Het grote kleine-SysOps-vragen topic deel 1

[FastFred]

Omdat Topdesk aanraad om je eigen Exchange server te gebruiken. Maar we gebruiken nu de mailserver van Topdesk. Dat werkt fantastisch, maar alleen bij Gmail, Hotmail, UPC etc. Niet bij ons, de mail komt niet eens aan op ons spamfilter, wat eigenlijk de eerste stop is voor alle binnenkomende mail...

[unezra]

FastFred schreef op woensdag 8 januari 2020 @ 19:48:
Omdat Topdesk aanraad om je eigen Exchange server te gebruiken. Maar we gebruiken nu de mailserver van Topdesk. Dat werkt fantastisch, maar alleen bij Gmail, Hotmail, UPC etc. Niet bij ons, de mail komt niet eens aan op ons spamfilter, wat eigenlijk de eerste stop is voor alle binnenkomende mail...

Net GMail, Hotmail, etc, zijn wat finnicky als het gaat om spam.
Als het bij jullie niet, en bij hen wel aan komt, zou ik me wat zorgen gaan maken dat je spamfilter te agressief is en je meer mail kwijt raakt.

[Hero of Time]

MrNGm schreef op woensdag 8 januari 2020 @ 13:30:
GlusterFS heb ik voorbij zien komen, maar nog niet heel uitgebreid bekeken, dus dat is nog wel het onderzoeken waard.

Tip voor GlusterFS: Set & forget. Met name dat laatste. Vergeet dat het er is. Leuk als het staat, ware nachtmerrie en ramp als je 't moet vergroten. Of je kan 't veroorloven om weken offline te zijn met je storage.

Misschien hebben ze in de afgelopen 3 jaar enorme verbeteringen gebracht aan het gedrocht, maar ik heb daar een enorm hard hoofd in. Hammerhead hard zeg maar.

[FastFred]

unezra schreef op woensdag 8 januari 2020 @ 19:51:
[...]


Net GMail, Hotmail, etc, zijn wat finnicky als het gaat om spam.
Als het bij jullie niet, en bij hen wel aan komt, zou ik me wat zorgen gaan maken dat je spamfilter te agressief is en je meer mail kwijt raakt.

Hij komt juist niet aan bij ons spamfilter. Ook als het tegengehouden is moeten we dat daar zien, maar er is niks. Dus ergens tussen Topdesk en ons gaat het mis...

[unezra]

FastFred schreef op woensdag 8 januari 2020 @ 19:55:
[...]
Hij komt juist niet aan bij ons spamfilter. Ook als het tegengehouden is moeten we dat daar zien, maar er is niks. Dus ergens tussen Topdesk en ons gaat het mis...

Oh, dat is wél raar.

Als je spamfilter het tegen zou houden zou ik me zorgen gaan maken, maar als alleen Topdesk het niet bij jullie weet te bezorgen is dat wel raar.

Zijn ze niet gewoon zo dom geweest zichzelf als authorative op te geven zodat hij het op HUN server probeert af te leveren? (En dus nooit bij jullie aan komt.) Of iets van dien strekking... Dat zou namelijk best matchen met het symptoom dat jij beschrijft. Hun mailserver probeert het dan dáár af te leveren en hey, dat werkt niet, want jullie mailadressen bestaan niet natuurlijk...

[Anoniem: 5897]

unezra schreef op woensdag 8 januari 2020 @ 19:51:
[...]


Net GMail, Hotmail, etc, zijn wat finnicky als het gaat om spam.
Als het bij jullie niet, en bij hen wel aan komt, zou ik me wat zorgen gaan maken dat je spamfilter te agressief is en je meer mail kwijt raakt.

Ik ben het daar niet mee eens. Google en Microsoft doen het juist heel goed. Het probleem is dat er veel hobby partijen zijn die het gewoon niet snappen;
De volgende zaken regelen en je zit goed:
- SPF correct en aligned
- DKIM correct en aligned
- DMARC actief en op reject
- alle links httpS, met correcte certificaten
- alle plaatjes op httpS, met correcte certificaten
- je links moeten op het domein zijn van de mail zelf. Dus aligned met from (en return-path als dat kan)
- niet linken naar sites met reclame erop
- Tracking pixels vermijden
- Reputatie van domeinen en IP's moet op orde zijn

Ik durf er een kratje bier op te zetten dat hij altijd in de Inbox komt als je dat volgt ongeacht welk ontvangende platform.

En wat mij betreft; geen DMARC? Drop mail.

Tegenwoordig gaat het al een stap verder en checken receivers al op alignment ook al heb jij helemaal geen DMARC record (aka "antispoofing", reverse DMARC zou je het kunnen noemen). Zij doen het gewoon voor jou. Geen alignment? Hup, in de spambox

FastFred schreef op woensdag 8 januari 2020 @ 19:55:
[...]


Hij komt juist niet aan bij ons spamfilter. Ook als het tegengehouden is moeten we dat daar zien, maar er is niks. Dus ergens tussen Topdesk en ons gaat het mis...

Zal dan ergens gedropped worden al. Als er een reject policy staat zie je hem niet in de spam waarschijnlijk. Verschilt per filter overigens. Sommige droppen helemaal anderen zetten hem toch in de spam folder bij de user, weer anderen zetten hem in quarantine ondanks dat er helemaal geen quarantine policy staat.

[ Voor 18% gewijzigd door Anoniem: 5897 op 08-01-2020 22:20 ]

[ge-flopt]

Iemand die weet hoe ik in een Hyper-V Server 2019 een wifi stickje aan de gang krijg?
Het gaat hier dus om een Hyper-V Server 2019, niet om server 2019.

In Server 2016 heeft de optie gezeten "Wireless Lan Service", maar deze feature zie ik niet in Hyper-V Server 2019.

[Turdie]

ge-flopt schreef op donderdag 9 januari 2020 @ 00:18:
Iemand die weet hoe ik in een Hyper-V Server 2019 een wifi stickje aan de gang krijg?
Het gaat hier dus om een Hyper-V Server 2019, niet om server 2019.

In Server 2016 heeft de optie gezeten "Wireless Lan Service", maar deze feature zie ik niet in Hyper-V Server 2019.

Kan niet, unsupported.

[ Voor 10% gewijzigd door Turdie op 09-01-2020 06:57 ]

[MrNGm]

Hero of Time schreef op woensdag 8 januari 2020 @ 19:54:
[...]

Tip voor GlusterFS: Set & forget. Met name dat laatste. Vergeet dat het er is. Leuk als het staat, ware nachtmerrie en ramp als je 't moet vergroten. Of je kan 't veroorloven om weken offline te zijn met je storage.

Misschien hebben ze in de afgelopen 3 jaar enorme verbeteringen gebracht aan het gedrocht, maar ik heb daar een enorm hard hoofd in. Hammerhead hard zeg maar.

Heh, ik vermoed dat we op een gegeven moment wel willen kunnen opschalen. Ik hoop ook dat er in 3 jaar tijd e.e.a aan is verbeterd. Als je het zo omschrijft klinkt het als een directe no-go voor GlusterFS.

Anoniem: 5897 schreef op woensdag 8 januari 2020 @ 22:11:
[...]

Ik ben het daar niet mee eens. Google en Microsoft doen het juist heel goed. Het probleem is dat er veel hobby partijen zijn die het gewoon niet snappen;
De volgende zaken regelen en je zit goed:
- SPF correct en aligned
- DKIM correct en aligned
- DMARC actief en op reject

Dan gok ik dat je nooit berichten stuurt naar mailinglists of e-mailaliassen. Met SPF op -all, DKIM-signing op Subject en DMARC op p=reject worden die e-mails dan gefilterd en komen niet aan.

Ik durf er een kratje bier op te zetten dat hij altijd in de Inbox komt als je dat volgt ongeacht welk ontvangende platform.

Kom maar door met dat kratje bier

[ge-flopt]

shadowman12 schreef op donderdag 9 januari 2020 @ 06:55:
[...]
Kan niet, unsupported.

Dank je, meer wilde ik niet weten.

[Anoniem: 5897]

MrNGm schreef op donderdag 9 januari 2020 @ 12:35:


Dan gok ik dat je nooit berichten stuurt naar mailinglists of e-mailaliassen. Met SPF op -all, DKIM-signing op Subject en DMARC op p=reject worden die e-mails dan gefilterd en komen niet aan.


[...]

Kun je dat uitleggen? Hoe kun je bijv DKIM doen op een subject?

Ik herken niets van wat je zegt. Gezien de hoeveelheden mail zitten daar vast aliassen of mailinglists tussen. Maar dat gaat dus over recipients, het To: veld. Ik zie de relatie niet. Klok/klepel.

Wellicht kun je iets specifieker zijn over wat je bedoelt.

[MrNGm]

Anoniem: 5897 schreef op donderdag 9 januari 2020 @ 14:06:
[...]

Kun je dat uitleggen? Hoe kun je bijv DKIM doen op een subject?

Zeker. DKIM pakt enkele elementen uit de e-mailheaders, bijvoorbeeld To, From, Subject, Date, Message-Id, en berekent over de waardes van die headers de signature aan de hand van een private key. Een ontvanger kan die signature verifiëren met de public key die in DNS voor het verzendende domein is gepubliceerd, en de eerder genoemde elementen uit de e-mailheaders.

