Het grote kleine-SysOps-vragen topic deel 1

[FastFred]

Kan iemand mij verder helpen met het volgende?

In onze fabriek willen ze graag tekeningen digitaal in kunnen zien om veel heen en weer geloop tussen productie en design te voorkomen. Hiervoor is een 43" multitouch, IP67 gecertificeerde (stofdicht), all-in-one Windows pc aangeschaft.

Dit apparaat hangt in het domein en daar loggen we met lokaal account op in (in de toekomst komt hier mogelijk een domeinaccount voor in de plaats).

Dit apparaat is via WiFi verbonden met ons domein. Via dat WiFi netwerk is internetten niet mogelijk. Om te voorkomen dat ze de computer op een ander WiFi netwerk hangen om toch te kunnen internetten of andere ongein uit te halen wil ik dat deze pc alleen verbinding kan maken met dat ene WiFi netwerk.

Ik heb het via GPO op Computer Configuration-niveau al voor elkaar dat alle andere WiFi netwerken niet zichtbaar zijn als ze rechts in de taakbalk op het WiFi icoontje drukken, maar ik kan maar geen verbinding maken met dat ene WiFi netwerk waar ze juist wel bij moeten. Hij blijft maar zeggen 'Kan geen verbinding maken met dit netwerk'. Dit werkte voor dat ik met de GPO bezig ging wel.

Ik wil het liefst dat het apparaat automatisch verbinding maakt met dat ene WiFi netwerk en verder niet.

[asing]

Als je die andere netwerken beheert zet je het Mac adres toch in de deny list?

[FastFred]

Ja, een aantal netwerken beheren wij en ja dat zou kunnen. Maar ze ontvangen daar ook een boel WiFi netwerken van nabij gelegen bedrijven, waarvan of het wachtwoord algemeen bekend is, of waar geen wachtwoord op zit. En we willen die pc al helemaal niet op voor ons onbekende WiFi netwerken hebben als die even later weer met een share op ons netwerk gaat praten.

[Renegade666]

@FastFred

Als je het gebruikers account zo insteld dat hij NIET in het controle paneel/instellingen kan en dat je het netwerkicoon in de tray verbergt, dan kunnen ze het niet aanpassen.

[Turdie]

FastFred schreef op donderdag 7 november 2019 @ 18:14:
Ja, een aantal netwerken beheren wij en ja dat zou kunnen. Maar ze ontvangen daar ook een boel WiFi netwerken van nabij gelegen bedrijven, waarvan of het wachtwoord algemeen bekend is, of waar geen wachtwoord op zit. En we willen die pc al helemaal niet op voor ons onbekende WiFi netwerken hebben als die even later weer met een share op ons netwerk gaat praten.

Je kunt met het netsh commando wifi netwerken aan de block list toevoegen
1.Wifi netwerk dat toegestaan is allowen

netsh wlan add filter permission=allow ssid="Wireless Network Name" networktype=infrastructure

2.Alle andere netwerken blokkeren

netsh wlan add filter permission=denyall networktype=infrastructure

Het moet echt in deze volgorde. Het enige nadeel is wel dat het alleen de netwerk naam blokkeert als iemand tethering of mobile hotspot gaat doen, dan kunnen ze gewoon verbinden.

[ Voor 24% gewijzigd door Turdie op 07-11-2019 18:56 ]

[Hero of Time]

Geen andere filter opties zoals het MAC adres van het AP in de buurt?

[nextware]

Je kunt het Wi-Fi voorkeursnetwerk definiëren via een GPO. Deze kun je dan laten verbinden op dat ene Wi-Fi netwerk. Kun je niet het AP in de buurt configureren om alleen dat netwerk uit te zenden ?

[Turdie]

nextware schreef op donderdag 7 november 2019 @ 21:36:
Je kunt het Wi-Fi voorkeursnetwerk definiëren via een GPO. Deze kun je dan laten verbinden op dat ene Wi-Fi netwerk. Kun je niet het AP in de buurt configureren om alleen dat netwerk uit te zenden ?

Je hebt geen invloed op je buren hoe sterk hun signaal is en hoe verder dat rijkt.Als het loods op een bedrijventerrein heb je waarschijnlijk veel netwerken in de buurt,heb ik bij mij thuis ook, woon midden in de stad van Utrecht.

Hero of Time schreef op donderdag 7 november 2019 @ 18:55:
Geen andere filter opties zoals het MAC adres van het AP in de buurt?

Zover ik kan zien alleen ssid

code:

C:\Users\Guido>netsh wlan add filter permission=deny
One or more parameters for the command are not correct or missing.

Usage: add filter [permission=]allow|block|denyall [[ssid=]<string>]
       [networktype=]infrastructure|adhoc

Parameters:

    Tag             Value
    permission    - Permission type of the filter.
    ssid          - SSID of the wireless network.
    networktype   - Network type of the wireless network.

Remarks:

    Adds a wireless network into the allowed and blocked network list
    configured on the system.

    Parameter ssid is required if permission is allow or block. If permission
    is denyall then parameter ssid should not be given.

Examples:

    add filter permission=allow ssid=ssid1 networktype=infrastructure
    add filter permission=block ssid=ssid2 networktype=adhoc
    add filter permission=denyall networktype=adhoc

---

Of je moet proberen met een (shielded) UTP kabeltje te gaan werken en het wifi helemaal disablen op die bak.
https://bondy.tech/?p=1481

Dat zou nog het meest ideale zijn denk ik.

[ Voor 145% gewijzigd door Turdie op 07-11-2019 22:06 ]

[burnedhardware]

wellicht kan je dat ding ook in een kiosk-mode draaien (of een niet-bestaande proxy server instellen)

[FastFred]

nextware schreef op donderdag 7 november 2019 @ 21:36:
Je kunt het Wi-Fi voorkeursnetwerk definiëren via een GPO. Deze kun je dan laten verbinden op dat ene Wi-Fi netwerk. Kun je niet het AP in de buurt configureren om alleen dat netwerk uit te zenden ?

Dan hebben de heren in het bedrijfsbureau geen WiFi meer, die maken gebruik van hetzelfde AP.

Ieder AP zend 3 basisnetwerken uit

DEV voor laptops, telefoons, tablets van medewerkers
Guest is hetzelfde als DEV maar met wat beperkingen voor klanten/bezoekers
KA voor het domein (met wachtwoord van 30 tekens)

en soms ook een SCAN ter voorbereiding van barcode scannen t.b.v. productie voortgang rapportage, gereed melden, voorraad binnenboeken etc.

Hero of Time schreef op donderdag 7 november 2019 @ 18:55:
Geen andere filter opties zoals het MAC adres van het AP in de buurt?

Ik begrijp niet goed wat je bedoelt?

shadowman12 schreef op donderdag 7 november 2019 @ 21:56:
Of je moet proberen met een (shielded) UTP kabeltje te gaan werken en het wifi helemaal disablen op die bak.
https://bondy.tech/?p=1481

Dat zou nog het meest ideale zijn denk ik.

Dat is in dit geval de makkelijkste oplossing, maar dit scherm is waarschijnlijk de eerste van velen. Dan is het het wel waard om hier wat tijd in te steken en goed in te regelen, anders moeten we overal netwerkaansluitingen laten maken in de fabriek.

[ Voor 52% gewijzigd door FastFred op 08-11-2019 08:59 ]

[Hero of Time]

FastFred schreef op vrijdag 8 november 2019 @ 08:50:
[...]

Ik begrijp niet goed wat je bedoelt?

Omdat mijn vraag niet aan jou is gericht.

[Turdie]

Sorry verkeerde topic

[ Voor 84% gewijzigd door Turdie op 08-11-2019 23:59 ]

[The Eagle]

@FastFred interne wifi helemaal disablen, UTP kabeltje naar een losse (travel)router of ap, die je vervolgens een wifi bridge laat maken naar het juiste ssid. Gebruikers geen controle over de wifi, en jij via dat doosje wel.

[Turdie]

The Eagle schreef op zaterdag 9 november 2019 @ 14:06:
@FastFred interne wifi helemaal disablen, UTP kabeltje naar een losse (travel)router of ap, die je vervolgens een wifi bridge laat maken naar het juiste ssid. Gebruikers geen controle over de wifi, en jij via dat doosje wel.

Ik snap niet helemaal wat je bedoelt met interne wifi helemaal disablen? Op de client wifi uitzetten? Zorgen dat er geen wifi signaal in de fabriek is, hoe wil je dat doen als je ook signaal ontvangt van buren en omliggende bedrijven, daar heb jij geen controle over he?

[ Voor 27% gewijzigd door Turdie op 09-11-2019 16:13 ]

[Renegade666]

@shadowman12
De adapter van de pc/allinone uitzetten bedoelt @The Eagle
En dan met een los AP verbinding maken met het juiste wifi. Op die manier kun je zorgen dat ze geen ander wifi kunnen doen.

Al vind ik mijn oplossing het makkelijkst die ik heb genoemd, zo moelijk hoeft het niet te zijn..

[Turdie]

Renegade666 schreef op zaterdag 9 november 2019 @ 17:29:
@shadowman12
De adapter van de pc/allinone uitzetten bedoelt @The Eagle
En dan met een los AP verbinding maken met het juiste wifi. Op die manier kun je zorgen dat ze geen ander wifi kunnen doen.

