LinuxTarGz

Kickstart e instalaciones desatendidas

2018-08-27T22:17:00.000+02:00

Kickstart, es un proceso que permite la instalación desatendida de un sistema operativo RedHat/CentOS, principalmente.

Se invoca desde el menú de instalación y se hace la llamada a un fichero .cfg

Personalmente, por comodidad, dejo alojado el fichero en un repositorio local de CentOS.

Una vez invocado empezará la instalación, pudiendo ser esta con interacción del usuario, o totalmente desatendida.

Obviamente, dicha instalación podemos parametrizar todo el sistema tal y como podemos hacer con un script al uso.

Os dejo un enlace a Pastebin con un kickstart que he hecho para utilizar en mi home lab.
https://pastebin.com/tqsgvnG9

Revisarlo antes de usarlo ya que tiene cierta configuración de hardening que puede pelearse con vuestras necesidades.

Espero que os sea de utilidad.

Un saludo

OpenVPN Debian 9 (Road to Warrior) - Actualizado

2017-11-11T14:00:00.000+01:00

Hola a tod@s,

primeramente darle las gracias a Ismael por darme esta oportunidad para hacer una entrada en el blog. Espero que sea de ayuda e interés.

Escenario:

Equipo con Debian 9.6 instalado desde netinstall y con gestión por ssh. (125 paquetes)
OpenVpn (2.4.0-6), OpenSSL (1.1.0j-1), Easy-RSA (2.2.2-2) y Havged (1.9.1-5)
Dispositivo móvil Android 8

Parametrización previa de la máquina Debian:

/boot -> 256Mb ext2 opciones: ro
/root -> 1G XFS
/tmp -> 256Mb ext4 opciones: nodev,nosuid,noexec
/swap -> 256Mb
/opt -> 64Mb ext4 opciones: nodev,nosuid,noexec
/var -> 512Mb ext4 opciones: nodev,nosuid,noexec
/var/log -> 256Mb ext4 opciones: nodev,nosuid,noexec
/var/log/audit -> 64Mb ext4 opciones: nodev,nosuid,noexec
/usr -> 1,5Gb ext4
/home -> 64Mb XFS opciones: nodev,nosuid,usrquota,grpquota
/tmp /var/tmp none rw,nodev,noexec,nosuid,bind 0 0
tmpfs /dev/shm none rw,nodev,noexec,nosuid 0 0
proc /proc proc defaults,hidepid=2 0 0

Paquetería necesaria:
apt update && apt install openssl easy-rsa openvpn haveged -y

Instalaremos el paquete haveged para generar la suficiente cantidad de entropía en el sistema, de manera que podamos generar claves de calidad.

Copiamos el directorio easy-rsa
cp -r /usr/share/easy-rsa/ /etc/openvpn/
Modificaremos el fichero /etc/openvpn/easy-rsa/vars quedando de la siguiente manera:
export EASY_RSA="/etc/openvpn/easy-rsa"

export KEY_SIZE=4096
export CA_EXPIRE=1825
export KEY_EXPIRE=1825
export KEY_COUNTRY="ES"
export KEY_PROVINCE="LCG"
export KEY_CITY="Cambre"
export KEY_ORG="TestLab Enterprises"
export KEY_EMAIL="root@localhost”
export KEY_OU="IT"

Según las lineas anteriores, se van a generar claves y certificados de 4096 bits con duración de 5 años y ubicadas en la ruta /etc/openvpn/easy-rsa

Hacemos source a vars. Recomendaría posicionarse en /etc/openvpn/easy-rsa
source vars

Y probamos que los scripts funcionan correctamente:
./clean-all

Ya podemos empezar a generar los certificados, primeramente la CA
./build-ca CA
El del servidor
./build-key-server srvovpn
Diffie-Helman (Si no es un equipo con cierta potencia, puede tardar unas horas)
./build-dh
Clave TA para evitar DDoS hacia la VPN
openvpn --genkey --secret ta.key
En este punto ya podemos empezar a generar certificados y claves para los usuarios de la VPN
./build-key cliente1

Crearemos la configuración del servidor VPN en /etc/openvpn/server.conf
dev tun
proto udp

tun-mtu 1460

port 11194
### Aumenta el cache del buffer de envio de paquetes
sndbuf 393216
### Aumenta el cache del buffer de descarga de paquetes
rcvbuf 393216
### Certificados y claves del servidor
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/srvovpn.crt
key /etc/openvpn/easy-rsa/keys/srvovpn.key
dh /etc/openvpn/easy-rsa/keys/dh4096.pem
tls-auth /etc/openvpn/easy-rsa/keys/ta.key 0
remote-cert-tls client
crl-verify /etc/openvpn/easy-rsa/keys/crl.pem
### Hace que OpenVPN trabaje con este user/group
user nobody
group nogroup
### Graceful transition from old to new key
tran-window 256
### Subnet de la VPN
server 10.58.0.0 255.255.255.224
### Fichero para mantener una asociación continua de IP y dispositivos
ifconfig-pool-persist ipp.txt
### Servidores DNS
push "dhcp-option DNS DNSINTERNO1" # Podríamos usar un servidor externo
push "dhcp-option NTP NTPINTERNO1"
push "sndbuf 393216"
push "rcvbuf 393216"
### Redirecciona todo el trafico del cliente Openvpn hasta el gw del servidor
push "redirect-gateway def1"
### Cifrado y Encriptacion
tls-cipher TLS-DHE-RSA-WITH-AES-256-CBC-SHA256
cipher aes-256-cbc
auth sha512
auth-nocache
tls-version-min 1.2
### Habilita el servidor TLS y empieza a negociar la clave
tls-server
### Sale en el caso de que la negociacion TLS falle.
tls-exit
persist-key
push "persist-key"
persist-tun
### Maximo de clientes de la VPN y posibilidad de verse entre ellos
max-clients 6
client-to-client
### Compresion
compress lz4-v2
### Ping cada 10 segundos y máximo de 120 para contestación
keepalive 10 120
### Logs
log-append /var/log/openvpn.log
status /var/log/openvpn-status.log
verb 4
explicit-exit-notify 1

Guardamos cambios y ejecutamos:
touch /var/log/openvpn.log && /etc/init.d/openvpn restart

Si todo ha ido bien, deberíamos de ver que el servicio se ha iniciado correctamente con la configuración que hemos establecido anteriormente.

Seguidamente, creamos un script de iptables para dar cierta seguridad al entorno:

nano -c /etc/init.d/nombrescript

#!/bin/bash
### BEGIN INIT INFO
# Provides:             fwipv4-Statefull
# Required-Start:       $network
# Required-Stop:        $network
# Default-Start:        2 3 4 5
# Default-Stop:         0 1 6
# Short-Description: Activando Iptables SPI
# Autor: https://www.linkedin.com/in/fblancos
# Date: 12/11/2018 Version: 0.9
### END INIT INFO
flush_reglas(){
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
}
set_policy(){
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
}
unset_policy(){
iptables -P INPUT ACCEPT
iptables -P OUTPUT DROP
iptables -P FORWARD ACCEPT
}
reglas(){
/sbin/modprobe ip_tables
/sbin/modprobe ip_conntrack
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_mangle
/sbin/modprobe iptable_nat
#Reglas
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
### 1: DROP INVALID PACKETS ###
iptables -t mangle -A PREROUTING -m conntrack --ctstate INVALID -j DROP
### 1.B: DROP TCP PACKETS THAT ARE NEW AND ARE NOT SYN ###
iptables -t mangle -A PREROUTING -p tcp ! --syn -m conntrack --ctstate NEW -j DROP
### 1.C: DROP TCP PACKETS THAT ARE NEW AND ARE NOT SYN ###
iptables -t mangle -A PREROUTING -p tcp -m conntrack --ctstate NEW -m tcpmss ! --mss 536:65535 -j DROP
### 2: BLOCK PACKETS WITH BOGUS TCP FLAGS ###
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,ACK FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,URG URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,FIN FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,PSH PSH -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL ALL -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL FIN,PSH,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,FIN,PSH,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL ACK,RST,SYN,FIN -j DROP
### 3: BLOCK SPOOFED PACKETS ###
iptables -t mangle -A PREROUTING -s 224.0.0.0/3 -j DROP
iptables -t mangle -A PREROUTING -s 169.254.0.0/16 -j DROP
iptables -t mangle -A PREROUTING -s 172.16.0.0/12 -j DROP
iptables -t mangle -A PREROUTING -s 192.0.2.0/24 -j DROP
iptables -t mangle -A PREROUTING -s 0.0.0.0/8 -j DROP
iptables -t mangle -A PREROUTING -s 240.0.0.0/5 -j DROP
iptables -t mangle -A PREROUTING -s 248.0.0.0/5 -j DROP
iptables -t mangle -A PREROUTING -s 255.255.255.255/32 -j DROP
### OpenVPN RULES ###
# DROP INVALID SYN PACKETS
iptables -A FORWARD -p tcp --tcp-flags ALL ACK,RST,SYN,FIN -j DROP
iptables -A FORWARD -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
iptables -A FORWARD -o ens160 -p udp --dport 53 -m state -d DNSINTERNO1 --state NEW,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i ens160 -p udp --sport 53 -m state -s DNSINTERNO1 --state ESTABLISHED -j ACCEPT
iptables -A FORWARD -o ens160 -p udp --dport 123 -m state -d NTPINTERNO1 --state NEW,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i ens160 -p udp --sport 123 -m state -s NTPINTERNO1 --state ESTABLISHED -j ACCEPT
iptables -A FORWARD -o ens160 -p tcp -m multiport --dports 80,443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i ens160 -p tcp -m multiport --sports 80,443 -m state --state ESTABLISHED -j ACCEPT
# ALLOW WHATSAPP :-)
iptables -A FORWARD -o ens160 -p tcp -m multiport --dports 5222:5228 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i ens160 -p tcp -m multiport --sports 5222:5228 -m state --state ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.58.0.0/27 -o ens160 -j SNAT --to LOCALIPSERVER
# MAKE SURE NEW OUTGOING TCP CONNECTIONS ARE SYN PACKETS; OTHERWISE WE NEED TO DROP THEM
iptables -A FORWARD -p tcp ! --syn -m state --state NEW -j DROP
### LISTENING PORTS ###
iptables -A INPUT -i ens160 -p tcp -s NETLAN/CIDR --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o ens160 -p tcp -d NETLAN/CIDR --sport 22 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -p udp --dport 11194 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p udp --sport 11194 -m state --state ESTABLISHED -j ACCEPT
### OUT TO LAN ###
iptables -A OUTPUT -o ens160 -p udp --dport 53 -m state -d DNSINTERNO1 --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i ens160 -p udp --sport 53 -m state -s DNSINTERNO1 --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o ens160 -p udp --dport 123 -m state -d NTPINTERNO1 --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i ens160 -p udp --sport 123 -m state -s NTPINTERNO1 --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o ens160 -p tcp -m multiport --dports 80,443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i ens160 -p tcp -m multiport --sports 80,443 -m state --state ESTABLISHED -j ACCEPT
# INVALID PACKAGES
iptables -A OUTPUT -m conntrack --ctstate INVALID -j DROP
# INVALID SYN PACKAGES
iptables -A OUTPUT -p tcp --tcp-flags ALL ACK,RST,SYN,FIN -j DROP
iptables -A OUTPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
iptables -A OUTPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
# MAKE SURE NEW OUTGOING TCP CONNECTIONS ARE SYN PACKETS; OTHERWISE WE NEED TO DROP THEM
iptables -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP
# DROP PACKETS WITH OUTGOING FRAGMENTS. THIS ATTACK RESULT INTO LINUX SERVER PANIC SUCH DATA LOSS
iptables -A OUTPUT -f -j DROP
# DROP OUTGOING MALFORMED XMAS PACKETS
iptables -A OUTPUT -p tcp --tcp-flags ALL ALL -j DROP
# DROP OUTGOING MALFORMED NULL PACKETS
iptables -A OUTPUT -p tcp --tcp-flags ALL NONE -j DROP
# INVALID ICMP PACKETS NEED TO BE DROPPED TO PREVENT A POSSIBLE EXPLOIT
iptables -A OUTPUT -m state -p icmp --state INVALID -j DROP
# DROPS
#iptables -N LOGGING #Crea la cadena
#iptables -A INPUT -j LOGGING #Pasa los input por la cadena de logs
#iptables -A FORWARD -j LOGGING #Pasa los forward por la cadena de logs
#iptables -A OUTPUT -j LOGGING #Pasa los outgoing por la cadena de logs
#iptables -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "IPTables-Dropped: " --log-level 4
#iptables -A LOGGING -j DROP

