Blog de Gulfan

Como montar una graja web con Vagrant y Ansible

2017-01-12T10:03:00.001+01:00

Últimamente he estado automatizando con Ansible, os recomiendo este libro ( Ansible for DevOps ) si quereis entrar mas a fondo en el tema.

De todas formas vamos al grano... he dejado en mi github un repo ( https://github.com/spysnooper/granjaweb ) con un Vagranfile que crea 3 maquinas virtuales y les aplica un playbook de Ansible que las configura de la siguiente manera.

Balanceador web NGINX / NFS Server
Web server Apache / NFS Client
Web server Apache / NFS Client

El inventario de Ansible se genera automáticamente desde Vagrant, en el Vagranfile definimos los hostgroups

Si quieres puedes coger este ejemplo cambiar el playbook para generarte otro laboratorio.

Hay que tener instalado:

Libvirt
Vagrant

plugins:

vagrant-libvirt

Aunque con pequeñas modificaciones nos puede funcionar en Windows con Virtualbox

Zimbra informe de error TLS en Firefox

2015-09-21T14:30:00.000+02:00

En Firefox 39 o superior con versiones de Zimbra 7 o anterior no podremos visualizar la web de Zimbra y nos devolverá un error.
https://support.mozilla.org/es/kb/informes-de-error-t ls

Tal y como se describe en el wiki de Zimbra hay que deshabilitar los tipos de cifrado Diffie Hellman inseguros.
https://wiki.zimbra.com/wiki/Disabling_the_use_of_weak_DH_keys_in_Zimbra_Collaboration_mailboxd

# su zimbra
$ cd $HOME
$ zmprov mcf +zimbraSSLExcludeCipherSuites TLS_DHE_RSA_WITH_AES_128_CBC_SHA
$ zmprov mcf +zimbraSSLExcludeCipherSuites TLS_DHE_RSA_WITH_AES_256_CBC_SHA
$ zmprov mcf +zimbraSSLExcludeCipherSuites SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA
$ zmmailboxdctl restart
Stopping mailboxd...done.
Starting mailboxd...done.

Despues de introducir estos comandos ya podremos ver la web en Firefox y ademas habremos hecho que nuestro Zimbra sea mas seguro.

Sino queremos modificar nuestro servidor zimbra, tambien podemos deshabilitar esta comprobacion de seguridad en nuestro navegador firefox para ello en about:config debemos poner a false estas 2 opciones

security.ssl3.dhe_rsa_aes_128_sha=false
security.ssl3.dhe_rsa_aes_256_sha=false

Como enjaular usuarios SFTP

2015-09-17T13:09:00.002+02:00

#
#Configuracion inicial
#
DIRECTORIO=/var/lib/tftpboot
GRUPO_SFTP=tftp

# ENJAULAR AL GRUPO DE USUARIOS SFTP EN EL DIRECTORIO
echo "Subsystem sftp internal-sftp" >> /etc/ssh/sshd_config
echo "Match group $GRUPO_SFTP" >> /etc/ssh/sshd_config
echo "ChrootDirectory $DIRECTORIO" >> /etc/ssh/sshd_config
echo "AllowTcpForwarding no" >> /etc/ssh/sshd_config
echo "ForceCommand internal-sftp" >> /etc/ssh/sshd_config

#CORREGIR PERMISOS DIRECTORIO CHROOT
chown root:root $DIRECTORIO
chmod 755 $DIRECTORIO

#
# Script para crear un usuario enjaulado para acceder por SFTP a la carpeta de TFTP
#

#!/bin/bash
#VARIABLES
USUARIO=swuser
GRUPO=tftp
DIRECTORIO=/var/lib/tftpboot
SHELL=/bin/false

#CREAR USUARIO EN EL GRUPO
useradd -m -d $DIRECTORIO -s $SHELL -c "Usuario del grupo $GRUPO para acceder a los archivos del directiorio $DIRECTORIO" $USUARIO
passwd $USUARIO
id $USUARIO

Reiniciar permisos de una carpeta en windows

2015-05-18T11:14:00.001+02:00

Iniciamos un terminal MS-DOS como administrador y ejecutamos los siguientes comandos.

Primero establecemos el propietario de todas las carpetas y archivos que cuelgan de E:\carpeta1\subcarpeta1
icacls E:\carpeta1\subcarpeta1 /setowner MIDOMINIO\administrador /t /c /q
archivo procesado: E:\carpeta1\subcarpeta1
archivo procesado: E:\carpeta1\subcarpeta1\Nuevo documento de texto.txt
Se procesaron correctamente 2 archivos; error al procesar 0 archivos

Segundo reiniciamos todos los posibles cambios de permisos lo que provoca que se hereden los permisos de E:\carpeta1
icacls E:\carpeta1\subcarpeta1 /reset /t /c /q
archivo procesado: E:\carpeta1\subcarpeta1
archivo procesado: E:\carpeta1\subcarpeta1\Nuevo documento de texto.txt
Se procesaron correctamente 2 archivos; error al procesar 0 archivos

