vermin.eu.org

Jestem sobie po urlopie. Relax, luz (bo sprawy pokończyłem w większości przed wyjazdem - więc nic nowego się jeszcze specjalnego nie uzbierało). Dodatkowo odświeżona stacja robocza - koledzy z helpdeska przeinstalowali system. Ok - może luz nie w pełni, bo wieczorkiem chciałem dostać się na stację przejrzeć trochę logi. VPN zestawiony, remote desktop się włącza… i pupa. Stacja pinga, fw na pewno nie blokuje - bo GPO narzuciło odpowiedni profil domenowy a tu nic.

Na szczęście sprawa jest banalna:
1. Uruchamiamy regedit,
2. Podłączamy się zdalnie do komputera.
3. Wchodzimy do klucza HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server
4. I zmieniamy wartość fDenyTSConnection na 0.
5. W ten sposób zdalnie włączyliśmy zdalny pulpit.

Podczas troubleshootingu (jak to by było po polsku? ;-)) łączności z siecią trzeba było wykonać test blackhole routers - czyli routerków, które nie puszczają pakietów o okreslonej wielkości przez sieć. Ponieważ polecenia ping i komunikaty z systemów Windows i Linux mocno się różnią, gwoli przypomnienia dorzucę (opierając się na IPku WP.pl):

To polecenie nakazuje nie fragmentować pakietów i ustawia ich realnąwielkość na 1500 - czylitypową dla pakietów ethernet. Jeśli w linuksie nie dostaniemy żadnej informacji, a w Windows Pakiet musi być podzielony na fragmenty, ale ustawiono opcję DF, to oznacza, że niestety, po drodze coś nie bangla.

Jak sobie z tym poradzić? Dla systemów rodem z Redmond polecam odpowiedni artykuł z KB, zaś dla linuksa wystarczy polecenie: ifconfig i odpowiednie MTU

Mój kochany laptop, z wiecznie zbyt małym dyskiem (ach te VPCs), nagle, po dołączeniu do niego po raz wtóry zewnętrznej kieszeni nie podmontował mi kolejnej literki dysku jak to miał w zwyczaju. Trochę się zdziwiłem, bo dysk jak słychać pracuje, dioda się świeci a tu nic.
Szybkie spojrzenie do device managera (i uac prompt…) pokazało żółty trójkącik na urządzeniu i błąd mówiący, że to urządzenie ma uszkodzoną informację w rejestrze. Próby typowego naprawienia sytuacji (miałem czas), czyli: wypnij i wepnij dysk, wypnij dysk, reboot windowsa i wpięcie dysku nie dały rezultatu. Szybkie wyszukiwanie zwróciło mi artykuł KB929461 - Po uaktualnieniu komputera do systemu Windows Vista stacja dysków CD lub DVD nie działa w oczekiwany sposób. Fajnie, fajnie, ale grzebać szukać kluczy rejestru o dziwnych nazwach mi się nie chce i nie ufam im. Rozwiązanie okazało się jeszcze banalniejsze - i (u mnie!) zadziałało. Usuń urządzenie, wypnij urządzenie i wepnij ponownie. Poczekaj aż Windows doinstaluje sterowniki… i voila. Kiedyś czytałem absuraldny art o tym jak ciężko jest zapsuć Windowsa (nie sterownikami albo operacjami kernel mode), ale to pokazuje, że to naprawdę żywotna hydra

Grzegorz Tworek uruchomił w końcu quiz2008 o nowej wersji windows server. Czas szybko się doszkalać. Styczeń na razie szykuje się spokojnie (mało realnej pracy, dużo biurokracji i pisania papierów pod rzeczy które mają się dziać w dalszych częściach roku), wiec powinien się na to znaleźć czas. Pozyjemy - zobaczymy. Na pewno będzie interesująco

