Routing: jetzt über Rolle "Remotezugriff" (Anm.: Alles für DirectAccess / VPN kommt gleich mit)
DC00 (Server 2012 R2) - Domaincontroller für Rootdomäne der neuen Gesamtstruktur dombu.local
Domäne: (natürlich auch) dombu.local
statische IP: 10.0.0.1/8 (sauber DNS konfigurieren für NIC - beachten: die aktuellen MS-OS stellen gerne einmal die Netzkonfiguratgionen um)
DNS-Server (auf DC00) installiert und konfiguriert
Einrichtung einer Forward Zone dombu.local und Reverse Zone 10.in-addr.arpa
Tipp: vorher DNS-Suffix auf DC00 konfigurieren, so ist der DC00 sofort in der dombu.local aufgelöst
Testen: nslookup (!)
Active Directory Domain Service (AD DS) installieren der Rolle und "dcpromo"
nach Rolle AD DS den Server mit den neuen Assistenten des Server-Manager zum DC heraufstufen
Beachten: nach AD DS bitte DNS-Zonen-Typen auf „Active Directory-integriert“ anpassen und auf „sichere“ Aktualisierungen (Dynamische Updates)
Deployment von Servern (2012 R2) und Clients (Windows 8.1 Pro) auf TN-Rechnern
Installationen und Festlegung von Hostnames:
SRVxx bzw. WINxx für die Server- und Client-OS mit xx als Platznumer der Rechner im Seminarraum (01 - 17)
Server-Manager (die neue verbesserte Verwaltungszentrale für Server - plural!)
Serverrollen und Features über das Netzwerk auf anderen Servern installieren (ab Server 2012)
Serverrollen und Features hat Microsoft zu einem einzelnen Assistenten zusammengefasst
Tools-Menü (ersetzt vieles aus früheren Startmenüs)

DNS pur
Rekursive Zone
AD DS installieren
PowerShell Skript AD DS
DNS konfigurieren
DNS installieren

Dienstag

Dienstag, 04.02.2014, 08.30 - 16.00 Uhr

Rekapitulation, TN-Fragen, Forts. der Installationen, ...
erster Check: läuft DHCP (Stichwort: Autorisierung)
Netzstruktur weiter checken und konfigurieren
Verusche mit RDP auf Server bereiten Probleme mit Firewall wegen falschem Netzwerktyp ("Öffentlich" statt Domänennetzwerk bzw. "Privat");
Tipp 1 (Lösung Lokale Maschinen / P2P): Hinweis auf Lokal Gruppenrichtlinie (gpedit.msc - Computerkonfiguration - Windows-Einstellungen - Sicherheitseinstellungen - Netzwerklisten-Manager-Richtlinien erlaubt Zuordnung auf "Privat")
Tipp 2 (falscher Netzwerktyp bei DCs / Servern): Dienst "NLA (Network Location Awareness)" auf Starttyp "Automatisch (verzögert)" umstellen
DHCP Server (BUROUTER) autorisieren
den burouter in Domäne aufnehmen und dann DHCP autorosieren; zuständiges AD-Konto muss Orginisations-Admins zugehören
DNS
Auflösungstechniken besprochen - hier Stichworte: Forward, Reverse Lookup Zonen, Primäre Zone, Sekundäre Zone, Typ Active Directory integriert, Sichere und unsichere Aktualisierung, Weiterleitungen, Delegierung
DCs (DC01, DC02) für Subdomänen
die Maschinen DC01 und DC02 zu Domänencontrollern für Subdomains SUB01 und SUB02.dombu.local erstellen/promoten
für sub01.dombu.local wird kein eigenständiger DNS-Server installiert, sondern eine Sub-Zone in bestehendem DNS auf DC00 erstellt
für sub02.dombu.local wird auf DC02 ein DNS beim heraufstufen installiert und eine Delegierung in DNS auf DC00 erstellt
Wichtig: alle Einstellungen natürlich wieder intensiv mit nslookup checken
Hinweis: Weiterleitung zu DNS für WAN (iserv - 192.168.11.1) als Weiterleitung in DNS-Server Eigenschaften gefunden
Win8 und 2012R-Server in Domänen aufnehmen
Gruppenübung mit Fertigstellung aller Domänenmitgliedschaften für alle installierten Systeme; auch hier wieder Einsatz von nslookup
Remoteverwaltung der DCs (Teil 1)
auf Windows Server 2012 R2: die Features für die gewünschten Serververwaltungen nachinstallieren; in Server-Manager mit gewünschtem DC verbinden und die Dienste (z.B. AD DS) über die angebotenen Tools verwalten
auf Windows 8.1: Download und Install der RSAT (Remote Server Administrative Tools - Link); für Windows 8 bitte alternativen Download beachten (Link - in Firmen sind ja oft Win 8 Enterprise installiert, die sich nicht einfach auf 8.1 upgraden lassen)
AD erkunden
Standard-Container Builtin, Computers, Domain Controllers, Users
Erinnerung an A-G-DL-P Regel: Accounts (Benutzerkonto) - Global Group (Globale Gruppen) - Domain Local (Lokal in Domäne) - Permissions (Berechtigungen)
Analyse der Benutzerrechte auf den Clients für Domänen-Benutzer und Domänen-Admins
Übung zu Benutzer und Gruppen
Aufgabe: Benutzer der AD sollen auf Win-Clients (z.B. Notebooks für Außendienstmitarbeiter) die Netzwerkkonfiguration anpassen können.
Lösung: Globale Sicherheitsgruppe "Netztechniker" erstellen und gewünschte AD-Benutzer zu Mitgliedern machen; auf Windows-Client als Domänen-Admin anmelden und in Lokaler Benutzer- und Gruppenverwaltung (lusrmgr.msc) die AD-Global-Gruppe "Netztechniker" als Mitglied der Gruppe "Netzwerkkonfigurations-Operatoren" machen; Lösung testen
Hinweis (TN mit Vorausblick auf Richlinien) mit der Idee: später per GP (Gruppenrichtlinie - Group Policy) lösen, damit man nicht manuell auf allen "Außendienst-Notebook" manuell die Gruppenzugehörigkeiten erstellen muss
Bücher/Literatur "Windows Server 2012 R2"
OpenBook Galileocomputing (Link): Windows Server 2012 R2 von Ulrich B. Boddenberg, "Das umfassende Handbuch"
lässt sich auch als Offline-Version download und auf HD entpacken und als HTML-Format lesen
alternative Empfehlung MS Press: Thomas Joos, Microsoft Windows Server 2012 R2 - Das Handbuch: Das ganze Softwarewissen (Amazon-Link); Tipp: beim Kauf auf Downloadmöglichkeit für "eBooks" achten!