Bij mailinglists gaat dan DKIM-verificatie mis, omdat ze bijvoorbeeld From of Subject herschrijven. Dat maakt de integriteit die DKIM poogt te beschermen kapot. Bij e-mailaliassen is SPF niet aligned, omdat de mailserver die 't alias expand zich zal voordoen alsof ie de verzendende partij is.

Ik kan bijvoorbeeld voor mijn eigen domeinen geen DMARC-policy op reject instellen, omdat dan e-mail onterecht geweigerd kan worden als ik iets naar een mailinglist stuurt. Ik heb daarom DMARC op p=none staan, en krijg regelmatig reports binnen welke domeinen allemaal e-mail van mijn domeinen hebben geprocessed op DMARC-policy (en of DKIM/SPF dan aligned was).

Andersom heb ik het ook gehad: een bank in Nederland heeft stricte SPF (-all), DKIM-signing, en DMARC-policy op reject. Gevolg: een e-mail vanuit die bank naar een e-mailalias, die expand naar meerdere adressen, wordt door een ontvangende partij geweigerd.

Nee, zelf e-mail doen is verder leuk hoor

[asing]

Zo stuurt Microsoft hun office 365 update mail nu ineens via de mail server van msn. Die staat niet in het stof record dus die komt nu automatisch in de spam.

Ik draai het zelfs privé, opendkim zorgt er nu voor.

[Hero of Time]

MrNGm schreef op donderdag 9 januari 2020 @ 12:35:
[...]

Heh, ik vermoed dat we op een gegeven moment wel willen kunnen opschalen. Ik hoop ook dat er in 3 jaar tijd e.e.a aan is verbeterd. Als je het zo omschrijft klinkt het als een directe no-go voor GlusterFS.

Het is volledig open source, dus zet eens een 3-node omgeving op, vul de schijven tot >90% en voeg dan twee of meer nodes toe. En zie hoe onbereikbaar de boel wordt. Hoe groter de storage die je eraan hangt, hoe harder het aan de noodrem trekt, omdat het alles opnieuw gaat verdelen.

[Turdie]

Als je echt goed spul wil hebben kijk is naar Pure storage.

[Hero of Time]

Op m'n vorige werk werd ScaleIO gebruikt. Is ook een idee, maar zitten vziw kosten aan verbonden.

[Tylen]

shadowman12 schreef op donderdag 9 januari 2020 @ 20:02:
Als je echt goed spul wil hebben kijk is naar Pure storage.

Idd.

Goedkoop is duurkoop.

[The Eagle]

@MrNGm moet die storage on prem, of mag het ook cloud of hybrid zijn? En is het puur opslag a la fileserver of doet men ook processing op die data, danwel gebruikt men het op een andere manier?

[Anoniem: 5897]

MrNGm schreef op donderdag 9 januari 2020 @ 15:33:
[...]


Zeker. DKIM pakt enkele elementen uit de e-mailheaders, bijvoorbeeld To, From, Subject, Date, Message-Id, en berekent over de waardes van die headers de signature aan de hand van een private key. Een ontvanger kan die signature verifiëren met de public key die in DNS voor het verzendende domein is gepubliceerd, en de eerder genoemde elementen uit de e-mailheaders.

Ik kreeg even de indruk dat je een subject ging DKIMen.. maar dat bedoelde je dus niet. Ik weet verder hoe DKIM werkt

Bij mailinglists gaat dan DKIM-verificatie mis, omdat ze bijvoorbeeld From of Subject herschrijven. Dat maakt de integriteit die DKIM poogt te beschermen kapot. Bij e-mailaliassen is SPF niet aligned, omdat de mailserver die 't alias expand zich zal voordoen alsof ie de verzendende partij is.

Ik vind het nog steeds een vreemd scenario. Als ik naar een mailinglist mail wordt er niets herschreven. Vermoedelijk als je als de mailinglist probeert te versturen, maar dat lijkt mij niet echt een best practice. Dan gebruik je een shared mailbox.

Maar goed, het issue dat je beschrijft hetken ik opzich wel, We hebben wel eens een scenario gehad dat er wat rewrites nodig waren in een migratie en dan loopt je tegen een invalid DKIM aan. Niet iets dat wij meemaken in een dagelijkse gang van zaken.
Mail van buiten naar mailinglists staan wij niet toe.
Mail naar externe mailinglists gaat gewoon goed/is bovenstaande niet van toepassing.

Ik kan bijvoorbeeld voor mijn eigen domeinen geen DMARC-policy op reject instellen, omdat dan e-mail onterecht geweigerd kan worden als ik iets naar een mailinglist stuurt.

Ik ben toch wel benieuwd wat er dan gebeurd. Vreemd scenario. Net een mailinglist gemaakt en er een mail vanaf Gmail naar gestuurd. Geen issue. DMARC=pass, DKIM=pass. Dus wellicht snap ik je use case niet.

Andersom heb ik het ook gehad: een bank in Nederland heeft stricte SPF (-all), DKIM-signing, en DMARC-policy op reject. Gevolg: een e-mail vanuit die bank naar een e-mailalias, die expand naar meerdere adressen, wordt door een ontvangende partij geweigerd.

Nee, zelf e-mail doen is verder leuk hoor

Wat is jouw definitie van een e-mail alias?
Want wat jij nu beschrijft is in mijn ogen gewoon spoofing. Je doet je voor als iemand anders. Precies het doel van DMARC, dat killen.
Works as designed wat mij betreft.

Ik werk bij een financial. Ik wil dat niet hebben dat jij mijn mail doorstuurt en jezelf voordoet als de bank Snappie?

[MrNGm]

The Eagle schreef op donderdag 9 januari 2020 @ 20:26:
@MrNGm moet die storage on prem, of mag het ook cloud of hybrid zijn? En is het puur opslag a la fileserver of doet men ook processing op die data, danwel gebruikt men het op een andere manier?

On-prem. We krijgen bijv. foto's binnen en die resizen we naar verschillende formaten voordat we ze publiceren, aan de hand van eisen van de doelwebsite. Die foto's zijn slechts een deel van de zaken die we aanleveren bij zo'n doelwebsite (maar zowel de foto's als de andere informatie moet vaak gelijktijdig aangeleverd worden, en we willen geen tot weinig vertraging hierbij).

We hebben gekeken naar cloudstorage, maar met de hoeveelheid foto's die we heen-en-weer zouden moeten sturen voor processing (danwel processing op een VM bij dezelfde cloudprovider) wordt uitgaand verkeer vanuit cloudstorage nogal prijzig. Denk richting enkele terabytes per maand.

Anoniem: 5897 schreef op vrijdag 10 januari 2020 @ 13:41:
[...]

Ik vind het nog steeds een vreemd scenario. Als ik naar een mailinglist mail wordt er niets herschreven. Vermoedelijk als je als de mailinglist probeert te versturen, maar dat lijkt mij niet echt een best practice. Dan gebruik je een shared mailbox.

Dat is vrij standaard practice bij mailinglistsoftware als Mailman. Ik stuur bijv Subject: blabla naar [e-mail], Mailman herschrijft dat naar Subject: [lijstnaam] blabla. In standaardconfiguraties wordt From (danwel MAIL FROM) vaak niet herschreven (en doet de mailinglist zich voor als jou).

Mail naar externe mailinglists gaat gewoon goed/is bovenstaande niet van toepassing.

Dat herken ik dan weer niet

Ik ben toch wel benieuwd wat er dan gebeurd. Vreemd scenario. Net een mailinglist gemaakt en er een mail vanaf Gmail naar gestuurd. Geen issue. DMARC=pass, DKIM=pass. Dus wellicht snap ik je use case niet.

Dat klinkt meer als een mailinglist dat alleen maar naar lokale adressen bezorgt? In de casus die ik vaak tegenkom ("lists.pietjep.uk") worden lijstberichten naar allerhande andere [e-mail] gestuurd. Zie ook bovenstaand, de mailinglistsoftware herschrijft dan delen van de e-mail.

Wat is jouw definitie van een e-mail alias?
Want wat jij nu beschrijft is in mijn ogen gewoon spoofing. Je doet je voor als iemand anders. Precies het doel van DMARC, dat killen.
Works as designed wat mij betreft.

Ik gebruik hiervoor Postfix. Een e-mailalias daar is van de vorm [e-mail] [e-mail][, [e-mail]]. [e-mail] kan dus naar meerdere users op mogelijk andere domeinen worden verstuurd.

Ik werk bij een financial. Ik wil dat niet hebben dat jij mijn mail doorstuurt en jezelf voordoet als de bank Snappie?

Uit spoofing-oogpunt snap ik dat heel goed. Het is alleen onhandig dat voor elke anti-spoofingmaatregel er ook (in mijn ogen valide) usecases stuk gaan .

[Anoniem: 5897]

MrNGm schreef op vrijdag 10 januari 2020 @ 15:54:

Dat is vrij standaard practice bij mailinglistsoftware als Mailman. Ik stuur bijv Subject: blabla naar [e-mail], Mailman herschrijft dat naar Subject: [lijstnaam] blabla. In standaardconfiguraties wordt From (danwel MAIL FROM) vaak niet herschreven (en doet de mailinglist zich voor als jou).