Al vind ik mijn oplossing het makkelijkst die ik heb genoemd, zo moelijk hoeft het niet te zijn..

Oke dat is ook een optie. Maar dan moet je wel zorgen met policies dat gebruikers niet bij de wifi instellingen en het control panel kunnen komen

[FastFred]

Goed, wij hebben een Symantec Messaging Gateway, draait op versie 10.7.1-276.

Een gebruiker probeert een zip-map te versturen. In die zip-map zitten een berg bestanden. Een van die bestanden is een *.sldasm (Solidworks Assembly) bestand.

Dit bestand triggert de regel Quarantine Executable Files Violations Outbound en de gehele e-mail wordt door het spamfilter weggekieperd. Suspect attachment: ?olepres000

Eigenlijk hetzelfde probleem als dit, maar dan niet met Office bestanden

Er loopt inmiddels een onderzoek bij Symantec, en zij zeggen dat er in het .sldasm bestand een MSDOS Device Driver zit die we eruit moeten halen omdat die gedetecteerd wordt als ?olepress000 whatever dat mag zijn...

Iemand enig idee hoe ik dat moet doen? Uiteraard is dit het enige .sldasm bestand dat mis gaat, alle anderen die ik tot nu toe geprobeerd gaan gewoon goed...

Met of zonder zip-map gaat beide fout overigens.

[ Voor 6% gewijzigd door FastFred op 14-11-2019 11:16 ]

[Turdie]

FastFred schreef op donderdag 14 november 2019 @ 10:59:
Goed, wij hebben een Symantec Messaging Gateway, draait op versie 10.7.1-276.

Een gebruiker probeert een zip-map te versturen. In die zip-map zitten een berg bestanden. Een van die bestanden is een *.sldasm (Solidworks Assembly) bestand.

Dit bestand triggert de regel Quarantine Executable Files Violations Outbound en de gehele e-mail wordt door het spamfilter weggekieperd. Suspect attachment: ?olepres000

Eigenlijk hetzelfde probleem als dit, maar dan niet met Office bestanden

Er loopt inmiddels een onderzoek bij Symantec, en zij zeggen dat er in het .sldasm bestand een MSDOS Device Driver zit die we eruit moeten halen omdat die gedetecteerd wordt als ?olepress000 whatever dat mag zijn...

Iemand enig idee hoe ik dat moet doen? Uiteraard is dit het enige .sldasm bestand dat mis gaat, alle anderen die ik tot nu toe geprobeerd gaan gewoon goed...

Met of zonder zip-map gaat beide fout overigens.

Ik zou aan Symantec vragen of ze je kunnen helpen met het eruit halen van die MSDOS Device Driver. Het lijkt me sterk trouwens dat er een driver in een bestand zit, meestal is een driver op een computer geinstalleerd.

[Tylen]

shadowman12 schreef op donderdag 14 november 2019 @ 17:24:
[...]

Het lijkt me sterk trouwens dat er een driver in een bestand zit, meestal is een driver op een computer geinstalleerd.

???

Download jij nooit drivers van websites??

[Turdie]

Tylen schreef op donderdag 14 november 2019 @ 17:35:
[...]


???

Download jij nooit drivers van websites??

Je snapt met denk ik niet helemaal, ik bedoelde meer in een grafisch bestand kan geen driver zitten. Een driver is om de hardware aan te sturen.

[ Voor 6% gewijzigd door Turdie op 14-11-2019 17:39 ]

[Renegade666]

FastFred schreef op donderdag 14 november 2019 @ 10:59:
Goed, wij hebben een Symantec Messaging Gateway, draait op versie 10.7.1-276.

Een gebruiker probeert een zip-map te versturen. In die zip-map zitten een berg bestanden. Een van die bestanden is een *.sldasm (Solidworks Assembly) bestand.

Dit bestand triggert de regel Quarantine Executable Files Violations Outbound en de gehele e-mail wordt door het spamfilter weggekieperd. Suspect attachment: ?olepres000

Eigenlijk hetzelfde probleem als dit, maar dan niet met Office bestanden

Er loopt inmiddels een onderzoek bij Symantec, en zij zeggen dat er in het .sldasm bestand een MSDOS Device Driver zit die we eruit moeten halen omdat die gedetecteerd wordt als ?olepress000 whatever dat mag zijn...

Iemand enig idee hoe ik dat moet doen? Uiteraard is dit het enige .sldasm bestand dat mis gaat, alle anderen die ik tot nu toe geprobeerd gaan gewoon goed...

Met of zonder zip-map gaat beide fout overigens.

Kun je het niet gewoon uitzonderen?
Of gewoon een betere antispam nemen

[D_Jeff]

Nooit gezien met een IMSVA van Trend Micro, daar had ik de mogelijkheid om:

1) uitgaand verkeer uberhaupt niet te scannen (niet aanbevolen, maar het kan)
2) Exclusion te maken in policies op verschillende vlakken

Effin voor @FastFred Uw "quick hack" is een password protected zip, met een max grootte van 24 MB per mail. (tenzij je een policies hebt staan die encrypted bestanden moet weggooien)

[HKLM_]

Op het werk hebben we een domein controller welke issues heeft met een verlopen tombstone.
Heeft iemand hier ervaring hoe we dit kunnen fixen? Via Google kwamen we er achter dat we deze dc zouden moeten afschrijven en hem moeten demoten. Echter wil dat niet (weet de foutmelding nu ff niet)

Vanmiddag wel een nieuwe DC opgezet welke wel netjes praat maar die oude moet dus ff netjes weg.
Ik kom ook deze tegen maar dat vindt ik een best vieze manier: https://blogs.technet.mic...ntroller-server-manually/

Iemand hier ervaring mee

[ Voor 30% gewijzigd door HKLM_ op 17-11-2019 20:56 ]

[Turdie]

HKLM_ schreef op zondag 17 november 2019 @ 20:53:
Op het werk hebben we een domein controller welke issues heeft met een verlopen tombstone.
Heeft iemand hier ervaring hoe we dit kunnen fixen? Via Google kwamen we er achter dat we deze dc zouden moeten afschrijven en hem moeten demoten. Echter wil dat niet (weet de foutmelding nu ff niet)

Vanmiddag wel een nieuwe DC opgezet welke wel netjes praat maar die oude moet dus ff netjes weg.
Ik kom ook deze tegen maar dat vindt ik een best vieze manier: https://blogs.technet.mic...ntroller-server-manually/

Iemand hier ervaring mee

Ja wel is gezien, was toen een time sync issue
https://www.moh10ly.com/b...er-tombstone-life-expired

[HKLM_]

shadowman12 schreef op zondag 17 november 2019 @ 21:08:
[...]


Ja wel is gezien, was toen een time sync issue
https://www.moh10ly.com/b...er-tombstone-life-expired

Ja deze hebben we doorgenomen, ik kon hem al niet vinden. Maar dat heeft dus niet geholpen.... de tijd van de dc liep ook niet goed inderdaad (nu wel)

[Turdie]

HKLM_ schreef op zondag 17 november 2019 @ 21:10:
[...]


Ja deze hebben we doorgenomen, ik kon hem al niet vinden. Maar dat heeft dus niet geholpen.... de tijd van de dc liep ook niet goed inderdaad (nu wel)

En als je dan nu is een repladmin /syncall draait wat krijg je dan te zien?

repadmin /syncall "dc die issues heeft" /AeD

En dan de status checken:

repadmin /showrepl /errorsonly

[ Voor 9% gewijzigd door Turdie op 17-11-2019 21:38 ]

[Brahiewahiewa]

HKLM_ schreef op zondag 17 november 2019 @ 20:53:
...een best vieze manier: https://blogs.technet.mic...ntroller-server-manually/

Iemand hier ervaring mee

Regelmatig gedaan; nooit problemen mee gehad

[paulhekje]

is niks vies aan; dat is gewoon de procedure

[FastFred]

shadowman12 schreef op donderdag 14 november 2019 @ 17:24:
[...]


Ik zou aan Symantec vragen of ze je kunnen helpen met het eruit halen van die MSDOS Device Driver. Het lijkt me sterk trouwens dat er een driver in een bestand zit, meestal is een driver op een computer geinstalleerd.

Dit heb ik dus gedaan, Symantec gevraagd hoe ze denken dat we dat moeten doen, geen antwoord. En vandaag een mailtje van Symantec dat de case is opgelost. Case Resolution: advised to remove "MSDOS Device Driver" from attachment list

[Turdie]

FastFred schreef op dinsdag 19 november 2019 @ 14:07:
[...]


Dit heb ik dus gedaan, Symantec gevraagd hoe ze denken dat we dat moeten doen, geen antwoord. En vandaag een mailtje van Symantec dat de case is opgelost. Case Resolution: advised to remove "MSDOS Device Driver" from attachment list

Zou de case heropenen en escaleren, want dit is gewoon slechte service. Als ze iets beweren moeten dat ze ook wel kunnen onderbouwen.

