потому что твой - не нужен а мой вот починили

у тебя уже возраст ))

так вот чё ты начинаешь? Я ща Серёгу позову на помощь

я ему РО выдам на часок

https://www.meetup.com/itproug/events/264800468/

баян

наша маленькая звездочка там будет @vanyuale

наша маленькая звездочка там будет @vanyuale

Маленькая. На 100кг

Ребят, не подскажите если SC Management Point выставить наружу через балансировщик 7 уровня HAProxy, на балансировщике происходит подписывание соединения купленным внешним сертификатом, но не тем, которым подписывается сам MP, работать будет?

это называется ssl terminating

если хапрокси так умеет - все будет прекрасно. честно я не помню - платная версия точно умеет

Трафик то пошел, пока просто не знаю как проверить))

там никакой магии. у тебя балансер пересогласовает канал от себя до мп, и держит канал до клиента. типичный митм

на dp смотри подключенных

Окей, спасибо

Ребят, не подскажите если SC Management Point выставить наружу через балансировщик 7 уровня HAProxy, на балансировщике происходит подписывание соединения купленным внешним сертификатом, но не тем, которым подписывается сам MP, работать будет?

не пашет короче, клиент отключился от MP и не обновляет инфу о себе

значит хапроски бесплатное терминировать ssl не умеет

умеет

Там как раз терминирование как я понял идёт

Там как раз терминирование как я понял идёт

А у вас точно терминирование есть и балансировщик к MP стучится с клиентским сертификатом?

Тэкс, засомневался, сча проверю

это не так работает немного

ща

https://www.digitalocean.com/community/tutorials/how-to-implement-ssl-termination-with-haproxy-on-ubuntu-14-04

у тебя там получается две сессии ssl

одна от прокси до мп с сертом мп

вторая от прокси до клиента с внешним сертом

и прокся получая запрос от клиента, переподписывает его уже внутренней сессей и отправляет

при ответе обратка

Короче скорей всего нужно будет понизиться до 4 уровня и просто прокидывать прямоую сессию до MP, жаль, ну ок, ещё чуть поборюсь за 7 уровень и кину это дело))

В общем, клиент должен ломиться к балансеру, балансер должен также уметь аутентифицировать клиента, затем балансировщик подписывает своим клиентским сертом запрос и отправляет его дальше точке управления.

Все устройства должны доверять корневым центрам сертификации, выпустившие клиентские сертификаты.

Цепочка должна везде строиться.

Как бы терминирование всё же невозможно для такой задачи

it isn't possible to "forward" a client certificate -- if this proxy is in mode http then there are two TLS sessions -- one between client and proxy, and another between proxy and back-end server. The proxy doesn't have the client cert's private key, so it can't negotiate TLS with the backend using the client's certificate

В общем, клиент должен ломиться к балансеру, балансер должен также уметь аутентифицировать клиента, затем балансировщик подписывает своим клиентским сертом запрос и отправляет его дальше точке управления.

зачем балансеру аутентификация клиента?

а, так там у вас по сертификатам аутентификация

расстрою

тебе надо будет на балансере держать все серты клиентов

а зачем l7 кстати?

ради экономии внешних IP, у нас толпа сервисов вывешено через SNI на 1 IP и туда же я хотел и MP повесить

Видимо не вариант

не вариант да

зачем балансеру аутентификация клиента?

The proxy web server authenticates the connection from the client, terminates it, and then opens a new authenticated connection to the internet-based site systems.

TMG же как-то делал это. Почему не вариант?

The proxy web server authenticates the connection from the client, terminates it, and then opens a new authenticated connection to the internet-based site systems.

а, ну да

только тут бесплатных решений нет насколько я помню

Второй коннект чем будет подписан со стороны прокси?

не клиентским же сертификатом, значит не будет работать

Второй коннект чем будет подписан со стороны прокси?

Клиентским сертификатом

не клиентским же сертификатом, значит не будет работать

Почему нет-то?

Как так?

Как так?

Вот так. У балансера должен быть клиентский сертификат, которым он переподписывает пакет и отправляет его дальше.

Точнее не так.

Клиентским сертификатом он аутентифицируется на HTTPS MP.

Устанавливает SSL и пердолит данные от интернет-клиента.

Точка управления не проверяет соответствие между Subject сертификата и именем компьютера.

Т.е. я могу аутентифицироваться как Джон До и накидать данных от компьютера Васи Пупкина.

Точка управления просто должна доверять издателю клиентского сертификата.

Иначе HTTP 403.

А какая прокся используется?

haproxy

Вот тут почитайте, может это то, что надо. Я с HAProxy сам никогда не работал, к сожалению. http://www.loadbalancer.org/blog/client-certificate-authentication-with-haproxy/

Как раз сейчас это и читаю)))

Народ кто как обнавляет методом ipu компы в впн офисах? Есть 60 машин которые хотяд по впн в сеть. Нужно доставить пакеты обновления на них. Сейчас уже 3000 машин в сети обновилтсь. Что делать с впн клиентами не знаю. Думал мдт локальный поднять но не вариант. Есть идеи?

https://www.imab.dk/upgrade-windows-10-over-the-internet-with-configmgr-in-place-upgrade-task-sequences/ наталкнулся, вспомнил

о, йопт, wsyncmgr очухался sync: SMS synchronizing updates, processed 12 out of 620 items (1%), ETA in 01:01:38

о, йопт, wsyncmgr очухался sync: SMS synchronizing updates, processed 12 out of 620 items (1%), ETA in 01:01:38

А до этого что с ним было?

А до этого что с ним было?

да он чот приуныл у меня

синкать ничего не хотел

готовился к 2^8?

видать

У меня баг в SCCM. Ставил адрес синхронизации обновлений - http://ctldl.windowsupdate.com/, когда хотел использовать чистый IPv6, потом вернул настройки обратно, но сайт сервер упорно возвращает WSUS'у сделать вышестоящим сервер http://ctldl.windowsupdate.com/.

Перекидывания туда-обратно не помогают.

Ыыыы, реально баг. При переключении на Windows Updates в WCL.log идет запись No changes - WSUS Server settings are correctly configured and Upstream Server is set to ctldl.windowsupdate.com.

Короче, любое переключение приводит к записи No changes - WSUS Server settings are correctly configured and Upstream Server is set to ctldl.windowsupdate.com.

Ребутну на всякий случай, вдруг отпустит.

После ребута нормально стало - Successfully configured WSUS Server settings and Upstream Server to Microsoft Update