Het grote kleine-SysOps-vragen topic deel 1

[Harmen]

Thanks, dat ken ik... aangezien het maar voor korte tijd is leek het ons handig de ost op een andere disk te plaatsen. Ost locatie staat al gedefinieerd, echter ben ik benieuwd wat er gebeurt als ik 'cached mode' van disabled omschakel naar enabled. Worden dan alle bestaande profielen omgezet van online naar cached mode met ost locatie in homefolder?

[Tylen]

Harmen schreef op maandag 9 november 2020 @ 14:56:
Thanks, dat ken ik... aangezien het maar voor korte tijd is leek het ons handig de ost op een andere disk te plaatsen. Ost locatie staat al gedefinieerd, echter ben ik benieuwd wat er gebeurt als ik 'cached mode' van disabled omschakel naar enabled. Worden dan alle bestaande profielen omgezet van online naar cached mode met ost locatie in homefolder?

Heb je dat al geprobeerd met je test account? Dan weet je het.

En anders... FSLogix

[Renegade666]

@Tylen
Net als FSlogix zo heilig is.. Heb het bij 1 klant draaien, kan het er waarschijnlijk straks weer afhalen omdat outlook na een paar keer niet meer werkt en iets corrupt raak in het profiel..
Bij al mijn andere omgevingen zonder dat heb ik dat probleem niet.

En het enige voordeel tegenover de standaard UDP oplossing, is dat de namen in de bestanden komen te staan ipv alleen het SID. Voor de rest zie ik de voordelen niet.

[ Voor 30% gewijzigd door Renegade666 op 09-11-2020 16:08 ]

[Grvy]

@Renegade666 dan moet je naar je inrichting kijken. FSLogix is the way forward vanuit MS.

Overigens "ja maar, hier heb ik dat probleem niet dus FSlogix!1!!" is wel heel.. krom.

[ Voor 33% gewijzigd door Grvy op 09-11-2020 16:08 ]

[Renegade666]

@Grvy
Tjah, als er niks te vinden is over dit probleem..

[Grvy]

@Renegade666 genoeg over te vinden, maar moet je wel goed kijken. Ik denk dat ik weet tegen welk probleem je aanloopt. Alhoewel "Outlook werkt niet" nogal eindgebruiker praat is.

Maar a fijn, wat betreft je voordelen zie ik niet, dan zou ik nog eens goed kijken. FSLogix werkt op een hele andere manier dan een standaard UDP. Mede dankzij de integratie (qua I/O) die het in het systeem doet gaat je Outlook echt veel sneller zijn. MITS goed ingericht.

[Renegade666]

@Grvy
Ik gebruik het hele profiel via FSlogix. Het is niks sneller qua inloggen of werken dan de standaard oplossing.

Qua outlook. Hij kan geen verbinding meer maken, je kan geen nieuw outlook profiel etc meer aanmaken, enkele post/pagina's terug over gepost..
Nieuwe gebruikers profiel word het dan, en dan werkt het soms voor langere tijd, soms voor 1 dag.

Enja, ik zal wel weer negatief zijn over FSlogics, maar ben een dag bezig geweest met de GPO's, die niet wouden werken, terwijl de gewone GPO's wel werkten, Vervolgens maar via de registeropties gedaan, die wel werkten. Maar dat was nou net niet de bedoeling.

[ Voor 26% gewijzigd door Renegade666 op 09-11-2020 16:22 ]

[Paul]

Gebruikt iemand hier VMware vCloud Foundation / VCF in combinatie met een externe SFTP-server voor het backuppen van de NSX-managers? Welke SFTP-server gebruiken jullie?

Volgens de VMware Docs heb ik een FTP-server nodig met ECDSA SSH public key. Dat gaat prima, echter, dan stuurt onze SFTP-server ook een ECDSA fingerprint. Kijk je echter in de SDDC-manager dan wil die de public key wel in ECDSA, maar de fingerprint moet RSA zijn



Als ik bijvoorbeeld Cerberus FTP gebruik dan krijg ik het volgende in de logging als ik een RSA certificaat gebruik:

code:

No common host key: [S: ssh-rsa] [C: ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521]

Installeer ik een ECDSA certificaat dan doet de server braaf ecdsa-sha2-nistp384 maar wil de client ineens RSA:

code:

No common host key: [S: ecdsa-sha2-nistp384] [C: ssh-rsa]

En nee, ik draai hier niet ineens de server en de client om

Indien gewenst heb ik meer logging, maar heb iig al van de support van Cerberus te horen gekregen dat ze geen SDDC backups ondersteunen. Mijn vraag is dus vooral: Welke SFTP-server doet dat wel?

[Turdie]

Paul schreef op maandag 9 november 2020 @ 16:30:
Gebruikt iemand hier VMware vCloud Foundation / VCF in combinatie met een externe SFTP-server voor het backuppen van de NSX-managers? Welke SFTP-server gebruiken jullie?

Volgens de VMware Docs heb ik een FTP-server nodig met ECDSA SSH public key. Dat gaat prima, echter, dan stuurt onze SFTP-server ook een ECDSA fingerprint. Kijk je echter in de SDDC-manager dan wil die de public key wel in ECDSA, maar de fingerprint moet RSA zijn

[Afbeelding]

Als ik bijvoorbeeld Cerberus FTP gebruik dan krijg ik het volgende in de logging als ik een RSA certificaat gebruik:

code:

No common host key: [S: ssh-rsa] [C: ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521]

Installeer ik een ECDSA certificaat dan doet de server braaf ecdsa-sha2-nistp384 maar wil de client ineens RSA:

code:

No common host key: [S: ecdsa-sha2-nistp384] [C: ssh-rsa]

En nee, ik draai hier niet ineens de server en de client om

Indien gewenst heb ik meer logging, maar heb iig al van de support van Cerberus te horen gekregen dat ze geen SDDC backups ondersteunen. Mijn vraag is dus vooral: Welke SFTP-server doet dat wel?

OpenSSH SFTP server.

[Harmen]

Om nog even terug te komen op fslogix, ben druk aan het testen. Het lijkt te werken, logging aangezet.
Kan het kloppen dat je een ost bestand op een fileshare moet hebben staan? (GPO ingesteld dat deze op de homefolder wordt opgeslagen) Deze wordt dan geredirect naar de Office container. Google brengt mij niet veel informatie omtrent deze vraag.

[asing]

Harmen schreef op maandag 16 november 2020 @ 11:11:
Om nog even terug te komen op fslogix, ben druk aan het testen. Het lijkt te werken, logging aangezet.
Kan het kloppen dat je een ost bestand op een fileshare moet hebben staan? (GPO ingesteld dat deze op de homefolder wordt opgeslagen) Deze wordt dan geredirect naar de Office container. Google brengt mij niet veel informatie omtrent deze vraag.

De bedoeling van FSLogix is dat een deel van je profiel permanent bewaard wordt. Stel je hebt een mailbox van 20GB en je cache instelling staat op "alles". Als je in de oude situatie opnieuw in zou loggen dan zou je wel eens op een andere remote desktop server uit komen waar je profiel niet staat. Dan moet Outlook eerst die 20GB binnen hengelen. Daarna kan je nog steeds geen mail vinden, want die 20GB moet eerst geïndexeerd worden. Log je de volgende dag weer in, dan heb je kans op hetzelfde verhaal. Daarnaast groeit de benodigde ruimte op je server als een gek.

FSLogix doet het anders, die maakt op een share (tot zover zat je goed) per gebruiker een VHDX aan. In die VHDX wordt oa de OST en de search index gezet. Bij het aanloggen wordt de VHDX een mount point op je profiel zodat de server denkt dat alles lokaal staat en je een profiel hebt.

[Turdie]

Harmen schreef op maandag 16 november 2020 @ 11:11:
Om nog even terug te komen op fslogix, ben druk aan het testen. Het lijkt te werken, logging aangezet.
Kan het kloppen dat je een ost bestand op een fileshare moet hebben staan? (GPO ingesteld dat deze op de homefolder wordt opgeslagen) Deze wordt dan geredirect naar de Office container. Google brengt mij niet veel informatie omtrent deze vraag.

Hier staat het:
Create a secure shared folder to host the FSLogix Containers

Was voor mij een paar seconden zoeken op fslogix deployment guide office container

[ Voor 29% gewijzigd door Turdie op 16-11-2020 19:19 ]

[Hero of Time]

@asing, wat je beschrijft klinkt hetzelfde als UPD, User Profile Disk, wat standaard in Windows Server zit als je een RDS collection maakt. Ik had eerder begrepen dat fslogix vergelijkbaar, maar toch ook anders zou werken.

