Thursday, July 21, 2011

Kerio กับปัญหาใหม่ใช่ปัญหาของ Windows 2008 R2 หรือเปล่า?

ลูกค้าของเราใช้ Kerio Winroute เป็นตัว Authenticated และเก็บ Log อย่างเดียว policy ไม่มีปิดกั้นใด ๆ

Kerio นั้นเป็น application รันอยู่บน windows 2008 R2 ที่ activated แล้ว ครั้งแรกติดตั้งได้ก็ใช้งานผ่านไปได้ด้วยดี
(เพียงแค่วันเดียวเองมั๊ง) หลังจากนั้นมาดูปัญหาและวิธีการแก้ไขครับ

1. ได้รับแจ้งว่าเข้าเว็บไซต์ใดๆ ที่เป็น https ไม่ได้เลย
แก้ปัญหา - ทำทุกอย่างใน config file ( ใครจะรู้ว่าเกิดได้อย่างไร เพราะครั้งแรกก็ใช้งานได้อยู ) แก้ไปแก้มาหลายจุด
จนหมดไปหนึ่งวัน กลับบ้านเพราะ office ปิดแล้วและกะว่าจะ remote เข้าไปแก้ไขอะไรบางอย่างอีกรอบ

ปรากฏว่า.... ใช้ได้แล้วครับ https ( เลยไม่รู้ว่าเกิดจากอะไร )

2. อีกห้าวันถัดมาเจอปัญหาใหม่ จากเครื่องคอมพิวเตอร์ที่ต้อง authenticated ก่อน เข้าเว็บได้สบายเลย
ไม่มีการ authenticated ทำไงครับ ก็ต้องแก้ไขค่า config ( ซึ่งมีให้คลิกไม่กี่ตัวเอง )

.... เหมือนเดิม เวลาหมดไปหนึ่งวัน แก้ไม่ได้ปัญหายังคงมีอยู่เหมือนเดิม
... กลับบ้าน เพราะ office ปิดแล้ว กะว่าจะ remote เข้าไปตรวจสอบค่าอะไรบางอย่าง (ที่ทำไปหมดแล้ว)
... ปรากฏว่าใช้ authenticated ได้แล้ว
....... เลยไม่รู้ว่าปัญหาเกิดจากอะไรและแก้อะไร

3. วันนี้สดๆร้อน ๆลูกค้าโทรมาแจ้งว่า ส่งเมล์ที่มี attach file ผ่าน Kerio ไม่ได้ แต่ส่งผ่าน ADSL ธรรมดาฉลุย...

จะเอาไงดีครับ....

ปล่อยให้หายไปเองดีไหม ...
ใครตอบได้ช่วยตอบที......

vsftpd กับ SElinux ไม่ยอมอ่าน home directory มี error cannot change directory

อันเนื่องมาจากงาน Implement ที่บริษัทแห่งหนึ่งแถวๆบางซื่อ

โดยได้รับมอบหมายให้ติดตั้ง ftp server ในองค์กร เพื่อให้ customer ดาวน์โหลดไฟล์ แทนการ attachfile ไปกับ e-mail
เพื่อความปลอดภัย ไม่ให้ไฟล์ของบริษัทต้องรั่วใหลไปไกล..

vsftpd เมื่อ login ด้วย local user มี error ว่า cannot change directory

หากปิด SElinux ก็จะเข้าได้ปกติ ... แต่จะมีประโยชน์อันใด ถ้าหากต้องหนีปัญหาด้วยการปิดความปลอดภัย
มิสู้เปิด option ให้ SElinux อนุญาติให้ vsftpd เขียน home directory ได้มิดีกว่าหรือ

ด้วยคำสั่ง

setsebool -P ftp_home_dir=1

-P เมื่อต้องการให้การตั้งค่ามีผลหลังจาก boot เครื่องแล้ว
ตามปกติถ้าไม่ใส่ option ใด ๆ จะเป็นการเปลี่ยนแปลงค่าแบบชั่วคราวเท่านั้น

1 คือ เปิดเป็น ON


นอกจากนี้ SELinux ยังมีคำสั่งที่เกี่ยวข้องกับ vsftpd อีกคือ

allow_ftpd_anon_write –> permits the writing of files to directories configured with the public_content_rw_t setting.
allow_ftpd_use_cifs –> permits the use of files that are shared via CIFS
allow_ftpd_use_nfs –> permits the use of files that are shared via NFS
ftp_is_daemon –> required for the standalone daemon
ftp_home_directory –> permits read and write access to user home directories


