Un log analyzer raccoglie migliaia di informazioni che devono essere facilmente interpretate ed utlizzate per creare dei  report da consegnare al management.

Splunk è un tool che può essere integrato in OSSEC per trasformare i log in formato grafico con integrati alcuni report che permettono di controllare più facilmente i sistemi monitorati.

Configurazione di OSSEC

La procedura per l’installazione di OSSEC è descritta in questo articolo.

Per abilitare il syslog, editare il file di configurazione di ossec.conf ed aggiungere le seguenti istruzioni:

<syslog_output>
   <server>192.168.10.109</server>          # OSSEC server IP
   <port>10002</port>
</syslog_output>

# vi /var/ossec/etc/ossec.conf

Abilitare il modulo syslog_output e riavviare il OSSEC.

# /var/ossec/bin/ossec-control enable client-syslog
# /var/ossec/bin/ossec-control restart

Installazione di Splunk

Dal sito web scaricare l’ultima release di Splunk ed installare l’applicazione tramite il comando rpm.

# rpm -Uvh splunk-5.0.2-149561-linux-2.6-x86_64.rpm

Editare il file di configurazione inputs.conf ed aggiungere l’istanza:

[udp://192.168.10.109:10002]             # OSSEC server IP
disabled = false
sourcetype = ossec

# vi /opt/splunk/etc/system/default/inputs.conf

Riavviare Splunk. Se l’applicazione è avviata per la prima volta, è necessario accettare l’EULA.

# /opt/splunk/bin/splunk restart

Digitare da browser l’indirizzo http://OSSEC_IP:8000 ed effettuare il login a Splunk utilizzando le credenziali di default admin/changeme. Al primo logon è richiesto il cambio della password. Se nel sistema il firewall è abilitato, aprire la porta TCP:8000.

Viene visualizzata la schermata principale di Splunk.

Installazione di Splunk per OSSEC

Effettuare il download di Splunk for OSSEC e dalla schermata principale di Splunk cliccre sul menu App > Manage apps.

Cliccare sul bottone Install app from file.

Cliccare sul bottone Choose File e selezionare il file scaricato ossec-1.1.89.tgz. Successivamente cliccare su Upload per caricare l’applicazione in Splunk.

Quando l’applicazione è stata caricata, il sistema deve essere riavvaito. Cliccare su Restart Splunk per continuare.

Il sistema viene riavviato.

Una volta effettuato il logon al sistema, la notifica dell’avvenuta installazione viene segnalata.

Dalla schermata principale cliccare su Apps per visualizzare l’elenco delle applicazioni installate. Identificare l’applicazione Splunk for OSSEC e cliccare l’opzione Launch app nella colonna Actions.

Viene visualizzata la schermata principale di Splunk for OSSEC.

Cliccare sul menu Dashboards & Views e selezionare l’opzione OSSEC Dashboard.

I dati raccolti sono visualizzati nel formato grafico facilmente leggibili a prima vista.

Splunk è un tool completo per visualizzare i dati raccolti in forma grafica e la creazione di report può essere facilmente effettuata selezionando i template disponibili nel menu Searches & Reports.

OSSEC è un’applicazione open source di intrusion detection system che svolge la funzione di log analysis, file integrity checking, policy monitoring e rootkit detection.

Disponibile per diversi ambienti operativi (Windows, Linux, MAC, …), i log raccolti possono essere salvati in un database mySQL e alcuni report possono essere visualizzati tramite la web gui AnaLogi.

Prerequisiti

Utilizzando la versione minimal installation di CentOS 6.4, la procedura utilizza tre package principali:

1. mySQL v5.x database
2. OSSEC v2.7 log analyzer
3. AnaLogi v1.3 ossec-wui

Installazione di mySQL

Aggiornare il sistema ed installare i package mySQL e i compilatori richiesti.

# yum update
# yum install mysql-devel mysql-server gcc make

Per evitare problemi di funzionamento, disabilitare SELINUX.

# vi /etc/selinux/config

Abilitare mySQL per essere avviato durante il boot del sistema e avviare il servizio.

# chkconfig mysqld on
# service mysqld start

Mettere in sicurezza mySQL tramite il comando:

# /usr/bin/mysql_secure_installation

Installazione di Ossec e creazione del db mySQL

Tramite il comando wget, effettuare il download del package OSSEC e scompattare il file.

# wget http://www.ossec.net/files/ossec-hids-2.7.tar.gz
# tar -vxzf ossec-hids-2.7.tar.gz

Poichè come default è disabilitato, abilitare mySQL in OSSEC.