[ Voor 10% gewijzigd door Turdie op 19-11-2019 17:36 ]

[D_Jeff]

@Hero of Time Je had een vraag? (volgens @3DDude )

[Hero of Time]

D_Jeff schreef op dinsdag 19 november 2019 @ 22:06:
@Hero of Time Je had een vraag? (volgens @3DDude )

Ja, kom ik morgen mee. Kan ik het wat beter uitleggen want heb het apparaat niet thuis.

[D_Jeff]

@Hero of Time prima. Ps: Plaatjes helpen ook goed.
Daarnaast wil ik weten:
* Heb je een cluster?
* Indien ja: 2 units of meerdere?
*FortiOS versie (vindbaar op je dashboard)

@Drardollan Traag syncen vanwege checksum reclac is een dingetje in 5.6.x en 6.0.x (voor 6.0 schijnt dat gefixt te zijn in 6.0.5 en hoger)

Kan je ook eens op de CLI inkloppen: diag sys top perf 99 ? (wel ff fullscreen doen)
Als hasync-d in de 2e en 3e rij hoge waardes geven, laat maar weten

[Hero of Time]

Goed, we hebben op kantoor dus een Fortigate FG61E met versie 6.2.2. In z'n eentje. Hierop hebben we twee WAN interfaces, voor twee internet verbindingen. Een glas, ander DSL als backup.

Via het cookbook documentatie heb ik failover tussen de twee verbindingen. Niet getest, maar wel gezien dat het activeerde.
Maar omdat sommige zaken, zoals Windows Update, erg veel bandbreedte gebruikt krijgt telefonie hier last van. Die wil ik dan liever via de backuplijn laten lopen. Dat zou eenvoudig via SD-WAN kunnen. Maar, ik kan de WAN interfaces niet selecteren. En ik weet niet waarom. Bij https://docs.fortinet.com...ting-the-sd-wan-interface staat niet wat je dan moet doen of waarom een interface mogelijk niet zichtbaar zou zijn.

Interface config (noodzakelijke delen alleen):

code:

config system interface
    edit "wan1"
        set vdom "root"
        set mode pppoe
        set fail-detect enable
        set fail-detect-option detectserver
        set type physical
        set role wan
    next
    edit "wan2"
        set vdom "root"
        set fail-detect enable
        set fail-detect-option detectserver
        set type physical
        set role wan
    next
end

Probeer ik via de CLI alsnog een van de WAN interfaces te selecteren, dan krijg ik 'entry not found in datasource'.

Ik verwacht niet dat het door de s2s VPN verbindingen komt, omdat die niet op de backuplijn zijn geconfigureerd. Met Google kom ik er ook niet echt uit wat de reden kan zijn.

[Drardollan]

D_Jeff schreef op dinsdag 19 november 2019 @ 22:27:
@Drardollan Traag syncen vanwege checksum reclac is een dingetje in 5.6.x en 6.0.x (voor 6.0 schijnt dat gefixt te zijn in 6.0.5 en hoger)

Kan je ook eens op de CLI inkloppen: diag sys top perf 99 ? (wel ff fullscreen doen)
Als hasync-d in de 2e en 3e rij hoge waardes geven, laat maar weten

Draai op 5.6.8, dus dat zou goed kunnen. Al heb ik het nog nooit meegemaakt. Thanks voor het meedenken!

Zal van de week op de zaak eens kijken met je commando, zit nu remote en werk maar een halve dag

[Hero of Time]

Leuk, in het Cookbook voor 6.2 staat het er niet, maar bij 6.0 wel:

Before you can configure FortiGate interfaces as SD-WAN members, you must remove or redirect existing configuration references to those interfaces in routes and security policies. This includes the default Internet access policy that’s included with many FortiGate models. Note that after you remove the routes and security policies, traffic can’t reach the WAN ports through the FortiGate. Redirecting the routes and policies to reference other interfaces avoids your having to create them again later. After you configure SD-WAN, you can reconfigure the routes and policies to reference the SD-WAN interface.

Dat verklaart het. Vrijdag maar mee aan de gang.

[Mantis]

Hero of Time schreef op woensdag 20 november 2019 @ 08:41:
Maar omdat sommige zaken, zoals Windows Update, erg veel bandbreedte gebruikt krijgt telefonie hier last van. Die wil ik dan liever via de backuplijn laten lopen.

Misschien een kleine waarschuwing. Als je bepaalde Microsoft services over je backup lijn laat lopen, kan je soms rare connectie issues hebben aangezien die online services een overlap hebben in IP ranges en achterliggend Azure gebruik.
Zo hadden wij het sporadisch wegvallen van Onedrive connecties hierdoor. Het heeft even geduurd voor we uiteindelijk vonden dat het hier aan lag.

[Hero of Time]

Mantis schreef op woensdag 20 november 2019 @ 12:36:
[...]

Misschien een kleine waarschuwing. Als je bepaalde Microsoft services over je backup lijn laat lopen, kan je soms rare connectie issues hebben aangezien die online services een overlap hebben in IP ranges en achterliggend Azure gebruik.
Zo hadden wij het sporadisch wegvallen van Onedrive connecties hierdoor. Het heeft even geduurd voor we uiteindelijk vonden dat het hier aan lag.

Dank je voor de waarschuwing. We gebruiken Office365 voor email. De FG heeft hier als applicatie een scheiding in, maar IP overlap kan natuurlijk altijd.

[d-snp]

Hoe belangrijk is een UPS voor het beschermen van de hardware tegen fluctuaties op het stroomnet? Zijn er goedkopere opties die vergelijkbare bescherming bieden? Op mijn werk hebben we een kleine compute cluster, 6 machines die samen ~3000W trekken. Heb wat zitten kijken wat een UPS kost in die categorie en dat is best veel. Als de stroom uitvalt dan mag onze compute cluster best down gaan, paar uurtjes niet renderen is geen ramp. Als de compute cluster stuk gaat en we 20.000 euro aan hardware verliezen zou dat natuurlijk wel zeer vervelend zijn. Ik heb thuis nog nooit een computer stuk gehad, heb wel eens een PSU gehad die stuk was gegaan, maar de rest van de hardware was dan nog ok. Vormt een goede PSU niet zelf ook een bescherming van de hardware?

[Drardollan]

d-snp schreef op woensdag 20 november 2019 @ 17:51:
Hoe belangrijk is een UPS voor het beschermen van de hardware tegen fluctuaties op het stroomnet? Zijn er goedkopere opties die vergelijkbare bescherming bieden? Op mijn werk hebben we een kleine compute cluster, 6 machines die samen ~3000W trekken. Heb wat zitten kijken wat een UPS kost in die categorie en dat is best veel. Als de stroom uitvalt dan mag onze compute cluster best down gaan, paar uurtjes niet renderen is geen ramp. Als de compute cluster stuk gaat en we 20.000 euro aan hardware verliezen zou dat natuurlijk wel zeer vervelend zijn. Ik heb thuis nog nooit een computer stuk gehad, heb wel eens een PSU gehad die stuk was gegaan, maar de rest van de hardware was dan nog ok. Vormt een goede PSU niet zelf ook een bescherming van de hardware?

Wat kost die UPS dan?

Ik heb een soortgelijke setup op kantoor en heb er 2 APC2200’s voor staan. Voedingen verdeelt over de 2 UPS’en. Een 2200 kost je iets van 1000 in de BTW, dus je zou er 3 kunnen nemen. Zit je ex. BTW zo’n beetje op 10 procent van de prijs van de hardware. Dat is niet duur toch?

Los van verlies van hardware, die kans is wel klein dat alles eraan gaat namelijk, wil je toch de boel netjes af proberen te sluiten? Als je door een stroomprobleem 5 dagen niet kunt werken, hoe schadelijk is dat?

En hoe belangrijk dat is? Ik neem zakelijk enkel risico’s die ik niet kan voorkomen omdat ze onoplosbaar of te duur zijn. Dit lijkt mij niet duur t.o.v. wat er draait. Ook al is de kans klein, bij een goede productie setup hoort een UPS mijn inziens. En als ik eerlijk ben, als je bedrijfje wil spelen dan zit daar ook een stukje kosten aan verbonden.

[ Voor 11% gewijzigd door Drardollan op 20-11-2019 19:21 ]

[Turdie]

d-snp schreef op woensdag 20 november 2019 @ 17:51:
Hoe belangrijk is een UPS voor het beschermen van de hardware tegen fluctuaties op het stroomnet? Zijn er goedkopere opties die vergelijkbare bescherming bieden? Op mijn werk hebben we een kleine compute cluster, 6 machines die samen ~3000W trekken. Heb wat zitten kijken wat een UPS kost in die categorie en dat is best veel. Als de stroom uitvalt dan mag onze compute cluster best down gaan, paar uurtjes niet renderen is geen ramp. Als de compute cluster stuk gaat en we 20.000 euro aan hardware verliezen zou dat natuurlijk wel zeer vervelend zijn. Ik heb thuis nog nooit een computer stuk gehad, heb wel eens een PSU gehad die stuk was gegaan, maar de rest van de hardware was dan nog ok. Vormt een goede PSU niet zelf ook een bescherming van de hardware?

Het is wel een flink risico wat je neemt om er geen UPS tussen te hebben zitten. Het is nooit goed voor een machine om plots uitgezet te worden, wat er bij een stoomuitval gebeurt.

