Test INF.02 — zestaw 23

Dlaczego tak

Rola AD CS tworzy urząd certyfikacji, który wystawia i unieważnia certyfikaty dla użytkowników, komputerów i usług, a w domenie może je przydzielać automatycznie przez zasady grupy. AD FS służy do logowania jednokrotnego między organizacjami i aplikacjami na podstawie tokenów, choć sam korzysta z certyfikatów, ale ich nie wystawia. AD LDS to lekki katalog LDAP dla aplikacji, a AD RMS chroni dokumenty przed nieuprawnionym kopiowaniem.

Dlaczego tak

Nginx, podobnie jak Apache, jest serwerem HTTP, więc zastępuje rolę Serwer sieci Web (IIS). Vsftpd jest serwerem FTP, a odpowiednikiem serwera DNS byłby bind9. Postfix to serwer poczty SMTP, a nie DHCP (tu właściwy byłby np. isc-dhcp-server lub Kea), natomiast usługi plików dla klientów Windows zapewnia Samba, a nie bind9.

Dlaczego tak

Serwer zasad sieciowych (NPS) to implementacja serwera RADIUS w Windows Server: przyjmuje od punktów dostępowych żądania uwierzytelnienia 802.1X i sprawdza poświadczenia w Active Directory według zdefiniowanych zasad. RRAS zapewnia routing i serwer VPN, który sam może korzystać z NPS, ale nie jest serwerem RADIUS dla punktów dostępowych. WDS służy do instalowania systemów przez sieć, a RDS do udostępniania sesji i aplikacji zdalnych.

Dlaczego tak

Polecenie systemctl status wyświetla w wierszu Loaded informację, czy jednostka jest enabled (uruchamiana przy starcie), a w wierszu Active jej bieżący stan, np. active (running), wraz z ostatnimi wpisami dziennika. dpkg -l potwierdza jedynie, że pakiet jest zainstalowany, a apt show podaje jego opis i wersję. systemctl start uruchamia usługę, ale niczego nie raportuje o jej automatycznym starcie.

Dlaczego tak

Rekord CNAME tworzy alias: nazwa po lewej stronie wskazuje nazwę kanoniczną po prawej, a poczta jest aliasem srv2 o adresie 10.0.0.11, więc ftp też musi wskazywać srv2. Rekord A wymaga adresu IPv4, a nie nazwy hosta, więc wpis A z nazwą srv2 jest błędny. Odwrócony wpis uczyniłby srv2 aliasem ftp i kolidowałby z istniejącym rekordem A, a alias srv1 prowadziłby do serwera WWW 10.0.0.10.

Dlaczego tak

Program testparm wczytuje plik smb.conf, zgłasza nieznane lub błędnie zapisane parametry i wyświetla sparsowaną konfigurację udziałów, dlatego uruchamia się go przed systemctl reload smbd. smbstatus pokazuje bieżące połączenia i zablokowane pliki, a smbpasswd -a dodaje użytkownika do bazy haseł Samby. systemctl status mówi tylko, czy usługa działa, a nie czy nowa konfiguracja jest poprawna.

Dlaczego tak

Dwa procesory po 8 rdzeni dają 16 rdzeni fizycznych, a Hyper-Threading udostępnia na każdym rdzeniu dwa wątki, więc system widzi 2 · 8 · 2 = 32 procesory logiczne. Wynik 16 pomija Hyper-Threading, a 8 to liczba rdzeni tylko jednego procesora. Wartość 64 powstaje przy dwukrotnym liczeniu wątków; maszynom można przydzielić więcej procesorów wirtualnych niż logicznych, ale wtedy współdzielą one czas tych 32 wątków.

Dlaczego tak

Przełącznik wewnętrzny łączy maszyny wirtualne ze sobą i z hostem, który otrzymuje do niego własną wirtualną kartę sieciową, ale nie jest powiązany z fizyczną kartą serwera. Przełącznik prywatny izoluje maszyny także od hosta, więc nie spełnia wymagań. Przełącznik zewnętrzny, z udostępnieniem karty hostowi lub bez niego, podłącza maszyny do fizycznej sieci, czyli robi to, czego chcemy uniknąć.