# cd ossec-hids-2.7/src
# make setdb

Creare un nuovo database mySQL dove salvare gli alert OSSEC.

# mysql -u root -p

mysql> create database ossec;
mysql> grant INSERT,SELECT,UPDATE,CREATE,DELETE,EXECUTE on ossec.* to ossec@localhost;
mysql> set password for ossec@localhost=PASSWORD(‘password’);
mysql> flush privileges;
mysql> quit

Importare lo schema per il nuovo database dalla directory di installazione di  OSSEC ossec-hids-2.7/src/os_dbd/.

# cd ossec-hids-2.7/src/os_dbd
# mysql -u root -p ossec < mysql.schema

Avviare l’installazione di OSSEC tramite il file eseguibile install.sh.

# ./install.sh

Premere ENTER per avviare la configurazione.

Dopo aver premuto il tasto ENTER, il sistema procede con la compilazione e l’installazione di OSSEC nel computer.

Se tutto va a buon fine, l’ installation termina senza riportare warning o errori.

Se OSSEC opera dietro ad un firewall, la comunicazione con l’agent avviene tramite la porta UDP 1454.

Impostare i parametri mySQL nella configurazione di OSSEC. Editare il file ossec.conf.

# vi /var/ossec/etc/ossec.conf

Aggiungere le seguenti righe:

<database_output>
   <hostname>127.0.0.1</hostname>
   <username>ossec</username>
   <password>password</password>
   <database>ossec</database>   
   <type>mysql</type>
</database_output>

Come ultimo step, abilitare mySQL e riavviare il servizio.

# /var/ossec/bin/ossec-control enable database
# /var/ossec/bin/ossec-control restart

Installazione dell’interfaccia web AnaLogi

Poichè Analogi è un’interfaccia web per OSSEC che ha sostituito la vecchia ossec-wui, il sistema necessita dell’installazione dei package Apache e PHP nel sistema.

# yum install httpd php php-mysql mod_ssl

Abilitare Apache per avviarsi durante il boot del sistema e avviare il servizio.

# chkconfig httpd on
# service httpd restart

Siccome AnaLogi è salvato utilizzando un repository git, è necessario installare il package git per prelevare i file richiesti dal sito web.

# yum install git-core

Una volta installato, effettuare il download di AnaLogi tramite il comando git clone.

# cd /var/www/html
# git clone https://github.com/ECSC/analogi.git

Assegnare l’ownership della directory AnaLogi all’utente apache.

# chown apache:apache analogi -R

Rinominare il file di configurazione.

# cd /var/www/html/analogi
# mv db_ossec.php.new db_ossec.php

Editare  il file db_ossec.php e modificare i parametri mySQL per rispecchiare l’installazione effettuata precedentemente.

# vi db_ossec.php

Per creare un eventuale virtual host, editare il file di configurazione di Apache ed aggiungere le seguenti istruzioni:

# vi /etc/httpd/conf/httpd.conf

<VirtualHost *:80>
   ServerAdmin admin@nolabnoparty.local
   DocumentRoot /var/www/html/analogi
   ServerName lx6-ossec01.nolabnoparty.local
   ErrorLog logs/ossec-err-error_log
   CustomLog logs/ossec-access-access_log common

   <Directory /var/www/html/analogi>
      Allow from all
      Options -MultiViews
   </Directory>
</VirtualHost>

Riavviare Apache.

# service httpd restart

Aprire il browser utilizzato e digitare l’indirizzo:

http://ip_address

https://ip_address/analogi

Se il sistema visualizza una schermata simile, il server OSSEC funziona correttamente.

Il server OSSEC è ora pienamente operativo, l’ultimo step da fare è la creazione degli agenti per i client della rete.

Oggi la versione Inglese del blog fa il suo debutto!

Dopo alcuni anni di post scritti esclusivamente in Italiano, è giunta l’ora di fare un passo ulteriore e cercare di andare oltre i confini.

Perchè questa decisione? Dovuto al tipo di lavoro che svolgo, leggo regolarmente dei blog trovando la maggior parte delle informazioni in lingua Inglese che spesso mi hanno permesso di risolvere problemi.

Ho quindi deciso di cominciare questa avventura cercando di diffondere il blog anche tra i lettori stranieri aiutandoli a comprendere gli articoli con una lingua più semplice.

I vecchi post saranno tradotti man mano compatibilmente con il tempo a disposizione.

Spero che lo sforzo venga apprezzato.