Dostałem czas temu już długi nowy sprzęt firmowy - całkiem przyjemne FSC e8210. Zabawka fajna, z Vista Business na pokładzie, (będąc przy systemie chciałbym nadmienić, że po etapie konfiguracji laptopa do swoich potrzeb kiedy to kląłem ten system i jego konfiguratory na czym świat stoi, przyzwyczaiłem się, bo raczej nie przekonałem), niemniej wciąż mi coś niedomagało. W szczególności brakowało mi niektórych jedynie dużych polskich liter. Problem w zasadzie rzadko występujący (po co komu duże polskie litery), niemniej denerwujący. Oczywiście zarówno przeglądarka jak i programy Office pozwalały mi przez dłuższy czas obejść się bez tych liter, ale było to conajmniej denerwujące, żeby nie powiedzieć, upierdliwe. Dziś w końcu stwierdziłem, że:

• albo w końcu znajdę przyczynę na zasadzie eliminacji
• albo spróbuję znaleźć metodę programową tego problemu

Udało się na szczęście to pierwsze, jak zwykle, po niesławym zabierającym “ł” programie ATI, teraz całkowicie do szczęście zbędny, a przez niedopatrzenie ładujący się z automatu Intervideo WinCinema Manager zabierał całą gamę skrótów <alt gr> + <shift> + Ó lub Ę lub Ą lub Ś albo Ż. Nie wiedzieć czemu oczywiście, bo nie reagował na naciśnięcie tych klawiszy żadną rozsądną ani nawet nierozsądną akcją. Dodatkowo nie ma tych klawiszy podpiętych w konfiguracji tego magicznego programiku i znalazłem go na zasadzie eliminacji (iteracyjnieidąc algorytmem: zabij aplikację[i], sprawdź działanie klawiszy, i++).

Sprawa rozwiązana, ale problem szerszy został. Podpinałem się wieloma programikami mapującymi klawisze pod klawiaturę i o ile mogłem spokojnie zdefiniować własne zdarzenia, to żaden ze znanych mi programów nie potrafił mi pokazać co jest pod daną kombinację klawiszy podpięte. Ja oczywiście wiem jak się podłączyć pod daną kombinację klawiszy, (SetWindowsHookEx), ale jak uzyskać zestawienie wszystkiego co jest już zdefiniowane? Ktoś (no może nie konkretnie Ty ;-)) ma jakąś sugestię?

SBS lubi być sam. Sam możnowładnie pełnić rolę pana i władcy. Nie lubi, kiedy cokolwiek mu przeszkadza. Ba, wyjątkowo źle reaguje jak coś mu przeszkadza, zazwyczaj to wyłączając. Niestety nie odłącza zewnętrznego urządzenia (może Centro/MBE dzięki NAP będzie to potrafić?), a wyłącza swoje funkcjanolności, w skrajnej sytuacji wyłączając sam siebie. Jak się okazuje, można zabronić mu wyłączania serwera DHCP w momencie gdy wróg pojawi się w naszej sieci (albo testowo włączymy routerek, odpalimy serwerek linuksowy nie rekonfigurując portów VMa czy cokolwiek innego). Okazuje się, że można przestrzec się przed tak trywialnym problemem w wyniku którego nagle przestaje działać nam sieć. Wystarczy uruchomić edytor rejestru, przejść od klucza HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Dhcpserver\Parameters a następnie dodać w nim wartość typu DWORD o nazwie DisableRogueDetection i wartości 1. Restart serwera (hahaha) i voila - działa.
Oczywistym minusem tego rozwiązania jest fakt, że jak wyłączymy wyłączanie serwisu DHCP w sieci, to otwieramy się na swoisty wektor ataku, polegający na tym, że wstawia się wrogi serwer dhcp do sieci, on ustawie siebie jako proxy i przechwytuje ruch do sieci. Niemniej oczywiście mamy wdrożonego IPSec’a i nie musimy obawiać się takich prozaicznych ataków. Prawda?

Skoro wspomnieliśmy już ogólnie o tym cóż to to monitorowanie jest, warto by wszystko skonfigurować, żeby móc cieszyć nasze oczy pięknymi grafami/tabelkami/wykresami czy też jakąkolwiek inną reprezentacją zbieranych danych.

