Blog Livre - Segurança da Informação e muito mais...

Rescanning your SCSI bus to see new storage device

noreply@blogger.com (Marcos Abadi) — Mon, 15 Feb 2016 23:59:00 +0000

If you have added new storage to a running VM, you probably won’t see it. This is because the SCSI bus to which the storage devices are connected needs to be rescanned to make the new hardware visible.
How you rescan the SCSI bus depends on the operating system your Virtual Machine is running.
Instructions for common supported operating systems are as follows, these assume you have root or suitable privileges.

Linux, when adding a new disc

First find your host bus number



grep mpt /sys/class/scsi_host/host?/proc_name

Which should return a line like



/sys/class/scsi_host/host0/proc_name:mptspi

where host0 is the relevant field.
use this to rescan the bus with the following command



echo "- - -" > /sys/class/scsi_host/host0/scan

In the above command the the hyphens represent controller,channel,lun, so – - – indicates all controllers, all channels and all luns should be scanned.

Linux, when expanding an existing disc

Assuming you know the device name of the disc you have expanded (eg /dev/sda) then you can simply issue the following command to force the rereading of the disk geometry. NOte that this is not 100% reliable with LVM on older kernels but should work with current kernels



echo 1 > /sys/class/scsi_device/device/rescan

Windows Server

Windows should pickup the change in discs regardless of you adding or expanding discs however if not you can either use the gui or the command line to force this. Note that expanding the boot device will typically always require a reboot, and will require you to boot from an alternative boot device (a boot CD image) to actually expand the windows boot partition. All these method assume you are an administrator on the system.

GUI method – Server 2003

Open Computer Management (Local).
In the console tree, click Computer Management (Local), click Storage, and then click Disk Management.
Click Action, and then click Rescan Disks.

GUI method server 2008

Open Server Manager.
In the tree pane, double-click the Storage node, and select Disk Management.
Right-click Disk Management and select Rescan Disks.

Command line method

as an administrator, start a command prompt and type

diskpart

at the diskpart prompt, type

rescan

Source: blogs.it.ox.ac.uk

Comando TOP

noreply@blogger.com (Marcos Abadi) — Thu, 17 Dec 2015 00:43:00 +0000

Comando TOP

# top

O comando top no Linux exibe os processos em execução no sistema. Uma das ferramentas mais importantes para um administrador do sistema. É amplamente utilizado para monitorar a carga do sistema. Nesse artigo é explorado o comando top em detalhes, pois ele é um comando interativo; ou seja, muitos outros comandos estão disponíveis quando ele está executando. Sendo assim, domine o comando top!

I – SAÍDA DO COMANDO TOP

top

top - 23:18:09 up  1:45,  1 user,  load average: 0.76, 0.78, 0.76

Tasks: 192 total,   1 running, 190 sleeping,   0 stopped,   1 zombie

Cpu(s): 15.4%us,  5.7%sy,  0.0%ni, 78.8%id,  0.2%wa,  0.0%hi,  0.0%si,  0.0%st

Mem:   3058052k total,  2100524k used,   957528k free,   168696k buffers

Swap:  3481788k total,        0k used,  3481788k free,  1099720k cached

  PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND

 3187 ricardo   20   0 1129m 403m  43m S   14 13.5  28:23.04 firefox

 1238 root      20   0 98840  27m 8876 S    6  0.9   4:45.38 Xorg

 2398 ricardo   20   0  429m  76m  29m S    4  2.6   3:01.05 compiz

 3352 ricardo   20   0  246m  53m  22m S    2  1.8   2:20.39 plugin-containe

 2431 ricardo   20   0  196m  25m  15m S    2  0.9   0:03.11 python

 2552 ricardo   20   0  166m  11m 8456 S    1  0.4   0:04.21 bamfdaemon

 2955 root      20   0     0    0    0 S    1  0.0   0:04.06 kworker/0:3

 2370 ricardo   20   0  6836 3352  632 S    1  0.1   0:14.33 dbus-daemon

Primeiramente, é preciso entender a saída do comando (mostrada acima). Ela exibe uma série de informações sobre o sistema em funcionamento. Então, é preciso ficar ciente das seções mostradas:

1 – Tempo de atividade e média de carga do sistema (Uptime and Load Averages)

top - 23:18:09 up  1:45,  1 user,  load average: 0.76, 0.78, 0.76

Na parte superior do comando top é apresentada a saída similar ao comando uptime.

* O tempo atual
* O tempo que seu sistema está funcionando
* Número de usuários autenticados no sistema no momento
* Média de carga de 5, 10 e 15 minutos respectivamente.

2 – Tarefas (Tasks)

Tasks: 192 total,   1 running, 190 sleeping,   0 stopped,   1 zombie

A segunda linha mostra resumo das tarefas ou processos. Os processos podem ser em diferentes estados. Ela mostra o número total de processos. Destes, os processos podem estar executando (running), dormindo (sleeping), parado (stopped) ou modo zumbi (zombie)

3 – Estados da CPU (CPU States)

Cpu(s): 15.4%us,  5.7%sy,  0.0%ni, 78.8%id,  0.2%wa,  0.0%hi,  0.0%si,  0.0%st

Em seguida é apresentado o estado da CPU. O significado dos diferentes tempos de CPU são:

* us, usuário (user): tempo de CPU na execução dos processos de usuário
* Sy, sistema (sytem): tempo de CPU na execução de processos do kernel
* Id, ocioso (idle): tempo de CPU em inatividade

* Wa, tempo para I/O: tempo de CPU esperando a conclusão de operação de entrada/saída no disco (I/O)
* hi: CPU tempo servindo interrupções de hardware
* Si: tempo de CPU servindo interrupções de software

4 – Uso da memória (Memory Usage)

Mem:   3058052k total,  2100524k used,   957528k free,   168696k buffers

Swap:  3481788k total,        0k used,  3481788k free,  1099720k cached

Estes mostram o uso de memória, um pouco do comando “free”. A primeira linha refere-se a memória física e a segunda linha a memória virtual (swap). A memória física é apresentada como: memória total disponível, memória usada, memória livre e memória usada para buffers. Da mesma forma, a swap: total, usada, espaço de troca livre e em cache. Todas em unidade Kilobyte

5 – Colunas

 PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND

 3187 ricardo   RT   0 1129m 403m  43m S   14 13.5  28:23.04 firefox

 1238 root      20   0 98840  27m 8876 S    6  0.9   4:45.38 Xorg

 2398 ricardo   20   0  429m  76m  29m S    4  2.6   3:01.05  compiz

Nesta seção, os processos são apresentados em colunas. As diferentes colunas representam diferentes propriedades exibidas abaixo:

PID (Identificador do processo)
A identificação do processo (identificador único)

USUÁRIO (USER)
Usuário proprietário do processo.

PR (Prioridade)
A prioridade de agendamento do processo. Alguns valores neste campo são ‘ RT ‘ . Isso significa que o processo está sendo executado em tempo real (Real Time).

NI
Os valores mais baixos significam maior prioridade.

VIRT
A quantidade de memória virtual usada pelo processo.

RES
O tamanho da memória usada. Residente na memória física e não na área de troca (swap).

SHR (Share – compartilhada)
SHR é a memória compartilhada usada pelo processo.

S (State – estado)
Este é o estado do processo . Ele pode ter um dos seguintes valores :

D – ininterrupto

R – executando
S – dormindo
T – rastreado ou parado
Z – zumbi

% CPU
É a porcentagem de tempo de CPU que a tarefa tem usado desde a última atualização.

% MEM
Percentagem de memória física disponível usada pelo processo.

TEMPO +
O tempo total de CPU que a tarefa tem usado desde o início (precisão de centésimo de segundo)

COMANDO
Descrição do comando que foi utilizado para iniciar o processo.

II – OPÇÕES DO COMANDO

1 – Resultado enxuto

top -b

2 – Tempo de atualização (a cada 2 segundos)

top -d 2

3 – Somente processos executando

top -i

4 – Limite de iteração

top -n 3

5 – Especificando o usuário

top -u “nome_usuario”

III – COMANDOS INTERATIVOS

Esses comandos serão usados durante a execução do comando TOP.

1 – ‘h’: Help

Help for Interactive Commands - procps version 3.2.8

Window 1:Def: Cumulative mode Off.  System: Delay 3.0 secs; Secure mode Off.

  Z,B       Global: 'Z' change color mappings; 'B' disable/enable bold

  l,t,m     Toggle Summaries: 'l' load avg; 't' task/cpu stats; 'm' mem info

  1,I       Toggle SMP view: '1' single/separate states; 'I' Irix/Solaris mode

  f,o     . Fields/Columns: 'f' add or remove; 'o' change display order

  F or O  . Select sort field

       . Move sort field: '' next col right

  R,H     . Toggle: 'R' normal/reverse sort; 'H' show threads

  c,i,S   . Toggle: 'c' cmd name/line; 'i' idle tasks; 'S' cumulative time

  x,y     . Toggle highlights: 'x' sort field; 'y' running tasks

  z,b     . Toggle: 'z' color/mono; 'b' bold/reverse (only if 'x' or 'y')

  u       . Show specific user only

  n or #  . Set maximum tasks displayed

2 – ‘ENTER’: Atualizar a amostragem

3 – ‘d’: Informe o tempo de atualização

top - 00:25:27 up  2:52,  1 user,  load average: 0.70, 0.65, 0.62

Tasks: 190 total,   2 running, 187 sleeping,   0 stopped,   1 zombie

Cpu(s): 13.5%us,  3.9%sy,  4.3%ni, 76.8%id,  1.4%wa,  0.0%hi,  0.1%si,  0.0%st

Mem:   3058052k total,  2106460k used,   951592k free,   177340k buffers

Swap:  3481788k total,        0k used,  3481788k free,  1086764k cached

Change delay from 3.0 to:

  PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND

 3187 ricardo   22   2 1216m 418m  43m S   20 14.0  50:26.41 firefox

4 – ‘f’: Controle quais valores devem ser exibidos

Current Fields:  AEHIOQTWKNMbcdfgjplrsuvyzX  for window 1:Def

Toggle fields via field letter, type any other key to return

* A: PID        = Process Id                                     0x00100000  PF_USEDFPU (thru 2.4)

* E: USER       = User Name

* H: PR         = Priority

* I: NI         = Nice value

* O: VIRT       = Virtual Image (kb)

* Q: RES        = Resident size (kb)

* T: SHR        = Shared Mem size (kb)

* W: S          = Process Status

* K: %CPU       = CPU usage

* N: %MEM       = Memory usage (RES)

* M: TIME+      = CPU Time, hundredths

  b: PPID       = Parent Process Pid

  c: RUSER      = Real user name

  d: UID        = User Id

  f: GROUP      = Group Name

  g: TTY        = Controlling Tty

  j: P          = Last used cpu (SMP)

5 – ‘i’: Apenas processos em execução

6 – ‘k’: Matar processos pelo identificador (ID)

http://www.linuxdescomplicado.com.br/2013/12/comandos-linux-dominando-o-comando-top.html

Resident and Virtual memory on Linux: A short example

Tools like top show processes using two kinds of memory:

· Resident memory, labelled RES: How much physical memory, how much RAM, your process is using. RES is the important number.

