Author Archive for: kai

HPE DL380 Gen7 ILO ERR_SSL_BAD_RECORD_MAC_ALERT

24 Mrz 2017
24. März 2017

Beim Aufruf des ILO Interface an einem HPE DL380 Gen 7 trat der Fehler „ERR_SSL_BAD_RECORD_MAC_ALERT“ auf.

Der Internet Explorer blieb eine konkrete Fehlermeldung gar ganz schuldig.

Ursache ist die alte ILO Version (hier ILO3 1.16) im Zusammenspiel mit der TLS Einstellung im Browser. Im IE läßt sich das mit dem temporären Abschalten von TLS 1.2 beheben.

Dann läßt sich ILO wenigstens mit dem IE aufrufen. Hinterher wieder TLS 1.2 aktivieren nicht vergessen.

Für Chrome konnte ich die Einstellung nicht finden.

Windows 10 – Windows Server 2016 – Update hinter Proxy

25 Jan 2017
25. Januar 2017

Wenn ein interner WSUS das Update für die aktuellste Windowsversion noch nicht mitregelt und zusätzlich der Internetzugang über einen Webproxy organisiert ist, dann sucht sich der Updatedienst von Windows 10 bzw. Server 2016 nen Wolf nach neuen Updates. Ein ähnliches Verhalten (teilweise sogar gepaart mit Update Dienst Abstürzen) zeigten auch schon ältere Windowsversionen.

Die Proxyeinstellungen für den Internet Explorer welche über die Systemsteuerung -> Internetoptionen gepflegt werden greifen nicht.

Welche Proxysettings Windows Update nutzt, läßt sich mittels netsh winhttp show proxy in einer Konsole abfragen.

Um diesen Wert zu ändern bedarf es einer Konsole mit Adminrechten.

Hier gibt es zwei Möglichkeiten. Man importiert die Einstellungen, welche bereits in der Systemsteuerung ->Internetoptionen hinterlegt sind,

netsh winhttp import proxy source=ie

oder man stellt es über folgendes Kommando selbst ein

netsh winhttp set proxy mein.proxyserver.local:8080

Hierbei ist selbstverstädlich ‚mein.proxyserver.local‘ sowie der Port ‚8080‘ gemäß der eigenen Umgebung anzugeben.

Wenn man Windows Update jetzt über das Einstellungen Menü aufruft, klappt der Abruf der Updates über den Proxyserver.

HP ProCurve VLAN Limit

02 Jan 2017
2. Januar 2017

Laut Datenblatt unterstützt das ProCurve Modell (2848) bis zu 256 VLANs gleichzeitig, bei der Konfiguration ist allerdings nach 8 VLANs Schluss. Standardmäßig ist das Limit 8 voreingestellt. Dieses läßt sich aber bis zum Maximalwert beliebig einstellen. Entweder im Config mode mittels

max-vlans 256

write memory 

reload

Switch startet bei ‚reload‘ neu.

Oder über das Menü

menu ->2. Switch Configuration... ->8. VLAN Menu... ->1. VLAN Support -> Maximum VLANs to support

Integrierte Windowsauthentifizierung mit Firefox

27 Okt 2016
27. Oktober 2016

Unser internes Intranet nutzt zur Nutzerauthentifizierung den Windowslogon. Um diesen bei Firefox durchzureichen muss man der URL Zeile

about:config

aufrufen und im Suchfeld (nach Bestätigung des Sicherheitshinweises) nach

trusted-uris

suchen.
Bei den ermittelten Suchergebnissen trägt man dann jeweils die freizuschaltende URL ein (per Doppelklick den Dialog öffnen). Mehrere Seiten werden per Komma getrennt aneinander gereiht.

ffox_ntlm-auth

 

MySQL Autostart Probleme unter Ubuntu

27 Okt 2016
27. Oktober 2016

Auf einem Ubuntu 14.04 Server startet MySQL nicht automatisch obwohl per

sudo update-rc.d mysql defaults

der Autostart aktiviert wurde. Grund ist die Datei

/etc/init/mysql.override

Diese Datei löschen, dann klappt der Autostart.

Microsoft .NET Framework 3.5 auf Server 2012 R2 installieren

20 Okt 2016
20. Oktober 2016

Man benötigt den Installationsdatenträger von Windows Server 2012 R2. Von diesem läßt sich das .NET Framework 3.5 nachinstallieren wenn die Installation per Gui (Hinzufügen von Rollen und Features) fehlschlägt.

dism /online /enable-feature /featurename:NetFX3 /all /Source:d:\sources\sxs /LimitAccess

Windows 10 – Massenaktivierung

30 Jun 2016
30. Juni 2016

Das Zeitfenster für das kostenlose Upgrade von Windows 7/8 auf Windows 10 endet bekannterweise am 29.7.2016.

