VAMT прокси-активация
Содержание лекции: VAMT прокси-активация
Расшифровка лекции: VAMT прокси-активация
Полный текст первых минут лекции «VAMT прокси-активация» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Добро пожаловать на лекцию про Proxy Activation, активация через VMT в изолированной среде с помощью Proxy. Мы на предыдущей лекции установили VMT в изолированном месте, в изолированной сети.
У нас нету домейна, у нас нету центрального сервера с Active Directory, у нас только Workgroup, Маленькая лаборатория на 20 компьютеров и нам надо сделать Discover Products, чтобы узнать, какие компьютеры есть вокруг нас и им сделать активацию.
Мы сделаем Discover Product с помощью IP-адреса. Мы можем сделать через Active Directory, но у нас нет Active Directory, поэтому мы напишем IP-адрес вот этого второго изолированного нашего соседа.
Давайте только проверим его IP-адрес, IP-конфиг. Мы видим, кстати, что у нас нет Default Gateway, нет роутера. Я проверил, что IP-адрес правильный.
И давайте проверим ping, что у нас нет проблемы со связью. Все Windows по умолчанию я ничего не изменял. Мы только на предыдущей лекции установили вот этот VMT.
И делаем сейчас Discover, Search. И он должен к нему достучаться. Он его действительно увидел, но не может получить его статус. Почему? Потому что то, что он существует и к нему есть ping, Это не значит, что у нас есть информация о его лицензии.
Нам надо сделать Update License Status и получить информацию про его лицензию. Делаем рейт-клик. Мы можем подключиться с нашим именем и паролем или с другим именем и паролем тому компьютеру.
Мы пишем другое имя и пароль. Почему? Потому что в том компьютере совершенно другой пользователь. У нас нет центрального домейн-контроллера, на который мы все полагаемся и ему доверяем.
Видите, в этом компьютере есть пользователь под именем Dan. А этот пользователь, кстати, в группе администраторов, то есть у него есть все права доступа, которые требуются.
А в этом компьютере вообще нету пользователя Dan. Здесь вообще совершенно другой пользователь – админ.
Я специально заранее создал разных пользователей. И когда мы подключаемся к удаленному компьютеру, чтобы делать с ним какие-то действия, там, например, получить от него информацию про лицензии, нам надо выбрать другие credentials, alternate credentials, другие
имена и пароли, альтернативный имя и пароль, потому что мои текущие current credentials не подойдут, мои текущие имя и пароль не подойдут, потому что тот компьютер не доверяет моему компьютеру, каждый сам за себя.
И мы пишем имя и пароль того компьютера и подключаемся к нему с его именем и паролем, но нам это не помогает, у нас access denied, отказ в доступе.
Почему? Потому что надо что-то разрешить в Security, что-то надо все-таки сделать. И это самое время обратиться к документации Microsoft и посмотреть, что надо все-таки сделать.
В таких случаях документация очень помогает, потому что Microsoft описали точно, что требуется сделать на компьютеров клиентов, чтобы VMT заработала.
Ведь же Microsoft все проверяет и все документирует. И видите, здесь есть такая статья, что require требуется сделать на всех компьютерах клиента.
И я вижу, что здесь написано, что-то разрешить в firewall на компьютере клиента и что-то разрешить в registry. И этот registry связан с UAC, User Account Control.
Это вот эта вот табличка. ты уверен, что ты хочешь быть администратором, чтобы эта табличка не прыгала, когда мы удаленно пытаемся получить права доступа администратора.
То есть нам надо отключить UAC и разрешить Firewall. Этот UAC мы его не полностью отключаем, а разрешаем получить права администратора с удаленного доступа.
И это для компьютеров, в которых нет домейна. Как нам разрешить Firewall? Здесь все написано. У нас есть два варианта, либо через обычный Firewall, либо через расширенный Firewall.
И надо разрешить вот эту вот группу WMI, Windows Management Instrument, то есть команды WMI, чтобы могли ходить издалека в этот компьютер. Команды по управлению Windows, Windows Management Instrument.
И мы также можем то же самое сделать через расширенный интерфейс того же самого Firewall. То есть у нас есть два интерфейса на наш Firewall.
Мы сейчас посмотрим оба способа, а потом сделаем registry и потом сделаем активацию через прокси. Так, давайте начнем с того, что мы в этом изолированном клиенте пойдем в firewall, в простой firewall.
Видите, allow an app through Windows Firewall, разрешить приложением, проходить через firewall и каким таким приложением и какому трафику мы разрешаем.
Здесь вот есть список уже готовый. Мы могли бы сделать Add, но нам Microsoft уже подготовили, видите, такое место, поставить галочку для WMI и для приватных сетей, и для публичных сетей.
Из-за того, что это изолированная среда, я не боюсь разрешать WMI на все типы сетей. Каждый раз, когда я подключаю новый Wi-Fi или к новой сети подключаюсь, он меня спрашивает, это приватная сеть или публичная сеть, какие правила Firewall включить.