· Virtual memory, labelled VIRT: How much memory your process thinks it’s using. Usually much bigger than RES, thanks to the Linux kernel’s clever memory management.

Here’s a short C program to illustrate the difference:

#include <stdio.h>

#include <stdlib.h>

void fill(unsigned char* addr, size_t amount) {

unsigned long i;

for (i = 0; i < amount; i++) {

*(addr + i) = 42;

}

int main(int argc, char **argv) {

unsigned char *result;

char input;

size_t s = 1<<30;

result = malloc(s);

printf("Addr: %p\n", result);

//fill(result, s);

scanf("%c", &input);

return 0;

}

Save it as mem.c, compile it cc -Wall -g mem.c -o mem and run it.

It requests 1 Gig of memory (1 << 30), but doesn’t use it. With top (or htop, which is much nicer), or even ps -Ao rsz,vsz,cmd | grep mem view it’s memory usage. The resident size should be quite small (~280k for me), but the virtual size will be the full 1 Gig we requested.

Uncomment the fill line, compile and run it again. You should see the resident size get much bigger, as we’re actually using the memory we requested (we’re filling it with the number 42). The kernel has to give us real memory to work with.

We can request far more virtual memory than the machine can handle. Here’s a screenshot where I’ve requested 16 Gig of memory, on a machine with only 3 Gig of RAM and 3 Gig of swap. The VIRT’s sum up to way more than that machine can handle. At the top left of the screenshot you can see none of that memory has really been allocated. The kernel won’t allocate it until we use it.

In summary, virtual size can largely be ignored. Resident size is the important number.

Fontes: RICARDO FERREIRA

Mounting ext4 partitions in Debian

noreply@blogger.com (Marcos Abadi) — Wed, 22 Apr 2015 18:53:00 +0000

As of Debian 5.04 (Lenny), Debian doesn’t support mounting ext4 partitions out of the box, or rather, we should say, using conventional methods.

Trying to mount an ext4 partition using the mount directive yields the error :

?

mount: unknown filesystem type 'ext4'

The roundabout way of doing it is setting a test_fs flag on the partition using the tune2fs utility.

?

su -

tune2fs -E test_fs /dev/hda1

mount -t ext4dev /dev/hda1 /place/to/mount/

Replace hda1 with the name of the ext4 partition you want to mount.

Serial Console customization of debian-installer CD or DVD

noreply@blogger.com (Marcos Abadi) — Thu, 09 Apr 2015 17:04:00 +0000

This should work on the CD or DVD image. Illustrated below is the steps for the CD image.

First, if you do not have an ISO image already, download CD1 via jigdo or bittorrent. If I had more time, I'd probably screencast how to do all that, but if you fetch the .jigdo and have jigdo installed, it's downhill from there.

mkdir /mnt/debian-7.8.0-i386-CD1-ttyS0

sudo mount -o loop,ro debian-7.2.0-amd64-CD-1.iso /media/cdrom

rsync -av /media/cdrom/ /mnt/debian-7.8.0-i386-CD1-ttyS0/

Open the file below:isolinux/isolinux.cfg:

serial 0 115200 prompt 0 timeout 0 default install label install menu label ^Install menu default kernel /install.amd/vmlinuz append term=linux priority=low console=ttyS0,115200 text initrd=/install.amd/initrd.gz --

save and quit

Run the command below:

sudo genisoimage -r -J -b /mnt/debian-7.8.0-i386-CD1-ttyS0/isolinux/isolinux.bin -c /mnt/debian-7.8.0-i386-CD1-ttyS0/isolinux/boot.cat -no-emul-boot -boot-load-size 4 -boot-info-table -o /tmp/debian-7.2.0-amd64-CD-1-ttyS0.iso /mnt/debian-7.8.0-i386-CD1-ttyS0

Burn your CD with new ISO.
Finish

The Perfect APC Configuration

noreply@blogger.com (Marcos Abadi) — Thu, 15 Jan 2015 16:12:00 +0000

Here was my setup on an Amazon Medium Instance using APC:

php.ini configuration

[APC]
extension=apc.so
apc.enabled=1
apc.shm_segments=1

;32M per WordPress install
apc.shm_size=128M

;Relative to the number of cached files (you may need to watch your stats for a day or two to find out a good number)
apc.num_files_hint=7000

;Relative to the size of WordPress
apc.user_entries_hint=4096

;The number of seconds a cache entry is allowed to idle in a slot before APC dumps the cache
apc.ttl=7200
apc.user_ttl=7200
apc.gc_ttl=3600

;Setting this to 0 will give you the best performance, as APC will
;not have to check the IO for changes. However, you must clear 
;the APC cache to recompile already cached files. If you are still
;developing, updating your site daily in WP-ADMIN, and running W3TC
;set this to 1
apc.stat=1

;This MUST be 0, WP can have errors otherwise!
apc.include_once_override=0

;Only set to 1 while debugging
apc.enable_cli=0

;Allow 2 seconds after a file is created before it is cached to prevent users from seeing half-written/weird pages
apc.file_update_protection=2

;Leave at 2M or lower. WordPress does't have any file sizes close to 2M
apc.max_file_size=2M

;Ignore files
apc.filters = "/var/www/apc.php"

apc.cache_by_default=1
apc.use_request_time=1
apc.slam_defense=0
apc.mmap_file_mask=/var/www/temp/apc.XXXXXX
apc.stat_ctime=0
apc.canonicalize=1
apc.write_lock=1
apc.report_autofilter=0
apc.rfc1867=0
apc.rfc1867_prefix =upload_
apc.rfc1867_name=APC_UPLOAD_PROGRESS
apc.rfc1867_freq=0
apc.rfc1867_ttl=3600
apc.lazy_classes=0
apc.lazy_functions=0

While this configuration works great for me, it may not for you. Finding “The Perfect APC Configuration” is like asking how many stars are in the sky. The are endless variables, like, “How much RAM, how many websites, do your websites support lazy classes, etc…” The best way to create your config is to do a little research. This post was meant to give you a push in the right direction.

P.S. There seems to be a lot of debate about apc.stat = 0. The general thought is, set apc.stat=0 on production servers and it will prevent APC from actually going to the IO to check if the file has been changed. However, the WordPress dashboard and W3TC get kinda bitchy with this setting!

My advice: Are working in the WordPress dashboard daily, and running W3TC? Then set: apc.stat = 1. Your fragmentation will be higher. Your sites will loadslightly slower, but when you click Update Post, APC will flush that piece of cache.

Source: Greg Rickaby

Desvio Condicional em Shell Script

noreply@blogger.com (Marcos Abadi) — Fri, 19 Dec 2014 12:47:00 +0000

Para efetuar teste condicionais, o shell script possui operadores de verificação como (maior/menor/menor que/igual/ etc …) veja abaixo os exemplos :

if [ condição ]; then
comando...1
comando...2
comando...N
fi

-eq igual

-ne diferente

-gt maior

-ge maior ou igual

-lt menor

-le menor ou igual

-d se é um diretório

-e se existe

-z se é vazio

-f se contem texto.

-r se o arquivo possui permissão de leitura

-w se o arquivo possui permissão de escrita.

-x se o arquivo é executável.

Fonte: http://www.nacaolivre.com.br/shell-script/desvio-condicional-em-shell-script/

Unix - Special Variables

noreply@blogger.com (Marcos Abadi) — Thu, 18 Dec 2014 10:18:00 +0000

Previous tutorial warned about using certain nonalphanumeric characters in your variable names. This is because those characters are used in the names of special Unix variables. These variables are reserved for specific functions.

For example, the $ character represents the process ID number, or PID, of the current shell:

$echo $$

Above command would write PID of the current shell:

The following table shows a number of special variables that you can use in your shell scripts:

Variable	Description
$0	The filename of the current script.
$n	These variables correspond to the arguments with which a script was invoked. Here n is a positive decimal number corresponding to the position of an argument (the first argument is $1, the second argument is $2, and so on).
$#	The number of arguments supplied to a script.
$*	All the arguments are double quoted. If a script receives two arguments, $* is equivalent to $1 $2.
$@	All the arguments are individually double quoted. If a script receives two arguments, $@ is equivalent to $1 $2.
$?	The exit status of the last command executed.
$$	The process number of the current shell. For shell scripts, this is the process ID under which they are executing.
$!	The process number of the last background command.

Command-Line Arguments:

The command-line arguments $1, $2, $3,...$9 are positional parameters, with $0 pointing to the actual command, program, shell script, or function and $1, $2, $3, ...$9 as the arguments to the command.

Following script uses various special variables related to command line:

#!/bin/sh

echo "File Name: $0"
echo "First Parameter : $1"
echo "First Parameter : $2"
echo "Quoted Values: $@"
echo "Quoted Values: $*"
echo "Total Number of Parameters : $#"

Here is a sample run for the above script:

$./test.sh Zara Ali
File Name : ./test.sh
First Parameter : Zara
Second Parameter : Ali
Quoted Values: Zara Ali
Quoted Values: Zara Ali
Total Number of Parameters : 2

Special Parameters $* and $@:

There are special parameters that allow accessing all of the command-line arguments at once. $* and $@ both will act the same unless they are enclosed in double quotes, "".

Both the parameter specifies all command-line arguments but the "$*" special parameter takes the entire list as one argument with spaces between and the "$@" special parameter takes the entire list and separates it into separate arguments.

We can write the shell script shown below to process an unknown number of command-line arguments with either the $* or $@ special parameters:

#!/bin/sh

for TOKEN in $*
do
   echo $TOKEN
done

There is one sample run for the above script:

$./test.sh Zara Ali 10 Years Old
Zara
Ali
10
Years
Old

Note: Here do...done is a kind of loop which we would cover in subsequent tutorial.

Exit Status:

The $? variable represents the exit status of the previous command.

Exit status is a numerical value returned by every command upon its completion. As a rule, most commands return an exit status of 0 if they were successful, and 1 if they were unsuccessful.

Some commands return additional exit statuses for particular reasons. For example, some commands differentiate between kinds of errors and will return various exit values depending on the specific type of failure.

