Stream: Alle Beiträge & Kommentare

Penny.Cilin vor 1 Stunde

15 Kommentare

Kommentar: Server 2012 keine Benutzerverwaltung

Nee nee, da würde das Blech angeschaut um zu guggen ob das schon Rost angesetzt hat. Weil sonst kommt der nicht mehr durch den TÜV und muss SOFORT abgewrackt werden. 🤣

Spirit-of-Eli vor 10 Stunden

Mikrotik RouterOS - Update 7.19

Moin zusammen,

Mikrotik hat das neue stable Release 7.19 rausgebracht.

Achtet darauf, dass es ein Thema mit dem certificate store gibt.
Gerade bei APs im Verbund mit CapsMAN fliegen einem alle AP weg wenn certificate requiriert sind!
https://forum.mikrotik.com/viewtopic.php?t=216983
Bei mir hat es schon geholfen vor dem Update den Haken am CapsMAN raus zunehmen.

Ansonsten habe ich noch nichts negatives festgestellt.
Ich habe nur was von einer 5000er HW gelesen, die komplett brinken kann. Aber das hängt nicht direkt mit diesem stable Release zusammen.

Gruß
Spirit

mariocisco vor 10 Stunden

12 Kommentare

Kommentar: Problem Cisco 926 4P VoiP SnomD713 SIP eingehen ausgehend keine Telefonie und Uhrzeit Problem

so also ich habe die match einträge von sip bi rstp herausgenommen und den blocktext leicheneintrag entfertn und ich kann ausgehend telefonieren! wow. aber eingehend geht es weiterhin nicht. hilft das weiter? ich gehe davon aus dass hat nichts mit den dns zutun weil ausgehend ja funktioniert oder etwa nicht?

Lochkartenstanzer vor 11 Stunden

6 Kommentare

Kommentar: Debian mit Yubikey Anmeldung

Zitat von @mariocisco:

reden wir von der anmeldung oder dem 2 faktor oder der eigentlichen einrichtung ja klar das geht. aber nicht das mit der anmeldung , das meine ich nämlich.

Das war aus Deiner Frage heraus nicht eindeutig ersichtlich, was Du genau meinst, aber in der verlinkten Anleitung ist, soweit ich das sehe beides beschrieben.

lks

mariocisco vor 11 Stunden

6 Kommentare

Kommentar: Debian mit Yubikey Anmeldung

reden wir von der anmeldung oder dem 2 faktor oder der eigentlichen einrichtung ja klar das geht. aber nicht das mit der anmeldung , das meine ich nämlich.

mariocisco vor 12 Stunden

12 Kommentare

Kommentar: Problem Cisco 926 4P VoiP SnomD713 SIP eingehen ausgehend keine Telefonie und Uhrzeit Problem

ok also registriert ist der sip client und das telefon . also den DNS prüfen? dort eintragen bei Zeile 332 von meinem config post?
Ist es die externe Ip Adresse nach Sent to Udp: und vor 5060 aus dem SIP Trace welchen ich gepostet habe? Ich werde erst einmal wie einträge SIP match protocol und RSTP herausnehmen und probieren was passiert.
Danke vorab!

TwistedAir vor 12 Stunden

18 KommentareGelöst

Kommentar: I226-V kein DHCP möglich: Es kann keine Verbindung mit dem DHCP-Server hergestellt werden

Schön, dass es jetzt läuft.

Ja, so eine vergessene Altlast kann einen schon ärgern.

PeterleB vor 12 Stunden

5 KommentareGelöst

Kommentar: Powershell Datei umbenennen

Hallo BiberMan,

großartige Arbeit!
Jetzt klappt es wie gewünscht.
Ich markiere es als Lösung und
wünsche allen noch ein schönes Wochenende.

Gruß
Peter

Intellidance vor 13 Stunden

14 Kommentare

Kommentar: Umfrage zum Informationssicherheitsmanagement

Zitat von @BiberMan:

Kein Cookiebanner, Abmahnung ist raus ....

Ist für rein technische Cookies die nicht für andere Zwecke als dem Basiszweck der Seite dienen nicht nötig.

riegeler vor 13 Stunden

18 KommentareGelöst

Kommentar: I226-V kein DHCP möglich: Es kann keine Verbindung mit dem DHCP-Server hergestellt werden

Ich glaube wir haben es soeben gelöst und das fast durch Zufall.
Wenn ich selbst vor Ort wäre, hätte ich's wahrscheinlich alles viel schneller geschafft, aber aus der Ferne dauert das natürlich immer.

Im Gerätemanager fiel auf, dass noch ein virtual VPN-Adapter von Shrew drin hing und es war noch ein Shrew-Client installiert. Da wir Wireguard nutzen haben wir Shrew komplett deinstalliert.
Danach noch mit manueller Treiberinstallation rumprobiert, cmd-Befehle etc.
Wir haben sogar einen USB-Ethernet Adapter getestet, lief ohne Probleme.
Und so zwischendurch wieder mit dem I226-V, mit statischer IP gings. Hmm ging doch davor nicht? Okay, dann testen wir per DHCP, geht auch! Internet, pings, etc. alles da.
Die einzige wirkliche Änderung war der Shrew-Client und das nur beiläufig gesehen, was ein Zufall.
Ich erinnere mich, dass Shrew vor Jahren schon Probleme machte und dazu gibt es hier meinen alten umfangreichen Thread:
[content:1538742337]

Die leeren Felder im Treiber-Reiter/Fenster waren nur deshalb, weil die sys und dll nicht angewählt waren, also kein Fehler.
Bleibt noch die Frage, warum in den erweiterten Netzwerkeinstellungen -> Hardware- und Verbindungseigenschaften so viele mehr Adapter (auch der I225) zu sehen waren als im ipconfig /all und auch auf einer Ebene davor?
Vielleicht ist dort eine Historie gespeichert und nur ipconfig /all ist wirklich live und aktuell? D.h. man darf sich hier nicht verwirren lassen?

Danke euch allen für die vielen Tipps und Anregungen, das Forum hier ist wirklich super.

dertowa vor 13 Stunden

15 Kommentare

Kommentar: Server 2012 keine Benutzerverwaltung

Zitat von @fisch56:

Server 2012 läuft sei Jahren, letztes mal angeschaut vo 5 Jahren.

Hallo,
gehört zwar nicht zum Thema, aber was bitte bedeutet "angeschaut"?
Hat der zumindest bis zum Supportende automatisch Updates gefahren und auch neugestartet, oder läuft der seit 5 Jahren Nonstop?
Dann bitte bitte einen Beweisscreenshot hier rein, dann hat man endlich mal was gegen die Linuxfraktion und der Beweis ist geliefert, dass ein Microsoftsystem sowas auch kann.

Grüße
ToWa

riegeler vor 13 Stunden

18 KommentareGelöst

Kommentar: I226-V kein DHCP möglich: Es kann keine Verbindung mit dem DHCP-Server hergestellt werden

Hi @TwistedAir,

wir haben den DHCP Bereich vor langer Zeit bereits auf 50-200 eingeschränkt, daher nicht wundern.

Ja, die physikalische Verbindung zur Fritte ist vorhanden, denn ein anderer PC oder auch wie ganz oben erwähnt der gleiche NUC aber komplett Win11 neu installiert funktioniert. Auch die LEDs blinken einwandfrei.
Ich wollte nur klarmachen, dass eine Static-IP tatsächlich nicht funktioniert, obwohl ich selbst davon ausgegangen bin das mussfunktionieren.

Hier die Tests mit der Static-IP, es ist das eingestellt (ich bin nicht vor Ort und bekam leider kein ipconfig /all):

Die Befehle sehen dann so aus (feste IP .28 und nicht .50):

Könnte von euch jemand auf meinen Beitrag gestern um 21:39:54 eingehen mit den leeren Feldern im Treiber-Fenster und warum im Untermenü Systemsteuerung-Netzwerkeigenschaften-erweitert etc. auf einmal "I225" auftaucht?

BiberMan vor 14 Stunden

5 KommentareGelöst

Kommentar: Powershell Datei umbenennen

Kann ich hier nicht nachvollziehen, im Normalfall sind das ja Version-Objekte die bei Umwandlung in Strings sowas nicht machen würden, muss wohl n' Parserfehler bei der Exe bzw. zus. Metadaten sein.
Habe aber im Code oben noch nen extra Trim() an die explizite Stringumwandlung eingefügt, das sollte es dann fixen...

PeterleB vor 14 Stunden

5 KommentareGelöst

Kommentar: Powershell Datei umbenennen

Also prinzipiell funktioniert es.
Wenn die Produktversion angewendet wird, werden jedoch eine Menge Leerzeichen angehängt.
Z. Bsp. : "svg_see_x64.1.0.0 ____________________ .exe"
(Die Unterstriche zur Demonstration, die Leerzeichen löscht die Formatierung hier)

Gruß
Peter.

MysticFoxDE vor 15 Stunden

7 Kommentare

Kommentar: ASUS ROG Strix B650E-E RAID unter SSDs einrichten

Moin @coltseavers,

laut dem folgenden Post ...

https://www.reddit.com/r/ASUSROG/comments/z6oc1a/comment/lks7vde/?tl=de

... vom "Dukiepieswish219", muss man sogar ...

Ich musste alle drei separaten RAID-Treiber (rcbottom, rccfg & rcraid) installieren, und erst dann funktionierte es und Windows erkannte das RAID-Laufwerk und ließ mich formatieren und partitionieren.

... alle drei INF's einspielen. 😉

Und so wie es aussieht, hat ASUS bei diesem Board am Anfang sehr wohl auch SATA RAID versprochen es aber nicht implementiert, obwohl der Chipsatz das eigentlich können sollte. 😔

Hier ist übrigens noch ein Link zu den neusten AMD RAID Treibern ...

https://drivers.amd.com/drivers/raid_windows_driver_933_00117.zip

... und auch der RAID Software ...

https://drivers.amd.com/drivers/amd_raid_software_6.10.09.200.zip

... und wenn ich schon dabei bin, auch gleich der zu den neusten ...

https://drivers.amd.com/drivers/AMD_Chipset_Software_7.04.09.545.exe

... Chipset Treibern.

Gruss Alex

MysticFoxDE vor 15 Stunden

7 Kommentare

Kommentar: ASUS ROG Strix B650E-E RAID unter SSDs einrichten

Moin @coltseavers,

Sieht für mich alles richtig aus.

ja, das RAID sieht zumindest mainboardtechnisch korrekt erstellt aus.

Wenn ich dann speicher, neu starte und Windows installieren will, läuft aber scheinbar alles im AHCI-Modus und die beiden 4TB-Platten werden einzeln angezeigt.

😬 ... das sollte so auf keinen Fall sein und spricht eher dafür, dass das Mainboard einen Mist macht. 😔

Lade ich im Windows-Setup RAID-Treiber nach, werden gar keine Platten mehr angezeigt.

Hast du, wie im Video auch zu sehen, beide INF Dateien eingespielt?

Vielleicht weiß jemand, was ich falsch mache?

Für mich hört sich das Ganze momentan eher nach einem BUG seitens Asus an. 😔

Gruss Alex

Lochkartenstanzer vor 17 Stunden

6 Kommentare

Kommentar: Debian mit Yubikey Anmeldung

Moin,

Das ist für alle Varianten die das debian-Paketmanagement nutzen eigentlich gleich. Man lädt/installiert sich die .deb-pakete von yubico und konfiguriert sie nach Anleitung. Ob Ubuntu, Debian, Linux Mint etc. funktioniert überall eigentlich gleich.

Siehe yubikey Debian how-to, darunter z.B. YubiKey als Login unter Linux Mint, Ubuntu und Debian einrichten

Was genau ist das Problem?

lks

aqui vor 17 Stunden

12 Kommentare

Kommentar: Problem Cisco 926 4P VoiP SnomD713 SIP eingehen ausgehend keine Telefonie und Uhrzeit Problem

SIP Destination Error und Transport Error sprechen ja schon für sich das die SIP Daten falsch sind!!
Wie vermutet kommt gar keine gültige SIP Session vom Telefon zum SIP Server zustande. Der Router und seine Konfig hat mit dem Problem primär also nix zu tun!
Es sei denn du propagierst intern an die SIP Clients per DHCP einen anderen DNS als den O2 DNS wie Kollege @cykes schon gesagt hat?