}
case "$1" in

start)
flush_reglas
set_policy
reglas
echo "Firewall activado"
;;

stop)
flush_reglas
unset_policy
echo "Firewall desactivado"
;;

restart)

$0 stop
$0 start
;;

*)

echo "Usar ejecutando: /etc/init.d/$0 {start|stop|restart}"
;;

esac

Damos permisos y hacemos que se ejecute en cada arranque

chmod 700 nombrescript && chown root:root nombrescript && chmod +x nombrescript && update-rc-d nombrescript defaults

Ahora hacemos un pequeño tunning en el sysctl.conf y añadimos:

# DMESG only readeable by root
kernel.dmesg_restrict = 1
######### VPN #########
net.ipv4.ip_forward = 1
# Controls source route verification
net.ipv4.conf.default.rp_filter = 1
# Do not accept source routing
net.ipv4.conf.default.accept_source_route = 0
# Size of the listen queue for accepting new TCP connections (default: 128)
net.core.somaxconn = 4096
# Maximum Socket Receive Buffer for all protocols (in bytes)
net.core.rmem_max = 16777216
net.core.rmem_default = 16777216
# Set Linux autotuning TCP buffer limits
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 87380 16777216

######### GENERAL SECURITY OPTIONS ################
# Automatically Reboot Server in 30 Seconds after a Kernel Panic
vm.panic_on_oom = 1
kernel.panic = 30
kernel.panic_on_oops = 30
# Enable ExecShield
kernel.randomize_va_space = 2
# Controls whether core dumps will append the PID to the core filename
kernel.core_uses_pid = 1
# Controls the System Request debugging functionality of the kernel
kernel.sysrq = 0
kernel.kptr_restrict = 2
kernel.yama.ptrace_scope = 3
# Protected links
fs.protected_symlinks = 1
fs.protected_hardlinks = 1
# Martian packets
net.ipv4.conf.all.log_martians = 1
net.ipv4.conf.default.log_martians = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.accept_redirects = 0

Es el turno de configurar el cliente:

dev tun

client

proto udp

remote direccionipexterna 11194

resolv-retry infinite

nobind

persist-key

persist-tun

remote-cert-tls server

cipher aes-256-cbc

auth sha512

tls-cipher TLS-DHE-RSA-WITH-AES-256-CBC-SHA256

ca ca.crt #Fichero a copiar en el dispositivo cliente

cert cliente1.crt #Fichero a copiar en el dispositivo cliente

key cliente1.key #Fichero a copiar en el dispositivo cliente

tls-auth ta.key 1 #Fichero a copiar en el dispositivo cliente

auth-nocache

comp-lzo

verb 3

Como comentaba al principio, en Android se puede usar esta aplicación OpenVPN for Android

Ya quedaría complemente listo y funcional.

Saludos a tod@s!

Cluster SSH

2016-08-12T11:56:00.001+02:00

Buenos días amig@s!

Hoy quería enseñaros una forma fácil y rápida de administrar varias máquinas linux, esto sólo es recomendable cuando hay pocas máquinas, en caso de que haya más os recomendaría otra método como puede ser Puppet o Ansible.

Ahí vamos.

1º Necesitaremos tener una máquina Linux (en mi caso la distribución es Debian, pero puede ser cualquier, lo único que cambiará será el apt-get)

javi@Linuxtargz# apt-get install clusters

2ª Cuando se instale, necesitaremos poner el comando "ssh ip" por ejemplo:

javi@Linuxtargz# cssh 172.22.2.231 172.22.2.53 172.22.2.54

Se pueden poner tantas ips como quieras..También se puede poner si quieres entrar
como root del servidor

Ejm.

javi@Linuxtargz# cssh root@172.22.2.231 root@172.22.2.53 root@172.22.2.54 root@172.22.2.52

No es necesario entrar con root, al igual que tampoco poner la ip (siempre que resuelva por DNS) un ejemplo de ello:

javi@Linuxtargz# cssh squidx ftpx openvpn

Espero que os haya sido útil y os ahorre un poco de tiempo al tener que instalar algo en varias máquinas o hacer un mantenimiento.

Un saludo!!

Cambiar nombre sistema VyOS

2016-08-10T20:38:00.002+02:00

Buenas chic@s.

La entrada de hoy es muy simple, pero seguro que todos queréis que vuestro FW no se llama @vyos.

Vamos a darle un nombre más afín, para que esté en sintonía con nuestra infraestructura

Con estos simples comandos podréis definir el nombre de sistema de vuestro VyOS

Así viene por defecto:

vyos@vyos:~$

Empezamos:

vyos@vyos:~$ configure

vyos@vyos# set system host-name LinuxTargz (Aquí podeis poner el nombre que desees)

vyos@vyos# commit     (Siempre recordar aplicar el "commit" para aplicar los cambios)

[ system host-name LinuxTargz ]

Stopping enhanced syslogd: rsyslogd.

Starting enhanced syslogd: rsyslogd.

vyos@LinuxTargz:~$

Con estos simples comandos podréis definir el nombre de sistema de vuestro VyOS

Espero que os haya resultado útil.

Saludos!

Configuración túnel IPSEC con VyOS

2016-08-04T13:20:00.000+02:00

Buenos días chic@s.

Siguiendo con nuestro post anterior, hoy os enseñaré cómo configurar una vpn IPSEC con nuestro VyOS, contra otro FW VyOS o de otro fabricante.

Para este ejemplo, contamos con una red de prueba que es la siguiente:

RED - 161.111.128.0/24
GW Remoto - 161.111.128.82

Sin más empezamos:

Entramos por ssh al FW (si no recuerdas como entrar, tienes las instrucciones en el post anterior) dentro meteremos los siguientes comandos.

*Existen diferentes opciones a la expuestas a continuación, podéis cambiar el cifrado, el hash, dh y por supuesto es muy recomendable cambiar la password que aquí vamos a poner.

vyos@vyos:~$ configure

vyos@vyos# set vpn ipsec ipsec-interfaces interface eth0

vyos@vyos# set vpn ipsec ike-group IKE-Ltgz proposal 1

vyos@vyos# set vpn ipsec ike-group IKE-Ltgz proposal 1 dh-group 2

vyos@vyos# set vpn ipsec ike-group IKE-Ltgz proposal 1 encryption 3des

vyos@vyos# set vpn ipsec ike-group IKE-Ltgz proposal 1 hash sha1

vyos@vyos# set vpn ipsec ike-group IKE-Ltgz lifetime 3600

vyos@vyos# set vpn ipsec esp-group ESP-Ltgz proposal 1

vyos@vyos# set vpn ipsec esp-group ESP-Ltgz pfs dh-group5

vyos@vyos# set vpn ipsec esp-group ESP-Ltgz proposal 1 encryption 3des

vyos@vyos# set vpn ipsec esp-group ESP-Ltgz proposal 1 hash sha1

vyos@vyos# set vpn ipsec esp-group ESP-Ltgz lifetime 1800

vyos@vyos# edit vpn ipsec site-to-site peer 161.111.128.82

vyos@vyos# set authentication mode pre-shared-secret

vyos@vyos# set authentication pre-shared-secret 12345678

vyos@vyos# set default-esp-group ESP-Ltgz

vyos@vyos# set ike-group IKE-Ltgz

vyos@vyos# set local-address 161.111.240.24

Como se puede observar hasta aquí, hemos definido toda la fase I de la VPN, ahora nos faltaría por indicarle la fase II donde podremos las redes que tendrán conectividad.

