Dakota Blog: Blog

Windows Server 2008 i Windows Live Writer

Tue, 22 Apr 2008 20:24:34 GMT

Na przełomie kilku ostatnich tygodni, za sprawą Quizu 2008 i Heroes Happen Here, ilość osób korzystających z systemu Windows Server 2008 bez wątpienia znacznie się rozrosła. :-)

Najprawdopodobniej wzrośnie więc również liczba osób, które na tymże systemie spróbują zainstalować tak przesympatyczny program jakim jest Windows Live Writer. Niestety po ściągnięciu instalatora WLinstaller.exe i jego uruchomieniu, naszym oczom ukaże się poniższy komunikat:

Najwyraźniej plik instalacyjny produktów z rodziny Live nie jest zbyt "kompatybilny" z systemami serwerowymi. Na szczęście na tę przypadłość nie cierpi już właściwy instalator Windows Live Writer. Możemy go po prostu przekopiować z systemów klienckich (Vista, XP) i uruchomić na WS 2008. Lokalizacja pliku msi zawierająca WLW jest stała:

C:\Program Files\Common Files\WindowsLiveInstaller\MsiSources

Dla 64 bitowej wersji systemu, będzie to:

C:\Program Files (x86)\Common Files\WindowsLiveInstaller\MsiSources

Interesuje nas plik Install_{9176251A-4CC1-4DDB-B343-B487195EB397}.msi.

Instalatory innych produktów z rodziny Live, które również możemy znaleźć w powyższej lokalizacji (w zależności od zainstalowanych komponentów), to:

Windows Live Photo Gallery: Install_{257E440F-781F-459B-9A68-A0872B80C1D6}.msi
Windows Live Messenger: Install_{508CE775-4BA4-4748-82DF-FE28DA9F03B0}.msi
Windows Live Mail: Install_{184E7118-0295-43C4-B72C-1D54AA75AAF7}.msi
Windows Live Toolbar: Install_{D5A145FC-D00C-4F1A-9119-EB4D9D659750}.msi
Windows Live Sign-In Assistant: Install_{AFA4E5FD-ED70-4D92-99D0-162FD56DC986}.msi

Loopback i DNS

Mon, 07 Apr 2008 13:41:42 GMT

W Windows Server 2003 możemy bez problemu, ręcznie zdefiniować 127.0.0.1 jako adres serwera DNS we właściwościach protokołu TCP/IP. Gdy to samo spróbujemy zrobić w systemie Windows 2000 Server, przywita nas taki komunikat:

Czyli interfejs graficzny nie pozwoli nam wpisać adresu zaczynającego się od 127, lub wyższego od 223.

Co w takim razie z netsh? Próba zmiany adresu serwera DNS zakończy się tak:

Jeżeli jednak rozpaczliwie chcemy ustawić ten loopback jako DNS w Windows 2000, to najprościej dokonamy tego modyfikując rejestr.

W kluczu

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\ Interfaces\{GUID_naszej_karty}

wstawiamy odpowiednie adresy w "NameServer".

Teraz właściwości protokołu TCP/IP mogą wyglądać choćby tak:

Dlaczego w ogóle o tym piszę?

Chodzi oczywiście o konfigurację kontrolera domeny. Jeżeli przed uruchomieniem dcpromo, nie skonfigurujemy adresu preferowanego serwera DNS, to konfigurator sam wstawi adres 127.0.0.1 podczas procesu tworzenia AD i instalacji/konfiguracji serwera DNS. Tak jest w Windows Server 2003/2008. Jest tak również w Windows 2000 Server. Z tą jednak różnicą, że w 2003/2008 możemy adres 127.0.0.1 wpisać również ręcznie. Próba wpisania adresu klasy D (powyżej 223) wciąż będzie powodowała wyświetlenie poniższego komunikatu (także w Windows Server 2008).

BTW. Owszem, w niektórych firmach korzysta się jeszcze z systemu Windows 2000 Server. ;-)

71-646 i 71-647 zdane. :)

Wed, 26 Mar 2008 16:18:54 GMT

W końcu są wyniki egzaminów beta... Jak pewnie wiele osób, również mam je zaliczone. :)

No i teraz muszę podejść do następnego egzaminu (z Visty: 70-620), żeby Enterprise Administrator się uprawomocnił. :) Już chyba wiem na co wykorzystam voucher wygrany w quizie. ;)

Od lokalnego Administratora do Administratora domeny w trzech krokach

Fri, 21 Mar 2008 10:53:25 GMT

Aktorzy: gsecdump, msvctl, psexec.

Czyli po prostu ekspresowa eskalacja uprawnień. Oczywiście jak zawsze, muszą zostać spełnione pewne warunki. :)
Najprostszy scenariusz zakłada, że:

1. Mamy dostęp na poziomie lokalnego admina do komputera w domenie. Niestety wciąż zbyt często nie stanowi to żadnego problemu, gdy np. szeroko stosowaną praktyką jest dodanie Domain Users do grupy lokalnych administratorów. "Bo wtedy wszystko działa!" ;)

2. Na tej stacji chociaż raz zalogowane było konto należące do grupy Domain Admins.

Jeżeli nawet żaden DA (Domain Admin) nie był zalogowowany na komputerze do którego mamy dostęp, to zawsze możemy zacząć od hasza wbudowanego konta lokalnego administratora. Jakie jest prawdopodobieństwo tego, że w sieci hasło lokalnego administratora jest inne na każdej stacji? Minimalne. Często będzie ono takie samo również na serwerach. W ten sposób szybko można wejść w posiadanie hasza DA.

A więc:

1. jako admin na stacji: gsecdump -a
2. msvctl haszNależącyDoDomainAdmins run cmd
3. w nowym oknie cmd: psexec -s \\domain_kontroller -c gsecdump.exe -s

W ten sposób weszliśmy w posiadanie wszystkich haszy w domenie i możemy "podszyć się" pod każde z nich. Proponuję sprawdzić pod tym kątem swoją sieć. Oczywiście tylko jeżeli mamy na to pozwolenie. :)

Jak można się przed tym bronić? Przede wszystkim NIE DAJEMY UŻYTKOWNIKOM PRAW LOKALNEGO ADMINISTRATORA! Ogromna poprawa bezpieczeństwa i równocześnie znacznie więcej na naszej głowie. ;) W innym przypadku... ciężko...