[KennieNL]

Hero of Time schreef op woensdag 20 november 2019 @ 08:41:
Goed, we hebben op kantoor dus een Fortigate FG61E met versie 6.2.2. In z'n eentje. Hierop hebben we twee WAN interfaces, voor twee internet verbindingen. Een glas, ander DSL als backup.

Via het cookbook documentatie heb ik failover tussen de twee verbindingen. Niet getest, maar wel gezien dat het activeerde.
Maar omdat sommige zaken, zoals Windows Update, erg veel bandbreedte gebruikt krijgt telefonie hier last van. Die wil ik dan liever via de backuplijn laten lopen. Dat zou eenvoudig via SD-WAN kunnen. Maar, ik kan de WAN interfaces niet selecteren. En ik weet niet waarom. Bij https://docs.fortinet.com...ting-the-sd-wan-interface staat niet wat je dan moet doen of waarom een interface mogelijk niet zichtbaar zou zijn.

Interface config (noodzakelijke delen alleen):

code:

config system interface
    edit "wan1"
        set vdom "root"
        set mode pppoe
        set fail-detect enable
        set fail-detect-option detectserver
        set type physical
        set role wan
    next
    edit "wan2"
        set vdom "root"
        set fail-detect enable
        set fail-detect-option detectserver
        set type physical
        set role wan
    next
end

Probeer ik via de CLI alsnog een van de WAN interfaces te selecteren, dan krijg ik 'entry not found in datasource'.

Ik verwacht niet dat het door de s2s VPN verbindingen komt, omdat die niet op de backuplijn zijn geconfigureerd. Met Google kom ik er ook niet echt uit wat de reden kan zijn.

Persoonlijk doe ik VoIP eigenlijk altijd via een 2de lijn routeren ipv de primaire. Er is anders wel altijd iets wat hinder kan geven aan je VoIP verkeer, of je moet weer vanalles met QoS gaan doen (en guaranteed bandwidth wil je niet op een 61E).

Je hebt idd de optie om SD WAN te gaan gebruiken, inmiddels in 6.2 kun je deze beter configureren dan voorheen. Voorheen deed ik persoonlijk altijd link-monitor gebruiken, ik weet niet in hoeverre fail-detect-option detectserver werkt op het moment dat je internet eruit ligt maar je wel nog link hebt.

[Hero of Time]

KennieNL schreef op woensdag 20 november 2019 @ 20:16:
[...]

Persoonlijk doe ik VoIP eigenlijk altijd via een 2de lijn routeren ipv de primaire. Er is anders wel altijd iets wat hinder kan geven aan je VoIP verkeer, of je moet weer vanalles met QoS gaan doen (en guaranteed bandwidth wil je niet op een 61E).

Dat laatste heb ik nu dus wel ingesteld, maar het functioneerde nog niet naar wens. Kan komen omdat ik geen andere regels heb om de rest van het verkeer te classificeren.

Het dagelijkse verkeer is niet overdreven veel dat we er last van hebben. Het zijn de tijdelijke pieken zoals WU dat voor problemen zorgt, dus die grote bulk dingen wil ik via de andere lijn laten gaan. Die blijkt ook nog eens een hogere download snelheid te hebben. Win-win.

Je hebt idd de optie om SD WAN te gaan gebruiken, inmiddels in 6.2 kun je deze beter configureren dan voorheen. Voorheen deed ik persoonlijk altijd link-monitor gebruiken, ik weet niet in hoeverre fail-detect-option detectserver werkt op het moment dat je internet eruit ligt maar je wel nog link hebt.

Het pingt een externe server om te bepalen of de verbinding werkt. Dat is iig de standaard configuratie die in de documentaties te vinden is. Iets wat je zelf ook snel doet, ping een makkelijk ip adres.

Hoe dat met SD-WAN gaat moet ik dus nog bekijken, want daar moet natuurlijk ook een failover op plaatsvinden als de primaire lijn uit valt.

[Turdie]

Hero of Time schreef op woensdag 20 november 2019 @ 20:25:
[...]

Dat laatste heb ik nu dus wel ingesteld, maar het functioneerde nog niet naar wens. Kan komen omdat ik geen andere regels heb om de rest van het verkeer te classificeren.

Het dagelijkse verkeer is niet overdreven veel dat we er last van hebben. Het zijn de tijdelijke pieken zoals WU dat voor problemen zorgt, dus die grote bulk dingen wil ik via de andere lijn laten gaan. Die blijkt ook nog eens een hogere download snelheid te hebben. Win-win.


[...]

Het pingt een externe server om te bepalen of de verbinding werkt. Dat is iig de standaard configuratie die in de documentaties te vinden is. Iets wat je zelf ook snel doet, ping een makkelijk ip adres.

Hoe dat met SD-WAN gaat moet ik dus nog bekijken, want daar moet natuurlijk ook een failover op plaatsvinden als de primaire lijn uit valt.

Wat je zou ook kunnen overwegen is een interne WSUS server waar de rest het vandaan haalt, die je standaard over de lijn laat downloaden waar VOIP niet opzit. Of heb je dat al?

[Hero of Time]

shadowman12 schreef op woensdag 20 november 2019 @ 20:29:
[...]

Wat je zou ook kunnen overwegen is een interne WSUS server waar de rest het vandaan haalt, die je standaard over de lijn laat downloaden waar VOIP niet opzit.

Kan, maar daarmee houd ik de Adobe en Apple updates niet mee tegen. Dan liever iets wat meer universeel gebruikt kan worden.

[Turdie]

Hero of Time schreef op woensdag 20 november 2019 @ 20:35:
[...]

Kan, maar daarmee houd ik de Adobe en Apple updates niet mee tegen. Dan liever iets wat meer universeel gebruikt kan worden.

Owh ik dacht dat je alleen iets zoekt voor WU.

Maar goed eigenlijk moet je netwerk design nog is goed tegen het licht houden en de verkeersstromen goed in kaart brengen denk ik.

[ Voor 18% gewijzigd door Turdie op 20-11-2019 20:42 ]

[Hero of Time]

Ik gaf WU als voorbeeld, maar er zijn natuurlijk meer dingen die veel bandbreedte voor langere tijd kan gebruiken. De verkeersstromen in kaart brengen moet sowieso. Helaas is dat geen hoge prio. Wel hebben we op ons dashboard het bandbreedte gebruik op de WAN interface, dus als er iets langere tijd staat te stampen, zien we dat en kan ik via Fortiview zien wie en wat.

[KennieNL]

Hero of Time schreef op woensdag 20 november 2019 @ 20:25:
[...]

Dat laatste heb ik nu dus wel ingesteld, maar het functioneerde nog niet naar wens. Kan komen omdat ik geen andere regels heb om de rest van het verkeer te classificeren.

Het dagelijkse verkeer is niet overdreven veel dat we er last van hebben. Het zijn de tijdelijke pieken zoals WU dat voor problemen zorgt, dus die grote bulk dingen wil ik via de andere lijn laten gaan. Die blijkt ook nog eens een hogere download snelheid te hebben. Win-win.


[...]

Het pingt een externe server om te bepalen of de verbinding werkt. Dat is iig de standaard configuratie die in de documentaties te vinden is. Iets wat je zelf ook snel doet, ping een makkelijk ip adres.

Hoe dat met SD-WAN gaat moet ik dus nog bekijken, want daar moet natuurlijk ook een failover op plaatsvinden als de primaire lijn uit valt.

Bedoel je QoS? Heb je die als guaranteed of limited bandwidth?

Ah ok, ik gebruik vanuit het verleden nog altijd link-monitor waarbij je bijv. google dns kunt pingen.

SD-WAN kan dit ook, alleen kun je tegenwoordig aangeven dat al het verkeer over wan1 moet tenzij deze down is. Volgens mij moest je eerder soort load balancing doen, en dat is gewoon niet altijd gewenst.

[Hero of Time]

KennieNL schreef op woensdag 20 november 2019 @ 21:40:
[...]

Bedoel je QoS? Heb je die als guaranteed of limited bandwidth?

QoS ja, guaranteed bandwith. Had eerst nog geen estimated bandwith op de WAN ingesteld, nu wel en nog geen klachten gehad sindsdien, maar ook nog geen grote hoeveelheid verkeer gehad dat problemen zou kunnen veroorzaken.

Ah ok, ik gebruik vanuit het verleden nog altijd link-monitor waarbij je bijv. google dns kunt pingen.

Is het ook, zie m'n config. Al heb ik daar niet alles bij staan. Het is iig ook link-monitor:

code:

config system link-monitor
    edit "WAN1FailOver"
        set srcintf "wan1"
        set server "8.8.8.8"
        set interval 1000
        set recoverytime 3
    next
    edit "WAN2FailOver"
        set srcintf "wan2"
        set server "8.8.8.8"
        set interval 1000
        set recoverytime 3
    next
end

Dat ken jij als 't goed is. En dat werkt dus prima, ook als er nog gewoon link is, maar geen verkeer mogelijk.

SD-WAN kan dit ook, alleen kun je tegenwoordig aangeven dat al het verkeer over wan1 moet tenzij deze down is. Volgens mij moest je eerder soort load balancing doen, en dat is gewoon niet altijd gewenst.

