No Money No Honey

網路與帳密發達後，世界早已是楚門的世界。

當你在使用網路，相關的資訊也都會留下痕跡。

大概去過哪裡
買過什麼東西
平常的習慣
諸如此類……….
很多人都說怕中共監控，我覺得這種想法很狹隘且無知，這是任何國家政府都會幹的事，無關民主或專制……….

SOPHOS XG210 使用AD認證上網

紀錄一下，來源如下

http://www.shunze.info/forum/thread.php?threadid=1989&boardid=36&sid=69449a236ea17a1e444a93e9b4d2b5ba&page=1

=======================

《分享》STAS SSO設定

在Domain Controller上裝一個agent以收集網域使用者的登入資訊，是SSO架構中對使用者衝擊最小的一種部署方式。

不過設定上有些複雜，這copy自Cyberoam的Sophos KB真是讓人挫折連連，
最後還是得靠原版的Cyberoam KB，才勉強在LAB中測試成功。
以下我們就來看看要如何架設Sophos Transparent Authentication Suite (STAS)。

測試環境
Sophos XG LAN IP 172.16.16.16
AD主機OS Windows 2008 R2
AD主機IP 172.16.16.1
AD domain name: demo.com
NetBIOS name: demo

Sophos XG上的設定
首先我們要在XG上加一筆AD主機的資料，讓XG知道除了本機帳號外，還有AD主機可做為帳/密的驗證依據。
在 System > Authentication > Authentication Server 增加一筆AD主機，
其中 Display Name Attribute 請輸入 sAMAccountName 這是微軟AD的標準屬性值，
Email Address Attribute 請輸入 mail 即可，
另外在Search Queries則輸入AD網域的完整名稱，以順子的lab demo.com為例，請輸入 DC=demo,DC=com。

輸入完整資訊後，可透過左下角 Test Connection 按鈕來測試XG與AD的連結是否成功。

然後在 System > Authentication > Authentication Services 裏，把此AD主機加入Authentication Server中，
讓它成為前端user帳/密驗證的主機之一。

接著在 System > Authentication > Authentication Server 裏，
剛才的AD主機上按下 import 按鈕，匯入AD裏的群組資訊。

在跳出的群組匯入導引精靈中，按下開始按鈕。

然後在Base DN選擇剛才建立AD主機資訊時，所輸入的Search Queries值，
以順子的lab來說，就是 DC=demo,DC=com。

接著選擇要匯入的AD群組，以順子的lab來說，順子只要匯入 demoGroup 這個群組，其它的不要。

然後設定此群組的配額設定，若還不確定？就跟順子一樣，用預設即可，有需要之後可再調整。

最後檢視資訊，看看有沒有問題。若沒問題，按下一步。

按下 OK 進行匯入。

完成後可在 Objects > Identity > Groups 中看到匯入的AD Group – demoCroup。
若要調整該群組權限，請在此進行。

XG上的作業差不多完成了，接著在 System > Authentication > Authentication Clients 中下載要在AD中安裝的Agent軟體 – STAS，
將該軟體複製到AD主機上準備安裝。
AD主機上的設定
XG之所以能夠做到SSO，主要是透過查詢AD主機上的登出入記錄來進行使用者的帳號確認，
所以在AD主機上，用來稽核使用者登出入的功能一定要啟用！
在系統管理工具的本機安全性原則中，請啟用本機原則中稽核原則的以下兩個項目。

稽核登入事件的成功/失敗事件。

稽核帳戶登入事件的成功/失敗事件。

完成後，就可以開始安裝STAS軟體了。
AD主機安裝STAS
STAS軟體其實分為Agent與Collector兩個部分。
Agent – 用來監控使用者的認證需求，並把驗證訊息傳送給Collector。
Collector – 處理Agent所收到的認證需求，然後並把需求傳送給XG。
整個網域環境中只需要一台AD主機做為Collector來跟Sophos XG傳送認證需求；
但所有AD主機則都要裝Agent，以收集user的登出入資訊，再將資訊統一送交給Collector。

安裝STAS時，請務必以系統管理員身分來執行。

由於lab中順子只有一台AD主機，所以這台AD主機將會以SSO Suite的方式來進行安裝，
同時負責Agent與Collector兩個角色。

在AD網域的管理員帳號部分，請務必以網域的格式來填寫，否則在安裝完成後，會無法啟動服務。

若安裝時，未以系統管理員身分來執行，會出現以下錯誤，安裝時請留意！

安裝完成後，在第一個頁籤General中請按下Start啟動服務。
若啟動失敗？可以到系統管理工具的服務中檢視該STAS服務的執行帳號是否正確，
安裝時，是否以網域的格式來輸入網域管理員帳號。