Można zwiększyć nieco odporność na tego typu atak...

Przede wszystkim nie logować się gdzie popadnie z kont należacych do Domain Admins i w ogóle ograniczyć do minimum korzystanie z takich kont. Jeżeli już zaistnieje potrzeba logowania DA, to można robić to na wyznaczonej do tego stacji.
Rozumiem, że inne hasło lokalnego admina na każdym komputerze jest często nierealne, ale co z serwerami? ;-)

Dodatkowo - moim zdaniem - całkiem niezłym pomysłem może być odizolowanie od siebie komputerów użytkowników sieci poprzez zastosowanie np. IPsec i włączenie lokalnego firewalla. Tutaj akurat możemy wygrać znacznie więcej niż tylko zmniejszenie efektywności programów z rodziny "Pass-The-Hash". Skutecznie zminimalizuje to również zagrożenia płynące ze strony różnych wirusów i robaków korzystających z sieci do rozprzestrzeniania się.

No i oczywiście SRP (Software Restriction Policies) ze standardowym poziomem zabezpieczeń ustawionym na Disallowed. Wtedy user nie będzie mógł zbyt łatwo skorzystać między innymi z wymienionych powyżej narzędzi. Dzięki implementacji SRP również zyskamy DUŻO więcej niż tylko ochronę przed gsecdump. :)

Nie wyeliminuje to całkiem zagrożenia, ale z pewnością je utrudni. W sumie sam jestem ciekaw, jak najskuteczniej bronić się przed takim atakiem. :-)

Group Policy - Central Store

Fri, 21 Mar 2008 00:26:20 GMT

Jedną ze zmian związanych z GPO w systemach Windows Server 2008 i Windows Vista jest koncepcja katalogu centralnego. (Central Store). Central Store jest po prostu katalogiem przechowywanym na udziale SYSVOL, w którym znajdują się wszystkie pliki szablonów administracyjnych (ADMX i ADML) w obrębie domeny.

Po uruchomieniu GPMC na Windows Server 2008 lub Windows Vista, pierwszym miejscem z którego nastąpi próba załadowania szablonów, będzie właśnie central store. W przypadku gdy system stwierdzi jego brak, kieruje się do lokalnych zasobów.

To rozwiązanie ma uporać się (między innymi) z kilkoma niedogodnościami charakterystycznymi dla procesu tworzenia i zarządzania politykami grup w systemach Windows 2000/XP/2003.

Jedną z tych niedogodności może być wzmożony ruch sieciowy związany z replikacją szablonów ADM. Inną, miejsce zarezerwowane na ich składowanie na kontrolerach domeny. Jeszcze inna niespodzianka czekała na nas, gdy dokonywaliśmy edycji GPO z systemów różniących się wersją językową. Poza tym, w sytuacjach gdy siecią zarządzała większa ilość Administratorów, mogły występować problemy z dokładnym określeniem, którą dokładnie wersję szablonu właśnie poddaliśmy edycji.

Do tej pory, w momencie utworzenia GPO, na SYSVOL zostawał zakładany katalog z GUID nowej GPO w nazwie. Nie zawierał on jednak jeszcze na tym etapie katalogu ADM w którym przechowywane były szablony administracyjne. Kopiowanie następowało dopiero w momencie gdy dane GPO zostało otwarte w GPOE (Group Policy Object Editor).

Zestaw szablonów dla jednej GPO, to niecałe 4MB. Przy ok. pięćdziesięciu GPO, mówimy już o konieczności replikacji ok. 200 MB. W sytuacjach gdy lokacje w obrębie jednej domeny połączone są przy pomocy niezbyt wydajnych łącz, lub gdy łącza te są po prostu intesywnie wykorzystywane, rozmiar SYSVOL może mieć dość istotne znaczenie.

Jak już wspomniałem na początku, central store jest reprezentowany przez katalog o nazwie PolicyDefinitions w udziale sysvol na kontrolerach domeny. Cały proces tworzenia CS jest bardzo prosty...

1. Na kontrolerze domeny (preferowany jest tutaj DC pełniący rolę PDC Emulator, gdyż to właśnie do tego DC standardowo łączy się GPMC i GPOE), w poniższej ścieżce tworzymy główny katalog w którym składowane będą wszystkie szablony ADMX:

%systemroot%\sysvol\domain\policies\PolicyDefinitions

2. Tworzymy podfoldery dla wersji językowych plików ADML. Nazwy folderów nie są dowolne i możemy je znaleźć np. na liście Valid Locale Identifiers.

3. Kopiujemy pliki .admx z Visty (lub z Windows Server 2008) do folderu PolicyDefinitions na SYSVOL:

copy %systemroot%\PolicyDefinitions\* %logonserver%\sysvol\%userdnsdomain%\policies\PolicyDefinitions\

4. Kopiujemy pliki .adml do odpowiednich podfolderów utworzonych w katalogu PolicyDefinitions na SYSVOL:

copy %systemroot%\PolicyDefinitions\[MUIculture]\* %logonserver%\sysvol\%userdnsdomain%\policies\PolicyDefinitions\[MUIculture]\

Efekt końcowy powinien przedstawiać się następująco:

Powyższą procedurę musimy wykonać tylko raz, na jednym DC. Oczywiście konto użytkownika z którego będziemy wykonywać te kroki, musi być członkiem grupy Domain Administrators. Resztę zrobi za nas FRS (lub ewentualnie DFSR, jeżeli poziom funkcjonalny domeny został podniesiony do Windows Server 2008 i dokonaliśmy zmiany sposobu replikacji), który synchronizuje zawartość udziału sysvol na wszystkich kontrolerach w domenie.

Dodatkowa korzyść płynąca z posiadania magazynu centralnego w domenie, to łatwe udostępnianie i korzystanie z niestandardowych plików admx, które po skopiowaniu do CS, staną się automatycznie dostępne dla wszystkich osób administrujących GPO w naszej domenie.

