小编Kev*_*vin的帖子

我只是有一个用户无法在 Windows 2008 域上更改他的密码。尽管他确信他选择的密码满足这些要求，但它给了他一个关于复杂性要求的神秘信息。我自己测试并确认了。

如果我记得的话，他的最后一个密码似乎是根据 Microsoft 推荐的默认设置（例如 10 天）设置的太近了。

他问了我一个很好的问题，我无法回答：为什么会有最低密码年龄？这如何合理地有益于安全？他还指出，人们可能会在这 10 天内发现他们的密码被泄露而无法更改！

是否有任何正当理由强制执行最低密码年龄？

这是一个关于 ZFS 和 RAID-Z 的理论问题。为清楚起见，我将使用三磁盘单奇偶校验阵列作为示例，但问题可以扩展到任意数量的磁盘和任意奇偶校验。

假设池中有磁盘 A、B 和 C，并且它是干净的。

假设现在我们物理添加磁盘 D 的目的是替换磁盘 C，并且磁盘 C 仍然正常运行并且只是出于预防性维护而被替换。一些管理员可能只是猛拉 C 并安装 D，这会更有条理，因为设备不需要更改 ID - 但是这确实会使阵列暂时降级，因此对于此示例，假设我们在不脱机或删除 C 的情况下安装 D。Solaris 文档表明我们可以在不先将磁盘脱机的情况下替换磁盘，使用如下命令：

zpool replace pool C D

这应该会导致重新同步到 D。让我们说重新同步沿着“光标”“向下”进行。（我不知道内部实现中使用的实际术语。）

现在假设在重新同步过程中，磁盘 A 出现故障。理论上，这应该是可恢复的，因为上面的游标 B 和 D 包含足够的奇偶校验，而下面的游标 B 和 C 包含足够的奇偶校验。但是，这是否实际上是可恢复的取决于 ZFS 中我不知道的内部设计决策（并且手册在某些方面没有说明）。

如果 ZFS 继续向光标下方的 C 发送写入，那么我们就没事了。但是，如果 ZFS 在内部将 C 视为它已经消失，仅根据 A 和 B 之间的奇偶校验重新同步 D，并且只在光标下方写入 A 和 B，那么我们就干杯了。

一些实验可以回答这个问题，但我希望这里的某个人可能已经知道 ZFS 处理这种情况的方式。提前感谢您的任何见解！

我正在研究如何将各种操作系统安装到无盘服务器上以通过 iSCSI 运行。服务器没有用于此的特殊硬件（没有 iSCSI HBA 等）

我短暂地使用了 Windows 部署服务，但它似乎与我想要的相反：我可能错了，但它似乎旨在将基于网络的 Windows 安装到系统上，然后从本地磁盘启动，而我想安装 Windows 以便它可以从 iSCSI 磁盘运行，而且我不在乎是否必须在本地插入安装介质。因此，我目前的方法不使用 WDS。

此测试适用于 Windows Server 2012，但也可能适用于之前的版本。

简而言之，我正在设置一个空白的 iSCSI 目标（我已经尝试了几个软件供应商，虽然目前我使用的是 StarWind，但它似乎没有太大区别），并使用 PXE 链接到 gPXE 或 iPXE 来做iSCSI 引导（我都试过，结果相似，但我发现 gPXE 更容易使用。）

当然，如果没有操作系统，引导会失败，但它会通过 BIOS 磁盘接口将 LU 连接起来，这样当本地 DVD-ROM 被引导时，安装程​​序就会看到要安装到的卷。

我通过进入 gPXE 提示符并键入以下命令来完成引导（在 iPXE 中除了接口 # 外相同）：

dhcp net1
set keep-san 1
sanboot iscsi:#.#.#.#::::iqn.xxxxxxxxxxxxxxxxxxx
exit

Windows Server 2012 似乎已安装并在某些时候重新启动。iPXE 启动以从 iSCSI 启动，并出现“Metro”徽标 - 所以至少某些东西确实安装到了 LU。然而，屏幕随后变成浅蓝色，一条消息以大文本形式短暂闪烁，关于“PC”（它实际上是一个机架服务器，但无论如何）遇到问题，但在它消失之前我无法阅读所有内容并且计算机是重新启动。

最终我得到一个标题为的文本屏幕Windows Boot Manager，上面写着：

Windows failed to start. A recent hardware or software change …

我一直在解决严重的 WAN 速度问题。我修复了它，但为了他人的利益：

通过 WireShark、日志记录和简化配置，我将其范围缩小到一些奇怪的行为，从执行 DNAT 的网关到内部网络上的服务器。网关（一个 CentOS 机器）和服务器都运行在同一个 VMware ESXi 5 主机上（事实证明这很重要）。

