Donnerstag, 23. April 2009
Meine Chefin hat mich gebeten mal zu schauen wie man am besten das Netzwerk vor Fremdrechnern schützt. Eigentlich klingt es ganz einfach. Alle Domainrechner sollen in das normale VLAN rein und alle domainfremden Rechner sollen in ein Gast-VLAN und Telefone natürlich in das Voice-VLAN. Daten und Voice VLAN sind ja kein Problem, weil das die Cisco Switche von allein machen bei der entsprechenden Konfiguration. Nur das mit dem Gast-VLAN ist ein echtes Problem.
Ok port security haben wir ja gelernt beim CCNA aber da war es ja nur möglich anhand einer ACL festzulegen welche Mac Adressen zugelassen werden und sonst wird eben der Port abgeschaltet. Gibt es die Möglichkeit mit Port Security dem angeschlossenen Rechner eine bestimmtes Vlan zuzuweisen? Nein gibt es nicht. Gibt es ne andere Möglichkeit sowas zu realisieren?
Eine Lösung wäre ein VMPS Server , der in unserer Cisco Umgebung funktionieren würde. Aber eben nur würde, da weltweit eben doch nicht überall Cisco Switche und Router im Einsatz sind und zusätzlich auch nicht alle Cisco Geräte das VLAN Query Protocol (VQP) unterstützen. Zwar kann mittlerweile jedes IOS damit umgehen aber offiziell werden nur Catalyst 4000, 5000 und 6500 Switche unterstützt. Das nächste größere Problem ist auch noch, dass alle MAC Adressen eigepflegt werden müssen und ich will keine 6000 MAC Adressen irgendwo pflegen müssen.
Die andere Lösung heisst 802.1x, aber dann braucht man auch noch einen CA Server (Certificate Authority) um dann mit digitalen Zertifikaten zu arbeiten und natürich Komponenten, die dann auch 802.1x unterstützen. Dann ist es eine weitere Überlegung wert, sich auch über die Verwaltung der Zertifikate gedanken zu machen, Maschinenzertifikate oder Zertifikate auf SecureUSBTokens... ist halt schon ein komplexes Thema.
Gibt es eine andere Möglichkeit sowas zu realisieren? Hab für jede Idee ein offenes Ohr. Gebt einfach einen Kommentar ab twittert mich an.
Freitag, 3. April 2009
Die Projektarbeit meines Azubis nimmt nun langsam Formen an und man kann sich mit den Kleinigkeiten beschäftigen. Als Thema ist die Installation von USV Systemen gewählt worden, was nicht sehr kompliziert ist, aber dennoch immer mal wieder einige Fragen aufwirft. Wir haben einige Szenarien ausgearbeitet, bei denen unterschiedliche Anforderungen an die USV gestellt werden. Gestern war dann mit der Einholung der Angebote und deren Inhalt angekommen. Verschiedene Systeme von APC waren natürlich auch dabei und da wir eh schon APC's in Europa einsetzen, werden diese wohl auch das Rennen machen. Wir haben dann überlegt, für 2 Server eine APC Smart-UPS zu verwenden. Die USV ist mit Server01 über USB oder RS232 (Serielles Kabel) verbunden, die beiliegende Software ist installiert und der Server01 fährt auch wie gewünscht bei einem Stromausfall herunter. Server02 wird ebenfalls von der USV versorgt, doch ist es leider nicht möglich, diesen Computer im Ernstfall herunterfahren zu lassen, da es ja nur ein Kabel gibt und Server02 nichts von dem Stromausfall erfährt. Wie also weitere Server / Rechner an einer USV herunter fahren?Es gibt diverse Erweiterungskarten die jedoch extra Kosten verursachen würden. So gibt es einen " UPS Interface Expander" der einen RS232 Port Verteiler darstellt und so mehrere Server mit den SNMP Signalen versorgen kann und so die Server auch herunter fahren würden. Die andere Möglichkeit wäre eine " UPS Network Management Card", welche dann über LAN die Signale an die Server gibt. Hier ist zu beachten, dass der Switch, welcher die Server verbindet auch an die USV angeschlossen werden muss. Doch wir möchten ja die Kosten gering halten und so war die Idee ein Batchfile oder Command -Datei zu schreiben, welches die anderen Server per "shutdown" herunter fährt. Der Inhalt könnte dann etwa so aussehen:
shutdown /s /f /c "USV Shutdown" /t 10 /m \\server02
Nun ist aber das Problem, dass an dem Server niemand angemeldet ist und sicher kein shutdown Befehl akzeptiert wird ohne die entsprechenden Rechte zu haben.
