Het grote kleine-SysOps-vragen topic deel 1

[Froggy]

Hier hebben we nog een Exchange 2013 server draaien. Met één extern domein afleverproblemen:
Eerst wordt er op IPv6 adres geprobeerd te connecten, dat mislukt, en daar waar er bij andere domeinen keurig overgeschakeld wordt naar het IPv4 adres gebeurt dat bij deze niet.
Het gekke is dat wanneer er vanuit de queue een retry afgetrapt wordt het wél lukt.

Op internet al wat gevonden over externe DNS gebruiken etc. Allemaal geprobeerd, maar geen succes.
SMTP logging meldt: TLS negotiation failed with error IllegalMessage
Connection logging meldt: Failed connection to [IPv^adres van geaddresseerd] (NetworkUnreachable:00002743)
Pingen resulteert gewoon in het IPv4 adres.
Telnetten lukt ook.
We maken geen gebruik van een smart host.

Iemand nog een idee?

[Tylen]

Froggy schreef op woensdag 1 april 2020 @ 19:13:
Hier hebben we nog een Exchange 2013 server draaien. Met één extern domein afleverproblemen:
Eerst wordt er op IPv6 adres geprobeerd te connecten, dat mislukt, en daar waar er bij andere domeinen keurig overgeschakeld wordt naar het IPv4 adres gebeurt dat bij deze niet.
Het gekke is dat wanneer er vanuit de queue een retry afgetrapt wordt het wél lukt.

Op internet al wat gevonden over externe DNS gebruiken etc. Allemaal geprobeerd, maar geen succes.
SMTP logging meldt: TLS negotiation failed with error IllegalMessage
Connection logging meldt: Failed connection to [IPv^adres van geaddresseerd] (NetworkUnreachable:00002743)
Pingen resulteert gewoon in het IPv4 adres.
Telnetten lukt ook.
We maken geen gebruik van een smart host.

Iemand nog een idee?

Ouwe ciphers en/of tls versie? Zodat er geen tls handshake opgezet kan worden.

[Turdie]

Froggy schreef op woensdag 1 april 2020 @ 19:13:
Hier hebben we nog een Exchange 2013 server draaien. Met één extern domein afleverproblemen:
Eerst wordt er op IPv6 adres geprobeerd te connecten, dat mislukt, en daar waar er bij andere domeinen keurig overgeschakeld wordt naar het IPv4 adres gebeurt dat bij deze niet.
Het gekke is dat wanneer er vanuit de queue een retry afgetrapt wordt het wél lukt.

Op internet al wat gevonden over externe DNS gebruiken etc. Allemaal geprobeerd, maar geen succes.
SMTP logging meldt: TLS negotiation failed with error IllegalMessage
Connection logging meldt: Failed connection to [IPv^adres van geaddresseerd] (NetworkUnreachable:00002743)
Pingen resulteert gewoon in het IPv4 adres.
Telnetten lukt ook.
We maken geen gebruik van een smart host.

Iemand nog een idee?

Misschien is dit het issue:
https://support.microsoft...exchange-hub-transport-or

[Froggy]

shadowman12 schreef op woensdag 1 april 2020 @ 19:47:
[...]


Misschien is dit het issue:
https://support.microsoft...exchange-hub-transport-or

Hmmm. Via de logging lijkt het juiste certificaat gekoppeld te zijn. Is ook gekoppeld aan de SMTP service. Maar als ik het certificaat koppel aan de services krijg ik de vraag of de default voor de SMTP service vervangen moet worden. Dit default certificate is echter het standaard Microsoft Exchange certificate. Volgens het artikel hoeft dat dus niet vervangen te worden? Twijfel een beetje

[HKLM_]

Zijn er ook iscsi specialisten hier

Ik heb twee servers (2016) verbonden met een MSA Server A reconnect direct na een reboot Server B reconnect na +- 5 minuten beide gebruiken de Windows iscsi initiator...

De settings zijn op beide servers 100% gelijk maar toch doet B er langer over om te reconnecten na een reboot. Gekke is al ik een tool van bijvoorbeeld solarwind gebruik voor iscsi dan komt het hele probleem niet voor Drivers, Firmware van de nics op de server zijn gelijk en up to date.

Iemand een iedere waar dit aan zou kunnen liggen?

Hij blijkt een voorkeur te hebben wat denk ik een kabel is die op de verkeerde plek zit

[ Voor 15% gewijzigd door HKLM_ op 06-04-2020 20:32 ]

[Froggy]

HKLM_ schreef op maandag 6 april 2020 @ 19:14:
Zijn er ook iscsi specialisten hier

Ik heb twee servers (2016) verbonden met een MSA Server A reconnect direct na een reboot Server B reconnect na +- 5 minuten beide gebruiken de Windows iscsi initiator...

De settings zijn op beide servers 100% gelijk maar toch doet B er langer over om te reconnecten na een reboot. Gekke is al ik een tool van bijvoorbeeld solarwind gebruik voor iscsi dan komt het hele probleem niet voor Drivers, Firmware van de nics op de server zijn gelijk en up to date.

Iemand een iedere waar dit aan zou kunnen liggen?

Hij blijkt een voorkeur te hebben wat denk ik een kabel is die op de verkeerde plek zit

iSCSI service wordt niet vertraagd opgestart?

[HKLM_]

Froggy schreef op dinsdag 7 april 2020 @ 11:07:
[...]

iSCSI service wordt niet vertraagd opgestart?

Nee want dat mag niet, heb het gevonden het zal de aansluiting naar het san Actief / standby lijkt het

[Hero of Time]

Volgens mij hangt hier ook nog een Fortigate specialist rond. Ik wil daar even beroep op doen.

Collega klaagt dat de SSL VPN instabiel is. Dat zie ik ook terug in de logs. Ik wil daarom een IPsec VPN er bij opzetten met xauth, zodat je net als bij de SSL VPN met je gebruikersnaam en wachtwoord moet inloggen.

Als ik de stappen in de GUI doorloop met een custom verbinding en alles goed lijkt te staan, waarbij ik bij de groep waar naar gekeken moet worden opgeef, komt het met de melding dat er iets niet is ingevuld of klopt. De groep die ik opgeef bevat twee onderdelen, maar het maakt niet uit welke van de twee ik er uit haal.

Via de CLI komt er een iets zinvollere melding naar boven. Namelijk dat er geen auth_user aanwezig is. Maak ik een lokale gebruiker aan en voeg ik die toe aan de lokale groep, waar al een Radius server en LDAPs groep in zit, blijft de foutmelding komen.

Dus, aparte groep gemaakt, lokale gebruiker aan toegevoegd, die groep toegewezen aan de VPN verbinding en dat werkt. Wil ik echter een van de externe groepen/bronnen toevoegen aan die groep, dan komt er weer de melding dat het invalide invoer is omdat er iets met 'null' wordt toegevoegd schijnbaar.

Ik snap het niet meer. Waarom kan een groep voor authenticatie opeens niet meer externe bronnen bevatten? Dit kon in 't verleden prima toen ik de SSL VPN configureerde. Enige is, toen was het versienummer van de firmware nog 6.2.0 of 6.2.1, er draait nu 6.2.2. Ik ga niet naar 6.2.3 updaten, want de vorige keer gaf dat juist meer gezeik en dat kan ik nu helemaal niet gebruiken.

[D_Jeff]

@Hero of Time Reporting in.

Even je 'support ticket' doornemen
-----

-- SSL-VPN is instabiel, in plaats daarvan set-up naar IPSEC.
>> Ik heb IPSec voor Forticlient <> Fortigate eigenlijk altijd afgeraden, omdat troubleshooting met een foutieve connectie een grotere hel is dan de SSL-VPN smaak.

Terug naar de basis van de ellende:
Server side:
* Hoe is de system load van de Fortigate?
* Hoeveel processen van de SSL VPN zie je?
* Zijn er bepaalde processen die meer dan 25 - 30 % mem en/of cpu usage hebben?
* Wanneer was de laatste reboot van de Fortigate? (in dagen, uptime zichtbaar via CLI)

Client side:
* Welke smaak Forticlient is aanwezig? full or light ? (Ligth = SSL-VPN)
* Wat is de versie van die Forticlient? 5.6.x / 6.0.x / 6.2.x (Kijk even goed: Er zijn 32bits en 64bits Forticlient)
* Wat is de internetsnelheid van die client? download + upload in mbit/sec
* Hoe stabiel is de verbinding zonder SSL-VPN tunnel voor de client?

[ Voor 86% gewijzigd door D_Jeff op 07-04-2020 21:55 ]

[Hero of Time]

@D_Jeff, m'n antwoorden, voor zover ik ze uit m'n hoofd kan geven:

Server:
- CPU is laag, nog geen 10%, misschien pieken naar 15. Geheugen was iets van 41%. Geen issue dus.
- Geen flauw idee. Maar deze gebruiker heeft issues, de 40 anderen niet zo erg. Een andere persoon had al voor deze zwaardere gebruik van VPN wat stabiliteitsproblemen (kom ik zo op terug).
- Geen idee dus, maar omdat het totaal geheugen gebruik niet zo hoog is, heb ik m'n twijfels of dit van toepassing is.
- Uptime, ehm, enkele maanden denk ik zo.
Ik kan morgenavond antwoord geven op de vragen die ik nu niet kan geven. Overdag even te druk met de rest draaiend houden.