Añadir MIBs al cliente snmp en Red Hat o CentOS

2015-01-23T11:12:00.002+01:00

Descargar los archivos mibs del fabricante

Copiar las mibs (.txt) en el directorio /usr/share/snmp/mibs

ls -lh /usr/share/snmp/mibs | tail -n 10
-rw-r--r-- 1 root root 8,7K dic 21 2011 STONESOFT-FIREWALL-MIB.txt
-rw-r--r-- 1 root root 1,7K dic 21 2011 STONESOFT-SMI-MIB.txt
-rw-r--r--. 1 root root 28K ago 6 2013 TCP-MIB.txt
-rw-r--r--. 1 root root 17K ago 6 2013 TRANSPORT-ADDRESS-MIB.txt
-rw-r--r--. 1 root root 2,2K ago 6 2013 UCD-DEMO-MIB.txt
-rw-r--r--. 1 root root 4,3K ago 6 2013 UCD-DISKIO-MIB.txt
-rw-r--r--. 1 root root 3,0K ago 6 2013 UCD-DLMOD-MIB.txt
-rw-r--r--. 1 root root 8,0K ago 6 2013 UCD-IPFWACC-MIB.txt
-rw-r--r--. 1 root root 46K ago 6 2013 UCD-SNMP-MIB.txt
-rw-r--r--. 1 root root 21K ago 6 2013 UDP-MIB.txt

Para probar las mibs de stonesoft que hemos añadido
snmpwalk -v1 -cpublic 192.168.1.1 STONESOFT-FIREWALL-MIB::fwSoftwareVersion
STONESOFT-FIREWALL-MIB::fwSoftwareVersion.0 = STRING: Stonesoft Security Engine version 1.1.1.1111

Ampliar una particion con LVM II - ampliar partición root

2015-01-23T11:12:00.000+01:00

En otra ocasion ya hice un post con una relacion de comandos para ampliar una particion LVM
En esta caso vamos a ampliar la particion raiz que no podemos desmontar si el sistema se esta ejecutando.
Listamos las particiones:
df -Th

Como hemos añadido un disco de 8GB creamos una particion de 8GB y le asignamos el tipo Linux LVM (8e)
fdisk /dev/sdc1
    n (nueva particion)
    t (cambiar el tipo a Linux LVM)
        8e (el código para seleccionar Linux LVM)
Como una particion que esta montada no se puede redimencionar vamos a utilizar un truco le bajamos el porcentaje de bloques reservados a 0% redimensionamos y despues lo volvemos a dejar al 5% que es el nivel por defecto.
para comprobar el numero de bloques reservados
dumpe2fs /dev/mapper/vg_sistema-lg_root | grep 'Reserved block count'
dumpe2fs 1.41.12 (17-May-2010)
Reserved block count:     207206
tune2fs -m 0 /dev/mapper/vg_sistema-lg_root
dumpe2fs /dev/mapper/vg_sistema-lg_root | grep 'Reserved block count'
dumpe2fs 1.41.12 (17-May-2010)
Reserved block count:     0

Creamos el Phisical Volumen en la particion que hemos creado en el disco nuevo
pvcreate /dev/sdc1

Ampliamos el Volume Group que ya existe en el sistema donde está situado el LV que necesitamos ampliar.
vgextend vg_sistema /dev/sdc1

Ampliamos el Logical Volume que ya existe y el cual queremos ampliar
lvextend /dev/mapper/vg_sistema-lg_root /dev/sdc1

Redimensionamos la particion (en nuestro caso ext4)
resize2fs /dev/mapper/vg_sistema-lg_root

Volvemos a poner el 5% de bloques reservados
tune2fs -m 5 /dev/mapper/vg_sistema-lg_root
tune2fs 1.41.12 (17-May-2010)
Setting reserved blocks percentage to 5% (207206 blocks)

Listamos de nuevo las particiones y deberiamos ver que ha ampliado en 8GB su espacio
df -Th
Filesystem           Type   Size Used Avail Use% Mounted on
/dev/mapper/vg_sistema-lg_root
                     ext4    16G 6,0G 8,8G 41% /
tmpfs                tmpfs 4,9G   72K 4,9G   1% /dev/shm
/dev/sda1            ext4   477M 113M 339M 25% /boot
/dev/mapper/vg_sistema-lv_usr_local
                     ext4    53G 5,7G   45G 12% /usr/local

Bibliografía:
http://myshell.co.uk/index.php/how-to-extend-a-root-lvm-partition-online/

ifconfig en vmware esxi

2014-11-24T18:57:00.003+01:00

~ # esxcli network nic list

Name PCI Device Driver Link Speed Duplex MAC Address MTU Description

------ ------------- ------ ---- ----- ------ ----------------- ---- ---------------------------------------------------------------------------

vmnic0 0000:003:00.0 bnx2 Down 0 Half 00:21:5a:a5:25:7c 1500 Broadcom Corporation NC373i Integrated Multifunction Gigabit Server Adapter

vmnic1 0000:00f:00.0 e1000e Up 100 Full 00:1f:29:55:ed:0a 1500 Intel Corporation 82571EB Gigabit Ethernet Controller

vmnic2 0000:00f:00.1 e1000e Up 1000 Full 00:1f:29:55:ed:0b 1500 Intel Corporation 82571EB Gigabit Ethernet Controller

~ # esxcfg-vmknic -l

Interface Port Group/DVPort IP Family IP Address Netmask Broadcast MAC Address MTU TSO MSS Enabled Type

vmk0 Management IPv4 10.0.0.5 255.255.255.0 10.50.58.255 00:21:5a:a5:25:7c 1500 65535 true STATIC

vmk0 Management IPv6 fe80::221:5aff:fea5:257c 64 00:21:5a:a5:25:7c 1500 65535 true STATIC, PREFERRED

~ # esxcli network ip interface list

vmk0

Name: vmk0

MAC Address: 00:21:5a:a5:25:7c

Enabled: true

Portset: vSwitch0

Portgroup: Management

Netstack Instance: defaultTcpipStack

VDS Name: N/A

VDS UUID: N/A

VDS Port: N/A

VDS Connection: -1

MTU: 1500

TSO MSS: 65535

Port ID: 33554436

Bibliografía:

https://communities.vmware.com/thread/187557

Udev y nombrado de interfaces de red 2 - plantillas de máquinas virtuales

2014-10-01T16:33:00.004+02:00

Anteriormente puse un articulo sobre este tema: Udev y nombrado de interfaces de red

Cuando tratamos con máquinas virtuales es posible que una máquina la utilicemos como plantilla

de otra, es decir, que clonemos esta máquina varias veces y utilicemos las clonadas.

