MOC2277C (070-291) “Implementing, Managing and Maintaining a Microsoft Windows Server 2003 Network Infrastructure: Network Services” (Parte 2)

IP Security Monitor Console

Os Administrators podem usar o IP Security Monitor para confirmar se o IPSec está correctamente configurado. A consola mostra o número de pacotes que são enviados com os protocolos de segurança Authentication Header (AH) ou pelo Encapsulating Security Payload (ESP) e quantas associações de segurança e chaves foram geradas desde que o computador arrancou. A consola IP Security Console é uma MMC disponível no XP e no 2003.

L2TP/IpSec e VPNs

O T2TP/IPSec requer que uma infraestrutura de certificados ou uma preshared key sejam cedidas para emitir computer certificates a máquinas em vez de a utilizadores. Eles permitem que cada extremo da ligação possa autenticar os computadores envolvidos.

RRAS: IP Routing checkbox

A Enable IP Routing checkbox regula se o RRAS vai routear os pacotes IP entre um cliente remoto e as outras interfaces do RRAS server. Quando esta opção está seleccionada, um pacote de um cliente remoto pode chegar a qualquer host para o qual o RRAS server tenha uma rota. Esta opção está marcada por default! Desmarcando esta opção (Enable IP Routing) nas server propertoes vai restringir aos clientes remotos o acesso aos recursos que apenas existem no RRAS server. Desmarcando esta checkbox o cliente remoto vai perder o acesso aos outros computadores na rede mas não perderá o acesso ao RRAS server.

RRAS: Protocolos de Autenticação e Conexão

MS-CHAP v2 é um método de autenticação mútua que oferece encriptação de dados e da autenticação. Uma nova chave criptográfica é gerada em cada conexão e em cada direcção da transmissão. Está por defeito seleccionada em 2000, XP e 2003.

MS-CHAP v1 é um método de autenticação de uma via que oferece encriptação dos dados da autenticação e da conexão. A mesma chave de encriptação é usada em todas as conexões. Suporta 95 e 98.

PAP: é um método genérico de autenticação que não encripta os dados de autenticação. As user credentials são enviadas pela rede em plaintext. Não suporta a encriptação dos dados de conexão.

SPAP: é um protocolo de encriptação baixa que interage com Shivas. Não suporta a encriptação dos dados da conexão.

CHAP: É um modelo genérico de autenticação que oferece encriptação dos dados de autenticação pelo MD5 hash. É compatível com clientes não-MS.

Logons com UPN-Names

Os utilizadores só podem logar com UPNs quando existe uma Florest Trust. Uma External Trust entre duas florestas não será suficiente. Nesse caso, deve usar um UPN Name implicit. Alternativamente, podemos usar o pre-Windows 2000 logon name para logar.

CNAMEs

Um registo de tipo CNAME permite usar mais do que um nome para um só host. Isto pode simplificar a tarefa de ter na mesma máquina um ftp e um www. Por exemplo, ambos são registados como CNAMEs Rrs.

O ICS (Internet Connection Service) também inclui um DHCP Service

Quando se activa o ICS num computador, o endereço UP da local network interface muda para 192.168.0.1. O serviço DHCP oferece então endereços dentro do range 192.168.0.0/24. Se houver um DHCP na mesma rede este deve ser removido.

Os registos WINS-R no DNS

Quando configuramos o WINS lookup para uma forward lookup zone, um registo WINS resource record apontando para o WINS especificado na tab WINS vai ser adicionado à zone database. Quando se configura um WINS-R lookup para um reverse lookup zone, um registo WINS-R correspondente é adicionado à zone database. Isto vai facilitar a resolução de nomes NetBIOS a partir de um Domain 2000/2003 para antigos domains NT4.

VPNs e Lentidão de Navegação num Web Browser

Quando um utilizador se liga a uma VPN via RRAS e durante essa ligação navega na Internet via ISA interno de forma muito lenta, isso pode ocorrer porque no TCP/IP settings de cada VPN client connection está marcada a checkbox para “Make this connection the client default gateway”. Iso faz com que todo o tráfego para a Internet passe pelo VPN server. Desmarcar a checkbox vai impedir que isto aconteça.

DHCP e Telnet

É possível arrancar um DHCP service remoto com o comando dado via Telnet: “net start dhcp server”.

RRAS, Demand-Dial Routing e VPNs

Se nos conseguimos conectar a um RRAS via VPN, mas não conseguimos pingar nenhuma máquina da rede interna isso pode acontecer porque não está Enabled a “LAN and demand-dial routing”. Só assim conseguiremos ligar a rede remota à LAN.

