jtb.blog - Microsoft

Firewall vs. Image-Deployment

nospam@example.com (Jtb) — Sun, 20 Jun 2010 17:50:43 +0200

"Wie installiere ich alle meine Rechner neu?" Diese oder ähnliche Fragen stellt sich jeder Administrator mal. Während bei kleinen Rechnerparks noch der Turnschuhadmin von Rechner zu Rechner rennt, ist ab einer gewissen Anzahl eine automatische Installation angebracht.
Je nach Betriebssystem gibt es diverse Namen für eigentlich immer ähnliche Techniken. Sei es nun FAI (Fully Automated Installation) oder WDS (Windows Deployment Services). Natürlich gibt es auch reine Image-Software wie z.B. Norton Ghost.
Alle Installationsarten haben eine Gemeinsamkeit: der Rechner kann vom Netzwerk booten und bekommt danach über das Netzwerk die Installationsdateien. Dieser Netzwerkboot per PXE hat den angenehmen Vorteil: man muss nicht von Rechner zu Rechner wandern sondern quasi auf Knopfdruck ein Image ausrollen. Sollte beispielsweise der Rechner gerade aus sein, kann man per Wake On Lan diesen booten.

Ob nun ein echtes Image oder die Installationsdateien verwendet werden - beides hat einen entscheidenen Nachteil: das Netzwerk wird belastet. Aus schlechten Erfahrungen in der Vergangenheit werden heutzutage nicht mehr alle Rechner in ein Netzwerk gesetzt sondern per Firewall sauber getrennt. Was Würmer an der Verbreitung hindert, hat aber Nachteile: oft ist die Firewall-Appliance nicht stark genug ausgelegt um eine gleichzeitige Installation dutzender von Rechnern zu verkraften.

Im folgenden möchte ich eine kleine Lösung für dieses Problem vorstellen. Die grundsätzliche Idee ist einfach: das Aufrüsten der Firewall ist zu kostspielig. Ein einfacher Linuxserver mit zwei Netzwerkkarten ist schnell genug, aber wir wollen und können damit nicht die Appliance mit den ganzen Funktionen ersetzen.
Also stellen wir neben die Firewall eine zweite die nur während des Deployment-Prozesses tätig ist.

Die eigentliche Aufgabe besteht nun darin eine Fallunterscheidung zu treffen. Während beim normalen Boot alles wie gewohnt ablaufen soll, muss beim Booten über's Netzwerk alles über den neuen Linux-Server laufen. Das ganze klappt wunderbar wenn ein paar Rahmenbedingungen erfüllt sind - am wichtigsten ist hierbei die Verwendung eines passenden DHCP-Servers.

Zuerst einmal brauchen wir ein neues IP-Segment für die Image-Verteilung. Da öffentliche Adressen Mangelware sind, begnügen wir hier uns mit einem privatem Segment. Da wie schon gesagt, mehrere Netzbereiche versorgt werden sollen, nehmen wir hier ein 10er Bereich und unterteilen ein /16 in 255 Segmente.

CODE:

shared-network "SharedSubnet_10.0.47.0" {
  failover peer "failover";
  allow unknown-clients;
  allow bootp;
  allow booting;
  next-server 10.0.47.254;
  filename "pxelinux.0";
  option routers 10.0.47.254;
  option subnet-mask 255.255.255.0;
  subnet 10.69.47.0 netmask 255.255.255.0 {
    pool {
      range 10.69.47.1 10.69.47.99;
      allow members of "PXE";
    }
  }
}

Durch die Allow-Zeile wird dieser DHCP-Pool nur verwendet wenn tatsächlich über das Netzwerk gebooted wird. Das Erkennen eines Netzwerkboots erfolgt über die Angabe des Herstellers im DHCP-Request. Neben dem "pxe-kernel" welches über den nicht dokumentierten Kernelparameter dhcpclass gesetzt wurde, forderte der Kernel trotzdem auch noch als "Linux ipconfig" eine IP an.