Clonar una máquina virtual provoca que los interfaces de red generen nuevas mac (puesto que

son nuevas tarjetas de red) y por tanto los nombres de interfaz no coincidan (desaparece eth0

y aparece eth1).

Para solucionarlo, en la maquina plantilla:

echo -n > /etc/udev/rules.d/70-persistent-net.rules
echo -n > /lib/udev/rules.d/75-persistent-net-generator.rules

Antes de clonar asegurarse de eliminar del fichero

/etc/sysconfig/network-scripts/ifcfg-eth0

la línea HWADDR=<MAC address of the network interface>

Bibliografía:

http://www.turnkeylinux.org/docs/virtualization/udev-persistent-net-generation

Cómo puedo mejorar el rendimiento de Zimbra

2014-05-07T12:57:00.001+02:00

Deshabilitar la capa SSL de seguridad en los procesos internos entre los servidores Zimbra (LDAPS, ...), normalmente es una red interna securizada por un firewall y de esta forma nos ahorramos RAM y proceso de CPU.
zmlocalconfig -e zimbra_require_interprocess_security=0

Heap Size
Por lo general debe ser entre un 20% y un 30% de la memoria total del servidor. Sin pasarse de 6,4GB.Tener en cuenta que al servidor es preferible ampliar la RAM de Mysql.
Si tenemos 20GB le asignamos 5GB
zmlocalconfig -e mailboxd_java_heap_size=5120
Heap size reserved for classes
por defecto viene definido muy bajo 128 hay que ampliarlo a:
-XX:PermSize=196m -XX:MaxPermSize=350m

CMS y GC
-XX:+UseConcMarkSweepGC -XX:+UseParNewGC
Uses the concurrent mark sweep collector (CMS) and the parallel new garbage collector (GC) together.

-XX:SoftRefLRUPolicyMSPerMB=1
This option helps evict entries from the caches held by the mailbox server. Not setting this option will result in softly reachable (ie, evictable) cache objects filling up the heap and causing out of memory errors.

Memoria de MySQL
nano /opt/zimbra/conf/my.cnf
#Ampliamos el buffer entre un 25% y un 35% de la memoria RAM total del #servidor
innodb_buffer_pool_size = 7516192768

#Por defecto innodb_max_dirty_pages_pct = 90
#Esto guarda muchas transacciones en memoria y cuando lo va
#a escribir en el disco duro todo el sistema se enlentece. Si lo
#bajamos al 10% escribe en disco más amenudo pero menos cantidad.
innodb_max_dirty_pages_pct = 10

Configurar DKIM en Zimbra 8

2014-05-07T12:51:00.004+02:00

Generar una clave de registro DNS de tipo DKIM para el dominio midominio.es
zimbra@host:/root$ /opt/zimbra/libexec/zmdkimkeyutil -a -d midominio.es
DKIM Data added to LDAP for domain midominio.es with selector 4D23690A-D5CF-11E3-9562-BE9DEF34D14A
Public signature to enter into DNS:
4D23690A-D5CF-11E3-9562-BE9DEF34D14A._domainkey IN      TXT     ( "v=DKIM1; k=rsa; "
          "p=MIGfMA0GCSqG...." ) ; ----- DKIM key 4D23690A-D5CF-11E3-9562-BE9DEF34D14A for midominio.es

Dar de alta en el DNS el registro que nos ha generado el comando anterior:
si usas bind9 el registro dentro de la zona midominio.es sería el siguiente:
4D23690A-D5CF-11E3-9562-BE9DEF34D14A._domainkey.midominio.es.   IN   TXT   "v=DKIM1; g=*; k=rsa; p=MIGfMA0GCSqG...."

Comprobar que se ha creado el registro DNS
nslookup -type=txt 4D23690A-D5CF-11E3-9562-BE9DEF34D14A._domainkey.midominio.es.

Comprobar que el registro DNS para DKIM funciona correctamente
/opt/zimbra/opendkim/sbin/opendkim-testkey -d midominio.es -s 4D23690A-D5CF-11E3-9562-BE9DEF34D14A -x /opt/zimbra/conf/opendkim.conf -vvv

Bibliografía:
http://tipstricks.itmatrix.eu/?p=1587

Cómo poner gráficas en el menu hover de Nagvis

2014-04-30T13:27:00.002+02:00

Cuando usamos Nagvis se suele echar de menos las gráficas PNP, porque por defecto hacemos click en un host o servicio y después vamos al acceso directo de las gráficas.

Resulta que alguien ya había pensado en esto y propuso crear una plantilla para Nagvis.

