SecurClient Installation

[floh]

Hat jemand Erfahrung mit der Installation des Checkpoint SecurClient (VPN Client)? Ich habe das Problem, dass die (Silent-)Installation mir die Netzwerkverbindung kappt. Dies ist relativ hässlich weil ich die Installation vom Netz her durchführe und nach der Installation dieses Client noch Anpassungen machen muss.

[turntabledj]

Hi Floh,

hab zwar bisher noch keine Erfahrungen damit, kann mir aber vorstellen, daß das Setup bei oder nach der Installation irgendwelche Netzwerkdienste neu startet - hört sich jedenfalls so an.

Silent-Instalation hört sich auch so an, als wenn du die Inst. per Batch startest.
Dann könntest du fie Files auch vorher auf den Klient kopieren und die Inst-Routine von dort aus starten - dann könnts egal sein, was das Netz hinterher macht !?

Liegen die Quellen dafür irgendwo im www - könnt mir dann mal ansehen, was er so alles installieren will (Files, Dienste, Registry.-Einträge, etc...).

Gruß
Achim

[floh]

Ja, es wird ein virtuelles Gerät installiert. Das Netzwerk verschwindet dabei. Es kommt allerdings nach einiger Zeit (50 bis 120 Sekunden) von selber wieder, allerdings sind bis dann alle Applikationen (auch der Explorer) im Timeout.
Das Tool habe ich von hier: http://www.checkpoint.com/techsupport/downloads_sr.html . Die Silent Installation mache ich mit dem iss-File, das macht aber nix anderes als den Setup einfach durchklicken (per Default kommen gleich die richtigen Einstellungen). Um diesen Setup hab ich einen eigenen, speziell für unsere Installationsphilosophie geschaffenen Setup gebaut. Der SecureClient Setup wird einfach von diesem aufgerufen.

Ich MUSS nach der Installation noch verschiedene Dinge vornehmen. Z.B. checken ob die Installation erfolgreich war, ein Konfig-File (userc.c) reinkopieren, Icons verschieben, Logfiles füllen...

getestet hab ich mit W2k. Nimm bitte einen den du verhäcken darfst. ich musste schon mehrere male das Image zurückladen...

[turntabledj]

Hihi, Images hab ich hier auch zu Hauf von meinen Kisten liegen...
Bringt die Erfahrung so mit sich

Ich saug mit das Zeugs mal runter und zeichne mal die Installation auf.
Kann dannm al sehen, was da so alles installiert wird...

Kannst Du des Setup in ner Batch starten ? Dürfte doch gehen, denk ich mal.
Dann wärs doch zumindest schonmal nen Workaround, vorher die sourcen aus dem Netz auf den Rechner zu kopieren, oder bringt das nix ?
Bzw. entpackt der nicht aus dem Netz in den Temp-Ordner und installiert daraus ?
Dann dürfte der Netzabbruch allerdings nix ausmachen...

Ich schaus mir mal an, wird aber sicherlich Nachmittag werden...

[floh]

bisher hab ich das so gemacht, auf die Platte saugen, lokal starten. muss es jetzt aber aus dem netz machen (zumindest NACH der Installation noch die Anpassungen).
Wär toll, wenn du rausfindest wie ich das Netzwerk unmittelbar nach der Inst. wieder starten kann. einige Sekunden Unterbruck liegen drin (vielelleicht 10 Sec). Mehr aber wird kritisch. Ich habs leider noch nicht rausgefunden...

PS: um 16.00 bin ich pünktlich weg!

[turntabledj]

Ach so, icvh glaub jetzt kapier ich was du meinst !???

Bist remote auf dem Rechner drauf und fliegst erst mal raus, wenn der kurz das Netz trennt ?