Waar ik zelf twee maanden geleden tegenaan liep was dat UPD niet op een willekeurige SMB share gehost kan worden, maar dat het een Windows fileserver moet zijn. En bij fslogix zou het wel op elke SMB share mogelijk moeten zijn. Is dat zo?

---

Door de discussie in het andere topic over Fortigates heb ik ook een vraagje over firmwares voor @D_Jeff. Momenteel draaien we 6.2.4. Ik had enige tijd na het uitkomen van 6.2.5 die geïnstalleerd maar er vielen wat zaken om die ik niet direct op kon lossen en was toen weer teruggegaan naar 6.2.4. Nu is 6.2.6 uit, in hoeverre kan ik die toepassen zonder het gevaar dat er weer wat zaken spontaan omvallen? Ik heb eens de changelog van 6.2.5 proberen te lezen, maar er staat zoveel technische zut in, dat ik het spoor bijster was na het 5e item. Ook van de 'known issues' werd ik niet veel wijzer, het zei mij vrij weinig.

Het toepassen van firmware updates op onze FG is sinds september een stuk lastiger geworden, want er wordt van ma-vr tot 21:00 gewerkt nu. M'n onderhoudsvenster op locatie is dus compleet weg en heb niet echt trek om laat in de avond bezig te moeten en eventueel weer naar kantoor te moeten scheuren om een downgrade te kunnen doen als er toch iets niet zou werken.

[D_Jeff]

@Hero of Time Ehm..
Beetje idioot druk gehad met andere meukjes, dus geef me even een reminder "wat er omviel" (mag kort).
Dat zoekt voor mij wat makkelijker de release notes door

[Renegade666]

Hero of Time schreef op maandag 16 november 2020 @ 19:47:


Het toepassen van firmware updates op onze FG is sinds september een stuk lastiger geworden, want er wordt van ma-vr tot 21:00 gewerkt nu. M'n onderhoudsvenster op locatie is dus compleet weg en heb niet echt trek om laat in de avond bezig te moeten en eventueel weer naar kantoor te moeten scheuren om een downgrade te kunnen doen als er toch iets niet zou werken.

Soms idd lastig dat men zo lang door werkt.. Overdag kunnen we vaak al geen nuttige dingen doen zonder gebruikers lastig te vallen, en nu kan het tegenwoordig weekends en savonds ook niet meer..

Ik heb ook 1 klant die het nodig vind om van 6:00 tot 02:00 te werken... Kan ik soms zaterdags of zondags wat doen.. joepie..

[Hero of Time]

Ik weet niet meer precies wat er omviel, maar internet werkte iig nog wel zodat ik gelukkig nog terug kon naar de vorige versie. Maar zaken als S2S VPN verbindingen kwamen niet up dacht ik. En mogelijk nog wat andere dingetjes, maar het is ondertussen alweer zo lang geleden, dat ik de details echt niet meer weet.

En zo'n spannende config hebben we nou ook weer niet. Nu dan 3 internet lijntjes (standaard, backup en telefonie), die het ook nog moeten blijven doen met specifieke routing rules. Dat is het spannendste eigenlijk. De S2S is wat elk bedrijf wel heeft en port forwarding is niet meer van toepassing (was ooit voor adfs gedaan).

De routing rules is overigens voor telefonie, alles van dat vlan moet via de aparte telefonie verbinding. Dit kreeg ik ook alleen maar geregeld door de voip verbinding en de standaard verbinding hetzelfde gewicht te geven, anders zou al het verkeer alsnog door de lichtste gaan.

Mocht het van toepassing zijn, we hebben een 61E.

[Harmen]

@asing Thanks, wat ik dan vreemd vind is dat Outlook nog steeds een lokale ost weg schrijft. Deze wordt wel gesynced met de office container. Heb oa deze instructie gebruikt: https://www.rdsgurus.com/...nd-FSLogix-Containers.pdf

Deze logs zie ik oa voorbij komen:
Configuration setting not found: SOFTWARE\Policies\FSLogix\ODFC\MirrorLocalOSTToVHD. Using default: 0
Added redirection C:\Users\test\AppData\Local\Microsoft\Outlook -> \\?\Volume{8a479df1-4994-4c8e-8895-ac4e894b9d01}\ODFC

MirrorLocalOSTtoVHD op 2 lijkt niet veel te doen.
Binnenkort maar eens opnieuw beginnen met testen.

[ Voor 33% gewijzigd door Harmen op 17-11-2020 09:33 ]

[asing]

Harmen schreef op dinsdag 17 november 2020 @ 09:31:
@asing Thanks, wat ik dan vreemd vind is dat Outlook nog steeds een lokale ost weg schrijft. Deze wordt wel gesynced met de office container. Heb oa deze instructie gebruikt: https://www.rdsgurus.com/...nd-FSLogix-Containers.pdf

Mooi documentje!

Deze logs zie ik oa voorbij komen:
Configuration setting not found: SOFTWARE\Policies\FSLogix\ODFC\MirrorLocalOSTToVHD. Using default: 0
Added redirection C:\Users\test\AppData\Local\Microsoft\Outlook -> \\?\Volume{8a479df1-4994-4c8e-8895-ac4e894b9d01}\ODFC

Hij kan de redirection niet vinden dus hij maakt een redirection voor je aan. Voor Windows lijkt het alsof de OST in het profiel staat maar dat staat hij dus niet. Ben je bekend met het principe "mount point"?

MirrorLocalOSTtoVHD op 2 lijkt niet veel te doen.
Binnenkort maar eens opnieuw beginnen met testen.

Die ken ik niet....

[asing]

Hero of Time schreef op maandag 16 november 2020 @ 19:47:
@asing, wat je beschrijft klinkt hetzelfde als UPD, User Profile Disk, wat standaard in Windows Server zit als je een RDS collection maakt. Ik had eerder begrepen dat fslogix vergelijkbaar, maar toch ook anders zou werken.

Je hebt gelijk. Het document hierboven legt het verschil goed uit.

[Harmen]

Mount points, niet veel mee gedaan de afgelopen jaren. Zal mij daar eens in verdiepen.

[Thijs B]

Even kort vraagje ik heb wat problemen met 2 windows dhcp servers (2019<>2012R2) welke zijn ingeregeld met dhcp replication, in mode balance.

dhcp replicatie zelf werkt goed, maar wanneer ik een iets wijzig of een dhcp reservation toevoeg wordt deze NIET gerepliceerd naar de partner server.

Wanneer ik handmatig klik wordt de reservesion wel gerepliceerd.

Weet iemand of dit zo hoort ? Of zit er een fout in mijn systemen, in de eventlogs vind ik geen errors terug ?

[Brahiewahiewa]

Thijs B schreef op woensdag 18 november 2020 @ 12:17:
Even kort vraagje ik heb wat problemen met 2 windows dhcp servers (2019<>2012R2) welke zijn ingeregeld met dhcp replication, in mode balance.

dhcp replicatie zelf werkt goed, maar wanneer ik een iets wijzig of een dhcp reservation toevoeg wordt deze NIET gerepliceerd naar de partner server.

Wanneer ik handmatig klik wordt de reservesion wel gerepliceerd.

Weet iemand of dit zo hoort ? Of zit er een fout in mijn systemen, in de eventlogs vind ik geen errors terug ?

Hoort zo. https://docs.microsoft.co...nd-2012/dn338983(v=ws.11)
If changes are made to a failover-enabled scope, you must manually replicate these changes to the partner server in order to synchronize scopes on both DHCP servers. Replication copies scope settings from the DHCP server where replication is initiated to the partner server, overwriting settings on the partner server. Therefore, it is important to always initiate replication from the server that has DHCP scope settings you wish to use.

[Turdie]

Harmen schreef op dinsdag 17 november 2020 @ 09:31:
@asing Thanks, wat ik dan vreemd vind is dat Outlook nog steeds een lokale ost weg schrijft. Deze wordt wel gesynced met de office container. Heb oa deze instructie gebruikt: https://www.rdsgurus.com/...nd-FSLogix-Containers.pdf

Deze logs zie ik oa voorbij komen:
Configuration setting not found: SOFTWARE\Policies\FSLogix\ODFC\MirrorLocalOSTToVHD. Using default: 0
Added redirection C:\Users\test\AppData\Local\Microsoft\Outlook -> \\?\Volume{8a479df1-4994-4c8e-8895-ac4e894b9d01}\ODFC

MirrorLocalOSTtoVHD op 2 lijkt niet veel te doen.
Binnenkort maar eens opnieuw beginnen met testen.

