Skip to Content

IT nieuczesane.
author

Author: admin

IIS6 i Apache na jednym serwerze

Wydaje sie być banalnie proste. Dwa rożne porty albo dwa rożne adresy IP, ja wybrałem drugi scenariusz i natknąłem sie na jeden problem. Mianowicie IIS nawet jak ma skonfigurowany site na jeden adres IP (np. 10.10.10.101 : 80 ) to i tak będzie nasłuchiwał na wszystkich adresach i otworzy sobie 0.0.0.0 : 80 czym skutecznie przyblokuje Apacha działającego na innym IP (powiedzmy 10.10.10.201 : 80 ).

Aby temu zapobiec trzeba przestawić całego IIS żeby słuchał tylko na konkretnych adresach IP (wtedy zapomnijcie o skonfigurowaniu 10.10.10.201 :8080 obsługiwanego przez IIS ). Potrzebne nam będzie do tego narzędzi httpcfg z Support Tools (jesli jeszcze tego nie masz to zainstaluj natychmiast :) ). A potem:
httpcfg query iplisten powie nam na jakich adresach nasłuchujemy
httpcfg set iplisten -i 10.10.10.101 ustawi nam jeden adres
restartujemy IIS poprzez net stop http, net start http i mamy pozdrowiony temat.

Więcej na ten temat tutaj

Podłączanie sie do sprzętu Cisco z MacBooka

Krok 1. posiadać port RS232 :-) czyli kupić sobie przejściówkę USB to RS232
Krok 2. zainstalować sterowniki i tu pojawia się problem bo chiński producent pewnie nie ma swojej strony z supportem a nawet jak ję ma to nie ma na niej sterowników do Mac OS X. Na szczęście (prawie)wszystkie przejściówki używają jednego scalaka dlatego powinien nam zadziałać sterownik IOGear.
Krok 3. zainstalować terminal. ZTerm wydaje się dawać sobie całkiem nieźle radę :)
Krok 4.
switch#show version
Cisco IOS Software, C3560 Software (C3560-IPSERVICES-M), Version 12.2(25)SEB4, R
ELEASE SOFTWARE (fc1)
Copyright (c) 1986-2005 by Cisco Systems, Inc.
Compiled Tue 30-Aug-05 14:19 by yenanh

ROM: Bootstrap program is C3560 boot loader
BOOTLDR: C3560 Boot Loader (C3560-HBOOT-M) Version 12.2(25r)SEC, RELEASE SOFTWAR
E (fc4)

Switch uptime is 45 minutes
System returned to ROM by power-on
System image file is "flash:c3560-ipservices-mz.122-25.SEB4/c3560-ipservices-mz.
122-25.SEB4.bin"

cisco WS-C3560-24TS (PowerPC405) processor (revision D0) with 118784K/12280K byt
es of memory.
Processor board ID CAT1022N1FU
Last reset from power-on
1 Virtual Ethernet interface
24 FastEthernet interfaces
2 Gigabit Ethernet interfaces
The password-recovery mechanism is enabled.

–More–

Pozwalanie użytkownikom na uruchamianie/zatrzymywanie serwisów

Mamy na stacji zainstalowanego Apacha, Network Inspectora czy Flash Server i nie chcemy żeby chodziły one przez cały czas i bezsensownie zżerały nam zasoby. Chcemy pozwolić użytkownikowi na uruchamianie/zatrzymywanie serwisów i nie nadawać mu zbędnych uprawnień. Najprościej jest to zrobić ustawiając z poziomu domeny odpowiednią polisę która ustawi odpowiednie ACL na dany serwis (tak serwisy też mają ACL :o ).
Co jednak zrobić w momencie gdy komputer nie jest w domenie? Zawsze wydawało mi się, że wszystko da się ustawić w Local Security Policy. Windows + R wpisuję secpol.msc (albo gpedit.msc, jak kto woli ;) ) enter i nie ma serwisów :-o . Wszystko wskazuje na to, że nie da rady tego ustawić lokalnie jednak z pomocą przychodzi Security Configuraration and Analysis (dla nieświadomych start -> run -> mmc -> ctrl+m -> add -> Security Configuraration and Analysis ). Dodaję nową bazę, importuję template (dla bezpieczeństwa polecam setup security.inf), analizuję komputer, po czym kiedy już pokaże mi się drzewko wchodzę w System Services wybieram interesujący mnie serwis i ustawiam mu ACL’ki :) .
Ciekawe czemu jest to wycięte z interfejsu w secpol.msc? Po co wycieli coś co i tak da się ustawić? bez sensu…