Client side:
- Forticlient betreft Openfortivpn. Was eerst versie 1.8.1, is gisteren bijgewerkt naar 1.13, maar heeft geen verandering gebracht. Hier is geen light/full van, want Linux heeft alleen SSL VPN in deze vorm. Gebruiker met issues is net als ik Linux gebruiker, maar ik zit niet lange tijd vanuit huis met VPN te werken (ben gewoon op kantoor).
- Internetsnelheid van de client, geen flauw idee. Het komt van Versatel, wat ook niet veel zegt. Het doet alleen VPN + RDP naar z'n PC op kantoor, an sich niet veel nodig en zou met een 10/1 bij wijze van al genoeg moeten zijn om geen issues te hebben. Exacte data verbruik weet ik uiteraard niet, want nooit gemeten.
- Stabiliteit van z'n verbinding schijnt goed te zijn. Hij heeft alleen met wifi issues, maar dat kan ook door de apparatuur bij hem thuis komen. Z'n systeem is bekabeld, dus dat is 't niet.

Buiten hem en mij, maken alle gebruikers bij ons gebruik van vziw de full 6.2 client, ingesteld op SSL. Meeste op Windows, een enkeling op MacOS. Geen klachten van hun, maar kan natuurlijk ook zijn dat ze wel uitval van verbinding hebben, maar vanwege de situatie hier niets over zeggen omdat 't al druk genoeg is.

Dan de gebruiker waar ik 't eerder over had. Die heeft voor het hele verplicht thuiswerken gebeuren al langere tijd issues met de verbinding. Ik vermoed dat het door haar Ziggo verbinding komt, omdat de logs aangeeft dat er een fout in de verbinding is geweest en daarom is verbroken. Ergens een hiccup ofzo. Die hoor ik nu overigens niet.

De IPsec die ik wil opzetten is dus voor een Linux gebruiker. En dat kan dan dus niet met de Forticlient. Ik heb op kantoor een test systeem aan onze tweede lijn hangen om dingen mee te proberen. Remote Access instellen met Cisco compat doet 't niet, native Windows wil niet, dus probeer ik handmatig 'm te maken zodat ik meer invloed heb over de instellingen. Eerste pogingen waren ook niet echt succesvol, maar zit nu dus met de groep die aan het bokken is.

[D_Jeff]

@Hero of Time Kijk het rustig nog even na
Als 40 gebruikers weinig of geen last hebben (valt terug te zien in de WebGUI - SSL_VPN logging, veel connect/disconnect meldingen binnen 5 a 10 mins = foute boel; =/= 1 april) en 1 gebruiker wel, zou ik zeggen:

Doet lekker omdenken:
Bijv Wine -> Forticlient Windhoos OF VirtualBox -> Win10 client met Forticlient

Uitzoeken waarom 1 verbinding niet lekker werkt kost best veel tijd. Als via een ander OS de stabiliteit via een VM wel goed gaat, heb je een prima workaround

[Hero of Time]

Het is ook deels voor m'n eigen gewin, mocht ik namelijk vanuit huis moeten gaan werken voor langere tijd. Dan is het wel fijn om een stabiele verbinding te hebben naar m'n PC, want iets als RDP is wat lastiger of vreet bandbreedte omdat er VNC op de achtergrond gebruikt wordt. Niet handig dus.

Maar goed, wat nummers en een 'aha!' momentje. Geen processen kunnen bekijken, daarvoor was ik te druk bezig met andere zaken en IPSec proberen te laten werken.

Aantal gebruikers met VPN vandaag was iets van 17, dus laten we 't op 20 of minder houden dat tegelijk verbinding heeft. CPU nog steeds <10%, geheugen ~42%. Peanuts dus.

De gebruiker melde wel dat alvorens de verbinding uitvalt, de ping latency wat stijgt. Van 10-12 ms naar 17-20 ms. Wanneer dat gebeurt, valt z'n verbinding uit. Is SSL VPN echt zo nauwkeurig dat het een lage latency vereist? Want als ik nu zelf thuis test, heb ik dit:

code:

28 packets transmitted, 28 received, 0% packet loss, time 27038ms
rtt min/avg/max/mdev = 12.793/17.536/33.855/5.017 ms

Wisselt nogal, maar toen ik met m'n laptop (ook niet meer de snelste) verbinding maakte was er geen probleem met de stabiliteit.

Het 'aha!' momentje had ik toen ik met de groepen ging testen. Aparte groep aangemaakt, niets er in, prima. Voeg Radius bron toe, geen probleem. Hmm, ok, dat was apart maar verwacht. LDAPs erbij, ook geen issue. Die proberen te koppelen aan de IPSec VPN echter, dat wilde niet. Iets met 'auth_user must exist', ongeacht of er een lokale gebruiker in de groep zit of niet. Iets vergelijkbaars gebeurt als ik bij de groep die al aan de VPN is toegewezen een van de remote bronnen wil toevoegen.

Morgen ga ik kijken om puur een IPSec met PSK te connecten, ipv met xauth. Want ik blijf proposal mismatches krijgen, ongeacht de instellingen van ciphers.

[The Eagle]

Is dat een enkele gebruiker of meerdere met dat issue?
Het is een longshot, maar vraag die gebruiker eens of ie Ziggo heeft en via zijn vaste lijn belt als zijn VPN begint te bokken. Ik heb een aantal jaren zelf zoiets ervaren, vermoed dat VOIP dwarslag. Nooit kunnen achterhalen maar was wel structureel en reproduceerbaar: als ik de vaste Ziggo lijn gebruikte vloog mijn VPN er uit.

[Hero of Time]

Dat zou wel heel toevallig zijn. Z'n verbinding viel na bijna of binnen een uur uit. Bij de Linux gebruikers is ook als enige een 'SSL Alerts' regel in de event log te zien tijdens/na het verbinden. Zonder uitleg wat die alert dan is.

Van de twee die ik heb gehoord, heeft er een, die al langer problemen heeft, Ziggo. De ander, die dus recent hier tegenaan loopt en Linux gebruikt, heeft Versatel.

[D_Jeff]

Ruim 2 jaar met een ziggo MBK lijn en een fortigate cluster gewerkt. Eigenlijk nooit serieuze issues gehad.
Wel had een collega de VOIP lijnen en toestellen in een ander subnet gezet, dat gold ook voor de interne IP's voor de SSL-VPN (om disconnect issues te voorkomen). Kijk hier eens naar? (indien je dit al niet opgezet had)

Qua ping: Zelfs met 4G heb ik uren Forticlient SSL_VPN gebruikt zonder gezeik (ja, ook op drukke events).
latency heb ik daar nooit gemeten, maar via een hotspot wil dat meestal wel een stukje hoger liggen.

[Hero of Time]

We hebben voip op kantoor. Meeste toestellen zitten in een apart vlan, met uiteraard aparte IP reeks en zelfs een aparte uitgaande verbinding, al is het wel over dezelfde glas als de hoofdaansluiting. Andere inloggegevens, zeg maar vlan op het glas. Een enkel toestel zoals de dects gaan wel over het kantoor netwerk.

VPN clients krijgen een eigen IP, standaard Fortigate setting.

Schiet mij net nog te binnen. Ik zie op de FG bij hem dat de verbinding is verbroken vanwege idle timeout, maar ook gewoon 'connection lost'.

[Hero of Time]

@D_Jeff, vanmiddag had ik een functionerende IPSec verbinding met authenticatie. Dit kreeg ik door IKEv1 te doen met PSK+Xauth. Als je iets vergelijkbaars wilt met het Peer ID of IKEv2, dan kom je bij EAP en dat is nou net hetgeen wat schijnbaar niet wil werken met een externe gebruikersbron.

Maakte eerst de fout dat als je op de Linux kant iets aan je secrets aanpast van Strongswan, je ook dat moet herladen. Deed ik niet. Heel aan het begin vergat ik ook om ipsec.conf opnieuw in te lezen.

De Fortigate is wel ruk in het zeggen wat er werkelijk fout gaat als de verbinding niet tot stand gebracht kan worden. Heb ik phase 1 en 2 goed ingesteld, services meerdere keren herstart, configs opnieuw laten laden, maar blijft miepen over phase 1 proposal mismatch. Werkelijk probleem: voeg een netwerk policy toe zodat verkeer van de VPN interface wordt toegestaan. ZEG DAT DAN! :|( En het is niet de eerste keer dat ik hier tegenaan ben gelopen, dat had ik toen we net de FG hadden ook al voor de s2s verbindingen.

Aangezien je de naam van de verbinding (en dus interface) niet kan wijzigen heb ik de boel opnieuw opgezet via de webUI, heb ik dit keer mode config toegevoegd (want als twee mensen met eenzelfde interne IP reeks verbinding maken kan dat gedoe opleveren), maar nu wil er iets nog niet helemaal lekker werken. Strongswan vind iets in de authenticatie/identificatie voor de verbinding niet geldig. Dinsdag maar uitzoeken.