Je kan het als handmatig instellen, dan wordt er geen LB gedaan tenzij je dat met rules specificeert. Daar wil ik dus specifieke bestemmingen aan hangen.

[KennieNL]

Hero of Time schreef op donderdag 21 november 2019 @ 08:46:
[...]

QoS ja, guaranteed bandwith. Had eerst nog geen estimated bandwith op de WAN ingesteld, nu wel en nog geen klachten gehad sindsdien, maar ook nog geen grote hoeveelheid verkeer gehad dat problemen zou kunnen veroorzaken.

Ok alleen oppassen dat guaranteed bandwidth over de CPU gaat ipv de hardware acceleration. Bij flinke verbindingen kan het boeltje dan flink inkakken

[...]

Is het ook, zie m'n config. Al heb ik daar niet alles bij staan. Het is iig ook link-monitor:

code:

config system link-monitor
    edit "WAN1FailOver"
        set srcintf "wan1"
        set server "8.8.8.8"
        set interval 1000
        set recoverytime 3
    next
    edit "WAN2FailOver"
        set srcintf "wan2"
        set server "8.8.8.8"
        set interval 1000
        set recoverytime 3
    next
end

Dat ken jij als 't goed is. En dat werkt dus prima, ook als er nog gewoon link is, maar geen verkeer mogelijk.

Yes die is belangrijk om erin te hebben... bewust zo'n hoge interval?

[...]

Je kan het als handmatig instellen, dan wordt er geen LB gedaan tenzij je dat met rules specificeert. Daar wil ik dus specifieke bestemmingen aan hangen.

Ja dat is dus pas 6.2 erin gekomen, vandaar dat ik het tot nu toe nog niet heb toegepast.

[D_Jeff]

SD-WAN zit er al sinds 5.2 in

Voor je begint:
Een 61E is een model met 1 disk erin. In 6.0 en hoger staat deze default ingericht voor logging. Indien je deze lokaal opslaat, ben je ALLE logging kwijt als je maar SD-WAN schakelt.
De Fortigate voert doodleuk een "format disk" uit.
Verder laat je niet zien welke rol de beide WAN interfaces hebben toegewezen gekregen, kun je hier eens een snipje van plaatsen (GUI)?

Daarnaast: Elke policy EN route mag geen WAN interface benoemd hebben, anders krijg je vage errors bij het schakelen

Suc7

[asing]

Hero of Time schreef op woensdag 20 november 2019 @ 08:41:

Maar omdat sommige zaken, zoals Windows Update, erg veel bandbreedte gebruikt krijgt telefonie hier last van.

Hate to be bitchin' 'bout it maar we hebben je aangeraden een WSUS server neer te zetten. Dan laat je die lekker buiten werktijd syncen en kunnen je clients overdag bijwerken zonder dat je SIP verkeer wordt geraakt. Een andere oplossing is om QoS op je SIP verkeer te zetten.

Anyway, ik zou die WSUS neerzetten.

[KennieNL]

D_Jeff schreef op donderdag 21 november 2019 @ 09:59:
SD-WAN zit er al sinds 5.2 in

Klopt, maar niet met manual rules
Het is in 6.2 wel wat veranderd tov eerdere versies

[Hero of Time]

KennieNL schreef op donderdag 21 november 2019 @ 09:42:
[...]

Yes die is belangrijk om erin te hebben... bewust zo'n hoge interval?

Stond zo als voorbeeld en de interval is in ms als ik 't goed begreep, dus waarom niet vaker dan elke seconde?

D_Jeff schreef op donderdag 21 november 2019 @ 09:59:
Voor je begint:
Een 61E is een model met 1 disk erin. In 6.0 en hoger staat deze default ingericht voor logging. Indien je deze lokaal opslaat, ben je ALLE logging kwijt als je maar SD-WAN schakelt.
De Fortigate voert doodleuk een "format disk" uit.

Handig, dus als ik SD-WAN aanzet, wordt de schijf zonder waarschuwing gewist en zijn we alle logs die er op stonden verwijdert? Lekker dan. Maar goed om te weten. We doen momenteel weinig tot niets met de logs, maar toch goed om te weten dat het vanaf dat moment niet meer terug te zoeken is naar voor het inschakelen ervan.

Verder laat je niet zien welke rol de beide WAN interfaces hebben toegewezen gekregen, kun je hier eens een snipje van plaatsen (GUI)?

Default wat het standaard toewijst. Rol: WAN. Dat zou geen reden moeten zijn waarom 't niet te kiezen is.

Daarnaast: Elke policy EN route mag geen WAN interface benoemd hebben, anders krijg je vage errors bij het schakelen

Suc7

Daar kwam ik dus achter toen ik de cookbook van v6.0 las over sd-wan. Bij die van 6.2 staat er niets over regels die naar de interfaces wijst. Dat was mijn probleem. Maar ja, nu even dat aanpassen is niet verstandig. Daarom wanneer we onderhoud kunnen doen.

[D_Jeff]

Kleine aanvulling: Voor de switch krijg je wel een waarschuwing

[Renegade666]

Als een fortigate dat niet eens met 1 klik kan doen.. Met een Watchguard is het wel zo verschrikkelijk simpel om SDwan te gebruiken en in te stellen een app etc.

[KennieNL]

Hero of Time schreef op donderdag 21 november 2019 @ 10:36:
[...]

Stond zo als voorbeeld en de interval is in ms als ik 't goed begreep, dus waarom niet vaker dan elke seconde?

https://help.fortinet.com...g/system/link-monitor.htm
set interval {integer} Detection interval (1 - 3600 sec, default = 5). range[1-3600]

[Hero of Time]

Hmm, ok, vaag. Verkeerd overgenomen dan of niet goed gelezen. Whatever, komt wel met sd-wan.

[ToolkiT]

Naar aanleiding vanhttps://tweakers.net/nieuws/160244/microsoft-doppelpaymer-ransomware-werd-niet-via-bluekeep-exploit-verspreid.html ben ik (zakelijk gezien) nieuwsgierig geworden...

"voor BlueKeep is al maanden een patch beschikbaar, maar duizenden bedrijven wereldwijd hebben die nog steeds niet doorgevoerd."
Dit vind ik een interessante opmerking..
Wat is de oorzaak dat men belangrijke patches niet doorvoert in een redelijke termijn? Waar zit het pijnpunt?

In dit geval is het misschien niet de attack vector maar in andere gevallen kan het zeker wel...
zoals https://blog.malwarebytes...ts-to-fill-gandcrab-void/
“A month before the GandCrab retirement announcement, Cisco Talos researchers released information about their discovery of Sodinokibi. Attackers manually infected the target server after exploiting a zero-day vulnerability in its Oracle WebLogic application.“

Full disclosure: ik werk voor een bedrijf dat een Unified Endpoint Management product maakt (met daar in o.a. patch management). Mijn vraag is niet bedoeld om leads te vinden oid, maar wel om inzicht te krijgen waar de schoen wringt en waarom patch management anno 20019 nog steeds een probleem is.. is het de tooling? is het het process? is het simpelweg laksheid?

[nextware]

ToolkiT schreef op vrijdag 22 november 2019 @ 14:10:

Full disclosure: ik werk voor een bedrijf dat een Unified Endpoint Management product maakt (met daar in o.a. patch management). Mijn vraag is niet bedoeld om leads te vinden oid, maar wel om inzicht te krijgen waar de schoen wringt en waarom patch management anno 20019 nog steeds een probleem is.. is het de tooling? is het het process? is het simpelweg laksheid?

Vaak geen laksheid, maar een gebrek aan tijd..
Een update in grotere omgeving doorvoeren is niet een kwestie van "dat doen we even".. Hiervoor zijn vaak testomgevingen nodig waar eerst de updates een bepaalde tijd worden getest en hierna worden deze pas doorgevoerd in productie omgevingen.

[asing]

ToolkiT schreef op vrijdag 22 november 2019 @ 14:10:

Wat is de oorzaak dat men belangrijke patches niet doorvoert in een redelijke termijn? Waar zit het pijnpunt?

Je moest eens weten hoeveel bedrijven hun IT niet op orde hebben. Geef je ogen maar eens de kost. Ik was laatst bij mijn tandarts, die werkt nog op Windows 7. Nu is dat een klein bedrijfje wat IT nu niet als core heeft. Maar als ik dan afgelopen week bij een financieel adviseur zit die ook nog W7 heeft.... tja. Die keten is 150+ vestigingen groot. Het zijn wel franchises maar dan zou het vanaf de holding toch geforceerd moeten worden. Dus het zit overal.

Anyway, in antwoord op je vraag :

- ignorance (wat kan ons gebeuren, ik heb antivirus, ik zit in de cloud etc)
- tijdgebrek van de beheerder (de gemiddelde MKB beheerder rent zich rot en krijgt nergens geld voor)
- Managed Services (uitbesteding) die hun werk niet doet
- geen beleid
- nooit bijgewerkt, dus een enorm risico
- gebrek aan resources

Om er maar een paar te geven.

[Brahiewahiewa]

ToolkiT schreef op vrijdag 22 november 2019 @ 14:10:
... waarom patch management anno 20019 nog steeds een probleem is...

