Kategorie: Support

Sophos XG eigenes öffentliches Zertifikat verwenden

Um keine Fehlermeldungen zu erhalten beim Zugriff auf die Adminöberfläche  oder dem Userportal der Firewall setze ich ein öffentliches Zertifikat ein. Da ich das jedoch meistens nur selber nutze, reicht mir ein günstiges einfaches mit einer niedrigen Sicherheitsstufe aus.

Dazu verwende ich die SSL Zertifikate von SSLs.com – diese gibt es für ca. 15€ für 3 Jahre, das sind rund 0,42€ pro Monat.

Da ich nun von der Sophos UTM auf die Sophos XG umstelle, beschreibe ich hier den Weg wie man ein solches Zertifikat einrichtet, was unter der XG wesentlich einfacher geht als unter der UTM.

Als erstes müssen wir ein CSR erstellen, dazu gehen wir in der XG nach Certificates > Certificates > Add und erstellen folgenden CSR:

Da die Daten auch über das fertige Zertifikat einzusehen sind, habe ich die originalen Daten gelassen, ihr tragt da natürlich eure eigenen Daten ein. Da ich schon ein Zertifikat habe und das nur änder (was kostenlos ist bei SSLs.com) übernehme ich oben natürlich das originale Ablaufdatum.

Wenn ihr die Einstellungen bestätigt habt, könnt ihr dann das Zertifkat herunterladen (welches als GZ und TAR komprimiert ist, mit dem kostenlosen 7Zip könnt ihr diese entpacken).

Auf SSLS.com „kauft“ ihr dann das Zertifikat und verwendet das eben entpackte CSR.

Nun müsst ihr noch die Dateien zusammenbauen mit OpenSSL, dazu könnt ihr dann unter Windows OpenSSL installieren, auf einem Mac habt ihr das schon drauf. Dazu verwendet ihr den folgenden Befehl:

openssl pkcs12 -export -in url_domain_de.crt -inkey url_domain_de.key -out url_domain_de.p12

Mit dem neu erstellten Zertifikat könnt ihr nun in der Sophos XG das neue Zertifikat einfügen:

Dieses könnt ihr dann nun unter Administration > Port Settings for Admin Console > Certificate zurordnen.


Sophos: Umstellung von UTM auf XG

Wenn man Jahrelang mit der Sophos UTM gearbeitet hat und dann auf eine Sophos XG umstellt, steht man erst mal wie der Ochs vorm Berge (so zumindest ich), da die XG einen ganz anderen Ansatz verfolgt als die UTM.

Die XG ist ein zugekauftes Produkt und es wurde noch einige Jahre Support und gar Weiterentwicklung für UTM Produkte von Sophos zugesagt.

Sollte man eine UTM 9 Lizenz haben, so kann man diese zu einer XG Lizenz upgraden (Achtung: Dieser Vorgang ist laut Hinweismeldung nicht Reversible).

Auch hier gibt es eine kostenlose Version für den nicht kommerziellen Betrieb, welcher bis 100 Adressen unterstützt – in dieser Version ist fast alles aktiviert, bis auf die Sandstorm funktion (wie auch bei der UTM Home).

  • Dennoch könnte bei den folgenden Punkten der Umstieg interessant sein:
  • Umfangreicheres Muticast Routing
  • Umfangreiche Möglichkeiten bei der Webserververöffentlichung
  • In der kostenlosen Homeversion werden bei der XG 100 Adressen statt wie bei der UTM nur 50 Adressen unterstützt

Da ich einige Probleme mit dem Multicast Routing habe und mir eine Besserung bei diesem Problem erhoffe, habe ich mir die Lösung mal näher angeschaut.

Ich setze folgende Funktionen ein:

  • WLAN Intern und Gästenetz (mit eigenen Accesspoints)
  • Im Gästenetz Hotspot mit Vouchersystem
  • VPN Netze ins RZ und die Firma (unter anderem für Onlinebackup ins RZ)
  • VPN Einwahl
  • NAT / Firewall
  • Emailprotection
  • Webprotection
  • IPS
  • Öffentliches SSL Zertifikat für die Firewall und das Userportal

Die Umstellung hat ca. 8 Stunden gedauert.