En hoewel ik het leuk zou vinden als er alleen Xauth gebruikt hoeft te worden ipv ook nog een PSK zoals dat met de SSL VPN werkt, is de toegevoegde stap ook wel fijn mbt extra veiligheid voor de verbinding.

[D_Jeff]

Once again: Het troubleshooten van IPSEC connecties kost best veel tijd.
Het is niet voor niets onderdeel van NSE-7 ("Fortigate Advanced"). (Cursus + certi staat wel op mijn roadmap, maar die heb ik nog niet)

SSL-VPN werkt in dat opzicht een stuk simpeler.
Qua Policy meuk: De SSL-VPN setup doet het voor je OF geeft een warning. IPSEC setup doet dat niet, behalve wat VIP / virtuele interfaces maken.
Cisco ASA zou je dan nog veel meer frustratie geven (eerst de interface aanmaken, dan poorten aangeven, vervolgens een policy opmaken, daarna een IPSEC profiel aanmaken, submitten, wachten, reviewen & approven & wachten)

Edit: Schreef je nou Idle time out?
Is dat voor de SSL-VPN?

[ Voor 4% gewijzigd door D_Jeff op 10-04-2020 21:22 ]

[Hero of Time]

Oh, een ASA hadden we hiervoor. Beheer via een bagger Java applicatie, brrr. Toen dat ding dood ging dacht ik van Java af te zijn, maar helaas, ander pakket heeft die ramp overgenomen. Heb al bij de leverancier geklaagd over het idiote gebruik hiervan, ga met de tijd mee, moet geen Java op m'n RDS omgeving, maar helaas, vervanger nog niet klaar.

Maar bij de ASA was het dan wel wat meer stappen, het gaf tenminste wel wat duidelijker weer dat je een firewall regel was vergeten. Of maakte wel netjes verbinding, het stond alleen niets toe om voorbij de router te gaan. Dan wist je iig dat je config klopte voor alleen IPSec.

Troubleshooten echter was meer drama.

[D_Jeff]

Btw: De idle time out is wel een dingetje op zowel SSL_VPN als IPSEC
Bij default staat ie erg kort: 5 mins of 15 mins.

Zodra de Fortigate minder dan 1kb/sec aan traffic naar een client detecteert, hangt ie op.
Reconnect is dan nodig om de verbinding weer op te bouwen.
Via de CLI is dit (idle time out counter) aan te passen -- let op: tijd in secondes! (86.4k is 1 dag)

[moppentappers]

Om toch een beetje op het onderwerp voor te borduren, ik heb klanten met Ubiquiti, pfsense en Meraki maar ben met beide toch niet echt gelukkig. Meraki is vaak te duur, daar kom ik dan vaak niet echt lekker mee uit, op z'n zachtst gezegd. Met pfsense is er geen VPN client meegeleverd en de OPENVPN client is ook niet alles.
Nu ben ik een beetje aan het zoeken en kom ik uit op fortigate, watchguard, Zyxel en SonicWall. Echter heb ik nog nergens een warm gevoel van gekregen en van elk merk een appliance kopen is ook wat duur. Belangrijkste vind ik dan eigenlijk dat de router/firewall dus een goeie VPN applicatie heeft, heeft iemand nog tips voor merken die ik heb gemist? Of waarom ik toch echt voor merk X of Y moet gaan?

[D_Jeff]

@moppentappers Je case omschrijving is erg dunnetjes, maar qua kostenverhaal heeft de Fortigate wel een ijzersterk punt qua VPN:

Je koopt de doos(FortiGate), prikt die in, maak de config in orde en gaan. >> Geen extra licenties nodig
Dit verhaal heb ik een 3x neergezet als "domme doos" en werkt nog steeds.

Zit je meer in het low-budget MKB hoekje, kijk dan eens naar de oplossingen van Draytek

[Renegade666]

Als je fatsoenlijk spul wilt, ook voor mkb . Kijk dan eens naar watchguard. Blaast de concurentie weg alle vlakken..

[Hero of Time]

@D_Jeff, de idle timeout is ook gewoon via de webUI aan te passen voor SSL VPN. Standaard idd 5 minuten, of 900 seconden. Die wilde ik ook nog verhogen, maar ben bang dat ik dan iedereen eruit trap omdat de service/daemon herstart.

@moppentappers, het is logisch dat pfSense geen VPN client heeft, omdat je met OpenVPN kan werken, maar ook met Strongswan. Die laatste is voor IPSec en dat heeft zo z'n voordelen. Je kan in de documentatie voorbeelden vinden hoe je 'm in kan stellen zodat je met native clients van je OS verbinding kan maken. Dan maakt het niet uit of je Windows, Linux, Apple of Android hebt.

[moppentappers]

Hero of Time schreef op vrijdag 10 april 2020 @ 22:56:
@D_Jeff, de idle timeout is ook gewoon via de webUI aan te passen voor SSL VPN. Standaard idd 5 minuten, of 900 seconden. Die wilde ik ook nog verhogen, maar ben bang dat ik dan iedereen eruit trap omdat de service/daemon herstart.

@moppentappers, het is logisch dat pfSense geen VPN client heeft, omdat je met OpenVPN kan werken, maar ook met Strongswan. Die laatste is voor IPSec en dat heeft zo z'n voordelen. Je kan in de documentatie voorbeelden vinden hoe je 'm in kan stellen zodat je met native clients van je OS verbinding kan maken. Dan maakt het niet uit of je Windows, Linux, Apple of Android hebt.

Klanten vinden het daarmee dan toch vaak lastig om het zelf goed in te stellen, inderdaad logisch zoals je al aangeeft.

Ik heb van watchguard alvast een demo model aangevraagd, fortinet ga ik me nog even verder in verdiepen.

[Duinkonijn]

Kan je die Fortigate SSL vpn client ook vervangen door een andere vpn client... liefst native windows?

[Hero of Time]

Nee, want het is SSL, iets wat niet native in je OS zit als VPN optie. Een andere SSL VPN client zou kunnen werken. Voor Linux, in de standaard Debian/Ubuntu repo iig, is de Forticlient de enige SSL VPN client vziw. Maar kan er eentje gemist hebben.

[Duinkonijn]

Hero of Time schreef op zaterdag 11 april 2020 @ 15:13:
Nee, want het is SSL, iets wat niet native in je OS zit als VPN optie. Een andere SSL VPN client zou kunnen werken. Voor Linux, in de standaard Debian/Ubuntu repo iig, is de Forticlient de enige SSL VPN client vziw. Maar kan er eentje gemist hebben.

Windows heeft toch z`n eigen vpn client. Voorheen gebruikten we de ingebrouwde client, maar nu dat we een forti firewall hebben, zitten we met die forticlient welke handmatig geconfigd wordt

[Hero of Time]

Duinkonijn schreef op zaterdag 11 april 2020 @ 15:19:
[...]

Windows heeft toch z`n eigen vpn client. Voorheen gebruikten we de ingebrouwde client, maar nu dat we een forti firewall hebben, zitten we met die forticlient welke handmatig geconfigd wordt

Maar die doet geen SSL, alleen IPSec, L2TP, PPTP en SSTP.

[HKLM_]

Weet iemand of er een manier is om de TLS Cipher Suites uit server 2016 ook te importeren op een server 2012r2 machine

Ze willen dat wij onderstaande toevoegen aan onze server.

code:

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

Uiteraard eerst zonder kijken geprobeerd maar dat werkt niet Nu blijkt dat deze pas in Server 2016 standaard in het OS zitten maar mijn mooie machine is een 2012r2. Iemand een idee hoe je deze wel kan toevoegen op een 2012r2 machine?

@shadowman12 Jij als Windows man bij een hosting club weet dat vast wel

[Turdie]

HKLM_ schreef op dinsdag 14 april 2020 @ 19:35:
Weet iemand of er een manier is om de TLS Cipher Suites uit server 2016 ook te importeren op een server 2012r2 machine

Ze willen dat wij onderstaande toevoegen aan onze server.

code:

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

Uiteraard eerst zonder kijken geprobeerd maar dat werkt niet Nu blijkt dat deze pas in Server 2016 standaard in het OS zitten maar mijn mooie machine is een 2012r2. Iemand een idee hoe je deze wel kan toevoegen op een 2012r2 machine?

@shadowman12 Jij als Windows man bij een hosting club weet dat vast wel

Ja maak maar een ticket naar ons dan zoek ik het wel uit

Een collega van mij is hiermee bezig geweest de afgelopen weken,dus ik weet het eigenlijk nooit, en we hebben daar een standaard script voor, maar ik zal het even uitzoeken voor je.