Yo lo soluciono de la siguiente manera.
en default.hover.html añado el siguiente código justo antes de la última línea


<tr>
        <td class="spacer" colspan="2"></td>
</tr>
<tr>
        <td colspan="2">
                <table>
                        <tr>
                                <th><label>Performance</label></th>
                        <tr>
                                <td>
                                        <img src=/pnp4nagios/image?host=[pnp_hostname]&srv=_HOST_&display=image&view=0&source=0>
                                </td>
                        </tr>
                </table>
        </td>
</tr>

</table>
Esto tiene un inconveniente y es que en los servicios también se ve la gráfica HostPerformance. La solución es crear una nueva plantilla que modificaremos en aquellos servicios que queramos que muestren la gráfica.

cat pnp-service.hover.html
<table class="hover_table">
    <tr><th colspan="2">[lang_obj_type] ([lang_last_status_refresh]: [last_status_refresh])</th></tr>
    <tr><td class="label"><label>[lang_name]</label></td><td>[obj_name][obj_alias_braces]</td></tr>
    
    <tr><td class="label"><label>[lang_service_description]</label></td><td>[service_description]</td></tr>
    
    
    <tr><td class="label label[obj_state]"><label>[lang_state]</label></td><td class="state[obj_state]">[obj_state] [obj_in_downtime][obj_acknowledged] ([obj_state_type] - [obj_current_check_attempt]/[obj_max_check_attempts])</td></tr>
    <tr><td class="label"><label>[lang_output]</label></td><td>[obj_output]</td></tr>
    <tr><td class="label"><label>[lang_last_check]</label></td><td>[obj_last_check]</td></tr>
    <tr><td class="label"><label>[lang_next_check]</label></td><td>[obj_next_check]</td></tr>
    <tr><td class="label"><label>[lang_last_state_change]</label></td><td>[obj_last_state_change]</td></tr>
    
    <tr><td class="label label[obj_summary_state]"><label>[lang_summary_state]</label></td><td class="state[obj_summary_state]">[obj_summary_state] [obj_summary_in_downtime][obj_summary_acknowledged]</td></tr>
    <tr><td class="label"><label>[lang_summary_output]</label></td><td>[obj_summary_output]</td></tr>
    
    <tr><td class="label"><label>[lang_last_check]</label></td><td>[obj_last_check]</td></tr>
    <tr><td class="label"><label>[lang_next_check]</label></td><td>[obj_next_check]</td></tr>
    <tr><td class="label"><label>[lang_last_state_change]</label></td><td>[obj_last_state_change]</td></tr>
    


<tr>
        <td class="spacer" colspan="2"></td>
</tr>
<tr>
        <td colspan="2">
                <table>
                        <tr>
                                <th><label>PNP-Graph</label></th>
                        <tr>
                                <td>
                                        <img src=/pnp4nagios/image?host=[pnp_hostname]&srv=[pnp_service_description]&display=image&view=0&source=0>
                                        <br>
                                        <img src=/pnp4nagios/image?host=[pnp_hostname]&srv=[pnp_service_description]&display=image&view=0&source=1>
                                </td>
                        </tr>
                </table>
        </td>
</tr>


</table>
Posteriormente vamos al mapa de Nagvis desbloqueamos(unlock) un servicio pulsando boton derecho unlock, volvemos a pulsar botón derecho sobre el servicio, le damos a modificar y cambiamos los siguientes parametros (hover_menu y hover_template).

Pulsamos en Guardar

Volvemos a pulsar botón derecho sobre el icono del servicio y pulsamos bloquear (lock).

Recargamos la página y al pasar el ratón por encima del icono del servicio modificado, deberíamos ver las gráficas del servicio.

Conexiones remotas desde Gnome

2014-04-22T12:57:00.001+02:00

Cuando usamos linux normalmente viene integrado todo el software cliente de conexión a otros equipos.

Conexiones tipo Terminal
Vinagre es una aplicación que nos permite utilizar los clientes ssh, vnc y rdp. En nuestro caso sólo lo vamos a utilizar para vnc, así tenemos más opciones y que cada uno opte por la que más le interese.

#SSH
ssh %u@%h

#RDP
rdesktop -g 1024x764 -D -N -a 16 -z -x m -P -5 %h:%p

#VNC
vinagre --geometry 1024x768 %h:%p

#TELNET
telnet %h

Conexiones de intercambio de archivos
Gestion de archivos desde nautilus. Si pulsamos F3 en Nautilus obtenemos un segundo panel tipo Midnight Commander

#SAMBA
nautilus smb://%u@%h/%d

#SCP
nautilus sftp://%u@%h/%d

#FTP
nautilus ftp://%u@%h/%d

#FTP Publico
nautilus ftp://%h/%d

Leyenda:
Las variables corresponden a:
%h = Host al que nos vamos a conectar
%u = Usuario con el cual nos queremos conectar al host remoto
%d = Directorio del servidor remoto
%p = puerto al que nos conectamos

Como modificar iptables en TrendMicro IMSVA 8.5 para dar acceso a Nagios

2014-03-26T16:20:00.001+01:00

Revisar las reglas actuales de Firewall
iptables -L

Editar el script de reglas de firewall (En negrita lo que he añadido)
vi /etc/init.d/rcFirewall

set_snmp_access_rules()
{
    # set snmpaccess permission
    iptables -A INPUT -p udp -s IP_NAGIOS -d IP_SERVIDOR_IMSS--dport 161 -j ACCEPT
}

start()
{
    echo -n "Applying firewall rules..."

    get_network_info

    set_basic_rules
    set_exposed_fix_port_rules
    set_web_access_rules
    set_ssh_access_rules
    set_postfix_access_rules
    set_internal_access_rules
    set_changeable_port_rules
    set_snmp_access_rules

    echo_success
    echo
}

Volver a cargar las reglas de Firewall
/etc/init.d/rcFirewall restart

Mostrar las reglas actuales de Firewall
iptables -L

Cómo enviar los logs de un switch juniper a un servidor syslog

2014-01-09T11:12:00.002+01:00

Nos conectamos por ssh o telnet al switch Juniper escribimoscliconfigure Y despues introducimos el comando: set system syslog host IP_SERVIDOR_SYSLOG any info o a través de la configuración web syslog {
        user * {
            any emergency;
        }
        host IP_SERVIDOR_SYSLOG {
            any info;
        }
        time-format millisecond;
    }

