O comum é utilizar o Security Filtering, que aplica as regras baseado nos membros:

Filtro de segurança para usuários autenticados e abaixo a opção de WMI filtering

Desta forma, se criava um grupo GPO_ESTACAO e um grupo GPO_TS ou Remote Desktop Users e  as regras se aplicam conforme voce coloca o usuário para acesso.

Entretanto, e se o usuário for membro do grupo GPO_ESTACAO e Remote Desktop Users, ele irá aplicar as politicas de máquina e terminal ao mesmo tempo.

Neste âmbito, existe uma opção chamada Processamento de loopback da diretiva de grupo (Loopback processing of Group Policy), entretanto, eu achei bem complicada. (Este artigo descreve com uma clareza impecável a respeito).

Comecei a pesquisar sobre filtros WMI, estes filtros permitem aplicar as gpos com uma vasta opção de selects!

Achei perfeito no ambito GPO, pois nao sou muito a favor do wmi a nivel de máquina, não domino a ferramenta para poder formar uma opinião concisa).

Enfim, enumero aqui os selcts mais comuns para que voce possa filtar suas polítcas baseadas em sistema operacional da máquina, liberando os usuários para utilizarem os 2 sistemas sem confusão, scripts de instalação para arquiteturas diferentes, etc!

Aonde criar as queries WMI para aplicar nas GPOS

Controladores de Domínio
Select * from WIN32_OperatingSystem where ProductType=2

Servidores
Select * from WIN32_OperatingSystem where ProductType=3

Estações de Trabalho

Select * from WIN32_OperatingSystem where ProductType=1 

Estaçoes de 32-bits
Select * from WIN32_OperatingSystem where ProductType=1
Select * from Win32_Processor where AddressWidth = ’32′
Estaçoes 64-bits
Select * from WIN32_OperatingSystem where ProductType=1
Select * from Win32_Processor where AddressWidth = ’64′

Sistemas Operacionais de 32-bits
Select * from Win32_Processor where AddressWidth = ’32′

Sistemas Operacionais de 64-bits
Select * from Win32_Processor where AddressWidth = ’64′

Windows XP
Select * from WIN32_OperatingSystem where Version=’5.1.2600′ and ProductType=1 
Windows Vista
Select * from WIN32_OperatingSystem where Version=’6.0.6002′ and ProductType=1 
Windows 7
Select * from WIN32_OperatingSystem where Version=’6.1.7600′ and ProductType=1 

Windows 2003
Select * from WIN32_OperatingSystem where Version=’5.2.3790′ and ProductType>1 
Windows 2008
Select * from WIN32_OperatingSystem where Version=’6.0.6002′ and ProductType>1 
Windows 2008 R2
Select * from WIN32_OperatingSystem where Version=’6.1.7600′ and ProductType>1 

Fabricante:
Select * from WIN32_ComputerSystem where Manufacturer = ‘Positivo’ 

Quantidade de Memória  (Exemplo: maquinas com mais de 2gb )
Select * from WIN32_ComputerSystem where TotalPhysicalMemory >= 2147483648

Local aonde voce irá selecionar as politicas WMI para a GPO

Isto resolveu minha vida, parei de quebrar a cabeça, depois de 5 dias pensando no problema!

Agora consigo filtrar execução de scripts em máquinas em condições diferentes.

Consigo filtrar scripts em windows 7 que não executam pela falta da elevação no prompt de comando. Que é meu próximo passo: Descobrir como remover o UAC via gpo para que os scripts de Xp executem no Windows 7

Ferramentas Microsft para utilização de filtros WMI:

Scriptomatic

Group Policy Inventory

Até a próxima!

O bind, nativamente já vem com a opção rrset-order setada como cíclica. Então, ao se adicionar mais do que 1 ip por host, ele já realizará um balanceamento direcionando a consulta para ips diferentes.

; arquivo zone do bind

ftp   IN  A   192.168.0.10
ftp   IN  A   192.168.0.11
ftp   IN  A   192.168.0.12
www   IN  A   192.168.0.150
www   IN  A   192.168.0.161
blog    IN  A    192.168.10.12
blog    IN  A    192.168.10.13

Lembrando que ao realizar uma consulta, o TTL da query que foi feita será armazenado na máquina.

