Author Archives: Peter Leibling

Windows/IIS: TLS absichern

Bei der Prüfung eines alten Windows 2008 R2 Servers mit Greenbone Security Assistent wurden mir mehrere Probleme ausgegeben, da der Windows Server 2008 R2 einige Optionen nutzt, die als nicht mehr sicher gelten.

Diese kann man per Registry de- bzw. aktivieren, was jedoch sehr unkomfortabel ist. Einfacher geht es mit dem IIS Crypto Tool 2.0 – dies bietet alle Optionen an und dies sogar noch mit komfortablen Templates.

Die Sicherheit kann man anschließend mit dem SSL Lab Test verifizieren.

Benötigt man ein Offline Tool, da der Server nicht von extern erreichbar ist, kann man ein Tool von Github nutzen, welches auch für Windows existiert.

Anschließend noch SMTP mit TLS testen.

In größeren Umgebungen (hier in dem Beispiel zwei Exchange Server die über Windows Clusterdienste NLB für CAS und Hubtransport zur Verfügung stellen) sollte man behutsam umgehen, ich bin wie folgt vorgegangen:

  • Entfernen EXCHANGE1 aus dem NLB (ca. 5 Sekunden unterbrechung, evtl. kommt kurz bei Clients das Anmeldefenster – wenn zuvor auf dem EXCHANGE1 verbunden gewesen)
  • Warten bis die Warteschlange geleert wurde und kontrollieren, das diese nicht mehr füllt
  • Erstellen Snapshot, falls was schief laufen sollte
  • Erstellen Security-Übersicht
  • Anpassen der Security
  • Kontrolle der Security-Einstellungen
  • Einbinden wieder in den NLB
  • Anpassen der Security-Einstellungen wie auf EXCHANGE1 auf dem EXCHANGE2
  • Testen von Extern mit ausgiebigem Sicherheits-Bericht
  • Besprechen ob Einstellungen anwendbar
  • Testen mit Penetrationstool
  • Wenn alles sauber funktioniert, bereinigen der Snapshots

Quellen:

 


Exchange: Einheitliche Signatur/Disclaimer erstellen über Transportregel

Oft werden Signaturen von Hand erstellt und verteilt. Dabei ist das Design/CI nicht einheitlich oder Informationen sind nicht aktuell, da sie nicht zentral verwaltet werden.

Damit Änderungen nur noch an einer Stelle gemacht werden und auch die Signaturen einheitlich sind, bietet es sich an im Exchange dies direkt Zentral über Transportregeln zu verwalten.

Melden Sie sich dazu im Exchange Control Panel (ECP) an mit einem Administrativen Account unter https://servername/ecp .

Gehen Sie nun nach Nachrichtenfluss > Regeln. Anschließend auf das Pluszeichen und wählt dort den Punkt Haftungsausschlüsse anwenden …

Vergebt den Namen Signatur/Disclaimer und wählt unter Diese Regel anwenden, wenn … die Option Der Absender ist … und wählt dort die Benutzer oder Gruppen aus, auf die die Regeln angewendet werden soll (z.B. falls vorhanden All Users).

Wählen Sie in dem Punkt darunter Folgendermaßen vorgehen … die Option Haftungsausschluss anfügen … aus und bearbeitet den Text mit dem gewünschtem Text (ein Beispiel folgt unten).

Bei Eigenschaften dieser Regel stellen Sie Priorität 0 ein und bei Diese Regel mit folgenden Schweregrad überwachen stellen sie Nicht angegeben ein.

Unter dem Punkt Modus für diese Regel auswählen, wählen Sie bitte Erzwingen.

