moonjumper's admin blog

Meine Chefin hat mich gebeten mal zu schauen wie man am besten das Netzwerk vor Fremdrechnern schützt. Eigentlich klingt es ganz einfach. Alle Domainrechner sollen in das normale VLAN rein und alle domainfremden Rechner sollen in ein Gast-VLAN und Telefone natürlich in das Voice-VLAN. Daten und Voice VLAN sind ja kein Problem, weil das die Cisco Switche von allein machen bei der entsprechenden Konfiguration. Nur das mit dem Gast-VLAN ist ein echtes Problem.
Ok port security haben wir ja gelernt beim CCNA aber da war es ja nur möglich anhand einer ACL festzulegen welche Mac Adressen zugelassen werden und sonst wird eben der Port abgeschaltet. Gibt es die Möglichkeit mit Port Security dem angeschlossenen Rechner eine bestimmtes Vlan zuzuweisen? Nein gibt es nicht. Gibt es ne andere Möglichkeit sowas zu realisieren?
Eine Lösung wäre ein VMPS Server , der in unserer Cisco Umgebung funktionieren würde. Aber eben nur würde, da  weltweit eben doch nicht überall Cisco Switche und Router im Einsatz sind und zusätzlich auch nicht alle Cisco Geräte das VLAN Query Protocol (VQP) unterstützen. Zwar kann mittlerweile jedes IOS damit umgehen aber offiziell werden nur Catalyst 4000, 5000 und 6500 Switche unterstützt. Das nächste größere Problem ist auch noch, dass alle MAC Adressen eigepflegt werden müssen und ich will keine 6000 MAC Adressen irgendwo pflegen müssen.
Die andere Lösung heisst 802.1x, aber dann braucht man auch noch einen CA Server (Certificate Authority) um dann mit digitalen Zertifikaten zu arbeiten und natürich Komponenten, die dann auch 802.1x unterstützen. Dann ist es eine weitere Überlegung wert, sich auch über die Verwaltung der Zertifikate gedanken zu machen, Maschinenzertifikate oder Zertifikate auf SecureUSBTokens... ist halt schon ein komplexes Thema.

Gibt es eine andere Möglichkeit sowas zu realisieren? Hab für jede Idee ein offenes Ohr. Gebt einfach einen Kommentar ab twittert mich an.

Spreeblick streikt gerade wegen dem "Gesetz zur Sperrung von Websites". Ich positionier mich auch mit der Bitte, dass das die Runde macht.

So gab es noch kleine Änderungen im Gesetzestext, die aber eine größere Auswirkung haben könnten wie man bei internet-law.de nachlesen kann.

"... Die Überschrift von § 8a TMG-E wurde in "Erschwerung des Abrufs von Kinderpornographie in Kommunikationsnetzen" geändert. Es sind auch noch einige kleinere inhaltliche Änderungen vorgenommen worden. Die m.E. einzige inhaltlich relevante Änderung wurde in § 8 Abs. 2 TMG-E vorgenommen. Im Entwurf vom 01.04.09 hieß es noch, dass es sich um Angebote handeln muss, die Kinderpornografie enthalten und auf der Sperrliste aufgeführt sind. In der Beschlussvorlage wurde der erste Teil gestrichen, so dass der Provider sperren muss, sobald ein Angebot auf der Sperrliste aufgeführt ist."

Zensur im Netz nennt man so etwas. Das Bestreben, dem Missbrauch von Menschen und speziell Kindern ein Ende zu bereiten ist löblich und es wird auch nicht dagegen gestreikt sondern dies wird unterstützt. Wenn allerding mit so einem Gesetz eine mögliche Zensur jeglichen Inhalts im Netz ermöglicht wird gat dies nichts mehr mit Demokratie zu tun.

Spreeblick dazu:

Von Laien regiert

Spreeblick befindet sich am Mittwoch, den 22. April 2009, im demonstrativen Streik.

Am heutigen Tag, dem 22. April 2009, will das Bundeskabinett ein Gesetz zur Sperrung von Websites beschließen, die Kinderpornografie darstellen oder anbieten. Wir unterstützen die Bundesregierung in ihrem Bestreben, dem Missbrauch von Menschen und speziell Kindern ein Ende zu bereiten, bezweifeln jedoch auf Grundlage vieler Expertenmeinungen, dass dieses Bestreben der wahre Grund für die angekündigten Sperrungen ist.

Die geplante technische Umsetzung auf Basis von Sperrlisten halten wir für laienhaft, wirkungslos und unter Umständen kontraproduktiv. Wir fordern die Bundesregierung auf, die durch die Listen offensichtlich bekannten illegalen Websites zu schließen und ihre Urheber bzw. Betreiber strafrechtlich zu verfolgen. Wir lehnen Internetsperren ab, die ob ihrer Intransparenz und technischen Zweifelhaftigkeit eine Gefahr für die Demokratie in Deutschland sein könnten. Wir fühlen uns durch die von Fachleuten wiederholt in Frage gestellten Zahlen und Fakten, die das Familienministerium kommuniziert, als wählende Bürger belogen.

Wir halten Wahlkampf-Taktiken und politischen Populismus für äußerst unangemessen, wenn es um die Bekämpfung des Verbrechens der Gewalt an Minderjährigen gehen soll.