In un’architettura mail-server, dovrebbe essere sempre presente il servizio MX backup per motivi di ridondanza e per evitare che le email vengano ritornate con un errore mentre il mail-server è offline.

Il principio di funzionamento è molto semplice: quando il mail-server primario è offline (failure o manutenzione), le email vengono raccolte e conservate dall’MX backup che le trattiene fino a quando il server primario ritorna nuovamente online.

Configurazione DNS

Per poter funzionare correttamente, il sistema richiede l’aggiunta di un secondo record MX nel DNS con una priorità più bassa in modo da instradare le email all’MX backup solo nel caso il mail-server è offline.

mail.domain.com  MX  10 
mail2.domain.com MX  20

Inoltre devono essere configurati correttamente anche gli IP pubblici dei mail-server associati.

Installazione dei package richiesti

Per utilizzare il comando yum per effettuare l’installazione di tutti i package richiesti, aggiungere al sistema il repository RPMforge.

# wget http://pkgs.repoforge.org/rpmforge-release/rpmforge-release-0.5.2-1.el6.rf.x86_64.rpm
# rpm -Uvh rpmforge-release-0.5.2-1.el6.rf.x86_64.rpm

Oltre a Postfix, l’installazione prevede dei package aggiuntivi per proteggere il server dallo spamming: ClamAV, Spamassassin e Amavisd-new.

# yum install postfix spamassassin clamd clamav-db amavisd-new

Poichè lo scopo è di utilizzare solo Postfix, se nel sistema sono presenti altri package (Sendmail ad esempio) è necessario configurare correttamente l’MTA tramite il comando alternatives selezionando l’opzione desiderata.

# alternatives –config mta

Poichè nell’esempio è installato il solo package Postfix, il numero da digitare è 1.

Se nel sistema è presente anche Sendmail, rimuoverlo tramite il comando yum.

# yum remove sendmail

Configurazione ClamAV

Editare il file /etc/clamd.conf e verificare che la comunicazione tra Amavisd-new -> ClamAV avvenga tramite il local UNIX socket e non tramite TCP socket.

LocalSocket /var/run/clamav/clamd.sock 
#TCPSocket  3310

# vi /etc/clamd.conf

Abilitare ClamAV rimuovendo il commento #.

['ClamAV-clamd', 
   \&ask_daemon, ["CONTSCAN {}\n", "/var/run/clamav/clamd.sock"], 
   qr/\bOK$/m, qr/\bFOUND$/m, 
   qr/^.*?: (?!Infected Archive)(.*) FOUND$/m ],

Configurazione Amavisd-new

Editare il file di configurazione /etc/amavisd.conf ed impostare i vari parametri con i valori che rispecchiano la propria rete.

$mydomain = 'nolabnoparty.com';            # domain.com 
$MYHOME = '/var/amavis'; 
$helpers_home = "$MYHOME/var"; 
$lock_file = "$MYHOME/var/amavisd.lock"; 
$pid_file = "$MYHOME/var/amavisd.pid"; 
$myhostname = 'mail2.nolabnoparty.com';    # hostname.domain.com

# vi /etc/amavisd.conf

Configurazione Postfix

Editare il file /etc/postfix/master.cf ed aggiungere le seguenti linee:

# ========================================================================== 
# service type  private  unpriv  chroot  wakeup  maxproc  command + args 
#               (yes)    (yes)   (yes)   (never) (100) 
# ========================================================================== 
amavisfeed unix    -       -       n       -       2       lmtp 
    -o lmtp_data_done_timeout=1200 
    -o lmtp_send_xforward_command=yes 
    -o disable_dns_lookups=yes 
    -o max_use=20

127.0.0.1:10025 inet n    -        n       -       -       smtpd 
    -o content_filter= 
    -o smtpd_delay_reject=no 
    -o smtpd_client_restrictions=permit_mynetworks,reject 
    -o smtpd_helo_restrictions= 
    -o smtpd_sender_restrictions= 
    -o smtpd_recipient_restrictions=permit_mynetworks,reject 
    -o smtpd_data_restrictions=reject_unauth_pipelining 
    -o smtpd_end_of_data_restrictions=  
    -o smtpd_restriction_classes= 
    -o mynetworks=127.0.0.0/8 
    -o smtpd_error_sleep_time=0 
    -o smtpd_soft_error_limit=1001 
    -o smtpd_hard_error_limit=1000 
    -o smtpd_client_connection_count_limit=0 
    -o smtpd_client_connection_rate_limit=0 
    -o receive_override_options=no_header_body_checks, 
         no_unknown_recipient_checks,no_milters,no_address_mappings 
    -o local_header_rewrite_clients= 
    -o smtpd_milters=  
    -o local_recipient_maps= 
    -o relay_recipient_maps=

# vi /etc/postfix/master.cf

Editare il file /etc/postfix/main.cf .