1. Instalacja
Przede wszystkim musimy zainstalować oprogramowanie agentów. W wypadku systemów Windows ścieżka jest prosta:
Panel Sterowania -> Dodaj lub usuń programy -> Składniki systemu Windows -> Narzędzia zarządzania i monitorowania. Po chwili mamy już zainstalowanego agenta.
W Debianie sytuacja jest także prosta. Wystarczy zainstalować paczkę snmpd (aptitude install snmpd). Dodatkowo przydadzą się nam narzędzia z paczki snmp (aptitude install snmp).
Pod Windows, jeśli nie chce nam się szukać, ściągąc i kompilować net-snmp tools z którego to pakietu pochodzi wykorzystywane w dalszej części narzędzie snmpwalk, warto ściągnąć Windows Management Instrumentation (WMI) SNMP Provider, który pozwoli na odpytywanie SNMP z poziomu WMI.

2. Weryfikacja
W systemie Windows zweryfikujemy działanie SNMP poprzez uruchomienie MMC Usługi (services.msc) i sprawdzenie czy działa serwis Usługa SNMP oraz (ewentualnie) Usługa SNMP Trap. Jest to też ciekawostka, ponieważ jest to jedyna (znana mi) usługa, która całą swoją konfigurację ma właśnie w tym miejscu. Wydawałoby się, że warto jej poświęcić chociaż małe MMC, a tu nic.
W systemie Debian wystarczy oczywiście wydać komendę ps `cat /var/run/snmpd.pid`, dzięki której zobaczymy, czy demon SNMP działa. Daemon tu jest agentem a nie serwerem, o czym warto pamiętać.

OK, może i SNMP działa, ale czy coś do nas powie? Czy odpowie na na nasze wołania? Wystarczy wydanie komendy snmpwalk -v 1 -c public localhost żeby ekran (jeśli wszystko jest ok) pokrył się tonami kodu, wyglądającego mniej więcej tak:

Te kody swoją droga coś znaczą - pierwsza pozycja to tzw. MIB, czyli nie “faceci w czerni”, ale nazwa danej (tu w postaci numerycznej), np. naszego czujnika temperatury albo pokrętła. Część po znaku równości to jak łatwo się domyśleć, aktualna wartość tegoż MIBa. MIBy można podawać za pomocą cyfrowego łańcucha znaków… albo, jeśli mamy coś co to ładnie przetłumaczy (czyli zbiory tekstowe z opisem MIBów), możemy zapytać się ładniej - snmpwalk -v 1 -M. -c public localhost IP-MIB::ipAdEntIfIndex co poda nam indeksy interfejsów w systemie.
Sama komenda ma strukturę snmpwalk -v wersja_protokołu -M katalog_z_MIBami -c community_name hostname MIB.

3. Konfiguracja
Domyślnie SNMP działa na lokalnym serwerze (localhost) z communityname public dla odczytu i private dla odczytu/zapisu (tak, za pomocą SNMP można także sterować urządzeniem!). Windows ma tylko community public i przyjmuje połączenia od dowolnego hosta. Warto zmienić ciut te wartości oraz podać, gdzie nasz sprzęt się znajduje (jeśli trochę go mamy). Odpowiednie wartości wpiszemy we właściwościach usługi (services.msc -> usługa SNMP -> własciwości: zakładka Agent i Zabezpieczenia) lub w /etc/snmp/snmpd.conf.
Tutaj także możemy zmodyfikować jakiego rodzaju informacje agent SNMP będzie monitorować (sieć, procesor, dyski, etc.) Gama możliwości jest naprawdę duża.

W systemie Windows możemy poza standardowymi parametrami odpytać następujące serwisy:

• WINS
• DHCP
• IIS
• LAN Manager
• RRAS (Routing and remote access)
• IAS
• liczniki System Monitora (wszystkie liczniki wydajności TCP/IP i usług na nim opartych)

Z czego sterować można IAS, Lan Managerem i WINSem.