ถ้าสมมติว่าเราสร้าง “file” ไว้ที่ไดเรกทอรี /var/ftp/pub สิ่งที่มองเห็นว่าเป็น SELinux ด้วย # ls -Z /var/ftp/pub ก็คือ
-rw-r–r– root root system_u:object_r:public_content_t file

system_u is used because this is a default setting for the system.
system_u:

The system object shows the context for the role.
object_r

The type describes the nature of the data. In this case this is public read only data by default.
public_content_t
If you wanted to allow users to write to the pub directory you would need to change the context. You could do that with the chcon command.

chcon -R -u ser_u -t public_content_rw_t /var/pub
The default settings for the ftp directory are set in the file /etc/selinux/targeted/contexts/files/file_contexts .

Be very careful in making changes in this file. Here is the listing for ftp.
/var/ftp(/.*)? system_u:object_r:public_content_t:s0

ที่มา :
http://beginlinux.com/blog/2008/11/vsftpd-and-selinux-on-centos/

Wednesday, July 20, 2011

ใช้คำสั่ง linux ตรวจสอบ Tape Backup

อันเนื่องมาจากการดูแลเซิร์ฟเวอร์ Linux ของหน่วยงานราชการที่ใช้ Tape Backup สำหรับ admin อย่างเรา มีหน้าที่ตรวจสอบและทำรายงานว่า tape ยังทำงานได้ปกติสุขดีอยู่หรือไฉน....

ตรวจสอบสถานะของ Tape Backup

# mt -f /dev/st0 status

หมุนม้วนเทปกลับไปยังต้นม้วน

# mt -f /dev/st0 rewind

Backup ไดเรกทอรี /www และ /home ด้วยคำสั่ง

# tar -czf /dev/st0 /www /home

ถามเทปว่าตอนนี้กำลังอยู่ที่ block ไหน

# mt -f /dev/st0 tell

ขอดูไฟล์ต่าง ๆ ในมัวนเทปหน่อยซิ

# tar -tzf /dev/st0

Restore /www directory:
# cd /
# mt -f /dev/st0 rewind
# tar -xzf /dev/st0 www

Unload the tape:

# mt -f /dev/st0 offline

Erase the tape:

# mt -f /dev/st0 erase

You can go BACKWARD or FORWARD on tape with mt command itself:
(a) Go to end of data:
# mt -f /dev/nst0 eod(b)

Goto previous record:
# mt -f /dev/nst0 bsfm 1(c)

Forward record:
# mt -f /dev/nst0 fsf 1

Replace /dev/st0 with your actual tape drive name.

ลอกเขามาแหละครับที่นี่
http://www.cyberciti.biz/faq/linux-tape-backup-with-mt-and-tar-command-howto/

Tuesday, July 12, 2011

โง่อยู่นานกันกับ config 4 FixedIP ของ TOT สุดท้ายก็ win

คุณผู้อ่าน... ท่านที่เคารพ

บันทึกไว้เป็นความจำ เผื่อในอนาคตได้เจอไซต์แบบนี้จะได้ไม่งมเข็มอีกต่อไป

FixedIP จาก TOT

WAN = 118.175.68.xx
LAN = 118.175.69.2-118.175.69.5
สำหรับ lan ใช้งานได้จริงสองหมายเลขคือ 3-4 ตัวเลขแรกเป็น network ตัวเลขสุดท้ายเป็น broadcast

Router = TP-LINK ADSL2+ Modem Router ที่ได้มาพร้อมกับ package TOT

เริ่มงาน :

1. เชื่อมต่อสายโทรศัพท์เข้ากับ TP-Link ( สัญญาณไม่มี , username และพาสเวิร์ดใช้ไม่ได้ ) แก้ปัญหานี้อยู่เกือบหนึ่งวัน สุดท้ายให้ tot มาตรวจเช็คเจ้าภาพเห็นใจเรา เลียงข้าวผัดหนึ่งจาน