Following is the example of successful command:

$./test.sh Zara Ali
File Name : ./test.sh
First Parameter : Zara
Second Parameter : Ali
Quoted Values: Zara Ali
Quoted Values: Zara Ali
Total Number of Parameters : 2
$echo $?
0
$

Fonte: tutorialspoint

MTU woes in IPsec tunnels and how you can fix it

noreply@blogger.com (Marcos Abadi) — Fri, 19 Sep 2014 16:32:00 +0000

Today I ran into a problem with IPsec Xauth PSK and the built-in Android VPN client (Android 4.1.2), resulting in some sites (such as www.yahoo.com) not loading through the VPN tunnel. Turns out I was dealing with MTU issues. When the Android VPN is started, it sets the MTU to 1500 on the tun0 interface:

$ ip link show tun0
33: tun0: <POINTOPOINT,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 500 link/none

Looking at the Android Source, it appears someone must have forgotten to take care of IPsec Xauth PSK. With PPTP and L2TP based VPNs, the MTU is reduced to 1400 (line 758 – 778).

In comparison:

strongSwan Android client: MTU 1400
OS X / iOS 7 built-in IPsec client: MTU 1280 (for what it’s worth, 1280 is also the minimum IPv6 packet size and thus the MTU minimum required to make IPv6 work)
Windows 7 built-in IPsec client: MTU 1400
Cisco VPN client: MTU 1300

Among the tested clients, only the connection through the Android VPN client was causing the issue with stalling websites. In a nutshell, I was able to fix it with the following on the VPN server:

$ iptables -t mangle -A FORWARD -o eth0 \
 -p tcp -m tcp --tcp-flags SYN,RST SYN \
 -m tcpmss --mss 1361:1536 \
 -j TCPMSS --set-mss 1360

$ echo 1 >/proc/sys/net/ipv4/ip_no_pmtu_disc

And here is why.

IP fragmentation – The original problem.

On the VPN server side, we have the interface set to a standard Ethernet MTU 1500. In the scenario with the Android client, the MTU along the entire path is 1500. This leaves room for up to 1460 bytes of data payload per packet (also referred to as the maximum segment size MSS).

Keep in mind that IPsec in tunnel mode adds an ESP header and an additional IP header for tunneling the packet (usually with an additional size of around 70-80 bytes). When a packet is nearly the size of the MTU and when you tack on this encapsulation overhead, it is likely to exceed the MTU of the outbound link. That’s where IP fragmentation kicks in – which could lead to performance degradation of your VPN tunnel. Or worse…

Path MTU discovery (PMTUD). A failed solution.

To avoid IP fragmentation, many TCP/IP stacks have path MTU discovery (PMTUD) implemented. To tell you right away: It doesn’t work for me, and it’s not going to work for you either. PMTUD attempts to discover the largest IP datagram that may be sent without fragmentation through an IP path. Instead of fragmenting a too-large IP packet, the VPN server is told (through theDon’t Fragment (DF) flag in the IP header of the sender) to discard the packet and reply with an ICMP fragmentation required (type3, subtype 4) message.

Recap: The sender is the website that you try to load on your VPN client.

When the sender receives this ICMP packet, it learns to use a smaller MTU for packets sent to our VPN server. In theory. In reality, many websites (senders like www.yahoo.com) stupidly implement ICMP filters that break PMTUD functionality. And that’s where hell breaks loose. The sender is expecting an acknowledgement for the original packet from our server, but since the packet was discarded, the acknowledgment never comes. Time goes by, then the sender repeats sending the too-large packet. The result? The VPN sender discards the packet, again, sends yet another ICMP message, and so on. Meanwhile our client on the other end of the VPN tunnel cannot tell what’s happening and is desperately waiting for some data. Everything appears to be stalled – a state which is also referred to as a black hole connection.

Because PMTUD doesn’t always work on the Internet, the use of it only makes sense in a site-to-site VPN, where basically one operator maintains the networks and is able to enable the forwarding of the “fragmentation required” ICMP (type 3, subtype 4) notifications in all firewalls in between.

MSS size reduction. A working solution.

So we can rule out PMTUD, but there is another way to assure that our VPN connection is working properly.

$ iptables -t mangle -A FORWARD -o eth0 \
 -p tcp -m tcp --tcp-flags SYN,RST SYN \
 -m tcpmss --mss 1361:1536 \
 -j TCPMSS --set-mss 1360

This iptables rule reduces the size of the allowed packet size by reducing the MSS of TCP SYN packets. The –set-mss value explicitly sets the MSS to 1360, which is a customary size for IPsec IPv4 interfaces. The –mss option is used to match only those MSS that are between 1361 and 1536 bytes (we don’t want to rewrite the MSS of a VPN client that uses a smaller MSS). The result in a tcpdump:

05:01:56.795798 IP 172.16.16.1.38695 > r2.ycpi.vip.ac4.yahoo.net.http: Flags [S], seq 2621580326, win 14600, options [mss 1460,sackOK,TS val 56614 ecr 0,nop,wscale 6], length 0
05:01:56.795865 IP vpn.zeitgeist.se.38695 > r2.ycpi.vip.ac4.yahoo.net.http: Flags [S], seq 2621580326, win 14600, options [mss 1360,sackOK,TS val 56614 ecr 0,nop,wscale 6], length 0
05:01:56.802695 IP r2.ycpi.vip.ac4.yahoo.net.http > vpn.zeitgeit.se.38695: Flags [S.], seq 3057551576, ack 2621580327, win 14480, options [mss 1460,sackOK,TS val 1410945796 ecr 56614,nop,wscale 8], length 0

In line 1, you see the request from our Android client through the tunnel to yahoo.com. Notice the MSS is 1460. In the second line, it is our VPN host initiating the TCP handshake with the external site. Only now the MSS value is rewritten to 1360, thanks to our iptables rule. As a consequence, the TCP connection will use the lower MSS of the two end points, which is 1360. Voila!

You can go further and restrict the iptables rule to rewrite only those packets that are forwarded from our VPN client:

$ iptables -t mangle -A FORWARD -o eth0 \
 -p tcp -m tcp --tcp-flags SYN,RST SYN \
 -s 172.16.16.0/24 \
 -m tcpmss --mss 1361:1536 \
 -j TCPMSS --set-mss 1360

This assumes that the address pool of your virtual IPs is 172.16.16.0/24 (see rightsourceip in /etc/ipsec.conf).

There is also an option to determine the MSS size dynamically (“MSS clamping”, via the –clamp-mss-to-pmtu option), but it wouldn’t fix IPsec for clients that set their MTU too high (like in the Android example).

The MSS iptables rule doesn’t work with UDP applications. UDP is a connectionless protocol; hence there is no way to negotiate a MSS during the handshake. The only solution to guarantee that UDP works is to disable the Don’t Fragment (DF) bit in the IP header of the sender. This will allow our VPN server to fragment any UDP packet, if necessary. In Linux, you do it like this:

$ echo 1 >/proc/sys/net/ipv4/ip_no_pmtu_disc

The VPN server will fragment outgoing UDP packets that exceed the interface MTU, which may not be as great for performance and reliability reasons, but at least it doesn’t break the tunnel connection. Fortunately, most folks don’t use UDP for anything much greater than DNS.

Fonte: zeitgeist.se

INSTALANDO E CONFIGURANDO O VSFTPD – CENTOS

noreply@blogger.com (Marcos Abadi) — Wed, 27 Aug 2014 11:27:00 +0000

INSTALANDO E CONFIGURANDO O VSFTPD – CENTOS

O VSFTP é um servidor de FTP muito fácil de configurar.

Começamos instalando ele.

# Na sua Shell rode:

yum install vsftpd -y

# Depois disto vamos no diretório dele para modificarmos o arquivo de configuração.

cd /etc/vsftpd

mv vsftpd.conf vsftpd.conf.BACKUP

vim vsftpd.conf

anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
ftpd_banner=Bem-Vindo ao FTP.
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list
listen=YES
pam_service_name=vsftpd
userlist_enable=YES
tcp_wrappers=YES
xferlog_file=/var/log/vsftpd.log
pasv_enable=YES
pasv_min_port=12000
pasv_max_port=12100

# Note que no arquivo a cima, temos todos os parâmetros necessários para que o VSFTP funcione.

# Não esqueça de modificar as linhas: “ftpd_banner=Bem-Vindo ao FTP.” “chroot_list_file=/etc/vsftpd/chroot_list” “xferlog_file=/var/log/vsftpd.log” conforme sua necessidade.

ftpd_banner=Bem-Vindo ao FTP. = Mensagem que será mostrada ao usuário quando ele se conectar no servidor.

chroot_list_file=/etc/vsftpd/chroot_list = Caminho do arquivo que contém os usuários liberados para acessar o FTP

xferlog_file=/var/log/vsftpd.log = Caminho do LOG do VSFTP

# Depois das modificações, basta Iniciarmos o VSFTP, criar o arquivo chroot_list e incluir o usuário no mesmo e criar o usuário FTP.

/etc/init.d/vsftpd start

touch /etc/vsftpd/chroot_list

adduser teste

vim /etc/vsftpd/chroot_list ( inclua aqui a linha “teste”, para informarmos ao VSFTP que o usuário será o teste )

Agora, você já tem um servidor FTP rodando.

Fonte: psyscrew

Linux Performance Measurements using vmstat

noreply@blogger.com (Marcos Abadi) — Mon, 18 Aug 2014 11:29:00 +0000

vmstat (virtual memory statistics) is a valuable monitoring utility, which also provides information about block IO and CPU activity in addition to memory.

vmstat Basics

vmstat provides a number of values and will typically be called using two numerical parameters.

Example: vmstat 1 5

1 -> the values will be re-measured and reported every second
5 -> the values will be reported five times and then the program will stop

The first line of the report will contain the average values since the last time the computer was rebooted. All other lines in the report will represent their respective current values. Vmstat does not need any special user rights. It can run as a normal user.

[user@fedora9 ~]$ vmstat 1 5
procs -----------memory---------- ---swap-- -----io---- --system-- -----cpu------
r b swpd free buff cache si so bi bo in cs us sy id wa st
3 0 0 44712 110052 623096 0 0 30 28 217 888 13 3 83 1 0
0 0 0 44408 110052 623096 0 0 0 0 88 1446 31 4 65 0 0
0 0 0 44524 110052 623096 0 0 0 0 84 872 11 2 87 0 0
0 0 0 44516 110052 623096 0 0 0 0 149 1429 18 5 77 0 0
0 0 0 44524 110052 623096 0 0 0 0 60 431 14 1 85 0 0
[user@fedora9 ~]$

Meaning of the individual Values
(Source man vmstat):

Procs

r: The number of processes waiting for run time.
b: The number of processes in uninterruptible sleep.