Exemplificando:  Com um TTL de 12 horas, a máquina que resolveu um ip, realizará a conexao para o mesmo ip nestas doze horas respeitando a configuração de cache da máquina. Sendo assim, será feito o balanceamento, mas não ocorrerá um troca caso o servidor esteja fora do ar.

Nao considero este balanceamento de carga como uma boa opção para High Availability, pois caso voce diminua o tempo de vida do pacote, o numero de consultas DNS aumentará substancialmente e ao deixar o TTL ativo, ele será armazenado em provedores e proxys que farão o armazenamento da resolução.

Uma opção interessante seria a utilizaçao do HA-proxy. Desta forma voce poderia balancear o HA via software levando em consideração se os hosts estão ativos, caracterizando uma situação de High Availability.

 Uma opção legal que achei a respeito do balanceamento de carga via dns, é a opção Split Horizon :

Mapemanto geográfico: Baseado no ip addres que está fazendo a consulta, o servidor retorna um endereço ip mais conveniente para aquela região, diminuindo a latência entre o usuário e o servidor.

Filtragem por ip: Desta forma usuários diferentes podem receber endereços diferentes. Voce pode oferecer um serviço personalizado via dns para certos clientes.

Com esta opção, voce pode fazer até um balanceamento de carga distribuindo ip´s para varios servidores diferentes. Acho mais efetivo do que o round robin padrao do dns.

Fica sendo caracterizado como spam toda e qualquer comunicação não solicitada ou que nao tenha como ser bloqueada de forma prática pelo próprio usuário. Assim que enxergo a situação.

A solução mais profissional seria criar listas de distribuição, oferecendo a opção ao usuário de receber ou não os e-mails.

Isto acarretaria a criação de um novo servidor, pois nao existe a opção da criação de listas de distribuição no zimbra.

Para facilicar, criei 3 jobs:

1 – criar pasta Comunicados dentro da account do usuário caso ela não exista.

#!/bin/bash
for i in `zmprov -l gaa`
do
zmmailbox -z -m $i cf -c blue /Comunicados
done

2 – Criar um filtro para que todas as mensagens provenientes do e-mail especifico fossem encaminhadas para a referida pasta.

[root@mail opt]# vim filtromail.sh
for i in `zmprov -l gaa`
do
zmmailbox -z -m $i addFilterRule Comunicacao header “from” contains “imprensa@servidor.com.br” fileinto “/Comunicados”
done

3 – Periodicamente deletar as mensagens antigas desta pasta. Pois como se trata de uma provisão em massa, pode me causar problemas de armazenamento.

Este script ainda não criei. Preciso analisar o zmmailbox para ver quais as opções de tempo que ele me oferece.

Tive dificuldade com a desinstalação do F-secure.  Pois o maldito não continha uma remoção fácil, a empresa não fornecia uma ferramenta de remoção que não reiniciasse as máquinas.

Desta forma caso eu executasse um comando remoto, todas as máquinas reiniciariam. E foi isto que acabou tendo que ser feito.

Enfim, mas como ainda não me livrei dele, algumas máquinas com o anti-virus desatualizado começaram a se infectar e utilizar uma configuração de e-mail válida para enviar vírus para a Internet!

O primeiro a me bloquear foi a TrendNet Rbl+, que funciona muito bem. Apesar de ter sido bloqueado em vários domínios que utilizam a ferramenta, eu tive uma certa dificuldade em conseguir o desbloqueio. Foram alguns dia tentando entender o comportamento da rede e de como implementar os bloqueios no Zimbra, que utiliza o postfix como smtpd. Sendo assim considero o serviço de qualidade. Pois me fez parar tudo para resolver o problema. (Ainda não fui liberado. )

Agradeço a ajuda do Dave Rand, da Trend, que me deu algumas dicas depois de afirmar que meu servidor de e-mail estava mal configurado.

1 – Exibir qual usuário autenticado está enviando e-mails pelo smtp.

Received: from Puccipc (unknown [172.16.99.121])
	(Authenticated sender: leonardo.pucci)
	by mail.santacasadefranca.com.br (Postfix) with ESMTPA id

Desta forma, voce consegue saber qual o e-mail que está com a senha fraca, ou com um outlook enviando vírus.

No caso do webmail isto não aparece, o que é uma pena. Pois identifcar o remetente é util em várias situações.

2 – Bloquear a rede interna.

Se voce optou pelo webmail. Se livre dos clientes na máquina. Terá que investir em storages, processamento, memoria e redundância. Mas se ficar bem feito. Vale o que custa. Se livre de qualquer ferramenta adicional.