Check. Dat willen we dus niet, sorry

Dat klinkt meer als een mailinglist dat alleen maar naar lokale adressen bezorgt?

Correct

Ik gebruik hiervoor Postfix. Een e-mailalias daar is van de vorm [e-mail] [e-mail][, [e-mail]]. [e-mail] kan dus naar meerdere users op mogelijk andere domeinen worden verstuurd.

Ok ik snap hem. Dat is een doodlopende straat helaas en dat is gewoon een gevolg van het spammen en phishen. Waarom is het een doodlopende straat? Nou:
1. DMARC p=none verlaagt steeds meer je reputatie / verhoogt de spam score van het bericht. Daarmee bedoel ik dat het meer en meer gaat meetellen voor de spam score als je geen "reject" hebt.
2. De adoptie van DMARC groeit behoorlijk
3. Ontvangers (zoals bijv Microsoft) bieden policies aan welke antispoofing doen. Maw, ik kan antispoofing aanzetten voor mijndomein.tld en alles dat daarop binnenkomt wordt dan op alignment en compliance gecheckt. Je kan dan dus DMARC uitzetten (p=none) op jouw verzendende domein, maar de ontvanger doet vervolgens zijn eigen check en ga je alsnog de bietenbak in helaas..

[...]

Uit spoofing-oogpunt snap ik dat heel goed. Het is alleen onhandig dat voor elke anti-spoofingmaatregel er ook (in mijn ogen valide) usecases stuk gaan .

Ja of het valide is of niet kun je natuurlijk dagen over ouwehoeren. Ik snap je punt, ik ben het er niet mee eens uiteraard
Maar dat komt vooral omdat wij in verschillende e-mail dimensies zitten. In mijn wereld (finance/insurance) moet spoofing dood en DMARC is een geschenk uit de hemel (het is niet perfect, maar het werkt toch aardig goed). Je wilt niet weten hoeveel ellende er bij (de klanten van) banken en verzekeraars is door spoofing. Als je onze rua reports ziet dan val je zowat van je stoel...

Edit:
overigens.. omdat "vroeger" alles maar kon mbt het from address en misalignment en nu alles DMARC compliant moet zijn, hebben wij bizarre hoeveelheden werk om een domein naar reject te krijgen. Dat is niet eenvoudig. Dus in dat opzicht is het dan weer geen geschenk uit de hemel, maar goed, wat moet dat moet.

[ Voor 8% gewijzigd door Anoniem: 5897 op 10-01-2020 20:25 ]

[Turdie]

Ik probeer OpenSSH for Windows aan de gang te krijgen met een secure CIpher lijst die we ook op Linux servers gebruiken:

code:

Ciphers [e-mail],[e-mail],[e-mail],aes256-ctr,aes192-ctr,aes128-ctr
MACs [e-mail],[e-mail],[e-mail],[e-mail],hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,[e-mail]
KexAlgorithms [e-mail],diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha1

Maar dan wil de SSH service niet een starten, iemand enig idee wat de juiste cipher lijst is?

[Turdie]

Nog een vraagje, ik probeer TLS 1.0 en TLS 1.1 op Ubuntu uit te zetten, maar ik krijg het maar niet uit, als ik een grep -r op SSLProtocol in /etc/apache2 doe ik krijg dit:

code:

conf-available/server.conf:        SSLProtocol -all +TLSv1.2
sites-available/vhost.com.conf:      SSLProtocol -all +TLSv1.2
mods-available/ssl.conf:        SSLProtocol -all +TLSv1.2

[djmuggs]

shadowman12 schreef op maandag 13 januari 2020 @ 14:26:
Nog een vraagje, ik probeer TLS 1.0 en TLS 1.1 op Ubuntu uit te zetten, maar ik krijg het maar niet uit, als ik een grep -r op SSLProtocol in /etc/apache2 doe ik krijg dit:

code:

conf-available/server.conf:        SSLProtocol -all +TLSv1.2
sites-available/vhost.com.conf:      SSLProtocol -all +TLSv1.2
mods-available/ssl.conf:        SSLProtocol -all +TLSv1.2

https://httpd.apache.org/.../mod_ssl.html#sslprotocol

Je zet alle protocollen uit met “-all” en je zet met “+TLSv1.2” alleen TLS 1.2 aan.
Dit lijkt mij wat je wilt toch.

[Turdie]

djmuggs schreef op maandag 13 januari 2020 @ 14:39:
[...]


https://httpd.apache.org/.../mod_ssl.html#sslprotocol

Je zet alle protocollen uit met “-all” en je zet met “+TLSv1.2” alleen TLS 1.2 aan.
Dit lijkt mij wat je wilt toch.

Yup, maar nog steeds zegt SSLLabs als ik hem test dat tls 1.0 en tls 1.1 aanstaat. Zelfde met nmap

[Paul]

Het voorbeeld laat maar één protocol zien (maakt geen gebruik van 'all'); werkt 'SSLProtocol TLSv1.2' wel?

[nero355]

shadowman12 schreef op maandag 13 januari 2020 @ 14:42:
Yup, maar nog steeds zegt SSLLabs als ik hem test dat tls 1.0 en tls 1.1 aanstaat. Zelfde met nmap

Dit lijkt mij de oplossing dan : https://www.leaderssl.com...ions-of-ssl-tls-in-apache

Beetje raar, maar wel lekker...

[Turdie]

nero355 schreef op maandag 13 januari 2020 @ 15:25:
[...]

Dit lijkt mij de oplossing dan : https://www.leaderssl.com...ions-of-ssl-tls-in-apache

Beetje raar, maar wel lekker...

Al geprobeerd werkt ook niet

[nero355]

shadowman12 schreef op maandag 13 januari 2020 @ 15:33:
Al geprobeerd werkt ook niet

En als je alleen TLS 1.2 invult ?!

shadowman12 schreef op maandag 13 januari 2020 @ 09:55:
Ik probeer OpenSSH for Windows aan de gang te krijgen met een secure CIpher lijst die we ook op Linux servers gebruiken:

code:

Ciphers [e-mail],[e-mail],[e-mail],aes256-ctr,aes192-ctr,aes128-ctr
MACs [e-mail],[e-mail],[e-mail],[e-mail],hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,[e-mail]
KexAlgorithms [e-mail],diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha1

Maar dan wil de SSH service niet een starten, iemand enig idee wat de juiste cipher lijst is?

Je zal toch wel een error krijgen of iets die er meer over zegt

Kijk anders eens naar de tips @ https://www.ssh.com/ssh/s...hanges-for-the-enterprise

Eerlijk gezegd nooit wat mee gedaan tot nu toe, omdat de default settings over het algemeen alle outdated varianten niet meer gebruiken...

Verder nooit wat met sshd en Windows gedaan dus ik wens je heel veel sterkte

[Turdie]

Paul schreef op maandag 13 januari 2020 @ 15:15:
Het voorbeeld laat maar één protocol zien (maakt geen gebruik van 'all'); werkt 'SSLProtocol TLSv1.2' wel?

Nee nog steeds oude ciphers:
Version: 1.11.5
OpenSSL 1.0.2n 7 Dec 2017

OpenSSL version does not support SSLv2
SSLv2 ciphers will not be detected

OpenSSL version does not support SSLv3
SSLv3 ciphers will not be detected
Testing SSL server on port 443

TLS renegotiation:
Secure session renegotiation supported

TLS Compression:
OpenSSL version does not support compression
Rebuild with zlib1g-dev package for zlib support

Heartbleed:
TLS 1.2 not vulnerable to heartbleed
TLS 1.1 not vulnerable to heartbleed
TLS 1.0 not vulnerable to heartbleed

Supported Server Cipher(s):
Preferred TLSv1.2 256 bits ECDHE-RSA-AES256-GCM-SHA384 Curve P-256 DHE 256
Accepted TLSv1.2 128 bits ECDHE-RSA-AES128-GCM-SHA256 Curve P-256 DHE 256
Accepted TLSv1.2 256 bits ECDHE-RSA-AES256-SHA384 Curve P-256 DHE 256
Accepted TLSv1.2 128 bits ECDHE-RSA-AES128-SHA256 Curve P-256 DHE 256
Accepted TLSv1.2 256 bits ECDHE-RSA-AES256-SHA Curve P-256 DHE 256
Accepted TLSv1.2 128 bits ECDHE-RSA-AES128-SHA Curve P-256 DHE 256
Accepted TLSv1.2 256 bits AES256-GCM-SHA384
Accepted TLSv1.2 128 bits AES128-GCM-SHA256
Accepted TLSv1.2 256 bits AES256-SHA256
Accepted TLSv1.2 128 bits AES128-SHA256
Accepted TLSv1.2 256 bits AES256-SHA
Accepted TLSv1.2 256 bits CAMELLIA256-SHA
Accepted TLSv1.2 128 bits AES128-SHA
Accepted TLSv1.2 128 bits CAMELLIA128-SHA
Preferred TLSv1.1 256 bits ECDHE-RSA-AES256-SHA Curve P-256 DHE 256
Accepted TLSv1.1 128 bits ECDHE-RSA-AES128-SHA Curve P-256 DHE 256
Accepted TLSv1.1 256 bits AES256-SHA
Accepted TLSv1.1 256 bits CAMELLIA256-SHA
Accepted TLSv1.1 128 bits AES128-SHA
Accepted TLSv1.1 128 bits CAMELLIA128-SHA
Preferred TLSv1.0 256 bits ECDHE-RSA-AES256-SHA Curve P-256 DHE 256
Accepted TLSv1.0 128 bits ECDHE-RSA-AES128-SHA Curve P-256 DHE 256
Accepted TLSv1.0 256 bits AES256-SHA
Accepted TLSv1.0 256 bits CAMELLIA256-SHA
Accepted TLSv1.0 128 bits AES128-SHA
Accepted TLSv1.0 128 bits CAMELLIA128-SHA

SSL Certificate:
Signature Algorithm: sha256WithRSAEncryption
RSA Key Strength: 2048


Altnames: DNS:www.domein.com
Issuer: Let's Encrypt Authority X3

Not valid before: Dec 6 16:13:02 2019 GMT
Not valid after: Mar 5 16:13:02 2020 GMT

[Paul]

Heb je wel een symlink in conf-enabled naar een bestand in conf-available? In je grep mis ik die

[Turdie]

Never mind er draait ook nginx die ssl offloading doet ...

