Flash e i non amministratori

Se gli utenti non hanno i privilegi amministrativi, una delle chiamate di assistenza più noiose e ricorrenti è quella dell'aggiornamento del Flash Player. La maniera migliore per chiudere la questione in fretta (quindi senza sloggare l'utente, riloggarsi con un amministratore, visitare il sito get.adobe.com ecc.) è quella di scaricare gli installer del plugin da qui:


Flash Player 10 ActiveX (Internet Explorer) http://fpdownload.adobe.com/get/flashplayer/current/install_flash_player_ax.exe
Flash Player 10 Plugin http://fpdownload.adobe.com/get/flashplayer/current/install_flash_player.exe

e lanciare questi con i corretti privilegi, usando il tasto destro del mouse

I malefici driver delle stampanti

A volte capita di doverli rimuovere:

- stampanti - file - propretà server - driver

altrimenti regedit hkey_local_machine - system - current_control_Set - print - windfows nt x86 - drivers - version 2 o version 3

Desktop remoto, Windows 2008 server e DC

Succede che ti chiamano dicendo che nessun utente, tranne lAdministrator, riesce a loggarsi via RDP su un server 2008 con 10 licenze Terminal Server installate. Al logon compare un errore (“per eseguire l'accesso a questo computer remoto, è necessario disporre del diritto consenti accesso tramite servizi terminal…”)

La prima risposta (inserisci l’utente nel gruppo Utenti Desktop Remoto) non è  quella giusta. O meglio, è corretta ma è già stata eseguita.

Viene fuori che il server è anche un domain controller, e quindi è necessario garantire agli utenti i permessi di accesso al server stesso tramite una modifica alla Group policy di sicurezza

http://technet.microsoft.com/en-us/library/cc785165(WS.10).aspx

Rimuovere SQL Server Embedded

Sì, oltre a SQL Server "normale" e a quello Express esiste anche una versione Embedded, che a quanto pare viene installata assieme a certi prodotti MS.

Mi ci sono imbattuto provando SharePoint Services 3: ho creato una VM di Win Server 2003 e ho installato SPS, che ha installato SQL Embedded.

L'unica maniera per rimuovere questa versione Embedded sembra quella qui illustrata
http://digitaldeviation.com/articles/windows/how-to-uninstall-sql-server-embedded-edition-windows-internal-database

VPN con Iphone e Sonicwall

Ancora un post su VPN e Sonicwall, stavolta però l’aggeggio da connettere è un iPhone.
Poter accedere in LAN via telefono (se il telefono in questione è, come l’iPhone, dotato di uno schermo grande e di applicazioni di buon livello) permette la gestione di emergenze sui server o sui client aziendali tramite VNC, RDP, SSH o Telnet, o magari di registrarsi con un client SIP sul VOIP ecc. In definitiva, è comodo potersi collegare remotamente alle applicazioni interne nei casi in cui si è senza portatile.
Purtroppo il client IPSEC integrato sul iPhone è solo per Cisco, e Sonicwall non ha ancora sviluppato una versione del suo VPN Client per il telefono Apple, occorre quindi inventarsi qualcosa.
La maniera più veloce per venirne a capo mi è sembrata quella di abilitare il server L2TP del Sonicwall, visto che il client del iPhone permette questa opzione.
I passi sono abbastanza semplici:
Sul Sonicwall:
- attivare il server L2TP sul Sonicwall
- configurarlo inserendo un DNS della LAN e fornendo un piccolo range di IP validi e liberi sulla LAN nei campi Start IP e END IP
- selezionare un gruppo di utenti che si vuole possano accedere alla VPN
Sul iPhone:
- Impostazioni –> Generali –> Rete –> VPN –> Aggiungi config. VPN
- scegliere L2TP
- inserire una descrizione per il servizio (Es. VPN Ufficio)
- inserire l’indirizzo WAN del Sonicwall
- spegnere RSA
- inserire il nome utente nel campo Account
- inserire la password dell’utente nel campo Password
- copiare nel campo Segreto lo shared secret del WAN Group VPN del Sonicwall

Mac e VPN Sonicwall

Problema: voglio accedere alle risorse della rete aziendale con un Mac, ma il firewall è un Sonicwall, e il produttore non fornisce una versione del suo client per OSX.
Vedo che molti usano il VPN Tracker di Equinux (http://www.equinux.com/us/start/index.html), che sembra un bel aggeggio, ma è a pagamento.