Network Monitor

Para capturar tráfego de rede de forma a reduzir o tamanho dos pacotes capturados, capturando apenas packet headers e se fôr capturado um grande número de pacotes, reter todos no server sem esmagar os já capturados, devemos:

a. Aumentar o Network Monitor buffer size

b. Reduzir o Network Monitor frame size

DNS Delegation e Stub Zones

Uma Delegation ou uma Stub Zone vai permitir a um Domain DNS o forward de resoluções para um outro Domain. Uma Stub Zone é uma cópia parcial de uma zona que pode ser alojada num DNS Server e ser usada para resolver queries recursivas ou iterativas. As Stub Zone contêm os registos Start of Authority (SOA), que listam que servidor é autoritativo para uma dada zona; e os registos glue (A) Rrs que são necessários para contactar os servidores autoritativos de uma zona.

A Delegation é o processo de distribuir responsabilidade por Domain Names entre diferentes DNS Servers numa rede. Para cada domain name delegado, temos que ter criado pelo menos uma zona. Quantos mais Domains forem delegados, mais zonas terão que ser criadas.

NS records e os vários tipos de Zonas

Perante um conjunto de DNS Servers com Zonas:

Primary Zone (Active Directory-integrated)

Secondary ZonesStub Zone e

Conditional forwarding para <Domain>

Só temos que configurar na Tab de “Name Servers” da zona a replicar os NS dos Name Servers das Zonas Primary e Secondary, não os da Stub Zone, nem do Forwarding (este mais obviamente)

NS records e a configuração de Zonas Secundárias

Quando se adiciona um DNS Server a um domain, temos que adicionar um Name Server Record (NS) a essa zona para que este possa mapear o DNS Domain Name para os nomes dos hosts dos DNS Servers especificados no Domain Name.

Apagando uma Root Zone

Se queremos impedir que os clientes façam queries à Internet devemos configurar as Root Zones de forma a que tenham as suas próprias configurações, ou apagá-las de todo. Tipicamente configuramos um DNS Server para conter a sua própria Root Zone quando não queremos que os nossos servidores respondam a queries por nomes externos à nossa rede. Isto vai criar uma root zone vazia, tornando efectivamente o internal server um root server.

Configurando DNS Root Hints

Se temos um Internal DNS Root na nossa infraestrutura DNS, devemos configurar as root hints dos nossos servidores DNS internos para apontarem somente para os DNS Server que alojam o nosso root domain, e não para os DNS Servers que alojam os root domains da Internet. Isto vai impedir que os nossos DNS Servers internos enviem informação privada para a Internet quando tentam resolver nomes.

RRAS, NAT e Demand-Dial connection

Uma conecção Demand-Dial é uma conecção (tipicamente ligando à Internet uma LAN e formando uma WAN) que cria um Link quando os dados têm que ser enviados. A ligação Demand-Dial é tipicamente terminada quando não existe tráfico. Para permitir que os utilizadores se consigam sempre ligar à Internet temos que configurar a ligação demand-dial como persistente de forma a evitar que este problema ocorra.

Network Monitor em Dedicated Capture Mode

É possível correr o Network Monitor em Dedicated Mode de forma a garantir que máquinas saturadas (por exemplo, com o cpu a 95%) não perdam frames.

Porque apagaríamos o Cache.dns?

O ficheiro cache.dns contêm uma lista de todos os root servers da Internet. Se a rede onde está o DNS server não está ligada à Internet quando o DNS Server recebe um pedido de resolução para um hostname externo ele tentará conectar-se a um root server da Internet. Quando a conecção dá time-out, o DNS Server tenta contactar outro root server da Internet. O processo é repetido até serem contactados todos os root servers da cache.dns. Assim, a resolução de nomes fica muito lenta na rede interna. O problema pode ser resolvido apagando o ficheiro cache.dns.

Dr. Phill “A Família em primeiro lugar” e como se tornar um refém do seu próprio Marketing

Neste livro do muito rico e ainda mais famoso psicólogo e especialista em “terapia familiar” de nome “Dr. Phill” o dito especialista usou o bombástico título “A Família em Primeiro Lugar” (“Family First”). Ok. Se eu fosse a mulher do Dr. Phill esfregaria as minhas mãos de contente. Um homem que coloca uma afirmação destas como um dos pontos de carreira e de rendimento está colocado totalmente nas mãos da esposa. Se esta lhe pedir para aspirar todos os dias o chão com sucção bucal, ele tem que fazer. Se a esposa meter dentro de casa um gang afro de sedutores e escravos sexuais e ele tiver que servir de mesa de sala, a quatro. Tem que aceitar. Se ela usar um dos seus rins (ou mesmo ambos) para servir a um jantar de amigos. Ele tem que tirar a camisa e com uma faca romba, remover os rins.

Ou seja: Já se percebeu que não simpatizo particularmente com esse “guru” da terapia familiar do Século XXI, mas não deixo de me divertir um tanto ao ver até que ponto se vai para vender um livro, especialmente num país onde a taxa de divórcios e a actividade litigantes nos tribunais de família é tão intensa como os EUA (ver AQUI) onde ocorrem perto de um milhão de divórcios por ano…

MOC2277C “Implementing, Managing and Maintaining a Microsoft Windows Server 2003 Network Infrastructure: Network Services” (Parte 1)

DNS Forwarding

Podemos configurar diferentes Forwarders para diferentes Domain Names. A isto chama-se “Conditional Forwarding”. Um Forwarder pode ser descrito como um DNS Server que Forwards external queries para os DNS Servers correctos. Eles informam o seu DNS Server de quais serão os DNS Servers a fazer o Forward os pedidos de resolução de um cliente por um nome para o qual o DNS não seja autoritativo. Quando configuramos multiplos DNS Forwarders, estes serão queried do topo para baixo. O facto de haver mais do que um, aumenta a tolerância a falhas.