So sollte es aussehen:

SIP Statuscode 200 (Notify OK) bei der Registrierung (Subscribe) am SIP Server
Resultiert dann in einer tcp registered Message am Phoner Client
Rausgehender SIP Call fehlerlos mit einem invite

Works as designed!

Augenadler vor 18 Stunden

12 KommentareGelöst

Kommentar: Website aus Kundennetz nicht erreichbar - Providerproblem?

Du hast natürlich völlig recht, /30

cykes vor 18 Stunden

12 Kommentare

Kommentar: Problem Cisco 926 4P VoiP SnomD713 SIP eingehen ausgehend keine Telefonie und Uhrzeit Problem

.. und was auch für die Telefonie bei o2-DSL extrem wichtig ist: Es muss zwingend der dem Anschluss zugeordnete (o2) DNS-Server verwendet werden, das ist ähnlich bei einem Telekom Anschluss.

Hier gibt's auch noch weitere Konfigurationstipps für o2 VoIP über einen Fremdrouter: O2 VoIP mit Fritzbox als Client hinter OPNsense (musst Du halt nur auf Deinen Cisco übertragen).

maretz vor 19 Stunden

26 Kommentare

Kommentar: Datei hosts zur Abwehr von Datenschnüffeleien

Moin,

ehrlich gesagt - du bist "IT Verantwortlicher und Chef"? Dann kann man nur hoffen das du als Chef da den grossteil machst. Denn bei dem was du schreibst kann man nur Angst bekommen.

Fangen wir mal damit an:
---qoute---
Aus Gründen des Kundenzugangs per RDP müssen wir 2 Server über das offene Internet erreichbar halten. Diese werden natürlich regelmässig -etwa 2 Mal pro Jahr- von Ransomware-Angriffen zerstört. Das ist aber einkalkuliert. Das Rücksetzen auf einen älteren Snapshot unter VMware ESXi dauert 2 Sekunden und der Fall ist repariert.
---/qoute---

Und was ist mit den Daten die dabei bereits abgeflossen sind? Es ist ja schön das DU den Server wiederherstellst -> aber du gibst dem Angreifer damit auch Informationen zB. über Kunden (je nachdem warum die Server erreichbar sind) die für folgende Angriffe genutzt werden können (eben zB. im einfachen Fall ne Mail an deine Kunden mit einer gültigen Email die auch noch halbwegs passend aussieht). Im dümmsten Fall erlaubt es dann eben Angriffe auf die Passwörter. Und unabhängig davon weisst du somit gar nicht wie lang die Person bereits zugriff auf deine Systeme hatte BEVOR die eben verschlüsselt haben, ob da ggf. andere Angriffe noch parallel laufen,.. Ganz ehrlich -> extrem kurzfristige und bestenfalls gefährliche Ansicht das so zu betreiben.

Aber ok - weiter im Text:
---qoute---
Früher galt die Regel "bei Microsoft nie SP1 installieren, immer bis SP2 warten", denn damit werden die Fehler beim SP1 ausgebügelt. Zur Erklärung: mit "früher" meine ich die Zeit ab ca. 1985, als das Ganze losging. So lange bin ich nun schon dabei. Heute mit diesem Update-Zwang geht das Auslassen gar nicht mehr bzw. nicht mehr gezielt, was ich nicht als Vorteil sehen kann
---/qoute---
Früher hatten PKWs ne 4-Gang Handschaltung und Geschwindigkeiten von 200 war was für die Rennstrecke. Früher hab ich beim Bäcker mit Pfennigen bezahlt. Früher war Internet auch eher Dial-Up bzw. gar nicht vorhanden und es gab sogar Zeiten da war ne Schreibmaschine das Mittel der Wahl. Kleiner Tipp: Guck mal aufm Kalender, da steht eben nicht mehr 1985 drauf. Und es mag dich überraschen - genauso wie mein Auto heute eben keine 4-Gang-Handschaltung mehr hat sondern Assistenten wie Automatik, Abstandsautomatik,... hat, mein Radio heute problemlos mitm Mobil-Telefon (was 1985 jetzt nich soo verbreitet war) funktioniert und mich mein Navi (was 1985 eher die Strassenkarte war) auf nen paar Meter ans Ziel führt hat sich im IT Sektor in den letzten Jahren ein klein wenig getan... Und wer da heute noch mit denselben Ansätzen kommt die vor 20 Jahren teils gültig waren der hat einfach was verpennt....

---qoute---
Das Rücksetzen auf ältere Zustände geht natürlich nicht nur für Server via VMware ESXi Snapshots, sondern etwa mobil für Labtops auch via Macrium Recflect. Datentechnisch werden meine 3 Arbeitslaptops mit verschiedenen Betriebssystemen untereinander in kurzen Abständen synchronisert und sollte einer davon wirklich einmal Ziel eines Angriffs werden oder andere Schwierigkeiten bekommen, ist erstens sofort eines der anderen Geräte am Start und zweitens ist der Schaden ruckzuck repariert. Das gilt natürlich auch für den WIN 8.1 und der greift per VPN und RDP genauso sicher auf das Firmennetz zu wie die WIN 10 oder WIN 11.
---/qoute---
Auch hier siehst du wieder den Schaden am GERÄT. Das ist aber eben nur ein (kleiner) Teil. Im dümmsten Fall hat eben jetzt jemand anders deine Daten und kann damit bei deinen Kunden wieder weiterprobieren. Image-Schaden reden wir mal lieber nicht von -> ich würde mir schon überlegen mit ner Firma zu arbeiten die ein solches "Konzept" hat. Und wenn der erste _richtige_ Angriff kommt wirst du feststellen das dein ganzes Konzept fürn Ar... ist da es eben auch Zeitgesteuerte Dinge gibt....

Ebenfalls interessant:
---qoute---
Und diese "Anforderungen" stimmen auch nicht immer. Während vor einigen Jahren die Forderung von SFIRM nach Server 2019 ernstzunehmen war, ist sie es bei DAVID / TOBIT eben nicht: ein kurzer Versuch zeigte, dass der seiher verwendete Server 2008R2 problemlos taugt, also Updateinstallation auf der vorhandenen Maschine und das war's.
---/qoute---
Tobit arbeitet (zumindest hat es das damals, ich vermute mal das wird noch so sein) am Ende relativ stumpf... Deine Mail-Ordner haben einfach ne (erratbare) Nummer und darin liegen die Mails als Plain-Text. DAS zusammen mit deinem nicht vorhandenem Konzept sorgt dafür das also prinzipiell jeder Laptop selbst im Hintergrund per Textsuche im Dateisystem alle Mails, Adressen usw. auslesen kann, dabei muss man nich mal den Umweg über Office nehmen.

---qoute---
Sicher wissen wir alle, dass immer ein gewisses Restrisiko bleibt, aber als mittelständisches Unternehmen sind wir auch nicht die Börse oder die Bundesbank. Um diese abzusichern, würden mir auch noch ein paar andere Sachen einfallen als das, was ich in unseren Firmen mache, klar. Aber diese Kombi aus Snapshots und Komplettspiegel für Server und PC's im Verbund mit einer mehrstufigen "unerreichbaren" Datensicherung ist nach meinem Dafürhalten schon eine sichere Angelegenheit, denn alles kann wieder hergestellt werden, ssowohl die OS als auch die Daten und das mit verhältnnismäßig einfachen Mtteln. Einzig das "Spionageloch" bleibt, denn das würde weitgehend unenddeckt bleiben. Nehmen wir mal ELSTER und den vieldiskutierten Bundestojaner als Beispiel: egal was der Staat veranstaltet: für solche Fälle wird es bei uns stets einen eigenen PC geben, welcher zwar ELSTER bedienen kann, aber keine andere Aufgabe hat und auch keine Verbindung zum Firmennetz hat. Ende der Diskussion. Da kann dieser Trojaner schnüffeln wie er will. Anders ist es aber, wenn etwa MS durch die US-Regierung gezwungen würde, in einem der Updates einen derartigen Trojaner auszurollen. Davon bekämen wir im Zweifel erst einmal nichts mit. In diese Richtung zielte auch meine Frage mit Einträgen für die hosts-Datei.
---/qoute---
Sei mir nicht böse - aber hier wirds lächerlich. Du machst dir sorgen um nen Bundestrojaner oder ob MS da Daten absaugen kann und willst schon mal über die Hosts-File gehen? Glaubst du wirklich das grad in den Bereichen jemand nich fähig ist einfach ne IP festzulegen und damit deine Hosts-File schonmal lächelnd abhängt? Kleiner Tipp: 1985 gabs ggf. noch nicht soviele Webbrowser, heute machen selbst die schon häufiger mal "DNS via Http" und lachen über deine Hosts... Und nebenbei lässt du deine Systeme derart ungesichert - siehe oben, du RECHNEST sogar 2x im Jahr damit das Server geknackt werden! - und hast angst vor nem BUNDESTrojaner? Darf ich mal fragen -> hast du bei dir an der Firma am Haupteingang nen Schild dran "Behörden müssen sich anmelden" und lässt aber alle Fenster sperrangelweit auf damit jedes Scriptkiddy reingehen kann?!?

Es scheint mir bei dir so das du nen bisserl ne Mischung aus "Aluhut-Träger" und "haben wir immer so gemacht" bist. Denn einerseits glaubst du das dich jeder ausspionieren will wenn die SW aktiviert werden muss -> wofür es erstmal gar keinen Grund gibt (und WENN dann wären die alten Office-Versionen da noch anfälliger - vgl. den "Bug" bei Word bei denen bei Quicksave der original-content wiederhergestellt werden konnte oder den "Bug" bei denen versehentlich relevante Rechner-Infos mitgespeichert wurden). Gleichzeitig versuchst du mit Sicherheitsmitteln die schon vor 10 Jahren (und mehr) sinnlos gewesen sind was zu erreichen. Und das bisher nix passiert ist spielt dabei keine Rolle - bei mir wurde zB. auch noch nie eingebrochen, trotzdem lasse ich die Tür halt nich offen stehen (und das obwohl ich meine Nachbarn sogar kenne und sicher bin die würden nicht in die Bude gehen!).

Und wenn ich dann noch sowas lese:
---qoute---
wenn ich inhouse mein EXCELL 97 betreibe, bekommt davon das Internet rein gar nichts mit, bei Office 365 dagegen schon ! Was also ist sicherer , was bietet mehr Angriffspunkte ?
---/qoute---
dann frage ich mich wie du denn auf das dünne Brett kommst? Fangen wir mal damit an das du eine Software nimmst die seid 15-20 Jahren keine Pflege mehr hat mit einer aktuell gepflegten vergleichst. Nun - bei Excel (bzw. Office) zu der Zeit haben sich die Entwickler überraschenderweise nicht so unbedingt um Angriffe via Script gekümmert die da nachgeladen wurden -> weil eben die Geschwindigkeiten im Internet gar nicht so hoch waren das es (sinnvoll) möglich wäre, das die "Script-Virus-Baukästen" nicht wie heute locker als Download machbar waren und aufgrund der Kosten des Internets eben ggf. nich jedes Kiddy darauf zugriff hat. Nun - du kannst aber auch da mal ne einfache Parallele ziehen -> würdest du dich heute in nem Auto wohlfühlen was seid 20 Jahren keinerlei Pflege bekommt? Da wären es dann eben sowas wie "kein Ölwechsel, Reifen 20 Jahre alt,..."? Also natürlich nur weil ja heute das nur abzocke is - Reifen waren schließlich vor 20 Jahren auch schon Rund... Komisch, ich glaube da würdest du auch zwischendurch mal (vermutlich) nen bisserl Pflege machen... Bei SW kannst du es halt nur nicht selbst da du den Code nich hast...

mariocisco vor 19 Stunden

12 Kommentare

Kommentar: Problem Cisco 926 4P VoiP SnomD713 SIP eingehen ausgehend keine Telefonie und Uhrzeit Problem

Hier das Log

ich habe probiert rausgehend zu telefonieren:
"

