EFS – wierzcholek gory lodowej

zaczelo sie od wpisow w eventlogu:


Event Type: Error
Event Source: AutoEnrollment
Event Category: None
Event ID: 13
Date: 2005-10-19
Time: 10:15:17
User: N/A
Computer: XXX
Description:
Automatic certificate enrollment for local system failed to enroll for
one Domain Controller certificate (0x80070005). Access is denied.

dotyczylo jednego z kontrolerow domeny, a ze nie widzialem szczegolnej zmiany w dzialaniu calosci olalem to z braq czasu.
teraz kfaz wymyslil sobie, ze zakoduje pliki EFSem i okazalo sie, ze certfikat recovery agenta stracil waznosc.
no i sie zaczalo.
okazalo sie, ze polisy dla PKI sa co najmniej mocno zaniedbane. nigdy nie bylo to szeroko wykorzystywane wiec nie mialem potrzeby zagladac. ogolne procedury i tyle.
poniewaz jak rasowy geek najpierw wszystko probowalem zrobic nie siegajac po instrukcje, ni huhu nie chcialo zadzialac. znalazlem wiec step by step konfiguracje EFSa.
wszystko ok do momentu proby utworzenia Recovery Agenta, poniewaz wbierajac usera z wygenerowanym certyfikatem wypisywalo, ze ten user nie ma certyfikatu recovery agenta i zebym sie cmoknal.
udalo mi sie znalesc KB ktory dotyczy publikacji certyfikatow w domenie. i faktycznie podpadlem w jedna z kategorii. naprawilem wszystko i…
i nic.
znalazlem w domenie polise dotyczaca autoenrollmentu i byla wylaczona. wlaczylem
i nadal nic. caly czas przy probie wybrania usera mam komunikat:
„The selected user has no certificates suitable for Encrypted File System Recovery and cannot be added as recovery agent”.

az w koncu kiedy juz bylem bliski zalamania…

znalazlem w certificate templates, ze certyfikat dla recovery agenta ma odznaczone pole 'publish in AD’. te szablony sa niemodyfikowalne. skopiowalem szablon pod nowa nazwa, wsadzilem ten stary szablon jako nadpisywany przez nowy (tak na wszelki wypadek). potem z konsolki certsrv.msc trzeba usunac stary i dodac nowy.
teraz wszytko poszlo jak w instrukcji.

pozostaje pytanie – czemu sa takie durne defaulty?
czemu nigdzie nie ma opisu takiego scenariusza? przeciez niemozliwe, ze pierwszy mam taki problem…

ciekawe czy po tych poprawkach kontroler dostanie cert z autoenrollmentu… w kazdym razie teraz bede wiedzial gdzie szukac. to byl przyspieszony qrs 'PKI w praktyce’.

na dodanie smaczq: kiedy walczylismy z ISA w strazniq systemu pojawilo sie pytanie dot. ISA. dzisiaj pojawilo sie pytanie dotyczace certyfikatow… nice

monad – pierwsza walka

hurtowe kasownie nieuzywanych kont bylo dobrym powodem, zeby napisac pierwszy skrypt w monadzie:


MSH D:> type usun.msh
cut -f 1 -d ";" d:not_used.txt|foreach -begin {
$i=0;
} {
if($_ -like "LDAP*") {
cscript n:_scriptzumgr.vbs -u $_ --delete -YesAmSure
}
$i+=1;
} -end {
"processed $i records"
}

no i od razu pojawilo sie setki niedociagniec i wad. po pierwsze cut jest z SFU. o ile znalazlem metode 'substring’ (bo jest w tutorialsach) to brak repozytorium spowodowal, ze nie moglem znalesc odpowiednika 'instring’, o ile wogole istnieje. stad cut.
po drugie – wazniejsze, inny sposob parsowania PATHa – ktorego jeszcze nie do konca rozumiem powoduje, ze trzeba odpalac
cscript n:_scriptzumgr.vbs -u $_ –delete -YesAmSure
zamiast
umgr -u $_ –delete -YesAmSure
co wydaje mi sie duzo przyjemniesze ): mam nadzieje nad tym problemem troche posiedziec bo inaczej po prostu nie da sie tego uzywac.
no i najwazniejsze: msh ma w tzw glebokim powazaniu strone kodowa z jakiej sie uzywa. poniewaz usersi w pliku sa w 1250 z polskimi czcionkami to kretyn nie byl w stanie sprasowac znakow diakrytycznych ): co by nie zrobic korzysta z 1252.