[Renegade666]

HKLM_ schreef op dinsdag 14 april 2020 @ 19:35:
Weet iemand of er een manier is om de TLS Cipher Suites uit server 2016 ook te importeren op een server 2012r2 machine

Ze willen dat wij onderstaande toevoegen aan onze server.

code:

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

Uiteraard eerst zonder kijken geprobeerd maar dat werkt niet Nu blijkt dat deze pas in Server 2016 standaard in het OS zitten maar mijn mooie machine is een 2012r2. Iemand een idee hoe je deze wel kan toevoegen op een 2012r2 machine?

@shadowman12 Jij als Windows man bij een hosting club weet dat vast wel

IISCrypto al eens getest?

[HKLM_]

Renegade666 schreef op dinsdag 14 april 2020 @ 19:40:
[...]


IISCrypto al eens getest?

Zeker maar die laat hem op een 2012r2 bak mooi niet zien als optie om te gaan gebruiken

shadowman12 schreef op dinsdag 14 april 2020 @ 19:39:
[...]


Ja maak maar een ticket naar ons dan zoek ik het wel uit

Een collega van mij is hiermee bezig geweest de afgelopen weken,dus ik weet het eigenlijk nooit, en we hebben daar een standaard script voor, maar ik zal het even uitzoeken voor je.

Maar als je mij kan helpen graag Die ticket maak ik met liefde voor je aan

[ Voor 61% gewijzigd door HKLM_ op 14-04-2020 19:44 ]

[Turdie]

Dit zijn de cipher suites supported voor 2012 R2:
https://docs.microsoft.co...her-suites-in-windows-8-1

@HKLM_ De suites die jij noemt zijn pas vanaf Windows Server 2016 supported, dus op Windows Server 2012 zullen ze niet werken

[ Voor 33% gewijzigd door Turdie op 14-04-2020 19:45 ]

[Renegade666]

HKLM_ schreef op dinsdag 14 april 2020 @ 19:41:
[...]


Zeker maar die laat hem op een 2012r2 bak mooi niet zien als optie om te gaan gebruiken

Vreemd, zie hem wel staan op een 2012r2 server (in IIScrypto).

[HKLM_]

shadowman12 schreef op dinsdag 14 april 2020 @ 19:41:
Dit zijn de cipher suites supported voor 2012 R2:
https://docs.microsoft.co...her-suites-in-windows-8-1

De suites die jij noemt zijn pas vanaf Windows Server 2016 supported, dus op Windows Server 2012 zullen ze niet werken

Ja daar was ik al achter Dacht huilend in een hoekje dat er misschien nog een update was in een donkere plek op de microsoft website.

[Turdie]

HKLM_ schreef op dinsdag 14 april 2020 @ 19:45:
[...]


Ja daar was ik al achter Dacht huilend in een hoekje dat er misschien nog een update was in een donkere plek op de microsoft website.

Nee vziw is die update Windows Server 2016

[HKLM_]

shadowman12 schreef op dinsdag 14 april 2020 @ 19:47:
[...]


Nee vziw is die update Windows Server 2016

Janken weer dan morgen die partij nog maar eens benaderen dan. Zij geven aan de enige twee die wij nog gaan ondersteunen zijn (die ik noem) Kan me haast niet voorstellen maar je weet het nooit

[ Voor 32% gewijzigd door HKLM_ op 14-04-2020 19:49 ]

[Turdie]

HKLM_ schreef op dinsdag 14 april 2020 @ 19:48:
[...]


Janken weer dan morgen die partij nog maar eens benaderen dan. Zij geven aan de enige twee die wij nog gaan ondersteunen zijn (die ik noem) Kan me haast niet voorstellen maar je weet het nooit

Wacht misschien deze:
https://support.microsoft.com/en-us/help/3161639

[HKLM_]

shadowman12 schreef op dinsdag 14 april 2020 @ 19:49:
[...]


Wacht misschien deze:
https://support.microsoft.com/en-us/help/3161639

Die zijn anders...

code:

TLS_DHE_RSA_WITH_AES_128_CBC_SHA
TLS_DHE_RSA_WITH_AES_256_CBC_SHA

Renegade666 schreef op dinsdag 14 april 2020 @ 19:44:


[...]


Vreemd, zie hem wel staan op een 2012r2 server (in IIScrypto).

Plaatje? ik zie alleen onderstaand:


Maar die heeft _P384 in de naam en is dus anders (al heb ik geen idee hoe anders)

[ Voor 55% gewijzigd door HKLM_ op 14-04-2020 19:53 ]

[Tylen]

Wat je kan doen is een netscaler (express/freemium) ervoor zetten welke wel de modern ciphers ondersteunt.

[Turdie]

Tylen schreef op dinsdag 14 april 2020 @ 19:52:
Wat je kan doen is een netscaler (express/freemium) ervoor zetten welke wel de modern ciphers ondersteunt.

Of twee linux VM's met Haproxy&Keepalived erop, is het gratis . Hoeven nog niet eens heel groot te qua sizing want haproxy&keepalived zijn heel erg efficient in hun resource verbruik

[ Voor 19% gewijzigd door Turdie op 15-04-2020 09:05 ]

[Renegade666]

HKLM_ schreef op dinsdag 14 april 2020 @ 19:50:
[...]


Die zijn anders...

code:

TLS_DHE_RSA_WITH_AES_128_CBC_SHA
TLS_DHE_RSA_WITH_AES_256_CBC_SHA

[...]


Plaatje? ik zie alleen onderstaand:
[Afbeelding]

Maar die heeft _P384 in de naam en is dus anders (al heb ik geen idee hoe anders)

Zie het verschil nu Ben nog niet fit genoeg, ik ga maar weer op bed

[HKLM_]

shadowman12 schreef op dinsdag 14 april 2020 @ 19:53:
[...]


Of een twee linux VM's met Haproxy erop, is het gratis

Linux doe niet zo vies

thx voor de hulp mannen / vrouwen

[ Voor 8% gewijzigd door HKLM_ op 14-04-2020 19:56 ]

[Tylen]

shadowman12 schreef op dinsdag 14 april 2020 @ 19:53:
[...]


Of een twee linux VM's met Haproxy erop, is het gratis

Twee netscalers in ha zijn ook gratis . (Freemium/expres editie)

[Turdie]

HKLM_ schreef op dinsdag 14 april 2020 @ 19:54:
[...]


Linux doe niet zo vies

Nou voor sommige dingen is Linux een stuk beter. NLB is veel viezer. Haproxy&KeepAlived hebben wij draaien voor de grootste webshops van het land waarvan je het op eerste gezicht echt niet verwacht

[ Voor 19% gewijzigd door Turdie op 14-04-2020 19:57 ]

[HKLM_]

shadowman12 schreef op dinsdag 14 april 2020 @ 19:56:
[...]


Nou voor sommige dingen is Linux een stuk beter. NLB is veel viezer. Haproxy&KeepAlived hebben wij draaien voor de grootste webshops van het land waarvan je het op eerste gezicht echt niet verwacht

Alles is Windows bij ons... Ik denk niet dat ik het er doorheen krijg om een Linux proxy te implementeren. En de kennis daarvan is ook 0 en tijd is ook een dingetje uiteraard

[Turdie]

HKLM_ schreef op dinsdag 14 april 2020 @ 19:58:
[...]


Alles is Windows bij ons... Ik denk niet dat ik het er doorheen krijg om een Linux proxy te implementeren. En de kennis daarvan is ook 0 en tijd is ook een dingetje uiteraard

Dan wordt het upgraden naar 2016, maar dat is sowieso handig om te doen

[HKLM_]

shadowman12 schreef op dinsdag 14 april 2020 @ 19:59:
[...]


Dan wordt het upgraden naar 2016, maar dat is sowieso handig om te doen

Dat is zeker handig om te doen alleen het is uiteraard onze productie omgeving En die upgrade ik niet eventjes op een dinsdag avond

Die partij moet gewoon ff fixen dat er nog wat anders ondersteund gaat worden 2012R2 is nog tot 2023 support dus een mailtje sturen met He dan werkt het niet meer is wat mij betreft kort door de bocht.

[ Voor 23% gewijzigd door HKLM_ op 14-04-2020 20:02 ]

[Tylen]

HKLM_ schreef op dinsdag 14 april 2020 @ 20:01:
[...]


Dat is zeker handig om te doen alleen het is uiteraard onze productie omgeving En die upgrade ik niet eventjes op een dinsdag avond

Snapshotje maken. Upgraden. Testen. Goed bevinden . Anders snapshot restoren.

Gelijk maar even naar 2019 upgraden denk ik dan . Kan je er weer even mee vooruit.

Maar als het zo’n belangrijke productie server is dan hangt er toch wel een loadbalancer voor? Dus heb je minimaal twee van dat soort servers. Dan zou ik toch echt naar die loadbalancers kijken of je de cipher daar kan toevoegen (mits die tls offload/onload doet). Die genoemde ciphers zijn wel de twee meest gebruikte tls1.2 ciphers momenteel.

[ Voor 28% gewijzigd door Tylen op 14-04-2020 20:10 ]

[HKLM_]

Tylen schreef op dinsdag 14 april 2020 @ 20:03:
[...]


Snapshotje maken. Upgraden. Testen. Goed bevinden . Anders snapshot restoren.