Musimy pamiętać o tym, że od tej pory, edycji GPO powinniśmy dokonywać tylko z sytemów Windows Vista i Windows Server 2008. W innym przypadku, do katalogu edytowanej GPO znajdującym się na sysvol, skopiowany zostanie zestaw plików .adm.

W sytuacji gdy z jakichś powodów katalog PolicyDefinitions będzie niedostępny, wtedy Windows Vista i Windows Server 2008 automatycznie zaczną korzystać z plików .admx i .adml przechowywanych lokalnie.

Czytamy pocztę... ;)

Fri, 14 Mar 2008 08:06:54 GMT

Dobrze wiedzieć, że człowiek nie jest osamotniony w bólu... ;) A ja mam tylko jakieś marne 1200+ nieprzeczytanych wpisów w Google Readerze. :) Pełnia szczęścia. ;) http://blog.joeware.net/2008/03/13/1088/

MSVCTL

Thu, 13 Mar 2008 13:40:34 GMT

Przyznaję, że wiadomość już może nie jest najświeższa, ale....

Kilka miesięcy temu pisałem o ciekawej prezentacji "Why I Can Hack Your Network in a Day!". Marcus Murray do zabawy z przekazywaniem haszy LM korzystał z MSVCTL. Jeżeli ktoś przegapił, to dobrze wiedzieć, że od października 2007, program ten jest dostępny publicznie.

http://truesecurity.se/blogs/murray/archive/2007/10/01/pass-the-hash-tool-msvctl-released-to-public.aspx

Ciekawostka

Tue, 11 Mar 2008 23:41:48 GMT

Poniżej dwa screeny. Pierwszy z laptopa (Host) na którym zainstalowany jest system Vista x64, a drugi został zrobiony na systemie wirtualnym w VMware Workstation (oczywiście na tym samym laptopie). Również Vista x64. Według Windows Experience Index dysk dostaje niezłego kopa na VM. ;)

Host:

Virtual Machine:

Problemy z synchronizacją czasu, czyli Event ID 38, 47 i 29

Sun, 10 Feb 2008 00:15:05 GMT

Na wszelakie konfiguracyjno-manualne zło:

net stop w32time

w32tm /unregister

[ewentualny reboot]

w32tm /register

net start w32time

Po przewaleniu tony artykułów o konfiguracji czasu w domenie (ntp, w32tm) i zastosowaniu zalecanych w nich kroków, to właśnie powyższa "procedurka" wykonana na kontrolerach zachowujących się "dziwnie", pozwoliła wybielić logi.

No... w każdym razie pomogła w przypadku poniższego trio :):

Skrypty: Tygodnie, tygodnie, tygodnie...

Wed, 06 Feb 2008 11:44:25 GMT

Skryptowy, prosty sposób na obliczenie ilości tygodni jakie upłynęły od interesującej nas daty:

Wscript.Echo DateDiff("ww","2008-01-01",Now())

Zmiana rozdzielczości w Windows Server 2008 Core

Wed, 02 Jan 2008 01:41:53 GMT

Zdarzyło mi się zobaczyć takie coś, na czym nie bardzo ma się ochotę pracować. ;-)

Wspaniała rozdzielczość 640x480. Pewnie i wspaniała, ale nie w 2008 roku. ;-) Taki efekt można między innymi uzyskać po instalacji VMWare Tools w wyżej wymienionym systemie. Na szczęście również w Core mamy możliwość zmiany parametrów ekranu.

W tym celu uruchamiamy regedit i przechodzimy do klucza
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Video\{GUID}\000

Musimy jeszcze tylko odnaleźć odpowiedni GUID, który reprezentuje interesujący nas sterownik graficzny.

W moim przypadku identyfikacja nie była zbyt trudna, co widać na załączonym obrazku ;-):

Interesują nas dwie zaznaczone powyżej wartości, czyli DefaultSettings.XResolution i DefaultSettings.YResolution.
Wystarczy już tylko zmienić je na np. 1024x768 i zrestartować system.

Detale, detale, czyli Microsoft Firewall Client i Software installation

Fri, 28 Dec 2007 11:19:35 GMT

Wiem o tym przecież od lat. Mało tego, pamietam o tym od lat. A jednak. Zdarzyło się zapomnieć. Wielkiej tragedii co prawda nie było, ale po raz kolejny przekonuję się, że nie ma to jak spokojnie usiąść choćby na 5 minut i... najzwyczajniej w świecie dokonać podstawowej analizy problemu. Ale nie... myślenie przecież boli. ;) Najczęściej na własnym podwórku.

Tak jak sugeruje tytuł, chodzi o dystrybucję ISA FWC przy pomocy GPO. Sprawa banalnie prosta. Musiałem szybko rozpuścić paczkę na wszystkie stacje w domenie. Z relacji użytkowników ;) można było wyciągnąć wniosek, że na niektórych komputerach różne rzeczy nie działają, a powodem był właśnie brak FWC, który najwyraźniej na wybranych systemach nie został poprzez GPO zainstalowany. Wyglądało na to, że wspólnym czynnikiem była wersja OS. W tym przypadku Windows 2000 Professional (a mam jeszcze kilkadziesiąt stacji właśnie z tym systemem). Zakładając, iż problem leży "gdzieś głębiej" odsuwałem w czasie próby jego rozwiązania. Doszło już nawet do tego, że specjalnie przeszedłem się do kilku stacji i ręcznie zainstalowałem FWC. :-) Na początku nawet zajrzałem ;-) do logów, ale było czyściutko. BTW. to akurat już powinno dać mi do myślenia, a jednak...

Dzisiaj, po kolejnym meldunku "jeszcze tutaj nie działa", postanowiłem zajrzeć do źródła, czyli po prostu sprawdzić odpowiednie GPO. Olśnienie przyszło w momencie otwarcia GPMC. Wypadało tylko palnąć się porządnie w czoło. Problem nie miał nic wspólnego z tym, że systemem był Windows 2000 Professional. Szkopuł tkwił w wersji językowej systemu. Tak się akurat składa, że te W2K Pro są NL. :-) Naturalnie wszyscy już wiedzą o czym zapomniałem podczas konfiguracji Software installation. Brak jednej fajeczki. Tak więc ku pamięci:

Właściwości konkretnego msi -> zakładka "Deployment" -> Klik na "Advanced" -> fajeczka przy "Ignore language when deploying this package".