So muss man sich einmal die Verwaltungssoftware etwas genauer anschauen. Bei der Managementcard wir die Software "PowerChute Network Shutdown" verwendet, welche die Server per Agent herunter fährt. Bei USV Systemen ohne die Managementcard gibt es von APC eine Software "PowerChute Business Edition - Single Node Agent" welche einen Dienst installiert "APC PBE Agent". Der Dienst wird standardmäßig unter dem lokalen Systemkonto ausgeführt. Eine Änderung der Anmeldeinformation ist die Lösung. So kann man im ActiveDirectory einen neuen Benutzer anlegen der nichts anderes macht als diesen Dienst zu starten und das Batchfile ausführt, womit die weiteren Server herunter gefahren werden.
Der Benutzer muss auf dem Servern mit der Verwaltungssoftware Adminrechte besitzen um den geplanten Task auszuführen. (Warum man für geplante Task Adminrechte braucht verstehe ich zwar nicht ist aber leider so.) Auf den anderen Servern, die zwar an die USV angeschlossen sind aber unmanaged sind, muss der Benutzer in den Lokalen Richtlinien auch noch an einer Stelle eingetragen werden. Der erstellte User muss dann in den Sicherheitsrichtlinien unter "Zuweisen von Benutzerrechten" -> "Erzwingen des Herunterfahrens von einem Remotesystem aus" eingetragen werden.
Somit wird der Befehl unter dem Benutzer gestartet und der oder die Server werden ordnungsgemäß herunter gefahren.
Donnerstag, 2. April 2009
Immer wieder kam ein Fehler beim Öffnen von Aufgaben oder bei der "Outlook Heute" Ansicht. Ich habe nichts verändert, zumindest was mit Office zu tun hat, die aktuellen Updates und Servicepacks waren auch schon alle eingespielt. Trotzdem kam jedes Mal "Fehler beim Aufruf der Rückruffunktion "Ribbon_GetIMEXImage".
Also musste mal wieder ein wenig Sucharbeit geleistet werden und hier nun ein Workaround für den Fehler: Fehler beim Aufruf der Rückruffunktion "Ribbon_GetIMEXImage".
Es ist das Add In "Microsoft Access Outlook Add In für die Erfassung und Veröffentlichung von Daten", was hier den Fehler bringt. Zwei Möglichkeiten gibt es nun den Fehler nicht mehr zu sehen.
Man kann in Outlook unter Optionen -> Register Weitere -> auf Schaltfläche Erweiterte Optionen ganz unten den Haken "Add-In Benutzerobenflächenfehler anzeigen" herausnehmen und schon wird kein Fehler mehr angezeigt, was allerdings nicht heißt, dass er weg ist.
Die andere Möglichkeit ist, das Add-in "Microsoft Access Outlook Add In für die Erfassung und Veröffentlichung von Daten" zu deaktivieren. Nach einiger Suche habe ich dann in Outlook auch diesen Punkt gefunden. Unter Extras -> Vertrauensstellungscenter -> Add-Ins kann man unten zu den COM-Add-Ins wechseln und das Add-In deaktivieren.
Wer denkt sich eigentlich die Orte zur Verwaltung der Add-Ins aus? Jedesmal befindet sich diese Maske an einer anderen Stelle und in Microsoft Outlook 2007 wieder an einer ganz anderen Stelle als in Microsoft Word 2007. Hier findet man die Add-Ins unter Office Schaltfläche -> Word Optionen -> Add-Ins.
Jetzt werden wir uns noch dem Fehler bei einem Kollegen annehmen. Dieser erhält im Internet Explorer beim Aufruf von "Nach Microsoft Excel exportieren" einen Fehler "The language DLL VBE6INTL.DLL could not be found", was wohl etwas mit seinem Visio zu tun hat.
Freitag, 27. März 2009
Gestern hatten wir wieder mal eine kleine Diskussion, wie denn die Lizenzierungspreise bei Microsoft Vista zustande kommen.
