Перейти к содержанию

Recommended Posts

blood

Добрый день,

Столкнулся с проблемой - Есть центральный офис(Установлен SEPM) и есть удаленный филиал. Филиальные клиенты поместил в отдельную группу и в настройках поставился обновлять с Поставщика обновления группы, находящегося в той же группе

config1.JPG

Далее клиенты обновляются по следующему маршруту(выяснено снифером и нетстатом)

Клиент - Прокси -GUP Смысл GUPа теряется при такой схеме.

Все проблемы с перенаправлением поотключал, на клиенте нет ни одного упоминания о прокси. Кстати старые клиенты симантека так и продолжают пытаться подключиться к вторичному серверу(который стоял до GUP) по порту 2967 и при чем соединение идет напрямую.

Вручную если цепляешься на GUP по порту 2967 все идет напрямую

В чем может быть дело?

Ниже схема построения

config2.JPG

post-5489-1237550297_thumb.jpg

post-5489-1237550655_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
blood

Прошу прощения, проблемы были все же с ISA Firewall Client - записи в реестре остались, проблема решена.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Прошу прощения, проблемы были все же с ISA Firewall Client - записи в реестре остались, проблема решена

А можете подробнее рассказать о причинах, так как другим пользователям может пригодиться ваш опыт

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
blood
А можете подробнее рассказать о причинах, так как другим пользователям может пригодиться ваш опыт

Оказалось все очень просто - Первоначальное решение было - удалять Иса файервол клиент - перегружать - устанавливать новый - перегружать - после этого работало, но это решение не очень "удобное". Начал копать файлы - настроек файервол клиента - идентичны, добавление в правила о пропуске локальных адресов - непомогало, так же как создание файлика Localat. Пошел дальше выгрузил ветку реестра HKLM до удаления клиента и ее же после установки - никаких существенных различий. В итоге решил отстраниться от причины а заняться следствием - ведь симантек общается по HTTP и запускается из под local system, соответственно проблема в настройках прокси для local system, а эти настройки - HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections - здесь очистил обе переменные, HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings - убрал упоминания о проксе. Тоже самое произвел в ветке HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings и все заработало.

  • Upvote 10

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

Грамотный подход, blood: 'отстраниться от видимых причин и заняться следствием'. Плюсик потом получите (я к сожалению уже набрал квоту по изменению статусов на сегодня).

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
blood

Добрый день,

Как ни печально, но это не помогло. Через некоторое время опять клиенты начинают цепляться через прокси. Что делал - полностью удалял на клиенте файерволл агента, отключал везде настройки прокси и автоматического определения прокси - без результатно. Тех саппорт симантека молчит уже неделю, хотя у кейса 2 статус.

Думаю что где-то стоит кэш соединения который берется из настроек браузера пользователя. Но нигде ничего найти не могу. :(

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
хотя у кейса 2 статус

киньте мне в ЛС номера кейсов

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
blood

Добрый день,

Продолжу свою эпопею.

Дозвонился в саппорт обрисовал ситуацию - в итоге я был очень близко, но они предложили - другой вариант решения - запустить iexplorer из под учетки System и выставить параметры подключения в итоге это те же 2 параметра SavedLegacySettings и DefaultConnectionSettings в ветках [HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections] и [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections]

Инструкция как запустить iexplorer из под учетки System:

Click Start > Run

Type cmd and click OK

Type in this the following command and press Enter:

at 12:00 /INTERACTIVE "C:\Program Files\Internet Explorer\iexplore.exe"

You should receive a confirmation stating "added a new job..."

Navigate to the Control Panel and open Scheduled Tasks

Right-click the new task just created in the previous step (probably named "At1") and click Run.

This will open an Internet Explorer window that will now be running under the SYSTEM account.

Go to the Tools menu and select Internet Options

Select the Connections tab and click the LAN Settings button.

Uncheck Use a proxy server for your LAN

Click OK twice

Click Start > Run

Type SMC -stop and click OK.

The Symantec Endpoint Protection icon should disappear from the system tray.

Click Start > Run

Type in SMC -start and click OK. The Symantec Endpoint Protection icon should appear in the system tray and should now display a green dot indicating that it is connected to the Symantec Endpoint Protection Manager.

В итоге все заработало правильно

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ejik

Кирилл Керценбаум

как я понял из мануала, GUP ставится на клиентский комп, который в свое время подключен к SEPM?