La soluzione che ho trovato è questa: IPSecuritas (http://www.lobotomo.com/products/IPSecuritas/), completamente gratuita.
Il programma è fatto bene (durante il setup propone anche l'installazione di un comodo widget per Dashboard per lanciare e controllare le connessioni), è tradotto in italiano (anche se, come spesso accade in questi casi, è meglio usare la terminologia inglese, arriva con un minimo di manualistica e possiede anche uno wizard per impostare i nuovi tunnel VPN in accoppiamento agli endpoint di numerosi produttori, compreso appunto Sonicwall.

Peccato che comunque ci voglia un minimo di smanettamento per far funzionare il tutto.
Facendo partire lo wizard, le domande che vengono fatte sono:
- un nome alla connessione
- la scelta del produttore e del modello del firewall remoto (nel nostro caso si tratta di un 360PRO, che non è elencato, ma le modalità sono identiche per tutti i modelli Sonicwall recenti; io ho scelto quindi un TZ-190)
- l'indirizzo IP del firewall remoto
- l'IP del nostro client (lasciare vuoto il campo)
- l'indirizzo della rete remota
- l'identificativo del firewall remoto (lo trovate nelle videate di configurazione del Sonicwall)
- lo shared secret (io ho usato quello predefinito della WAN Group VPN del Sonicwall

Sul lato Sonicwall basta lasciare le impostazioni predefinite della WAN Group VPN.

In teoria saremmo a posto, ma lanciando la connessione è chiaro che qualcosa non funziona; nella finestra dei log si vede un timeout.

La soluzione è di editare la configurazione creata dallo wizard, modificando la scheda ID.
Qui dobbiamo:
- cambiare il parametro "Metodo di" da "Chiave prescambiata" a "XAuth PSK"
- inserire nel campo"Username" il nome di un utente valido sul Sonicwall
- flaggare il checkbox "Memorizzare la pasword" e inserire nel campo la password del utente Sonicwall

VNC: installarlo da remoto

Capita che il vnc server su qualche macchina non sia funzionante. Occorre reinstallarlo, ma come fare se non abbiamo accesso al client?
Una soluzione è usare Fastpush (http://www.darkage.co.uk/) di Darkage, una raccolta di script gratuiti.

Quelli che seguono sono i passi minimi e indispensabili. Per le configurazioni più avanzate, leggere i vari tutorial e le faq

- scarichiamo l'aggeggio (http://www.darkage.co.uk/downloads/)

- lo decomprimiamo in c:\fastpush

- entriamo in c:\fastpush\common

- modifichiamo machine.ini, mettendo nella riga "Password =" la password che vogliamo venga chiesta all'accesso. Non è possibile lasciare la password vuota ed è necessario inserirla in forma binaria; per conoscere il valore binario da inserire, si deve andare su un client con VNC installato e con impostata la password desiderata, quindi portarsi in C:\fastpush\utils e lanciare il comando REGDIR \registry\machine\software\RealVNC\Winvnc4 (eventualmente sostituire il percorso con la chiave di registro corretta). Verrà restituito un valore del tipo "0×00000000 0×00000000 0×00000000". Copiare e incollare il valore dopo "Password="

- l'installazione vera e propria viene eseguita portandosi in C:\fashpush e lanciando il comando fpxxx.cmd ip_macchina (dove xxx è il numero di versione del fastpush che state usando)

Windows: spegnere un firewall remoto

Capita di dovere assistere remotamente macchine che hanno il firewall di sistema attivato e serva disattivarlo.
Capita che l'utente non sia in grado (o non possa, o non sappia) spegnere il firewall.
Avendo installato i pstools si può procedere come segue:

psexec \\ip_pc_remoto netsh firewall set opmode mode=disable

ESXi: stop o riavvio forzato delle VM

ESXi non dispone dell'accesso alla shell, quindi, nel caso in cui si rendesse necessario riavviare o fermare forzatamente una VM piantata che non risponde ai comandi del Infrastructure Client, l'unico modo è ricorrere al VI Remote CLI.