Da  die XG einen anderer Ansatz verfolgt als bei der UTM habe ich mich mit der Umstellung schwer getan und mir hier alle Informationen zusammengeschrieben:

*: Bei den SMTP Regeln steht nicht drin, das unter Administration > Device Access > SMTP Relay noch das entsprechende Netz (z.B. WAN) noch aktiviert werden muss.

*: Bei VPN mit SSL zu einer UTM steht nicht dabei, das die Einstellungen anders sind, diese können unter VPN > SSL > Advanced angepasst werden. Bitte dabei jedoch beachten, das dies auf alle SSL Tunnel gilt.

Ich hoffe der Beitrag hilft den einem oder anderem.


Veeam: Backup Geschwindigkeit testen

Mit dem Tool DISKSPD aus dem Technet kann man die Performance eines Backuptargets prüfen.

Z.B. diskspd.exe -c1G -b512K -w67 -r4K -Sh -d600 X:\testfile.dat

Weitere Informationen:

https://www.veeam.com/kb2014

https://gallery.technet.microsoft.com/DiskSpd-a-robust-storage-6cd2f223


Windows Server 2016: Mehrere SSL Zertifikate auf einer IP

Mehrere SSL Zertifikate mit mehreren verschiedenen Namen und Zertifikaten auf der selben Seite zu verwenden (statt z.B. einem SAN Zertifikat für Exchange Server) kann man in dem Windows Server 2016 bequem über den Internetinformationdienste (IIS) – Manager einrichten.

Dazu gehen Sie wie folgt vor:

  • Starten Sie den Internetinformationdienste (IIS) – Manager.
  • Gehen Sie links auf den Servernamen.
  • Rechts klicken Sie auf Serverzertifikate und rechts dann auf Zertifikatsanforderungen.
  • Besorgen Sie sich nun ein Serverzertifkat (z.B. PSW.net oder SSLs.com) und spielen Sie dies ein.
  • Gehen Sie nun links auf die entsprechende Site mit der rechten Maustaste und wählen Bindungen aus.
  • Gehen Sie nun auf Hinzufügen und wählen Sie https aus, geben die neue URL ein, Port 443 und das entsprechende Zertifikat, bitte unbedingt auch den Haken bei SNI setzen.
  • Speichern Sie nun die Einstellungen und testen Sie diese, sollte es nicht klappen können Sie den IIS mit iisreset in einer privilegierten CMD Console neustarten .

Exchange 2016: Zugriff auf OWA funktioniert, jedoch keine Anmeldung an mobile Geräte möglich

In einem Falle konnten einige User mit mobilen Geräten auf ihr Postfach zugreifen und andere wiederum nicht.

Somit konnte es kein generelles- oder Firewall Problem sein, sondern musste mit der Benutzerkonfiguration zu tun haben.

Das seltsame war, das auf dem iPhone das Konto eingerichtet werden konnte, doch wenn man das Postfach nutzen wollte, meldete ein Fehler „Senden und Empfangen nicht möglich“.

Ich erhielt auf dem Exchange folgende Meldungen in der Ereignisanzeige:

  • 1031: MSExchange ActiveSync
  • 1053: MSExchange ActiveSync
  • 1107: MSExchange ActiveSync

Natürlich hatten die Benutzer die ActiveSync-Nutzung erlaubt.

Bei Recherchen fand ich dann die Lösung im Web:
Dem Benutzer fehlten Rechte im AD um ActiveSync Container zu erstellen.

Die Lösung ist recht einfach:
Auf dem DC im DSA.msc in den User Eigenschaften auf Sicherheit und dann die Vererbung aktivieren. Nach ein paar Minuten konnten dann die entsprechenden User ihre Mobilgeräte nutzen.

Quelle:

https://forums.slipstick.com/threads/56324-administrator-account-cant-sync-phone-disabled/


Exchange 2016: Emails gehen nicht raus

Bei einem frisch installierten Exchange Server hatte ich das Problem das Mails nicht raus gingen. Weder direkt per MX noch über Relay.

