Jump to content

afotakel

Members
 View Profile  See their activity

  • Posts

    2326

  • Joined

  • Days Won

    1

 Content Type 

Blog Entries posted by afotakel

  1. afotakel
    Δεν το είχα προσέξει ως τώρα, αλλά στα Βίστα και άνω έχουμε μια αλλαγή στο πως εφαρμόζονται τα NTFS δικαιώματα.
    Ως τώρα (NT4 –> Windows Server 2003), εάν μεταφέρουμε (μεταφορά, όχι αντιγραφή) ένα αρχείο από ένα σημείο του δίσκου σε ένα άλλο του ιδίου δίσκου, θα διατηρήσει τα NTFS δικαιώματα που είχε αρχικά.
    Πλέον αυτό δεν ισχύει και το αρχείο θα αποκτήσει τα δικαιώματα του φακέλου στον οποίο μεταφέρεται.
    Δεν το είχα προσέξει, μέχρι σήμερα που διάβασα το σχετικό άρθρο. Προσέξτε την εξαίρεση στο κομμάτι “status”
  3. afotakel
    Ένα συχνό πρόβλημα είναι η αδυναμία να ενημερώσουμε τις εφαρμοζόμενες πολιτικές σε όλα (ή μέρος) των υπολογιστών του δικτύου μας. Για παράδειγμα, ενδέχεται να έχουμε φτιάξει μια νέα πολιτική που θα αλλάζει τη διεύθυνση του proxy της εταιρείας μας. Το ζήτημα είναι ότι δεν μπορούμε να είμαστε σίγουροι για το πότε οι υπολογιστές θα πάρουν τη ρύθμιση αυτή.
    Μια πολύ καλή λύση (προσωπικά, η καλύτερη) είναι να εγκαταστήσουμε το εργαλείο GPupdate της SpecOps. Ενδέχεται να το γνωρίζετε αρκετοί (εγώ το ανακάλυψα αργά-πριν κανένα 6μηνο) και έχει αναφερθεί και ο Χρήστος επιγραμματικά σε αυτό. Ωστόσο, μιας και ανανεώθηκε (η έκδοση 2 πλέον υποστηρίζει και Βίστα/2008 32&64-bit) ας του ρίξουμε μια ματιά.
    Καταρχήν να πούμε ότι το πρόγραμμα είναι δωρεάν μεν, αλλά θέλει να εγγραφτείτε δίνοντας κάποιο εμαιλ στο οποίο θα σας έρθει το λινκ.
    Μετά την εγκατάσταση (προαπαιτούνται τα Administrative Tools) παρατηρούμε ότι δεν εμφανίζεται στη λίστα με τα προγράμματα. Πρόβλημα; Καθόλου, μιας ενσωματώνεται με το AD Users & computers. Οπότε απλά εκκινούμε το ADUC.
    Στη συνέχεια κάνουμε δεξί κλικ σε κάποιο πισί ή OU και βλέπουμε τη λίστα με τις επιλογές μας:

     
    Επιλέγοντας GPUpdate παίρνουμε μια αναφορά που μας δείχνει σε πόσα πισιά εκτελέστηκε επιτυχώς και σε ποιά όχι:

     
    Για βλέπετε ότι χρειάζεστε κάτι παραπάνω (βλ. gpupdate /force) μπορείτε να το κάνετε και αυτό ως εξής:
    Πηγαίνετε στα pinned commands και επιλέγετε New pinned command και το ρυθμίζετε δεόντως:

     
     
    Κερασάκια στην τούρτα:
    Η επιλογή “Run Windows Update”. Αντίστοιχη του wuauclt.exe/detectnow Shutdown/Restart computer : Όχι ότι δεν έχουμε άλλους τρόπους να το κάνουμε, αλλά η ενοποίηση με το ADUC είναι αλλιώς, πως να το κάνουμε. Η επιλογή “Start computer” (με κάποιους περιορισμούς, αλλά δώστε της μια ευκαιρία)  
    Ελπίζω να το βρείτε χρήσιμο.
  4. afotakel
    Λίγο το ότι μπαίνω συχνά με ρεμοτε δεσκτοπ σε διάφορους σερβερ ταυτόχρονα…
    Λίγο το ότι συχνά παίζει να έχω και ανοιχτό κανένα εικονικό μηχανάκι στο πισί…
    Ενίοτε μπερδεύομαι και ξεχνάω που είμαι συνδεδεμένος. Αυτό μπορεί να είναι απλά ενοχλητικό αλλά και επικίνδυνο.
    Σκεφτείτε να κλείσεις το λάθος σερβερ!
    Ένα καλό κόλπο (σε μένα δουλεύει έστω) είναι να βάζω διαφορετική ταπετσαρία σε κάθε σερβερ. Οπότε έτσι έχω, τον μπλε, τον κόκκινο, τον πράσινο κλπ, πράγμα που κάνει την αναγνώρισή τους πιο εύκολη και μάλιστα ασυναίσθητη.
  5. afotakel
    Έχουμε έναν SQL Server και θέλουμε να δούμε αν ο Χ χρήστης μπορεί να συνδεθεί. Τί καλά να είχαμε ένα εργαλείο που...
    1) να είναι δωρεάν
    2) να μη θέλει εγκατάσταση
    3) να μπορώ να το στείλω σε κάποιον με email χωρίς να είναι εκτελέσιμο
     