2. ช่าง tot มาเชื่อมสัญญาณและต่ออินเทอร์เน็ต กลับพบปัญหาว่ามีคนใช้ username และพาสเวิร์ดนี้ค้างอยู่ จึงเชื่อมต่อสัญญาณไม่ได้ (แบบนี้ก็มีด้วย เจ้าภาพได้แต่ทำตาปริบ ๆ) ช่าง tot setup router ให้ออกอินเทอร์เน็ตได้แล้ว และยังกรุณาเซ็ต interface lan ให้เป็น 118.175.69.3 ให้ด้วย แต่ทำไมไม่เซ็ตขา wan ให้เป็น fixedip ไปด้วย ต้องมาเซ็ตอัพเอง

3. ถามช่างว่าจะให้อินเทอร์เน็ตมองเห็นเลขไอพีจริงของวงแลนคือ 118.175.69.3 ได้อย่างไร? ให้คนข้างนอก ping เข้ามาแล้วไม่เจอ และผมจะให้เมล์เซิร์ฟเวอร์เป็นหมายเลข 118.175.69.3 ซะด้วย พี่ท่านก็ให้ปิดหมดเลยครับเริ่มจาก firewall , dhcp สุดท้ายอินเทอร์เน็ตก็ยัง ping เข้าไปยัง FixedIP Lan ไม่ได้ได้อยู่ดี พี่ท่านก็หมดปัญญาแจ้งให้โทรไปที่ 1100 (ผมไม่ได้อะไรเลยสำหรับ 1100 นอกจากให้ตูใส่ username และ ปิดเปิดเราท์เตอร์ใหม่

4. รับเงินไม่ได้แน่ถ้างาน(แค่นี้) ปิดไม่ลง ไม่ต้องสนใจแล้วครับสำหรับ tot support ต้องไล่แก้ปัญหาเอาเองทีละจุด
เริ่มจากตรวจสอบตาราง rout ที่ TP-Link (ดีอ่ะ มันสร้างตาราง route default มาให้แล้ว และยังมีปุ่มให้เพิ่มตารางเราท์ได้เองอีกด้วย) เปิดและปิด firewall ก็แล้ว set ค่าใหม่ก็แล้ว ข้างนอกยังไม่ทะลุไปถึง FixedIP Lan อยู่ดี

ไล่คอนฟิกวงแลนใหม่อีกรอบครับ... คราวนี้ลองปิด NAT ฝั่ง WAN ออก

อ่ะ.... ข้างนอก ping เข้าวงแลนได้ฉับพลันทันใด พระเจ้า...อยู่ตรงนี้เองหรือ??

วันหน้าค่อยมาหาเหตุผลว่าทำไมปิด NAT ฝั่ง WAN แล้วได้
สำหรับท่านที่เข้าใจตั้งนานแล้ว ก็อย่าหัวเราะกันนะครับ...อิอิ

Monday, July 11, 2011

ทดสอบ thin client ด้วย RDP ก่อนตัดสินใจ เพื่อแฮปปี้ทั้งเจ้านายและผู้ใช้

คุณผู้อ่าน...ท่านที่เคารพครับ

ฝ่ายไอทีหลายบริษัทที่สนใจในเทคโนโลยี thin client ว่าจะสามารถช่วยลดต้นทุนด้านไอทีในส่วนของค่าลิขสิทธิ์ซอฟต์แวร์และค่าซ่อมบำรุงลงได้ แต่ยังไม่กล้าตัดสินใจที่จะนำเสนอเทคโนโลยีนี้ต่อผู้บริหาร เพราะความไม่แน่ใจในการใช้งานว่าจะเข้ากันได้กับโปรแกรมที่ใช้อยู่หรือไม่ หรืออย่างน้อยก็กลัวว่าผู้ใช้งานจะไม่ชอบใจ ใช้งานไม่เป็น มีความเร็วช้ากว่าเครื่องพีซีเป็นต้น วันนี้ผมมีวิธีที่จะพิสูจน์การใช้งาน thin client ให้เห็นภาพก่อนตัดสินใจและมีข้อมูลนำเสนอผู้บริหารได้ เป็นประสบการณ์ที่่ครั้งหนึ่งผมเคยผลักดัน thin client ให้เกิดขึ้นในบริษัทที่่เคยทำงานอยู่ประสบความสำเร็จมาแล้ว

