Отключаем USB флэшки

Есть требование, запретить подключение USB флэшек на компьютерах сотрудников. В принципе разумно. Я приветствую это, потому что уменьшает риск заражения компьютеров. Вот только соблюсти это правило надо так, чтобы огромное количество USB устройств остались работоспособными. Конечно на компьютерах, где нет USB устройств, просто иду в BIOS и отключаю там. Есть одно маленькое, "но". На компах с материнкой ASUS P5DL2-VM при отключении USB в BIOS системник повисает с сообщением :

Auto-detecting USB Mass Storage Devices..
00 UBS Mass Storage Devices found and configured.
UBS Device Over Current Status Detected!!
System Will Shut Down After 15 Seconds

И на этом выключается. В Setup BIOS войти тоже нельзя. Единственный выход - сброс CMOS. Проблема существует только с этой материнской платой. Есть еще системники на ASUS P5DL2-VM SE . Там все в порядке. Может кто-нибудь подсказать, в чем тут дело?

А вот здесь нашел решение проблемы с отключением флэшек, при этом работают другие USB устройства: kb823732

Смысл в том, чтобы
1. Установить параметр в реестре "Start" в 4. Этот параметр находиться по пути:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor
2.Запретить средствами безопасности файловой системой доступ к файлам USBSTOR.INF и USBSTOR.PNF
 Кстати этот метод отключения не помешает работе секретным ключам на флэшках.

А теперь как это сделать в домене .

 Вот некоторые полезные ссылки :
kb555324
http://gallery.technet.microsoft.com/ScriptCenter/ru-RU/462d77b8-b712-4840-80e9-bc5378eb3680?persist=True
http://diaryproducts.net/about/operating_systems/windows/disable_usb_sticks

Создаем файл с расширением adm. Допустим remove_usb.adm.  Я добавил этот файл в административные шаблоны с помощью Group Policy Management Console (GPMC).  А вот подробная инструкция http://www.petri.co.il/adding_new_administrative_templates_to_gpo.htm

И вот когда мы получили новую групповую политику, поставим значение:
Административные шаблоны -
>Custom Policy settings-> RestrictDrives ->Disable USB - "Enabled". И параметр Disable USB Port - "Enabled".
 Еще кроме того, что  я применил эту групповую политику ко всем компьютерам домена , сделал исключение для администраторов с помощью фильтра WMI. Фильтр WMI находиться в свойствах групповой политики. Фильтр выгдядит так:

SELECT * FROM Win32_ComputerSystem WHERE Name <> 'SYSADMIN' AND Name <> 'ADMINBD'.

Так как мне нет необходимости использовать флэшку на компьютерах с открытым USB портом,

я через групповую политику выставил запрет группе "Все" на файлы USBSTOR.INF и USBSTOR.PNF. При этом на компьютере с этими двумя ограничениями при подсоединении  флэшки отображается окно "У вас нет прав на подключение этого устройства".

И все-таки если загрузить компьютер с вставленной флэшкой то она все равно подключиться потому что групповая политика накладывается уже после как отработала служба USBSTOR. Здесь видимо только локально запрещать надобно.

Фильтр получателей писем в Postfix

Возникла задача ограничить только несколькими получателями электронных почтовых сообщений . В качестве почтового агента у нас используется postfix. Итак, вношу строчки такого вида в main.cf:

smtpd_recipient_restrictions =
check_recipient_access = hash:/etc/postfix/access
reject,

в файл access пишем адреса или шаблоны доменов, на которые возможна отсылка почты.

microsoft.com OK
apr@dk.com OK

После этого выполняем команды:
#postmap hash:/etc/postfix/access
#service postfix restart

Так вот, существует несколько маленьких нюансов, на которые я натолкнулся. Во первых, оказалось, что в файле (в моем случае "access") адреса должны начинаться без пробелов с первой колонки. Узнать об этом было очень важно и было не просто , потому что в самом разгаре работа, а у меня не отсылаются письма. Здесь и Инет не поможет, просто перебираешь все варианты. Во вторых, интересный момент всплыл, оказывается, как выглядит шаблон домена зависит от версии Postfix. У меня два почтовых сервера на LINUX. На одном версия Postfix 1.1.11 на другом 2.2.10. Кстати для информации, версии postfix можно узнать, заглянув в файл main.cf и найдя ключик "mail_version", или выполнив команду:

#postconf -d grep mail_version

Так вот, чтобы, допустим, указать домен и все поддомены в 1.1.11, надо указать строчку вида:

com OK

а в версии 2.2.10:

.com OK

Может быть это пригодиться кому нибудь и не придеться тестировать как мне.
Если вам захочется поставить фильтр еще и на отправителей писем, добавте такие строчки в main.cf:

smtpd_sender_restrictions =
check_sender_access hash:/etc/postfix/sender

в файл sender впишите от кого нужно принимать сообщения и от кого запрещено:

gmail.com OK
.com REJECT

Учтите, что эта строчка должна быть выше smtpd_recipient_restrictions.