# vi /etc/postfix/main.cf

Aggiungere le righe:

#AMAVISD-NEW 
content_filter=amavisfeed:[127.0.0.1]:10024

Modificare i parametri di configurazione inserendo i valori appropriati alla rete in uso.

myhostname = mail2.nolabnoparty.com        # hostname.domain.com 
mydomain = nolabnoparty.com                # domain.com 
myorigin = $mydomain 
mydestination = $myhostname, localhost.$mydomain 
mynetworks = 127.0.0.0/8, 192.168.20.2     # IP MX backup host 
relay_domains = nolabnoparty.com           # target domain 
inet_interfaces = all 
smtpd_recipient_restrictions = permit_mynetworks,reject_unauth_destination 
relay_recipient_maps = 
message_size_limit = 0 
mailbox_size_limit = 0 
maximal_queue_lifetime = 5d

Se il parametro relay_recipient_maps è lasciato vuoto, tutte le email sono processate dall’MX backup senza verificare se i recipient destinatari sono presenti nel mail-server con il rischio di conservare tantissime email “junk”. Creando invece il file /etc/postfix/relay_recipients inserendo gli account esistenti il problema si risolve. Naturalmente in un ambiente dinamico con centinaia di mailbox questa soluzione non è probabilmente molto pratica.

# vi /etc/postfix/ relay_recipients

# Accounts configured in mail-server 
angus.young@nolabnoparty.com 
malcolm.young@nolabnoparty.com 
bon.scott@nolabnoparty.com 
brian.johnson@nolabnoparty.com 
cliff.williams@nolabnoparty.com 
phil.rudd@nolabnoparty.com

Abilitare i servizi installati per essere avviati durante il boot del sistema.

# chkconfig postfix on
# chkconfig amavisd on
# chkconfig clamd on
# chkconfig spamassassin on

Avviare i servizi effettuando il restart nella sequenza illustrata.

# service spamd restart
# service clamd restart
# service amavisd restart
# service postfix restart

Se compare la notifica di warning relativa al database di ClamAV, l’aggiornamento manuale della signature viene effettuata tramite il comando:

# /usr/bin/freshclam

La signature viene aggiornata all’ultima release disponibile.

Test del sistema

Terminata la configurazione non rimane che testare la funzionalità del sistema verificando se le email sono processate correttamente.

Tramite il comando telnet, verificare se il servizio Amavisd risponde sulla porta 127.0.0.1:10024.

# telnet localhost 10024

ehlo localhost 
quit

Testare successivamente Postfix smtpd per verificare la risposta sulla porta 127.0.0.1:10025.

# telnet localhost 10025

ehlo localhost 
quit

Tramite un altro computer, connettersi in telnet all’MX backup configurato. Le parti evidenziate sono le varie istruzioni da digitare.

telnet MX_backup.domain.com 25

# telnet mail2.nolabnoparty.com 25

ehlo www.nolabnoparty.com 
mail from:<bon.scott@nolabnoparty.com> 
rcpt to:<bon.scott@nolabnoparty.com> 
data 
Subject: test backup mx 
sending message to test backup mx 
. 
quit

Se il messaggio email viene recapitato, il sistema funziona correttamente.

Per effettuare un test simulando uno scenario reale, mettere offline il mail-server e provare ad inviare alcuni messaggi email tramite un qualunque client di posta esterno alla rete.

Effettuare l’analisi del log di Postfix per verificare se l’MX backup sta processando i messaggi.

# tail -f /var/log/maillog

Per verificare quali messaggi sono effettivamente nella coda dell’MX backup, il comando mailq visualizza i messaggi processati.

# mailq

Il sistema periodicamente effettua l’operazione di flush delle email in coda in base al valore specificato nel file /etc/postfix/master.cf (default 1000 secondi).

# vi /etc/postfix/mastercf

Senza attendere la normale schedulazione, è possibile effettuare un flush manuale tramite il comando postqueue verificando con mailq lo stato della coda.

# postqueue -f
# mailq

Rilasciati i messaggi dall’MX backup, se tutto funziona come ci si aspetta, le email vengono recapitate al client di posta.