Gelijk maar even naar 2019 upgraden denk ik dan . Kan je er weer even mee vooruit.

Maar als het zo’n belangrijke productie server is dan hangt er toch wel een loadbalancer voor? Dus heb je minimaal twee van dat soort servers. Dan zou ik toch echt naar die loadbalancers kijken of je de cipher daar kan toevoegen (mits die tls offload/onload doet). Die genoemde ciphers zijn wel de twee meest gebruikte tls1.2 ciphers momenteel.

ssstttttt zo professioneel zijn we (nog) niet

[Hero of Time]

@D_Jeff, kan je mij uitleggen waarom een FG de tijd goed laat zien bij de Settings voor tijd, maar bij de logs consequent een uur verschilt (als in, achterloopt) met de werkelijke tijd? En als je dan bij View aangeeft niet de tijd van het apparaat moet laten zien maar die van de browser moet volgen, het bij de logs wel de juiste tijd aangeeft, maar alleen vanaf het moment dat je die instelling hebt gewijzigd?

Voorbeeldje:
Systeemtijd: 8:35.
Log entry: 7:35.
Wijzig View methode van FG naar Browser
Log entry: 7:35
Eerst volgende entry: 8:36.

Wat voor wazige shit is dit? Ik zie dit gedrag overigens op m'n Debian Linux werkplek en een Windows 2019 Server, dus OS is 't niet.

[D_Jeff]

miglogd is het proces dat zich hier mee bezig houdt.
Het gedrag is per FG wel een beetje verschillend:

Heb je een FAZ (FortiAnalyzer):
By Default: Elke 5 mins collect, flush & sent (kost je ongeveer 10 tot 15 mins om het stukjes logging terug te zien)

Heb je geen FAZ, dan zijn de afhankelijkheden RAM & Diskspace (grootte van de swap & non-system parts). Modellen met veel RAM & Diskspace doen bij default elke 30 mins een rol van RAM naar Disk, modellen met weinig ram & diskspace houden alles zoveel mogelijk in het RAM.

Ik vermoed dat het een performance keuze is geweest.
(heb onder 5.6 een bugje gezien die elke 30 sec een flush deed, Logs waren erg compleet -- maar de keerzijde was dat elke 9 uur een clustermember een reboot nodig had)

[Hero of Time]

Alles op de FG-61E zelf, dus geen FAZ en een schijf die groot genoeg is voor de logs. De timestamps vind ik juist zo vreemd. Alsof de logger opeens een andere tijdzone is gaan gebruiken om logs in op te slaan, wat nog vreemdere effecten gaan hebben als je het apparaat vanaf meerdere geografische locaties benadert. Je zou verwachten dat 'ie het bij de webUI juist gaat berekenen, dus met terugwerkende kracht dat kan doen. Of het doet dat pas wanneer je de view op browser zet ipv device. Wat voor mij dan weer niet strookt met de tijd van het apparaat zelf vs de log timestamp.

[Freee!!]

Hero of Time schreef op dinsdag 14 april 2020 @ 22:20:
Alles op de FG-61E zelf, dus geen FAZ en een schijf die groot genoeg is voor de logs. De timestamps vind ik juist zo vreemd. Alsof de logger opeens een andere tijdzone is gaan gebruiken om logs in op te slaan, wat nog vreemdere effecten gaan hebben als je het apparaat vanaf meerdere geografische locaties benadert. Je zou verwachten dat 'ie het bij de webUI juist gaat berekenen, dus met terugwerkende kracht dat kan doen. Of het doet dat pas wanneer je de view op browser zet ipv device. Wat voor mij dan weer niet strookt met de tijd van het apparaat zelf vs de log timestamp.

Waarschijnlijk logt dat ding in UTC, doen wel meer apparaten (en met het uur tijdsverschil nu heeft die waarschijnlijk de zomertijd niet meegekregen).

[asing]

Freee!! schreef op dinsdag 14 april 2020 @ 23:11:
[...]

Waarschijnlijk logt dat ding in UTC, doen wel meer apparaten (en met het uur tijdsverschil nu heeft die waarschijnlijk de zomertijd niet meegekregen).

Exact een uur tijdverschil doet wel zoiets vermoeden. Moet je eens door de logs van IIS bladeren, daar zit ook een uur tijdverschil in.

[Freee!!]

asing schreef op woensdag 15 april 2020 @ 07:52:
[...]
Exact een uur tijdverschil doet wel zoiets vermoeden. Moet je eens door de logs van IIS bladeren, daar zit ook een uur tijdverschil in.

Verschillende logs op mijn Pi's gaan ook op UTC (is ook gedocumenteerd), vandaar dat ik eraan denk.

[asing]

Freee!! schreef op woensdag 15 april 2020 @ 07:55:
[...]

Verschillende logs op mijn Pi's gaan ook op UTC (is ook gedocumenteerd), vandaar dat ik eraan denk.

Kan het nog gekker maken, wij hebben diverse firewalls van een bepaald merk door heel Europa, Afrika en Azië staan. Nu kunnen de specialisten van die firewalls de problemen niet goed tackelen want die dingen staan in andere tijdzones en dus klopt hun logging ineens niet meer.

Je zou toch zeggen dat als je grof geld betaald voor zoiets, dat de logging toch wel gestandaardiseerd is op één zone zodat ze wat A uitspuugt kunnen vergelijken met B aan de andere kant van de wereld. Maar nee......

[Hero of Time]

Freee!! schreef op dinsdag 14 april 2020 @ 23:11:
[...]

Waarschijnlijk logt dat ding in UTC, doen wel meer apparaten (en met het uur tijdsverschil nu heeft die waarschijnlijk de zomertijd niet meegekregen).

Dat was het eerste wat ik ook bedacht. Toch is de klok die weergegeven wordt juist. De tijdzone die wordt aangegeven is +1, als in GMT +1. Als het in UTC zou loggen, zou nu de tijd 2 uur moeten afwijken, niet 1. En tijdens wintertijd 1 uur moeten afwijken, ipv overeenkomen met de echte tijd.

In ander nieuws: ik heb de ipsec psk+xauth+mode config werkend. Punt met dat laatste was dat ik in de ipsec.conf nog een left en leftid had opgegeven. Toen ik dat weg liet, kreeg ik een IP adres er bij.
DNS faalde eerst, maar na het verwijderen van apparmor en een reboot was dat ook opgelost. Had geen in om dat te gaan uitzoeken.

[HKLM_]

shadowman12 schreef op dinsdag 14 april 2020 @ 19:59:
[...]


Dan wordt het upgraden naar 2016, maar dat is sowieso handig om te doen

Gisteren overleg gehad en we gaan inderdaad upgraden komende dagen om het probleem te tackelen

[ralpje]

asing schreef op woensdag 15 april 2020 @ 08:01:
[...]


Kan het nog gekker maken, wij hebben diverse firewalls van een bepaald merk door heel Europa, Afrika en Azië staan. Nu kunnen de specialisten van die firewalls de problemen niet goed tackelen want die dingen staan in andere tijdzones en dus klopt hun logging ineens niet meer.

Want die specialisten kunnen niet omrekenen naar een andere tijdzone?

[asing]

ralpje schreef op vrijdag 17 april 2020 @ 08:52:
[...]


Want die specialisten kunnen niet omrekenen naar een andere tijdzone?

Centraal logging systeem. Dat werd wat lastig .

[Paul]

Ook daar kun je omrekenen. Maar dan moet je (software) dat wel doen

Als het synchrone berichten zijn kun je aanhouden wanneer het lokaal binnenkomt, als het asynchroon loopt zul je met zender en ontvanger af moeten stemmen wat je doet. Het is al even geleden dat ik echt iets met gegevensuitwisseling en datums deed, maar simpelweg alles in UTC doen is al behoorlijk doeltreffend.

Het is anno 2020 echt tenenkrommend hoeveel courante software ik tegenkom die over de flip gaat als de regional settings van je PC anders staan dan op de PC van de ontwikkelaar Of als de Windows op je server Engels is en op je werkplek Nederlands

Maar ja, $date.ToString() aanroepen is natuurlijk veel simpeler dan $date.ToUniversalTime().ToString('u')

[Thijs B]

Paul schreef op vrijdag 17 april 2020 @ 09:41:

Het is anno 2020 echt tenenkrommend hoeveel courante software ik tegenkom die over de flip gaat als de regional settings van je PC anders staan dan op de PC van de ontwikkelaar Of als de Windows op je server Engels is en op je werkplek Nederlands

Maar ja, $date.ToString() aanroepen is natuurlijk veel simpeler dan $date.ToUniversalTime().ToString('u')

Ja klopt hier heeft een reportingtool bijna 2 weken stil gelegen, oorzaak omdat ik 2 weken terug de taal van die app op mijn console even op Engels had gezet zodat wat ik in beeld zie overeenkomt met de handleiding.

Sindsdien kon men 2 weken geen reports meer runnen, alle reports waren leeg, leverancier heeft er 2 weken over gedaan daar achter te komen. Volgens leverancier had nog nooit iemand de app op Engels gezet. prutsers..