Bibliografía:

http://www.juniper.net/techpubs/en_US/junos10.4/topics/reference/configuration-statement/syslog-edit-system.html

Syntax

syslog {archive {files number;size maximum-file-size;start-time "YYYY-MM-DD.hh:mm";transfer-interval minutes;(world-readable | no-world-readable);}console {facility severity;}file filename {facility severity;explicit-priority;match "regular-expression";archive {files number;size maximum-file-size;start-time "YYYY-MM-DD.hh:mm";transfer-interval minutes;(world-readable | no-world-readable);}structured-data {brief;}}host (hostname | other-routing-engine | scc-master) {facility severity;explicit-priority;facility-override facility;log-prefix string;match "regular-expression";}source-address source-address;time-format (millisecond | year | year millisecond);user (username | *) {facility severity;match "regular-expression";}}

Cómo recolectar logs de Cisco con rsyslog en Red Hat / CentOS

2014-01-03T18:10:00.000+01:00

Normalmente ya viene instalado en nuestro sistema Red Hat o Centos el demonio rsyslogd, pero viene configurado para recivir logs locales del propio servidor, no está preparado para recibir logs de otros equipos.

Deshabilitar SElinux? cat /etc/selinux/config
Deshabilitar Firewall? system-config-firewall-tui

Asi que vamos a configurar el servicio para recibir logs desde otros dispositivos de red (en nuestro caso switches y routers cisco).

Editamos el archivo /etc/rsyslog.conf

#Hay que descomentar algunas líneas para que el servidor
#reciba logs de otro equipos.

# Provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514

# Provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514

#Añadimos el nuevo archivo de log dedicado a los dispositivos CISCO
local6.emerg;local6.alert;local6.crit;local6.err;local6.warning;local6.notice;local6.info;local6.debug /var/log/cisco

Reiniciamos el servicio
/etc/init.d/rsyslog restart

En los dispositivos Cisco introducimos los siguientes comandos. (Revisar si teneis alguna ACL que os impida llegar al servidor de logs)

conf t
logging count
logging queue-limit 1000
logging rate-limit 60
logging trap notifications
logging origin-id hostname
logging facility local6
logging IP_del_servidor_rsyslog
end

En el servidor de logs para ver los logs ejecutar:
tail -f /var/log/cisco
Jan 3 09:20:39 192.168.1.1 156: RTR-0: 000157: Jan 3 09:20:43.738 GMT: %LINK-3-UPDOWN: Interface GigabitEthernet1/0/18, changed state to up

Como se puede acumular mucho log vamos a rotar los logs (durante 12 meses realizando un log por mes). si el log es menos de 1k no se rotará.
Creamos un archivo llamado /etc/logrotate.d/cisco y ponemos la siguiente configuración.

/var/log/cisco {
        mothly
        create 0644 root root
        rotate 12
        missingok
        notifempty
        size 1k
}

Para forzar la compresion de los logs rotados, editamos /etc/logrotate.conf y descomentamos:
# uncomment this if you want your log files compressed
compress

Para forzar la ejecución de la rotacion de los logs ejecutamos:
logrotate -vf /etc/logrotate.conf

[root@syslogsrv]# ls -lh /var/log/cisco*
-rw-r--r--. 1 root root   0 ene 3 17:46 /var/log/cisco
-rw-r--r--. 1 root root 526 ene 3 17:46 /var/log/cisco-20140103.gz

VTP: Cisco VLAN Trunk Protocol

2013-11-12T13:01:00.001+01:00

El protocolo VTP se utiliza para propagar la base de datos de VLANs por los switches.

Se establecen uno o dos switches como server (mantienen la bbdd de VLANs) y el resto como client (reciven actualizaciones de la bbdd de vlans).

Existe un modo transparent para los switches que dejarán pasar las actualizaciones VTP pero no actulalizarán su bbdd vlan propia.

El en equipo que hace de servidor
Switch(config)#vtp version 2
Switch(config)#vtp mode server
Device mode already VTP SERVER.
Switch(config)#vtp domain vtp1
Changing VTP domain name from NULL to vtp1
Switch(config)#vtp password vtp1
Setting device VLAN database password to vtp1

En los equipos que hacen de clientes
Switch2(config)#vtp version 2
Switch2(config)#vtp mode client
Device mode already VTP SERVER.
Switch2(config)#vtp domain vtp1
Changing VTP domain name from NULL to vtp1
Switch2(config)#vtp password vtp1
Setting device VLAN database password to vtp1

los comandos show:
show vtp status
show vtp domain
show vtp counters
show vlan brief

Bibliografía
http://www.cisco.com/en/US/tech/tk389/tk689/technologies_configuration_example09186a0080890607.shtml