[floh]

nicht ganz...
ich verschicke die Installation per System Mamagement Server an einige 100 Laptops. Unser Konzept sieht vor, dass die Installation vollständig in SMS-Installer geschrieben wird. Es werden nämlich in diesem Installerpaket einige Firmenspezifische Anpassungen gemacht (Logfiles, Icons, Eintrag in eine INI-Datei). Es ist aber kein Problem eine Installation die bereits einen eigenen Setup hat aufzurufen. Sie muss nur vorkonfiguriert und ohne Benutzereingriff durchlaufen. Das ist gegeben wenn ich den SecureClient mit der Option Setup.exe -s -SMS -f -f1setup.iss aufrufe wobei setup.iss die Antwortdatei ist für das "durchklicken" des Setup. Ist übrigens eine Built-In Funktion des InstallShield und die wenden wir regelmässig so an (funktioniert also gut).
In meiner Installation wird das Setup.exe (vom SecureClient) aufgerufen und mein Setup wartet bis dieser seine Arbeit getan hat und sich selber beendet. Dann macht meine Installation noch diverse Anpassungen die erst nach dem eigentlichen Installieren geschehen können. Unter anderem ist das auch die Kontrolle, ob die Software korrekt installiert wurde. Es wird auch eine Konfigurationsdatei von einem Share kopiert die aber nicht auf jedem Client gleich ist. Diese kann erst nach der Installation in das Verzeichnis des Programms kopiert werden. Da aber Setup.exe mich vom Netz trennt ist das etwas schwierig.
Ich hoffe du weisst jetzt wie ich es meine.

[turntabledj]

Ok, so langsam komm ich dahinter...
Wie es aussieht, machst du im Grunde ne untattend.installation (-s), das Ganze nur eben irgendwie per SMS gesteuert.
Kenn mich jetzt leider net mit SMS aus, verteil unsere Soft per NetInstall.
Wobei wir uns gerade mal nebenbei ansehen, wie NetInstall (www.netsupport.de) in SMS integriert werden kann (wobei wir dann nichts mit SMS-Paketen zu tun haben wollen - sind doch recht unübersichtlich und komisch zu packen... find ich jedenfalls.

Ok, die Konfiguration der Anwendung nimmst Du also vor, indem Du die Konfigfiles anschließend kopierst - das wär auch mein nächster Vorschlag gewesen... Kommt natürlich net so gut, wenn sichs Netz dann so lange ausklinkt.
Kannst Du in SMS nicht sowas wie nen Wait-Befehl einbauen. Dann könntest Du dein Script an der Stelle xx sekunden warten lassen - aber wie gesagt, keine Ahnung ob das mit SMS geht !?

Ansonsten wär jetzt mal ne Frage, wie das Setup reagieren würde, wennd die Konfigfiles vorher schon da wärn (schreibgeschützt, daß es net überschrieben werden kann).
Alternativ dazu könnte man es beim nächsten Logon des Users kopieren lassen (per Logonscript - if not exist - 2. referenzdatei (oder reg-key) copy ...) oder per Run- oder Runonce- Eintrag in der Registry, der ne Batch startet, wo das drinsteht... dann aber beser mit nem registry- key, den man als Referenz abfragt, ob die Konfig-Files schon kopiert wurden...

Die Netzwerkdienste schneller wieder Starten, als das Setup das tut - ich glaub, da haste schlechte Karten. dienste brauchen manchmal halt nen bißchen, bis sie wieder hochgekommen sind... fast wie im Leben

Schau mir gerade mal an, was da so alles installiert wird.... dürften so 5 relevante Ini-Files und 6 ! Dienste sein. Zumindest bei der Standardinst des Clients.
Als einzigen Dienst, der bei der Inst gestoppt wird, kannich nur den LPDSVC sehen (LinePrinterDeamon???). Was anderes ist nicht in der Ereignisanzeige protokolliert... Den würdeste im Zweifel aber auchicht schneller wieder hochbekommen, als das setup selbst... Wie gesagt, Nen Wait einbauen, wenns geht !?

Wie schauts'n aus, könntest Du die Installation evtl. normal aufzeichnen und durchführen ? Dann könnteste die Konfigfiles evtl im Paket ersetzen oder auch kopieren... !?