Po tem jeszcze warto dać użytkownikom narzędzie pozwalające na wygodnie uruchamianie/zatrzymywanie serwisów. Może to być prosty batch wyglądający mniej więcej tak:
NET START "Nazwa serwisu"
albo tak:
NET STOP "Nazwa serwisu"

A gdybyśmy chcieli pisać to w Visual Basicu (np. po to żeby sprawdzać coś zanim nasz serwis wstanie, zrobić ładny interface graficzny itp. itd.) to przyda się ten kawałek kodu:

' Uruchom zatrzymaj serwis
option explicit
dim queryString
dim Service, ServiceSet

queryString = "select * from Win32_Service where Name=’Nazwa serwisu’ and State=’Stopped’"
Set ServiceSet = GetObject("winmgmts://.").ExecQuery(queryString)

if ServiceSet.Count <> 0 then
WScript.echo “Uruchamiam serwis”
for each Service in ServiceSet
Service.StartService()
next
else
WScript.echo “Jesteś kretynem, serwis już działa”
end if

Synchronizacja czasu z NTP

Maci podłączone do domeny, wszystko działa pięknie. Sprawdzamy czy działa Windows (dual-boot), restartujemy kompa pod Mac OS X. Wpisujemy login/hasło (poprawne), chwile czekamy, ekran się trzęsie i tyle. Na konto lokalne można się zalogować bez problemu tylko czas jest jakiś dziwny i przesunięty o 2 godziny.
Wiadomo, Kerberos ma rozjechany czas i przez to bilety się momentalnie przedawniają. Przyczyna rozjechania czasu też jest prosta, OS X jak każdy szanujący się system ustawia hardware clock w GMT i potem softwarowo dodaje/odejmuje czas żeby dostosować się do strefy czasowej. Windows za to ustawia hardware clock na czas lokalny.
No dobra, problem powinno nam załatwić ntp ale w /etc/ntp.conf wszystko jest skonfigurowane poprawnie i dalej nie działa.
Szybkie wstukanie
root# ntpdate
Looking for host ntp.pjwstk.edu.pl and service ntp
host found : ntp.pjwstk.edu.pl
14 Feb 14:15:05 ntpdate[1420]: the NTP socket is in use, exiting

i problem zajętego socketu :-) Szybkie śledztwo i okazuje się, że port jest zajęty przez ntpd, który powinien automatycznie synchronizować czas z serwerem ntp. Jedynym problemem jest to, że ntpd synchronizuje czas powoli małymi krokami tak żeby system nie zagubił się jak nagle wypadnie mu kilka godzin albo syslog się cofnie. Czyli może za kilka dni czas się zsynchronizuje i logowanie do AD zacznie działać :-)
Rozwiązanie jest proste :D zabić ntpd i zsynchronizować ręcznie czas z ntp.

Z Pstrykiem napisaliśmy coś takiego:

root# cat /usr/sbin/ntpupdate.sh
#!/bin/bash

/usr/sbin/ntpd
/usr/bin/killall ntpd

RET=1
TIME=15
while [ $RET -ne 0 ] && [ $TIME -gt 0 ]; do
/usr/sbin/ntpdate adres.serwera.ntp >> /var/log/ntpupdate 2>&1
RET=$?
TIME=$(($TIME-1))
sleep 1
done

Po czy do /etc/rc dopisaliśmy:

# By Pstryk & Kfaz ;)
/usr/sbin/ntpupdate.sh

Kolejny workaround, dziwny ale działający :-)
Podobno nowe sterowniki dla Windows z BootCamp poprawiają ten problem i Windows nie zmienia czasu w hardware clock

Odmontowywanie dysków Windowsowych na dual boot’ach

Scenariusz jest prosty. Maki mają triple-boot (Mac OS X, Win XP, Linux) i użytkownicy nie mogą mieć dostępu do innych partycji systemowych z poziomu Mac OS X. Chociażby po to żeby nie grzebali w plikach konfiguracyjnych, nie wyciągnęli bazy SAM czy żadnych innych rzeczy, których przeczytanie nie byłoby dla nas zbyt miłe :) Sprawa wydaje się banalnie prosta, wystarczy, tak jak w poprzednich wersjach Mac OS X, przeedytować /etc/fstab i pozamiatane. Jednak po otwarciu tego pliku okazuje się, że coś się zmieniło i pokazuje się coś takiego:
IGNORE THIS FILE.
This file does nothing, contains no useful data, and might go away in
future releases. Do not depend on this file or its contents.