    ...ορίστε το εργαλείο!
     
    http://blogs.msdn.com/b/steverac/archive/2010/12/14/test-remote-sql-connectivity-easily.aspx
  6. afotakel
    Τα εργαλεία της sysinternals τα χρησιμοποιούμε λίγο-πολύ όλοι.
    Ευτυχώς ανανεώνονται τακτικά, πράγμα όμως που καθιστά δύσκολη την ενημέρωσή μας.
    Ωστόσο, κάτω από το http://live.sysinternals.com/ μπορεί κανείς να έχε άμεση πρόσβαση και να τρέξει ακόμα και κατευθείαν το εργαλείο που θέλει, στην τελευταία του έκδοση. Εξαίρεση τα εργαλεία που τρέχουν από γραμμή εντολών (ΟΧΙ DOS!) μιας και θα πρέπει να τα κατεβάσουμε τοπικά.
    Ένα τέτοιο ενδιαφέρον εργαλείο είναι το contig.exe. Ένα απλό πρόγραμμα που κάνει defrag στο δίσκο. Το μεγάλο του συν όμως είναι ότι μπορείτε να κάνετε επιλεκτική ανασυγκρότηση αρχείων.
    Ειδικά για όσους τρέχουν εικονικές μηχανές είναι ό,τι πρέπει.
    Για φανταστείτε ένα σκριπτάκι που θα τρέχει κάθε βράδυ και θα κάνει defrag σε όλα τα αρχεία vhd, vud, vsv που έχουμε;
    Εύκολο:
    cd \
    contig.exe –s *.vhd *.vud *.vsv
     
    Δωρεάν, απλό και χωρίς να απαιτεί εγκατάσταση.
  7. afotakel
    Ενίοτε συμβαίνει να θέλουμε αν εκτελέσουμε μια εντολή από τη γραμμή εντολών αλλά υπό προϋποθέσεις. Για παράδειγμα, θέλουμε να δημιουργήσουμε ένα φάκελο μόνο εφόσον δεν υπάρχει ήδη. Ή, αντίστροφα,θέλουμε να εκκινήσουμε μια εφαρμογή μόνο εφόσον η προηγούμενη εντολή που δώσαμε απέτυχε. Αυτό μπορούμε να το πετύχουμε χρησιμοποιώντας τους τελεστές “&”, “&&” και “||”.
     
    Παράδειγμα1: Θέλω να εκτελέσω 2 εντολές μαζί, τη μια μετά από την άλλη:
    dir C:\ & dir C:\windows
    Πρώτα θα εκτελεστεί το “dir C:\” και κατόπιν, ανεξαρτήτως αποτελέσματος, θα εκτελεστεί το “dir C:\windows”.
     
    Παράδειγμα2: Θέλω να εκτελεστεί η 2η εντολή μόνο εφόσον η 1η εκτελεστεί επιτυχώς:
    dir C:\NonExistingFolder && dir C:\windows
    Στην περίπτωση αυτή δε θα εκτελεστεί τίποτα γιατί ο φάκελος NonExistingFolder δεν υπάρχει.
     
    Παράδειγμα3: Θέλω να εκτελεστεί η 2η εντολή μόνο εφόσον η 1η αποτύχει:
     
    dir C:\NonExistingFolder || dir C:\windows
    Στην περίπτωση αυτή, το “dir C:\windows” θα εκτελεστεί κανονικά.
    Αν δώσω όμως
    dir C:\ExistingFolder || dir C:\windows
    τότε το dir C:\windows” δεν θα εκτελεστεί καθόλου.
     
    Αν θέλετε μπορείτε να το κάνετε και πιο σύνθετο βάζοντας πολλούς τελεστές μαζί. π.χ.
    dir C:\ && dir C:\ExistingFolder || dir C:\windows
    Στην περίπτωση αυτή, το “dir C:\windows” δεν θα εκτελεστεί ποτέ, αφού ο φάκελος ExistingFolder υπάρχει. Το “||” δηλαδή σχετίζεται μόνο με την αμέσως προηγούμενη εντολή.
    Αν θέλω το “dir C:\windows” να εκτελεστεί μόνο εφόσον αποτύχει τουλάχιστον μια εκ των δυο προηγούμενων εντολών, μπορώ να βάλω παρενθέσεις:
    (dir C:\NonExistingFolder1 & dir C:\NonExistingFolder2) || “dir C:\windows”
     
    Εννοείται ότι τα παραπάνω μπορούμε να τα εφαρμόσουμε και μέσα σε αρχεία batch.
    Που μπορεί να φανούν χρήσιμα όλα αυτά; Προσωπικά μου έχει φανεί χρήσιμο σε διάφορες περιπτώσεις. Κυρίως όμως σε 2:
    1. Θέλω να εκτελέσω κάποια εντολή σε ένα απομακρυσμένο σύστημα, ανάλογα όμως με το εάν απαντάει στα ping. Οπότε δίνω ping host1 || script.cmd
    Το script.cmd θα εκτελεστεί μόνο εφόσον το σύστημα δεν απαντήσει στο ping.
     