La topología es la siguiente:

-Redes que ve mi FW (locales-internas) 10.100.200.0/24 y 10.100.201.0/24

-Redes externas (detrás del otro FW) 161.111.128.0/24

En este caso, necesitaré 2 Fases II para poder tener conectividad entre mis redes LAN y la red LAN remota.

vyos@vyos# set tunnel 1 local prefix 10.100.200.0/24

vyos@vyos# set tunnel 1 remote prefix 161.111.128.0/24

vyos@vyos# set tunnel 2 local prefix 10.100.201.0/24

vyos@vyos# set tunnel 2 remote prefix 161.111.128.0/24

Con estos comandos ya tendríais configurado los túneles, habría que hacer lo equivalente ( o lo mismo en caso de que sea otro VyOS) en el otro extremo.

Para comprobar si los túneles están levantados el comando a utilizar es el siguiente:

vyos@vyos:~$ show vpn ipse status (*Aquí sólo podremos ver si están up o down los túneles)

O si lo queremos con más detalle, miraremos el log.

vyos@vyos:~$ show log vpn ipse

Esto ha sido todo, si tenéis cualquier duda, no dudeis en preguntarnos

Un saludo amig@s!

Firewall VyOS - Alternativa gratuita -

2016-07-26T17:38:00.005+02:00

Buenos dias ami@s!

Hoy os traigo un Firewall virtual gratuito, no tan conocido como pfsense, pero que tiene muchas funcionalidales. Su nombre es VyOS

Nos podremos bajar el FW pinchando aquí

Una vez descargada e instalada, comenzamos a probarla:

-Asignación de ip al interfaz
-Configuración del interfaz
-Permitir acceso ssh y asignación de puerto
-Establecimiento del Gateway.

Empezamos.

Las credenciales por defecto son:

*****************
vyos login: vos
password: vyos
*****************

En esta entrada vamos a ver cómo empezar con su configuración:

vyos@vyos: configure
vyos@vyos#set interfaces ethernet eth0 address 161.111.240.40/24
vyos@vyos#set service ssh allow-root
vyos@vyos#set service ssh port 22
vyos@vyos#set system gateway-address 161.111.240.1

Con "commit" aplicamos la configuración, si no lo ejecutas, no funcionara los cambios realizados.
Con "save" salvaremos la configuración en el fichero denominado config.boot.

Ahora podríamos conectarnos a la máquina vía ssh y su administración es más fácil que por el hypervisor.

vyos@vyos: configure
vyos@vyos#set interfaces ethernet eth1 address 10.100.200.1/24
vyos@vyos#set interfaces ethernet eth2 address 10.100.201.1/24
vyos@vyos#set interfaces ethernet eth3 address 161.111.70.40/24
vyos@vyos#set interfaces ethernet eth4 address 10.100.204.1/24
vyos@vyos#set interfaces ethernet eth5 address 10.100.205.1/24
vyos@vyos#set interfaces ethernet eth5 duplex auto
vyos@vyos#set interfaces ethernet eth5 smp_affinity auto
vyos@vyos#set interfaces ethernet eth5 speed auto
vyos@vyos#commit
vyos@vyos#save

Las últimas lineas en la Eth5 no son necesarias, las he puesto para que podais ver todas las opciones que nos da el VyOS.

Así tendríamos nuestro FW configurado, en la próxima entrada veremos cómo configurar y levantar túneles IPSEC.

Un saludo!

Certificados SSL gratis

2016-04-28T09:54:00.001+02:00

Esta entrada es de Alberto Gonzalez, la cual fue subida a su blog "http://blog.inittab.org" ,pero me parecía muy interesante y la difundo de nuevo con su permiso.

Hoy vengo a contaros que se pueden conseguir certificados SSL válidos en todos los navegadores, y sistemas operativos, por cero Euros. Aunque realmente lo que quiero contar es como ponerlo en marcha rápidamente, que es lo que espero no sepáis para que terminéis de leer esto 🙂

Let’s Encrypt lleva unos meses funcionando y posiblemente para cuando termine de escribir esta entrada ya habrán generado más de dos millones de certificados. Su objetivo no es acabar con la mafia y el timo de (la mayoría de) los certificados SSL de pago. Su propósito es el que tráfico de Internet viaje cifrado, para que al menos les cueste algo más de presupuesto espiarnos a todos aquellos que lo hacen.

No voy a entrar en detalle sobre el protocolo que desarrollaron (ACME), sólo comentaré las piezas que necesitamos conocer y espero que con un poco de copiar y pegar estéis funcionando en minutos.

Software

Existen varias implementaciones del “cliente ACME” necesario para gestionar la petición de certificados. De entre ellos yo elegí acme-tiny porque su código es sencillo de entender y no tiene apenas dependencias, básicamente Python y openssl. En su repositorio de github tenéis sus instrucciones de uso, muy fáciles de seguir, pero si lo queréis algo un poco más fácil he creado un pequeño script en shell, usa acme-tiny para funcionar y sólo requiere como argumento el nombre, o nombres, de dominio para los que solicitar el certificado.

También necesitaremos un servidor web, aunque el certificado SSL sea para un servidor de correo, XMPP, o lo que se os ocurra. Es necesario porque Let’s Encrypt hará una petición a nuestro servidor web para validar que el dominio del certificado solicitado es realmente nuestro. El funcionamiento a grandes rasgos es: El “cliente ACME” solicita un certificado a Let’s Encrypt, estos piden al cliente que ponga un fichero que pruebe que el dominio es nuestro (challenge) en el servidor web y posteriormente Let’s Encrypt pide al servidor web del dominio en cuestión el fichero acordado. Si el fichero está allí y es correcto, se entiende que el dominio está bajo nuestro control y el certificado se emite.

Configuración

Lo primero que necesitaremos (además de tener acme-tiny (enlace para “wget-ear”) y opcionalmente mi script (enlace para “wget-ear”)) es un directorio para guardar claves privadas y certificados. Para no ejecutar acme_tiny como root crearemos ese directorio con permisos de escritura para un usuario no privilegiado (no es buena idea usar alguno bajo el que se ejecute Apache/nginx o algún servicio), podemos usar nuestro propio usuario (en mi caso será “agi“). Ya que, en Debian, tenemos los directorios /etc/ssl/(private|certs), yo elegí /etc/ssl/letsencrypt:

# mkdir /etc/ssl/letsencrypt

# chown agi:ssl-cert /etc/ssl/letsencrypt

# chmod 750 /etc/ssl/letsencrypt

Bajaremos el certificado intermedio de Let’s Encrypt para que no de problemas la cadena de validación de nuestro certificado SSL. Lo dejaremos en el directorio creado:

# cd /etc/ssl/letsencrypt

# wget https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem

Crearemos una clave privada para establecer la comunicación con Let’s Encrypt:

# cd /etc/ssl/letsencrypt

# openssl genrsa 4096 > account.key

# chmod 600 account.key

# chown ago account.key

Ahora crearemos el directorio donde el “cliente ACME ” dejará los ficheros de validación (challenge) y que el servidor web tendrá que devolver cuando Let’s Encrypt lo solicite:

# mkdir /var/www/letsencryptchallenges

# chown agi /var/www/letsencryptchallenges

Y configuraremos el servidor web para que sirva el contenido de ese directorio. Si tenemos un sólo dominio lo podemos hacer en la configuración es éste, y si tenemos varios configurar el directorio de forma global. A forma de ejemplo, esta sería la configuración para un servidor Apache:

Alias /.well-known/acme-challenge/ /var/www/letsencryptchallenges/

Options None

AllowOverride None

Order allow,deny

Allow from all

</Directory>

Y esta para un servidor nginx:

location /.well-known/acme-challenge/ {

alias /var/www/letsencryptchallenges/;

try_files $uri =404;

}

Llegado este punto, si no vas a usar mi script deberías seguir las instrucciones de acme-tiny para crear un CSR (Petición de firma de certificado), instalar el certificado y programar una tarea periódica que lo renueve.

Si vas a usar mi script deberías repasar las variables de configuración que tiene al principio para ajustar los ficheros y directorios que usará (los comentados anteriormente). Si estás siguiendo literalmente los pasos que llevamos hasta ahora posiblemente sólo tendrás que cambiar el path al script acme_tiny.py (apuntar la variable ACME_TINY al path donde lo dejaras y no olvidar dar permisos de ejecución a ambos). Si ya has recargado la configuración del servidor web, para que se sirva correctamente el directorio de los ficheros challenge, sólo queda una cosa que hacer, pedir el nuevo certificado:

## Ejecutar con el usuario no privilegiado, no como root!

## Lo más sencillo es dejar new_cert en el PATH (p.e. /usr/local/bin)

$ new_cert midominio.com

## Si queremos un certificado para varios (sub)dominios podemos pasar todos

## como argumentos al script.

## IMPORTANTE: En este caso, asegúrate de que el servidor web devolverá

## el fichero challenge correctamente en todos ellos

$ new_cert midominio.com www.midominio.com eldominiodemiprimo.com

Si todo fue bien, deberíamos tener varios ficheros, que toman su nombre del primer dominio especificado en la llamada a new_cert, en el directorio de trabajo que usemos. Los importantes son: DOMINIO.key, la clave privada, y DOMINIO_chained.crt, el certificado solicitado con el certificado intermedio de Let’s Encrypt. Con ellos tendremos que configurar el virtual HTTPS de nuestros dominios. Ejemplo en Apache:

ServerName DOMINIO

SSLEngine on

SSLCertificateFile /etc/ssl/letsencrypt/DOMINIO_chained.crt

SSLCertificateKeyFile /etc/ssl/letsencrypt/DOMINIO.key

......