A na przyszłość... najwyższa pora zacząć się oswajać z bólem. ;-)

Tafiti?

Thu, 27 Dec 2007 15:28:46 GMT

Tafiti to eksperymentalna nakładka na Live Search wykorzystująca Silverlight. Można to chyba potraktować tylko jako ciekawostkę i sobie pooglądać. :-)

Quiz! Quiz! Quiz!

Mon, 24 Dec 2007 15:35:00 GMT

Informacja dla wszystkich zainteresowanych pogłębianiem wiedzy na temat Windows Server 2008.

Na początku stycznia, na stronie https://www.quiz2008.pl/ ruszy rejestracja do quizu/testu z wiedzy dotyczącej właśnie tego systemu. Od zawsze wiadomo, że najlepszą formą nauki jest zabawa, dlatego wszystkich spragnionych jednego i drugiego (lub tylko jednego - wedle uznania ;) ) zapraszam do rejestracji. :-)

Ci, którzy chcą mieć większy wpływ na pytania z jakimi się zetkną w czasie trwania quizu, mogą przesyłać swoje propozycje do organizatorów.

Pozostaje życzyć wszystkim udanej zabawy. :-)

SBS, Sites i NTDS KCC Errors

Mon, 03 Dec 2007 21:19:42 GMT

Ostatnio trafiła mi się możliwość małego 'dorobienia', czyli malutka fucha. ;-) Chodziło o rozbudowę małej sieci SBS o nową lokację. Jednym z elementów tej rozbudowy było postawienie dodatkowego DC na Windows Server 2003 R2.

Utworzyłem więc nowy Site, podsieć i przeniosłem tam nowy serwer. Rezultatem było pojawianie się co kwadrans w logach na SBS trzech zdarzeń. Event id 1311, 1312 oraz 1865. Dość szybko log 'Directory Service' zaczął wyglądać tak:

Logi na nowym DC były czyściutkie.

Rozwiązanie jest bardzo proste. SBS 'z pudełka' zakłada, że będzie działał w środowisku, w którym jest tylko jedna lokacja. Dlatego usługa 'Intersite Messaging' jest wyłączona. Wystarczy ją włączyć, aby 'dwukolorowe trio' opuściło nasze logi.

Shadow Copy - Zakładka "Previous Versions"

Fri, 30 Nov 2007 15:30:37 GMT

Jeżeli nie chcemy dzielić się z użytkownikami "tajemną wiedzą błyskawicznego odzyskiwania danych" ;-), znanej również pod nazwą "Shadow Copies", to możemy usunąć z systemów użytkowników zakładkę "Previous Versions" poniższym poleceniem:

regsvr32 /u twext.dll

Devcon

Wed, 14 Nov 2007 02:10:21 GMT

Do zarządzania urządzeniami w systemie z linii poleceń, możemy wykorzystać Devcon. Alternatywa dla graficznego 'Device Manager'.

Po wpisaniu w cmd devcon help otrzymamy:

C:\>devcon help
Device Console Help:
devcon [-r] [-m:\\<machine>] <command> [<arg>...]
-r if specified will reboot machine after command is complete, if needed.
<machine> is name of target machine.
<command> is command to perform (see below).
<arg>... is one or more arguments if required by command.
For help on a specific command, type: devcon help <command>
classfilter          Allows modification of class filters.
classes             List all device setup classes.
disable             Disable devices that match the specific hardware or instance ID.
driverfiles         List driver files installed for devices.
drivernodes      Lists all the driver nodes of devices.
enable              Enable devices that match the specific hardware or instance ID.
find                  Find devices that match the specific hardware or instance ID.
findall               Find devices including those that are not present.
help                  Display this information.
hwids                Lists hardware ID's of devices.
install                Manually install a device.
listclass             List all devices for a setup class.
reboot               Reboot local machine.
remove             Remove devices that match the specific hardware or instance ID.
rescan               Scan for new hardware.
resources          Lists hardware resources of devices.
restart              Restart devices that match the specific hardware or instance ID.
sethwid             Modify Hardware ID's of listed root-enumerated devices.
stack                Lists expected driver stack of devices.
status               List running status of devices.
update              Manually update a device.
updateni            Manually update a device (non interactive).

Załóżmy, że naszym celem jest wyłączenie karty sieciowej. Sprawa niby jest prosta, a jednak czasami najwyraźniej sprawia mały kłopot. Można to załatwić naturalnie jedną "linijką", jednak tutaj bardziej chodzi o to, aby pokazać jak dojść do tego, co ma się w tej linijce znaleźć. ;-)

Listujemy urządzenia poleceniem devcon find *

Lista jest stosunkowo obszerna, więc podarujemy sobie wklejanie. Podczas jej przeglądania trafimy jednak na linijkę identyfikującą naszą kartę. Na przykład dla NICa VMWare, będzie to:

PCI\VEN_1022&DEV_2000&SUBSYS_20001022&REV_10\4&239552F9&0&0088: VMware Accelerated AMD PCNet Adapter

Na przyszłość możemy już pójść na małe skróty i od razu zawęzić nasze poszukiwania poleceniem devcon find pci*

Identyfikatorem naszej karty jest więc PCI\VEN_1022. Teraz musimy ją jeszcze tylko wyłączyć poleceniem disable podając odpowiednią klasę i identyfikator.

devcon help disable pokaże nam składnię:

C:\>devcon help disable
devcon [-r] disable <id> [<id>...]
devcon [-r] disable =<class> [<id>...]
Disable devices that match the specific hardware or instance ID.
This command will only work for local machine.
Specify -r to reboot automatically if needed.
Examples of <id> are:
*                            - All devices (not recommended)
ISAPNP\PNP0501     - Hardware ID
*PNP*                     - Hardware ID with wildcards (* matches anything)
@ISAPNP\*\*           - Instance ID with wildcards (@ prefixes instance ID)
<class> is a setup class name as obtained from the classes command.
Devices are disabled if possible.