    2. Θέλω να εκτελέσω απομακρυσμένα μια εντολή που εάν δεν εκτελεστεί επιτυχώς θα χάσω την απομακρυσμένη σύνδεση. Στην περίπτωση αυτή χρησιμοποιώ το “||” για να ξεκινήσω με το χέρι το σχετικό listener που θα μου επιτρέψει να συνδεθώ εκ νέου και να διαπιστώσω τι πήγε στραβά.
  8. afotakel
    Αντί για να ακολουθήσουμε τις πιο περίπλοκες οδηγίες τις ΜΣ, μπορούμε πλέον να κατεβάσουμε το εργαλείο “bootFromUSB” που η ίδια προσφέρει και να αυτοματοποιήσουμε τη διαδικασία.
    Προαπαιτούμενα:
    USB δίσκος >8 γίγα Εγκατεστημένο WAIK ή OPK DVD του HyperV Server 2008 R2 (λογικό, ε .NET Framework 3.5
  9. afotakel
    Πρόσφατα το ανακάλυψα και το βρήκα πολύ απλό και καλό. Υποψιάζομαι πάντως (κρίνοντας από το λογότυπο) ότι είναι μέρος του Windows EBS 2008. Αυτό που κάνει είναι αυτό που λέει: Έναν έλεγχο για πιθανά λάθη του Active Directory (subnets, replication, sysvol, DNS, κ.α.), στους DC (κυρίως στις ρυθμίσεις δικτύου τους αλλά και στο ρολοΐ) και στους Exchange.
    Μου άρεσε ιδιαίτερα το γεγονός ότι οι συμβουλές που προτείνει έχουν άμεσα λινκ (όπως και οι Best Practices Analyzers) σε άρθρα της ΜΣ αλλά και ότι είναι εξαιρετικά απλό στη χρήση.
     
    Το κατεβάζετε από εδώ και απλά το εγκαθιστάτε. Στη συνέχεια, το εκτελείτε, επιλέγετε εάν θέλετε να το ενημερώσετε μέσω ιντερνετ αυτόματα
    … του δίνετε την ΙΡ και mask του firewall (εάν θέλετε μπορείτε να προσθέσετε στην επόμενη οθόνη και άλλα δίκτυα)

     
    και το βάζετε να κάνει έλεγχο.
    Τα μόνα που απαιτούνται είναι:
    Να έχετε συνδεθεί ως domain admin Οι σερβερ να έχουν ενεργό το WMI και να επιτρέπουν απομακρυσμένες σε αυτό συνδέσεις (port TCP 135, 445 και 1024-1034) Αφού ολοκληρωθεί ο έλεγχος (παίρνει αρκετά λεπτά, ανάλογα με το δίκτυο) θα σας εμφανιστούν τα πιθανά λάθη που έχει το περιβάλλον σας καθώς και οι προτεινόμενες ενέργειες. Για να μη σας βγουν τα μάτια, πατήσετε στο κουμπί “open larger view”.

    Σημειωτέον, το πρόγραμμα δεν κάνει αλλαγές σε τίποτα – απλά προτείνει.
     
     
     
     
     
    Καλούς ελέγχους!
  11. afotakel
    Το NIST δημοσίευσε έναν οδηγό που έχει ενδιαφέρουσες προτάσεις ως πως το πως να προστατεύσουμε το BIOS, το οποίο είναι συχνά παραμελημένο (σε ότι αφορά την ασφάλεια). Ο οδηγός είναι γενικός (για να καλύπτει όλα τα BIOS) αλλά το σκεπτικό του είναι περισσότερο να μας σπρώξει στη σωστή κατεύθυνση και να μας προβληματίσει, παρά να μας δώσει βήμα-προς-βήμα οδηγίες.
    Ο οδηγός βρίσκεται εδώ.
  12. afotakel
    Μερικές τεχνικές για το πως μπορεί κανείς να παρακάμψει τον εταιρικό προχυ και να συνδεθεί σε απαγορευμένες σελίδες.
    Αντιγράφω από το tech dreams.
    Trick 1. Anonymous Browsing
    Use free Proxy Server which allows you to browse the web anonymously and access sites that are blocked. Here is the list of few proxy servers which I came across while Googling..
    http://www.proxybrowsing.com/
    http://www.hidemyass.com/
    http://www.browserjump.com/
    http://www.ninjaproxy.com/
    http://www.kproxy.com/
    http://proxify.com/
    http://www.w3privacy.com/
     