[floh]

es ist eben verdammt verflixt...
der SMS Installer kickt das Setup -s einfach nur an und wartet bis das fertig ist. Das mit dem warten haut nicht hin, ich hab das schon probiert. Manchmal funktionierts aber oft gibt's einen Timeout von Windows.
Wenns geht möchte ich alles direkt auf einen Schlag installieren. Logonscript ist schlecht, die meisten User haben zuwenig Rechte um ins %Program_Files% zu schreiben (muss so sein, sonst installieren sie alles mögliche selber). Das mit dem schreibgeschützten Konfigfile muss ich mal versuchen, die Idee ist gut.
Der User muss nicht booten müssen um weiter arbeiten zu können. Das gibt immer einen riesen Aufstand und Spezialisten die vorrechnen wie viele Minuten x Anzahl Computer = soundso viel Geld kosten

Zum SMS Installer: mach keine aufgezeichneten Installationen! Schreib das Script selber, dann bist du extrem flexibel! Bei uns sind die Dateien welche installiert werden sollen auch nie im EXE eingepackt sondern immer separat auf einem Share. Neben dem EXE liegt ein INI File in dem wir alles abweichende für verschiedene Filialen anpassen können (Sprache, Konfigurationen...)
Bei Fragen zum SMS Installer stehe ich gerne zur verfügung, den kenne ich recht gut.

[turntabledj]

Ok, kann sein, daß zur Inst. der Soft kein Reboot nötig ist- setup hatte ihn angefordert, hab ich ihn halt mal gemacht. Wirst ihn wohl per Parameter unterdrücken, wenn du das setup aufrufst. Gibts oft, daß die SW-Hersteller sich net so ganz sicher sind, ob Reboot oder nicht. Im Zweifel baun die immer einen ein

Ich hab so den Eindruck, daß sich das mit den stoppenden Netzwerkdiensten nicht umgehen läßt. Kommt vom Setup - in dem Fall muß wohl'n Workaround her.

Dabei falln mir für deine Situation spontan 4e ein:
- Konfig vorher schon schreibgeschützt drauf (wenns Setup das mag!?- hatten wir ja schon)
- Konfigfiles nachträglich in einem weiteren SMS-Paket installieren - Customizing geht halt eben ab und an nicht anders)
- NTFS-Security nur für die KonfigFiles lockern, dann würd' auch nen Copy-Job über die Logon.bat funktionieren.
- oder du schaust dir mal die Queldateien für das Setup an. Eventuell werden die Konfig-Files aus Templates zusammengebaut - dann könntest du die eben abpassen. Obwohl - das wird etwas umfangreicher, wenn da zwischen mehreren Konfigurationen unterschieden werden muß...


Anders wirds wohl nicht gehen, befürchte ich...

[floh]

den Reboot braucht's damit die Soft überhaupt läuft. Aber wie ich unsere User kenne erhalten sie das Paket, fahren runter, gehen auf Reise, fahren offline rauf (jetzt ist nix mit Logonscript!) und dann funktioniert es nicht... Logon.bat will ich wenns irgend wie geht vermeiden (Gebrannte Kinder scheuen das Feuer!)

Das Konfigfile welches ich meine nennt sich userc.c und enthält die Firewalltopologie sowie einen Key für die FW. Dieses File muss ich 1:1 kopieren (je nach Maschine eines von zwei möglichen).

Wenn ich nix rausfinde versuche ich mal ob ich an den Support des Herstellers rankomme. Ist nicht einfach aber wird haben möglicherweise bald einen Lieferanten der sowas kann.

[turntabledj]

Inwiefern sich nen Softwarehersteller vernünftigen Support gibt oder nicht, hängt oftmals davon ab, wieviel man bei denen so lizenziert hat.
Hab's hier mit irgendwas um die 30.000 Usern zu tun - je nach Hersteller reißen die sich schonmal nen bein aus und bauen Funktionen ein, die letztendlich als undokumentierte Funktion mit auf die original-CD's mit drauf kommen - alles erlebt

Manchmal muß man's auch einfach nur versuchen...