Potrzebujemy więc dwóch danych <class> i <id>. Id już znamy, a nazwę klasy uzyskamy po wydaniu polecenia devcon classes. Widzimy, że dla kart sieciowych będzie to Net.

Nasze urządzenie wyłączymy więc wpisując:

devcon disable = net pci\ven_1022

Efektem będzie:

C:\>devcon disable = net pci\ven_1022
PCI\VEN_1022&DEV_2000&SUBSYS_20001022&REV_10\4&239552F9&0&0088: Disabled

Możemy ponownie włączyć kartę, wpisując devcon enable = net pci\ven_1022

Sprawa jednak nieco się komplikuje w sytuacji, gdy w komputerze obecna jest większa ilość kart z tym samym chipsetem. Powyższe polecenia będą bowiem odpowiednio, wyłączać i włączać wszystkie karty o ID PCI\VEN_1022.

Na przykład po wylistowaniu urządzeń na VM z dwiema kartami sieciowymi, otrzymamy:

PCI\VEN_1022&DEV_2000&SUBSYS_20001022&REV_10\4&239552F9&0&0088: VMware Accelerated AMD PCNet Adapter
PCI\VEN_1022&DEV_2000&SUBSYS_20001022&REV_10\4&239552F9&0&1888: VMware Accelerated AMD PCNet Adapter

Wydanie polecenia devcon disable = net pci\ven_1022 zaowocuje wyłączeniem obu kart:

C:\>devcon disable = net pci\ven_1022
PCI\VEN_1022&DEV_2000&SUBSYS_20001022&REV_10\4&239552F9&0&0088: Disabled
PCI\VEN_1022&DEV_2000&SUBSYS_20001022&REV_10\4&239552F9&0&1888: Disabled
2 device(s) disabled.

Do tej pory identyfikowaliśmy urządzenia po Hardware ID. Rozwiązaniem problemu będzie skorzystanie z Instance ID. Wybieramy więc interesujący nas identyfikator. Załóżmy, że chcemy wyłączyć tylko kartę o Instance ID 4&239552F9&0&0088:

PCI\VEN_1022&DEV_2000&SUBSYS_20001022&REV_10\4&239552F9&0&0088
PCI\VEN_1022&DEV_2000&SUBSYS_20001022&REV_10\4&239552F9&0&1888

Osiągniemy to wydając polecenie:

devcon disable @*4*239552F9*0*0088

Znakiem '@' informujemy, że używamy właśnie Instance ID i zamieniamy wszystkie '&' na wildcard '*'.

Efektem będzie wyłączenie tylko wybranej przez nas karty.

One Click Capture

Tue, 13 Nov 2007 15:49:02 GMT

Na stronie Microsoft Connect, w projekcie 'Network Monitor 3' dostępny jest pakiet beta "One Click Capture". Można powiedzieć, że to "przenośna" wersja Network Monitora v3.1, którą możemy zapisać na kluczu USB, a następnie uruchomić na innym komputerze. Efektem będzie automatyczne logowanie ruchu sieciowego do pliku przez 120 minut. Proces ten możemy w dowolnym momencie przerwać, wciskając "x".

Top 10 zmian w IIS 7.0

Tue, 13 Nov 2007 11:57:26 GMT

Na blogu zespołu 'Microsoft.com Operations' można zapoznać się z listą dziesięciu, ich zdaniem najważniejszych, zmian w IIS 7.0.
A na miejscu pierwszym... oczywiście możliwości konfiguracyjne linii poleceń, czyli coś, co znalazło się chyba w ok. 40% pytań egzaminu 071-649. ;-)

MSCOM OPS Top 10 Changes In IIS7.0...

Tools

Thu, 08 Nov 2007 12:45:10 GMT

Zmuszony byłem ostatnio wyciągnąć klucz WPA z Windowsa 2000 Pro. Dostęp do "gwiazdek" już miałem. Pozostało jeszcze znaleźć sposób aby sprawdzić co się pod nimi kryje. Krótko mówiąc, przetestowałem kilka programików Freeware/Shareware, jednak żaden z nich sobie nie poradził. Tzn. prawie żaden. ;-) W końcu trafiłem na programik, który bez najmniejszych problemów wykonał to, czego od niego oczekiałem. Asterisk Logger odesłał "gwiazdki" w niebyt i umożliwił mi dostanie się do klucza. Z pewnością więcej programów również dałoby radę, jednak ja trafiłem właśnie na ten, więc o nim napisałem. :-) Oczywiście freeware. Jeden pliczek, 21KB.

Drugim programem, którego konkretna funkcjonalność mnie zaciekawiła, to Free Download Manager. Jak sama nazwa wskazuje, wiele za niego nie zapłacimy. ;-) Co konkretnie mi sie w nim spodobało? Otóż załóżmy, że chcemy ściągnąć plik zip, np. o wielkości 200MB, ponieważ wydaje nam się, że wewnątrz znajdziemy konkretny pliczek o rozmiarze powiedzmy 2MB. FDM umożliwia:
Po pierwsze, obejrzenie zawartości zipa zanim tak naprawdę zaczniemy ściąganie, więc możemy potwierdzić obecność interesującego nas pliku.
Po drugie, mamy możliwość zaznaczenia tylko tych plików znajdujących się w zipie, które nas interesują i tylko te pliki zostaną ściągnięte.