Occorre quindi:
- scaricare e installare il Remote CLI, lanciarlo e portarsi nella sua dir "bin"
- elencare le VM presenti sull'host: vmware-cmd.pl -H ip_host -l
- nell'elenco delle VM, individuare quella che vogliamo stoppare o riavviare
- lanciare il comando per:
stopparla: vmware-cmd.pl -H ip_host -l percorso_VM stop
oppure avviarla: vmware-cmd.pl -H ip_host -l percorso_VM start
oppure riavviarla: vmware-cmd.pl -H ip_host -l percorso_VM reset

I comandi start, stop e reset possono essere seguiti dal valore del "powerop_mode". Il valore di default (quindi se omesso) è soft. Gli altri valori possibili sono hard e trysoft.

ESXi: esportazione delle macchine virtuali

Il problema: fare una copia di backup di una VM residente su un host ESXi, senza tool di backup aggiuntivi.

La maniera più semplice è di collegarsi all'Infrastructure Client, selezionare la VM e usare il comando "File -> Virtual appliance -> Export".
Peccato che ci siano alcuni prerequisiti: la VM deve essere spenta e, soprattutto, devono essere consolidati tutti gli snapshot; in particolare, senza avere ottemperato a questo secondo punto, la procedura si pianta con un errore strampalato.

Il consolidamento degli snapshot elimina tutti i punti di ripristino precedenti allo stato attuale e può essere eseguito anche a VM attiva.
Occorre tenere a mente che, a seconda della dimensione degli snapshot, può essere necessario molto tempo affinché l'operazione si concluda (anche alcune ore); attenzione, perché l'indicatore del Infrastructure Client sale velocemente al 95% e poi si pianta qui fino alla conclusione della operazione, quindi niente panico e nessuna manovra azzardata (reset, riavvi ecc) sino al termine.

XP, "Esegui come" e runas

Mi capita di dover installare una applicazione che richiede i diritti amministrativi per completare il setup, ma ovviamente gli utenti "normali" del dominio non hanno i privilegi necessari e a disconnettersi e a riconnettersi con un altro utente ci vuole un sacco di tempo.

La prima cosa che viene in mente è fare click con il tasto desto sulla icona del setup e scegliere la voce "Esegui come" e inserire login e password di un utente con i permessi necessari.
Sorpresa: se il setup da lanciare è posizionato su un disco di rete mappato (ad esempio F:\setup.exe, dove F: è una roba del tipo NET USE F: \\SERVER\SHARE), si ottiene un errore che più o meno dice che non si riesce a trovare il percorso richiesto.
Lo stesso accade lanciando l'eseguibile con RUNAS (es: RUNAS/user:dominio\username f:\setup.exe), e non potrebbe essere altrimenti visto che "Esegui come" è solo una interfaccia grafica per RUNAS.

Il motivo di questo pasticcio è che i dischi mappati usano il contresto di sicurezza dell'utente corrente, e RUNAS non può usarlo in quanto cerca di accedere al programma usando il contesto dell'utente che viene impersonato.

Capito il problema la soluzione è semplice: non usare il percorso relativo al disco mappato ma quello UNC (quindi, nel nostro esempio: es: RUNAS /user:dominio\username \\server\setup.exe). Se non si vuole usare RUNAS da linea di comando ma "Esegui come", basta raggiungere la posizione del setup navigando la rete e non accedendo al disco mappato).