Установка XP с помощью служб развертывания WDS

Итак у меня с десяток новых компьютеров, на которые необходимо установить Операционную систему, офис и прикладной софт. У меня на контроллере домена (Windows Server 2003 SP2) уже стоит стоит WDS в режиме Legacy (устаревший). Я это узнал, запустив команду:
WDSUTIL /get-server /show:config .
Этот режим мне подходит. так как у меня лицензия на Widows XP. Для понимания общего процесса развертывания софта почитайте Step-by-step guide For WDS
http://technet.microsoft.com/en-us/library/cc766320(WS.10).aspx
Как выяснилось в процессе подготовки к развертыванию необходимо знать еще один момент, а именно как добавить драйвера сетевой карты в образ. Я нашел это вот здесь. http://support.microsoft.com/kb/315279
А теперь вот что я понял поигравшись два дня с этим инструментарием и на что обратить внимание.
1. Сначала создайте RISETUP образ. Это образ установочного диска, именно того, который будет устанавливаться. Делается это на сервере, где запущены сервисы WDS. Идем в AD находим в дереве Active Directory наш сервер . Потом правой клавишой свойства и выбираем "Удаленная установка" . Дальше там понятно будет, как создать этот образ.
2. Устанавливаем на компьютере XP, драйвера, офис, прикладной софт, архиватор, акробат ридер и тд. Не советую устанавливать какие либо апргрейды для XP или SP3. Операционка должна быть такая же как в RISETUP.
3. Создаем образ этого эталонного компа, то есть запускаем программу: file://имясервера/REMINSTALL/Admin/i386/riprep.exe У нас получиться RIREP образ.
4. Теперь для того, чтобы запустить установку по сети, нужно скопировать драйвера сетевой платы на сервер. И вот тут я заметил отклонения от документа http://support.microsoft.com/kb/315279 В нем советуют драйвера положить и в RIREP образ и в RISETUP. Оказалось достаточно все сделать для RISETUP образа . То есть там создать папку $oem$\$1\Driver\Nic и туда закинуть драйвера. Необходимо еще закинуть драйвера и в папку i386.
А также в файле \i386\templates\ristndrd.sif (опять в RISETUP образе) поставить ключик
OEMPreInstall = Yes
OEMPnpDriversPath = Drivers\Nic
Еще одно отклонение - нет сервиса bilnsvc. Я просто нашел в списке сервисов "Сервер WDS" и перезапустил его.

Вот и нашелся Service manual для принтеров HP 4200 4300 4250 4350

Бывает же такое. Иногда в инете неожиданным образом натыкаешься на очень полезную информацию, которую, если целенаправленно искать, ни за что не найдешь. Наткнулся я на Service Manual для принтеров HP 4200 4300 4250 4350. Вот ссылочка.
http://www.scribd.com/doc/13262169/HP-Laser-Jet-4200425043004350
Для меня - это просто подарок. С этой книжки вообще надо бы начинать. И вот что я здесь нового обнаружил. Оказывается у Tray 2 Pickup Solenoid (SL101) срок службы 200000 копий. Я ни разу его не менял ни у одного принтера, хотя пробеги у них по 4,5,6 миллионов. При неисправном SL101 должны происходить постоянные замятия бумаги в лотке 2. У меня такой принтер появился на прошлой неделе. Постоянно вылетает ошибка 13.01 "Замятие в лотке 2". Попробую приобрести Tray 2 Pickup Solenoid (SL101), может поможет. Part number этой детальки - RH7-5355-000CN для 4200/4300 и RK2-0269-00CN для 4250/4350. Как поставлю отпишусь обязательно.

Бледная печать HP4300-HP4350

У нас на фирме принтеры работают не в идеальных условиях. Пыль на складе, бракованные дырявые картриджи. Время от времени приходиться делать чистку с помощью пылесоса. Иногда приходиться и разбирать блок лазера. Если печать бледная даже и при установке заправленного картриджа, значит пыль попала в блок лазера. Он разбирается очень просто. Снимается верхняя крышка принтера.