    Trick 2. Google Translation
    In case if your organization has blocked all the anonymous proxy servers, you can use Google Translator( also called as Google Language Tools) service as your proxy server. Google Translator translate pages from one language to another language. You can surf the blocked web pages by translating them from English to English(or any language which you desire).
    Replace WEBSITE with your favorite site address in the following URL and start accessing them
    http://www.google.com/translate?langpair=en|en&u=WEBSITE
    Example: http://www.google.com/translate?langpair=en|en&u=http://mgopinath.blogspot.com
     
    Trick 3. Google Mobile Search
    Google Mobile search service translates HTML pages to mobile phone browser compatible by removing style sheets and java script. You can use this service to browse the web pages in text only format.
    Replace WEBSITE with your favorite site address in the following URL to start accessing them
    http://www.google.com/gwt/n?u=WEBSITE
    Example: http://www.google.com/gwt/n?u=mgopinath.blogspot.com
     
    Trick 4. Search Engine Cache
    Enter the blocked URL in Google or Yahoo search engines and then visit the cached copy of the page.
     
    Τα παραπάνω μπορείτε να τα καταπολεμήσετε ως εξής:
    1. Εφαρμόζοντας μια πολιτική GPO που δε θα επιτρέπει στους χρήστες να αλλάζουν τον προχυ.
    2. Θα πρέπει στο κεντρικό μας firewall να μην επιτρέπουμε σε κανέναν παρά μόνο στον εταιρικό προχυ να συνδέεται στο web (ΗΤΤΡ). Μην ξεχνάτε ότι οι χρήστες μπορούν ενδεχομένως να έχουν πρόσβαση σε κάποιο στανδαλονε πρόγραμμα είτε επειδή το κατέβασαν παλιά είτε επειδή το έχουν σε φλασάκι/σιντί κλπ…
    3. Καλό είναι να εφαρμόσουμε φιλτράρισμα σε επίπεδο URL στον προχυ μας και να απορρίψουμε ονόματα που δεν θέλουμε (π.χ. warez). Ακόμα καλύτερα βέβαια είναι αν έχουμε ένα 3ο πρόγραμμα που εφαρμόζει πιο έξυπνο φιλτράρισμα από το ελαφρώς “μπακαλίστικο” πιο πάνω, αλλά ακόμα και αν δεν εξασφαλίσουμε χρηματοδότηση μπορούμε να το παλέψουμε και με τέτοιες μεθόδους. Το να κατεβάσουμε από το τορρεντ ένα πρόγραμμα που κάνει αυτή τη δουλειά πιστεύω ότι όλοι αντιλαμβανόμαστε ότι εξ’ ορισμού αντίκειται στο σκοπό μας (“αύξηση ασφάλειας”).
  13. afotakel
    Σύμφωνα με έρευνα, το μέσος κόστος ενός χαμένου/κλεμμένου φορητού είναι $49.246. Πως βγαίνει αυτό;
    $1582 η αγορά νέου φορητού $262 στην αναζήτηση του φορητού από τον κάτοχο $814 στην έρευνα που έπεται από την εταιρεία $39.297 κόστος χαμένων δεδομένων $5.871 κόστος εμπιστευτικών πληροφοριών που υπήρχαν αποθηκευμένες σε μη-κρυπτογραφημένη μορφή $243 κόστος χαμένης εργασίας $1.177 λοιπά κόστη  
    Μερικά ενδιαφέροντα στοιχεία:
    Εντυπωσιακή διαφορά στο κόστος είχαν οι φορητοί που είχαν τα δεδομένα κρυπτογραφημένα (με τον ένα ή άλλο τρόπο) με αυτούς που όχι: $20.000 λιγότερο!
    Όσο νωρίτερα η εταιρεία μαθαίνει την απώλεια ($8.950 για την ίδια μέρα), τόσο μικρότερο το κόστος ($115.849 για >7 μέρες).
    Το κόστος της χαμένης εργασίας είναι πολύ μικρό σε σχέση με τα υπόλοιπα.
     
