Kommunikationswege:

Technisch stellt der Agent an das Citrix Webinterface PNAgent Site erst eine GET Anfrage (kann weggelassen werden) und übermittelt danach per POST Username und Passwort. Daraufhin leitet das Webinterface die Usercredentials and den Citrix XML-Service weiter und erhält die Liste der Anwendungen, welche für den User konfiguriert sind als XML.

Simulieren des Logins

Um unsere Anfrage zu simulieren müssen wir den Verkehr mit einem Tool wie Wireshark mitschneiden. Um mitlesen zu können sollten wir gegen ein Webinterface arbeiten, welches per HTTP anzusprechen ist.

Im vorhinein wird ein User benötigt für welchen wenigstens eine veröffentlichte Anwendung definiert ist.

Da mehrere Logins mit dem gleichem Passwort immer das selbe verschlüsselte Passwort ergeben, ist davon auszugehen, dass ein XOR mit einem geheimen Wert gemacht wird.

Die POST Anfrage vom Client zu Server sieht ungefähr folgendermaßen aus:

erst nen bischen allgemeines Zeug:

< ?xml version="1.0" encoding="UTF-8"?>
< !DOCTYPE NFuseProtocol SYSTEM "NFuse.dtd">
<nfuseprotocol version="4.6">
<requestappdata>
<scope traverse="onelevel" type="PNFolder"/>
</requestappdata></nfuseprotocol>
<desireddetails>all</desireddetails>
<desireddetails>icon-info</desireddetails>
<servertype>x</servertype>
<servertype>win32</servertype><clienttype>ica30</clienttype>
<clienttype>content</clienttype>

nun die Usercredentials:

<credentials>
<username>MYUSERACCOUNTTOCHECK</username>
<password encoding="ctx1">THISISMYCRYPTEDPASSWORD</password>
<domain type="NT">MYDOMAIN</domain>
</credentials>

ein bischen unnützes Zeug:

<clientname>MYCLIENTNAME</clientname>
<clientaddress>111.222.333.444</clientaddress>

NagiosPlugin

Eins vorweg: ich weiss, dass es “smartere” Möglichkeiten gibt, aber es muss platz für Verbesserung geben. Ich denke ich werde das gesammte Plugin demnächst nochmal überarbeiten und schick machen.

Mit dem check_http Plugin – defaultplugin von Nagios – kann ein Post Anfrage simuliert und die Rückgabe geparsed werden. Wird dein definiertes Pattern gefunden liefert das Script “OK” und eine Antwortzeit. Diese Rückgabe parsen wir mit dem check_wiserver.sh Script.

check_wiserver.sh:

#!/bin/sh
a=`/usr/lib/nagios/plugins/check_http -I 111.112.113.114 -u http://mywebinterfaceserver/citrix/pnagent/enum.aspx -s MyMonitoringApp -P '< ?xml version="1.0" encoding="UTF-8"?>< !DOCTYPE NFuseProtocol SYSTEM "NFuse.dtd"><nfuseprotocol version="4.6"><requestappdata><scope traverse="onelevel" type="PNFolder"/><desireddetails>all</desireddetails><desireddetails>icon-info</desireddetails><servertype>x</servertype><servertype>win32</servertype><clienttype>ica30</clienttype><clienttype>content</clienttype><credentials><username>MYUSERACCOUNTTOCHECK</username><password encoding="ctx1">THISISMYCRYPTEDPASSWORD</password><domain type="NT">MYDOMAIN</domain></credentials><clientname>Nagisserver</clientname><clientaddress>115.116.117.118</clientaddress></requestappdata></nfuseprotocol>'`
 
zeic=`/bin/echo $a |/bin/grep OK`
if [[ "$zeic" = "" ]]; then
 
  echo $a
  exit 2
fi
echo $a
exit 0

In diesem Beispiel wird der Host 111.112.113.114 auf der URL http://mywebinterfaceserver/citrix/pnagent/enum.aspx mit den Usercredentials MYUSERACCOUNTTOCHECK mit dem verschlüsseltem Passwort “THISISMYCRYPTEDPASSWORD” abgefragt. In der Rückabe wird nach der veröffentlichten Anwendung “MyMonitoringApp” geparsed und “OK” zurückgegeben. Daraufhin liefert check_wiserver.sh 2 für Error oder 0 für OK an Nagios zurück.

Dieses Script muss nun lediglich noch als Command im Nagios definiert werden.