Globale Gruppe
Netzwerktyp reparieren
Server-Manager
nslookup
DNS - Delegierung sub02
Autorisierung

Mittwoch

Mittwoch, 05.02.2014, 08.30 - 16.00 Uhr

Rekapitulation, TN-Fragen, Active Directory-Verwaltungscenter, Konfigurationen mit Hilfe von GPOs, ...tbc...
Server-Manager
Server hinzufügen und Remote-Verwaltung von Servern (DCs / Mitgliedsservern)
Active Directory-Verwaltungscenter
die neue Oberfläche für die tägliche Arbeit am AD; inklusive Logging der Aktionen als PowerShell-Aufrufe
Hyper-V Server 2012 R2 (Core-Server)
kostenlose Serverinstallation gezeigt: Core-Server mit Hyper-V; Fernverwaltung über andere PCs (Client Win8.1 oder Server)
Syinternals Suite (Link)
von Mark Russinovitch und Team Wininternals (früher Firma) gebaute SW-Tools: siehe bginfo (Rechnerinfos im Desktophintergrund), disk2vhd (Live System ab WinXP als Virtuelle Festplatte sichern)
UNC (Universal Naming Convention)
Netzwerkpfad aus \\servername\freigabename\ordner\unterordner\datei.ext
Freigaben
Berechtigungen ohne Freigabe-Assistent einstellen (Windows Explorer: Organisieren - Ordner- und Suchoptionen - Register Ansicht - Freigabe-Assisten deaktivieren)
Jeder / Lesen - hier ist wieder "Jeder Berechtigte" gefragt, also meine AD-Benutzerkonten plus die Domänenbenutzer, denen meine Domäne vertraut
Freigabenamen mit $ am Ende sind "versteckt"; administrative Freigaben C$, E$; Erinnerung an net share
NTFS (Zugriffsschutz auf Benutzerebene)
bitte feinere Berechtigungen gegenüber Freigabe-Rechten wiederholen; NTFS-Rechte vererben; Besitz übernehmen, Effektive Berechtigungen
Analyse Benutzerprofile (Tool: mklink)
kann die Symbolischen Verknüpfungen zu Verzeichnissen (symlinkd) oder Verbindungen (junctions) erstellen
siehe Befehlszeile (cmd) Hauptverzeichnis C: für "Dokumente und Einstellungen"; Analyse mit dir /a
Vertrauensstellungen
Active Directory-Domänen und -Vertrauensstellungen zeigt transitive, eingehende und ausgehende Vertrauensstellungen zwischen dombu.local und den jeweiligen sub0X.dombu.local (X = 1, 2), durch die transitiven Vertrauensstellungen vertrauen sich dann auch sub01 und sub02
Datenträgermanagement
Snap-In Console: diskmgmt.msc; Partitionierung von Daten-Laufwerk E:
Kurz-Rekapitulation zu Booten mit Extra-Partition seit Win8.1/2012R2; Fachbegriffe: MBR, Basisdatenträger vs. Dynamische Datenträger (z.B. für Software RAID mit Windows Server), GPT (GUID Partition Table) Volumes; Hinweise auf UEFI (Schneller, sicherer, Booten ab 2,2 TB, 64-Bit)
Technet-Artikel (MS) "Grundlegendes zu Datenträgerpartionen"
Gruppenrichtlinien (Group Policies)
Erstes Beispiel: (hier früher direkte Änderungen möglich für Kennwortrichtlinien)