Poichè i costi per avere delle risorse nel cloud potrebbero risultare eccessivi per questo tipo di soluzione, nel mercato sono presenti alcuni provider che offrono a prezzi contenuti il servizio MX backup.

• mxsave.com
• backupmx.it
• dyn.com
• noip.com
• …

Implementando questa soluzione nessuna email verrà persa in caso di failure del mail-server e le attività di manutenzione possono essere effettuate con una relativa calma.

Per testare un’app in ambiente Android senza dover “sconfigurare” il proprio smartphone o tablet è possibile utilizzare il tool Android SDK.

Disponibile nella versione 32 e 64 bit ed in varie piattaforme, Android SDK è un emulatore che permette di configurare un device nel proprio ambiente di test per verificare la corretta funzionalità di un’applicazione o di un aggiornamento prima di effettuare il deploy nell’ambiente di produzione.

Installazione

La prima operazione è di scaricare dal sito la versione di Android SDK adatta al proprio ambiente operativo.

Scompattare il file .zip (adt-bundle-windows-x86_64-20130219.zip) scaricato e salvarlo in una directory, tipo “Android SDK”, nel proprio computer.

Per il funzionamento di Eclipse è richiesta l’installazione dell’ambiente Java JRE o JDK prestando attenzione alla piattaforma utilizzata a 32 o 64bit.

Editare le variabili di sistema da Start > Control Panel > System and Security > System > Advanced system settings aggiungendo la variabile:

C:\Program Files\Java\jre7\bin

Accedere alla directory adt-bundle-windows-x86_64-20130219/eclipse/ ed effettuare un doppio click sul file eclipse.exe.

Il programma va in esecuzione mostrando la schermata di avvio.

Salvo controindicazioni, lasciare l’impostazione di default e cliccare su OK.

Viene mostrata la schermata principale.

Tramite il menu File > New è possibile accedere alle varie operazioni disponibili tramite l’emulatore.

Tramite questo tool è possibile testare le applicazioni Android che saranno installate nell’ambiente di produzione (Lotus Traveler ad esempio) prima di effettuare il deploy nella rete.

Il servizio Network Policy Services (NPS) è un servizio presente in Windows Server 2008 R2 che svolge il ruolo di server RADIUS utilizzato per le autenticazioni dei client remoti (VPN ad esempio).

In un ambiente Active Directory è possibile configurare l’autenticazione tramite RADIUS utilizzando gli account già presenti nella rete configurando opportunamente il servizio NPS.

Installazione del servizio NPS

Prima operazione da eseguire è l’installazione del servizio sul server Windows 2008 R2. Accedere al Server Manager e cliccare sulla voce Add Roles per aggiungere la nuova funzione al server.

Cliccare su Next.

Selezionare la voce Network Policy and Access Services e cliccare su Next.

Click su Next.

Selezionare l’opzione Network Policy Server e cliccare su Next.

Per effettuare l’installazione del servizio, cliccare sul bottone Install.

Le componenti del servizio sono installate nel server.

Al termine della procedura viene visualizzato il risultato dell’installazione effettuata. Cliccare sul bottone Close per chiudere la finestra.

Il servizio è ora installato nel server ma deve essere configurato per la sua corretta funzionalità.

Configurazione di NPS

Accedere al servizio tramite Start > Administrative Tools > Network Policy Server.

Creare un nuovo client cliccando con il tasto destro del mouse sulla voce RADIUS Client e selezionare la voce New.

Nel pannello Settings, abilitare il client attivando l’opzione Enable this RADIUS client. Assegnare un Friendly Name e l’Address (IP or DNS) del server/router VPN. Per la creazione dello shared secret per la comunicazione RADIUS <-> Server VPN utilizzare l’opzione Generate per la creazione automatica prestando attenzione alle specifiche del server VPN poichè potrebbe non accettare una stringa così lunga. Utilizzare l’opzione Manual per l’inserimento manuale della stringa.

Cliccando su Advanced selezionare come Vendor name l’opzione RADIUS Standard salvo diversa indicazione del produttore del server VPN.

Creato il client RADIUS, dalla schermata principale di NPS, cliccare con il tasto destro del mouse la voce Network Policies e selezionare l’opzione New per creare una nuova policy.

Nel campo Policy Name specificare il nome della nuova policy. Lasciare il campo Type of network access server al valore di default Unspecified. Cliccare su Next per proseguire.

Cliccare sul bottone Add per specificare quali condizioni sono valutate nella fase di autenticazione.

