Tag Archives: computers

vshpere 5.1 update 1

diverse

A aparut vSphere 5.1 Update 1.

Si de ce nu, sa fac si eu update. Ca luna Aprilie a fost luna de update-uri (BIOS, ESXi, routere, switch-uri FC etc). Long overdue un pic, da inca putin si gata, ajung la zi cu planurile.

Eh, data trecuta, de la 5.0 la 5.1 upgrade-ul s-a facut usor, a durat totul vreo 3-4 ore in total cu download de software, instalat, migrat masini virtuale, reboot servere fizice etc.

De la 5.1 la 5.1 Update 1 – e cu cantec, de aseara ma tot screm cu el :(

  • Simple install plange ca nu poate si tre sa fac io adlabam stuff
  • Single Sign-On uita sa-si opreasca serviciile si drept urmare nu poate sa-si rescrie fisiere. Dar asta nu e tot, lasa aplicatia jumate fututa. Sa am io ce cauta si repara. Asta mi-a mancat ficatii, ca mi-a luat aproape o zi sa-l dovedesc in mortii lui.
  • Lui Virtual Center server ii da virgula ordinea de pornire a serviciilor si dureaza o ora si ceva instalarea. Da cu eroare, da la sfarsit ii iese bine. Fuck that also.
  • Syslog collector e si ala in papusoi. N-a vrut instalare ca nu’sce ma-sa nu-i place. Asta e, se poate si fara. Nevermind, un reboot face minuni :( a mers din prima, fara sa planga de nimic.
  • E un bug (cred) pe undeva la ‘Enter in maintenance mode’ la hosturi ca migreaza tot mai putin un lucru: secondary-urile de la Fault Tolerance si tre sa le dau mutare manuala. Aici mai e de investigat un pic.
  • 5.1.0 Update 1 pe host-uri nu se pune asa usor, intai vrea un restart la host – inca nu m-am prins de ce, abia dupa aia se poate face remediere
  • Pe Linux nu merge VMware Tools Autoupdate, noroc ca n-am asa multe. Trebuie sa mai investighez asta.

legea "big brother" sau 82/2012

diverse,

Saptamana trecuta a fost promulgata faimoasa lege “Big Brother” sau 82/2012 cum o s-o stie avocatii :)

Ieri am citit-o si eu (are 6 pagini) si e cam frectie la picior de lemn. Nu zice aproape nimic nou din ce nu se intampla si pana acum si nici nu vine apocalipsa.

Pe scurt:

  • Operatorii de telefonie mobila:
    • trebuie sa tina lista apelurilor si sms-urilor primite si efectuate timp 6 luni. BIG FUCKING DEAL. Oricum se tine lista apelurilor pentru facturare sau pentru factura detaliata de o poate vedea orice abonat. Probabil ce nu se tinea pana acum sunt apelurile si sms-urile primite.
    • trebuie sa stocheze IMEI-ul telefoanelor si IMSI-ul. la fel, big fucking deal. Oricum in sistemul de customer care sunt trase automat aceste date sa stii ce telefon are omul cand suna ca nu-i merge telefonul.
    • locatia celulei de pe care s-a efectuat apelul. de asta nu stiu daca se stocheaza acu sau nu, da s-ar putea sa se stocheze deja.
  • Operatorii de retele de date pentru acces internet:
    • sursa, destinatia, protocolul, durata: date care se obtin incredibil de usor din Netflow. Nu stiu cum e treaba prin .ro, insa prin alte tari din astea mai bananiere in ceea ce priveste internetul unde inca se mai face billing la cantitatea de trafic, acolo se foloseste netflow la greu. Probabil in loc de sampling 1:1000 o sa vrea MCSI sa se faca sampling 1:1 si aici o sa fie durerea mare, ca o sa cam trebuiasca multe upgrade-uri.
    • posta electronica: ora la care utilizatorul a facut login si logout, cui a trimis si de la cine a primit e-mail. Se aplica doar serviciilor hostate de provider. Date care pana acum nu erau logate nicaieri, o treabuiasca logate si stocate 6 luni. Nu stiu de nici un MTA care sa logheze si altceva in afara de la cine catre cine s-a dat un mail.
    • Localizarea si identificarea abonatului:
      • pentru clientii business e simplu: le dai un subnet, stii al cui e si gata.
      • pentru home users e mai complicat: trebuie sa tii cont si cine ce IP sau prefix (IPv6) a avut alocat si cat timp sa-l corelezi cu traficul facut pe acel IP sau prefix. Nimic ce nu se poate rezolva probabil cu un JOIN bine facut.