    Μπορεί τα παραπάνω κόστη να μην είναι ακριβή για το περιβάλλον του καθενός, αλλά σίγουρα μας δείχνει ότι είναι μετρήσιμο το κόστος και μας δίνει μια τάξη μεγέθους του. Όπως ξέρετε ό,τι μπορεί να μεταφραστεί σε νούμερα μπορεί και να υποστηρίξει και τα αιτήματά μας για π.χ. πρόγραμμα κρυπτογράφησης δεδομένων προς τα ανώτερα κλιμάκια καλύτερα από ένα απλό “χρειαζόμαστε το Χ πρόγραμμα”.
    Τελικά το κόστος απόκτησης του Bitlocker (προσωπική επιλογή λόγω ενοποίησης με AD) ή αντίστοιχου (π.χ. Check Point Full Disk Encryption) δε φαίνεται και τόσο κακή ιδέα….
    Και ένα τελευταίο σχόλιο: Τί γίνεται με τους προσωπικούς μας φορητούς;
  14. afotakel
    …γνωστά και ως “trusted malware”. Μόνο την αρχή του 2011 η αύξηση σε σχέση με ολόκληρο το 2010 ήταν >300%.
    Περισσότερα εδώ.
    Αν αναρωτιέστε πως γίνεται αυτό, θυμηθείτε ότι πριν καιρό μια-δυο εταιρείες που μοιράζουν πιστοποιητικά δέχτηκαν επίθεση με αποτέλεσμα κάποια από τα πιστοποιητικά που έχουν εκδώσει να μην είναι ελεγμένα και άρα ασφαλή.
  16. afotakel
    Το σενάριο: Έχουμε τον serverA που μοιράζει το φάκελο shareA (\\serverA\shareA). Θέλουμε να φτιάξουμε ένα ακριβές αντίγραφο στο \\serverB\shareB.
    Το θέμα είναι ότι θέλουμε όχι μόνο να αντιγράψουμε τα αρχεία αλλά να διατηρήσουμε τόσο τα shared folder όσο και τα NTFS δικαιώματα.
    Δυο εργαλεία μας βοηθάνε στη δουλειά αυτή. Το permcopy και το xcopy. Το πρώτο περιέχεται στο resource kit των 2003. Δουλειά του είναι να αντιγράψει τα shared folder δικαιώματα. Το δεύτερο υπάρχει εγκατεστημένο με το λειτουργικό.
    Δίνουμε λοιπόν permcopy \\serverA shareΑ \\serverB shareΒ και οι φάκελοι θα αποκτήσουν τα ίδια shared folder δικαιώματα.
    Στη συνέχεια πάμε πάνω στο φάκελο shareB και με το χέρι αντιγράφουμε τα NTFS δικαιώματα, όπως ακριβώς είναι στο shareA. Προσοχή, χρησιμοποιήστε τις επιλογές στο “advanced security” για να έχετε πλήρη έλεγχο.

     
    Τί γίνεται με τα αρχεία και τα ntfs δικαιώματα τους; Απλά ένα xcopy \\serverA\share1A \\serverB\shareB /E /V /H /O και θα αντιγραφούνε και αυτά.
     
    Ενδεχομένως να υπάρχουν και ταχύτεροι τρόποι που κάνουν αυτή τη δουλειά πλήρως αυτοματοποιημένα. Ωστόσο, προτιμώ τον τρόπο αυτό (εάν δε μπορώ να χρησιμοποιήσω DFS φυσικά) μιας και έχει λίγη χειροκίνητη δουλειά (αντιγραφή των NTFS δικαιωμάτων του φακέλου) και δε χρειάζεται να καταφύγουμε σε τρίτα εργαλεία (συχνά άγνωστης προέλευσης).
  17. afotakel
    Το θέμα ξαναπέρασε εδώ http://autoexec.gr/forums/thread/6637.aspx αλλά απλά ως αναφορά και ίσως κάποιοι να μην το είδανε. Το λέω γιατί τα GPP είναι πάρα πολύ καλό εργαλείο στο χέρια του αδμιν και δεν είδα συμμετοχή.

    Τί είναι τα GPP:

    Ουσιαστικά είναι προεκτάσεις πάνω στις δυνατότητες των GPO που μας δίνουν τη δυνατότητα να κάνουμε απλά πράγματα όμως που μέχρι τώρα ήταν δύσκολο έως ιδιαίτερα δύσκολο να τα κάνουμε. Ειδικότερα μάλιστα με την ευελιξία που μας παρέχουν τα GP.

     

    Τι παραπάνω μου δίνουν;

    Πάμε να δούμε κάποια χαρακτηριστικά από κοντά. Παρατηρήστε αρχικά ότι εμφανίζονται ως ξεχωριστή κατηγορία στο GPO:

     

     

    Οι επιλογές που υπάρχουν είναι (κατά τα γνωστά) ελαφρώς διαφορετικές στο κομμάτι user κ στο computer.

    Environment: Μπορούμε να εισάγουμε environmental variables. Π.χ. αν θέλω όλοι να έχουν στο path τους το C:\tools μπορώ απλά να το προσθέσω. Μπορώ όμως να δώσω και UNC path! Π.χ. \\server1\tools

    Εξαιρετικά βολικό για το τμήμα ΙΤ που δε χρειάζεται πλέον να περιφέρει τα εργαλεία τους σε κάθε πισί και να έχει να τα συγχρονίζει μεταξύ τους όποτε βγαίνει κάποια νέα έκδοση.

    Files/Folders: Θέλω όλοι οι χρήστες να έχουν το αρχείο ή το φάκελο Tools κάτω από το Program Files και να τον ενημερώνουν αυτόματα; Άπλά το ορίζω εδώ και τέλος. Ούτε net use ούτε script ούτε τίποτα…

    Registry: Ομοίως με τα παραπάνω. Αν θέλω το HKLM\System\Value να υπάρχει σε όλους και να έχει την τιμή 1, απλά το ορίζω εδώ.