Se l’account viene autenticato in base alla membership di un gruppo Active Directory, selezionare la voce Windows Groups e cliccare sul bottone Add.

Cliccare sul bottone Add Groups per selezionare il gruppo AD desiderato.

Inserire il gruppo AD e cliccare su OK.

Il gruppo AD selezionato compare ora nella lista dei Windows Groups. Cliccare su OK per proseguire.

Per specificare ulteriori condizioni, cliccare sul bottone Add.

Per limitare le richieste di autenticazione da uno specifico VPN server, selezionare la condizione Client IPv4 Address e cliccare su Add.

Digitare l’IP Address del server VPN e cliccare su OK.

Definite le condizioni richieste, cliccare su Next per proseguire.

Abilitare l’accesso al sistema cliccando sulla voce Access Granted.

Qui è possibile definire il protocollo utilizzato per l’autenticazione. Consultare le specifiche del vendor del server VPN per selezionare i protocolli di autenticazione richiesti. Per eseguire un’autenticazione di tipo EAP, ad esempio, bisogna configurare l’EAP Types cliccando sul bottone Add.

Selezionare il protocollo richiesto e cliccare su OK.

Definiti i protocolli di autenticazione, cliccare sul bottone Next.

Definire eventuali Constraints se richiesti. Click su Next.

Definire tramite la schermata Settings eventuali attributi addizionali richiesti dal server VPN. Ad esempio i firewall Watchguard richiedono l’attributo Filter-ID per l’accesso VPN. Cliccare su Add per aggiungere un nuovo attributo.

Dalla lista attributi selezionare Filter-ID e cliccare su Add.

Cliccare su Add per definire l’informazione richiesta dal server VPN per l’attributo selezionato.

Consultando le istruzioni del vendor del server VPN, inserire l’Attribute Information corretto (L2TP-Users nell’esempio) e cliccare su OK per confermare.

Per eventuali attributi non richiesti, selezionarli e rimuoverli tramite il bottone Remove.

Terminata la configurazione, cliccare sul bottone OK.

Viene visualizzato un riepilogo delle impostazioni effettuate. Cliccare su Finish per terminare la procedura.

Per una corretta elaborazione della policy creata, assicurarsi che sia la prima dell’elenco.

Per il corretto funzionamento dell’autenticazione RADIUS, bisogna registrare il server in Active Directory. Dalla schermata principale di NPS cliccare con il tasto destro la voce NPS (local) e selezionare l’opzione Register server in Active Directory.

Cliccare su OK per confermare l’autorizzazione del server locale in AD.

Cliccare su OK per terminare l’operazione.

La configurazione del server RADIUS è ora completa.

Attivazione autenticazione RADIUS

Per abilitare l’autenticazione dei client VPN nel sistema, bisogna configurare l’autenticazione RADIUS nel server VPN.

Abilitare ed inserire l’IP Address corretto del server RADIUS. Digitare lo stesso Shared Secret definito precedentemente. Prestare attenzione che i caratteri inseriti nel campo Secret siano gli stessi definiti nel server RADIUS altrimenti il processo di autenticazione non verrà effettuato correttamente.

Quando si effettua una connessione VPN, il client è autenticato tramite RADIUS consentendo l’accesso alla rete verificando la membership del gruppo in Active Directory come riportato dal log in Windows.

Sempre dal logo è possibile identificare eventuali problemi di autenticazione.

Questa soluzione permette un’efficiente gestione delle autenticazioni dei client remoti garantendo un certo livello di sicurezza della rete.

L’appliance VMware Data Recovery non riesce a completare il job di backup per un errore dell’integrity check bloccando di fatto la schedulazione del backup.

Analizzando i log dal pannello Configuration > Configure > Log,  l’errore che ha causato il blocco dell’ultima esecuzione del backup è indicato come Destination index invalid/damaged.

Visualizzando il pannello Restore, nessun restore point è presente nella schermata rendendo quindi inutilizzabili tutti i backup precedenti.

Cercando di effettuare un’operazione di Unmount dello share dal NAS utilizzato per il backup, il sistema risponde con un messaggio di errore:

The Unmount operation failed because the Destination may be in use. Please try again later.

Procedura

Per questo tipo di situazione, la risoluzione del problema comporta la rimozione della cartella store.lck presente nello sharing del backup.

Avviare il vCenter Server e accedere alla console dell’appliance VMware Data Recovery lanciando la Virtual Machine Console.

Effettuare il Login digitando username e password.