Verwaltung - lokale Sicherheitsrichlinie - Kennwortrichtlinien -> alles GRAU!
Einstallungen ändern mittels Gruppenrichtlinienverwaltungs-Konsole gpmc.msc - Group Policy Management Console):
Default Domain Policy - Computerkonfiguration - Richtlinien - Windows Einstellungen - Sicherheitseinstellungen - Kontorichtlinien - Kennwortrichtlinien
Übung: Ändern der "Default Domain Policy" - Anpassen der Kennwortrichtilinien
Gruppenrichtlinienobjekt (Group Policy Objects - GPO)
sind in Management Konsole unter Gruppenrichtlinienobjekte zentral organisiert (Gruppenrichtlinienverwaltung - gpmc.msc) und dann als Verknüpfungen den jeweiligen Objekten zugewiesen; werden mit GP-Editor bearbeitet (gpedit.msc); bestehen aus zwei Teilen: Computerkonfiguration (machine) und Benutzerkonfiguration (user)
Zielobjekte für GPOs: Domäne, DCs, Standorte, OUs / UnterOUs
GPO-Optionen: nicht konfiguriert, aktiviert, nicht aktiviert - Optionen geben dann mit Vererbung über die Hierarchien Sinn (z.B. verschachtelte OUs)
auf HD des DC: C:\Windows\SYSVOL\sysvol\bu.lokal\policies (bzw.: C:\Windows\SYSVOL\domain\policies)
Standardfreigaben
NETLOGON: Freigabepfad zu C:\Windows\SYSVOL\sysvol\bu.lokal\scripts (die klassischen Anmeldeskripte seit NT)
SYSVOL: Freigabepfad zu C:\Windows\SYSVOL\sysvol (eine Freigabe über die dann auch die GPO mit Ordner policies erreichbar sind)
C$, Admin$: Administrative Freigaben mit angehängtem $ (das $ am Ende versteckt die Freigabe im Netz)
Übersicht mit net share in der Befehlszeile
Übung zu GPO
Beispiel: Anzeige deaktivieren
Neues GPO erstellen und bearbeiten: Benutzerkonfiguration - Richtlinien - Administrative Vorlagen - Systemsteuerung - Anzeige "deaktivieren"
Wichtig: nicht vergessen Verknüpfung zu gewünschter OU herzustellen
Tools: gpupdate /force (erzwingt Aktualisierung der Richtlinien - auch auf Clients sinnvoll); dcgpofix (kann die Richtlinienstandards für Domain und DC wiederherstellen
Anm.: die fertige Umsetzung der GPs kann einen Moment dauern, da die AD-Verwaltung einen internen Ablauf abarbeitet - noch "länger" bei vorhandenem zweiten DC, also einem "Backup-DC"
Tools
Task-Manager, Resourcenmonitor, Leistungsüberwachung
PowerShell 4.0
eine kurze Einführung: Cmdlet ("Kommandlets" bestehend aus Verb-Hauptwort: Get-ChildItem), ISE (Grafikoberfläche); PowerShell Version anzeigen lassen mit $PSVersionTable; Aufrufe immer mit "Tab" komplettieren; Hilfe mit Get-Help cmdlet also z.B.: Get-Help Get-ChildItem -full)
bitte Hilfe aktualisieren: Update-Help (mit Adminrechten)
BPA (Best Practise Analyzer)
erst Leistungsindikatoren starten (über Server-Manager) dann per PowerShell: Get-BPAModel | Invoke-BPAModel