Beispiel für eine Signatur:

<br><br>
<font face=verdana, tahoma, arial size=2 color=black>%%CustomAttribute1%%<br><br>
<b>%%displayname%%</b></font><br><br>
<font face=verdana, tahoma, arial size=2 color=silver>
%%street%%, %%zipcode%% %%city%%, %%country%%<br>
Telefon: %%phonenumber%%, Fax: %%faxnumber%%, Mobil:
%%mobilenumber%%<br>
Internet: www.leibling.de, Email: %%email%%
</font>

Wenn Sie unter Empfänger > Postfächer die Informationen unter Allgemein und Kontaktinformationen eingegeben haben, können Sie auf diese zurückgreifen (z.B. Anzeigename = %%displayname%%).

Sollten Sie Informationen benötigen, die sie dort nicht hinterlegt haben (z.B. i.A. oder ppa), dann können Sie diese unter Empfänger > Postfächer > Allgemein > Weitere Optionen > Benutzerdefinierte Attribute > Stiftsymbol drücken > In entsprechender Spalte eintragen. Auf diese Werte kann dann mit %%CustomAttribute1%% (Nummer bitte Analog zur Spalte angeben) zurückgegriffen werden – ich habe dort z.B. personalisierte Grußformeln hinterlegt.

Weitere Informationen: https://docs.microsoft.com/en-us/exchange/policy-and-compliance/mail-flow-rules/conditions-and-exceptions?view=exchserver-2019

Informationen für iOS Benutzer:

iOS versendet – wenn in einer Mail keine Formatierung vorhanden ist als Text, somit wird die automatisch erstellt Signatur auch als nur Text angehangen und hat keine Formatierungen. Soll die Formatierung erhalten bleiben, so könnte man in der Signatur auf dem Gerät einfach ein Leerzeichen setzen und dies als Fett markieren. Dann würde die Mails als HTML gesendet und somit blieben die Formatierungen erhalten. Leider entstellte sich bei den Tests jedoch damit das Schriftbild der eigentlichen Mail (es wurde eine Standardschriftart verwendet – leider kann man die Schriftart bei einem iOS Gerät nicht einstellen). Ich habe mich dann dazu entschieden die Mail als nur Text zu lassen (sprich: nicht den Signaturtrick auf dem Gerät anzuwenden), da ich diese dann vom Gesamtbild schicker fand als mit verschiedenen Schriftarten.

Einschränkungen:

  • Wird eine Mail intern weitergeleitet, so wird keine Signatur angehangen – dies ist normal, da die Mail ja nicht über den Transportweg nach außen geht und somit nicht verarbeitet wird. Bei einem internen Weiterleiten, wird die Mail direkt im Postfach abgelegt.
  • Die Signatur kann immer nur an den Anfang gestellt oder ans Ende der Mail angehangen werden – nicht ans Ende einer Nachricht. Wird auf einer Mail geantwortet, so ist die Signatur nicht am Ende des neu geschrieben Textes, sondern am Ende der Mail!

Windows Installer Problem Error 1325 Documents is not a valid short file name

Bei einem Benutzer, der sein Homelaufwerk auf einem Netzlaufwerk hatte und die Dokumentenpfade angepasst hatte auf diese Ordner per GPO hatte das Problem, das er keine Software installieren konnte – die Installation brach immer mit dem Fehler Error 1325 Documents is not a valid short file name ab.

Ich habe die Rechte vom Rootordner geprüft und der User hatte keine Leserechte des Rootordners. Nachdem ich den User (bzw. Gruppe Domänen-Benutzer) Leserechte gab auf dem Ordner (Achtung: Bitte Vererbung beachten!)  und der User sich neu anmeldete, war das Problem behoben und der Installer lief ohne Probleme durch.

Laut Recherche lag die Vermutung nahe, das der Installer versucht zu lesen, wieviel Platz auf dem Laufwerk ist – was jedoch fehl schlug, da er keine Leserechte auf den Rootordner hatte.


Sophos: Auf SG (Wireless) Password of the Day (PotD) einrichten

Bei den kleinen Sophos SG mit eingebauten WLAN weicht die Einrichtung des WLAN ab von den der großen Boxen, da diese das WLAN als internes Interface realisiert haben.

