sh-beta's questions

我有一台运行 CentOS 5.5 的机器，我想升级到最新的 5.x 版本。它被 freetype 绊倒了。

Freetype 同时安装了 i386 和 x86_64 版本。这是正常的，但是 x86_64 版本要新得多（向后移植 2.4 以支持一些其他软件包；我什至没有一台 32 位机器来构建 i386 版本）。

[sh-beta@localhost ~]$ yum list installed | grep freetype
freetype.i386                       2.2.1-28.el5_7.2                   installed
freetype.x86_64                     2.4.8-1                            installed
[sh-beta@localhost ~]$ yum list updates | grep freetype
freetype.i386                     2.2.1-31.el5_8.1              updates         
[sh-beta@localhost ~]$ sudo yum -y update freetype.i386 
Loaded plugins: fastestmirror
Loading mirror speeds from cached hostfile
 * base: mirrors.cicku.me
 * extras: mirrors.sonic.net
 * updates: centos.sonn.com
Setting up Update Process
Resolving Dependencies
--> Running transaction check
---> Package freetype.i386 0:2.2.1-31.el5_8.1 set to be updated
--> Finished Dependency Resolution

Dependencies Resolved

====================================================================================================================================================================================
 Package                                   Arch                                  Version                                             Repository                                Size
====================================================================================================================================================================================
Updating:
 freetype                                  i386                                  2.2.1-31.el5_8.1                                    updates                                  312 k

Transaction Summary
====================================================================================================================================================================================
Install       0 Package(s)
Upgrade       1 Package(s)

Total size: 312 k
Downloading Packages:
Running rpm_check_debug
Running Transaction Test
Finished Transaction Test


Transaction Check Error:
  package freetype-2.4.8-1.x86_64 (which is newer than freetype-2.2.1-31.el5_8.1.i386) is already installed

Error Summary
-------------

[sh-beta@localhost ~]$

在这台测试机上，我可以手动将 x86_64 软件包降级到基础 CentOS 5.5 版本，然后将两者升级到 5.8 版本都没问题。

[sh-beta@localhost ~]$ sudo yum -y downgrade freetype-2.2.1-28.el5_7.2.x86_64
<...snip...>
[sh-beta@localhost ~]$ yum list installed | grep freetype
freetype.i386                       2.2.1-28.el5_7.2                   installed
freetype.x86_64                     2.2.1-28.el5_7.2                   installed
[sh-beta@localhost ~]$ sudo yum update freetype-2.2.1-31.el5_8.1
<...snip...>
[sh-beta@localhost ~]$ yum list installed | grep freetype
freetype.i386                       2.2.1-31.el5_8.1                   installed
freetype.x86_64                     2.2.1-31.el5_8.1                   installed
[sh-beta@localhost ~]$

这里发生了什么？我该如何解决？降级是我服务器上最后的手段，因为我有其他依赖 2.4 的软件包。

当我通过远程桌面连接重新启动 Windows 2003 或 Windows 2008 服务器时，服务器会重新启动并且不会接受任何 RDP 连接：RDP 客户端错误并显示“连接被拒绝”。

终端服务服务正在服务器上运行，重新启动它没有效果。服务器上没有记录任何错误。

我发现解决此问题的唯一方法是在控制台或通过 DRAC 登录并再次重新启动机器，由于显而易见的原因，这是一个丑陋的解决方案。

有没有人遇到过这个？

属于特定数据库上角色 public、db_datareader 和 db_datawriter 的域用户 (User1) 在尝试从该数据库上的任何表（包括新创建的测试表）中进行选择时收到以下消息：

The SELECT permission was denied on the object 'table1', database 'database1', schema 'dbo'.