to samo korzystajac z ceemdowego FORa bylo by latwiejsze, obsluguje odpowiednia czionke i jest szybsze… no ale czego wymagac od bety. pouczyc sie warto – kiedys to bedzie podstawowa konsola, a problemy beda rozwiazane w 2oo9 po wyjsciu SP1 dla VISTA server, wiec nie ma sie co martwic (;

DOD

przyczyna awarii lacza okazal sie 3com. odkrycie to jednak nie oznacza konca klopotow. dzisiejszy dzien jest zwienczeniem niepowodzen zeszlego tyg – lacze na uczelni dziala na pol gwizdka (moze nawet na 1/4), z domu nie moge polaczyc sie ze stronami w stanach bo cos padlo na styq telii i jakies ichniej sieci, nie moge sciagnac materialow i normalnie popracowac. przy logowaniu sie terminalami na moja maszyne przywitaly mnie ekrany 'application has crashed’ potem 'system shutting down’. na desktopie mam obrazek ktory pokazal sie pomimo, ze przy polaczeniu terminalami wylaczone jest pokazywanie grafiki desktopu. na obrazq tym jest napis
’shot down’, ktory zlowieszczo… a raczej zlosliwie podsumowal moje dzisiejsze starcie z siecia.
poniewaz nie moge pracowac, chcialem obejrzec sobie film. okazal sie byc tak fatalnej jakosci, z dzwiekiem jak z od sasiada z zasciany, ze sobie darowalem.
no a ten wpis? oczywiscie zapisuje to w notatniq, zeby wyslac pozniej, bo na blogspota dostac sie nie moge
[…]
6 7 ms 5 ms 6 ms war-b4-pos7-0-0.telia.net [213.248.96.6]
7 28 ms 29 ms 30 ms ffm-bb1-pos7-3-2.telia.net [213.248.96.25]
8 29 ms 29 ms 29 ms ffm-b3-pos4-2-0.telia.net [213.248.64.146]
9 30 ms 29 ms 29 ms france-telecom-02189-ffm-b3.telia.net [213.248.77.206]
10 43 ms * 43 ms po6-0.auvcr2.Aubervilliers.opentransit.net [193.251.132.74]
11 42 ms 43 ms 43 ms po3-0.pascr1.Paris.opentransit.net [193.251.128.118]
12 * * * Request timed out.
13 * * * Request timed out.

jesienny zmierzch internetu ):

czemu on to robi?

doprawdy po tylu latach windows mnie zaskaqje. bynajmniej nie pozytywnie:


MSH Z:> ipconfig /flushdns

Windows IP Configuration

Successfully flushed the DNS Resolver Cache.
MSH Z:> nslookup nexor
Server: lsd.pjwstk.edu.pl
Address: 10.1.1.1

Name: www.pjwstk.edu.pl
Address: 10.1.1.121
Aliases: nexor.pjwstk.edu.pl

MSH Z:> ping nexor

Pinging www.pjwstk.edu.pl [148.81.141.16] with 32 bytes of data:

Request timed out.