У меня такая ситуация, 30 региональных офисов в каждом от 1 до 10 машин, на них установлен не упровляемые клиенты, можно ли на такого клиента поставить GUP и чтобы он качал обновления с SEPM в головном офисе и раздовал уже остальным клиентам в своем региональном офисе?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
У меня такая ситуация, 30 региональных офисов в каждом от 1 до 10 машин, на них установлен не упровляемые клиенты, можно ли на такого клиента поставить GUP и чтобы он качал обновления с SEPM в головном офисе и раздовал уже остальным клиентам в своем региональном офисе?

К сожалению нет, клиенты должны быть управляемыми, хотя бы как минимум клиент с GUP

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ejik

И еще вопрос, GUP не найду в дитрибутиве скаченого с fileconnect.symantec.com SEPM_11.0.4 MR4 MP2 Ru, или его нужно качать отдельно?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
или его нужно качать отдельно?

GUP - это функционал, который встроен в код любого клиента SEP, но не работает. Как только Вы в политике LiveUpdate в SEPM назначаете какой-то SEP клиент GUPом, он об этом уведомляется и начинает функционировать дополнительно как GUP. Повторюсь - им может быть любой ПК, где просто установлен SEP клиент

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ejik

Кирилл Керценбаум

уточнить хотел, GUP-ом может быть только управляемый клиент. Если я в каждом региональном офисе установлю по одному управляемому клиенту и сделаю их GUP-ом, то остальных не управляемых клиентов я натравливаю на GUP, такая схема будет работать?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
то остальных не управляемых клиентов я натравливаю на GUP, такая схема будет работать?

Можно попробовать, для этого нужно будет выгрузить пакет с политиками для группы, в которой уже настроен GUP, а затем этих клиентов расставить, если они не смогут достучаться до SEPM, то они будут как бы Неуправляемыми

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ejik
Можно попробовать, для этого нужно будет выгрузить пакет с политиками для группы, в которой уже настроен GUP, а затем этих клиентов расставить, если они не смогут достучаться до SEPM, то они будут как бы Неуправляемыми

Что -то я вас не понял.

Я поступаю так на SEPM создаю группу например Астана добавляю в эту группу клиента из региона Астана. Настраеваю политику так что этот комп становится GUP - ом. Теперь задача натравить в Астане остальных неупровляемых клиентов на ту машину которая теперь является GUP - ом.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Теперь задача натравить в Астане остальных неупровляемых клиентов на ту машину которая теперь является GUP - ом.

Для этого после настроек нужно выгрузать пакет инсталляции с политиками именно этой группы и расставить его на требуемых ПК. Если SEPM будет недоступен, то они соответственно будут работать как неуправляемые, но будут знать IP адрес GUPа

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ejik

Не найду как выгрузить пакет инсталляции с политиками. Захожу на SEPM->клиенты->выбираю нужную группу->

установочные пакеты и здесь доступны следующие действия: изменить установочный пакет, удалить установочный пакет, скопировать параметры развертывания и добавить установочный пакет или я не там смотрю?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Не найду как выгрузить пакет инсталляции с политиками. Захожу на SEPM->клиенты->выбираю нужную группу->

Нет, это делается в разделе Администрирования, Пакеты Инсталляции - там при выгрузке нового пакета можно выбрать группу, с политиками которой Пакет будет создан

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ejik

Кирилл Керценбаум, да получилось, спасибо! И еще вопрос, можно выставить приоритет, что бы клиенты сначала попытались обновиться с GUPa, а если не получилось, то потом ломились на SEPM?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
angel-keeper

Да можно.

Это делается в настройках GUP-а.

Обратите внимание на первый пост там показана картинка http://www.anti-malware.ru/forum/index.php...ost&id=3727

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pablo Z

Как можно проверить что GUP работает, что клиент является GUP-ом и что он закачивает обновления?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Polyanskiy
Как можно проверить что GUP работает, что клиент является GUP-ом и что он закачивает обновления?

Если на клиенте идет траффик через порт 2967 по HTTP - то

клиент является GUP-ом и закачивает обновления с SEPM

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
что клиент является GUP-ом

В MR5 в списке клиентов будет видно какие из них являются GUP

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pablo Z

ждем-с :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ejik

Кто может помочь, проблема такая: есть SEPM стоит в ГО (головном офисе) к нему подключены все компы + региональный филиалы все компов 200, проблема с региональными компами при подключении к SEPM они забивают канал (в тех регионах где канал = 128 mb), на SEPM создал группы для каждого регионального представительства, в каждой группе свой GUP. Все обновления поставил в ночное время. Поменял период контрольного сигнала на 12 ч. Но и это не помогает. Люди помогите пож-та, что можно сделать?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×