该用户可以在同一台服务器上的其他几个数据库上完美运行。它没有在数据库或表级别明确拒绝权限（至少我可以找到）。

我试过（无济于事）：

• 删除用户并将其重新映射到数据库
• 将用户分配给 db_owner 角色
• 专门授予数据库和表级别的选择权限

唯一有所作为的是将用户设置为 sysadmin 服务器角色 - 但这对于生产来说是不可行的。

我还能如何解决这个问题？

与 3.5" 15k RPM SAS 驱动器相比，2.5" 10k RPM SAS 驱动器的性能如何？

具体比较领域：

• 随机写入
• 随机读取
• 顺序写入
• 顺序读取

是否可以从 Puppet 清单中访问 Puppet 主配置变量（如 confdir、masterport 等）？

在这个问题的脉络中。

其他问题已经涉及到这一点，但让我们得到一个完整的答案：

1. 将域用户作为应用程序池标识的通用 IIS 7 站点需要哪些特定权限？

2. 将域用户作为应用程序池标识的 ASP.NET IIS 7 站点需要哪些特定权限？

3. 应用这些权限是否有任何技巧/捷径？

其他问题已经涉及到这一点，但让我们得到一个完整的答案：

1. 将域用户作为应用程序池标识的通用 IIS 6 站点需要哪些特定权限？

2. 将域用户作为应用程序池标识的 ASP.NET IIS 6 站点需要哪些特定权限？

3. 应用这些权限是否有任何技巧/捷径？

每次 SSL 证书更新时，我的提供商都会尝试向我出售扩展验证证书。最大的不同是 FireFox 和 Safari 中的绿色地址栏，价格是原来的四倍或五倍。

据推测，好处（以及在 IE8 或 Chrome 中未显示绿条的原因）是对请求方的更深入的身份验证。但是我可以检测到 Verisign 自己对所有 SSL 证书（第 3.2.2 节）的最低要求（来自他们的CPS）之间的实际差异很小：

威瑞信至少应：
• 通过使用至少一个第三方身份证明服务或数据库，或者由相关政府机构或主管当局签发或归档的确认组织存在的组织文件，确定组织的存在，

• 通过电话、确认邮件或类似程序向证书申请人确认有关组织的某些信息，该组织已授权证书申请，并且代表证书申请人提交证书申请的人被授权这样做. 当证书包括作为本组织授权代表的个人姓名时，该个人的雇用及其代表本组织行事的权力也应得到确认。

如果证书中包含域名或电子邮件地址，VeriSign 将验证组织将该域名用作完全限定域名或电子邮件域的权利。

和 EV 要求（附录 F14C）：

(C) 商业实体
验证商业实体的合法存在和身份 VeriSign 验证该实体以申请人在申请中提交的名称从事业务。VeriSign 会验证申请人在申请人注册辖区中的注册机构认可的正式法定名称与 EV 证书请求中的申请人名称是否匹配。威瑞信记录由注册机构在申请人的注册管辖区分配给申请人的特定唯一注册号。登记机关未分配登记号的，以申请人的登记日期为准。此外，根据 EV 指南第 14(b)(4) 节验证与商业实体相关的主要个人的身份。

所以：

1) EV 证书真的能激发用户更多的信任吗？

2) EV 证书是否真的有助于打击网络钓鱼/欺诈/供应商列出的任何事情？

3）如果他们确实执行了最低要求，那不包括所有的电动汽车吗？我错过了什么？

我最近在我的 Windows 2003 域中添加了一些 Windows 2008 服务器。现在我的域控制器定期发布 Windows 2008 框（仅和所有 Win2k8 框）的安全事件 ID 675：

Pre-authentication failed:
    User Name:  MY2008SERVER$
    User ID:        MYDOMAIN\MY2008SERVER$
    Service Name:   krbtgt/MYDOMAIN.LOCAL
    Pre-Authentication Type:    0x0
    Failure Code:   0x19
    Client Address: 10.2.1.32

根据 Microsoft的说法，该故障代码意味着“需要额外的预授权”。正如 nedm 所指出的，实际的 RFC说 0x19 表示“服务器凭据已撤销”。登录审核没有产生有用的信息。时间已正确同步。

