NilsK

Moin, interessant, was man so finden kann. Ich hatte bei dem achten Buchstaben aufgehört zu suchen. Gruß, Nils

Moin, mir. Gruß, Nils

Moin, CIFS klingt nach NetApp, niemand anders nennt das noch so (ist ja auch SMB, nicht CIFS). Liegt es vielleicht an Snapshots? Gruß, Nils

Moin, HCI ist nicht WSFC. Ich verstehe, dass du beim Ausprobieren der Technik an verschiedenen Stellen dran bist. Um solche Fragen, wie sie dann auftreten, aber einordnen und beantworten zu können, sind oft mehr Informationen über den Gesamtaufbau nötig. Bei zwei Knoten gibt es ohne Witness keine Mehrheit. Fällt einer aus, ist der Cluster tot. Eine Stimme wäre keine Mehrheit. Meinst du nicht? Ja, genau. Das ist das, worauf ich hinauswill. Wir müssen hier genauer diskutieren, sonst werden wir aneinander vorbeireden. Gruß, Nils

Moin, aha, also trifft meine Vermutung zu. Aber dann bist du auf dem Holzweg. Wenn du es geschafft hast, ein Split Brain zu provozieren - was bei den meisten Designs möglich bleibt -, dann kann der Cluster nicht mehr darauf reagieren. Könnte er reagieren, dann täte er es ja vorher, es würde also kein Split Brain geben. Sinnvoller als die Suche nach Punkten, die außerhalb der Spezifikation liegen, ist es also, die Spezifikation zu klären, zu prüfen, ob diese ausreicht und dann zu testen, ob das Setup sie einhält. Das muss man dann systematisch machen und es kann eine ganze Menge Aufwand erzeugen. Aus deinen Fragen in diesem und dem anderen Thread entnehme ich, dass du dich mit der Technik vertraut machst. Das ist gut und sinnvoll. Mein Tipp ist dann aber, vor dem Kaputtspielen erst mal damit vertraut zu werden, wie es gemeint ist. Gruß, Nils

Moin, nein, wenn ein Stimmeninhaber ausfällt, ändert sich die Stimmenzuweisung nicht. Nur dann, wenn du die Anzahl der Stimmen in der Konfiguration änderst. Gruß, Nils

Moin, versteh ich nicht. Wo soll da dann der Erkenntnisgewinn liegen? Es geht doch darum, ein Split Brain zu vermeiden. Das ist zunächst eine Architekturfrage. Jedes Setup kann bestimmte Schadensszenarien vermeiden. Da kann man dann testen, ob das auch wirklich funktioniert - da wäre ich dabei. Genauso hat jedes Setup aber natürlich auch seine Grenzen, man kann es also auch kaputtspielen. Das scheint das zu sein, was du grad vorhast. Aber da verstehe ich gerade nicht, wozu. Du suchst anscheinend nach Punkten, die jenseits der Spezifikation liegen, aber die gehen ja direkt aus der Spezifikation hervor. Oder geht es in Wirklichkeit um den ersten Teil, also zu prüfen, ob die geplanten Mechanismen auch wirklich greifen? Dann müsste man das Design näher betrachten, um hier etwas beizutragen. Gruß, Nils

Moin, ich wiederhole meine Frage von oben. Was ist das Ziel? Gruß, Nils

Moin, was ist denn das Ziel des Ganzen? Warum möchtest du ausgerechnet ein Split Brain simulieren? Gruß, Nils

Moin, lecker, Senf. Gruß, Nils

Moin, okay, dann habe ich auch noch einen Spezialfall: In Umgebungen, wo Forests mit mehreren Sites einander vertrauen, müssen die Sites identische Namen haben, damit die Lokalisierung von DCs über die Forests hinweg funktioniert. Leider funktioniert der Link, den ich in meinen Notizen dazu gespeichert habe, nicht mehr. Ich such noch mal. EDIT: gefunden. Ist alles etwas nerdy, aber deshalb lohnt es sich für Nerds. https://techcommunity.microsoft.com/t5/core-infrastructure-and-security/how-domain-controllers-are-located-across-trusts/ba-p/256180 Gruß, Ni"mein Senf gehört unbedingt dazu"ls

Moin, dann sollten wir dir ehrenhalber einen Vornamen mit E verpassen. Ehren-Nobby? Eine-Kanne-Kaffee-Nobby? Einer-muss-den-Job-ja-machen-Nobby? Gruß, Nils PS. just kidding - auch wenn ich hier selten poste, finde ich den Thread liebenswert.