DNS Secondary Zone

Uma Secondary Zone é uma cópia read-only de uma DNS Zone que é transferida de um DNS Server autoritativo num outro DNS Server para fornecer redundância em caso de falha de comunicações entre os dois.

DNS Round Robin

Esta opção no DNS Server permite que as entradas DNS múltiplas partilhando o mesmo hostname sejam alternadamente sequenciadas pelas queries dos clientes. Isto significa que os clientes pedindo o mesmo hostname será encaminhado para Ips diferentes de uma forma balanceada.

Como é que o DHCP aloca endereços IP

Uma Lease é o período de tempo durante o qual um DHP client usa um IP dinâmicamente atribuído. Antes do tempo da lease expirar, o cliente deve ou renovar (renew) a lease ou obter uma nova lease do DHCP server.

O DHCP gere os assignments e o release dos Ips por leases. Estas especificam durante quanto tempo o cliente as pode usar antes de as devolver ao DHCP server e renovar os dados. O processo de assignar IP addresse é conhecido como DHCP Lease Generation Process. O processo de renovar os Ips é conhecido como DHP lease renewal process.

A primeira vez que um cliente DHCP é adicionado a uma rede, o cliente pede um IP a um DHCP server. Quando o DHCP server recebe o pedido, este seleccionado um IP da lista de endereços que o administrador definiu na Scope.

SUS

Quando se localiza uma storage location para um SUS server, as opções são guardar os updates num Microsoft Windows Update server ou guardar os ditos num local folder. Quando usamos a opção Microsoft Windows Update server option podemos controlar quais updates os clientes vão receber. Esta leva a uma redução do espaço em disco necessário no servidor de SUS.

Routing and Remote Access

A checkbox “Enable IP Routing” controla se o RRAS permite ou não o routeamento de pacotes IP entre o remote client e as outras interfaces do RRAS server. Quando está seleccionada, como está por default, os pacotes dos clientes podem passam pelo RRAS server ou para qualquer host de que o RRAS server tenha uma rota. Para limitar os clientes a acederem apenas ao servidor de RRAS, a checkbox “Enable IP Routing” deve estar desligada. A checkbox “Allow IP Based Remote Access and Demand-Dial Connections” controla se os clientes podem usar IP sobre PPP. Se queremos limitar o RRAS a apenas NetBEUI, IPX ou AppleTalk, podemos fazê-lo desmarcando esta checkbox “Allow IP Based Remote Access and Demand-Dial Connections”.

Network Monitor

Quando o CPU está saturado (p.ex. A 95%) pode não haver recursos suficientes para que o Network Monitor possa capturar todos os pacotes necessários. Correndo o Network Monitor em modo dedicado liberta recursos para que o computador possa capturar dados. Isto resulta numa redução no número de frames perdidas.

Conceito de Psique em Jung

Para Jung, a “Psique” encontra a sua sustentação no conceito de que um individuo é em primeiro lugar, um Todo. Segundo o psicólogo a maioria das perturbações psicológicas que afectam o Homem resultam da dissociação desta unidade e esta era a prioridade do trabalho operativo de Jung quando atendia os seus pacientes no seu consultório; o de reconstruir essa unidade perdida de modo a devolver-lhes a sanidade perdida e a reforçar a sua Psique de modo a que fosse possível resistir a novas dissociações.

Jung e o Paranormal

“…quando Jung estudava no quarto. Ouviu de repente um ruído alto, semelhante a um tiro de revólver. Foi para a sala vizinha, onde a mãe estava sentada a cerca de um metro da grande mesa de jantar. A mesa rachara desde a borda até o centro, na parte sólida da madeira e não ao longo de uma emenda ou linha de junção. Era uma mesa feita de um velho carvalho e a fenda não poderia ter sido produzida por uma mudança de temperatura, nem pela humidade. Jung sentiu-se perplexo.”

(…)

“A segunda experiência ocorreu uma tarde. Desta vez, foi uma grande faca de pão, colocada dentro da cesta, que se partiu em vários pedaços. Jung levou os pedaços a um cutileiro que exclamou, depois de examiná-los: “Esta faca estava perfeitamente em ordem. O aço não apresenta nenhum defeito. Alguém deve tê-la quebrado de propósito.” Muitos anos depois, estando a sua esposa com uma doença fatal, ele retirou os pedaços do cofre e mandou juntá-los para reconstituir a faca.”

Calvin S. Hall e Vernon J. Nordby: Introdução à Psicologia Jungiana
página 15