Es gibt ja die OEM Versionen, die man auch auf diversen Plattformen kaufen kann. Dazu gibt es dann diese Aussagen:
"OEM Bedeutet Original Equipment Manufacturer (deutsch: Originalausrüstungshersteller). Ursprünglich bedeutete dass, das die Software nur in Verbindung mit einem PC oder einer Hardware verkauft werden darf, z.B. ein CD-Brenner mit Nero oder ein Medion PC mit Medion OEM Windows.
Nach einem Urteil des BGH vom 6. Juli 2000 ist es jedoch neuerlich erlaubt, diese Software ohne die Hardware zu erwerben - Obwohl Microsoft dagegen klagte. Der Kauf einer OEM Software bzw. eines OEM Lizenzcodes und die Installation ist somit vollkommen legal."
Nachdem dieses Urteil gesprochen wurde, schaffte Microsoft neue Verträge mit seinen Vertragshändlern, z.B. Medion oder Siemens, woraufhin diese über jeden Verkauf spezieller Systembuilder einen Nachweis abgeben müssen. Für den Käufer ist dies aber unrelevant, da diese nicht von den normalen Versionen zu unterscheiden sind. Auch der Kauf dieser Versionen ohne Hardware ist für den Käufer legal, der Verkauf durch seine Vertragshändler (also z.B. Medion) allerdings nicht, da diese die Lizenz nur im Zusammenhang mit neuer Hardware verkaufen dürfen.
Zusammengefasst ist der Kauf einer OEM Version legal und der Verkauf auch. Illegal ist nur der Verkauf einer OEM Version ohne Hardware durch einen Vertragspartner von Microsoft.
Neben den OEM Versionen gibt es ja aber auch noch die Systembuilder Version (SB) und das Full Packaged Product (FPP). Wenn man in diversen Onlineshops mal die Preise vergleicht so ist immer eine große Preisspanne zwischen den Systembuilder und den Full Packaged Versionen. Aber wie kommt dieser Preisunterschied zustande und was ist der Unterschied zwischen den beiden Versionen?
Die Lösung gibt diesmal Microsoft selber in einer Mail
"Sie haben die Möglichkeit, zwischen OEM (Original Equipment Manufacturer), SB (Systembuilder) und FPP (Full Packaged Product) Lizenzen zu wählen.
OEM Lizenzen sind Lizenzen, die speziell den Herstellern von Hardware zur Verfügung stehen. Es sind Versionen, die durch den Verkauf an die Hardwarehersteller in den Besitz der jeweiligen Hersteller übergehen und ausschließlich in Verbindung mit einem neuen Komplett-PC ausgeliefert werden.
Die Hardwarehersteller sind berechtigt, an unseren Betriebssystemen Änderungen vorzunehmen und diese auf die hergestellten PC's zu optimieren. Daher auch die Namensgebung OEM (Original Equipment Manufacturer).
Durch den Verkauf und die vorgenommenen Änderungen sind OEM Lizenzen technisch und lizenzrechtlich an den jeweiligen PC gebunden, mit dem sie ausgeliefert wurden.
Produktunterstützung für OEM Lizenzen erhalten Sie ausschließlich über Ihren Hardwarehersteller.
SB Lizenzen sind Lizenzen, die Sie frei verkäuflich im Fachhandel erwerben können.
SB Editionen sind nicht an einen speziellen PC gebunden und können auf alle Geräte, die den Systemvoraussetzungen entsprechen, installiert werden.
Diese Versionen beinhalten im Preis des Produkts keinen technischen Support. Ihr Ansprechpartner für die Produktunterstützung ist bei diesen Versionen immer der Fachhandelspartner, der das Produkt vertreibt. Technischer Support über Microsoft ist für SB Lizenzen nur kostenpflichtig möglich.
FPP Lizenzen können ebenfalls frei verkäuflich im Fachhandel erworben werden. Auch diese Versionen können auf alle Geräte installiert werden, die den Systemvoraussetzungen entsprechen. Der Preisunterschied zwischen einer SB und FPP Lizenz begründet sich durch den technischen Support. Im Gegensatz zu der SB Lizenz beinhaltet eine FPP Lizenz zwei technische Anfragen im Preis des Produkts, welche Sie beim Microsoft Support einlösen können.
Alle drei Lizenzformen unterscheiden sich nicht in Art und Umfang des Produkts, sondern lediglich in der Lizenzierung.