Da ich im Unternehmen nicht mal schnell hop hop die Rechner auf Windows 10 upgraden möchte/kann, mir aber die Option für ein späteres (kostenloses) Upgrade wahren möchte, kam mir die Idee die Windows 10 Aktivierung der Rechner schon im Vorfeld durchzuführen. Hintergrund ist die Vorgehensweise zur Aktivierung von Windows 10 aus einem installierten aktiviertem Windows 7/8 ohne dabei das Setup zu bemühen.

Wie auf zahlreichen Seiten beschrieben (Bsp. heise.de) läßt sich mit dem Programm gatherosstate.exe aus dem Installationsdatenträger von Windows 10 eine sog GenuineTicket.xml erzeugen. Mit dieser Datei läßt sich eine frische Windows 10 Installation auf diesem Rechner aktivieren (Nach der Installation einfügen in C:\ProgramData\Microsoft\Windows\ClipSVC\GenuineTicket, Neustart, Onlinezwang!).

Die Idee ist nun also, einfach gatherosstate.exe auf jedem Rechner im Netz auszuführen der für ein evtl. Windows 10 Upgrade in Frage kommt. Um das ganze zu automatisieren, habe ich ein kurzes AutoIt Script geschrieben welches ich in kompilierter Fassung (als Win10UpdPrep.exe Datei) zusammen mit gatherosstate.exe per OCS Client Management auf alle betreffenden Rechner im Netz verteile. Das Script ruft gatherosstate.exe auf, wartet bis es fertig ist, prüft ob die XML Datei vorhanden ist, benennt diese um (Computernamen voranstellen) und mailt diese Datei dann an ein IT Postfach. Somit sammle ich die XML Files von allen Rechnern ein. Eine lokale Kopie lasse ich auch noch auf dem jeweiligen Rechner liegen.

Das AutoIt Script stelle ich HIER zur Verfügung.

Bleibt jetzt noch die Frage, ob die Aktivierung auf diesem Wege auch noch nach dem 29.7.2016 funktioniert.

Ich werds berichten.

[UPDATE 04.08.2016]

Wie beinah zu erwarten war, funktioniert die Aktivierung in dieser Form jetzt nicht mehr.

Welche vsphere Funktionen in welchen Editionen (v6.0)

09 Dez 2015
9. Dezember 2015

Musste einige Zeit googeln um etwas über mögliche Einschränkungen der Vmware vsphere Essentials Plus Kit Edition herauszufinden.

Natürlich gibt es die offizielle Vergleichsseite beim VMware

https://www.vmware.com/de/products/vsphere/compare

Aber diese Übersicht ist auch sehr hilfreich.

http://www.virten.net/2015/04/which-vsphere-6-0-features-are-available-in-editions/

Kein Sound im Internet Explorer

23 Nov 2015
23. November 2015

Kategorie: da muss man erstmal drauf kommen

Wenn der Sound an einem Windows-PC funktioniert und nur der IE sich weigert den Sound auszugeben (bspw. youtube Videos ö.ä.) dann kann das an einer Einstellung des IE liegen. Der Haken  „Sound in Webseiten wiedergeben“ muss gesetzt sein, damit man was hört.

ie_sound.

Wohl ein Resultat des deinstallierten Flashplayers auf betroffenem PC.

Interessant ist noch, daß in der Gruppenrichtlinie die den Browser konfiguriert diese Einstellung für den IE 8 u 9 per default aktiviert ist, bei der IE 10 Policy per default deaktiviert.

Flashplayer – eigener interner Update Service

03 Nov 2015
3. November 2015

flash-logoDie Anzahl gefährlicher Sicherheitsücken im Flashplayer zwingt Hersteller Adobe immer wieder, selbst zwischen den festgelegten Patchdays, Korrekturen für den Flashplayer zu veröffentlichen. Um diese schnellstmöglichst weitgehend automatisiert auszurollen, nutz(t)e ich für die Updates auf den Rechnern im Unternehmen die Funktion des Flashplayers, einen internen Webserver ansprechen zu können. In diversen Anleitungen und Dokus seitens Adobe wird dieses Szenario mehr oder weniger (eigentlich eher weniger) ausführlich beschrieben. Darum bereite ich das hier mal etwas auf.

Konfiguration des Flashplayers:

Der Flashplayer läßt sich mittels einer lokalen Konfigurationsdatei namens mms.cfg konfigurieren. Diese Datei befindet sich, je nach Ausführung des Flashplayers und der Windowsversion, ob 32 oder 64 bit , im Verzeichnis C:\Windows\SysWOW64\Macromed\Flash\mms.cfg (32 bit Flashplayer auf 64 bit Windows) oder C:\Windows\System32\Macromed\Flash\mms.cfg (64 bit Flashplayer oder 32 bit Flashplayer auf 32 bit Windows). Ist sie nicht vorhanden, kann man sie mittels Texteditor erstellen.

