Skip to Content

IT nieuczesane.
category

Category: w-files

Windows Firewall na serwerach – GPO czy lokalnie?

GPO to wspaniały mechanizm pozwalający na centralną i automatyczną konfigurację. bez GPO jak bez ręki. okazało się, że braqje trochę innej funkcjonalności i do polis dodano preferencje – GPP. potęga.

Windows Firewall uległ totalnej modernizacji do Windows Firewall with Advanced Security, wraz z implementacją stosu TCP/IP i całym modelem zarządzania od longhorna. kolejny świetny mechanizm – w zasadzie od wersji Vista nie trzeba żadnego dodatkowego softu. ma swoje ograniczenia ale ogólnie sprawuje się świetnie. GPO pozwala na jego konfigurację co umożliwia centralne zarządzanie zabezpieczeniami sieciowymi. no i jest wspaniały mechanizm NLA – Network Location Awarness, który sam wykryje typ sieci i ustawi najbezpieczniejszy profil.

od wersji w7/w2k8R2 NLA zostało jeszcze rozbudowane, pozwalając na używanie kilq profili na raz! czyli przy dwóch+ połączeniach każde może działać z innym profilem.

ilość superlatyw sugeruje gruby sarkazm… a fakt jest taki: przy bardziej zaawansowanych konfiguracjach nie można konfigurować WFwAS za pomocą GPO a NLA – jak większość automatów – potrafi nieźle namieszać.

  • na początek proponuję taki oto wątek – jak się NLA uprze, to nie ma … we wsi.
  • nie ma możliwości tworzenia własnych typów profili ponad 3 zdefiniowane. zapomniano o tym, że w serwerach jest często, gęsto od połączeń różnych typów – management, iSCSI, direct connections, VLANs itp itd etc i inne trzyliterówki
  • jeśli skonfiguruje się WFwAS via GPO nie ma możliwości wyłączenia firewalla dla konkretnej sieciówki. nie ma też możliwości zdefiniowania własnej sieci, dla której profil będzie wyłączony
  • na serwerze nie ma możliwości zdefiniowania profilu dla konkretnej sieci – nie do końca rozumiem dla czego. nie ma też możliwości zrobienia tego via netsh
  • nie ma mechanizmu pozwalającego określić że sieć np. X.Y.Z.0/24 jest ‘private’ nadpisując mechanizm NLA. to nadal było by za mało ale już coś
  • GPP nie oferuje możliwości włączenia FW przez co nie mechanizmu do zrealizowania scenariusza ‘włącz podstawowy firewall by default a potem sobie dodefiniuj’ bo polisy będą nadpisywać. oczywiście jest mechanizm mergowania zasad FW więc można dopisać parę rzeczy ponad te z GPO ale zarządzania profilami, chwilowe wyłączenie FW czy zarządzanie filtrowaniem per interfejs nie jest możliwe.

reasumując – mam dylemat czy to rozwój czy niedorozwój mechanizmu zabezpieczeń. w każdym razie na serwerach – GPO do śmietnika. ręczne włączenie zasad ):

eN.

w-files: firewall bez firewalla

przypadek z tych niewyjaśnionych – ale przynajmniej z rozwiązaniem (:

otóż już nie pierwszy raz przytrafia mi się takie zjawisko nadprzyrodzone, iż Windows [tutaj jako maszyna wirtualna – poprzednim razem nie pamiętam] zaczyna odrzucać wszelkie pakiety przychodzące. no może nie wszelkie – bo te zainicjowane z systemu spokojnie docierają, co od razu wskazuje na jedyne realne rozwiązania – statefull firewall. problem polega na tym, że firewall jest wyłączony

UWAGA! dla niewtajemniczonych, ponieważ widziałem już takie próby rozwiązania – wyłączenie usługi Windows Firewall powoduje de facto włączenie pełnego filtrowania ruchu przychodzącego! a więc najszybszym sposobem zabezpieczenia komputera jest zabicie procesu systemowego MpsSvc.