</VirtualHost>

Ejemplo en nginx:

server {

listen 443;

server_name DOMINIO;

ssl on;

ssl_certificate /etc/ssl/letsencrypt/DOMINIO_chained.crt;

ssl_certificate_key /etc/ssl/letsencrypt/DOMINIO.key;

...

}

Existen varios parámetros (tanto en los servidores web mencionados como en otro tipo de servidores) para mejorar la seguridad y compatibilidad SSL. En el sitio github de acme_tiny mencionan algunos (para deshabilitar SSLv3 e inferiores y corregir posibles ataques conocidos), aunque yo soy fan de la herramienta de análisis (y recomendaciones) de Qualys SSL Labs. Así que no os quedéis en instalar el certificado y darle un repaso a parametrización del SSL.

Mantenimiento

Los certificados de Let’s Encrypt, al menos en el momento que escribo estas líneas, tienen una vigencia de tres meses. Por ello es importante que preparemos un mecanismo automático de renovación. Que consiste en algo tan simple como una entrada de cron que solicite un nuevo certificado antes de que caduque el actual. En mi caso tengo un fichero en /etc/cron.d llamado local-letsencrypt (el prefijo local- me permite diferenciar los ficheros instalados por el gestor de paquetes de los creados por mi) con el siguiente contenido (y donde digo nginx, digo apache2, postfix, prosody, dovecot, …):

# Ajustar el nombre de usuario, el path a new_cert y el comando para recargar

# la configuración del servidor correspondiente (salvo que uséis nginx y systemd)

0 6 1 * * agi /usr/local/bin/new_cert DOMINIO(s) && sudo systemctl reload nginx

# Y no olvidéis permitir a vuestro usuario ejecutar ese comando con sudo en

# el /etc/sudoers:

agi ALL=NOPASSWD: /bin/systemctl reload nginx

## O sin depender de sudo (recomendación de Tincho):

0 6 1 * * root su -u agi -c "/usr/local/bin/new_cert DOMINIO(s)" && systemctl reload nginx

Cuidado con las cosas gratis

Para los que no se fían de las cosas gratis, les recomiendo que sigan los pasos anteriormente descritos y luego envíen 200 EUR a mi cuenta de Paypal. Una vez al año, por la renovación, claro. Les garantizo que sus datos viajarán cifrados igualmente que con el certificado más caro de [insertar entidad certificadora aquí].

$ exit

¿Qué puede hacer EXPECT por ti?

2016-04-27T09:35:00.001+02:00

Buenos días a tod@s!

El otro día vi un post que me gustó bastante, sobre cómo hacer backup de los diferentes elementos de red físicos (Firewall, Switches, Cabinas de almacenamiento, etc…)

Seguramente si tiene administración web podremos hacer una copia sin ningún problema. Pero si queremos automatizar la tarea, usaremos el acceso CLI, en el siguiente ejemplo, nuestras “victimas” serán unos switches CISCO, colocados en diferentes plantas de un edificio.

Vamos a por ello!!!!!!!

Lo primero que necesitamos es un servidor tftp donde subir nuestras copias, en nuestro servidor, deberemos crear un usuario que tenga permisos de escritura para poder subir los archivos, por supuesto tiene que tener conectividad con las máquinas que queramos copiar.

Existen muchos clientes gratuitos y muy fáciles de instalar.

Cuando tengamos esto, necesitaremos una máquina Linux y a nuestro gran amigo EXPECT.

¿Cómo funciona?

Facil, lo que hay que poner es el comando que esperas recibir en la consola y el que tu teclearías, no os preocupéis, dejo comentado el script para que podáis identificar cómo se hace.

Lo primero será entrar en cada una de nuestras máquinas e introducir nuestro usuario y password, recordad que los hemos debido crear antes.

Introducimos el usuario

Router(config)# ip ftp username javi

Introducimos la password

Router(config)# ip ftp password linuxtargz


Ahora nuestro switch guardará nuestras credenciales. Sólo nos falta crear nuestro script.

El código será el siguiente:

#!/usr/bin/expect

spawn date +%u

expect -re "."

set hoy $expect_out(buffer) >> guardamos la variable "hoy" como nuestra fecha

spawn /usr/bin/telnet 10.0.1.6 >>nos conectamos a la máquina que queremos copiar, en este caso por telnet

expect "Username: " >> Nos pide el usuario

send "usuario\n" >> Introducimos el usuario que esperaría recibir e introducimos un retorno de carro.

expect "Password: "

send "CiscoSwitch3p\n"

expect "PilaCore_planta3>"

send "enable\n"

expect "Password: "

send "P@ssw0rd12\n"

expect "PilaCore_Planta3#"

send "copy running-config ftp \n"

expect -re "Address or name of remote host .. "

send "172.22.14.73\n"

expect -re "Destination filename .pilacore_plta5a-confg.. "

send "switch_planta3-$hoy\n" >> Aquí enviamos la fecha que tenemos en nuestra variable

expect "PilaCore_Planta3#"

close

**** Para que podáis ver qué funciona en todos los entornos os dejo también el script que copia varias switches brocade***

#!/usr/bin/expect
spawn date +%u
expect -re "."
set hoy $expect_out(buffer)

set switches [list 172.22.2.21 172.22.2.22 172.22.2.27 172.22.2.29]
foreach switch $switches {

spawn /usr/bin/telnet $switch

expect "Enter password: "
send "admin\n"

expect ">> Main# "
send "cfg/\n"

expect ">> Configuration# "
send "ptcfg/\n"

expect "Enter hostname or IP address of FTP/TFTP server: "
send "172.22.14.73\n"

expect "Enter name of file on FTP/TFTP server: "
send "$switch-$hoy\n"

expect "Enter username for FTP server or hit return for TFTP server: "
send "javi\n"

expect "Enter password for username on FTP server: "
send "linuxtargz\n"

expect ">> Configuration# "

close

}

Ahora solo os faltaría dar permisos de ejecución al script que acabáis de crear.

¿Cómo hacemos eso?

Con "chmod 644 archivo"

Este script podríamos programarlo con un "cron" y hacer que se ejecutara una vez al día a la hora que queramos.

La copia se guardará con la fecha del día en el que se hizo.

Espero que os haya resultado útil.

Un saludo amig@s!

Troubleshooting "Rendimiento en el Almacenamiento"

2016-04-12T10:39:00.002+02:00

Buenos días a tod@s

Hoy vamos a ver cómo averiguar si tenemos un problema de almacenamiento en nuestra infraestructura, para ello, lo más importante es tener claro los 3 indicadores más importantes:

Lo primero es entrar en el ESXI y poner el comando esxtop o a través del Vma con el resxtop y

darle a la tecla “d” (DEVICE)

- Veremos una serie de contadores, en donde tendremos que prestar atención a los siguientes:

-DAVG/cmd > Mide el tiempo desde que sale del ESXI hasta que llega a la cabina

-KAVG/cmd > Mide el tiempo medio que tarda el sexi en procesar un IOPS (no tiene que ser mayor de 2 o 3 ms ) si supera este tiempo significa que el ESXI va lento!!!!!!

-GAVG/cmd > Mide la suma de los dos valores anteriores (25ms malo… el valor medio debería estar entre 8-10)

VALORES:

Para discos Fiber Channel 20ms

Para discos SAS/SATA 35ms

Para discos SSD 10ms

*****************************************

ABORTO DE IOPS

***************************************

Para ver si la cabina no puede con todas las ordenes que se le manda es recomendable ver si hay “abortos”

Para ello en el esxtop le damos la a la opción de “D” DEVICE, a la “F” para AÑADIR contadores y a la “J” para ver errores.

Si luego pulsamos la “U” podremos ver si estamos encolando “IOPS” y la actividad

Espero que os haya resultado útil

Un saludo!

Navegar por ESXTOP

2016-04-11T09:17:00.003+02:00

Buenos días amig@s.

Hoy vamos a ver cómo manejarnos por esa herramienta que más de una vez nos va a salvar de pasarlo mal y darnos un troubleshooting imprescindible.

Estoy seguro que muchos de vosotr@s sabéis interpretar las salidas de esxtop, pero quizás no conozcáis todas sus opciones. Aquí vamos a intentar verlas juntos.

El esxtop muestra los procesos que están corriendo en el esxi, pero para verlo de un modo interactivo, se usan los siguientes comandos:

c > ver CPU

m > ver la MEMORIA

d > ver el DISCO (ADAPTADOR)

u > ver DISCO (DEVICE-DISPOSITIVO)

v > ver el VIRTUAL DISK

n > NETWORK

f > AÑADIR (añade o quita columnas)

v > VIRTUAL MACHINE

q > QUIT

w > te crea un fichero de configuración para guardar tus búsquedas (si añades o quitas columnas, cuando salgas se perderán las modificaciones que has hecho, con W las guardas y cuando vuelvas a entrar tendrás las mismas columnas)

Quiero aprovechar este post para mostrarte unos indicadores muy importantes. Cuando le pulsamos la tecla n (como hemos visto antes, iremos al apartado de red) veremos una serie de indicadores, todos son importantes, pero deberemos prestar atención a los dos últimos:

MBTX/S > megas transmitidos

MBRX/S > megas recibidos

PKTTX/S > paquetes transmitidos

PKTRX/S > paquetes recibidos

%DRPTX > paquetes que transmito que se drapean "pierden"

%DRPRX > paquetes recibidos que se drapean "pierden"

En la próxima entrada veremos cómo diagnosticar problemas a través de ESXTOP

Un saludo!