Moin, was meines Wissens leider immer noch nicht geht, ist "Schneider-Schneider", wenn zwei Schneider heißende Leute heiraten. In dem Fall ist es dann aber so, dass eine/r der beiden hinterher "Schneider geb. Schneider" heißt. Das könnte man verhindern, wenn beide ihren Namen behalten ... Gruß, Nils PS. wie, OT?

Moin, bei jeder Replikationslösung hast du das Problem, dass die Replikate unabhängig voneinander sind. Das passt in vielen Fällen nicht zur Nutzung, denn daraus resultiert "Last Writer Wins". Mein Lieblingsbeispiel: Ute öffnet "Vertrag.docx" auf Server A, Udo öffnet dasselbe Dokument auf Server B. Ute macht sich irre viel Arbeit und erweitert das Dokument auf 1500 Seiten. Zehn Minuten später speichert Udo seine Kopie, die nur 10 Seiten hat. Rat mal, welchen Umfang Vertrag.docx nach dem nächsten Replikationsvorgang hat. Gruß, Nils

Moin, Bitte beschreibe (oder kläre) die Anforderungen. Muss der Speicher wirklich repliziert sein oder kommt es auf Hochverfügbarkeit an? Wir hoch sind die Anforderungen wirklich, wenn ein Standort ausfällt? Bedenke, dass es wenig wahrscheinlich ist, dass das RZ an einem Standort ausfällt und der Rest noch funktioniert ... Regelmäßig ist DFS-R für solche Szenarien nicht gut geeignet. Gruß, Nils

Moin, nein, natürlich musst du nicht alles aufreißen. Das wäre unverhältnismäßig. Und so könnte man im Zweifel auch begründen, dass man das nicht macht. Man ist auch nicht aufgrund einer einzelnen nicht umsetzbaren Anforderung "raus". Du wirst nicht drumrumkommen, dir das in Ruhe anzusehen. Schnellschüsse, Zertifizierung und Audits gehen nicht zusammen. Edit: Erstens steht da "muss auf ... geachtet werden", und zweitens geht es hier um Normen aus dem Bau bzw. der Elektrotechnik. Eine nicht normgerechte Installation wäre beim Bau bzw. beim Verlegen seinerzeit ja gar nicht abnahmefähig gewesen. Man wird also davon ausgehen können, dass die Verlegung den damals gültigen Normen entsprochen hat. Wenn nicht, wäre man sowieso in der Pflicht, das zu korrigieren. Hinter verbindlichen Normen kann das BSI ja schlecht zurückstehen, daher sind die Formulierungen so, wie sie sind. Für "normale" Zwecke kann aber nur gelten, dass die Normen zum Zeit der Inbetriebnahme eingehalten sein müssen. Deshalb stehen da auch keine Abstände oder ähnliche Werte, sondern der allgemeine Verweis auf die Normen. Und vorsichtshalber noch der Disclaimer: Ich bin weder Auditor noch Anwalt noch in der Tiefe BSI- oder ISO-Experte. Ich gebe hier meine Einschätzung aus einigen Jahren praktischem Umgang mit solchen Audits (als "Auditierter") wieder. Gruß, Nils

Moin, das sieht man an der Syntax. Gruß, Nils

Moin, vielleicht möchtest du deinen Screenshot noch anonymisieren. Und ich meinte nicht den Provider "SQLNCLI10", sondern "ADsDSOObject". Deine Anwendung versucht, einen Linked Server namens ADSI anzusprechen. Der sollte sich auf dem "funktionierenden" System dort finden. Wie man den anlegt, findest du darüber hinaus prinzipiell auch in dem Artikel beschrieben, den ich gestern zitiert habe. Damit sollte man noch einen Schritt weiterkommen. Wenn es dann immer noch nicht geht, habe ich keine Idee mehr. Gruß, Nils

Moin, einen Versuch gäbe es noch: Bei dem alten Server wird in dem Eintrag "ADsDSOObject" ein Verweis auf einen Domänencontroller stehen. Bei dem neuen ist das vermutlich nicht der Fall, ich nehme an, dass der Eintrag dort leer ist. Damit weiß der neue Server nicht, wen er ansprechen soll, um den ADSI-SQL-Provider zu nutzen. Der Entwickler der Anwendung wollte anscheinend die Quadratur des Kreises: Anmeldung per SQL-Login, aber trotzdem die Windows-Gruppen verwenden. Ohne die Hintergründe zu kennen - sinnvoll sieht das nicht aus. Gruß, Nils