CODE:

class "PXE" {
  match if substring(option vendor-class-identifier, 0, 9) = "PXEClient" or
    option vendor-class-identifier = "pxe-kernel" or
    option vendor-class-identifier = "Linux ipconfig";
  ping-check false;
}

Der ping-check erwies sich als nötig, da der Linux-Kernel eine IP-Adresse anfragt und gleichzeitig die alte noch in Benutzung ist. Der DHCP-Server pingt also die alte Adresse an und stellt fest, dass er sie nicht vergeben kann, da sie scheinbar noch in Verwendung ist. Was also normalerweise das Netzwerk vor der doppelten Vergabe einer IP schützt, ist hier kontraproduktiv.

Nun fehlt nur noch ein DHCP-Relayagent auf dem Linux-Server und die Rechner bekommen eine DHCP-Adresse. Bleibt aber ein Problem: je nachdem welcher Agent schneller antwortet bekommt der Rechner eine Adresse aus dem regulärem Pool oder aus dem neuen Deployment Pool.
Hier hilft ein explizites Verbieten - leider können wir die Gruppendefinition nicht verwenden, wenn die Rechner per statischen Host-Eintrag mit einer festen IP-Adresse versorgt werden. Hier hilft folgende Zeile im alten Segment für das Netzwerk:

CODE:

if substring(option vendor-class-identifier, 0, 9) = "PXEClient" or
option vendor-class-identifier = "fbipxe-kernel" or
option vendor-class-identifier = "Linux ipconfig"
{ deny booting; } else {allow booting; }

Wieder haben wir die oben schon verwendete Fallunterscheidung. Diesmal wird jedoch die grundsätzliche DHCP-Funktion ein- oder ausgeschaltet. Die Benennung des Parameters booting ist ein wenig unglücklich - hier ist nicht das Booten des Rechners gemeint sondern das Zuweisen einer Adresse per DHCP.

Jetzt fehlen nur noch ein paar Kleinigkeiten. Unter anderem müssen die DHCP-Server eine Rückroute zum 10.10.0.0/16 Segment haben. Auch die beim Deployment beteiligten Rechner brauchen eine solche Route. Damit nicht jeder Server angefasst werden muss, werden alle anderen Netzwerkzugriffe per NAT auf eine bekannte Adresse gemappt. Damit die neue Firewall kein Sicherheitsloch aufreisst, sorgen noch ein paar iptables-Regeln dafür, dass nur die benötigten Dienste erreichbar sind.

Das Ergebnis kann sich sehen lassen: die Installation mehrerer Rechner geschieht jetzt völlig unabhängig von der Firewall. Jetzt bremsen nur noch die Netzwerkanbindung vom Linux-Server sowie natürlich die Anbindung vom Deployment-Server und dessen Festplatten. Aber gerade die Netzwerkanbindung kann man leicht skalieren. Eine Server-Netzwerkkarte gibt es im unteren dreistelligen Bereich. Die Edge-Switche kann man durch einfache Portaggregation schneller an die Core-Switche anbinden. Erst wenn die Backbone aufgerüstet werden muss, wird es wiederrum teuer. Aber 10 Gigabit-Ethernet ist ja im kommen.

Windows 7 Zertifizierungen

nospam@example.com (Jtb) — Sat, 21 Nov 2009 13:18:50 +0100

Heute morgen kam die Mail von Microsoft - ich habe 70-686 bestanden (wieder mal als Beta-Exam abgelegt).

Ich bin also Microsoft Certified IT Professional (MCITP): Desktop Administrator 7 - Charter Member.

Gleichzeitig habe ich auch die Prüfung "70-685 - PRO: Windows 7, Enterprise Desktop Support Technician" bestanden. Das Problem: es gibt noch keine Details was man zum Erreichen von "MCITP: Enterprise Desktop Support Technician 7" braucht. Gerüchten zufolge ist das eine der wenigen Microsoft-Prüfungen, die noch eine weitere, externe Prüfung bedingen.
Leider gibt es dazu noch nichts offizielles aber es dreht sich wohl um die HDI-Exams: HDI Support Center Analyst (HDI-SCA) oder HDI Desktop Support Technician (HDI-DST).

Interessieren würde mich eher der Support Center Analyst - die notwendigen ITIL-Kenntnisse habe ich ja schon.
Aber beide Prüfungen werden scheinbar nur in USA angeboten..

Ich bin mal gespannt was Microsoft da bastelt.