Misschien mis je een setting in de volgende GPO:
Computer Configuration\Administrative Templates\FSLogix\Office 365 Containers

Zie ook hier:
MSDN: FAQ: How to use Office 365 and Profile Containers together

[ Voor 12% gewijzigd door Turdie op 18-11-2020 15:02 ]

[D_Jeff]

@Hero of Time Mijn advies: Hou het simpel. Als je huidige build stabiel is, blijf daar dan nog maar even op zitten

In een x.x.5 versie worden zelfs nog nieuwe features toegevoegd, maar zo snel door je verhaal heel lezend verwacht ik niet dat je het nodig hebt.
(vanaf x.x.7 worden alleen bij hoge uitzondering nog zaken toegevoegd)

Kijk nog maar eens in feb/maart 2021 voor de6.2.8 release, ik gok zo dat die wel stabieler is.

Wel handig: log een case bij Forti Support, zodat het/de stoute bug(-s) gevonden wordt.

[Hero of Time]

@D_Jeff, tnx. Mijn voornaamste reden om te willen updaten is vanwege de security. Begin dit jaar of vorig jaar ergens was er namelijk een item dat veel Fortigate routers met security lekken nog gewoon draaiden. Nu kan het natuurlijk zijn dat die met stokoude firmwares draaiden en de bugs al jaren gefixt zijn, maar ik wil wel graag de boel veilig houden.

Onze FG werd initieel met 6.0 geleverd en toen ik 'm ging inrichten kwam de melding dat er 6.2.x beschikbaar was en dat die geïnstalleerd kon worden. Ik zag niet direct een knop om op de 6.0 versie te blijven. Die heb ik nu gelukkig wel, om 6.2 te houden en niet meteen naar 6.4 te gaan.

Als ik eens de tijd en gelegenheid krijg om de firmware bij te werken met de op dat moment recentste 6.2 versie en er valt wat om, zal ik dat gaan melden bij support.

[Illegal_Alien]

"Simpel" vraagje;

Weet iemand hoe je een installatie van Software Centerkan forceren via een CMD line?

Dus je start via dit het programma wat je wilt hebben; alleen dan moet men nog automatisch op "Install" klikken.

code:

"C:\WINDOWS\CCM\ClientUX\SCClient.exe" softwarecenter:SoftwareID=ScopeId_6DBD4E39-1B15-4F1D-9264-E3BAFE97B0A3/Application_337e2afd-0ec2-4494-bb9e-d8787d7fc627

Bron: https://deploymentresearc...ions-for-software-center/

Reden dat ik dit wil, omdat ik een eigen lokale deployment hebt (PDQ Deploy) heb, en sommige onderdelen wel via Software Center aangeboden worden. En sommige van mijn deployments/pre-installs dingen nodig heeft van Software Center die nu handmatig moeten.

Of iemand nog een ander ideetje? Ben zelf niet zo erg thuis in Powershell (nog), wil namelijk ook kijken of PDT samen met PDQ werkt.

[ Voor 6% gewijzigd door Illegal_Alien op 19-11-2020 15:56 ]

[Duinkonijn]

Illegal_Alien schreef op donderdag 19 november 2020 @ 15:55:
"Simpel" vraagje;

Weet iemand hoe je een installatie van Software Centerkan forceren via een CMD line?

Dus je start via dit het programma wat je wilt hebben; alleen dan moet men nog automatisch op "Install" klikken.

code:

"C:\WINDOWS\CCM\ClientUX\SCClient.exe" softwarecenter:SoftwareID=ScopeId_6DBD4E39-1B15-4F1D-9264-E3BAFE97B0A3/Application_337e2afd-0ec2-4494-bb9e-d8787d7fc627

Bron: https://deploymentresearc...ions-for-software-center/

Reden dat ik dit wil, omdat ik een eigen lokale deployment hebt (PDQ Deploy) heb, en sommige onderdelen wel via Software Center aangeboden worden. En sommige van mijn deployments/pre-installs dingen nodig heeft van Software Center die nu handmatig moeten.

Of iemand nog een ander ideetje? Ben zelf niet zo erg thuis in Powershell (nog), wil namelijk ook kijken of PDT samen met PDQ werkt.

https://systemcenterdudes...2012-client-command-list/

.
/s

[Illegal_Alien]

Duinkonijn schreef op donderdag 19 november 2020 @ 16:58:
[...]

https://systemcenterdudes...2012-client-command-list/

.
/s

Helaas gaat dus hierom;

Hij opent nu automatisch het schermpje van de applicatie; maar je moet alsnog handmatig op "Install" klikken. Ik wil dus dat dit vanzelf gaat:

Maar het kleine vraagje wordt dan een wat grotere vraag gok ik.

[Turdie]

Illegal_Alien schreef op vrijdag 20 november 2020 @ 11:18:
[...]


Helaas gaat dus hierom;

Hij opent nu automatisch het schermpje van de applicatie; maar je moet alsnog handmatig op "Install" klikken. Ik wil dus dat dit vanzelf gaat: [Afbeelding]

Maar het kleine vraagje wordt dan een wat grotere vraag gok ik.

Dan zul je moeten uitzoeken hoe je dat "silent" installeert.

https://www.get-itsolutio...-uninstall-older-version/

[ Voor 8% gewijzigd door Turdie op 20-11-2020 11:52 ]

[Illegal_Alien]

Dat is niet wat ik wil, dit is gewoon een voorbeeld... Je roept dus zo`n ding ana in Software Center en dan automatisch installeren. ZONDER dat ik zel weer een pakketje inelkaar moet gooien...

[Turdie]

Illegal_Alien schreef op vrijdag 20 november 2020 @ 13:47:
Dat is niet wat ik wil, dit is gewoon een voorbeeld... Je roept dus zo`n ding ana in Software Center en dan automatisch installeren. ZONDER dat ik zel weer een pakketje inelkaar moet gooien...

Het kan niet anders denk ik, je zult moeten zorgen dat software center weet dat een pakket silent geinstalleerd moet worden, daar zul je iets voor moeten doen. Ook in SCCM als je daar packages aanmaakt zul je moeten opgeven dat ze silent geinstalleerd. Daarvoor hebben sommige bedrijven packagers in dienst om daarvoor te zorgen

[ Voor 16% gewijzigd door Turdie op 20-11-2020 15:29 ]

[asing]

Illegal_Alien schreef op vrijdag 20 november 2020 @ 11:18:
[...]


Helaas gaat dus hierom;

Hij opent nu automatisch het schermpje van de applicatie; maar je moet alsnog handmatig op "Install" klikken. Ik wil dus dat dit vanzelf gaat: [Afbeelding]

Maar het kleine vraagje wordt dan een wat grotere vraag gok ik.

Hij staat op "available". Daar zit een deel van je probleem. Het moet verplicht worden op een collectie. Dan is het nog even de vraag wat hij doet met de vorige versie. Die moet je dan even terugtrekken en de detection goed zetten zodat de installer weet wanneer deze moet starten.

[lolgast]

Ik heb ook nog wel een vraagje, nu W10 2009 beschikbaar is. Onze uitrol van 1909 was, rommelig.

Van ons wordt verwacht dat we Windows updates en dus ook build upgrades big bang doen. De hele organisatie in een keer, alle 1500 fysieke werkplekken. Na veel trial-and-error met het upgraden van 1809 naar 1909 zijn we uitgekomen op MDT om dat te voorzien. Hoe gaan jullie hier mee om?

[asing]

lolgast schreef op vrijdag 20 november 2020 @ 16:59:
Ik heb ook nog wel een vraagje, nu W10 2009 beschikbaar is. Onze uitrol van 1909 was, rommelig.

Van ons wordt verwacht dat we Windows updates en dus ook build upgrades big bang doen. De hele organisatie in een keer, alle 1500 fysieke werkplekken. Na veel trial-and-error met het upgraden van 1809 naar 1909 zijn we uitgekomen op MDT om dat te voorzien. Hoe gaan jullie hier mee om?

Toen ik dat moest doen was het simpel met Sccm. Extra taak sequence met nieuwe wim. Die noemden we beta. Daarnaast was er een stable en een legacy. Vanaf de nieuwe build begonnen we met een paar beta machines. Als dat goed ging, ging beta naar stable en werd alles daarmee ingespoeld. Op een gegeven moment was het big bang tijd en ging alles in batches van 200 machines per week via de update van Sccm.

Je kan het niet hebben dat bijvoorbeeld ineens je VPN niet meer werkt nu iedereen thuis zit.

[Turdie]

lolgast schreef op vrijdag 20 november 2020 @ 16:59:
Ik heb ook nog wel een vraagje, nu W10 2009 beschikbaar is. Onze uitrol van 1909 was, rommelig.