restarty, instalacje updateów, przegrzebywanie logu systemowego/aplikacyjnego, zmiana IP – generalnie nic nie działa. testy polis IPSec – brak. o co więc chodzi?

pytanie pozostanie bez odpowiedzi. system działa w zasadzie poprawnie, komuniqje się z DC, z innymi serwerami, Internetem i w ogóle działa świetnie… tylko nie wpuszcza dokładnie żadnego ruchu.

rozwiązanie: usunąć interfejs sieciowy, wyszukać urządzenia żeby się ponownie zainstalował, skonfigurować.

eN.

jak zmienić język voice search

banalne… a zarazem nietrywialne (; w sumie zgodne z działaniem całego androida ale chwilę mi zajęło zanim się domyśliłem:

Q: po którejś tam kolejnej instalacji ROMa google voice nagle zaczął włączać się wyłącznie po angielsq. system jest PL, żadnych innych ustawień regionalnych ani opcji w panelu aplikacji nie ma… jak toto zmienić?

A: trzeba zacząć coś wyszukiwać – pojawia się ekran ‘speak now’ – nacisnąć ‘guzik opcji’ – zazwyczaj są 3 podstawowe dla urządzeń z droidem, i zazwyczaj to ten po lewej q: pojawi się menu ‘opcje’ gdzie można ustawić język. czyli w pełni kontextowo – brak ustawień globalnych.

przy okazji, po wielu testach, trafiłem w końcu na świetnego ROMa dla swojej xperii X8 gingerDX – nie dość, że 2.3, nie dość, że stabilny, to jeszcze super szybki – jak popierdółkę, jaką jest X8 to na prawdę super zoptymalizowany. na razie korzystam około tygodnia, więc jeszcze dużo do testów, ale póki co – najlepszy jaki testowałem. nawet hacdroid nie jest tak dobrze dopracowany.

i jeszcze taka ciekawostka: jakiś czas temu zacząłem mieć problem z ładowaniem – przy podłączeniu do ładowarki USB nie chciał ładować – jeśli jakimś cudem zaczął, to wystarczyło ruszyć urządzeniem i przestawał. przy podłączeniu do kompa zazwyczaj ładował dobrze chociaż i w tym przypadq czasem to nie działało. spodziewałbym się, że tego rodzaju problem to usterka natury fizycznej. tym bardziej, że pojawiła się ‘nagle’ i miała tendencję narastającą – najpierw ‘czasem niedziałał’, potem ‘czasem działał’ a w końcu ‘praktycznie nie działał’. tymczasem po reinstalacji ROMa zaczęło działać… no powiedzmy z 9o% prawdopodobieństwem q:

czy ktoś jest w stanie wyjaśnić takie zachowanie?

eN.

DFS i DFSR–czyli walenie głową w mur

początkowo założenie było takie:

  • na podstawie starych doświadczeń z DFSem i FRSem szybciutko postawię małą infrastrukturę
  • szybko przetestuję
  • napiszę panegiryk o tym jak wspaniała i wydajna jest to usługa.

miało być tak pięknie, a wyszło jak zwykle. może najpierw słowo wstępu dla tych, którzy z DFSem do czynienia nie mieli:

Distributed File System to [w skrócie] rozproszony system plików z redundancją. idea jest trywialna: definiuje się ‘namespace’ – czyli taki ‘share’, tyle że *nie* wskazuje on na konkretny katalog na konkretnym serwerze. jest wirtualnym tworem, pozwalającym zdefiniować wiele odnośników do kilku prawdziwych udziałów [shares] na serwerach. te kilka udziałów [konkretniej – dane przez nie wskazywane] są automatycznie replikowane/synchronizowane. w rezultacie użytkownik dostaje się pod określną nazwę typu “\domain.adfileserverABC” a system decyduje gdzie znajduje się najbliższy serwer i przekierowuje tam usera. jeśli serwer strzeli, to użytkownik zostanie [po jakimś czasie – to nie działa tak szybko jak klaster] przekierowany na inny, działający udział z tymi samymi danymi.