Añadir esxi al VMA

2016-04-07T13:47:00.000+02:00

Buenos días a todo@s!

Hoy vamos a ver cómo añadir un esxi al VMA.

Desde nuestra linea de comandos del VMA se puede “llamar” a un esxi, esto se hace a través del comando “vifptarget -s nombre”

Ejm

vi-admin@vma:~> vifptarget -s esxi2.tudominio.local

Nos puede salir el siguiente problema y será que no encuentra el host:

Cannot find the specified target in vMA configuration.
vi-admin@vma:~>

Para solventar este problema, tendremos que meter el/los host a mano, con el comando “viftp addserver x.x.x.x”

Ejm.

vifp addserver esxi2.tudominio.local

Este comando realizará la conexión y y nos pedirá la contraseña del esxi, esto es un ejemplo de lo que nos aparecerá:

root@esxi2.tudominio.local’s password:

En cuanto pongamos la contraseña, habremos añadido nuestro host al VMA.

Ahora, para ver cuántos host tenemos añadidos al VMA, podremos teclear el siguiente comando “vifp listserver –long”

Ejm.

vi-admin@vma:~> vifp listservers –long
esxi1.tudominio.local ESXi fpauth
esxi2.tudominio.local ESXi fpauth

Espero que os resulte de ayuda

Un saludo amig@s!

Backup & Restore ESX/ESXI con VMA

2016-04-06T09:49:00.001+02:00

Hola a tod@s!

Hoy vamos a hablar sobre cómo hacer un backup de nuestros servidores ESX/ESXI a través de nuestro VMA. Tenemos varias formas de realizarlo, como por ejemplo con un simple “cp” de algunos ficheros y reubicarlos en otro path, pero eso sería muy “chapucilla”…

Os voy a tratar de mostrar una manera más limpia y sencilla de realizarlo.

Para ello, vamos a aprovecharnos de una herramienta que nos proporciona VMware, a través de “VMware Management Assistance”. Está en la web de vmware appliances, podremos descargarlo en formato .OVF desde aquí. VMA, nos facilita gestionar todos nuestros hosts de una forma centralizada y sustituir la consola de servicio (ssh al host), a partir de la versión 3.5 U2 esx/esxi.

La configuración del VMA es bastante sencilla, tan sólo nos pedirá que introduzcamos la dirección de nuestra máquina, un dato importante a tener en cuenta es que el usuario y contraseña de la máquina, por defecto será:

vi-admin

Una vez dentro podremos cambiar la contraseña.

Realizar el Backup

Desde la consola de administración de VMA, debemos de ejecutar el siguiente comando:

# vicfg-cfgbackup -s server nombre_host_esx /pathparael/backup

Ejemplo

[vi-admin@vma~]$ vicfg-cfgbackup -s server 192.168.17.15 /tmp/backup_esxi.cfg

Restaurar Backup

Para la restauración de la copia de seguridad, debemos de ejecutar:

# vicfg-cfgbackup -l server nombre_host_esx /pathparael/backup”

Ejemplo:

[vi-admin@vma~]$ vicfg-cfgbackup -l server 192.168.17.15 /tmp/backup_esxi.cfg

Y por último, podemos restaurar la configuración por defecto de nuestro host esx/esxi, debemos de ejecutar lo siguiente:

# vicfg-cfgbackup -r server nombre_host_esx“.

Restablecimiento de la contraseña root en mysql

2016-04-05T12:00:00.000+02:00

Hola a tod@s

Hoy os voy a contar un nuevo problema.

Imaginad que os dan la administración de un servidor linux en el que hay una instancia MYSQL corriendo.

Al hacer el traspaso de la información os facilitan las claves de los usuarios y la de root para entrar el servidor, pero nadie os habla la contraseña del MYSQL. Todo va bien hasta que un día tenéis que hacer algo en la BBDD y nadie sabe ni recuerda la contraseña que se puso en su día.

Ok, pues nos toca “saltarse la contraseña y establecer una nueva” para ello hay que hacer lo siguiente:

(OJO!!, este procedimiento implica una parada en el servicio de MYSQL.)

Paso 1: Detener cualquier proceso del servidor MySQL.
Paso 2: Iniciar el proceso del servidor MySQL (mysqld) con la opción –skip-grant-tables por lo cual este no preguntará por la contraseña.
Paso 3: Conectar al servidor MySQL como el usuario root
Paso 4: Configurar una nueva contraseña para la nueva contraseña root
Paso 5: Salir y reiniciar el servidor MySQL.

Visto así parece algo complicado, así que vamos a poner todos los comandos necesarios para cada uno de los pasos mencionados anteriormente para que sea un poco más sencillo (para realizar esta operativa tenéis que ser root de la máquina)

Paso # 1: Detener el servicio mysql

# /etc/init.d/mysql stop

Salida:

Stopping MySQL database server: mysqld.

Paso # 2: Iniciar el servidor MySQL sin contraseña:

# mysqld_safe –skip-grant-tables

Salida:

[1] 5988

Iniciando el motor de mysqld de las bases de datos desde /var/lib/mysql

mysqld_safe[6025]: started

Paso # 3: Conectar al servidor mysql usando el cliente mysql:

# mysql -u root

Salida:

Bienvenido al monitor de MySQL. Comandos y con ; o \g.

Your MySQL connection id is 1 to server version: 5.0.21-log

Teclear ‘help;’ o ‘\h’ para obtener ayuda. Tipiar ‘\c’ para en vaciar el buffer.

mysql>

Paso # 4: Configurar una nueva contraseña del servidor MySQL para el usuario root:

mysql> use mysql;
mysql> update user set password=PASSWORD(“NEW-ROOT-PASSWORD”) where User=’root’;
mysql> flush privileges;
mysql> quit

Paso # 5: Detener el servidor MySQL:

# /etc/init.d/mysql stop

Salida:

Stopping MySQL database server: mysqld

STOPPING server from pid file /var/run/mysqld/mysqld.pid

mysqld_safe[6121]: ended

[1]+ Done mysqld_safe –skip-grant-tables

Paso # 6: Iniciar el servidor MySQL y verificar la contraseña:

# /etc/init.d/mysql start
# mysql -u root -p

Espero que os haya resultado util este pequeño “manual” :)

Un saludo a tod@s!

Control de snapshot mediante Nagios

2016-04-04T09:57:00.000+02:00

Buenos días a tod@s

El otro día leyendo blog vi que se hablaba del control del los snapshot, una ayuda muy potente a la hora de aplicar cambios y probar qué tal funciona (aunque yo prefiero los snapshot a nivel de cabina), pero muy peligrosa siempre que se alargan en el tiempo.

Una forma de controlar que no tengamos instantáneas en nuestra infraestructuras y en el caso de tenerlas, que estén controladas es mediante Nagios.

1º Lo primero que vamos a necesitar es generar la clave publica de nuestro servidor Nagios y meterla dentro de nuestro ESXI (esto ya lo hemos hecho en el post anterior, pero si alguien quiere, lo volvemos a poner paso a paso)

2º Ahora nos tocará escribir los script para que nuestro Nagios pueda buscar los snapshot existentes y nos avise en caso de que existan:

En este caso nos va a avisar siempre que existan y sean mayores que 2G

-#!/bin/sh
##########################################################3
# DECLARACION DE VARIABLES
######################################################3###

OK='0'
WARNING='1'
CRITICAL='2'

##################################################################################
#CONEXION A ESXI Y LOCALIZACION DE SNAPSHOT MAYORES A 2 GIGAS
################################################################################3#

VMS=$( ssh root@192.168.x.x /usr/bin/find /vmfs/volumes/ -name '*.vmsn' -size +2000000k | cut -d '/' -f5 )
exit 0

####################################################################3
#CUENTA MAQUINAS VISTRUALES CON SNAPSHOT SUPERIORES A 2 GIGAS
####################################################################

NUM=$( echo "$VMS" | wc -l )

if [ "$NUM" -eq 0 ] ; then
echo "sin snapshot"
exit $OK
elif [ "$NUM" -gt 2 ] ; then
echo "$VMS tienen snapshot"
exit $CRITICAL
else
echo "$VMS tienen snapshot"
exit $WARNING
fi

2ª script

#!/bin/sh
##########################################################33
#ARCHIVOS DELTA
########################################################

##########################################################3
# DECLARACION DE VARIABLES
######################################################3###

OK='0'
WARNING='1'
CRITICAL='2'

##################################################################################
#CONEXION A ESXI Y LOCALIZACION DE SNAPSHOT MAYORES A 2 GIGAS
################################################################################3#

VMS=$( ssh root@192.168.x.x /usr/bin/find /vmfs/volumes/ -name '*delta.vmdk' -size +2000000k | cut -d '/' -f5 )

####################################################################3
#CUENTA MAQUINAS VISTRUALES CON SNAPSHOT SUPERIORES A 2 GIGAS
####################################################################

NUM=$( echo "$VMS" |grep -v '^$' | wc -l )

if [ "$NUM" -eq 0 ] ; then
echo "sin snapshot"
exit $OK
elif [ "$NUM" -gt 2 ] ; then
echo "$VMS tienen snapshot"
exit $CRITICAL
else
echo "$VMS tienen snapshot"
exit $WARNING
fi

3º Una vez que tenemos nuestros script escritos en bash, tendremos que incluir en el fichero commands la siguiente instrucción.

define command {
command_name snapshot
command_line $USER1$/snapshot.sh $HOSTADDRESS$
}
define command {
command_name snapshot-delta
command_line $USER1$/snapshot-delta.sh $HOSTADDRESS$
}

4º Ya sólo nos quedaría incluir en nuestro fichero la definición del servicio

define service{
use generic-service
host_name ESXI
service_description snapshot
check_command snapshot
}
define service{
use generic-service
host_name ESXI
service_description snapshot-delta
check_command snapshot-delta
}

Con estos paso ya tendríamos controlado el uso de nuestros snapshot en nuestra infraestructura y podrían avisarnos mediante correo electrónico, mensajes o whatsapp de su existencia.