3 – Permitir e-mails do sistema.

Permita alguns e-mails do sistema. Sistemas Erp costumam enviar e-mails pelo próprio sistema. Como a configuração de conexão fica dentro do banco de dados e é utilizado apenas pelo sistema. Esta é a excessão da regra acima.

Permita as impressoras. Hoje em dia é comum as impressoras enviarem e-mails. Passa a ser uma forma prática de escanear documentos.

Pensando neste cenário, vamos entender como o postfix executa seus bloqueios.

telnet 192.168.0.2 25                           # Comentario sobre regras de entrada postfix
Trying 192.168.0.2...
Connected to 192.168.0.2 (192.168.0.2).
Escape character is '^]'.
220 mail.example.com ESMTP Postfix              # <-Aqui se aplica: smtp_client_restrictions
HELO mail.example.com                           # <-Aqui se aplica: smtp_helo_restrictions
250 mail.example.com                            #
MAIL FROM:<ned@example.com>                     # <-Aqui se aplica: smtp_sender_restrictions
250 2.1.0 Ok                                    #
RCPT TO:<ned@example.com>                       # <-Aqui se aplica: smtp_recipient_restrictions
250 2.1.5 Ok                                    #
DATA                                            # <-Aqui se aplica: smtp_data_restrictions
354 End data with <CR><LF>.<CR><LF>             #
To:<ned@example.com>                            # <-Aqui se aplica: header_checks
From:<ned@example.com>                          #
Subject:SMTP Test                               #
This is a test message                          # <-Aqui se aplica: body_checks
.                                               #
250 2.0.0 Ok: queued as 301AE20034
QUIT
221 2.0.0 Bye
Connection closed by foreign host.

Agora que voce sabe a ordem de processamento das regras, vou focar em como bloquear o envio por smtpd

To be continued…

Algo familiar?

Se voce resolveu se livrar de uma solução descentralizada e apostar suas fichas numa solução centralizada como o Zimbra ou outra ferramenta, seguem alguns pensamentos

Veja bem, voce vai provar por A+B pro presidente da empresa porque ele precisa mudar!

1 – As ferramentas atuais contém Agenda, Calendário, Marca Reuniões, Integra com outros sistemas, seja hotmail, gmail, etc.

Ou seja. Aquela conversa do blackberry aqui não cola mais. Mas prepare-se para configurar os aparelhos.

2 – Voce está careca de saber que outlook dá problema, seja com vírus, seja com problemas de limpeza ou com pastas corrompidas.

Se você montar um plano de ação, fica fácil convencer o time.

Instale o servidor e continue com todas as ferramentas. Caso um webmail já seja utilizado na empresa, voce será bombardeado por ligações telefonicas. Utilize o imapsync para poder migrar as contas dos usuários.

Depois de 3 meses, remova o acesso pop. Prepare-se para os fãs de outlook reclamando que não estão recebendo mais os e-mails. Mesmo que voce tenha avisado por e-mail alguns dias antes que o serviço ia parar. Libere o pop pros usuários do gmail e black berry que utilizam-se do serviço.

Passados mais 2, remova o smtp. (Isso resolve o problema com vírus.). Diga adeus ao outlook ou a alguns usuários enviando listas de e-mail com alguns programas que voce não quer no seu sistema.

Pronto! Voce está no webmail. Agora analise bem a questão de storage, redundância e processamento.

Lembre-se. Voce facilitou sua vida e do help-desk de forma abrupta. Conduziu o aprendizado da nova ferramenta com parcimônia e alguns reclamões, mas sobreviveu!

Feito isto, voce estará conversando sobre Terabytes e storages, repair de mailboxes, pois elas tambem precisam de uma certa reindexação e um grande uso de cpu e memória. Bkp diário é muito útil. Voce está lidando com um problema centralizado de alto impacto na vida diária das pessoas. Cuidado!

Snapshots antes de atualizações, atualizações de madrugada, mudança de configurações fora do horario de serviço.

Na hora que o pau quebrar. É a madrugada que vai embora. Passadas algumas cagadas, voce não vai pular pro Gran Finale e vai querer fazer todos os backups, salvar todas as configurações, tirar até prints das telas.

Então pondere bem.