Je overdrijft ;o)

[ToolkiT]

Brahiewahiewa schreef op vrijdag 22 november 2019 @ 15:27:
[...]

Je overdrijft ;o)

Als ik de reacties boven je lees niet dus
Maar fair point misschien is de vraag meer: hoe groot is het probleem?
Mogelijk is het een gevalletje 'if the only tool you have is a hammer, everything looks like a nail'..

Maar...Als ik dit soort verhalen lees en artikel wat ik linkte kom ik tot de conclusie dat het op heel veel plekken niet op orde is..
https://one.comodo.com/bl...ent-security-breaches.php
“A survey was conducted with 318 companies to analyze the cause of security breaches. Stats reveal that more than 80% of the companies with outdated software had been blown down with security breaches.”
Dus ik denk wel dat het een issue is.. zo niet hoor ik het ook graag

[ Voor 12% gewijzigd door ToolkiT op 22-11-2019 15:41 ]

[The Eagle]

Praktisch gezien is goed patch management natuurlijk maar een van de vele manieren om te zorgen dat je geen ellende binnenkrijgt. Als jij een beetje omgeving hebt, zorg je sowieso dat de voordeur en achterdeur dicht zijn, en dat mensen niet zomaar bij je servers komen, om maar een zijstraat te noemen. Er zijn allerlei mitigerende maatregelen te nemen die een risico van een ransomwareinfectie verkleinen. Als die er voldoende zizjn kan ook iemand accepteren dat dat risico domweg genomen wordt. Ben je nog steeds niet bij met patching, maar is de kans klein(er) dat er iets gebeurt.
Having said that: sommige patches vereisen downtime, andere niet. Afhankelijk van wat er op je servers draait kun je wel eens op een jaarlijks downtime window moeten wachten voor je een mission critical uberhaupt down mag brengen voor whatever. Verder heb je ook nog de impact van een patch op een kernel en al of niet support vanuit een vendor. Ik hoef jou niet uit te leggen dat je soms certified OS level patches geinstalleer moet hebben, en als je hoger zit dat de vendor van je applicatiesoftware dan zegt je draait unsupported. We've both been there

[Drardollan]

asing schreef op vrijdag 22 november 2019 @ 14:37:
[...]
Maar als ik dan afgelopen week bij een financieel adviseur zit die ook nog W7 heeft.... tja. Die keten is 150+ vestigingen groot.

Windows 7 is gewoon nog in support: "De exacte datum voor het einde van de ondersteuning voor Windows 7 is 14 januari 2020."

Dus geen haast toch?

[asing]

The Eagle schreef op vrijdag 22 november 2019 @ 15:44:
Praktisch gezien is goed patch management natuurlijk maar een van de vele manieren om te zorgen dat je geen ellende binnenkrijgt. Als jij een beetje omgeving hebt, zorg je sowieso dat de voordeur en achterdeur dicht zijn, en dat mensen niet zomaar bij je servers komen, om maar een zijstraat te noemen. Er zijn allerlei mitigerende maatregelen te nemen die een risico van een ransomwareinfectie verkleinen. Als die er voldoende zizjn kan ook iemand accepteren dat dat risico domweg genomen wordt. Ben je nog steeds niet bij met patching, maar is de kans klein(er) dat er iets gebeurt.
Having said that: sommige patches vereisen downtime, andere niet. Afhankelijk van wat er op je servers draait kun je wel eens op een jaarlijks downtime window moeten wachten voor je een mission critical uberhaupt down mag brengen voor whatever. Verder heb je ook nog de impact van een patch op een kernel en al of niet support vanuit een vendor. Ik hoef jou niet uit te leggen dat je soms certified OS level patches geinstalleer moet hebben, en als je hoger zit dat de vendor van je applicatiesoftware dan zegt je draait unsupported. We've both been there

Ik weet van een geval waarbij een werkplekbeheerder een PDF tooltje op een medische PC van de Intensive Care had gezet . Ik weet niet eens meer welke, alleen het was niet Adobe. Anyway, die PC verzorgde alle monitoren van de patienten aan de balie. De zustertjes kunnen natuurlijk niet alle patienten in de gaten houden door naast het bed te gaan zitten.

De leverancier kwam daar achter, de PC werd uit het netwerk gehaald en compleet opnieuw opgebouwd. Alleen dan konden ze garanderen dat het ding zijn werk goed zou doen. Het is een extreem geval maar zo gaat men om met kritische hard en software.

Drardollan schreef op vrijdag 22 november 2019 @ 16:22:
[...]

Windows 7 is gewoon nog in support: "De exacte datum voor het einde van de ondersteuning voor Windows 7 is 14 januari 2020."

Dus geen haast toch?

Niet echt, je hebt nu nog 2 maandjes..... . Laat ik zeggen dat ik me verbaasde. Niet bij de tandarts. Wel bij de dienstverlener.

[Hero of Time]

Hoezo? Maximale uit je uitgaven halen. Je vraagt toch ook niet aan je baas of zegt tegen de klant dat de hardware (bijvoorbeeld van werkplekken) vervangen moet worden als deze nog een jaar in de support zit?

[Turdie]

Soms is het ook zo, owh shit bestaat dat systeem nog?
Die hadden we ook moet patchen, en dan zie dat er 100 updates klaar staan

[ Voor 9% gewijzigd door Turdie op 22-11-2019 23:10 ]

[asing]

Hero of Time schreef op vrijdag 22 november 2019 @ 22:57:
Hoezo? Maximale uit je uitgaven halen. Je vraagt toch ook niet aan je baas of zegt tegen de klant dat de hardware (bijvoorbeeld van werkplekken) vervangen moet worden als deze nog een jaar in de support zit?

We hebben het hier over Windows 7 hé ? Hoe je het ook bekijkt, het laatste stukje hardware wat Windows 7 ondersteuning heeft is de Generatie 6 Intel processoren. Ergens zomer 2017 ging het over naar Generatie 7 waarna je allerlei berichten krijgt dat het niet meer werkt. Alles wat je na die datum koopt moet W10 hebben.

Met andere woorden : het nieuwste stuk hardware wat dat nog draait is nu 2.5 jaar oud. De rest moet ouder zijn. Windows 10 was er toen allang dus je hebt 2 redenen om Windows 10 in te voeren :

- je moet na zomer 2017 nieuwe hardware kopen (denk aan vervangingen en aanwas personeel)
- je moet vanwege veiligheid af van een OS waarvan het support eindigt

Laten we stellen dat je alle hardware die je nu hebt moeiteloos W10 kan laten draaien, dan heb je alleen een licentievraagstuk. Dat zijn je kosten. Er is nu nog 2 maanden Windows 7 support maar als je nu nog iedere oude PC moet terug halen en inspoelen ben je ook wel even bezig.

Ik zie je punt dus niet...

[The Eagle]

Ik ook niet. Dat je een windows 7 gui hebt zegt niks over wat er daadwerkelijk draait. Kan ook een VDI omgeving zijn en jij ziet totaal niet wat er onder zit. En dan boeit het ook niet of het windows 7 is, schil er omheen is meestal prima bij qua patches en security.

[Paul]

asing schreef op vrijdag 22 november 2019 @ 22:44:
De leverancier kwam daar achter, de PC werd uit het netwerk gehaald en compleet opnieuw opgebouwd. Alleen dan konden ze garanderen dat het ding zijn werk goed zou doen. Het is een extreem geval maar zo gaat men om met kritische hard en software.

Ik werk ook in een ziekenhuis, en vaak willen we dat soort leveranciers helemaal niet, want dat zijn vaak dezelfde leveranciers die zeggen dat je geen Windows Updates mag installeren...

Als ze Windows Updates prima vinden maar het systeem verder wel dedicated voor de camerabeelden is dan is het geen probleem, maar er zijn iets teveel leveranciers die updates maar eng vinden

[asing]

Paul schreef op zaterdag 23 november 2019 @ 19:04:
[...]
Ik werk ook in een ziekenhuis, en vaak willen we dat soort leveranciers helemaal niet, want dat zijn vaak dezelfde leveranciers die zeggen dat je geen Windows Updates mag installeren...

Als ze Windows Updates prima vinden maar het systeem verder wel dedicated voor de camerabeelden is dan is het geen probleem, maar er zijn iets teveel leveranciers die updates maar eng vinden

In dit geval was het volgens mij die grote jongen uit Eindhoven en daar kan je als ziekenhuis echt niet meer omheen.

Overigens is het wat de veiligheid niet zo'n probleem, gewoon van het netwerk isoleren. Dat kan prima als het ding één taak heeft.

[unezra]

Ik zoek iets om LTO4 & LTO6 tapes op te slaan in reguliere kasten.
Denk aan iets als dit:



Maar dan voor LTO.

Andere suggesties zijn ook welkom, het mag ook in kratten, als het maar efficiënt in een reguliere kast met planken kan. (Los zetten vind ik niet een heel geweldig idee.)

[Turdie]

unezra schreef op maandag 25 november 2019 @ 11:35:
Ik zoek iets om LTO4 & LTO6 tapes op te slaan in reguliere kasten.
Denk aan iets als dit:

[Afbeelding]

Maar dan voor LTO.