Я говорю, для обоих сетей включи это разрешение, потому что этот физический компьютер в изолированной среде и ничего нет опасного.
Так, мы разрешили это в простом интерфейсе. Мы можем то же самое увидеть, точно то же самое в расширенном интерфейсе, только у нас будет три галочки.
Почему три галочки? Потому что есть три правила, которые нам надо включить. И мы не идем в простой интерфейс, как мы сделали до этого, а пишем Advanced. В принципе, это один и тот же Firewall, вопрос, насколько детализирована информация.
И в Advanced Firewall, это расширенный графический интерфейс, мы ищем WMI группу. Вот эта вот группа, это то, что мы разрешали до этого, видите, колонка группы.
И вот тогда мы поставили одну галочку, и это разрешило вот всю эту группу. А мы могли более детализированно разрешать каждое правило отдельно. Видите, у меня всего 6 зеленых галочек, то есть 3 для публичных сетей и 3 для приватных сетей.
И я также могу здесь в Remote Scope разрешить конкретные IP-адреса, чтобы не все могли мне WMI посылать команды и управлять моим Windows издалека, а добавить конкретные IP-адреса и сюда их вписать.
И так поднять security, что не любой человек сможет управлять моим компьютером издалека. Но это изолированная среда, поэтому я не так сильно беспокоюсь.
Короче, можно поставить три галочки, но у нас получилось шесть, потому что мы разрешили и публичную сеть, и приватную сеть. Поэтому у нас получилось шесть галочек.
Это мы разрешили вход командам WMI извне в наш компьютер. Кстати, если бы у нас был бы еще и domain здесь, то есть у нас было бы центральное управление, у нас было бы девять галочек.
Теперь нам осталось в registry разрешить права администратора, То есть поставить один ключик в registry, вот этот вот local account token filter policy.
Потому что без него, опять же, у нас ничего не получится. Давайте попробуем, убедимся, что несмотря на то, что мы открыли firewall, access is denied.
Мне отказано в доступе. Так, давайте откроем registry editor, regedit и пойдем по нашему пути. Я только его не помню, поэтому я его скопирую, чтобы он у меня был перед глазами.
в Notepad, в блокнот, и вот он здесь, hqlocal machine, hqlm - это сокращение, это hqlocal machine, software, Microsoft. В Registry это только настройки, да, настройки разных приложений и настройки самого Windows. Это такое центральное место для всех настроек компьютера. В
этом была оригинальная идея Microsoft сделать этот Registry. Вообще все это начиналось с центральной регистрации DCOM-ов, потом там стали все настройки и мы ищем этот путь и вот я его нашел давайте сверим что этот путь соответствует тому что написано
видите наверху в интерфейсе здесь есть вот этот вот путь да я вижу windows current version policy system прекрасно мы в правильном месте и теперь нам надо взять и создать вот такой вот ключик local account и в него вставить единичку типа DWORD. Давайте посмотрим, существует ли
он уже. Я вижу, что его здесь не существует. Сделаем новый такой ключик. Ставим ему имя, которое будет искать программа Windows. Операционка будет искать именно это имя. И вот мы его создали здесь. Я люблю себя перепроверять, поэтому сделаем
Refresh, View, Refresh и перепроверим, что мы все сделали хорошо. Вот он здесь появился. И тип данных QWord. Я сделал не тот тип данных. Видите, хорошо, что мы сами себя проверили.
Оказывается, я случайно нажал QWord, а надо DWORD. Я не хочу убрать никакие риски. Я хочу сделать все по инструкции Microsoft и делаю. Теперь еще раз создаю этот же ключик, только с названием DWORD, с типом данных DWORD. Это тип данных, который находится внутри этого значения,
внутри этого ключика. Да, я вижу, имя правильное, тип данных правильных и значение правильное. Что мы здесь еще видим внизу? Мы видим, что Microsoft нам написали, что нам надо сделать Discovery, Network Discovery. Это соседи по сети, то что называется. Мы это сделали уже на предыдущей
лекции, но давайте еще раз зайдем и проверим, что в Network здесь вот нету желтого сообщения "разрешить Discovery" и он действительно ищет соседей по сети. Прекрасно, значит у нас Network Discovery ключом.
Все, мы сделали то, что они требовали и сделаем сейчас Update на Status и мы видим Updating License Status. Он действительно что-то там делает и смог получить статус нашей лицензии. Потрясающе, мы видим, что у нас есть Windows Professional, а не
Home, а не домашняя версия, и мы видим, что у нас нет активации Not Genie, то есть у нас еще активации нет, и ключик типа Retail. Мы, кстати, можем этот Product Key поменять на наш, который мы купили, то есть сделать right-click Install Product Key, установить другой ключ и на этот новый наш ключ сделать активацию. Наши ключи
надо предварительно вбить вот в этот список то, что мы купим от Microsoft. И после того, когда мы их вбили