Firewall und Spiegel Online

Dieser Artikel beschreibt ein Problem speziell mit Watchguard Firewalls und Spiegel Online (SPON). Vielleicht ist es aber auch bei anderen Firewall-Lösungen nützlich.

Wir hatten in den letzten Wochen bei einigen Kunden das Problem, dass sich bei SPON der Hinweis, dass man doch bitte den AdBlocker ausschalten solle, öffnete, obwohl kein AdBlocker installiert war. Die Ursache ließ sich relativ schnell auf den HTTP-Proxy-Dienst der eingesetzten Firewall (Watchguard) eingrenzen. Es hat aber dann tatsächlich noch etwas gedauert, bis klar wurde, was genau das Problem verursacht. Nachdem wir zunächst SPON in die Proxy-Ausnahmen eingetragen und auch testweise Virenscan und andere Dienste im Proxy deaktiviert hatten, war eine Analyse des Netzwerkverkehrs nötig, um festzustellen, dass bestimmte HTTP-Header-Informationen vom Proxy entfernt werden, die – wie sich herausstellte – für die Funktionalität des Anti-AdBlocker-Prüfscripts bei SPON nötig waren.

Letztendlich hat geholfen, das Pattern

Access-Control-Allow-Origin:*

bei den Response-Headern zu erlauben.

Interessanterweise hatten nicht alle Kunden mit Watchguard das Problem. Es ließ sich allerdings auf die Kunden eingrenzen, die schon vor dem Jahr 2016 auf Watchguard als Firewall-Lösung setzen. Möglicherweise hat Watchguard irgendwann mal in die Standard-Einstellungen für HTTP-Proxys den Header-Typ aufgenommen, weshalb bei neueren Watchguard-Kunden der Header bereits erlaubt wird. Wenn man aber bei alten Kunden die bestehende Konfiguration von alten Geräten auf neue Geräte importiert, wird die Standardeinstellung überschrieben und nur die veraltete Header-Typ-Liste wird verwendet.

Nagios Update 4.3.0 Probleme

Ups, nachdem ich mein Nagios 4.2.3 auf 4.3.0 aktualisiert hatte, war ich einigen kleinen Problemen ausgesetzt. Zunächst meldete Nagios, dass es den Prozess-Status nicht finden konnte:

Unable to get process status

Weiterhin konnte ich auf keinen Menüpunkt in Nagios zugreifen. Bspw. beim Aufruf von „Tactical Overview“ bekam ich die Meldung vom Apache Server

The requested URL /nagios/cgibin/tac.cgi was not found on this server.

Es stellte sich heraus, dass Nagios in der aktuellen Version nicht mehr unter /nagios/cgi-bin/ sondern unter /nagios/cgibin nach den CGIs sucht. Also habe ich in der Datei /etc/apache2/sites-enabled/nagios.cfg (kann abweichend sein) noch den zusätzlichen ScriptAlias /nagios/cgibin für/usr/local/nagios/sbin eingetragen. Nach einem Neustart des Apache Servers war zumindest das Problem schon mal gelöst.

Ein weiteres Problem waren die Map und die Trends. Im Legacy-Mode funktionierten sie, aber nicht mehr im „normalen“ Modus. Ich bekam hier lediglich die Meldung

Warning: Monitoring process may not be running! Click here for more info

Das „here“ verwies auf einen ungültigen Pfad (nämlich auf /{{cgiurl}}extinfo.cgi?type=0). Nach einigem Suchen fiel mir auf, dass irgendwie unter /usr/local/nagios/share/js die Datei config.js fehlte. Diese beinhaltet die Variable für cgiurl. Nachdem ich die Datei config.js.in aus dem Source-File angepasst (ich habe @cgiurl@ durch cgibin ersetzt und die Dateiendung .in entfernt) und in das genannte Verzeichnis gelegt hatte, funktionierte Nagios bei mir wieder ohne Probleme.

config.js:

var nagcfg = {};
nagcfg.cgidir = "cgibin/";

WSUS Datenbank umziehen

Wer einen Windows Server Update Services (WSUS) Server installiert, könnte aus Bequemlichkeit bei der Installation wählen, dass die interne Windows-Datenbank (WID) für den WSUS genutzt werden soll. Das hat meiner Erfahrung nach verschiedene Nachteile:

  • Der benötigte Speicherplatz für die WID könnte irgendwann recht groß werden. Standardmäßig ist diese unter C:\Windows\WID gespeichert.
  • Die WID ist leistungsmäßig unterirdisch und macht in verschiedenen Szenarien immer wieder Probleme (bspw. wenn die WID schon etwas größer geworden ist)

Deshalb sollte man sich, wenn man einen WSUS installieren möchte, zunächst einen SQL Server installieren. Standalone oder – in den meisten Fällen sinnvoller und auch ausreichend – SQL Express auf dem gleichen Server.