Espero que os haya resultado útil.

Un saludo amig@s

Reclaim versión 5.1 y 5.5

2016-04-01T12:54:00.002+02:00

Buenos días a tod@s!

Hoy quería mostraros una tarea a priori sencilla pero que me permite reducir mucho el tiempo en tareas de mantenimiento de mi infraestructura.

Generalmente, una vez al mes, suelo hacer un "reclaim" en mi host para liberar espacio en la cabina
( No hay un tiempo mínimo ni máximo para hacer este mantenimiento, pero siempre es recomendable cuando se han creado o borrado máquinas de nuestra granja)

Al tener varios Datastore en poner un simple comando (versión 5.5) se hacía tedioso, puesto que tienes que ir uno por uno y esperar a que se acabe el proceso anterior, los que lleven más tiempo recordarán que era peor aún en la versión 5.1 pues había que entrar dentro de la carpeta para realizar (en este caso) el vmkstool -y

Lo primero que hay que hacer es introducir vuestra clave publica en el host (esxi) para que se pueda conectar de forma remota automáticamente.

Para ello copiaremos nuestra clave en el esxi, a continuación os muestro la ruta dónde tendréis que copiar dicha clave:

/etc/ssh/keys-root
vi authorized_keys

Ahí deberéis poner vuestra clave.

Bueno, manos a la obra.... se crea un script, pero... nos encontramos el 1º problema, nuestros esxi usan busybox, no tienen las mismas funcionalidad que bash, hay que escapar las variables para que las recozca. Sabiendo esto, ahora si que vamos a por ello....

La segunda curiosidad es que tendréis que añadir << EOF o un \ (final de carro) para que realice vuestras sentencias

Versión 5.1
- Aquí aún no he visto cómo pasarle la variable desde mi máquina local y que el cliente la reconozca, así que he introducido el porcentaje a reclamar directamente sobre el script, en cuanto pruebe un par de cosas más, actualizaré el post con la solución más optima,

#!/usr/bin/env bash

ssh root@192.168.x.x /bin/sh -- << EOF

  find /vmfs/volumes -type l -maxdepth 1 | while read datastore; do

     cd "\$datastore"

     echo "reclamando espacio de \$datastore ..."

     vmkfstools -y 60

     cd ..

  done

  echo "reclamado espacio disponible"

Versión 5.5

#!/usr/bin/env bash

ssh root@192.168.x.x /bin/sh -- << EOF

  find /vmfs/volumes -type l -maxdepth 1 | cut -d/ -f4 | while read datastore; do

    echo "reclamando datastore \$datastore"

    esxcli storage vmfs unmap -l "\$datastore" 

  done

  echo "reclamado espacio disponible"

Con sólo ejecutar nuestro script procederemos a reclamar el espacio de todos nuestros Datastores

Espero que os haya servido de ayuda, :)

Un saludo

Aumentar tamaño de disco de una máquina virtual

2016-02-22T13:39:00.001+01:00

Hola a tod@s!

El otro día me encontré con un “warning” de disco en una de mis máquinas virtuales, me estaba quedando sin espacio, estoy seguro que a mas de un@ le ha pasado…

Lo único “malo” que tiene esta operativa frente a otras es que nos obligará a reiniciar la máquina 2 veces. Algunos de los comandos que os vendrá bien saber para tener claro cómo se llama vuestro VG, PV y LV son:

root@-1N1:~# vgs

root@-1N1:~# pvs

root@-1N1:~# lvs

Así que sin más vamos a ver cómo ampliarlo manualmente…

1- lo primero que tenemos que hacer es ampliar el espacio en disco en nuestro hypervisor ( en mi caso VMware)
2- Cuando hayamos ampliado el espacio reiniciaremos el servidor con un rebooto con init 6 lo que más os guste
3- Cuando se haya levantado la máquina, veremos el tamaño que tiene, esto lo podemos ver poniendo el siguiente comando:
- cat /proc/partition
Ya sabemos el espacio del que disponemos, ahora vamos a ampliar la partición
ejecutamos la siguiente sentencia en el terminal y pulsamos enter
- fdisk /dev/sda
Pulsaremos p para ver cómo está nuestras particiones

Algo así es lo que se nos mostrará, en mi caso esta es la tabla de particiones de mi equipo

Dispositivo Inicio Comienzo Fin Bloques Id Sistema
/dev/sda1 * 2048 499711 248832 83 Linux
/dev/sda2 501758 41940991 20719617 5 Extendida
/dev/sda5 501760 41940991 20719616 8e Linux LVM

Vamos a borrar la partición 2 y la volveremos a crear, recordad que cuando se haga este cambio automáticamente se borrará también el sd5 (Linux LVM) y se perderá el tipo de partición, no os preocupes por esto, luego lo volveremos a poner como estaba
Ahora crearemos una partición lógica nueva, por defecto nos dirá que sea la 2y cogerá todo el espacio que haya, sino lo hiciera automáticamente, vosotros podéis introducir los parámetros que consideres más correctos, en mi caso le voy a asignar todo el espacio.
ya tenemos una partición Extendida, pero recordad que arriba teníamos una partición llamada Linux LVM, así que creamos una partición nueva sobre la partición 2 que acabamos de crear, como veis, se crear una partición extendida, no con el tipo que nosotros buscábamos, para ello, tendremos que usar la opción T y en la lista elegir el codigo 8e que es la que corresponde con Linux LVM.
Volvemos a ver cómo ha quedado:
- cat /proc/partition
Ahora reiniciaremos de nuevo el servidor
El siguiente paso es indicar al PV que es más grande, esto se hace así:
- pvresize /dev/sda2
Ya tenemos el PV redimensionado, ahora nos centraremos en ampliar el LV:
- lvresize -L +3G /dev/vgdebian/raiz

Ejm.

1- root@-1N1:~# lvresize -L +3G /dev/vgdebian/raiz
Extending logical volume raiz to 4.86 GiB
Logical volume raiz successfully resized

Ahora ingresamos otro comando para expander el sistema de fichero y ocupe todo el espacio que tenemos:
- resize2fs /dev/mapper/vgdebian-raiz

Ejm.

2-root@1N1:~# resize2fs /dev/mapper/vgdebian-raiz
resize2fs 1.42.5 (29-Jul-2012)
Filesystem at /dev/mapper/vgdebian-raiz is mounted on /; on-line resizing required
old_desc_blocks = 1, new_desc_blocks = 1
Performing an on-line resize of /dev/mapper/vgdebian-raiz to 1273856 (4k) blocks.
The filesystem on /dev/mapper/vgdebian-raiz is now 1273856 blocks long.

Ya tenemos nuestra máquina lista, el último comando para ver qué todo se ha hecho bien es:
- df -h

Ejm.

3 – root@-1N1:~# df -h
Filesystem Size Used Avail Use% Mounted on
rootfs 4.8G 1.8G 2.9G 39% /
udev 10M 0 10M 0% /dev
tmpfs 101M 176K 101M 1% /run
/dev/mapper/vgdebian-raiz 4.8G 1.8G 2.9G 39% /
tmpfs 5.0M 0 5.0M 0% /run/lock
tmpfs 201M 0 201M 0% /run/shm
/dev/sda1 92M 23M 64M 27% /boot

Esto ha sido todo, espero que os haya salido bien, cualquier duda, aquí estoy para intentar ayudaros.

Disculpadme si no he sabido expresarme bien o haya sido demasiado tedioso

Un saludo amig@s!

Añadir el javascript de piwik en apache

2016-02-21T19:09:00.002+01:00

Hola

Si por cuestiones de aplicación, nos es imposible incrustar el javascript en aplicación, siempre podemos dejar que apache haga ese trabajo, haciendo que cada resquest se entregue con el javascript. Esto lo conseguimos con "sed"

ExtFilterDefine add-piwik mode=output intype=text/html cmd="/bin/sed 's#</head>#<script type=\"text/javascript\">\\n var _paq = _paq || [];\\n _paq.push([\'trackPageView\']); _paq.push([\'enableLinkTracking\']);\\n\\n (function() {\\n var u=((\'https:\' == document.location.protocol) ? \'https\' : \'http\') + \'://server.piwik.com/piwik/\';\\n _paq.push([\'setTrackerUrl\', u+\'piwik.php\']);\\n _paq.push([\'setSiteId\', \'5\']);\\n var d=document, g=d.createElement(\'script\'), s=d.getElementsByTagName(\'script\')[0]; g.type=\'text/javascript\';\\n g.defer=true; g.async=true; g.src=u+\'piwik.js\'; s.parentNode.insertBefore(g,s);\\n })();\\n </script>\\n </head>#i'"

SetOutputFilter add-piwik

Cambiar server.piwik.com/piwik por la url de vuestro server y el setSideId igual.