DFS powstał wraz z Windows 2ooo i wykorzystywał do replikacji usługę FRS – File Replication Services. cały system sprawował się świetnie w scenariuszach w sieci lokalnej, jednak ze względu na słabą wydolność FRS nie za dobrze radził sobie z replikacją przez sieć o słabych parametrach. największym problemem była wstępna replikacja – podczas której muszą zostać skopiowane wszystkie dane.

usługa z wersji na wersję była wzbogacana o nowe funkcjonalności. podstawową było zastąpienie FRS usługą DFSR [Distributed File System Replication] w Windows 2oo3 R2. podstawą ‘genialności’ i przewagi DFSR ma być wykorzystanie algorytmu RDC – Remote Differential Compression.

celem tego wpisu nie ma być deep-down DFSa [jeśli jest takie zapotrzebowanie to mogę taki cykl napisać] a raczej wyżycie się i wykrzyczenie na ten produkt. po raz kolejny eMeS pokazuje jak wspaniała idea i z definicji świetne narzędzie, może zostać spier*&ne i doprowadzić do białej gorączki. otóż po 3 tygodniach od utworzenia niemal najprostszej możliwej konfiguracji, nadal nie udało mi się zreplikować wszystkich danych. DFS jest jak księżniczka na ziarnq grochu – wystarczy pierdnąć w pobliżu serwera, żeby coś nie zadziałało prawidłowo.

scenariusz, jaki sobie wymyśliłem jest bardzo nieskomplikowany: chcę mieć HUB Server w centrali, na który replikowane są dane z serwerów branch-office’owych. te dane, będzie można łatwo zbackupować lokalnie. testy backupu przy pomocy Backup Exec Remote Agent były co najmniej niezadawalające – ponieważ kopia niezbyt dużej dawki danych trwała ok. tygodnia. zdalne serwery połączone są stosunkowo słabymi łączami 2/2MBps. DFS ze swoim wspaniałym DFSR korzystającym super-duper-hiper RDC wydawał się być lekiem na całe zło i nadzieją na system backupu. nie wspominając o oszczędności wynikającej z dużo mniejszej ilości licencji na BE Remote Agent.

Pierwszy fackup na jaki się natknąłem to [imho] beznadziejny model bezpieczeństwa. są dwa typy replikacji – ‘multipuprose’ oraz ‘data collection’:

image

o ile typ multipurpose wymaga zdefiniowania ‘namespace’ w którym będzie tworzyć się udziały, o tyle typ data collection tego nie wymaga – jest prostym wykorzystaniem DFSR do replikacji danych. jakie są limity:

  • w przypadku ‘multipurpose’ wymagane są uprawnienia ‘Domain Admin’ – name space rejestrowany jest w AD. nie da się wydelegować tworzenia name space – najpierw trzeba go utworzyć, potem można delegować. to ma jakiś sens, chociaż imho powinno dać się wydelegować możliwość utworzenia namespace. [hint –> być może da się ręcznie poustawiać ACL w AD?]
  • te same ograniczenia dotyczą ‘data collection’ z jedną dodatkową poważną głupotą… przy data collection nie jest tworzony name space, a mimo to może założyć go wyłącznie osoba z uprawnieniami Domain Admin!