Ok, zurück zum Thema:

Wenn Du die Logon.bat vermeiden willst, kannstes über den Run oder Runonce-Key in der Registry machen.
Dazu kopierst die Konfigfiles mit dem SMS-Paket auf den Rechner und läßt üner den Registry-Key ne Batch ausführen, die kopiert.
Dazu mußte natürlich die NTFS-Security der entsprechenden Dateien im Prog-Verzeichnis lockern. Wenn du den Benutzern dabei sogar noch die Berechtigungen erteilst, die Berecvhtigungen der Konfigfiles zu ändern, kannste die Dateien nach dem Kopiervorgang auch wieder "dicht" machen - sprich NTFS-Berechtigungen nach dem Kopiervorgang wieder auf Standard setzen und alles iss wieder dicht...

Wenns net anders geht, mach ich solche Dinge immer über nen Runonce-Eintrag und schmeiß über ne Batch zum Schluß alles wieder runter, was dafür benötigt wurde. Mit dem del-Kommando als letzten Eintrag auf die Batch selbst kannste selbst die dann gleich wieder löschen - hehe.

[floh]

Danke, wenigstens hast du mir etwas Mut gemacht. Ich versuch am Montag weiter. Es wird wohl sowas werden wie du sagst, ausser der Hersteller macht was. Eigentlich wär es angebracht, die kassieren einige 1000$ an Lizenzen pro Jahr von uns.

[turntabledj]

Sag auf alle Fälle mal Bescheid, wie Du's dann letztendlich gelöst hast.
Ist auch mal interessant zu sehen, wie sowas in anderen "Buden" gelöst wird ...

Viel Erfolg dabei ! <img src="/images/graemlins/cool.gif" alt="" />

[floh]

hab soeben mit einem Herrn telefoniert der mal eine Installation bei einer grösseren deutschen Firma durchgezogen hat. Damals haben sie den Benutzern eine Anleitung geschickt und den Helpdesk geschult...
So kann ich das leider nicht lösen, unsere Benutzer (die meisten jedenfalls) haben erstens keine Installationsrechte (es gäbe ja sonst noch 1000 Games zum installieren...), zweitens keine Ahnung (Verkäufer und PC das passt nicht!) und klicken sowieso falsch (Auch eine Anleitung mit vielen Screenshots bringt nix, die wird nicht mal gelesen.). Sorry ihr User aber meine Erfahrungen sind leider so...
Er tut mir aber den Gefallen und macht sich mal schlau ob es sonst noch eine Möglichkeit gibt.

[floh]

leider konnte mir niemand helfen. Selbst der Hersteller der Software stellt sich dumm.
Hab jetzt einen Umweg programmiert. Ich kopiere in einem ersten Package die Dateien ins TEMP Verzeichnis und führe dann ein zweites Package aus das die eigentliche Installation durchführt und am Schluss das TEMP wieder aufräumt. Leider habe ich so keinerlei Kontrolle ob die Installation erfolgreich war. Muss es also gut testen und dann hoffen, dass alles gut geht...

[turntabledj]

Schade, daß vom Hersteller nix rübergekommen ist.

Wär's eventuell eleganter, mit dem ersten Paket den Secure-Klient zu installieren und mit nem Zweiten das Konfig-File (je nach Abhängigkeit das eine, oder das andere) ?
So könntest Du zumindest den Überblick behalten, ob die Installationen gelaufen sind...

[floh]

es wäre schön. aber eben, wärend der Client installation fällt die Netzwerkverbindung aus... also nützt es nix.

[turntabledj]

Hab dir gerade mal ne private Nachricht zu nem anderen Thema geschickt...

Müßte aber doch trotzdem funktionieren, wenn du das 2. Paket nicht unmittelbar hinterher schickst oder die Konfig-Files mit der Installation des 1. Paketes in Temp kopierst und das 2. Paket dann nur noch die Dateien von Temp ins Prog-Verzeichis kopiert. Bei der 2. Variante haste den Überblick, ob zumindest die Klient-Installation funktioniert hat. Dann wär nur noch die Konfig ne Glückssache...!?