[FastFred]

FastFred schreef op woensdag 8 januari 2020 @ 19:48:
Omdat Topdesk aanraad om je eigen Exchange server te gebruiken. Maar we gebruiken nu de mailserver van Topdesk. Dat werkt fantastisch, maar alleen bij Gmail, Hotmail, UPC etc. Niet bij ons, de mail komt niet eens aan op ons spamfilter, wat eigenlijk de eerste stop is voor alle binnenkomende mail...

Fixed. Bijna, we weten de oorzaak. Topdesk moet worden toegevoegd aan een PTR record bij onze provider

[Tylen]

shadowman12 schreef op maandag 13 januari 2020 @ 14:26:
Nog een vraagje, ik probeer TLS 1.0 en TLS 1.1 op Ubuntu uit te zetten, maar ik krijg het maar niet uit, als ik een grep -r op SSLProtocol in /etc/apache2 doe ik krijg dit:

code:

conf-available/server.conf:        SSLProtocol -all +TLSv1.2
sites-available/vhost.com.conf:      SSLProtocol -all +TLSv1.2
mods-available/ssl.conf:        SSLProtocol -all +TLSv1.2

Misschien werkt dit:

code:

conf-available/server.conf:        TLSProtocol +TLSv1.2
sites-available/vhost.com.conf:      TLSProtocol +TLSv1.2
mods-available/ssl.conf:        TLSProtocol +TLSv1.2

* Tylen rent hard weg .

shadowman12 schreef op maandag 13 januari 2020 @ 15:42:
Never mind er draait ook nginx die ssl offloading doet ...

Waarom dan nog TLS op de webserver? Of doet de nginx off and onloading??

[ Voor 14% gewijzigd door Tylen op 13-01-2020 16:11 ]

[Turdie]

Tylen schreef op maandag 13 januari 2020 @ 16:10:
[...]


Misschien werkt dit:

code:

conf-available/server.conf:        TLSProtocol +TLSv1.2
sites-available/vhost.com.conf:      TLSProtocol +TLSv1.2
mods-available/ssl.conf:        TLSProtocol +TLSv1.2

* Tylen rent hard weg .


[...]


Waarom dan nog TLS op de webserver? Of doet de nginx off and onloading??

Nee dat is niet de juiste instellingen die je noemt. Nginx/Apache doet on en offloading inderdaad

[MrNGm]

shadowman12 schreef op maandag 13 januari 2020 @ 15:36:
[...]

Nee nog steeds oude ciphers:
Version: 1.11.5

Daar had een belletje kunnen rinkelen. Apache's versienummers beginnen al een tijdje met 2

Wil je nog dingen weten over hoe het in nginx ingesteld moet worden?

Anoniem: 5897 schreef op vrijdag 10 januari 2020 @ 20:21:
[verhaal]

Duidelijk

[Tylen]

shadowman12 schreef op maandag 13 januari 2020 @ 16:13:
[...]


Nee dat is niet de juiste instellingen die je noemt. Nginx/Apache doet on en offloading inderdaad

I know

[Turdie]

MrNGm schreef op maandag 13 januari 2020 @ 16:34:
[...]


Daar had een belletje kunnen rinkelen. Apache's versienummers beginnen al een tijdje met 2

Wil je nog dingen weten over hoe het in nginx ingesteld moet worden?


[...]


Duidelijk

Nee dat lukt me zelf wel . Maar bedankt. https://cipherli.st/ heeft een goed voorbeeld

Nu nog de ciphers van openssh for windows tackelen.

[ Voor 5% gewijzigd door Turdie op 13-01-2020 17:35 ]

[Turdie]

Kan iemand mij helpen met het aanpassen van 50 apache vhosts, ik moet in de servername, serveradmin en serveralias overal waar dev, het vervangen naar test.
OS Ubuntu.

[ Voor 4% gewijzigd door Turdie op 15-01-2020 08:12 ]

[asing]

shadowman12 schreef op woensdag 15 januari 2020 @ 08:12:
Kan iemand mij helpen met het aanpassen van 50 apache vhosts, ik moet in de servername, serveradmin en serveralias overal waar dev, het vervangen naar test.
OS Ubuntu.

Er is een tooltje waarmee je via SSH kan inloggen op meerdere hosts en op die hosts exact hetzelfde commando uitvoeren. Dus ls -l of vi \etc\httpd\httpd.conf doet het dan ineens op 50 servers.

Tipje, aangezien je het op 50 servers TEGELIJK doet :

- never before your first cup of coffee
- never on a friday
- never on a monday
- never after 16:00 hrs
- never when the customer urges you

[Turdie]

asing schreef op woensdag 15 januari 2020 @ 08:34:
[...]


Er is een tooltje waarmee je via SSH kan inloggen op meerdere hosts en op die hosts exact hetzelfde commando uitvoeren. Dus ls -l of vi \etc\httpd\httpd.conf doet het dan ineens op 50 servers.

Tipje, aangezien je het op 50 servers TEGELIJK doet :

- never before your first cup of coffee
- never on a friday
- never on a monday
- never after 16:00 hrs
- never when the customer urges you

Dat ken ik. Maar dat is mijn vraag niet, misschien ben ik niet helemaal duidelijk geweest

In /etc/apache/sites-enabled staan 50 vhost, en daarin moet ik de servername,serveralias en serveradmin het woordje dev vervangen naar test.Alles gewoon op een server

Waarschijnlijk moet ik iets met sed en regex gaan doen, maar daar heb ik geen kaas van gegeten

Edit:
Toch zelf al weten op te lossen

[ Voor 25% gewijzigd door Turdie op 15-01-2020 09:54 ]

[Endpoint]

Misschien omslachtig, bestand downloaden met Winscp, aanpassen met Notepad++ en terug uploaden?

En anders https://nixsos.com/find-and-replace-in-nano/

[ Voor 23% gewijzigd door Endpoint op 15-01-2020 09:56 ]

[asing]

shadowman12 schreef op woensdag 15 januari 2020 @ 08:59:
[...]


Dat ken ik. Maar dat is mijn vraag niet, misschien ben ik niet helemaal duidelijk geweest

In /etc/apache/sites-enabled staan 50 vhost, en daarin moet ik de servername,serveralias en serveradmin het woordje dev vervangen naar test.Alles gewoon op een server

Waarschijnlijk moet ik iets met sed en regex gaan doen, maar daar heb ik geen kaas van gegeten

Edit:
Toch zelf al weten op te lossen

Zo had je het ook kunnen lezen . En goedzo

[Thijs B]

Voor dat soort klusjes hebben ze toch powershell uitgevonden

en aangezien dat tegenwoordig crossplatform werkt..

[Oogje]

Thijs B schreef op woensdag 15 januari 2020 @ 12:31:
Voor dat soort klusjes hebben ze toch powershell uitgevonden

en aangezien dat tegenwoordig crossplatform werkt..

In VI kan het ook simpel, moest het alleen ff opzoeken:

code:

:%s/WORD-To-Find-HERE/Replace-Word-Here/g

[Turdie]

Thijs B schreef op woensdag 15 januari 2020 @ 12:31:
Voor dat soort klusjes hebben ze toch powershell uitgevonden

en aangezien dat tegenwoordig crossplatform werkt..

PowerShelll is nog zo nieuw op Linux dat je kunt voorstellen dat we dat nog niet hebben draaien. En daarnaast sed kan het prima, dus waarom zou ik daar PowerShell voor gebruiken als ik toch alleen op een Linux OS wat hoef aan te passen.

Oogje schreef op woensdag 15 januari 2020 @ 12:35:
[...]

In VI kan het ook simpel, moest het alleen ff opzoeken:

code:

:%s/WORD-To-Find-HERE/Replace-Word-Here/g

Nja heb geen zin om 50 .conf files te openen en te sluiten met VI als ik met sed kan doen vanuit bash.

Endpoint schreef op woensdag 15 januari 2020 @ 09:55:
Misschien omslachtig, bestand downloaden met Winscp, aanpassen met Notepad++ en terug uploaden?