DFSR, podobnie jak FRS faktycznie robi wpisy w AD i korzysta z niego jako ‘katalogu informacji’ – wystarczy spojrzeć do “CN=DFSR-GlobalSettings,CN=System,DC=domain,DC=ad” żeby zobaczyć, że są tam informacje o grupach replikacji i topologii. zakładając, że nie da się tego zrobić inaczej [dane muszą być w AD i nie można utworzyć DFSa w postaci AD-Free na member serverach] sprawdźmy dalej.

po utworzeniu prościutkiej topologii, synchronizującej pojedynczą strukturę katalogów, okazało się, że nie chce się replikować. w logach sporo błędów. nie trudno było trafić na art ‘top 1o common causes…’, i zlokalizować błąd konfiguracji: za mały rozmiar ‘stage folder’. ‘katalog tymczasowy’ dla DFSR musi mieć rozmiar co najmniej sumy 32 największych plików, które będą replikowane. na tym serwerze był to pewien problem, ale dało radę zrobić. to jednak w pewien sposób determinuje scenariusze wykorzystania DFS – raczej dla małych plików. jeśli na serwerze chcemy przechowywać duże pliki [video, backup, image] to ilość przestrzeni zarezerwowanej dla katalogu tymczasowego musi być olbrzymia. ciekawe, że głupie robocopy czy xcopy nie potrzebuje żadnej przestrzeni i działa prawidłowo – czy nie można wyliczyć hasha [czy co oni tam liczą] korzystając z żywego pliq? na blogu ludziqw tworzących DFS jest wręcz informacja: “idealnym stanem jest przyznanie katalogowi roboczemu wielkości równej sumy wszystkich plików". kiedy zapytałem owe osoby czemu takie wymagania – przecież to rozbój w biały dzień – oficjalne stanowisko jest “dyski są tanie, chcesz mieć DFSa to se qp większe”. hmmm…. chyba nie qpowali ostatnio ultra wide SCSI do trochę starszego serwera ani dysków do macierzy…

co jeszcze zwróciło  moją uwagę to interfejs – pod tym trywialnym GUI, gdzie wszystko robi się kilkoma kliknięciami, oraz wspaniałymi whitepapaerami opisującymi genialność usługi, kryje się całkiem sporo wymagań dla których step-by-step guide jest tylko początkiem drogi, a sama usługa może nie działać prawidłowo… z dość znacznej ilości powodów. owe top 1o prezentuje tylko najczęstsze błędy. prawdziwa jatka zaczyna się przy kłopotach z siecią.

pomimo prawidłowej konfiguracji wielkości katalogu roboczego i zniknięciu błędów 4ooo nadal dane nie repliqją się [po 2tygodniach mam 25GB z 4oGB], a logach pojawiają się błedy z kolejnego tysiąca: 5004 i 5014. pojawiają się w tej samej sekundzie – pierwszy mówi ‘straciłem połączenie’, drugi ‘odzyskałem połączenie’. najwyraźniej chwilowy problem z siecią poniżej 1sec wystarczy, żeby re
plikacja nigdy się nie wykonała. teraz pozostaje sprawdzenia co to za problem – skoro wykonanie xcopy nie powoduje zerwań sesji i redundancja na poziomie samego TCP wystarczy, żeby transmisji nie zerwać – czemu super-hiper-duper system replikacji stworzony z myślą o słabych łączach w biurach zdalnych, nie potrafi sobie poradzić?

póki co nie mam finalnej odpowiedzi na to pytanie. nie mogę niestety restartować serwera po kilka razy dziennie, żeby sprawdzić czy tuning parametrów TCP coś zmieni. a może trzeba stuningować całego DFSR?

i tak z prostego wizarda o kilq ekranach i trywialnej usługi zaprojektowanej do tego konkretnego zastosowania, okazuje się, że konfiguracja to modyfikacja masy parametrów na poziomie rejestru, które wpływają na wydajność całego systemu, podporządkowanie całego systemu jednej usłudze… kopiującej pliki!! 

a miało być tak pięknie…

eN.

Banki internetowe cd…

Mogę, to się Wam wyrzygam na temat kolejnego banku.
Multibank.
Wzięliśmy go, bo wyglądał sensowniej od Millenium, niestety nie wszystko złoto co się świeci. Interfejs internetowy ma dwa fantastyczne ficzersy:

1. Jeśli nie zautomatyzujesz zleconego przez księgową przelewu w terminie jego wykonania (np podatek 25-go) to przelew automatycznie staje się „przedawniony” czy jakoś tak i NIE MOŻESZ go wykonać ponownie, możesz go skasować i błagać księgową, aby wykonała całą robotę jeszcze raz, dzięki czemu nie spóźnisz się z przelewem dzień, tylko więcej… super.

drugi natomiast to wybitna mega opcja banku internetowego XXI wieku.