Folgende Parameter gehören in die Datei:

AutoUpdateDisable=0
SilentAutoUpdateEnable=1
SilentAutoUpdateServerDomain=Updateservername

AutoUpdateDisable setzt man auf 0 und aktiviert somit AutoUpdate. SilentAutoUpdateEnable bedeutet dem Updatedienst, seine Dienste unauffällig im Hintergrund zu erledigen, SilentAutoUpdateServerDomain betitelt schließlich den Server, auf welchem der Updatedienst nach Updates suchen soll. Dieser letzte Eintrag ist wichtig im Hinblick auf die folgende Beschreibung des Webservices.

Ein vorhandener Webserver stellt in einem fest von Adobe vorgegebenen Pfad die Dateien für das Update des Flashplayers zur Verfügung. Der Client spricht zwingend per https mit dem Webserver was bei der Einrichtung etwas mehr Aufwand wg. einem vertrauenswürdigen Zertifikat mit sich bringt (Sofern keine eigene CA im Einsatz, ggf. selbst signiert und über AD auf die Clients verteilt, es darf beim Aufruf der Serveradressen KEIN ssl Fehler auftreten).

Im Webrootverzeichnis muss folgender Ordnerpfad angelegt werden:

/pub/flashplayer/update/current/sau

Ein Aufruf mittels Browser sollte keine Fehlermeldung (auch keinen SSL-Fehler) produzieren:

https://Updateservername/pub/flashplayer/update/current/sau

In diesen Ordner muss nun ein Updatepaket von Adobe entpackt werden. Adobe verteilt es über die Seite https://www.adobe.com/de/products/flashplayer/distribution3.html und nennt das Paket dort „Ressourcen für Updates im Hintergrund herunterladen“. Gemeint ist das .cab Archiv fp_background_update.cab. Diese Datei lädt man also herunter, entpackt sie und lädt die entpackten Daten dann samt Unterordnerstruktur in o.g. Pfad. Die Pfadstruktur sieht dann in etwa so aus (Stand Nov. 2015, Versionen variieren):

https://Updateservername/pub/flashplayer/update/current/sau/currentmajor.xml
https://Updateservername/pub/flashplayer/update/current/sau/11/install/install_all_mac_pl_sgn.z
https://Updateservername/pub/flashplayer/update/current/sau/11/install/install_all_win_ax_sgn.z
https://Updateservername/pub/flashplayer/update/current/sau/11/install/install_all_win_pl_sgn.z
https://Updateservername/pub/flashplayer/update/current/sau/11/xml/version.xml
https://Updateservername/pub/flashplayer/update/current/sau/18/install/install_all_win_ax_sgn.z
https://Updateservername/pub/flashplayer/update/current/sau/18/install/install_all_win_pl_sgn.z
https://Updateservername/pub/flashplayer/update/current/sau/18/xml/version.xml
https://Updateservername/pub/flashplayer/update/current/sau/19/install/install_all_win_ax_sgn.z
https://Updateservername/pub/flashplayer/update/current/sau/19/install/install_all_win_pl_sgn.z
https://Updateservername/pub/flashplayer/update/current/sau/19/xml/version.xml

Der Webserver läuft bei mir auf einer vorhandenen Ubuntu VM mit. Ein Shellscript prüft jede Nacht ob eine neue Updatedatei (fp_background_update.cab) bei Adobe zum Download bereit liegt. Das erledigt das Tools wget mit der Option –spider welche Dateien nicht herunterlädt sondern nur deren Existenz überprüft. Das Ergebnis wird nach dem String „Last-Modified“ geparst und eigentlich wird nicht das Datum sondern nur der Ergebnisstring verglichen. Das reicht aber aus um festzustellen, daß sich etwas an der Datei geändert hat. Ist dies der Fall, wird diese heruntergeladen, entpackt und ersetzt die alten Dateien auf dem Webserver.

Mein Script downloadflash.sh welches jede Nacht ausgeführt wird:

#!/bin/bash
#
# Update der Adobe Flashkomponenten fuer internen Update Service
# Die Fortschrittsanzeige beim Download, für Testzwecke , stammt von:
# http://fitnr.com/showing-file-download-progress-using-wget.html
#
# 02.11.2015, kw
#