Toate aceste informatii trebuie stocate intr-o baza de date si distruse in mod sigur dupa 6 luni. Adica un cron-job zilnic care sa faca un DELETE $stuff FROM $table WHERE DATE > $CURRENT_DATE  – 6 months (sau ceva de genul). Ce inseamna sau ce nu inseamna sters securizat probabil ramane la latitudinea operatorului cat de liable vrea sa fie daca dupa ce da DELETE se mai gaseste sau nu ceva pe disc care n-ar trebui sa fie acolo. Desi cred ca o sa fie bine, ca oricum sunt useless datele alea si nu ajuta pe nimeni un dump de netflow (poti gasi direct pe internet, nu tre sa risti parnaia spargand un server pentru asta).

Pentru toti crizatii si specialistii in securitate wannabe care-si dau cu parerea sa se afle in treaba:

Articolul 1, alineatul 3:

Prezenta lege se aplica doar datelor generate sau prelucrate ca urmare a unei comunicatii ori a unui serviciu de comunicatii si nu se aplica in ceea ce priveste continutul comunicarii sau informatiilor consultate in timpul utilizarii unei retele de comunicatii electronice, in aceste cazuri fiind aplicabile prevederile Codului de procedura penala, precum si cele ale legilor speciale in materie.

Da, deci e interzis in mod explicit inregistrarea continutului SMS-urilor, e-mailurilor, a ce site-uri a vizitat utilizatorul si asa mai departe. Asa ca toata lumea inapoi la treaba, nu-i nimic de vazut aici.

Si o chestie foarte interesanta trecuta in lege: toate cheltuilelie cu punerea in picioare a sistemelor de retinere a datelor sunt deductibile. Parca vad c-o sa-si ia toti hard disk-uri de 1TB cu 5000EUR bucata :))

r75.40

diverse

Adica ultima versiune a produselor Check Point pentru securitate de perimetru. Cel putin azi, 26/06/2012.

Zilele astea a trebuit sa tin niste prezentari de Check Point la niste oameni, din care una batut in cap de beat. Eu ma dau cu Check Point de prin 2004 si am ajuns sa-l cunosc destul de bine, mi-am dat si cateva examene de control, sa fie acolo, ca nu se stie :)

De obicei nu prea ma omor p’aci sa scriu de produsele cu care lucrez, insa R75.40 merita si el cateva randuri pentru ca dupa ce l-am frecat in ultima saptamana am ajuns la concluzia ca e pe undeva la 70-75% din ce ar trebui sa fie un firewall UTM performant, capabil si care sa aiba o interfata de management mai mult decat decenta. Restul de firewall-uri sunt undeva mult mai jos, si da, m-am dat cu destul de multe.

Ce stie sa faca foarte bine:

  • Firewall: este foarte avansat, stie sa faca inspectie la nivel de protocol (like daca pe portul 25 ii zic ca e SMTP, atunci stie sa urmareasca corect comenzile SMTP si sa le accepte doar pe alea valide).
  • IPS: as in true IPS, cu politica, cu reguli, cu exceptii, cu posibilitate de capturare de trafic a pachetelor suspicioase sau blocate, cu GeoProtection (like nu vrei trafic originat din tara X) si multe altele
  • Integrare transparenta cu Active Directory (aka Identity Awareness in terminologie Check Point): pot sa pun reguli pe baza de utilizator, grup de utilizator, computer, grup de computere in combinatie cu adrese IP sau subnet-uri. Si chiar merge foarte bine, si nu mai trebuie sa stiu ce user ce IP are.
  • URL filtering & Application Control: per baza de reguli poti bloca accesul la aplicatii si/sau URL-uri, cu posibilitate de a le debloca dinamic. Cred ca cel mai tare feature e ala de responsabilizare a utilizatorului, in care il pune sa dea OK ca are voie sa stea doar 15 minute pe zi pe Facebook, si daca sare calul sa stie ca cineva mai sus il vede.
  • SSL Inspection. Man-in-the-middle, insa cu o autoritate de certificare care poate emite certificate SSL on-the-fly. Tot ce trebuie sa faca un admin e sa incarce in browser certificatul CA-ului de la firewall. Lucru realizabil foarte usor prin GPO, ca tot e mediu enterprise.
  • IPSec VPN (Site-to-Site si Remote Access). De asta nu zic ca nu e nimic spectaculos.
  • Raportare integrata, poti sa scoti tot felul de informatii utile si de trenduri doar click-click.
  • Log searching rapid, contextul google like. Asta chiar e feature nou si e al dracu de util si interesant cand ai catralioane de loguri si ai nevoie de un search rapid de genul: utilizatorul John Doe ce-a accesat ieri pe VPN. Si sa scrii asta intr-un query de genul: John Doe yesterday blade:VPN.
  • AntiBot: feature nou. Se leaga la cloudul lor si pe baza unor mecanisme proprietare clasifica si coreleaza traficul suspect, si daca vede de la mai multi trafic catre destinatii dubioase (like IP-uri din China) incepe sa se uite mai cu atentie la el si sa vada daca e trafic de botnet C&C. Ideeea e destul de simpla: Divided we fall. United we stand.
  • DLP aka Data Loss Prevention: merge bine la nivel de gateway, stie sa faca stuff, are foarte multe reguli predefinite, merge pe ideea de a educa si responsabiliza utilizatorul inainte de a-i da in cap (ca deh, toti suntem oameni si gresim).
  • OS-ul: acu chiar ca l-au nimerit, poti sa-l configurezi aproape cap-coada numai click-click din interfata web, administrare bazata pe roluri si multe alte bunatati.

Ce suge:

  • SSL-VPN: Ideea e buna, portalul spre client aproape arata decent. Insa decat sa vrei sa configurezi rahatul ala mai bine iti bagi un bat in cur, ca asa de greu e de configurat si neintuitiv. Capabilitatile sunt misto, like Secure Virtual Workspace si conectivitate Layer3 on-demand, insa tot d’ampulea e de configurat. Cre’ca ar ajunge market leader instant daca ar copia interfata de la Juniper SA.
  • Antivirusul: e super-basic, n-ai cine stie ce optiuni, si de obicei ajungi sa-i dai disable.
  • Antispam: cam la fel, suge grupa mare.
  • QoS: poti sa pui reguli de prioritizare si garantare de banda, insa trebuie sa renunti la toate capabilitatile de accelerare a traficului. Ceea ce e un big no-no.

Ca si concluzie, tind sa cred ca sunt pe drumul cel bun pentru un firewall pentru enterprise.

laptop

diverse

am ajuns la concluzia ca e cazul sa am si eu un laptop personal pe care sa-l folosesc. si cu concluzia asta a trebuit sa-mi fac o lista de cerinte pe care sa le indeplineasca laptopul:

  • sa aiba rezolutie buna (1440×900 sau 1600×900)
  • sa fie de maxim 13″ sau 13.3″
  • sa nu fie mai greu de 2kg
  • sa aiba SSD
  • sa aiba cel putin 8GB RAM, preferabil 16
  • sa aiba DisplayPort sau HDMI
  • sa fie Sandy sau Ivy Bridge, preferabil DualCore sau QuadCore

Eh, si aici e beleua maxima: in afara de ultrabook-uri facute de firme obscure, gen Asus nu gasesc nimic mai normal. Toata lumea a innebunit cu 1366*768 rezolutie, care arata de tot rahatul.

De vreo cateva luni bune, ma tot uit asa cu jind la un MacBook Air de 13.3″ care guess what: e usor, are rezolutie buna, are vreo 4GB RAM si SSD de 256GB, si DisplayPort. Da e scump cu spume, vreo ~1350EUR in DutyFree.

Astia de la Dell au baut gaz, si dupa ce nu stiu cati ani au scos laptopuri drepte si care aratau bine, acum le-au rotunjit pe toate, le-au facut mari, si plasticul ala de pe langa ecrane ocupa asa mult loc, sunt inalte, parca zici ca’s d’alea de 20mil din hypermarket.