[floh]

habs jetzt soweit hingekriegt. die Konfig kann ich vorgängig ins Temp kopieren und dann mit dem Setup das ich lokal starte reinkopieren.
Auf Wxp und W2k läuft's, auf NT bin ich am testen und Feinheiten am patchen. 9x bring ich auch noch zum laufen. Danke für deine Ideen.

[turntabledj]

Kein Thema...
Wenn nochmal was sein sollte - nur zu !

Wenns bei mir in SMS mal klemmen sollte, komm ich auf jeden fall mal auf Dich zurück. Werd aber wahrscheinlch kaum direkt mit SMS konfontiert werden - obwohl man's ja nie so genau weiß

[turntabledj]

Hi Floh,

sach ma, haste mittlerweile mal ne SAP-GUI6.10 auf 6.20 aktualisiert ?
Mich würd mal interessieren, ob die 6.10er automatisch deinstalliert wird, wenn ich die 6.20er mit dem MS-Installer instalieren lasse...

[floh]

nö, soweit sind unsere SAP-ler noch nicht. Wir sind mit dem GUI auf einer Version 4.6D oder so ähnlich.

Das SecureClient Problem ist jetzt übrigens gelöst. Das mit dem installieren geht jetzt über lokal kopieren und dann von dort aussführen. Unschön aber es läuft.
Kaum hab ich das geschafft tritt aber das nächste Prob auf. Ein Bug in der Software! Hab gestern nach über einem Monat hin-und-her und anrufen, drängeln, bitten, fluchen... endlich eine gepatchte Version gekriegt. Der Fehler ist behoben! Hurra... dafür bereits der nächste eingebaut der vorher nicht war. Naja, der neue Fehler stört in meinem Fall nicht wirklich.

[turntabledj]

Schade...
SAP ist absolutes Neuland für mich. Die Automatisierte Installation bzw. Update scheint zwar wirklich net Problematisch zu sein, da das ganze als MSI-Paket geliefert wird und damit recht einfach "Silent" installiert werden kann.
Führt man das Setup von CD aus, deinstalliert's die alte Version angeblich automatisch, bevor die neue Installiert wird.
Wenn ich das ganze per NetInstall anstarte, dürft' sich das ja theoretisch nicht viel anders verhalten. Nur liegen Theorie und Praxis ab und an mal ziemlich weit auseinander.
Muß das Ganze demnächst mal kurzfristig in ner produktiven Umgebung vorführen, ohne es vorher wirklich richtig testen zu können.
Im Vorfeld nen paar Erfahrungswerte zu haben, wär recht hilfreich gewesen.
Naja, mal sehen - hab mal was in ner NewsGroup gepostet. Vielleicht kommt da was bei rum...

Für SMS sind aktuell immer schon Paketdefinitionsdateien dabei - für NetInstall war das bis zur Version 6.10 auch der Fall, nur ab 6.2 nich mehr :-/

[sirell]

SAP <img src="/images/graemlins/smile.gif" alt="" />
Erwähnte ich bereits das ich SAP Support Consultant bin und 2 Jahre Regional Support gemacht habe <img src="/images/graemlins/smile.gif" alt="" />
Turntable: Nein <img src="/images/graemlins/smile.gif" alt="" /> Die Gui muss immer noch nachbereinigt werden .. zumind. um keine probleme zu bekommen

So als Fetzen:
Was machst du wenn eine der Dateien gelockt ist ?
Fallback und msg. an Admin wäre gut ob das Script durch ist
Wenn du möchtest schau ich mal wie SAP das auf den Laptops macht...
Die werden ja wohl auch kaum jeden CP Client einzeln installieren

Grüße
Michael

[turntabledj]

Hi Michael,

hort sich gut an, mit dem Support-Consultant
Wär net schlecht, wenn de mal nachsehen könntest, die die das machen.

Da ich das Ganze üner ne halbwegsvernünftige Softwareverteilung "veteile", wär's auch kein Thema, vor der Installation irgendwelche Dienste zu stoppen, Prozesse abzuschießen, oder sonstwas...

Sache mal, weißt Du vielleicht auhc, wieso ab 6.20 keiin fertiges NetInstall-Skript mehr auf der CD ist - hamm die sich gezofft ???