4. Zarządca
Było zarządców wielu, ale żaden z nich nie śmiał zagrać przy… Cóż, ciężko powiedzieć. W zasadzie to HP OpenView narzuca się samo, niemniej my mamy mniejsze potrzeby. Chcemy monitorować. Chcemy żeby było prosto, łatwo i darmo. Chcemy MRTG (tak, wiem jest też Cacti - ale ono jest za bardzo rozbudowane na początek).
MTRG można zainstalować pod Windows oraz pod Linuxem. Program odpytuje agenta (agentów) w zadanych interwałach czasu (cron/at), zbiera dane i przetwarza je na postać graficzno -tekstową (HTML + obrazki PNG). Konfiguracja wygląda tak samo pod obydwoma systemami. Należy podać mu skąd ma pobrać dane, jakie MIBy nas interesują, podać parametry interfejsu, czyli tak naprawdę wytyczne odnośnie rysowania obrazka i już.
Na dodatek MRTG ma przyjemne “wizardy” tworzące samoczynnie konfigurację:

tworzy podstawowy plik konfiguracyjny dla społeczności public na localhost informując że dane będą w katalogu WorkDir

stworzy dla nas odpowiednie pliki
Teraz tylko parokrotne uruchomienie mrtg (mrtg /etc/mrtg/MartaG.cfg) tworzące resztę wymaganych plików uwieńczy naszą pracę sukcesem. Podstawowa konfiguracja zakończona i możemy popatrzeć jak to wszystko wygląda.

Należy pamiętać, że aby odczytać te dane na stacji administratorskiej to albo skonfigurujemy poprawnie IISa pod Windows lub Apache pod Linuxem, albo postawimy jakiś mały dedykowany serwer, jak np. microhttp, który idealnie sprawdzi nam się do rzadkiego publikowania statycznych informacji (chyba, że planujemy inne obciążenie tegoż serwisu - ale po co?).

Do czego właściwie potrzebne to wszystko? Żeby móc stworzyć własny, rozproszony SMS dla ubogich. Jakby nie można było kupić licencji… No, ale ten system daje także rzeczy, których wprost z SMSa wyciągnąć się nie da, a poznać je warto - jak chociażby lista aktualnych połączeń z danego komputera (stos TCP/IP), że nie wspomnę o podstawowym zadaniu MRTG, czyli monitorowaniu urządzeń sieciowych.

Dodatki: Narzędzia SNMP dla Windows.

Wyobraź sobie urządzenie, która ma ileś tam czujników - np. kaloryfer z termoregulacją. Masz odczyt temperatury (wartość1) i pokrętło (wartość2). Chcielibyśmy (jeśli kaloryfer to umożliwia) pobierać i monitorować urządzeniem zewnętrznym wartość tej temperatury (wartość1), a także ustawienie pokrętła (wartość2). Jak to zrobić (w dziedzinie komputerów)?

Monitorowanie sprzętu jest ważne - na przykład dlatego, że pozwala wykryć sytuacje prowadzące do nieodpowiednich zachowań. Zaczynając od tak banalnych rzeczy jak wysycenie pewnych parametrów (np. mierzenie poziomu zajętości dysku, badanie obciążenia procesora, stronicowanie pamięci i inne wąskie gardła), do zagadnień bezpieczeństwa (tu dla odmiany monitorowania bramki internetowej, co pozwoli nam stwierdzić, czy ktoś przypadkiem nie wykorzystuje naszego łącza pomimo (braku) zabezpieczeń w czasie teoretycznego braku aktywności). Monitorować można na wiele różnych sposobów, niemniej warto zainteresować się jednym z nich, dostępnym zarówno w systemach Windows i Linux - a przede wszystkim w dużej ilości urządzeń zewnętrznych (w szczególności sieciowych).

Do monitorowania wykorzystuje się protokół SNMP. Ten prosty protokół jest szeroko rozpowszechniony i doczekał się już swojej trzeciej wersji. Niemniej ponieważ w użyciu są przede wszystkim wersje 1 i 2, skupimy się na nich - żeby to zaczęło działać.