Beta-Prüfungen: Win7

nospam@example.com (Jtb) — Mon, 21 Sep 2009 19:21:35 +0200

Pünktlich zur Veröffentlichung gibt es zwei neue Prüfungen als Beta-Exam:
71-685: PRO: Windows 7, Enterprise Desktop Support Technician
71-686: PRO: Windows 7, Enterprise Desktop Administrator

Die Promotion-Codes sind jeweils EDST7 und EDA7

Diese und nächste Woche sind meine Prüfungen
Da ich 70-680 schon habe, wäre ich bei Erfolg direkt "MCITP: Enterprise Desktop Administrator 7"

Windows 7 RTM

nospam@example.com (Jtb) — Sat, 08 Aug 2009 22:51:52 +0200

Seit gestern habe ich die finale Version von Windows 7 auf dem Rechner.
Dank des Betatestings habe ich wieder mal eine kostenlose Ultimate-Version geschenkt bekommen.

Aber ehrlich gesagt werde ich es erstmal nicht auf dem Notebook nutzen. Meine Gentoo-Installation ist mittlerweile zu gut eingerichtet und konfiguriert.
Also wird es wohl die Lizenz für meinen Gaming-Rechner

Ansonsten bin ich gespannt wie schnell alle Firmen die Vista übersprungen haben jetzt auf Windows 7 migrieren. Immernoch ist sehr viel neu und für Admins, die sich nicht anpassen und lernfähig sind, gewöhnungsbedürftig.

Beta-Programm: Beginn und Ende

nospam@example.com (Jtb) — Wed, 05 Aug 2009 21:00:38 +0200

Heute früh morgens kam die E-Mail mit der Einladung zur Office 2010 Technical Preview
Neun Stunden später landet dann das erfreuliche Ende zum Windows 7 Betaprogramm: "For Windows 7 Technical Beta participants only - A free copy of RTM"

Das bedeutet ich darf ab morgen die RTM auf englisch runterladen - weit vor dem eigentlichen Release. Die Alternative (leider ein XOR) wäre eine Retail Box gewesen. Die käme aber erst viel später - 22. Oktober oder später. Natürlich würde der Zoll dann auch noch die Hand aufhalten...
Also habe ich mich für die Downloadvariante entschieden. Zwar nutze ich derzeit viel mehr Linux, aber für den Gaming-Rechner oder einen eventl. zukünftigen Media-PC ist eine Lizenz in der Hinterhand immer gut

Und die nächste Prüfung

nospam@example.com (Jtb) — Tue, 30 Jun 2009 13:12:39 +0200

Heute war "Windows Server 2008 Network Infrastructure, Configuring" (70-642) dran - mit 900 von 1.000 Punkten bestanden

Jetzt fehlt nicht mehr viel zum MCITP: Enterprise Administrator. Konkret nur 70-643 und 70-647. Die Alternative wäre dann noch der MCITP: Server Administrator mit nur einer Prüfung: 70-646.

Aber erstmal Klausuren...

Beta-Programme & Beta-Prüfungen

nospam@example.com (Jtb) — Sat, 27 Jun 2009 11:29:43 +0200

Ich wurde in der letzten Zeit mehrmals gefragt, wie man in die Beta-Programme von Microsoft kommt.
Während früher das ganze ein wenig einfacher - u.a. weil die Anzahl der Tester viel kleiner war und es keine Open-Betas gab. Da reichte auch mal eine freundliche Mail, dass man einen Bekannten kennt, der auch mittesten will. Heutzutage kann jeder Windows 7 einfach testen. Aber das echte Beta-Programm ist nochmal besser. Direkter Feedback, Newsgroups für Teilnehmer, Chats mit den Zuständigen bei Microsoft etc.

Dennoch gibt es noch Wege in die Betas reinzukommen. Am wichtigsten ist Microsoft Blogs zu lesen. Gleichzeitig sollte man auf https://connect.microsoft.com unterwegs sein. Vor allem kleinere Programme wie Network Monitor sind da direkt verfügbar. Wichtig für connect ist die s.g. "invitation id". Damit kommt man in die geschlossenen Betas. Für Office 2010 gingen gerade die IDs rum

Sobald man einmal in einem geschlossenen Betatest war und sich dort aktiv beteiligt hat, ist eine erneute Einladung recht wahrscheinlich. Da kommt dann von Microsoft eine Mail in folgender Form (hier Windows 7 im Dezember 2008):

The Microsoft Windows® beta team would like to extend an invitation to you to participate in the Microsoft Windows 7 and Windows Server® 2008 R2 beta program planned for early 2009 as announced at the Professional Developers Conference Oct 2008. Accepting this invitation will allow you to access pre-release versions of the next version of Windows for the purpose of evaluating and providing feedback. We highly value your past feedback and know we can count on you again to help us build a great new version of Windows!