May 24 13:29:53.239 [NOTICE] PHN: TPL: Socket 34 idle/connect timeout
May 24 13:29:53.491 [NOTICE] PHN: TPL: Socket 35 idle/connect timeout
May 24 13:29:59.815 [NOTICE] PHN: TPL: Socket 36 idle/connect timeout
May 24 13:30:05.212 [NOTICE] PHN: TPL: Socket 38 idle/connect timeout
May 24 13:30:06.084 [NOTICE] PHN: TPL: Socket 37 idle/connect timeout
May 24 13:30:11.742 [NOTICE] PHN: TPL: Socket 40 idle/connect timeout
May 24 13:30:13.625 [NOTICE] PHN: TPL: Socket 39 idle/connect timeout
May 24 13:30:16.775 [NOTICE] PHN: TPL: Socket 41 idle/connect timeout
May 24 13:30:18.777 [NOTICE] PHN: TPL: Socket 42 idle/connect timeout
May 24 13:30:25.021 [NOTICE] PHN: WEB: start pcap trace
May 24 13:30:27.525 [NOTICE] PHN: TPL: Socket 44 idle/connect timeout
May 24 13:30:28.036 [NOTICE] PHN: TPL: Socket 43 idle/connect timeout
May 24 13:30:40.752 [NOTICE] PHN: Fetching URL: file://xml/gui/state_settings.xml#...
May 24 13:30:43.925 [NOTICE] CSTA: csta_cid = 2
phone_cid2

May 24 13:30:44.122 [WARN  ] GUI: Minibrowser callback $/enter_number_fkey_list expecting vector result, but no vector callback defined
May 24 13:30:44.456 [NOTICE] MEDIA: PlayCall ssrc:654321 active: 0 use new channel
May 24 13:30:44.499 [WARN  ] GUI: Minibrowser callback $/enter_number_fkey_list expecting vector result, but no vector callback defined
May 24 13:30:45.045 [WARN  ] GUI: Minibrowser callback $/enter_number_fkey_list expecting vector result, but no vector callback defined
May 24 13:30:45.585 [NOTICE] MEDIA: PlayCall ssrc:654321 active: 0 use new channel
May 24 13:30:48.103 [WARN  ] GUI: Minibrowser callback $/enter_number_fkey_list expecting vector result, but no vector callback defined
May 24 13:30:48.943 [NOTICE] SIP: getInternalSdpFmts: Skipped Codec g723 is not supported for ptime of 20
May 24 13:30:49.125 [ERROR ] PHN: No reply for naptr lookup
May 24 13:30:49.140 [ERROR ] PHN: No reply for srv lookup
May 24 13:30:49.145 [ERROR ] PHN: No reply for srv lookup
May 24 13:30:50.252 [NOTICE] MEDIA: PlayCall ssrc:654321 active: 0 use new channel
May 24 13:30:56.513 [WARN  ] MEDIA: CallStats: 1491264231 not found
May 24 13:30:56.516 [ERROR ] MEDIA: Stream setup: invalid ssrc 1491264231, state off
May 24 13:30:56.572 [NOTICE] MEDIA: PlayCall ssrc:654321 active: 0 use new channel
May 24 13:31:25.470 [NOTICE] PHN: TPL: Socket 45 idle/connect timeout
May 24 13:31:26.654 [NOTICE] PHN: TPL: Socket 46 idle/connect timeout
May 24 13:31:28.365 [WARN  ] SIP: transaction_timeout udp: 1000005 (32000)
May 24 13:31:28.365 [ERROR ] SIP: transport error: 1000005 -> Udp:EXTERNEIP:5060
May 24 13:31:28.366 [NOTICE] SIP: Add dirty host: Udp:EXTERNE-IP:5060 (0 sec)
May 24 13:31:28.366 [ERROR ] SIP: request 1000005 destination invalid Udp:EXTERNE-IP:5060 e3ad3168c4ec-cpympxsg9oo8
May 24 13:31:28.366 [NOTICE] SIP: final transport error: 1000005 -> Udp:EXTERNE-IP:5060
May 24 13:31:28.368 [ERROR ] SIP: transport error 1000005: generating fake 599
May 24 13:31:28.382 [NOTICE] MEDIA: MediaIpc::rtpClose: RP1
May 24 13:31:28.387 [NOTICE] MEDIA: MediaIpc::rtpClose: RC1
May 24 13:31:28.390 [NOTICE] MEDIA: onRtpClose: RP1
May 24 13:31:28.391 [ERROR ] MEDIA: StopCall: failed to stop 1491264231
May 24 13:31:28.391 [NOTICE] MEDIA: onRtpClose: RC1
May 24 13:31:43.878 [NOTICE] PHN: TPL: Socket 47 idle/connect timeout
May 24 13:31:45.880 [NOTICE] PHN: TPL: Socket 48 idle/connect timeout
May 24 13:31:51.725 [NOTICE] PHN: TPL: Socket 49 idle/connect timeout
May 24 13:31:53.726 [NOTICE] PHN: TPL: Socket 50 idle/connect timeout
May 24 13:31:57.421 [DEBUG0] CFG: apply_value: log_level = '7', need_apply: 0, provisioning (progress:0/finished:1), need reboot: 0  
May 24 13:32:00.442 [NOTICE] PHN: TPL: Socket 51 idle/connect timeout
May 24 13:32:02.443 [NOTICE] PHN: TPL: Socket 52 idle/connect timeout
May 24 13:32:03.707 [INFO  ] PHN: WEB: Request 53/693/0: POST /log.htm HTTP/1.1
May 24 13:32:03.712 [DEBUG0] CFG: apply_value: callrecord_dialed_local = '"SIPTELEFONNUMMER" <ACCOUNTNAMESIPTELEFON@sip.alice-voip.de>', need_apply: 0, provisioning (progress:0/finished:1), need reboot: 0  
May 24 13:32:03.713 [DEBUG0] CFG: apply_value: callrecord_dialed_remote = '<sip:AUSGEHENDETELEFONNUMMER@sip.alice-voip.de;user=phone>', need_apply: 0, provisioning (progress:0/finished:1), need reboot: 0  
May 24 13:32:03.717 [DEBUG0] CFG: apply_value: callrecord_dialed_period = '2025-05-24T11:30:49ZPT0S', need_apply: 0, provisioning (progress:0/finished:1), need reboot: 0  
May 24 13:32:03.718 [DEBUG0] PHN: ContactUtils::GetVcard: identity=1
May 24 13:32:03.727 [INFO  ] TOOLS: Going to write file ./snomconfig/config.xml. 
May 24 13:32:03.772 [NOTICE] PHN: Std-Settings stored
"  

Hier der SIP Trace:

;tag=jzuoxx3w4q
To: <sip:AUSGEHENDETELEFONNUMMER@sip.alice-voip.de;user=phone>
Call-ID: e3ad3168c4ec-cpympxsg9oo8
CSeq: 1 CANCEL
Max-Forwards: 70
User-Agent: snomD713/10.1.119.12
Reason: SIP;cause=487;text="Request terminated by user"  
Authorization: Digest username="ACCOUNTNAMESIPTELEFON",realm="ims.telefonica.de",nonce="723d4eea11b313af344250133d111626",uri="sip:epc.mnc007.mcc262.3gppnetwork.org",qop=auth,nc=00000003,cnonce="6fa4df5c",response="e9544eb8801e38817df0dbe78e172c03",algorithm=MD5  
Content-Length: 0



Sent to Udp:EXTERNE-IP:5060 from Udp:192.168.100.152:44675 at May 24 13:31:27.867 (703 bytes):

CANCEL sip:ACCOUNTNAMESIPTELEFON@sip.alice-voip.de;user=phone SIP/2.0
Via: SIP/2.0/UDP 192.168.100.152:44675;branch=z9hG4bK-a97gkhqg79v0;rport
From: "SIPTELEFONNUMMER" <sip:ACCOUNTNAMESIPTELEFON@sip.alice-voip.de>;tag=jzuoxx3w4q  
To: <sip:AUSGEHENDETELEFONNUMMER@sip.alice-voip.de;user=phone>
Call-ID: e3ad3168c4ec-cpympxsg9oo8
CSeq: 1 CANCEL
Max-Forwards: 70
User-Agent: snomD713/10.1.119.12
Reason: SIP;cause=487;text="Request terminated by user"  
Authorization: Digest username="ACCOUNTNAMESIPTELEFON",realm="ims.telefonica.de",nonce="723d4eea11b313af344250133d111626",uri="sip:epc.mnc007.mcc262.3gppnetwork.org",qop=auth,nc=00000003,cnonce="6fa4df5c",response="e9544eb8801e38817df0dbe78e172c03",algorithm=MD5  
Content-Length: 0

aqui vor 19 Stunden

12 Kommentare

Kommentar: Problem Cisco 926 4P VoiP SnomD713 SIP eingehen ausgehend keine Telefonie und Uhrzeit Problem

Antwort: ja selbes Fehlerbild. Ein Ausgehend keine Telefonie.

Wie gesagt: Sehr wahrscheinlich scheitert zu 98% schon deine SIP Registrierung.

Für ein zielführendes Troubleshooting wäre jetzt einmal das Phoner Log sehr hilfreich.
Idealerweise indem du parallel einmal mit dem Wireshark dir die SIP Registrierung ansiehst. Dort kann man sofort sehen was Sache ist.
Wenn weder eingehend noch ausgehend Anrufe möglich sind ist es sehr wahrscheinlich das schon gar keine aktive SIP Session mit den Telefonen existiert.
Hast du auch einmal versucht den SIP Server sip.alice-voip.de zu pingen ob das möglich ist.

P.S.: Wenn zitieren dann bitte richtig so das man den Zitattext auch sauber erkennen kann!!

Zitieren von Kommentaren

mariocisco vor 19 Stunden

12 Kommentare

Kommentar: Problem Cisco 926 4P VoiP SnomD713 SIP eingehen ausgehend keine Telefonie und Uhrzeit Problem

@cykes es steht dort MEINE TElefonnummer@sip.alice-voip.de und es ist ein privat dsl anschluß

@aqui Frage:"Hat das Telefon eine aktive SIP Session? Sprich ist es erfolgreich mit dem SIP Server verbunden?" Antwort ja eine Verbindung ist da. Registriert mit dem SIP Server
Frage:"Hast du parallel einmal das dir oben genannte kostenlose Softphone Phoner oder Phoner-Lite installiert mit den gleichen O2 SIP Credentials und damit einmal getestet?"
Antwort: ja selbes Fehlerbild. Ein Ausgehend keine Telefonie.

Ok die Access List Leiche wird entfernt logs folgen.

aqui vor 19 Stunden

12 Kommentare

Kommentar: Problem Cisco 926 4P VoiP SnomD713 SIP eingehen ausgehend keine Telefonie und Uhrzeit Problem

TSIp TElefon

Was ist das? 🤔

abaer eingehend wie ausgehend keine Telefonie möglich ist

Ein paar Fragen dazu:

Hat das Telefon eine aktive SIP Session? Sprich ist es erfolgreich mit dem SIP Server verbunden? (Status Display)
Hast du parallel einmal das dir oben genannte kostenlose Softphone Phoner oder [https://lite.phoner.de/index_de.htm Phoner-Lite installiert mit den gleichen O2 SIP Credentials und damit einmal getestet? Wenn ja, welches Ergebnis? SIP Status im Logging etc.?
Hast du die beiden SIP match protocol Statements erst einmal testweise aus der Class Map Konfig entfernt? Ggf. auch das RTSP Statement? (Siehe dazu auch HIER in den Tutorial Kommentaren) Wie verhält sich das Telefon dann?
Wenn alle Stricke reissen deaktivierst du einmal testweise die ZFW Firewall komplett indem du auf allen 3 aktiven IP Interfaces die Zonen Zuordnung entfernst. Kommt dann eine SIP Session zustande mit Telefon und Softphone?

Fragen über Fragen....
Hier funktioniert ein Gemisch aus Auerswald Anlage, Cisco Telefonen und dem o.a. Softphone auf einem 886er, 896er, 926er und 1100er ohne jegliche Auffälligkeiten.
Vermutlich scheitert dein Telefon schon grundsätzlich an der O2 SIP Registrierung was dann auf falsche SIP Zugangsdaten schliessen lässt. Also einem Problem am Endgerät selber. Deshalb die Empfehlung testweise immer mit dem Softphone zu arbeiten, weil das eine deutlich bessere Troubleshooting Option durchs Logging hat.

was ist damit gemeint

OK, sorry wenn das unklar ausgedrückt war aber gerne nochmal etwas detailierter.
Auf deinem o.a. Router befindet sich eine ungenutzte und bei ZFW Betrieb damit auch sinnfreie Accessliste namens blockext!!
Da diese ACL völlig ungenutzt und damit nutzlos ist, weil sie nirgendwo zugewiesen ist solltest du diese besser mit no ip access-list extended blockext vollständig entfernen. Denn wozu sollte es Sinn machen so eine ungenutzte und damit überflüssige ACL (Leiche) in der Konfig zu behalten?