So, unde sa ma uit dupa un laptop mic, dragut si care sa nu coste o mana si’un picior ?

ipv6 ready

diverse

Primii mail acu de la CloudFlare cum ca mai nou blogul este si IPv6 ready, ca mi-au pus ei AAAA record pentru ipv6.imacandi.net.

So, cand o merge, ca acum cam sughita, stiinta prezenta pe blog va fi disponibila si pe IPv6.

exchange 2010, vmware & win 2008 r2 fun

diverse

… sau mai bine zis cum sa te uiti ca prostu la monitor si sa zici ca nu e adevarat.

Setup simplu: Exchange 2010 SP2 UR1 (UR=Update Rollup), Windows 2008 R2 SP1 puse pe ESXi 5.0U1. 2 servere: un mailbox si un CAS.

Mai acu ceva vreme a iesit UR2 pentru Exchange 2010 SP2. Pe care l-am instalat cu succes si fara dude pe serverul pe care se afla mailboxurile. Dupa vreo ~ saptamana sau cam asa, am zis ca daca tot nu s-a intamplat nimic, hai sa-l pun si pe CAS, sa fie si ala fericit sa vad ca e totul bine pe o pereche de servere pana sa-l instalez si pe restul.

Cum pe mine ma apuca treaba asta numai noaptea, am dat install si am asteptat, si am asteptat, m-am dus prin oras, am mancat, m-am plimbat cu bicicleta si cand m-am intors se tot instala. M-am uitat io asa prin event viewer, am gasit niste mesaje de oroare destul de interesante.

Partea insa foarte interesanta a fost cand am observat ca nexam trafic IPv4 intre Exchange si DC-uri. Si conexiunile deja stabilite. Orice altceva canci. Nada. m-am frecat un pic in cap si am zis ca WTF, nu se poate. Pana la urma am zis ca ‘what can go wrong’ si am dat disable si enable la placa de retea, a dat semne ca s-a instalat si minuntea de UR, a zis ca vrea reboot, i-am dat, am vazut c’a rebootat si m-am dus la nani ca mi-era incredbil de somn.

A doua zi, SMS ca ‘nu merge OWA, da eroare’. A doua zi eram la 100km distanta de un computer de pe care puteam sa ma leg sa fixez jucaria. Anyway, am ajuns acasa, am sapat, am vazut ce eroare da, m-am pus sa dezinstalez UR-ul, l-am dezinstalat si pe ala de dinainte ca se pare ca se futuse si installerul de Windows si lua ce vroia el la dezinstalat, rebootat de cateva ori, si dat din nou sa instalez UR sa vad ce si cum.

Bineinteles ca s’a instalat pana pe la cap cand a inceput .NET optimizerul sa mai faca niste chestii si iar canci conectivitate IPv4. aia de IPv6 mergea de n-avea aer, numai ca dintr-un motiv care-mi scapa mie, in cazul asta, Exchange-ul isi doare foarte tare numai IPv4, asa ca am facut ce facusem si data trecuta, enable/disable la placa de retea, s-a deztepenit (cu mentiunea ca acu a dat mai putine mesaje de oroare), reboot si surpriza: merge OWA.

Singurul lucru diferit e ca pe CAS am pus direct UR2 versus alalalt server care avea UR1 pus si pe care am pus si UR2. Cred ca e o buba prin ce rahat face CAS-ul de se blocheaza asa tembel.

Si uite asa ajungi sa injuri pe toata lumea la doua dimineata cand se intampla lucruri care n-ar tebui sa aiba absolut nicio legatura una cu alta.

Deci da, cand instalezi un patch la ceva care nici macar n-are treaba cu sistemul de operare, mai nou poti ramane fara conectivitate IPv4 pentru conexiuni noi. Ain’t computers fucking predictable ?

new brocade toy

diverse,

Ieri am primit jucarie noua:

SSH@NetIron MLX-4 Router#show module

Module Status Ports
M1 (left): NI-MLX-MR Management Module Active
M2 (right): NI-MLX-MR Management Module Standby (Ready State)
F1: NI-X-HSF Switch Fabric Module Active
F2: NI-X-HSF Switch Fabric Module Active
F3:
S1: NI-MLX-10Gx8-M 8-port 10GbE (M) Module CARD_STATE_UP 8
S2: NI-MLX-1Gx20-SFP 20-port 1GbE-100FX Module CARD_STATE_UP 20
S3: NI-MLX-1Gx20-GC 20-port 10/100/1000 Copper Module CARD_STATE_UP 20
S4:

Are Cisco feel, se configureaza la fel cu cateva mici exceptii cosmetice. Face zgomot ca un GSR :))

not a good day for science

diverse,

Din cand in cand, ca orice sysadmin care se respecta, mai fac si update de soft pe ici pe colo, sa fiu trendy si in ton cu moda :)

In weekend, pentru ca eram sub influenta vinului, ma gandeam io asa ca trebuie sa fac update la JUNOS de pe un stack de EX4200, ca asta de rula acum ii expira suportul saptamana viitoare. M-am uitat, am citit, am gasit versiunea care trebuie si zic luni dimineata ii dau in cap.

Teoria, testata data trecuta, e ca in versiunile noi de JUNOS au fixat upgrade-ul stack-urilor pe EX4200 si pot sa-l fac hitless pentru serverele din spate. Bine, asta ca s-a prin si ESXi cum sa trateze pierderea link-urilor intr-un mod graceful asa :)

Eh, downloadez io 11.4R2.14 ca tot e recomandata de JTAC sa ruleze pe switch-urile astea si-i dau sa instaleze si sa rebooteze. Dupa ce am apasat Enter mi-am adus aminte ca e un pic gresita treaba si ca trebuia sa-i spun si pe ce membru sa faca asta. Si uite asa s-au instalat si rebootat amandoua switch-urile in acelasi timp. Buba e ca de cateva versiuni incoa a crescut timpul de instalare, ca se pune de doua ori: o data pe partitia normala si o data pe una de backup si in caz ca da cu oroare, sa ai de unde sa butezi pana o repari pe ailalta. Si uite asa m-am uitat io 10-15min pana au pornit alea si a luat-o iar totu din loc.

Noroc ca era de dimineata si nu era lumea prea treaza sa se prinda ca a picat stuff pe acolo :)

Asa, azi am vrut sa repet operatia, da de data asta pe o pereche de routere care functioneaza de capul lor. So, oprit frumos serviciile pe unul din routere sa nu flapeze stuff pe acolo, instalat OS frumos, inchis sesiunea de SSH, plecat putin la plimbare, intors, pornit sesiune de SSH din nou si dat reboot.

Dat reboot la alalalt router si nu intelegeam de ce ma-sa buteaza cu aceeasi versiune de OS. Cand n-a mai mers conexiunea la internet mi-a picat fisa. In cap. L-am rebootat pe singuru bun.

Am scos un “Futu-i”, asteptat sa buteze, sa incarce cele 2 tabele globale de IPv4, sa se stabilizeze shit-ul, sa-l rebutez pe ala care trebuia, sa-i activez din nou configuratia, sa astept sa incarce si ala stuff si ce mai face el, sa las lucrurile sa se linisteasca un pic si sa-l actualizez si pe ala care trebuie si sa-l mai rebutez o data :)

Morala cre’ca e sa nu mai fac stuff pisat pe mine de somn. Azi am cascat pana la pranz. Noroc ca la intalnirea de dimineata aia care nu trebuiau sa ma vada scriau pe flipchart cu spatele. M-as fi intins pe mocheta de somn ce-mi era.

Cre’ca trebuie sa-mi fac todo list pe care sa notez ce anume trebuie sa scrie la prompt cand dau comenzi, ca cine stie ce rahat se intampla data viitoare.

distractii cu apc

diverse

Bila alba

Prin moiembrie-decembrie 2011 am luat niste UPS-uri de la APC pentru un rack de echipamente. Instalat frumos cu extensii de baterii, dat in productie, rulat teste de calibrare si surpriza: un UPS raporta 2h45min runtime, altul 1h42min runtime. cum ambele UPS-uri sunt in configuratii identice iar diferenta de incarcare pe ele este de ~1-2% (un mediaconvertor pus pe unul din UPS-uri).

Deschis caz la APC, trimis loguri si screenshot-uri, tanti de la suport draguta mi-a facut RMA la tot setul de baterii (6 la numar). din cauza de greutate au fost trimise cu camionul din Irlanda in Romania si a durat cred ca vreo aproape mai mult de o saptamana sa ajunga la destinatie.