En anders https://nixsos.com/find-and-replace-in-nano/

Geen optie, iedere vhost is weer anders en heeft een andere docroot bijvoorbeeld. Maar een met sed regex is het prima gelukt.

[ Voor 45% gewijzigd door Turdie op 15-01-2020 18:12 ]

[Tylen]

* Tylen is onderweg naar flinke toko om de netscaler te redeployen 🤣

Zo krijg je wel nieuwe klantjes. Thnx Citrix.

[D_Jeff]

Een dagje aan het vogelen geweest, maar ik heb z'n vermoeden dat ik meer gesloopt heb dan goed gedaan.

Vandaar de simpele vraag:


Als ik de onderste verwijderd heb, wat gaat er dan stuk?
Google en duckje gaven niet echt een geweldig antwoord.

Endpoint: Surface Pro 4, Win 10 - 1903 Pro (met Nov 2019 rollup)

[nextware]

D_Jeff schreef op woensdag 15 januari 2020 @ 21:06:
Een dagje aan het vogelen geweest, maar ik heb z'n vermoeden dat ik meer gesloopt heb dan goed gedaan.

Vandaar de simpele vraag:
[Afbeelding]

Als ik de onderste verwijderd heb, wat gaat er dan stuk?
Google en duckje gaven niet echt een geweldig antwoord.

Endpoint: Surface Pro 4, Win 10 - 1903 Pro (met Nov 2019 rollup)

Als ik het goed heb, unenroll je je device uit je Intune omgeving. Dus al je MDM policies etc worden dan van je device verwijderd.
Volgens mij is die bovenste het feit dat je je device hebt geregistreerd in de company portal waarmee je je company apps kunt (laten) installeren.

[Hero of Time]

Collega vroeg vandaag aan mij welke policies we aan Outlook hebben toegekend, want er komt een bericht naar voren dat wat hij wilde doen is beperkt door beleid opgelegd door de beheerder. Ik ben mij van geen kwaad bewust. En Google resultaten geven het verkeerde antwoord.

Wat zou de reden zijn om zo'n melding te geven, als je op een link in een email klikt? En dan voornamelijk voor mailto links, want naar een site beperken is prima om troep te voorkomen via mail. Het is iig niet een probleem van standaard programma dat niet goed is gekoppeld.

[Turdie]

Hero of Time schreef op donderdag 16 januari 2020 @ 19:34:
Collega vroeg vandaag aan mij welke policies we aan Outlook hebben toegekend, want er komt een bericht naar voren dat wat hij wilde doen is beperkt door beleid opgelegd door de beheerder. Ik ben mij van geen kwaad bewust. En Google resultaten geven het verkeerde antwoord.

Wat zou de reden zijn om zo'n melding te geven, als je op een link in een email klikt? En dan voornamelijk voor mailto links, want naar een site beperken is prima om troep te voorkomen via mail. Het is iig niet een probleem van standaard programma dat niet goed is gekoppeld.

Jullie zitten toch in Office 365 met de mail, misschien wat standaard (ATP) policies?

[Hero of Time]

shadowman12 schreef op donderdag 16 januari 2020 @ 19:37:
[...]

Jullie zitten toch in Office 365 met de mail, misschien wat standaard (ATP) policies?

Zou kunnen. Geen ervaring mee, vandaar m'n vraag. Ik dacht dat Office policies niet via je Exchange verbinding van Outlook kwam, maar via GPO van je AD. Maar anderzijds ook wel logisch om dat op die manier te doen.

Als ik een gaatje in m'n tijd vind morgen en hier aan denk kan ik eens kijken in de Exchange Online omgeving hiervoor.

[Turdie]

Hero of Time schreef op donderdag 16 januari 2020 @ 19:41:
[...]

Zou kunnen. Geen ervaring mee, vandaar m'n vraag. Ik dacht dat Office policies niet via je Exchange verbinding van Outlook kwam, maar via GPO van je AD. Maar anderzijds ook wel logisch om dat op die manier te doen.

Als ik een gaatje in m'n tijd vind morgen en hier aan denk kan ik eens kijken in de Exchange Online omgeving hiervoor.

Nee dat soort dingen zul je echt niet via een GPO komen. Ik zou ook in Exchange Online Protection kijken en ATP(Advanced Threat Protection). Exchange Online zelf zou ik eigenlijk niet verwachten maar kan natuurlijk wel.

[ Voor 6% gewijzigd door Turdie op 16-01-2020 20:34 ]

[kromme]

Afgelopen weekend heeft mijn collega onze 2008 fileserver gemigreerd naar 2016. Vanaf die dag alleen maar ellende. Files die corrupt raken (voornamelijk pst files, en ja ik weet we moeten daar vanaf). Maar ook dat alles heel traag is op het netwerk. We krijgen het ook niet gepinpoint. We hebben de netwerkkaart al omgezet. Heeft iemand hier nog een idee?

[Brahiewahiewa]

kromme schreef op donderdag 16 januari 2020 @ 23:52:
... Heeft iemand hier nog een idee?

Tuluk niet; de glazen bol is nog steeds in reparatie
Gewoon de backup van server 2008 terugzetten en de volgende keer beter voorbereiden en beter testen

[nextware]

Hero of Time schreef op donderdag 16 januari 2020 @ 19:34:
Collega vroeg vandaag aan mij welke policies we aan Outlook hebben toegekend, want er komt een bericht naar voren dat wat hij wilde doen is beperkt door beleid opgelegd door de beheerder. Ik ben mij van geen kwaad bewust. En Google resultaten geven het verkeerde antwoord.

Wat zou de reden zijn om zo'n melding te geven, als je op een link in een email klikt? En dan voornamelijk voor mailto links, want naar een site beperken is prima om troep te voorkomen via mail. Het is iig niet een probleem van standaard programma dat niet goed is gekoppeld.

Is dat niet zo'n standaard "bug" van Outlook dat links in een mail ineens niet meer werken ? Volgens mij werd dit veroorzaakt door het feit dat zijn standaard browser niet lekker meer ingesteld staat. Wellicht is zijn standaard mail programma omgezet naar Windows Mail ipv Outlook (even ervan uitgaande dat je Windows 10 gebruikt) ?

[Oogje]

kromme schreef op donderdag 16 januari 2020 @ 23:52:
Afgelopen weekend heeft mijn collega onze 2008 fileserver gemigreerd naar 2016. Vanaf die dag alleen maar ellende. Files die corrupt raken (voornamelijk pst files, en ja ik weet we moeten daar vanaf). Maar ook dat alles heel traag is op het netwerk. We krijgen het ook niet gepinpoint. We hebben de netwerkkaart al omgezet. Heeft iemand hier nog een idee?

Pst’s verwijderen, klaar. Die maken de boel ook traag
Staat SMB signing aan?

[Turdie]

kromme schreef op donderdag 16 januari 2020 @ 23:52:
Afgelopen weekend heeft mijn collega onze 2008 fileserver gemigreerd naar 2016. Vanaf die dag alleen maar ellende. Files die corrupt raken (voornamelijk pst files, en ja ik weet we moeten daar vanaf). Maar ook dat alles heel traag is op het netwerk. We krijgen het ook niet gepinpoint. We hebben de netwerkkaart al omgezet. Heeft iemand hier nog een idee?

Gebruik je NTFS of ReFS?
Staat Deduplication aan?
Wat zeggen de event logs?
Gebeurt het bij hele grote bestanden, of allerlei bestanden?

Wat meer troubleshooting informatie is wel handig

Misschien corrupt volume:
https://www.altaro.com/hy...ystems-vms-repair-volume/

[ Voor 7% gewijzigd door Turdie op 17-01-2020 08:47 ]

[Hero of Time]

nextware schreef op vrijdag 17 januari 2020 @ 06:29:
[...]

Is dat niet zo'n standaard "bug" van Outlook dat links in een mail ineens niet meer werken ? Volgens mij werd dit veroorzaakt door het feit dat zijn standaard browser niet lekker meer ingesteld staat. Wellicht is zijn standaard mail programma omgezet naar Windows Mail ipv Outlook (even ervan uitgaande dat je Windows 10 gebruikt) ?

Wat je voorstelt is nou net wat ik als laatste zei. Ik vond dat namelijk wel als hints, maar in Instellingen staat gewoon Outlook 2013 gekoppeld aan het mailto protocol en Chrome aan url, http en https.

Ik zou eens bij een collega kunnen kijken of het daar wel werkt. Dat had ik nog niet gedaan. Doet 'ie daar wel, dan is het geen beleid en is er iets op z'n eigen systeem in de war.

[WeirCo]

kromme schreef op donderdag 16 januari 2020 @ 23:52:
Afgelopen weekend heeft mijn collega onze 2008 fileserver gemigreerd naar 2016. Vanaf die dag alleen maar ellende. Files die corrupt raken (voornamelijk pst files, en ja ik weet we moeten daar vanaf). Maar ook dat alles heel traag is op het netwerk. We krijgen het ook niet gepinpoint. We hebben de netwerkkaart al omgezet. Heeft iemand hier nog een idee?

Mijn eerste gedachte is ook SMB signing, kan me herinneren dat we hier ooit ook grote problemen mee hebben gehad, niet met PST's maar met file locking.