Nie wiem czy jest to popularna funkcjonalność w tego typu programach, ale mi się bardzo spodobała. :-)

Obiecanki cacanki... ;-)

Fri, 12 Oct 2007 13:38:59 GMT

Postanowiłem wprowadzić odrobinkę organizacji w swoim chaotycznym świecie. Właściwie, to postanowiłem spróbować wprowadzić... ;-) Zamierzam zacząć świadomie organizować sobie czas i dać szansę jakiemuś PIMowi. To co się teraz wyrabia, zaczyna się już wymykać spod jakiejkolwiek kontroli. Wygląda na to, że im więcej mam do zrobienia, tym mniej robię. Co w sumie jest logiczne. :-) Ostatnio nawet prawie nie zaglądam na WSS! I nie ma to absolutnie nic wspólnego z ITCore. Kiedyś musi się w końcu zapalić czerwona lampka. ;-) Trafiłem na bardzo ciekawą pozycję książkową pod wiele mówiącym tytułem "Time Management for System Administrators". Po przeczytaniu pierwszych rozdziałów, nie mogę oprzeć się wrażeniu, że została ona napisana specjalnie dla mnie. ;-) Opisy problemów są jakby żywcem wyjęte z mojego życia. Z pewnością oznacza to, że nie jestem odosobniony w kwestii problemów z organizacją swojego czasu. :-)

Na razie "testy" przeprowadzę na gratisowej wersji programu EssentialPIM. Dlaczego akurat na tym programie? Bo jest Free, bo akurat na niego trafiłem (był chyba czwarty na mojej liście google), bo jest prosty (a tego szukałem), bo istnieje wersja mobilna na USB U3 (a przymierzam się akurat to zakupu czegoś takiego). :) Równocześnie ma chyba wszystko czego potrzebuję. Albo wydaje mi sie, że potrzebuję. ;-)

Firefox w AD

Mon, 01 Oct 2007 11:00:53 GMT

Osoby, które zechcą w swojej sieci wykorzystać AD/GPO do instalacji Firefoxa, mają "gotowca" msi. Paczuszka dostępna jest w wielu wersjach językowych. Najnowsza dla wersji FF 2.0.0.7 do ściągnięcia stąd: Mozilla Firefox MSI

Na stronie http://www.frontmotion.com/Firefox/fmfirefox.htm dostępne są również firefox.adm i mozilla.adm. Pierwszy plik pozwala kontrolować i konfigurować podstawowe ustawienia FF na poziomie komputera i użytkownika, a drugi jest odpowiednikiem pliku konfiguracyjnego mozilla.cfg i jego ustawienia są aplikowane jedynie na poziomie komputera.

It's Showtime i SilverLight

Mon, 01 Oct 2007 09:46:02 GMT

Jeżeli ktoś chciałby pooglądać webcasty dostępne na stronie It's Showtime korzystając z dobrodziejstw SilverLight, to od jakiegoś już czasu ma taką możliwość. Wystarczy zajrzeć na http://www.microsoft.com/emea/spotlight/. Przekierowanie na ten adres następuje również po wejściu na http://www.microsoft.com/itsshowtime/.

Artykuły...

Thu, 13 Sep 2007 10:31:14 GMT

Jak widać pisanie przychodzi mi dość ciężko. :-) Skoro jednak już zajrzałem do Windows Live Writer, to dorzucę jeszcze małe info. Info odnośnie artykułów, które do tej pory udało mi się napisać.
A łatwo nie było (patrz pierwsze zdanie ;-) ).

Pierwszy leży na WSS:
Windows Vista: User Account Control

A drugi na Technecie:
Instalacja i konfiguracja elementów zdalnego dostępu, cz. I
Instalacja i konfiguracja elementów zdalnego dostępu, cz. II

Mam nadzieję, że za jakiś czas uda mi się przynajmniej podwoić dorobek "literacki". ;)

PHP i MySQL

Thu, 13 Sep 2007 09:55:30 GMT

Znajoma zapytała mnie, czy mógłbym załatwić jej jakieś forum webowe. Pewnie bym mógł. :) Jako że "webmasterka" nie należy do moich codziennych obowiązków, musiałem się najpierw troszkę rozejrzeć. Na pierwszy ogień poszło phpbb. Informacyjnie tylko dodam, że chyba wykorzystam do tego celu coś bardziej atrakcyjnego niż gołe forum webowe, a mianowicie... Joomla. :) Ale nie o tym teraz...

Do działania phpbb potrzebowałem działającej komunikacji na linii MySQL - PHP. Podczas konfiguracji forum phpbb, instalator za nic w świecie nie chciał wykryć zainstalowanego MySQLa. Po przerobieniu całej masy manuali i sprawdzeniu wszystkiego po kilkanaście razy, w końcu trafłem na przyczynę... I znowu potwierdza się powiedzenie, że diabeł tkwi w szczegółach...

Otóż wygląda na to, że problem w tym konkretnym przypadku tkwił w kolejności wpisów w system variables (path).

Na liście, ścieżka do PHP musiała znaleźć się przed wpisami MySQLa... Ot i cały problem... Sam powód tkwił w obecności w obu pakietach tak samo nazwanych plików dll. Później działało już niezależnie od kolejności tych wpisów, ale nie miałem czasu/ochoty dochodzić przyczyny.

Exchange SMTP logging na ratunek

Mon, 27 Aug 2007 01:48:22 GMT

Do jednego z naszych klientów przesyłamy automatycznie faxy-zamówienia w postaci załącznika w mailu. To oczywiście działa, a właściwie działało, bo przed 3 dniami nagle przestało. Znaczy się, standard. ;)

System telefoniczny przesyła fax do lokalnego magazynu. Z magazynem tym kontaktuje się przy użyciu POP3 pewien program i pobiera maile, a następnie przesyła je na skrzynkę do serwera Exchange (fax@MojaFirma.pl). Dodatkowo na tej skrzynce jest ustawione przekierowanie na zewnętrzny kontakt (fax@FirmaKlienta.pl). I tak to sobie działało.

Klient twierdzi, że maile przestały lądować w ich skrzynce. Szybkie przejrzenie całego procesu po "mojej stronie" nie wykazało niczego niepokojącego. Wyglądało na to, iż wszystko jest w porządku. Próba ręcznego wysłania maila na fax@FirmaKlienta.pl zakończyła się sukcesem. Również wysłanie listu na fax@MojaFirma.pl przyniosło pożądany skutek. Tzn. został on poprawnie przekierowany na adres w domenie klienta. Jednak przekierowanie to najwyraźniej zawodziło w przypadku, gdy faxy-maile wysyłane były automatycznie w sposób opisany powyżej.

Mało tego. Gdy przekierowanie, zamiast na fax@FirmaKlienta.pl, ustawione zostało na AdresTestowy@gmail.com, to maile dochodziły bez najmniejszego problemu. Całe to testowanie miało jeszcze kilka innych faz, ale wniosek wydawał się prosty. Problem leżał po stronie klienta. Było też w tym odrobinkę naszej winy, ale o tym za chwilę. ;) Jak to jednak z klientami bywa, to my musieliśmy "udowodnić", że maile zostają dostarczane do ich serwera.