这是发生的事件序列 - 非常一致 - 当我尝试从 DNAT 后面的 HTTP 服务器下载文件时，使用直接连接到网关 WAN 端的测试客户端（绕过此处通常使用的实际 Internet 连接） ：

1. 通常的TCP连接建立（SYN、SYN ACK、ACK）正常进行；网关以两种方式正确地重新映射服务器的 IP。

2. 客户端使用 HTTP GET 发送单个 TCP 段，这也被正确地 DNAT 传输到目标服务器。

3. 服务器通过网关发送一个 1460 字节的 TCP 段，其中包含 200 响应和文件的一部分。线路上的帧大小为 1514 字节 - 1500 有效载荷。该段应该穿过网关，但没有。

4. 服务器通过网关发送第二个 1460 字节 TCP 段，继续该文件。同样，链接有效载荷为 1500 字节。该段也不会跨越网关并且永远不会被考虑在内。

5. 网关将 ICMP 类型 3 代码 4（目标不可达 - 需要分段）数据包发送回服务器，引用事件 3 中发送的数据包。ICMP 数据包指示下一跳 MTU 为 1500。 这似乎是无意义的，因为网络是 1500 字节干净的，并且 3 和 4 中的链接有效载荷已经在规定的 …

我试图了解 ZFS 在特定条件下的行为，但文档对此不是很明确，所以我只能猜测。

假设我们有一个具有冗余的 zpool。采取以下事件顺序：

1. 设备 D 与服务器之间的连接出现问题。这会导致大量故障，并且 ZFS 会导致设备出现故障，从而使池处于降级状态。

2. 当池处于降级状态时，池会发生突变（数据被写入和/或更改。）

3. 连接问题已得到物理修复，设备 D再次可靠。

4. 知道 D 上的大多数数据都是有效的，并且不想通过重新同步给池带来不必要的压力，管理员改为运行zpool clear pool D。Oracle 文档指出，当故障是由于暂时性问题引起且已得到纠正时，这是适当的操作。

我读过，这只zpool clear清除错误计数器，并将设备恢复到在线状态。然而，这有点麻烦，因为如果这就是它所做的一切，它将使池处于不一致的状态！

这是因为步骤 2 中的突变不会成功写入 D。相反，D 将反映连接失败之前池的状态。这当然不是 zpool 的规范状态，并且可能会在另一个设备发生故障时导致硬数据丢失 - 但是，池状态不会反映此问题！

我至少会假设基于 ZFS 强大的完整性机制，尝试从 D 读取变异数据会捕获错误并修复它们。然而，这会带来两个问题：

1. 除非完成清理，否则不能保证读取命中所有突变；和

2. 一旦 ZFS确实命中了变异数据，它（我猜测）可能会再次使驱动器出现故障，因为 ZFS 会认为它正在损坏数据，因为它不记得以前的写入失败。

理论上，ZFS 可以通过跟踪降级状态期间发生的突变并在清除时将它们写回 D 来规避此问题。但出于某种原因，我怀疑事实并非如此。

我希望对 ZFS 有深入了解的人可以在这方面提供一些启发。

我即将在 HP Smart Array P400i 公开的 RAID10 上安装 ESXi 5.0U2。（服务器是 DL580 G5。）但是，我注意到基于 ROM 的实用程序缺少基于浏览器的 HP Array Configuration Utility 的许多功能，但后者只能在 Windows 或 Linux 发行版中运行。

我不能在这台服务器上做任何 PCI 直通，所以据我所知，我不能只是将 ACU 安装到来宾操作系统中并期望到达任何地方。

我可以看到使用 ACU 的唯一方法是在需要进行阵列管理时在单独的驱动器上安装 Windows 以引导到，但这非常不方便，并且对监控也不起作用。

我是否有更好的选择来管理此类主机上的硬件 RAID？

ZFS 文件系统可以在其上设置aclinherit和aclmode属性，以控制可继承的 ACL 条目如何与对象创建和 Unix 风格的权限操作交互。

不幸的是，官方文档对于这两个属性在计算 ACL 中的作用方面究竟有什么区别有点含糊不清/含糊不清。为了说明这一点，请从在 Oracle® Solaris 11.3 中保护文件和验证文件完整性中摘录，重点是我的：

aclinherit– 确定ACL 继承的行为...

和：

aclmode–在最初创建文件时修改 ACL 行为或控制在chmod操作期间修改 ACL 的方式...

这真的很令人困惑，因为在最初创建文件时会发生或不发生ACL 继承！