Van ons wordt verwacht dat we Windows updates en dus ook build upgrades big bang doen. De hele organisatie in een keer, alle 1500 fysieke werkplekken. Na veel trial-and-error met het upgraden van 1809 naar 1909 zijn we uitgekomen op MDT om dat te voorzien. Hoe gaan jullie hier mee om?

Ik vind dit wel een hele rare en adsurde verwachting, ik vermoed dat het komt van manager(s) die niks snappen van release management.

Ik zou nooit alles in een keer doen, zeker niet als je verschillende modellen hebt qua hardware voor je devices van je end-users.
Sowieso eerst met een pilot groep van een aantal mensen uit de organisatie met verschillende configuratie, die kunnen testen en de bug van je release eruit halen (vaak mensen van de IT afdeling zelf).En daarna in batches van een paar 100 man.

[ Voor 13% gewijzigd door Turdie op 20-11-2020 20:28 ]

[lolgast]

@asing @Turdie
Natuurlijk testen we eerst, hahah Zodra de eerste 100 goed zijn bevonden gaan de overige werkplekken. Met reguliere updates geen probleem, maar de build upgrade van 1809 naar 1909 was gewoon problematisch. Ik dacht, eens kijken hoe anderen dat doen en anders blijven we vasthouden aan MDT. Dat werkt behoorlijk betrouwbaar.

Afwijken van de huidige werkwijze is onwenselijk en onnodig. Er is ook geen reden voor in mijn ogen, we hebben onze zaken goed voor elkaar verder hoor We doen het al jaren op deze manier, ook bij Windows 7.

[nextware]

Wij maken gebruik van Microsoft Endpoint Manager (voorheen Intune) om Windows Updates en builds te verspreiden.
Is opgedeeld in drie groepen:
1: Pre-pilot welke op de fast ring zit
2: Pilot groep welke op de slow ring zit
3: Normal groep welke op het reguliere kanaal zit maar wel met 90 dagen delay op nieuwe builds

Die 90 dagen geeft ons de kans om de nieuwe builds goed te testen. Zijn er zaken die we niet opgelost krijgen binnen die 90 dagen dan kunnen we de 3e ring op "pauze" zetten waardoor de nieuwe build nog niet laten uitrollen (zoals met de 2004 build gedaan is ivm AOVPN)

[lolgast]

Dat soort release periodes gaat bij ons nooit gebeuren. We zitten nu op elke 6 weken de hele omgeving updaten en zelfs dat staat al onder druk omdat het vrij lang is. Ik zie de gezichten al voor me als ik aangaf 90 dagen nodig te hebben, hahaha

04-Builds slaan we over. Die hebben minder lang support en móchten we dan om welke reden dan ook niet kunnen updaten dan hebben we daar in ieder geval geen gedoe mee.

Overigens ben ik 100% gebonden aan on-premises oplossingen, cloud koppelingen met Azure hebben we niet. Dus ik denk dat ik MDT maar als heilige graal aan moet houden voorlopig.

[nextware]

Wij hebben te maken met laptops die rondzwerven in EMEA.. Zou wat zijn dat we iedere laptop terug roepen iedere zoveel weken om opnieuw geïnstalleerd te worden

Maar als je gebonden bent aan on-premise omgevingen zal MDT ook goed werken. Push je dan een volledig nieuw image ?

[pjlgt]

Klinkt als een hoop onzinnig werk. Heb vanaf 1809 weinig pc’s gehad die na een build update problemen gaven. En anders geef ik ze een andere of spoel hem alsnog opnieuw in. Zoveel spannende dingen zitten er toch niet in die nieuwe builds dat iedereen dat moet hebben?

[lolgast]

@pjlgt De nieuwe Edge Chromium browser was in eerste instantie alleen beschikbaar voor 1903/1909. En die browser testte wij vanaf moment 1. Om maar een voorbeeld te noemen. Maar er waren bij ons meer redenen om te updaten naar de 1909 build. De vraag is ook niet of 1909 zelf voor problemen heeft gezorgd, het gaat mij er om hoe 1909 op de werkplekken wordt gezet

@nextware Nee de werkplekken worden echt geüpdatet. Build 1909 nu dus via MDT, resterende updates vervolgens via WSUS. 1909 via WSUS was echt een regelrechte ramp, mega onbetrouwbaar. Via Ivanti Automation ook geprobeerd, als update en als installatie, ook met wisselende resultaten helaas.

[D_Jeff]

@Hero of Time @Drardollan Mochten jullie schrikken van het FP artikel: niet nodig. Jullie versies hebben de patch.

@Arfman Ik dacht gezien te hebben dat jullie ook een FGT cluster hebben. Welke versie draait dat?

[Drardollan]

D_Jeff schreef op maandag 23 november 2020 @ 09:44:
@Hero of Time @Drardollan Mochten jullie schrikken van het FP artikel: niet nodig. Jullie versies hebben de patch.

Ik zal zo eens rustig lezen. Helaas tot vorige week wel 5.6.7 gedraaid in productie, maar ik gebruik geen SSL-VPN dus zou sowieso niet kwetsbaar geweest moeten zijn.

Maar eens de lijst zien op te duikelen ergens, kan ik even op IP nummer checken.

[ Voor 35% gewijzigd door Drardollan op 23-11-2020 10:02 ]

[lolgast]

@Drardollan nieuws: Lijst met 50.000 inloggegevens van bedrijven met Fortinet-vpn verschi...

[Drardollan]

lolgast schreef op maandag 23 november 2020 @ 09:56:
@Drardollan nieuws: Lijst met 50.000 inloggegevens van bedrijven met Fortinet-vpn verschi...

Ah, nog niet voldoende koffie op zie ik. Thanks!

[Arfman]

D_Jeff schreef op maandag 23 november 2020 @ 09:44:
@Hero of Time @Drardollan Mochten jullie schrikken van het FP artikel: niet nodig. Jullie versies hebben de patch.

@Arfman Ik dacht gezien te hebben dat jullie ook een FGT cluster hebben. Welke versie draait dat?

Klopt, 3200D cluster. Draaien nu 6.0.7 maar we hebben ten tijde van de SSL VPN bug gelijk de workaround erop gezet. Onze IP reeks komt ook niet voor in de lijst had ik al gezien

[FastFred]

Vandaag onder garantie nieuw moederbord in een DL360 G10 ESX host gekregen. Server kwam niet lekker terug in vSphere dus oude host eruit gegooid en als nieuwe host weer toegevoegd, dat is gelukt.

De server boot, ESX start netjes op, iLO functioneert, ik zie 'm na wat gehannes ook in vSphere terug zonder errors.

Nu krijg ik 'm alleen niet terug in het cluster met de andere 3 hosts, maar hij blijft 1 stap hoger in de tree steken. Als ik 'm probeer te verplaatsen krijg ik een EVCAdmissionFailed foutmelding. EVC staat ingeschakeld omdat we 4 DL360's hebben, 3x G10 en 1x G9.

Onze IT dienstverlener gaat er vanavond mee aan de slag, maar ik wil het eigenlijk gewoon zelf zien te fixen. Met Google kom ik eigenlijk alleen uit op per-VM EVC inschakelen en dat wil ik juist niet. Die G10 moet gaan draaien op het hardware niveau van die G9

^{Disclaimer: ik heb geen flauw idee waar ik exact mee bezig ben}

[ Voor 11% gewijzigd door FastFred op 23-11-2020 17:00 ]

[D_Jeff]

@asing Komt u er maar in voor @FastFred

[Drardollan]

Arfman schreef op maandag 23 november 2020 @ 12:35:
[...]
Onze IP reeks komt ook niet voor in de lijst had ik al gezien

Die van mij ook niet gelukkig. Slaapt toch fijner

[asing]

D_Jeff schreef op maandag 23 november 2020 @ 18:31:
@asing Komt u er maar in voor @FastFred

Dank u dank u

@FastFred Er is iets niet helemaal compatibel in je cluster. Daarom wil EVC niet aan . Dit kan 2 dingen betekenen :

1) je server wjikt af van de anderen. Check CPU settings in het BIOS en BIOS versie

2) een VM staat "te hoog" ingesteld en staat niet toe dat je de server toevoegt. De rest blijft gewoon draaien "want VMware".

Er zijn een paar methodes om te vinden waaraan het ligt. De eerste is vpxd.log, waar je waarschijnlijk 'vim.fault.EVCAdmissionFailedVmActive' gaat vinden. Check de regels onder die melding, die verklaren waarom EVC niet aan wil. Nu zou je alle vmware.logs van alle servers moeten checken maar dat is wat veel werk.