Help desk barato mas estressante VERSUS Ambiente tranquilo mas necessitando alta qualificação de mão de obra e bandeira 2 nas horas de trabalho para manutenção programada (Rezo aqui para que voce seja profissional e se programe. Sem emoçoes).

A atualização era necessária e ele não permitia conectar sem atualizar. E a atualização requeria poderes administrativos.

Imagine atualizar 400 máquinas uma por uma?

Depois de umas duas horas, consegui montar um script que fazia o trabalho para mim!

Vamos lá!

• Faça o download o Windows Live. (Do site mesmo, aquele wl-setup-web)
• Inicie a instalação. Assim ele irá baixar os pacotes para que a gente se livre das tranqueiras (Photos, E-mail, Etc)
• Os arquivos estão sendo baixados para o seguinte diretório: c:\arquivos de programas\Arquivos Comuns\Windows Live\.cache
• Para acessá-la, habilite a opção para enxergar arquivos ocultos e cole o caminho na barra do meu computador.
• Use a pesquisa e copie os seguinte arquivos deste local: contacts.msi, wlc.msi, RichUpload.msi, wllogin.msi, WLXSuite.msi, choiceguard.msi, messenger.msi
• Agora vem a parte fácil. Crie um script dentro de suas políticas de dominio, no logon e insira os seguintes comandos:

start /wait msiexec /i contacts.msi /qb

start /wait msiexec /i wlc.msi /qb

start /wait msiexec /i RichUpload.msi /qb
start /wait msiexec /i wllogin.msi /qb
start /wait msiexec /i WLXSuite.msi /qb
start /wait msiexec /i choiceguard.msi /qb
start /wait msiexec /i messenger.msi /qb

Pronto. Apenas o windows live messenger será instalado!

Voce pode baixar os arquivos do msn AQUI. Edite o script de instalação msnd.cmd e poste os arquivos na rede como está exemplificado.

Passado alguns dias analisando a situação, percebi que os clientes oracle para java tinham algumas particularidades.

Veja que interessante!

Diferenças entre classes12.jar, ojdbc14.jar, ojdbc5.jar e ojdbc6.jar

classes12.jar – pra java 1.2 e 1.3

ojdbc14.jar – para java 1.4

ojdbc5.jar – pra java 1.5

ojdbc6.jar – pra java 1.6

Problemas comuns:

javax.servlet.ServletException: java.lang.ClassNotFoundException: oracle.jdbc.driver.OracleDriver

Se voce se deparou com este erro, é porque o pacote oracle.jdbc.driver.OracleDriver que esta sendo utilizado no codigo para se conectar ao banco oracle já deixou de ser utilizado. Se voce pode, comece a utilizar o pacote oracle.jdbc.OracleDriver.

The use of the package oracle.jdbc.driver has been deprecated
since the initial version of 9i. Your code should use the package
oracle.jdbc instead. New features since Oracle 9i are incompatible
with use of the package oracle.jdbc.driver. Although we continue
to support the old package oracle.jdbc.driver in this release to
provide backwards compatibility, the package will definitely be
removed in the next major release. If you still have existing
applications that use the old oracle.jdbc.driver package, now is the
time to convert your code.

All that is required to covert your code is to replace
“oracle.jdbc.driver” with “oracle.jdbc” in the source and recompile.”

Voce pode rodar os drivers antigos nas maquinas virtuais novas.  Só que o seu código nao pode usar as features novas do jdbc3 e 4…

Retirado de: http://www.jusbrasil.com.br/noticias/975979/lei-do-nao-perturbe-ja-esta-valendo

Vou contar uma historinha…. O comentario acima evidencia que as lan houses estão fazendo um importante papel de inclusao digital.

Vanderlei pegou sua bicicleta barra forte e foi até a lan rouse do zé na favela da rocinha e navegando pela rede antes do toque de recolher do bope, encontrou uma notícia falando do bloqueio de ligacoes de telemarketing.

Vanderlei naquele momento lembrou dos trotes que recebia e culpava o telemarketing porque uma vez ouviu o cunhado da tia dele falando que telefones que comecavam com 2 eram de telemarketing. Uma pena que ele nao sabia que eram os amigos da roda de fumo que passavam trote nele.

Logo acabaram os quinze minutos que ele comprou com o dinheiro que a mae deu para comprar pao e ele subiu o morro pensando naqueles quinze minutos magicos na interneta em que ele mudou o brasil com sabias palavras.