Ist das Kind schon in den Brunnen gefallen (wie bei meinem Szenario, wo eine mehr als 10 GB große WID für Probleme sorgte), lässt sich das aber zum Glück relativ einfach nachträglich ausbessern. Ich habe mich dabei an dem How-To von Microsoft orientiert, das allerdings etwas verwirrend ist: https://technet.microsoft.com/de-de/library/dd939918(v=ws.10).aspx

Zunächst installiert man einen SQL Express Server bzw. legt eine neue Instanz an. Ich nenne sie WSUS. Der Server hat „MGMT-SRV“ als Hostname, so dass die Instanz nun unter „MGMT-SRV\WSUS“ erreichbar ist. Beim Erstellen der Instanz habe ich Windows-Authentifizierung gewählt und dem Konto „NT-Autorität\Netzwerkdienst“ den Zugriff gestattet.

Weiterhin ist es nötig, das Microsoft SQL Server Management Studio zu installieren, um den Umzug zumindest komfortabler zu gestalten (grundsätzlich sollte das alles auch über die Kommandozeile gehen).

Im nächsten Schritt habe ich die Dienste „IIS-Verwaltungsdienst“ sowie „WSUS-Dienst“ beendet.

Danach habe ich in der klassischen Eingabeaufforderung folgende Befehle eingegeben:

sqlcmd -S np:\\.\pipe\MICROSOFT##WID\sql\query
use master
alter database SUSDB set single_user with rollback immediate
go
sp_detach_db SUSDB
go

Achtung: bei Server 2008 R2 und älter ist die interne Datenbank MSSQL$MICROSOFT##SSEE (statt MICROSOFT##WID).

Wenn man jetzt möchte, kann man die Datenbank an einen anderen Speicherplatz verschieben. Ich habe die Dateien SUSDB.mdf und SUSDB_log.ldf auf ein anderes Laufwerk verschoben, auf dem sich auch die übrigen WSUS-Daten befinden. Die Dateien befinden sich unter Windows Server 2012 (R2) im Verzeichnis C:\Windows\WID\Data.

Mit dem SQL Management Studio habe ich nun die neue Instanz MGMT-SRV\WSUS geöffnet und einen Rechtsklick auf „Datenbanken“ gemacht. Dort habe ich mit dem Punkt „Anfügen“ die Datenbankdatei SUSDB.mdf hinzugefügt.

Anschließend sollte man nochmal prüfen, ob alle Berechtigungen stimmen:

  1. Unter Sicherheit\Anmeldungen sollte das Konto „NT-Autorität\Netzwerkdienst“ aufgeführt werden.
  2. Unter Datenbanken Rechtsklick auf SUSDB und Eigenschaften wählen. Unter Berechtigungen sollte ein Eintrag für „NT-Autorität\Netzwerkdienst“ vorhanden sein.
  3. Unter Datenbanken\SUSDB\Sicherheit\Rollen\Datenbankrollen Rechtsklick auf webService und Eigenschaften wählen. Dort sollte bei „Mitgliedern dieser Rolle“ auch „NT-Autorität\Netzwerkdienst“ eingetragen sein.

Nun habe ich regedit.exe gestartet und im Schlüssel HKLM\SOFTWARE\Microsoft\UpdateServices\Server\Setup den Eintrag SqlServerName auf MGMT-SRV\WSUS geändert. Also: [Servername]\[Instanzname]

Danach habe ich die Dienste „IIS-Verwaltungsdienst“ und „WSUS-Dienst“ wieder gestartet und zur Sicherheit auch noch den WWW-Publishingdienst sowie den Dienst „Interne Windows-Datenbank“ neugestartet.

Zuletzt habe ich mit dem Start der WSUS Verwaltung erfolgreich geprüft, ob wieder alles läuft.