Zusammenfassung

was wird mit der Probe überwacht?
• Authentifizierungbackend (z.B.: Active Directory)
• XML Service liefert valide Antworten
• Web Interface Agent Site

was wird mit der Probe nicht überwacht?
• Citrix Datastore
• Citrix Licensing (hierzu kommt demnächst ein Blogpost)
• “richtiges Login” wie Citrix Active Application Monitoring oder Openview

was muss getan werden:
• Monitoringuser anlegen und Anwendung veröffentlichen
• Login mit expliziten Credentials tracen um verschlüsseltes Passwort zu erhalten
• in check_wiserver.sh hostname, sitename und usercredentials anpassen, ggf. Pfad zu check_http anpassen

Damit ein Prozess allerdings die vollen 3GB Usermemory ausnutzen kann muss im Imageheader IMAGE_FILE_LARGE_ADDRESS_AWARE beim kompilieren gesetzt worden sein.

Imagecfg.exe – ein Tools aus dem MS Resource Kit – zeigt alle gesetzten Imageheader an. Diese lassen sich ggf. auch editieren.

Weiterhin gibt ein „Terminal Server aware“ Header. Spannend: selbst bei Microsofts UPHClean ist dieses Bit nicht gesetzt

Imagecfg.exe Download

http://msdn.microsoft.com/en-us/library/ms680349(VS.85).aspx

Virtual memory constraints in 32-bit Windows

Spannende Facts: XenApp 5.0 für Windows2003 scheint ein original 4.5FR1 mit “schöneren” Admintools, neuem Webinterface und Lizenzserver zu sein. Laut CTX117913

"there is no installation process or requirement to deploy any new binaries on each member server. "

Wie man sich aber die neuen Features wie AIE3.0 und IPV6 freuen soll, ohne Binaries auszutauschen muss man wohl in den nächsten Tagen erforschen.

er hat’s verraten

Leider haben wir zum ersten “Schuss” nur 2 Billigmikros genommen. Trotzdem hoffe ich dass ihr es uns die schlechte Audioqulität verzeiht – das nächste mal wird’s besser – versprochen!

Mittlerweile sind einige Statements zu “alt”. Autotype funktioniert beispielsweise mit Linux.

Nachdem ich ca. 15 FLV Plugins für Wordpress durchprobiert habe, kann ich FLV-embed empfehlen. Alles andere is überladen, bietet kein fullscreenmodus oder ist fummelig in der Installation.

von: http://blogs.technet.com/markrussinovich/archive/2008/07/21/3092070.aspx

Beispiel:

send_sms.pl -r 0172222222 -f nagios -t "small sms" -k 132343554556465656BBEF3

das Script benötigt Perl LWP Modul.

Hier gibt es das Script zum Download

Auch die Microsoft bzw. Sysinternals hat entdeckt, dass das ein cooles Feature ist und stellt ihre Tools jetzt auch per Webdav bereit. Somit kann man mit einem einfachen “net use” Kommando auf die aktuellsten Tools zugreifen.


C:\>net use X: http://live.sysinternals.com/tools

Die benötigten Scripte liefert Microsoft bereits bei der Installation mit. Sie befinden sich bei WindowsXP/2003 unter C:\windows\system32. Bei Vista wird man je nach Sprachversion unter C:\Windows\System32\Printing_Admin_Scripts\de-DE\ fündig. Die Parameter und Funktionen sind aber identisch.

Als Beispiel lege ich meinen neuen Homeofficesdrucker per Batchdatei an. Dieser ist per TCP/IP (TCP/9100) auf 192.168.178.6 erreichbar. Die Modellbezeichnung des Druckertyps kann von OS zu OS unterschiedlich sein. Man findet sie in der entsprechenden .inf Datei im Treiberverzeichnis unter [MODEL]. Weiterhin wird der Standort sowie Beschreibung gesetzt und im Netzwerk freigegeben.

Treiber hinzufügen:
cscript C:\windows\system32\prndrvr.vbs -a -m “Samsung CLX-216x Series” -v 3 -i “D:\temp\treiber\clx2160\GDI_COLOR\WINXP_2000
_VISTA_32\cx21s.inf”

TCP/IP-Druckerport:
cscript C:\windows\system32\prnport.vbs -a -r “IP_192.168.178.6″ -h 192.168.178.6 -o raw

Drucker hinzufügen:
cscript C:\windows\system32\prnmngr.vbs -a -p “SamsungPrinter” -m “Samsung CLX-216x Series” -r “IP_192.168.178.6″

Druckerbeschreibung ändern:
cscript C:\windows\system32\prncnfg.vbs -t -p SamsungPrinter -l “Neudietendorf” -m “Homeprinter”

Drucker freigeben:
cscript C:\windows\system32\prncnfg.vbs -t -p SamsungPrinter -h “SamsungShare” +shared -direct

alle Drucker und Treiber von Maschine entfernen:

REM spooler neu starten
net stop spooler
net start spooler

REM alle Drucker löschen:
cscript C:\windows\system32\prnmngr.vbs -x

REM alle Druckertreiber löschen:
cscript C:\windows\system32\prndrvr.vbs -x

mehr Infos:
Microsoft Technet

PolicySettings.xls auf Microsoft Webseite

Kopie: http://andreas.ndfnet.de/showfiles/PolicySettings.xls