Der Exchange sollte Mails an ein Mailrelay auf einer internen Sophos übergeben, die Mails gingen weder rein noch raus.

Wurden Mails im OWA versendet, lagen diese in Entwürfe und gaben die Meldung „Es ist ein Fehler aufgetreten“ und im Outlook blieben die Mails einfach im Postausgang liegen.

Testweise habe ich dann mit Telnet eine Mail an den Exchange gesendet um zu schauen ob ich einen Fehler sehe – und siehe da, mir wurde gemeldet: „4.5.1 Temporary Server Error PRX2“.

Bei einer Recherche fand ich dazu 2 Möglichkeiten:

Zum einen sollte in den Servereigenschaften (ECP) der DNS Server überschrieben werden, da es Probleme geben kann wenn ein interner (z.B. DC) und ein externer DNS (z.B. Provider DNS oder Firewall/Router mit Forwarder nach außen) verwendet werden in den Servernetzwerkeinstellungen. Zusätzlich könnte man auch in der Hosts-Datei alle internen Server mit IP, Hostname und FQDN aufnehmen.

Zum anderen kann es zu Problemen kommen wenn mehrere Connectoren den selbern Port verwenden (auch wenn die unterschiedliche Quelladressen verwenden). Da der SMTP und ein Relayserver auf dem selben Port lagen, habe ich kurzerhand den Relay auf die Sophos umverlegt.

Nach einem Serverneustart funktionierte nun wieder alles.

Quellen:

http://www.servolutions.de/support/articles/temporaryservererror2013.htm

https://www.servolutions.de/support/installexchg2013.htm#section3


ESXI: VM optimieren

Kategorie: ESXI , Server

Bestimmte VMs wie Exchange-, Datenbank- oder Terminalserver benötigen viel Performance.

Hier holt man mit ein paar Anpassungen in den VMs mehr heraus:

VMXNet 3 Netzwerkadapter:

Der VMXNet Adapter ist ein paravirtualisierter Netzwerkadapter, dieser ist performanter als alle anderen virtualisierten Adapter, da er die Befehle direkt an den Netzwerkkontroller durchreicht.

Dieser kann während der Installation schon „eingesteckt“ sein, Treiber werden jedoch erst durch die VMWare Tools installiert.

Hinweis zum Thema Netzwerk: Mittlerweile kann man beliebige MAC Adressen verwenden, und muss nicht mehr wie früher vorgegeben einen bestimmten Teil verwenden – dies ist z.B. Interessant, wenn man einen Server virtualisiert welcher vorher einen Lizenzserverdienst bereitstellt der die MAC Adresse auswertet.

Paravirtualisierung SCSI Adapter:

Paravirtualisierte SCSI Adapter reichen ihre Befehle direkt an den Controller durch und gehen nicht über den Umweg der Virtualisierung.

Am einfachsten geht dies, wenn schon das Windows-Betriebssystem und die VMWare Tools installiert sind. Dann einfach im laufenden System einen solchen Adapter wie folgt hinzufügen:

Verwaltungskonsole > entsprechende VM auswählen > rechte Maustaste > Einstellungen bearbeiten > Anderes Gerät hinzufügen > SCSI-Controller > Beim Controller VMWare Paravirtual auswählen und speichern.

Anschließend in Windows neue Hardware suchen lassen (Win + R > devmgmt.msc) und sicherheitshalber die VM einmal durchstarten. Danach die VM herunterfahren und wieder in den Einstellungen die Festplatte dem neuen Controller zuordnen.

RAM direkt zuweisen:

Der Umweg über die Festplatte ist wesentlich langsamer als der Zugriff direkt auf den Speicher. Bei Servern, die große Speichermengen verwalten (z.B. Exchange oder Datenbank) bietet es sich an, diesen großen Speicher zuzuweisen und dann unter Windows das Auslagern zu deaktivieren (Arbeitsplatz > rechte Maustaste > Erweiterte Systemeinstellungen > Register Erweitert > Abschnitt Leitung Button Einstellungen > Register Erweitert > Virtueller Arbeitsspeicher > Button Ändern > Keine Auslagerungsdatei).