Dlaczego tak

W systemach klienckich Windows Hyper-V jest funkcją opcjonalną, włączaną cmdletem Enable-WindowsOptionalFeature z parametrem -Online (bieżący system) i -All, który dołącza funkcje zależne, w tym konsolę i moduł PowerShell. Install-WindowsFeature należy do modułu ServerManager i działa tylko w Windows Server. Enable-VMIntegrationService i New-VM wymagają już zainstalowanego Hyper-V, bo konfigurują lub tworzą maszyny wirtualne.

Dlaczego tak

Windows 11 wymaga m.in. modułu TPM 2.0 i bezpiecznego rozruchu UEFI, a w maszynie generacji 2 wirtualny TPM włącza się w sekcji Zabezpieczenia ustawień. Pozostałe parametry maszyny spełniają minimum: 4 GB RAM, 2 rdzenie i 64 GB miejsca. Generacja 1 nie obsługuje UEFI ani wirtualnego TPM, więc pogorszyłaby sytuację, a typ karty sieciowej nie wpływa na sprawdzanie wymagań.

Dlaczego tak

Przekierowanie folderów, ustawiane w konfiguracji użytkownika obiektu GPO, zmienia lokalizację folderów takich jak Dokumenty czy Pulpit na ścieżkę sieciową, np. \\SRV1\Dane$\%USERNAME%, dzięki czemu pliki są na serwerze i obejmuje je jego kopia zapasowa. Profil obowiązkowy nie zapisuje zmian użytkownika, więc dokumenty by znikały. Przypisanie oprogramowania instaluje aplikacje, a zasady ograniczeń oprogramowania blokują uruchamianie programów.

Dlaczego tak

Usługa lokalizatora kontrolerów domeny wysyła zapytania DNS o rekordy SRV, np. _ldap._tcp.dc._msdcs.firma.local czy _kerberos._tcp.firma.local, które wskazują nazwę i port kontrolera oferującego daną usługę. Dlatego stacja musi używać serwera DNS domeny. Rekordy MX służą do dostarczania poczty, PTR do tłumaczenia adresów na nazwy, a alias CNAME nie niesie informacji o usługach LDAP i Kerberos.

Dlaczego tak

Emulator PDC synchronizuje czas w domenie, a pozostałe kontrolery przesyłają do niego zmiany haseł w pierwszej kolejności, dlatego przy nieudanym logowaniu sprawdza się hasło właśnie na nim; obsługuje też blokady kont. Wzorzec RID przydziela kontrolerom pule identyfikatorów względnych do tworzenia obiektów, a wzorzec infrastruktury aktualizuje odwołania do obiektów z innych domen. Wzorzec schematu działa raz na las i kontroluje zmiany schematu.

Dlaczego tak

Cmdlet Install-ADDSDomainController promuje serwer na kolejny kontroler istniejącej domeny; replikuje on bazę katalogu z pierwszego kontrolera, a z -InstallDns dodatkowo instaluje serwer DNS ze strefą zintegrowaną z AD. Install-ADDSForest tworzy nowy las, a więc zupełnie nową, osobną domenę. Add-Computer jedynie dołącza serwer do domeny jako członka, a Install-WindowsFeature instaluje rolę, która już jest zainstalowana, i nie zna parametru -InstallDns.

Dlaczego tak

Substring(0, 1) pobiera pierwszy znak imienia (Z), do niego doklejane jest nazwisko (Wrona), a ToLower() zamienia całość na małe litery, co daje zwrona. Parametr -Path wskazuje nazwę wyróżniającą jednostki OU=Handel, więc konto powstanie w tej jednostce, a nie w domyślnym kontenerze Users. Login z wielką literą pomija wywołanie ToLower(), a warianty zofiaw i wronaz odwracają kolejność łączenia.

Dlaczego tak

Get-ADUser odnajduje konto, a Move-ADObject przenosi przekazany potokiem obiekt katalogu do kontenera podanego w -TargetPath, tu do jednostki OU=Ksiegowosc. Set-ADUser modyfikuje atrybuty konta, ale nie ma parametru -Path i nie zmienia położenia obiektu. Rename-ADObject zmienia tylko nazwę (CN) obiektu, a Move-Item przenosi elementy systemu plików, a nie obiekty usługi Active Directory.

