Microsoft NCSI на службе или как мы искали забытый нетбук

[@Dinir102]

Отличная статья! Пожалуй настрою себе тоже такие параметры на всякий случай :)

[@Goblinoid]

Спасибо! Сделал у себя проверку каналов связи на машинах, не подключенных к интернету! Раскидал через предпочтения групповой политики :)

[@realscorp]

Правда под вопросом остается случай «Кто-то включил ноутбук, но на пользователя стоит пароль» — подключится ли при этом ноутбук к сохраненной сети без входа в систему или же нет?

Конечно, подключится.
А так статья интересная, жаль, нужно под это заводить отдельный сервер, для тех, у кого его нет.

[@KorDen32]

Конечно, подключится.

Если только не включена возможность создавать «приватные» профили (Центр управления сетями и общим доступом — управление беспроводными сетями — типы профилей). Да, по умолчанию она отключена, и редко кто ее включает или даже знает о ней, но она существует.

[@Impuls]

Я бы не был так уверн. У меня пол предприятия на wifi сидит. Я то знаю какой это геморой. Максимум что я смог добиться настроив wpa2-enterprise — это подключение к сети при вводе имени пользователя и пароля, но увы не отрабатывает политика установки софта, ибо нужна сеть еще до попытки залогиниться. Остальное требует танцев с бубном аля создание задачи в планировщике на запуск скрипта netsh wlan connect name=«SSID»

[@realscorp]

Очень странно. У меня wi-fi широко не используется, поэтому WPA2-PSK только, но на нем сеть поднимается до логина, это точно. В политики не лазал, ничего не менял, заработало сразу.

[@Impuls]

А вы уверены? Может просто лампочка моргает? Ибо чтоб подрубить сеть нужно создать профиль сети, а профиль создается для каждого пользователя, а не для компьютера. Единственный вариант который у меня заработал — это создание профиля сети для локального администратора, создание bat- скрипта: netsh wlan connect name=«SSID». И создание задания в планировщике: при включении компьютера запустить скрипт от имени локального администратора. Вот тогда только поднимается сеть и применяются политики установки софта. Но если у Вас все работает — то лучше не трогайте ничего: потом будете страдать как и я.

[@realscorp]

Да нет, у меня софт через GPO нормально ставится, так что подключение устанавливается. А так странно вообще. Надо будет поглубже покопать на досуге.

[@foxmuldercp]

MS технология DirectAccess в этом плане очень хороша

[@UksusoFF]

А может туда и php скрипт можно подсунуть? Который бы проверял ip и если его нет в списке разрешенных слал бы варнинг на почту?

[@KorDen32]

Я тоже подумывал о чем-то подобном, даже можно сохранять IP/диапазоны в БД и если скажем за последнюю неделю с этого места не подключались — слать оповещение, можно даже по SMS, скажем указывая IP и имя провайдера. Лично для меня скорее всего такое не особо практично, т.к. подключаюсь и через 3G и от публичных WiFi частенько, белый список толком не организовать и спама будет много.

А так подсунуть конечно можно — имя запрашиаемого файла ведь изменить можно, главное чтобы ответ совпадал, иначе будет рапортавать о необходимости авторизации

[@mikes]

в университете несколько точек WiFi с разными внешними IP

интересно зачем у точек разные внешние ip

[@KorDen32]

Ожидал этот вопрос :) Просто точки стоят на разных кафедрах и у каждой кафедры вроде как свой внешний IP, или даже несколько (чтобы можно зайти на FTP кафедры извне и т.д.), там даже методы подключения разные — одни через прозрачный прокси (общеуниверситетский), другие напрямую…

[@mikes]

Какой ужас :) создается впечатление, что такие «огороды» норма для вуза, не поделитесь почему так? Ведь казалось бы ВУЗ это одна организация в которой it составляющая должна быть сосредоточена и управляться централизованно.

Так поневоле задумаешься, а правильно ли у нас, то, что все управляется одним структурным подразделением.