Als je EVC op cluster niveau hebt ingesteld dan kan je in het VM overzicht de kolom EVC mode aanzetten. Dat geeft je een mooi overzicht. Als ik het goed heb wordt het met nummertjes aangegeven. Ze die VMs uit die te hoog in de boom zitten, daarna kan je de server denk ik wel toevoegen.

Maar begin eens bij stap 1 nu er nog niks op staat.

[Hero of Time]

D_Jeff schreef op maandag 23 november 2020 @ 09:44:
@Hero of Time @Drardollan Mochten jullie schrikken van het FP artikel: niet nodig. Jullie versies hebben de patch.

Ik werd door een collega al gewezen op het artikel. Toen ik de versienummers zag, wist ik al dat wij met 6.2.4 geen probleem zouden hebben.

Wat ik zo mooi vond aan die collega is dat hij mij niet lang kent, maar wel goed genoeg dat ik security hoog op de prio lijst heb staan. O.a. omdat hij wat dingen wilde op de jumphost die ik onlangs heb opgeleverd en die verzoeken keihard heb afgewezen omdat het de systeemveiligheid negatief zou beïnvloeden en het ook nog eens nergens op sloeg. Het had namelijk geen toegevoegde waarde met wat al mogelijk was.

[FastFred]

@asing Ja thx, BIOS versie werd ik ook al op gewezen idd. Maar kan ik niet checken omdat het moederbord door de leverancier geconfigureerd is voor ze bij ons waren, en nu weet ik het iLO wachtwoord niet, dus kan BIOS versie niet vergelijken...

En EVC staat wel aan, maar in het actieve cluster. Aangezien ik de host verwijderd en opnieuw aangemaakt heb, is het eigenlijk 'het toevoegen van een nieuwe host in een bestaand cluster met EVC'.

Je zou dan denken dat als je een host toevoegt aan het bestaande cluster, dat de host dan direct op het EVC level van het bestaande cluster gaat draaien. Tenminste, dat lijkt mij logisch....

[ Voor 45% gewijzigd door FastFred op 23-11-2020 20:11 ]

[asing]

@FastFred ik vermoed dat iemand een incompatible vm heeft aangemaakt. In principe draait vSphere gewoon door tot je iets wijzigt. Nu dus.

Anyway, het is snel te checken middels die extra kolom.

[FastFred]

Bingo! Alle VM's staan ingesteld op Ivy Bridge Generation, behalve 3 (vSphere Cluster Services VM's), die staan ingesteld op Merom Generation, die vm's zijn verschenen na de update naar versie 7. En ze hebben geen EVC setting om aan te passen

EDIT: wacht jij zij in je vorige post dat een VM mogelijk te hoog ingesteld staat, dus op een generatie nieuwer dan Ivy Bridge, maar in mijn geval staat ie juist op een veeeel oudere CPU generatie ingesteld. Zou het dan toch BIOS zijn

[ Voor 79% gewijzigd door FastFred op 23-11-2020 22:25 ]

[asing]

FastFred schreef op maandag 23 november 2020 @ 21:26:
EDIT: wacht jij zij in je vorige post dat een VM mogelijk te hoog ingesteld staat, dus op een generatie nieuwer dan Ivy Bridge, maar in mijn geval staat ie juist op een veeeel oudere CPU generatie ingesteld. Zou het dan toch BIOS zijn

Dat is de eerste indicatie die ik overal krijg. Die is ook wel logisch, je hebt een compleet mobo gewisseld.

Het ILO wachtwoord voor dat bord zat in de doos bij het bord, dus ik hoop niet dat je die doos rechtstreeks naar /dev/null gestuurd hebt.

Waar je nu wel bij kan is vpxd.log. Kijk daar eens.

[ Voor 4% gewijzigd door asing op 24-11-2020 08:22 ]

[FastFred]

Dat iLO wachtwoord heeft onze leverancier ingesteld, het moederbord komt uit een spare server van onze leverancier (HP Partner), voor dat dat bord naar ons kwam is daar eerst iLO op geconfigureerd, zodat het hier een kwestie van aansluiten en spelen is. Het gebruikersaccount is er ook een van hen.

VPXD.log ben ik naar aan het zoeken geweest, volgens KB van VMware....

The vCenter Server logs are placed in a different directory on disk depending on vCenter Server version and the deployed platform:
vCenter Server 6.x and higher versions on Windows server: C:\ProgramData\VMware\VMware VirtualCenter\Logs\

....moet ie daar staan, maar op welke server? Onze vCenter Server is Photon OS... In vCenter zou toch logischerwijs een knopje moeten staan met 'Logs', maar nee hoor

[ Voor 14% gewijzigd door FastFred op 24-11-2020 08:39 ]

[Fanatix]

FastFred schreef op dinsdag 24 november 2020 @ 08:35:

VPXD.log ben ik naar aan het zoeken geweest, volgens KB van VMware....

[...]

....moet ie daar staan, maar op welke server? Onze vCenter Server is Photon OS... In vCenter zou toch logischerwijs een knopje moeten staan met 'Logs', maar nee hoor

Je kan een export draaien vanuit de vSphere client (RMB op vCenter en dan " Export System Logs") mocht dat je voorkeur hebben. Anders even via CLI/SSH inloggen op je VCSA en bladeren naar /var/log/vmware/.

[FastFred]

@Fanatix voor Vsphere 5.5 en 6.5. In de webclient van Vsphere 7 zit dat niet, of ik kan het niet vinden

[Fanatix]

FastFred schreef op dinsdag 24 november 2020 @ 09:13:
@Fanatix voor Vsphere 5.5 en 6.5. In de webclient van Vsphere 7 zit dat niet, of ik kan het niet vinden

Zou kunnen dat ze het weer eens verplaatst hebben.. Ik zal straks even kijken waar de optie gebleven is.

Edit: Volgens de documentatie zou het nog op dezelfde plek moeten zitten: https://docs.vmware.com/e...EB-9E03-958CF2750A0A.html

[ Voor 23% gewijzigd door Fanatix op 24-11-2020 09:26 ]

[asing]

Dat zou moeten werken en anders moet je toch echt de CLI in @FastFred .

Voor mij klinkt dat ontzettend simpel maar als een linux terminal en ssh onbekend terrein zijn dan kan dat wat afschrikwekkend zijn .

[FastFred]

Als ik Export System Logs doe op de vCenter server dan crashed de vCenter VM gewoon in z'n geheel.

Bekijk het maar, laat de experts het maar oplossen. Ik ga wat anders doen

[Renegade666]

@FastFred
Soms is vmware leuk, maar het haalt ook geregeld het bloed onder de nagels vandaan

[pjlgt]

Inlog op een website ingeregeld via radius. Werkt prima, echter slikt deze (bijna) alles wat je er maar invult, dus samaccountname, UPN en email. Wil eigenlijk dat men enkel via 1 van deze methoden in kan loggen. Zou ik dat op de radius (MS NPS) in kunnen regelen, of is dat meer een website dingetje?

[Turdie]

Ik denk dat je moet regelen in de Connection Request Policy met een regular expression:
https://docs.microsoft.co...s/nps-crp-reg-expressions

Dit is een voorbeeld voor inloggen met UPN:
^\w+\.\w+@fabrikam\.com$

[ Voor 16% gewijzigd door Turdie op 24-11-2020 17:51 ]

[pjlgt]

Turdie schreef op dinsdag 24 november 2020 @ 17:49:
Ik denk dat je moet regelen in de Connection Request Policy met een regular expression:
https://docs.microsoft.co...s/nps-crp-reg-expressions

Dit is een voorbeeld voor inloggen met UPN:
^\w+\.\w+@fabrikam\.com$

Thx. Zal er morgen verder mee aan de slag. Voorkeur gaat uit naar enkel de Samaccountname, maar als ik eerst maar een begin heb. Moeilijk zoeken als je niet precies weet hoe het heet.

[lolgast]

Vandaag eindelijk gevonden waarom de export->import van onze Ivanti Workspace omgevingen ervoor zorgde dat bij alle gebruikers de handtekening gereset werd. Ik haat user errors

We exporteren de volledige test omgeving naar een building block, verbouwen die met PowerShell naar de productie parameters en importeren hem vervolgens. Om te voorkomen dat er problemen optreden en zo is de productieomgeving statisch. We hebben 2 instellingen bij de emailsettings, 1. mailprofiel en 2. handtekening. Om onduidelijke reden wordt de handtekening overschreven bij een import, mailprofiel niet. Om dat te voorkomen verwijderen we via PowerShell dat onderdeel uit de XML, maar dat onderdeel staat er twee keer in.... Ook als onderdeel van de applicatie Outlook, omdat ze daarin zijn gekoppeld. Oeps

[Paganstars]

Heeft er hier iemand ervaring met Horizon 7, FSLogix en Google Drive File Stream?