Shrew Soft VPN Client: negotiation timeout occurred

Heute hatte ich mit dem Problem zu kämpfen, dass der Shrew Soft VPN Client keine VPN-Verbindung zum Kundennetzwerk aufbauen konnte. Die immer wiederkehrende Meldung: negotiation timeout occurred

Setup: Windows 10 Client, WLAN-Verbindung

Zunächst dachte ich, dass es an der Windows-Firewall oder an der installierten Sicherheitssoftware (Virenscanner etc.) liegen könnte. Nachdem ich das alles deaktiviert hatte, war es trotzdem nicht möglich, das VPN aufzubauen. Letztendlich habe ich jedoch den Hinweis gefunden, dass da eine ganz andere Komponente, die in neueren Windows-Versionen enthalten ist, eine Rolle spielt: Der „Microsoft Wi-Fi Direct Virtual Adapter“

Offenbar hat der Shrew-Client Probleme damit, wenn dieser virtuelle Adapter vorhanden ist. Nachdem ich den „Microsoft Wi-Fi Direct Virtual Adapter“ dann im Gerätemanager deaktiviert hatte, konnte das VPN erfolgreich aufgebaut werden.

Hätte man versucht, das VPN aufzubauen, wenn der Rechner per Kabel verbunden gewesen wäre, hätte vermutlich alles anstandslos funktioniert. Das hilft nur dann nicht mehr, wenn der Mitarbeiter unterwegs und auf WiFi-Verbindungen angewiesen ist.

Ich kann nicht ausschließen, dass das Problem nur in wenigen Fällen auftritt. Soweit habe ich das noch nicht getestet. Aber wenn das Problem auftritt, dass die VPN-Verbindung mit dem Shrew-Client nicht aufgebaut werden kann, wenn der Client eine WLAN-Verbindung nutzt, dann sollte dies eine der ersten Ansatzpunkte für die Problemlösung sein.

 

 

Google Now: Fehler beim Laden der Erinnerungen

2015-10-28 18_15_41-KalenderEin kleines Problem (Bug?) hatte bei mir dafür gesorgt, dass ich in der Google Now App auf meinem Android Smartphone keine Erinnerungen mehr anzeigen konnte. Also die Erinnerungen an sich kamen, nur konnte ich mir die Liste der bisher angelegten Erinnerungen nicht anzeigen lassen. Es kam immer die Meldung: „Fehler beim Laden der Erinnerungen“. Ungefähr ein halbes Jahr hat es gedauert, bis ich die eigentlich simple Lösung dafür gefunden habe.

Das Problem betrifft womöglich nur sehr wenige Leute. Ich hatte eine Erinnerung für den 29. Februar angelegt und den Reminder auf jährlich eingestellt. Das macht man ja für gewöhnlich nicht, außer es handelt sich bspw. um eine Geburtstagserinnerung. Google Now bzw. die App kam jetzt nun aber damit überhaupt nicht klar, weil der 29. Februar ja bekanntlich nur alle vier Jahre im Kalender steht. Also verweigerte mir die App die Anzeige aller Erinnerungen.

Nachdem ich schon ziemlich zu Anfang des Problems auch nach gefühlt etlichen Stunden Recherche nichts gefunden hatte, habe ich mich erstmal damit abgefunden. Heute habe ich mich dann aber doch nochmal auf die Suche nach der Lösung des Problems gemacht und bin über einen ganz interessanten Eintrag bei Reddit gestolpert, den ich im Prinzip auch schon vor einem halben Jahr hätte finden können, wenn ich die richtigen Suchbegriffe verwendet hätte.

Wie dem auch sei: Man kann sein Googlemail-Konto seit der Übernahme von Inbox durch Google auch über Inbox verwalten. Ich hatte auch schon irgendwie vermutet, dass Google die Reminder irgendwo mit dem Mail-Konto verknüpft, nur ist es nicht möglich, über Gmail auf die Erinnerungen zuzugreifen. Und auch sonst innerhalb der Google-Konto-Einstellungen/Apps habe ich keinen Weg gefunden, mir die Reminder anzuzeigen.

Der Post bei Reddit verwies nun auf https://inbox.google.com/u/0/reminders, also quasi auf die Inbox-Version von Gmail. Und siehe da, dort konnte ich die „fehlerhafte“ Erinnerung sehen und löschen.