Bei Beta-Exams (also Microsoft-Prüfungen) ist die Sache ein wenig anders. Hier werden Codes für die direkte Anmeldung bei Prometric ausgeteilt. First-Come, First-Serve. Hier gilt es http://blogs.technet.com/betaexams zu lesen.

Exams

nospam@example.com (Jtb) — Sat, 27 Jun 2009 11:22:14 +0200

Heute morgen kamen die Mails:

Congratulations on earning your Microsoft Certified Technology Specialist: Windows Server 2008 Active Directory: Configuration certification!

Congratulations on earning your Windows 7, Configuration certification!

Über die Windows 7 Betaprüfung habe ich ja schon geschrieben, die andere Prüfung war letzte Woche. Ich habe Anfang Juni festgestellt, dass ich noch zwei Vouchers übrig hatte und die laufen am 30. Juni ab. Also zertifiziere ich mich in Richtung Windows Server 2008. für den Enterprise Administrator habe ich zwar nicht genug Vouchers aber wer weiß
Leider war die AD: Configuration Prüfung immer noch nur in der alten Form verfügbar - also nicht mit dem Betatest 70-113 vergleichbar. Dafür war ich dann auch in der Hälfte der Zeit fertig.

Windows 7, Configuring

nospam@example.com (Jtb) — Sat, 16 May 2009 15:47:50 +0200

Gestern habe ich mal wieder ein Beta-Examen gemacht - diesmal über Windows 7.
Dies ist der Nachfolger von einem Zertifikat, dass ich für Vista schon habe.

Obwohl das Niveau recht angenehm war, kamen doch einige neue Fragen. Neben dem Vorteil, dass man das Zertifikat später bekommt, haben diese Exams einen großen Vorteil: man beschäftigt sich auch mal mit Techniken, die einen eigentlich gerade nicht interessieren.
Sehr interessant in Windows 7 ist z.B. DirectAccess. Das ganze ist quasi nur ein VPN welches aber dauerhaft aufgebaut ist - z.B. auch wenn kein Benutzer angemeldet ist.. Das geniale: der Tunnel benutzt ausschließlich IPv6 und für die Verbindung vorzugsweise IPv6.

Sehr cool find ich auch die Möglichkeit direkt ein (Windows 7 oder 2008) Betriebssystem von einer VHD-Datei booten zu können.

Überraschend kam auch eine Berechnung einer Subnetzmaske als eine Frage - aber glücklicherweise nur für IPv4

Details unter http://www.microsoft.com/learning/en/us/Exams/70-680.aspx

Beta-Prüfungen - dotnet

nospam@example.com (Jtb) — Mon, 02 Feb 2009 22:19:47 +0100

Mittlerweile sind die Ergebnisse für zwei Beta-Exams da. Die Prüfungen 071-505 und 071-563 habe ich bestanden Somit bin ich eine Prüfung vom "Microsoft Certified Professional Developer (MCPD): Windows Developer 3.5" entfernt.
Also steht demnächst 70-536 an.. Die Prüfung ist quasi der Grundlagen-Teil, der somit kein Problem sein sollte. Außerdem behandelt es den Stoff von dotnet 2.0..
Jetzt habe ich für einen Voucher mehr Verwendung

Qual der Wahl

nospam@example.com (Jtb) — Wed, 28 Jan 2009 20:00:45 +0100

Aus einem Betatest für die Microsoft Prüfung "TS: Windows Server 2008 Active Directory, Configuring" (70-113) habe ich jetzt drei Voucher für Microsoft Prüfungen (Wert jeweils 140€).

Nur welche Prüfungen sollte/will man machen?
Die Prüfung 70-113 wohl auf jedenfall. Gerade durch die neue Testform ist diese Prüfung sehr interessant. Endlich mal wirklich praxisnah und flexibel genug um die unterschiedlichen Arbeitsarbeiten zu würdigen.