Enlaces entre Antenas Cisco Aironet

2013-11-12T13:00:00.000+01:00

Con una única vlan

configure terminal

interface dot11radio0.1

encapsulation dot1q 1 native

bridge group 1

interface fastEthernet0.1

encapsulation dot1q 1 native

bridge group 1

interface dot11radio0

ssid SSID_modo_TRUNK

vlan 1

infrastructure-ssid

end

write memory

Con 4 vlans ID 1, ID 10, ID 20, ID 30

configure terminal

interface Dot11Radio0.1

encapsulation dot1Q 1 native

interface FastEthernet0.1

encapsulation dot1Q 1 native

interface Dot11Radio0.10

encapsulation dot1Q 10

interface FastEthernet0.10

encapsulation dot1Q 10

interface Dot11Radio0.20

encapsulation dot1Q 20

interface FastEthernet0.20

encapsulation dot1Q 20

interface Dot11Radio0.30

encapsulation dot1Q 30

interface FastEthernet0.30

encapsulation dot1Q 30

interface Dot11Radio0

ssid SSID_modo_TRUNK

vlan 1

infrastructure-ssid

end

write memory

Bibliografía:

http://www.cisco.com/en/US/products/hw/wireless/ps4570/products_configuration_example09186a00801d0815.shtml#vlanbr

Nagios - not could be due to Performed to fork () error 'Resource temporarily unavailable'

2013-11-07T11:00:00.004+01:00

El otro día me paso que hice una instalación desde cero de Nagios en RHEL 6.4 y al principio no me dí cuenta pero luego me fije que todos los servicios que usaban check_snmp fallaban dando el siguiente error:
Could not open pipe

Revisando el log de Nagios (nagios.log) se veía lo siguiente:
Warning: The check of service 'uptime' on host 'router1' not could be due to Performed to fork () error 'Resource temporarily unavailable'. The check will be rescheduled.

Buscando un poquito en google encontré en la web comercial de Nagios.
http://support.nagios.com/wiki/index.php/Nagios_XI:FAQs leí que estos errores suelen ser debidos a límites impuestos al usuario en /etc/security/limits.conf.
Para verificar los limites actuales podemos ejecutar:
ulimit -a En la web de Nagios nos recomiendan poner los siguientes valores:

* hard memlock 128 #locked memory
* soft memlock 128

* soft nofile 4096 #open files
* hard nofile 4096

* hard nproc 4096  #max user processes
* soft nproc 4096

* hard stack 20480 #stack size
* soft stack 20480

para aplicar los cambios tendremos que reiniciar.

Para verificar los límites después de reiniciar ejecutar:

ulimit -a
Para mejorar aún más el rendimiento de nuestro Nagios podemos deshabilitar el interprete perl embebido, configurando estas 2 variables en nuestro archivo de configuración nagios.cfg.

 enable_embedded_perl=0
 use_embedded_perl_implicitly=0

Bibligrafía

http://support.nagios.com/wiki/index.php/Nagios_XI:FAQs

Liberar memoria cache y swap en Linux

2013-10-10T12:48:00.001+02:00

#limpia_mem.sh
#Este script se puede programar por las noches con CRON
#para que al dia siguiente el equipo este fresco como una rosa
#
#Script para liberar memoria de forma segura en Linux
#
#!/bin/bash
echo "Comprobando como esta la memoria antes de hacer nada"
free -m

echo “Vaciando la memoria cache y swap“;

echo "Primero deshabilitamos la Swap"
swapoff -a

echo "Liberando de la cache las pagecache, dentries e inodes"
sync;sysctl -w vm.drop_caches=3;sync

echo "Por ultimo habilitamos la Swap"
swapon -a

echo "Comprobando la memoria despues de hacer los deberes XD"
free -m

Despues de ejecutar el script veremos algo parecido a esto:

[root@correo scripts]# ./limpia_mem.sh
Comprobando como esta la memoria antes de hacer nada
             total       used       free     shared    buffers     cached
Mem:          7983       7867        116          0        788       5200
-/+ buffers/cache:       1878       6105
Swap:         2047          0       2047
.Vaciando la memoria cache y swap.
Primero deshabilitamos la Swap
Liberando de la cache las pagecache, dentries e inodes
vm.drop_caches = 3
Por ultimo habilitamos la Swap
Comprobando la memoria despues de hacer los deberes XD
             total       used       free     shared    buffers     cached
Mem:          7983       1405       6577          0          0         78
-/+ buffers/cache:       1326       6657
Swap:         2047          0       2047

Archivos de windows a excluir del escaneo en tiempo real de Trend Micro OfficeScan

2013-07-08T11:44:00.001+02:00

Los archivos de bases de datos y los archivos cifrados normalmente no deberían de ser escaneados por el antivirus en tiempo real puesto que ganamos en rendimiento del equipo y no deberían representar una amenaza.

En la siguiente web http://esupport.trendmicro.com/solution/en-us/1059770.aspx Trend Micro nos propone una lista de archivos utilizados en sistemas Microsoft que no deberían ser escaneados por su producto OfficeScan.

Para configurar estas excepciones debemos entrar en la consola web de gestión de OfficeScan.

Equipos en red -> Administración de clientes

Seleccionamos el grupo de equipos o unidad organizativa del dominio (OU) que nos interese y vamos a:

Configuración -> Configuración de la exploración -> Parámetros de escaneo en tiempo real.

Por ejemplo en los controladores de dominio habría que excluir los siguientes archivos.