In Bezug auf IPv6 hat deine ZFW Konfig auch noch einen groben Fehler.

Es fehlt vollständig ein Regelwerk was DHCPv6 vom Internet Provider (O2) passieren lässt. Damit ist dann keine IPv6 Prefix Delegation und Adressvergabe vom Provider möglich. Als weitere Folge davon scheitert dann auch die ansonsten korrekt konfigurierte IPv6 Adressvergabe auf den internen LAN Interfaces.
Ein show ipv6 dhcp interface dialer0 sollte diesen Konfig Fehler belegen. Dort müsste die gescheiterte IPv6 Adressierung und v6 Prefix Delegation zu sehen sein.
Aber das ist jetzt erstmal nur ein Nebenkriegsschauplatz und hat mit dem eigentlichen Thread Thema VoIP nichts zu tun.
Details auch hier wie immer in den IPv6 Customizing Hinweisen für die ZFW Firewall im Cisco Tutorial.

PeterleB vor 20 Stunden

5 KommentareGelöst

Kommentar: Powershell Datei umbenennen

Das ist stark. Danke.
Zum Ausprobieren komme ich erst später.

Gruß
Peter

cykes vor 20 Stunden

6 Kommentare

Kommentar: Debian mit Yubikey Anmeldung

Zitat von @mariocisco:

hat diese aber nicht [...]

Entschuldigung, bitte was?
und das:

Ansonsten bitte genaue Debian Version und Yubikey Modell noch angeben

darfst Du auch noch gern beantworten.

cykes vor 20 Stunden

12 Kommentare

Kommentar: Problem Cisco 926 4P VoiP SnomD713 SIP eingehen ausgehend keine Telefonie und Uhrzeit Problem

Zitat von @mariocisco:

Also schon einmal die Info dass das TSIp TElefon registriert ist abaer eingehend wie ausgehend keine Telefonie möglich ist eingehend ist das Telefon nicht erreichbar und ausgehend klingelt es es klingelt auch beim gegenüber aber wenn man abhebt höhrt man nichts und am VoiP Telefon sieht man auch nicht das abgehoben wurde.

Das sind weitere Indizien dafür, dass RTP nicht korrekt durchgeht, also Trace machen (geht auch auf einigen Snom Telefonen - das D713 kenne ich nicht aus eigener Anschauung) und mit Wireshark o.ä. auswerten.

@aqui was ist damit gemeint

"Weitere Punkte:
Konfigurations "Leichen" wie die ungenutzte und bei einer ZFW auch völlig überflüssige "blockext" Accessliste sollte man immer entfernen! Das verhindert Fehler und böse Side Effects."

Welcher Eintrag ist gemeint damit?

Er meint um die Zeile 339 (hab' Dein Zitat mal ein wenig umformatiert).

Anbieter ist O2. Das Telefon soll ausschließlich mit SIP Daten betrieben werden.

Sind die SIP-Daten direkt im Snom eingetragen? Welcher VoIP/SIP-Server steht da?
Ich meine mich erinnern zu können, dass es bei o2 da immer wieder Probleme mit SIP i.V.m. Fremdroutern gab. Ggf. wäre ein SBC hilfreich, wenn Du lokal keine VoIP-TK-Anlage hast. Ist das ein Privat- oder Geschäftskundenanschluss?

Gruß

cykes

mariocisco vor 20 Stunden

6 Kommentare

Kommentar: Debian mit Yubikey Anmeldung

hat diese aber nicht und vllt hat das ja jmd schon unter debian genutzt?

mariocisco vor 20 Stunden

12 Kommentare

Kommentar: Problem Cisco 926 4P VoiP SnomD713 SIP eingehen ausgehend keine Telefonie und Uhrzeit Problem

Also schon einmal die Info dass das TSIp TElefon registriert ist abaer eingehend wie ausgehend keine Telefonie möglich ist eingehend ist das Telefon nicht erreichbar und ausgehend klingelt es es klingelt auch beim gegenüber aber wenn man abhebt höhrt man nichts und am VoiP Telefon sieht man auch nicht das abgehoben wurde.

@aqui was ist damit gemeint
"Weitere Punkte:
Konfigurations "Leichen" wie die ungenutzte und bei einer ZFW auch völlig überflüssige "blockext" Accessliste sollte man immer entfernen! Das verhindert Fehler und böse Side Effects." Welcher Eintrag ist gemeint damit? Anbieter ist O2. Das Telefon soll ausschließlich mit SIP Daten betrieben werden.

DivideByZero vor 21 Stunden

26 Kommentare

Kommentar: Datei hosts zur Abwehr von Datenschnüffeleien

Moin Walter,

Deine Grundgedanken teile ich, den Weg aber nicht, und meiner Meinung nach bist Du da auch auf einem Irrweg. Denn Deine Fragen und Deine Skizzierungen hier zeigen, dass Du Geräte mit uralten Systemen hast, die Kontakt zur Außenwelt haben. Und sei es per Mail oder per Datenaustausch. Heutzutage sind Angriffe so vielfältig, dass Du Dich meiner Meinung nach anders, als Du es ausführst, nicht sicher wähnen kannst. Ein einziges Dokument, mit einem Lieferanten ausgetauscht, das eine Sicherheitslücke in Office 97 nutzt, reicht aus, um das gesamte Netzwerk zu infiltrieren. Ein einziger Kontakt eines Uraltsystems mit dem Internet reicht aus, dass ein erfolgreicher Angriff über Sicherheitslücken im Betriebssystem erfolgt (da schützen Dich weder hosts-Dateien, noch Gdata, noch Backups).

Und Backup? Kann ich bei Dir nicht erkennen. Du hast 3 Arbeitslaptops, die sich in kurzen Abständen synchronisieren. Wie willst Du dann verhindern, dass ein Eindringling auch den Schadcode durchsynchronisiert? Es wird ja umgekehrt in Schuh daraus: 1 Gerät wird erfolgreich attaktiert, die anderen beiden fallen sofort, weil "untereinander in kurzen Abständen synchronisiert" wird.

Auch ansonsten ist das nicht stringent. Einerseits soll ein Großteil Deines Netzes offline arbeiten, andererseits:

möchte ich znächst einmal mitteilen, dass wir seit zig Jahren die Technik anwenden, in der Tabelle hosts unliebsamen Nachrichtenverkehr an irgendwelche DNS-Einträge auf den LocalHost 127.0.0.1 umzuleiten. Wir nutzen hosts also als Blockliste.

Das macht ja nur Sinn bei Systemen, die ständig Kontakt in das Internet haben.

Und, mit Verlaub:

Dazu gibt es die AutoCAD-Konstruktionsplätze, die eben ihre Lizenz auch prüfen wollen.

Ich kennen keinen guten Konstrukteur, der heutzutage ausschließlich eine Lizenzprüfung durchführt und sonst weder etwas mit dem Internet zu tun hat, noch mit Kunden und Lieferanten Daten austauscht. Sprich: gerade Konstruktionsarbeitsplätze sind eigentlich ständig aktive Internetcliens.

Obwohl nur wenige ausgesuchte und besonders geschulte / sensibilisierte Mitarbeiter mit Emails zu tun haben, sind Emails natürlich immer ein Gefahrenpotential.

Ersteres ist ein Trugschluss, falls es ein Schutz sein soll. Denn es ist nur ein Baustein. Nutzt Du Outlook 97 oder Outlook 2010, können Mitarbeitende noch so gut geschult sein. Durch Sicherheitslücken wird das System infiltriert, ohne dass die etwas merken. Würde auch uns Profis nicht anders gehen. Zum Beispiel bei solchen: Kritische Sicherheitslücke in Outlook. In Outlook 2010 sind etliche Lücken, wo das reine Öffnen = Ansehen einer Mail oder der Empfang eines Anhangs ausreichen, dass im Hintergrund eine Infektion stattfindet.

Aus Gründen des Kundenzugangs per RDP müssen wir 2 Server über das offene Internet erreichbar halten. Diese werden natürlich regelmässig -etwa 2 Mal pro Jahr- von Ransomware-Angriffen zerstört. Das ist aber einkalkuliert. Das Rücksetzen auf einen älteren Snapshot unter VMware ESXi dauert 2 Sekunden und der Fall ist repariert.

Jetzt ernsthaft? Was sind denn da für belanglose Daten drauf, dass deren Abgriff (das erfolgt ja beim Ransomware-Angriff) niemanden interessiert? Davon abgesehen, hast Du dann offensichtlich eine Verbindung zu 2 Server-VMs aus dem Internet auf Deinen ESXi. Wenn der und die VMs so gut gewartet werden, wie Deine Ausführungen befürchten lassen, dann darfst Du Deinen ESXi im Zweifelsfall als "fremdgesteuert" betrachen.
Zum Beispiel durch solche Lücken:
www.golem.de/news/vm-ausbruch-moeglich-vmware-luecken-lassen-hacker-ganze-cloudumgebungen-kapern-2503-193951.html
www.heise.de/news/VMware-schliesst-Schlupfloecher-fuer-Ausbruch-aus-virtueller-Maschine-9648396.html

Du hast offenbar auch ein gänzlich falsches Verständnis von modernen Attacken. Das sind nicht die Viren alter Schule: Befall, Zerstörung, alles sofort. Sondern da schaut sich ein Mensch in Ruhe um und bleibt ggf. Monate oder Jahre im System und kommt ggf. auch immer wieder.

Vielleicht hast Du bisher Glück gehabt, vielleicht auch nicht und dauerhaft Gäste im System.
Ist das klug? Nein, ganz sicher nicht. Ist das notwendig? Nein, ganz sicher nicht.
Kann man das Risiko eingehen? Wenn man der Chef und Inhaber ist: natürlich. Aber auch dann ist das nicht sinnvoll. Denn mit wirklich geringem Aufwand - weder Raketentechnik, noch dem Budget der Börse oder der Bundesbank - kann man vieles drastisch verbessern.

Und diese "Anforderungen" stimmen auch nicht immer. Während vor einigen Jahren die Forderung von SFIRM nach Server 2019 ernstzunehmen war, ist sie es bei DAVID / TOBIT eben nicht: ein kurzer Versuch zeigte, dass der seiher verwendete Server 2008R2 problemlos taugt, also Updateinstallation auf der vorhandenen Maschine und das war's.

Du hast einen zentralen Mailserver auf einem Uraltserver mit vielen bekannten Sicherheitslücken, die nicht mehr gefixt wurden? Also ein System, das absolut zentral mit dem Internet kommuniziert? Wahrscheinlich sind von außen auch noch Webmail und Smartphones angebunden...

Man sollte nicht immer alles glauben, was einem erzählt wird. Da sitzen viele Leute im Getriebe, deren Position einfach zu schwach ist, um sich eine eigene Meinung leisten zu können und aus Angst vor Verantwortung plappert man halt lieber das nach, was Microsoft sagt bzw. -geschäftstüchtig- "empfiehlt".

Das ist richtig, ändert aber nichts an der sicherheitstechnischen Beurteilung Deines Netzwerkes.

1985 ist schon eine Weile her und ich kann sagen, dass ich bis heute mit unserer Aufstellung noch nie Daten verloren habe oder andere größere unerwünschte Ereignisse eingetreten sind ... bis auf abgerauchte Hardware, was schon mal vorkommt.

Das kannst Du nicht wissen, denn Deine Daten können schon alle abgeflossen sein...

Aber: ich will weder für mich noch für meine Mitarbeiter ein OS haben, das alle paar Minuten oder Tage fragt, ob ich nicht Games spielen möchte oder mein Telefon verlinken möchte (selbstverständlich unter Anmeldung bei Microsoft) oder sonstiges anbietet, was nicht zur Arbeit gehört.

Da bin ich ganz bei Dir. Aber deswegen auf nachgewiesen unsichere Systeme wechseln? Nein, danke.

Und weitestgehend geht das auch ohne Internet.

Ganz offensichtlich nicht. Durchdenke mal Dein von Dir hier skizziertes Netzwerk. Da sind ja alle Server am Netz, und vermutlich eben auch alle Clients.

Man muss auch mal NEIN sagen, Kollegen !

Natürlich, an der passenden Stelle.