บริษัทที่ผมอยู่เป็นมหาชน   มีคอมพิวเตอร์อยู่หนึ่งร้อยห้าสิบเครื่องกระจายอยู่สามสาขาของบริษัท มีฝ่ายไอทีอยู่สองคน สภาพแวดล้อมของโรงงานอยู่ในอุตสาหกรรมฟอกหนัง เจอทั้งสารเคมีและสภาพความชื้นในโรงงาน คอมพิวเตอร์จะมีปัญหาให้เปลี่ยนฮาร์ดแวร์อยู่เป็นประจำ ทั้งปัญหาประจำวันที่แฮงก์บ่อย ๆ อันเนื่องมาจากฮาร์ดแวร์และสารเคมี ฮาร์ดแวร์ที่เสียจากบริษัทฯนี้มักขาดประกัน หมดเพราะลายวงจรมีคราบสารเคมี

แต่ละวันฝ่ายไอทีแทบจะเป็นฝ่ายช่าง... คือซ่อมอย่างเดียว ไม่มีเวลาศึกษาหาความรู้ใหม่ ๆ

สิ่งที่ผมวางแผนให้กับฝ่ายไอทีก็คือ จะต้องลดการซื้ออะไหล่คอมพิวเตอร์โดยปรับปรุงสภาพคอมพิวเตอร์ให้มีปัญหาน้อยที่สุด (Zero Maintenance) และจัดให้มีการใช้ซอฟต์แวร์อย่างถูกต้องมากขึ้น

ทั้งนี้เพราะในแต่ละปีต้องเสียงบประมาณไปกับอะไหล่ของคอมพิวเตอร์หลายแสนบาท
เสียเวลาไปกับการ downtime ของเครื่องคอมพิวเตอร์มากกว่า 500 ชั่วโมงต่อปี
เสียเวลาจากการรออะหลั่ยที่หาไม่ได้มากกว่า 15 วันต่อหนึ่งงานโดยเฉลี่ย

เห็นความสูญเสียอย่างมหาศาลใช่ไหมครับ

เทคโนโลยีที่ผมศึกษาและทดลองใช้งานมีทั้ง magic mirror และ Ncomputing และ thin client
การทดสอบทอบแต่ละตัวนั้นต้องซื้ออุปกรณ์มาทดสอบมีให้ทดลองใช้งานได้ฟรีเฉพาะ thin client ของบริษัทธินโซลูชั่นเท่านั้น สุดท้ายผมก็มาสรุปอยู่ที่ thin client ( magic mirror และ Ncomputing นั้นไม่ผ่านการทดสอบอย่างไร ผมจะนำมาเล่าสู่กันฟังในโอกาสต่อไป )

เมื่อได้ข้อสรุปแล้วสิ่งที่ผมต้องพิสูจน์ thin client ต่อไปก็คือ

1. ทำอย่างไร จึงจะให้ผู้ใช้งานรู้สึกเห็นด้วย และไม่แอนตี้กับระบบใหม่จนรับไม่ได้
2. ทำอย่างไร จึงจะพิสูจน์ว่าโปรแกรมที่ใช้อยู่เดิมนั้นสามารถใช้กับ thin client ได้
3. ทำอย่างไร จึงจะพิสูจน์ว่าถ้าใช้เครื่อง thin client ทั้งหมดระบบจะไม่ช้าจนทำงานไม่ได้ เมื่อเซิร์ฟเวอร์ล่มระบบยังจะทำงานต่อไปได้อย่างไร?

ซึ่งการขอยืมเครื่อง thin client จำนวนสักห้าสิบเครื่องมาตั้งและให้ผู้ใช้งานทดลองใช้สักสามสิบวัน คงเป็นไปไม่ได้แน่ ๆ

ฉะนั้นสิ่งที่พิสูจน์โจทก์ทั้งสามข้อนั้นก็คือ "การปรับให้สภาพการทำงานปัจจุบันของผู้ใช้งานให้เป็นระบบ Remote Desktop"

เพราะอะไร?