Migración de Workstation a Esxi

2016-02-17T16:18:00.000+01:00

Buenas a tod@s!

Hoy me he encontrado con un problemilla, es fácil de solucionar pero hasta que me he dado cuenta he perdido un poco de tiempo, así que os voy a contar la solución para que vosotros no tengáis que buscar mucho

Seguro que por internet hay más información sobre esto, pero no estoy seguro de si estará o no en castellano,así que vamos a publicarlo aquí.

Imaginad que tenéis una máquina virtual corriendo en vuestro Workstation y por necesidad la queréis migrar a vuestro ESX/ESXI, todo parece que funciona correctamente pero cuando tratáis de arrancarlo, os sale el siguiente mensaje de error.

error : “Failed to open disk scsi0:0: Unsupported and/or invalid disk type 7.
Did you forget to import the disk first?Unable to create virtual SCSI device for scsi0:0,
Module DevicePowerOn power on failed.”

La solución es ir por consola al datastore donde has alojado la máquina :

cd /vmfs/volumenes/tudatastore

Una vez allí se ejecuta el siguiente comando:

vmkfstools -i nombre_viejo.vmdk -d zeroedthick nombre_nuevo.vmdk

Ahora veremos como se empieza a clocar el disco. Cuando esta operación termine sólo nos quedará ir a la máquina y cambiar el disco antiguo por el nuevo, ya arranca bien la máquina

Un saludo

Habilitar snmp en ESXi

2016-02-06T14:01:00.000+01:00

Buenos días a tod@s!

Hoy veremos cómo habilitar snmp en un esxi y ponerle una comunidad, con esto conseguiremos trazar y recibir información que luego podrá ser recogida por ejemplo con un Nagios.

Para habilitarlo tendremos que seguir los siguientes pasos:

1- Entrar en el host en el que queremos habilitar el snmp, para ello utilizaremos el comando
viftptarget -s ip
Ejm.

vi-admin@vma:~> vifptarget -s esxi1.tudominio.local

2- Nos mostrara que ya estamos en el host, ahora con el comando vicfg-snmp -svemos las opciones
que tenemos
Ejm

vi-admin@vma:~[esxi1.tudominio.local]> vicfg-snmp -s

Veremos algo asÌ

Current SNMP agent settings:
Enabled : 0
UDP port : 161

Communities :

Notification targets :

Options :
EnvEventSource=indications
loglevel=info

3- lo primero será ponerle una comunidad, para ello usaremos el comando vicfg-snmp -c comunidad
Ejem

vi-admin@vma:~[esxi1.tudominio.local]> vicfg-snmp -c public,esxi

4- Ahora añadiremos el target (como hemos dicho antes, nuestro “target” es quien va a recibir la información, un Nagios), para eso tendremos que poner el comando: vicfg-snmp -t IP@161/comunidad
Ejm

vi-admin@vma:~[esxi1.tudominio.local]> vicfg-snmp -t 172.22.2.250@161/public
5- Por último sólo nos faltaría habilitar el snmp, para ello el comando es vicfg-snmp -E
Ejm

vi-admin@vma:~[esxi1.tudominio.local]> vicfg-snmp -E
6- Para comprobar que todo esté bien, pondremos el comando vicfg-snmp -s y veremos su salida

Current SNMP agent settings:
Enabled : 0
UDP port : 161

Communities :
public
esxi

Notification targets :
172.22.2.250@161/public

Options :
EnvEventSource=indications
loglevel=info
vi-admin@vma:~[esxi1.tudominio.local]> vicfg-snmp -E
Enabling agent…
Complete.
vi-admin@vma:~[esxi1.tudominio.local]> vicfg-snmp -s
Current SNMP agent settings:
Enabled : 1
UDP port : 161
Communities :
public
esxi

Notification targets :
172.22.2.250@161/public

Si vemos todos los parámetros correctamente es que hemos configurado correctamente nuestro snmp. :D.

Espero que os haya servido de ayuda.

Un saludo a tod@s!

Usar Apache httpd con Graylog2 0.20

2014-01-15T11:12:00.001+01:00

Con la reciente llegada de la versión 0.20 de Graylog2, al igual que la anterior, no es necesario usar el servidor web. En lo personal, prefiero usarlo por que me siento más cómodo y puedo manejar mejor la configuración. Lo que haremos será usar el módulo mod_proxy de Apache para este menester.

Lo primero es dejar arrancado graylog2-web en modo https para que las comunicaciones entre apache y graylo2-web sean seguras:

# nohup /opt/graylog2-web/bin/graylog2-web-interface -Dhttps.port=9443 &

Ahora en la parte SSL de la configuración apache, solo tendríamos que añadir la parte que esta en negrita y adaptarlo a vuestras necesidades. no pongáis localhost por que no funcionará.

<VirtualHost _default_:443>
SSLProxyEngine On
ProxyPass / https://graylog2.server:9443/
ProxyPassReverse / https://graylog2.server:9443/
ErrorLog /var/log/httpd/graylog2_error.log
CustomLog /var/log/httpd/graylog2_access.log combined
SSLEngine on
SSLProtocol all -SSLv2
SSLCipherSuite ECDHE-RSA-AES128-SHA256:AES128-GCM-SHA256:RC4:HIGH:!MD5:!aNULL:!EDH
SSLCertificateFile /etc/pki/tls/certs/localhost.crt
SSLCertificateKeyFile /etc/pki/tls/private/localhost.key

<Files ~ "\.(cgi|shtml|phtml|php3?)$">
    SSLOptions +StdEnvVars
</Files>
<Directory "/var/www/cgi-bin">
    SSLOptions +StdEnvVars
</Directory>

SetEnvIf User-Agent ".*MSIE.*" \
         nokeepalive ssl-unclean-shutdown \
         downgrade-1.0 force-response-1.0

CustomLog logs/ssl_request_log \
          "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"
</VirtualHost>

Reiniciamos el servicio web:

# service httpd restart

Y ya tenemos corriendo graylog2 con el proxy apache como en versiones anteriores.

Notificación por Whatsapp en Nagios

2013-11-06T14:12:00.001+01:00

Como en el titulo del blog indica. Una forma más de poder notificar alertas en nuestro Nagios. Aviso que este procedimiento puede dejar de funcionar en cualquier momento, ya que dependemos de un servicio externo.

Como requisitos en la parte servidor necesitamos Python 2.6 como mínimo y el modulo dateutil. También necesitamos un teléfono que no haga uso de whatsapp para poder recibir el código de registro.

Empezamos descargando "Whatsapp Messenger" por llamarlo de alguna manera
desde la siguiente web: https://github.com/tgalal/yowsup Esto nos servirá para poder enviar los mensajes de notificación.

Empezamos desde la consola

# cd /usr/local/nagios
# wget --no-check-certificate https://github.com/tgalal/yowsup/archive/master.zip
# unzip master.zip
# cd yowsup-master

Empezamos a editar el archivo de configuración, es simple, por ahora solo es necesario el cc y el teléfono.

# vi config

Y pegamos lo siguiente:

cc= 34 #Código de país
phone=34600000000 # Número de teléfono con el código de país
id=
password=

Ahora registramos el móvil.

# python yowsup-cli -r voice -c config

Os llamará una máquina que será la que os provenga del código, la llamada es en inglés

Ya tenemos los código, ahora vamos a registrarlo:

# python yowsup-cli -R 658789 -c config.example
Detected cc: 34
status: ok
kind: paid
pw: rjgFryc3d34Bfi5IBXe
price: 0,89 €
price_expiration: 1386405621
currency: EUR
cost: 0.89
expiration: 4444444444.0
login: 34600000000
type: existing

Y ahora pegamos el ID de la llamada y la password que hemos obtenido del anterior comando en el archivo config, quedando de la siguiente manera:

# cat config
cc= 34
phone=34600000000
id=658789
password=rjgFryc3d34Bfi5IBXe

Ahora es cuando procedemos ha hacer una prueba a otro móvil:

python yowsup-cli -c config -s 34600000001 "Esto es una prueba"

Ya tenemos confirmado que todo funciona. Ahora vamos a la parte de Nagios
Editamos el archivo commands.cfg

# vi commands.cfg

Y pegamos lo siguiente:

# 'host-notify-by-whatsapp' command definition
define command{
        command_name    host-notify-by-whatsapp
        command_line        python /usr/local/nagios/yowsup-master/src/yowsup-cli -c /usr/local/nagios/yowsup-master/src/config -s $CONTACTADDRESS1$ "Host '$HOSTALIAS$' is $HOSTSTATE$ - Info: $HOSTOUTPUT$"
    }
# 'notify-by-whatsapp' command definition
define command{
        command_name    notify-by-whatsapp
        command_line       python /usr/local/nagios/yowsup-master/src/yowsup-cli -c /usr/local/nagios/yowsup-master/src/config -s $CONTACTADDRESS1$ "$NOTIFICATIONTYPE$ $HOSTNAME$ $SERVICEDESC$ $SERVICESTATE$ $SERVICEOUTPUT$ $LONGDATETIME$"
}

Y en el archivo contacts.cfg añadimos lo siguiente a un usuario:

address1 34600000001
service_notification_commands notify-by-whatsapp

Con esto valdría. Ahora reiniciamos el nagios y esperamos a que se caiga algun servicio. El resultado final sería este:

Instalar Oracle 12c en CentOS 6

2013-06-27T18:49:00.003+02:00

Este mes salio la nueva versión de Oracle Database 12c (la c es de Cloud) y para la gente que quiera ir probando he creado este pequeño manual para poder instalarlo en CentOS 6. Cabe recordar que esto no es para entornos en producción. Ya que no tendremos soporte de ningún tipo.