Memory

swpd: the amount of virtual memory used.
free: the amount of idle memory.
buff: the amount of memory used as buffers.
cache: the amount of memory used as cache.
inact: the amount of inactive memory. (-a option)
active: the amount of active memory. (-a option)

Swap

si: Amount of memory swapped in from disk (/s).
so: Amount of memory swapped to disk (/s).

bi: Blocks received from a block device (blocks/s).
bo: Blocks sent to a block device (blocks/s).

System

in: The number of interrupts per second, including the clock.
cs: The number of context switches per second.

CPU
These are percentages of total CPU time.

us: Time spent running non-kernel code. (user time, including nice time)
sy: Time spent running kernel code. (system time)
id: Time spent idle. Prior to Linux 2.5.41, this includes IO-wait time.
wa: Time spent waiting for IO. Prior to Linux 2.5.41, included in idle.
st: Time stolen from a virtual machine. Prior to Linux 2.6.11, unknown.

Examples

CPU User Load Example
A standard audio file will be encode as an MP3 file by means of the lame encoder[1] in this example. This process is quite CPU intensive and also demonstrates the execution of vmstat in parallel with a user CPU time of 97%:

[user@fedora8 ~]$ vmstat 1 5
procs -----------memory---------- ---swap-- -----io---- --system-- -----cpu------
r b swpd free buff cache si so bi bo in cs us sy id wa st
6 1 0 302380 16356 271852 0 0 561 568 80 590 43 7 43 7 0
1 0 0 300892 16364 273256 0 0 0 52 79 274 97 3 0 0 0
2 0 0 299544 16364 274532 0 0 0 0 78 372 97 3 0 0 0
1 0 0 298292 16368 275780 0 0 0 0 53 255 97 3 0 0 0
1 0 0 296820 16368 277192 0 0 0 0 77 377 97 3 0 0 0
[user@fedora8 ~]$

CPU System Load Example
In this example, a file will be filled with random content using dd.

[user@fedora9 ~]$ dd if=/dev/urandom of=500MBfile bs=1M count=500

For this, /dev/urandom[2] will supply random numbers, which will be generated by the kernel. This will lead to an increased load on the CPU (sy – system time). At the same time, the vmstat executing in parallel will indicate that between 93% and 97% of the CPU time is being used for the execution of kernel code (for the generation of random numbers, in this case).

[user@fedora9 ~]$ vmstat 1 5
procs -----------memory---------- ---swap-- -----io---- --system-- -----cpu------
r b swpd free buff cache si so bi bo in cs us sy id wa st
2 0 402944 54000 161912 745324 5 14 54 59 221 867 13 3 82 2 0
1 0 402944 53232 161916 748396 0 0 0 0 30 213 3 97 0 0 0
1 0 402944 49752 161920 751452 0 0 0 0 28 290 4 96 0 0 0
1 0 402944 45804 161924 755564 0 0 0 0 29 188 2 98 0 0 0
1 0 402944 42568 161936 758608 0 0 0 17456 272 509 7 93 0 0 0
[user@fedora9 ~]$

The time for executing system calls[3][4][5] will be counted as system time (sy).

RAM Bottleneck (swapping) Example
In this example, many applications will be opened (including VirtualBox with a Windows guest system, among others). Almost all of the working memory will be used. Then, one more application (OpenOffice) will be started. The Linux kernel will then swap out several memory pages to the swap file on the hard disk, in order to get more RAM for OpenOffice. Swapping the memory pages to the swap file will be seen in the so (swap out - memory swapped to disk) column as vmstat executes in parallel.

[user@fedora8 ~]$ vmstat 1 5
procs -----------memory---------- ---swap-- -----io---- --system-- -----cpu------
r b swpd free buff cache si so bi bo in cs us sy id wa st
3 1 244208 10312 1552 62636 4 23 98 249 44 304 28 3 68 1 0
0 2 244920 6852 1844 67284 0 544 5248 544 236 1655 4 6 0 90 0
1 2 256556 7468 1892 69356 0 3404 6048 3448 290 2604 5 12 0 83 0
0 2 263832 8416 1952 71028 0 3788 2792 3788 140 2926 12 14 0 74 0
0 3 274492 7704 1964 73064 0 4444 2812 5840 295 4201 8 22 0 69 0
[user@fedora8 ~]$

High IO Read Load Example

A large file (such as an ISO file) will be read and written to /dev/null using dd.

[user@fedora9 ~]$ dd if=bigfile.iso of=/dev/null bs=1M
Executed in parallel, vmstat will show the increased IO read load (the bi value).

[user@fedora9 ~]$ vmstat 1 5
procs -----------memory---------- ---swap-- -----io---- --system-- -----cpu------
r b swpd free buff cache si so bi bo in cs us sy id wa st
3 1 465872 36132 82588 1018364 7 17 70 127 214 838 12 3 82 3 0
0 1 465872 33796 82620 1021820 0 0 34592 0 357 781 6 10 0 84 0
0 1 465872 36100 82656 1019660 0 0 34340 0 358 723 5 9 0 86 0
0 1 465872 35744 82688 1020416 0 0 33312 0 345 892 8 11 0 81 0
0 1 465872 35716 82572 1020948 0 0 34592 0 358 738 7 8 0 85 0
[user@fedora9 ~]$

High IO Write Load Example

In contrast with the previous example, dd will read from /dev/zero and write a file. The oflag=dsync will cause the data to be written immediately to the disk (and not merely stored in the page cache).

[user@fedora9 ~]$ dd if=/dev/zero of=500MBfile bs=1M count=500 oflag=dsync

Executed in parallel, vmstat will show the increased IO write load (the bo value).

[user@fedora9 ~]$ vmstat 1 5
procs -----------memory---------- ---swap-- -----io---- --system-- -----cpu------
r b swpd free buff cache si so bi bo in cs us sy id wa st
1 1 0 35628 14700 1239164 0 0 1740 652 117 601 11 4 66 20 0
0 1 0 34852 14896 1239788 0 0 0 23096 300 573 3 16 0 81 0
0 1 0 32780 15080 1241304 0 0 4 21000 344 526 1 13 0 86 0
0 1 0 36512 15244 1237256 0 0 0 19952 276 394 1 12 0 87 0
0 1 0 35688 15412 1237180 0 0 0 18904 285 465 1 13 0 86 0
[user@fedora9 ~]$

CPU Waiting for IO Example

In the following example, an updatedb process is already running. The updatedb utility is part of mlocate. It examines the entire file system and accordingly creates the database for the locate command (by means of which file searches can be performed very quickly). Because updatedb reads all of the file names from the entire file system, the CPU must wait to get data from the IO system (the hard disk). For that reason, vmstat running in parallel will display large values for wa (waiting for IO):

[user@fedora9 ~]$ vmstat 1 5
procs -----------memory---------- ---swap-- -----io---- --system-- -----cpu------
r b swpd free buff cache si so bi bo in cs us sy id wa st
2 1 403256 602848 17836 400356 5 15 50 50 207 861 13 3 83 1 0
1 0 403256 601568 18892 400496 0 0 1048 364 337 1903 5 7 0 88 0
0 1 403256 600816 19640 400568 0 0 748 0 259 1142 6 4 0 90 0
0 1 403256 600300 20116 400800 0 0 476 0 196 630 8 5 0 87 0
0 1 403256 599328 20792 400792 0 0 676 0 278 1401 7 5 0 88 0
[user@fedora9 ~]$

Additional vmstat Options

vmstat --help
[user@fedora9 ~]$ vmstat --help
usage: vmstat [-V] [-n] [delay [count]]
-V prints version.
-n causes the headers not to be reprinted regularly.
-a print inactive/active page stats.
-d prints disk statistics
-D prints disk table
-p prints disk partition statistics
-s prints vm table
-m prints slabinfo
-S unit size
delay is the delay between updates in seconds.
unit size k:1000 K:1024 m:1000000 M:1048576 (default is K)
count is the number of updates.

[user@fedora9 ~]$

vmstat
[user@fedora9 ~]$ vmstat
procs -----------memory---------- ---swap-- -----io---- --system-- -----cpu------
r b swpd free buff cache si so bi bo in cs us sy id wa st
2 0 14960 38016 6584 1069284 0 1 506 81 727 1373 12 4 81 3 0
[user@fedora9 ~]$

vmstat -V

[user@fedora9 ~]$ vmstat -V
procps version 3.2.7
[user@fedora9 ~]$

vmstat -a

[user@fedora9 ~]$ vmstat -a
procs -----------memory---------- ---swap-- -----io---- --system-- -----cpu------
r b swpd free inact active si so bi bo in cs us sy id wa st
3 0 14960 38024 988284 461704 0 1 506 81 726 1372 12 4 81 3 0
[user@fedora9 ~]$

vmstat -d

[user@fedora9 ~]$ vmstat -d
disk- ------------reads------------ ------------writes----------- -----IO------
total merged sectors ms total merged sectors ms cur sec
ram0 0 0 0 0 0 0 0 0 0 0
ram1 0 0 0 0 0 0 0 0 0 0
ram2 0 0 0 0 0 0 0 0 0 0
ram3 0 0 0 0 0 0 0 0 0 0
ram4 0 0 0 0 0 0 0 0 0 0
ram5 0 0 0 0 0 0 0 0 0 0
ram6 0 0 0 0 0 0 0 0 0 0
ram7 0 0 0 0 0 0 0 0 0 0
ram8 0 0 0 0 0 0 0 0 0 0
ram9 0 0 0 0 0 0 0 0 0 0
ram10 0 0 0 0 0 0 0 0 0 0
ram11 0 0 0 0 0 0 0 0 0 0
ram12 0 0 0 0 0 0 0 0 0 0
ram13 0 0 0 0 0 0 0 0 0 0
ram14 0 0 0 0 0 0 0 0 0 0
ram15 0 0 0 0 0 0 0 0 0 0
sda 136909 31536 13893867 1197609 58190 219323 2233264 7688807 0 677
sda1 35703 6048 1326394 511477 6728 16136 182984 419232 0 222
sda2 85 1489 2935 653 141 3603 29952 5254 0 1
sda3 101111 23961 12564154 685330 51321 199584 2020328 7264321 0 512
sr0 0 0 0 0 0 0 0 0 0 0
fd0 0 0 0 0 0 0 0 0 0 0