    Network shares: Τέρμα τα net use. Όλες οι αντιστοιχήσεις δίσκων γίνονται και από εδώ.

    Shortcuts:Θέλετε όλοι οι χρήστες να έχουν μια συντόμευση πάνω στην επιφάνεια εργασίας που θα δείχνει στο \\server\apps\uselessApp.exe ? Εύκολο. Θέλετε να έχει και δικό του εικονίδιο; Ακόμα πιο εύκολο.

    Data sources:Επιτέλους ένας εύκολος τρόπος να εγκαταστήσουμε DSNs στους clients για να βλέπει η εφαρμογή που έχουν το σωστό σερβερ. Ακόμα και αν η εφαρμογή που δουλεύουν οι χρήστες το κάνει μόνο της αυτό, έχω ένα πλεονέκτημα: Αν αλλάξει ο σερβερ, αλλάζω απλά τη ρύθμιση στο GPO και τελείωσα.

    Devices:  Μπορώ να υποδείξω μια συσκευή από το πισί μου και να ορίσω αν θέλω οι χρήστες να την έχουν ενεργοποιημένη ή όχι στα πισιά τους. Κερασάκι στην τούρτα: Μπορώ να το ορίσω και για χρήστη. Οπότε ο χρήστης Χ δεν θα έχει πρόσβαση στο CD-ROM του ενώ ο Υ θα έχει.

    Local Users and groups: Ένας πονοκέφαλος (που είχε για ασπιρίνη το scripting) είναι οι τοπικοί χρήστες και γκρουπ των πισιών. Αν ήθελα να δημιουργήσω σε 50 πισιά έναν τοπικό χρήστη με περιορισμένα δικαιώματα ήταν λίγο μπελάς. Πλέον όχι.

    Network Options: Φτιάξτε συνδέσεις VPN και οι χρήστες θα τις πάρουν αυτόματα! Τέλος τα μεταμεσονύχτια τηλεφωνήματα από τους πωλητές που έχουν τους φορητούς και όλο ξεχνάνε πως ρυθμίζουν ή σβήνουν τη σύνδεση. Εννοείται ότι αν αλλάξουν οι συνδέσεις απλά αλλάζω τη ρύθμιση, έτσι;

    Power Options: Ένα από τα συν των Vista είναι ότι μπορούμε να διαχειριστούμε τις ρυθμίσεις ενέργειας μέσω Group Policy. Τα ΧΡ δεν είχαν σχετική δυνατότητα (και το να βάλεις τις ρυθμίσεις με το ζόρι, απλά δεν τα συγκινεί). Πλέον μπορώ να ορίσω ότι όλα τα πισιά θα πέφτουν σε αδράνεια μετά από 2 ώρες αδράνειας. Πείτε το και στο οικονομικό σας τμήμα (με cc πάντα στον προϊστάμενό σας) να χαρεί.

    Printers: Η ΜΣ άργησε πολύ να μας δώσει το προφανές: Έναν εύκολο τρόπο να αντιστοιχίζουμε εκτυπωτές σε χρήστες ή πισιά. Τελικά, τα τελευταία 3 χρόνια μας έδωσε 3 τρόπους. Ορίστε ο πιο πρόσφατος. Οπότε μπορείτε πλέον να ορίσετε ότι οπουδήποτε και αν συνδεθεί ο κ. Εκτυπωτίδης θα μπορεί πάντα να έχει προεπιλογή τον αγαπημένο του εκτυπωτή \\Server\PrionokordelaUltra

    Scheduled tasks: Η χαρά του admin. Φτιάξτε μια χρονοπρογραμματισμένη ενέργεια και μοιράστε την σε όλους. Κερασάκι στην τούρτα το “immediate task” που θα εκτελεστεί άμα τη ενημερώσει της πολιτικής στα πισιά. Συνδυάζεται πολύ καλά με το files/folders. Αντιγράφετε ένα αρχείο και το ορίζετε πότε θέλετε να εκτελεστεί. Τί λέτε για ένα shutdown του πισιού όταν πάει 23:00;

    Services: Όχι απλά τι θα τρέχει και τι όχι (έχουμε τις πολιτικές για αυτό) αλλά “Ως ποιός χρήστης θα τρέχει” και “τι θα κάνει άμα το service σκάσει”. Θέλετε να αλλάξετε για λόγους ασφαλείας τον κωδικό που χρησιμοποιεί ο SQL Server αλλά τον χρησιμοποιούν και άλλα 47 Instances στην εταιρεία; Πλέον δεν έχετε δικαιολογία. Θυμηθείτε μόνο να επανεκκινήσετε τα service με το που θα αλλάξετε τον κωδικό. Από την άλλη βέβαια μπορείτε απλά να ρυθμίσετε το recovery της σχετικής υπηρεσίας να επανεκκινήσει.