[kromme]

Oogje schreef op vrijdag 17 januari 2020 @ 07:06:
[...]

Pst’s verwijderen, klaar. Die maken de boel ook traag
Staat SMB signing aan?

De server is ook DC, staat default aan dan geloof ik.

Brahiewahiewa schreef op vrijdag 17 januari 2020 @ 03:10:
[...]

Tuluk niet; de glazen bol is nog steeds in reparatie
Gewoon de backup van server 2008 terugzetten en de volgende keer beter voorbereiden en beter testen

Dat gaat niet, files zijn al in gebruik op server 2016.

[ Voor 39% gewijzigd door kromme op 17-01-2020 22:36 ]

[kromme]

oeps

[ Voor 96% gewijzigd door kromme op 17-01-2020 22:35 ]

[The Eagle]

@kromme is dat niet een gevalletje: you break it, you fix it?

[Turdie]

Windows Server 2016 fileservers hebben natuurlijk een boel meer features die problemen geven dan een 2008 fileserver, dus dat wordt flink troubleshooten denk ik.

[ Voor 26% gewijzigd door Turdie op 18-01-2020 15:29 ]

[Hero of Time]

Hoe heeft dit in productie kunnen komen zonder PoC en fatsoenlijke plannen in geval het toch niet werkt als gedacht?

[Vorkie]

Hero of Time schreef op zaterdag 18 januari 2020 @ 17:42:
Hoe heeft dit in productie kunnen komen zonder PoC en fatsoenlijke plannen in geval het toch niet werkt als gedacht?

Gezien de shares op de DC staan zal er vast niet de ruimte voor zijn

[Turdie]

Hero of Time schreef op zaterdag 18 januari 2020 @ 17:42:
Hoe heeft dit in productie kunnen komen zonder PoC en fatsoenlijke plannen in geval het toch niet werkt als gedacht?

Goede vraag, ben ik ook benieuwd naar

[ Voor 22% gewijzigd door Turdie op 18-01-2020 17:51 ]

[Hero of Time]

Vorkie schreef op zaterdag 18 januari 2020 @ 17:49:
[...]

Gezien de shares op de DC staan zal er vast niet de ruimte voor zijn

Onze DC is ook fileserver nu. Straks niet meer, dat gaat de Synology doen. Waarbij ik dus het scenario heb dat als het niet werkt, de huidige server zo weer ingezet kan worden. Want ik ga er niet direct VMware op smijten zodra de boel over is. Dan kan je dit soort gedoe krijgen.

En als er wordt gezegd dat er niet voldoende schijfruimte is, vind ik dat BS. Als je serieus je DC als FS laat dienen, ben je een kleine speler en heb je niet een paar PB aan data er op staan. De data moet tijdens de verandering ergens dubbel hebben gestaan, of de oude DC heeft een nieuwe install gekregen. Iets wat mij zeer onwaarschijnlijk is vanwege de grote hoeveelheid tijd dat je nodig hebt om alles weer op te tuigen.

---

@shadowman12, ik kan je pre-edit bericht gewoon lezen, dat weet je toch? Heb jij nooit zoiets gedaan? En zeker na afloop checks doen vanaf je eigen systeem en alles goed hebben, zonder de overige gevolgen te weten en testen?
Geloof mij, ik had al het een en ander uitvoerig gelezen en zelfs de boel teruggedraaid. 1 dingetje missen is menselijk.

[ Voor 16% gewijzigd door Hero of Time op 18-01-2020 17:57 ]

[Turdie]

Hero of Time schreef op zaterdag 18 januari 2020 @ 17:53:
[...]

Onze DC is ook fileserver nu. Straks niet meer, dat gaat de Synology doen. Waarbij ik dus het scenario heb dat als het niet werkt, de huidige server zo weer ingezet kan worden. Want ik ga er niet direct VMware op smijten zodra de boel over is. Dan kan je dit soort gedoe krijgen.

En als er wordt gezegd dat er niet voldoende schijfruimte is, vind ik dat BS. Als je serieus je DC als FS laat dienen, ben je een kleine speler en heb je niet een paar PB aan data er op staan. De data moet tijdens de verandering ergens dubbel hebben gestaan, of de oude DC heeft een nieuwe install gekregen. Iets wat mij zeer onwaarschijnlijk is vanwege de grote hoeveelheid tijd dat je nodig hebt om alles weer op te tuigen.

---

@shadowman12, ik kan je pre-edit bericht gewoon lezen, dat weet je toch? Heb jij nooit zoiets gedaan? En zeker na afloop checks doen vanaf je eigen systeem en alles goed hebben, zonder de overige gevolgen te weten en testen?
Geloof mij, ik had al het een en ander uitvoerig gelezen en zelfs de boel teruggedraaid. 1 dingetje missen is menselijk.

Wat ik me wel afvraag is op de synology genoeg resources heeft om en de storage en filesysteem te regelen en het smb verkeer voor alle gebruikers. Heb je dat al getest?

Want normaal regelt de synology toch alleen filesysteem en storage en wordt drive daarvan gemapped naar een andere server die het smb verkeer regelt voor de gebruikers? Het is ook wel een enorme SPOF dan, als de synology uitvalt kan niemand meer bij zijn files.

[hr[
@Hero of Time dat wist ik niet, maar goed, het was een beetje de pot verwijt de ketal enzo. Het gaat nu niet om mij, betrek mij er aub niet bij.

[ Voor 12% gewijzigd door Turdie op 18-01-2020 18:08 ]

[HKLM_]

shadowman12 schreef op zaterdag 18 januari 2020 @ 18:02:
[...]


Wat ik me wel afvraag is op de synology genoeg resources heeft om en de storage en filesysteem te regelen en het smb verkeer voor alle gebruikers. Heb je dat al getest?

Want normaal regelt de synology toch alleen filesysteem en storage en wordt drive daarvan gemapped naar een andere server die het smb verkeer regelt voor de gebruikers? Het is ook wel een enorme SPOF dan, als de synology uitvalt kan niemand meer bij zijn files.

[hr[
@Hero of Time dat wist ik niet, maar goed, het was een beetje de pot verwijt de ketal enzo. Het gaat nu niet om mij, betrek mij er aub niet bij.

Pak je toch gewoon een tweede synology die in sync is. Heeft synology best goed over nagedacht in hun software en is easy op te zetten en te managen. Wij houden een 35TB synology in sync en ik hoef er werkelijk bijna niet naar om te kijken.

[__fred__]

MrNGm schreef op woensdag 8 januari 2020 @ 12:23:

We zijn op zoek naar iets, liefst open-source/voor Linux, dat tiering aankan, geen SPOF in zo'n metadata-server heeft, en het liefst aan automatische deduplicatie kan doen. Ceph hebben we al onderzocht, maar heeft "niet echt" tiering-functionaliteit (of we moeten iets over het hoofd hebben gezien).

Ceph is denk ik qua tiering een van de meest flexibele door het gebruik van Crush maps en device classes. Vraag is wat je zoekt, maar standaard cache tiering is mogelijk:

https://docs.ceph.com/doc...operations/cache-tiering/

hybrid tiering:

https://ceph.io/planet/ceph-hybrid-storage-tiers/

tiering op basis van device classes:

https://ceph.com/communit...ous-crush-device-classes/

en anders kun je altijd nog zelf je crush maps schrijven en iets unieks verzinnen.

[kromme]

Hero of Time schreef op zaterdag 18 januari 2020 @ 17:42:
Hoe heeft dit in productie kunnen komen zonder PoC en fatsoenlijke plannen in geval het toch niet werkt als gedacht?

Dit omdat er de eerste dag na de migratie, helemaal geen problemen waren leek het. 2de dag waren er wat kleine problemen. Zo werd het van kwaad tot erger. En inmiddels kom je er san achter dat de problemen die er zijn door de migratie komen maar je niet meer terug kan.

The Eagle schreef op zaterdag 18 januari 2020 @ 14:36:
@kromme is dat niet een gevalletje: you break it, you fix it?

Nee, je bent een team naar mijn mening.

[ Voor 18% gewijzigd door kromme op 18-01-2020 19:58 ]

[Turdie]

kromme schreef op zaterdag 18 januari 2020 @ 19:56:
[...]


Dit omdat er de eerste dag na de migratie, helemaal geen problemen waren leek het. 2de dag waren er wat kleine problemen. Zo werd het van kwaad tot erger. En inmiddels kom je er san achter dat de problemen die er zijn door de migratie komen maar je niet meer terug kan.


[...]

Nee, je bent een team naar mijn mening.

Als ik het zo hoor dan begin ik steeds meer aan een proces wat is gaan lopen zoals bijvooreeld Deduplicatie. Maar ja dat is echt glazen bol werk.

[ Voor 7% gewijzigd door Turdie op 18-01-2020 20:02 ]

[The Eagle]

kromme schreef op zaterdag 18 januari 2020 @ 19:56:
[...]


Dit omdat er de eerste dag na de migratie, helemaal geen problemen waren leek het. 2de dag waren er wat kleine problemen. Zo werd het van kwaad tot erger. En inmiddels kom je er san achter dat de problemen die er zijn door de migratie komen maar je niet meer terug kan.