[user@fedora9 ~]

vmstat -D

[user@fedora9 ~]$ vmstat -D
22 disks
0 partitions
273820 total reads
63034 merged reads
27787446 read sectors
2395193 milli reading
116450 writes
438666 merged writes
4467248 written sectors
15377932 milli writing
0 inprogress IO
1412 milli spent IO

vmstat -p

vmstat -p will not work under Fedora: https://bugzilla.redhat.com/show_bug.cgi?id=485246. The following report comes from an Ubuntu 9.10 system.

user@ubuntu-9-10:~$ vmstat -p /dev/sda9
sda9 reads read sectors writes requested writes
23420 411365 24464 530801

user@ubuntu-9-10:~$

vmstat -s

[user@fedora9 ~]$ vmstat -s
1553972 total memory
1516180 used memory
461892 active memory
988304 inactive memory
37792 free memory
6644 buffer memory
1069388 swap cache
1052248 total swap
14960 used swap
1037288 free swap
161467 non-nice user cpu ticks
7586 nice user cpu ticks
46310 system cpu ticks
1108919 idle cpu ticks
46832 IO-wait cpu ticks
2694 IRQ cpu ticks
2452 softirq cpu ticks
0 stolen cpu ticks
6947021 pages paged in
1116896 pages paged out
183 pages swapped in
3744 pages swapped out
9985406 interrupts
18852586 CPU context switches
1239004323 boot time
15072 forks

[user@fedora9 ~]$

vmstat -m

[user@fedora9 ~]$ vmstat -m
Cache Num Total Size Pages
fuse_request 11 11 368 11
fuse_inode 9 9 448 9
rpc_inode_cache 8 8 512 8
nf_conntrack_expect 0 0 168 24
nf_conntrack 26 80 248 16
dm_uevent 0 0 2464 3
UDPv6 22 22 704 11
TCPv6 6 6 1344 6
kmalloc_dma-512 8 8 512 8
sgpool-128 12 12 2048 4
scsi_io_context 0 0 104 39
ext3_inode_cache 6822 8360 496 8
ext3_xattr 85 85 48 85
journal_handle 170 170 24 170
journal_head 76 219 56 73
revoke_record 256 256 16 256
flow_cache 0 0 80 51
bsg_cmd 0 0 288 14
mqueue_inode_cache 7 7 576 7
isofs_inode_cache 0 0 376 10
hugetlbfs_inode_cache 11 11 344 11
dquot 0 0 128 32
shmem_inode_cache 1058 1071 448 9
xfrm_dst_cache 0 0 320 12
UDP 19 21 576 7
TCP 17 24 1216 6
blkdev_queue 21 21 1080 7
biovec-256 2 2 3072 2
biovec-128 5 5 1536 5
biovec-64 7 10 768 5
sock_inode_cache 619 650 384 10
file_lock_cache 39 39 104 39
Acpi-Operand 2935 2958 40 102
Acpi-Namespace 1700 1700 24 170
Cache Num Total Size Pages
taskstats 25 26 312 13
proc_inode_cache 233 242 360 11
sigqueue 28 28 144 28
radix_tree_node 7888 8606 296 13
bdev_cache 24 24 512 8
inode_cache 370 462 344 11
dentry 6592 15390 136 30
names_cache 2 2 4096 2
avc_node 73 73 56 73
selinux_inode_security 9888 10030 48 85
idr_layer_cache 627 644 144 28
buffer_head 2308 2688 64 64
mm_struct 659 693 448 9
vm_area_struct 11110 11592 88 46
files_cache 115 130 384 10
sighand_cache 141 150 1344 6
task_struct 246 248 3696 2
anon_vma 4778 5120 16 256
kmalloc-4096 95 112 4096 8
kmalloc-2048 272 304 2048 16
kmalloc-1024 518 524 1024 4
kmalloc-512 764 888 512 8
kmalloc-256 198 208 256 16
kmalloc-128 629 832 128 32
kmalloc-64 4322 5568 64 64
kmalloc-32 1554 1664 32 128
kmalloc-16 2644 3584 16 256
kmalloc-8 3561 3584 8 512
kmalloc-192 6349 6930 192 21
kmalloc-96 885 1176 96 42
[user@fedora9 ~]$

References
http://lame.sourceforge.net/
http://en.wikipedia.org/wiki//dev/random
http://en.wikipedia.org/wiki/System_call
http://www.softpanorama.org/Internals/unix_system_calls.shtml
http://www.ibm.com/developerworks/linux/library/l-system-calls/

Dicas com o comando find

noreply@blogger.com (Marcos Abadi) — Thu, 07 Aug 2014 11:50:00 +0000

O comando find tem por finalidade encontrar arquivos no Linux, aqui mostramos alguns exemplos bastante úteis para o seu dia a dia.

Buscando um arquivo com o Tamanho maior que 5 Megas

`1`	`find / -size +5000k`

Procurando arquivos sem Dono

`1`	`find / -nouser`

Para remover este arquivo, faça o seguinte:

`1`	`find / -nouser -print \| xargs rm`

Procurando arquivos pelo grupo

`1`	`find / -group casa -name nome.ext`

Procurando todos os arquivos que NÃO tenha a extensão .gif

`1`	`find / \! -name "*.gif"`

Procurando os arquivos do usuário joao ou grupo casa

`1`	`find / $ -group casa -o -user joao $ -print`

1find / -path "/proc" -prune

2 -or

3 -perm -u+s

4 -exec ls -l {} \;

Procurando arquivos que tem mais de 30 dias e que estão vazios

# visualizando

`1`	`find /home/files/ -mtime +30 -type f -empty -exec ls -ltr {} \;`

#removendo

`1`	`find /home/files/ -mtime +30 -type f -empty -exec rm -v {} \;`

Procurando arquivos com mais de 1GB
# visualizando

`1`	`find /home/files/load/ok/ -type f -size +1024M -exec ls -la {} \;`

# removendo

`1`	`find /home/files/load/ok/ -type f -size +1024M -exec rm -vf {} \;`

Procurando arquivos que tem mais de 90 dias

# visualizando

`1`	`find /home/files/load/ok/ -mtime +90 -type f -exec ls -ltr {} \;`

# removendo

`1`	`find /home/files/load/ok/ -mtime +90 -type f -exec rm -v {} \;`

Procurando os arquivos que tem mais de 10MB
# visualizando

1find /home/files/load/ok/ -type f -size +10M \( -name "*txt.OK" -o -name "*TXT.OK" \) -exec ls -ltr {} \;

# removendoview sourceprint?

1find /home/files/load/ok/ -type f -size +10M \( -name "*txt.OK" -o -name "*TXT.OK" \) -exec gzip -v {} \;

ZIMBRA: UNABLE TO DETERMINE ENABLED SERVICES. CACHE IS OUT OF DATE OR DOESN’T EXIST.

noreply@blogger.com (Marcos Abadi) — Wed, 06 Aug 2014 17:06:00 +0000

Olá pessoal, segue uma dica para resolver o problema relacionado:

A mensagem de erro quando executamos o comando zmcontrol status é:

zimbra@zimbra:/~$ zmcontrol status

Unable to determine enabled services from ldap.

Unable to determine enabled services. Cache is out of date or doesn't exist.

Descobri que meu certificado tinha expirado, para saber se o seu certificado está expirado execute o comando abaixo:

root@zimbra:~# /opt/zimbra/bin/zmcertmgr viewdeployedcrt all |grep notAfter

Logo irá aparecer a data do certificado que está no Zimbra.

Se estiver vencido, execute os comandos (como root) abaixo para criar um novo certificado. O certificado será criado para 3 anos:

/opt/zimbra/bin/zmcertmgr createca -new

/opt/zimbra/bin/zmcertmgr createcrt -new -days 1095

/opt/zimbra/bin/zmcertmgr deploycrt self

/opt/zimbra/bin/zmcertmgr deployca

Depois reinici o servidor e verifique se os serviços estão funcionando corretamente:

zimbra@zimbra:/~$ zmcontrol status

Host 

        antispam                Running

        ldap                    Running

        logger                  Running

        mailbox                 Running

        mta                     Running

        snmp                    Running

        spell                   Running

        stats                   Running

        zmconfigd               Running

Fonte: thiagopassamani

Determinação de Subnets

noreply@blogger.com (Marcos Abadi) — Thu, 31 Jul 2014 20:43:00 +0000

A fórmula de cálculo para determinar quantas redes podemos criar em função dos bits usados desta forma é (2n-2), em que n é o número de bits. Assim, se usarmos 1 bit teremos 0 redes, com 2 bits teremos 2 redes, com 3 bits teremos 6 redes e por aí adiante. Por este cálculo, vemos que iremos utilizar 3 bits, pois só com apenas seria possível obter 2 subnets.

Embora os números costumem ser uma matéria complicada, neste caso ajudam-nos a compreender melhor o que foi explicado. Vamos começar por reduzir a binário o endereço original (172.16.0.0 com Subnet Mask 255.255.0.0) sem nos preocuparmos para já com a questão do subnetting. A decomposição do endereço IP é mostrada na tabela 1.

1º OCTETO 2º OCTETO 3º OCTETO 4º OCTETO DECIMAL

SUBNET MASK 11111111 11111111 00000000 00000000 255.255.255.0

ENDEREÇO IP 10101100 00010000 00000000 00000000 172.16.0.0

TABELA 1 – Endereços na forma binária

De acordo com o cálculo efectuado anteriormente, vamos usar 3 bits do Host ID no Network ID. Assim, vamos alterar o 3º octeto da Subnet Mask de “00000000”para “11100000”. Em relação ao 3º octeto do endereço IP, combinando todas as possibilidade de “0” e “1” teremos o seguinte: “000”, “001”, “010”,“011”, “100”, “101”, “110” e “111”, o que resulta num total de 8 combinações.

Mas, segundo as regras, as combinações “000” e “111” não são válidas (daí o “-2” na fórmula).

Vamos voltar a fazer a tabela com os novos dados, sublinhando as diferenças em relação à tabela anterior:

1º OCTETO 2º OCTETO 3º OCTETO 4º OCTETO DECIMAL

SUBNET MASK 11111111 11111111 11100000 00000000 255.255.224.0

SUBNET 1 10101100 00010000 00100000 00000000 172.16.32.0

SUBNET 2 10101100 00010000 01000000 00000000 172.16.64.0

SUBNET 3 10101100 00010000 01100000 00000000 172.16.96.0

SUBNET 4 10101100 00010000 10000000 00000000 172.16.128.0

SUBNET 5 10101100 00010000 10100000 00000000 172.16.160.0

SUBNET 6 10101100 00010000 11000000 00000000 172.16.192.0

TABELA 2 – Cálculo das subnets

How to calculate the Wildcard Mask

noreply@blogger.com (Marcos Abadi) — Mon, 21 Jul 2014 16:53:00 +0000

This is really simple.