我在网上找到了许多类似的报告，到目前为止我看到的唯一答案是通过 ADSIEdit 设置“不需要 Kerberos 预授权标志”。

这作为一种解决方法很好，但我不想为我部署的每台 2008 服务器都这样做。知道这是从哪里来的吗？如何真正修复它？

如何使用 Postfix 设置垃圾邮件陷阱，以防止发送到被困地址的客户端向我发送更多垃圾邮件？

我有两台 Exchange 2007 服务器，一台 (exch1) 担任传输集线器、邮箱和客户端访问角色，另一台 (owa1) 担任客户端访问角色。owa1 在端口 443 上向世界公开以供外部访问。

owa1 每天多次记录以下错误：

8 月 5 日 21:01:07 owa1 ActiveSync：1040：客户端使用的最近 [526] 心跳间隔的平均值小于或等于 [540]。确保您的防火墙配置设置为与 Exchange ActiveSync 和 Direct Push 技术一起正常工作。具体来说，请确保您的防火墙已配置，以便对 Exchange ActiveSync 的请求在有机会被处理之前不会过期。有关如何在使用 Exchange ActiveSync 时配置防火墙设置的详细信息，请参阅 Microsoft 知识库文章 905013，“Exchange ActiveSync 直推技术的企业防火墙配置”( http://go.microsoft.com/fwlink/?linkid=3052&kbid =905013 )。

没有随附的解释性日志消息。

我在这方面找到的大多数文档都涉及防火墙超时。我的防火墙是一个 OpenBSD 机器，使用默认的 tcp.established 超时 86400 秒（24 小时），所以我认为这不是问题。没有基于主机的防火墙。

组织中有很多 iPhone 和 Palm 设备，包括我的，我还没有收到与此相关的投诉。

任何人都可以对此有所了解吗？

我收到来自我的 MSSQL 2005 Standard 机器的投诉，他们无法启动服务代理，然后是来自服务代理经理的消息：

Jul 20 08:35:47 sql3 MSSQL$SQL3: 9697: Could not start Service Broker for database id: 5763. A problem is preventing SQL Server from starting Service Broker. Check the SQL Server error log for additional messages. 
Jul 20 08:35:47 sql3 MSSQL$SQL3: 9645: An error occurred in the service broker manager, Error: 3602, State: 145. 

我找不到关于错误 3602 对服务代理管理器意味着什么的文档。知道如何诊断和解决这个问题吗？

从 0.24.8 开始，Puppet 模板可以调用 Puppet 函数吗？

我可以通过调用清单中的函数，将返回值分配给变量，然后在模板中使用 lookupvar('variable') 来获得类似的功能，但我想去掉中间人。

我们都有很多内部服务需要某种 PKI 提供加密和身份验证。

为每个服务使用不同的私钥/公钥对所带来的安全收益是否证明了所需的额外工作是合理的？

还是每个服务器使用一个密钥对足够好？

例如，我所有的 *nix 服务器都运行 rsyslog、Bacula 和 Puppet。在所有三个服务中使用通用的、特定于服务器的密钥对会打开我忽略的攻击向量吗？

您将如何向听说过 LDAP 并且可能与之交互但从未真正掌握它的系统管理员解释它？

类比很好，但请包括一些重要的技术细节来帮助他们奠定基础。

询问本着Active Directory 的精神解释

Active Directory 是 Windows Server 的最佳功能之一，但它也是一个闪亮的目标。如果受到攻击，它会给攻击者您的 Windows 网络。

在具有面向外部的 Windows 服务器（在我的情况下为 Web 服务器）的环境中，需要哪些步骤来保护 Active Directory 免受攻击？如果域成员受到威胁，您如何减少潜在的损害？最后，如果域控制器受到损害，是否有任何方法可以减少潜在的损害？