Offizieller Windows 7 Build

nospam@example.com (Jtb) — Thu, 08 Jan 2009 10:24:25 +0100

Seit gestern (US-Zeitzone) ist der Windows 7 Build offiziell draußen. Der Download läuft bei mir derzeit.
Build ist 7000.0.081212-1400

Wichtig: wer den Build ausprobieren will (bald kommt der Public Build raus): unbedingt den Patch installieren - ansonsten können unter gewissen Umständen MP3-Dateien kaputt gehen.

Beta-Prüfungen

nospam@example.com (Jtb) — Sun, 12 Oct 2008 21:11:32 +0200

Nach Abgabe der Bachelorarbeit hatte ich erstmal richtig viel Freizeit, so dass ich mich auf einige Microsoft-Prüfungen gestürzt habe.

Über "Windows Server Virtualization, Configuring" und "Supporting and Troubleshooting Applications on a Windows Vista Client for Enterprise Support Technicians" habe ich schon gebloggt.

Über zwei weitere Microsoft-Prüfungen habe ich nichts geschrieben:
Windows Internals und SQL Server 2008 Implementation and Maintenance

Vor allem Windows Internals war sehr interessant. Ausgaben des Kerneldebuggers zu deuten war da noch eine der leichteren Aufgaben.
SQL Server 2008 war da deutlich leichter - vor allem wenn man schon Erfahrung mit SQL 2005 hatte.

Zwei weitere Prüfungen stehen Ende Oktober noch aus

Windows Server Virtualization, Configuring - Ergebnis

nospam@example.com (Jtb) — Sun, 31 Aug 2008 10:25:08 +0200

Endlich sind die Ergebnisse zur Prüfung da

Somit bin ich jetzt "Microsoft Certified Technology Specialist: Windows Server 2008 Hyper-V, Configuration". Da ich die Prüfung als 71-652 abgelegt habe (also eine Beta-Prüfung) bin ich direkt Charter Member

Ich weiß allerdings nicht, warum Microsoft die Prüfung/Zertifizierung umbenannt hat. Laut Webseite führt 70-652 eigentlich zu "Microsoft Certified Technology Specialist (MCTS): Windows Server Virtualization, Configuration".

Prüfung 70-622

nospam@example.com (Jtb) — Mon, 30 Jun 2008 20:10:15 +0200

Heute habe ich einen alten Voucher für eine Microsoft-Prüfung endlich eingelöst.
Entschieden habe ich mich für die Prüfung 70-622 - "Supporting and Troubleshooting Applications on a Windows Vista Client for Enterprise Support Technicians".

Das intensive Lernen die Tage davor hat sich gelohnt: Bestanden mit 942 von 1000 erreichbaren Punkten
Somit darf ich mich jetzt "Microsoft Certified IT Professional (MCITP): Enterprise Support Technician" nennen. Den anderen Test 70-620 habe ich vor einiger Zeit bestanden.

Windows Server Virtualization, Configuring

nospam@example.com (Jtb) — Thu, 26 Jun 2008 10:32:34 +0200

Am Montag hatte ich die Prüfung für Windows Server Virtualization, Configuring (071-652). Das ganze war ein Beta-Test von Microsoft, so dass ich leider noch nicht das Ergebnis habe.

Meiner Meinung war ein wenig zu viel Clustering und SCVMM 2008 in der Prüfung. Also sehr fokusiert auf große Enterprise-Installationen.
Ansonsten waren die Fragen in Multiple-Choice Form in Ordnung - teilweise ging es aber ins Detail.

Problematische Treiber bei Windows Vista SP1

nospam@example.com (Jtb) — Wed, 19 Mar 2008 18:46:54 +0100

Mittlerweile gibt es ein Dokument welche Treiber so Probleme mit Windows Vista SP1 machen.

Im Rahmen des Beta-Programs bin ich wohl u.a. an dem Blacklistening von zwei Treibern "schuld":

UPEK Fingerprint Sensor with the Tcusb.sys driver file – version 1.9.2.99 or earlier

For x64-based computers: Igdkmd64.sys – versions between and including driver 7.14.10.1322 and 7.14.10.1403

Aber glücklicherweise gibt es ja mittlerweile aktuelle Treiber. Ohne aktuellen Treiber bekommt man ansonsten einen Haufen Bluescreens.