[Hero of Time]

Oh, datumnotaties zijn ook geweldig. Een van onze systemen kan bestellingen naar zichzelf sturen voor verwerking in het andere deel, want andere database (wel zelfde server). Wat we kregen bij 1 gebruiker, was orders die voor 2 mei waren, opeens voor 5 februari in het andere systeem kwamen.

Profiel bekeken, daar stond de taal toch echt op Nederlands, notatie voor datum ook, vergeleken met een andere gebruiker, geen enkel verschil. Kijken we uiteindelijk bij de browser zelf, heeft die nog ergens verborgen de boel op EN-US staan. Aangepast, om een paar maanden later het probleem weer te krijgen, want er was iets in de browser dat besloten had om weer naar EN-US te gaan.

Sowieso was het super vaag, want als er 02-05 wordt opgevraagd zou je logischerwijs ook 02-05 door moeten sturen, ipv dat het spontaan 05-02 wordt.
Heb het al een langere tijd niet meer gehoord dat het gebeurt, dus fingers crossed dat dat zo blijft.

[Freee!!]

Hero of Time schreef op vrijdag 17 april 2020 @ 20:20:
Oh, datumnotaties zijn ook geweldig. Een van onze systemen kan bestellingen naar zichzelf sturen voor verwerking in het andere deel, want andere database (wel zelfde server). Wat we kregen bij 1 gebruiker, was orders die voor 2 mei waren, opeens voor 5 februari in het andere systeem kwamen.

Profiel bekeken, daar stond de taal toch echt op Nederlands, notatie voor datum ook, vergeleken met een andere gebruiker, geen enkel verschil. Kijken we uiteindelijk bij de browser zelf, heeft die nog ergens verborgen de boel op EN-US staan. Aangepast, om een paar maanden later het probleem weer te krijgen, want er was iets in de browser dat besloten had om weer naar EN-US te gaan.

Sowieso was het super vaag, want als er 02-05 wordt opgevraagd zou je logischerwijs ook 02-05 door moeten sturen, ipv dat het spontaan 05-02 wordt.
Heb het al een langere tijd niet meer gehoord dat het gebeurt, dus fingers crossed dat dat zo blijft.

Datums^*) moeten in ISO-formaat tussen systemen doorgegeven worden, voorkom je een hoop problemen mee.


^*) Ja, ik weet dat het meervoud van datum data is, maar dat is in de context van computersystemen verwarrend.

[Hero of Time]

Freee!! schreef op vrijdag 17 april 2020 @ 20:44:
[...]

Datums^*) moeten in ISO-formaat tussen systemen doorgegeven worden, voorkom je een hoop problemen mee.


^*) Ja, ik weet dat het meervoud van datum data is, maar dat is in de context van computersystemen verwarrend.

Leuk, maar de weergegeven datum werd ook zo gebruikt om weer door te sturen. De weergave was dan ook prima, niks mis mee. Alleen zodra het verstuurd werd, werd het om een of andere vage reden omgedraaid.

Systeem waar dit voorkomt/kwam is ook oud, moet vervangen worden voor het nieuwe, maar dat duurt helaas nog wel even. Staat op de roadmap, voor ooit, als er tijd voor komt.

[Freee!!]

Hero of Time schreef op vrijdag 17 april 2020 @ 20:49:
[...]
Leuk, maar de weergegeven datum werd ook zo gebruikt om weer door te sturen. De weergave was dan ook prima, niks mis mee. Alleen zodra het verstuurd werd, werd het om een of andere vage reden omgedraaid.

Systeem waar dit voorkomt/kwam is ook oud, moet vervangen worden voor het nieuwe, maar dat duurt helaas nog wel even. Staat op de roadmap, voor ooit, als er tijd voor komt.

Weergeven is één, opslaan en doorgeven is twee. Ik heb te vaak problemen daarmee gehad.

[Renegade666]

Even een leuk vraagje tussen door.

Ik heb een klant met een 1 RDS server.
In het algemeen worden printers gewoon geregeld via policy's. De printers staan op een losse server geinstalleerd. Voor alle printers werkt dit prima. op 1 na.
Een canon printer op een Server2012r2.
Dit probleem komt helaas vaker voor bij die lui, en zij kunnen je niet helpen...

Dus die hebben we rechtstreeks op de RDS printer geïnstalleerd.En die werkt verder prima.
Echter omdat de meeste andere default printers krijgen is het geen issue. Maar 1 gebruiker moet deze als standaard hebben. Hoe kan ik dat via een GPO doen. Ik kan alleen netwerk printers of "echte" lokale printer toevoegen (LTP/USB). Dus dat is niet bedoeling.

Iemand een idee, behalve dat hij handmatig hem als default printer wil maken?

[Turdie]

Renegade666 schreef op maandag 20 april 2020 @ 13:42:
Even een leuk vraagje tussen door.

Ik heb een klant met een 1 RDS server.
In het algemeen worden printers gewoon geregeld via policy's. De printers staan op een losse server geinstalleerd. Voor alle printers werkt dit prima. op 1 na.
Een canon printer op een Server2012r2.
Dit probleem komt helaas vaker voor bij die lui, en zij kunnen je niet helpen...

Dus die hebben we rechtstreeks op de RDS printer geïnstalleerd.En die werkt verder prima.
Echter omdat de meeste andere default printers krijgen is het geen issue. Maar 1 gebruiker moet deze als standaard hebben. Hoe kan ik dat via een GPO doen. Ik kan alleen netwerk printers of "echte" lokale printer toevoegen (LTP/USB). Dus dat is niet bedoeling.

Iemand een idee, behalve dat hij handmatig hem als default printer wil maken?

Dan moet die ene user in een subou, met een aparte policy eraan:
User Configuration > Preferences > Control Panel Settings > Printers > Shared Printer > Select your printer then select the "Set this printer as default printer flag"

Of je zet de security van de GPO, alleen op haar username, maar dan moet iedereen hem wel processen.

[ Voor 3% gewijzigd door Turdie op 20-04-2020 17:28 ]

[Grvy]

Ik probeer met Robocopy een file server migratie te doen.

Robocopy geeft aan:


EDIT: (verkeerde screenshot, nee hij skipped niet. even naar de juiste zoeken)

Maar de resulterende folder geeft de helft hiervan aan. Dus pak em beet 70gb en de helft van de files.

Iemand de gouden tip? Snelle google zoekopdrachten leveren niet veel op.

Robocopy switches zijn:

/e /zb /MIR /r:3 /w:3 /V /NP /A-:SH


EDIT2: ik wilde dus die oude robocopy destination map even verplaatsen omdat die dus maar de helft zou zijn.. zegt die in de file transfer doodleuk 180gb.. ipv de 70gb die explorer laat zien.. wtf?

[ Voor 31% gewijzigd door Grvy op 21-04-2020 00:36 ]

[Tylen]

Grvy schreef op dinsdag 21 april 2020 @ 00:22:
Ik probeer met Robocopy een file server migratie te doen.

Robocopy geeft aan:
[Afbeelding]

EDIT: (verkeerde screenshot, nee hij skipped niet. even naar de juiste zoeken)

Maar de resulterende folder geeft de helft hiervan aan. Dus pak em beet 70gb en de helft van de files.

Iemand de gouden tip? Snelle google zoekopdrachten leveren niet veel op.

Robocopy switches zijn:

/e /zb /MIR /r:3 /w:3 /V /NP /A-:SH


EDIT2: ik wilde dus die oude robocopy destination map even verplaatsen omdat die dus maar de helft zou zijn.. zegt die in de file transfer doodleuk 180gb.. ipv de 70gb die explorer laat zien.. wtf?

[Afbeelding]

Robocopy zegt toch ook dat ie 180GB heeft gekopieerd. Doe je de Robocopy onder een ander account dan folder eigenschappen in explorer? .

[asing]

Grvy schreef op dinsdag 21 april 2020 @ 00:22:
Ik probeer met Robocopy een file server migratie te doen.

Robocopy geeft aan:
[Afbeelding]

EDIT: (verkeerde screenshot, nee hij skipped niet. even naar de juiste zoeken)

Maar de resulterende folder geeft de helft hiervan aan. Dus pak em beet 70gb en de helft van de files.

Iemand de gouden tip? Snelle google zoekopdrachten leveren niet veel op.

Robocopy switches zijn:

/e /zb /MIR /r:3 /w:3 /V /NP /A-:SH


EDIT2: ik wilde dus die oude robocopy destination map even verplaatsen omdat die dus maar de helft zou zijn.. zegt die in de file transfer doodleuk 180gb.. ipv de 70gb die explorer laat zien.. wtf?

[Afbeelding]

Je lijkt wel een gebruiker , het is nogal onduidelijk zeg maar... Als eerste snap ik echt niet waarom je al die robocopy switches gebruikt. Dit zou voldoende moeten zijn :

/E /S /SEC /XO

Edit : en wat @Tylen zegt : Explorer heeft soms minder rechten dan een CMD onder admin creds .