Montat bateriile noi, lasat UPS-ul la incarcat, scos alimentarea cu curent si lasat la descarcat si numarat cat dureaza pana se descarca complet la ~40% load cat are in sarcina: 2h42min.

Partea misto e ca UPS-urile astea au un butonas de bypass si poti schimba bateriile “on the fly” fara sa opresti echipamentele conectate la UPS. Singurul dezavantaj e ca daca se ia curentul in timpul operatiunii o sa se opreasca si echipamentele conectate la UPS.

Overall mi-a placut ca au reactionat repede, fara sa incerce tot felul de combinatii sa nu inlocuiasca ceva defect si asa mai departe; iar tipa de la suport chiar a fost de ajutor.

Partea trista la povestea asta a fost ca pack-ul de 4 baterii vine pe palet si are 100+ kg :(

Bila neagra

Echipamentele APC de le am (prize si UPS-uri) au carduri de management pe retea care suporta si HTTPS. Cum in corporatie am si un CA intern de da certificate la cam tot ce misca, am zis sa continui traditia si sa pun certificate digitale si pe Network Management Cards (NMC) de la APC. Asa ca facut ce stiam io ca e nevoie de produs un certificat digital: creat un private key, creat un CSR, semnat CSR-ul de CA, luat certificatul si private key-ul si puse intr-un fisier si uploadat pe NMC.

WRONG!

Aia de fac NMC-urile la APC au fumat ceva diferit de restul care au suport de certificate digitale pentru servere web embedded si pentru a pune certificate digitale pe cardurile lor trebuie folosit un utilitar (APC Security Wizard) care sa genereze private key (in format PKCS#15) si CSR, dupa care se ia certificatul generat de CA, se importa in APC Security Wizard, se combina cu cheia privata din care rezulta un alt fisier tot in format PKCS#15 care e de fapt certificatul pe care stie NMC-ul sa-l importe si sa-l foloseasca.

Rahatul asta de Security Wizard are niste dezavantaje:

– private key e pe 1024bit
– nu suporta subjectAlternativeName

Pe mine ma doare cel mai tare subjectAlternativeName, ca HTTPS-ul e sensibil sa fie potrivire exacta intre ce scrii tu ca adresa in brwoser si ce sceie in CN-ul certificatului pe care-l prezinta serverul web, si daca io am certificat pentru pdu0.domeniu.local si in browser scriu https://pdu0 – o sa-mi dea eroare ca certificatul nu e valid.

subjectAlternativeName are o functionalitate foarte misto, si anume poti sa-i defineste atribute de tip DNS sau IP si sa le pui in certificat astfel incat daca accesezi serverul web cu https://pdu0 / https://pdu0.domeniu.local / https://ad.re.sa.ip / https://[ad.re.sa.ip.v6] sa considere ca e valid certificatul si sa nu mai dea eroare.

Dar nu, cineva de la APC a decis ca de ce sa nu fie lucrurile usoare pentru clienti cand poa sa fie complicate pentru ca asa vor ei.

Update: se pare ca exista o versiune mai noua a utilitarului care stie si chei pe 2048bit.

troubleshooting

diverse

Troubleshooting problems is an ‘art’, not a ‘science’. Either you know how to do it, or you don’t. And, like any other “art”, you can’t teach it; you _can_ teach ‘mechanics’ that help people who have an ‘instinctive’ (for lack of a better word) grasp of the subject “do it better”. But the _ability_ has to be there in the first place.

It’s similaar to integral calculus — you have a result, and are looking for the question. (Remember how _hard_ integration was — until the ‘AHA!’ moment when, all of a sudden, it all made sense. And you were shaking your head wondering *why* you had so much trouble ‘getting it’.)

Troubleshooting is much the same. If you’ve seen “that” problem before, you have an idea of what -may- be causing it. And can start checking for the existing of each possible ‘what’ that you know about. With experience, you know _which_ “what” is most likely and to start there. Also, what additional_ things to check, to narrow down the list of ‘possibles’.

Copiat cu nerusinare dintr-un e-mail de pe NANOG, insa e cred ca cea mai buna explicatie de ce unii oameni pot sa faca troubleshooting si altii nu, si cel mai important: de ce nu poti sa inveti efectiv pe cineva sa faca troubleshooting.