Hier eine kleine Anleitung wie man das Password of the Day auf einer kleinen SG-xxxW einrichtet:

  • Melden Sie sich am Webadmin an
  • Gehen Sie zu Wireless Networks > New wireless Network
  • Erstellen Sie ein Wireless Network mit den folgenden Daten: Network name: Wireless-Gast, Network SSID: Wireless-Gast, Encryption: No encryption, Client Traffic: Separate Zone, Adanved > Client Isolation: Enabled
  • Gehen Sie nun zu Interfaces & Routing > Interfaces > Add Interface
  • Erstellen Sie ein neues Interface mit den folgenden Daten: Name: Wireless-Gast, Type: Ethernet, Hardware: wlan1 (Die Nummer ist zu sehen in Wireless Networks > Wireless Networks > In dem Wireless Network in der Klammer angezeigt), IPv4 Address: 192.168.5.254, IPv4 Netmask: 24
  • Gehen Sie nun nach Network Services > DHCP
  • Erstellen Sie nun einen neuen DHCP Server mit den folgenden Daten: Interface: Wireless-Gast, Range Start 192.168.5.100, Range end: 192.168.5.200, DNS Server: 192.168.5.254, Default Gateway: 192.168.5.254, Domain: wireless.gast, Lease Time 86400
  • Gehen Sie nun nach Networks Services > DNS > General und fügen dort unter allowed Networks Wirelss-Gast (Network) hinzu.
  • Anschließend gehen Sie unter Network Protection > NAT > Masquerading und erstellen eine neue Masquerading Regel mit den folgenden Werten: Wireless-Gast (Network), Interface: External (WAN) und wenn nötig bitte auch Use Address einrichten.
  • Dann noch unter Network Protection > Firewall die ausgehende Regel für Internet IPv4 und Internet IPv6 anpassen, so das Wireless-Gast ebenfalls mit in die Regel kommt.
  • Zu guter letzt noch unter Wireless Protection > Hotspots > Hotspots einen neuen Hotspot erstellen mit folgenden Daten: Name: Wireless-Gast, Interfaces: Wireless-Gast, Administrative Users: admin (und die User, die das Password of the Day sehen sollen im Userportal), Hotspot Type: Password of the Day, Password creation Time: 4:00, Send Password by Email to: Adresse oder Verteilerliste, die das Passwort erhalten sollen

Das war die Einrichtung. Wenn man noch möchte, das das Wireless-Gast nicht unverschlüsselt ist kann man entweder ein eigenes Kennwort vergeben (unter Wireless Networks > Wireless Networks > Wireless-Gast bearbeiten > Encrytion Mode aktivieren und ein Kennwort vergeben) oder aber das Kennwort mit dem Password of the Day syncronisieren (dann zusätzlich noch zu dem Punkt vorher in Wireless Protection > Hotspots > Hotspots > Hotspot bearbeiten > Option Syncronize Password with PSK or Wireless Network) – dann muss das Kennwort jedoch doppelt eingegeben werden (als WLAN Kennwort und nochmal beim Aufruf einer Seite auf der Loginseite).

Sie können jederzeit, das Password of the Day einsehen oder zurücksetzen im Userportal im Register Hostspots.


Sophos: SSL VPN Client für Benutzer über Webadmin runterladen

Um den SSL VPN Client herunterzuladen gehen Sie bitte wie folgt vor:

  • Öffnen Sie den Webadmin.
  • Gehen sie auf Definition & Users.
  • Anschließend wählen die den Unterpunkt Users und setzen Sie bei den entsprechenden Usern den Hacken.
  • Wählen Sie unter Actions den Punkt Download SSL VPN Packages.
  • Abschließend wählen Sie bitte was sie herunterladen möchten.

Installieren Sie auf dem entsprechenden Gerät den VPN Client (bitte mit rechter Maustaste und Als Administrator ausführen) und kopieren Sie das entsprechende Profil nach C:\Program Files (x86)\Sophos\Sophos SSL VPN Client\config.


