Test INF.02 — zestaw 10

Dlaczego tak

Różne rewizje sprzętowe tego samego modelu mogą mieć inne układy radiowe i pamięć, a firmware jest kompilowany dla konkretnego sprzętu, więc wgranie niewłaściwej wersji może trwale unieruchomić urządzenie. Rewizję odczytuje się z tabliczki znamionowej (H/W Ver.) i pobiera plik dla niej przeznaczony. Oznaczenie v2 nie oznacza nowszego oprogramowania, tylko inną wersję sprzętu.

Dlaczego tak

WPA3-Personal wykorzystuje wymianę kluczy SAE odporną na ataki słownikowe offline, a wyłączenie WPS usuwa znaną furtkę do odgadnięcia PIN-u. WEP i TKIP mają znane słabości kryptograficzne i są uznane za przestarzałe. Filtrowanie MAC i ukrycie SSID łatwo obejść, bo te informacje są widoczne w ramkach radiowych, a sieć otwarta nie szyfruje ruchu.

Dlaczego tak

Antena kierunkowa (paraboliczna lub panelowa) skupia energię w wąskiej wiązce, dzięki czemu duży zysk pozwala pokonać 2 km przy dozwolonej mocy i ogranicza zakłócenia z innych kierunków. Anteny dookólne promieniują we wszystkich kierunkach, więc przy zysku 2 dBi zasięg jest zbyt mały. Anteny sektorowe służą do obsługi wielu klientów w wycinku obszaru, a nie do pojedynczego łącza na duży dystans.

Dlaczego tak

CCMP (Counter Mode with CBC-MAC Protocol) wykorzystuje szyfr blokowy AES ze 128-bitowym kluczem do szyfrowania i zapewnienia integralności ramek; to obowiązkowy mechanizm WPA2. RC4 to szyfr strumieniowy stosowany w WEP i w TKIP (WPA), uznany za niebezpieczny. DES jest przestarzałym szyfrem blokowym, a MD5 to funkcja skrótu, a nie algorytm szyfrowania.

Dlaczego tak

Debian jest dystrybucją rozwijaną przez niezależną społeczność, w całości na wolnych licencjach, i można go bez opłat używać na serwerach produkcyjnych. Red Hat Enterprise Linux i SUSE Linux Enterprise Server też są zbudowane z otwartego kodu, ale są produktami komercyjnymi — dostęp do aktualizacji i wsparcia daje płatna subskrypcja. Windows Server jest systemem komercyjnym z rodziny Windows.

Dlaczego tak

Licencjonowanie per core wymaga objęcia licencją każdego rdzenia, ale nie mniej niż 8 rdzeni na procesor i 16 na cały serwer. Procesor ma tylko 4 rdzenie, więc decyduje minimum na serwer — 16 licencji rdzeniowych. Odpowiedź 8 uwzględnia tylko minimum na procesor, a 4 — tylko rzeczywistą liczbę rdzeni. Dostęp użytkowników do serwera wymaga ponadto osobnych licencji CAL.

Dlaczego tak

Opcja /ato (activate online) narzędzia slmgr wysyła żądanie aktywacji zainstalowanego klucza do serwerów Microsoftu lub do firmowego serwera KMS. Opcja /dli tylko wyświetla informacje o licencji i stanie aktywacji, /rearm resetuje okres prolongaty, a /upk odinstalowuje klucz produktu — po niej system pozostałby nieaktywowany.

Dlaczego tak

Windows Server Catalog pełni rolę listy zgodności sprzętowej (HCL): zawiera urządzenia i serwery, które przeszły testy certyfikacyjne dla konkretnej wersji Windows Server, i sprawdza się go przed zakupem oraz instalacją. Menedżer urządzeń i dziennik zdarzeń wymagają już zainstalowanego systemu i pokażą najwyżej, czy sterownik działa, a nie czy sprzęt jest certyfikowany. Msinfo32 na stacji roboczej opisuje zupełnie inny komputer.