Ping statistics for 148.81.141.16:
Packets: Sent = 1, Received = 0, Lost = 1 (100% loss),
Control-C
MSH Z:>

jak sie pytam o adres, to odpowiada mi lokalnym. jak probuje pingnac to odpowiada zewnetrznym! co za bydle wredne. nie dosc, ze olewa DNS order to jeszcze taki niedeterminizm. ne comprende…


5 min pozniej…
ale go oszukalem drania. dopisalem mu 3ci DNS do listy. teraz zewnetrzny jest w srodku:
dns1: 10.1.1.1
dns2: 194.204.159.1
dns3: 10.1.1.2
hehehehe… teraz nslookup sprawdza z pierwszego, a ping z niewiadomowych powodow odpytuje od konca…


kolejne 5 min pozniej…
cholera. to nadal nie jest deterministyczne. teraz to juz wogole nie wiem o co chodzi @_@

zdazenie specjalne

straznik systemu w toku a my mamy swoje zdazenie specjalne – przez caly dzien konfigurowalismy ISA servery w rozych wersjach. od kilku dni nie dziala lacze i jest to najwiekszy fuckup w historii uczelni. tak tragicznie, tak dlugo, to jeszcze nie bylo. po usilnych walkach pingwiniazy wszelkie teorie legly w gruzach i qpa. kilka roznych instalacji nie dalo rezultatu. dzis my – czyli windziaze, mielismy na prawde niezla zabawe – testowalismy czy to na pewno nie zalezy od systemu.
postawilismy wiec najpierw ISA enterprise na celeronie 8oo z 1G ramu. 1oo% procka obciazone prawie caly czas. potem postawilismy ISA standard na p4 4Ghz z 2G ramu. calosc dzialala nieporownalnie lepiej ale nieatpliwie ISA jest zasobozerna i lepiej dzialalo na drugiej konfiguracji, ale ogolnie niczego to nie zmienilo.
kolejny telefon do NASKu, dlugie oczekiwanie i specjalista stwierdzil, ze wszytko u nich niby hula.
no to teraz dopiero jest dupa – u nas na pewno jest dobrze [przez 2 dni przetestowalismy juz wszelkie systemy z kazda mozliwa konfiguracja], u nich dobrze… karta raczej w pozadq. no nie ma h* w miescie! gdzies musi byc cos nie tak!
setki userow – studentow, kadry [no i my sami tez!] dostaja juz bialej goraczki. nie dziwie sie. dzis sie nie wqrzalem tylko dla tego, ze caly dzien mialem niezly ubaw sprawdzajac ise.
z ciekawych rzeczy, o ktorych na qrsach jakos nie mowia – po pierwsze wer. standard nie da sie zarzadzac z mmc, trzeba sie rdesktopowac, po drugie nie ma SNATa. dziwne, w RRASie jest. juz nawet zaczalem kombinowac z odpaleniem obu na raz – RRASa wraz ISA, ale niestety czas mi sie skonczyl. no i wspalnialy ficzer – export/import do xml’a nie dzialaja miedzy roznymi wersjami – ent/standard ):
pingwiny znow stlukly okna, i router sobie stoi z powrotem na linuxie. teraz pozostala jedna opcja – niech specjalisci z NASKu nas odwiedza, bo ja nie widze innej opcji.

tratata

poki co problem nalezy grupy 'l-files. mistery unsolved’. poniewaz dostalem od iscg do testow rimapp’a, czyli ISAServer appliance, i poniewaz mamy lacze backupowe DSL od tepsy, wiec teraz mam w pelni wlasne lacze i w koncu wszystko dziala jak powinno. ze tez nie wpadlem na to wczesniej q:

lacze zdechlo

nasze lacze ledwie zipie. zrobienie tego wpisu trwalo ok 2h – tyle razy musialem probowac polaczyc sie z serverem i wyswietlic strone… no i jeszcze trzeba nacisnac publish… eh…
jest powod, zeby pouczyc sie monada, a musze powiedziec, ze jest w nim troche zaskaqjacych idei. bardzo duzo funckji jest opisanych jako 'not yet implemented’.
w miedzyczasie [to takie miejsce zawieszone pomiedzy poczatkiem a koncem] resynkuja sie dyski w raid’dzie. kolejne kilka h.
dzien oczekiwania. trzeba sobie jakos organizowac czas. zycie bez netu to straszna skucha