i weź tu człowieku bądź mądry kiedy zamiast jednego statycznego pliku pojawia się automounter (/sbin/autodiskmount), który oczywiście jest binarką :) No dobra, ale automounter skądś jest wywoływany. W tym przypadku będzie to /etc/rc.netboot gdzie montowane są wszystkie dyski podczas instalacji. Po napisaniu kilku if’ów okazało się, że mój szczwany plan z filtrowaniem co montujemy nie zadziałał :-( a że czas naglił trzeba było to załatwić w inny sposób :-) Mały (niezbyt elegancki) workaround polega na odmontowaniu dysków kiedy automounter już je podmontuje :-D . Aby to zrobić wystarczyło w /etc/rc dopisać trzy linijki:
#odmontowanie dyskow windowsowych
umount /dev/disk0s2
umount /dev/disk0s6

Wiem, że to nie jest najsprytniejszy patent ale działa ;-)

Keyring a konto domenowe

Mój breloczek na koncie domenowym zabezpieczony jest hasłem z Active Directory, ustawienie standartowe dzięki temu mam prawie single sign-on, hasło domenowe zabezpiecza moje certyfikaty itd.
Problem pojawia się kiedy hasło domenowe się zmieni z poziomu czegoś innego niż nasz stacja pracująca pod Mac OS X. Po takiej zmianie logujemy się używając nowego hasła domenowego i zaraz po zalogowaniu musimy wpisać hasło do breloczka, które jest… naszym starym hasłem ;) Aby uniknąć tej upierdliwej czynności i logować się tylko raz należy zmienić sobie hasło do breloczka korzystając z Keyring Access. Rzecz prosta ale irytująca. Chociaż patrząc z drugiej strony w Windows jest podobny problem (utrata lokalnych certyfikatów w momencie resetowania hasła do konta lokalnego).

Przydatne narzędzia do zabawy netInfo z poziomu konsoli

Dzisiaj instalując Oracle na Mac OS X znalazłem parę fajnych narzędzi pozwalających na dostanie się do netInfo z poziomu konsoli i wpisanie wszystkiego bez latania po drzewkach w interfejsie graficzny. Super sprawa dla osób robiących coś przez SSH albo zakładających konta za pomocą skryptów.

Manipulacje na obiektach w katalogu:
Tu z pomocą przychodzi nam narzędzie nicl. Pozawala ono m.in. na tworzenie obiektów, ich kasowanie, modyfikacje, przeszukiwanie, czytanie i kopiowanie. Jeśli kiedykolwiek będziesz odtwarzać swoje netInfo z backupu to z pewnością nicl będzie do tego niezbędne. Składnia jest prosta: nicl [options] datasource [command], na przykład założenie użytkownika wygląda tak
# nicl . -create /users/loginname
# nicl . -append /users/loginnameuid 601
# nicl . -append /users/loginname gid 600
# nicl . -append /users/loginname shell /bin/bash
# nicl . -append /users/loginname home /Users/loginname
# nicl . -append /users/loginname realname "Imię i nazwisko usera"

Potem przyda się jeszcze zmienić komuś hasło:
# passwd loginname
i mamy wszystko gotowe.
Katalog domowy stworzy się sam przy pierwszym logowaniu na podstawie tego co jest w /System/Library/User Template . Z szablonami oczywiście można się pobawić ale zostawie to sobie na oddzielny wpis :)
Każdy bardziej dociekliwy może sobie poczytać o tym narzędziu wpisująć w konsoli man nicl :)

Powitanie

Jako, że jestem tu nowy to wypadało by jakoś zacząć i się przywitać. Ponieważ przenoszę się z innego miejsca to pozwolę sobie przerzucić notki więc proszę się nie zdziwić jak w najbliższym czasie pojawi się wysyp notek podpisanych przeze mnie, nie jestem aż tak płodny i nie zdominuję w-files swoją twórczością.
A czego możecie się po mnie spodziewać? Czym są dla mnie blogi techniczne? Myślę, że pisząc publicznie o tym co robię staram się podzielić swoimi doświadczeniami z innymi i chcę gdzieś spisać to co zrobiłem żeby potem nie robić tego od nowa, raczej nie staram się być opiniotwórczy, lansować pewnych produktów czy udowadniać wyższości A nad B (tu proszę wstawić nazwy wybranych świąt, systemów operacyjnych czy producentów procesorów)