» Флейм для сисадминов (часть V)

goletsa
8 гиг ОЗУ
cob1
да вроде с FAT32 такого не замечено, только с NTFS и еще часто потом такую флешку долго отключить не могу, безопасным извлечением ругается "Windows не может остановить устройство поскольку оно используется прогаммами" хотя все приложения закрыты.
меня это напрягает

"во-1х строках своего письма..." - в смысле поста - спасибо за ваши отклики, парни!..
теперь уже маненько в башке устаканиваться начинает.. =)

ладно.. шоб сузить "сектор обстрела", ещё уточнюсь чуток по своему вопросу:
1. интересует решение штатными средствами венды 2к/хр/2к3, не ломая бол/мен "гомогенную" структуру..
2. не интересует ид с помощью внешних хардовых ключей и разных "умных" свитчей и т.п..
3. не интересует перевод сетки на домен - всё отлажено и вполне исправно "фунцыклирует"..
4. из "стороннего" софта интересуют, вопчем-то, только бесплатные решения и только под венду (причины озвучены)..
5. интересует сделать всё "прозрачно" для енд-юзеров, шоб их не переучивать - это долго и нудно.. =)

короче говоря - в общем и целом хочу в довесок к имеющейся привязке ип-мак забодяжить ещё и привязку ип-юзер, но БЕЗ изменения инфраструктуры и БЕЗ дополнительных софтовых/хардовых решений.. основная цель - повысить защищённость не только серверов, но и отдельных раб.станций "минимальной кровью".. и [more=ещё чуток]сопссно, "ноги растут" из того факта, шо юзеры, цуко, периодически делятся друг с дружкой своими логинами/пассами, ну, типа, им "так удобно работать".. и ведь не поспоришь - истинно так.. ))

и вот тока не говорите мне за всякие там административно-приказные меры - все уже.. но, сами понимаете - начальству красиво жить не запретишь, а там и юзеры "а мы чем хуже" и всё такое.. ну, а как следствие - вероятность неконтролируемого доступа повышается, прецеденты у меня случались - но отнюдь не по моей вине, замечу, и не из-за "дырявости" имеющихся ограничений.. потом всякие долгие разборки, закручивание гаек и прочий геморрой.. :/

тащемта, чё рассказывать - здесь, наверное, каждый сталкивался с подобной "вольницей".. поэтому-то и хочу зарубить "неосознанное" (??) стремление юзеров к бардаку.. т.е., так скать, сразу и на корню зарубить всякий бесконтрольный доступ к любому хосту в сетке, а не только к сервакам..

при прочих равных, чё греха таить, подходящий вариант решения у меня уже есть и реализовать свою "хотелку" в принципе я могу - в сетке развёрнуто централизованное управление каспером, поэтому задать соответссные настройки и порезать доступ по отдельным хостам вполне можно.. и не отходя, так скать, далеко от кассы своего кресла.. =)

причём, в админките каспера всё это можно порезать не только как в домене, по ntlm, но и по ип/портам/протоколам/сервисам и т.д.. а вторая привязка (ип-мак) уже давно сделана.. т.е. при этом за "штатную" авторизацию ответит сама венда, а опциональную "хотелку" реализует каспер..

к вопросу "так какого ж ты нам тут мозги паришь" - с чисто профессиональной т.з. мне интересно сделать всё это именно штатно, только встроенными вендовыми фишками.. пусть, быть может, недокументированными и/или нестандартно-используемыми, но - именно обойтись встроенным в саму ось функционалом.. ну и за подход "работает - не трогай" уже говорилось.. -))

ну, как-то так..[/more] по ситуёвине в целом..

вопчем, "красивого" решения пока так и не нашёл/придумал, поиск продолжаю..

---

LevT
Цитата:

Значит, виндовой аутентификации не будет: лучше просто забыть про виндовых юзеров.

нереально - шибко их много расплодилось.. да и существующая структура парка + наработанные/проверенные решения не склоняют к глобальным переделкам.. вопчем, перспектива совершать "производственный героизЬм" не очень нравится.. -)

Цитата:

Потенциально существующий вариант может быть только порталом со своей юзерской базой.

т.е. по сути переход на домен, што-ль? не пойдёт - парк старый в массе, а на нормальное надёжное оборудование денег не дадут ещё долго.. поэтому вынужден оставаться на одноранговой сетке именно из-за "отказоустойчивости" такой структуры в силу её распределённости и независимости от центральных управлялок..

Цитата:

Продолжайте поиски, только если это устраивает.