Windows Vista SP1 RTM

nospam@example.com (Jtb) — Tue, 05 Feb 2008 15:23:37 +0100

Wie bei Heise zu lesen ist, ist das SP1 für Windows Vista mittlerweile draußen.

Die Verbesserungen sind eher marginal - im Bereich der Features.
Meine ersten Eindrücke der Stabilität sind eher negativ gewesen - aber es stellte sich raus, dass quasi alle Probleme auf fehlerhafte Hardwaretreiber zurückzuführen sind (da war der Windows Debugger mal wieder nützlich).

Genau aus diesem Grund stellt Microsoft nun das SP1 erstmal nur großen Firmen zur Verfügung.

Bei Chip liest man dann aber: Vista SP1 RTM schon jetzt installieren. Das Problem: ich habe genau dasselbe in meiner Registry schon seit Tagen stehen. Und es gibt immer noch keine ordentlichen Treiber in Windows Update. Beispiel: Intel X3100 Grafikkartentreiber.

Der crasht jede Nase lang - manchmal nur das Grafiksystem (das ist ja in Vista separat neu startbar) oder gleich das ganze System. Auch die Sound-Treiber sind bekannt dafür Probleme zu machen.

Wer also ein stabiles System will, sollte den Tipp nicht folgen und warten. Das SP1 mag zwar fertig sein - die Treiber kommen aber erst nach und nach..

Wie es dazu kommen konnte, dass es jetzt schon Zugriff für Externe über Windows Update auf die SP1 RTM Version gibt? Ganz einfach: das ist eine zur RTM hochgestuften Betaversion (genauer: es handelt sich um "Windows Vista SP1 RC Refresh 2"). Wäre es ein neuer Build, wäre die Buildversion anders (Immerhin steht in der Buildversion das genaue Datum - 18.01.2008).

"Vista - Admins: Geschützte Systemdateien ausblenden?" Teil 2

nospam@example.com (Jtb) — Fri, 14 Sep 2007 21:52:57 +0200

Wie ich schon vor einiger Zeit verlinkt habe, hat Daneil damals in seinem Blog erklärt warum man teilweise "Kein Zugriff auf Verzeichnisse unter Windows Vista" hat.

Jetzt bin ich über ein Programm gestolpert, dass trotz dieser Einstellung nicht korrekt funktioniert - immerhin wird der Fehler abgefangen:

CODE:

Admin@Jtb ~
$ updatedb
/usr/bin/find: Filesystem loop detected; `/cygdrive/c/Documents and Settings/Adm
in/AppData/Local/Application Data' is part of the same filesystem loop as `/cygd
rive/c/Documents and Settings/Admin/AppData/Local'.
/usr/bin/find: Filesystem loop detected; `/cygdrive/c/Documents and Settings/Adm
in/Local Settings/Application Data' is part of the same filesystem loop as `/cyg
drive/c/Documents and Settings/Admin/Local Settings'.

Fazit: cygwin ist noch nicht ganz Vista-kompatibel, aber dank des Ursprungs wo Symlinks gängiger sind/waren, waren die Programmierer so schlau diesen Fehler abzufangen.
Ich rede hier extra von gängiger anstatt "überhaupt möglich", da Symlinks schon vor Windows Vista mit NTFS möglich waren - nur kaum jemand wusste es und noch weniger benutzten es

Warum die Einstellung, die das genau eigentlich verhindern sollte mit find nicht funktioniert, weiß ich nicht - habe aber derzeit auch nicht die Lust das genauer zu untersuchen.

GPG unter Windows Vista

nospam@example.com (Jtb) — Fri, 14 Sep 2007 21:32:34 +0200

Seit Wochen warte ich darauf, dass es endlich ein funktionstüchtiges GnuPG für Windows Vista gibt.
Das Problem: die Kommunikation mit dem Keyserver funktioniert überhaupt nicht.

Mein jetziger Workaround: gnupg aus Cygwin nutzen
Das Abrufen der Keys funktioniert damit zwar endlich wieder, aber damit ich die alte Funktionalität wieder hatte, musste ich einige Pfade umbiegen (meine GPG-Keys liegen unter Eigene Dateien).

So wird Verschlüsslung nie Endbenutzertauglich - vielleicht sollte ich wieder anfangen meine Mail eher mit S/MIME zu signieren und verschlüsseln...