Sophos: Lokales WLAN einrichten (SG)

Kategorie: Sophos , Support

Die Einrichtung vom WLAN bei den kleinen Sophos SG ist ein wenig anders, als die beiden großen.

Hier ein Konfigurations HOWTO für das Bridging ins AP LAN.

  • Wireless Networks > New Wireless Network: Benötigte Daten einstellen und bei Client Traffic Bridge to AP LAN einstellen.
  • Access Points > Overview > Edit: Netz aktivieren.
  • Interfaces & Routing > Interfaces falls noch kein WLAN vorhanden dort eins anlegen und als Interface die SSID des erstellten Adapters auswählen.
  • Network Services > DHCP > Einen Bereich anlegen.
  • Network Protection > NAT > Masquerading > Add Masquerading anlegen mit einer Regel für das vorgenannte WLAN über Internet auszugehen.
  • Networks Protection > Firewall > Regel für ausgehenden Verkehr erstellen.

Nun mit Clients testen ob es funktioniert.

 

Weitere Infos: https://utm-shop.de/information/anleitungen/utm-online-hilfe-9.400/wireless-protection/wlan-netzwerke


Günstige oder gar kostenlose Software für den Clientbetrieb

Affinty Photo Editor:
Professionelles Bildbearbeitungsprogramm mit riesigen Funktionsumfang. Bietet annähernd so viele Optionen wie Photoshop – jedoch ohne Abo. Kauf für 55€ mit lebenslangem Updaterecht und Recht auf so vielen Rechner wie gewünscht zu installieren. Manchmal bekommt man das Programm auch für 38€ wenn es im Angebot ist. Sehr zu empfehlen ist auch das gebundene Buch, welches in die Nutzung einweist. Das Programm gibt es für Mac, Windows und iPad.

GIMP:
Kostenlose Bildbearbeitung mit einem großen Funktionsumfang. Ich selber komme mit Affinity besser zurecht.

Darktable:
Bildverwalter und RAW-Konverter welcher auf Grundlegende Bildbearbeitungsfunktionen anbietet. Das Programm ist kostenlos und für Windows, Linux und Mac zu haben.

Libre Office:
Komplettes Office Paket welches es kostenlos für Windows, Mac und Linux gibt.

Office 365:
Ja, ihr habt richtig gelesen – Office 365 unter günstige Lösungenen! Es ist immer eine Frage wie man es nutzt. Wenn es Privat genutzt wird und auf 5 Rechnern benötigt wird, kann man Office pro Monat und Rechner für ca. einen Euro haben. Dazu nimmt man das Office 365 Home für 5 Rechner, welches dann 10€ im Monat kostet bzw. 99€ im Jahr, jedoch kauft ihr das dann nicht bei Microsoft, sondern die Voucher Karten bei Amazon (achtet bitte auf Echtheit, derzeit um die 73€ – oft jedoch Rabattiert, so gab es diese am Blue Monday für 66€ inkl. einer Microsoft Mouse).


Kostenlose Software für den Server- bzw. Netzwerkbereich

Viele Softwareprodukte, die ich einsetze sind entweder kostenlos oder zumindest für den Privateinsatz kostenlos.

Diese Software stelle ich hier vor:

Sophos UTM:
Professionelle Firewall welche Web- und Emailfilter bietet sowie VPN und alles dies mit einem Umfangreichen Reporting. Die Homeversion ist bis zu 50 IP Adressen frei.

VMWare ESXI Server:
Host zum virtualisieren von Servern, mittlerweile mit einer Webgui zur Administration.

VMWare vSphere Converter:
Tool zum convertieren von Physichen oder virtuellen Servern in eine ESXI Umgebung.

Veeam Windows Agent:
Kostenlose Software um Physische Windowsserver zu sichern. Unterstützt werden Zeitgesteuerte Inkrementielle- sowie Vollsicherungen und Emailnotifications. Gesichert werden kann auf Netzlaufwerken, USB Platten und auch Veeam Backup Repositories. Es gibt auch eine kostenlose Version für Linux und virtuelle Umgebungen.