เพราะว่า thin client นั้นทำงานเป็น client เรียกใช้โปรแกรมบนเซิร์ฟวเวอร์ได้ผ่าน Terminal Service ครับ ซึ่งเป็น protocol มาตรฐานบนวินโดวส์อยู่แล้ว โปรแกรม windows ที่ใช้อยู่ก็มี remote desktop อยู่แล้วจึงไม่ต้องลงทุนอะไรเพิ่มเติมอีก

ก่อนอื่นเลยผมย้ายโปรแกรมของฝ่ายบุคคลเช่น Payroll,E business Plus และโปรแกรมของฝ่ายบัญชีเช่น Express ให้ไปรันบนเครื่องเซิร์ฟเวอร์ 2003 ให้ฝ่ายบุคคลและฝ่ายบัญชีใช้ remote desktop เข้าไปทำงาน โดยใช้เหตุผลในการบริหารข้อมูล การ backup และการเรียกใช้งานจากจุดต่าง ๆ โดยยกเหตุผลว่าเครื่องพีซีไม่มีความปลอดภัย ฝ่ายไอทีดูแลข้อมูลให้ไม่ได้ และใช้งานได้แบบหนึ่งคนต่อหนึ่งเครื่องเท่านั้น

สำหรับฝ่ายอื่น ๆผมได้ย้ายโปรแกรม office , E-Mail ที่เขาใช้กันประจำวันไปอยู่บนเครื่องเซิร์ฟเวอร์ โดยยกเหตุผลเรื่องการ maintenance pc เมื่อฮาร์ดดิสก์เสียไม่สามารถกู้ข้อมูลให้ได้ การให้ความช่วยเหลือผมต้องส่งฝ่ายไอทีไปที่โต๊ะทำงานของเขา ถ้าเป็นสาขาต้องเสียเวลาการเดินทาง ผู้ใช้งานส่วนใหญ่ก็เห็นด้วยและใช้งานบนสภาพแวดล้อมที่เป็น remote desktop และรู้สึก happy มากขึ้นกับงาน maintenance ที่รวดเร็วทันใจเพราะสภาพแวดล้อมของผู้ใช้งานอยู่บนเซิร์ฟเวอร์อยู่แล้ว

ผมปรับให้ใช้งานเป็นฝ่าย ๆ ครับทำไม่ถึงหนึ่งเดือนทุกคนก็ใช้งานบนสภาพแวดล้อมของ terminal service ไปแล้วโดยไม่รู้ตัว และไม่รู้สึกแปลกแตกต่างไปจากเดิม

ระหว่างใช้โปรแกรมต่างๆ นั้น "มีความช้าให้เห็น จนผู้ใช้งานรับไม่ได้ไหม" ก็พบว่าการใช้งานโปรแกรม office ทั่วไปพร้อม ๆ กันประมาณห้าสิบกว่า user ไม่มีอาการช้าจนผู้ใช้งานรับไม่ได้ครับ และโปรแกรมต่าง ๆ ก็สามารถรันได้ดีไม่มีปัญหาแต่อย่างใด

เมื่อผมได้ข้อพิสูจน์สามอย่างที่ตั้งไว้ชัดเจนแล้ว ต่อไปผมก็เริ่มเปลี่ยนเอาเครื่อง thin client เข้ามาแทนเครื่องพีซี

คอมพิวเตอร์เครื่องที่เสียผมไม่ต้องซื้ออะไหล่ ไม่ต้องซ่อม จัดการเอาเครื่อง thin client มาวางแทนและ setup ให้ไปใช้โปรแกรมบน terminal server

คอมพิวเตอร์เครื่องที่เก่าหมดสภาพผมทำเรื่องเปลี่ยนเป็น thin client ทันทีห้าตัวบ้าง สิบตัวบ้างประมาณหนึ่งเดือนเปลี่ยนไปยี่สิบห้าตัว

ผู้ใช้งานรู้สึกดีขึ้นอย่างเห็นได้ชัดครับ เพราะมีพื้นที่ทำงานได้มากขึ้น เปิดปิดเครื่อง thin client ดีกว่าเครื่องคอมพิวเตอร์เป็นไหน ๆ และรู้สึกว่าเป็นเทคโนโลยีที่ผู้อื่นต้องมีให้ได้