     

    Υπενθύμιση για όλα τα παραπάνω: Προσέξτε ποιά ρύθμιση θα αλλάξετε. Εάν θέλετε να εφαρμόζεται στο χρήστη ή στο πισί. Εφαρμόστε πιλοτικά τις πολιτικές σε κάποιο/α πισιά ή χρήστες και μετά ρίξτε το στην παραγωγή.

     

    Αυτό είναι όλο;

    Σχεδόν. Άφησα εκτός (πάρτε το ως άσκηση για το σπίτι) τις επιλογές που μπορώ να έχω για κάθε αντικείμενο που προσθέτω. Δηλ αν θέλω να Δημιουργήσω/Ενημερώσω/Αντικαταστήσω/Διαγράψω π.χ. τη συντόμευση που έφτιαξα για το χρήστη στην επιφάνεια εργασίας τους.

    Ακόμα, μπορώ τα εφαρμόσω κάθε ρύθμιση υπό συνθήκες. Δηλ item-level targeting



    Για παράδειγμα μπορώ να ορίσω ότι θέλω μεν να αντιγράψω ένα φάκελο στον τοπικό δίσκο τους χρήστη αλλά μόνο όταν έχει 80 GB ελεύθερα, έχει ΙΡ μεταξύ του 192.168.1.2-100, >512MB RAM, και μόνο στις 15 κάθε μήνα.

    Ορίστε



    Ωραία τα τα GPP αλλά πως τα αποκτώ ;

     

    Θέλουμε GPP Client Side Extensions (KB943729) για ΧΡ, Vista, Server 2003 (αν έχετε WSUS τότε πιθανότατα το έχετε μοιράσει ήδη αλλά δεν το ξέρετε).

    Διαφορετικά δεν θα εφαρμόζονται οι επιλογές που κάναμε παρά μόνο στους Server 2008. Στα Vista μάλιστα, αν εγκαταστήσετε και το Group Policy Management Console (από τα RSAT) τότε θα μπορείτε και να διαχειρίζεστε τα GPP. Όποιο GPΟ και αν δημιουργήσετε, τα GPP θα εμφανίζονται. Στα ΧΡ δεν ισχύει κάτι τέτοιο.

     

     

     

     

     

    Ελπίζω να βρείτε τα GPP χρήσιμα και να απελευθερώσετε χρόνο που χάνετε μέχρι τώρα για τέτοια πράγματα.

    Το ξαναλέω: ΤΕΣΤ, ΤΕΣΤ, ΤΕΣΤ πριν κάνετε οτιδήποτε.

    Α και φυσικά να τα τεστάρετε κιόλας

     

    update: Παρέλειψα να δώσω λινκ για τον σχετικό οδηγό της ΜΣ, Group Policy Preferences Overview.
  18. afotakel
    Για όσους δεν έχουν περάσει ακόμα τα πατσάκια του Ιουλίου, ας έχουν υπ’όψιν τα εξής:
     