Dlaczego tak

Sconfig to menu tekstowe instalacji Server Core (w Windows Server 2022 uruchamia się automatycznie po zalogowaniu), w którym zmienia się nazwę komputera, konfiguruje sieć, dołącza serwer do domeny, włącza pulpit zdalny i aktualizacje. Msconfig służy do ustawień rozruchu systemu, diskpart zarządza dyskami i partycjami, a gpedit.msc to graficzny edytor zasad lokalnych.

Dlaczego tak

Hostnamectl set-hostname zmienia nazwę hosta w działającym systemie i jednocześnie zapisuje ją w pliku /etc/hostname, więc obowiązuje także po restarcie. Polecenie hostname srv01 zmienia nazwę tylko do najbliższego ponownego uruchomienia. Uname -n jedynie wyświetla nazwę, a nadpisanie /etc/hosts usunęłoby wpisy tłumaczenia nazw, nie zmieniając nazwy hosta. Po zmianie warto poprawić też wpis 127.0.1.1 w /etc/hosts.

Dlaczego tak

Do-release-upgrade zmienia źródła pakietów na nowe wydanie i prowadzi administratora przez aktualizację całej dystrybucji, np. z 22.04 do 24.04 LTS. Apt update tylko odświeża listy pakietów, a apt upgrade instaluje nowsze wersje pakietów w ramach bieżącego wydania — system pozostaje w wersji 22.04. Dpkg --configure -a kończy przerwaną konfigurację pakietów i nie zmienia wydania.

Dlaczego tak

Role to główne usługi świadczone przez serwer innym komputerom w sieci — serwer DHCP, serwer DNS czy usługi domenowe AD. Funkcje są narzędziami wspierającymi pracę samego serwera lub jego ról; należą do nich m.in. Kopia zapasowa systemu Windows Server, Klaster trybu failover i Szyfrowanie dysków funkcją BitLocker. Wszystkie trzy pozostałe pozycje kreator wymienia na liście ról.

Dlaczego tak

Samba implementuje protokół SMB/CIFS w systemach Linux, dzięki czemu klienci Windows widzą udziały i drukarki serwera Linux tak samo jak udziały serwera Windows; może też pełnić rolę kontrolera domeny zgodnego z AD. Bind9 to serwer DNS, isc-dhcp-server — serwer DHCP, a Postfix — serwer poczty SMTP. Każdy z nich ma odpowiednik w rolach Windows Server, ale nie w usługach plików.

Dlaczego tak

RRAS (Routing and Remote Access Service) zamienia serwer w router programowy: obsługuje routing między podsieciami, translację NAT oraz serwer VPN dla pracowników łączących się zdalnie. Przydzielanie adresów należy do roli serwera DHCP, tłumaczenie nazw — do serwera DNS, a instalację systemów przez sieć z rozruchem PXE zapewniają Usługi wdrażania systemu Windows.

Dlaczego tak

Install-WindowsFeature dodaje role i funkcje serwera; nazwa DHCP oznacza rolę serwera DHCP, a przełącznik -IncludeManagementTools dokłada konsolę i moduł PowerShell do zarządzania. Add-DhcpServerv4Scope tworzy zakres adresów, ale działa dopiero na serwerze z zainstalowaną rolą. Start-Service i Set-Service operują na istniejącej usłudze DHCPServer, której przed instalacją roli w systemie nie ma.

Dlaczego tak

Dyrektywa range podaje pierwszy i ostatni adres puli, oba włącznie, więc pula liczy 150 − 100 + 1 = 51 adresów. Odpowiedź 50 to typowy błąd odejmowania bez doliczenia jednego końca przedziału. 254 to liczba wszystkich adresów hostów w sieci /24, ale serwer przydziela wyłącznie adresy z zakresu range; brama i serwer DNS mają adresy spoza puli.

Dlaczego tak

Demon sshd czyta plik konfiguracyjny przy starcie, więc zmianę portu zatwierdza się ponownym uruchomieniem usługi — w Debianie nosi ona nazwę ssh. Systemctl enable ustawia jedynie automatyczny start przy rozruchu, a daemon-reload przeładowuje pliki jednostek systemd, a nie konfigurację programu. Status tylko wyświetla stan usługi. Przed restartem warto otworzyć port 2222 w zaporze, by nie stracić dostępu.

