ugg.li Schnelle Hilfe für schnelle Admins
Nicht immer schön, aber effektiv. Schnelle Hilfe für schnelle Admins.
Mit Windows 7 und Server 2008R2 wurde das Systemsteuerungs-Applet „Anmeldeinformationsverwaltung“ (oder auch Tresor) eingeführt, der gespeicherte Anmeldedaten verwaltet. Unter Vista/2008 existiert diese anwendung aber noch nicht.
Das Applet gibt es in früheren Versionen zwar nicht, aber es gibt die „Stored Usernames and passworts“ Dialogbox.
c:\> rundll32.exe keymgr.dll, KRShowKeyMgr
Ein Programm, zum Beispiel Notepad (der Editor), ist „weg“. Das Programm startet, man sieht den Prozess, aber den Fenster ist nicht sichtbar. Vermutlich ist das Fenster außerhalb des sichtbaren Desktops geöffnet.
Wie setzt man die Fensterposition zurück?
Computer\HKEY_CURRENT_USER\Software\Microsoft\PROGRAMMNAME
Welche BIOS- oder EFI-Version hat der Server oder der PC oder der MAC? Muss ich aktualisieren? Kann ich das nachschauen ohne gleich die ganze schöne Maschine zu rebooten und einen Monitor anzuschliessen und im richtigen Moment eine geheime magische Taste zu drücken?
Kein Problem, mann auch unter Windows/Linux/MacOS die BIOS-Version anzeigen. Funktioniert praktisch überall, Ausnahmen bestätigen allerdings die Regel. Bleibt die Anzeige leer oder zeigt „????“ ist warscheinlich einfach nicht der richtige Chipsatz-Treiber geladen.
An der Kommandozeile (CMD/PowerShell):
C:\> wmic bios get smbiosbiosversion
BIOS-Version unter Linux (Debian/RedHat/CentOS/SuSE/LFS)An der Shell:
bldgrdian:~# dmidecode | grep Version
Die Auswahl via GUI starten: den System-Ordner „Programme“ öffnen > Dienstprogramme > Systeminformationen > Hardware (der Wurzelknoten ganz oben, unter den Auswahlpunkten wird die Version nicht mehr aufgeführt)
Achtung bei Apple-FW-Updates! Durch den bunten Chipsatz- und CPU-Zoo der schon ähnliche Außmaße annimmt wie bei DELL oder ASUS, gibt es einen unübersichtlich koplexen Abhängigkeitsbaum. „Einfach auf die letzte Version aktualisieren“ endet manchmal in einem nicht mehr startenden MacOS. Bewährt hat sich Step-by-Step updates mit jeweiligem OS-Boot und Update dazwischen.
Alternativ tut es oft auch
dmidecode
aber erst bei aktuellen Macs.
Firefox ab Version 39 zeigt bei von einem frischen Tomcat ausgelieferten Webseiten nur noch diese Alternativlose Fehlermeldung an:
Fehler: Gesicherte Verbindung fehlgeschlagen Ein Fehler ist während einer Verbindung mit oputils.pflitsch.de aufgetreten. SSL hat einen schwachen kurzlebigen Diffie-Hellman-Schlüssel in der Handshake-Nachricht "Server-Schlüsselaustausch" empfangen. (Fehlercode: ssl_error_weak_server_ephemeral_dh_key) Die Website kann nicht angezeigt werden, da die Authentizität der erhaltenen Daten nicht verifiziert werden konnte. Kontaktieren Sie bitte den Inhaber der Website, um ihn über dieses Problem zu informieren.
Der unsichere DH/SSL Schlüsselaustausch ist anfällig für die „Logjam“ Attacke (https://weakdh.org), aber noch die Defaultkonfiguration für neue SSL-Connectoren im Tomcat.
In der server.xml kann man im Abschnitt <connector> die passenden Cipher-Suiten vorgaben. Bewährt hat sich diese Liste hier, weil sie auch noch die älteren aber sicheren SSL-Handshakes für den Internet-Explorer enthält.
<Connector
port="443"
protocol="HTTP/1.1"
SSLEnabled="true"
keystoreFile="uggliest.keystore"
[...]
ciphers="TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA"
/>
Auf einem Windows Server 2012/2012R2 oder Windows 8/10 soll aus Sicherheitsgründen das „Netzwerk“ Symbol aus dem Explorer ausgeblendet und der Zugriff auf UNC-Ressourcen verboten werden.
Der Explorer soll im Prinzip keinen Zugriff mehr auf Netzwerkressourcen bieten.
Mit Windows Server 2012 und Windows 8 hat Microsoft (vermutlich nicht mehr ganz nüchtern) beschlossen, das die Gruppenrichtlinie „Symbol für Netzwerk ausblenden“ nicht mehr im Explorer greift, sondern nur noch auf dem Desktop. Daher müssen wir selber eine Gruppenrichtlinie mit einer Registry-Preference erstellen.
Benutzerkonfiguration\Einstellungen\Windows-Einstellungen\Registrierung
Hier ein neues „Registrierungselement“ anlegen:
Struktur: HKEY_LOCAL_MACHINE
Schlüsselpfad: SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\NonEnum
Name: {F02C1A0D-BE21-4350-88B0-7367FC96EF3C}
Werttyp: REG_DWORD
Wertdaten: 00000001
Danach müssen nur noch die normalen GPO-Einräge angepasst werden:
Jetzt gibt es in der Explorer-Adressleiste zwar immernoch die Auto-Vervollständigung mit den Netzwerkcomputern, aber hierfür ist uns kein Weg bekannt, dies zu deaktivieren.