Ik heb nogal een vaag issue; Als ik inlog op de master met mijn gewone user creds, dan kan ik met Google Drive File Stream een netwerk koppeling opzetten naar mijn Google Drive.

De Horizon omgeving is een persistant VDI.

Als ik FSLogix user containers instel, krijg ik volgende melding



Ik heb al google gezocht en de gemelde regkeys geïmplementeerd, maar dat werkte ook niet.

Enige wat ik nog zou kunnen bedenken is dat er een GPO roet in het eten gooit, of dat FSLogix profile container een exclusion nodig heeft.

Iemand?

[asing]

@FastFred : status update?

[ Voor 3% gewijzigd door asing op 25-11-2020 19:04 ]

[FastFred]

@asing heel EVC was naar de klote en de vSphere server was dusdanig over de zeik dat ie een hele host met VM's en al uitgezet heeft, geen idee waarom of hoe. 1 persoon van onze IT partner is gisteren tot 2 's nachts bezig geweest om het recht te trekken, alles draait nu weer as it should.

Tot juni hadden we 3x G8 en 1x G9, al die tijd hebben we op een EVC level voor die G8's gedraaid. Toen de G10's kwamen, is dat aangepast naar EVC level voor de G9.

Door onbekende oorzaak lijkt het erop dat dat terug gedraaid is, alles stond weer op EVC level voor G8. Dat ging dus mis toen we de gerepareerde host weer toevoegden. De vSphere server ging helemaal over de zeik en HA greep in, terwijl er net weer VM's op de gerepareerde host stonden en een andere host in maintenance stond (omdat we bezig waren alle hosts weer op hetzelfde niveau te laten draaien), ging er dus spontaan 1 host uit en nam alle VM's die er op draaiden met 'm mee, 3 databases van verschillende programma's moeten herstellen van backup en iets van 50 mensen die uit Citrix werden geknikkerd. Hele middag en deel van de avond met herstel werk bezig geweest. En daarna samen overlegd en gekeken naar het probleem, uiteindelijk erachter gekomen dat EVC modes compleet verkeerd stonden ingesteld. De vSphere server hebben we van backup moeten recoveren, daar viel geen land meer mee te bezeilen.

Wat het nu precies geweest is en wat er precies gedaan is om het te fixen weet ik niet.

Ik ben rond middernacht naar bed gegaan, toen werd er nog gewerkt aan een fix. Ik heb m'n wekker op 5 uur gezet, en toen zag ik dat ik om 2 uur een appje had gehad dat alles weer up and running was zoals het hoort, ff ingelogd om te checken en toen weer in bed gekropen.

Oja en nu zit ik thuis in quarantaine, dus ik hoop dat we voorlopig ff geen gezeik meer hebben

[ Voor 5% gewijzigd door FastFred op 25-11-2020 19:33 ]

[Hero of Time]

Wow, dat is een flinke hoeveelheid gezeik. Dat je vCenter compleet over de zuiger ging toen je logs op vroeg had al een voorteken moeten zijn dat er iets goed mis was met de omgeving.

Jammer dat je zoveel moest terughalen uit backups (maar gelukkig dat je ze had!). VMware zou waarschijnlijk heel blij zijn als je logs van de hele situatie kon leveren aan hun om te achterhalen wat er zo in de soep is gelopen.

[asing]

@FastFred jeetje! Ik heb best mijn dingetjes met vSphere meegemaakt maar dit nog nooit! Ik ken het niet anders als rock solide, en zelfs als draai je het een poot uit, het rent verder. Tot je inderdaad iets gaat wijzigen .

Gelukkig had je hulp en backups. Had je rvtools al? Weet niet of je dit issue gevonden had maar is goed en vooral gratis.

Petje af dat jullie het gered hebben

[Creep]

Klein vraagje, ik ben op zoek naar een leverancier van laptops, pc's voor collega's in het Verenigd Koninkrijk. Ik doe het liefst zaken met een bedrijf zoals Centralpoint, Azerty enz. Kan alleen niet echt ontdekken welke partijen in het Verenigd Koninkrijk dat doen. Enige wat ik gevonden heb is: Scan en Misco. Iemand ervaring met inkopen voor UK?

[DennusF]

Creep schreef op donderdag 26 november 2020 @ 09:57:
Klein vraagje, ik ben op zoek naar een leverancier van laptops, pc's voor collega's in het Verenigd Koninkrijk. Ik doe het liefst zaken met een bedrijf zoals Centralpoint, Azerty enz. Kan alleen niet echt ontdekken welke partijen in het Verenigd Koninkrijk dat doen. Enige wat ik gevonden heb is: Scan en Misco. Iemand ervaring met inkopen voor UK?

Is dat niet gewoon een techdata of ingram?

[nextware]

DennusF schreef op donderdag 26 november 2020 @ 10:02:
[...]


Is dat niet gewoon een techdata of ingram?

Volgens mij moet je dan als reseller wel ingeschreven staan in dat betreffende land. En anders naar de UK laten versturen vanaf je NL reseller account ?

[Turdie]

Creep schreef op donderdag 26 november 2020 @ 09:57:
Klein vraagje, ik ben op zoek naar een leverancier van laptops, pc's voor collega's in het Verenigd Koninkrijk. Ik doe het liefst zaken met een bedrijf zoals Centralpoint, Azerty enz. Kan alleen niet echt ontdekken welke partijen in het Verenigd Koninkrijk dat doen. Enige wat ik gevonden heb is: Scan en Misco. Iemand ervaring met inkopen voor UK?

AMC Computers,wat kleinere distri, maar vaak scherper geprijsd dan Misco

[ Voor 6% gewijzigd door Turdie op 30-11-2020 18:00 ]

[The Eagle]

Creep schreef op donderdag 26 november 2020 @ 09:57:
Klein vraagje, ik ben op zoek naar een leverancier van laptops, pc's voor collega's in het Verenigd Koninkrijk. Ik doe het liefst zaken met een bedrijf zoals Centralpoint, Azerty enz. Kan alleen niet echt ontdekken welke partijen in het Verenigd Koninkrijk dat doen. Enige wat ik gevonden heb is: Scan en Misco. Iemand ervaring met inkopen voor UK?

Ik tag @ToolkiT en @Zwerver even voor je. Verwacht dat die er wel enigszins zicht op hebben

[ToolkiT]

The Eagle schreef op maandag 30 november 2020 @ 20:13:
[...]

Ik tag @ToolkiT en @Zwerver even voor je. Verwacht dat die er wel enigszins zicht op hebben

Nu nog meer zelfs aangezien ik sinds kort voor (de software kant van) een distributer werk
@Creep Ik stuur wel een DM om te kijken of ik kan helpen

[Arfman]

Niet echt een kleine vraag, maar iemand toevallig ervaring met upgraden van een VMware Horizon 7.x omgeving naar 7.13?

Ik heb deze upgrades altijd laten uitvoeren door een externe partij ivm. tijdgebrek, maar nu begint de tijd te dringen (einde Flash in 2021 ) dus ik wil het zelf eens proberen. Gaat om 6 hosts met een vSAN.

Wat ik al heb gevonden qua volgorde:

1. Horizon client updaten op vdi golden image
2. Upgrade Connection Servers
3. Upgrade vCenter Server (draait al 6.7U3 maar nog niet de nieuwste build)
4. Upgrade ESXi hosts (draaien al 6.7U3 maar nog niet de nieuwste build)
5. Upgrade VMware Tools in golden image etc.

Wat ik nergens kan vinden is waar onze Unified Access Gateways (UAGs) geupgrade moeten worden. Ik vermoed na de Connection Servers maar kan daar nergens duidelijke documentatie over vinden.

Iemand met ervaring hier?

[Duinkonijn]

Arfman schreef op woensdag 2 december 2020 @ 13:25:
Niet echt een kleine vraag, maar iemand toevallig ervaring met upgraden van een VMware Horizon 7.x omgeving naar 7.13?

Ik heb deze upgrades altijd laten uitvoeren door een externe partij ivm. tijdgebrek, maar nu begint de tijd te dringen (einde Flash in 2021 ) dus ik wil het zelf eens proberen. Gaat om 6 hosts met een vSAN.