其實在使用過程中，順子也遇過明明帳密都對，但就是無法啟動服務的怪問題？
最後順子是在服務中，把登入身份由“這個帳戶”改為“本機系統帳戶”確認服務可成功啟動後，
再改回“本機系統帳戶”進行測試，之後就可以以“本機系統帳戶”順利啟動服務。

遇到無法正常啟動STAS服務時，請多試試各種組合變化…
另外啟動服務前，也請務必確認NetBIOS Name與FQDN的正確性。

然後在Agent頁籤，請把要監測的網段172.16.16.0/24加入；
Agent Mode就用預設的EVENTLOG即可。
當然若您要監測的網段不止一個，記得全部都加進去喔～

而在Collector頁籤中，請把Sophos XG的IP加入Sophos Appliances中，
Workstation Polling Method採預設的WMI即可。

↑Enable Logoff Detection不建議勾！
既然user都已經登入了，就保留登入session吧，
反正登出後，再次登入電腦時，會有新登入記錄可稽核，不用特別勾選logoff偵測。
設定好，可在Advanced頁籤中，進行相關測試。
在測試時與Sophos的連線時，會出現“連線成功，但在Sophos中尚未把此Collector IP加入”的訊息？

那還等什麼？接著就在Sophos XG中把Collector的IP加入吧～
XG啟用CTA
連到XG的Console mode，輸入以下指令啟用CTA，
然後再把AD所扮演的Collector 172.16.16.1加入XG中。

system auth cta enable
system auth cta collector add collector-ip 172.16.16.1 collector-port 6677 create-new-collector-group

完成後，可用以下指令來檢視Collector是否成功加入。

system auth cta show

在XG設定好後，回到AD上再進行測試，這時應該就只會出現連線成功的訊息了～

而前端使用者在登入網域時，在STAS的Show Live Users應該也可以看到登入的使用者資訊，
那麼AD上的作業都完成了，接著要回到XG上設定內對外的規則，只放行經過驗證的user。

XG設定身份驗證policy
那如何要求使用者一定要登入網域才能上網呢？
基本上我們會建立兩條規則，第一條是啟用身份驗證，並放行demoGroup與Clientless主機的對外；
而第二條就是擋掉內對外的所有服務。
這樣一來，就只有驗證過的使用者才能上網。

而在使用者登入網域，透過AD的STAS完成SSO後，在XG的Users中我們可以看到登入的網域帳號已自動加在Users清單中。

另外，我們也可以在 System > Current Activity > Live Users 中查詢到目前活動的使用者名單。

在Log裏的Authentication中，當然也可以查到使用者的登入記錄。

於Log裏的Security Policy中也可以看到網域user確實是透過身份驗證的規則連外，並帶出使用者帳號。

SSO驗證已成功的發揮作用～
Sophos XG的STAS設定到此告一段落。
參考資料
Implement Clientless SSO Authentication …main Controller

《分享》STAS AD主機上需放行的port

若參照上文方式，分別於XG及AD上進行設定，但SSO就是失敗！？
請回頭檢查一下AD上的UDP 6677 port是否已經放行。
或許您認為，AD主機上的防火牆都已經關了，沒必要再針對UDP 6677 port放行，
但在實測中發現，沒有特別放行此port，在SSO的機制運作中，難免會出現怪怪、難以解釋的情況。
在順子的lab中，就出現以下這樣的情況，
前端使用者登入網域後，SSO失效，在XG上沒有出現對應的登入記錄！？
在STAS agent中查看log後，

出現如下記錄，

MSG [0xd30] 2016/10/13 11:35:49 : SSO_client_update_heartbeat: cr_node:172.16.16.16 is_active:0

is_active 的值為 0 是問題的主要原因，
is_active 為 0，意謂著驗證資訊無法成功傳送給XG進行SSO。
在AD主機上的進階防火牆，額外針對UDP 6677 port放行後，再進行測試。

這時log上的記錄就不同了，is_active 的值變為 1，當然使用者的登入資訊，也就能傳送給XG做SSO了～

MSG [0xc58] 2016/10/13 11:40:32 : SSO_client_update_heartbeat: cr_node:172.16.16.16 is_active:1

至於STAS Agent上的Sophos Appliances欄位能否正確顯示XG的IP則不是那麼重要。

有當然是賞心悅目，沒有也不見得SSO機制就會出錯…

《分享》STAS “Test connection failed”