#aktuelles Datum
currentDate= date
#Logfile
log=/flashupdate/update.log

#Downloadfunktion zeigt einen prozentualen Downloadfortschritt an
download()
{
 local url=$1
 local targ=$2
 echo -n " "
 wget --progress=dot $url -O $targ 2>&1 | grep --line-buffered "%" | \
 sed -u -e "s,\.,,g" | awk '{printf("\b\b\b\b%4s", $2)}'
 echo -ne "\b\b\b\b"
 echo " DONE"
}
#Pruefung aktueller Status der Updatedatei und Bindung an Variable $adobecabdate -> Suche (grep) nach "Last Modified" -> xargs entfernt ggf. Leerzeichen/Tabs vor und nach String
adobecabdate=$(wget --server-response --spider http://download.macromedia.com/pub/flashplayer/current/licensing/win/fp_background_update.cab 2>&1 |grep Last-Modified | xargs)


#Prüfung aktueller Status der Updatedatei auf dem lokalen Server und Bindung an Variable $localcabdate
localcabdate=$(wget --server-response --spider http://localhost/pub/flashplayer/update/current/sau/fp_background_update.cab 2>&1 |grep Last-Modified | xargs)

# Zugriff Logfile
touch $log

# Vergleich letzter Status gg. aktueller Status. Wenn gleich, Scriptende. Wenn nicht gleich, Download.
if [ "$adobecabdate" = "$localcabdate" ]
 then
 echo $currentDate >>$log 2>1
 echo "Aktueller Wert Adobe: " $adobecabdate " - Letzer Wert lokal: " $localcabdate >>$log 2>1
 echo "Keine neue Version." >>$log 2>&1
 exit 1
 else
 # Zielordner bereinigen
 echo $currentDate >>$log 2>1
 echo "Aktueller Wert Adobe: " $adobecabdate " - Letzer Wert lokal: " $localcabdate >>$log 2>1
 echo "Neue Version Adobe: " $adobecabdate >>$log 2>&1
 echo "Zielordner bereinigen" >>$log 2>&1
 rm -rf /var/www/html/pub/flashplayer/update/current/sau/* >>$log 2>&1

 download http://download.macromedia.com/pub/flashplayer/current/licensing/win/fp_background_update.cab /var/www/html/pub/flashplayer/update/current/sau/fp_background_update.cab
fi


# Datei entpacken (-d = Zielverzeichnis)
cabextract -d /var/www/html/pub/flashplayer/update/current/sau/ /var/www/html/pub/flashplayer/update/current/sau/fp_background_update.cab >>$log 2>1

Und damit wars das auch schon mit der Konfiguration. Ein simpler https erreichbarer Webspace genügt um dem Flashplayer mittels einer Konfigdatei das leise Updaten über einen internen Server zu vermitteln. Das macht dann Sinn, wenn die Clients nicht ungezügelt externe Updatedienste im Internet kontaktieren sollen oder dürfen.

Stolpersteine:

Es gibt für dieses Szenario ein paar kleine Hürden.

Wie konfiguriere ich den Webserver bzw. die Clients für den fehlerfreien https Zugriff .

Eine hilfreiche Anleitung, wie man selbstsignierte Zertifikate erstellt und auch verteilt bietet dieser Artikel von Mark Heidbrink auf faq-o-matic.net. Wichtig hierbei ist, daß der gewählte Common Name (CN) für das Zertifikat dem Wert von SilentAutoUpdateServerDomain aus der mms.cfg entspricht. Erstellt man ein Zertifikat mittels selfcert, gehört dieses auf jedem PC in den Speicher für Vertrauenswürdige Stammzertifizierungsstellen. Darum bietet sich ein Rollout per Gruppenrichtlinie an.

Wie bekomme ich die Datei mms.cfg auf die Clients

Die mms.cfg kann man manuell, per Loginscript oder bspw. Clientmanagement, in meinem Fall OCS Inventory, auf die Clients kopieren.

Wie zwinge ich den Flashplayer JETZT ein Update zu suchen.

Zum Update des Flashplayers wird zusammen mit diesem ein Dienst namens „Adobe Flash Player Update Service“ installiert. Dieser steht auf Startart Manuell und ist beendet. Startet man ihn von Hand, beendet er sich augenblicklich wieder. Dieser Dienst startet standardmäßig jede Stunde. Dabei prüft er aber nicht, ob ein Update vorliegt sondern er prüft nur ob es mal wieder an der Zeit ist, nach neuen Updates zu suchen. Ich meine irgendwo gelesen zu haben, daß er erst nach mind 24 Std. seit dem letzten Update erneut nach Updates sucht. Daher verbraucht der Dienst sehr wenig Resourcen. Er prüft lediglich anhand eines Zeitstempels in der Registry ob die Zeit für eine neue Updatesuche gekommen ist.

Um nun nach der Einrichtung oder bei einer evtl. Fehlersuche den Flashplayer Update Service zum Update zu zwingen, genügt es, den Wert des Registrykeys

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Macromedia\FlashPlayerSAU\LastUpdateCheck

zu löschen (32 bit Flashplayer auf 64 bit Win). Wenn man anschließend den Update Service einmal von Hand startet, lößt dieser eine echte Updatesuche aus.