Do podstawowego działania każde monitorowane urządzenie powinno mieć program (agenta), który będzie pobierał stan jakiegoś wewnętrznego rejestru (np. przepływność interfejsu sieciowego) a następnie, odpytany przez zarządcę, podawał mu te dane. Agent może być także ciut proaktywny i w wypadku zadziałania zdefiniowanego warunku wysyłać do zarządcy odpowiednią informację (zwaną trap/pułapką). Do poprawnego działania w środowisku sieciowym potrzebne będą porty TCP 161 (odpytywanie) i 162 (pułapki). Przyda się jeszcze tzw. community name, czyli nazwa o którą będziemy odpytywać nasze urządzenie.

Na boku: Widać tu wyraźnie, że skoro jedynym zabezpieczeniem jest znajomość community name musimy przedsięwziąć inne środki bezpieczeństwa… lub wdrożyć wersję 3 protokołu SNMP.

OK - tyle teorii wystarczy. Jak to wszystko zrobić nie dopłacając? O tym w następnym artykule.

Dziś doszła wreszcie do mnie mała puszeczka zawierająca na sobie ten właśnie napis. Jest to co prawda CTP z grudnia i za chwilę pewnie wyjdzie nowe preview, niemniej zaraz uruchamiam instalację i zaczynam bawić się tym systemem.

Sweet, a już myślałem, że ponudzę się ciut w pracy

Przy tak dużej zmianie i wyborze nowego systemu warto przemyśleć kilka spraw. Pomoże w tym ten komiks.
Zawsze też można się zastanowić nad inną, niemniej fajną

Człowiek się zachwyca SBSowskim health monitorem, który to tworzy cudne raporty i potrafi ładnie reagować na różnorodne zdarzenia, mając zdefiniowane pewne liczniki i możliwość monitorowania logów.
Dziś dowiedziałem się, że takie rzeczy to nie tylko w SBS, ale także w XP/normalne 2k3 można sobie zdefiniować akcje, które zadzieją się w momencie wystąpienia pewnego zalogowanego zdarzenia. Jak? Cóż, proste polecenie eventtrigger.exe does (almost) all the magic… Teraz tylko podpięcie małych skryptów pod zdarzenia logowania/warningi/errory i możemy budować własnego MOMa

Istnieje w sieci komputer o nazwie netbios “23″. Niby nic takiego, ale… próba połączenia się z nim jednego z komputerów poprzez otoczenie sieciowe generuje w logach IPSa dziwne zdarzenie: “martian destination 0.0.0.23 from 192.168.10.141″. Co ciekawe znajduje się także właściwy adres IP i komputer rozpoczynający połączenie w końcu się połączy… ale zastanawia mnie, czy nadanie jako nazwy komputera adresu IP w postaci DWORD a na tym właśnie adresie otworzenie udziału nie spowodowałoby de facto przekierowania zapytania pierwotnego na tą drugą (DWORD) maszynę?

