Ich: “sie brauchen bestimmt Vertrags- oder Kundennr.?!”
Support: “die habe ich – leider komme ich gerade nicht an ihre Daten. Aber vieleicht kann ich ihnen auch so helfen”
Ich: “naja mein Rootserver ist nicht erreichbar..”
Support: “haben sie das Rescuesystemprobiert?”
Ich: “ja – netzwerkseitig sieht der letzte Hop aber sehr komisch aus – hohe Latenz, andere Hosts aus dem Subnetz werden über anderen Weg geroutet und funktionieren.”
Support: “doof! (wortwörtlich!). Ich würde gerne nachschauen, aber die Supportdatenbank ist gerade nicht erreichbar. Momentan geht hier gar nix!”
Ich: “haben sie mal den Support gefragt?!”
Support: “ich hoffe(!) irgendwann heute nacht geht es wieder. Leider kann ich momentan nicht helfen. Bitte rufen sie morgen früh wieder an.”

Gut das dieses Gespräch nur 0,99 EUR gekostet hat.

Kommunikationswege:

Technisch stellt der Agent an das Citrix Webinterface PNAgent Site erst eine GET Anfrage (kann weggelassen werden) und übermittelt danach per POST Username und Passwort. Daraufhin leitet das Webinterface die Usercredentials and den Citrix XML-Service weiter und erhält die Liste der Anwendungen, welche für den User konfiguriert sind als XML.

Simulieren des Logins

Um unsere Anfrage zu simulieren müssen wir den Verkehr mit einem Tool wie Wireshark mitschneiden. Um mitlesen zu können sollten wir gegen ein Webinterface arbeiten, welches per HTTP anzusprechen ist.

Im vorhinein wird ein User benötigt für welchen wenigstens eine veröffentlichte Anwendung definiert ist.

Da mehrere Logins mit dem gleichem Passwort immer das selbe verschlüsselte Passwort ergeben, ist davon auszugehen, dass ein XOR mit einem geheimen Wert gemacht wird.

Die POST Anfrage vom Client zu Server sieht ungefähr folgendermaßen aus:

erst nen bischen allgemeines Zeug:

< ?xml version="1.0" encoding="UTF-8"?>
< !DOCTYPE NFuseProtocol SYSTEM "NFuse.dtd">
<nfuseprotocol version="4.6">
<requestappdata>
<scope traverse="onelevel" type="PNFolder"/>
</requestappdata></nfuseprotocol>
<desireddetails>all</desireddetails>
<desireddetails>icon-info</desireddetails>
<servertype>x</servertype>
<servertype>win32</servertype><clienttype>ica30</clienttype>
<clienttype>content</clienttype>

nun die Usercredentials:

<credentials>
<username>MYUSERACCOUNTTOCHECK</username>
<password encoding="ctx1">THISISMYCRYPTEDPASSWORD</password>
<domain type="NT">MYDOMAIN</domain>
</credentials>

ein bischen unnützes Zeug:

<clientname>MYCLIENTNAME</clientname>
<clientaddress>111.222.333.444</clientaddress>

NagiosPlugin

Eins vorweg: ich weiss, dass es “smartere” Möglichkeiten gibt, aber es muss platz für Verbesserung geben. Ich denke ich werde das gesammte Plugin demnächst nochmal überarbeiten und schick machen.

Mit dem check_http Plugin – defaultplugin von Nagios – kann ein Post Anfrage simuliert und die Rückgabe geparsed werden. Wird dein definiertes Pattern gefunden liefert das Script “OK” und eine Antwortzeit. Diese Rückgabe parsen wir mit dem check_wiserver.sh Script.

check_wiserver.sh:

#!/bin/sh
a=`/usr/lib/nagios/plugins/check_http -I 111.112.113.114 -u http://mywebinterfaceserver/citrix/pnagent/enum.aspx -s MyMonitoringApp -P '< ?xml version="1.0" encoding="UTF-8"?>< !DOCTYPE NFuseProtocol SYSTEM "NFuse.dtd"><nfuseprotocol version="4.6"><requestappdata><scope traverse="onelevel" type="PNFolder"/><desireddetails>all</desireddetails><desireddetails>icon-info</desireddetails><servertype>x</servertype><servertype>win32</servertype><clienttype>ica30</clienttype><clienttype>content</clienttype><credentials><username>MYUSERACCOUNTTOCHECK</username><password encoding="ctx1">THISISMYCRYPTEDPASSWORD</password><domain type="NT">MYDOMAIN</domain></credentials><clientname>Nagisserver</clientname><clientaddress>115.116.117.118</clientaddress></requestappdata></nfuseprotocol>'`
 
zeic=`/bin/echo $a |/bin/grep OK`
if [[ "$zeic" = "" ]]; then
 
  echo $a
  exit 2
fi
echo $a
exit 0

In diesem Beispiel wird der Host 111.112.113.114 auf der URL http://mywebinterfaceserver/citrix/pnagent/enum.aspx mit den Usercredentials MYUSERACCOUNTTOCHECK mit dem verschlüsseltem Passwort “THISISMYCRYPTEDPASSWORD” abgefragt. In der Rückabe wird nach der veröffentlichten Anwendung “MyMonitoringApp” geparsed und “OK” zurückgegeben. Daraufhin liefert check_wiserver.sh 2 für Error oder 0 für OK an Nagios zurück.