Simply subtract your mask from 255.255.255.255 to get your wildcard mask.

Example:

The wilcard mask of /26 is:

255.255.255.255 - 255.255.255.192 = 0.0.0.63

The wilcard mask of /19 is:

255.255.255.255 - 255.255.224.0 = 0.0.31.255

The wildcard mask of /12 is:

255.255.255.255 - 255.240.0.0 = 0.15.255.255

There is an alternative way of calculating your wildcard mask which follows on from the Subnetting Made Easy post about boundaries. If you do not understand what I mean about boundaries please read that post.

For example, if you had a /28, your next boundary is /32 so 32 - 28 = 4 and 2⁴ = 16. If we subtract 1 from the block size it gives us 15 which is what we put into our wildcard mask in the octet that we are subnetting in. All octets before the one we are subnetting in are 0 and all octets after the octet we are subnetting in should be 255.

Let's follow that again:

1. /28 gives us 15 in the last octet (i.e. 32 - 28 = 4 and 2⁴ - 1 = 15)
2. All octets before that octet have to be 0 (i.e. 1st, 2nd, and 3rd octets)
3. All octets after that octet have to be 255 (not applicable here as /28 is in the last octet)
4. We therefore have 0.0.0.15 as our wildcard mask

Let's do it with a /21:

1. /21 gives us 7 in the third octet (i.e. 24 - 21 = 3 and 2³ - 1 = 7)
2. All octets before that octet have to be 0 (i.e. 1st and 2nd octets)
3. All octets after that octet have to be 255 (i.e. the 4th octet)
4. We therefore have 0.0.7.255 as our wildcard mask

Let's do it with a /9:

1. /9 gives us 127 in the second octet (i.e. 16 - 9 = 7 and 2⁷ - 1 = 127
2. All octets before that octet have to be 0 (i.e. the 1st octet)
3. All octets after that octet have to be 255 (i.e. the 3rd and 4th octet)
4. We therefore have 0.127.255.255 as our wildcard mask

Matemática torna internet até 10 vezes mais rápida

noreply@blogger.com (Marcos Abadi) — Mon, 21 Jul 2014 00:43:00 +0000

Matemática torna internet até 10 vezes mais rápida: Equações matemáticas substituem os pacotes de dados e tornam a internet mais rápida sem precisar alterar nenhuma infraestrutura.

Configurando senhas em um roteador Cisco

noreply@blogger.com (Marcos Abadi) — Tue, 15 Jul 2014 10:51:00 +0000

Segurança em um roteador Cisco

As senhas em um roteador Cisco são de extrema importância para a segurança do sistema e da rede como um todo. Em um roteador Cisco existem 4 tipos de senha: enable secret, enable password, console e vty.

A enable secret é a senha mais forte do roteador Cisco. Ela é requerida quando se tenta entrar no modo EXEC privilegiado. A diferença entre a enable secret e a enable password é que a primeira é criptografada por padrão com uma chave poderosa, enquanto a segunda não, sendo que a secret tem precedência sobre a password. Entretanto, vou mostrar no final deste artigo, como implementar criptografia leve para todas as senhas não criptografadas do roteador.

A enable password como dito anteriormente é uma senha sem criptografia, e é requerida também quando se tentar entrar no modo EXEC privilegiado.

A senha de console será requerida quando o administrador entrar no roteador pela porta console, utilizando para isso um cabo rollover conectado a porta console do roteador à porta serial do computador. Como podemos ver, essa é uma senha para conexão física ao roteador. Entretanto, mesmo sendo uma conexão física, ela deve possuir senha para aumentar a segurança.

A senha de vty será requerida ao tentar se conectar ao roteador por meio de uma sessão telnet. No roteador Cisco, o padrão são 5 conexões remotas, numeradas a partir do 0.

É importante frisar que somente a enable secret é criptografada por default (padrão). As demais senhas, quando inserido o comando #show running-config, que mostra a configuração em execução do roteador aparecem em texto aberto o que compromete a segurança da rede. Abaixo segue um exemplo desta situação.

enable password cisco
!
(...)
line con 0
password cisco
login
line vty 0 3
login
line vty 4
password cisco
login
!

Agora que você já tem uma idéia sobre as senhas em um roteador Cisco, está na hora de começar a configurá-las. Primeiramente vamos configurar as senhas de console e vty.

Router>en
Router#configure terminal
Router(config)#line console 0 // Entra na interface de console. O nº 0 é referente ao nº da interface de console.
Router(config-line)#password //Aqui você define sua senha.
Router(config-line)#login //Garante que a senha será requerida ao se logar no roteador.
Router(config-line)#exit //Retorna ao modo de configuração global.
Router(config)#line vty 04 //04 siginifica que vamos configurar de uma vez a senha de todas as conexões remotas do roteador.
Router(config-line)#password
Router(config-line)#login //Garante que a senha configurada será requerida ao se logar remotamente no roteador.
Router(config-line)#^Z //Retorna raiz.
Router#copy running-config statup-config //Salva a configuração.

Agora vamos configurar as senhas enable, requeridas ao se passar do modo EXEC usuáriopara o modo EXEC privilegiado.

Router>en
Router#configure terminal
Router(config)#enable password //Aqui você defini sua senha.
Router(config)#enable secret //Aqui você define a senha criptografada que terá precedencia sobre a senha configurada acima.

Pronto, seu roteador já possui todas as senhas configuradas. Agora vamos aumentar ainda mais a segurança de suas senhas não criptografadas. A criptografia usada não é tão complexa como a criptografia utilizada na enable secret, mas já quebra um ganho tremendo no quesito segurança. Para que isso seja feito, insira o seguinte comando:

Router(config)#service password-encryption

É claro que as senhas não são garantia de segurança total do roteador e da rede, mas são uma barreira que aumenta a segurança do equipamento e da rede como um todo. Para efeito de comparação, segue a saída do comando Router(config)#service password-encryption.Note que agora todas as senhas estão criptografadas.

!
enable secret 5 $1$mERr$hx5rVt7rPNoS4wqbXKX7m0
enable password 7 0822455D0A16
!
line con 0
password 7 0822455D0A16
login
line vty 0 3
login
line vty 4
password 7 0822455D0A16
login
!

Source: Viavida

CSU/DSU, DTE e DCE

noreply@blogger.com (Marcos Abadi) — Tue, 15 Jul 2014 10:47:00 +0000

DTE – Data Terminal Equipment ou equipamento de terminação de dados. Como o nome diz é o equipamento onde os dados terminam e onde também podem ser iniciados. Um DTE pode ser um computador, ou um roteador. Geralmente este dispositivo prepara a informação a ser enviada/recebida a linha de comunicação pelo usuário.

DCE – Data Communications Equipment, Data Circuit-terminating Equipment, como o nome o diz é o equipamento responsável por realizar a comunicação dos dados. Isto pode fazer alguma confusão se pensarmos num roteador do outro lado a servir como DCE como muitas das vezes pensamos. Na verdade o DCE serve para realizar algumas tarefas importantes na transmissão de dados entre dois dispositivos como determinar a frequência de clock, a determinação dos erros de transmissão e a codificação, enfim a definição de como se envia e como se recebem os dados. Isso significa que um DCE pode ser um dispositivo ligado directamente ao roteador ou uma interface com estas capacidades.

A razão porque você precisa de um DCE tem a ver com a mesma razão porque você precisa de um cabo crossover para ligar dois computadores directamente sem necessitar dum comutador. É necessário saber como (e que pinos tratando-se de cabos seriais) se enviam os dados, e o DCE trata disso automaticamente. Por isso é que nos laboratórios Cisco você pode usar um cabo serial padrão V35 para fazer isso:

Mas note que em se tratando de comunicação entre um computador e um modem num caso em que se usa ADSL o computador é o DTE e o modem o DCE, pelas razoes já definidas antes: Alguém precisa de dizer como os dados são transmitidos.

CSU/DSU – Está aí um termo que faz confusão a muita gente. Channel Service Unit / Data Service Unit como o nome sugere é um equipamento que diz ao DTE de um lado e o DCE do outro para se ‘casarem’ :

Um dado importante é que hoje em dia muitos roteadores vêem equipados com CSU/DSU nas suas interfaces WIC de modo que não mais é necessário usar um separado. De modo que a tarefa de ligar um roteador a um circuito digital tal como a uma hierarquia PDH/E1, ou a um link ponto a ponto ligado a um provedor de serviços, não precisa mais de um CSU/DSU separado do roteador como este da figura acima.

Fonte: snnangola.wordpress.com

Classful x Classless Routing

noreply@blogger.com (Marcos Abadi) — Mon, 14 Jul 2014 14:30:00 +0000

Classfull/Classless e ip subnet-zero

Métrica

refere-se ao número de saltos até a rede destino, e sempre a menor métrica é escolhida (ex: largura de banda, delay/atraso, carga).

Distância administrativa

é levado em consideração o custo da rota até a rede destino. E caso o número de saltos “métrica” seja igual para duas ou mais situações, então aquela rota com o menor custo “distancia administrativa” será escolhida.

Classfull

Não carrega máscara, se baseia nos bits inicio do endereço

A 1-126 0
B 128-191 10
C 192-223 110
D 224-239 1110
E 240-255 11110

Protocolos (exemplo)

RIP V1
IGRP

Classless

A máscara é nescessária para saber quantos bits são de rede/host
Suporta VLMS (variable lenght subnet mask) e supernet.

Protocolos (exemplo)

RIP V2
EIGRP
OSPF

Redes privadas

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16

Sabemos que o primeiro endereço de uma range representa a rede e o ultimo o host, porém no meio de uma range pode haver um endereços terminados em zero ou um (255), exemplo:

Na rede 10.0.0.0/8 os endereços 10.1.0.0 e 10.1.0.255 podem ser usados, porque os endereços de rede e broadcast são respectivamente 10.0.0.0 e 10.255.255.255

Porem alguns sistemas não trabalham bem com esses endereços, então para desabilitar esses endereços basta usar o comando: no ip subnet-zero

Feature	Classless	Supports VLSM	Send Subnet Mask
RIP-1	No	No	No
RIP-2	Yes	Yes	Yes
EIGRP	Yes	Yes	Yes
OSPF	Yes	Yes	Yes
IS-IS	Yes	Yes	Yes

Linux Ubuntu and Cisco switch link aggregation (load balancing, bonding)

noreply@blogger.com (Marcos Abadi) — Mon, 14 Jul 2014 10:27:00 +0000

Link aggregation between Cisco 3750 switch and Ubintu 9.10
Ubuntu configuration:
Install ifenslave — Attach and detach slave network devices to a bonding device.

apt-get install  ifenslave

Edit or create file /etc/modprobe.d/aliases.conf

alias bond0 bonding
options bonding mode=4 miimon=100

where mode 4 – IEEE 802.3ad Dynamic link aggregation. Creates aggregation groups that share the same speed and
duplex settings. Utilizes all slaves in the active aggregator according to the 802.3ad specification.
Edit /etc/network/interfaces.

auto bond0
iface bond0 inet static
        address 192.168.200.5
        netmask 255.255.255.0
        network 192.168.200.0
        broadcast 192.168.200.255
        post-up ifenslave bond0 eth0 eth1
        gateway 192.168.200.1
        dns-nameservers 192.168.200.1
        dns-search example.com

UPDATE (02.01.2012): Ubuntu 11.10 (oneiric).