Monad – pierwsze wrazenia

microsoft poinformowal, ze monada w viscie nie bedzie [ps. ciekawostka: podobno microsoft ma zagwozdke co zrobic z windowsem vista w , poniewaz to po ichniemu oznacza kogut]. nie zdazyli tego skonczyc, chociaz wydaje mi sie, ze jest szansa, ze jednak monad sie pojawi. obecnie dostepna jest wersja beta2 ktora wymaga .NET frameworka 2.o beta 2. oba produkty w ciagu najblizszych miesiecy powinny osiagnac status RC.
jakie sa pierwsze wrazenia? ciezko sie przestawic do wpisywania 'msh’ zamiast 'cmd’. odpala sie dlugo. wszystkie podstawowe narzedzia i 'first look’ jest w zasadzie bardzo zblizony do cmd.
in plus:
– dziala czesc komend linuxowych np. grep, ls, ps, kill etc. jest nawet VI!! niestety nie ma vima i niestety np. ls ma bardzo ograniczona funkcjonalnosc a wiec jest to in plus ale w ograniczonym znaczeniu ls i dir sa zreszta aliasami polecenia 'get-childitem’. baaaardzo duze podobienstwo do linuxowego basha i pingwinowych narzedzi.
– odobno jest potwornie rozbudowany jezyk skryptowy oparty o .NET framworka, poki co jescze do tego nie doszedlem. sciagnalem dokumentacje ale poki co tylko 'pierwsze wrazenia’.
– narzedzia w koncu robudowane, uporzadkowana skladnia [kto pisze/pisal w cmd ten wie o czym mowie], dostepnosc help, man.
– przy wykonywaniu 'cd’ zniknal parametr '/d’ i jesli podaje sie inny dysk, automatycznie zmieniany jest kontext – w koncu!
in minus:
– calosc dziala troche topornie – sa widoczne opoznienia podczas wykonywania polecen
– ruchamiajac np. skrypty vbs uruchamiaja sie one w okienq cmd. co wiecej, podobnie jak pod linuxem, defaultowo ’.’ nie jest pathie przeszukiwania wiec trzeba wpisywac ’./script.vbs’. jesli wpisze sie natomiast 'cscript script.vbs’ dziala ok, poki co nie mam pojecia z czego to wynika.
– help jest wyswietlany po uzyciu parametru ’-?’ co nie jest ani notacja windowsowa ani linuxowa. generalnie zauwazylem, ze wprowadza sporo drobnych zmian w notacji, nie korzystajac z istniejacych, co wprowadza zamieszanie – z jednej strony wyglada jak linux, z drugiej jest pod winde, a notacja czasem taka, czasem inna, a czasem wogole jakas dziwna. na pewno bedzie wymagal troche czasu, zeby sie przyzwyczaic, obyc i przestawic.
– klawisz TAB dziala tak jak w cmd a nie tak jak w bashu – potrafi wyszukac tylko pliki i katalogi w obecnym katalogu, nie potrafi dokonczyc komendy wykonywalnej dostepnej w pathie, nacisniecie taba nie wyswietla wszystkich dostepnych opcji ale dokancza pierwsza dostepna. jest bardzo duze in minus, bo jest to jeden z najwazniejszych, najwygodniejszych mechanizmow, ktore powoduja, ze shell staje sie duzo latwiejszy w uzyciu.

…no to testuje dalej. sprobuje jakis skrypcik pierwszy napisac (:

u mnie dziala – ver1.o

no i prosze. dobrze miec takich zdolnych grafikow (: wyslalem tylko co do poprawki i oto wersja finalna na koszulke:

tylko gdzie mozna qpic t-shirty w tak pieknym kolorze!? ): najwyzej bedzie czarny.
a jesli ktos chcialby sobie taka koszulke tez zrobic to cdr do zassania.

ps. seth ma wiele twarzy i prosil, zeby podpisac mesjasz. ^_^
zycze szybkiego ukonczenia pracy. przestan sobie znajdowac 1ooo spraw zeby tylko sie oderwac (;