2. Księgowa przygotowuje przelewy, jeden, dwa, dwadzieścia. Autoryzujesz te przelewy, fajnie wiedzieć komu płaci się tę kasę. Bank niestety dodaje trochę dreszczyku emocji do Twojego działania i nie umożliwia takiej funkcjonalności, widzisz tylko tytuł przelewu i NIE WIESZ KOMU WYSYŁASZ KASĘ – tak jak to widać poniżej:
banki2
Autoryzujemy zatem w ciemno, jak kwota nie jest za duża, inaczej szukamy w fakturach, albo dzwonimy do księgowej.

Nasza klasa 2

Wybaczcie prozaiczność i przyczepianie się, ale nie mogę sobie tego darować.
Bank się nie wyrabia z obsługą zleceń… mam wrażenie że chomik.pl lepiej sobie radzi ze wzmożonym ruchem (??? wzmożony ruch w banku???, ale to jak jest kolejka do okienka…)… kolejna ofiara sukcesu… za dużo klientów…

Zlecenia

unizeto

kontynuując piątkowe walenie głową w ścianę muszę się jeszcze wyrzygać na Unizeto. znajomy poprosił mnie o pomoc przy wygenerowaniu i instalacji certyfikatu SSL. pierwszy odruch – chłopaq, bierz w thawte. korzystałem z tego z ich usług kilqkrotnie i nie miałem żadnych problemów. niestety – płatność tylko w peelenach i w ogóle ze względów politycznych firma polska. nie za bardzo wiedząc co robię postanowiłem zaufać Unizeto – Certum. czy to firma państwowa? bo cały ten portal wygląda jak napisany przez syna pana prezesa i ‘dla oszczędności’ postawiony na opensource’owych rozwiązaniach konfigurowanych przez studentów. kilka przykładów:

pierwsze kroki standard: zaqp przez WWW, wysłanie faktury, płatność, weryfikacja doqmentów. so far so good. no ale skoro zostały zaqpione certy to teraz chciałbym się zalogować do jakiegoś panelu zarządzania certyfikatami. po kilqnastu minutach walki postanawiam skorzystać z ‘chat z konsultantem’. dostaję odpowiedź ‘nie ma panelu zarządzania. dostaje pan zdrapkę i to się wpisuje <blablabla>’. jak nie ma panelu zarządzania to jak się nimi zarządza? poza tym wpisywałem jakieś hasło i login… to po co? ach. potem okazuje się, że jednak jest jakiś-tam panel i jest to e-koszyk w sklepie. super. na stronie głównej jest guzik ‘masz już konto w e-sklepie? zaloguj się’. ale logowanie się nie udaje. po jakiś dziwnych manewrach trafiam na inną stroną [potem już wiem, że jest druga strona, bo linka do niej jakoś niełatwo znaleźć] – i tam logowanie o dziwo działa [nie wiem w końcu czy są dwa sklepy…?] następnego dnia nie działa – odkrywam, że nazwa użytkownika, którym jest email, jest case-sensitive. od kiedy maile są case-sensitive nie wiem. śmierdzi linuxem q: dobra. umiem się zalogować – sukces! ale w wyniq tych wszystkich operacji klucz prywatny nie chce się sparować z publicznym [zapytanie pkcs generowałem ich interfejsem]. muszę zrevokować cert. zaczyna się jazda czyli komunikacja z działem reklamacji – ponieważ proces revoke, jak w każdym szanującym się systemie działającym przez WWW jest w pełni automatyczny, czyli wymaga telefonu, pani Kasi po drugiej strony, dwóch adresów mailowych i dużo cierpliwości. i teraz kolejne ułatwienie. w klepie dostaje się cert o numerze seryjnym np. 34590876. kiedy się go dostaje wygenerowanego ma juz numer 0x345678, kiedy się go odwołuje – dostaje się info, że cert o numerze seryjnym 3430008 został odwołany. qrva mać! no szybkie przeliczenie i przynajmniej jeden numer – przy odwołaniu – po przeliczeniu DEC-HEX się zgadza. fajnie się też koresponduje z reklamacjami kiedy pytają o numer seryjny – sami chyba mają problemy ze zorientowaniem się o który chodzi.