Dieses Script muss nun lediglich noch als Command im Nagios definiert werden.

Zusammenfassung

was wird mit der Probe überwacht?
• Authentifizierungbackend (z.B.: Active Directory)
• XML Service liefert valide Antworten
• Web Interface Agent Site

was wird mit der Probe nicht überwacht?
• Citrix Datastore
• Citrix Licensing (hierzu kommt demnächst ein Blogpost)
• “richtiges Login” wie Citrix Active Application Monitoring oder Openview

was muss getan werden:
• Monitoringuser anlegen und Anwendung veröffentlichen
• Login mit expliziten Credentials tracen um verschlüsseltes Passwort zu erhalten
• in check_wiserver.sh hostname, sitename und usercredentials anpassen, ggf. Pfad zu check_http anpassen

Damit ein Prozess allerdings die vollen 3GB Usermemory ausnutzen kann muss im Imageheader IMAGE_FILE_LARGE_ADDRESS_AWARE beim kompilieren gesetzt worden sein.

Imagecfg.exe – ein Tools aus dem MS Resource Kit – zeigt alle gesetzten Imageheader an. Diese lassen sich ggf. auch editieren.

Weiterhin gibt ein „Terminal Server aware“ Header. Spannend: selbst bei Microsofts UPHClean ist dieses Bit nicht gesetzt

Imagecfg.exe Download

http://msdn.microsoft.com/en-us/library/ms680349(VS.85).aspx

Virtual memory constraints in 32-bit Windows

Man findet lediglich 4 Tabellen DATATABLE, DELETETRACKER, INDEXTABLE, KEYTABLE vor, welche seltsame Zahlenkolonnen enthalten. Brian Madden wusste wieder warum.

Kurz zusammengefasst: Die Datenbank stellt lediglich das Backend für einen LDAP Dienst bereit welcher durch den IMA Service bereitgestellt wird. Ursprünglich wollte Citrix mit MetaframeXP als Backend das Active Directory nutzen. Noch während der Entwicklung stellte man aber fest, dass viele Firmen wohl keine Schemaerweiterung am AD machen wollen nur um Citrix zu implementieren – außerdem waren viele Kunden sicherlich noch nicht “AD ready” oder nutzen beispielsweise Novell.
Somit wurde das Backend in eine relationale Datenbank gepresst.

Dieses Script hilft dabei.

Und der BND hat eine gute PR Abeilung: “Noch überzeugender ist die Tatsache, dass von den gelisteten Adressen Einträge zum BND-Artikel auf Wikipedia gemacht wurden, was man leicht mit einem Wikiscanner herausfinden kann. So wurde die Behauptung abgestritten, der BND benutze Goethe-Institute im Ausland als getarnte Dienststellen. ”

http://wikileaks.org/wiki/Notfalls%C3%A4uberung_des_BND_nach_Wikileaks_Enth%C3%BCllung

http://wikileaks.org/wiki/Die_Deutsche_Telekom_und_ihr_Kunde_BND

Spannende Facts: XenApp 5.0 für Windows2003 scheint ein original 4.5FR1 mit “schöneren” Admintools, neuem Webinterface und Lizenzserver zu sein. Laut CTX117913

"there is no installation process or requirement to deploy any new binaries on each member server. "

Wie man sich aber die neuen Features wie AIE3.0 und IPV6 freuen soll, ohne Binaries auszutauschen muss man wohl in den nächsten Tagen erforschen.

er hat’s verraten

Leider haben wir zum ersten “Schuss” nur 2 Billigmikros genommen. Trotzdem hoffe ich dass ihr es uns die schlechte Audioqulität verzeiht – das nächste mal wird’s besser – versprochen!

Mittlerweile sind einige Statements zu “alt”. Autotype funktioniert beispielsweise mit Linux.

Nachdem ich ca. 15 FLV Plugins für Wordpress durchprobiert habe, kann ich FLV-embed empfehlen. Alles andere is überladen, bietet kein fullscreenmodus oder ist fummelig in der Installation.

von: http://blogs.technet.com/markrussinovich/archive/2008/07/21/3092070.aspx

Beim Update meiner steinalten 2.2.3 Wordpress Version auf 2.6.0 funktionierten nach dem Update weder die Permanlinks (Links zu den Artikeln) noch wurde nur eine Kategorie angezeigt.

Das Kategorieproblem war schnell bei Google gefunden, aber ich hatte wenig Lust händisch in der Datenbank rum zufummeln und beim nächsten Update wieder auf Gesicht zu fallen.

Nächster Ansatz war ein schrittweiser Upgrade von 2.2.3 auf 2.3.3., 2.5.1 dann 2.6.0. Hier bestand bei 2.5.1 das Problem, dass ein Login auf der Adminoberfläche – Dashboard – nicht möglich war.
Gefixt hat nach etlichen probieren dann die 2.2.3 von allen Plugins zu befreien, schrittweise upzudaten und die Plugins wieder zu aktivieren.

Da das Permalink Problem nach dem Update von 2.5.1 auf 2.6.0 immernoch besteht werde ich die nächsten Tage weiter rumprobieren oder auf einen neue Version warten. Auf jeden Fall sollte im gleichen Zuge das Problem mit den Popup Bildern behoben werden. Das Problem ist den Entwicklern anscheinend bekannt und soll mit 2.6.1 behoben werden.

Es bleibt dabei: immer ein funktionierendes Backup griffbereit halten!