Dlaczego tak

VMware ESXi instaluje się bezpośrednio na serwerze — sam jest minimalnym systemem zarządzającym sprzętem i przydzielającym go maszynom wirtualnym, dlatego jest hiperwizorem typu 1, podobnie jak Hyper-V. VirtualBox, VMware Workstation i Parallels Desktop to hiperwizory typu 2: aplikacje uruchamiane w systemie gospodarza (Windows, Linux, macOS), co dodaje warstwę pośrednią i obniża wydajność.

Dlaczego tak

W trybie mostkowanym karta maszyny wirtualnej jest dołączona do fizycznej karty gospodarza i występuje w sieci LAN z własnym adresem MAC, więc dostaje adres z firmowego serwera DHCP i jest osiągalna z innych komputerów. W trybie NAT maszyna dostaje adres z wbudowanego serwera DHCP VirtualBoxa i jest ukryta za adresem gospodarza. Sieć wewnętrzna łączy tylko maszyny wirtualne, a host-only — maszyny z gospodarzem.

Dlaczego tak

Hyper-V wymaga sprzętowego wsparcia wirtualizacji (Intel VT-x lub AMD-V) i translacji adresów drugiego poziomu, a wielu producentów płyt dostarcza je fabrycznie wyłączone w UEFI/BIOS — system widzi wtedy procesor jak pozbawiony tej funkcji. Po jej włączeniu instalacja roli przejdzie. Ilość pamięci, aktywacja systemu ani członkostwo w domenie nie wpływają na wykrywanie funkcji wirtualizacji procesora.

Dlaczego tak

Maszyny generacji 2 korzystają z firmware UEFI (z bezpiecznym rozruchem) i obsługują wyłącznie 64-bitowe systemy gościa, więc 32-bitowego instalatora nie da się z nich uruchomić. Dla takiego systemu trzeba utworzyć maszynę generacji 1 z emulowanym BIOS-em. Generacja 2 obsługuje napęd DVD SCSI z obrazem ISO, nagrywanie płyty nie jest potrzebne, a ilość pamięci nie blokuje startu instalatora.

Dlaczego tak

Windows Server Update Services pobiera aktualizacje od Microsoftu, a administrator zatwierdza je dla wybranych grup komputerów; stacje dostają adres serwera WSUS z ustawienia zasad grupy dotyczącego lokalizacji usługi aktualizacji w intranecie. Opcja 006 DHCP przekazuje adres serwera DNS, a RRAS z NAT jedynie udostępnia stacjom Internet. Ręczne uruchamianie plików .msu nie jest zarządzaniem centralnym.

Dlaczego tak

Baza katalogu Active Directory to plik ntds.dit, domyślnie w folderze %SystemRoot%\NTDS, replikowany między kontrolerami domeny. Plik SAM przechowuje tylko konta lokalne — na kontrolerze domeny służy jedynie kontu trybu przywracania usług katalogowych. Folder SYSVOL zawiera skrypty logowania i pliki zasad grup, a plik hosts — statyczne mapowanie nazw na adresy IP.

Dlaczego tak

Las jest najwyższym poziomem logicznej struktury AD: obejmuje wszystkie domeny dzielące schemat, konfigurację i katalog globalny, a między drzewami lasu istnieją automatyczne relacje zaufania. Drzewo to domeny o ciągłej przestrzeni nazw DNS, np. firma.pl i biuro.firma.pl. Lokacja opisuje fizyczną strukturę sieci (podsieci), a jednostka organizacyjna jest kontenerem wewnątrz jednej domeny.

Dlaczego tak

Install-ADDSForest tworzy nowy las z domeną główną i promuje bieżący serwer do roli jej pierwszego kontrolera, zwykle razem z serwerem DNS. Install-ADDSDomainController dodaje kontroler do domeny, która już istnieje — tu jej jeszcze nie ma. Install-WindowsFeature AD-Domain-Services jedynie instaluje pliki roli, co zostało już zrobione, a Add-Computer przyłącza komputer do domeny jako zwykłego członka.