Dabei beachten Sie auch bitte, dass alle drei Lizenzformen Einzelplatzlizenzen sind. Sie können zeitgleich immer nur auf einem einzigen PC installiert und aktiviert werden. Eine Mehrfachinstallation auf mehreren Geräten ist lizenzrechtlich und technisch nicht durchführbar.
Wenn Sie eines unserer Produkte erwerben möchten, wenden Sie sich bitte an einen Ihnen bekannten Fachhandel in Ihrer Nähe. Dort erhalten Sie eine umfassende Beratung und ein Angebot, das ganz auf Ihre Wünsche und Vorstellungen abgestimmt ist.
Die Preisgestaltung obliegt den jeweiligen Fachhändlern."
Nur 2 Supportanfragen machen den Mehrpreis aus. Ich dachte der Mehrpreis setzt sich aus der schöneren Verpackung, einem vollwertigen Handbuch und kostenlosem Support zustande. Aber wenn man dann doch nur 2 Anfragen starten kann finde ich das schon etwas ärmlich. Wenn ich für jede Supportanfrage meiner Kollegen ca. 100 Euro kassieren würde.. wow dann wäre ich ein wirklich reicher Mann!
Donnerstag, 26. März 2009
 Meine Managerin sagt zwar selber, dass sie keinen Wert auf die Zertifizierungen legt bei ihren Mitarbeitern aber sie sagt auch, dass die Zertifizierungen für einen persönlich und den zukünftigen Werdegang wichtig sind. So ist sie immer daran interessiert, dass ihre Mitarbeiter die entsprechenden Zertifizierungen ablegen, wenn das KnowHow da ist. Da ich ja nun erst im Dezember meinen CCNA abgelegt habe, sollte ich auch gleich dran bleiben und weiter machen um den CCVP zu absolvieren. Nach einem Gespräch gestern mit einem Schulungscenter in München habe ich erfahren, dass ich am besten die 5 Prüfungen zum CCVP noch bis Juni machen sollte, da ich dann eben nicht noch den CCNA Voice ablegen muss, denn nur noch bis 23. Juni 2009 bleibt die CCNA Zertifizierung die Voraussetzung für die Cisco Certified Voice Professional (CCVP) Zertifizierung. Ab diesem Datum wird zusätzlich eine CCNA VOICE Zertifizierung vorausgesetzt.Die fünf Prüfungen und Schulungen sind: 642-642 QOS - Implementing Cisco Quality of Service 642-436 CVOICE - Cisco Voice over IP 642-446 CIPT1 - Implementing Cisco Unified Communications Manager Part 1 642-456 CIPT2 - Implementing Cisco Unified Communications Manager Part 2 642-426 TUC - Troubleshooting Cisco Unified Communications Systems Die Suche nach einem Trainingscenter in München öffnete mir dann schon mal die Augen. Der CCNA wird ja von vielen Trainingscentern angeboten der CCVP Zertifizierungspfad dagegen nur noch von zwei Anbietern. Daran merkt man auch wie viele CCNA's ihr Fachwissen spezialisieren wollen. Es ist schon verwunderlich, dass sich bei einer Zertifizierung die nur drei Jahre gültig ist so wenige Leute weiter spezialisieren wollen. Allgemein bekannt ist ja, dass der CCNA im Schwierigkeitsgrad sehr hoch angesetzt ist, damit nicht jeder diese Zertifizierung machen kann wie es beim MCSE leider der Fall ist. Nun ein CCVP Bootcamp bei Fastlane in denen man das geballte Wissen in drei Wochen rein gepresst bekommt werde ich wohl nicht machen. Allein der Lernstoff ist schon schwer in drei Wochen zu schaffen und dann sollten ja auch noch die Prüfungen in dem Zeitraum gemacht werden oder im Anschluss. So wird es wohl zum Besuch der einzlenen Kurse kommen. Wenn man denkt (so wie ich), dass diese Einzelschulungen gesamt teurer sind liegt falsch. So gibt es das sogenanntes Quality Package von Experteach, welches die fünf Kurse beinhaltet und genauso viel kostet wie das Bootcamp. Zusätzlich sind sogar die Prüfungen inklusive und wenn man bei einem Kurs die Prüfung nicht schaffen sollte, so kann man den Kurs noch kostenlos ein zweites mal besuchen, nur die Schulungsunterlagen sind dann mitzubringen. Nun werde ich sehen, ob ich bis Juni noch meinen CCVP mache oder ob ich dann noch denn CCNA Voice ablegen muss.
|