Wat ik al heb gevonden qua volgorde:

1. Horizon client updaten op vdi golden image
2. Upgrade Connection Servers
3. Upgrade vCenter Server (draait al 6.7U3 maar nog niet de nieuwste build)
4. Upgrade ESXi hosts (draaien al 6.7U3 maar nog niet de nieuwste build)
5. Upgrade VMware Tools in golden image etc.

Wat ik nergens kan vinden is waar onze Unified Access Gateways (UAGs) geupgrade moeten worden. Ik vermoed na de Connection Servers maar kan daar nergens duidelijke documentatie over vinden.

Iemand met ervaring hier?

https://www.virtualizatio...gateway-uag-3-10-upgrade/
Is dit wat?

[Renegade666]

Hier ook mensen die verstand hebben van Tomcat apache (9), en dan voornamelijk de SSL/certificaat gedeelte?

Klant heeft een applicatie gebaseerd op Java (joepie...) en word gebruik gemaakt van Tomcat Apache.
Voor een veilige verbinding is een SSL in te stellen, leverancier geeft aan hoe, maar het werkt niet..
En nu weet de leverancier het ook niet hoe hun software werkt op dat punt...

Certifcaat/keystore aangemaakt zoals aangegeven, en config (server.xml) ingesteld met de waarden die zij geven. Maar localhost via 443 of via de sub.domein.nl werkt het ook niet, krijg standaard melding dat de site niet bereikbaar is.

Via de managerapp van tomcat kan ik wel wat na kijken, maar je kunt er in het algemeen geen zak mee.
Zijn 2 knoppen om Certificaten te checken, en geven beide een foutmelding:

HTTP Status 500 – Internal Server Error
Type Exception Report

Description The server encountered an unexpected condition that prevented it from fulfilling the request.

Exception

java.lang.NullPointerException
org.apache.catalina.manager.ManagerServlet.getConnectorCerts(ManagerServlet.java:1734)
org.apache.catalina.manager.HTMLManagerServlet.sslConnectorCerts(HTMLManagerServlet.java:778)
org.apache.catalina.manager.HTMLManagerServlet.doGet(HTMLManagerServlet.java:144)
org.apache.catalina.manager.HTMLManagerServlet.doPost(HTMLManagerServlet.java:232)
javax.servlet.http.HttpServlet.service(HttpServlet.java:660)
javax.servlet.http.HttpServlet.service(HttpServlet.java:741)
org.apache.catalina.filters.CsrfPreventionFilter.doFilter(CsrfPreventionFilter.java:136)
org.apache.tomcat.websocket.server.WsFilter.doFilter(WsFilter.java:53)
Note The full stack trace of the root cause is available in the server logs.

Stukje config over ssl:

<Connector protocol="HTTP/1.1" port="443" maxThreads="200" scheme="https" secure="true"
SSLEnabled="true" keystoreFile="PAD naar Key.keystore" keystorePass="MooiWachtwoord"
clientAuth="false" sslProtocol="TLS"
ciphers="TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_RC4_128_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,
TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,SSL_RSA_WITH_RC4_128_SHA"
/>

Wie kan mij hiermee helpen?

[ Voor 91% gewijzigd door Renegade666 op 08-12-2020 15:22 ]

[Vorkie]

Arfman schreef op woensdag 2 december 2020 @ 13:25:
Niet echt een kleine vraag, maar iemand toevallig ervaring met upgraden van een VMware Horizon 7.x omgeving naar 7.13?

Ik heb deze upgrades altijd laten uitvoeren door een externe partij ivm. tijdgebrek, maar nu begint de tijd te dringen (einde Flash in 2021 ) dus ik wil het zelf eens proberen. Gaat om 6 hosts met een vSAN.

Wat ik al heb gevonden qua volgorde:

1. Horizon client updaten op vdi golden image
2. Upgrade Connection Servers
3. Upgrade vCenter Server (draait al 6.7U3 maar nog niet de nieuwste build)
4. Upgrade ESXi hosts (draaien al 6.7U3 maar nog niet de nieuwste build)
5. Upgrade VMware Tools in golden image etc.

Wat ik nergens kan vinden is waar onze Unified Access Gateways (UAGs) geupgrade moeten worden. Ik vermoed na de Connection Servers maar kan daar nergens duidelijke documentatie over vinden.

Iemand met ervaring hier?

Die UAG's kan je redelijk "los" zien van Horizon, net zoals vCenter en vSphere (niet ESXi ).

Het zijn echt appliances als een soort proxy / front-end. Export die JSON, zorg dat je de certificaten die je erop geladen hebt (PFX's) klaar hebt staan, zet de oude uit, deploy de OVA, zelfde gegevens gebruiken, JSON importeren, certificaat laden en klaar.

Het is minder spannend dan het lijkt, ik raadt je aan thuis proberen met een UAG te werken, horizon op te bouwen, dan zal je zien dat het echt minder spannend is dan het lijkt)

[Equator]

Renegade666 schreef op dinsdag 8 december 2020 @ 15:16:
Hier ook mensen die verstand hebben van Tomcat apache (9), en dan voornamelijk de SSL/certificaat gedeelte?

Klant heeft een applicatie gebaseerd op Java (joepie...) en word gebruik gemaakt van Tomcat Apache.
Voor een veilige verbinding is een SSL in te stellen, leverancier geeft aan hoe, maar het werkt niet..
En nu weet de leverancier het ook niet hoe hun software werkt op dat punt...

Certifcaat/keystore aangemaakt zoals aangegeven, en config (server.xml) ingesteld met de waarden die zij geven. Maar localhost via 443 of via de sub.domein.nl werkt het ook niet, krijg standaard melding dat de site niet bereikbaar is.

Via de managerapp van tomcat kan ik wel wat na kijken, maar je kunt er in het algemeen geen zak mee.
Zijn 2 knoppen om Certificaten te checken, en geven beide een foutmelding:


[...]


Stukje config over ssl:

[...]


Wie kan mij hiermee helpen?

Geen idee of het een oplossing is, maar ik vond dit stukje voorbeeldcode:

code:

<Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"
               maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS" sslEnabledProtocols="TLSv1.2,TLSv1.1,TLSv1"
               keystoreFile="/path/to/keystore.jks"
               keystorePass="keystorepasswordhere"
               ciphers="TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA,
                        TLS_RSA_WITH_AES_128_CBC_SHA,
                        TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,
                        TLS_RSA_WITH_AES_128_CBC_SHA256,
                        TLS_RSA_WITH_AES_128_GCM_SHA256,
                        TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,
                        TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
                        TLS_RSA_WITH_AES_256_CBC_SHA,
                        TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,
                        TLS_RSA_WITH_AES_256_CBC_SHA256,
                        TLS_RSA_WITH_AES_256_GCM_SHA384,
                        TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,
                        TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384"
   />

Hier: https://grok.lsu.edu/article.aspx?articleid=17596

[Renegade666]

@Equator
Thnx, zal vanavond nog even wat proberen, ik moet de service na aanpassen herstarten, worden ze nu vast niet blij van

Ik had zelf ook al soort gelijks gevonden en getest gisteren, maar toen wou de service niet meer starten

En misschien nog een domme vraag:
bij path > "/path/to/keystore.jks"

Gaat dat bij windows ook werken? of moet dan gewoon c:\map\naam.keystore doen? (dat staat er nu wel)

[ Voor 26% gewijzigd door Renegade666 op 08-12-2020 15:32 ]

[Equator]

@Renegade666 dat zou ik niet weten. Maar C:/Path/to/ zou ook zomaar kunnen werken

[Renegade666]

@Equator
Ben hier nu nog even 30 min mee bezig geweest.

Maar wil niet lukken. Leverancier gaat het zelf maar even uitzoeken.

[Hero of Time]

Waarom moet je SSL terminaten met Tomcat ipv een reverse proxy er tussen frotten? Tomcat lekker op localhost laten werken op 8080 oid en je reverse proxy gewoon op 443. Ben je 10x sneller klaar met het installeren en vernieuwen van certificaten. Want nginx/apache/haproxy een restart geven is 2 seconden down, tomcat herstarten kan afhankelijk van de applicatie minuten duren.

[Renegade666]

@Hero of Time
Het is hun applicatie, gaan zij dat maar oplossen. Dan ga ik niet van alles doen het werkend te maken.

Reverse proxy zal een optie zijn, maar daar moet ik dan ook in duiken, want dat gebruik ik nooit. Behalve om mijn eigen syno nas.

[Hero of Time]

Reverse proxy is niets anders dan een vhost of server blok met iets als dit erin:

code:

servername applicatie.domein
proxypass http://localhost:8080
proxyreversepass http://localhost:8080

Even simpel gezegd.