Im Rahmen Eurer Beiträge ist die Diskussion nun stark in Richtung IT-Sicherheit generell geschwenkt -was nicht verkehrt ist, aber eben eine andere Fragestellung. Aber auch dazu muss man sagen: wenn ich inhouse mein EXCELL 97 betreibe, bekommt davon das Internet rein gar nichts mit, bei Office 365 dagegen schon ! Was also ist sicherer , was bietet mehr Angriffspunkte ?

Office 97 und Office 2010. Es sei denn, kein Internet (niemals!), keinerlei Datenaustausch nach extern. Und das gibt es heute abseits von isolierten Stationen möglicherweise nur noch bei Steuerung von Atomanlagen oder dem Militär, und da sicherlich auch nur als Ausnahme.

Gruß

DivideByZero

AbstrackterSystemimperator vor 21 Stunden

9 Kommentare

Kommentar: Implementierung einer automatisierten Datensicherung

Moin zusammen,

@Michi91

Hey,
für die Suche nach Duplikaten habe ich früher immer https://www.aidex.de/software/antitwin/download.html verwendet. Mit Powershell würde ich das nicht machen.

Danke für deinen Input! Deine Erwähnung schaue ich mir in aller Ruhe an, wenn ich aus dem Urlaub zurück bin.
Kurze Frage zu PS: Was spricht gegen Powershell? Unabhängig davon natürlich das es ein sehr mächiges Tool ist

Veeam klingt doch gut. Probiers doch mal damit face-smile Da dir das Fachwissen für Powershell zu fehlen scheint, wäre der Umweg über eine Software der richtige.

An Veeam dachte ich, da es von Veeam den Agent als Free gibt und ich selbst grundsätzlich mit Veeam i.d.R. gearbeitet habe. Die Windows interne "Sicherung" ist nicht so das gelbe vom Ei.

Wenn du bissl lernen willst und doch powershell/commandline willst schau dir robocopy an. Für Robycopy gibt es auch fertige GUI's sodass du das beste aus beiden Welten zusammensuchen kannst

Stimmt. Robocopy ist das Stichwort. Daran habe ich nicht gedacht. Danke für den Hinweis!

@m.ster
AntiTwin kenne ich gar nicht. Das werde ich mir auch anschauen. Finde es nicht schlecht, wenn man selbst noch das eine oder andere Programm kennt, damit gewisse Alternativen vorhanden sind.

@StefanKittel
Ja genau. Das war in erster Instanz auch mein Fahrplan, weshalb ich auch die Ratschläge von @support-m befolgen werde. Erst Mal den schlechten Pfusch in guten Pfusch umwandeln, damit ich in der Materie nicht nur ein Funderment aufgebaut habe, sondern sicher bin in dem was ich da tu.

BTW: Der Vorschlag eines RDX Laufwerkes schiebe ich erst Mal beiseite. Ich möchte mit dem arbeiten was ich momentan zur Verfügung habe.

@feuerbrand

Auf keinem Computer Zuhause darf etwas lokal gespeichert werden.

Magst du das bitte genauer erläutern? Also diese Aussage wird mir im beruflichen Alltag immer wieder in die Schuhe gelegt. Kann ich auch in dem Bereich absolut verstehen bzw. das teile ich meinen Arbeitskollegen mit. Jedoch bin ich der Meinung, dass es sich im privaten Bereich etwas anders verhält bzw. nicht die Norm ist?
Nicht jeder Ottonormalverbraucher (Keine IT-Erfahrung etc) hat nicht die Mittel, Wege etc. um sich sowas aufzubauen?

@Dani

ich würde Synnology Sync Drive neben. Somit hast du auf dem Notebook und NAS immer den selben Datenstand.

Ich gucke mir das mal an.

Besten Dank euch allen und ein schönes Wochenende!

Gruß
Imperator.

BiberMan vor 21 Stunden

5 KommentareGelöst

Kommentar: Powershell Datei umbenennen

In diesem Fall soll statt Dateiversion die Produktversion eingesetzt werden

param(
    [parameter(mandatory=$true)][ValidateScript({Test-Path $_})][string]$file
)
Get-Item -LiteralPath $file | rename-item -NewName {"$($_.BaseName).$(if($_.VersionInfo.FileVersion -gt [version]'0.0.0.0'){$_.VersionInfo.FileVersion.toString().trim()}else{$_.VersionInfo.ProductVersion.toString().trim()})$($_.Extension)"} -verbose      

Schwierig ist auch die Testerei, da das Script im Kontextmenü ausgeführt wird und ich die Fehlermeldungen nicht lesen kann.

Einfach mit dem Dateinamen in einer gestarteten Konsole von Hand ausführen ...

./script.ps1 -file d:\Pfad\zur\datei.exe

Oder zum Start des Skripts über das Kontextmenü den Parameter -NoExit hinzufügen .

PeterleB vor 22 Stunden

5 KommentareGelöst

Powershell Datei umbenennen

Hallo Alle.

2021 hatte ich schon mal das Thema.
Fehler VBScript
Initial ging es um VBS, doch schlußendlich schlug colinardo ein kurzes knackiges Powershell-Script vor.
Der Dateiname bei ausführbaren Dateien soll um die Dateiversion erweitert werden.

Hier der Code:

param(
    [parameter(mandatory=$true)][ValidateScript({Test-Path $_})][string]$file
)
Get-Item -LiteralPath $file | rename-item -NewName {"$($_.BaseName).$($_.VersionInfo.FileVersion)$($_.Extension)"} -verbose    

Manche EXE-Dateien enthalten jedoch keine Dateiversion, dann kommt als Namensergänzung "0.0.0.0".
In diesem Fall soll statt Dateiversion die Produktversion eingesetzt werden.
Die Zeile: param( ... muß zwingend in der 1. Scriptzeile stehen, sonst wird "param" nicht als cmd erkannt.

Also wie frage ich vor "Get-Item ..." richtig ab, ob die Datei, die als Argument übergeben wird, eine gültige Dateiversion enthält, so daß ich statt dessen die Produktversion für die Umbenennung verwende?

Schwierig ist auch die Testerei, da das Script im Kontextmenü ausgeführt wird und ich die Fehlermeldungen nicht lesen kann.

Vielen Dank im Voraus für Eure Geistesblitze.
Gruß
Peter

aqui vor 22 Stunden

13 Kommentare

Kommentar: IEEE 802.1X mit Captive Portal

Wenn ich mit einem Tag komme, weigert sich PfSense mir die IP-Adresse des betreffenden VLANs zu geben.

Zeigt klar das du an der pfSense und/oder am ihr angeschlossenen Switch bzw. dessen Uplink Port zur pfSense etwas falsch konfiguriert hast!
Ohne ein paar hilfreiche Konfig Screenshots vom Setup deiner beiden beteiligten Komponenten müssen wir natürlich Kristallkugeln was der genaue Grund sein könnte?! 🤔
Die VLAN Interaktion zwischen pfSense und Switch sollte natürlich als Allererstes sauber funktionieren, denn darauf baut ja schliesslich alles weitere auf.

Halte dich einfach und stressfrei an das hiesige VLAN Tutorial was alle Schritte auf pfSense und Switch im Detail und für Laien leicht verständlich und mit bunten Bildern erklärt! Dann wird mit deinem VLAN Setup auch ganz sicher nichts schief gehen!

VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern

MeinGottWalter vor 23 Stunden

26 Kommentare

Kommentar: Datei hosts zur Abwehr von Datenschnüffeleien

Moin Kollegen !

Jetzt nach ein paar Tagen kam ich dazu, die ganze Menge vom Kommentaren zu lesen und kommentiere heute etwas zusammenfassend.

Zunächt einmal folgendes: hier auf Administrator.de sind wir "unter uns". Meint IT-afine Leute, was den Bereich vom nüchtern-sachlichen Admin, der schlicht Lösungen für Situationen finden muss, bis hin zum IT-Junkie meint, der sich jeder Neuerung hingibt, ohne jede kritsche Infragestellung.

Ich selbst bin nicht nur IT-Chef, sondern auch ansonsten Chef und dafür verantwortlich, dss unsere Leute jeden Tag eine -ihre- Arbeitsumgebung so vorfinden, dass sie damit arbeiten können. Diese Konsstanz ist für das wirtschaftkiche Arbeiten eines Unternehmens grundsätzlich das Wichtigste überhaupt. Das darf man nie vergessen und man darf dabei nicht vergessen, dass der Mitarbeiter, den man für die Bichhaltung, die Lagerhaltung oder als Konstrukteur einstellt, nicht notwendigerweise IT-afin ist !!!! Und das muss er auch gar nicht sein, das ist kein Einstellungskriterium.

Diese sogenannten Gefahren kommen alle aus dem Internet. Das sind entweder Angriffe oder Spionagen. Natürlich ist es branchenbezogen, aber im Grunde brauchen wir an unseren Standorten kein Internet für die tägliche Arbeit. Unsere Mitarbeiter benutzen WORD, um gelegentich einen Brief oder einen Vertrag zu verfassen oder EXCELL, um einen kleine Kalkulation zu veranstalten. Dazu genügte ein Office 97 allemal. Daneben sind sie von 2-3 großen Datenbank-Systemen umgeben, von denen wir unter meiner Leitung 2 selbst entwickelt haben. Das 3. ist ein spezielles Buchhaltungsprogramm, welches auf unserer AS400 / iSeries von IBM läuft. Alles inhouse ohne Bezug zum Internet. Dazu gibt es die AutoCAD-Konstruktionsplätze, die eben ihre Lizenz auch prüfen wollen.

Daneben gibt es DATEV für Buchhaltung und SFIRM für den Bankenverkehr. Hier ist Internet als Transportmittel notwendig Obwohl nur wenige ausgesuchte und besonders geschulte / sensibilisierte Mitarbeiter mit Emails zu tun haben, sind Emails natürlich immer ein Gefahrenpotential.

Will heißen: wir haben Internetkontakt nur dort, wo er sich nicht vermeiden läßt. Und für die Wenigen, die tatsächlich von mobilen Arbeitsplätzen zentral auf unsere Daten zugreifen müssen (in der Regel ich selbst) oder ihre Arbeit auch im Firmennetz speichern / abliefern sollen, haben wir unsere eigene "Cloud" im Keller: webdav via https.

Grundsätzlich leistet GData in Bezug auf Viren etc. gute Dienste, wenn es um den Außenverkehr geht. Auf's Betriebssystem alleine sollte man sich nicht verlassen, obwohl der Windows Defender natürlich schon recht gut geworden ist.

Aus Gründen des Kundenzugangs per RDP müssen wir 2 Server über das offene Internet erreichbar halten. Diese werden natürlich regelmässig -etwa 2 Mal pro Jahr- von Ransomware-Angriffen zerstört. Das ist aber einkalkuliert. Das Rücksetzen auf einen älteren Snapshot unter VMware ESXi dauert 2 Sekunden und der Fall ist repariert.

Was die "Anforderungen" von Software-Lieferanten anbelangt, hilft es natürlich, so wie bei uns im Serverbereich für jede einzelne Anwendung einen eigenen Server bereitzustellen. Das hat zum einen ausfalltechnisch den Vorteil, dass die Leute vorerst eben mit den anderen Systemen weiterarbeiten können und zum anderen, dass ich in aller Ruhe ohne Einfluss auf die tägliche Arbeit der Mitarbeiter die neue Maschine hochziehen kann, bis sie dann irgendwann in Betrieb geht.

Und diese "Anforderungen" stimmen auch nicht immer. Während vor einigen Jahren die Forderung von SFIRM nach Server 2019 ernstzunehmen war, ist sie es bei DAVID / TOBIT eben nicht: ein kurzer Versuch zeigte, dass der seiher verwendete Server 2008R2 problemlos taugt, also Updateinstallation auf der vorhandenen Maschine und das war's.

Man sollte nicht immer alles glauben, was einem erzählt wird. Da sitzen viele Leute im Getriebe, deren Position einfach zu schwach ist, um sich eine eigene Meinung leisten zu können und aus Angst vor Verantwortung plappert man halt lieber das nach, was Microsoft sagt bzw. -geschäftstüchtig- "empfiehlt".

Während es MS im Arbeitsplatz-Bereich gelingt, Updates auf ein neueres OS anzubieten, die aich tatsächlich gelingen, haben wir das im Serverbereich leider nicht. Bedeutet zum Beispiel, dass ich unseren Fileserver mit tausend Freigaben und Sicherheitseinstellungen erst einmal manuell nachbauen müßte, um ihn dann irgendwann durch Umbenennen und Tausch der IP-Adresse in Betrieb zu nehmen. Da dieser Server aber lediglich die Aufgabe hat, Files im grünen Netz bereitzustellen, bleibt es eben bei Server 2003 und sollte diesem Server etwas passieren, dann wird halt -s.o.- auf einen Snaphot zurückgesetzt. Und dem 2003 ist sogar die Tombstone-Zeit egal.