Il malefico Blackberry parte II

Lo scenario: un nuovo BB (un Bold 9000, per la cronaca) da attivare.
Aggiungo l'utente sulla console del BES, resetto il palmare per sicurezza e quindi faccio la solita manovra di attivazione wireless, che fallisce con un errore di connettività.

Controllo che ci sia copertura: il BB telefona e riceve telefonate e l'indicazione è 3G (maiuscolo, mi raccomando, che se è minuscolo non funziona una mazza).

Faccio la attivazione via cavo, sul pc dell'utente, ma una volta terminata comunque non si ricevono e non si inviano mail.

Ri-resetto tutto, cancello l'utente dal BES, lo ricreo ecc. ma non cambia nulla.

Alla fine modifico l'impostazione del BB da 2G & 3G in Mobile Network/Network Mode (scusate, è la versione inglese), l'aggeggio si collega in EDGE e finalmente si attiva. Lascio passare un giorno in cui mi assicuro che continui a sincronizzarsi e quindi riporto l'impostazione come in originale. E continua a funzionare...

Tre WAN su Sonicwall

Ho dovuto aggiungere una terza WAN su un firewall Sonicwall 360 PRO.
Il 360 supporta ufficialmente solo due WAN, e il supporto telefonico conferma questa dichiarazione.
La realtà è che il tutto funziona: certo, occorre creare "a mano" le regole di NAT e di routing e i vari round robin e failover appunto funzionano solo su due interfacce.

In sintesi, occorre:
- configurare la nuova interfaccia nella scheda Network->Interfaces creando una nuova zona (nella WAN ci possono essere solo due interfacce)

- creare una apposita regola di routing nella scheda Network->Routing. Nella regola si deve individuare l'oggetto (o il gruppo) sorgente, l'oggetto o il gruppo destinazione, il servizio, l'interfaccia dalla quale "uscire" e la metrica della regola

- creare una apposita regola di NAT nella scheda Network->NAT Policies. Nella regola si deve individuare l'oggetto (o il gruppo) sorgente, la sorgente traslata (quindi nel nostro caso l'oggetto che indica la interfaccia appena configurata), l'oggetto o il gruppo destinazione, una eventuale destinazione traslata (normalmente si indica "Original", in quanto non serve modificare la destinazione), il servizio, il servizio traslato (anche in questo caso, normalmente si indica "Original"), l'interfaccia Inbound (quella sulla quale si trova la LAN) e l'interfaccia Outbound (la nostra nuova interfaccia)

- creare la (le) regole apposite di firewalling nella matrice della scheda Firewalling->Access Rules

Se qualcosa non funziona, per effettuare il debug si può iniziare dal verificare la connettività dal Sonicwall al router con un ping dallo strumento System->Diagnostic, e poi eventualmente proseguire con il Packet Capture, filtrando per ip sorgente e destinatario e interfaccia.

Wizard mancato

Mi è capitato diverse volte, e oggi ancora, che una macchina XP appena installata per qualche motivo abbia lo wizard "add printer" o "aggiungi stampante" che non si avvia: in sostanza, il solito doppio click su Aggiungi stampante e non parte nulla.

Dopo aver controllato di avere i privilegi di amministratore sulla macchina e che il servizio spooler di stampa sia avviato, restano due cose:
- verificare che printui.dll sia presente in c:\windows\system32
- lanciare sfc /scannow (avendo sottomano un cd di XP ed eventualmente i service pack)

Un reboot e adesso finalmente siamo in grado di aggiungere una stampante

PsTools: linea di comando e GUI

I PsTools (http://technet.microsoft.com/en-us/sysinternals/bb896649.aspx) sono una straordinaria raccolta di utilità a linea di comando, sviluppata da Mark Russinovich quando ancora non lavorava per Microsoft (aveva una sua azienda chiamata Sysinternals).
Adesso la suite è resa disponibile da Microsoft stessa, a dimostrazione della bontà dei tools.