Dlaczego tak

Nazwa wyróżniająca opisuje ścieżkę od obiektu do korzenia domeny: CN to nazwa obiektu (konta), OU — jednostka organizacyjna, a każdy człon nazwy DNS domeny jest osobnym składnikiem DC. Dlatego firma.local zapisuje się jako DC=firma,DC=local, a nie jako jeden człon. Jednostki organizacyjnej nie oznacza się prefiksem DC ani CN — CN mają kontenery wbudowane, np. CN=Users.

Dlaczego tak

Jednostki organizacyjne tworzone w konsoli mają domyślnie włączoną ochronę obiektu przed przypadkowym usunięciem, realizowaną przez wpis odmowy usuwania dla grupy Wszyscy — dlatego nawet administrator domeny dostaje odmowę. Opcję wyłącza się na karcie Obiekt (po włączeniu widoku funkcji zaawansowanych) lub poleceniem Set-ADOrganizationalUnit z parametrem -ProtectedFromAccidentalDeletion $false. Połączone GPO nie blokują usunięcia, a konto lokalne nie ma uprawnień w domenie.

Dlaczego tak

Parametr -ChangePasswordAtLogon $true odpowiada opcji „Użytkownik musi zmienić hasło przy następnym logowaniu” — po podaniu hasła tymczasowego system wymusi ustawienie nowego, znanego tylko pracownikowi. -PasswordNeverExpires wyłącza wygasanie hasła, -CannotChangePassword wręcz zabrania użytkownikowi zmiany, a -PasswordNotRequired dopuszcza konto bez hasła. Trzy ostatnie ustawienia osłabiają bezpieczeństwo konta.

Dlaczego tak

AGDLP oznacza: konta (Accounts) umieszcza się w grupach globalnych (Global), grupy globalne — w grupach lokalnych domeny (Domain Local), a tym ostatnim nadaje się uprawnienia (Permissions) do zasobu. Odwrotne zagnieżdżenie z ostatniej odpowiedzi jest niemożliwe, bo grupa globalna nie może zawierać grupy lokalnej domeny. Grupa dystrybucyjna służy tylko do poczty i nie dostaje uprawnień, a nadawanie ich pojedynczym kontom utrudnia zarządzanie.

Dlaczego tak

System traktuje profil jako obowiązkowy, gdy gałąź rejestru użytkownika jest zapisana w pliku NTUSER.MAN zamiast NTUSER.DAT — profil wczytuje się normalnie, ale zmiany nie wracają na serwer po wylogowaniu. Rozszerzenie .BAK nie ma takiego znaczenia i bez pliku NTUSER.DAT lub NTUSER.MAN profil nie zostanie załadowany, tak samo jak po usunięciu pliku. Atrybut tylko do odczytu folderu nie blokuje zapisu profilu.

Dlaczego tak

Zasady haseł dla kont domenowych są odczytywane wyłącznie z obiektów GPO połączonych z domeną — standardowo z Default Domain Policy. Ten sam wpis w GPO połączonym z jednostką organizacyjną zmieni tylko zasady lokalnych kont komputerów w tej jednostce, a nie kont domenowych. Default Domain Controllers Policy jest połączona z jednostką Domain Controllers, a zasady lokalne stacji nie dotyczą kont domenowych. Wyjątki dla grup zapewniają obiekty PSO.

Dlaczego tak

LDAPS, czyli LDAP w tunelu SSL/TLS, korzysta z portu TCP 636. Port 389 obsługuje zwykły LDAP — bez szyfrowania albo z szyfrowaniem uzgadnianym przez StartTLS — a 3268 służy zapytaniom do katalogu globalnego (jego wersja szyfrowana działa na 3269). Port 88 należy do protokołu Kerberos, którym uwierzytelniają się komputery i użytkownicy domeny, a nie aplikacja odpytująca katalog przez LDAP.