In einem anderen Artikel hatte ich ja meine Schwierigkeiten mit Servern 2019 beschrieben, die zum Zwecke der Updates Internet brauchen und über IP4 verbunden felsenfest behaupten, sie hätten kein Internet, obwohl alle sonstigen Internet-Funktionen einwandfrei laufen. Kaum ist IP6 auch aktiviert, geht es plötzlich, obwohl die Firewall gar kein IP6 durchlässt bzw. kennt. Hat da auch die KI das Update programmiert ?

Früher galt die Regel "bei Microsoft nie SP1 installieren, immer bis SP2 warten", denn damit werden die Fehler beim SP1 ausgebügelt. Zur Erklärung: mit "früher" meine ich die Zeit ab ca. 1985, als das Ganze losging. So lange bin ich nun schon dabei. Heute mit diesem Update-Zwang geht das Auslassen gar nicht mehr bzw. nicht mehr gezielt, was ich nicht als Vorteil sehen kann.

1985 ist schon eine Weile her und ich kann sagen, dass ich bis heute mit unserer Aufstellung noch nie Daten verloren habe oder andere größere unerwünschte Ereignisse eingetreten sind ... bis auf abgerauchte Hardware, was schon mal vorkommt.

Natürlich habe ich neben meinem alten Sony VAIO mit WIN 8.1 -der schneller bootet als alles was danach kam- auch neue Maschinen herumstehen. So zum Beispiel testweise ein Lenovo Thinkpad unter WIN 11 Prof. Aber: ich will weder für mich noch für meine Mitarbeiter ein OS haben, das alle paar Minuten oder Tage fragt, ob ich nicht Games spielen möchte oder mein Telefon verlinken möchte (selbstverständlich unter Anmeldung bei Microsoft) oder sonstiges anbietet, was nicht zur Arbeit gehört. Oder ein Office 2016, das alle Hui fragt, ob ich meine Daten doch nicht lieber bei MS in OneDrive speichern möchte. Ein Großteil unserer Damen wäre irritiert und ich wünsche als Chef auch nicht, dass andere jüngere Mitarbeiter auf blöde Ideen kommen. Diese ständigen nicht nachgefragten "Angebote" stören schlicht und da dies eine mit Zeitverzögerung kommende Automatik ist, kann ich das für jeden neu angelegten Mitarbeiter auch nur mit viel Aufwand wieder ausschalten.

Wir haben die Programme im Haus, wir haben die Arbeitsplätze im Haus und wir haben die Server im Haus. Das war's und damit sollen die Leute arbeiten. Und weitestgehend geht das auch ohne Internet. Dass Firmen wie Microsoft das aus Gründen ihres Geschäftsmodells anders sehen, ist mir schon klar. Aber ich entscheide nach meinen Interessen und nicht nach denen anderer Leute. Und ganz sicher wird es unterbleiben, dass wir diesem angekündigten Weg folgen, dass die Anmeldung eines Users an seinem Rechner grundsätzlich nur noch über ein MS-Konto möglich ist. Auch hier sehe ich weder Anlaß noch Vorteil. Man muss auch mal NEIN sagen, Kollegen !

Das Rücksetzen auf ältere Zustände geht natürlich nicht nur für Server via VMware ESXi Snapshots, sondern etwa mobil für Labtops auch via Macrium Recflect. Datentechnisch werden meine 3 Arbeitslaptops mit verschiedenen Betriebssystemen untereinander in kurzen Abständen synchronisert und sollte einer davon wirklich einmal Ziel eines Angriffs werden oder andere Schwierigkeiten bekommen, ist erstens sofort eines der anderen Geräte am Start und zweitens ist der Schaden ruckzuck repariert. Das gilt natürlich auch für den WIN 8.1 und der greift per VPN und RDP genauso sicher auf das Firmennetz zu wie die WIN 10 oder WIN 11.

Vor diesem ganzen Hintergrund wird vielleicht deutlich, dass meine Eingangsfrage nach "interessanten Einträgen" für die hosts-Datei, benutzt als Blockliste, den Charakter einer eher begleitenden Maßnahme hat, die für unerwünschte Datenabflüsse in Richtung NSA / CIA, BKA und sonstigen Verdächtigen unterstützen könnte. Um dieses ging es mir ja zunächst einmal.

Im Rahmen Eurer Beiträge ist die Diskussion nun stark in Richtung IT-Sicherheit generell geschwenkt -was nicht verkehrt ist, aber eben eine andere Fragestellung. Aber auch dazu muss man sagen: wenn ich inhouse mein EXCELL 97 betreibe, bekommt davon das Internet rein gar nichts mit, bei Office 365 dagegen schon ! Was also ist sicherer , was bietet mehr Angriffspunkte ?

Sicher wissen wir alle, dass immer ein gewisses Restrisiko bleibt, aber als mittelständisches Unternehmen sind wir auch nicht die Börse oder die Bundesbank. Um diese abzusichern, würden mir auch noch ein paar andere Sachen einfallen als das, was ich in unseren Firmen mache, klar. Aber diese Kombi aus Snapshots und Komplettspiegel für Server und PC's im Verbund mit einer mehrstufigen "unerreichbaren" Datensicherung ist nach meinem Dafürhalten schon eine sichere Angelegenheit, denn alles kann wieder hergestellt werden, ssowohl die OS als auch die Daten und das mit verhältnnismäßig einfachen Mtteln. Einzig das "Spionageloch" bleibt, denn das würde weitgehend unenddeckt bleiben. Nehmen wir mal ELSTER und den vieldiskutierten Bundestojaner als Beispiel: egal was der Staat veranstaltet: für solche Fälle wird es bei uns stets einen eigenen PC geben, welcher zwar ELSTER bedienen kann, aber keine andere Aufgabe hat und auch keine Verbindung zum Firmennetz hat. Ende der Diskussion. Da kann dieser Trojaner schnüffeln wie er will. Anders ist es aber, wenn etwa MS durch die US-Regierung gezwungen würde, in einem der Updates einen derartigen Trojaner auszurollen. Davon bekämen wir im Zweifel erst einmal nichts mit. In diese Richtung zielte auch meine Frage mit Einträgen für die hosts-Datei.

Grüße und Dank an alle
Walter

Dani vor 1 Tag

9 Kommentare

Kommentar: Implementierung einer automatisierten Datensicherung

Moin,

Der dritte Schritt wäre für mich, dass ich mir überlege wie ich meine Daten von dem Laptop auf die NAS bekomme. Am liebsten automatisiert.

ich würde Synnology Sync Drive neben. Somit hast du auf dem Notebook und NAS immer den selben Datenstand. Von dort mit HyperBackup auf eine externe Festplatte sichern, die due regelmäßig auslagerst (Z.B. Geschwister, Eltern). Alternativ verschlüsselt auf einer StorageBox von Hetzner.

Das Notebook selbst würde ich mit Synology Active Backup for Business sichern. Ist nichts anderes wie Veeam Endpoint Backup Free. Jedoch einen Tick komplexer was die Handhabung angeht.

Ob das NAS das packt, kann ich gerade nicht beurteile. Ich habe bis dato nur mit 2bay Geräte mit dem "+" zu tun gehabt.

Gruß,
Dani

BiberMan vor 1 Tag

12 KommentareGelöst

Kommentar: Website aus Kundennetz nicht erreichbar - Providerproblem?

COLT gibt dir ein /48er an die Hand

Ein /48er bei IPv4, wie soll das bitte gehen? 😁 ...
Wenn du ein IPv6 Netz meinst, "Handelsregister.de" ist nur per IPv4 erreichbar, ergo bringt eine Sperre von IPv6 Adressen nix ...

aqui vor 1 Tag

12 Kommentare

Kommentar: Problem Cisco 926 4P VoiP SnomD713 SIP eingehen ausgehend keine Telefonie und Uhrzeit Problem

aber SIP ist grundlegend nicht geblockt oder liege ich falsch?

Richtig, du liegst da nicht falsch!
Kannst du ja auch an deiner eigenen Class Map LOKAL-ERLAUBT für dein lokales LAN immer selber sehen. Am Ende mit match protocol tcp und udp lässt du ja grundsätzlich ALLES an TCP und UDP basierten Protokollen durch!
Alles was zusätzlich noch protokollspezifisch angegeben ist wird auch auf den UDP und TCP Port bezogen noch genauer untersucht. Das ist also alles OK.
Als Vergleich dazu kannst du dir die Class Map GAST-ERLAUBT für dein Gastnetz ansehen. Gäste dürfen bei dir lediglich mit dem Browser arbeiten, DNS Requests senden und NTP Zeitserver befragen. Ping, VoIP und auch alles andere ist den Gästen verboten.

SIP Thematik:
Sehr hilfreich ist es in dem Falle einmal ein freies VoIP Softphone auf dem PC zu installieren wie Phoner oder Phone Lite:
https://phoner.de/index.htm
https://lite.phoner.de/index_de.htm
Das Softphone konfigurierst du dann mit deinem SIP User/Pass und SIP-Server Credentials und kannst damit aktiv testen. Auf dem gleichen PC kannst du dann parallel einen Wireshark Sniffer bei Bedarf laufen lassen und dir den SIP Prozess einmal genau ansehen.
Zusätzlich führt die Phoner Software ein Log was etwaige Fehler und Probleme immer mitloggt.

Manche VoIP Endgeräte verhalten sich nicht SIP RFC Standard konform und "mögen" das mit der ZFW und der spezifischen SIP und RTP Inspection aktivierte Voice Application Gateway nicht, so das es zu den o.a. SIP Format Fehlermeldungen und Drops kommt weil die Firewall einen Angriff vermutet.
In dem Falle ist es dann immer hilfreich zuerst testweise die beiden SIP "match" Kommandos aus der Class Map zu entfernen und nur RTSP zu belassen.
Die VoIP Protokoll Inspection wir dann weniger restriktiv und rein über die globale TCP bzw. UDP Inspection gemacht. Damit verschwindet dann auch die Fehlermeldung im Log und natürlich auch das Droppen dieses Traffics in der Firewall.
Im Zweifel, sollte es wider Erwarten immer noch nicht klappen, kannst du ebenfalls den RTSP Eintrag weglassen und das auch global über die UDP Inspection machen lassen.
Damit sollte das Problem verschwinden.
Sofern deine VoIP Endgeräte einen Keepalive nutzen prüfe das der Keepalive Timer nicht größer als 30 Sek. gesetzt ist oder stelle im Endgerät SIP immer auf einem TCP Encapsulation ein und nicht UDP! Prüfe dort auch das symetrische RTP Ports verwendet werden! Das o.a. Verhalten ist in erster Linie ein Konfig Fehler des VoIP Endgerätes und nicht des Routers. In so gut wie allen dieser Fälle halten sich Hersteller nicht an den SIP RFC Standard was dann bei protokollspezifischer Inspection in solchen Error Meldungen resultiert.
Wie gesagt: Prüfe das Verhalten auch immer mit dem o.a. Softphone im Vergleich.
Das Tutorial hat in den Kommentaren ebenfalls einen Thread zu dieser Thematik!

NTP Thematik:
Du hast auf dem Router keinerlei NTP Konfig, so das der Router daran scheitert sich von irgendwo her eine korrekte Uhrzeit und Datum zu holen. Diese Konfig fehlt bei dir schlicht und einfach so das es erwartbar ist das du eine falsche Uhrzeit hast.

Wenn du die Uhrzeit aus dem Internet ziehst, dann lösen diese im Tutorial beschriebenen Kommandos dein selbstgemachtes NTP Problem im Handumdrehen:

ntp server de.pool.ntp.org source Dialer0
ntp update-calendar 

Das Source Interface kannst du natürlich ändern wenn du einen internen NTP Server im lokalen LAN betreibst.
Wenn dein Internet Provider eigene Zeitserver betreibt z.B. die Telekom D mit ntp1.t-online.de dann solltest du diese verwenden. Letztlich aber kosmetisch.
Der deutsche ntp.org Pool hat den Vorteil das sich dahinter mehrere NTP Server in einem Pool befinden. (Redundanz)
Ein show ntp status bzw. auch show ntp ass und show clock zeigt dir dann ob der Router eine korrekte NTP Zeitserver Verbindung aufgebaut hat und die korrekte Uhrzeit und Datum hat.