1. Edit or create file /etc/modprobe.d/aliases.conf

alias netdev-bond0 bonding
options bonding mode=4 miimon=100

2. To run bonding first put module “bonding” in “/etc/modules” :

# /etc/modules: kernel modules to load at boot time.
#
# This file contains the names of kernel modules that should be loaded
# at boot time, one per line. Lines beginning with "#" are ignored.
loop
lp
rtc
bonding

In “/etc/network/interfaces”

auto bond0
iface bond0 inet static
        slaves eth0 eth1
        bond_mode 4
        bond_miimon 100
        address 192.168.200.5
        netmask 255.255.255.0
        network 192.168.200.0
        broadcast 192.168.200.255
        post-up ifenslave bond0 eth0 eth1

Cisco configuration ( Gi1/0/1 and Gi1/0/2 will be aggregated ):

cisco-3750(config)#interface range GigabitEthernet 1/0/1, GigabitEthernet 1/0/2
cisco-3750(config-if-range)#switchport trunk encapsulation dot1q
cisco-3750(config-if-range)#switchport trunk allowed vlan 10,20
cisco-3750(config-if-range)#switchport mode trunk
cisco-3750(config-if-range)#channel-group 1 mode active
Creating a port-channel interface Port-channel 1
cisco-3750(config-if-range)#end
cisco-3750#

Configuration of interface Port-Channel 1 must be exactly the same as Gi1/0/1 and Gi1/0/2.

cisco-3750#sh ru int Po1
Building configuration...
Current configuration : 159 bytes
!
interface Port-channel1
 switchport trunk encapsulation dot1q
 switchport trunk allowed vlan 10,20
end

If you want to modify configuration of aggregated interfaces, modify only configuration of Port-Channel interface.
And the last step is to set load-balance algorithm:

cisco-3750(config)#port-channel load-balance src-dst-ip
cisco-3750#sh etherchannel load-balance
EtherChannel Load-Balancing Operational State (src-dst-ip):
Non-IP: Source XOR Destination MAC address
  IPv4: Source XOR Destination IP address
  IPv6: Source XOR Destination IP address

cisco-3750#show etherchannel summary
Flags:  D - down        P - in port-channel
        I - stand-alone s - suspended
        H - Hot-standby (LACP only)
        R - Layer3      S - Layer2
        U - in use      f - failed to allocate aggregator
        u - unsuitable for bundling
        w - waiting to be aggregated
        d - default port

Number of channel-groups in use: 1
Number of aggregators:           1

Group  Port-channel  Protocol    Ports
------+-------------+-----------+-----------------------------------------------
1      Po1(SU)         LACP      Gi1/0/1(P)  Gi1/0/2(P)

cisco-3750#
cisco-3750#show etherchannel protocol
                Channel-group listing:
                ----------------------
Group: 1
----------
Protocol:  LACP

Traffic on Gi1/0/1

Traffic on Gi1/0/2

Traffic on Port-Channel1

Source: blog.webdir.bg

Enabling multicast routing on Cisco ME-3400G

noreply@blogger.com (Marcos Abadi) — Mon, 14 Jul 2014 10:24:00 +0000

First we need to allow multicast routing:

ip multicast-routing distributed

In our example we have two vlans:
VLAN 3000 – clients that will receive multicast traffic
VLAN 4000 – in this VLAN are sources of multicast traffic
enter the following commands:

ip igmp snooping querier
ip igmp snooping vlan 3000 mrouter learn cgmp
ip igmp snooping vlan 4000 mrouter learn cgmp

According Cisco’s official documentation: “A querier is a network device that sends query messages to discover which network devices are members of a given multicast group.”
The next two lines configure VLAN 3000 and VLAN 4000 as multicast router port (static connection to a multicast router) and to learn sooping from CGMP (Cisco Group Management Protocol) self-join packets.
Configuration of VLAN interfaces 3000 and 4000

interface Vlan3000
 description multicast_client
 ip address 172.20.20.1 255.255.255.0
 ip pim dense-mode
!
interface Vlan4000
 description source_multicast
 ip address 150.158.231.111 255.255.0.0
 ip pim dense-mode
!

You can read this article about pim dense-mode.
To view IGMP grops:

sh ip igmp groups
226.168.20.44    Vlan3000                 5d04h     00:02:38  172.20.20.6
226.168.20.45    Vlan3000                 2d03h     00:02:35  172.20.20.6
226.168.20.46    Vlan3000                 1d14h     00:02:34  172.20.20.6
226.168.20.47    Vlan3000                 2d11h     00:02:41  172.20.20.6
226.168.20.49    Vlan3000                 00:58:13  00:02:38  172.20.20.9
226.168.20.48    Vlan3000                 1d14h     00:02:40  172.20.20.6
226.168.20.51    Vlan3000                 00:58:13  00:02:39  172.20.20.9
226.168.20.50    Vlan3000                 00:58:13  00:02:40  172.20.20.9
226.168.20.53    Vlan3000                 00:58:13  00:02:33  172.20.20.9
226.168.20.52    Vlan3000                 00:58:13  00:02:39  172.20.20.9
226.168.20.55    Vlan3000                 1d14h     00:02:41  172.20.20.6
226.168.20.54    Vlan3000                 00:58:13  00:02:35  172.20.20.9
226.168.20.57    Vlan3000                 1d14h     00:02:36  172.20.20.6

To view membership

multicast#sh ip igmp membership all
Flags: A  - aggregate, T - tracked
       L  - Local, S - static, V - virtual, R - Reported through v3
       I - v3lite, U - Urd, M - SSM (S,G) channel
       1,2,3 - The version of IGMP, the group is in
Channel/Group-Flags:
       / - Filtering entry (Exclude mode (S,G), Include mode (G))
Reporter:
        - last reporter if group is not explicitly tracked
       /      -  reporter in include mode,  reporter in exclude
 *,226.168.20.27                172.20.20.6     1d14h    02:37 2A     Vl3000
 *,226.168.20.26                172.20.20.6     1d14h    02:30 2A     Vl3000
 *,226.168.20.37                172.20.20.6     1d14h    02:32 2A     Vl3000
 *,226.168.20.40                172.20.20.6     2d03h    02:28 2A     Vl3000
 *,226.168.20.41                172.20.20.6     2d03h    02:31 2A     Vl3000
 *,226.168.20.43                172.20.20.6     1d14h    02:30 2A     Vl3000
 *,226.168.20.44                172.20.20.6     5d04h    02:34 2A     Vl3000
 *,226.168.20.45                172.20.20.6     2d03h    02:28 2A     Vl3000
 *,226.168.20.46                172.20.20.6     1d14h    02:34 2A     Vl3000
 *,226.168.20.47                172.20.20.6     2d11h    02:32 2A     Vl3000
 *,226.168.20.49                172.20.20.9     01:00:18 02:28 2A     Vl3000
 *,226.168.20.48                172.20.20.6     1d14h    02:33 2A     Vl3000
 *,226.168.20.51                172.20.20.9     01:00:18 02:29 2A     Vl3000
 *,226.168.20.50                172.20.20.9     01:00:18 02:35 2A     Vl3000
 *,226.168.20.53                172.20.20.9     01:00:18 02:31 2A     Vl3000

To view snooping groups

multicast#sh ip igmp snooping groups
Vlan      Group                    Type        Version     Port List
-----------------------------------------------------------------------
3000      226.168.1.1              igmp                    Gi0/6
3000      226.168.1.2              igmp                    Gi0/4
3000      226.168.1.3              igmp                    Gi0/4
3000      226.168.1.4              igmp                    Gi0/4
3000      226.168.1.6              igmp                    Gi0/6
3000      226.168.1.7              igmp                    Gi0/6
3000      226.168.1.9              igmp                    Gi0/6
3000      226.168.1.10             igmp                    Gi0/4
3000      226.168.1.12             igmp                    Gi0/4
3000      226.168.1.13             igmp                    Gi0/4
3000      226.168.1.14             igmp                    Gi0/4
3000      226.168.1.15             igmp                    Gi0/4
3000      226.168.1.16             igmp                    Gi0/4
3000      226.168.1.17             igmp                    Gi0/4
3000      226.168.1.18             igmp                    Gi0/4
3000      226.168.1.19             igmp                    Gi0/4
3000      226.168.1.22             igmp                    Gi0/6
3000      226.168.1.23             igmp                    Gi0/4
3000      226.168.1.24             igmp                    Gi0/4
3000      226.168.1.26             igmp                    Gi0/6
3000      226.168.1.28             igmp                    Gi0/6
3000      226.168.1.30             igmp                    Gi0/4

Source: blog.webdir.bg

Understanding Cisco ME3400 UNI/NNI Port Types

noreply@blogger.com (Marcos Abadi) — Mon, 14 Jul 2014 10:19:00 +0000

Cisco ME 3400 series switches are designed to meet the needs of Metro service providers. Introduce brand new concept and features to make the product easier to manage, deploy, and troubleshoot. One of new features is the new concept of UNI/NNI Port Types.

UNI – User Network Interface
NNI – Network Node Interface

Based on the port type, certain features/behaviors are enabled or disabled to ease configuration, deployment, and troubleshooting.

UNI ports will not do local switching by default, for example no local switching on UNI protects customers from each other ( host A dosn’t see host B ), and Control Plane Security (CPS) is enabled, CPS protects against DoS attacks.

By default UNI ports:

not switching local traffic, for example no local switching on UNI protects customers from each other ( host A dosn’t see host B ).
Control Plane Security (CPS) is enabled, CPS protects against DoS attacks.
using multiple UNI ports on the same ME 3400, up to 8 UNI ports can be configured to do local switching.

NNI ports:

For ME 3400-24TS, by default, the 2 SFP ports are NNI port-type
For ME 3400G-12CS and ME 3400G-2CS, by default, the SFP-only ports are NNI port-type
There can be a maximum of 4 ports defined as NNI ports (applicable to ME 3400-24TS and ME 3400G-12CS, all 4 ports can be configured as NNI on ME 3400G-2CS)

NOTE: In 12.2(25)SEG and later releases—Metro IP Access Image, all ports can be optionally configured as NNI (not limited to 4).