Non mi dilungo nell'elenco, dico solo le funzioni permettono di visualizzare comodamente da remoto i processi in esecuzione su macchine remote, killare i processi, riavviare, vedere i files aperti, gestire i servizi e molto altro.

Per chi proprio fosse allergico alla linea di comando, esiste un front end GUI scritto in .NET scaricabile da qui http://www.dadsproject.com/FePsTools/fepstools.htm

Zenoss facile: installazione

Zenoss (http://www.zenoss.com/) è un utile tool di monitoraggio di rete.

Personalmente ho scelto di installarlo virtualizzato, quindi ho dapprima scaricato una virtual machine di Ubuntu server (ho optato per Ubuntu per alcuni motivi: 1) conosco e uso la versione desktop 2) apt-get mi sembra facile e comodo 3) è molto usato e quindi si trova abbondante documentazione).

Scaricata la VM di Ubuntu (per esempio da qui http://www.thoughtpolice.co.uk/vmware/) e l'installer di Zenoss (qui quello per Ubuntu 32bit http://www.zenoss.com/download/links), si avvia Ubuntu con VmWare Player (http://www.vmware.com/download/player/) e si procede con la configurazione: per prima cosa io preferisco impostare una password per root e abilitarlo:

sudo passwd root

Tutte le operazioni che seguono sono state eseguite come root. Se si preferisce, è possibile usare un utente normale facendo precedere i comandi da sudo.

La prima cosa da fare in assoluto è impostare la corretta mappa di tastiera:

sudo dpkg-reconfigure console-setup

a questo punto possiamo mettere in rete la macchina.

Intanto accertiamoci che la interfaccia di rete di Vmware sia bridged, fatto questo possiamo passare alla modifica del file /etc/network/interfaces

L'interfaccia da configurare è eth0, quindi con un editor come pico scriviamo (ovviamente gli indirizzi riportati qui sotto sono solo un esempio):

auto eth0
iface eth0 inet static
address 192.168.1.100
netmask 255.255.255.0
network 192.168.1.0
broadcast 192.168.1.255
gateway 192.168.1.1

Aggiustiamo il file hosts aggiungendo una riga con il nome della macchina e l'ip, ad esempio:

192.168.1.100
zenoss.miodominio.local

Diamo un nome alla macchina, modificando il nome di default contenuto in /etc/hostname ad esempio in zenoss.
Mettiamo a posto i dns: la configurazione è in /etc/resolv.conf (ovviamente l'indirizzo sotto è solo un esempio)

search nomeVostroDominio
nameserver 192.168.0.254

Adesso possiamo fare ripartire i servizi di rete:

/etc/init.d/networking restart

e controllare se la macchina è pingabile

Siamo in rete, e possiamo aggiornare il database di apt-get e installare il servizio sshd

apt-get update
apt-get install openssh-server

Finalmente possiamo lasciare perdere la console di Vmware e collegarci da remoto usando un client ssh, ad esempio Putty.

Per ottenere informazioni corrette dai log, occorre mettere a posto data e ora.
Per prima cosa impostiamo correttamente la timezone

dpkg-reconfigure tzdata

quindi ci occupiamo di sincronizzare i dati con un time server ntp pubblico (nello specifico con il pool di server it.pool.ntp.org)

Il problema è che ntp sincronizza solo al boot, e se, come probabile, il server Zenoss resterà sempre accesso, alla lunga potremmo avere problemi di orari sfasati. Per questo dobbiamo incaricare cron di eseguire l'operazione una volta al giorno

Creiamo quindi un nuovo file

pico /etc/cron.daily/ntpdate

e all'interno scriviamo

sudo ntpdate it.pool.ntp.org

facciamo in modo che sia eseguibile

sudo chmod 755
/etc/cron.daily/ntpdate

E' il momento di scaricare l'installer di Zenoss su Ubuntu.