Andere suggesties zijn ook welkom, het mag ook in kratten, als het maar efficiënt in een reguliere kast met planken kan. (Los zetten vind ik niet een heel geweldig idee.)

https://turtlecase.com/collections/media-racks-and-cabinets

[Drardollan]

Privé ben ik op zoek naar een KVM over IP ding. Ik heb geregeld een laptop/PC ter reparatie staan en die is dan vooral bezig met Windows Updates en andere langlopende zaken. De machine staat dan op zolder en ik zit beneden of op mijn werk, zou handig zijn om af en toe ff te kijken of een herstart nodig is. (andersom ook, laptop die op het werk staat in het weekend die een herstart kan gebruiken).

Het is ondoenlijk om altijd maar Teamviewer of Remote Desktop te gebruiken. Een simpele KVM over IP zou het probleem kunnen oplossen.

Ik vind echter alleen grote jongens van € 1000+. Zoek eigenlijk een hele simpele HDMI/USB KVM met IP optie.

Iemand die zoiets kent?

[asing]

Drardollan schreef op maandag 25 november 2019 @ 11:49:
Privé ben ik op zoek naar een KVM over IP ding. Ik heb geregeld een laptop/PC ter reparatie staan en die is dan vooral bezig met Windows Updates en andere langlopende zaken. De machine staat dan op zolder en ik zit beneden of op mijn werk, zou handig zijn om af en toe ff te kijken of een herstart nodig is. (andersom ook, laptop die op het werk staat in het weekend die een herstart kan gebruiken).

Het is ondoenlijk om altijd maar Teamviewer of Remote Desktop te gebruiken. Een simpele KVM over IP zou het probleem kunnen oplossen.

Ik vind echter alleen grote jongens van € 1000+. Zoek eigenlijk een hele simpele HDMI/USB KVM met IP optie.

Iemand die zoiets kent?

Je weet dat je met DISM de updates offline kan integreren in je WIM image? Dan hoef je niet steeds 6 maanden bij te werken enzo.

[Drardollan]

asing schreef op maandag 25 november 2019 @ 12:47:
[...]


Je weet dat je met DISM de updates offline kan integreren in je WIM image? Dan hoef je niet steeds 6 maanden bij te werken enzo.

Ja, als het zo was dat al mijn privé klanten exact hetzelfde hadden dan was dat een oplossing. Helaas beperkt het zich niet tot Windows Updates, maar ook installaties van bv. XPSS of andere troep. Data overzetten, mail configureren en ga maar door. Eigenlijk is een laptop installeren 90% van de tijd wachten.

En natuurlijk is niet alles een frisse installatie, vaak ook gewoon onderhoud.

[ Voor 6% gewijzigd door Drardollan op 25-11-2019 13:52 ]

[FastFred]

Verplaatst vanuit SEHP

Ben ik weer

Ik heb 1 user waarbij de speciale letters niet meer werken. Zeg maar de ë, é, ó, ö letters enzo. Als ze bijvoorbeeld " of ' toetst dan verschijnt er gewoon " of '

Alt-codes werken nog wel gewoon. Toetsenbordtaal staat vast op VS Internationaal

Ik kan er op Google echt niks over vinden, ik kom alleen maar topics tegen over toetsenbordtaal etc.

Kan iemand mij helpen, al is het alleen al aan de juiste zoektermen? Hoe heetten die letters?

[Tylen]

FastFred schreef op maandag 25 november 2019 @ 13:33:
Verplaatst vanuit SEHP

Ben ik weer

Ik heb 1 user waarbij de speciale letters niet meer werken. Zeg maar de ë, é, ó, ö letters enzo. Als ze bijvoorbeeld " of ' toetst dan verschijnt er gewoon " of '

Alt-codes werken nog wel gewoon. Toetsenbordtaal staat vast op VS Internationaal

Ik kan er op Google echt niks over vinden, ik kom alleen maar topics tegen over toetsenbordtaal etc.

Kan iemand mij helpen, al is het alleen al aan de juiste zoektermen? Hoe heetten die letters?

Toetsenbord taal op nederlands zetten.

[FastFred]

@Tylen De toetsenbordindeling is bij alle 200 gebruikers VS Internationaal...

[Tylen]

FastFred schreef op maandag 25 november 2019 @ 13:35:
@Tylen De toetsenbordindeling is bij alle 200 gebruikers VS Internationaal...

Dan doet ie het neit nee



Met de NL instelling doet hij het wel, met de ENG instelling niet

[FastFred]

Bij de overige 199 gebruikers werkt het namelijk wel... Als ze Shift+2 doet verschijnt er ook gewoon een @ bijvoorbeeld, dus ik zie niet hoe dit aan toetsenbordtaal kan liggen.

[ Voor 3% gewijzigd door FastFred op 25-11-2019 13:40 ]

[Creep]

Fijn issue met administrator mailbox bij een hybride Exchange 2013 - Office365 migratie. De MX records dit weekend lekker omgezet zodat Microsoft alle inkomende mail schoont van rommel. Alleen 1 mailbox ([e-mail]) ontvangt geen mail.
Na enige zoekwerk blijkt het dat de user Administrator dus niet meegenomen wordt in een AD sync naar Azure Active Directy.
Nu dacht ik: even een contact maken voor deze mailbox of een alias in Office365, maar dat mag dan weer niet.

Iemand een idee hoe ik dit wel kan oplossen?

[Jordy_413]

Iemand ervaring met agenda afspraken die automatisch worden geweigerd en ook niet in de agenda komen als geweigerd? De outlook instellingen m.b.t de afspraken weigeren staan allemaal uit. bvd.

[FastFred]

@Jordy_413 een room/equipment of ander soort shared agenda? Dat soort settings kun je ook in Powershell doen namelijk en die laat die dan niet zien als je in EAC zit te kijken bij die setting.

[Hero of Time]

@FastFred, je weet ook dat Windows tegenwoordig per applicatie de toetsenbordindeling bijhoudt? Let dus even op wat er bij de gebruiker staat opgegeven bij die applicatie waar het probleem zich voordoet.

Wat ook kan is dat ondanks de indeling deze niet lekker geïnstalleerd is. Opnieuw toevoegen kan dan helpen.


@Creep, wat was de reden om überhaupt een administrator@ adres te hebben? En werkt het niet om bij een gebruiker dat adres als alias in te stellen via proxyaddress? Geen idee hoe het op een hybride omgeving werkt, m'n laatste on-prem Exchange ervaring was voor de uitvinding van O365.

[FastFred]

@Hero of Time Ze logt in in een 2008R2 XenApp omgeving waar maar 1 toetsenbordtaal/indeling is. Ze logt daarop in met een Windows 10 IOT thinclient waar maar 1 toestenbordtaal/indeling is en waar een gebruiker er ook geen kan toevoegen.

[The GUI]

Creep schreef op maandag 25 november 2019 @ 14:07:
Fijn issue met administrator mailbox bij een hybride Exchange 2013 - Office365 migratie. De MX records dit weekend lekker omgezet zodat Microsoft alle inkomende mail schoont van rommel. Alleen 1 mailbox ([e-mail]) ontvangt geen mail.
Na enige zoekwerk blijkt het dat de user Administrator dus niet meegenomen wordt in een AD sync naar Azure Active Directy.
Nu dacht ik: even een contact maken voor deze mailbox of een alias in Office365, maar dat mag dan weer niet.

Iemand een idee hoe ik dit wel kan oplossen?

Je moet om te beginnen de mail flow onderzoeken.

Kan je (intern) mailen vanaf een O365 mailbox naar de administrator mailbox en vice versa? Als dat wel werkt dan zijn de mail flow connectors goed. Als dit al problemen geeft dan zit er iets niet goed in de send/receive connectors.

[Hero of Time]

FastFred schreef op maandag 25 november 2019 @ 15:14:
@Hero of Time Ze logt in in een 2008R2 XenApp omgeving waar maar 1 toetsenbordtaal/indeling is. Ze logt daarop in met een Windows 10 IOT thinclient waar maar 1 toestenbordtaal/indeling is en waar een gebruiker er ook geen kan toevoegen.

Dit is de enige gebruiker die er last van heeft. Dus het ligt ook niet aan de thin client, configuratie ervan en whatnot, want via een andere plek waar andere gebruikers geen issue hebben gebeurt het ook.

Kan ik maar 1 ding nog bedenken als oplossing: profiel wissen en nieuwe maken. Toetsenbordinstellingen blijven net als printers een naar probleem die miraculeus verschijnen en net zo weer verdwijnen.

[Creep]

The GUI schreef op maandag 25 november 2019 @ 15:34:
[...]

Je moet om te beginnen de mail flow onderzoeken.

Kan je (intern) mailen vanaf een O365 mailbox naar de administrator mailbox en vice versa? Als dat wel werkt dan zijn de mail flow connectors goed. Als dit al problemen geeft dan zit er iets niet goed in de send/receive connectors.

De mailflow is op zich prima en dat er een administrator mailbox is, is helaas iets van mijn voorganger.
Ik kan dus alleen niet naar de administrator mailen. Administrator is ook zoals het hoort niet gesynchroniseerd naar contactpersonen in Exchange Online met type E-mailgebruiker.

Ik zou eigenlijk de mailbox moeten ontkoppelen en aan een andere user hangen. En dan Proxy-address checken, maar dat doe ik liever als last resort.