Conduzido por aquele sentimento de patriotismo, Vanderlei se distraiu e nao desviou das balas perdidas como de costume. Logo um policial viu aquele menino baleado,achou que era um aviaozinho do trafico, pipocou nosso aspirante a politico, retirou os documentos e o futuro do nosso pais foi enterrado como indigente no cemiterio da saudade, cova R-45.

Falta educacao neste pais. Falta dinheiro pra populacao.

#Trap CTRL-ALT-DELETE

ca::ctrlaltdel:/sbin/shutdown -t3 -r now

Sendo o /sbin/shutdown o caminho do executável para uso quando pressionado.

O que voce pode fazer é alterar para o comando echo e avisar o usuário com instruções do procedimento que ele tem que seguir.

ca::ctrlaltdel:/bin/echo “CTRL-ALT-DEL foi desabilitado. Um e-mail foi enviado com os detalhes desta tentativa.”

Caso voce esteja prevenindo seu sistema de curiosos, seria interessante colocar senha no boot loader para que ninguém alterasse sua senha de root.

Outro utilitário interessante é o AIDE. Para gravar os hashes dos arquivos e mostrar pra voce quais arquivos foram alterados caso voce sofra uma invasão!

Agora com o cloud computing e a disponibilidade de processamento, fica sendo uma boa prática a criação de uma máquina virtual para cada serviço.

Sendo assim, aquele servidor antigo que rodava iis, e-mail, mssql já deixa de existir.

Porque?

Já pensou se eu preciso alterar algo no IIS e o servidor dá problema? Uma placa de rede que para de funcionar, um serviço que nao sobe. Isso é mais comum do que parece. É aquele tipo de coisa que não oferece agilidade. Que ninguém quer por a mão. E se eu estiver com uma situação em que o melhor seria reinstalar o servidor de e-mail? As vezes nao compensa perder tempo com erros desconhecidos que gastarao um bom tempo pra arrumar sendo que reinstalando terminam os problemas. Aí já não é uma questao de nao saber arrumar ou nao conseguir. E sim porque é mais inteligente e menos dispendioso voce começar do zero a ter que mecher num serviço que já recebeu diversos patches e vai precisar de alteração em registro e tudo mais.

Enfim. Fica aqui explicado então o porque de uma máquina virtual para cada aplicação. Lógico que se voce estiver falando de licença de servidores windows isto muda um pouco de figura. Mas fica ai definida uma situação ideal. Aí vai do perfil do dono da empresa.

Bom.. agora voltando ao assunto, numa falta de ip, tinha 2 sites e apenas um ip válido disponível para acesso.

Sendo assim, criei um servidor com apache e este servidor vai retornar um site e na hora que receber requisiçoes para o outro site, vai fazer um proxy para outra máquina.

NameVirtualHost *:80 #Isto é necessário quando configurado 2

ServerName www.site1.com.br #Apontado para esta maquina no dns
DocumentRoot /var/www/html/Joomla_15/ #Lugar aonde os arquivos estao na maquina local

ServerName www.site2.com.br
ServerAdmin webmaster@localhost
# SSLProxyEngine on
ProxyPass / http://192.168.1.155/bup/ #endereço da outra máquina interna.
ProxyPassReverse / http://192.168.1.155/bup/

Desta forma, a máquina que tem a porta 80 configurada com ip valido vai enviar o site para o site1.com.br vindo da pasta /var/www/html/Joomla_15

Quando ele receber requisições pro www.site2.com.br ele vai pedir pra máquina 192.168.1.155 e vai ficar no meio do caminho proxyando. O usuário nao enxerga isto.

Lembrando que na hora de configurar, voce vai ter que criar estes registros no DNS. Seja como sendo registro A ou CNAME. Se voce fizer redirect por ip, o apache nao conseguirá identificar pra qual site está indo a requisição e provavelmente vai responder no site que roda local.

Mas porque nao colocar os 2 sites rodando na mesma máquina? em diretórios diferentes? Bem mais simples não é?

Entao, mas quando voce tem um usuário que irá ficar mechendo na configuração, seja do php, apache, asp.net framework (no caso do IIS). A gente volta na mesma discussao… ja pensou se por causa de um site secundário voce perde o acesso no seu site principal porque o reponsável do segundo site mecheu aonde nao devia? Nessas horas o redirecionamento tem suas vantagens não é? Hehe…

Depois posto uma foto e organizo o artigo para que fique mais claro o entendimento.