Fermare il servizio datarecovery tramite il comando:

# service datarecovery stop

Accedere successivamente allo sharing del backup configurato nell’appliance Data Recovery in Configuration > Configure > Destination, individuare il folder store.lck ed effettuare l’operazione di delete.

Cliccare su Yes per cancellare il folder selezionato.

Riavviare il servizio datarecovery tramite il comando:

# service datarecovery start

Effettuata l’operazione di start del servizio, il sistema effettua automaticamente la procedura di Recatalog.

Terminato il processo i Recatalog e di Integrity check, tutti i backup precedenti (restore points) sono nuovamente indicati nel pannello di Restore.

Il servizio di backup dell’appliance VMware Data Recovery è ora nuovamente operativo e funzionante.

Poichè Windows 7 non include un client SSH per permettere la connessione con sistemi Linux, viene spesso utilizzato il tool open source PuTTY.

Quando si tenta di effettuare una connessione SSH con un client Linux tramite il tool PuTTY, il sistema, dopo aver inserito lo username e prima dell’inserimento della password, risponde con il messaggio di errore:

Access denied

Accedendo direttamente tramite console invece l’errore non si presenta.

Procedura

Il problema è dovuto all’encryption GSSAPI abilitata come default in PuTTY e che deve essere disabilitata.

Avviare il tool PuTTY creando una nuova connessione. Accedere alla sezione Connection > SSH > Auth > GSSAPI e disabilitare l’opzione Attempt GSSAPI authentication (SSH-2 only).

Nella sezione Session indicare l’Host Name (or IP address) da connettere e salvare la sessione assegnando un nome nel campo Saved Sessions.

Provando nuovamente la connessione SSH con il sistema Linux, l’errore non si presenta più.

Con questo semplice accorgimento si risolve un problema che nella sua semplicità di risoluzione può portare a delle criticità e delle possibili interruzioni dei servizi di rete.

Per il backup dell’infrastruttura di rete virtuale, Veeam Backup & Replication è un ottima soluzione per la protezione dei dati aziendali.

Non solo permette il backup dei dati, ma anche delle virtual machine presenti nell’infrastruttura virtuale mettendo a disposizioni modalità di restore che permettono un rapido ripristino delle funzionalità in caso di necessità.

Anche in questo caso, come già visto in precedenza, la scelta di un determinato prodotto è influenzata da vari fattori: budget a disposizione, funzionalità per la propria struttura di rete, supporto tecnico, etc.

Prerequisiti

Per l’installazione di Veeam Backup & Replication sono richiesti tre componenti:

• Microsoft .NET Framework 4.0
• Microsoft Visual C++ 2010 Service Pack 1.
• Veeam Backup & Replication for VMware v6.5.

Se durante la fase di installazione le componenti Microsoft non dovessero essere presenti nel sistema, l’applicazione stessa procederà con la loro installazione.

Quando compare la finestra di notifica, cliccare su Yes per installare i prerequisiti.

I package sono installati in sequenza sul sistema..

Installazione

L’installazione viene avviata cliccando sull’eseguibile scaricato dal sito.

Cliccare su Next per avviare il Wizard di installazione.

Accettare l’EULA e cliccare su Next.

Cliccare sul bottone Browse e selezionare il file della licenza (es. veeam_backup_trial_32_0.lic) ricevuto da Veeam anche se si sta utilizzando una licenza trial. Click su Next.

Selezionare le opzioni da installare e cliccare su Next per proseguire.

Specificare su quale istanza SQL deve essere installato il database dell’applicazione. Cliccare su Next.

Inserire l’utente utilizzato dal servizio Veeam. E’ consigliabile creare un utente dedicato con diritti di amministratore locale sul server in cui è installato il software per non compromettere la sicurezza del sistema. Click su Next.

Specificare le directory da utilizzare per le funzionalità Guest file system catalog e vPower NFS. Click su Next per continuare.

Per procedere con l’installazione del sistema cliccare sul bottone Install.

E’ visualizzato lo status dell’installazione tramite la barra.

Se non si presentano errori durante la procedura, compare la finestra di installazione completata. Cliccare su Finish per terminare l’operazione.

Avvio dell’applicazione

Dal server avviare l’applicazione cliccando sull’icona. Compare la schermata di avvio.

Veeam Backup & Replication si apre visualizzando la finestra di default per accedere alle varie funzioni.

Configurazione vCenter Server / ESXi

Per poter configurare i vari backup, è necessario specificare i server da assegnare al sistema. Cliccare sulla voce Add Server per aggiungere il server desiderato.