Microsoft Active Directory Domain Controller

DRIVE:\WINNT\SYSVOL
DRIVE:\WINNT\NTDS
DRIVE:\WINNT\ntfrs
DRIVE:\WINNT\system32\dhcp
DRIVE:\WINNT\system32\dns

Resumen de listado de directorios a excluir:

C:\inetpub\logs\

C:\Program Files\Call Manager

C:\Program Files\Call Manager Attendant

C:\Program Files\Call Manager Serviceability

C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions

C:\Program Files\Common Files\Microsoft Shared\Web Service Extensions

C:\Program Files\Common Files\Microsoft Shared\Web Storage System

C:\Program Files\Microsoft ISA Server\ISALogs

C:\Program Files\Microsoft Office Servers

C:\Program Files\Microsoft Operations Manager 2005

C:\Program Files\Microsoft SQL Server\MSSQL$MSFW\Dat

C:\Program Files\Microsoft SQL Server\MSSQL.X\OLAP\Data

C:\Program Files\Microsoft SQL Server\MSSQL\Data

C:\Program Files\SharePoint Portal Server

C:\Users\Default\AppData\Local\Temp

C:\Users\ServiceAccount\AppData\Local\Temp

C:\Windows\Microsoft.NET\Framework\v2.0.50727\Temporary ASP.NET Files

C:\Windows\Microsoft.NET\Framework64\v2.0.50727\Temporary ASP.NET Files

C:\WINDOWS\system32\LogFiles

C:\Windows\Syswow64\LogFiles

C:\Windows\Temp\Frontpagetempdir

C:\Windows\Temp\WebTempDir

C:\WINNT\NTDS

C:\WINNT\ntfrs

C:\WINNT\system32\dhcp

C:\WINNT\system32\dns

C:\WINNT\system32\IIS Temporary Compressed Files

C:\WINNT\system32\InetSrv

C:\WINNT\system32\LogFiles

C:\WINNT\SYSVOL

M:\

Q:\

Resumen de extensiones de archivo a excluir:

*.appstate

*.bak

*.dat

*.ldf

*.log

*.mdf

*.ndf

*.pf

*.pol

*.pst

*.tm

*.tmp

*.vmdk

*.vmem

*.zc

Bibliografía:

http://esupport.trendmicro.com/solution/en-us/1059770.aspx

Como habilitar y des-habilitar las notificaciones de Nagios.

2013-06-03T18:16:00.002+02:00

A veces interesa que durante cierto tiempo que Nagios no nos cuente las caídas que detecta. Por ejemplo cuando reiniciamos Nagios puede darse el caso que durante un rato lleguen un montón de correos de UP y de DOWN.

A continuación e muestra una imagen en la que se muestran los menús de la web de Nagios para habilitar o des-habilitar las notificaciones.

La web de la imagen es Nagios modificado con el tema nuvola.

Consultas al directorio activo con los comandos DSQUERY, DSGET y DSMOD

2013-05-02T11:34:00.000+02:00

Listado de todas las OUs del dominio
dsquery ou domainroot

Usuarios están inactivos en el directorio activo desde hace 26 semanas (6 meses)
dsquery user -inactive 26 -limit 0

Usuarios están deshabilitados en el directorio activo
dsquery user -disabled

Direcciones email de los usuario
dsquery user –samid * | dsget user -email

PCs inactivos en el directorio activo desde hace 26 semanas (6 meses)
dsquery computer -inactive 26 -limit 0

Deshabilitar un PC en el directorio activo
dsmod computer PC12 -disabled yes

Deshabilitar PCs que llevan inactivos 26 semanas(6 meses)
dsquery computer -inactive 26 | dsmod computer -disabled yes

Listado de todos los PCs
dsquery computer -name * | dsget computer -samid

Listado de todos los PCs con sistema operativo Windows Server
dsquery * domainroot -filter “(&(objectCategory=computer)(operatingSystem=Windows Server*))” | dsget computer - Windowsamid

Registro SOA de una zona DNS

2013-04-11T21:34:00.000+02:00

Un registro SOA (Start Of Authority) lo tiene definido toda zona dns y tiene la siguiente estructura:

@ IN SOA nameserver. email. serial refresh retry expire min-ttl

@ IN SOA nameserver. email. (

serial

refresh

retry

expire

min-ttl

)

Parametros generales:

nameserver - Es el servidor donde se crea el fichero de la zona DNS.
email - Es el correo electrónico del administrador del fichero que define la zona. Ojo! nunca se pone una @ sino que se sustituye por un punto.
serial - Es el numero de revision del archivo. Hay que incrementar el numero cada vez que modificamos el fichero para que se propaguen los cambios a los demás servidores DNS.

Parámetros que afectan a las transferencias entre DNS primario y secundario:

refresh - Es el tiempo (en segundos) que espera un DNS secundario antes de volver a preguntar si hay cambios en el registro SOA. El DNS secundario revisa el Serial number del registro SOA, en caso que sea diferente al que ya tiene solicitará una transferencia de la zona al dns primario.
retry - Es el tiempo (en segundos) que el DNS secundario esperará para volver a solicitar la transferencia en caso que haya fallado con anterioridad. Normalmente suele ser menor que el "Refresh time".
expire - Es el tiempo (en segundos) que un DNS secundario esperará a que se complete una transferencia correcta con su DNS primario, en caso de no llegar la transferencia correcta en dicho tiempo el DNS secundario no responderá a las peticiones de dicha zona. Pasado este tiempo se considera que los registros son obsoletos.

Parámetros que afectan a los DNS cache

min-ttl - Es el tiempo mínimo que deben mantener vivos los registros de esta zona el resto de servidores DNS (cache o no autoritativos).

En el siguiente ejemplo se muestra el registro SOA de una zona:

@ IN SOA ns1.example.com. dnsmaster.example.com. (
1 ; serial esta zona sólo se ha modificado una vez

3600 ; refresh [1h] los DNS secundarios se actualizaran

; cada hora.

600 ; retry [10m] si una transferencia de zona falla se

; intentara actualizar cada 10 min.