Moin, nein, gerade weil man annimmt, dass fremde Geräte unsicher sind, legt man den Fokus heute anders. Man hat nämlich parallel eingesehen, dass man fremde Geräte nicht wirksam aussperren kann. Und dass man auch bekannten Geräten nicht unbedingt trauen kann. Allenfalls könnte dies ein zusätzlicher Mechanismus sein, aber das primäre Paradigma lautet heute "Identity is the new perimeter", sprich jeder Zugriff muss geprüft und authentifiziert werden, auch wenn er von einem bekannten Gerät kommt (bzw. zu kommen scheint). Gruß, Nils

Moin, oha ... bei "Server ADSI" klingelt was ... [Auslesen der Domänen-Daten über ADSI | faq-o-matic.net] https://www.faq-o-matic.net/2003/04/17/auslesen-der-domaenen-daten-ueber-adsi/ Anscheinend ist in der Applikation so ein Konstrukt verwendet worden, um Daten über den angemeldeten User rauszufinden. Ganz, ganz krude, schlechter Stil und wie man sieht auch nicht zukunftssicher. Aus Gründen hat sich das nie durchgesetzt. Ich wiederhole mich: Baut das Ding neu. Gruß, Nils

Moin, solche Anforderungen sind etwas aus der Mode geraten, weil sie sich nur sehr begrenzt wirklich umsetzen lassen. Sobald ein ausreichend kompetenter Angreifer ein erlaubtes Gerät in den Händen hat, ist es relativ wahrscheinlich, dass er die Zugriffs-Genehmigung auf ein anderes Gerät übertragen kann. Das kann man nur erschweren, aber nicht zuverlässig ausschließen. Das ist ein wesentlicher Grund, warum man von dem Fokus auf Geräte weg ist und den Benutzer in den Mittelpunkt stellt. Damit löst man auch nicht alles, aber da man die Rechtezuweisung zentral vornimmt und nicht an ein unkontrollierbares externes Gerät koppelt, ist es prinzipiell besser zu steuern. Gruß, Nils PS. die MAC-Adresse ist ein schönes Beispiel, wird immer als erstes genannt und ist so ziemlich am einfachsten zu spoofen.

Moin, dann solltet ihr erwägen, sie neu bauen zu lassen. Egal mit welchen Tricks ihr die Applikation vielleicht zum Laufen bekommt - sie ist 16 Jahre alt, nicht supportet und offenkundig schlecht gebaut. Gruß, Nils

Moin, ja, mehrere DCs sorgen für Redundanz und Ausfallsicherheit, wenn alles richtig konfiguriert ist. Wenn es wie bei dir jetzt mal funktioniert und mal nicht, dann liegt das meist an DNS - die Rechner, bei denen es geht, sprechen mit dem funktionierenden DNS-Server, die anderen versuchen vergeblich, von dem nicht funktionierenden eine Antwort zu bekommen. Die Meldungen, die du gepostet hast (Text und Nummer hätten übrigens gereicht, die Screenshots brauchen unnötig viel Platz), sind allesamt eher uninteressant (Kategorie "kann man sich später ansehen"). Funktioniert es denn nach dem Neustart wieder? Insgesamt deuten das, was du von den Fehlern beschreibst, und deine Fragen aber darauf hin, dass du dir Unterstützung holen solltest. Vermutlich ist es gar nicht so wild, aber über ein Forum kann man das nicht gut bearbeiten. Gruß, Nils

Moin, wenn du dich mit ISO 27001 auskennst, dann würd ich sagen: Leg los. Ehrlich gesagt, verstehe ich dann deine Fragen bzw. Bedenken nicht ganz. Wenn du dir die BSI-Standardserie mal ansiehst, solltest du feststellen, dass du die ISO 27001 darin wiederfindest. Ich kann dir jetzt keinen genauen Vergleich bzw. keine Abgrenzung dazu geben, aber der Trainer damals hat es in etwa so gesagt: BSI-x00 (damals war es noch 100, die 200 ist der Nachfolger) ist die "deutsche Interpretation" der ISO 27001, geht insgesamt aber weiter. Wer den "Grundschutz"-Teil von BSI-x00 umsetzt, hat ein 27001-konformes ISMS. Umgekehrt ist es nicht ganz so, weil die BSI-Standards an einigen Stellen spezifischer und an einigen Stellen weitergehend sind. Und sie haben einen Maßnahmenkatalog - der war zu 100-Zeiten noch nahe an unbrauchbar (weil stark veraltet), ist mit 200 aber besser und praxisnäher. Die konkrete Entscheidung würde ich von den Anforderungen abhängig machen. Wenn ihr für eure Kunden 27001 braucht und euch damit auskennt, dann macht das. So hielte ich es. EDIT: Gerade gefunden - das BSI hat selbst eine Zuordnung zwischen seinen Standards und der 27001 gemacht: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium/Zuordnung_ISO_und_IT_Grundschutz.html?nn=128568 Gruß, Nils