[@KorDen32]

Ну, я студент, всей правды не знаю, но пытался понять. Что-то узнавал от преподавателей, что-то логически додумывал после экспериментов. Поэтому возможно ситуация не точная, но приблизительно так.
На входе — канал с определенной скоростью и скольки-то IP-шниками. Кафедра, которая в том числе заведует сетью в университете, и в крыле которой собственно стоят серверы, имеет WiFi без прокси, с отдельным IP. Почти вся университетская сеть ходит в интернет через прокси (в университетской сети ручные настройки IP и прокси). Этих прокси вроде два или три, они поделены по какой-то своей логике, возможно «лаборатории — один, служебные кабинеты — другой, публичные места — третий» или по корпусам — не получилось понять. У каждого прокси вроде свой IP внешний.
Т.к. все настройки ручные, на другой кафедре стоит прокси с автоконфигурацией и DHCP-сервер для своих точек WiFi. В большинстве случаев выход идет через один общеуниверситетский прокси, но если он падает, то переходит на другой, т.е.для пользователя не видно, но внешний IP другой.
В библиотеке WiFi был поставлен Домолинком (Ростелеком) еще году в 2008 (или раньше), когда WiFi на кафедрах не было. Там без прокси и отдельный IP, кажется даже отличается от основного диапазона универа. Оборудование обновляли, но отдельный канал вроде так и остался.
Плюс еще некоторым кафедрам выделены IP с жестким ограничением скорости для доступности сайта/FTP этих кафедр извне.

[@acmer]

Был на какой-то конференции в офисе Яндекса — так там вообще каждому девайсу по белому IP выдавалось.

[@ComodoHacker]

NCSI — Network CSI :)

<тут должна быть картинка в стиле CSI Zoom>

[@DeleteOne]

На маках очень удобно, что слежение за местоположением ноутбука входит в состав ос.

[@foxmuldercp]

Windows Phone, Android, IPhone тоже вроде как есть

[@Alexeyslav]

А я-то думал как оно определяет есть ли интернет… оно вона как…

[@isden]

Кстати, в 8.1 (может и в 8 тоже), EnableActiveProbing по дефолту был выставлен в 0, а не в 1, как написано в статье.

[@isden]

Хотя, может быть оно и в 1 было по дефолту. У меня оно почему-то в 0 сбрасывается :(

[@isden]

Есть нюанс :)
answers.microsoft.com/en-us/ie/forum/ie10-windows_8/windows-8-goes-to-bing-by-itself-all-the-time/386e9a25-8149-4ee6-84b4-65332022c2a7

[@isden]

Извиняюсь за флуд, сейчас расскажу с какими проблемами столкнулся при настройке сабжевой штуки.

1. Все сделал, но в свойствах соединения почему-то висело Connection: Limited.
Причина — текстовый файл создавал через vim на сервере. Контент тот же (Microsoft NCSI), но размер был 15 байт. Забрал файл с сайта MS — он размером 14 байт. Положил его вместо своего — все заработало.

2. EnableActiveProbing сбрасывается в ноль при ребуте. Как это решить — пока не выяснил.

[@xandr0s]

Про разный размер — уместное замечание. Сохраняйте исходный у себя вместо создания своего. Тоже сталкивался

[@isden]

Там, проблема, скорее всего, была в юниксовом переносе строк.
Вот примеры файлов с текстом «Microsoft NCSI».

1. Созданный мною через vim путем копипасты текста (в одну строку, перенос явно указан не был):
0000000 694d 7263 736f 666f 2074 434e 4953 000a 000000f

2. Оригинальный с сайта MS:
0000000 694d 7263 736f 666f 2074 434e 4953 000000e

А если делаем вот так:
echo -n "Microsoft NCSI" > test.txt

то получаем:

0000000 694d 7263 736f 666f 2074 434e 4953 000000e

Т.о. можно забить туда любую фразу, но следить за непечатными символами.

[@isden]

Ну т.е. не перенос строки, а EOL. Думал об одном, написал другое :(

[@OCTAGRAM]

Да это во многом банальный DynDNS. Можно DynDNS клиент поставить и следить за IP потом, а можно Windows настроить так, чтобы клиентом DynDNS работала.