    MS09-028: Εάν είχατε εφαρμόσει τη λύση τύπου Fix-it (ή άλλου τύπου παράκαμψη) τότε ΜΗΝ την αφαιρέσετε (με το αντίστοιχο un-fix-it) και βάλτε από πάνω το πατσάκι. Διαφορετικά ίσως αντιμετωπίσετε πρόβλημα. MS09-029: Εάν είχατε εφαρμόσει τη λύση τύπου Fix-it (ή άλλου τύπου παράκαμψη) τότε ακολουθήστε τη διαδικασία όπως περιγράφετε στην ενότητα “How to undo the workaround”. Μετά, βάλτε το πατσάκι. Διαφορετικά ενδέχεται να μην εγκαθίσταται. MS09-032: Ομοίως με την περίπτωση MS09-028, ΜΗΝ αφαιρέσετε την όποια παράκαμψη εφαρμόσατε αλλά βάλτε κανονικά το πατσάκι για να μην έχετε προβλήματα.
  19. afotakel
    αντιγράφω από εδώ.
    ISA Server will be renamed in Threat Management Gateway and will be part of the Forefront Suite
    Active Protection Technology (Network Intrusion System from Microsoft Research named GAPA)
    έχει και άλλα, αλλά αυτά μου άρεσαν εμένα.
  20. afotakel
    ενδιαφέρον αρθράκι για τον υπολογισμό του ρεύματος που καίει το σερβέρι στο http://feeds.penton.com/~r/windowsitpro/DHLz/~3/444797522/Index.cfm.
    Δείτε το ως μπούσουλα, αλλά και τα λινκ που έχει είναι βοηθητικά
  21. afotakel
    Δεν θα ήταν πιο εύκολο να συνδεόμαστε στους σερβερ με ψευδώνυμο αντί για όνομα;
    Δηλ αντί να ανοίξω το \\CompanyDC-Ath01 να μπω στο \\athens01 ;
    το άρθρο αυτό περιγράφει αυτή ακριβώς την περίπτωση...
    Δεν το αναφέρει αλλά να ξέρετε ότι παίζει και με 2008.
    Αν σας άρεσε πολύ, αλλά προβληματίζεστε για το πως θα ρυθμίσετε τους σερβερ με τη μια, απλά φτιάξτε ένα startup script που θα περιλαμβάνει την εντολή:
    reg add HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\Parameters /v DisableStrictNameChecking /t REG_DWORD /d 1
  22. afotakel
    Ξέρουμε ότι το να είναι οι χρήστες τοπικοί admins στο πισί τους δεν είναι καλή ιδέα. Και από άποψη ασφαλείας και από άποψη διαχειριστικού κόστους.
    Ενδιαφέρουσα έρευνα βρίσκει ότι των 92% των κρίσιμων τρυπών (critical vulnerabilities) που έβγαλε η ΜΣ το 2008 θα είχαν μικρότερη ισχύ εάν ο χρήστης έτρεχε με στάνταρ δικαιώματα στο πισί του. Συγκεκριμένα:
    94% του Microsoft Office 89% του Internet Explorer 53% των Microsoft Windows vulnerabilities 92% των critical ulnerabilities Συνολικά το 69% όλων θα είχαν μικρότερη ισχύ. Πόσο μικρότερη; Δεν το ξέρουμε, αλλά η ίδια η ΜΣ αναφέρει για αυτές τις τρύπες ότι “Users whose accounts are configured to have fewer user rights on the system could be less impacted than users who operate with administrative user rights.”
    Βέβαια η εταιρεία που έκανε την έρευνα ευλογεί τα γένια της μιας και φτιάχνει προγράμματα που εξαλείφουν την ανάγκη να τρέχει ο χρήστης εφαρμογές ως αδμιν. Ωστόσο, ο τρόπος που έγινε η έρευνα είναι εξαιρετικά απλός και βασίζεται στο τι γράφουν τα security bulletins της ΜΣ.
    Άλλο συμπέρασμα που προκύπτει είναι ότι πρώτα απ'όλους ΕΜΕΙΣ οι ίδιοι οι domain admins είμαστε μεγάλη κερκόπορτα εφόσον εκτελούμε τις καθημερινές μας εργασίας με αυξημένα δικαιώματα.
    Τί μπορούμε να κάνουμε; Μερικές γρήγορες προτάσεις:
    Χρησιμοποιούμε έναν κανονικό χρήστη για τις καθημερινές μας εργασίες (εμαιλ, ιντερνετ κλπ) και έναν με δικαιώματα admin για τις διαχειριστικές. Ειδικά με το remote desktop τα πράγματα είναι πολύ απλά: Όποτε θέλουμε συνδεόμαστε στο σερβερ και κάνουμε τη δουλειά μας. Χρησιμοποιούμε το runas. Διαθέσιμο από Windows 2000 κ μετά. Αν έχουμε Βίστα τα πράγματα είναι κάπως καλύτερα: Έχουμε πάντα ενεργοποιημένο το UAC και εκτελούμε κανονικά τις καθημερινές μας εργασίες. Παράλληλα, έχουμε ανοιχτή μια γραμμή εντολών με αυξημένα δικαιώματα. Όποτε έχουμε να κάνουμε κάτι διαχειριστικό, απλά εκτελούμε το πρόγραμμα από τη γραμμή εντολών. Έτσι δε χρειάζεται να μας εκνευρίζει το UAC συχνά και κάνουμε και τη δουλειά μας με μεγαλύτερη ασφάλεια. ΠΟΤΕ μα ΠΟΤΕ δεν εγκαθιστούμε πρόγραμμα που δεν ξέρουμε την προέλευσή του 100%. Εννοείται ΠΟΤΕ δεν τρέχουμε patch ή crack ή keygen ή τέτοια. Κατεβάζουμε προγράμματα/εργαλεία μόνο από αξιόπιστες σελίδες και όχι από το www.mitsosultimatesoftware.org.  
    Ξέρω ότι είναι πόνος το να βγάλεις ένα χρήστη από τοπικό αδμιν. Θα καλεί κάθε λίγο και λιγάκι για βοήθεια και θα τρέχουμε άδικα. Όμως αν ο χρήστης είναι αδμιν και αρπάξει κάποιον ιό δε θα τρέχουμε και πάλι; Άσε που μπορεί να κάνει ακόμα μεγαλύτερη ζημιά. Οπότε, αφού θα τρέχουμε έτσι κ αλλιώς, τουλάχιστον ας έχουμε ένα πιο ασφαλές περιβάλλον.
    Και ένα τιπ για το τέλος: Αν έχετε χρήστες (π.χ. φορητών) που χρειάζονται συχνά να αλλάζουν τις ρυθμίσεις δικτύου μπορείτε να τους βάλετε στο τοπικό “Network configuration operators” γκρουπ. Θα μπορούν να τις αλλάζουν χωρίς όμως να είναι τοπικοί αδμινς.
    Χαιρετίσματα στους σερβερ σας
×
×
  • Create New...