Dlaczego tak

Set-ADAccountExpiration ustawia atrybut accountExpires, więc od podanej chwili, tu od północy 1 stycznia 2027 r., logowanie na konto jest odrzucane bez udziału administratora. Disable-ADAccount wyłącza konto natychmiast, a stażysta pracuje jeszcze do końca roku. Wyłączenie opcji PasswordNeverExpires dotyczy wygasania hasła, a nie konta, a Set-ADAccountPassword -Reset tylko ustawia nowe hasło.

Dlaczego tak

Parametr -GroupScope Global nadaje grupie zakres globalny, a -GroupCategory Security tworzy grupę zabezpieczeń, którą można umieszczać na listach ACL. Grupa dystrybucyjna (Distribution) służy tylko do wysyłania poczty i nie może otrzymywać uprawnień. Zakres DomainLocal tworzy grupę lokalną w domenie, a New-LocalGroup tworzy grupę w lokalnej bazie kont komputera, a nie w Active Directory.

Dlaczego tak

Zmienna %username% zostaje przy zapisie zamieniona na nazwę logowania, więc każde konto otrzymuje własny folder w udziale, do którego przy wylogowaniu kopiowany jest profil. Sama ścieżka udziału kazałaby wszystkim użytkownikom korzystać z jednego folderu. Zmienna %computername% tworzyłaby folder dla komputera, a nie użytkownika, a ścieżka lokalna C:\Users oznacza zwykły profil lokalny, nie mobilny.

Dlaczego tak

Wymagania złożoności Windows to znaki z co najmniej trzech z czterech kategorii (wielkie litery, małe litery, cyfry, znaki specjalne) oraz brak loginu konta w haśle. Burza#Lipiec7 ma 13 znaków i wszystkie cztery kategorie. Jkowalski2026! zawiera login jkowalski, serwerownia2026 ma tylko dwie kategorie, a Ser#wer26 spełnia złożoność, ale ma 9 znaków, czyli mniej niż wymagane 10.

Dlaczego tak

Opcja -D podaje tożsamość do uwierzytelnienia (bind) w katalogu, -W każe zapytać o jej hasło, -b wyznacza bazę wyszukiwania, a ostatni argument to filtr LDAP, który wybiera obiekt o atrybucie sAMAccountName równym jkowal. ldapsearch tylko odczytuje dane — do zmian służą ldapmodify i ldapadd. Adres ldap:// oznacza zwykłe połączenie na porcie 389, a nie LDAPS na porcie 636.

Dlaczego tak

gpresult /r wyświetla wynikowy zestaw zasad (RSoP): listę obiektów GPO zastosowanych do komputera i do użytkownika oraz tych, które zostały odfiltrowane, np. z powodu filtrowania zabezpieczeń lub wyłączenia łącza. gpupdate /force wymusza ponowne pobranie zasad, ale nie mówi, które zadziałały. gpedit.msc edytuje lokalne zasady komputera, a secedit /refreshpolicy to przestarzałe polecenie odświeżania z Windows 2000.

Dlaczego tak

Add-Computer z parametrem -DomainName dołącza komputer do domeny, a -Credential podaje konto domenowe uprawnione do dodawania komputerów; po restarcie można logować się kontami domenowymi. Wariant -WorkgroupName przeniósłby stację do grupy roboczej o nazwie firma.local. New-ADComputer tylko tworzy w katalogu obiekt komputera i nie zmienia ustawień stacji, a Rename-Computer zmienia nazwę samego komputera.

Dlaczego tak

Komputer domenowy co około 30 dni zmienia hasło swojego konta w AD, więc stara kopia zapasowa ma nieaktualne hasło i bezpieczny kanał z kontrolerem nie może zostać zestawiony. Test-ComputerSecureChannel z -Repair ustawia nowe hasło konta komputera i odbudowuje kanał. gpupdate wymaga działającego kanału, ipconfig /registerdns tylko odświeża rekordy DNS, a Test-NetConnection jedynie sprawdza, czy port LDAP kontrolera odpowiada.