Doch auch der ESXI nutz Festplatten zum Swappen (Auslagern). Dies deaktivieren Sie in dem Sie in der Verwaltungskonsole > entsprechende VM auswählen > rechte Maustaste > Einstellungen bearbeiten > Arbeitsspeicher > Hacken bei „Gesamten Gastarbeitsspeicher reservieren“ setzen.

 


HP Flexnetworks 5130 Switch konfigurieren

Vorbereitungen:

Sie sollten das Serielle Consolen Kabel vorliegen haben und an dem Switch angebunden haben.

Sollte ihr Laptop kein Com Port besitzten, so können Sie einen USB2COM Adapter verwenden, ich habe an meinem Surface Pro einen Digitus Adapter mit Windows 10 verwendet (Achtung: Denn Treiber über Windowsupdates aktualsieren und danach den Rechner neustarten, sonst funktionierte das zuvor nicht bei mir). Nachdem der Adapter einwandfrei ohne Hinweise in Windows eingerichtet ist, sollten Sie im Geräte Manager ebenfalls schauen welcher Comport benutzt wird.

Weiterhin sollten sie z.B. Putty runtergeladen haben.

Beginn:

Verbinden Sie ihr Laptop mit dem Switch und öffnen Sie Putty. Sollten Meldungen kommen, das die automatische Konfiguration fehlgeschlagen ist, dann drücken Sie STRG + C.

Wir konfigurieren nun dem Default VLAN eine IP:

system-view
display vlan 1
interface vlan-interface 1
ip address 192.168.1.99 255.255.255.0
save

Nun aktivieren wir den Webserver und richten diesen ein:

system-view
ip http enable
ip https enable
local-user admin
authorization-attribute user-role network-admin
password simple PASSWORT
save

Nun können wir im Webinterface uns anmelden und das VLAN einrichten:

Dazu im Webbrowser (am besten IE, ich hatte mit FF und Chrome Probleme) anmelden mit der oben angegeben Adresse und Zugangsdaten.

Danach unter Network > VLAN > Oben rechts Plus-Zeichen und dann eine VLAN ID eingeben.

Dann unter Network > Interfaces > Auf das Interface rechts den Pfeil.

Ich habe dort z.B. bei einem Port von Link Type Access auf Hybrid umgestellt (damit der Port mehreren VLANs zugeordnet werden kann) und bei PVID denn Wert gelöscht sowie bei Untagged das Default VLAN 1 hinzugefügt und bei Tagged dann beispielsweise 1003.

Anschließend testen und wenn ok, dann auf Speichern oben klicken.

 


ESXI: HP ROK wird nicht unterstützt

Bei einer Bestellung eines HP Hosts wurde ebenfalls Windows Server 2016 mit bestellt. Dieser sollte nun jedoch nicht Physisch direkt auf den Server installiert werden, sondern in einer VM.

Bei der Installation bekam ich jedoch die folgende Meldung das dies kein HP Server ist.

Bei der Recherche fand ich die Lösung wie man das Serverbios durchreicht, damit dies bei der Installation erkannt wird.

Dazu in den Eigenschaften der VM einen Parameter anlegen mit dem Namen „SMBIOS.reflectHost“ und den Wert TRUE zuordnen.

Danach funktionierte die Installation problemlos.

Quelle: http://www.hirnschmalz.at/2011/08/11/hp-rok-windows-server-2008-r2-auf-vmware-esxi-installieren/


ESXI/VCSA 6.5: Informationen zur Lizensierung

Zu der VCSA kann sich kein Fett-Client mehr verbinden, es wird nur noch der Web-Client unterstützt.

In dem Web-Client der VCSA ist die HMTL5 Version stark abgeschwächt und unterstützt einige Funktionen noch nicht – wie z.B. die Lizenzen. Um Lizenzen einzupflegen nutzen Sie bitte die Flash Version.

Sollten sie kein Flash installiert haben, können Sie auch Chrome verwenden – achten sie bitte jedoch darauf, das kein Flash-Blocker aktiv ist und die Extension erlaubt ist.