No dobrze. Pierwszym odruchem było skierowanie się do Message Tracking Center. I tutaj rozczarowanie. Nie było śladu po mailach przekierowywanych na fax@FirmaKlienta.pl.

Drugi strzał okazał się być znacznie bardziej efektywny. Po włączeniu logowania wszystkiego co się dało we właściwościach SMTP na Exchange, źródło problemu ujawniło się błyskawicznie...

220+mx.klienta.net+ESMTP 0 0 24 0 125 SMTP - - - -
EHLO - mailserver.MojaFirma.pl 0 0 4 0 125 SMTP - - - -
250-mx.klienta.net 0 0 18 0 140 SMTP - - - -
MAIL - FROM:<non-mail-user@srv-telef.domena.internal>+SIZE=74161 0 0 4 0 156 SMTP - - - -
250+Ok 0 0 6 0 219 SMTP - - - -
RCPT - TO:<fax@FirmaKlienta.nl> 0 0 4 0 219 SMTP - - - -
550+<non-mail-user@system-telef.domena.internal>:+Sender+address+rejected:+Domain+not+found 0 0 79 0 375 SMTP - - - -
RSET - - 0 0 4 0 375 SMTP - - - -
250+Ok 0 0 6 0 406 SMTP - - - -
QUIT - - 0 0 4 0 406 SMTP - - - -
221+Bye 0 0 7 0 422 SMTP - - - -

Więcej wyjaśniać już chyba nie trzeba. ;)

Teraz mamy dwa wyjścia. Albo poprawimy u siebie adres nadawcy, albo klient dorzuci nas do jakiejś białej listy. Mogłem jednak przedstawić "dowód" na to, że maile są wysyłane "na drugą stronę". A przynajmniej, że podejmowane są próby ich wysłania. ;)

71-649 / 70-649

Wed, 08 Aug 2007 23:17:11 GMT

W piątek 03-08-2007 pojawiłem sie na egzaminie w ośrodku oddalonym od mojego miejsca zamieszkania o jakieś 70 kilometrów. Była 08:30. Wszystko szło dobrze do momentu w którym uprzejma pani poprosiła mnie o jakiś dowód tożsamości. Z radosnym uśmiechem na ustach sięgnąłem do portfela i... zamarłem. Jeżeli chodzi o dowody tożsamości, to portfel świecił pustkami. W sumie, w przypadku innych "dowodów" też różowo w portfelu nie było, ale nie o tym teraz mowa. ;) Gorączkowe przeszukiwania plecaka w tym temacie nic nie zmieniły, a uśmiech już do radosnych ciężko było zaliczyć.
Desperacko sróbowałem jeszcze uwierzytelnić się jakąś kartą bankową/ubezpieczeniową/MCP :), ale niewiele to pomogło. Koniec końców, przesunąłem egzamin na 12:00 i zrezygnowany zawróciłem do auta, podczas gdy z gardła wydobywały się dźwięki, których na szczęście nikt z tam obecnych nie potrafił zidentyfikować, a których tutaj zdecydowanie nie wypada przytaczać. ;) Oczywiście ich adresatem byłem ja.

Po kolejnych 140 kilometrach, zameldowałem się w recepcji wyposażony dla pewności w dowód, paszport i prawo jazdy. :)

Sam egzamin w sumie nie był wielkim zaskoczeniem i pokrywał się prawie całkowicie z tym, co można znaleźć w Internecie. Pytań z IISa było tyle, że wygląda na to, iż Microsoft chce inżynierów systemowych przekwalifikować na webmasterów. ;) W nocy poprzedzającej egzamin zdążyłem jeszcze rzutem na taśmę przejrzeć składnię appcmd, dlatego kilkanaście pytań przestało stanowić zagrożenie. Jednak tydzień przygotowań (a właściwie kilka nocek :) ), to za mało aby przerobić choćby tylko pobieżnie cały materiał do 70-649, o step-by-step guides nie wspominając. Na "dzień dobry", dostałem potężną dawkę pytań z IISa, ale związanych bardziej z GUI niż cmd. W związku z tym, iż na GUI IISa nie starczyło już czasu, to pomimo że reszta pytań ogólnie nie wydawała się zbyt trudna i skomplikowana, jestem raczej pesymistycznie nastawiony co do wyniku egzaminu. Zwłaszcza gdy uwzględnię kilka bardzo głupich (nazywajmy rzeczy po imieniu ;)) błędów do których lepiej się publicznie nie przyznawać. ;-) NDA nie pozwala. ;)

Jeszcze "tylko" jakieś dwa miesiące i sprawa się wyjaśni. :)

Ograniczenia w NET.EXE

Tue, 24 Jul 2007 15:38:03 GMT

Okazuje się, że jeżeli w naszej domenie utworzymy grupy, których nazwy będą zawierały powyżej 20 znaków, to w przypadku gdy zechcemy skorzystać z net.exe aby dodać taką grupę domenową do którejś z lokalnych grup, otrzymamy syntax error, pomimo że składnia będzie jak najbardziej poprawna.

Warto mieć to na uwadze, jeżeli korzystamy z net.exe i jednocześnie nie oszczędzamy na literkach podczas tworzenia grup. ;)

Żródło: http://kevindevin.com/

Webcast: Why I Can Hack Your Network in a Day!

Tue, 17 Jul 2007 14:23:40 GMT

Wczoraj obejrzałem sobie prezentację z Tech-Ed 2007 (Orlando) i uznałem, że jest na tyle ciekawa, iż warto o niej wspomnieć. Prowadzący ją Marcus Murray, pokazuje jak łatwo jest przejąć kontrolę nad komputerem, a w rezultacie całą siecią, wykorzystując do tego metody, które moim zdaniem, sprawdziłyby się w większości sieci. Właściwie nie tylko zwykły user, ale i niejeden administrator uruchomiłby takiego zbindowanego exe. ;) Metody niby proste, a jednak. :) No i te hashe. ;) Gorąco polecam.