[...]

Nee, je bent een team naar mijn mening.

Oh zeker, maar het een sluit het ander ook niet uit. Zoals ik je bericht lag had hij het stukgemaakt en mocht jij het oplossen. Dat flik je in een team niet idd.
Having said that zou ik degene die er mee bezig was wel als primaire oplossen willen zien, al is dat alleen al omdat die het diepste in de materie zit en weet wat er feitelijk gebeurd is. En daarnaast elkaar helpen om te zorgen dat er de volgende keer dat er een upgrade plaatsvindt, een kleinere impact is

[MrNGm]

__fred__ schreef op zaterdag 18 januari 2020 @ 18:18:
[...]


Ceph is denk ik qua tiering een van de meest flexibele door het gebruik van Crush maps en device classes. Vraag is wat je zoekt, maar standaard cache tiering is mogelijk:

https://docs.ceph.com/doc...operations/cache-tiering/

hybrid tiering:

https://ceph.io/planet/ceph-hybrid-storage-tiers/

tiering op basis van device classes:

https://ceph.com/communit...ous-crush-device-classes/

en anders kun je altijd nog zelf je crush maps schrijven en iets unieks verzinnen.

Heb ik gezien, maar als je naar een iets recentere versie van de documentatie kijkt staat er ook vrij groot "A word of caution".

In ons geval is deze vorm van tiering onhandig. Het kan zijn dat een object buiten de "recently accessed" timeframe valt, maar we deze nog steeds op snelle storage willen hebben. Dat oplossen door er af en toe een request naartoe te sturen is niet echt zinnig te noemen.

Edit: nog een kleine addendum: met de RGW (object storage) kan je tiering doen, maar zal de metadata altijd bij de initiële tier blijven*. Dat is ook onhandig, want dan moet je altijd de metadata op die ene tier opvragen, ook al staat de data op een andere tier (bijv. ander datacenter)

* als je meer info wil, laat maar weten.

[ Voor 12% gewijzigd door MrNGm op 20-01-2020 17:31 ]

[Turdie]

Ik wil OpenSSH for Windows gaan implementeren, maar een aantal omgevingen hebben al SSH processen draaien (Bitvise en dergelijke)
Ik heb de volgende ideeen:

• Extra IP adres waar wij op poort 22 naar OpenSSH for Windows verbinden
• Klanten die Bitvise gebruiken omzetten naar OpenSSH for Windows

SSH poort veranderen voor ons zelf is geen optie

Iemand anders nog andere ideeen?

[ Voor 13% gewijzigd door Turdie op 21-01-2020 09:27 ]

[Hero of Time]

Geen openssh op Windows gebruiken, maar een dedicated Linux machine?

Wat zijn de beweegredenen voor ssh server op Windows?

[Turdie]

Hero of Time schreef op dinsdag 21 januari 2020 @ 19:56:
Geen openssh op Windows gebruiken, maar een dedicated Linux machine?

Wat zijn de beweegredenen voor ssh server op Windows?

Nee dat is eigenlijk niet wat we willen, we willen sowieso de OpenSSH daemon op alle onze Windows servers hebben, maar sommige klanten hebben zelf al SFTP of SSH servers draaien op hun omgeving.

Omdat we onze windows servers met OpenSSH for Windows willen beheren zoals we ook doen met onze Linux servers. We hebben al een flinke ansible omgeving die een deel van linux omgeving beheert en die willen we dan ook gebruiken voor onze Windows omgeving. SSH op Windows is daar wel een belangrijke voorwaarde voor.

[ Voor 19% gewijzigd door Turdie op 21-01-2020 20:16 ]

[Hero of Time]

Ik dacht dat Ansible for Windows remote powershell deed, ipv ssh. Maar als je echt in Windows komt en niet een of andere nep omgeving, dan is dat IMO best netjes.

Weet je trouwens zeker dat die bitvise niet stiekem op alle interfaces en adressen gaat hangen? Of dat de Windows SSH server dat gaat doen?

[Turdie]

Hero of Time schreef op dinsdag 21 januari 2020 @ 20:17:
Ik dacht dat Ansible for Windows remote powershell deed, ipv ssh. Maar als je echt in Windows komt en niet een of andere nep omgeving, dan is dat IMO best netjes.

Weet je trouwens zeker dat die bitvise niet stiekem op alle interfaces en adressen gaat hangen? Of dat de Windows SSH server dat gaat doen?

Je kan een default shell instellen bij de configuratie van OpenSSH for Windows, dus dan kun je via ssh gewoon powershell afvuren of cmd.exe, maakt eigenlijk niet zoveel meer uit. Ansible ondersteunt ook OpenSSH for Windows

Op welke interfaces en adressen Bitvise luistert moet ik nog even naar kijken.

[ Voor 37% gewijzigd door Turdie op 21-01-2020 20:46 ]

[bregweb]

Hero of Time schreef op donderdag 16 januari 2020 @ 19:34:
Collega vroeg vandaag aan mij welke policies we aan Outlook hebben toegekend, want er komt een bericht naar voren dat wat hij wilde doen is beperkt door beleid opgelegd door de beheerder. Ik ben mij van geen kwaad bewust. En Google resultaten geven het verkeerde antwoord.

Wat zou de reden zijn om zo'n melding te geven, als je op een link in een email klikt? En dan voornamelijk voor mailto links, want naar een site beperken is prima om troep te voorkomen via mail. Het is iig niet een probleem van standaard programma dat niet goed is gekoppeld.

Klikken op een link in outlook veroorzaakt deze melding? Bij mij is dit een registry key die af en toe wijzigt na updates:
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\open\command]
@="\"C:\\Program Files\\Internet Explorer\\iexplore.exe\" %1"
"DelegateExecute"="{17FE9752-0B5A-4665-84CD-569794602F5C}"

[Oogje]

@Hero of Time wat betreft dat LDAP verhaal, het kan wat eenvoudiger dan met al die modules.
Ik heb wel een paar PS-scripts als je interesse hebt.

[Hero of Time]

Oogje schreef op dinsdag 28 januari 2020 @ 12:01:
@Hero of Time wat betreft dat LDAP verhaal, het kan wat eenvoudiger dan met al die modules.
Ik heb wel een paar PS-scripts als je interesse hebt.

Heb 't ondertussen op een andere server uitgevoerd. Op de AD server staat ook Hyper-V en daar draait onze connection broker en adfs server. Daar heb ik maar Powershell 5.1 op gezet en die modules.

Alle simple binds die gedaan worden komen van de Apple apparaten. In de event viewer met de dagelijkse samenvatting staat dat het om 777 connecties ging.

Het nieuwe AD heeft de binds van drie apparaten, twee waar het simpel is aan te passen. De derde is vCenter. Wat volgens VMware geen probleem zou moeten zijn als deze als AD is gekoppeld. Toch doet het unencrypted connecties.

bregweb schreef op dinsdag 28 januari 2020 @ 11:39:
[...]


Klikken op een link in outlook veroorzaakt deze melding? Bij mij is dit een registry key die af en toe wijzigt na updates:
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\open\command]
@="\"C:\\Program Files\\Internet Explorer\\iexplore.exe\" %1"
"DelegateExecute"="{17FE9752-0B5A-4665-84CD-569794602F5C}"

Huh? In HKLM? Ik zou HKCR verwachten voor die setting. Momenteel hebben we het veel te druk om hier naar te kijken. Als het eens wat rustiger is, zal ik 't aan 'm voorleggen om daar eens te kijken wat er staat.

[Oogje]

Hero of Time schreef op dinsdag 28 januari 2020 @ 19:40:
[...]

Heb 't ondertussen op een andere server uitgevoerd. Op de AD server staat ook Hyper-V en daar draait onze connection broker en adfs server. Daar heb ik maar Powershell 5.1 op gezet en die modules.

Alle simple binds die gedaan worden komen van de Apple apparaten. In de event viewer met de dagelijkse samenvatting staat dat het om 777 connecties ging.

Het nieuwe AD heeft de binds van drie apparaten, twee waar het simpel is aan te passen. De derde is vCenter. Wat volgens VMware geen probleem zou moeten zijn als deze als AD is gekoppeld. Toch doet het unencrypted connecties.

Je hebt domain joined apple apparaten?
If yes: "dsconfigad -packetsign require" should do the trick

En ja, die vcenter, same here, we gaan t meemaken of dat ook echt goed gaat

[Paul]

Hero of Time schreef op dinsdag 28 januari 2020 @ 19:40:
Het nieuwe AD heeft de binds van drie apparaten, twee waar het simpel is aan te passen. De derde is vCenter. Wat volgens VMware geen probleem zou moeten zijn als deze als AD is gekoppeld. Toch doet het unencrypted connecties.

Gebruik je Integrated Windows Authentication, of LDAP? In Hero of Time in "Systeembeheerders en hun problemen - deel 38" heb je het over SASL en simple bind, dus ik vermoed LDAP?

Je kunt IWA gebruiken, dat zou geen last moeten hebben van de change, maar dan moet je je VCSA (of PCS als die nog los is) lid maken van het domein. Je kunt ook je LDAP connectie omzetten naar LDAPS:
https://blogs.vmware.com/...ng-signing-adv190023.html

Als je al LDAPS doet dan ben ik wel benieuwd waarom die connecties als unencrypted worden gezien.