Empezemos, partimos de una CentOS 6.4 x64 actualizada versión escritorio con arranque en modo consola, 4GB de RAM y 2 de SWAP. En esta versión de Oracle no hay opción para sistemas operativos de 32 bits. Empezamos:
Deshabilitar selinux

# vi /etc/selinux/config

Asignar:

SELINUX=disabled

Y reiniciamos

# init 6

Instalación de paquetes necesarios

# yum install unzip make gcc gcc-c++ kernel-headers glibc-devel xorg-x11-utils unixODBC unixODBC-devel libaio-devel libaio ksh sysstat

Creación de grupos

# groupadd -g 54321 oinstall
# groupadd -g 54322 dba
# groupadd -g 54323 oper

Creación de usuario Oracle y asignado a los grupos creados

# useradd -u 54321 -g oinstall -G dba,oper oracle

Asignamos contraseña al usuario oracle

# passwd oracle

Nos logueamos con el usuario oracle

# su - oracle

Modificamos el fichero .bash_profile del usuario oracle

#vi ~/.bash_profile

Y añadimos:

export TMP=/tmp
export TMPDIR=$TMP
export ORACLE_HOSTNAME=centos
export ORACLE_BASE=/u01/app/oracle
export ORACLE_HOME=$ORACLE_BASE/product/12.1.0/db_1
export ORACLE_SID=orcl
export PATH=/usr/sbin:$PATH
export PATH=$ORACLE_HOME/bin:$PATH
export LD_LIBRARY_PATH=$ORACLE_HOME/lib:/lib:/usr/lib
export CLASSPATH=$ORACLE_HOME/jlib:$ORACLE_HOME/rdbms/jlib

Previamente nos hemos descargado los paquetes de instalación de la pagina de Oracle y procedemos a descomprimir:

# unzip linuxamd64_12c_database_2of2.zip
# unzip linuxamd64_12c_database_2of2.zip

Entramos en la carpeta descomprmida

# cd $HOME/database

Iniciamos a la instalación

# ./runInstaller

Desmarco la opción de SPAM

Como es una instalación sin soporte, Skip

El primer error que nos da, pulsáis que si. En los logs que deja la instalación se ve como hace un chequeo del Sistema Operativo y ve que no tenemos un Oracle Linux.

Instalamos con la base de datos de test.

Desktop, si sois avanzados Server

En este apartado solo debemos asignar una contraseña para la base de datos

Mi contraseña de 4 caracteres no le gusto.

Resumen de la instalación, aquí podemos editar algo si hiciera falta.

Empieza el proceso

Ejecución de script con el usuario root

Sigue la instalación

En este punto vamos a Password Management

Y asignamos contraseña a SYS y a SYSTEM

Instalación finalizada

Interfaz del Enterprise Manager, aquí me conecte con como sysdba.

Para para la base de datos, siempre con el usuario oracle:

# sqlplus "/as sysdba"SQL*Plus: Release 12.1.0.1.0 Production on Thu Jun 27 15:08:55 2013
Copyright (c) 1982, 2013, Oracle. All rights reserved.
Connected to an idle instance.
SQL> shutdown normal

Y parar el listener:

# lsnrctl stop

Y para arrancar:

# lsnrctl start
# sqlplus "/as sysdba"
SQL*Plus: Release 12.1.0.1.0 Production on Thu Jun 27 15:08:55 2013
Copyright (c) 1982, 2013, Oracle. All rights reserved.
Connected to an idle instance.
SQL> startup
ORACLE instance started.
Total System Global Area 1603411968 bytes
Fixed Size                  2288872 bytes
Variable Size            1040188184 bytes
Database Buffers          553648128 bytes
Redo Buffers                7286784 bytes
Database mounted.
Database opened.

Autenticación en dos pasos en SSH usando Google-authenticator

2013-04-12T11:32:00.005+02:00

Ahora que los servicios en la nube estas proporcionado más seguridad a través de doble autenticación, vamos a llevar esto a nuestro entorno SSH. Esto lo llevaré a cabo con CentOS 6.4, pero lo podréis exportar a vuestras distribuciones Linux. En vuestro teléfono móvil deberéis tener instalado Google Autenticator y Barcode Scanner.

Instalamos git, las librerías de pam y herramientas para compilar:

# yum install git pam-devel make gcc-c++

Descargamos el código

# git clone https://code.google.com/p/google-authenticator/
# cd google-authenticator/libpam

Compilar e instalar

# make
# make install

Ahora vamos a modificar la configuración pam del servicio SSH:

# vi /etc/pam.d/sshd

Añadir esto en la primer linea:

auth required pam_google_authenticator.so

Configuración del servicio SSH

# vi /etc/ssh/sshd_config

Cambiar:

ChallengeResponseAuthentication no

Por:

ChallengeResponseAuthentication yes

Ahora podremos reiniciar SSH

#service sshd restart

Lanzamos la instalación

# google-authenticator
Do you want authentication tokens to be time-based (y/n) y
https://www.google.com/chart?chs=200x200&chld=M|0&cht=qr&chl=otpauth://totp/root@centos%3Fsecret%3NG24L2ZJ37DKINBC
Your new secret key is: NG24L2ZJ37DKINBC
Your verification code is 782169
Your emergency scratch codes are:
54423068
76239020
91147133
97108204
17509634

Do you want me to update your "/root/.google_authenticator" file (y/n) y

Do you want to disallow multiple uses of the same authentication
token? This restricts you to one login about every 30s, but it increases
your chances to notice or even prevent man-in-the-middle attacks (y/n) y

By default, tokens are good for 30 seconds and in order to compensate for
possible time-skew between the client and the server, we allow an extra
token before and after the current time. If you experience problems with poor
time synchronization, you can increase the window from its default
size of 1:30min to about 4min. Do you want to do so (y/n) y

If the computer that you are logging into isn't hardened against brute-force
login attempts, you can enable rate-limiting for the authentication module.
By default, this limits attackers to no more than 3 login attempts every 30s.
Do you want to enable rate-limiting (y/n) y

Deberéis entrar en el link que os adjudica la instalación y ver el código con el Barcode Scanner, automáticamente se os abrira google authenticator

Aceptamos y listo:

Ahora antes de conectar por SSH a la maquina os pedara el código de verificación:

# ssh root@centos
Verification code:
Password:

Fuente: linuxdrops.com

Instalar ownCloud 5 en CentOS 6

2013-03-15T09:27:00.001+01:00

A raíz del lanzamiento de la nueva versión de ownCloud pues he considerado interesante crear un manual para saber como se instala y que podamos tener nuestros datos bajo nuestro control. Para esto se a usado: CentOS 6.4, ownCloud apoyado en MySQL.

Instalación del software necesario a través de los repositorios.

# yum install httpd mod_ssl php php-mysql php-gd php-mbstring php-xml mysql-server

Abrir los puertos 80 y 443 del firewall:

# vi /etc/sysconfig/iptables

Añadir:

-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT (opcional)
-A INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT

Reiniciar el servicio:

# service iptables restart

Configuración de apache:

# vi /etc/httpd/conf/httpd.con

Añadir:

<Directory "/var/www/html/owncloud">
    Options Indexes FollowSymLinks
    AllowOverride All
    Order allow,deny
    Allow from all
</Directory>

Y cambiar el DirectoryRoot por (opcional):

DocumentRoot "/var/www/html/owncloud"

Deshabilitar selinuxpor comodidad

# /etc/selinux/config

Cambiar de "enforcing" a "disabled"

SELINUX=disabled

Reiniciar la máquina

# init 6

Arrancar la base de datos

# service mysqld start

Conectarnos a la susodicha:

# mysql -u root

Crear password

mysql> SET PASSWORD = PASSWORD('pA$$w0rD');

Crear base de datos y salir

mysql> create database owncloud
mysql> exit

Descargar software en la siguiente ruta:

# cd /var/www/html
# wget http://download.owncloud.org/community/owncloud-5.0.12.tar.bz2
# tar -xvf owncloud-5.0.12.tar.bz2

Arrancar servidor web

# service httpd start

Y ahora la parte gráfica de la instalación

https://owncloudserver.com/owncloud/

Rellenamos los datos sencillos y fácil, no tiene misterio esta parte.

En la primera pantalla nos invitan a descargar sus aplicaciones para moviles

La nube solitaria

Creación de carpeta y documento

Habilitamos SSL por seguridad

Instalar el tema oxygen-transparent en OpenSUSE

2013-03-05T13:33:00.003+01:00

Oxygen transparent es un tema que tiene como base el tema por defecto de KDE pero con transparencias vistosas. Así que si tenéis una gráfica con potencia y estáis sobrados de recursos, usadlo en esto. Para empezar yo he usado OpenSUSE 12.3 la versión RC2 pero el proceso es el mismo para otras versiones.

Como vamos a compilar nos harán falta los paquetes devel:

# sudo zypper install git cmake kdebase4-workspace-devel

Y ahora bajamos el software necesario de los repositorios git

# git clone git://anongit.kde.org/oxygen-transparent

Entramos en la carpeta:

# cd oxygen-transparent

Script python que hace la compilación

# ./oxygen-setup.pl --branch master

Volvemos a entrar en otra carpeta:

# cd build

Y por último instalamos

# sudo make install

Ya lo tenemos todo preparado, listo para activarlo, así que vamos al menú KDE > apariencia de sistema > Apariencia de las aplicaciones.

Ahí elegimos el tema Oxygen Transparent

Solo falta ajustar la opacidad y listo aplicamos y ya debemos de ver las transparencias

Como nota: las aplicaciones GTK se ven sin transparencia: Firefox, Libreoffice, etc.

Opcional y recomendable, para tener el sistema un poco limpio

# zypper remove -u kdebase4-workspace-devel