我正在寻找专门与 Active Directory（2003 和 2008）相关的信息。应该给出通用的最佳实践（阅读您的日志、安全的管理员密码等）。

编辑：将其重新格式化为问答。如果有人可以将其从 Community Wiki 更改为典型问题，那可能也更合适。

如何针对 Active Directory 对 OpenBSD 进行身份验证？

我们是一家开发商店，因此我们大量使用虚拟机和快照进行测试。这在大多数情况下都很有效，但偶尔我会发现 VM 中的某些设置需要在我的所有快照中进行更改。

例如，我最近创建了一个 Vista VM，只给了它 512MB 的 RAM。VM 已经有大约 18 个快照，我非常非常希望尽可能避免重新创建所有快照。

有没有一种快速的方法可以在所有 VM 的快照中传播这样的 VMWare 级别的更改？

我正在使用 ESX 3.5，但欢迎来自任何其他版本（尤其是 Workstation）的建议。

每晚 02:59 我的 Exchange 服务器都会记录以下事件：

Event Type:   Warning Event
Source:       MSExchangeIS Mailbox Store
Event Category:  Background Cleanup 
Event ID:       9871 
Date:           5/20/2009
Time:           2:59:59 AM 
User:           N/A
Computer:       EXCHFC2 
Description: There is an online maintenance overlap for database "First Storage Group\Mailbox Database". Please revise the online maintenance schedule.

For more information, see Help and Support Center at http://go.microsoft.com/fwlink/events.asp.

.

Event Type: Information
Event Source:   ESE
Event Category: Online Defragmentation 
Event ID:   704
Date:       5/20/2009
Time:       2:59:59 AM
User:       N/A
Computer:   EXCHFC2
Description:
MSExchangeIS (12420) First Storage Group: Online defragmentation of database 'C:\Program Files\Microsoft\Exchange Server\Mailbox\First Storage Group\Mailbox Database.edb' was interrupted and terminated. The next time online defragmentation is started on this database, it will resume from the point of interruption. 

For more information, click http://www.microsoft.com/contentredirect.asp.

这是在 Windows 2003 x64 上运行的 Exchange 2007。

这是我的 Exchange 维护计划：

First Storage Group\Mailbox Database: 20:00 - 03:00  
Second Storage Group\Public Folder Database: 03:00 - 06:00

请注意，我尝试将它们间隔更多（第一次在 2 结束，第二次从 4 开始）无济于事。错误消息总是在第一存储组的维护计划完成前一秒出现。

在第二个事件中注意到的中断的碎片整理是在 02:15 开始的。23:04 开始对完全相同的数据库进行另一次碎片整理，并于 02:08 完成。就在这次完整的碎片整理之前，昨晚中断的碎片整理完成了。

因此，就好像系统正在循环对数据库进行碎片整理，然后在维护窗口结束时中断碎片整理时抱怨。

我该如何解决这种行为？

编辑

我的备份在 06:30 运行。这台机器上没有预定的作业。

最佳实践分析器报告任何相关内容。

我知道这不是一个严重错误，但我担心如果我简单地忽略它，我会在未充分执行维护时忽略未来的问题。在这种情况下，我想解决在维护窗口期间导致碎片整理循环的任何问题。

我们的 QA 团队需要 Vista 虚拟机进行测试（安装程序、功能、性能一般兼容性等）。安装了 Vista 的物理 PC 无法解决问题，因为它们很难回滚到过程中的特定点。

问题是Vista的激活模型与这个模型完全不兼容。我没有追查到底是什么原因导致 Vista 自行停用，但它似乎与在工作站之间移动虚拟机有关。这对我们来说经常发生。如果我们升级 VMWare Workstation（未确认），它似乎也会停用。

我们是 MSDN 的合作伙伴，所以我们有大量的 Vista 产品密钥，但是要不断地重新激活它是一个巨大的痛苦。更何况我们大量使用快照（即，在一个快照中重新激活它，然后回滚到另一个快照，您必须再次重新激活）。

有没有人找到解决这个问题的方法，或者 VMWare 是否有一些我忽略的工具可以让 Vista 在每次桌面机器发生变化时都不会恐慌？

最后，有人在 ESX 3+ 中遇到过这个问题吗？