[kraats]

Als je IWA gebruikt krijg je ook events over unsecure LDAP. Tenminste, ik wel. Is dus even afwachten hoe dat gaat werken als we unsecure LDAP uit gaan zetten.

[Hero of Time]

Oogje schreef op dinsdag 28 januari 2020 @ 21:03:
[...]

Je hebt domain joined apple apparaten?
If yes: "dsconfigad -packetsign require" should do the trick

En ja, die vcenter, same here, we gaan t meemaken of dat ook echt goed gaat

Yup, domain joined fruit. Er is onlangs een Mac Mini beschikbaar gekomen dus daar kan ik mee testen. Ook testen hoe het zit met een Mac verhuizen van het ene domein naar het andere, of het hernoemen van de profielmap en daarna een chown gaat werken.

Paul schreef op dinsdag 28 januari 2020 @ 21:18:
[...]

Gebruik je Integrated Windows Authentication, of LDAP? In Hero of Time in "Systeembeheerders en hun problemen - deel 38" heb je het over SASL en simple bind, dus ik vermoed LDAP?

Je kunt IWA gebruiken, dat zou geen last moeten hebben van de change, maar dan moet je je VCSA (of PCS als die nog los is) lid maken van het domein. Je kunt ook je LDAP connectie omzetten naar LDAPS:
https://blogs.vmware.com/...ng-signing-adv190023.html

Van LDAP naar LDAPS is idd kinderlijk eenvoudig. Maar ik heb vCenter met IWA aan het domein gekoppeld. Daarom dus dat ik er vreemd van op kijk dat het naar voren komt als unencrypted/simple bind.
Gelukkig doe ik nog weinig met de AD koppeling, op de wekelijkse Veeam backup na.

Grappige bij ons is dat ik ook twee Linux machines aan AD heb gekoppeld. Een werkplek aan de huidige en een laptop aan de nieuwe. Beide via sssd en realmd en beide komen niet naar voren als simple/sasl binds. Oftewel, dat gaat dus al goed schijnbaar.

Zodra ik de twee apparaten heb aangepast die naar voren komen in het nieuwe domein, ga ik de unencrypted zaken weigeren via GPO zoals in de MS documentatie staat. Zien wat er dan omvalt.

[D_Jeff]

Bestaan er msi-installers voor de Intel UHD 520/620 driver installatie?

3 uurtjes aan het zoeken geweest en heb alleen maar echt oud (1e gen i-core bijv) of zip/exe gezien *zucht*

[DaLass]

Ik loop op een tweetal RDS 2016 servers tegen het probleem dat het register (en in het bijzonder: HKLM\Software) behoorlijk aan het groeien is. Bij 1 van de 2 zit deze al op 1.5GB en groeit nog dagelijks, terwijl een vergelijkbare config in een andere omgeving op 20% van deze grootte zit.

Ik wil dus graag weten welke keys zo groot zijn, om de oorzaak te achterhalen. Nu ben ik al even aan het stoeien geweest met dureg.exe, maar dat kost best veel tijd om key voor key de grootte op te vragen.

Zijn er hier tweakers die een oplossing weten om snel inzichtelijk te krijgen hoe groot welke key is, bijvoorbeeld zoals TreeSize dit kan voor de inhoud van je harde schijf?

edit:
Op weten te lossen met Powershell, get-childitem en het dumpen van die resultaten naar dureg.exe. Inmiddels ook de boosdoener gevonden, die zit in de volgende 2 sleutels:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\currentversion\Setup\PnpLockdownFiles
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows\currentversion\Setup\PnpLockdownFiles

Beide bevatten miljoenen keys die betrekking hebben op redirected printers..
Ik haat printers...

[ Voor 25% gewijzigd door DaLass op 30-01-2020 14:46 ]

[Renegade666]

Even een leuk Vcenter 6.7, laatste update/build vraag.
Na de update, ziet hij de host (6.7, niet volledig update) wel, maar ipv een server icoontje, staat er een blauw uitroepteken.
En alle servers staan volgens Vcenter op pauze qua icoon, maar die draaien gewoon en werken prima.
De performance monitoring etc doen het ook prima. NIeuwe VM aanmaken en starten doet het ook.
Maar het klopt niet..
Iemand een idee?

[nextware]

D_Jeff schreef op woensdag 29 januari 2020 @ 22:39:
Bestaan er msi-installers voor de Intel UHD 520/620 driver installatie?

3 uurtjes aan het zoeken geweest en heb alleen maar echt oud (1e gen i-core bijv) of zip/exe gezien *zucht*

Als je die driver installeert, staat er in de installatie directory, volgens mij, ergens een folder waarin de drivers los zitten. Beetje handige IT'er maakt daar dan een MSI van

[Oogje]

kraats schreef op dinsdag 28 januari 2020 @ 21:24:
Als je IWA gebruikt krijg je ook events over unsecure LDAP. Tenminste, ik wel. Is dus even afwachten hoe dat gaat werken als we unsecure LDAP uit gaan zetten.

Volgens Vmware is er niets aan de hand, ik ben benieuwd en heb mn @vsphere.local accounts voor de zekerheid getest

[pjlgt]

Bijv. dat hele ldap naar ldaps verhaal, waar halen jullie dat soort nieuws vandaan? Lees dit dan toevallig hier, maar wellicht zijn er wat blogs, nieuwsbrieven etc waar ik me op kan abonneren?

Verder heeft men het bij ldaps dus over een CA etc. Nu hebben we die op dit moment niet, want staat nog op de planning. Heb daarom een aantal zaken nu op 0 en none gezet in de registry en gpo zodat de update eerst geen effect zal hebben. Toch blijft het vraagstuk me bezig houden. Is dit voldoende voor nu? Moet ik nog meer? Valt de boel nu niet om?

[Vorkie]

Renegade666 schreef op donderdag 30 januari 2020 @ 11:50:
Even een leuk Vcenter 6.7, laatste update/build vraag.
Na de update, ziet hij de host (6.7, niet volledig update) wel, maar ipv een server icoontje, staat er een blauw uitroepteken.
En alle servers staan volgens Vcenter op pauze qua icoon, maar die draaien gewoon en werken prima.
De performance monitoring etc doen het ook prima. NIeuwe VM aanmaken en starten doet het ook.
Maar het klopt niet..
Iemand een idee?

[Afbeelding]

Al eens met een andere browser ingelogd?

Ik herken het van Safari namelijk

[Renegade666]

@Vorkie

Nee, was met FF ingelogd.
Zal het even proberen.

Ik heb het net geprobeer weer met FF, nu is alles weer goed, vreemd

[ Voor 38% gewijzigd door Renegade666 op 30-01-2020 18:46 ]

[T1psY]

Is er een manier hoe je snel kan checken wat windows 10 doet tijdens login? Is een domain-joined machine en heeft het met alle accounts. Inloggen duurt dik 40 seconden. Op een andere pc inloggen met hetzelfde account gaat vlot.

[Turdie]

T1psY schreef op donderdag 30 januari 2020 @ 19:24:
Is er een manier hoe je snel kan checken wat windows 10 doet tijdens login? Is een domain-joined machine en heeft het met alle accounts. Inloggen duurt dik 40 seconden. Op een andere pc inloggen met hetzelfde account gaat vlot.

Niet heel snel, maar netlogon debugging misschien?

Of xperf
https://forums.ivanti.com...dows-Performance-Analyzer

[ Voor 14% gewijzigd door Turdie op 30-01-2020 19:40 ]

[The Eagle]

T1psY schreef op donderdag 30 januari 2020 @ 19:24:
Is er een manier hoe je snel kan checken wat windows 10 doet tijdens login? Is een domain-joined machine en heeft het met alle accounts. Inloggen duurt dik 40 seconden. Op een andere pc inloggen met hetzelfde account gaat vlot.

Sysinternals Autoruns? https://docs.microsoft.co...ernals/downloads/autoruns
Zit alleen geen timing bij volgens mij. Daar was ook ooit een tooltje voor dat de boot optimizer oid heette, of dat van MSFT was weet ik niet, die deed wel wat met timings iirc.

[Paul]

pjlgt schreef op donderdag 30 januari 2020 @ 18:20:
Verder heeft men het bij ldaps dus over een CA etc. Nu hebben we die op dit moment niet, want staat nog op de planning.

Gebruik je een domeinnaam die je officieel hebt? Want je hoeft geen eigen PKI infra op te zetten, het werkt ook prima met widely trusted certificates.

Overigens is het opzetten van een eigen PKI ook weer niet zo veel werk, en er zijn genoeg howto's en tutorials van. Het is op zich wel handig als je een beetje bekend bent in de materie, zodat je weet wat de gevolgen van bepaalde keuzes zijn. De keuze die vaak de meeste hoofdbrekens geeft is of, en hoe, je CRLs doet.

[Arfman]

Renegade666 schreef op donderdag 30 januari 2020 @ 18:44:
@Vorkie

Nee, was met FF ingelogd.
Zal het even proberen.

Ik heb het net geprobeer weer met FF, nu is alles weer goed, vreemd

Volgende keer even je cache clearen, is een bekend probleem