wget http://downloads.sourceforge.net/zenoss/zenoss-stack-2.3.3-linux.bin

Dopo averlo copiato, ci portiamo nella directory in cui lo abbiamo messo, lo rendiamo eseguibile e lo lanciamo:

chmod +x ./zenoss*.bin
./zenoss*.bin

Da questo momento basta seguire la procedura guidata. Quando l'installer ha terminato possiamo finalmente collegarci tramite browser alla applicazione. L'indirizzo è:

http://192.168.0.1:8080/
login e password sono: zenoss / admin

Un prompt migliore

Una cosa banale ma che trovo comoda per gestire meglio le macchine Windows è modificare le proprietà del prompt dei comandi:

start-> cmd -> click con il tasto destro sulla barra del titolo della finestra -> proprietà:
Nella linguetta "Opzioni": metto il flag su "Modalità di modifica rapida" e su "Modalità inserimento"
Nella linguetta "Tipo di carattere" imposto Lucida Console, Dimensioni: 12
Nella linguetta "Layout" imposto un buffer da 150 x 300 e dimensioni da 150 x 52

Poi nei colori metto verde su sfondo nero, ma quella è proprio una fisima.

Nmap il tuttofare

Nmap è sicuramente uno dei tool più indispensabili per chi lavora nel campo del networking o comunque per fare debugging di connessioni eccetera.

Esiste per Linux, Mac e Windows ed è possibile installare anche una versione completa di GUI (Zenmap), che però mi sembra di dubbia utlità.

L'help è molto lungo e comunque sul sito è possibile trovare una bella documentazione.

Di seguito un breve elenco di parametri di uso coomune che ho preparato:

nmap senza parametri implica -sT (servizi standard indicati nel file services)
La scansione -sS è da preferire se possibile

-sP invia solo un ping, e rivela mac e marca della nic del host target (ovviamente se host è in lan)

-sS (stealth scan) non crea una connessione completa come -sT ma invia
solo un syn e attende per la replica syn

-sL crea una lista degli host attivi e cerca il nome tramite reverse
dns. Non supporta altri parametri

-O tenta il riconoscimento del sistema operativo (indica anche gli hop)

--osscan-guess cerca di indovinare l'OS in modo più aggressivo

-p indica le porte da testare e/o il range di porte es. nmap
192.168.1.1 -p 22,80,25-500

-sV indica la versione dei servizi. Può essere usato assieme al numero
della porta del servizio in modo da limitare il tempo della scansione
(es. nmap -sV 192.168.1.1 -p 5900)

-A implica -O e -sV (rileva versione di os e servizi)

-PN considera l'host online (non esegue il ping)

-F fast mode, scansiona meno porte del normale (di solito sono 1000,
con -F sono 100)

-PS invia un syn alla porta 80 (o alla porta specificata). Si aspetta
un syn o un ack dall'host. Risponde con un rst

-PA invia un ack

-PU invia un pacchetto udp vuoto, a meno che non sia specificato --data-length
-S camuffa l'ip di provenienza

--spoof-mac camuffa il mac address

--packet-trace mostra tutti i pacchetti inviati e ricevuti

-v aumenta la verbosità

-iL input da una lista su file

Enigmatico Blackberry

Per lavoro mi trovo a dover supportare un certo numero di BB: basta dire che sono arrivato ad odiare l'oggetto, ma questa è una cosa di cui si potrebbe parlare in un altro post.

Quello che invece ci tenevo a scrivere (in modo che possa essere di aiuto a qualche altro malcapitato) è che oggi è arrivato un utente con un 8100 piantato "App error 523 Reset".
Ovviamente premendo "Reset" l'aggeggio si resetta, ma il boot si conclude con lo stesso identico messaggio.
Ho provato varie procedure trovate in giro via google (tutte, essenzialmente, ruotano attorno al collegare l'apparecchio-mattone ad un pc con il desktop manager e tentare un aggiornamento/reinstallazione del os), ma senza successo.
Mi è venuto in mente di togliere la microSD interna e in effetti in questo modo il boot avviene regolarmente.
Appena ho tempo provo a formattare la card e a reinserirla, giusto per capire se è un difetto della memoria o qualche porcheria software.