IE Sicherheitskonfiguration
bginfo
Vertrauensstellungen
GPO
Gruppenrichtlinienergebnisse
ISE

Donnerstag

Donnerstag, 06.02.2014, 08.30 - 16.00 Uhr

Rekapitulation, TN-Fragen, Konfigurationen mit Hilfe von GPOs, ...tbc...
Wiederholung und Übungen zu GP (Roaming Profiles am Beispiel Favoriten/Favorites; Aufnahme von Domänen-Gruppen in lokalen "Spezialgruppen" wie Netzwerkkonfigurations-Operatoren), Forts. Freigaben mit Freigaben über Server-Manager (!) und DFS, ...
BPA checken
Bei AD DS Hinweise auf "Zeitdienst/Konfiguration" und "2. DC"
Server 02 (SRV02) mit statischer IP (Vorbereitung für Remotedesktopdienste am Fr)
Vorher/Nachher im DNS für Maschine SRV02 analysiert; nach Umstellung auf statische IP aktualisiert sich DNS selbstständig
Offline-Ordner / Roaming Technik
Hinweis auf die intelligenten Sync-Techniken auf binärer Ebene (wie auch bei Vorgängerversionen / Schattenkopien); z.B. 120 MB Photoshop-Datei wird gändert - dann werden nur die "binären Differenzen" ausgeglichen und nicht die komplette Datei übertragen
Server-Manager für Freigaben
Bereitstellung neuer Freigaben auf den verwalteteten Rechnern mit Hilfe des Server-Managers - Datei-/Speicherdienste - Freigaben
GP-Übungen
Wiederholung und Übungen zu den Group Policies am Beispiel der Ordnerumleitung für "Favoriten" (MS Internet Explorer); s.a. oben weitere Beispiele
An- und Abmeldeskripte per GPs: Benutzerkonfiguration - Richtlinien - Windows-Einstellungen - Skripts
Hinweis auf Assistent zur Gruppenrichtlinienergebnissen (s.a rsop.msc auf Clients nutzen)
Tools
dism - aktuelle Lizenz anzeigen (als Beispiel): dism /online /get-currentedition
slmgr - System License Manager (mit Parmeter /rearm lassen sich Aktivierungszeiträume 2* zurücksetzen)
net view \\dc00 - Ansicht der Freigaben einer Maschine im Netz
dcgpofix - Wiederherstellung von Standardrichtlinien für Domain und DC
DFS (Distributed File System)
Installation der Rolle und Verwaltungstools für DFS; Installation eines domänenbasiertem DFS-Stamms (in Active Directory - \\dombu.local\planungen) inklusive Replikationsgruppe; Diskussion der technischen Überlegenheit gegenüber manuellen Mappings von mehreren Netzwerk-Ordnern
Druckserver
technischer Vergleich mit Netzwerkdrucker - alles wie immer: bei Server (oder eigentlich Client/Server-Technik) sind hier die Treiber zentral auf Server, während Netzwerkdrucker (zwar auch im Netz verbunden sind) die Treiber jeweils auf den nutzenden Clients hätten!
Druckeranschlüsse: USB, LPT, TCP/IP, HP JetDirect, IPP, LPR (Line Printer Deamon für Unix)
Treiber beim Druckserver nicht nur für den 2012 R2 Server sondern ggf. auch für die Clients nötig (XP / Vista / Win7 / 32-Bit, Win7 32-Bit/64-Bit)
Spooling mit Spoolordner: C:\Windows\system32\spool/PRINTERS (Ordner besser auf Datenlaufwerk oder Speziallaufwerk) untergebracht
Begriffe: Queuing, Druckpriorität, Druckerpool, Treiber
Praxis: Installation "Druckserver" auf DC00 und veröffentlichen im "Verzeichnis"; auf Clients mit freigegebenem Drucker verbinden (Domänen-Benutzer sind berechtigt); Hinweis auf Gruppenrichtlinie in Benutzerkonfiguration für das automatisierte "Verbinden" mit den Druckservern im AD