PRTG Monitoring:
Monitoring und Alarminglösung, monitort über SNMP oder Native (Powershell, Webrequest usw.). Es können auch grafische Visualisierungen eingerichtet werden (siehe mein Monitoring). Es gibt eine Webversion und Apps welche gar die Apple Watch unterstützen. 100 Sensoren sind frei, womit man schon sehr weit kommt.

Docusnap:
Inventarisierungssoftware, welche Netzwerke inventarisiert und Dokumentiert. Es können auch Pläne und Reports erstellt werden (sogar Zeitbasiert). Bis zu 20 Rechnern kann die Software kostenlos genutzt werden.


VCSA Appliance direkt einrichten (ohne ClientintegrationPlugin)

Ich wollte auf einem Host die VMWare VCenter Server Appliance einrichten – jedoch machten die ClientintegrationPlugins Probleme und ließen sich nicht installieren.

Da ich mich nicht lange mit der Problematik herumschlagen wollte, habe ich mich dazu entschlossen die VM direkt einzurichten.

Dazu habe ich auf einem Windowsrechner das ISO runtergeladen und gemountet. Anschließend habe ich den VSphere Client geöffnet und habe dann unter File > Deploy OVF Template die VM Datei geöffnet (CD Laufwerk:\VSCA > Alle Dateien anzeigen > vmware-vcsa auswählen).

Diese Datei dann einrichten aber noch nicht starten.

Nachdem der Assistent durch ist, in die Eigentschaften der VM und kontrollieren ob die LAN Zuordnung richtig ist.

Am besten dann auch schon mal wenn benötigt direkt den Autostart einrichten.

Vor dem starten der VM kurz einen DHCP einrichten wenn noch keiner eingerichtet sein sollte (ich habe dazu in der Firewall kurz einen DHCP erstellt und gestartet, sobald der nicht mehr benötigt ist, dann wieder deaktiviert – sollte kein anderer DHCP vorhanden sein, richte ich ein das direkt die richtige Adresse verwendet wird).

Wenn dann die VM gestartet wird, sieht man nach kurzer Zeit die IP Adresse, die die VM bezogen hat. Wenn man dann in der Console sieht, das die VM durchgestartet ist, können Sie in der Console ein Root Kennwort vergeben und anschließend mit dem Webbrowser fortfahren und die VCSA weiter einrichten (https://IP:5480).

Hinweis: Sollte „nur“ die Installation  des ClientIntegration-Plugins fehlgeschlagen sein, versuchen Sie die aktuellere Version unter http://vsphereclient.vmware.com/vsphereclient/VMware-ClientIntegrationPlugin-6.5.0.exe zu verwenden).

Update: Sollten Sie die VCSA 6.0 U3 installieren und das Problem haben, das sich die ClientIntegration-Services nicht installieren lassen sollten – laden Sie bitte statt der VCSA 6.0 U3 die Version U2 herunter und installieren diese – später können Sie diese dann aktualisieren.


Sophos: Voip/SIP mit Telekom DeutschlandLAN

Bei einem DeutschlandLAN Anschluß wird SIP/VOIP über die bestehenden Internetleitung realisiert. In dem Beispiel habe ich einen DSL Anschluß welcher über eine Sophos UTM 9.5 realisiert wird und eine Avaya IP Office Anlage mit mehreren Telefongeräten. Die Telefonanlage hängt im lokalen Netz – man könnte auch die Telefonie trennen und auf ein eigenes Interface der Sophos legen oder ein eigenes VLAN verwenden, das war jedoch hier nicht gewünscht.

An der TAE Dose (kein NTBA oder Splitter dazwischen) hängt ein Telekom Speedport Entry 2 welcher ADSL und VDSL beherscht.

