miguelcarmona.name

Ejecuta un comando a la hora que quieras con AT

miguelcarmona — Mon, 19 Nov 2012 17:13:24 +0000

¿Cómo funciona AT? Pues muy sencillo, la forma básica sería escribir en el terminal :

$ at 15:37

Y debe salirnos algo como esto:

warning: commands will be executed using /bin/sh
at&gt;

Posteriormente escribimos el comando a ejecutar a esa hora, por ejemplo:

at&gt; killall console

Luego salimos de AT tecleando Ctrl+D. En resumen se verá algo como esto:

Si se fijan en la imagen, cuando terminamos AT nos entrega el número del proceso que ejecutamos:

job <strong>3strong> at Tue Oct  2 15:45:00 2012

En este caso es el número 3. Cuando tenemos varios proceso ejecutados con AT, podemos consultarlos con el comando:

$ atq

Cuando sepamos el proceso que queremos matar, solo tenemos que teclear:

$ atrm #

Por lo tanto, si quiero matar el proceso del ejemplo, solo tengo que poner:

$ atrm 3

Listo

AT tiene otras opciones, como por ejemplo la opción de enviarnos un correo cuando ejecute la tarea. Estas opciones las pueden ver tecleando en consola:

$ man at

vía: blog.desdelinux.net/ejecuta-un-comando-a-la-hora-que-quieras-con-at/

Sincronizar contenido a través de FTP

miguelcarmona — Wed, 10 Oct 2012 18:16:33 +0000

Normalmente para la sincronización en GNU/Linux se suele utilizar rsync por su facilidad y principalmente por su eficacia. Se puede utilizar a través de otros protocolos (como ssh por ejemplo) y permite una gran flexibilidad.

Para hacer una sincronización entre 2 rutas (por ejemplo para realizar un update de alguna aplicación en nuestro hosting compartido económico o una sincronización para posteriormente realizar un backup en local), podemos utilizar el siguiente script basado en lftp:

#!/bin/bash
HOST="your.ftp.host.dom"
USER="username"
PASS="password"
LCD="/path/of/your/local/dir"
RCD="/path/of/your/remote/dir"
lftp -c "set ftp:list-options -a;
open ftp://$USER:$PASS@$HOST;
lcd $LCD;
cd $RCD;
mirror --reverse \
	--delete \
	--verbose \
	--exclude-glob a-dir-to-exclude/ \
	--exclude-glob a-file-to-exclude \
	--exclude-glob a-file-group-to-exclude* \
	--exclude-glob other-files-to-exclude"

No creo que haya que explicar mucho la verdad.

Agradecimientos a su autor en: http://serverfault.com/a/106365

También tenemos un proyecto que pinta bastante bien (y en mantenimiento y desarrollo) llamado FTPSync. Se trata de un script en perl. Más en https://confluence.clazzes.org/display/FTPSYNC/FTPSync+Home

Enviar mensajes entre las terminales, y/o usuarios conectados por SSH

miguelcarmona — Tue, 02 Oct 2012 17:51:35 +0000

En algún que otro día he necesitado enviarle un mensaje, notificación o aviso a los usuarios que están conectados por SSH a un servidor, por ejemplo; avisando que el servidor dentro de 5 minutos se reiniciará… o algo así.

En ese momento me he visto en el dilema, ¿cómo hacer que ellos sepan esto de forma inmediata? … mediante email demorará, y depende de que todos y cada uno de los usuarios lea el email, por mensajería instantánea (IM) no es factible, pues no siempre todos están online, en fin… todo un problemilla

Y un buen día llegó la solución … comando wall

Una línea tan simple como:

echo "El servidor será reiniciado en los próximos 5mins, guarden sus trabajos." | wall

Y listo! … esto enviará ese mensaje a TODOS los usuarios que estén conectados por SSH al servidor, pero… no solo eso. Suponiendo que es un ordenador y no un servidor (o sea, que tiene entorno gráfico), veremos también el mensaje en la terminal que tengamos abierta, así como en el área de notificación:

Pero… ¿qué hacer si deseo enviar un mensaje a solo una terminal o sesión SSH?

En ese caso debemos conocer qué sesión es con la que deseamos comunicarnos. Para ello usamos lo que el mismo sistema nos brinda.

1. Primero debemos saber a qué terminal deseamos mandar el mensaje, para ello escribimos en una terminal : w (sí… solo la letra w). Nos aparecerá lo siguiente, y con esa información veremos a qué terminal deseamos contactar:

En este ejemplo, deseo enviar un mensaje al tty2 (el primero que ven).

2. Ahora pasamos al comando:

echo "Esto es un mensaje de prueba" &gt; /dev/tty2

Y esto bastará para lograr lo que deseamos, en la TTY2 aparecerá ese texto.

Si en vez de enviarlo ahí, deseamos enviarlo a pts/2 … simplemente:

echo "Esto es un mensaje de prueba" &gt; /dev/pts/2

vía: http://blog.desdelinux.net/enviar-mensajes-entre-las-terminales-yo-usuarios-conectados-por-ssh/

¿Cómo usar el comando dig? (ejemplos)

miguelcarmona — Tue, 02 Oct 2012 17:43:05 +0000

El comando unix dig (domain information groper), con el permiso de nslookup, es una de las mejores opciones a la hora de hacer troubleshooting o debug de problemas DNS. Vamos a ver unos cuantos ejemplos de algunas las posibilidades que nos ofrece. Como siempre toda esta información la podéis ampliar en la página man del comando o la ayuda:

$ man dig
$ dig -h

Nota: he suprimido salida no relevante de los comandos para reducir el tamaño del artículo.

Ejecución sin argumentos

Cuando ejecutamos el comando dig sin argumentos se realiza una consulta de los NS (Name Servers) raíz o root servers “.”. Cara al troubleshooting o debug no suele ser de mucha utilidad:

$ dig
; DiG 9.8.1-P1 
;; global options: +cmd
;; Got answer:
;; -HEADER- opcode: QUERY, status: NOERROR, id: 55735
;; flags: qr rd ra; QUERY: 1, ANSWER: 13, AUTHORITY: 0, ADDITIONAL: 14
 
;; QUESTION SECTION:
;. IN NS
 
;; ANSWER SECTION:
.			494084	IN	NS	e.root-servers.net.
.			494084	IN	NS	a.root-servers.net.
.			494084	IN	NS	b.root-servers.net.
.			494084	IN	NS	g.root-servers.net.
.			494084	IN	NS	h.root-servers.net.
.			494084	IN	NS	i.root-servers.net.
...
...
;; ADDITIONAL SECTION:
j.root-servers.net. 575975 IN A 192.58.128.30
m.root-servers.net. 428374 IN A 202.12.27.33
...
...
;; Query time: 40 msec

Dominio como argumento

La forma más común y simple de ejecutar dig. En este caso pasamos como argumento el dominio a consultar. Cuando no se especifica nada se consulta siempre el registro A del dominio. Al no especificar tampoco los servidores DNS contra los que hacer la consulta se utilizan los especificados en nuestra conexión(/etc/resolv.conf). Debemos prestar especial importancia a la sección ANSWER SECTION, ya que muestra el resultado de nuestra consulta:

$ dig rm-rf.es
 
; DiG 9.8.1-P1 rm-rf.es
;; global options: +cmd
;; Got answer:
;; -HEADER- opcode: QUERY, status: NOERROR, id: 10364
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0
 
;; QUESTION SECTION:
;rm-rf.es. IN A
 
;; ANSWER SECTION:
rm-rf.es. 13104 IN A 93.93.112.55
;; Query time: 39 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
...

Dominio como argumento y usando un name server específico

El comando anterior usaba el DNS local especificado en /etc/resolv.conf (127.0.0.1) para solicitar el registro A del dominio, en este caso vamos a hacer la consulta contra un NS externo, el de google por ejemplo (8.8.8.8). Se indica con la IP/nombre del servidor precedida de @. Se puede ver en la sección final como se especifica el servidor que utilizamos para la query (negrita). La respuesta debería ser la misma que los servidores autoritativos del dominio, en caso contrario podría haber envenenamiento DNS, DNS spoofing…:

$ dig @8.8.8.8 rm-rf.es
; DiG 9.8.1-P1 @8.8.8.8 rm-rf.es
; (1 server found)
;; global options: +cmd
;; Got answer:
;; -HEADER- opcode: QUERY, status: NOERROR, id: 29315
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0
 
;; QUESTION SECTION:
;rm-rf.es. IN A
 
;; ANSWER SECTION:
rm-rf.es. 4315 IN A 93.93.112.55
 
;; Query time: 64 msec
;; SERVER: 8.8.8.8#53(8.8.8.8) ...

Especificar el registro (A, NS, MX, CNAME…) a consultar

Como decía antes, por defecto se consulta el registro A del dominio, pero podemos especificar el tipo de registro que queramos (ANY, NS, A, MX, SIG,SOA…):

$ dig MX @8.8.8.8 rm-rf.es 
; DiG 9.8.1-P1 MX @8.8.8.8 rm-rf.es
; (1 server found)
;; global options: +cmd
;; Got answer:
;; -HEADER- opcode: QUERY, status: NOERROR, id: 43941
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0
 
;; QUESTION SECTION:
;rm-rf.es. IN MX
 
;; ANSWER SECTION:
rm-rf.es. 14400 IN MX 10 rm-rf.es.
;; Query time: 105 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Mon Sep 10 23:06:25 2012
;; MSG SIZE rcvd: 42

Consultar todos los registros de la zona DNS En lugar de especificar el tipo de registro a mostrar (A, MX, CNAME, AAAA…) podemos decir directamente que consulte todos los que se sirven en la zona DNS del dominio con el parámetero ANY:

$ dig ANY google.com
; DiG 9.8.1-P1 &lt;&lt;&gt;&gt; ANY google.com
;; global options: +cmd
;; Got answer:
;; -HEADER- opcode: QUERY, status: NOERROR, id: 13347
;; flags: qr rd ra; QUERY: 1, ANSWER: 22, AUTHORITY: 0, ADDITIONAL: 0
 
;; QUESTION SECTION:
;google.com. IN ANY
 
;; ANSWER SECTION:
google.com. 2778 IN TXT "v=spf1 include:_netblocks.google.com ip4:216.73.93.70/31 ip4:216.73.93.72/31 ~all"
google.com. 258 IN A 173.194.34.225
google.com. 258 IN A 173.194.34.230
google.com. 258 IN A 173.194.34.224
...
...
google.com. 258 IN A 173.194.34.229
google.com. 32168 IN NS ns4.google.com.
google.com. 32168 IN NS ns1.google.com.
google.com. 32168 IN NS ns3.google.com.
google.com. 32168 IN NS ns2.google.com.
google.com. 56 IN AAAA 2a00:1450:4003:802::1007
google.com. 326 IN MX 20 alt1.aspmx.l.google.com.
google.com. 326 IN MX 30 alt2.aspmx.l.google.com.
google.com. 326 IN MX 50 alt4.aspmx.l.google.com.
google.com. 326 IN MX 40 alt3.aspmx.l.google.com.
google.com. 326 IN MX 10 aspmx.l.google.com.
 
;; Query time: 43 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)

Hacer debug con el parámetro trace

El parámetro “+trace” es muy útil para hacer debug ante problemas de resolución DNS ya que permite ver latraza y saltos de la petición hasta que llega al servidor autoritativo que ofrece la respuesta del registro:

$ dig +trace rm-rf.es
; DiG 9.8.1-P1 +trace rm-rf.es
;; global options: +cmd
.			103105	IN	NS	f.root-servers.net.
.			103105	IN	NS	g.root-servers.net.
.			103105	IN	NS	h.root-servers.net.
...
...
.			103105	IN	NS	e.root-servers.net.
;; Received 500 bytes from 127.0.0.1#53(127.0.0.1) in 523 ms
 
es.			172800	IN	NS	a.nic.es.
es.			172800	IN	NS	f.nic.es.
es.			172800	IN	NS	ns1.cesca.es.
es.			172800	IN	NS	ns3.nic.fr.
es.			172800	IN	NS	ns15.communitydns.net.
es.			172800	IN	NS	ns-ext.nic.cl.
es.			172800	IN	NS	sns-pb.isc.org.
;; Received 454 bytes from 192.203.230.10#53(192.203.230.10) in 490 ms
 
rm-rf.es.		86400	IN	NS	dns2.sistema-dns.com.
rm-rf.es.		86400	IN	NS	dns1.sistema-dns.com.
;; Received 79 bytes from 84.88.0.3#53(84.88.0.3) in 145 ms
 
rm-rf.es.		14400	IN	A	93.93.112.55
rm-rf.es.		14400	IN	NS	dns2.sistema-dns.com.
rm-rf.es.		14400	IN	NS	dns1.sistema-dns.com.
;; Received 127 bytes from 93.93.118.80#53(93.93.118.80) in 47 ms

Resolución inversa (IP -> nombre)

Para realizar consultas de reverse DNS tenemos el parámetro -x:

$ dig -x 8.8.8.8 
; DiG 9.8.1-P1  -x 8.8.8.8
;; global options: +cmd
;; Got answer:
;; -HEADER- opcode: QUERY, status: NOERROR, id: 51972
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0
 
;; QUESTION SECTION:
;8.8.8.8.in-addr.arpa. IN PTR
 
;; ANSWER SECTION:
8.8.8.8.in-addr.arpa. 70159 IN PTR google-public-dns-a.google.com.
...

Otras opciones de consulta

Para ver el resto de opciones de consulta es mejor directamente revisar la página man, básicamente nos permiden indicar como se va a visualizar el resultado de la consulta (eliminar información secundaria por ejemplo con la opción +nocmd), establecer timeouts, especificar el uso de TCP o UDP, flags de consulta, etc. Todas llevan el signo + delante, y se resetean con añadiendo “no” después del “+”

$ man dig
       +[no]tcp
           Use [do not use] TCP when querying name servers. The default behavior is to use UDP unless an AXFR or IXFR query is requested,
           in which case a TCP connection is used.
 
       +[no]vc
           Use [do not use] TCP when querying name servers. This alternate syntax to +[no]tcp is provided for backwards compatibility. The
           "vc" stands for "virtual circuit".
 
       +[no]ignore
           Ignore truncation in UDP responses instead of retrying with TCP. By default, TCP retries are performed.
 
       +domain=somename
           Set the search list to contain the single domain somename, as if specified in a domain directive in /etc/resolv.conf, and
           enable search list processing as if the +search option were given.
 
       +[no]search
           Use [do not use] the search list defined by the searchlist or domain directive in resolv.conf (if any). The search list is not
           used by default.
 
       +[no]showsearch
           Perform [do not perform] a search showing intermediate results.
 
       +[no]defname
           Deprecated, treated as a synonym for +[no]search
 
       +[no]aaonly
           Sets the "aa" flag in the query.
 
       +[no]aaflag
           A synonym for +[no]aaonly.
...
...
...
...

Con estos ejemplos e información ya podemos comenzar a hacer un buen uso del comando dig para resolver problemas relacionados con DNS.

vía: http://rm-rf.es/como-usar-el-comando-dig-ejemplos

Cómo usar el comando ip en Linux (ejemplos vs ifconfig)

miguelcarmona — Tue, 02 Oct 2012 17:26:58 +0000

El comando ip, que forma parte de la iproute2 suite parece ser que es el sustituto de ifconfig, pero de momento ifconfig sigue entre nosotros, y creo que hasta que no desaparezca no dejaremos de usarlo (por comodidad, vagancia o desconocimiento del nuevo).

Vamos a ver algunos ejemplos de uso del comando ip para comenzar a familiarizarnos con él y ver como realizariamos las tareas más comunes que hacemos con ifconfig.

Ver interfaces de red y su configuración

El comando ip addr list vendría a ser lo mismo que ejecutar ifconfig. Se puede ejecutar con el mismo resultado como ip address show o ip address list:

~$ ip addr list
1: lo:  mtu 16436 qdisc noqueue state UNKNOWN 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0:  mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:1b:24:d5:18:99 brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.128/24 brd 192.168.1.255 scope global eth0
    inet6 fe80::21b:24ff:fed5:1899/64 scope link 
       valid_lft forever preferred_lft forever
3: eth2:  mtu 1500 qdisc pfifo_fast state DORMANT qlen 1000
    link/ether 00:1a:73:d1:67:45 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::21a:73ff:fed1:6745/64 scope link 
       valid_lft forever preferred_lft forever

También podemos usar el comando ip link show para ver la información en capa 2 (data link layer) de las interfaces de red del sistema:

~$ ip link show
1: lo:  mtu 16436 qdisc noqueue state UNKNOWN
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0:  mtu 1500 qdisc pfifo_fast state UP qlen 1000
link/ether 00:1b:24:d5:18:99 brd ff:ff:ff:ff:ff:ff
3: eth2:  mtu 1500 qdisc pfifo_fast state DORMANT qlen 1000
link/ether 00:1a:73:d1:67:45 brd ff:ff:ff:ff:ff:ff

Activar/desactivar interfaces de red

Para habilitar o deshabilitar una interfaz de red seguiremos utilizando ip link:

~# ip link set eth2 down
~# ip addr list eth2
3: eth2:  mtu 1500 qdisc pfifo_fast state DOWN qlen 1000
    link/ether 00:1a:73:d1:67:45 brd ff:ff:ff:ff:ff:ff

~# ip link set eth2 up
~# ip addr list eth2
3: eth2:  mtu 1500 qdisc pfifo_fast state DORMANT qlen 1000
    link/ether 00:1a:73:d1:67:45 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::21a:73ff:fed1:6745/64 scope link tentative 
       valid_lft forever preferred_lft forever

Os he mostrado en el ejemplo como al levantar o tirar la interfaz desaparece la flag de UP en el ip addr list. En ifconfig lo hacíamos del siguiente modo:

~# ifconfig eth2 down
~# ifconfig eth2 up

Cambiar características de la interfaz

Con ip link también podemos realizar modificaciones en las características o flags de la interfaz, como por ejemplo configurar el modo promiscuo, multicast, arp, dynamic o allmulti. Se utilizan los valores on|off. En esta otra entrada vimos como hacerlo con ifconfig: configurar tarjeta de red en modo promiscuo:

~# ip link set dev eth0 promisc on
~# ip addr list eth0
2: eth0:  mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:1b:24:d5:18:99 brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.128/24 brd 192.168.1.255 scope global eth0
    inet6 fe80::21b:24ff:fed5:1899/64 scope link 
       valid_lft forever preferred_lft forever

~# ip link set dev eth0 promisc off
~# ip addr list eth0
2: eth0:  mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:1b:24:d5:18:99 brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.128/24 brd 192.168.1.255 scope global eth0
    inet6 fe80::21b:24ff:fed5:1899/64 scope link 
       valid_lft forever preferred_lft forever

Configurar una IP para la interfaz

Con ip addr add podemos especificar la IP, máscara (también en formato CIDR como vemos a continuación y la IP de broadcast:

~# ip addr add 10.0.0.100/24 broadcast 10.0.0.255 dev eth2
~# ip addr list eth2
3: eth2:  mtu 1500 qdisc pfifo_fast state DORMANT qlen 1000
    link/ether 00:1a:73:d1:67:45 brd ff:ff:ff:ff:ff:ff
    inet 10.0.0.100/24 brd 10.0.0.255 scope global eth2
    inet6 fe80::21a:73ff:fed1:6745/64 scope link 
       valid_lft forever preferred_lft forever

Y para eliminar la IP:

~# ip addr del 10.0.0.100/24 dev eth2

También podemos crear alias en la interfaz:

~# ip addr add 10.0.0.101/24 broadcast 10.0.0.255 dev eth2:1

Cambiar la MTU de la interfaz

~# ip link set dev eth2 mtu 9000

Ver la tabla de rutas

~# ip route show
default via 192.168.1.1 dev eth0  proto static 
169.254.0.0/16 dev eth0  scope link  metric 1000 
192.168.1.0/24 dev eth0  proto kernel  scope link  src 192.168.1.128  metric 1

Ver la tabla de ARP Cache

De todas las interfaces:

~# ip neighbor show
192.168.1.1 dev eth0 lladdr 64:68:0c:6b:5f:7e REACHABLE

De una interfaz concreta:

~# ip neighbor show dev eth0
192.168.1.1 lladdr 64:68:0c:6b:5f:7e REACHABLE

Esto es sólo una pequeña muestra de lo que ofrece el comando ip en GNU/Linux y la suite iproute2 en general. Os recomiendo revisar la página man para profundizar en el tema.

$ man ip

vía: http://rm-rf.es/como-usar-el-comando-ip-en-linux-ejemplos-vs-ifconfig/

Query log de MySQL (general log)

miguelcarmona — Tue, 02 Oct 2012 11:26:20 +0000

En MySQL podemos habilitar un log de queries ejecutadas en el servidor llamado “general log“. Aunque no es muy recomendable tenerlo habilitado normalmente, puede resultar útil en momentos puntuales. Vamos a ver su funcionamiento:

Las variables que controlan el general log son las siguientes:

general_log: Indicamos si queremos habilitar o no dicho log
general_log_file: Indicamos el path del fichero dónde queremos el log

Mediante SHOW VARIABLES podemos verlos:

mysql> show variables like 'general_log%';
+------------------+--------------------------+
| Variable_name    | Value                    |
+------------------+--------------------------+
| general_log      | OFF                      | 
| general_log_file | /var/log/mysql/query.log | 
+------------------+--------------------------+
2 rows in set (0.00 sec)

También a partir de MySQL 5.1 tenemos que tener en cuenta el valor de “log_output“, ya que podemos indicar que en lugar de un fichero se guarde en una tabla:

mysql> show variables like 'log_out%';
+---------------+-------+
| Variable_name | Value |
+---------------+-------+
| log_output    | FILE  | 
+---------------+-------+
1 row in set (0.00 sec)

Mediante SET GLOBAL podemos habilitar el general log:

mysql> set global general_log=1;
Query OK, 0 rows affected (0.10 sec)

En el fichero veremos como se guardan tanto las queries como las conexiones:

100925 19:19:53	46223 Query	select version()
100925 19:19:57	46223 Quit	
100925 19:20:14 46224 Connect root@localhost on 
		46224 Query	select @@version_comment limit 1
100925 19:20:16	46224 Query	select version()
100925 19:20:17 46224 Query select version() 46224 Query select version()
100925 19:20:18	46224 Quit

Por otro lado, tenemos también la variable de sessión sql_log_off, la cual tenemos por defecto a OFF indicando que no deshabilita por defecto el log. Podemos ver su funcionamiento con la siguiente sesión de ejemplo:

mysql> select "sql_log_off en off";
+--------------------+
| sql_log_off en off |
+--------------------+
| sql_log_off en off |
+--------------------+
1 row in set (0.00 sec)

mysql> set session sql_log_off=1;
Query OK, 0 rows affected (0.00 sec)

mysql> select "sql_log_off en on";
+-------------------+
| sql_log_off en on |
+-------------------+
| sql_log_off en on |
+-------------------+
1 row in set (0.00 sec)

En el log quedaría:

100925 19:21:41	46226 Query	select "sql_log_off en off"
100925 19:21:54	46226 Query	set session sql_log_off=1

Por lo que veríamos que se deshabilita el log, pero no las queries que se ejecuten a posteriori. No resulta muy problemática, ya que esta variable únicamente se puede modificar si el usuario tiene el privilegio SUPER.

vía: http://systemadmin.es/2012/09/query-log-de-mysql-general-log

Introducción al uso de túneles SSH | securityartwork.es

miguelcarmona — Tue, 31 Jul 2012 21:08:18 +0000

Todos nos hemos encontrado en algún momento con que ese servicio al que queremos acceder está en un equipo inalcanzable desde nuestra red u otros problemas similares. Si disponemos de acceso SSH podemos solucionar fácilmente problemas de este tipo utilizando túneles SSH.

Planteamos un primer escenario, en el que tenemos un servidor de bases de datos al que podemos acceder por SSH, pero cuyo cortafuegos nos impide interactuar directamente con la base de datos (suponemos MySQL, que utiliza el puerto 3306).

En este caso, para ganar acceso local a la base de datos, haremos que todo el tráfico que vaya al puerto local X se redirija a través de la conexión SSH al puerto local 3306 de la máquina a la que nos estamos conectando, utilizando el modificador -L:

ssh -L X:localhost:3306 172.16.1.100

Ahora, si tenemos una aplicación que utilice dicho servidor de base de datos, símplemente debemos indicarle que la base de datos se encuentra en nuestro equipo local, en el puerto X. Del mismo modo, si el equipo que tiene la base de datos es un tercer equipo, al que no tenemos acceso desde nuestro equipo local pero si desde el servidor al que nos conectamos a través de SSH, la orden será:

ssh -L X:172.16.1.111:3306 172.16.1.100

También podemos querer justo lo contrario: que un servidor remoto pueda acceder a un recurso o servicio proporcionado por nuestro equipo o nuestra red local.

En este caso, haremos que todo el tráfico que el servidor remoto envíe a su puerto Y se redirija hacia el puerto Z de nuestro equipo, utilizando el modificador -R:

ssh -R Y:localhost:Z 172.16.1.100

Al igual que en el caso anterior, si el equipo que contiene el servicio que queremos conectar es uno distinto del nuestro, cambiaremos localhost por la IP de dicho equipo. Por ejemplo:

ssh -R Y:192.168.0.123:Z 172.16.1.100

Como extra, indicar que los servidores SSH ofrecen otra característica interesante, que consiste en crear un proxy de tipo SOCKS en el equipo local. Con esto hacemos que todas las peticiones que se envíen al puerto X del equipo local, se redirijan hacia el equipo remoto y se envíen a su destino como si las hubiera enviado el equipo remoto:

ssh -D X 172.16.1.100

Esto es de especial utilidad ya que existen multitud de aplicaciones cuyo tráfico puede ser reenviado a través de un proxy SOCKS. El mejor ejemplo de esto son los navegadores modernos, como Firefox, por ejemplo:

vía: http://www.securityartwork.es/2012/07/19/introduccion-al-uso-de-tuneles-ssh/

Restringir acceso a ficheros o directorio por IP usando .htaccess

miguelcarmona — Tue, 26 Jun 2012 16:45:14 +0000

Proteger un directorio

El fichero .htaccess deberá estar colgado de él y deberá contener el siguiente código:

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName "Mi control de acceso"
AuthType Basic
<LIMIT GET>
order deny,allow
deny from all
allow from xx.xx.xx.xxx
LIMIT>

Cada IP con acceso deberá estar indicada en un nuevo allow. Podemos poner tantos allow como necesitemos.

Proteger un fichero en particular

Si quieres proteger un fichero en lugar de un directorio, la idea es la misma, en el directorio del fichero en su .htaccess indicamos:

<Files fichero.php>
 Order Deny,Allow
 Deny from All
 Allow from x.x.x.x
 Files>

Indicando tantos allow como necesitemos.

vía: http://www.linuxhispano.net/2012/06/13/restringir-acceso-a-ficheros-o-directorio-por-ip-usando-htaccess/

Apache: No space left on device: Couldn’t create accept lock

miguelcarmona — Fri, 22 Jun 2012 20:40:27 +0000

El servidor web Apache lo he visto fallar de dos formas distintas (persistentes a reinicios) por el mismo problema de semáforos. Vamos a ver cómo solucionarlo:

En varias ocasiones he visto el siguiente error en el log:

[emerg] (28)No space left on device: Couldn't create accept lock

Pero también podemos encontrarnos que el server arranca y esta escuchando perono nos devuelve nada:

$ curl -I localhost -H 'Host: ejemplo.com'
curl: (52) Empty reply from server

Y van apareciendo Segmentation faults en el log de error:

[notice] child pid 8033 exit signal Segmentation fault (11)

Causado por los semáforos que usa para comunicarse con los “apachitos” que no se han liberado:

# ipcs -s

------ Semaphore Arrays --------
key        semid      owner      perms      nsems     
0x00000000 2818048    apache    600        1         
0x00000000 15073281   apache    600        1         
0x00000000 15106050   apache    600        1         
0x00000000 425987     jprats    600        1         
(...)