Ordnerumleitungen
Richtlinie
Freigaben
netlogon
Anmeldeskripte
DFS

Freitag

Freitag, 07.02.2014, 08.30 - 16.00 Uhr

Rekapitulation, TN-Fragen
Planung: Remotedesktopdienste (mit RemoteApps), Hyper-V, PS Remote / PS WebAccess; TN-Frage zum Thema "Ereignisse überwachen" (Ereignisanzeige mit Aktionen, PS), SW-Installationen (*.msi per GP), Einblick in den Joos, ...
Software verteilen mit GP
am Beispiel spez. Mozilla Firefox MSI-Pakete (Link) die Installation mit Gruppenrichtlinie für Softwareinstallationen für den Bereich Computerkonfiguration'
Hinweis: parallel unter Benutzerkonfiguration nahezu gleiches GPO
Beachten: Computer in OU für die Verknüpfung mit dem erstellten GPO
Kauf-SW: siehe Empirum/ Neo42 (www.neo42.com)
Übersicht im AD
Gespeicherte Abfragen im der Konsole für "Active Directory- Benutzer und Computer"
Fernzugriff mit der PowerShell
Darstellung von PSRemoting und PowerShell WebAccess in eigenen Erklärungen (siehe Tab)
Anleitung für PSRemoting auch für Workgroup siehe Link
IIS (Internet Information Server)
kurzer Einblick im Rahmen der WebAccess Übung und im Vorgriff auf Remotedesktop
Remotedesktopdienste
Über Server-Manager Installation auf SRV02 - Entscheidung für "Auf virtuellen Computern basierende Desktopbereitstellung" vs. "Sitzungsbasierte Desktopbereitstellung" treffen; Remotedesktop-Verbindungsbroker, Web-Access für Remotedesktop, Remotedesktop-Sitzungshost - jeweils auh auf unterschiedlichen verteilbar; Benutzerprofil Datenträger (*.vhdx Dateien auf UNC-Pfad für RDUser), Globale Gruppe in richtiger Remotedesktopbenutzer Gruppe (lokal) aufnehmen, Sammlung erstellen und dann RemoteApps veröffentlichen; sichere Verbindung (https) auf srv02/rdweb
Hinweis auf Benutzerprofil Register "Remotedesktopdienste-Profil", Installationen der Programme mittels Tool "change user" mit Parameter /install, /execute - aktuellen Status mit /query
Hyper-V (Version 3)
Kurzdarstellung (ohne Funktion); Hinweis auf (möglichst) mehrere NICs und Vorbereitung der "Virtuellen Switches"
TN-Frage (Hr. S.) zum Thema: Ereignisse überwachen/loggen und Melden
a) Nutzen der "Benutzerdefinierte Ansichten" in der Ereignisanzeige und dann "Aufgabe an diese benutzerdefinierte Ansicht anfügen..."
b) mit Extra-SW (Beispiellink) die Inhalte der Ereignisprotokolle nach Syslog leiten
c) PowerShell Skripting: kurzes Beispiel mit "Get-Eventlog ..." (siehe: Get-Help Get-Eventlog -full oder eben -examples)
TN-Bescheinigungen, Feedback, letzte TN-Fragen

msi Softwarepaket
Softwareinstallation
Gespeicherte Abfrage
PSRemoting
PowerShell WebAccess
Neue Remotedesktopdienste

PowerShell Remote

PowerShell Übungen / Kurzanleitungen

PS Remoting
Anschalten mit:

Enable-PSRemoting -force

Nutzen nit:

Enter-PSSession ...

oder mit cmdlets, die die Option -computerName erlauben

PS WebAccess
Kurzanleitung gemäß T. Joos Server 2012 R2 "Handbuch" ab S. 1308 ff

Empfehlung: vorab IIS installieren

Variablen festlegen und mit Tool icacls eine Autorisationdatei festlegen und den IIS Anwendungspool kreiren:

$applicationPoolName = "<Name des Anwendungspools für PSWA>"
$authorizationFile = "C:\windows\web\powershellwebaccess\data\AuthorizationRules.xml"
c:\windows\system32\icacls.exe $authorizationFile /grant ('"' + "IIS AppPool\$applicationPoolName" + '":R') > $null

Autorisationsregeln für den Zugriff per PSWA für Benutzer/Computer-Kombination festlegen:
Add-PswaAuthorizationRule -UserName <Domäne\Benutzer | Computer\Benutzer> -ComputerName <Computername> -ConfigurationName <Sitzungskonfigurationsname>

Add-PswaAuthorizationRule -UserName Contoso\administrator -ComputerName srv1.contoso.int -ConfigurationName microsoft.powershell

Autorisationsregeln abfragen:
Get-PswaAuthorizationRule

Aufruf der PSWA-Website:
Link: https://<Servername>/pswa.

Vielen Dank für Ihr überaus freundliches Feedback und Ihr Interesse an weiteren Seminaren (PowerShell).
Ihr Trainer Joe Brandes