[The GUI]

Creep schreef op maandag 25 november 2019 @ 16:00:
[...]


De mailflow is op zich prima en dat er een administrator mailbox is, is helaas iets van mijn voorganger.
Ik kan dus alleen niet naar de administrator mailen. Administrator is ook zoals het hoort niet gesynchroniseerd naar contactpersonen in Exchange Online met type E-mailgebruiker.

Ik zou eigenlijk de mailbox moeten ontkoppelen en aan een andere user hangen. En dan Proxy-address checken, maar dat doe ik liever als last resort.

Is het niet toevallig dit probleem?

Anders ben ik bang dat je de Administrator user alsnog moet synchroniseren, en vervolgens moet verbegen van de adreslijst.

De mailbox aan een andere user koppelen kan, maar zou ik me niet op de hals halen.

[Creep]

The GUI schreef op maandag 25 november 2019 @ 16:04:
[...]


Is het niet toevallig dit probleem?

Anders ben ik bang dat je de Administrator user alsnog moet synchroniseren, en vervolgens moet verbegen van de adreslijst.

De mailbox aan een andere user koppelen kan, maar zou ik me niet op de hals halen.

Dat zou je denken, maar elke "gewone user" kan ik mailen, ongeacht of het een office365 user is of een on-premise user. Ook vanaf extern. Het lijkt er op dat alleen van extern office offiec365 niet naar administrator@domain kan worden gemaild.

[The GUI]

@Creep

Sorry, maar ik ben in de war. Je haalt nu de termen gebruikers en mailboxen door elkaar en ik kan moeilijk beoordelen hoe het nu zit.

ongeacht of het een office365 user is of een on-premise user

On-premise users zijn Office 365 users toch?

Als ik het goed begrijp:

- Alle users in je organisatie zijn extern te bereiken, ongeacht of de mailbox zich on-premise of in Office 365 zit
- De Administrator mailbox is vanaf extern niet te benaderen, maar vanaf een Office 365 mailbox van jouw hybride organisatie wel

Correct me if I'm wrong

[Creep]

The GUI schreef op maandag 25 november 2019 @ 16:30:
@Creep

Sorry, maar ik ben in de war. Je haalt nu de termen gebruikers en mailboxen door elkaar en ik kan moeilijk beoordelen hoe het nu zit.


[...]

On-premise users zijn Office 365 users toch?

Als ik het goed begrijp:

- Alle users in je organisatie zijn extern te bereiken, ongeacht of de mailbox zich on-premise of in Office 365 zit
- De Administrator mailbox is vanaf extern niet te benaderen, maar vanaf een Office 365 mailbox van jouw hybride organisatie wel

Correct me if I'm wrong

Bijna, inderdaad gaat het om users in Office365 met mailboxen zowel in Office365 als Exchange 2013. Alle communicatie tussen alle users gaat goed, alleen kan er van buiten en uit Office365 niet naar de adminstrator@domain worden gemaild. Binnen de Exchange2013 omgeving wel.

[The GUI]

Hmm dan zou je in O365 een connector aan kunnen maken die [e-mail] doorstuurt naar je on-prem. Of je moet de administrator zichtbaar maken in de GAL (dit gebruikt O365 voor mailboxen die hij niet kent).

Misschien heeft iemand anders nog een idee?

[Turdie]

Creep schreef op maandag 25 november 2019 @ 14:07:
Fijn issue met administrator mailbox bij een hybride Exchange 2013 - Office365 migratie. De MX records dit weekend lekker omgezet zodat Microsoft alle inkomende mail schoont van rommel. Alleen 1 mailbox ([e-mail]) ontvangt geen mail.
Na enige zoekwerk blijkt het dat de user Administrator dus niet meegenomen wordt in een AD sync naar Azure Active Directy.
Nu dacht ik: even een contact maken voor deze mailbox of een alias in Office365, maar dat mag dan weer niet.

Iemand een idee hoe ik dit wel kan oplossen?

Optie 1 (beste optie)
Je zou de mailbox kunnen disablen en aan een ander account kunnen hangen die wel gesynct kan worden. Mocht je niet precies weten hoe je dat moet dat moet doen, laat me weten dan schrijf ik even de stappen voor je uit.

Optie 2 (af te raden)
Je zou de Sync Rules kunnen editten in Azure AD Connect:
" the correct way to do this is that edit the rules from the Synchronization Rules Editor so that the Azure AD Connect will not filter the objects whose isCriticalSystemObject being set to true during the synchronization."

Synchronization Rules Editor is installed where you have installed AD connect.

EDIT2: for exactly how to do this, here are the steps

1.) go into the synchronization rules editor. find the "user join" rule near the top for your domain. click edit
2.) take its advice and make a copy. Then if you screw up you can just disable this new rule we are creating and revert.
3.) set the precedence to be one lower than the current precedence of the rule. so in my case i set it to 98
4.) scoping filter, remove the first condition, which is "iscriticalsystemobject". click next.
5.) join rules, no change. go to transformations. in the first field you can see "cloud filtered" you want to remove the first bit from this string. the bit you are removing is "IsPresent([isCriticalSystemObject]) || "
6.) save. then run a full sync like :
powershell Import-Module ADSync
powershell Start-ADSyncSyncCycle -PolicyType Initial
7.) in my case, the administrator user was in its own OU. so i need to use the wizard to add that OU. a) azure ad connect -> configure -> Customize Synchronization Options -> Domain OU filtering -> select OU that you want -> run through the rest of the wizard and commit.

Kan wel zijn dat dan niet in een unsupported situatie komt als je dit doet.

---

@The GUI Aan de connectors gaan rommelen is echt een slecht advies. Administrator is gewoon een privliged account die hard geblockt is in Azure AD Connect, daarom mag ie niet over (isCriticalSystemObject). Mail flow heeft er ook niks mee te maken.

[ Voor 9% gewijzigd door Turdie op 25-11-2019 18:43 ]

[unezra]

shadowman12 schreef op maandag 25 november 2019 @ 11:46:
[...]
https://turtlecase.com/collections/media-racks-and-cabinets

Hmm. Dat zijn volledige kasten, daar hebben we niet echt plek voor.
Er zijn al archiefkasten die we kunnen gebruiken.

Of ik moet kijken naar zoiets:
https://turtlecase.com/collections/lto

Maar dat word voor 600 tapes een erg dure hobby.

[Turdie]

unezra schreef op maandag 25 november 2019 @ 18:48:
[...]


Hmm. Dat zijn volledige kasten, daar hebben we niet echt plek voor.
Er zijn al archiefkasten die we kunnen gebruiken.

Of ik moet kijken naar zoiets:
https://turtlecase.com/collections/lto

Maar dat word voor 600 tapes een erg dure hobby.

Eigenlijk is de beste optie om je tapes ergens offsite op te slaan en alleen de tapes die je nodig hebt in een kluis o.i.d. Er zijn wel een aantal gespecialiseerde bedrijven die dat kunnen.

[ Voor 5% gewijzigd door Turdie op 25-11-2019 19:01 ]

[unezra]

shadowman12 schreef op maandag 25 november 2019 @ 19:00:
[...]
Eigenlijk is de beste optie om je tapes ergens offsite op te slaan en alleen de tapes die je nodig hebt in een kluis o.i.d

Het is al offsite. De data staat (ook nu al) ergens anders.
Het gaat ook alleen om historische data.

Gezien we de hele ICT gaan outsourcen, maak ik begin februari nog één backup naar tape en daarna gaat de hele handel de kluis in, om daar hooguit nog uit te komen als er een restore nodig is, maar als alles goed gaat, daar de komende decennia te blijven.

Data ligt nu buiten de deur, 9 meter onder de grond, in een oude atoombunker. Die lokatie gaat veranderen. Die specifieke dienst is niet meer nodig en de nieuwe lokatie is meer dan goed genoeg. Scheelt een dusdanig zinvol bedrag dat het de moeite waard is dat te doen.

[Turdie]

unezra schreef op maandag 25 november 2019 @ 19:03:
[...]


Het is al offsite. De data staat (ook nu al) ergens anders.
Het gaat ook alleen om historische data.

Gezien we de hele ICT gaan outsourcen, maak ik begin februari nog één backup naar tape en daarna gaat de hele handel de kluis in, om daar hooguit nog uit te komen als er een restore nodig is, maar als alles goed gaat, daar de komende decennia te blijven.

Data ligt nu buiten de deur, 9 meter onder de grond, in een oude atoombunker. Die lokatie gaat veranderen. Die specifieke dienst is niet meer nodig en de nieuwe lokatie is meer dan goed genoeg. Scheelt een dusdanig zinvol bedrag dat het de moeite waard is dat te doen.

Oke dan snap ik het niet meer, waarom zoek je dan iets om 600 tapes in op te slaan als het al offsite is?
Ik doelde niet echt op de data, maar een bedrijf zoals bijvoorbeeld Iron Mountain die zorg draagt voor je tapes en alleen een paar tapes op de locatie die je nodig hebt:
https://www.ironmountain....dia/offsite-tape-vaulting

[ Voor 12% gewijzigd door Turdie op 25-11-2019 19:15 ]