[ Voor 3% gewijzigd door asing op 21-04-2020 07:32 ]

[Turdie]

Grvy schreef op dinsdag 21 april 2020 @ 00:22:
Ik probeer met Robocopy een file server migratie te doen.

Robocopy geeft aan:
[Afbeelding]

EDIT: (verkeerde screenshot, nee hij skipped niet. even naar de juiste zoeken)

Maar de resulterende folder geeft de helft hiervan aan. Dus pak em beet 70gb en de helft van de files.

Iemand de gouden tip? Snelle google zoekopdrachten leveren niet veel op.

Robocopy switches zijn:

/e /zb /MIR /r:3 /w:3 /V /NP /A-:SH


EDIT2: ik wilde dus die oude robocopy destination map even verplaatsen omdat die dus maar de helft zou zijn.. zegt die in de file transfer doodleuk 180gb.. ipv de 70gb die explorer laat zien.. wtf?

[Afbeelding]

Miscchien veel hidden files?

En dit zou voldoende moeten zijn:

 robocopy /e /copyall 

[ Voor 3% gewijzigd door Turdie op 21-04-2020 08:38 ]

[Grvy]

@asing jammer alleen dat de rechten gewoon goed staan. Hidden files is het ook niet.

Snap ook niet waarom Domain Admin geen rechten zou hebben.. maargoed, het is dus geen rechten kwestie.
En gisteren was misschien onduidelijk omdat het laat was; ik kijk vandaag wel weer verder.

Wat betreft de switches; elk heeft een reden.

/e = volgens internet hetzelde als /mir maar dat klopt niet. Uit testen blijkt dat /e toch net wat andere dingen doet.
/zb = restart mode, indien het faalt.
/MIR = mirror.. duh.
/r:3 = Retry 3x.
/w:3 = wait time tussen retries indien een bestand niet gekopieerd kan worden.
/V = verbose want ik wil zien wat er gebeurt.
/NP = ik hoef percentage niet te zien.. lekker boeiend.
/A-:SH = haal de :SH flag weg van items, zodat ik alles zie en er niks meer hidden is..

en vandaag is het zelf nog vreemder.. de folder (nieuwe copy; zelfde switches) en de map volgens explorer is nu maar 28gb

[ Voor 64% gewijzigd door Grvy op 21-04-2020 10:32 ]

[asing]

Stom iets, maar heb je dedup aan staan @Grvy ?

[ Voor 10% gewijzigd door asing op 21-04-2020 14:38 ]

[bregweb]

In Windows 10 kun je een geheugensteun opgeven voor een wachtwoord. Heeft iemand een idee hoe je dat wijzigt, nadat je het wachtwoord hebt veranderd? Of de Engelse term voor geheugensteun, zodat ik daar op kan googlen?

[MisteRMeesteR]

bregweb schreef op dinsdag 21 april 2020 @ 14:49:
In Windows 10 kun je een geheugensteun opgeven voor een wachtwoord. Heeft iemand een idee hoe je dat wijzigt, nadat je het wachtwoord hebt veranderd? Of de Engelse term voor geheugensteun, zodat ik daar op kan googlen?

Changing Password Hint in Windows 10

[Grvy]

asing schreef op dinsdag 21 april 2020 @ 14:36:
Stom iets, maar heb je dedup aan staan @Grvy ?

Geen dedup, en volgens mij is het zo dat dedup dat de size on disk wel gelijk blijft. Of iig; 1 van de 2 waardes is dan je dedupe waarde.

Heb er vandaag ook geen tijd meer voor gehad, met WizTree zie ik wel dat die ook zegt dat die map 180gb is.
Vanavond maar even een reboot proberen, omdat de klant al half op deze nieuw fileserver werkt kan dat niet overdag.

[Hero of Time]

Als UAC aan staat boeit het niet hoe administrator je bent, je gaat niet alles in kunnen als daar niet je gebruiker of groep in de ACL staat. Explorer weigert namelijk om als admin te starten, wat dus nogal veel gezeik oplevert als je iets moet doen waar je als gebruiker zelf niet in mag.

Om die reden heb ik een andere verkenner die wél als admin kan draaien. Andere optie die ik mij echt net bedenk: benader de locatie via een UNC pad. Dus als het lokaal op D: is via \\localhost\d$ ofzo. Dan heb je namelijk opeens niet met de UAC security te maken en ben je wel fatsoenlijk administrator om dingen in te zien.

[Renegade666]

Iemand een idee waarom de Setup van Powershell 5.1 wel gewoon werkt, maar vervolgens powershell niet upgrade?

Ik heb een SBS2011 nog draaien bij iemand. Echter moet de mail overpompen 365 etc, maar heb daar een nieuwe PS voor nodig. Deze is momenteel nog v2..

Echter de juiste manier om te installeren werkt dus niet.
Dus iemand een manier om dit te forceren?

[Duinkonijn]

Renegade666 schreef op woensdag 29 april 2020 @ 09:53:
Iemand een idee waarom de Setup van Powershell 5.1 wel gewoon werkt, maar vervolgens powershell niet upgrade?

Ik heb een SBS2011 nog draaien bij iemand. Echter moet de mail overpompen 365 etc, maar heb daar een nieuwe PS voor nodig. Deze is momenteel nog v2..

Echter de juiste manier om te installeren werkt dus niet.
Dus iemand een manier om dit te forceren?

Een 2016 member er naast zetten en daar de commando’s op los schieten?

https://docs.microsoft.co...fb-498f-9155-a86516418842

Alle mail exporten naar pst en importeren via ps geen optie?

[ Voor 20% gewijzigd door Duinkonijn op 29-04-2020 12:19 ]

[Turdie]

Renegade666 schreef op woensdag 29 april 2020 @ 09:53:
Iemand een idee waarom de Setup van Powershell 5.1 wel gewoon werkt, maar vervolgens powershell niet upgrade?

Ik heb een SBS2011 nog draaien bij iemand. Echter moet de mail overpompen 365 etc, maar heb daar een nieuwe PS voor nodig. Deze is momenteel nog v2..

Echter de juiste manier om te installeren werkt dus niet.
Dus iemand een manier om dit te forceren?

Hoe heb je de PowerShell versie gecheckt? Server al gereboot?
Je weet ook dat je Exchange 2013 kan omvallen als je WMF 5/PowerShell 5 installeert? Dus inderdaad via een andere server dit doen is handiger.

[ Voor 11% gewijzigd door Turdie op 29-04-2020 12:30 ]

[Renegade666]

@Duinkonijn

Die server moet nog komen, ligt nu in onderdelen klaar op de zaak. (ben al tijd ziek, dus nog niet weer op de zaak geweest)
Exporteren en dan importeren kost veel tijd waar ze last van hebben. Gewoon moven werkt beter.
Naast het feit dat dan alle clients (op iphones na...) gewoon weer keurig verbinden na de tijd, ipv alles opnieuw moeten instellen etc.

@shadowman12
Met PSVersiontable. En ja, server is ook geherstart.
Vorige SBS had ik dit issue niet en werkte de hybride zonder issue.
Nu niet omdat de PS commands niet werken in de oude..
Name Value
---- -----
PSVersion 2.0
PSCompatibleVersions {1.0, 2.0}
BuildVersion 6.1.7601.17514
CLRVersion 4.0.30319.42000
WSManStackVersion 2.0
PSRemotingProtocolVersion 2.1
SerializationVersion 1.1.0.1

Zal volgende week nog we even verder kijken.

[Turdie]

Renegade666 schreef op woensdag 29 april 2020 @ 12:59:
@Duinkonijn

Die server moet nog komen, ligt nu in onderdelen klaar op de zaak. (ben al tijd ziek, dus nog niet weer op de zaak geweest)
Exporteren en dan importeren kost veel tijd waar ze last van hebben. Gewoon moven werkt beter.
Naast het feit dat dan alle clients (op iphones na...) gewoon weer keurig verbinden na de tijd, ipv alles opnieuw moeten instellen etc.

@shadowman12
Met PSVersiontable. En ja, server is ook geherstart.
Vorige SBS had ik dit issue niet en werkte de hybride zonder issue.
Nu niet omdat de PS commands niet werken in de oude..
Name Value
---- -----
PSVersion 2.0
PSCompatibleVersions {1.0, 2.0}
BuildVersion 6.1.7601.17514
CLRVersion 4.0.30319.42000
WSManStackVersion 2.0
PSRemotingProtocolVersion 2.1
SerializationVersion 1.1.0.1

Zal volgende week nog we even verder kijken.

Wat heb je precies geinstalleerd, en hoe heb je dat gedaan?

[Turdie]

Grvy schreef op dinsdag 21 april 2020 @ 10:17:
@asing jammer alleen dat de rechten gewoon goed staan. Hidden files is het ook niet.

Snap ook niet waarom Domain Admin geen rechten zou hebben.. maargoed, het is dus geen rechten kwestie.
En gisteren was misschien onduidelijk omdat het laat was; ik kijk vandaag wel weer verder.

Wat betreft de switches; elk heeft een reden.