客戶反映一個問題，AD主機在裝好STAS Agent後，一直無法抓到user的登入記錄。
經查STAS Agent在與XG的連線時出了問題，
出現“Test connection failed”無法連線的錯誤。

上網查詢後發現，原來是AD所在的Zone其 Client Authentication 功能要打開！

在啟用此功能後，AD主機果然與XG順利連上線了～
參考資料
STAS "Test connection failed"

紀錄一下民進黨簡史，可以感受人渣文本的演變

紀錄一下民進黨簡史，想記錄是看法跟我雷同

台灣的民主自由並非民進黨的功勞，歸根究柢是經國先生願意開放改革，這很難得，人家說老歡顛，但經國先生是我看過最能跟上潮流的老人家，但他老人家萬萬沒想到，台灣人民素養不夠，造成台灣改革開放民主後每下愈況。

歷史與我自己在台灣的人生經驗來看，一個國家的強盛不再於你是專制還是民主，在於領頭羊是否勤政愛民廉潔，人民素養是否夠水準(教育或是鞭策)。

陳真，曾經是民進黨的黨員，有著崇高理想，直到現在，我覺得他還是保有中心思想，對清廉跟道德操守有一定堅持，這篇文章讓我明白其實還有比國民黨更腐敗的黨派。
以下這段話讓我敬佩：
當時促使我想退黨的一個近因衝擊是，在一次黨務會議上，我發言說，「本黨居然有人在買票！黨中央都不想處理嗎？」沒想到，我所熟識的當年黨主席姚嘉文竟然回應說：那些都是「小節」，「做大事者不拘小節，推翻國民黨才是大目標」。會議後，他私下拉我到角落，進一步對我侃侃而談這番「大」道理。但是對我而言，政治之乾淨、清廉與正直以及為人民謀取長遠福利，才是從政目標。

網路上文思革的文章
https://xn--m8t83jvx5c.com/2019/10/05/%e5%8d%a1%e9%9f%93%e6%94%bf%e8%ae%8a-178%ef%bc%9a%e6%b0%91%e9%80%b2%e9%bb%a8%e7%b0%a1%e5%8f%b2/

韓國瑜總統候選人非常有水準的政策訪談

真的有跌破我的眼鏡，韓國瑜真的肚子有料！不管明天20200111選舉誰當選，這段訪談都值得留念，特此紀錄。

Open-audit 自訂欄位查詢方式

查詢內建範本列表Manage => Queries => List Querise

點選工作站的範本出來看

這邊列出了NAME IP MANUFACTURER MODEL SERIAL FROM FACTOR MEMORY PROCESSOR與SQL查詢語法，可參考這些語法改成自己想要的欄位列表

原始WorkStation SQL語法

……………………..

SELECT system.id AS `system.id`, system.icon AS `system.icon`, system.type AS `system.type`, system.name AS `system.name`, system.domain AS `system.domain`, system.ip AS `system.ip`, system.manufacturer AS `system.manufacturer`, system.model AS `system.model`, system.serial AS `system.serial`, system.os_family AS `system.os_family`, system.memory_count AS `system.memory_count`, system.form_factor AS `system.form_factor`, processor.description AS `processor.description` FROM system LEFT JOIN processor ON (processor.system_id = system.id AND processor.current = ‘y’) WHERE @filter AND system.type = ‘computer’ AND system.class != ‘server’ AND system.class != ‘hypervisor’ ORDER BY system.name

……………………..

自己編修後主要條件改為 system.type = ‘computer’ AND system.form_factor = ‘desktop’ AND system.class != ‘server’ AND system.class != ‘hypervisor’ AND system.class != ‘virtual server’

只秀COMPUTER與DESKTOP的設備

……………………..

SELECT system.id AS `system.id`, system.icon AS `system.icon`, system.type AS `system.type`, system.name AS `system.name`, system.domain AS `system.domain`, system.ip AS `system.ip`, system.manufacturer AS `system.manufacturer`, system.model AS `system.model`, system.serial AS `system.serial`, system.os_family AS `system.os_family`, system.memory_count AS `system.memory_count`, system.form_factor AS `system.form_factor`, processor.description AS `processor.description` FROM system LEFT JOIN processor ON (processor.system_id = system.id AND processor.current = ‘y’) WHERE @filter AND system.type = ‘computer’ AND system.form_factor = ‘desktop’ AND system.class != ‘server’ AND system.class != ‘hypervisor’ AND system.class != ‘virtual server’ ORDER BY system.ip

自訂查詢欄位 Manage => Queries => Create Queries