Specificare la tipologia di server da associare al backup, VMware vSphere in questo caso.

Digitare il DNS name or IP address del vCenter Server o degli host ESXi. Facoltativamente assegnare una Description per meglio identificare il sistema e cliccare su Next.

Specificare lo username e la password utilizzati per connettersi al vCenter Server e cliccare su Next.

Il sistema effettua la scansione del sistema per rilevare il server indicato.

Stabilita la connessione con il vCenter Server, cliccare sul bottone Finish per terminare l’operazione.

Il sistema ora mostra la struttura virtuale configurata nel vCenter Server indicato.

Configurazione del repository

Per configurare il repository in cui vengono salvati i backup, selezionare l’opzione Backup Infrastructure dalla schermata principale e cliccare sulla voce Add Repository.

Assegnare un Name e una Description per meglio identificare il tipo di repository e cliccare su Next.

Selezionare il tipo di repository da creare. Click su Next.

Digitare lo UNC path dello share su cui salvare i backup specificando le credenziali di accesso. Click Next per continuare.

Cliccando sul bottone Populate è possibile verificare lo spazio disco disponibile. Click su Next.

Specificare la configurazione del vPower NFS server e cliccare su Next.

Al termine della configurazione, viene presentata una videata riepilogativa delle impostazioni. Cliccare su Next per attivare le impostazioni.

La procedura di creazione del repository è terminata. Click su Finish per chiudere l’editor.

Il nuovo repository è visualizzato nell’elenco del sistema.

Configurazione del Backup Job

Per configurare un backup, selezionare l’opzione Backup & Replication dalla schermata principale e cliccare sulla voce Backup Job.

Assegnare un Name al backup e una Description e cliccare su Next.

Tramite il bottone Add, selezionare le virtual machine da includere nel Backup Job. Click Add per confermare.

Selezionate le virtual machine da includere nel backup, cliccare su Next per proseguire.

Selezionare il repository su cui salvare il backup e cliccare su Next.

Cliccare sul bottone Advanced per accedere alle opzioni di Backup mode. In base al proprio schema di backup, impostare la configurazione più appropriata e cliccare su OK quando terminato.

Se si effettua il backup di virtual machine con OS Microsoft e con la presenza di database, abilitare le due opzioni per l’utilizzo della tecnologia VSS e di system indexing. Inserire le credenziali dell’account con i diritti di amministratore locale delle virtual machine da mettere sotto backup. Cliccare su Advanced per accedere alle impostazioni di processing.

Impostare i parametri come indicato per evitare il blocco del processo e cliccare su OK e successivamente su Next.

Impostare la schedulazione per l’esecuzione e cliccare su Next.

Viene visualizzata una schermata riepilogativa con le impostazioni effettuate. Cliccare su Finish per salvare il Backup Job.

La nuova configurazione compare nella lista Job > Backup.

E’ possibile effettuare un backup manuale senza attendere l’esecuzione in base alla schedulazione impostata selezionando il backup Job desiderato. Cliccare con il tasto destro del mouse e selezionare la voce Start.

Quando il backup viene eseguito, lo status del processo è mostrato nella schermata Jobs > Backup.

Per visualizzare il riepilogo delle operazioni effettuate e il loro status, dal pannello Backup & Replication selezionare la voce Last 24 hours.

Per meglio testare l’applicazione ed avere una panoramica delle varie funzionalità e opzioni, Veeam ha reso disponibile la guida veeam_backup_evaluators_guide_6_5_vmware.pdf scaricabile dal sito.

Lanciando il comando yum per l’aggiornamento del sistema, viene visualizzato un errore relativo al database rpm.

rpmdb: PANIC: fatal region error detected; run recovery

L’errore è legato al repository del sistema, più precisamente al database rpm del server che si è corrotto e che necessita di essere ricostruito.

Procedura

Per risolvere il problema è necessario innanzitutto cancellare la cache di yum.

# yum clean-all

Successivamente eliminare il database rpm dei package tramite le istruzioni:

# rm -f /var/lib/rpm/_db*
# rpm –rebuilddb

Provare ad effettuare nuovamente l’upgrade del sistema lanciando il comando di aggiornamento tramite yum.

# yum update

Durante l’operazione, il sistema effettua il check del database per verificarne la corretta consistenza.

Se il fix è andato a buon fine, la procedura di aggiornamento è correttamente completata installando le versioni più recenti dei vari package.

Il sistema è nuovamente operativo ed aggiornato per garantire la massima funzionalità.