Ostatnio ukazały się nowe wersje przeglądarki Firefox (FF): 1.5.0.9 oraz 2.0.0.1 zawierające poprawki bezpieczeństwa. Co w tym dziwnego? Cóż - obecnie utrzymywane są dwie stabilne linie przeglądarekdla produktu FF. Zastanawiam się czy (i kiedy) linia 1.5.x wygaśnie, tj. sama zaproponuje przejście na linię 2.x (a może już 3.x)? Tak czy siak, popularność firefoxa w wielości odmian wymusza posiadanie dwóch jego wersji (tak jak niestety będąc adminem w sieci z Windows albo web developerem trzeba mieć dwie wersje IE). W wypadku FF taka koegzystencja jest na szczęście osiągan dużo łatwiej. Niestety samo zainstalowanie wersji 1.5 oraz 2 w dwóch odrębnych katalogach to za mało, żeby działały niezależnie - obie pragną odwoływać się do tego samego profilu, co rodzi pewne problemy chociażby z rozszerzeniami, tematami, czy innemi ustawieniami FF które nie muszą być zgodnie pomiędzy tymi dwiema liniami produktu. Jasne staje się, że wymusic musimy działanie FF na dwóch niezaleznych profilach. Niestety sam FF, w przeciwieństwie chociazby do OE, gdzie rozwiązanie profili było zaskakująco często i gęsto używane przez zwykłych użytkowników, nie podaje nam profili wprost w menu. Trzeba uruchomić program z parametrem “-p” (chociażby przez modyfikację skrótu) co pozwoli na uruchomienie okna z wyborem profili. Tworzymy nowy profil dla FF2, nazywając go dla niepoznaki “dwa”. Ponowna modyfikacja linii poleceń tj dodanie parametru “-p dwa” a dla FF1 “-p default” pozwoli już na uruchamianie dwóch przeglądarek nie brudzących sobie w profilach. Niestety niedopracowanie profili w FF, (albo optymalizacja wykorzystania pamięci przez użytkowanie jednej instancji tak samo nazywających się bibliotek) objawia się także tym, że dwie przeglądarki nie potrafią pracować niezależnie, tj. próba uruchomienia FF2 na swoim profilu lub innym gdy działa “1″ spali na panewce. Muszę poszukać, czy jest jakieś rozwiązanie tego problemu. Dopiero ustawienie parametru środowiska MOZ_NO_REMOTE=1 (np. Mój komputer -> Własciwości -> Zaawansowane -> Zmienne środowiskowe lub set MOZ_NO_REMOTE=1 w pliku batch) pozwala na osiągnięcie tego celu (źródło: Mozillazine Knowledge Base)

Swoją drogą - jak radzi sobie Opera?

Miałem kiedyś pecha i włożyłem USB BT dongle (jak to na polski przełożyć?) przed instalacją oprogramowania Widcomm. Oczywiście różnica w wykorzystaniu sprzętu, a dokładniej ról jakie może przyjąć komputer wyposażony w ów gwizdek jest zależna głównie od oprogramowania - oczywiście na generycznym sofcie MS mnóstwo rzeczy nie działa. Niestety próba zainstalowania post factum sterowników widcomm’a nie przynosiła pożądanych rezultatów, (stworzenia z komputera zestawu słuchawkowego z nagrywaniem treści rozmowy), i pomimo drobnego wysiłku (a nuż restarcik, a nuż wyrzucenie standardowego urządzenia bluetooth działającego na sterach MS, a zmiana portu USB, a restart serwisów BT) nie przynosiła rezultatów. Podpisane sterowniki MS rządziły. Rozwiązanie okazało się banalne - wystarczyło w urządzeniu, które się pojawiło (generic bluetooth device) zmienić, po uprzedniej zmianie polityki podpisywania sterowników na ignore, sterowniki na CSR USB BT device. Komputer chwilę pomielił… i nagle znikły standardowe wynalazki MS a pojawiły się w końcu widcommowe cuda. Szkoda tylko, że znikło circa 15 minut bezcennego ostatnio wolnego czasu

Użytkownik próbował zainstalować drukarkę udostępnioną drukarkę na komputerze odpiętym od domeny - Windows XP przy próbie podpięcia zagłaszał błąd “na tym komputerze włączona jest zasada zapobiegająca łączeniu się z tą kolejką wydruku”. Próby znalezienia zdarzenia w eventlogu spierzchły na niczym, zautoryzowane podłączenie do zdalnego komputera działało, uprawnienia na komputerze współdzielącym prawidłowe… Już miałem odpalać mmc i szukać jakiejś dziwnej zasady, kiedy zaświeciło mi rozwiążanie. Cóż, użytkownik po prostu nie miał prawa instalować driverów… Przelogowanie na admina lokalnego, zainstalowanie drukarki i automagicznie już może się do drukarki podłączyć.

Czy ten komunikat nie mógł być jednak ciut bardziej naprowadzający? Znów 5 minut czasu przepadło bez sensu