Dlaczego tak

Invoke-Command przesyła blok skryptu przez WinRM i uruchamia go na DC1, gdzie moduł ActiveDirectory jest dostępny, a do stacji wracają tylko wyniki. Search-ADAccount z parametrem -Server wskazuje kontroler, ale sam cmdlet wykonuje się lokalnie, więc bez modułu na stacji polecenie nie zostanie rozpoznane. Get-WinEvent odczyta dziennik System, a nie listę kont, a Test-WSMan jedynie sprawdza dostępność usługi WinRM.

Dlaczego tak

Kopia stanu systemu wykonana przez Kopię zapasową systemu Windows Server obejmuje na kontrolerze domeny bazę NTDS.dit z dziennikami, folder SYSVOL, rejestr i pliki rozruchowe w spójnym stanie, uzyskanym dzięki usłudze kopiowania woluminów w tle. Robocopy nie skopiuje otwartej, używanej bazy w sposób spójny. wbadmin get versions tylko wyświetla istniejące kopie, a vssadmin list shadows pokazuje istniejące kopie w tle woluminu C:, niczego nie zapisując na dysku E:.

Dlaczego tak

W przewidywalnych nazwach systemd przedrostek en oznacza Ethernet (wl — Wi-Fi), litera p z numerem wskazuje numer magistrali PCI, a s z numerem — gniazdo (slot) urządzenia na tej magistrali. Nazwa nie zależy więc od kolejności wykrywania kart, jak w dawnym schemacie eth0, eth1. Nie koduje też prędkości łącza ani typu sieci innego niż wskazany przedrostkiem.

Dlaczego tak

Plik hosts w katalogu drivers\etc zawiera statyczne odwzorowania adres–nazwa, sprawdzane przed zapytaniem do serwera DNS; wpis ma postać 192.168.1.30 nas01. Plik lmhosts.sam to przykładowy plik dla nazw NetBIOS, który działa dopiero po zapisaniu jako lmhosts i nie dotyczy nazw DNS. Plik networks przechowuje nazwy sieci, a nie hostów, a katalog config zawiera pliki rejestru.

Dlaczego tak

Kolumna stanu wskazuje, że wyłączony (DOWN) jest interfejs enp0s8, a stan łącza zmienia się poleceniem ip link set z argumentem up. Interfejs enp0s3 już działa, więc jego włączanie niczego nie zmieni. Polecenie ip addr add służy do przypisywania adresów i nie przyjmuje słowa up, a dodanie trasy domyślnej przez wyłączony interfejs nie uaktywni go.

Dlaczego tak

W grupie roboczej nie ma wspólnej bazy kont: każdy komputer uwierzytelnia na podstawie własnych kont lokalnych. Jeśli na PC2 istnieje konto o tej samej nazwie i tym samym haśle, poświadczenia przesłane z PC1 zostaną przyjęte bez pytania o hasło. Nazwa grupy roboczej służy tylko do grupowania komputerów przy przeglądaniu sieci, a członkostwo w grupie Administratorzy na PC1 nie daje żadnych praw na PC2.

Dlaczego tak

Usługa Klient DHCP ma w systemie Windows nazwę krótką Dhcp i to ją uruchamia Start-Service; po jej starcie karta wyśle żądanie do serwera DHCP. DHCPServer to nazwa usługi roli Serwer DHCP w Windows Server, której na stacji nie ma. Restart-NetAdapter oczekuje nazwy karty sieciowej, a nie usługi, a Set-NetIPInterface -Dhcp Disabled wyłączyłby automatyczne pobieranie adresu.

Dlaczego tak

Podsieć /28 ma 16 adresów, od 10.1.1.32 do 10.1.1.47: pierwszy to adres sieci, ostatni rozgłoszeniowy, więc pierwszym adresem hosta jest 10.1.1.33. Przypisanie 10.1.1.32 oznaczałoby użycie adresu sieci. Prefiks /24 zamiast /28 daje maskę 255.255.255.0, czyli inną, większą sieć, a ip route add dodaje trasę, a nie adres interfejsu.