Why I Can Hack Your Network in a Day! [A live demonstration of techniques and tools used by hackers to compromise your network] (Level 300)

Trzeba się wziąć do roboty i....

Tue, 17 Jul 2007 14:04:58 GMT

... w końcu zacząć coś pisać.

No tak. Wiedziałem, że nie będę w stanie zbyt czesto uaktualniać zawartości bloga, ale to już zaczyna wyglądać na przegięcie. ;) W sumie zakładałem od początku, że nie będzie to blog "newsowy", jednak tak statycznego i ubogiego contentu, nawet ja nie przewidziałem. ;)

Jako że kilka osób zamieściło u siebie linka do tego miejsca, powinienem bardziej dbać o przyrost zawartości na blogu, chociażby przez wzgląd na szacunek jakim te osoby darzę.

Cóż... spróbuję się troszkę bardziej postarać. :)

Tajemnica serwera VPN... ;)

Mon, 19 Mar 2007 22:59:21 GMT

Razu pewnego, przydarzyło się koledze...

Wyobraźcie sobie, że któregoś dnia, np. po instalacji nowej serii poprawek i restarcie serwera VPN, nagle zaczynają się telefony od użytkowników zdalnych, którzy nie mogą się połączyć z serwerem VPN. Co do ciężkiej... (?)

Rzut oka do logów i od razu wpadają nam w oczy dwa zdarzenia.

Wszystko mówiący id 7001:

"The Remote Access Connection Manager service depends on the Telephony service which failed to start because of the following error: The operation completed successfully."

I troszkę mniej tajemniczy id 7024:

"The Routing and Remote Access service terminated with service-specific error 711 (0x2C7)."

Wycieczka na google od razu pokazała nieco, odnośnie 7024. Konkretnie artykuł KB 330163 http://support.microsoft.com/kb/330163.

CAUSE

This issue may occur if the following services are disabled:

•	Telephony
•	Remote Access Connection Manager
•	Remote Access Auto Connection Manager

Szybki rzut oka na usługi i... Faktycznie żadna z wymienionych nie jest uruchomiona. Zakładka "Dependencies" we właściwościach poszczególnych usług informuje nas, że łańcuszek przedstawia się następująco:

Najpierw powinna wystartować usługa "Telephony", od niej zależna jest "Remote Access Connection Manager", a z kolei od niej zależna jest "Remote Access Auto Connection Manager".

Rozwiązaniem według KB ma być.... oczywiście włączenie wyłączonych usług. :) Problem w tym, że żadna z nich nie była wyłączona. Wszystkie były w trybie Manual, a nie Disabled.
Nie pozostało jednak nic innego jak po prostu spróbować je włączyć...
Oczywiście próba ta, w przypadku dwóch serwisów zależnych od usługi "Telephony", zakończy się spodziewanym wynikiem, czyli błędem 1068: "The dependency service or group failed to start."

Wszystkie znaki na niebie i ziemi wskazywały więc na problem z "Telephony". Podczas manualnej próby startu, zakończonej oczywiście niepowodzeniem, otrzymujemy dosyć ciekawy komunikat. "The Telephony service on Local Computer started and then stopped. Some services stop automatically if they have no work to do, for example, the Performance Logs and alerts service."

Pięknie. Powiem tylko tyle, że dość intensywne googlanie i różne eksperymenty nie przynosiły spodziewanych rezultatów... Trzeba jednak było w jakiś sposób wyciągnąć więcej informacji odnośnie powodów przez które serwisy nie wstawały (a konkretnie jeden). Przełomem okazała się ta komenda, włączająca logowanie tapi.

netsh ras set tracing tapisrv enable

Plik z logiem znajdziemy w %WINDIR%\Tracing\tapisrv.LOG. Po ponownej próbie uruchomienia "Telephony", zawartość pliku, choć bardzo uboga (dwie linijki), to jednak daje nam bardzo cenną wskazówkę:

[1028] 16:51:53:316: [ERROR] Failed to set security on the ini file
[1028] 16:51:53:316: [TRACE] ServiceMain: enter

Od tego momentu, do rozwiązania problemu upłynęło niecałe 5 minut. :) Wiemy, że plik. Wiemy, że ini.
Jak zwykle niezawodny okazał się File Monitor ze stajni Sysinternals.
Start Filemon, start "Telephony". Następnie przeszukanie wyniku (CTRL+F "ini" (bez cudzysłowia naturalnie). I oto naszym oczom ukazuje się: C:\WINDOWS\TAPI\tsec.ini ------- PATH NOT FOUND.

Szybka weryfikacja na maszynie wirtualnej potwierdziła obecność katalogu TAPI, a w nim pliku tsec.ini. Nie można jednak było tego samego powiedzieć o serwerze produkcyjnym. ;) Po przywróceniu katalogu i pliku, kolega mógł ponownie cieszyć się działającym serwerem VPN. Tajemnicą pozostaje jedynie sposób w jaki katalog zniknął (prawdopodobnie przyczynił się do tego któryś Hotfix).

Error 62 The corresponding string was not found in the [strings] section

Mon, 19 Mar 2007 09:41:43 GMT

Jakiś czas temu, po utworzeniu pliku adm i próbie dodania go do GPO, powitał mnie ten komunikat.

Error 62 The corresponding string was not found in the [strings] section

Rozwiązanie okazało się banalne, choć muszę przyznać, że trochę trwało zanim na nie wpadłem. :) Mianowicie, za błąd ten odpowiedzialna jest... spacja. Tak, tak... spacja na końcu linii [Strings].

Wygląda na to, że problem występuje na Windows Server 2003 SP1, ale nie na XP (w każdym razie nie na moim XP ;-) )

"Na każdym zebraniu jest taka sytuacja, że ktoś musi zacząć pierwszy" ;-)

Mon, 19 Mar 2007 09:09:06 GMT

Ja z całą pewnością pierwszy nie zacząłem, ale w końcu również zdecydowałem się zabrać głos na tym "zebraniu". :)
Cóż... zobaczymy jak będzie mi szło poszerzanie zawartości tej strony.
Mam nadzieję, że od czasu do czasu, informacje na niej umieszczone, okażą się niektórym pomocne. :-)