wnioski:

  • NIDY WIĘCEJ
  • używaj openSSL
  • polska… polska… to gdzieś w afryce?

jeśli macie doświadczenia z innymi urzędami w polsze to plz o wpis w komentarzu bo następnym razem.. szkoda zdrowia po prostu.

eN.

I/O w process explorerze

spodziewałem się, że po pojawieniu się w PE wskaźnika operacji I/O – wykresy sieci i dysq – w końcu będzie można przekonać się co młóci dyskiem. bardzo często podglądając procesy System Idle ma 9o+% a komputer jest totalnie nieresponsywny. a tutaj takie niemiłe zaskoczenie – już kilka razy sprawdzałem i SystemIdle ponad 9o%, obciążenie dysq i sieci minimalne a jedyne co działa to qrsor myszy. przy okazji dioda od dysq praktycznie nie gaśnie.

io

no i o co cho? czy PE pokazuje błędne odczyty, czy też te operacje dzieją się na tak niskim poziomie, że ich nie jest wstanie odczytać? i jaki to miałby być niby poziom? jedyne co mi przychodzi do głowy to procesy wewnątrz maszyny wirtualnej, ale czy w takim przypadq nie powinien pokazywać obciążenia z procesu vpc? zresztą przy robieniu tego screena [i ledwie dychającym kompie] żadna maszyna uruchomiona nie była.

no i to by było tyle z genialnego zastosowania );

eN.

na standardy

przeklinam tych, którzy mogli, a nie spowodowali, żeby klawiatura numeryczna i telefoniczna miała układ cyferek taki sam.

GRRR!!!!!

a teorii jest kilka: http://www.vcalc.net/Keyboard.htm 

eN.

limity dla sesji Remote Assistance

pojawiło się takie pytanie: czy da się ograniczyć liczbę kolorów i rozdzielczość przy sesji Remote Assistance?

nie udało mi się znaleźć bezpośredniej odpowiedzi tak/nie ale biorąc pod uwagę ten artykuł:

http://support.microsoft.com/kb/305898
oraz na podstawie tego, jak obsługiwane jest RDP – odpowiedź brzmi: nie, nie da się.

trochę dorabiając teorię do faktów, wynika to z tego, że jeśli sesja RA miałaby łączyć się z limitami – musiałyby one również zostać wprowadzona na stacji klienckiej. w innym przypadq wymagana byłaby ‘przebudowa’ całego mechanizmu, który na chwilę obecną działa [w dużym uproszczeniu] na zasadzie przekierowania strumienia obrazu. żeby możliwe było dwóch połączeń do tej samej sesji na dwóch różnych ustawieniach, wymagany byłby jakiś komponent pośredni, odpowiednio konwertujący w locie. w efekcie RA jest bardzo fajnym mechanizmem – jak się ma w miarę porządne łącza ):

*UPDATED*

jednak da się zmienić ilość kolorów – w każdym razie teoretycznie:

Q. Why does the color depth not match on both users’ computers?

A. Remote Assistance will detect if you have a dialup modem connection and reduce color depth to 8bit (256 colors). The color depth on the requestor’s screen is then sent to the helper to optimize performance.

ze strony wsparcia. pozostaje tylko znaleźć sposób jak zmusić RA żeby sądziło, że połączenie jest modemowe…

eN.