Dlaczego tak

Klient bez adresu rozgłasza DHCPDISCOVER, serwer odpowiada propozycją adresu w DHCPOFFER, klient prosi o przydział wybranej oferty komunikatem DHCPREQUEST, a serwer potwierdza dzierżawę komunikatem DHCPACK (skrót DORA). Żądanie nie może poprzedzać oferty, bo klient prosi o konkretny, zaproponowany mu adres. Serwer nie wysyła też oferty bez wcześniejszego wykrycia klienta.

Dlaczego tak

Syslog służy do przesyłania komunikatów dziennika z urządzeń i systemów do serwera zbierającego, standardowo na porcie UDP 514, z poziomami ważności od emergency do debug. SNMP służy do monitorowania i odczytu parametrów urządzeń, a jego pułapki zgłaszają pojedyncze zdarzenia, ale nie zastępują pełnego dziennika. NTP synchronizuje czas, co przydaje się do znaczników w dziennikach, a TFTP przesyła pliki, np. kopie konfiguracji.

Dlaczego tak

Pierwszy segment uzgadniania trójetapowego ma ustawioną tylko flagę SYN, więc filtr musi wymagać SYN = 1 i jednocześnie ACK = 0, co zapewnia operator &&. Operator || pokazałby także każdy segment bez ACK oraz odpowiedzi SYN-ACK. Warunek ACK = 1 wybiera właśnie odpowiedzi serwera SYN-ACK, a ostatni zapis używa nieistniejącej wartości SYN i sprawdza port 1.

Dlaczego tak

Udział specjalny print$ wskazuje katalog sterowników drukarek serwera i to z niego klient automatycznie pobiera sterownik przy dodawaniu drukarki sieciowej. ADMIN$ udostępnia administratorom katalog systemowy Windows do zdalnej administracji, a C$ to administracyjny udział całego dysku C:. IPC$ służy do komunikacji międzyprocesowej, np. nazwanych potoków, i nie przechowuje plików.

Dlaczego tak

Wpis read only = no zezwala na zapis, valid users ogranicza dostęp do wymienionych kont, a znak @ oznacza grupę systemową, więc wejść mogą tylko członkowie grupy projektanci. Opcja browseable = no ukrywa udział podczas przeglądania zasobów serwera, choć da się go otworzyć, znając nazwę. Inni użytkownicy nie mają nawet odczytu, a bez znaku @ wpis dotyczyłby konta o nazwie projektanci.

Dlaczego tak

Parametr -EncryptData $true włącza dla udziału szyfrowanie SMB 3, więc dane przesyłane między klientem a serwerem są szyfrowane, a klienci nieobsługujący SMB 3 nie uzyskają dostępu. Wyliczanie oparte na dostępie ukrywa jedynie foldery, do których użytkownik nie ma uprawnień, ale nie szyfruje transmisji. Włączenie przestarzałego SMB 1 obniża bezpieczeństwo, a nadanie odczytu grupie Wszyscy poszerza dostęp.

Dlaczego tak

Skrót RX oznacza uprawnienie Odczyt i wykonanie, a flagi (OI) i (CI) — dziedziczenie przez obiekty (pliki) i kontenery (podfoldery). Wpis nie ma flagi (I), więc został nadany jawnie na tym folderze, a nie odziedziczony; flagę (I) mają za to wpisy grup Administratorzy i SYSTEM. Pełna kontrola, oznaczona literą F, należy właśnie do tych dwóch kont, a nie do grupy Handel.

Dlaczego tak

Parametr -Published $true publikuje drukarkę w usłudze katalogowej: w AD powstaje obiekt printQueue z nazwą, lokalizacją i możliwościami drukarki, który użytkownicy znajdują w wyszukiwaniu. Parametr -Shared jedynie udostępnia drukarkę w sieci, co już zrobiono. Add-PrinterPort tworzy port TCP/IP do urządzenia, a Set-PrintConfiguration zmienia ustawienia wydruku, np. sortowanie kopii.