86400 ; expire [1d] Si no se realiza con exito ninguna

; transferencia de zona a los DNS

; secundarios en un día los DNS

; secundarios no contestarán a dicha

; zona.

3600 ) ; min TTL [1h] Si las modificaciones de un registro se

; propagan a los DNS cache de internet en

; 1 hora.

Bibliografía:

rfc1035: http://tools.ietf.org/html/rfc1035#page-12

Crear usuarios en un directorio activo

2013-03-13T22:27:00.001+01:00

Primero
Creamos un script llamado crear_usuario.vbs

strContainer = WScript.Arguments.Unnamed(0)
strName = WScript.Arguments.Unnamed(1)
strPasswd = WScript.Arguments.Unnamed(2)
strLogonScript= WScript.Arguments.Unnamed(3)
strGroup = WScript.Arguments.Unnamed(4)

'Conectarse
'***********************************************
Set objRootDSE = GetObject("LDAP://rootDSE")
If strContainer = "" Then
Set objContainer = GetObject("LDAP://" & objRootDSE.Get("defaultNamingContext"))
Else
Set objContainer = GetObject("LDAP://" & strContainer & "," & objRootDSE.Get("defaultNamingContext"))
End If

'Crear el usuario
'***********************************************
Set objUser = objContainer.Create("user", "cn=" & strName)
objUser.Put "sAMAccountName", strName
objUser.SetInfo

'Poner la clave de usuario
'-----------------------------------------------
Set objUser = GetObject("LDAP://cn=" & strName & "," & strContainer & "," & objRootDSE.Get("defaultNamingContext"))
objUser.SetPassword(strPassword)
objUser.scriptPath = strLogonScript
objUser.SetInfo

Wscript.Quit

Segundo
Llamamos al script para que cree los usuarios.
cscript crear_usuario.vbs "OU=admins,OU=IT" adminit clave123 script-usuarios.bat it-admins
cscript crear_usuario.vbs "OU=users,OU=IT" userit1 clave123 script-usuarios.bat it-users

Script para crear un grupo de usuarios que contenga todos los usuarios de una OU

2013-03-13T22:19:00.003+01:00

Primero
creamos un script llamado crear_grupos.bat
@echo off
color 0a
cls
SET strContainer=%1
SET strMidominio=%2
SET GRUPO_SAMID=%3

SET UNIDAD_ORGANIZATIVA=%strContainer%,%strMidominio%
SET GRUPO=cn=%GRUPO_SAMID%,%UNIDAD_ORGANIZATIVA%

echo Create group alumnos
dsadd group %GRUPO% -samid %GRUPO_SAMID%

echo Add all member of OU to group
dsquery user %UNIDAD_ORGANIZATIVA% | dsmod group %GRUPO% -addmbr

echo --------------------------------------------
dsquery user %UNIDAD_ORGANIZATIVA%
echo --------------------------------------------
dsquery user %GRUPO%
dsquery group %GRUPO% | dsget group -members

Segundo
llamamos al script para crear los grupos de usuarios.
rem Crear un grupo de usuarios que contenga todos los usuarios de una OU
call crear_grupos.bat "OU=admins,OU=IT" "dc=midominio,dc=local" it-admins

rem Crear un grupo de usuarios que contenga todos los usuarios de una OU
call crear_grupos.bat "OU=users,OU=IT" "dc=midominio,dc=local" it-users

Blog de Gulfan

Como montar una graja web con Vagrant y Ansible

Zimbra informe de error TLS en Firefox

Como enjaular usuarios SFTP

Reiniciar permisos de una carpeta en windows

Añadir MIBs al cliente snmp en Red Hat o CentOS

Ampliar una particion con LVM II - ampliar partición root

ifconfig en vmware esxi

Udev y nombrado de interfaces de red 2 - plantillas de máquinas virtuales

Cómo puedo mejorar el rendimiento de Zimbra

Configurar DKIM en Zimbra 8

Cómo poner gráficas en el menu hover de Nagvis

Conexiones remotas desde Gnome

Como modificar iptables en TrendMicro IMSVA 8.5 para dar acceso a Nagios

Cómo enviar los logs de un switch juniper a un servidor syslog

Nos conectamos por ssh o telnet al switch Juniper escribimoscliconfigure Y despues introducimos el comando: set system syslog host IP_SERVIDOR_SYSLOG any info o a través de la configuración web syslog { user * { any emergency; } host IP_SERVIDOR_SYSLOG { any info; } time-format millisecond; }

Bibliografía:

http://www.juniper.net/techpubs/en_US/junos10.4/topics/reference/configuration-statement/syslog-edit-system.html

Syntax

Cómo recolectar logs de Cisco con rsyslog en Red Hat / CentOS

VTP: Cisco VLAN Trunk Protocol

Enlaces entre Antenas Cisco Aironet

Nagios - not could be due to Performed to fork () error 'Resource temporarily unavailable'

Liberar memoria cache y swap en Linux

Archivos de windows a excluir del escaneo en tiempo real de Trend Micro OfficeScan

Como habilitar y des-habilitar las notificaciones de Nagios.

Consultas al directorio activo con los comandos DSQUERY, DSGET y DSMOD

Registro SOA de una zona DNS

Crear usuarios en un directorio activo

Script para crear un grupo de usuarios que contenga todos los usuarios de una OU

Nos conectamos por ssh o telnet al switch Juniper escribimoscliconfigure Y despues introducimos el comando: set system syslog host IP_SERVIDOR_SYSLOG any info o a través de la configuración web syslog {
user * {
any emergency;
}
host IP_SERVIDOR_SYSLOG {
any info;
}
time-format millisecond;
}