Weitere Punkte:

Konfigurations "Leichen" wie die ungenutzte und bei einer ZFW auch völlig überflüssige "blockext" Accessliste sollte man immer entfernen! Das verhindert Fehler und böse Side Effects.

Alles weitere erklärt dir, wie immer, das hiesige Cisco Tutorial.

Augenadler vor 1 Tag

12 KommentareGelöst

Kommentar: Website aus Kundennetz nicht erreichbar - Providerproblem?

@BiberMan

Naja, das ist schon eine größere Bude, nix mit CGN, COLT gibt dir ein /48er an die Hand.
Allerdings kann sich da auch keiner erklären, wie sie auf 60 Abfragen binnen einer Stunde kommen. Seitenaufrufe sind wohl nicht gemeint laut Nutzungsbedingungen, es geht ausdrücklich um Abfragen aus dem Register.

Noch ein Nachtrag zur Kontaktmöglichkeit des Seitenbetreibers - die RIPE-Infos sind nicht massgeblich, da die die Sperren nicht zu verantworten haben.

Oberlandesgericht Köln, Zentraler IT-Dienstleister der Justiz des Landes NRW (ITD)
Dezernat Zentrale Anwenderbetreuung - ITD2A
Dienstgebäude Cecilienallee 3
40474 Düsseldorf

Telefon: +49 (0)211 / 58 33 50 90 und +49 (0)211 / 58 33 50 91
E-Mail: ElektronischeMedien@bit.nrw.de

MysticFoxDE vor 1 Tag

24 Kommentare

Kommentar: VM-Host Serverupgrade

Moin @Marabunta,

Ja. Hyper v war ein thema.
Problem 1: benötigt mehr Ressourcen als vmware

wenn richtig konfiguriert, dann definitiv nein.

Problem 2: Migration -läuft alles oder hat man plötzlich vmware und hyperv und kommt nicht weiter?

Ich habe selber schon hunderte von VM's migriert und hatte bisher nur in den seltensten Fällen Probleme bei der Migration. Vor allem Windows VM's, lassen sich sehr einfach migrieren.

Problem 3: features wie automatisches balancing etc.

Kann der Hyper-V auch alles ... habe ich aber bei VMware schon nicht wirklich gemocht. 🙃

Problem 4: know how

Die Verwaltung des Hyper-V's, ist zumindest was die meisten Alltagsaufgaben angeht, auch nicht viel anders wie bei VMware.

Bei den meisten Umstellungen, habe ich bisher keine Stunde gebraucht, bis die entsprechenden Admins auch einen Hyper-V bedienen konnten.

Problem 5: Personal Ressourcen für Migration und Fehlerbehebung

Lässt sich auch extern einkaufen und bei dem was ihr wahrscheinlich alleine an den Lizenzkosten einsparren würdet,
wären diese Kosten sogar eher lächerlich.

Problem 6: Risiko fatalen scheiterns

Wenn im Vorfeld richtig geplannt, dann eher nicht gegeben.

Gruss Alex

MysticFoxDE vor 1 Tag

11 Kommentare

Kommentar: Hardware Supported für Failover-Cluster

Moin @em-pie,

Und mit Pech hat man sogar Software im Einsatz, die den anderen CPU-Typ merkt und dann die Lizenz ungültig werden lässt.

👍 👏 und ... zumindest eine kleine Schande über mein Haupt. 😬

Denn ich habe sehr lange bei einem Software-Hersteller gearbeitet, dessen Lizenzserver in genau so einem Fall um die Ohren fliegen würde, weil die Lizenz mitunter auch an die CPU (Typ und Anzahl Kerne) und RAM (Grösse) und NIC (MAC) u.s.w. gekoppelt ist. 🙃

Gruss Alex

MysticFoxDE vor 1 Tag

5 Kommentare

Kommentar: Hyper-V 2025 - Failovercluster - neue und per Default eingerichtete Rolle - Benutzer-Manager-Gruppe

Moin Marc,

Schön auch dir beiläufige Aussage, die Doku seitens MarcoSh1t anzupassen.

ähm, der oben erwähnte Beitrag vom "Jim Gandy" ist ja noch offen ... 🤔 ... sprich ... ich kann an den Kommetar vom "deherman-MSFT" ja noch ein kleines und vorerst auch noch freundliches "Häufchen" dranhängen. 😁

Moment ...

hyper-v 2025 - failovercluster – benutzer-manager-gruppe rolle - 03

... und erledigt. 😌

Gruss Alex

em-pie vor 1 Tag

11 Kommentare

Kommentar: Hardware Supported für Failover-Cluster

Und wenn du den Kompatibilitätsmodus nicht aktivierst, dann kannst du die VM's, zumindest nicht laufend, zwischen den Nodes hin und her schieben. 😔

Und mit Pech hat man sogar Software im Einsatz, die den anderen CPU-Typ merkt und dann die Lizenz ungültig werden lässt.

Haben/ hatten wir mal:
3 Blades mit Xeon ABC und 1 Jahr später gleiches Blade aber mit Xeon ABC v2. VM im Rahmen von Updates auf das 4. Blade verschoben und nach einem Reboot der VM (ein paar Tage später): Software wollte nicht mehr.
Auch ein Verschieben auf einen der drei anderen Hosts half nicht. Ende vom Lied: Applikation neu lizenzieren lassen und dann unter VMware auf die 3 Hosts „festgenagelt“.

Als ich noch bei Behördens gearbeitet habe, haben wir die Hardware geleast. Das war gut im Haushalt zu planen und hat diese jährlichen Schwankungen eleminiert.

Wäre somit auch mein Tipp. Vorteil: alle 3, 4 oder 5 Jahre (je nach Vertragslaufzeit) neue Hardware bei in etwa gleichbleibenden Kosten (und gleichzeitig mehr Leistung/ Speicher)

MysticFoxDE vor 1 Tag

5 Kommentare

Kommentar: Hyper-V 2025 - Failovercluster - neue und per Default eingerichtete Rolle - Benutzer-Manager-Gruppe

Moin @radiogugu,

Du kriegst die Tür nicht zu.

doch doch ... aber es wird von Tag zu Tag immer schwieriger/aufwendiger. 😔

Schön auch dir beiläufige Aussage, die Doku seitens MarcoSh1t anzupassen.

Du meinst ...

"We are going to add this to our documentation."

... was er schon am 23.02.2023 gepostet hat. 🙃 respektive 😭

Man merkt massiv, dass da ein riesiges Gefälle zwischen Qualität und Anspruch in Redmond die letzten Jahre entstanden ist.

Die beschäftigen sich meiner Ansicht nach hauptsächlich nur noch mit dem Thelema, wie sie mit oder auch ohne KI, dem Kunden nur noch mehr Geld und auch Daten aus der Tasche ziehen können und nicht wirklich, wie sie diesem auch einen und vor allem nachhaltigen Mehrwert bieten. 😔

Leider scheint dies inzwischen zu groß sein, um das wieder einzuholen

Ja, das ist fürchte ich so, vor allem sitzen da meiner Ansicht nach mittlerweile auch die absolut falschen Personen an der Spitze.

Danke @MysticFoxDE für deine Enthüllung(en) und unermütlichen Einsatz.

Sehr gerne ... wir sitzen am Ende des Tages ja eh fast alle im selben Boot.

Gruss Alex

MysticFoxDE vor 1 Tag

11 Kommentare

Kommentar: Hardware Supported für Failover-Cluster

Moin @Sherryshaker,

Das mit den besseren Preisen ist mir auch bewusst - leider ist es aber in unserem Bereich (öffentliche Hand) viel schwieriger alle drei Jahre Betrag x.- zu budgetieren und dann 2 Jahre wieder nichts, statt jährlich einfach jeweils Betrag y.- für den Ersatz.

mal abgesehen von den Preisen, ist das auch rein technisch absolut suboptimal.

Denn in einem solchen Fall, müssen die VM's CPU-technisch in einem Kompatibilitätsmodus laufen, der quasi sicherstellt, dass nur die CPU-Features verwendet werden, die von allen Cluster-Nodes bereitgestellt werden!

Sprich, wenn du einen Node mit z.B. "4th Gen Xeon's" und einen mit "6th Gen Xeon's" und einen mit "6th Gen Xeon's" einsetzt im selben Cluster verwendest, was technisch ohne Probleme möglich ist, dann laufen die VM's dieses Clusterst, CPU-Technisch höchstens auf dem Funktions-Level der "4th Gen Xeon's".

Und wenn du den Kompatibilitätsmodus nicht aktivierst, dann kannst du die VM's, zumindest nicht laufend, zwischen den Nodes hin und her schieben. 😔

Gruss Alex

cykes vor 1 Tag

6 Kommentare

Kommentar: Debian mit Yubikey Anmeldung

Moin,

da Ubuntu auf Debian basiert, sollte die Anleitung, die Du gefunden hast, auch unter Debian funktionieren.
Ansonten gibt es hier vom Hersteller der Yubikeys auch Anleitungen für Debian: https://www.yubico.com/works-with-yubikey/catalog/debian/
Ansonsten bitte genaue Debian Version und Yubikey Modell noch angeben.

Gruß

cykes

cykes vor 1 Tag

12 Kommentare

Kommentar: Problem Cisco 926 4P VoiP SnomD713 SIP eingehen ausgehend keine Telefonie und Uhrzeit Problem

Moin Mario,

vorab: könntest Du Deine Config bitte über die Beitrag bearbeiten Funktion in CODE-Tags setzen, das erhöht die Lesbarkeit erheblich und man kann Zeilennummern in der Antwort angeben.

Zu Deinem Telefon(ie)problem: Welche Telefonanlage oder VoIP-Anbieter kommt zum Einsatz? Oder bist Du noch immer bei o2 und versuchst dort die Telefonie im D713 anzudocken? Steht die TK-Anlage (wenn vorhanden) extern oder im internen Netz.
Zusätzlich mal auf der Weboberfläche des Snoms ins Logfile schauen, vielleicht schlagen auch bereits die SIP REGISTER Anfragen fehl (Logfile (auszugsweise) ggf. dann mal hier posten).

Ich vermute es gibt ein Problem mit der RTP-Übertragung. Aber dafür wäre ein Paketmitschnitt hilfreich, da kann man besser sehen, was genau passiert (geblockt wird).

Im Cisco Forum gibt es einige Einträge mit dem gleichen Problem: https://community.cisco.com/t5/network-security/zbfw-quot-sip-protocol-v ...

Einige FW-Versionen sind wohl buggy in Bezug auf SIP mit aktivierter deep packet inspection.

Gruß

cykes

mariocisco vor 1 Tag

6 Kommentare

Debian mit Yubikey Anmeldung

Hallo,

hat jemand unter Debian für die Anmeldung einen Yubikey benutzt? Ich finde Hilfestellungen für Ubuntu aber leider nicht für Debian und würden solch einen gerne bei Debian nutzen.

Gruß Mario

mariocisco vor 1 Tag

12 Kommentare

Problem Cisco 926 4P VoiP SnomD713 SIP eingehen ausgehend keine Telefonie und Uhrzeit Problem

Hallo,

ich störe nur ungern aber habe ein Problem mit nem Cisco ROuter und SNOM D713 Telefon was betrieben werden soll.

Ich habe eine Zone Based Firewall und die Config kann ich euch geben genauso wie die Ausgabe der CLI das geblockt wird.
Könnt Ihr mir weiterhelfen weil ich nicht weiterkomme.

https://administrator.de/tutorial/cisco-800-900-isr1100-router-konfiguration-mit-xdsl-kabel-ftth-anschluss-und-vpn-179345.html

In der obigen Anleitung konnte ich nicht genau herausfinden was ich machen muss aber SIP ist grundlegend nicht geblockt oder liege ich falsch?

Gleichzeitig habe ich beim hochladen der letzten Firmeware festgestellt dass die Zeit nicht passt , aber mit den Befehlen welche ich ausprobiert habe konnte ich das Problem nicht beheben und die Zeit stimmt immer noch nicht wäre toll wenn mir auch da jmd. helfen könnte.