Deberemos apagar el apache y limpiarlos con ipcrm:

for i in $(ipcs -s | awk ' $3 == "apache" {print $2}'); do ipcrm sem $i; done
resource(s) deleted

A continuación, ya lo podemos arrancar. Dicho comando es seguro ejecutarlo antes de arrancar el apache, por lo que lo podemos definir en el script de inicio y evitar así que surja el problema y tener que intervenir manualmente.

Apache: No space left on device: Couldn’t create accept lock | systemadmin.es.

Pausar procesos (aplicaciones)

miguelcarmona — Fri, 22 Jun 2012 10:46:27 +0000

A veces, por algún motivo específico, necesitamos pausar alguna aplicación pero no cerrarla. Puede ser un caso el que hagamos una pausa en nuestra programación con nuestro flamante comedor de recursos como es eclipse o aptana y queramos ver un vídeo flash (otro glotón de recursos) con fluidez. Sería incómodo cerrar todo el IDE para luego volver a abrirlo. Pero el kernel Linux pensó en esos pequeños detalles y nos brinda ciertas posibilidades entre las que se encuentra detener, pausar o matar un proceso (o aplicación para los menos curtidos).

El caso es que podemos mandar la señal detener ( -19 ) a un determinado proceso para posteriormente poder iniciarlo de nuevo ( -18 ). Esta señal se puede mandar con el comando kill y el id de proceso o con el comando killall y el nombre de proceso. Como no me gusta dar tantas vueltas, me centraré en killall:

Pausar proceso: killall -19
Reanudar proceso pausado: killall -18
Matar proceso: killall -9

De forma que si queremos pausar por ejemplo firefox, bastaría con un killall -19 firefox y un killall -18 firefox para reanudad este proceso. Hay que tener en cuenta que a partir de la versión 10 (creo recordar) de firefox los plugins (como flash) se ejecutan en un proceso diferente (plugin-container normalmente) de forma que aunque pausemos a firefox, no pausaremos el proceso flash lanzado por el mismo (tendríamos que lanzar killall -19 plugin-container).

Es muy curioso lo bien que trabaja este sistema con los navegadores al igual que con flash por ejemplo. Se me ha dado más de un caso donde encontraba información realmente buena en una página llena de molestos banners flash lo cual hacía que el hecho de bajar la página se convirtiese en un grandioso reto. Bastaba con pausar dicho proceso (plugin-container), revisar el texto y una vez cerramos la pestaña, reanudarlo de nuevo. De hecho funciona bastante bien con grooveshark o con youtube de forma que puedes pausar flash y al reanudarlo, reanuda perfectamente la reproducción por donde lo teníamos.

Ni que decir queda que para aquellos que no sepan el nombre de proceso, bastaría con el comando ps y grep de forma que para firefox bastaría con:

ps -A | grep fire

donde con ps -A decimos que muestre todos los procesos y con grep fire filtramos en la lista de todos los procesos aquellos que contengan fire.

Los usuarios de KDE tenemos nuestra aplicación de Actividad del sistema desde donde podemos mandar varios tipos de señales a un proceso. Para inicial la aplicación de Actividad del sistema bastaría con pulsar las teclas Crtl + esc

Como vemos en esta aplicación tenemos más que de sobra para manejar dichos procesos. En la parte superior tenemos un campo para filtrar procesos. En este caso filtro por fire (lo cual me saca todo lo coincidente al igual que grep). Vemos que hay 2 procesos, dicho firefox y el proceso para lanzar plugins del mismo.

Al pulsar con botón derecho vemos que podemos mandar entre otras señales:

Suspender (STOP) => pausar el proceso como hacíamos con killall -19
Continuar (CONT) => reanudad el proceso como hacíamos con killall -18
Matar (KILL) => matar el proceso como hacíamos con killall -9

Esta entrada viene inspirada por esta otra http://fedoreando.com/2012/06/09/usando-linux-like-a-boss-pausar-aplicaciones en la cual se explica el mismo proceso pero con el comando kill en vez de con killall. Viendo dicha entrada me vino a la mente que aunque es algo que use habitualmente desde hace algún tiempo, es muy probable que no se conozca en la mayoría de los casos por lo que al ver que era un tanto compleja para el público mayor, decidí exponerla de forma más sencilla.