[Tylen]

Hero of Time schreef op dinsdag 8 december 2020 @ 20:20:
Waarom moet je SSL terminaten met Tomcat ipv een reverse proxy er tussen frotten? Tomcat lekker op localhost laten werken op 8080 oid en je reverse proxy gewoon op 443. Ben je 10x sneller klaar met het installeren en vernieuwen van certificaten. Want nginx/apache/haproxy een restart geven is 2 seconden down, tomcat herstarten kan afhankelijk van de applicatie minuten duren.

Ssl (of eigenlijk TLS want ssl is ouwe legacy meuk) offloaden doen we niet meer. Plain text vanaf de loadbalancer/proxy naar de webserver is niet secure. Vertrouw ook je eigen gebruikers nooit.

[Hero of Time]

Tylen schreef op dinsdag 8 december 2020 @ 22:06:
[...]

Ssl (of eigenlijk TLS want ssl is ouwe legacy meuk) offloaden doen we niet meer. Plain text vanaf de loadbalancer/proxy naar de webserver is niet secure. Vertrouw ook je eigen gebruikers nooit.

Huh? Hoe ga je in vredesnaam verkeer sniffen op localhost? Dan moet de aanvaller al toegang hebben tot de machine zelf. Als dat het geval is, heb je een veul groter probleem dan verkeer dat gesnift wordt.

[Tylen]

Hero of Time schreef op dinsdag 8 december 2020 @ 22:08:
[...]

Huh? Hoe ga je in vredesnaam verkeer sniffen op localhost? Dan moet de aanvaller al toegang hebben tot de machine zelf. Als dat het geval is, heb je een veul groter probleem dan verkeer dat gesnift wordt.

O je wilt hem op dezelfde host zetten. Why?????

[Paul]

Renegade666 schreef op dinsdag 8 december 2020 @ 15:30:
En misschien nog een domme vraag:
bij path > "/path/to/keystore.jks"

Gaat dat bij windows ook werken? of moet dan gewoon c:\map\naam.keystore doen? (dat staat er nu wel)

Je kunt c:\\path\\to\\store.jks gebruiken, of c:/path/to/store.jks. De standaard Windows-notatie c:\path\to\store.jks werkt niet

Is het wachtwoord van je private key gelijk aan het wachtwoord van de store?

Ik zou er sslEnabledProtocols="TLSv1.2" bij zetten (TLS 1.0 en TLS 1.1 zijn deprecated), en ook de lijst ciphers aanpassen; je hebt nu alleen block ciphers en die zijn ook niet meer zo veilig. Zo te zien gebruik je een RSA certificaat, dus:
ciphers="TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"

Ik weet niet wie of wat er allemaal mee moet verbinden, Windows 10 gaat uitstekend, Chrome of FF op oudere Windows ook, maar bijvoorbeeld (applicaties op) Windows Server 2012 R2 kunnen hier niet mee overweg, dan heb je ook nog TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 nodig; een van de redenen waarom we @work naar ECDSA certificaten aan het overstappen zijn; 2012R2 heeft wel ECDHE GCM ciphers voor ECDSA certs maar niet voor RSA certs.

Kijken wie of wat er met je server kan verbinden (qua protocollen / ciphers) kan met https://www.ssllabs.com/ssltest/ of https://testssl.sh/ Die eerste is online, de tweede moet je zelf ergens neerzetten, maar werkt uitstekend via Windows Subsystem for Linux ( Kali Linux in the Windows App Store + `git clone --depth 1 https://github.com/drwetter/testssl.sh.git` )

[Renegade666]

@Paul Je geeft nu 2 voorbeelden qua pad wat ik nou net niet heb geprobeerd
Ik zal even kijken als die aanpassen alsnog effect heeft.

Die ciphers had de leverancier aangegeven. Ik wou eerst kijken dat het werkt, daarna verminderen idd.

[Paul]

Renegade666 schreef op woensdag 9 december 2020 @ 09:03:
Die ciphers had de leverancier aangegeven.

Die mag zijn aanbevelingen dan wel eens moderniseren

In 2013 al onveilig
TLS_ECDHE_RSA_WITH_RC4_128_SHA

Geen forward secrecy:
TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA
SSL_RSA_WITH_RC4_128_SHA (Bonuspunten voor RC4, dus dubbel onveilig )

[Renegade666]

@Paul
Ach, dat krijg als je een product op de markt zet en niet weet hoe de rest werkt..

[asing]

Hmmm rotte java keystore.... Dat wilde op een Unifi CloudKey ook voor geen meter. Ongeveer dezelfde foutmelding. Na dagen zoeken vond ik ergens een scriptje wat iemand had gemaakt om het certificaat te importeren. Pas daarna werkte het.

Anyway, ik voel met je mee. Die keystore zuigt ontzettend!

[Renegade666]

@asing
Ben ik het algemeen ook al geen java fan. Het is maar voor 1 ding prima > Blureays afspelen
In de rest hoef ik het niet te zien..
Qua keystore is het handig om Keystore explorer te gebruiken ipv die wazig cmd's waar je dan weer fouten in maakt .

[asing]

Renegade666 schreef op woensdag 9 december 2020 @ 13:13:
@asing
Ben ik het algemeen ook al geen java fan. Het is maar voor 1 ding prima > Blureays afspelen
In de rest hoef ik het niet te zien..
Qua keystore is het handig om Keystore explorer te gebruiken ipv die wazig cmd's waar je dan weer fouten in maakt .

Zelfs die keystore Explorer hielp bij mij niet. De CloudKey genereerde gewoon weer een eigen certificaat bij een herstart. Je moest echt iets speciaals uithalen om die service te vertellen dat er een ander certificaat was en dat hij die moest pakken.

Met script was het echt kinderspel. Alleen het vinden daarvan was moeilijk.

[Renegade666]

SOms denk ik wel eens, waarom moet het allemaal zo moeilijk..

Ik ben nog maar 1 programma (Filecap) het beste tegen gekomen.
Vinkje aan zetten om LE certificaat te gebruiken. dan word er 1 gegenereerd met LE en klaar.

[Fanatix]

Arfman schreef op woensdag 2 december 2020 @ 13:25:
Niet echt een kleine vraag, maar iemand toevallig ervaring met upgraden van een VMware Horizon 7.x omgeving naar 7.13?

Ik heb deze upgrades altijd laten uitvoeren door een externe partij ivm. tijdgebrek, maar nu begint de tijd te dringen (einde Flash in 2021 ) dus ik wil het zelf eens proberen. Gaat om 6 hosts met een vSAN.

Wat ik al heb gevonden qua volgorde:

1. Horizon client updaten op vdi golden image
2. Upgrade Connection Servers
3. Upgrade vCenter Server (draait al 6.7U3 maar nog niet de nieuwste build)
4. Upgrade ESXi hosts (draaien al 6.7U3 maar nog niet de nieuwste build)
5. Upgrade VMware Tools in golden image etc.

Wat ik nergens kan vinden is waar onze Unified Access Gateways (UAGs) geupgrade moeten worden. Ik vermoed na de Connection Servers maar kan daar nergens duidelijke documentatie over vinden.

Iemand met ervaring hier?

Jup, me!
Welke versie van de UAG draai je? Versie 3.7 is niet supported met alle releases van Horizon boven 7.9 (dus 7.10 and onwards). Dus zolang je een andere versie hebt draaien is het niet noodzakelijk om je UAGs bij te werken.

Daarnaast is het van belang dat je de Horizon agents (en ook o.a. VMware Tools) in de volgende volgorde installeert:

• VMware Tools (let op dat je bij de installatie niet de SVGA driver laat installeren)
• Horizon Agent
• User/Dynamic Environment Manager
• App Volumes

Bron 1 - Tools Installation order: https://kb.vmware.com/s/article/2118048
Bron 2 - SVGA Driver: https://kb.vmware.com/s/article/2078739

Ik zou de agents niet upgraden, maar even verwijderen, rebooten en opnieuw installeren.
En aangezien VMware Tools niet 1-op-1 meer een relatie heeft me vSphere kan je gewoon alvast de laatste versie downloaden en installeren (mits compatible, even checken in de interoperability matrix).

De volgorde die je dan zou kunnen aanhouden is:

1. Bijwerken/voorbereiden golden image
2. Connection Server(s)
3. vCenter
4. ESXi
5. vSAN
6. Recompose/push image
7. Optioneel: UAGs

Voor inhoudelijke vragen mag je ook altijd even een DM sturen!

[ Voor 4% gewijzigd door Fanatix op 09-12-2020 13:44 ]