/e = volgens internet hetzelde als /mir maar dat klopt niet. Uit testen blijkt dat /e toch net wat andere dingen doet.
/zb = restart mode, indien het faalt.
/MIR = mirror.. duh.
/r:3 = Retry 3x.
/w:3 = wait time tussen retries indien een bestand niet gekopieerd kan worden.
/V = verbose want ik wil zien wat er gebeurt.
/NP = ik hoef percentage niet te zien.. lekker boeiend.
/A-:SH = haal de :SH flag weg van items, zodat ik alles zie en er niks meer hidden is..

en vandaag is het zelf nog vreemder.. de folder (nieuwe copy; zelfde switches) en de map volgens explorer is nu maar 28gb

[Afbeelding]

Dat de domain admin geen rechten heeft heb ik vaak genoeg meegemaakt, moet je even take ownership doen. Let wel op welke opties je daarin kiest.

[Oogje]

shadowman12 schreef op woensdag 29 april 2020 @ 13:37:
[...]

Dat de domain admin geen rechten heeft heb ik vaak genoeg meegemaakt, moet je even take ownership doen. Let wel op welke opties je daarin kiest.

Ik zou daar bij data ff voorzichtig mee zijn om dat "even" te doen., voor je t weet heb je een hele rel veroorzaakt. Iets met gevoelige data, audits etc.

[Renegade666]

shadowman12 schreef op woensdag 29 april 2020 @ 13:34:
[...]


Wat heb je precies geinstalleerd, en hoe heb je dat gedaan?

WMF 5.1 installeren..
https://docs.microsoft.co...ershell?view=powershell-7

Deze verloopt volgens de setup succesvol, maar vervolgens geen nieuwe powershell.
.net etc is gewoon bij.

[Harmen]

Mooi probleem, exchange server loopt tijdens installatie van windows updates vast. Collega zet een backup van 2 dagen eerder terug. Mail van vrijdagavond t/m zondagochtend weg. Nu loopt er een cutover migration naar exchange online. Hoe krijg ik de mailtjes het makkelijkste terug? Zijn daar handige truukjes voor?

[nero355]

Grvy schreef op dinsdag 21 april 2020 @ 00:22:
Ik probeer met Robocopy een file server migratie te doen.

Robocopy geeft aan:
[Afbeelding]

EDIT: (verkeerde screenshot, nee hij skipped niet. even naar de juiste zoeken)

Maar de resulterende folder geeft de helft hiervan aan. Dus pak em beet 70gb en de helft van de files.

Iemand de gouden tip? Snelle google zoekopdrachten leveren niet veel op.

Robocopy switches zijn:

/e /zb /MIR /r:3 /w:3 /V /NP /A-:SH


EDIT2: ik wilde dus die oude robocopy destination map even verplaatsen omdat die dus maar de helft zou zijn.. zegt die in de file transfer doodleuk 180gb.. ipv de 70gb die explorer laat zien.. wtf?

[Afbeelding]

Ik zou willen roepen "slack space" maar omdat je dit ook als resultaat kreeg :

Grvy schreef op dinsdag 21 april 2020 @ 10:17:
@asing jammer alleen dat de rechten gewoon goed staan. Hidden files is het ook niet.

Snap ook niet waarom Domain Admin geen rechten zou hebben.. maargoed, het is dus geen rechten kwestie.
En gisteren was misschien onduidelijk omdat het laat was; ik kijk vandaag wel weer verder.

Wat betreft de switches; elk heeft een reden.

/e = volgens internet hetzelde als /mir maar dat klopt niet. Uit testen blijkt dat /e toch net wat andere dingen doet.
/zb = restart mode, indien het faalt.
/MIR = mirror.. duh.
/r:3 = Retry 3x.
/w:3 = wait time tussen retries indien een bestand niet gekopieerd kan worden.
/V = verbose want ik wil zien wat er gebeurt.
/NP = ik hoef percentage niet te zien.. lekker boeiend.
/A-:SH = haal de :SH flag weg van items, zodat ik alles zie en er niks meer hidden is..

en vandaag is het zelf nog vreemder.. de folder (nieuwe copy; zelfde switches) en de map volgens explorer is nu maar 28gb

[Afbeelding]

Zal dat het wel niet zijn

Misschien een Anti-Virus product dat roet in het eten gooit ?!

[Oogje]

Harmen schreef op woensdag 29 april 2020 @ 15:15:
Mooi probleem, exchange server loopt tijdens installatie van windows updates vast. Collega zet een backup van 2 dagen eerder terug. Mail van vrijdagavond t/m zondagochtend weg. Nu loopt er een cutover migration naar exchange online. Hoe krijg ik de mailtjes het makkelijkste terug? Zijn daar handige truukjes voor?

WTF, je collega slaan en t hem lekker laten oplossen

[Hero of Time]

Ik wilde vandaag PHS+SSO voor de organisatie aan gaan zetten, ipv een selecte groep. Zie ik een uitroepteken bij de status staan. Blijkt, de kerberos ticket is veroudert omdat het computeraccount azureadsso al lange tijd niet is bijgewerkt. Je moet dan handmatig met powershell wat dingen doen om dat te fixen. En dat moet dan elke 30 dagen, want als je dat niet doet, werkt SSO uiteindelijk niet meer.

Zijn er hier mensen die dit hebben ingeregeld en daarmee feitelijk een flutoplossing hebben met een geplande taak en credentials voor de global admin van Azure en domain admin creds erin verwerkt? Want dat is het enige wat ik kan vinden. MS heeft het nog steeds niet mogelijk gemaakt, al dan niet via de AD Connect tool.
Ik neem even aan dat het met PTA+SSO ook nog steeds gedaan moet worden.

[Turdie]

Hero of Time schreef op woensdag 29 april 2020 @ 17:28:
Ik wilde vandaag PHS+SSO voor de organisatie aan gaan zetten, ipv een selecte groep. Zie ik een uitroepteken bij de status staan. Blijkt, de kerberos ticket is veroudert omdat het computeraccount azureadsso al lange tijd niet is bijgewerkt. Je moet dan handmatig met powershell wat dingen doen om dat te fixen. En dat moet dan elke 30 dagen, want als je dat niet doet, werkt SSO uiteindelijk niet meer.

Zijn er hier mensen die dit hebben ingeregeld en daarmee feitelijk een flutoplossing hebben met een geplande taak en credentials voor de global admin van Azure en domain admin creds erin verwerkt? Want dat is het enige wat ik kan vinden. MS heeft het nog steeds niet mogelijk gemaakt, al dan niet via de AD Connect tool.
Ik neem even aan dat het met PTA+SSO ook nog steeds gedaan moet worden.

Hoezo is dat een flut oplossing, op Linux moet je toch ook wel is een cron job aanmaken om bepaalde dingen te laten gebeuren? Azure is een dienst constant in ontwikkeling en Microsoft is bezig hiervoor iets te ontwikkelen, tot dat moet het even zo.

Waarom gebruik je uberhaupt PHS?

[ Voor 6% gewijzigd door Turdie op 29-04-2020 18:27 ]

[MrJ]

Harmen schreef op woensdag 29 april 2020 @ 15:15:
Mooi probleem, exchange server loopt tijdens installatie van windows updates vast. Collega zet een backup van 2 dagen eerder terug. Mail van vrijdagavond t/m zondagochtend weg. Nu loopt er een cutover migration naar exchange online. Hoe krijg ik de mailtjes het makkelijkste terug? Zijn daar handige truukjes voor?

Hoe was de restore terugzet? Was de backup een voor Exchange specifiek?

Log files nog kunnen behouden? Die worden normaal bij successvolle backup pas purged en aangezien de laatste goede backup 2 dagen geleden was zouden die er nog moeten zijn?

[Harmen]

Volledige machine restore (Veeam), alle disks helaas. Morgen nog maar eens goed naar kijken.

[MrJ]

Dus hele nieuwe VM neergezet? Oude VM zal er dan nog moeten zijn inclusief disks?

Dan de data/log disks aan de nieuwe VM hangen en een MS ticket openen?

[asing]

Harmen schreef op woensdag 29 april 2020 @ 19:24:
Volledige machine restore (Veeam), alle disks helaas. Morgen nog maar eens goed naar kijken.

Application aware restore van zaterdagavond?

En dan ben je al aan het migreren...

Mag ik roepen dat jullie dit niet handig hebben gedaan?

[Harmen]

Niet handig inderdaad, helaas ging de restore iets te snel zonder goed plan van aanpak. Bedankt voor de tips.

[Oogje]

Voordat ik een Exchange Server zou restoren, dan moet ie zo ongeveer uitgefikt zijn, niet dat je daar nu wat aan hebt

[asing]

Harmen schreef op woensdag 29 april 2020 @ 19:32:
Niet handig inderdaad, helaas ging de restore iets te snel zonder goed plan van aanpak. Bedankt voor de tips.

Voor een volgende keer : als je met zoiets zit, post het dan even. Er is altijd wel iemand dit topic aan het lezen dus er is altijd hulp.

En ja, in het verleden zijn door mensen hier anderen ontzettend uit de brand geholpen, ook met Exchange.