To configure port type:

me3400#conf t
me3400(config)#int gi0/10
me3400(config-if)#port-type ?
  nni  Set port-type to NNI
  uni  Set port-type to UNI

Configuring UNI ports to do local switching (forwarding traffic between UNI ports)

Port Fa0/3 and Fa0/4 on Cisco me3400 are UNI ports, belongs to VLAN 10, and Fa0/3 is not forwarding traffic to Fa0/4, and vice versa, but we wand to do local switching between them. Interface Fa0/1 is NNI. Configuration:

me3400(config)#vlan 10
me3400(config-vlan)#uni-vlan community

Configuration of ports:

interface FastEthernet0/3
 switchport trunk allowed vlan 10
 switchport mode trunk
!
interface FastEthernet0/4
 switchport access vlan 10
!

View VLAN configuration:

me3400-test#sh vlan

VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------------
1    default                          active    Fa0/2, Fa0/5, Fa0/6, Fa0/7
                                                Fa0/8, Fa0/9, Fa0/10, Fa0/11
                                                Fa0/12, Fa0/13, Fa0/14, Fa0/15
                                                Fa0/16, Fa0/17, Fa0/18, Fa0/19
                                                Fa0/20, Fa0/21, Fa0/22, Fa0/23
                                                Fa0/24, Gi0/1, Gi0/2
10   test1                           active    Fa0/4
20   test                             active
1002 fddi-default                     act/unsup
1003 token-ring-default               act/unsup
1004 fddinet-default                  act/unsup
1005 trnet-default                    act/unsup

VLAN Type  SAID       MTU   Parent RingNo BridgeNo Stp  BrdgMode Trans1 Trans2
---- ----- ---------- ----- ------ ------ -------- ---- -------- ------ ------
1    enet  100001     1500  -      -      -        -    -        0      0
10   enet  100010     1500  -      -      -        -    -        0      0
20   enet  100020     1500  -      -      -        -    -        0      0
1002 fddi  101002     1500  -      -      -        -    -        0      0
1003 tr    101003     1500  -      -      -        -    -        0      0
1004 fdnet 101004     1500  -      -      -        ieee -        0      0
1005 trnet 101005     1500  -      -      -        ibm  -        0      0

Remote SPAN VLANs
------------------------------------------------------------------------------

Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------

VLAN Type              Ports
---- ----------------- -------------------------------------------------------
10   UNI community     Fa0/1, Fa0/3, Fa0/4

Source: blog.webdir.bg

Norse IPViking – Ataques em tempo real

noreply@blogger.com (Marcos Abadi) — Tue, 08 Jul 2014 13:51:00 +0000

Norse IPViking – Ataques em tempo real

Fraude em Boletos Bancários

noreply@blogger.com (Marcos Abadi) — Thu, 03 Jul 2014 10:49:00 +0000

Prezados usuários, fiquem atentos as orientações passadas abaixo:

A RSA publicou um relatório em que analisa um tipo de malware específico do Brasil: o malware de boleto (veja também reportagem sobre isto na Folha de São Paulo, no The New York Times e no blog do Brian Krebs). Este estudo foi baseado em uma família de malware analisada pelos especialistas da RSA e encontrou algumas coisas interessantes:

Foram identificados quase 496 mil transações com boletos, com data de pagamento nos últimos dois anos, segundo os dados obtidos nos servidores da quadrilha;
Estas transações correspondem, na verdade, a cerca de 8 mil boletos únicos, uma vez que a maioria deles foi paga diversas vezes;
O valor potencial da fraude, baseado nos boletos identificados, corresponde a cerca de R$ 8,57 bilhões (obviamente, nem todos os boletos foram processados pelos bancos);
Cerca de 192 mil computadores foram infectados (estimativa baseada nos endereços IPs identificados)
O esquema de fraude envolve boletos de pelo menos 34 instituições bancárias, incluindo os maiores bancos brasileiros.

Mas a verdade é que esse tipo de malware não deveria ser novidade para ninguém. O portal Linha Defensiva e o Fabio Assolini, da Kaspersky, já abordaram esse tipo de golpe desde o ano passado (incluindo através de uma extensão maliciosa do Chrome ou sites que prometem gerar uma segunda via de boletos vencidos).

A fraude de boleto é um crime típico do cenário brasileiro, que não existe em nenhum lugar do mundo. Isso porque os boletos de pagamento são algo específicos do nosso sistema financeiro. em poucas palavras, na fraude de boleto o ciber criminoso paga boletos "seus" (em sua posse) utilizando as contas correntes de suas vítimas.

O ciber criminoso mantém uma base de boletos a serem pagos de forma fraudulenta, que podem ser boletos criados a partir de contas correntes de laranjas, ou podem ser boletos válidos (boletos enviados para consumidores finais que, na impossibilidade de pagar o total da conta, ele/ela recorre a criminosos que cobram apenas uma porcentagem do valor do boleto, e em troca o fraudador paga o valor total utilizando a conta corrente de uma vítima). A fraude com boleto válido faz com que o ciber criminoso receba o dinheiro de forma rápida e fácil, além de dificultar o rastreio da fraude: o banco consegue identificar o dono do boleto pago fraudulentamente, mas não consegue identificar o ciber criminoso.

Os ciber criminosos tem várias formas específicas para forçar o usuário final a pagar um boleto fraudulento:

Sites falsos de reemissão de boletos: são sites criados por ciber criminosos que prometem a revalidação de um boleto vencido. Ao fornecer os dados de seu boleto, a vítima recebe um novo código de boleto, mas que na verdade direciona o pagamento utilizando o código do boleto do fraudador;
Envio de boletos falsos por correio: Os criminosos podem interceptar a correspondência da vítima e substituir o boleto. Assim, a vítima recebe sua conta impressa em sua casa, mas na verdade esta conta já está com os dados de pagamento adulterados;
Malware de Boleto: Ele infecta o computador da vítima pode alterar os dados do boleto de três formas:

No pagamento de um boleto no Internet Banking: o trojan troca as informações do boleto (a linha digitável) no momento em que a vítima digita os dados no formulário de pagamento. O Browser do usuário já envia para o banco os dados do boleto fraudulento;
Na emissão online de boletos (ao pedir uma segunda via ou escolher fazer um pagamento com boleto): o trojan identifica uma página com dados de boleto e troca as informações pelos dados do boleto fraudulento. Eles alteram o valor da linha digitável e inserem espaços no código de barras para inutilizá-lo (assim a vítima é obrigada a digitar os dados do boleto, que já estão trocados);
Infectando as empresas que emitem boletos: ao infectar o compitador de uma empresa, o trojan pode fazer com que ela gere, erroneamente, boletos com os dados de pagamento já redirecionados para a conta do fraudador. O cliente já recebe em sua casa o boleto adulterado :(

O Malware de Boleto comunica-se com o servidor central do ciber criminoso para buscar as informações do boleto que o fraudador quer pagar. Normalmente o malware mantém o valor original da conta, para que a vítima não perceba que pagou um boleto fraudulento e troca apenas o trecho da linha digitável que identifica o cedente, isto é, o destino do pagamento (afinal das contas, quem tem paciência para ficar conferindo a linha digitável dos boletos?). Mas, mesmo que a vítima quisesse comparar a linha digitável, o Malware altera a página de resposta do Internet Banking para que o usuário não perceba a alteração dos dados de pagamento.

A fraude de boletos representa um dos métodos de roubo de fundos mais populares entre os ciber criminosos brasileiros atualmente, apesar da Febraban informar que os boletos representaram apenas 4,5% do volume de pagamentos e 3% do total de fraudes, em 2013.

Os ciber criminosos adotam mecanismos de fraude populares em um determinado país ou região em que atuam, de acordo com as características dos sistemas de meios de pagamento locais. Há vários métodos para transferir dinheiro a partir da conta corrente de uma vítima, além de uma simples transferência bancária (que pode ser facilmente rastreada). Em alguns países, é comum utilizar compra e venda de ações para transferir os fundos. Aqui no Brasil, os ciber criminosos se especializaram em explorar pagamentos de contas e de impostos, através dos boletos bancários, além de realizar compras online (em lojas de e-commerce) ou compra de créditos pré-pagos para celulares.

O que fazer para evitar a fraude de boleto? É muito difícil, mas em alguns casos não é impossível... as dicas abaixo podem ajudar um pouco:

Antes de mais nada, evite ser infectado por malwares!
E sempre utilize um computador confiável para acessar o Internet Banking;
Como a fraude envolve a troca dos dados do boleto, sempre verifique se você está pagando o boleto correto. Não tenha preguiça e compare o código apresentado;
Para saber se o seu computador está infectado pelo malware de boleto, um teste simples é digitar a linha de um boleto na tela de busca do Google; algumas versões do malware, que atuam no browser, já trocam a linha mesmo nesta tela, e aí você verá que o autocompletar vai mostrar um valor diferente do que você digitou!
Como os criminosos alteram os dados do boleto para enganar a vítima, para conferir um boleto que você recebeu via correio ou que gerou online, a melhor forma é conferir o código inicial do boleto que está sendo pago:

os 4 primeiros dígitos identificam o banco; fique de olho se corresponde ao banco que normalmente emite aquela conta que você está acostumado a pagar;
a primeira metade do código do boleto identifica o banco e o cedente, ou seja, é um código que identifica a empresa que emitiu aquela conta (que é um cliente daquele banco). Normalmente essa parte do código tem que ser idêntica as contas semelhantes que você pagou no passado. Confira isso ! (ex: se você paga seu aluguel via boleto, o código inicial identifica o banco e sua imobiliária, que todo mês é o mesmo).

Fonte: Blog anchisesbr

[Segurança] Malware de Boleto

noreply@blogger.com (Marcos Abadi) — Thu, 03 Jul 2014 10:45:00 +0000

AnchisesLandia- Brazilian Security Blogger: [Segurança] Malware de Boleto: A RSA publicou um relatório em que analisa um tipo de malware específico do Brasil: o malware de boleto (veja também reportagem sobre isto ...

AnchisesLandia- Brazilian Security Blogger: [Segurança] Quando sua nuvem evapora...

noreply@blogger.com (Marcos Abadi) — Wed, 25 Jun 2014 16:45:00 +0000

AnchisesLandia- Brazilian Security Blogger: [Segurança] Quando sua nuvem evapora...: Essa é uma história triste: Após uma série de ataques e uma tentativa de extorsão, o site Code Spaces perdeu todos os seus dados na nuvem e...