Hier die Config

*May 17 12:06:45: %AIC-4-SIP_PROTOCOL_VIOLATION: SIP protocol violation (Invalid Dialog) -  dropping udp session 192.168.100.153:42251 externe IP:5060 on zone-pair LOKAL-INTERNET class LOKAL-ERLAUBT
*May 17 12:06:46: %AIC-4-SIP_PROTOCOL_VIOLATION: SIP protocol violation (Invalid Dialog) -  dropping udp session 192.168.100.153:42251 externe IP:5060 on zone-pair LOKAL-INTERNET class LOKAL-ERLAUBT
*May 17 12:06:47: %AIC-4-SIP_PROTOCOL_VIOLATION: SIP protocol violation (Invalid Dialog) -  dropping udp session 192.168.100.153:42251 externe IP:5060 on zone-pair LOKAL-INTERNET class LOKAL-ERLAUBT
*May 17 12:06:49: %AIC-4-SIP_PROTOCOL_VIOLATION: SIP protocol violation (Invalid Dialog) -  dropping udp session 192.168.100.153:42251 externe IP:5060 on zone-pair LOKAL-INTERNET class LOKAL-ERLAUBT
*May 17 12:06:53: %AIC-4-SIP_PROTOCOL_VIOLATION: SIP protocol violation (Invalid Dialog) -  dropping udp session 192.168.100.153:42251 externe IP:5060 on zone-pair LOKAL-INTERNET class LOKAL-ERLAUBT
*May 17 12:06:57: %AIC-4-SIP_PROTOCOL_VIOLATION: SIP protocol violation (Invalid Dialog) -  dropping udp session 192.168.100.153:42251 externe IP:5060 on zone-pair LOKAL-INTERNET class LOKAL-ERLAUBT
*May 17 12:07:01: %AIC-4-SIP_PROTOCOL_VIOLATION: SIP protocol violation (Invalid Dialog) -  dropping udp session 192.168.100.153:42251 externe IP:5060 on zone-pair LOKAL-INTERNET class LOKAL-ERLAUBT
*May 17 12:07:05: %AIC-4-SIP_PROTOCOL_VIOLATION: SIP protocol violation (Invalid Dialog) -  dropping udp session 192.168.100.153:42251 externe IP:5060 on zone-pair LOKAL-INTERNET class LOKAL-ERLAUBT
*May 17 12:07:09: %AIC-4-SIP_PROTOCOL_VIOLATION: SIP protocol violation (Invalid Dialog) -  dropping udp session 192.168.100.153:42251 externe IP:5060 on zone-pair LOKAL-INTERNET class LOKAL-ERLAUBT
*May 17 12:07:13: %AIC-4-SIP_PROTOCOL_VIOLATION: SIP protocol violation (Invalid Dialog) -  dropping udp session 192.168.100.153:42251 externe IP:5060 on zone-pair LOKAL-INTERNET class LOKAL-ERLAUBT
*May 17 12:07:17: %AIC-4-SIP_PROTOCOL_VIOLATION: SIP protocol violation (Invalid Dialog) -  dropping udp session 192.168.100.153:42251 externe IP:5060 on zone-pair LOKAL-INTERNET class LOKAL-ERLAUBT


Cisco_Router#sh ver
Cisco IOS Software, C900 Software (C900-UNIVERSALK9-M), Version 15.9(3)M11, RELEASE SOFTWARE (fc1)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2025 by Cisco Systems, Inc.
Compiled Thu 20-Mar-25 03:13 by mcpre

ROM: System Bootstrap, Version 15.8(3r)M0b, RELEASE SOFTWARE (fc1)

Cisco_Router uptime is 6 hours, 42 minutes
System returned to ROM by power-on
System image file is "flash:c900-universalk9-mz.SPA.159-3.M11.bin"  
Last reload type: Normal Reload
Last reload reason: power-on


This product contains cryptographic features and is subject to United
States and local country laws governing import, export, transfer and
use. Delivery of Cisco cryptographic products does not imply
third-party authority to import, export, distribute or use encryption.
Importers, exporters, distributors and users are responsible for
compliance with U.S. and local country laws. By using this product you
agree to comply with applicable laws and regulations. If you are unable
to comply with U.S. and local laws, return this product immediately.

A summary of U.S. laws governing Cisco cryptographic products may be found at:
http://www.cisco.com/wwl/export/crypto/tool/stqrg.html

If you require further assistance please contact us by sending email to
export@cisco.com.

Cisco C926-4P (revision 1.0) with 994825K/53750K bytes of memory.
Processor board ID FGL2551L05S
1 DSL controller
1 Ethernet interface
5 Gigabit Ethernet interfaces
1 ATM interface
1 Virtual Private Network (VPN) Module
256K bytes of non-volatile configuration memory.
1900544K bytes of SD Flash flash (Read/Write)


License Info:

License UDI:

-------------------------------------------------
Device#   PID                   SN
-------------------------------------------------
*1        C926-4P               SERIENNNUMMER


Technology Package License Information for Module:'c900'  

------------------------------------------------------------------------
Technology    Technology-package                  Technology-package
              Current              Type           Next reboot
------------------------------------------------------------------------
ipbase        ipbasek9             Permanent      ipbasek9
security      securityk9           Permanent      securityk9
appx          None                 None           None

Configuration register is 0x2102

Cisco_Router#show conf
Using 6373 out of 262144 bytes
!
version 15.9
service tcp-keepalives-in
service tcp-keepalives-out
service timestamps debug datetime msec
service timestamps log datetime localtime
service password-encryption
!
hostname Cisco_Router
!
boot-start-marker
boot system flash:c900-universalk9-mz.SPA.159-3.M11.bin
boot-end-marker
!
!
enable secret 9 XXXXXX
!
aaa new-model
aaa local authentication attempts max-fail 3
!
!
aaa authentication login default local
!
!
!
!
!
!
aaa session-id common
clock timezone CET 1 0
clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
!
!
!
!
!
no ip source-route
no ip gratuitous-arps
!
!
!
ip dhcp excluded-address 192.168.100.1 192.168.100.149
ip dhcp excluded-address 192.168.100.200 192.168.100.254
ip dhcp excluded-address 172.16.100.1 172.16.100.149
ip dhcp excluded-address 172.16.100.200 172.16.100.254
!
ip dhcp pool Lokal
 network 192.168.100.0 255.255.255.0
 default-router 192.168.100.254
 dns-server 192.168.100.254
 domain-name mario.domain
!
ip dhcp pool Gastnetz
 network 172.16.100.0 255.255.255.0
 default-router 172.16.100.254
 dns-server 172.16.100.254
 domain-name mario.domain
!
!
!
ip domain name mario.domain
ip cef
ipv6 unicast-routing
ipv6 dhcp pool DHCPv6
!
ipv6 cef
!
multilink bundle-name authenticated
!
!
!
license udi pid C926-4P sn FGL2551L05S
!
!
username admin privilege 15 secret 9 XXXXXX
!
redundancy
!
!
!
!
!
controller VDSL 0
 firmware filename flash:c900_VA_A_39x3_B_39x3_26d.bin
!
!
class-map type inspect match-any LOKAL-ERLAUBT
 match protocol http
 match protocol https
 match protocol dns
 match protocol pop3s
 match protocol imaps
 match protocol smtp
 match protocol sip
 match protocol sip-tls
 match protocol rtsp
 match protocol ftp
 match protocol ftps
 match protocol ssh
 match protocol ntp
 match protocol tcp
 match protocol udp
 match protocol icmp
class-map type inspect match-any GAST-ERLAUBT
 match protocol http
 match protocol https
 match protocol dns
 match protocol ntp
class-map type inspect match-all IPsec_VPN
 match access-group name ISAKMP_IPSEC
class-map type inspect match-any ROUTER-PROTOCOLS
 match class-map IPsec_VPN
 match protocol tcp
 match protocol udp
 match protocol icmp
!
policy-map type inspect LOKAL-INTERNET-POLICY
 description Traffic Lokales LAN zum Internet
 class type inspect LOKAL-ERLAUBT
  inspect
 class class-default
  drop
policy-map type inspect ROUTER-INTERNET-POLICY
 description Traffic Router zum Internet
 class type inspect ROUTER-PROTOCOLS
  inspect
 class class-default
  drop
policy-map type inspect GAST-INTERNET-POLICY
 description Traffic Gast zum Internet
 class type inspect GAST-ERLAUBT
  inspect
 class class-default
  drop
policy-map type inspect INTERNET-ROUTER-POLICY
 description Traffic Internet zum Router
 class type inspect IPsec_VPN
  pass
 class class-default
  drop
!
zone security LOKAL
zone security GAST
zone security INTERNET
zone-pair security LOKAL-INTERNET source LOKAL destination INTERNET
 service-policy type inspect LOKAL-INTERNET-POLICY
zone-pair security GAST-INTERNET source GAST destination INTERNET
 service-policy type inspect GAST-INTERNET-POLICY
zone-pair security INTERNET-ROUTER source INTERNET destination self
 service-policy type inspect INTERNET-ROUTER-POLICY
zone-pair security ROUTER-INTERNET source self destination INTERNET
 service-policy type inspect ROUTER-INTERNET-POLICY
!
!
!
!
!
!
!
!
!
!
interface ATM0
 no ip address
 shutdown
 no atm ilmi-keepalive
!
interface Ethernet0
 no ip address
!
interface Ethernet0.7
 description VDSL Internet Verbindung - VLAN 7 tagged
 encapsulation dot1Q 7
 pppoe enable group global
 pppoe-client dial-pool-number 1
!
interface GigabitEthernet0
 no ip address
!
interface GigabitEthernet1
 no ip address
!
interface GigabitEthernet2
 no ip address
!
interface GigabitEthernet3
 description Gastnetz
 no ip address
 no cdp enable
!
interface GigabitEthernet4
 no ip address
 shutdown
 duplex auto
 speed auto
!
interface Vlan1
 description Lokales LAN
 ip address 192.168.100.254 255.255.255.0
 ip nat inside
 ip virtual-reassembly in
 zone-member security LOKAL
 ip tcp adjust-mss 1448
 ipv6 address provider-v6-prefix ::1:0:0:0:1/64
 ipv6 enable
 ipv6 nd other-config-flag
 ipv6 dhcp server DHCPv6
!
interface Vlan2
 description Gastnetz
 ip address 172.16.100.254 255.255.255.0
 ip nat inside
 ip virtual-reassembly in
 zone-member security GAST
 ip tcp adjust-mss 1448
 ipv6 address provider-v6-prefix ::2:0:0:0:1/64
 ipv6 enable
 ipv6 nd other-config-flag
 ipv6 dhcp server DHCPv6
!
interface Dialer0
 description DSL Internet Interface
 mtu 1488
 ip address negotiated
 ip access-group bockext in
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat outside
 ip virtual-reassembly in
 zone-member security INTERNET
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 no cdp enable
 ipv6 address autoconfig default
 ipv6 enable
 ipv6 nd autoconfig default-route
 no ipv6 redirects
 no ipv6 unreachables
 ipv6 dhcp client pd provider-v6-prefix rapid-commit
 ipv6 verify unicast reverse-path
 ppp authentication pap callin
 ppp pap sent-username DSL@PROVIDER.DE password 7 XXXXXX
 ppp ipcp dns request
 ppp ipcp mask request
 ppp ipcp route default
!
ip forward-protocol nd
no ip http server
no ip http secure-server
!
!
ip dns server
ip nat inside source list 101 interface Dialer0 overload
!
ip access-list extended ISAKMP_IPSEC
 permit udp any any eq isakmp
 permit udp any any eq non500-isakmp
 permit esp any any
ip access-list extended blockext
 remark offene TCP Verbindungen dr
 remark offene TCP Verbindungen durchlassen
 permit tcp any any established
 remark DNS Port beide Protokolle, blockieren
 deny   tcp any any eq domain
 deny   udp any any eq domain
 remark Rest erlauben
 permit ip any any
!
!
!
tftp-server flash:/firmware/vadsl_module_img.bin
access-list 101 permit ip 192.168.100.0 0.0.0.255 any
access-list 101 permit ip 172.16.100.0 0.0.0.255 any
!
!
!
control-plane
!
banner motd ^CCCC
LOGIN AUF DIESEN ROUTER OHNE GENEHMIGUNG STRAFBAR AUCH JEG: VERSUCH . ALLES ANDE                                                     RE AUCH!!!
NO LOGIN IS ALLOWED OR USING OF THIS ROUTER!
^C
!
line con 0
line vty 0 4
 transport input none
!
scheduler allocate 20000 1000
!
end

Gruß Mario

Weiter

Chronologische Übersicht aller Beiträge und Kommentare