Dlaczego tak

Zasady stosowane są w kolejności LSDOU: lokalne, lokacja, domena, jednostka organizacyjna. Każdy kolejny poziom nadpisuje sprzeczne ustawienia poprzedniego, więc wygrywa GPO połączony z jednostką organizacyjną, w której jest konto komputera lub użytkownika. Zasady lokalne są stosowane jako pierwsze i mają najniższy priorytet. Kolejność tę zmienia tylko wymuszenie (Enforced) lub blokowanie dziedziczenia.

Dlaczego tak

Stacja odnajduje kontroler domeny przez rekordy SRV w strefie DNS domeny, np. _ldap._tcp.dc._msdcs.firma.local. Publiczny serwer 8.8.8.8 nic nie wie o wewnętrznej strefie firma.local, więc lokalizacja kontrolera się nie udaje, choć sieć działa. Stacja i kontroler są w tej samej podsieci /24, więc zmiana maski lub bramy nic nie da, a sama nazwa NetBIOS nie zastąpi poprawnego DNS.

Dlaczego tak

Narzędzie redircmp zmienia domyślne miejsce tworzenia kont komputerów przyłączanych do domeny — od tej pory nowe konta trafią do OU=Stacje i od razu obejmą je połączone z nią zasady grup. Redirusr robi to samo dla kont użytkowników, a nie komputerów. Dsadd ou utworzyłoby jednostkę, a dsmod ou zmienia jej atrybuty, ale żadne z nich nie przekierowuje nowych kont komputerów.

Dlaczego tak

Narzędzia administracji zdalnej serwera (RSAT) instaluje się w Windows 10/11 Pro i Enterprise jako funkcje opcjonalne; zawierają m.in. konsolę Użytkownicy i komputery usługi AD oraz moduł ActiveDirectory dla PowerShell, które łączą się z kontrolerem przez sieć. Ról serwerowych nie da się zainstalować w systemie klienckim. Sam plik dsa.msc bez bibliotek przystawki nie zadziała, a pulpit zdalny na stacji pozwala łączyć się z nią, nie z kontrolerem.

Dlaczego tak

Kontroler RODC przechowuje kopię katalogu tylko do odczytu i domyślnie nie buforuje haseł kont — zapisuje je wyłącznie dla kont wskazanych w zasadach replikacji haseł. Po kradzieży wystarczy więc zresetować hasła nielicznych kont, a zmiany zrobione na skradzionym serwerze nie zreplikują się do domeny. Zapisywalny kontroler, także z katalogiem globalnym, zawiera skróty haseł wszystkich kont, a DHCP nie chroni katalogu.

Dlaczego tak

Rename-NetAdapter zmienia nazwę (alias) interfejsu sieciowego, którą widać w Połączeniach sieciowych i której używają inne polecenia w parametrze -InterfaceAlias. Set-NetAdapter zmienia właściwości karty, takie jak identyfikator VLAN czy adres MAC, ale nie ma parametru -NewName. Rename-Computer zmieniłby nazwę całego serwera, a Set-NetIPInterface konfiguruje parametry IP istniejącego interfejsu, nie jego nazwę.

Dlaczego tak

Każda linia pliku /etc/hosts zaczyna się od adresu IP, po którym następuje nazwa hosta i ewentualne aliasy, oddzielone spacjami lub tabulatorami. Odwrócona kolejność z pierwszej odpowiedzi nie zostanie poprawnie zinterpretowana. Wpis nameserver należy do pliku /etc/resolv.conf i wskazuje serwer DNS, a składnia IN A to rekord zasobu w pliku strefy serwera DNS, np. BIND.

Dlaczego tak

Netplan odczytuje pliki YAML z katalogu /etc/netplan, generuje z nich konfigurację dla backendu (systemd-networkd lub NetworkManager), a polecenie netplan apply od razu ją stosuje. Netplan generate tylko tworzy pliki dla backendu, nie aktywując zmian. Usługa networking i polecenie ifup należą do pakietu ifupdown, który czyta plik /etc/network/interfaces, a nie konfigurację netplan.