Потом отворачиваются четыре шурупа на крышке блока лазера. И затем стираем пыль со всех стеклянных поверхностей и зеркал. Кстати бывает еще одна неисправность, когда печать уж больно зернистая. Опытным путем я установил, что это боковое зеркало загрязняется

Проблема с WSUS на нестандартном 8530 порту

И вот я поставил WSUS . Возможно, все было бы без проблем, если устанавливал я его на стандартный порт 80. Но 80 порт был занят корпоративным сайтом. Устанавливаю на 8530. WSUS работает, синхронизация происходит без проблем. Через AD с помощью групповой политики указал сервер обновления, порт, группу назначаемую по умолчанию. Клиенты получают эти настройки . Это можно увидеть в реестре. С этим все порядке, но обновлятся не хотят. И так разбираем журнал c:\widows\windowsupdates.log
Вот что я вижу в логе:


2009-08-15 11:27:44:263 1152 117c Misc WARNING: DownloadFileInternal failed for http://nameserver.namedomain.ru:8530/selfupdate/wuident.cab: error 0x80072efe
2009-08-15 11:27:44:263 1152 117c Setup FATAL: IsUpdateRequired failed with error 0x80072efe


Сразу видно проблему. Windows agent пытается подключиться по адресу http://nameserver.namedomain.ru:8530/selfupdate/wuident.cab. Но там такого файла нет.
Так в чем же проблема? Обращаюсь за помощью к серверу Майкрософт. Вот ссылочка:
http://technet.microsoft.com/en-us/library/cc720439(WS.10).aspx
Понятно стало, во-первых , что ресурс http://name.domainname.ru:8530/selfupdate/wuident.cab должен быть доступен и в целях диагностики его можно открыть в ie. Во вторых, если ставиться WSUS на нестандарный порт виртуальный каталог selfupdate не создается, его нужно создать сриптом
cscript WSUSInstallDirectory\setup\installselfupdateonport80.vbs
на сервере WSUS. Заметьте, виртуальный каталог создается на порту 80. Не знаю правильно ли я сделал, но я создал ручками виртуальный каталог именно на 8530 порту.
Виртуальный каталог должен ссылать на c:\Program files\Update Services\selfupdate
Даю команду: wuauclt /detecnow. Все заработало. На этом компе и на еще на 34 . А семь компьютеров в домене все также не хотели обновляться. На сервере они появились в группе "неназначенные компьютеры" и не предоставили ни одного отчета. Я может быть долго решал эту загадку, если бы все компьютеры вели себя одинаково. Но у меня в сети были компы которые обновлялись и которые не обновлялись. Так в чем между ними разница?
На все эти компьютеры я сам устанавливал XP. Сразу же установил SP 3. Так вот компьютеры, которые работали с моим WSUS, до этого разок при установки ОС обновлялись с инета с серверов Майкрософт. И первое обновление, которые они закачивали был windows update agent. Нашел это обновление вот здесь: http://support.microsoft.com/kb/949104
Как только устанавливаю это обновление, комп начинает обновляться с моего WSUS.

Ошибка 13.20 HP4300-HP4350

Да, вот я помучился с принтером. Выдается ошибка 13.20 ("Замятие бумаги" "Paper jam"). Открываю крышку, вынимаю катридж, ищу бумагу, а нет ее. Все проверил, весь путь прохождения бумаги. Бывает такое, что какой-то клочок еле-видимый застревает. Но на этот раз - нет ничего. Пропылесосил на всякий случай. Не помогает. Видимо датчик навернулся. Пошел за советом в инет. Очень понятное ключевое слово у меня было "13.20".

Пришлось потратить немало времени, но решение нашлось.

http://forums11.itrc.hp.com/service/forums/questionanswer.do?admit=109447626+1251383792598+28353475&threadId=1289895

Проблема в датчике "paper feed sensor flag"(Part:RC1-0060-050CN) . На нем надета пружинка (torsion spring Part: RC1-0061-000CN). С помощью этой пружинки он возвращается на место после того как бумага его задирает. И вот если усик пружинки не насвоем месте датчик уже не работает. Вот как он выглядит:

На этой фотографии усик пружинки не на месте.

На этой я уже поправил.

Отчего это бывает? А вот если при замятии бумаги листок тащить вверх, то, заодно, можно и этот датчик свернуть.