Weitere Informationen sind u.a. hier zu finden:
- c’t: Verschleierungstaktik
- Heise Online: Kinderporno-Sperren: „Frontalangriff auf die freie Kommunikation“ befürchtet
- Spiegel Online: BKA filtert das Web

Seien wir doch mal ehrlich, die deutschsprachige Bloglandschaft steckt seit einiger Zeit in einer Depression. Im besten Falle wird zwar beobachtet, was die Nachbarn so machen, aber ein wirkliches miteinander findet meist nur in Ausnahmefällen statt. Die gute alte Blogroll ist aus den meisten Layouts verschwunden oder leidet an Altersschwäche. Wir kochen vor allem unser eigenes Süppchen.

Zeit sich Zeit zu nehmen, und den eigenen Lesern zu zeigen, welch tolle Blogs da draußen sind, den Horizont etwas zu erweitern, und miteinander zu kuscheln.

Und wenn ich schon von miteinander rede, warum nicht alle an einem Tag?

So veröffentlichen alle heute am 21.04.2009, die darauf Lust haben, einen Beitrag mit dem Titel “Ein ♥ für Blogs - Ein Herz für Blogs” in dem sie ihre lesenswerten deutschsprachige Blogs vorstellen - das darf dann auch mal über den eigenen Blogtellerrand hinausgehen.

Im Idealfalle entdecken wir alle neue Perlen und sorgen dafür, dass man sich untereinander ein wenig vernetzt (ja, so wie früher!).

Eine Idee von Stylespion.de an der ich gerne teilnehme und hier mal meine Lieblingsblogs aufliste:

http://www.baby-blog.de/
http://babyblog.newlifehotels.com/
http://www.sparbaby.de/
http://www.still-blog.de/
http://www.baby-zeit.de/
http://bjarnesbunterbabyblog.wordpress.com/
http://mami-blog.de
http://blog.mamiweb.de/
http://www.baby-weblog.de/
http://vaeter-und-karriere.de/
http://www.e71fanatics.com/

http://hackersforcharity.org/
http://netzpolitik.org/
http://www.alterfalter.de/
http://blogglob.de/moonjumper/
http://moonjumper.babyblog.de/

Die Projektarbeit meines Azubis nimmt nun langsam Formen an und man kann sich mit den Kleinigkeiten beschäftigen. Als Thema ist die Installation von USV Systemen gewählt worden, was nicht sehr kompliziert ist, aber dennoch immer mal wieder einige Fragen aufwirft.
Wir haben einige Szenarien ausgearbeitet, bei denen unterschiedliche Anforderungen an die USV gestellt werden. Gestern war dann mit der Einholung der Angebote und deren Inhalt angekommen. Verschiedene Systeme von APC waren natürlich auch dabei und da wir eh schon APC's in Europa einsetzen, werden diese wohl auch das Rennen machen.
Wir haben dann überlegt, für 2 Server eine APC Smart-UPS zu verwenden. Die USV ist mit Server01 über USB oder RS232 (Serielles Kabel) verbunden, die beiliegende Software ist installiert und der Server01 fährt auch wie gewünscht bei einem Stromausfall herunter. Server02 wird ebenfalls von der USV versorgt, doch ist es leider nicht möglich, diesen Computer im Ernstfall herunterfahren zu lassen, da es ja nur ein Kabel gibt und Server02 nichts von dem Stromausfall erfährt. Wie also weitere Server / Rechner an einer USV herunter fahren?
Es gibt diverse Erweiterungskarten die jedoch extra Kosten verursachen würden. So gibt es einen "UPS Interface Expander" der einen RS232 Port Verteiler darstellt und so mehrere Server mit den SNMP Signalen versorgen kann und so die Server auch herunter fahren würden. Die andere Möglichkeit wäre eine "UPS Network Management Card", welche dann über LAN die Signale an die Server gibt. Hier ist zu beachten, dass der Switch, welcher die Server verbindet auch an die USV angeschlossen werden muss.
Doch wir möchten ja die Kosten gering halten und so war die Idee ein Batchfile oder Command -Datei zu schreiben, welches die anderen Server per "shutdown" herunter fährt.
Der Inhalt könnte dann etwa so aussehen:

shutdown /s /f /c "USV Shutdown" /t 10 /m \\server02

Nun ist aber das Problem, dass an dem Server niemand angemeldet ist und sicher kein shutdown Befehl akzeptiert wird ohne die entsprechenden Rechte zu haben.

So muss man sich einmal die Verwaltungssoftware etwas genauer anschauen. Bei der Managementcard wir die Software "PowerChute Network Shutdown" verwendet, welche die Server per Agent herunter fährt. Bei USV Systemen ohne die Managementcard gibt es von APC eine Software "PowerChute Business Edition - Single Node Agent" welche einen Dienst installiert "APC PBE Agent". Der Dienst wird standardmäßig unter dem lokalen Systemkonto ausgeführt. Eine Änderung der Anmeldeinformation ist die Lösung. So kann man im ActiveDirectory einen neuen Benutzer anlegen der nichts anderes macht als diesen Dienst zu starten und das Batchfile ausführt, womit die weiteren Server herunter gefahren werden.

Der Benutzer muss auf dem Servern mit der Verwaltungssoftware Adminrechte besitzen um den geplanten Task auszuführen. (Warum man für geplante Task Adminrechte braucht verstehe ich zwar nicht ist aber leider so.) Auf den anderen Servern, die zwar an die USV angeschlossen sind aber unmanaged sind, muss der Benutzer in den Lokalen Richtlinien auch noch an einer Stelle eingetragen werden. Der erstellte User muss dann in den Sicherheitsrichtlinien unter "Zuweisen von Benutzerrechten" -> "Erzwingen des Herunterfahrens von einem Remotesystem aus" eingetragen werden.

Somit wird der Befehl unter dem Benutzer gestartet und der oder die Server werden ordnungsgemäß herunter gefahren.