а больше ничё и не остаётся.. ну, сам пойми - особо вариантов-то у меня как бэ и нет.. :(

---

NskRonin
Цитата:

думаю домен поднимать, что бы решить проблемы доступа.

погоди пока ломать, давай лучше вместе выход поищем.. :)

Цитата:

юзер сел за другой ПК и получил доступ того кто за ним сидит. В общем тоже не совсем айс.

ну так-то да, но такой "не-айс", тащем-та, меня мало волнует - юзер персонально отвечает (!) за своё раб.место, это прописано во всяких приказах/инструкциях и пр. "административщине".. так шта если он на свою тачку кого попало пускает, это уже чисто его косяк.. а моё дело маленькое - "рапорт и к дирекции", подложив нужные логи доступа.. ))

а вот когда юзер не один на тачке и/или "сменщик" имеет возможность залезть на ту же шару с другого компа и даже с "левого", если уж на то пошло в принципе.. то вот тут-то уже мои головняки начинаются и отвечать мне.. вот потому и хочется максимально отсечь "варианты".. ну.. я ж пока ещё юзеров не по пальцу/глазу по сетке идентифицирую.. х))

Цитата:

каким то образом заставить винду раздавать доступ на основе IP, что я себе плохо представляю штатными средствами.

не совсем на основе ип - но в дополнение к нтлм!.. поясню - к примеру, венда ить (формально!) никак не запрещает заходить с разных ип под одним логином, но используя фиреволл + привязку ип-мак, можно "ограничить круг" вероятного доступа только заданными хостами.. ну а вся "хотелка" и заключается в развитие этого слежения на пару ип-юзер.. т.е. аудит у нас уже есть штатно, и вся шняга в том, шоб как-то (??) настроить правила доступа на базе этого аудита.. понимаешь, к чему клоню?..

Цитата:

Либо, как вариант, купить NAS и разграничить шары на нем.

ключевое = "купить", но в силу всего уже сказанного мне всё ж таки очень хочется на халяву.. ;)
да и по сути - насы ить не умнее венды, так какая ж тады разница меж ними с т.з. авторизации?

---

BigElectricCat
Цитата:

Железо позволит различить пользователей перед входом в сеть? (Пример: http://shop.nag.ru/article/ispolzovanie-tehnologii-identity-management-v-kommutatorah-extreme)

эхх.. чё душу-то травить.. я как на цены глянул.. так и понял, шо сидеть мне со своими туполинками до пенсии.. :/
вопчем, пару ненаших килобашлей на хардварную защиту от бабушки-бухгалтерши мне точно никогда и никто.. :)))
а за ссылу спс, буду способ в голове держать.. ну.. вдруг наступит "светлое завтра".. хотя вряд ли, каэшна..

---

Maza777
Цитата:

как то у меня комп странно копирует файлы на флешки с NTFS

верную наводку дали - смотри политику записи в свойствах флэхи.. в смысле - ставь "для быстрого извлечения" и будет казать реальную скорость.. и, кроме того, венда не будет вцепляццо во флэшку после того, как "градусник" пробежит.. ))

шо до разницы ТС/ехплорер - см. чо/каг по буферизации стоит в настройках.. вкладка "операции с файлами", ежли чё..

Цитата:

верную наводку дали - смотри политику записи в свойствах флэхи.. в смысле - ставь "для быстрого извлечения" и будет казать реальную скорость.. и, кроме того, венда не будет вцепляццо во флэшку после того, как "градусник" пробежит.. ))

сейчас так

NskRonin

Цитата:

можно поставить перед нужным сервером железный фаервол или nix машину и ее настроить как угодно... ну это так... самое простое

Цитата:

..слаб я в коленках по части никсов..

- так же, да и с финансами то же ..
Если можно - по подробнее , или "..пните в нужном направлении или киньте ссылу..", тем более, что
Цитата:

..nix машину и ее настроить как угодно... ну это так... самое простое"

Задачи с TheBarmaley примерно одинаковые ...

TheBarmaley
volgograd131

У нас почти клуб админов одноранговых сетей.

TheBarmaley

Я если честно думал над аудитом шары и времени работы сотрудников, но как из различать если все юзеры ходят под Userpc, а все админы - под adminnet...

Так же у меня есть ПК на которых посменно работают юзеры, причем этих ПК не мало. Одно утешает что в программе учета (бледное подобие 1С) одни ходят под своими ФИО и хотя бы в базе можно отследить кто - куда - кому и сколько.

В другом филиале, сеть там тоже без домена и суть работы та же, проблему доступа к конф. инфе решили NAS'ом, но опять же они ни какой аудит не ведут - просто закрытое хранилище.

Можно конечно каждому юзеру создать учетку на его ПК, дать ей имя типа ФИО или ФамилияИ, но по сути это получится уже тот же домен, только без групповых политик.

NskRonin
Да не, а " ..примерно одинаковые ... " это может быть и бледное подобие...
Просто вспомнилось одна структура МВД, где какой-то умелец прикрутил базу 1С на "..nix машину..", на которой бы точно server 2003 не крутился. Так это подобие сервера так долго у них стояло и обеспечивало бухов, кассу, экономистов, что наверное пережило и сокращения, и переименование-реформу.
А тут , почти волшебное слово из того времени - "....nix машину и ее настроить как угодно... ну это так... самое простое" . Так что прошу - "..пните в нужном направлении или киньте ссылу..". А уж отрезать, не пущать, запретить это почти святое у сисадмина ...

Maza777
Цитата:

сейчас так

ну дык, и делай следующий шаг - перещелкни на вторую опцию.. не бойся, ничё тебе за это не будет.. =)

---

volgograd131
Цитата:

так же, да и с финансами то же

бюджетник, поди? тады за никсы понятно - в гос.конторах, скока видел, с ними туго, всё больше виня стоит..
да уж, мы такие - дети "проклятого прошлого", когда дядюшка Билли подсадил весь Союз на венду.. ))

---

NskRonin
Цитата:

У нас почти клуб админов одноранговых сетей

ога, с подгруппами "по интересам" бюджет/внебюджет.. а чё делать-то, когда парк как говно мамонта древний.. :((
с моим железом домен ставить чревато - ляжет дк - и вся сеть ляжет.. шефу говорил уже стопицот раз, но как в танке.. :/
а на одноранге отсутствие серваков/шлюзов и т.п. замечают тока когда тырнет пропадает.. =))

Цитата:

если все юзеры ходят под Userpc, а все админы - под adminnet

не, у меня не "всё так запущено", давно уже с учётками все "по понятиям".. хотя когда-то да, было именно так.. ;)

Цитата:

по сути это получится уже тот же домен, только без групповых политик

вот именно, и я за шо.. шо ж касаемо ГП - при вводе/апгрейде тачки настроить врукопаш не влом..
потому как, опять же, массового ввода нет по причине "нет денег".. так и пилим потихоньку..

что за нафиг?

на новом компе тыкаю в ссылки варезника на данном форуме, а меня перебрасывает на сайт мелкосовта по борьбе с пиратством.
В чем дело и как это немедленно прекратить?

Windows 7, IE 11

Цитата:

Vouk1 что за нафиг?

Некоторые слова на форуме дополняются рекламной ссылкой

TheBarmaley
Ладно, убедили – отложим пробу "..говна мамонта.." в "..nix машину и это так.. самое простое" до светлого будущего ..
Мда уж, холодно, ветер, снег до 20 см к вечеру обещают, опять город встанет ...
Вот так души прекрасные порывы наверное и заканчиваются.

volgograd131

У нас кстати, тоже снег валил, только сегодня перестал и температура падать начала стремительно с -3 до - 20 уже упала и это по предсказаниям синоптиков не предел.

В общем будем ждать прецедента, что бы под шум выкружить денег на железо, на котором развернем сервисы. Я например домен разверну... и лимиты на шаре каждому сделаю...

TheBarmaley

Нет, не бюджетная контора - торгаши, но от этого не легче, "зачем покупать винду если ее можно поставить ломанную?", "зачем тебе серверное железо, если все будет работать на обычном, юзерском" и т.д.

TheBarmaley

Цитата:

ну дык, и делай следующий шаг - перещелкни на вторую опцию.. не бойся, ничё тебе за это не будет.. =)

сделал, ничего не изменилось

volgograd131
Цитата:

отложим пробу......снег до 20 см

ну зачем же откладывать.. к "светлому будущему" надо заранее готовиться..
шоб оно не нагрянуло.. [more=как снег на голову]то бишь, сугубо имхо, надо всегда быть профессионально готовым к возможным переменам в методике работы.. а для этого необходим опыт, который при "сидении ровно в ожидании чуда" ну ни разу не растёт.. :))

в смысле - никто ить тебе не мешает совместить домен + одноранг, исходя из реальных задач/условий.. я вот, к примеру, домен всё ж развернул в своё время - но не для "основных мощностей" (т.е. в целом на всю контору), а для, так скать, "публичных писюков".. т.е. для тех, которые не имеют своего постоянного "хозяина"/юзера и/или используются для решения типовых задач, не влияющих глобально на ..э-эмм.. "жизнеспособность" конторы в целом..

т.е. для НЕкритичных машин с однотипными задачами/конфигом/софтом домен = самое оно.. ибо избавляет от необходимости бегать, высунув язык, и делать одно и тоже по стопицот раз.. да и "паблики" при этом сущессно защищённее/управляемее + в случае краха домена ничё особо страшного не происходит и "полного и беспросветного пезнеца" не наблюдается.. =))[/more]..

---

NskRonin
Цитата:

торгаши, но от этого не легче

нычит, пока шта "гром не грянул".. и "люди в серых шинельках" с хозяина за левый софт не спросили.. х)
хотя в принципе - абсолютно правильный подход, и твой командир далеко не "жадная лошара".. [more=поясню]при уже имеющейся обеспеченности решения конкретных задач "малой кровью" просто глупо тратить бол/мен серьёзные деньги на незначительные плюсы (или просто одминские "хотелки", чё греха таить ;), НЕ приносящие сущессной конечной выгоды..

имхо, в том-то и заключается одминский профессионализм, шоб минимизировать конечные затраты конторы! и если одну и ту же задачу можно решить с минимальными затратами, то твой прямой долг, как спеца, решить её именно "за три копейки".. ведь, тащемта, вся "эта ваша кампутиризацЫя" по большому счёту одни убытки и есть.. =))[/more]..

---

Maza777
Цитата:

сделал, ничего не изменилось

ну тады я хз.. у меня на хрюнделе так стоит, не кэшит, льёт ровно, отдаёт сразу..
вопчем, пошукай ещё где-нить тут..

TheBarmaley

Их позицию я не осуждаю, был бы них месте, как не странно, поступал бы так же, а может еще изощреннее.

Но есть такая больная мозоль на которую можно, а порой и нужно, наступать. "А что Вы думаете о том что уходящий админ до меня, как и пришедший и уже ушедший до него - знают все пароли?". Я думаю ни для кого не секрет что в одноранговой сети, локальные учетки крайне сложно оперативно обслуживать, а на спец устройствах - так вообще крайне не желательно (но не о них речь). А вот если есть учетка доменного админа - ушел чел - прибил учетку.

И кстати - я вижу предел до куда тут развивать инфраструктуру. Домен будет последней технологией - более тут ни чего надо. Менять XP на топоры я не вижу смысла, да и практической ценности.

Цитата:

ну тады я хз.. у меня на хрюнделе так стоит, не кэшит, льёт ровно, отдаёт сразу..
вопчем, пошукай ещё

на XP тоже нормально, я на работе внешний винт проверял, заливало нормально. а дома на Win7 так как описывал выше.

NskRonin
Цитата:

ушел чел - прибил учетку

согласен, сам сталкивался с такой фигнёй.. правда, на уровне юзеров.. но сей гемор одноранга верно обозначен..
Цитата:

Менять XP на топоры я не вижу смысла, да и практической ценности

сама мысль-то правильная: работает - не трогай.. =)
но ты попробуй это объяснить производителям железа - к примеру, дрова под вин2к уже давно не делают, а машин, под ней работающих, лично у меня намного больше половины.. погоди, скоро и черёд хрюнделя прийдёт.. вот и закавыка - новые дрова тупо не встают на старую ось, а "встроенные" столетней давности и работает новое железо с ними через одно место.. а старое потихоньку мрёт.. + сюда же нарушение "гомогенности" сети и разные нестыки из-за "несовместимости" версий самой венды и всякого прикладного говно-софта, который "дюже как нам нужен, поэтому делайте чё хотите, но шоб стояло и ниипёт"..
вот и думай, как весь этот компот совместить.. :/

Добавлено:
Maza777
Цитата:

дома на Win7 так как описывал выше

верю, почему нет.. но я ж говорю - не в курсе за семку..
и это.. а ты у "лесорубов" был, не? чё они умного говорят?

народ, мож кто в курсе:
можно ли в ХР в контекстном меню шелла прицепить иконку к конкретному пункту БЕЗ прописывания хэндлера?
как сделать в семке, знаю, но интересует именно хрюндель.. ежли чо - тут читал..

и ещё - если-тки без хендлера никак-с, можно ли использовать для создания его ид эту тулзу?
в смысле - есть ли гарантия, шо когда-нить оный ид не перекроется чем-то ещё?

подскажите плиз, существует ли софт, который эмулирует работу соединения когда сервер находится под ddos ?

нашел это: SoftPerfect Connection Emulator (хороший софт. но там только ограничение канала; задержка, потеря, дублирование и нарушение очередности пакетов) Обрывов соединения (т.е. пакет может потеряться или зависнуть на любом этапе в т.ч. и на syn), как при ddos, нет.

и это: Wide Area Network Emulator - виртуалка Knoppix через которую надо пускать трафик. Функционал схожий с SoftPerfect, но есть некий Disconect, смысл которого я не уловил - соединение все равно устанавливается 100% и данные по https передаются на 100%. а при ddos часть соединений вообще не переходит в ESTABLISHED (т.е. например в случае https рубятся на этапе conneсt)

ладно, Бармалей, вот тебе ещё одна костыльная схема: обычный IP + PPOE для авторизации пользователей.

По умолчанию у тебя на всех машинках нет паролей и т.п., пользователи заходят в самописанный шелл в котором авторизируются.

Шелл поднимает ппое соединение с сервером (пойдёт даже довольно таки простой микротик на виртуалке или железка за $30), которое твоей системе укажет что за конкретным маком сидит конкретный пользователь (соответственно на железке которая раздаёт адреса скриптом прописываем этому маку нужный адрес.)

Ппое разрываем, обновляем айпишник компа и запускаем шелом эксплорер (можно сделать иначе --- прописать автологин авторизированного пользователя и после разрыва ппое-сессии перегрузить комп, естественно надо чтобы после входа пользователя в систему автовход для следующего поправился на учётку с твоим шелом, т.е. надо дать права пользователям на изменения двух записей в реестре --- дефюзернейм и дефпассворд в общем винлогоне.)

Тебе нужно только написать шелоподобную фигню (можно даже на кмд) для первоначальной авторизации и поднятия ппое-сессии и скрипт выставляния адреса пользователю в дхцп сервера микротика по авторизации в ппое-сервера того же микротика.

BigElectricCat
Зачем так делать? PPPoE самодостаточен для авторизации клиента.

Для того чтобы не городить сеть поверх сети, а использовать только для авторизации клиентов и назначения им нужных адресов обычной сети. Аль думаете, что ресурсы сервера за $0-30 позволят прокачать всё, что клиенты захотят?

Коллеги, что это за прикол такой?



сайт вроде серьезный, а при httpS сообщает, что частично шифрует..

P.S. браузер - mozilla firefox последняя версия

contrafack

Цитата:

сайт вроде серьезный, а при httpS сообщает, что частично шифрует..

значит, возможно, на странице есть элементы подгружаемые по http

Cheery

Это как? протокол https, а из этой же сессии какой то элемент идет обход?
че то не верится )))))

Там еще мне подозрительно кажется, что пишет "информация о владельце не обнаружены"

contrafack

Цитата:

протокол https, а из этой же сессии какой то элемент идет обход

если вы на https странице явно укажете http://сайт/картинка.jpg, то это будет смешанный тип.. и, обычно, браузер выдает об этом предупреждение.

Cheery

тут я не соглашусь с вами.

если явно указать в адресном строке http, то будет сессия идти по НЕшифрованному протоколу уже. т.е. все логично. Но не может быть поверх https идти трафик http НЕшифрованный.

contrafack

Цитата:

если явно указать в адресном строке http, то будет сессия идти по НЕшифрованному протоколу уже. т.е. все логично

речь не об адресной строке.

вы загрузили страницу через https, но в ней есть элементы подгружаемые через http (картинки, скрипты, css файлы). это уже является неполным шифрованием, так как обеспечивает меньший уровень безопасности.

Подскажите, можно ли в NAS поставить два разных вендора HDD.
Конкретно:
Western Digital WD10EZEX http://market.yandex.ru/model-spec.xml?modelid=8342079&hid=91033
Seagate ST31000528AS http://market.yandex.ru/model-spec.xml?modelid=3957314&hid=91033

Будут ли они нормально работать и не конфликтовать?
Планируется их объединять в RAID 10

k3NGuru

Во первых для RAID10 нужно как минимум 4 винта.

А во вторых, наверно можно, но тут стоит учитывать что работать они будут по принципу самого медленного судна во флотилии.

Если их соединить WD+SG / WD+SG, то я думаю что ни чего страшного случится не должно, но я все же посоветовал винты RAID edition.

k3NGuru Калифорнийская компания Backblaze, предоставляющая услугу резервирования данных владельцам персональных компьютеров, опубликовала статистику надежности жестких дисков, которые используются в ее дата-центре.
Особенностью Backblaze является то, что компания использует не промышленные жесткие диски, а обычные - предназначенные для рядовых потребителей.
Подробнее:
http://www.cnews.ru/top/2013/11/13/kak_chasto_umirayut_zhestkie_diski_cifry_549543
или
http://www.modber.ru/catalog/item2158.html