คราวนี้ผมก็ทำบทสรุปเสนอผู้บริหารครับ

การใช้งานเครื่องพีซีบนสภาพแวดล้อมของ terminal service นั้นช่วยให้การซ่อมบำรุงลดลงไปได้เยอะ การให้ความช่วยเหลือผู้ใช้งานก็รวดเร็วขึ้น หากผมจะปรับจากเครื่องพีซีไปเป็นเครื่อง thin client ที่ช่วยลดค่าซ่อมบำรุงลงได้ โดยทำเป็นตัวเลขเปรียบเทียบกับพีซีให้เห็น (มีข้อมูลอีกหลายอย่าง) และนำเสนอผู้บริหารขอเปลี่ยนทันทีเป็น thin client 50 ตัว ตั้งแทนพีซีที่กระจายตั้งอยู่ทั้งสามสาขา

โดยมีสถิติการซ่อมบำรุงที่ลดลงจากการเปลี่ยนเป็น thin client ที่ผ่านมาประกอบ

Project ผ่านฉลุยครับตั้งแต่ฝ่ายการเงินไปจนถึงกรรมการผู้จัดการ

ตอนนี้ฝ่ายไอทีลดเหลือคนเดียวแล้วครับ... และยังสามารถดูแลคอมพิวเตอร์ทั้งสามสาขากว่าหนึ่งร้อยห้าสิบเครื่องได้อย่างสบาย ๆ แถมมีเวลาอ่านอินเทอร์เน็ต หาความรู้ใหม่ ๆ ได้เพิ่มขึ้นอีก

เห็นไหมครับว่า .... ถ้าจะเปลี่ยนจากพีซีเป็น thin client นั้นไม่ยากหรอกครับ...
ถ้าคุณอยากลดต้นทุนกันจริง...ๆ

Astec Thin Client ใช้งานผ่าน 2X Application

Friday, June 10, 2011

บันทึกเรื่องราวดีๆเกี่ยวกับ config Fortigate เอาไว้อ่านในภายหลัง

เซ็ตอัพ Fortigate เป็น 2 WAN

To set up load sharing between two active WAN interfaces, where Internal traffic is initiated outbound, you need the following:

There must be a Static default route for both WAN interfaces with equal distance.
Note: The shorter the distance metric will be the preferred the route the FortiGate unit will use to route outbound traffic. Therefore load sharing between two active WAN interfaces must have a default route for each with equal distance. This enables outbound traffic to traverse either WAN interface based on the policy routes and access policies defined.

Set up policy routes to forward traffic through one WAN interface.
Policy routes are necessary to determine which outbound traffic (based on source/destination address, src/dst port or protocol, etc.) will be routed out of the desired WAN interface.

Set Access Policy to forward traffic initiated from the internal interface to a particular WAN interface.
Outbound access policies are needed (in conjunction with policy routes) to allow traffic to pass through the firewall and traverse the selected WAN interface.

Internal -> Wan1
Src = a.b.c.d
Dst=Any

Note: BOTH matching policy routes and correct access policies must be created in order to perform load sharing on the FortiGate unit properly.
-------------------
http://kb.fortinet.com/kb/microsites/microsite.do?cmd=displayKC&docType=kc&externalId=10376&sliceId=1&docTypeID=DT_KCARTICLE_1_1

Wednesday, June 8, 2011

เก็บ log ด้วย FortiAnalyzer 100C

Adding a FortiGate unit

A FortiGate unit must be configured to send log messages to a FortiAnalyzer unit. Thisconfiguration can occur before or after the FortiAnalyzer unit’s configuration to receive those logs.
The steps to add a device vary according to the log settings you want, and to a
FortiAnalyzer unit’s configured response to an initial log connection attempt. For details,
see “Unregistered Device Options” in the FortiAnalyzer Administration Guide.
The following procedure uses the default options and configures a FortiGate unit running
FortiOS 4.0.

To send FortiGate unit logs to a FortiAnalyzer unit

1 On the FortiGate unit, go to Log&Report > Log Config > Log Setting.
2 Select the Expand Arrow for Remote Logging to expand the options.
3 Select a security level to log.
4 Select Static IP Address and enter the IP Address of the FortiAnalyzer unit.
5 Select Apply.

Log configuration


You must also configure the FortiGate unit for the type of data you want the FortiGate tolog and send to the FortiAnalyzer unit. There are two main locations for configuring the log
types:
• configure the event logs by going to Log&Report > Log Config > Event Log.
• enable feature logs by going to Firewall > Protection Profile, and editing a profile.

Twitter Delicious Facebook Digg Stumbleupon Favorites More