An dem Port LAN1 hängt ein LAN Kabel welches auf einen Netzwerk-Port der Sophos geht. Die PPPoE Einwahl läuft erfolgreich über diesen Port. Internet wird über diesen Anschluß realisiert.

Die Zugangsdaten wurden wie folgt eingerichtet:

Username: <Anschlusskennung><Onlinekennung><Mitbenutzer>@t-online.de
Kennwort: <Kennwort>

Bei VDSL bitte darauf achten, das bei der Sophos VDSL bei der PPPoE Einwahl erfolgt und auch VLAN7 getaggt ist. Sollte ein VDSL Modem mit integriert sein, bitte auch schauen ob diese ein VLAN Tagging benötigt.

Die DNS Server waren zuvor auf externe von Google eingestellt, diese habe ich jedoch auf die externen DNS Server welche bei der PPPoE Einwahl bereitgestellt werden (falls nicht automatisch, dann fest einstellen – Adressen können in dem PPPoE Log eingesehen werden). Dies wird benötigt, da die Services über DNS (z.B. _sip._regs.sip-trunk.telekom.de) aufgelöst werden müssen. Bei der Avaya IP Office kann man für die SIP Verbindung gar eigene DNS Server angeben – somit würde diese Anpassung nicht benötigt.

Eine Besonderheit, die ich habe in meinem Fall ist, das ich nicht über die ADSL Leitung rausgehe, sondern Parallel über eine weitere SDSL Leitung, damit jedoch die Telefonanlage auch die Leitung nutzt auf der das Voip läuft, habe ich eine neue Richtlinienroute erstellt (Schnittstellen & Routing > Statisches Routing > Richtlinien Routing > Neue Richtlinie) wie folgt:

Ob diese Regel funktioniert, testet man am besten an einem PC – wenn man die Seite wieistmeineip.de aufruft und die Regel aktiviert muss sich die IP über die man rausgeht ändern auf die Adresse der DeutschlandLAN Leitung.

Je nach Bandbreite sollte man auch noch ein QoS für SIP erstellen.

Dazu dann unter Schnittstellen & Routing > Status die Ports aktivieren und die richtigen Bandbreiten einstellen (in MBit). Dann unter Verkehrskennzeichner einen neuen Eintrag erstellen wie folgt (Adresse der Telefonanlage):

Und anschließend noch unter Bandbreiten Pools noch einen entsprechenden Bandbreitenpool anlegen wie folgt:

Wenn man dann in der Telefonanlage sieht, das sich die Anlage registriert die Rufnummer 0800 55 10033 anrufen, danach beginnt dann die Portierung.

Wird später komplett auf diese Leitung umgestellt sind weitere Anpassungen erforderlich:

  • Im Kundencenter feste IP aktivieren (evtl. übernehmen).
  • DNS Eintrag anpassen.
  • Ist DNS eingerichtet kann man nach kurzer Zeit auch im Kundencenter den DNS-Reverseeintrag einrichten.
  • Kontrollieren ob Name auch auf eventuelle Zeritifikat passt (z.B. bei Exchange Server).
  • Evtl. vorhandene Einträge im SPF für DNS Eintragen (siehe https://www.leibling.de/email-spf-erstellen/).
  • NAT und Firewallregeln anpassen.
  • Schnittstellenrouting entfernen.
  • QoS anpassen sofern eingerichtet.

Update:

In einem bestimmten Falle wurde die Leitung auch direkt von ADSL auf VDSL umgestellt. Es ist ein Speedport Entry 2 vor Ort eingesetzt – mit dem aktuellsten Firmwareupdate (zu finden unter https://www.telekom.de/hilfe/geraete-zubehoer/router/speedport-entry-2/firmware-zum-speedport-entry-2?samChecked=true) war dieses auch VDSL Kompatibel und konnte auf LAN2 im Modem Betrieb den Status ausgeben (http://169.254.2.1). Dort kann man dann die Verbindung einsehen: